Puntuación del riesgo del cliente

La puntuación del riesgo del cliente es el punto en el que el enfoque basado en el riesgo deja de ser una política y se convierte en una decisión sobre una persona o una empresa. Determina quién recibe debida diligencia simplificada, estándar o reforzada, con qué frecuencia se revisa un expediente y qué umbrales de monitoreo se aplican. Una puntuación que nadie puede explicar, o que clasifica a casi todo el mundo como de bajo riesgo, no satisface ni a los supervisores ni a la empresa.

De la evaluación de la empresa al cliente

La evaluación de riesgos de toda la empresa (consulta la lección El enfoque basado en el riesgo) identifica los riesgos de la empresa por tipo de cliente, producto, geografía, canal y tecnología. La calificación del riesgo del cliente aplica los mismos factores a cada relación. INR.10 agrupa los factores de riesgo bajo tres encabezados: cliente; país o geografía; y producto, servicio, transacción o canal de distribución. Una empresa de criptomonedas añade un cuarto factor que puede medir directamente: el comportamiento en cadena.

El resultado suele ser una categoría (bajo, medio, alto y, a veces, prohibido) que determina:

• el alcance de la debida diligencia (consulta la lección Debida diligencia reforzada y simplificada);
• el ciclo de revisión periódica;
• los umbrales y límites de monitoreo;
• quién debe aprobar la relación.

Selección de factores y ponderaciones

Los factores desempeñan dos funciones diferentes. Los factores puntuados reciben cada uno un valor, normalmente en una escala de 1 a 5, y una ponderación; luego se suman los valores ponderados. Los factores de excepción establecen un mínimo o un máximo independientemente de la suma: una coincidencia confirmada con una lista de sanciones hace que la relación quede prohibida, y una PEP extranjera nunca se clasifica por debajo de alto. Las excepciones existen porque los modelos aditivos diluyen los riesgos: un factor grave promediado con varios factores benignos produce una categoría media aparentemente cómoda.

Las ponderaciones deben basarse en la evaluación de la empresa y en el criterio de especialistas, documentarse junto con su justificación y, luego, probarse frente a los resultados (consulta la sección de gobernanza más adelante). El FATF no establece una fórmula. Espera que el método esté documentado, sea proporcional y se aplique de manera coherente.

Ejemplo práctico

La Sra. K, una desarrolladora de software autónoma ficticia que reside en el País B, presenta su solicitud a través de la aplicación, supera la verificación remota en el nivel de garantía estándar de la empresa y declara depósitos previstos de aproximadamente USD 20.000 al mes, procedentes de su billetera autogestionada existente y de su cuenta bancaria. Antes de activar los depósitos de criptomonedas, la empresa evalúa las dos direcciones desde las que ella dice que depositará. Una muestra un 8 % de exposición indirecta a servicios de apuestas en línea, a cuatro saltos de distancia; ninguna tiene exposición a sanciones.

Con categorías fijadas en menos de 2,00 para bajo, de 2,00 a 3,20 para medio y más de 3,20 para alto, la Sra. K queda en medio: DDC estándar, un ciclo de revisión de dos a tres años y los umbrales de monitoreo estándar de la empresa.

Ahora cambia un dato: la segunda dirección recibió fondos directamente de un mercado de la darknet. La puntuación en cadena sube a 5 y el total pasa a ser 3,15, que sigue siendo medio. Este es precisamente el problema de dilución. La tabla de excepciones de la empresa establece que la exposición directa a un mercado de la darknet u otro servicio ilícito por encima de una proporción determinada de las entradas obliga a clasificar al cliente, como mínimo, en alto y activa una debida diligencia reforzada sobre el origen de los fondos. La excepción, no la suma, produce el resultado correcto.

La empresa almacena la puntuación como un registro que cualquiera puede desglosar:

{
  "customer_id": "C-31877",
  "model_version": "crr-2.4",
  "scored_at": "2026-10-02T08:15:00Z",
  "stage": "onboarding",
  "factors": [
    {"group": "customer", "weight": 0.35, "score": 2, "reason": "individual, no PEP, no adverse media"},
    {"group": "geography", "weight": 0.25, "score": 3, "reason": "residence rated medium"},
    {"group": "product_channel", "weight": 0.15, "score": 3, "reason": "fiat ramp, self-hosted withdrawals"},
    {"group": "on_chain", "weight": 0.25, "score": 3, "reason": "8% indirect gambling exposure"}
  ],
  "weighted_total": 2.65,
  "overrides_applied": [],
  "band": "medium",
  "next_review_due": "2028-10-02",
  "manual_adjustment": null
}

Cada factor incluye su ponderación, puntuación y un motivo en lenguaje sencillo; la versión del modelo está fijada, y las excepciones y los ajustes manuales tienen campos propios, de modo que quien revisa puede ver qué hizo cambiar la categoría y por qué.

Análisis de cadena de bloques durante la incorporación

Una empresa de criptomonedas puede comprobar la versión de un cliente de una manera que rara vez puede hacerlo un banco: examinando las billeteras que el cliente presenta. Usos prácticos durante la incorporación:

• evaluar las direcciones declaradas por el cliente y todas las direcciones que financien los primeros depósitos para detectar exposición directa e indirecta a categorías sancionadas, ilícitas y de alto riesgo;
• comparar la antigüedad y el historial de la billetera con el origen de los fondos declarado: una billetera que supuestamente «mantiene fondos desde 2017», pero que recibió sus primeros fondos el mes pasado, requiere una explicación;
• incorporar el resultado al factor en cadena y a la tabla de excepciones, no utilizarlo directamente para un rechazo automático.

Una tabla de decisiones sencilla ayuda a mantener la coherencia entre analistas:

La exposición indirecta pequeña es común, porque la mayoría de los fondos activos pasan cerca de algo riesgoso en unos pocos saltos, y las etiquetas de análisis pueden ser erróneas o estar desactualizadas. La lección Análisis de cadena de bloques para el cumplimiento aborda las medidas de exposición y sus limitaciones; el curso IDFE-BA trata en profundidad la agrupación y atribución. La prueba de que el cliente controla una dirección declarada se aborda en la lección Billeteras no alojadas y transferencias autogestionadas.

Puntuaciones de incorporación y continuas

La puntuación de incorporación se basa en gran medida en lo que declara el cliente. Una vez que la cuenta está activa, la empresa observa lo que el cliente hace realmente, por lo que la puntuación continua debe sustituir los valores declarados por los observados: volúmenes reales frente a volúmenes previstos, contrapartes y exposición reales, historial de alertas y cambios de geografía o dispositivos. Muchas empresas consideran provisional la puntuación de incorporación y vuelven a puntuar automáticamente tras los primeros 30 a 90 días de actividad.

Las revisiones siguen dos calendarios:

• Revisión periódica, cuya frecuencia se fija según la categoría; por ejemplo, anualmente para riesgo alto y cada varios años para riesgo bajo. La empresa establece y justifica el ciclo.
• Revisión basada en eventos desencadenantes, cada vez que un evento sugiera que el riesgo puede haber cambiado: una alerta significativa, una coincidencia con una lista de sanciones o de PEP, información adversa en medios, un cambio de titularidad o residencia, el uso de un nuevo producto de mayor riesgo o la reactivación de una cuenta inactiva.

Una puntuación que solo cambia según el calendario no detecta los eventos más importantes.

Calibración, gobernanza y explicabilidad

Un modelo de puntuación es un modelo y necesita los controles que necesita cualquier modelo.

• Calibración: comprobar la distribución entre categorías (si el 97 % de los clientes son de bajo riesgo, probablemente el modelo no pueda discriminar) y realizar pruebas retrospectivas frente a resultados como los reportes de transacciones sospechosas presentados, las cuentas cerradas y el fraude confirmado. Si la mayoría de esos clientes fueron clasificados como de bajo riesgo, las ponderaciones o los factores son incorrectos.
• Pruebas de sensibilidad: cambiar cada ponderación dentro de un rango razonable y observar cuántos clientes cambian de categoría. Grandes variaciones ante cambios pequeños indican que las categorías están mal ubicadas.
• Calidad de los datos: la falta de una ocupación, un país o un volumen previsto nunca debe dar lugar a la puntuación más baja por defecto. Tratar los valores faltantes como de mayor riesgo o bloquear la incorporación hasta que se completen, e informar qué proporción de las puntuaciones se basa en datos incompletos.
• Gobernanza: una persona responsable del modelo identificada, una metodología documentada, control de versiones, aprobación de cambios por la alta dirección o el comité de cumplimiento, y validación independiente periódica por una función que no haya creado el modelo.
• Excepciones: los cambios manuales requieren un código de motivo y una persona aprobadora; las reducciones de categoría necesitan la aprobación de alguien de mayor nivel que los aumentos. Se deben monitorear las tasas de excepciones por analista y por equipo.
• Explicabilidad: cada puntuación debe desglosarse en contribuciones de factores que quien revisa pueda entender. Si se utilizan modelos de aprendizaje automático, la empresa debe poder mostrar qué características determinaron cada resultado, porque ni una persona examinadora ni una reclamación de un cliente aceptarán «eso dijo el modelo».

Enfoque del examen: los grupos de factores de riesgo de INR.10 y el factor en cadena que puede añadir una empresa de criptomonedas; los factores puntuados frente a los factores de excepción y por qué los modelos aditivos diluyen los riesgos graves; el cálculo de una puntuación ponderada y una categoría a partir de un ejemplo práctico; el uso de la evaluación de billeteras durante la incorporación como factor y no como motivo de rechazo automático; las puntuaciones provisionales de incorporación y las puntuaciones continuas basadas en datos observados; la revisión periódica frente a la revisión basada en eventos desencadenantes; la calibración, las pruebas retrospectivas y las pruebas de sensibilidad; la gobernanza de las excepciones y la explicabilidad de cada puntuación.