La debida diligencia (en inglés, due diligence) es el conjunto de verificaciones que haces antes y durante una relación de negocios para conocer a tu contraparte: quién es, quién la controla, de dónde vienen sus recursos y qué riesgo representa. En México el término tiene dos usos: la debida diligencia de clientes que exige la regulación de prevención de lavado de dinero (PLD) y el due diligence corporativo que una empresa hace antes de contratar, invertir o comprar.
Última revisión: 18 de octubre de 2026. Revisión jurídica: Juan Carlos Arellano. Incluye la reforma a la LFPIORPI (DOF 16 de julio de 2025) y el Acuerdo 115/2026, que modifica las Reglas de Carácter General (DOF 7 de agosto de 2026).
En resumen
- En PLD, la intensidad de la debida diligencia depende del grado de riesgo del cliente: simplificada para riesgo bajo, estándar para riesgo medio y reforzada para riesgo alto y personas políticamente expuestas (PEP).
- Para quien realiza actividades vulnerables, las reglas reformadas entran en vigor el 30 de noviembre de 2026. Los grados de riesgo, la diligencia reforzada y el procedimiento de beneficiario controlador se exigen sobre operaciones realizadas desde el 1 de marzo de 2027.
- Con proveedores, la debida diligencia no es una obligación PLD general, pero tiene consecuencias fiscales y laborales concretas: la lista 69-B del SAT y el REPSE en servicios especializados.
- El expediente se conserva al menos 10 años (art. 18, fr. IV de la LFPIORPI).
¿Qué es la debida diligencia?
El Grupo de Acción Financiera Internacional (GAFI), que fija el estándar internacional contra el lavado de dinero, define la debida diligencia del cliente en su Recomendación 10 con cuatro elementos:
- Identificar al cliente y verificar su identidad con documentos o datos de fuentes confiables.
- Identificar al beneficiario final y entender la estructura de propiedad y control de las personas morales.
- Entender el propósito y la naturaleza de la relación de negocios.
- Dar seguimiento continuo a la relación y a las operaciones.
La ley mexicana no usa la expresión “debida diligencia”. Habla de identificar y conocer al cliente (art. 18, fr. I de la LFPIORPI) y, desde la reforma de 2025, de un enfoque basado en riesgos (art. 18, fr. VII). Las Reglas de Carácter General sí hablan de “medidas de debida diligencia aplicables conforme al Grado de Riesgo” (art. 37 Bis, fr. III).
Debida diligencia PLD y due diligence corporativo: en qué se distinguen
| Debida diligencia PLD | Due diligence corporativo | |
|---|---|---|
| Para qué sirve | Prevenir que tu negocio se use para lavar dinero o financiar el terrorismo | Conocer la situación legal, fiscal, laboral y financiera de una contraparte antes de una decisión |
| Quién la exige | La ley: entidades financieras y quienes realizan actividades vulnerables | El propio negocio, por política interna o por contrato |
| A quién se aplica | A cada cliente, según su grado de riesgo | A proveedores, socios, distribuidores o empresas que vas a adquirir |
| Cuándo | Al iniciar la relación y de forma continua | En cada alta y en revisiones periódicas, o una sola vez antes de una operación |
| Qué se conserva | El expediente, al menos 10 años | Lo que defina tu política; conviene conservar la evidencia |
No hay una definición oficial mexicana de “due diligence corporativo”; la columna derecha describe la práctica habitual.
Las dos se apoyan en las mismas piezas: identificar a la persona o a la empresa, verificar sus documentos contra la fuente, revisar listas y antecedentes, y documentar la decisión.
Quién está obligado a hacer debida diligencia PLD
- Entidades financieras. Bancos (art. 115 de la Ley de Instituciones de Crédito y sus disposiciones de carácter general), SOFOM, casas de bolsa, fintech y demás entidades, cada una con sus propias disposiciones emitidas por la SHCP.
- Quienes realizan actividades vulnerables (art. 17 de la LFPIORPI): venta de inmuebles, vehículos, joyas y arte, arrendamiento, préstamos no bancarios, activos virtuales, notarios y otras. Sus reglas son las de la LFPIORPI, su Reglamento y las Reglas de Carácter General. Más detalle en la guía de la LFPIORPI.
Si tu empresa no está en ninguno de los dos grupos, no tiene una obligación PLD general, pero le conviene aplicar debida diligencia a sus proveedores (ver más abajo).
Los tres niveles: simplificada, estándar y reforzada
Las reglas reformadas obligan a quien realiza actividades vulnerables a clasificar a cada cliente al menos en tres grados de riesgo: bajo, medio y alto (art. 23 Bis). Cada grado lleva un nivel de diligencia:
| Nivel | Cuándo aplica | Qué exige | Fundamento (RCG LFPIORPI) |
|---|---|---|---|
| Simplificada | Cliente de riesgo bajo, solo si tu Manual de Políticas Internas define los criterios | Expediente con los datos del anexo correspondiente y la identificación, a la vista del original o de copia certificada | Art. 17 |
| Estándar | Cliente de riesgo medio | Expediente completo, perfil transaccional y alertas por cambios de comportamiento | Arts. 12, 17 Bis, 23 Ter, 23 Ter 1 y 23 Ter 2 |
| Reforzada | Cliente de riesgo alto o PEP | Más información sobre su actividad, cuestionarios sobre origen y destino de los recursos, monitoreo más estricto y, si es PEP de alto riesgo, aprobación de un directivo | Arts. 23 Ter 3 a 23 Ter 5 |
Debida diligencia simplificada
Solo procede con clientes de riesgo bajo y si tu Manual define los criterios para considerarlos así. Aun en este régimen el cliente debe exhibir los documentos en original o en copia certificada. Si deja de cumplir los criterios, integras el expediente completo (art. 17 de las RCG).
El GAFI es claro en el límite: las medidas simplificadas no son aceptables cuando hay sospecha de lavado de dinero o financiamiento al terrorismo.
Debida diligencia estándar
Es la regla general para el riesgo medio: expediente completo con los datos y documentos del art. 12 de las RCG, un perfil transaccional construido con el monto, número, frecuencia, origen y destino de los recursos, y un sistema de alertas que detecte desviaciones. El perfil inicial se basa en lo que el cliente estima operar en los primeros seis meses y se reevalúa al menos cada seis meses (art. 23 Ter 1).
Debida diligencia reforzada
Aplica a clientes de riesgo alto. Las reglas exigen:
- Más información sobre su actividad preponderante y un monitoreo más estricto (art. 23 Ter 3).
- Cuestionarios sobre el origen y destino de los recursos, que pueden aplicarse a distancia con firma electrónica (art. 23 Ter 3).
- Personas físicas: datos del cónyuge, de los dependientes económicos y de las sociedades vinculadas (art. 23 Ter 4, fr. I).
- Personas morales: más información de los principales accionistas, contrastada con los registros electrónicos de la Secretaría de Economía (art. 23 Ter 4, fr. II).
- PEP de alto riesgo: aprobación de un directivo o equivalente para iniciar o continuar la relación (art. 23 Ter 5).
Hay clientes que siempre deben clasificarse como de alto riesgo: los no residentes vinculados a regímenes fiscales preferentes o a países con medidas PLD deficientes, y las PEP extranjeras (art. 23 Bis 4).
¿Y en los bancos?
Las disposiciones del art. 115 de la Ley de Instituciones de Crédito siguen la misma lógica. Admiten requisitos simplificados para cuentas de bajo riesgo por niveles; desde la reforma del DOF del 10 de julio de 2026, la cuenta de nivel 2 Bis abierta a distancia exige prueba de vida. También exigen recabar más información cuanto mayor sea el grado de riesgo, la aprobación de un directivo para clientes de alto riesgo y PEP, y medidas para conocer el origen de los recursos.
Cómo se asigna el grado de riesgo
Antes de clasificar clientes necesitas una evaluación de riesgos de tu propio negocio: qué operaciones haces, con qué tipo de clientes, en qué zonas y por qué canales (arts. 10 Septies y 10 Septies 1 de las RCG). Debe usar datos de al menos 12 meses, considerar la Evaluación Nacional de Riesgos de la UIF y revisarse como máximo cada 12 meses.
Con esa metodología asignas a cada cliente un grado inicial, considerando como mínimo (art. 23 Bis 2):
- Factores del cliente: antecedentes, giro, nacionalidad, residencia, fuentes de ingreso y propósito de la relación.
- Factores de sus operaciones: volumen, frecuencia, monto, contrapartes, origen y destino de los recursos, instrumento y moneda.
El grado se reevalúa al menos cada seis meses, y con mayor frecuencia cuanto mayor sea el riesgo (art. 23 Bis 1).
Beneficiario controlador
En clientes personas morales, la debida diligencia incluye identificar a la persona física que en última instancia los controla. La LFPIORPI considera que hay control, entre otros supuestos, cuando alguien puede ejercer el voto sobre más del 25 % del capital (art. 3, fr. III). Las reglas fijan un orden de búsqueda que empieza por quien tenga el 25 % o más de las acciones, sigue con quien controle por otros medios y termina con el funcionario de mayor jerarquía (art. 23 Quinquies). Lo explicamos paso a paso en cómo identificar al beneficiario controlador.
Cada cuánto se actualiza
- Expediente: al menos una vez al año para clientes con relación de negocios. El comprobante de domicilio no debe tener más de tres meses (art. 21 de las RCG).
- Grado de riesgo y perfil transaccional: al menos cada seis meses (arts. 23 Bis 1 y 23 Ter 1).
- Conservación: al menos 10 años desde la operación (art. 18, fr. IV de la LFPIORPI).
Calendario de las reglas reformadas (Acuerdo 115/2026)
| Fecha | Qué se vuelve exigible |
|---|---|
| 30 de noviembre de 2026 | Entrada en vigor general del Acuerdo |
| 1 de marzo de 2027 | Evaluación de riesgos y Manual de Políticas Internas con la metodología; grados de riesgo, diligencia reforzada y beneficiario controlador sobre las operaciones realizadas desde esa fecha |
| 1 de junio de 2027 | Mecanismos automatizados de monitoreo |
| 2027 | Primer periodo anual de capacitación (1 de enero a 31 de diciembre) |
| 2028 | Primer periodo de auditoría |
Debida diligencia de proveedores
Para la mayoría de las empresas, la debida diligencia más frecuente no es PLD: es revisar a un proveedor antes de darlo de alta. Dos normas le dan consecuencias concretas.
Lista 69-B del SAT
Si un proveedor queda en la lista definitiva de contribuyentes que emiten comprobantes de operaciones inexistentes, sus facturas “no producen ni produjeron efecto fiscal alguno” (art. 69-B del CFF). Quien les dio efecto tiene 30 días desde la publicación para demostrar que la operación sí existió o para corregir su situación fiscal. Si no lo hace, el SAT puede determinar créditos fiscales y las operaciones se consideran actos simulados para efectos de los delitos fiscales.
La ley no obliga literalmente a consultar la lista, pero revisarla al dar de alta a un proveedor y de forma periódica es la manera de evitar ese riesgo. Te explicamos cómo en listas negras del SAT.
REPSE en servicios especializados
Desde la reforma de 2021 está prohibida la subcontratación de personal. Solo puedes subcontratar servicios u obras especializadas que no formen parte de tu objeto social ni de tu actividad preponderante, y siempre que el contratista esté registrado en el padrón público de la STPS (REPSE) (art. 13 de la LFT). Las consecuencias para el contratante son:
- Responsabilidad solidaria si el contratista incumple con sus trabajadores (art. 14 de la LFT) o con el IMSS (art. 15 A de la LSS).
- Deducción y acreditamiento: para deducir el gasto y acreditar el IVA, debes verificar que el contratista tenga el registro al pagar y obtener sus comprobantes de nómina, impuestos y cuotas (art. 27, fr. V de la LISR y art. 5, fr. II de la LIVA).
- Multa de 2,000 a 50,000 UMA también para quien se beneficie de una subcontratación ilegal (art. 1004-C de la LFT).
El padrón se consulta en https://repse.stps.gob.mx/.
Verificación documental: recibir no es verificar
Un PDF completo no significa que sea auténtico ni vigente. Las señales de alerta más comunes son variaciones en la razón social, poderes vencidos o insuficientes, constancias fiscales alteradas e identificaciones modificadas. Para que la verificación no dependa de quién la haga:
- Usa un checklist estándar por tipo de proveedor o contraparte.
- Define responsables: legal, cumplimiento, compras y finanzas, según el riesgo.
- Valida contra la fuente, no solo contra el documento: SAT, Registro Público de Comercio, padrones oficiales.
- Repite la validación: los poderes, permisos y opiniones de cumplimiento vencen.
- Centraliza la evidencia en un expediente por contraparte, para auditorías y litigios.
Tipos de due diligence corporativo
El alcance depende del objetivo: no es lo mismo dar de alta a un proveedor que comprar una empresa.
| Tipo | Qué revisa |
|---|---|
| Corporativo y legal | Acta constitutiva y reformas, poderes vigentes, inscripción en el Registro Público de Comercio, litigios y contingencias |
| Fiscal | Constancia de situación fiscal, opinión de cumplimiento del SAT y presencia en las listas de los arts. 69 y 69-B del CFF |
| Laboral y seguridad social | Opiniones de cumplimiento del IMSS y el Infonavit, contratos laborales, demandas y, si hay servicios especializados, el REPSE |
| Financiero | Estados financieros, deudas, garantías otorgadas y flujo |
| Contractual | Contratos relevantes, cláusulas de cambio de control, exclusividades y penalizaciones |
| Cumplimiento y PLD | Listas de sanciones, personas políticamente expuestas y beneficiario controlador |
| Datos personales y TI | Aviso de privacidad, tratamiento de datos, seguridad de la información y licencias de software |
El due diligence de proveedores es recurrente y de alcance acotado. El de una adquisición o inversión es puntual y profundo, suele involucrar a asesores externos y sus hallazgos se reflejan en el precio y en las garantías del contrato.
Checklist de documentos de una persona moral
- Acta constitutiva y sus reformas.
- Poderes de los representantes legales e identificaciones oficiales.
- Folio mercantil o constancia de inscripción en el Registro Público de Comercio.
- Constancia de situación fiscal y opinión de cumplimiento del SAT.
- Opiniones de cumplimiento del IMSS y el Infonavit.
- Registro REPSE, si presta servicios especializados.
- Estructura accionaria e identificación del beneficiario controlador.
- Estados financieros recientes y relación de juicios, si el riesgo lo amerita.
Para la parte fiscal, consulta cómo validar el RFC de una empresa.
Proceso de debida diligencia en 6 pasos
- Define el objetivo y el alcance: alta de proveedor, cliente, socio comercial o adquisición.
- Solicita la información con un checklist estándar, para que todas las contrapartes entreguen lo mismo.
- Valida identidad y existencia: personas físicas con KYC y empresas con KYB.
- Revisa listas y antecedentes: listas del SAT, sanciones internacionales, PEP y litigios.
- Clasifica el riesgo y decide: aceptable, mitigable con medidas reforzadas o bloqueante.
- Documenta y da seguimiento: integra el expediente con la evidencia y programa las revisiones periódicas.
Señales de alerta
- La empresa o sus socios aparecen en la lista 69-B del SAT.
- Poderes vencidos o insuficientes para firmar el contrato.
- Domicilio fiscal que no coincide con la operación real.
- Juicios o adeudos no revelados.
- Estructura accionaria que no permite identificar al beneficiario controlador.
- Contratista de servicios especializados sin REPSE vigente.
- Negativa a entregar documentos básicos o urgencia injustificada por firmar.
Muchas de estas señales aparecen en fraudes con proveedores. Revisa cómo prevenir fraude con proveedores.
Cómo lo hace ZERO Software Legal Suite
- Z-KYC (validación de identidad): prueba de vida evaluada conforme a ISO/IEC 30107-3, Match ID contra la identificación oficial y lectura de la INE, con la evidencia conservada con NOM-151.
- Z-KYB (verificación de empresas): RFC, opinión 32-D, lista 69-B, SIGER y RUG, prueba de vida del representante legal e identificación de accionistas y beneficiario controlador.
- Z-BG (background check): más de 100 fuentes públicas, listas negras, PEP, 69-B y antecedentes judiciales de personas físicas y morales.
Con la contraparte verificada, el contrato se gestiona y se firma en el mismo expediente. Las herramientas automatizan la recolección y los cruces; la clasificación del riesgo y la decisión siguen siendo de tu equipo de cumplimiento.
Preguntas frecuentes
¿Qué es la debida diligencia reforzada?
Es el nivel de verificación que se aplica a clientes de alto riesgo y a personas políticamente expuestas: más información sobre su actividad, cuestionarios sobre el origen y destino de sus recursos, monitoreo más estricto y, en el caso de PEP de alto riesgo, la aprobación de un directivo para iniciar o mantener la relación.
¿Cuándo se puede aplicar la debida diligencia simplificada?
Solo con clientes clasificados como de riesgo bajo, conforme a los criterios de tu Manual de Políticas Internas, y nunca cuando haya sospecha de lavado de dinero. Aun así, el cliente debe exhibir sus documentos en original o en copia certificada.
¿Due diligence y debida diligencia son lo mismo?
Son la misma expresión en dos idiomas, pero se usan en contextos distintos. “Debida diligencia” suele referirse a la obligación PLD de conocer al cliente según su riesgo. “Due diligence” se usa más para la revisión legal, fiscal y financiera de una empresa antes de contratarla, invertir en ella o comprarla.
¿Cada cuánto se actualiza el expediente de un cliente?
Para quien realiza actividades vulnerables, al menos una vez al año, y el grado de riesgo y el perfil transaccional al menos cada seis meses. Los bancos revisan al menos una vez al año los expedientes de clientes de alto riesgo.
¿Es obligatorio revisar la lista 69-B antes de contratar a un proveedor?
No hay una obligación literal, pero si el proveedor queda en la lista definitiva, sus facturas pierden efectos fiscales y tendrás 30 días para demostrar que la operación existió o corregir tu situación. Revisarla en el alta y de forma periódica es la forma de prevenirlo.
¿Qué pasa si contrato servicios especializados con una empresa sin REPSE?
No podrás deducir el gasto ni acreditar el IVA, serás responsable solidario de sus obligaciones con los trabajadores y con el IMSS, y puedes recibir una multa de 2,000 a 50,000 UMA.
Fuentes
- LFPIORPI, texto vigente (última reforma DOF 16-07-2025): https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPIORPI.pdf
- Reglamento de la LFPIORPI (última reforma DOF 27-03-2026): https://www.diputados.gob.mx/LeyesBiblio/regley/Reg_LFPIORPI.pdf
- Acuerdo 115/2026, Reglas de Carácter General de la LFPIORPI (DOF 07-08-2026): https://dof.gob.mx/nota_detalle.php?codigo=5795797&fecha=07/08/2026
- Disposiciones del art. 115 de la Ley de Instituciones de Crédito, reforma del DOF 28-08-2024: https://dof.gob.mx/nota_detalle.php?codigo=5737473&fecha=28/08/2024
- Disposiciones del art. 115 de la Ley de Instituciones de Crédito, reforma del DOF 10-07-2026: https://dof.gob.mx/nota_detalle.php?codigo=5793357&fecha=10/07/2026
- Código Fiscal de la Federación, art. 69-B: https://www.diputados.gob.mx/LeyesBiblio/pdf/CFF.pdf
- Ley Federal del Trabajo, arts. 12 a 15 y 1004-C: https://www.diputados.gob.mx/LeyesBiblio/pdf/LFT.pdf
- Ley del Seguro Social, art. 15 A: https://www.diputados.gob.mx/LeyesBiblio/pdf/LSS.pdf
- Ley del Impuesto sobre la Renta, art. 27, fr. V: https://www.diputados.gob.mx/LeyesBiblio/pdf/LISR.pdf
- Ley del Impuesto al Valor Agregado, art. 5, fr. II: https://www.diputados.gob.mx/LeyesBiblio/pdf/LIVA.pdf
- Padrón público REPSE (STPS): https://repse.stps.gob.mx/
- Recomendaciones del GAFI, traducción del GAFILAT publicada por el SAT: http://omawww.sat.gob.mx/ActividadesVulnerables/Paginas/documentos/EstandaresInternacionales_sobreLAyFT.pdf
Fecha de última revisión: 18 de octubre de 2026. Este contenido es informativo y no sustituye la asesoría de un especialista en prevención de lavado de dinero, fiscal o laboral.
