出海墨西哥的合规倒计时：生物识别 11 月初到期、反洗钱新规 11 月 30 日施行，KYC 与 AML 还差什么

出海墨西哥的金融科技、支付与消费信贷企业，正同时面对两条合规倒计时：一条压在 KYC 身份核验上，一条压在 AML 反洗钱上。共同要求只有一句：监管口径已从"是否具备某项能力"，转向"这项能力能否被量化、被复核、被审计"。

第一条来自国家银行与证券委员会（CNBV）：人脸生物识别核验决议 2026 年 7 月 2 日生效，机构须在 90 个工作日内完成适配，约在 11 月初到期。第二条来自财政与公共信贷部（SHCP）：8 月 11 日发布的第 115/2026 号协议修订了《联邦预防和识别非法资金来源操作法》（LFPIORPI）一般性规则，自 2026 年 11 月 30 日起施行，并延伸出 2027 年 6 月与 2028 年两个节点。

留给机构的时间已经不足三个月。

KYC 端：人脸识别与活体检测被写进合规基线

决议允许信贷机构以人脸生物识别核验客户身份，但同时设了四道门槛：

-匹配度：在线核验客户生物特征与官方登记证件（INE 选民证、护照等）时，须达到至少 90% 的匹配度；

-活体检测：采集指纹不少于六枚，并须具备活体指纹检测；

-内部防控：负责录入的员工须先行登记本人生物特征，以便审计追溯；

-数据合规：生物识别数据库不得出售、转让、共享或交换。

四项合在一起，等于把 eKYC 从"能不能开户"升级为"能不能通过审计"。这与 ADVANCE.AI 在印尼、菲律宾等市场观察到的方向一致：活体检测与证件核验的评价标准，正从功能有无转向结果可测。

最容易被漏掉的是另一个窗口。多数团队盯着 90 个工作日的适配期，但决议同时规定，已建库机构须在 30 个自然日内向 CNBV 报备——这是与适配期并行的独立义务。

AML 端：受益所有人穿透与客户风险分级成为强制项

第 115/2026 号协议适用于 LFPIORPI 第 17 条列举的全部易受滥用活动，涵盖房地产、贵金属、车辆交易、博彩、虚拟资产，以及融资租赁、保理、借贷等非受监管金融服务。义务主体远超持牌金融机构，大量出海企业的本地实体会被覆盖。

重心不在资料是否齐全，而在判断本身是否站得住——机构要能解释某个客户当初为何被判为低风险。7 月 10 日金融情报机构（UIF）与 CNBV 的洗钱预警监测指引同样指向这里：穿透受益有人不清的股权结构，识别空壳企业与稳定币操作。机构还差什么：四个常见缺口一是可测量的核验能力。90% 匹配度、六枚指纹、活体检测都是量化指标，机构不能只证明系统"具备"功能，还要给出可复现的结果并保留操作员留痕与审计日志。二是可导出的风险方法论。风险指标、赋值逻辑与重评触发条件需固化为可导出的记录——检查时被调取的是方法论本身，不是结论。三是穿透链路的证据留存。三级顺位意味着，第一层穿不透时必须能证明为何转入第二层，且每一层都要保留证据来源、留存十年。四是真正意义上的自动化监测。2027 年 6 月 1 日的要求不是"采购一套系统"，而是执行模型、集交易、生成预警、十年留存这四项能力的组合。市场一侧的压力同步上升：AI 驱动的欺诈已占全球欺诈尝试的 23.3%，在拉美接近一半，且已从孤立个案转为网络化协同。对中国出海企业意味着什么对正在评估墨西哥市场的中国企业，两条倒计时改变的是进入成本的构成。时间上大概率来不及自建。从 90% 匹配度的人脸比对到十年期证据留存与自动化预警，这是一套需数个季度打磨的工程，新进入者靠自研赶上的可能性很低。外采要看的不是功能清单，而是举证材料。匹配度的可测量结果、操作员留痕与审计日志接口、穿透路径的证据导出，决定的是被检查时拿不拿得出东西。功能演示人人都能做，审计材料不是。

别把墨西哥当孤例。同一逻辑在东南亚同步发生：印尼要求收入核验有工资单或流水佐证；菲律宾要求 AI 系统由独立于开发者的团队复核输出。与其为每个市场单独适配，不如按"可举证"的标准搭统一的风控底座——这也是 ADVANCE.AI 在印尼、菲律宾、墨西哥同时展业时的基本取向。ADVANCE.AI 观察两条倒计时并非两套独立工程，而是同一件事的两端：KYC 端要证明"操作的是本人"，AML 端要证明"判断的过程可复核"。ADVANCE.AI 的能力覆盖人脸比对与证件核验、活体检测与深伪防御、企业身份核验、受益所有人穿透与交易监测，与 CNBV、SHCP 的条文几乎逐条对应。但决定合规成本的往往不是功能本身，而是能否把每一次判断的依据固定下来。距离第一个节点不足三个月。出海墨西哥的企业现在要回答的问题不是"我们有没有做"，而是"被检查时，我们拿得出什么"。本文基于公开渠道信息与专业判断整理，仅供参考，不构成投资、法律、税务或合规建议。相关监管条文以官方发布版本为准。