Dieciocho meses que le cambiaron las reglas al dinero
Entre julio de 2025 y noviembre de 2026, Banxico, la CNBV y Hacienda rehicieron el piso sobre el que operan bancos y fintech en México. Casi nada de esto salió en primera plana. Todo aplica.
El 5 de noviembre de 2026 se publicó en el Diario Oficial la Ley de Economía Digital para Pagos Digitales y Electrónicos. Veintidós artículos, cinco transitorios, y un reloj que ya corre: Hacienda tiene quince días hábiles para publicar en qué sectores los pagos digitales podrán ser la única forma de pago. La prensa la bautizó "la ley que acaba con el efectivo". No es eso. Pero es la pieza que cierra un rediseño que lleva año y medio en marcha y que muy pocas instituciones han leído completo.
He pasado buena parte de mi carrera dentro de instituciones reguladas: bancos y sofipos bajo CNBV y Banxico, farmacéutica bajo COFEPRIS, aviación bajo IATA y AFAC. Y hay un patrón que se repite sin falta. La regulación casi nunca llega como un golpe. Llega como una secuencia de resoluciones en el Diario Oficial que nadie lee junta, hasta que un día un supervisor pregunta algo y resulta que la respuesta tenía que estar lista desde hace ocho meses.
Esto es exactamente lo que pasó entre 2025 y 2026. No hubo una reforma financiera estelar. Hubo docenas de resoluciones, circulares y proyectos que, sumados, cambiaron el expediente del cliente, el costo de cobrar con tarjeta, los requisitos de capital, la obligación antilavado y la definición misma de qué cuenta como identificación válida.
Aquí está todo junto, con fechas y números. Y al final, lo que a mi juicio ninguna app puede descuidar — porque el riesgo real no está en las multas, está en los tres frentes donde una institución digital se cae de verdad.
La "ley de efectivo" no prohíbe el efectivo
Empecemos por deshacer el malentendido, porque está circulando mucho y mal.
La Ley de Economía Digital no establece límites de monto para pagar en efectivo y no lo prohíbe en general. Lo que hace es otra cosa, y en algunos aspectos más profunda. Su artículo 1 fija el objeto: promover la adopción de medios de pago digitales y electrónicos, entendidos como códigos QR, dispositivos NFC, tarjetas de débito y crédito y transferencias.
El reparto de obligaciones es asimétrico y vale entenderlo bien:
- El gobierno quedó obligado de inmediato. El artículo 10 exige que los tres órdenes —federal, estatal y municipal— acepten pagos digitales en sus trámites y servicios desde la entrada en vigor, sin periodo de transición. El artículo 12 añade que deben habilitar la infraestructura, informar qué medios aceptan y atender contingencias.
- Los privados, por ahora, es voluntario. El artículo 11 deja la aceptación a criterio del proveedor mientras Hacienda no lo incluya en la lista de sectores estratégicos. Ahí está la bisagra de toda la ley.
- Hay dos relojes de quince días hábiles. El artículo 13 le da a la SHCP quince días hábiles desde la publicación para determinar los sectores y actividades donde el pago digital podría ser la única forma de pago. El artículo 14 le da después a la autoridad de cada sector otros quince días hábiles para emitir las condiciones, requisitos y plazos de transición gradual.
La ley no fija criterios para esa selección de sectores, lo que concentra una discrecionalidad considerable en Hacienda. La presidenta anticipó que empezarían por gasolineras y casetas de peaje, aunque eso es una declaración y no texto normativo.
El artículo que convierte tu disponibilidad en obligación legal
Hay dos artículos que, leídos juntos, le cambian el peso a cualquier área de tecnología. El artículo 15 permite usar efectivo o cheque ante una "contingencia": un evento extraordinario, imprevisto o inevitable, de caso fortuito o fuerza mayor, que afecte temporalmente la infraestructura o los sistemas de pago. Suena a alivio. El artículo 16 es el que importa: las contingencias no justifican incumplir de manera permanente o recurrente.
Traducido a lenguaje de operación: tu disponibilidad deja de ser un indicador interno y se convierte en evidencia de cumplimiento. Una caída aislada está cubierta. Un patrón de caídas, no.
Hay un bloque más, poco comentado, sobre identidad: el artículo 5 reconoce la CURP Digital como mecanismo de confianza ante entidades financieras, con el artículo 6 preservando otras identificaciones oficiales; y los artículos 7 y 9 permiten consultar el Expediente Digital Ciudadano con autorización del usuario, dándole a los documentos digitales los mismos efectos jurídicos que a los físicos. El artículo 19, por su parte, faculta a Banxico para regular cuentas a la vista, programas de transferencias electrónicas y la homologación de aplicaciones financieras.
Ley de Economía Digital para Pagos Digitales y Electrónicos, DOF 5 de noviembre de 2026. Firmada el 4 de noviembre; aprobada por el Congreso el 20 de octubre de 2026.
Cuotas de intercambio: la historia de cómo el regulador recalibró
Si solo vas a seguir un expediente regulatorio de este periodo, que sea este. Es el que más dinero mueve y el que mejor muestra cómo funciona la negociación regulatoria real en México.
Punto de partida: hoy la cuota de intercambio —lo que el banco adquirente paga al emisor por cada transacción— se pacta entre emisores, adquirentes, cámaras y marcas, y se registra ante Banxico. El tabulador vigente de crédito va aproximadamente de 1.03% a 1.76% según el giro: 1.12% en colegios y universidades, 1.17% en comida rápida, 1.28% en farmacias, 1.45% en telecomunicaciones, 1.51% en transporte aéreo, 1.53% en grandes superficies, 1.54% en aseguradoras, 1.58% en hoteles.
24 de octubre de 2025. La CNBV pone a consulta un proyecto que cae como una bomba en el sector: tope de 0.6% en crédito y de 0.3% con máximo de 1 UDI en débito. Para dimensionarlo, eso implicaba recortar la cuota a menos de la mitad en casi todos los giros. El proyecto traía además un paquete de interoperabilidad, conductas prohibidas, garantías y derecho de audiencia de 20 días hábiles.
27 de abril de 2026. Antes de resolver el proyecto grande, CNBV y Banxico publican en la edición vespertina del DOF la Disposición 10ª Bis, dentro de un acuerdo tripartito coordinado por Hacienda con la ABM y la ASEVAL: un régimen especial que elimina la cuota de intercambio en gasolineras del 1 de mayo al 31 de octubre de 2026, con la disposición derogándose automáticamente al cierre de ese plazo. Dado que la cuota representa cerca del 80% de la comisión total, el efecto fue inmediato. Banxico exceptuó esta medida del proceso de consulta pública.
27 de agosto de 2026. Llega la segunda versión del proyecto, y el regulador cedió terreno de forma sustancial:
| Instrumento | Oct 2025 | Ago 2026 · versión vigente del proyecto |
|---|---|---|
| Crédito | 0.60% | Tope de 1.30% por operación, más un límite acumulado anual de 1.00% del monto total procesado. Arranca en 1.65% y baja en tres etapas anuales. |
| Débito | 0.30% y 1 UDI | Tope de $10.80 por operación, más un acumulado anual de 0.30% del monto procesado. |
El tope de crédito pasó de 0.60% a 1.30%: más del doble. Y la implementación dejó de ser inmediata para volverse gradual a tres años. La versión nueva conserva —y en algunos casos endurece— el resto: amplía el catálogo de conductas anticompetitivas a prácticas internas y externas de la red, obliga a liquidar al comercio el mismo día en que adquirentes y agregadores reciben los fondos, prohíbe retener recursos o condicionar la liquidación a la compra de otros productos, y hace a las marcas responsables solidarias con los emisores, con obligación de liquidar el mismo día en que un emisor incumpla.
Por qué esto le pega a las fintech más que a los bancos
La cuota de intercambio es ingreso del emisor. Para un banco grande con negocio diversificado es una línea entre muchas. Para un emisor digital cuyo modelo se construyó sobre volumen de tarjeta, es una porción material del margen. Cuando se publicó la propuesta, los análisis del mercado estimaron impactos de doble dígito en la utilidad de algunos jugadores digitales.
Y aquí está el punto que me interesa como tema de gobierno corporativo: un modelo de negocio cuya rentabilidad depende de que un precio regulado no se mueva no es un modelo de negocio. Es una apuesta a la inacción del regulador. Esa apuesta llevaba años pagando. Dejó de pagar.
El expediente del cliente se volvió biométrico
Julio de 2026 concentró, en dos semanas, el cambio más profundo al onboarding digital en años. Tres resoluciones de tres autoridades distintas, que solo tienen sentido leídas en secuencia.
| Fecha | Autoridad | Qué cambió |
|---|---|---|
| 17 jun 2026 | Banxico | Circular 11/2026 crea el nivel 2 bis de cuentas a la vista —quinto nivel del esquema—, exclusivo para personas físicas mexicanas residentes en México, con depósitos de hasta 15,000 UDIs mensuales, de los cuales máximo 3,000 UDIs pueden ser en efectivo. |
| 17 jun 2026 | Banxico | Circulares 9/2026 y 10/2026 homologan la experiencia de usuario en transferencias móviles, mediante guías técnicas que Banxico publica en su sitio. |
| 1 jul 2026 | CNBV | Reforma de biométricos: obliga a notificar a la CNBV la constitución de bases biométricas o la suspensión de su uso; suma los rasgos faciales a las huellas; exige evidencia de cotejo contra registros del INE, SRE, autoridad fiscal u otros federales; prohíbe compartir estos datos con terceros salvo lo permitido por la Ley para Regular las Agrupaciones Financieras; obliga a borrarlos si se suspende el uso; e impone una validación de seguridad anual. La CNBV puede ordenar la suspensión parcial o total por fallas técnicas, operativas o de seguridad. |
| 10 jul 2026 | SHCP | Reforma a las disposiciones del artículo 115 de la Ley de Instituciones de Crédito: incorpora la CURP biométrica —huellas y fotografía— como identificación válida junto a la credencial de elector, el pasaporte y la matrícula consular; mete las cuentas nivel 2 bis al régimen antilavado con tratamiento equivalente al nivel 3; y exige prueba de vida en aperturas remotas con tecnología aprobada por la CNBV. |
| 14 jul 2026 | CNBV | Alinea la Circular Única de Bancos con lo anterior y define formalmente la prueba de vida como la verificación técnica de que la muestra biométrica proviene de una persona viva presente al momento de la captura. |
El dato biométrico que viene de fuera del sistema financiero
Hay una pieza anterior que explica todo lo demás, y que no salió de Banxico ni de la CNBV. El 16 de julio de 2025 —el mismo día que la reforma antilavado— se publicó en el DOF el decreto que reforma la Ley General de Población para incorporar fotografía, huellas dactilares y escaneo de iris al registro nacional de identidad. De ahí nace la CURP biométrica, que tramitan RENAPO y los Registros Civiles. La fase piloto corrió desde julio de 2025 en Veracruz, Ciudad de México y Estado de México, y la apertura nacional en módulos comenzó en enero de 2026.
Cuidado con esto: aceptarla no es lo mismo que exigirla
Circula mucha información que afirma que la CURP biométrica es obligatoria para abrir cuentas. Conviene no construir el flujo sobre ese supuesto. Lo que está firme es que la reforma del 10 de julio de 2026 la incorporó como identificación válida, junto a la credencial de elector, el pasaporte y la matrícula consular. No la volvió la única vía. Y en sentido contrario apunta la propia Ley de Economía Digital, cuyo artículo 6 preserva expresamente el derecho del usuario a identificarse con otra identificación oficial. La presidenta declaró públicamente en agosto de 2025 que no sería obligatoria como identificación oficial: "la gente decide".
La lectura operativa para cualquier app: tienes que poder aceptarla, y no puedes convertirla en el único camino. Un onboarding que solo funciona con CURP biométrica es, al mismo tiempo, un problema de cumplimiento y un embudo de conversión que estás cerrando por tu cuenta.
Juntas, estas piezas significan algo concreto: el onboarding remoto dejó de ser un problema de experiencia de usuario y se volvió un problema de arquitectura de seguridad con reporte obligatorio al supervisor. Si tu app abre cuentas de forma remota, ahora tienes una base de datos biométrica que la autoridad sabe que existe, que no puedes compartir, que debes validar cada año y que puedes ser obligado a apagar.
Dos cambios más del mismo periodo que suelen pasarse por alto. El 12 de junio de 2026 la CNBV facilitó el crédito a pymes y consumo: permite reutilizar documentación vigente del expediente para nuevas operaciones, acepta Firma Electrónica Avanzada, admite verificación electrónica no presencial de garantías y —esto es relevante para modelos de datos— autoriza evaluar la capacidad de pago considerando al menos los últimos tres meses de cargos y abonos en cuentas que la propia institución administre, para créditos de consumo y comerciales por debajo de 4 millones de UDIs. Y el 1 de septiembre de 2026 se ajustaron las reglas de comisionistas de base tecnológica: los mensajes de texto se admiten como canal para factores de autenticación Categoría 3, y se exige un vínculo visible que redirija al cliente a los sistemas de la institución para cambiar sus factores.
Antilavado: la reforma que muchos no terminaron de aterrizar
Esta es, con diferencia, la que más expone a las empresas — y la que menos atención recibió, porque se publicó en julio de 2025 con obligaciones escalonadas que algunos interpretaron como "después lo vemos".
El decreto que reforma la LFPIORPI y el artículo 400 Bis del Código Penal Federal se publicó en el DOF el 16 de julio de 2025 y entró en vigor al día siguiente. Lo esencial:
- Beneficiario controlador: el umbral bajó de más del 50% a más del 25% del capital, incluyendo derechos de voto. Y el nuevo capítulo aplica a todas las sociedades mercantiles, realicen o no actividades vulnerables. Hay que registrar la información en el sistema electrónico de la Secretaría de Economía y responder a requerimientos de autoridad. La multa por incumplir va de 2,000 a 10,000 UMA.
- La retención documental pasó de cinco a diez años. Un cambio de una línea que obliga a rediseñar políticas de archivo y, en la práctica, la arquitectura de almacenamiento.
- Activos virtuales: las entidades no financieras que ofrezcan habitualmente intercambio de activos virtuales deben dar aviso cuando cobren una contraprestación de 4 UMA o más.
- Instrumentos de almacenamiento de valor monetario: umbral de 645 UMA por operación, se emitan, comercialicen o abonen.
- Desarrollos inmobiliarios: recibir recursos para desarrollos es ahora actividad vulnerable, con umbral de aviso de 8,025 UMA.
- Culpa punible: los delitos cometidos por negligencia ya son sancionables, salvo corrección voluntaria previa al conocimiento de la autoridad. Y existe una condonación por única ocasión si la entidad corrige antes de que inicie la verificación y lo reconoce en el plazo del procedimiento.
La SHCP, con opinión del SAT, tiene hasta doce meses para adecuar las reglas de carácter general, y las obligaciones nuevas de las fracciones VII a XI del artículo 18 entran según el calendario que esas reglas fijen. Esa dependencia es justamente lo que ha generado la falsa sensación de holgura: el marco ya está vigente; lo que falta es el detalle operativo de una parte.
En paralelo, el 16 de marzo de 2026 la UIF y la CNBV firmaron un convenio de colaboración que no crea obligaciones nuevas pero sí cambia el ritmo de la supervisión: intercambio más rápido de información, grupos de trabajo interinstitucionales, supervisión basada en riesgo coordinada y fortalecimiento tecnológico para administrar y consultar la Lista de Personas Bloqueadas. El efecto práctico: se acorta la distancia entre una falla de consulta y su detección.
El antecedente que explica la urgencia
Nada de esto ocurre en el vacío. El 25 de junio de 2025, la unidad FinCEN del Departamento del Tesoro de Estados Unidos señaló a CIBanco, Intercam y Vector como instituciones de preocupación principal en materia de lavado de dinero. La CNBV publicó multas por 185.7 millones de pesos derivadas de visitas de inspección de 2023 y 2024. El desenlace fue rápido: CIBanco solicitó la revocación voluntaria de su licencia y entró en liquidación el 10 de octubre de 2025 con el IPAB como liquidador, que garantizó el pago al 99.4% de los ahorradores; la autorización de Vector fue revocada en diciembre de 2025.
Tres instituciones dejaron de existir en menos de un año. Y la advertencia correctiva no vino del consejo, ni del auditor, ni del supervisor local.
Capital y riesgo: Basilea llegó en serio
Para quien se sienta en un consejo o en un comité de riesgos, el bloque de marzo y mayo de 2026 es el que cambia los números del balance.
26 de marzo de 2026. La CNBV publica en el DOF varias resoluciones a la Circular Única de Bancos. La más importante introduce el output floor de Basilea: los activos ponderados por riesgo de crédito serán el mayor valor entre el resultado de los métodos internos autorizados y el 72.5% del cálculo bajo método estándar. En términos llanos, se le pone un piso al beneficio que un banco puede obtener de sus propios modelos. Los bancos deben aplicarlo a partir del 1 de enero de 2028, que es el periodo de transición real. La misma fecha trajo una reforma al artículo 61 que facilita solicitar excepciones a la deducción de capital por exceder límites de grandes exposiciones, siempre con un plan calendarizado de corrección supervisado por la CNBV; y un ajuste al capital fundamental, donde las aportaciones futuras solo cuentan si cumplen la NIF C-11 y fueron aprobadas por los accionistas en los doce meses previos.
18 de mayo de 2026. Cambia el cálculo del suplemento de capital para instituciones de importancia sistémica local: pasa a ser el mayor entre 10% de los activos ponderados por riesgo totales y 3.75% de los activos ajustados, menos 3.5% de los APR, con deducción admisible donde existan compromisos creíbles de recapitalización.
Del lado de Banxico, el periodo acumuló circulares relevantes: las 1/2026, 2/2026 y 3/2026 del 7 de enero (requisitos de margen en derivados, extensión del código LEI a fondos de inversión, sofomes, almacenes generales de depósito y aseguradoras, y ampliación de garantías elegibles en operaciones de mercado abierto a Bonos UMS, deuda de banca de desarrollo y valores del Tesoro estadounidense); la 8/2026 del 15 de junio, que incorpora subastas de compra de BONDES y Cetes como herramienta de política monetaria; y la 12/2026 del 13 de octubre, que reconfigura el préstamo de valores creando las figuras de agente de préstamo de valores y agente tripartita.
Y un expediente abierto que conviene vigilar
El 27 de agosto de 2026 Banxico puso a consulta un proyecto que rehace la regulación de las cámaras de compensación para pagos con tarjeta. Sigue siendo proyecto, no norma vigente, pero marca con claridad hacia dónde va el regulador: obliga a incluir en el objeto social el intercambio de instrucciones de pago con otras cámaras; crea "condiciones de interoperabilidad" con lineamientos y convenios sujetos a aprobación de Banxico; exige un plan de enlace aprobado, con pruebas técnicas y posible verificación por un tercero independiente; prohíbe cobrar tarifas distintas por participante y elimina los descuentos por volumen; amplía las actividades restringidas para incluir el bloqueo o rechazo injustificado de pagos y el enrutamiento discriminatorio; y exige oficial de cumplimiento antimonopolio, comités independientes, auditoría de ciberseguridad con rotación de auditor, infraestructura segregada para enrutamiento, compensación y liquidación, y un mecanismo de provisión de liquidez con simulaciones anuales reportadas a Banxico.
El año en que una sofipo se volvió banco — y otra desapareció
Las dos caras del sector no bancario en dieciocho meses. Vale contarlas juntas porque la lección está en el contraste.
La subida. El 10 de julio de 2026 la CNBV autorizó a Nu México a iniciar operaciones como banco, tras un proceso supervisado por la propia Comisión, Banxico y Hacienda. Las cifras al momento del anuncio: más de 15 millones de clientes —cerca del 15% de la población adulta—, unos 12,000 clientes nuevos al día, más de 5,900 millones de dólares en depósitos al primer trimestre de 2026, y punto de equilibrio alcanzado en ese mismo trimestre. La regulación le dio treinta días naturales para completar la transformación de sofipo a banco. Entró al mercado en 2019 y lanzó su primer producto en 2020.
La caída. En abril de 2025, la sofipo CAME cerró sus oficinas y dejó a sus ahorradores sin acceso a sus recursos durante meses, después de haber ofrecido rendimientos de hasta 15% para captar depósitos. Hacienda, a través de la CNBV, le revocó la licencia por irregularidades contables, intervino la sociedad y comenzó a pagar mediante el fondo de protección. El fondo cubre hasta 25,000 UDIs por ahorrador —alrededor de 220,740 pesos—, de modo que cerca de 800 ahorradores con más de 200,000 pesos depositados quedaron fuera de ese pago.
El pago mermó el fondo. El regulador pidió entonces aportaciones extraordinarias a las 30 sofipos en operación, incluidas las que estaban en proceso de obtener licencia bancaria. Aportaron más de 500 millones de pesos y el fondo quedó en 1,099.7 millones. Para dimensionar la brecha: la Asociación Mexicana de Sofipos reportaba 35.8 millones de clientes en el sector al cierre de 2025.
Un rendimiento de 15% no es una ventaja competitiva. Es una declaración sobre el riesgo que alguien decidió no explicarle a sus ahorradores.
Jorge Mercado · #JMCoachEn paralelo, dos cambios con efecto directo sobre el usuario. El 7 de noviembre de 2025 Banxico extendió el régimen de cálculo del CAT a las instituciones de financiamiento colectivo, y endureció su presentación: en publicidad visual el CAT debe aparecer al menos al 100% del elemento visual más prominente. Y el 12 de noviembre de 2025, una reforma a la Ley de Transparencia y Ordenamiento de los Servicios Financieros declaró nula de pleno derecho la emisión de tarjetas de débito y crédito sin consentimiento expreso del usuario, prohibió cobros por servicios, seguros o membresías no autorizados en el contrato de adhesión, y obligó a habilitar la cancelación en persona, por teléfono y de forma digital —con un botón visible 24/7—, procesándola en cinco días hábiles con devolución de lo cobrado indebidamente.
¿Y los pagos digitales están creciendo?
Sí, pero menos de lo que la narrativa sugiere, y ese contraste es importante frente a la Ley de Economía Digital. Según el Informe Anual sobre Infraestructuras de los Mercados Financieros de Banxico, con cifras al cierre de 2025: DiMo, lanzado en 2023, acumula 16.4 millones de usuarios registrados pero solo 3.1 millones de operaciones interbancarias en todo 2025. CoDi suma cerca de 19 millones de operaciones acumuladas desde su creación, con 4.4 millones en 2025 y un máximo de 12,700 transacciones diarias en octubre de ese año; lo habilitan 32 participantes de SPEI y lo usan 86 entes públicos.
Dicho de otro modo: millones de usuarios registrados, muy pocas operaciones por usuario. El problema no fue de adopción nominal, fue de uso. Y eso explica la decisión que sigue.
El plazo que vence en diciembre: CoDi, DiMo y QR dentro de la misma app
Este es el cambio más inmediato de todo el artículo y el que menos tiempo deja. La Circular 9/2026, que incorpora las guías de experiencia de usuario a la Circular 14/2017, fija el 14 de diciembre de 2026 como plazo improrrogable para que los participantes de SPEI —y los participantes indirectos vinculados contractualmente— reconfiguren sus plataformas digitales. El alcance cubre los flujos de transferencias, DiMo, CoDi y códigos QR. La Circular 10/2026 extiende el criterio a transferencias entre cuentas de la misma institución o de instituciones distintas.
Lo que debe quedar homologado, según lo reportado sobre la guía:
- Un botón de transferir en lugar claramente visible dentro de la app.
- Un flujo lineal de no más de cuatro pasos: verificación de identidad, captura de información, confirmación de datos y notificación del estado.
- Validación reforzada antes del envío, para que el cliente pueda revisar la operación.
- Clave de rastreo inmediata y vínculo para descargar el Comprobante Electrónico de Pago.
- Explicación clara cuando una transferencia falla, se cancela o es rechazada — no un código de error.
- Identificadores de destino más allá de la CLABE: número de tarjeta de débito a 16 dígitos, teléfono vinculado, número de cuenta interno, códigos QR, contactos del teléfono y listas de beneficiarios guardados.
- Nombre de la institución receptora en tiempo real al capturar una CLABE.
Vale detenerse en lo que esto implica, porque es más profundo de lo que parece. Banxico dejó de regular solo el qué —montos, plazos, comisiones— y empezó a regular el cómo: cuántos pasos, qué botón, qué mensaje de error. El diseño de producto se volvió materia regulada. Para un equipo que tenía su roadmap cerrado hasta marzo, esto es una reorganización de prioridades con treinta y pocos días de margen, y toca justo las pantallas de mayor tráfico de la aplicación.
La reforma que no llegó: "Ley Fintech 2.0"
Cierro este bloque con una aclaración necesaria, porque circula como si existiera. No hay una "Ley Fintech 2.0": no es ley, y hasta donde es verificable públicamente, tampoco es todavía una iniciativa formalmente presentada. La ley vigente sigue siendo la Ley para Regular las Instituciones de Tecnología Financiera, publicada el 9 de marzo de 2018, con última reforma en el DOF el 14 de noviembre de 2025.
Lo que existe es un proyecto impulsado por la industria, con mesas de trabajo apenas en formación y pláticas reportadas con la Comisión de Economía del Senado. La meta declarada era presentarlo en octubre de 2026. Cuatro cambios concentran la discusión:
- Los "modelos novedosos" que nunca sirvieron. La ley de 2018 creó una vía de autorización temporal acelerada para modelos innovadores y no se ha aprobado ni una sola desde entonces, porque el concepto quedó ambiguo. Un estudio de Cofece documentó además que no hay concursos de innovación desde 2022.
- Los tiempos de autorización. El promedio ronda los 777 días para una IFPE y 878 para una IFC, con casos que esperaron más de 1,750 días. Al 30 de septiembre de 2026 hay 88 instituciones de tecnología financiera autorizadas desde 2018: 61 IFPE y 27 IFC.
- Autonomía de la CNBV. Se propone autonomía técnica, presupuesto propio en lugar de asignación federal, y servicio civil de carrera similar al de Banxico. El presupuesto aprobado para 2026 fue de unos 1,507 millones de pesos, prácticamente plano.
- Criptoactivos y stablecoins. La ley reconoce activos virtuales pero nunca contempló monedas estables. Aquí sí hay una iniciativa formal, aunque por otra vía: el 6 de mayo de 2026 el senador Alejandro Murat presentó en el Senado una propuesta que crea la figura de "Activos Virtuales Estables" con paridad 1:1 al peso y reservas líquidas del 100%, reformando la Ley de Instituciones de Crédito y la Ley del Mercado de Valores —no la Ley Fintech—, y reservando la emisión a bancos e IFPEs autorizadas, lo que deja fuera a las startups.
Por qué esto importa más de lo que parece
Si alguien en tu organización está esperando la reforma para ajustar la operación, está esperando la señal equivocada. Casi todo lo que una Ley Fintech 2.0 iba a resolver está llegando por otra puerta: por circular de Banxico, por resolución a la Circular Única, y por la Ley de Economía Digital, cuyo artículo 19 ya facultó a Banxico para regular cuentas a la vista, programas de transferencias electrónicas y la homologación de aplicaciones financieras.
La regulación que ya te aplica se publicó en 2025 y 2026. Ninguna se llamó Ley Fintech.
Lo que ninguna app puede descuidar
Aquí cierro con lo que me parece más útil y lo que más he visto fallar. No son recomendaciones genéricas: cada punto se desprende de algo que cambió en estos dieciocho meses. Los agrupo en los tres frentes donde una institución digital se cae de verdad.
Prevención de lavado de dinero
El frente donde la sanción se calcula sobre el valor de la operación, no como multa fija.
- Consulta la Lista de Personas Bloqueadas en tiempo real, no en proceso nocturno. Con el convenio UIF-CNBV, la distancia entre una consulta fallida y su detección se acortó. Un batch que corre a medianoche deja una ventana de horas en la que tu institución ya operó.
- Rehaz el mapeo de beneficiario controlador al umbral de 25%. Si tu política sigue calibrada al 50% anterior, tienes un universo de clientes y contrapartes mal clasificado desde julio de 2025. Y aplica a todas las sociedades mercantiles, no solo a las de actividad vulnerable.
- Verifica que tu política de retención documental diga diez años, no cinco. Es el cambio más fácil de pasar por alto y el más costoso de corregir retroactivamente: los documentos que ya borraste no se recuperan.
- Integra la CURP biométrica y la prueba de vida al expediente, con evidencia de cotejo. No basta ejecutar la validación: hay que poder demostrar contra qué registro federal se cotejó y cuándo. Guarda fecha y hora del procedimiento. Y acéptala como una opción más, nunca como la única: el usuario conserva el derecho a identificarse con otra identificación oficial.
- Si tocas activos virtuales o instrumentos de valor almacenado, revisa tus umbrales de aviso. Cuatro UMA para intercambio de activos virtuales y 645 UMA para instrumentos de almacenamiento de valor son umbrales bajos: muchas operaciones cotidianas los cruzan.
- Aprovecha la corrección voluntaria antes de que inicie una verificación. La reforma incorporó una condonación por única ocasión y reducciones de hasta 50% en correcciones voluntarias. Es un activo que se pierde el día que el supervisor llega primero.
Riesgo tecnológico
Donde tu disponibilidad dejó de ser un KPI interno y se volvió evidencia de cumplimiento.
- Si estás en SPEI, el 14 de diciembre es ahora tu prioridad uno. La homologación de transferencias, DiMo, CoDi y QR no admite prórroga, y toca las pantallas de mayor tráfico de tu app. Si el roadmap no se reorganizó todavía, ya vas tarde: no es un cambio de interfaz, es un cambio de flujo con validaciones, comprobantes y mensajes de error nuevos.
- Mide la recurrencia de tus contingencias, no solo su duración. El artículo 16 de la Ley de Economía Digital sanciona el incumplimiento permanente o recurrente. Eso significa que tres caídas cortas en un trimestre pueden pesarte más que una larga y bien documentada.
- Documenta cada contingencia como expediente, no como ticket. Causa raíz, duración, medio de pago alterno habilitado, comunicación al usuario y acción correctiva. El día que te pregunten, el ticket de operación no va a alcanzar.
- Inventaria tus terceros críticos y su concentración. Procesador, cámara de compensación, proveedor de biométricos, nube. Si un solo proveedor puede detener tu capacidad de cobrar, tu continuidad no es tuya.
- Prepara la validación anual de seguridad de tus bases biométricas. La CNBV puede ordenar la suspensión parcial o total del uso de biométricos por fallas técnicas, operativas o de seguridad. Para una app cuyo onboarding depende de ellos, esa suspensión es equivalente a dejar de vender.
- Si tu modelo de crédito usa cargos y abonos de cuentas propias, trata ese dato como regulado. La facilidad de junio de 2026 abre esa puerta, pero el dato que alimenta una decisión de crédito es dato sujeto a validación, linaje y auditoría. Un modelo entrenado sobre datos sin control de calidad es un hallazgo esperando su visita de inspección.
- Ten un plan de enlace e interoperabilidad antes de que sea obligatorio. El proyecto de cámaras de compensación ya adelanta planes de enlace aprobados y pruebas técnicas verificables. Quien lo tenga listo lo cumple; quien no, lo improvisa con fecha encima.
Ciberseguridad
Donde el daño no se mide en multas, sino en confianza que no regresa.
- Segrega la infraestructura por función. Enrutamiento, compensación y liquidación separados. Es lo que el proyecto de Banxico ya exige a las cámaras, y es buena arquitectura con o sin norma: reduce el radio de impacto de un incidente.
- Clasifica tu información y haz auditoría de ciberseguridad con rotación de auditor. El mismo auditor año tras año deja de ver lo que ya normalizó. La rotación no es burocracia; es diseño contra el punto ciego.
- Blinda los datos biométricos contra el flujo hacia terceros. La prohibición de compartirlos es explícita, con excepciones acotadas. Revisa integraciones, SDKs de proveedores y logs: los datos se fugan por donde nadie los buscó, no por la puerta principal.
- Implementa el borrado verificable. Si se suspende el uso de biométricos, hay obligación de eliminarlos. Borrado verificable significa poder demostrar que se borraron, incluidos respaldos y ambientes de prueba — que es donde casi siempre sobreviven.
- Revisa tus factores de autenticación y el canal de cambio. Con la apertura de SMS como canal Categoría 3 y la obligación de un vínculo visible para cambiar factores, ese flujo se vuelve blanco preferente de ingeniería social. Que sea visible no significa que deba ser fácil de explotar.
- Haz del botón de cancelación 24/7 un control, no un formulario. La reforma a la LTOSF lo exige y da cinco días hábiles para procesar. Un canal de cancelación mal autenticado es una vía de fraude; uno mal operado es una queja ante la autoridad. Tiene que ser ambas cosas: accesible y seguro.
Ninguno de estos tres frentes se gana con una herramienta. Se ganan con alguien que tenga autoridad para decidir cuando cumplimiento, tecnología y negocio entran en tensión.
Lo que de verdad cambió
Si tuviera que resumir estos dieciocho meses en una frase, no diría que México reguló más. Diría algo distinto: la regulación mexicana pasó de pedir políticas a pedir evidencia.
Antes se preguntaba si tenías un manual de cumplimiento. Ahora se pregunta contra qué registro federal cotejaste esa huella, a qué hora, con qué tecnología aprobada, y si puedes demostrarlo. Antes se pedía un plan de continuidad. Ahora la recurrencia de tus caídas es materia de ley. Antes la cuota de intercambio se pactaba entre privados. Ahora tiene un tope propuesto, un calendario y una autoridad que ya demostró —en gasolineras, en cuestión de días y sin consulta pública— que puede intervenir un precio cuando decide hacerlo.
Para una institución bien llevada, nada de esto es malo. La mayoría de estos requisitos son prácticas que un buen comité de riesgos ya tenía. El problema es para quien construyó su operación sobre la zona cómoda de lo no verificable: el expediente que se completaba después, el dato que nadie cruzaba, la caída que se atribuía al proveedor, el margen que dependía de que un precio regulado no se moviera.
Esa zona se está cerrando. Y se cierra de la misma manera en que he visto cerrarse en banca, en salud y en aviación: no con una prohibición, sino con la obligación de demostrarlo con un dato.
Ninguna de estas resoluciones salió en primera plana. Ninguna por sí sola obliga a rediseñar nada. Juntas rehicieron el piso: el expediente del cliente, el costo de cobrar, el capital que respalda el riesgo, el plazo que guardas los documentos y la definición de quién es tu beneficiario controlador. La pregunta para cualquier consejo no es si está al día con la norma. Es si alguien en la organización leyó estos dieciocho meses completos, en orden, y entendió que son un solo movimiento.
Fuentes: Ley de Economía Digital para Pagos Digitales y Electrónicos, DOF 5 de noviembre de 2026 · Decreto de reformas a la LFPIORPI y al art. 400 Bis del Código Penal Federal, DOF 16 de julio de 2025 (análisis de KPMG México y EY México) · CNBV, resoluciones modificatorias a las Disposiciones de carácter general aplicables a las instituciones de crédito publicadas en el DOF los días 26 y 27 de marzo, 10 y 27 de abril, 5 y 12 de junio, 1, 2 y 14 de julio, y 1 de septiembre de 2026 · CNBV, Disposición 10ª Bis a las Disposiciones aplicables a las redes de medios de disposición, DOF edición vespertina del 27 de abril de 2026 · CNBV, proyectos de disposiciones para redes de medios de disposición del 24 de octubre de 2025 y 27 de agosto de 2026 · Banxico, Circulares 1/2026, 2/2026 y 3/2026 (7 de enero), 8/2026 (15 de junio), 9/2026, 10/2026 y 11/2026 (17 de junio) y 12/2026 (13 de octubre) · Banxico, proyecto de reglas para cámaras de compensación de pagos con tarjeta, 27 de agosto de 2026 · Banxico, tabulador vigente de cuotas de intercambio y Disposiciones sobre la metodología de cálculo del CAT (7 de noviembre de 2025) · Banxico, Informe Anual sobre las Infraestructuras de los Mercados Financieros, cifras al cierre de 2025 · SHCP, resolución modificatoria a las disposiciones del art. 115 de la Ley de Instituciones de Crédito, 10 de julio de 2026 · Reforma a la Ley de Transparencia y Ordenamiento de los Servicios Financieros, 12 de noviembre de 2025 · Convenio de colaboración UIF-CNBV, 16 de marzo de 2026 (SHCP, Comunicado 22) · FinCEN, Departamento del Tesoro de EE. UU., señalamiento del 25 de junio de 2025; CNBV, sanciones publicadas en julio de 2025; IPAB, proceso de liquidación de CIBanco · Nu México, comunicado del 10 de julio de 2026 · Asociación Mexicana de Sofipos y CNBV, sobre el Fondo de Protección y el caso CAME (Expansión, abril de 2026) · Compilaciones mensuales de regulación financiera de BBVA Research México, noviembre de 2025 y octubre de 2026 · Decreto de reformas a la Ley General de Población, DOF 16 de julio de 2025, que incorpora fotografía, huellas e iris al registro nacional de identidad · Cobertura del plazo del 14 de diciembre de 2026 derivado de la Circular 9/2026 (El Informador, 19 de septiembre de 2026; Fintech Expert; El Universal) · Ley para Regular las Instituciones de Tecnología Financiera, DOF 9 de marzo de 2018, última reforma DOF 14 de noviembre de 2025 (texto vigente de la Cámara de Diputados) · Sobre el proyecto de "Ley Fintech 2.0": EL CEO, 23 de diciembre de 2025, con declaraciones de Carlos Valderrama (Legal Paradox) y José Díaz Cuadra (Legal & Compliance Advisors), y estudio de Cofece de finales de 2024 · Cifras de autorizaciones y plazos de ITF: Legal Paradox con datos del DOF al 30 de septiembre de 2026 (firma con interés comercial en el tema) · Iniciativa de Activos Virtuales Estables del senador Alejandro Murat, presentada en el Senado el 6 de mayo de 2026 (CriptoNoticias, Fintech Expert).
Jorge Mercado · #JMCoach
No hay comentarios.:
Publicar un comentario
Nota: sólo los miembros de este blog pueden publicar comentarios.