KYC (Know Your Customer, “conoce a tu cliente”) es el proceso para comprobar que una persona física es quien dice ser y evaluar su riesgo antes de hacer negocios con ella. KYB (Know Your Business) es el equivalente para empresas: confirma que la persona moral existe, quién la representa y quién es su beneficiario controlador.
En México, ambos son obligatorios para bancos, fintech y otras entidades financieras, y para quien realiza actividades vulnerables conforme a la Ley Antilavado (LFPIORPI). Para el resto de las empresas son un control de riesgo: evitan contratar con identidades falsas, empresas fachada o personas en listas restringidas.
Última revisión: 10 de octubre de 2026. Revisión jurídica: Juan Carlos Arellano.
En resumen
- KYC verifica a personas físicas: identificación oficial, CURP, prueba de vida, domicilio, listas y PEP.
- KYB verifica a personas morales: situación fiscal, acta constitutiva, poderes, beneficiario controlador y listas.
- Todo KYB incluye un KYC: el representante legal y el beneficiario controlador son personas físicas.
- Desde la reforma de julio de 2025, la LFPIORPI considera que controla a una empresa quien tiene derechos de voto sobre más del 25 % del capital (antes, más del 50 %).
¿Qué es KYC?
KYC son las siglas de Know Your Customer, “conoce a tu cliente”. Es el proceso con el que una organización identifica a una persona, verifica que sus documentos son auténticos y le pertenecen, y evalúa el riesgo de iniciar o mantener una relación con ella. Responde tres preguntas:
- ¿La persona existe y sus datos son reales? Se cotejan la identificación oficial y la CURP con fuentes oficiales.
- ¿Quien está del otro lado es esa persona? La prueba de vida y la comparación facial descartan fotos, videos y suplantaciones.
- ¿Representa un riesgo? Se revisan listas restringidas, la condición de persona políticamente expuesta (PEP) y la coherencia entre la actividad declarada y la operación.
Nació en la banca, pero hoy también se aplica a clientes individuales, contratistas y, sobre todo, a los apoderados antes de que firmen en nombre de una empresa.
¿Qué es KYB?
KYB son las siglas de Know Your Business, “conoce a tu empresa cliente”. Es la verificación de una persona moral (sociedad, asociación o fideicomiso) antes de contratarla, comprarle, venderle o darle crédito. Busca confirmar cuatro cosas:
- Que existe legalmente (acta constitutiva y folio mercantil).
- Que está en regla con el SAT (RFC activo, situación fiscal y ausencia en la lista 69-B).
- Quién puede obligarla (poderes vigentes y suficientes del representante).
- Quién la controla en realidad (su beneficiario controlador).
El último punto es el más laborioso. Hay estructuras tipo “muñeca rusa”: una sociedad mexicana pertenece a una holding extranjera, que a su vez es de un fideicomiso con otras empresas como beneficiarias. Hacer un KYB es recorrer esa cadena hasta las personas físicas que la controlan y hacer un KYC a cada una.
Conviene hacerlo a fondo, y no solo revisar el RFC, en fusiones y adquisiciones, con proveedores de alto valor y cuando hay sospecha de empresa fachada.
Diferencias entre KYC y KYB
| Criterio | KYC (persona física) | KYB (persona moral) |
|---|---|---|
| A quién se verifica | Clientes individuales, personas físicas con actividad empresarial, apoderados | Clientes empresariales, proveedores, distribuidores, socios comerciales |
| Pregunta central | ¿Esta persona es quien dice ser? | ¿Esta empresa existe, quién la representa y quién la controla? |
| Documentos | INE o pasaporte, CURP, comprobante de domicilio, constancia de situación fiscal si aplica | Constancia de situación fiscal, acta constitutiva, poderes, identificación del representante, estructura accionaria |
| Fuentes | INE, RENAPO, SAT, listas restringidas y PEP | SAT (RFC, 69-B, opinión de cumplimiento), Registro Público de Comercio (SIGER), listas, KYC de personas relacionadas |
| Quién lo exige | Entidades financieras (art. 115 LIC, art. 58 Ley Fintech) y actividades vulnerables (art. 18 LFPIORPI) | Las mismas normas, con la identificación del beneficiario controlador (art. 18 fr. III LFPIORPI) |
| Riesgo que mitiga | Suplantación de identidad, fraude en el alta, firma por un tercero | Empresas fachada, operaciones simuladas, lavado de dinero, representantes sin facultades |
| Complejidad | Baja o media: casi todo se automatiza | Media o alta: exige leer documentos corporativos y reconstruir la cadena de control |
No hay que confundirlos con el KYE (Know Your Employee), que aplica el mismo principio a candidatos y colaboradores, ni con el background check, que además revisa historial laboral, antecedentes judiciales y reputación.
Qué exige la ley en México
No existe una “ley KYC”. La obligación de conocer al cliente sale de varias normas, según el sector.
Bancos y entidades financieras (SHCP y CNBV)
El artículo 115 de la Ley de Instituciones de Crédito obliga a los bancos a prevenir y detectar operaciones relacionadas con el lavado de dinero y el financiamiento al terrorismo. Las reglas concretas están en las Disposiciones de carácter general a que se refiere el artículo 115, que emite la SHCP con la opinión previa de la CNBV. Regulan el conocimiento del cliente, la documentación que acredite plenamente su identidad y su resguardo. La propia LFPIORPI remite a este régimen: las entidades financieras identifican a sus clientes conforme a las leyes que las regulan (art. 15).
Para la contratación a distancia, las disposiciones de la CNBV para bancos (art. 51 Bis 6, reformado en el DOF el 12 de octubre de 2020 y el 21 de mayo de 2021) exigen que, al abrir una cuenta de nivel 4 o contratar créditos al consumo o comerciales sin presencia física, el banco verifique la biometría del cliente contra los registros del INE o de otra autoridad con un servicio similar. Además, el 1 de julio de 2026 la CNBV publicó en el DOF una resolución que incorpora la biometría facial como alternativa a la huella en ciertas operaciones presenciales, con una coincidencia mínima del 90 % con los registros del INE y requisitos antisuplantación referidos a ISO/IEC 30107-3.
Fintech (instituciones de tecnología financiera)
El artículo 58 de la Ley Fintech impone a las ITF obligaciones análogas: medidas de prevención de lavado de dinero, una metodología de evaluación de riesgos y lineamientos sobre el adecuado conocimiento del cliente y la documentación que acredite plenamente su identidad. Los requisitos de identificación no presencial están en las disposiciones de la SHCP y la CNBV. Cómo lo resuelve ZERO para una fintech: ZERO para fintech.
Actividades vulnerables (LFPIORPI)
La Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita aplica a negocios no financieros con actividades vulnerables (art. 17), como inmobiliarias, venta de vehículos y joyas, arrendamiento, notarios y activos virtuales. Al superar los umbrales de la ley, el artículo 18 les obliga a:
- Identificar y conocer de manera directa al cliente con documentos de reconocimiento oficial y conservar copia (fr. I).
- Pedir su actividad u ocupación si hay relación de negocios, apoyándose en su constancia del RFC (fr. II).
- Identificar al beneficiario controlador de los clientes personas morales y recabar de las personas físicas una declaración sobre su existencia (fr. III).
- Conservar la información al menos 10 años (fr. IV).
- Desde 2025, aplicar un enfoque basado en riesgo, tener un manual con criterios para PEP y usar monitoreo automatizado (fr. VII, VIII y X).
Si el cliente se niega a dar la información, hay que abstenerse de operar (art. 21).
Beneficiario controlador tras la reforma de 2025. Es la persona física que obtiene en última instancia el beneficio de la operación o controla efectivamente a la persona moral cliente. Hay control, entre otros supuestos, cuando alguien tiene derechos de voto sobre más del 25 % del capital social. El texto de 2012 decía “más del cincuenta por ciento”. La ley lo equipara con “beneficiario final” y “propietario real” (art. 3 fr. III). Las Reglas de Carácter General reformadas por el Acuerdo 115/2026 (DOF 7 de agosto de 2026) fijan un orden de búsqueda:
- Quien tenga el 25 % o más de la composición accionaria.
- Si no hay nadie así, quien tenga el control por otros medios.
- Si tampoco hay nadie así, el funcionario de mayor rango.
Además, exigen clasificar a los clientes al menos en riesgo bajo, medio y alto. Los umbrales por actividad y el calendario de la reforma están en nuestra guía de la LFPIORPI.
En paralelo, el Código Fiscal de la Federación (arts. 32-B Ter a 32-B Quinquies) obliga a las personas morales a conservar y actualizar la información de sus propios beneficiarios controladores dentro de los 15 días naturales siguientes a un cambio.
Protección de datos personales (LFPDPPP 2025)
Todo lo que recabas en un KYC o un KYB son datos personales. Desde marzo de 2025 rige una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20 de marzo de 2025). En la verificación de identidad importa lo siguiente:
- Necesitas un aviso de privacidad que identifique los datos sensibles y las finalidades (art. 15).
- Los datos sensibles requieren consentimiento expreso y por escrito, con firma autógrafa, firma electrónica u otro mecanismo de autenticación (art. 8). La ley no menciona la biometría en su lista enunciativa de datos sensibles, pero lo prudente es tratar como sensibles el rostro y la huella que usas para identificar a alguien.
- Los datos financieros o patrimoniales requieren consentimiento expreso (art. 7).
- Si una disposición jurídica ordena el tratamiento, no se requiere consentimiento (art. 9). Pero no confundas las dos cosas: la LFPIORPI te obliga a identificar al cliente, no a capturar su biometría. Si usas su rostro o su huella, recaba el consentimiento expreso.
- Los datos y el tiempo de tratamiento de los datos sensibles deben limitarse al mínimo indispensable (art. 12).
La autoridad que aplica esta ley ya no es el INAI, sino la Secretaría Anticorrupción y Buen Gobierno. Más detalle en nuestra guía de la Ley de Protección de Datos Personales.
¿Y si mi empresa no está obligada?
Ninguna ley te obliga a un KYC formal si no eres entidad financiera ni realizas actividades vulnerables. Aun así, conviene hacerlo:
- Antes de firmar un contrato relevante, para que la contraparte no pueda alegar después que no fue ella quien firmó.
- Antes de dar de alta a un proveedor, para no deducir facturas de una empresa que el SAT presume que simula operaciones (art. 69-B CFF).
- Antes de otorgar crédito o entregar mercancía a plazo.
Cómo hacer un KYC paso a paso (persona física)
- Define el riesgo y los datos necesarios. Clasifica por operación, monto y canal, y pide solo lo indispensable.
- Entrega el aviso de privacidad y recaba el consentimiento. Si capturas biometría, deja evidencia del consentimiento expreso.
- Revisa la identificación oficial. Lo habitual es la INE o el pasaporte. Comprueba que sean legibles y vigentes y que coincidan con lo declarado. Aquí explicamos cómo validar la INE.
- Valida la CURP. Confirma que existe y que el nombre y la fecha de nacimiento coinciden. Te explicamos cómo validar la CURP en RENAPO.
- Haz prueba de vida y comparación facial. Compara un rostro capturado en vivo con la foto de la identificación. La prueba de vida detecta fotos, máscaras, videos y deepfakes.
- Confirma el domicilio y la situación fiscal. Pide un comprobante reciente y, si hay actividad empresarial, la constancia de situación fiscal.
- Revisa listas restringidas. Consulta las listas negras del SAT (arts. 69 y 69-B del CFF), las listas OFAC y las de la ONU y, si eres sujeto obligado, la Lista de Personas Bloqueadas de la UIF.
- Identifica si es PEP. Si la persona ocupa o ocupó un cargo público relevante, o es familiar o asociado cercano de quien lo ocupa, aplica la diligencia reforzada. Más sobre las personas políticamente expuestas (PEP).
- Pregunta por el beneficiario controlador. Si eres sujeto obligado por la LFPIORPI, recaba la declaración de la persona sobre si actúa por cuenta de otra.
- Decide, documenta y conserva. Asigna un nivel de riesgo, registra quién aprobó y con qué evidencia, e integra todo en un expediente con bitácora. Si eres sujeto obligado por la LFPIORPI, consérvalo al menos 10 años.
Cómo hacer un KYB paso a paso (persona moral)
- RFC y constancia de situación fiscal. Confirma que el RFC está activo y que la razón social y el domicilio fiscal coinciden. Revisa también la opinión de cumplimiento (32-D).
- Lista 69-B. Verifica que la empresa no aparezca como presunta o definitiva entre los contribuyentes que emiten comprobantes de operaciones simuladas. Es el filtro clave para proveedores.
- Acta constitutiva y folio mercantil. Revisa el objeto social, el capital y los accionistas, coteja el folio en el Registro Público de Comercio (SIGER) y pide las actas posteriores que modifiquen el capital o la administración.
- Poderes del representante legal. Comprueba que el poder está vigente y que incluye las facultades para el acto (administración, dominio, títulos de crédito). Después, haz un KYC al apoderado. Te explicamos cómo validar las facultades del representante legal.
- Beneficiario controlador. Pide un organigrama del grupo, firmado bajo protesta de decir verdad, que llegue hasta personas físicas. Identifica a quien tenga el 25 % o más o el control por otros medios, y cruza la información con registros públicos, también los extranjeros. Paso a paso: cómo identificar al beneficiario controlador.
- Listas y PEP de las personas relacionadas. Revisa a la empresa, sus socios relevantes, el beneficiario controlador y el representante. Pon atención si la cadena pasa por jurisdicciones que el GAFI considera de alto riesgo.
- Capacidad operativa. Confirma que tiene domicilio, personal e infraestructura acordes con lo que va a facturar o entregar.
- Dictamen y re-verificación. Documenta el riesgo y la decisión, y programa revisiones periódicas: los poderes se revocan y los accionistas cambian.
Para el caso de compras, consulta cómo validar a un proveedor antes de firmar un contrato.
KYC presencial y KYC en línea (eKYC)
En un KYC en línea (eKYC), lo que en ventanilla se comprueba a simple vista se reconstruye con tecnología y queda documentado:
| Paso | Presencial | En línea (eKYC) |
|---|---|---|
| Identificación | Revisión física del documento y copia | Captura con la cámara y lectura automática (OCR) de los datos |
| ¿Es la misma persona? | Comparación visual con la foto | Comparación facial biométrica entre la selfie y la foto del documento |
| ¿Está presente? | Se ve a simple vista | Prueba de vida que descarta fotos, videos, máscaras y deepfakes |
| Cotejo con fuentes | Consulta manual | Consulta automatizada a fuentes oficiales (INE, RENAPO, SAT) y a listas |
| Evidencia | Copias firmadas y archivadas | Expediente digital con bitácora, geolocalización y constancia de conservación |
El eKYC no es menos seguro si cada paso deja evidencia. Lo debilita saltarse la prueba de vida o guardar los resultados fuera de un expediente íntegro.
KYC y KYB en el ciclo del contrato
Cuando la verificación ocurre en una herramienta, los documentos viajan por correo y el contrato se firma en otra plataforma, nadie puede demostrar que quien firmó es quien se verificó ni que el apoderado tenía facultades ese día. Para cerrar ese hueco:
- Antes de firmar: el contrato no se genera ni se envía a firma hasta que la contraparte esté verificada.
- Expediente digital: documentos, resultados de cada consulta, prueba de vida y bitácora quedan en un expediente vinculado al contrato. Su valor probatorio depende de demostrar que no se alteró. Para eso sirve la conservación conforme a la NOM-151.
- Firma electrónica con NOM-151: al usar firma electrónica sobre una identidad ya verificada, la evidencia de identidad y la de firma quedan juntas. Si la contraparte niega haber firmado, toda la prueba está en un solo lugar.
- Monitoreo durante la relación: repite la revisión de listas periódicamente, vigila el vencimiento de poderes y documentos, y actualiza el beneficiario controlador cuando cambie la estructura accionaria.
Errores frecuentes y señales de fraude
Errores:
- Validar solo la foto de la INE, sin prueba de vida.
- Revisar listas solo en el alta.
- Guardar evidencia en correos sin trazabilidad o capturar biometría sin consentimiento expreso.
- Aceptar a un representante sin revisar sus poderes ni hacerle un KYC.
- No documentar quién aprobó y con qué criterio.
Señales de alerta:
- Datos que no coinciden con RENAPO, o una INE que no aparece como vigente.
- Selfies con bordes irregulares o parpadeo antinatural (posibles deepfakes o fotos de pantalla).
- Una empresa reciente, con capital mínimo, que factura montos altos.
- Un domicilio fiscal “no localizado” o una aparición en la lista 69-B.
- Una contraparte que se niega a revelar a su beneficiario controlador.
Si aparece alguna, detén el proceso y documenta el motivo. Más en nuestra guía sobre suplantación de identidad.
Cómo lo hace ZERO Software Legal Suite
ZERO Software Legal Suite une la verificación y el contrato en una plataforma con tres módulos:
- Z-KYC (validación de identidad): prueba de vida evaluada conforme a ISO/IEC 30107-3, reconocimiento facial, Match ID contra la identificación oficial y validación de la INE, con la evidencia en un expediente digital con sellos NOM-151.
- Z-KYB (verificación de empresas): RFC, opinión 32-D, lista 69-B, SIGER y RUG, prueba de vida del representante legal e identificación de accionistas y beneficiario controlador, con sello de tiempo NOM-151.
- Z-BG (background check): más de 100 fuentes públicas, listas negras, PEP, 69-B y antecedentes judiciales de personas físicas y morales.
Con la contraparte verificada, el contrato se gestiona en ZERO CLM y se firma con ZIGN, la firma electrónica con NOM-151 de la suite, en el mismo expediente. La decisión de aprobar a un cliente sigue siendo de tu equipo de cumplimiento.
Preguntas frecuentes
¿Qué es KYC?
Es el proceso de verificar la identidad de una persona física y evaluar su riesgo antes de hacer negocios con ella. Incluye revisar su identificación, validar su CURP, hacer prueba de vida y consultar listas restringidas y PEP. KYC son las siglas de Know Your Customer, “conoce a tu cliente”.
¿Qué significa KYB?
KYB significa Know Your Business, “conoce a tu empresa cliente”. Es la verificación de una persona moral: que exista, que esté en regla con el SAT, que su representante tenga facultades y quién es su beneficiario controlador.
¿Cuál es la diferencia entre KYC y KYB?
El KYC verifica a personas físicas y el KYB, a empresas. El KYB es más amplio: incluye documentos corporativos y fiscales, y además un KYC del representante legal y del beneficiario controlador.
¿El KYC es obligatorio en México?
Sí, para bancos, fintech y demás entidades financieras, y para quienes realizan actividades vulnerables por encima de los umbrales de la LFPIORPI. Para las demás empresas no es una obligación general, pero sí una buena práctica antes de contratar o dar crédito.
¿Qué documentos se piden para un KYC y un KYB?
Para un KYC: identificación oficial vigente, CURP, comprobante de domicilio y, si aplica, constancia de situación fiscal. Para un KYB: constancia de situación fiscal, acta constitutiva, poder e identificación del representante, comprobante de domicilio y estructura accionaria.
¿Cuánto tarda un KYC o un KYB?
Un KYC digital, con prueba de vida y consultas automatizadas, se resuelve en minutos si los datos coinciden. Un KYB tarda más porque hay que revisar documentos corporativos, y puede llevar varios días si hay sociedades extranjeras en la cadena de control.
¿Se puede hacer un KYC 100 % en línea?
Sí. Con captura de la identificación, prueba de vida, consulta a fuentes oficiales y un expediente conservado conforme a la NOM-151, el proceso puede hacerse a distancia. Las entidades financieras deben cumplir además las reglas de identificación no presencial de su regulador.
¿Cuál es la diferencia entre KYC y background check?
El KYC confirma quién es la persona y si representa un riesgo regulatorio. El background check revisa además su historial laboral y académico, sus antecedentes judiciales y su reputación. Para contratar personal o proveedores críticos conviene hacer ambos.
Fuentes
- LFPIORPI, texto vigente (última reforma DOF 16-07-2025): https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPIORPI.pdf
- LFPIORPI, texto original (DOF 17-10-2012): https://www.diputados.gob.mx/LeyesBiblio/ref/lfpiorpi/LFPIORPI_orig_17oct12.pdf
- Acuerdo 115/2026, Reglas de Carácter General de la LFPIORPI (DOF 07-08-2026): https://dof.gob.mx/nota_detalle.php?codigo=5795797&fecha=07/08/2026
- Ley de Instituciones de Crédito, art. 115: https://www.diputados.gob.mx/LeyesBiblio/pdf/LIC.pdf
- CNBV, reforma a las disposiciones para instituciones de crédito, art. 51 Bis 6 (DOF 12-10-2020): https://dof.gob.mx/nota_detalle.php?codigo=5602349&fecha=12/10/2020
- CNBV, reforma al art. 51 Bis 6 que fija la coincidencia de la huella en 90 % (DOF 21-05-2021): https://dof.gob.mx/nota_detalle.php?codigo=5619057&fecha=21/05/2021
- CNBV, reforma sobre biométricos (DOF 01-07-2026): https://dof.gob.mx/nota_detalle.php?codigo=5792307&fecha=01/07/2026
- Ley para Regular las Instituciones de Tecnología Financiera, art. 58: https://www.diputados.gob.mx/LeyesBiblio/pdf/LRITF.pdf
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20-03-2025): https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf
- Código Fiscal de la Federación, arts. 32-B Ter a 32-B Quinquies y 69-B: https://www.diputados.gob.mx/LeyesBiblio/pdf/CFF.pdf
- NOM-151-SCFI-2016: https://dof.gob.mx/normasOficiales/6499/seeco11_C/seeco11_C.html
- RENAPO, consulta de CURP: https://www.gob.mx/curp/
- OFAC, Sanctions List Search: https://sanctionssearch.ofac.treas.gov/
Fecha de última revisión: 10 de octubre de 2026. Este contenido es informativo y no sustituye la asesoría de un especialista en prevención de lavado de dinero o protección de datos.
