El modelo calcula; la organización responde por sus supuestos

El comité recibe una cifra de riesgo con dos decimales. Nadie pregunta qué tendría que seguir siendo cierto para confiar en ella. Ese silencio puede importar más que una mejora pequeña en la precisión: un modelo financiero no responde por las decisiones que se toman con sus resultados. La organización sí.

Pensemos en una situación hipotética: una entidad utiliza un modelo de crédito desarrollado con clientes de ingresos estables y decide extenderlo a trabajadores con ingresos variables. El programa funciona, los datos llegan y la puntuación aparece. Sin embargo, la decisión ya cambió. La cuestión no es únicamente si el cálculo está bien ejecutado, sino si la evidencia que justificaba su uso sigue siendo pertinente para esta población y este momento.

Gobernar el riesgo de modelo significa mantener esa pregunta abierta durante toda su vida útil. Exige conocer qué decisiones sostiene, quién puede cuestionarlo, cuándo necesita revisión y qué se hará mientras se resuelve una limitación. No consiste en desconfiar de cualquier técnica cuantitativa, sino en evitar que una estimación termine funcionando como una autorización sin condiciones.

Primero, actualizar el mapa: la guía de 2011 ya tiene reemplazo

La referencia histórica más conocida en esta conversación es SR 11-7. Pero citarla como si fuera la guía estadounidense vigente sería incorrecto: el 17 de abril de 2026, la Reserva Federal comunicó mediante SR 26-2 una guía revisada conjunta con la OCC y la FDIC que sustituye SR 11-7 y SR 21-8. El cambio importa porque enfatiza una gestión proporcional al perfil de riesgo del modelo y a la complejidad de la organización.

La comunicación señala que resulta especialmente relevante para entidades bancarias con activos superiores a 30.000 millones de dólares. La guía aclara, además, que no establece estándares exigibles ni requisitos prescriptivos. No corresponde convertirla en una obligación universal para cualquier empresa, ni trasladar automáticamente su alcance a Ecuador u otra jurisdicción. Aquí la utilizamos como referencia de gestión, no como asesoría jurídica ni como norma local.

La precisión también afecta al objeto: el documento distingue los modelos cuantitativos complejos de los cálculos aritméticos simples y los procesos deterministas sin fundamento estadístico, económico o financiero. Una calculadora en la fotografía no representa un modelo de crédito. Ilustra el entorno financiero; la responsabilidad que discutimos depende del sistema concreto y de su uso, no de la presencia de una hoja de cálculo.

Un resultado correcto puede sostener una decisión equivocada

La guía revisada define el riesgo de modelo alrededor de las posibles consecuencias financieras adversas asociadas a decisiones basadas en sus resultados. Distingue el riesgo inherente de factores como exposición, propósito y uso. Esta separación permite ver algo incómodo: un modelo técnicamente sólido puede producir riesgo elevado si se aplica fuera de su finalidad o si sus resultados tienen un peso desproporcionado en decisiones materiales.

En crédito, ordenar solicitantes por riesgo no equivale a estimar correctamente la probabilidad de impago. Un modelo puede mantener cierta capacidad de ordenar y, al mismo tiempo, subestimar las pérdidas esperadas. En fraude, una precisión global aparentemente buena puede esconder un volumen de falsas alertas que el equipo no logra revisar. En valoración, una cifra depende de supuestos que pueden dejar de ser razonables cuando cambia la liquidez.

Estos ejemplos son ilustrativos, no resultados de una entidad estudiada. Sirven para separar tres preguntas: ¿el sistema calcula lo previsto?, ¿la estimación representa adecuadamente aquello que queremos conocer?, ¿la decisión organizacional admite ese nivel de incertidumbre? Resolver la primera no elimina las otras dos. Tampoco un documento de validación convierte una decisión comercial en una consecuencia puramente técnica.

El inventario debe decir para qué sirve cada modelo

Un inventario útil no es una carpeta con nombres de archivos. Debe permitir reconstruir la relación entre modelo, versión, propietario, población, decisión y exposición. Como propuesta operativa, cada registro debería incluir finalidad autorizada, usos excluidos, dependencias de datos, última revisión, limitaciones conocidas y persona con autoridad para restringir su utilización. La amplitud del registro debe ajustarse al riesgo, no al deseo de llenar casillas.

Conviene distinguir al propietario del modelo de quien aprueba la decisión de negocio. El primero mantiene el sistema y su documentación; el segundo acepta una exposición y responde por el uso. La validación aporta contraste especializado, pero no debería quedar encargada de justificar cualquier expansión comercial. Si esas funciones se confunden, una revisión puede acabar certificando decisiones que nunca evaluó.

También hay que mirar las dependencias. Dos modelos distintos pueden descansar en la misma fuente, el mismo supuesto de liquidez o una transformación compartida. Contarlos por separado no garantiza diversificación. La guía estadounidense invita a considerar el riesgo agregado precisamente porque las interacciones y los supuestos comunes pueden afectar simultáneamente a varios resultados.

Validar no es aprobar una vez y archivar

Sudjianto y Zhang presentan en su trabajo de 2024 una revisión estructurada de prácticas bancarias: solidez conceptual, análisis de resultados y seguimiento continuo. Es un preprint disponible en arXiv, no una norma ni una garantía de revisión por pares. Su utilidad para esta discusión está en organizar preguntas complementarias y mostrar que evaluar el diseño no sustituye observar el desempeño real.

La solidez conceptual exige examinar si el problema está bien formulado y si los supuestos y datos son adecuados. El análisis de resultados compara las estimaciones con resultados observados, cuando estos ya existen. El seguimiento comprueba si las condiciones cambian y si el comportamiento sigue dentro de límites razonables. No son tres nombres para repetir el mismo indicador en distintos informes.

En crédito, las pérdidas pueden tardar en materializarse. Esa demora limita lo que podemos concluir sobre una cartera reciente. Mientras madura la evidencia, pueden observarse señales tempranas, composición de clientes y cambios de distribución, sin presentarlos como sustitutos completos del resultado final. La incertidumbre temporal debe quedar explícita: todavía no observar un deterioro no demuestra que el modelo conserve su calidad.

La tabla propone respuestas posibles, no umbrales universales. Una restricción apropiada depende de la materialidad, de las alternativas disponibles y del costo de equivocarse. También debe revisarse su efecto sobre clientes: restringir automáticamente toda solicitud puede reducir una exposición y generar otro problema de acceso o trato injustificado.

La calma no es una prueba suficiente

Danielsson, James, Valenzuela y Zer estudian en Model risk of risk models la incertidumbre entre modelos de riesgo. Su investigación muestra que el desacuerdo entre estimaciones puede aumentar en momentos de tensión. No demuestra que todo modelo de crédito falle en una crisis ni prescribe un método único de gobierno. Aporta evidencia para cuestionar la confianza basada exclusivamente en periodos tranquilos.

La consecuencia práctica que proponemos es comparar enfoques y hacer visibles las diferencias relevantes para la decisión. Si dos estimaciones divergen, promediarlas puede ocultar el problema: quizá utilizan supuestos incompatibles o responden a horizontes distintos. Antes de buscar una cifra conciliadora, hay que entender qué explica el desacuerdo y qué decisión cambiaría si una de ellas estuviera más cerca del resultado real.

Las pruebas de tensión tampoco predicen el próximo episodio. Son experimentos condicionados a escenarios. Su valor reside en revelar vulnerabilidades y preparar respuestas, no en certificar que ya imaginamos todo lo que puede ocurrir. Una presentación responsable distingue el escenario elegido, la sensibilidad encontrada y las incertidumbres que siguen fuera del ejercicio.

Una alerta necesita una persona que pueda actuar

La guía revisada utiliza la idea de cuestionamiento efectivo: especialistas objetivos con conocimiento, independencia suficiente e influencia organizacional para promover cambios. La independencia importa, pero no basta por sí sola. Si quien revisa puede describir el problema y nadie puede modificar el uso, el control existe en el organigrama, no en la decisión.

Por eso proponemos asociar cada señal material con un responsable, un plazo y una respuesta provisional. Ante deterioro persistente, la organización puede necesitar reducir exposición, añadir revisión, recalibrar o retirar el sistema. Elegir entre esas medidas requiere contexto. Reentrenar por rutina no resuelve un propósito equivocado ni una ausencia de datos representativos.

Los modelos de proveedores no eliminan esta responsabilidad. La documentación externa puede ayudar a entender el diseño, pero la organización conoce su implementación, sus clientes y su dependencia operativa. Si no puede inspeccionar aspectos relevantes, debe registrar esa limitación y ajustar el uso. La opacidad contractual no se convierte en evidencia de fiabilidad porque el proveedor tenga una marca reconocida.

Una revisión pequeña que cambie una decisión real

El marco de gestión de riesgos de IA de NIST ofrece un complemento más general mediante las funciones Govern, Map, Measure y Manage. Es voluntario y no equivale a la guía bancaria estadounidense. Su aporte aquí consiste en recordar que comprender el contexto y asignar responsabilidades debe acompañar la medición. No basta elegir una métrica si no sabemos qué daño o decisión necesitamos gestionar.

Para comenzar, el equipo puede seleccionar un modelo material y reconstruir su último cambio de uso. ¿Se añadió una población? ¿Se aumentó el monto de las decisiones? ¿Cambió el proveedor? Después puede comparar esa modificación con la evidencia de validación disponible. El objetivo no es auditar toda la institución en una reunión, sino detectar una distancia concreta entre lo autorizado y lo que realmente ocurre.

El siguiente paso es escribir una decisión verificable: qué se mantendrá, qué se limitará, qué evidencia falta, quién la reunirá y cuándo se volverá a evaluar. Si el comité acepta temporalmente una limitación, debe dejar constancia del motivo y de la exposición admitida. Aceptar incertidumbre puede ser necesario; esconderla detrás de la precisión numérica es otra cosa.

El modelo calcula bajo determinadas condiciones. Gobernarlo significa hacer visibles esas condiciones y conservar capacidad de respuesta cuando dejan de cumplirse. La calidad no se demuestra solo cuando la cifra resulta acertada, sino también cuando la organización sabe reconocer sus límites y modificar a tiempo la decisión que depende de ella.

Elaborado por Ricardo Gaibor.

Este artículo fue elaborado por Ricardo Gaibor con ayuda de sistemas de inteligencia artificial en tareas de investigación, organización y edición. La selección, interpretación y responsabilidad editorial del contenido corresponden al autor.

Referencias

• Board of Governors of the Federal Reserve System (2026). SR 26-2: Revised Guidance on Model Risk Management. Comunicación oficial de sustitución de SR 11-7.
• Federal Reserve, OCC y FDIC (2026). Supervisory Guidance on Model Risk Management. Texto de la guía revisada.
• Sudjianto, A., y Zhang, A. (2024). Model Validation Practice in Banking: A Structured Approach. Preprint, arXiv:2410.13877, versión 1. Texto consultado.
• Danielsson, J., James, K. R., Valenzuela, M., y Zer, I. (2016). Model risk of risk models. Journal of Financial Stability, 23, 79–91. DOI: 10.1016/j.jfs.2016.02.002. Manuscrito de la misma obra en LSE.
• National Institute of Standards and Technology (2023). AI Risk Management Framework. Marco voluntario y funciones de gestión.