Incorporación basada en riesgos: una guía práctica

Última actualización: septiembre de 2026

La incorporación de clientes basada en el riesgo (risk-based onboarding) significa que cada solicitante supera el mismo nivel mínimo de identidad, y el riesgo que presenta cada uno de ellos decide qué controles adicionales se añaden sobre este. La regla del Programa de Identificación de Clientes (CIP) establece la información mínima que un banco recopila y verifica para cada cliente. Por encima de ese nivel mínimo, el perfil de riesgo del cliente (que exige la regla de debida diligencia del cliente (CDD) y diseña la institución) decide qué comprobaciones adicionales de identidad, KYC y fraude se aplican, cuándo se inicia la debida diligencia simplificada o ampliada, con qué frecuencia se revisa la calificación y qué debe mostrar el expediente cuando un examinador pregunte cómo se llegó a dicha calificación.

Esta guía parte de las fuentes principales: las reglas de CIP y CDD, las secciones correspondientes del Manual de Examen BSA/AML del FFIEC y la declaración conjunta de las agencias bancarias federales de 2022 sobre el enfoque basado en el riesgo. Está escrita para responsables de riesgo, fraude y cumplimiento normativo que diseñan o defienden un flujo de incorporación.

Resumen rápido (TL;DR)

• La incorporación basada en el riesgo nunca baja el nivel mínimo. Cada solicitante cumple con los mínimos de la CIP en 31 CFR 1020.220; el riesgo decide lo que se añade por encima de ellos.

• La regla CDD, 31 CFR 1020.210(a)(2)(v), exige un perfil de riesgo del cliente elaborado a partir de la naturaleza y el propósito de la relación. La sección de CDD del manual del FFIEC (2018) indica que no existen categorías obligatorias de perfiles de riesgo, por lo que el diseño de los niveles corresponde a la institución.

• La declaración conjunta de las agencias de julio de 2022 indica que ningún tipo de cliente presenta un único nivel de riesgo uniforme. Se trata de una guía de orientación y no añade nuevos requisitos.

• Las comprobaciones por niveles se mueven en ambas direcciones: se intensifican cuando el perfil lo justifica, incluso después de superar el KYC, y eliminan la fricción para los solicitantes cuyo perfil muestra que son de bajo riesgo.

• La debida diligencia ampliada (EDD) implica más información y una revisión más cercana y frecuente para los clientes de mayor riesgo, tanto en la apertura como durante todo el tiempo que dure la relación.

• La calificación, sus motivos, cada paso de verificación adicional y anulación voluntaria, y el historial de cada cambio pertenecen al expediente del cliente, porque un examinador preguntará cómo se determinó la calificación.

La respuesta corta: qué significa la incorporación basada en el riesgo

La incorporación basada en el riesgo consiste en adaptar los controles que recibe un solicitante al riesgo que este presenta, por encima de un mínimo fijo aplicable a todos. Cada solicitante cumple con el nivel mínimo de la CIP. A partir de ahí, el perfil de riesgo del cliente decide qué se añade: controles adicionales de identidad, KYC y fraude, pasos de verificación más estrictos, debida diligencia ampliada y la frecuencia con la que se revisará la relación una vez abierta la cuenta.

Las normas exigen este enfoque, pero dejan su diseño en manos de la institución. La regla CDD exige procedimientos basados en el riesgo y un perfil de riesgo del cliente, y la sección de CDD del manual del FFIEC (2018) establece que «no existen categorías obligatorias de perfiles de riesgo y el número y detalle de estas categorizaciones variarán en función del tamaño y la complejidad del banco». El número de niveles, qué sitúa a un solicitante en cada uno de ellos y qué añade cada nivel es una política que la institución redacta, aplica y registra.

Superar los controles de identidad responde a una pregunta más limitada que la que debe resolver la incorporación. Una verificación de KYC confirma que una identidad declarada existe y coincide con sus documentos en un momento dado. No establece la intención ni que la identidad no haya sido creada específicamente para superar el control. El perfil de riesgo es donde la institución registra cómo espera que sea la relación y qué nivel de riesgo conlleva.

Un director de BSA en un banco de BaaS resumió todo el trabajo en una sola frase: el AML consiste en «saber quién eres y vigilar lo que haces». La incorporación basada en el riesgo es la primera mitad de esa frase, diseñada de forma que alimente la segunda.

El nivel mínimo que cumple cada solicitante

La regla CIP para bancos, 31 CFR 1020.220, exige que un banco obtenga, como mínimo y antes de abrir una cuenta, el nombre del cliente, la fecha de nacimiento (en el caso de personas físicas), la dirección y un número de identificación, y que verifique la identidad del cliente mediante procedimientos basados en el riesgo. Esos mínimos se aplican a todos los solicitantes de todos los niveles. Una calificación de menor riesgo nunca elimina ninguno de ellos.

El riesgo ya interviene en este nivel, en la forma en que se verifica la identidad. La sección de CIP del manual del FFIEC (2021) indica que el programa «debe incluir procedimientos basados en el riesgo para verificar la identidad de cada cliente en la medida en que sea razonable y viable», en función de la evaluación que haga el banco de los riesgos pertinentes, incluidos los tipos de cuentas que mantiene y sus métodos de apertura de cuentas. La misma sección añade: «En función de su evaluación de riesgos de BSA/AML, un banco puede exigir información de identificación, además de la información obligatoria, para determinados clientes o líneas de productos».

Así pues, la estructura de la incorporación basada en el riesgo está integrada en la propia sección de la CIP: un conjunto fijo de mínimos, y luego información y verificación adicionales cuando la evaluación de riesgos lo requiera. Los mecanismos de la secuencia de CIP y verificación se tratan en nuestra guía para crear un programa de cumplimiento de KYC. El resto de esta guía cubre lo que sucede por encima del nivel mínimo.

Lo que cambia y lo que no cambia con el enfoque basado en el riesgo

El 6 de julio de 2022, la Junta de Gobernadores del Sistema de la Reserva Federal, la FDIC, FinCEN, la NCUA y la OCC emitieron una Declaración Conjunta sobre el Enfoque Basado en el Riesgo para Evaluar las Relaciones con los Clientes y Realizar la Debida Diligencia del Cliente (FDIC FIL-28-2022, Boletín OCC 2022-18, Reserva Federal SR 22-5). La declaración señala que «ningún tipo de cliente presenta un único nivel de riesgo uniforme o un perfil de riesgo particular», y que «los bancos deben aplicar un enfoque basado en el riesgo a la CDD, incluso al desarrollar los perfiles de riesgo de sus clientes».

La instrucción práctica de la declaración es evaluar la relación en lugar de la categoría. Indica que los bancos deben «gestionar las relaciones con los clientes y mitigar los riesgos en función de las relaciones con los clientes, en lugar de negarse a prestar servicios bancarios a categorías enteras de clientes». Un tipo de cliente puede elevar el punto de partida de un perfil, pero aun así es necesario determinar la calificación para ese cliente específico.

La declaración es una guía de orientación, no una norma. Según sus propios términos, «no altera los requisitos legales o normativos existentes de la Ley de Secreto Bancario/Antilavado de Dinero (BSA/AML), ni establece nuevas expectativas de supervisión». Establece cómo interpretan las agencias los requisitos que ya existen.

Los bancos que patrocinan programas fintech cumplen la misma expectativa un nivel más arriba. Un vicepresidente de operaciones de inteligencia financiera en un banco con un programa de banca fintech mencionó que los examinadores siguen pidiendo al equipo que demuestre cómo se aplica su enfoque a cada socio fintech y al riesgo de ese socio. La lógica de evaluar relación por relación de la declaración de 2022 se aplica tanto al socio como a los clientes del socio.

Creación de un perfil de riesgo del cliente

Un perfil de riesgo del cliente es la visión documentada de la institución sobre el propósito de una relación, cómo se espera que se comporte y cuánto riesgo de lavado de dinero, financiación del terrorismo y fraude conlleva. La regla CDD lo convierte en un requisito: el programa de un banco debe incluir «procedimientos adecuados basados en el riesgo para llevar a cabo una debida diligencia continua de los clientes», lo que incluye «comprender la naturaleza y el propósito de las relaciones con los clientes con el fin de desarrollar un perfil de riesgo del cliente» (31 CFR 1020.210(a)(2)(v)). La regla exige el perfil y deja su contenido en manos del banco.

La sección de CDD del manual del FFIEC (2018) establece el estándar con el que se juzga el diseño. El programa para determinar los perfiles de riesgo de los clientes «debe ser lo suficientemente detallado como para distinguir variaciones significativas en los riesgos de lavado de dinero y financiación del terrorismo de sus clientes». También advierte que «un único indicador no determina necesariamente la existencia de un riesgo de cliente menor o mayor», y permite deducir un perfil de menor riesgo a partir de «información inherente o evidente, como el tipo de cliente, el tipo de cuenta abierta o el servicio o producto ofrecido».

La actividad prevista forma parte del perfil, y es donde suele comenzar la fricción en la incorporación. Un oficial de BSA en un banco describió el problema: «cuando incorporamos a un cliente, la forma en que lo hacemos o determinamos la actividad prevista es realmente engorrosa. Crea un mal proceso de incorporación». Hacer a todos los solicitantes el mismo cuestionario largo sobre la actividad prevista es una de las razones por las que un flujo se siente pesado; hacer las preguntas que cada nivel realmente necesita es parte del diseño.

Un perfil creado a partir de los datos de un solo producto no refleja al cliente en su totalidad. Un responsable de cumplimiento de AML y MLRO en una empresa global de transferencia de dinero mencionó que su puntuación de riesgo de clientes no era holística: estaba muy centrada en las transacciones, y las transacciones minoristas de cada perfil se puntuaban de forma aislada. El diseño más sólido es un único perfil de riesgo del cliente que lean y alimenten los equipos de incorporación, fraude, crédito y cumplimiento, de modo que la calificación alcanzada en la apertura sea la misma que vea el equipo de monitoreo más adelante.

Un perfil de riesgo del cliente de tres niveles

La siguiente tabla muestra una forma de organizar los niveles. El manual del FFIEC no exige un número fijo de categorías, por lo que cada institución adapta los niveles a sus propios clientes y productos.

La tabla describe la frecuencia de revisión en comparación con los otros niveles. Los intervalos en sí son políticas que cada institución define y documenta para su propia evaluación de riesgos.

Organización de los controles de identidad, KYC y fraude por niveles de riesgo

La estructuración por niveles significa que el conjunto de controles que recibe un solicitante cambia según su perfil de riesgo, en lugar de ejecutarse como un flujo único y rígido. Un gerente de producto técnico que lideraba un rediseño de KYB en una empresa de pagos describió el requisito: «Necesitamos que el flujo de verificación sea dinámico», con «diferentes plantillas de verificación según el sector, el nivel de riesgo, el país u otros parámetros». Cada plantilla es la respuesta de un nivel a lo que ese solicitante debe demostrar.

Intensificación del control por riesgo, incluso tras superar el KYC

Una verificación de KYC superada deja abierta la cuestión del riesgo. Un director sénior de gestión de riesgos de fraude en una empresa de pagos señaló: «Me gustaría activar una verificación adicional cuando tenga sospechas de fraude en la incorporación, el beneficiario o la verificación del propietario, incluso si superan el KYC». El perfil de riesgo activa la verificación adicional, independientemente del resultado de cualquier control individual.

El fraude de primera persona (first-party fraud) muestra por qué. Un director de riesgos y cumplimiento de un mercado de préstamos con IA explicó que el fraude que más ve el equipo es el de primera persona: solicitantes que son quienes dicen ser, que superarán la verificación de identidad y que no tienen intención de pagar. Los controles de identidad no pueden detectar la intención, por lo que el nivel debe basarse en otras señales, como datos del dispositivo y del comportamiento, vínculos entre solicitudes y la coherencia entre el propósito declarado y el producto.

Reducción de la fricción para los solicitantes de menor riesgo

El enfoque basado en el riesgo funciona en ambos sentidos. Un director sénior de análisis de fraude en una entidad de crédito al consumo comentó: «si pudiéramos identificar solicitudes de muy bajo riesgo en las que pudiéramos reducir la fricción desde el punto de vista de la autenticación, creo que eso nos ayudaría». Si un nivel nunca elimina un paso para un solicitante de bajo riesgo, los niveles solo sirven para añadir controles.

Ofrecer una fricción baja para la mayoría de los solicitantes depende de observar el comportamiento tras la apertura de la cuenta. El director ejecutivo de una fintech de consumo en fase de prelanzamiento describió el equilibrio: para mantener una incorporación ligera, la empresa necesita «algo que preste atención a todo lo que hace el cliente», de modo que se pueda intensificar la verificación más adelante si la actividad parece sospechosa. Eliminar un paso al abrir la cuenta es más seguro si el monitoreo continuo está preparado para volver a añadirlo.

Diseño de verificaciones adicionales para clientes legítimos

Algunos de los solicitantes a los que se les intensifiquen los controles serán clientes legítimos. Un responsable de riesgo de fraude con tarjetas en una entidad de crédito al consumo señaló: «inevitablemente habrá ocasiones en las que tendremos que aplicar controles adicionales a clientes legítimos». La verificación adicional debe ser algo que un solicitante legítimo pueda completar rápidamente, con un motivo claro y un paso siguiente bien definido.

La guía del FFIEC de 2021, *Autenticación y acceso a servicios y sistemas de instituciones financieras*, respalda este mismo enfoque por capas. Describe la seguridad por capas como la incorporación de «múltiples controles preventivos, de detección y correctivos», diseñados para «compensar las posibles debilidades de cualquier control individual», y espera que una evaluación de riesgos respalde las decisiones sobre qué técnicas de autenticación utilizar. Los controles de fraude individuales y lo que cada uno puede y no puede detectar se tratan en nuestra guía sobre las capas de una pila de prevención de fraude en la apertura de cuentas.

Dónde fallan los controles por niveles

• Un flujo único y fijo para todos. Todos los solicitantes pasan por los controles más pesados, los clientes legítimos de bajo riesgo experimentan una fricción innecesaria y el flujo no produce ningún nivel que la institución pueda utilizar para calificar la relación.

• Enviar cada control fallido a revisión manual. Un responsable de riesgos de una empresa de remesas señaló que, ante fallos en la verificación de identidad, la revisión manual a menudo no tiene elementos sobre los que actuar y «se debería pedir al cliente que lo intente de nuevo». Derive a revisión manual solo lo que un revisor pueda decidir.

• Un nivel definido por un solo indicador. El manual del FFIEC indica que ningún indicador individual es necesariamente determinante. Una calificación basada en un único punto de datos es difícil de defender y fácil de eludir.

• Una calificación que se detiene en la apertura de la cuenta. Una señal de alerta o de verificación adicional que nunca llega al equipo de monitoreo o cumplimiento se pierde en el momento en que se abre la cuenta.

• Anulaciones manuales (overrides) sin registrar el motivo. Las anulaciones manuales a veces son correctas, pero una anulación sin un motivo registrado y una persona que la apruebe hace que la calificación sea imposible de explicar más adelante.

Cuándo pasar a una debida diligencia ampliada (EDD)

La debida diligencia ampliada (EDD) es la recopilación de información adicional sobre los clientes que presentan un mayor riesgo, seguida de una revisión más cercana y frecuente. La sección de CDD del manual del FFIEC (2018) lo describe de esta manera: «La recopilación de información adicional sobre los clientes que presentan un mayor riesgo, conocida como debida diligencia ampliada (EDD), por ejemplo, en el contexto de la banca corresponsal extranjera y privada, forma parte de un programa de debida diligencia eficaz». Añade que la información de los clientes con perfiles de mayor riesgo y sus transacciones «debe revisarse más de cerca al abrir la cuenta y con más frecuencia a lo largo de su relación con el banco». Las cuentas de banca privada y de corresponsalía extranjera tienen sus propias reglas de debida diligencia, independientes de la práctica de incorporación que se describe aquí.

Los desencadenantes de la EDD los establece la institución, por escrito, y se aplican de la misma manera en cada ocasión. Los desencadenantes habituales incluyen:

• Una calificación en el nivel alto. El perfil de riesgo del cliente sitúa al solicitante en el nivel que la política asigna a la EDD.

• Información contradictoria o que no se puede verificar. Información de identidad, comercial o de actividad prevista que no tiene coherencia, o que la institución no puede confirmar mediante sus procedimientos de verificación.

• Un producto o relación de mayor riesgo. Un producto, canal o tipo de relación que la propia evaluación de riesgos de BSA/AML de la institución califica de mayor riesgo.

• Una combinación de indicadores. Dado que ningún indicador individual es necesariamente determinante, la política define cuándo varios indicadores juntos son suficientes para trasladar a un solicitante a la EDD.

Un gerente de cumplimiento de socios bancarios en una entidad de financiación de automóviles comentó que las solicitudes de mayor riesgo se derivan al equipo de EDD, cuyos analistas verifican los ingresos, confirman que el KYC es correcto y tienen la autoridad para rechazar la solicitud. Esa autoridad debe constar en la política, junto con los desencadenantes.

La EDD no termina cuando se abre la cuenta. Un gerente de fraude y cumplimiento en una cooperativa de crédito señaló que la institución tiene la obligación de realizar una revisión de EDD a todos sus miembros de alto riesgo en un ciclo establecido. Cada cliente en el nivel alto debe tener una fecha de próxima revisión de EDD en su expediente desde el día en que se abre la cuenta.

En el caso de solicitantes que sean personas jurídicas, se identifica a los beneficiarios reales y se verifica su identidad mediante procedimientos basados en el riesgo (31 CFR 1010.230), y la elección de un proveedor de KYB para solicitantes comerciales constituye una evaluación independiente.

Mantener actualizada la calificación después de la apertura

La regla CDD tiene una segunda vertiente que comienza una vez abierta la cuenta: «realizar un monitoreo continuo para identificar y reportar transacciones sospechosas y, en función del riesgo, mantener y actualizar la información del cliente» (31 CFR 1020.210(a)(2)(v)). El perfil de riesgo del cliente se mantiene durante toda la vida de la relación, y la calificación puede moverse en cualquier dirección.

La frecuencia de revisión sigue a la calificación. Un miembro del equipo de debida diligencia de clientes en un procesador de pagos resumió la práctica en una frase: «Tenemos una revisión periódica basada en el riesgo». Los clientes de mayor riesgo se revisan con más frecuencia que los de menor riesgo, y cualquier evento que contradiga el perfil (como una actividad muy alejada de lo que el cliente dijo que se esperaba) activa una revisión propia.

La población de mayor riesgo cambia constantemente, por lo que la lista no puede ser estática. Un director de cumplimiento, BSA y estrategia de un banco comunitario explicó por qué una lista fija no funciona: «realmente no se puede usar el sistema para mantener una lista estática de clientes de alto riesgo porque siempre está cambiando». La calificación debe residir en el registro del cliente y actualizarse a medida que lo hace el registro.

La calificación de la incorporación debe acompañar al cliente hacia los equipos de monitoreo y cumplimiento. Un responsable de orquestación de fraude en un gran banco regional describió el caso: una cuenta se abre con cierta fricción y algunas señales de alerta, y poco después llega un cheque o una transferencia; el equipo que gestiona ese pago necesita saber que la cuenta es nueva y que su apertura no fue del todo limpia. Una identidad sintética detectada en la incorporación sirve de poco si la alerta nunca llega al equipo de monitoreo de transacciones o de cumplimiento.

Lo mismo se aplica al calendario de EDD. Un analista de BSA en un banco comunitario describió el seguimiento manual de la lista de clientes de alto riesgo, de cuándo vence la revisión de EDD de cada cliente y de cuándo corresponden las visitas en persona. Las fechas de vencimiento de la EDD y las visitas deben figurar en el registro del cliente, donde la calificación, las revisiones y el historial se guardan juntos.

Qué registrar para cada decisión de riesgo en la incorporación

Cada decisión de riesgo en la incorporación debe dejar un registro escrito que muestre cómo se llegó a la calificación. Un director de cumplimiento, BSA y estrategia de un banco comunitario describió la pregunta del examinador y por qué es importante el registro: «¿cómo determinó esto el sistema? Y si no lo tengo por escrito, no podré defenderlo». El registro es la respuesta a esa pregunta, preparada antes de que la formulen.

El expediente de cada solicitante debe mostrar:

• Las entradas de datos. La información de identidad, KYC, fraude y actividad prevista en la que se basó la calificación, detallando la fuente de cada una.

• La calificación y su motivo. El nivel asignado y los factores que situaron al solicitante allí, explicados de forma clara para cualquier revisor.

• Los controles ejecutados y sus resultados. Qué comprobaciones se realizaron, en qué orden y qué devolvió cada una, incluido cualquier reintento.

• Cualquier paso de verificación adicional y su porqué. Qué lo activó, qué se le solicitó al cliente y cuál fue el resultado.

• Cualquier anulación manual, con su motivo y quién la aprobó. Quién modificó la calificación o la decisión, cuándo y por qué.

• La fecha de vencimiento de la EDD. Para un cliente de nivel alto, la fecha de la próxima revisión de EDD.

• El historial de cada cambio de calificación. Cada movimiento entre niveles, con su fecha y motivo, no solo la calificación actual.

El historial importa tanto como la calificación actual. Un analista de BSA en un banco preguntó si un sistema podía mostrar cada cambio entre riesgo bajo, medio y alto, un «historial de calificación de riesgo a nivel de auditoría». Una calificación que solo puede verse en su estado actual no puede mostrar a un examinador cómo llegó allí.

La ponderación de los factores debe documentarse de forma que un revisor pueda entenderla. Un gerente de cumplimiento de AML en un operador de apuestas deportivas en línea preguntó si la elección de los coeficientes para un factor de riesgo «estaba documentada de forma muy clara y legible para los reguladores o auditores». Cuando un modelo matemático produce la calificación, la institución debe ser capaz de entenderlo y explicarlo por sí misma en primer lugar. Un director de cumplimiento en una entidad de financiación de automóviles señaló: «De este modo, podemos asegurarnos de que lo entendemos nosotros mismos».

La explicación también debe llegar a la persona que gestiona el caso. Cada decisión debe llevar sus motivos, para que un analista en la cola de revisión pueda ver por qué se aplicaron controles adicionales o se derivó al solicitante, sin tener que reconstruir el proceso. Un responsable de riesgos y cumplimiento en una entidad de crédito hipotecario describió esto como la pieza de gobernanza: cómo la institución tendrá «supervisión de la toma de decisiones y de la obtención de pruebas» y entregará esas pruebas al regulador.

Se permiten las anulaciones manuales, pero son la excepción. El director de cumplimiento, BSA y estrategia del banco comunitario citado anteriormente describió que encontró una gran cantidad de clientes calificados a mano dentro de un sistema de calificación de riesgos, y se preguntó qué sentido tenía el sistema si su puntuación automatizada se había desactivado de esa manera. Cada anulación manual debe llevar un motivo y una firma de aprobación; un número creciente de anulaciones es señal de que es necesario revisar los niveles.

Cada expediente de EDD debe estar completo en un solo lugar. Un analista de BSA en un banco señaló que cuando los auditores solicitan un expediente de EDD, toda la información, incluida la parte narrativa, debe estar junta. Un oficial de BSA en un banco comercial comunitario describió el estándar para el resultado: «Todo lo que el informe debe contener es lo que sea que los reguladores estén solicitando».

Quién es el propietario de los niveles

Los niveles expresan un apetito de riesgo, y la institución es la propietaria de este. Un vicepresidente de transformación de riesgos en un adquirente de comercios describió las tasas de aprobación como una política: «Es un apetito de riesgo». Cuando los solicitantes quedan fuera de lo que la institución ha decidido aceptar, «tu tasa de aprobación es tu tasa de aprobación». Los niveles, los desencadenantes y la autoridad de aprobación son políticas, aprobadas por las personas responsables de ese apetito de riesgo.

Para una fintech que opera a través de un banco socio, el estándar puede venir definido por el banco patrocinador. Un gerente de producto en un administrador de programas de BaaS describió el acuerdo: «Tenemos un proceso dictado por nuestro banco patrocinador». En ese modelo, el administrador del programa ejecuta el flujo de incorporación y la política del banco decide qué debe incluir cada nivel.

Los equipos de riesgo deben poder cambiar los niveles, los desencadenantes y las acciones correspondientes sin tener que esperar al equipo de desarrollo técnico. Una estructura de niveles que requiere un desarrollo de ingeniería para ajustarse se aleja del riesgo real para el que fue escrita, y el registro de por qué cambió se vuelve más difícil de mantener.

Las reglas del programa pueden cambiar. La propuesta de norma del programa AML/CFT de FinCEN, publicada el 10 de abril de 2026, sigue siendo una propuesta: a fecha de 30 de septiembre de 2026 no se ha emitido ninguna norma definitiva, y nada de lo que contiene constituye aún una obligación.

Ejecución de la incorporación basada en el riesgo con Oscilar

Oscilar ejecuta decisiones de incorporación, fraude, crédito y AML en una única plataforma, y su producto de incorporación de consumidores está diseñado para el enfoque por niveles que describe esta guía. La página de Oscilar sobre incorporación de consumidores basada en el riesgo describe flujos de trabajo de incorporación que se adaptan al perfil de riesgo de cada usuario, y verificaciones adicionales que activan la debida diligencia ampliada y pasos de verificación suplementarios cuando son necesarios. Oscilar orquesta los proveedores de KYC y verificación de identidad que una institución ya utiliza, añade inteligencia de dispositivos, biometría de comportamiento y enriquecimiento de datos como señales, y decide sobre el resultado combinado. Las comprobaciones de identidad y de documentos propiamente dichas proceden de esos proveedores.

Para el registro que solicitará un examinador, Oscilar mantiene una pista de auditoría completa por decisión con lógica almacenada, y mantiene la intervención humana por diseño. Su gestión de casos impulsada por IA ofrece a los analistas colas priorizadas, una visión holística de cada usuario y una explicación en lenguaje natural de por qué se creó un caso de incorporación. Los equipos de riesgo pueden realizar pruebas retrospectivas de un nuevo flujo de trabajo con datos históricos y pruebas A/B de los cambios antes de implementarlos, y la interfaz sin código (no-code) y de bajo código (low-code) de la plataforma les permite ajustar niveles y desencadenantes sin depender de ingeniería.

Oscilar cuenta con monitoreo automático de modelos que cubre la desviación de datos (data drift), la desviación de variables (feature drift) y la desviación de conceptos (concept drift), además de KPIs de resultados medidos por segmento, de modo que se puede vigilar una calificación basada en modelos a medida que cambia la población de clientes. La plataforma está especificada para tomar decisiones en menos de 100 milisegundos. Oscilar fue incluida en la lista FCC50 de Chartis de 2026, su clasificación de proveedores de tecnología contra el crimen financiero y cumplimiento normativo, con premios de categoría para Personalización Low-Code/No-Code e Innovación en IA Agéntica.

La elección del software de incorporación que ejecuta un flujo basado en el riesgo es una evaluación independiente, con sus propios criterios.

Preguntas frecuentes

¿Es la incorporación basada en el riesgo un requisito regulatorio?

Las normas exigen el enfoque basado en el riesgo, pero no un diseño específico del mismo. La regla CIP (31 CFR 1020.220) exige procedimientos basados en el riesgo para verificar la identidad, y la regla CDD (31 CFR 1020.210(a)(2)(v)) exige un perfil de riesgo del cliente y una debida diligencia continua basada en el riesgo. La sección de CDD del manual del FFIEC (2018) indica que no existen categorías obligatorias de perfiles de riesgo, por lo que el número de niveles y lo que añade cada uno de ellos es decisión de la institución y debe quedar documentado.

¿Significa un nivel de riesgo bajo pasar menos controles de identidad?

No. Los mínimos de la CIP en 31 CFR 1020.220 (nombre, fecha de nacimiento para personas físicas, dirección y un número de identificación, con la identidad verificada mediante procedimientos basados en el riesgo) se aplican a todos los clientes de todos los niveles. Un perfil de menor riesgo significa que se añaden menos controles por encima de ese nivel mínimo, hay menos fricción en la autenticación y las revisiones son menos frecuentes tras la apertura de la cuenta.

¿Qué debería activar la debida diligencia ampliada (EDD) en la apertura de la cuenta?

La debida diligencia ampliada debe iniciarse cuando el perfil de riesgo del cliente sitúa a un solicitante en el nivel alto que la política de la institución asigna a la EDD. Los desencadenantes típicos son un producto o relación que la evaluación de riesgos de la institución califica de mayor riesgo, información contradictoria o que no se puede verificar, y una combinación de indicadores que en conjunto superan a las explicaciones. La sección de CDD del manual del FFIEC (2018) indica que ningún indicador individual es necesariamente determinante, por lo que los desencadenantes deben redactarse como política y aplicarse de manera uniforme.

¿Con qué frecuencia se debe revisar la calificación de riesgo de un cliente?

La calificación de riesgo de un cliente debe revisarse según un calendario establecido por la propia calificación (revisando a los clientes de mayor riesgo con más frecuencia que a los de menor riesgo) y siempre que ocurra un evento que contradiga el perfil. La regla CDD exige un monitoreo continuo y, en función del riesgo, el mantenimiento y actualización de la información del cliente (31 CFR 1020.210(a)(2)(v)). La norma no establece un intervalo de tiempo, por lo que cada institución define y documenta el suyo propio, y los clientes bajo EDD se revisan en un ciclo fijo.

¿Puede un banco tratar a toda una categoría de clientes como de alto riesgo?

Un banco puede utilizar el tipo de cliente como un elemento más de un perfil, pero no debe calificar ni rechazar a una categoría entera basándose únicamente en eso. La declaración conjunta de las agencias de julio de 2022 señala que «ningún tipo de cliente presenta un único nivel de riesgo uniforme o un perfil de riesgo particular» y que los bancos deben gestionar y mitigar el riesgo relación por relación, en lugar de denegar el servicio a categorías enteras de clientes. La declaración es una guía de orientación y no añade nuevos requisitos.

¿Qué esperará ver un examinador detrás de una calificación de riesgo de incorporación?

Un examinador esperará ver por escrito cómo se determinó la calificación. Esto incluye los datos de entrada, el nivel asignado y sus motivos, los controles realizados y sus resultados, cualquier verificación adicional o anulación manual con su motivo y firma de aprobación, la fecha de la próxima revisión de EDD para clientes de nivel alto y el historial de cada cambio de calificación. La sección de CDD del manual del FFIEC (2018) espera que el perfil sea lo suficientemente detallado como para distinguir variaciones significativas en el riesgo, por lo que el expediente debe mostrar por qué este cliente terminó en este nivel.

La incorporación basada en el riesgo es sólida cuando el nivel mínimo es el mismo para todos, los niveles superiores están definidos por escrito y cada calificación puede explicarse a partir del expediente. Para ver cómo funciona esto en la práctica, lea sobre el enfoque de Oscilar para la incorporación de consumidores.