Puntuación de riesgo del cliente

La puntuación de riesgo del cliente es el punto en el que el enfoque basado en el riesgo deja de ser una política y se convierte en una decisión sobre una persona o empresa. Determina a quién se aplica una diligencia debida simplificada, estándar o reforzada, con qué frecuencia se revisa un expediente y qué umbrales de monitoreo se aplican. Una puntuación que nadie puede explicar, o que clasifica a casi todos como de bajo riesgo, no cumple las expectativas ni de los supervisores ni de la empresa.

De la evaluación de toda la empresa al cliente

La evaluación de riesgos de toda la empresa (véase la lección El enfoque basado en el riesgo) identifica los riesgos de la empresa por tipo de cliente, producto, geografía, canal y tecnología. La calificación de riesgo del cliente aplica los mismos factores a cada relación. INR.10 agrupa los factores de riesgo en tres categorías: cliente, país o zona geográfica, y producto, servicio, transacción o canal de distribución. Una empresa de criptoactivos añade una cuarta que puede medir directamente: el comportamiento en cadena.

El resultado suele ser una categoría (bajo, medio, alto y, en ocasiones, prohibido) que determina:

• la profundidad de la diligencia debida (véase la lección Diligencia debida reforzada y simplificada);
• el ciclo de revisión periódica;
• los umbrales y límites de monitoreo;
• quién debe aprobar la relación.

Selección de factores y ponderaciones

Los factores cumplen dos funciones diferentes. Cada factor puntuado recibe un valor, normalmente en una escala del 1 al 5, y una ponderación, y se suman los valores ponderados. Los factores de anulación establecen un mínimo o un máximo independientemente de la suma: una coincidencia confirmada con una lista de sanciones hace que la relación esté prohibida, y una PEP extranjera nunca queda por debajo del riesgo alto. Las anulaciones existen porque los modelos aditivos diluyen: un factor grave promediado con varios factores benignos produce un cómodo nivel medio.

Las ponderaciones deben proceder de la evaluación de toda la empresa y del criterio experto, documentarse junto con su justificación y, después, contrastarse con los resultados (véase la sección sobre gobernanza más adelante). El GAFI no prescribe una fórmula. Espera que el método esté documentado, sea proporcional y se aplique de manera coherente.

Ejemplo resuelto

La Sra. K, una desarrolladora de software autónoma ficticia residente en el País B, presenta una solicitud mediante la aplicación, supera la verificación remota con el nivel de garantía estándar de la empresa y declara depósitos previstos de unos USD 20.000 al mes procedentes de su billetera autocustodiada existente y de su cuenta bancaria. Antes de activar los depósitos de criptoactivos, la empresa examina las dos direcciones desde las que ella indica que realizará depósitos. Una muestra un 8% de exposición indirecta a servicios de juegos de azar en línea, a cuatro saltos de distancia; ninguna presenta exposición a sanciones.

Con categorías establecidas en bajo para menos de 2,00, medio de 2,00 a 3,20 y alto para más de 3,20, la Sra. K queda en medio: CDD estándar, un ciclo de revisión de dos a tres años y los umbrales de monitoreo estándar de la empresa.

Ahora cambiemos un dato: su segunda dirección recibió fondos directamente de un mercado de la darknet. La puntuación en cadena sube a 5 y el total pasa a 3,15, todavía medio. Este es precisamente el problema de la dilución. La tabla de anulaciones de la empresa establece que la exposición directa a un mercado de la darknet u otro servicio ilícito por encima de una proporción determinada de las entradas de fondos obliga a asignar al menos un riesgo alto y activa la diligencia debida reforzada sobre el origen de los fondos. La anulación, no la suma, produce el resultado correcto.

La empresa almacena la puntuación como un registro que cualquiera puede desglosar:

{
  "customer_id": "C-31877",
  "model_version": "crr-2.4",
  "scored_at": "2026-10-02T08:15:00Z",
  "stage": "onboarding",
  "factors": [
    {"group": "customer", "weight": 0.35, "score": 2, "reason": "individual, no PEP, no adverse media"},
    {"group": "geography", "weight": 0.25, "score": 3, "reason": "residence rated medium"},
    {"group": "product_channel", "weight": 0.15, "score": 3, "reason": "fiat ramp, self-hosted withdrawals"},
    {"group": "on_chain", "weight": 0.25, "score": 3, "reason": "8% indirect gambling exposure"}
  ],
  "weighted_total": 2.65,
  "overrides_applied": [],
  "band": "medium",
  "next_review_due": "2028-10-02",
  "manual_adjustment": null
}

Cada factor incluye su ponderación, su puntuación y un motivo en lenguaje claro; la versión del modelo queda fijada, y las anulaciones y los ajustes manuales tienen sus propios campos, de modo que un revisor puede ver qué cambió la categoría y por qué.

Análisis de blockchain durante la incorporación

Una empresa de criptoactivos puede contrastar el relato de un cliente de una forma que rara vez está al alcance de un banco: examinando las billeteras que aporta el cliente. Usos prácticos durante la incorporación:

• examinar las direcciones que declara el cliente y todas las direcciones que financian los primeros depósitos para detectar exposición directa e indirecta a categorías sancionadas, ilícitas y de alto riesgo;
• comparar la antigüedad y el historial de la billetera con el origen declarado de los fondos: una billetera que supuestamente lleva "manteniendo fondos desde 2017" y que recibió fondos por primera vez el mes pasado requiere una explicación;
• incorporar el resultado al factor en cadena y a la tabla de anulaciones, en lugar de convertirlo directamente en un rechazo automático.

Una tabla de decisiones sencilla mantiene la coherencia entre los analistas:

La pequeña exposición indirecta es habitual, porque la mayoría de los fondos activos pasan cerca de algo arriesgado en unos pocos saltos, y las etiquetas del análisis pueden ser incorrectas o estar desactualizadas. La lección Análisis de blockchain para el cumplimiento normativo aborda las medidas de exposición y sus límites; el curso IDFE-CF trata en profundidad la agrupación y la atribución. La prueba de que el cliente controla una dirección declarada se aborda en la lección Billeteras no alojadas y transferencias autocustodiadas.

Puntuaciones de incorporación y continuas

La puntuación de incorporación se basa en gran medida en lo que declara el cliente. Una vez que la cuenta está activa, la empresa observa lo que el cliente hace realmente, por lo que la puntuación continua debe sustituir los valores declarados por los observados: volúmenes reales frente a volúmenes previstos, contrapartes y exposición reales, historial de alertas y cambios de geografía o dispositivos. Muchas empresas consideran provisional la puntuación de incorporación y vuelven a puntuar automáticamente después de los primeros 30 a 90 días de actividad.

Las revisiones siguen dos ritmos:

• Revisión periódica, con una frecuencia determinada por la categoría, por ejemplo, anual para el riesgo alto y cada varios años para el riesgo bajo; la empresa establece y justifica el ciclo.
• Revisión activada por eventos, siempre que un evento sugiera que el riesgo puede haber cambiado: una alerta material, una coincidencia en una lista de sanciones o de PEP, noticias adversas, un cambio de propiedad o residencia, el uso de un nuevo producto de mayor riesgo o la reactivación de una cuenta inactiva.

Una puntuación que solo cambia según el calendario pasa por alto los eventos más importantes.

Calibración, gobernanza y explicabilidad

Un modelo de puntuación es un modelo y necesita los controles que requiere cualquier modelo.

• Calibración: comprobar la distribución entre categorías (si el 97% de los clientes son de bajo riesgo, probablemente el modelo no puede discriminar) y realizar pruebas retrospectivas frente a resultados como reportes de operaciones sospechosas presentados, cuentas cerradas y fraudes confirmados. Si la mayoría de esos clientes estaban calificados con riesgo bajo, las ponderaciones o los factores son incorrectos.
• Pruebas de sensibilidad: cambiar cada ponderación dentro de un intervalo razonable y observar cuántos clientes cambian de categoría. Las grandes variaciones ante cambios pequeños significan que los límites de las categorías están mal situados.
• Calidad de los datos: la ausencia de ocupación, país o volumen previsto nunca debe dar lugar por defecto a la puntuación más baja. Tratar los valores ausentes como de mayor riesgo o bloquear la incorporación hasta que se completen, e informar de la proporción de puntuaciones elaboradas con datos incompletos.
• Gobernanza: un responsable designado del modelo, una metodología escrita, control de versiones, aprobación de los cambios por la alta dirección o el comité de cumplimiento y validación independiente periódica por una función que no haya desarrollado el modelo.
• Anulaciones: los cambios manuales necesitan un código de motivo y un aprobador, y las reducciones del nivel de riesgo requieren un aprobador de mayor jerarquía que los aumentos. Deben monitorearse las tasas de anulación por analista y por equipo.
• Explicabilidad: cada puntuación debe desglosarse en contribuciones de factores que un revisor pueda leer. Si se utilizan modelos de aprendizaje automático, la empresa debe seguir siendo capaz de mostrar qué características determinaron cada resultado, porque ni un examinador ni quien presente una reclamación como cliente aceptarán "lo dijo el modelo".

Enfoque del examen: los grupos de factores de riesgo de INR.10 y el factor en cadena que puede añadir una empresa de criptoactivos; factores puntuados frente a factores de anulación y por qué los modelos aditivos diluyen los riesgos graves; cálculo de una puntuación ponderada y una categoría a partir de un ejemplo resuelto; uso del examen de billeteras durante la incorporación como factor y no como rechazo automático; puntuaciones provisionales de incorporación y puntuaciones continuas basadas en observaciones; revisión periódica frente a revisión activada por eventos; calibración, pruebas retrospectivas y pruebas de sensibilidad; gobernanza de las anulaciones y explicabilidad de cada puntuación.