Auditoría de agentes: qué mira realmente el regulador

Cuando un supervisor abre una revisión bajo el marco Know Your Agent, la primera carpeta que pide no es la del rendimiento del fondo. Es la de la cadena de responsabilidad del agente. Ese detalle descoloca a bastantes equipos que llevan años documentando ejecuciones y P&L, pero que nunca formalizaron quién autorizó a un agente a operar, con qué límites y bajo qué vigilancia humana.

Los logs de trading, por sí solos, no responden a las preguntas que aparecen en el expediente. El regulador quiere ver el vínculo entre la clave que ejecutó la orden y la persona verificada que la habilitó, además de los umbrales operativos asignados a esa clave: tamaño máximo de posición, instrumentos permitidos, horarios de actividad y condiciones de parada automática. Si esa información vive dispersa en tickets de Jira y mensajes de Slack, la inspección se alarga y el fondo queda expuesto.

Los artefactos que conviene tener preparados

En la práctica, la evidencia se organiza en cuatro bloques. Primero, el registro de autorización de cada clave, con fecha de alta, perfil biométrico asociado y aprobación del responsable de cumplimiento. Segundo, la matriz de umbrales vigentes por agente, con su histórico de cambios y la justificación de cada ajuste. Tercero, los informes de incidentes: qué se detectó, cómo se contuvo, quién intervino y en cuánto tiempo. Cuarto, la bitácora de intervenciones manuales sobre agentes en producción, con nombre del operador, motivo y resultado.

Este último punto suele ser el más flojo. Muchos equipos documentan bien el arranque de un agente y muy mal lo que ocurre cuando alguien lo detiene a mano un viernes por la tarde. Sin embargo, es exactamente el tipo de evidencia que un supervisor interpreta como supervisión humana efectiva. Una intervención sin registro equivale, a efectos prácticos, a una intervención que no existió.

Formato de los informes de incidentes

No hay un formulario único, pero los supervisores esperan una estructura reconocible: identificación del agente y de la clave implicada, marca temporal, descripción del desvío respecto a los umbrales, acción tomada, responsable de la decisión y medida correctiva. Conviene mantener un formato estable durante todo el ejercicio, porque la comparabilidad entre incidentes pesa más que la extensión de cada informe.

Un error habitual es redactar los informes pensando en el equipo técnico. El lector de la auditoría suele ser un analista de cumplimiento que no distingue entre un fallo de inferencia y un fallo de conectividad, y que necesita entender por qué la situación se resolvió sin afectar a la gobernanza del agente. Traducir el incidente a lenguaje de control, no de ingeniería, ahorra rondas de preguntas.

Documentar la supervisión humana sin inflarla

La supervisión efectiva no se demuestra con un organigrama. Se demuestra con registros que muestren revisión periódica de umbrales, aprobación de cambios en la configuración del agente y respuesta ante alertas. Si el fondo tiene un comité que revisa el comportamiento de los agentes cada trimestre, ese acta es material de auditoría. Si no lo tiene, conviene crearlo antes de que llegue la carta del supervisor.

La preparación no consiste en generar más documentación, sino en asegurar que la que ya existe responde a la pregunta correcta: quién responde por este agente y cómo se demuestra. Los equipos que entienden esto llegan a la inspección con un expediente ordenado y salen con observaciones menores. Los que solo tienen logs de ejecución suelen salir con requerimientos formales y plazos de subsanación.