Riesgo de modelo y validación independiente

El riesgo de modelo es la posibilidad de perder dinero o de dañar a clientes porque un modelo está mal construido, se usa para algo distinto de aquello para lo que se hizo o deja de funcionar cuando cambian los datos. Las guías de supervisión bancaria lo tratan como un riesgo más, con su gobierno. En Estados Unidos, por ejemplo, la Reserva Federal, la OCC y la FDIC publicaron en abril de 2026 una guía revisada de gestión de riesgo de modelo (SR 26-2), que sustituye a la de 2011 (SR 11-7).

Una política de riesgo de modelo se reconoce por sus piezas: qué cuenta como modelo (también los comprados y los servicios de terceros), niveles según el impacto, una validación hecha por alguien que no construyó el modelo, plazos para cerrar lo que la validación encuentra y consecuencias cuando no se cierra.

La validación vale porque la hace alguien que puede decir «no» sin pagar por ello: otro equipo, con otra línea de reporte, que no gana nada si el modelo sale a producción a tiempo. A esa capacidad de discutir el modelo con conocimiento y con autoridad se le suele llamar desafío efectivo. Si quien valida es el mismo equipo que desarrolló el modelo, el informe puede ser muy bueno, pero no es una validación independiente: es una autoevaluación.

Los modelos comprados no se libran. Que un proveedor desarrolle el modelo no impide validarlo: se valida con lo que el banco puede observar, sus datos, sus resultados y la documentación que exige por contrato.

La validación no es un sello para siempre: los datos cambian, los clientes cambian y el propio uso del modelo cambia. Por eso la política fija una frecuencia máxima por nivel. Un modelo de nivel 1 que lleva más tiempo del permitido sin validar sigue tomando decisiones con una aprobación caducada.

Entre validaciones, el modelo se vigila con indicadores. Uno muy usado en crédito mide cuánto se parece la población que llega hoy a la población con la que se construyó el modelo: si cambia mucho, el modelo está puntuando a gente que no conoce. La política de Morrocoy usa ese índice con tres zonas y una de ellas obliga a revalidar.

El índice no sube de golpe: suele avisar varios meses antes. Lo que importa es en qué mes cruzó la línea que obliga a actuar.

Con los modelos de lenguaje aparece un cambio que no hace el banco: el proveedor publica una versión nueva del modelo base. Si la aplicación apunta a un alias que siempre sigue a la última versión, el banco cambia de modelo sin decidirlo. Para la política de riesgo de modelo eso es un cambio como cualquier otro.