Remediación del riesgo de modelo y cierre de hallazgos
Escrito por Jonas Mohamed Osman Abdelghafour
Un hallazgo de modelo no se cierra cuando el propietario lo dice. Se cierra cuando la evidencia lo respalda y la segunda línea lo firma.
Por Jonas Mohamed Osman Abdelghafour.
Todo marco de riesgo de modelo maduro produce hallazgos más rápido de lo que los cierra. Esa brecha es donde realmente se acumula el riesgo de modelo. Un proceso de remediación disciplinado —triaje por severidad, propietarios designados, requisitos de evidencia definidos, controles compensatorios cuando sea necesario y cierre independiente— es lo que evita que un registro de hallazgos se convierta en un cementerio.
Severidad y triaje
Los hallazgos deben clasificarse por su materialidad, no por la jerarquía de quien los planteó. Una escala de severidad funcional suele tener tres o cuatro niveles:
- Crítico: el resultado del modelo es materialmente erróneo o inutilizable; no se debe confiar en el modelo para las decisiones afectadas hasta que se remedie. Se requieren controles compensatorios interinos.
- Alto: debilidad material que no impide el uso pero requiere remediación en un plazo definido (típicamente 3–6 meses).
- Medio: debilidad que debe remediarse en el ciclo de desarrollo ordinario (6–12 meses).
- Bajo: cuestiones de documentación, implementación menor o cosméticas.
Cada hallazgo conlleva también una restricción de uso (si la hay), un control compensatorio (si lo hay) y una fecha objetivo de cierre. Los hallazgos sin fecha no se gestionan.
Propiedad (Ownership)
La responsabilidad de la remediación recae en la primera línea —el propietario del modelo—. La segunda línea plantea los hallazgos, establece los estándares de la evidencia y firma el cierre. La auditoría asegura el proceso. Esta división es fundamental: cuando la segunda línea acaba asumiendo la remediación por falta de capacidad de la primera, la independencia se ve comprometida y el mismo hallazgo tiende a reaparecer en el siguiente ciclo de validación. Para más detalles, véase la nota sobre gobernanza de modelos actuariales y las tres líneas de defensa.
Requisitos de evidencia
El cierre requiere una evidencia proporcional a la severidad. Para un hallazgo Crítico o Alto, esto suele incluir un plan de remediación documentado, documentación del modelo actualizada, código y resultados de pruebas actualizados, una opinión de validación actualizada que cubra el hallazgo específico y un registro de uso que demuestre que la nueva versión está en producción. Para un hallazgo Medio o Bajo, una documentación actualizada y una confirmación de validación dirigida pueden ser suficientes.
"El equipo confirma que ha sido corregido" no constituye evidencia.
Controles compensatorios
Cuando la remediación llevará tiempo y el hallazgo es material, los controles compensatorios cubren el hueco. Ejemplos comunes incluyen ajustes manuales (overlays), límites de exposición a nivel de cartera para el segmento afectado, una mayor frecuencia de seguimiento o una capa de ajuste experto con lógica documentada. Los controles compensatorios están sujetos a revisión; deben tener un límite temporal y liberarse solo cuando el hallazgo subyacente se cierre.
Disciplina de cierre
El cierre es una decisión formal. Requiere:
- El paquete de evidencia de remediación, preparado por el propietario.
- Una recomendación de cierre del revisor de segunda línea que planteó el hallazgo.
- Firma del comité de riesgo de modelo para los hallazgos Críticos y Altos, y de un revisor senior designado para los Medios y Bajos.
- Una pista de auditoría preservada en la herramienta de inventario.
Los hallazgos que incumplan su fecha objetivo de cierre deben escalarse automáticamente. Múltiples fechas incumplidas en el mismo hallazgo es, en sí mismo, un problema de gobernanza y debe informarse al comité de riesgos.
Información y reporte
Un informe mensual útil muestra: total de hallazgos abiertos por severidad; hallazgos abiertos y cerrados en el periodo; hallazgos vencidos por propietario; perfil de antigüedad; y temas principales por tipo de riesgo o familia de modelos. Los temas son el elemento más importante: un grupo de hallazgos similares en varios modelos suele apuntar a una debilidad sistémica (calidad de datos, estándares de documentación) que es más eficiente corregir una vez en el origen que repetidamente en cada modelo.
Conclusiones clave
- La remediación debe basarse en la materialidad del riesgo, no en la conveniencia operativa.
- La segunda línea debe validar la remediación, nunca ejecutarla, para preservar la independencia.
- La evidencia del cierre debe ser explícita y técnica; las confirmaciones verbales son insuficientes.
- Los controles compensatorios son puentes temporales, no soluciones permanentes para hallazgos abiertos.
Escrito por Jonas Mohamed Osman Abdelghafour, actuario y gestor de riesgos financieros.