PLD-FT son las siglas de Prevención de Lavado de Dinero y Financiamiento al Terrorismo. Para cualquier fintech que opere en México — ya sea como Institución de Fondos de Pago Electrónico (IFPE), agregador de pagos o plataforma de financiamiento colectivo — el cumplimiento PLD-FT no es opcional: es un requisito legal cuyo incumplimiento puede significar desde multas millonarias hasta la cancelación de la autorización de operación.
Esta guía explica qué es el PLD-FT, qué obliga la regulación mexicana, cómo implementarlo en tu fintech y cuáles son los errores más comunes que cometen las empresas en etapa temprana.
¿Qué es el PLD-FT?
El PLD-FT es el conjunto de políticas, controles y procedimientos que las instituciones financieras deben implementar para detectar, prevenir y reportar operaciones relacionadas con el lavado de dinero o el financiamiento al terrorismo.
En México, el marco normativo PLD-FT para fintechs se compone de tres instrumentos principales:
- Ley Fintech (2018): establece las obligaciones generales de PLD-FT para las Instituciones de Tecnología Financiera
- LFPIORPI: la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita, que aplica a actividades vulnerables
- Disposiciones de la CNBV: las circulares y resoluciones que detallan los procedimientos específicos de cumplimiento para cada tipo de ITF
¿A qué fintechs aplica PLD-FT en México?
Las obligaciones aplican a todas las Instituciones de Tecnología Financiera autorizadas bajo la Ley Fintech:
- IFPE (Instituciones de Fondos de Pago Electrónico): wallets digitales, plataformas de pago, monederos electrónicos
- IFC (Instituciones de Financiamiento Colectivo): plataformas de crowdfunding de deuda, capital o copropiedad
- Actividades vulnerables bajo LFPIORPI: también aplica a empresas que realizan ciertas transacciones en efectivo o servicios de transferencia de fondos, aunque no sean ITF
Las 6 obligaciones PLD-FT para fintechs en México
1. Política de Identificación del Cliente (KYC)
Toda fintech debe identificar y verificar la identidad de sus clientes antes de iniciar la relación de negocio. El proceso de KYC y onboarding digital debe incluir:
- Nombre completo, CURP, RFC y domicilio del cliente
- Identificación oficial vigente (INE, pasaporte)
- Verificación de que el cliente no está en listas de personas bloqueadas (OFAC, ONU, listas negras CNBV)
- Identificación del beneficiario final en personas morales (quién controla realmente la empresa)
2. Clasificación de riesgo de clientes
No todos los clientes representan el mismo nivel de riesgo de lavado de dinero. La regulación exige clasificar a cada cliente en bajo, medio o alto riesgo, y aplicar medidas de debida diligencia proporcionales a ese riesgo:
- Riesgo bajo: personas físicas con actividad económica documentada y transacciones dentro de parámetros normales
- Riesgo medio: empresas, personas con actividad económica no verificable, clientes de jurisdicciones con riesgo moderado
- Riesgo alto: Personas Políticamente Expuestas (PPE), clientes de jurisdicciones de alto riesgo, transacciones inusuales recurrentes
3. Monitoreo de transacciones
La fintech debe monitorear continuamente las transacciones de sus clientes para detectar operaciones inusuales. Esto implica definir parámetros de normalidad por tipo de cliente y alertar cuando una transacción se desvía significativamente del comportamiento esperado.
Señales de alerta comunes en fintechs:
- Múltiples depósitos pequeños seguidos de una transferencia grande (estructuración)
- Transacciones desde o hacia jurisdicciones de alto riesgo
- Cambios súbitos en el perfil transaccional del cliente sin justificación
- Uso intensivo de efectivo seguido de transferencias electrónicas
4. Reporte de operaciones a la CNBV y la UIF
Las ITF tienen la obligación de reportar ciertos tipos de operaciones a las autoridades:
- Operaciones Relevantes (OR): transacciones en efectivo que superen los $7,500 USD o su equivalente en MXN en un mes calendario
- Operaciones Inusuales (OI): transacciones que no tienen justificación aparente dado el perfil del cliente, independientemente del monto
- Operaciones Preocupantes (OP): operaciones donde el oficial de cumplimiento tiene razones fundadas para sospechar que están relacionadas con lavado de dinero o financiamiento al terrorismo
Los reportes se envían a la Unidad de Inteligencia Financiera (UIF) de la SHCP a través del sistema SIDE.
5. Oficial de Cumplimiento
Toda ITF debe designar un Oficial de Cumplimiento — una persona responsable de implementar y supervisar el programa PLD-FT. Este rol tiene responsabilidades específicas ante la CNBV y la UIF, y debe cumplir con los requisitos de idoneidad que establece la regulación.
En fintechs en etapa temprana, el Oficial de Cumplimiento suele ser el director de operaciones o el CFO, que puede contar con asesoría externa para cubrir las funciones técnicas del rol.
6. Conservación de documentos y auditoría
Todos los expedientes de clientes, registros de transacciones y reportes enviados a la UIF deben conservarse por un mínimo de 10 años. La CNBV puede solicitar esta información en cualquier momento durante una visita de inspección.
PLD-FT y KYC: ¿cuál es la diferencia?
El KYC (Know Your Customer) es el proceso de identificar y verificar a tus clientes — es el primer paso del programa PLD-FT. El PLD-FT es el marco más amplio que incluye el KYC más el monitoreo de transacciones, la clasificación de riesgos, los reportes a autoridades y todas las políticas internas de cumplimiento.
En otras palabras: el KYC es parte del PLD-FT, no lo reemplaza. Una fintech que solo hace KYC al momento del onboarding pero no monitorea transacciones ni reporta operaciones inusuales incumple con sus obligaciones PLD-FT aunque haya verificado la identidad de todos sus clientes.
Sanciones por incumplimiento PLD-FT en México
Las consecuencias del incumplimiento son significativas y escalan según la gravedad:
- Amonestación: para incumplimientos menores o primeras infracciones
- Multa: desde el 0.01% hasta el 0.2% del capital pagado de la institución, dependiendo de la gravedad
- Suspensión de operaciones: para incumplimientos reiterados o graves
- Revocación de autorización: la sanción más severa, que implica el cierre de la operación
- Responsabilidad penal: para directivos en casos de complicidad activa o encubrimiento
Cómo implementar PLD-FT en tu fintech desde el inicio
El error más común es tratar el PLD-FT como un proceso burocrático que se implementa antes de la autorización y luego se olvida. El regulador mexicano espera un programa vivo que evolucione con el perfil de riesgo de la fintech. Los pasos esenciales:
- Diseñar el Manual PLD-FT: documento que describe todas las políticas, procedimientos y controles. Es el primer documento que revisa la CNBV en una visita de inspección.
- Implementar el proceso de KYC y onboarding digital desde el MVP — no esperes a tener volumen para cumplir.
- Integrar listas de control (OFAC, ONU, listas CNBV) en el proceso de alta de clientes y actualización periódica.
- Definir los parámetros de monitoreo según el perfil de riesgo de tus clientes y el tipo de transacciones que procesas.
- Designar al Oficial de Cumplimiento y asegurar que tenga los recursos y el acceso necesarios para ejercer su función.
- Establecer el canal de reporte a la UIF a través del sistema SIDE antes de iniciar operaciones.
Preguntas frecuentes sobre PLD-FT para fintechs
¿Cuándo debo implementar mi programa PLD-FT?
Antes de iniciar operaciones. La CNBV exige que el programa PLD-FT esté documentado e implementado como condición para otorgar la autorización de operación. No es algo que se construye después del lanzamiento.
¿Una fintech en sandbox regulatorio tiene obligaciones PLD-FT?
Sí, aunque con requisitos simplificados. Las fintechs en el sandbox de la CNBV deben tener un programa PLD-FT básico implementado, pero los límites operativos del sandbox reducen el alcance de las obligaciones mientras se prueba el modelo.
¿Puedo externalizar el cumplimiento PLD-FT?
Puedes contratar asesoría y herramientas tecnológicas de terceros para apoyar el cumplimiento, pero la responsabilidad siempre recae en la institución y en el Oficial de Cumplimiento designado. La regulación no permite delegar la responsabilidad regulatoria a un tercero.
¿Qué es una Persona Políticamente Expuesta (PPE) y por qué importa?
Una PPE es una persona que ocupa o ha ocupado en los últimos 12 meses un cargo público de alto nivel (presidente, gobernador, diputado, director de empresa paraestatal, etc.) o un familiar directo de estas personas. Las PPE representan un mayor riesgo de lavado de dinero y requieren medidas de debida diligencia reforzada: más documentación, mayor escrutinio de transacciones y aprobación de nivel directivo para abrir la relación de negocio.
¿Tu fintech necesita diseñar su programa PLD-FT?
En Veloz Pay acompañamos a fintechs en México a diseñar e implementar sus programas de cumplimiento PLD-FT: desde el Manual de Políticas hasta la integración tecnológica del monitoreo de transacciones, el KYC digital y el canal de reporte a la UIF — todo alineado con las disposiciones de la CNBV. Contáctanos para una consulta inicial.