La atención de visitas de verificación en Actividades Vulnerables: la puerta no se cierra porque no está el representante legal

Quien realiza una Actividad Vulnerable debe entender algo desde el principio: la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita no sólo impone obligaciones documentales; impone una forma de operar. No basta con tener contratos, expedientes, avisos, acuses y manuales guardados en una carpeta. La verdadera pregunta es si esa información puede localizarse, explicarse y exhibirse cuando la autoridad ejerce sus facultades de verificación.

En materia de prevención de lavado de dinero, el cumplimiento no se presume por decir “sí tenemos todo”. El cumplimiento se acredita. Y se acredita con documentos, procesos, responsables, evidencia y personal capacitado.

Dentro de ese sistema, una obligación que suele pasar inadvertida es la prevista en el artículo 18, fracción V de la LFPIORPI: brindar las facilidades necesarias para que se lleven a cabo las visitas de verificación en los términos de la Ley, su Reglamento y las reglas de carácter general.

La frase parece sencilla, pero en la práctica tiene dientes. No es una cortesía administrativa ni una atención protocolaria. Es una obligación legal. Y su incumplimiento puede detonar sanciones.

I. La Ley General de Responsabilidades Administrativas y su relación con las Actividades Vulnerables

La Ley General de Responsabilidades Administrativas no es la norma que regula directamente el cumplimiento ordinario de quienes realizan Actividades Vulnerables. Ese régimen corresponde a la LFPIORPI, su Reglamento y las reglas de carácter general.

Sin embargo, la LGRA sí debe ser considerada por cualquier sujeto obligado, porque una visita de verificación implica interacción directa con personas servidoras públicas. En esa interacción pueden presentarse riesgos que exceden lo meramente documental: ofrecimientos indebidos, presión sobre verificadores, uso de influencias, entrega de información falsa, alteración de documentos o intentos de manipular el resultado de la diligencia.

La LGRA sanciona a particulares y personas morales cuando incurren en actos vinculados con faltas administrativas graves. Por ello, una empresa que realiza Actividades Vulnerables debe tener claro que la visita no se “arregla”, no se negocia y no se administra con favores. Se atiende conforme a derecho.

La LGRA también aporta una lógica preventiva importante: la existencia de una política de integridad. Esto incluye manuales, controles, sistemas de auditoría, capacitación, códigos de conducta y procedimientos internos. En otras palabras, la LGRA refuerza la idea de que una organización debe contar con una estructura que permita prevenir conductas indebidas y atender adecuadamente sus obligaciones frente a la autoridad.

Tratándose de requerimientos formulados dentro de investigaciones bajo la LGRA, la autoridad investigadora puede conceder un plazo de cinco a quince días hábiles para atenderlos. Ese plazo puede ampliarse por causa debidamente justificada, siempre que se solicite antes de su vencimiento, sin que la ampliación pueda exceder la mitad del plazo originalmente concedido. Así, si la autoridad otorgó diez días hábiles, la prórroga máxima sería de cinco días hábiles; si otorgó quince, la ampliación no podría exceder la mitad de ese plazo.

Pero debe hacerse una precisión fundamental: cuando se trata de una visita o requerimiento en materia de Actividades Vulnerables, el régimen aplicable no es el Código Fiscal ni la LGRA como norma principal. El régimen directo es la LFPIORPI, su Reglamento, las reglas de carácter general y, en lo no previsto, la Ley Federal de Procedimiento Administrativo. El Código Fiscal de la Federación no es supletorio general de la LFPIORPI.

II. El plazo para entregar información en materia LFPIORPI

En materia LFPIORPI, el Reglamento establece una regla clara: tanto la UIF como el SAT pueden requerir directamente a quienes realicen Actividades Vulnerables la información, documentación, datos o imágenes necesarios para verificar el cumplimiento de las obligaciones previstas en la Ley, su Reglamento y las reglas de carácter general.

Dicha información debe remitirse dentro de un plazo de diez días hábiles, contado a partir del día siguiente a aquel en que se reciba el requerimiento.

Ese plazo puede prorrogarse hasta por cinco días hábiles adicionales, siempre que la solicitud de prórroga se presente dentro del plazo original de diez días hábiles.

Esto significa que, en términos prácticos, el plazo máximo ordinario para entregar información en materia LFPIORPI puede llegar a quince días hábiles: diez días originales más cinco días de prórroga.
La prórroga no debe asumirse como automática. Debe solicitarse oportunamente, justificarse y documentarse. Si el sujeto obligado deja vencer el plazo original sin solicitarla, pierde margen de maniobra. Y en cumplimiento, perder el plazo es como perder el elevador en un edificio de cincuenta pisos: se puede subir, pero ya va a doler.

Si el requerimiento no se atiende, o si se contesta de manera incompleta, fuera de plazo o sin proporcionar la información en los términos requeridos, el SAT puede imponer las sanciones administrativas correspondientes. Por eso, la empresa debe tener un sistema de control de requerimientos: fecha de recepción, fecha límite, responsable asignado, documentación solicitada, áreas involucradas, estatus de respuesta, validación legal y evidencia de envío.

III. Brindar facilidades: qué significa realmente

Brindar facilidades para una visita de verificación implica mucho más que abrir la puerta. Significa permitir que la autoridad realice la diligencia dentro del marco legal aplicable, sin obstáculos, evasivas, retrasos injustificados o conductas que impidan la comprobación del cumplimiento.

En términos prácticos, brindar facilidades implica:

• Permitir el acceso cuando la autoridad exhibe orden válida e identificación correspondiente.
• Recibir formalmente la diligencia.
• Designar testigos.
• Acompañar a los verificadores.
• Poner a disposición la documentación directamente relacionada con la Actividad Vulnerable.
• Permitir que se levante el acta correspondiente.
• Formular observaciones cuando proceda.
• Conservar copia de todo lo actuado.
• Activar internamente al representante legal, representante encargado de cumplimiento, dirección general y asesor externo.

También implica no hacer lo que muchas empresas hacen por nervio o desconocimiento: negar la visita, esconder documentos, alegar que “la persona que sabe no está”, bloquear el acceso, llamar a alguien para “ver cómo se arregla”, entregar información sin control o firmar actas sin leer.

La obligación no debe entenderse como sumisión absoluta frente a la autoridad. El sujeto obligado conserva derechos: puede revisar la orden, verificar la identidad de los servidores públicos, limitar la entrega de información al alcance de la diligencia, formular manifestaciones, dejar constancia de irregularidades y ejercer medios de defensa. Pero una cosa es defenderse y otra muy distinta es obstaculizar. La primera es derecho; la segunda puede ser infracción.

IV. La ausencia del representante legal no suspende la visita

Uno de los errores más frecuentes ocurre cuando el personal de recepción, administración o ventas responde: “No se puede atender la visita porque no está el representante legal”.

Ese argumento es peligroso.

La ausencia del representante legal no constituye, por sí misma, una causa legal para impedir la visita de verificación. La diligencia puede entenderse con quien se encuentre en el domicilio y tenga carácter de responsable, encargado u ocupante del establecimiento. Por tanto, si la autoridad se presenta con orden legalmente emitida y con verificadores debidamente identificados, la empresa no puede cerrar la puerta bajo el argumento de que no está el representante legal.

La fórmula correcta no es negar la visita. La fórmula correcta es recibirla conforme a protocolo.

Si no está el representante legal, el personal capacitado debe:

• Recibir a la autoridad.
• Solicitar la orden de visita.
• Solicitar identificación de los verificadores.
• Notificar de inmediato al representante legal, al representante encargado de cumplimiento y al asesor externo.
• Designar a la persona interna que acompañará la diligencia.
• Proponer testigos.
• Evitar declaraciones innecesarias.
• Controlar qué documentación se exhibe o entrega.
• Solicitar que se asienten observaciones en el acta.
• Conservar copia de la documentación relacionada con la diligencia.

Negarse a la visita por ausencia del representante legal puede ser interpretado como falta de facilidades. Y esa falta de facilidades puede actualizar una infracción al artículo 18, fracción V de la LFPIORPI.

La empresa debe entenderlo así: la autoridad puede continuar; el sujeto obligado debe atender. No se trata de improvisar una defensa legal en la recepción, sino de evitar que el desconocimiento del primer empleado que abre la puerta genere una contingencia sancionadora.

V. La jurisprudencia VIII-J-SS-36 y la importancia de tener documentos a la mano

La jurisprudencia VIII-J-SS-36, fijada mediante Acuerdo G/6/2017 por el Pleno Jurisdiccional de la Sala Superior del Tribunal Federal de Justicia Administrativa, resulta especialmente relevante para quienes realizan Actividades Vulnerables.

Este criterio sostiene, en esencia, que quienes realizan Actividades Vulnerables están obligados a identificar a sus clientes o usuarios y a integrar, previo a la operación o al momento de realizarla, el expediente único de identificación correspondiente. También deben identificar al beneficiario dueño o beneficiario controlador conforme a las reglas aplicables.

La parte medular del criterio es contundente: si durante una visita de verificación el sujeto obligado no presenta los expedientes únicos de identificación integrados en tiempo y forma, o no acredita haber solicitado a sus clientes la información relacionada con el beneficiario dueño, se actualiza el incumplimiento de las obligaciones de identificación.

Este criterio es valioso porque elimina una defensa muy común: “sí tenemos los documentos, pero no los encontramos en ese momento”. Para efectos de cumplimiento, un documento que no puede presentarse durante la visita puede generar el mismo efecto práctico que un documento inexistente.

La enseñanza es clara: los expedientes no sólo deben existir; deben estar disponibles, completos, ordenados, actualizados y vinculados con la operación correspondiente.

En materia LFPIORPI, tener expedientes dispersos entre correos electrónicos, carpetas personales, WhatsApp, escritorios físicos y archivos contables sin trazabilidad es una mala práctica. La autoridad no está obligada a reconstruir el cumplimiento del sujeto obligado. Esa carga corresponde a quien realiza la Actividad Vulnerable.

Por eso, la empresa debe contar con un repositorio documental ordenado por cliente, operación, fecha, actividad vulnerable, umbral, aviso, acuse, identificación, beneficiario controlador, forma de pago, contrato, comprobantes, análisis previo y documentación soporte. La visita no es el momento para empezar a buscar. Es el momento para demostrar.

VI. Procedimientos internos: el verdadero seguro regulatorio

Toda persona física o moral que realice Actividades Vulnerables debe contar con un procedimiento específico para atención de visitas de verificación. Ese procedimiento debe estar integrado al Manual de Cumplimiento o, al menos, como política interna complementaria.

El procedimiento debe establecer quién recibe a la autoridad, qué debe revisar, a quién debe avisar, qué documentos puede exhibir, cómo debe integrarse el expediente de visita, quién valida la información, cómo se formulan observaciones al acta, cómo se controlan los plazos y quién autoriza la respuesta a requerimientos posteriores.

La visita debe atenderse con una lógica de control. Cada documento entregado debe quedar relacionado en un inventario. Cada manifestación debe ser revisada. Cada plazo debe registrarse. Cada requerimiento debe tener responsable. Cada observación debe contestarse con evidencia.

Una visita mal atendida puede generar multas, pero también puede abrir la puerta a hallazgos mayores: avisos omitidos, expedientes incompletos, falta de beneficiario controlador, inexistencia de manual, ausencia de capacitación, falta de enfoque basado en riesgos, inconsistencias entre contratos y avisos, o documentación que no permite reconstruir operaciones.

La visita no sólo revisa documentos. Revisa la madurez del sistema de cumplimiento.

VII. Capacitación: no basta con que sepa el representante legal

El representante legal no vive en la recepción. Tampoco duerme en el archivo. Y normalmente no está sentado esperando a que llegue el SAT. Por eso, no basta con que él conozca el procedimiento.
Debe capacitarse al personal que puede tener contacto con la autoridad: recepción, administración, contabilidad, ventas, operaciones, jurídico, cumplimiento y dirección.

La capacitación debe incluir escenarios prácticos:

• Qué hacer si llega una visita.
• Qué hacer si no está el representante legal.
• Cómo revisar una orden de visita.
• Cómo identificar a los verificadores.
• A quién avisar internamente.
• Qué documentos pueden exhibirse.
• Qué no debe decirse.
• Qué no debe entregarse sin control.
• Cómo actuar frente al acta.
• Cómo registrar plazos.
• Cómo evitar actos que puedan interpretarse como obstrucción o corrupción.

La capacitación debe ser simple, práctica y repetible. No se trata de que todos sean abogados; se trata de que nadie cometa el error caro.

VIII. Cinco recomendaciones para quienes realizan Actividades Vulnerables

Primera recomendación: contar con un protocolo escrito de atención de visitas.

El protocolo debe indicar paso a paso qué hacer desde que llega la autoridad hasta que concluye la diligencia. Debe incluir revisión de orden, identificación de verificadores, notificación interna, designación de testigos, control documental, acompañamiento, observaciones al acta y seguimiento posterior.

Segunda recomendación: capacitar a todo el personal que pueda tener contacto con la autoridad.

No basta capacitar al representante legal o al responsable de cumplimiento. Deben estar capacitados recepción, administración, ventas, contabilidad, gerencia y cualquier persona que pueda atender físicamente a los verificadores. El primer contacto puede evitar o provocar una contingencia.

Tercera recomendación: tener expedientes completos y disponibles.

Los expedientes deben estar integrados antes o al momento de realizar la operación, no después de la visita. Deben contener identificación del cliente, beneficiario controlador, documentación soporte, comprobantes, contratos, forma de pago, análisis previo, avisos y acuses, según corresponda. La documentación debe poder localizarse sin una expedición arqueológica.

Cuarta recomendación: implementar un tablero de control de requerimientos y plazos.

Cada requerimiento debe registrarse con fecha de recepción, fecha límite, posible prórroga, responsable, área involucrada, documentación solicitada, estatus y evidencia de cumplimiento. En LFPIORPI, el plazo ordinario es de diez días hábiles, con posible prórroga de hasta cinco días hábiles. No controlar plazos es regalarle argumentos a la autoridad.

Quinta recomendación: prohibir expresamente cualquier gestión indebida ante verificadores.

El protocolo debe establecer que ningún empleado, directivo o tercero puede ofrecer pagos, regalos, favores, comidas, beneficios, influencias o gestiones informales para modificar, retrasar o suavizar la diligencia. La visita se atiende con documentos y procedimiento, no con “relaciones públicas” de pasillo.

IX. Conclusión

La obligación de brindar facilidades para visitas de verificación debe entenderse como una obligación operativa, documental y cultural.

• Operativa, porque exige saber qué hacer cuando llega la autoridad.
• Documental, porque exige tener expedientes integrados, completos y disponibles.
• Cultural, porque exige que todo el personal entienda que el cumplimiento no depende de una persona, sino de un sistema.

La ausencia del representante legal no justifica impedir la visita. Si la autoridad se presenta conforme a derecho, la diligencia debe atenderse con quien se encuentre en el domicilio y pueda actuar como responsable, encargado u ocupante, activando el protocolo interno correspondiente.

La jurisprudencia VIII-J-SS-36 confirma una verdad incómoda para muchos sujetos obligados: no basta decir que se cumplió; hay que acreditarlo en tiempo y forma. Si los expedientes no se presentan durante la visita, el cumplimiento se debilita. Y cuando el cumplimiento se debilita, la sanción se acerca.

En materia de Actividades Vulnerables, la visita de verificación no empieza cuando toca la autoridad. Empieza mucho antes: cuando se diseña el manual, se capacita al personal, se ordenan los expedientes y se controla la operación.

Porque cuando llega la autoridad, ya no es momento de buscar papeles. Es momento de demostrar que la empresa sabe cumplir.

Lic. Alejandro Lozano Curiel

Financial Crime and Compliance
Associate Partner
Crowe México