Alcance de preparación para la salida y arquitectura controlada
Y perímetro de decisión
objetivo del vendedor
Su objetivo de preparación para la salida es presentar un negocio inteligible, preservar la credibilidad negociadora, reducir sorpresas evitables y conservar la capacidad de gestión durante una transacción. El propietario también puede necesitar resolver la gobernanza familiar, los saldos intercompañía, los préstamos de accionistas, los acuerdos con partes relacionadas, los permisos informales y las estructuras de titulares nominales antes de que un comprador pueda evaluar el control.
La preparación para la salida es un programa de gestión. Integra el perímetro estratégico, la propiedad, las cuentas, la fiscalidad, las operaciones, los clientes, las personas, la tecnología, la propiedad intelectual, las licencias, el litigio, las cuestiones medioambientales y la protección de datos. Una data room creada sin una estrategia de divulgación puede exponer material incoherente o innecesario. Un informe redactado sin vínculos de origen verificados puede convertir una cuestión no resuelta en una afirmación engañosa.
objetivo del inversor
Un lector está interesado en la fiabilidad de la cadena de evidencia y en la gobernanza que la rodea. La pregunta relevante es si un equipo de transacción puede pasar de una afirmación del vendedor al registro subyacente, determinar quién revisó la conclusión e identificar las excepciones que siguen abiertas.
Los usuarios institucionales también necesitan comparabilidad. Una data room de una empresa privada puede utilizar registros contables, fiscales, de propiedad y de empleo locales. Un comité de inversiones puede evaluar la oportunidad a través de una óptica diferente de informes, valoración, sanciones, privacidad y gestión de riesgos. El paquete de VDD debe preservar el significado legal local y, al mismo tiempo, exponer una correspondencia clara con las preguntas de diligencia debida del comprador. La NIIF 3, los materiales de información financiera de las NIIF y los principios de datos, modelos y documentación de IVS proporcionan un contexto útil de información financiera y valoración [25-28,51]. Los principios de gobernanza corporativa de la OCDE añaden un marco de transparencia y derechos de los accionistas [50]. No sustituyen el asesoramiento contable o de valoración específico de la transacción.
Derechos de decisión
Límite del tema complementario
Diligencia debida del vendedor y preparación para la salida
Finalidad
La diligencia debida del vendedor es una investigación independiente o dirigida por un asesor, encargada por el vendedor y puesta a disposición de posibles compradores, sujeta a los términos acordados. Su alcance varía. La VDD financiera puede analizar la calidad de los beneficios, los ingresos, los márgenes, la conversión de efectivo, el capital circulante, la deuda neta, las previsiones y las políticas contables. La VDD fiscal puede considerar las declaraciones, el impuesto de sociedades, el IVA, los precios de transferencia, las aduanas, las nóminas y la estructura de la transacción. Las áreas de trabajo legal, comercial, operativa, tecnológica, de ciberseguridad, de RR. HH., ESG y otras pueden situarse junto a ella.
El documento utiliza la VDD como un proceso controlado de producción de información. No implica aseguramiento. La ISRS 4400 revisada del IAASB distingue los procedimientos acordados del aseguramiento y exige que los hallazgos fácticos se informen de acuerdo con los procedimientos acordados [24]. Las PCAOB AS 1105 y AS 1215 proporcionan una lógica útil de evidencia y documentación: relevancia, fiabilidad, fuente, controles, material contradictorio y un registro suficiente para entender el trabajo realizado [21,22]. La norma profesional aplicable depende del encargo, la jurisdicción y el profesional.
Preparación antes del lanzamiento
Un vendedor está operativamente preparado cuando el perímetro propuesto está definido, se ha reunido la evidencia central, los saldos significativos concilian, las excepciones importantes tienen responsables y fechas, los controles de intercambio de datos están implantados y el informe puede distinguir entre hechos, explicaciones de la dirección, análisis del asesor y asuntos no resueltos. La preparación no exige una empresa perfecta. Exige una posición de evidencia precisa y un plan controlado para los asuntos pendientes.
Asimetría de información
El vendedor conoce el historial operativo y puede carecer de un registro listo para la transacción. El comprador carece de ese historial y examina el negocio con una óptica de riesgo diferente. El diseño de la diligencia debida debe reducir la asimetría de información mediante la trazabilidad. El sistema nunca debe fabricar certeza. Un contrato ausente sigue ausente. Una explicación de la dirección sigue siendo una explicación de la dirección hasta que se corrobore. Una tendencia reportada sigue dependiendo de la integridad de la población, la política contable y la coherencia del periodo.
Figura 2. Programa de preparación de doce meses expresado como puertas de evidencia
Arquitectura agéntica controlada
Componentes
La arquitectura propuesta tiene siete capas: sistemas de origen; adquisición de solo lectura; registro de evidencia; conciliación determinista; herramientas de agentes con alcance limitado; revisión humana; y publicación autorizada. El sistema de origen sigue siendo la autoridad. El registro de evidencia registra un hash criptográfico, la fuente, la hora de adquisición, el propietario, la clasificación, el permiso, el período de la transacción y el estado de sustitución. El código determinista realiza totales, uniones, conversiones de divisas y cuadres. Los agentes organizan, analizan y redactan borradores utilizando esos objetos controlados.
Anthropic documenta un bucle agéntico en el que el modelo solicita una herramienta y la aplicación devuelve el resultado [34,35]. La documentación de agentes gestionados de Claude también expone políticas de permisos y conexiones MCP [36]. Se trata de capacidades de la plataforma. Un entorno de VDD de producción debe añadir controles específicos de la transacción para identidad, autorización, segregación, registro, retención, retención legal, revisión y exportación.
Contrato de herramienta
Cada herramienta necesita un contrato acotado. Una herramienta de listado de documentos puede devolver identificadores y clasificaciones. Una herramienta de lectura de documentos puede permitir carpetas seleccionadas y denegar material privilegiado o restringido. Una herramienta de conciliación de balances de comprobación puede aceptar un identificador versionado de balance de comprobación y una tabla de asignación, y devolver después diferencias exactas. Una herramienta de redacción de hallazgos puede crear un hallazgo propuesto con citas, mientras que una acción separada controlada por humanos lo acepta para incluirlo en un informe.
La guía de autorización de MCP exige tokens vinculados a la audiencia y rechaza el paso directo de tokens [41]. La guía de seguridad de MCP aborda los riesgos de delegado confundido y de acceso [42]. Las buenas prácticas para clientes exigen una identidad de servidor clara y control del usuario [43]. Las anotaciones de herramientas pueden comunicar características de solo lectura, destructivas, idempotentes y de mundo abierto [44]. El tutorial de autorización del protocolo añade contexto práctico de implementación [45]. Estos principios respaldan la regla de que un agente de diligencia debida recibe la capacidad mínima necesaria para la tarea actual.
Segregación
La guía de cero confianza de NIST centra las decisiones de acceso en usuarios, activos y recursos, sin confianza implícita basada en la ubicación de red [47,48]. La guía secure-AI de NCSC organiza los controles a lo largo del diseño, desarrollo, despliegue y operación, e identifica riesgos de inyección de prompts, envenenamiento de datos y cadena de suministro [32,33]. Estos principios son directamente pertinentes para un entorno de VDD que contiene registros valiosos y confidenciales.
Sin divulgación autónoma
Un agente nunca debe añadir un documento a una sala orientada al comprador, enviar una respuesta de diligencia debida, cambiar un registro financiero de origen, alterar un registro de titularidad ni aprobar un informe. Una publicación requiere un manifiesto aprobado que contenga el identificador del documento, la versión, el hash, la clasificación, el estado de revisión legal, el responsable del negocio y la audiencia de divulgación. La sala publicada debe poder reproducirse a partir de ese manifiesto.
Figura 3. Automatización de la construcción de salas de datos con procedencia y control de publicación
Fuente: marco Matchpoint; contexto de evidencia, privacidad y seguridad [8,9,19-23,32,33].
Objeto canónico de evidencia
Esquema mínimo
Cada entrada utilizada en un hallazgo debe estar representada por un objeto de evidencia. El objeto puede apuntar a un documento completo, una tabla, una fila, una cláusula contractual o el resultado de un registro externo. Separa lo que dice la fuente de cómo lo interpreta un analista.
Las notas de orientación de la PCAOB señalan que la fiabilidad de la información producida por una empresa depende de los controles sobre la exactitud e integridad, y que la información electrónica puede requerir una evaluación adicional [21,23]. Esta lógica respalda los controles a nivel de población antes de que un agente analice una exportación de hoja de cálculo. Un hash establece la identidad de los bytes adquiridos. No establece la veracidad, la integridad ni el tratamiento contable correcto.
Jerarquía de la evidencia
Los documentos firmados, los registros de reguladores o registros públicos, los extractos emitidos por bancos, las declaraciones presentadas y las cuentas anuales aprobadas suelen tener una autoridad como fuente mayor que los borradores sin firmar, las hojas de cálculo, los correos electrónicos o el recuerdo de la dirección. El contexto importa. Un contrato firmado puede haber sido modificado. Un extracto bancario puede excluir una cuenta distinta. Un registro puede estar desactualizado. La jerarquía debe guiar la revisión y nunca resolver silenciosamente una contradicción.
Contradicciones y sustitución
Cuando dos fuentes no coinciden, el sistema crea un registro de contradicción. Identifica ambos objetos de evidencia, la afirmación afectada, la materialidad, el responsable, la resolución propuesta y el estado actual. Eliminar o sobrescribir el registro más débil destruye un historial de diligencia debida útil. Los vínculos de sustitución conservan la versión anterior y el motivo por el que prevalece el nuevo registro.
Registros electrónicos
UAE El Decreto-ley Federal n.º 46 de 2021 dispone que un documento electrónico no pierde fuerza jurídica por el mero hecho de ser electrónico y regula el almacenamiento, las firmas, los sellos y los servicios de confianza [8]. La ley respalda la infraestructura de transacciones electrónicas. El asesor jurídico de la operación debe determinar el tratamiento probatorio de una firma, un documento o un requisito jurisdiccional concretos. El registro VDD debe conservar el estado de la firma, la información del certificado y la evidencia de validación cuando corresponda.
Figura 4. Trazabilidad de la evidencia desde la afirmación hasta la fuente original y el revisor
Fuente: Matchpoint marco de evidencia; contexto de evidencia de auditoría y documentación [21-24].
Evidencia de data room, financiera y de titularidad
Taxonomía del data room y automatización de su construcción
Taxonomía
Una taxonomía útil sigue las preguntas del comprador y, al mismo tiempo, preserva la estructura de fuentes del vendedor. El nivel superior puede abarcar corporativo y titularidad; finanzas; fiscalidad; comercial; clientes; proveedores; operaciones; inmuebles y activos; personas; pensiones y prestaciones; tecnología y ciberseguridad; propiedad intelectual; privacidad; regulatorio y licencias; litigios; seguros; ESG; y material específico de la operación.
Cada carpeta debe tener una declaración de alcance, un responsable, una clase de divulgación y una lista de verificación de aceptación. Una carpeta vacía debe significar uno de tres estados declarados: no hay material relevante; material solicitado y pendiente; o acceso restringido. Una carpeta vacía nunca debe interpretarse automáticamente como “no aplicable”.
Adquisición automatizada
Las tareas de adquisición deben ser deterministas e idempotentes. Capturan metadatos de origen, conservan los bytes originales, calculan un hash, escanean en busca de malware, clasifican el contenido y crean una entrada de índice propuesta. La salida de OCR y la extracción de tablas siguen siendo artefactos derivados. El original permanece disponible para revisión. Los documentos escaneados, protegidos con contraseña, corruptos o de baja confianza se derivan a tratamiento manual.
Clasificación y control de duplicados
El hash exacto detecta duplicados byte por byte. La detección de casi duplicados puede identificar copias renombradas, versiones escaneadas o documentos con encabezados modificados. Un agente puede proponer que dos elementos son duplicados. Un revisor determina si son legal o comercialmente equivalentes. Un acuerdo firmado y una copia de trabajo sin firmar pueden contener texto idéntico y tener distinto valor probatorio.
Manifiestos de completitud
Cada flujo de trabajo mantiene un manifiesto de población esperada. Para las cuentas bancarias, la población puede partir del plan de cuentas, la lista de tesorería, las confirmaciones bancarias y los desgloses de la declaración de impuestos. Para los contratos de clientes, puede partir del libro mayor de ingresos y del sistema de gestión de contratos. La completitud significa que estas poblaciones independientes se han conciliado o que las diferencias se registran explícitamente.
Privacidad desde el diseño
El marco de protección de datos UAE aborda el consentimiento u otras condiciones de tratamiento, los derechos de los interesados y los requisitos de transferencia transfronteriza [9]. La guía del ICO M&A recomienda a las organizaciones establecer qué datos personales se transfieren, por qué se recopilaron, la base jurídica, la documentación, la seguridad y la transparencia [19]. Los principios de protección de datos de la UE incluyen la limitación de la finalidad, la minimización, la limitación del almacenamiento, la exactitud, la confidencialidad y la responsabilidad [20]. Por lo tanto, la sala de diligencia debida debe utilizar la redacción a nivel de campo, el acceso controlado, los plazos y la finalidad registrada en lugar de copias indiscriminadas.
Motor de conciliación financiera
Grafo de conciliación
El control financiero central es un grafo, no una única hoja de cálculo. Vincula el libro mayor y el balance de comprobación con las cuentas estatutarias, las cuentas de gestión, las declaraciones de impuestos, las cuentas bancarias, los sublibros de ingresos, las cuentas por cobrar, las cuentas por pagar, la nómina, el inventario y los datos de previsión. Cada puente registra la asignación, el periodo, la moneda, la política contable, el ajuste manual, la fuente, el responsable y el revisor.
Un cálculo determinista debe realizar el cuadre. Un agente puede explicar las diferencias y reunir la evidencia de respaldo. Las respuestas numéricas deben producirse mediante código validado con precisión y redondeo declarados. El cálculo de forma libre por parte del modelo crea un riesgo evitable.
Del balance de comprobación a los resultados reportados
El sistema primero demuestra que el balance de comprobación está completo para cada entidad y periodo. Después asigna los códigos de cuenta a las líneas de los estados financieros y de los informes de gestión. Los asientos de consolidación, las eliminaciones, las diferencias de tipo de cambio, los asientos tardíos, los ajustes de periodos anteriores y las reclasificaciones reciben objetos de evidencia separados. Un puente que compensa partidas no relacionadas puede ocultar la causa de una diferencia.
Ingresos y efectivo
El análisis de ingresos debe conectar el contrato, el pedido, la ejecución, la factura, el libro mayor, la cuenta por cobrar y el efectivo. La ruta disponible varía según el modelo de negocio. Importan la completitud de la población, el corte, las notas de crédito, los descuentos, las devoluciones, las partes relacionadas y los asientos manuales inusuales. La NIC 2 es relevante para la valoración de inventarios y el reconocimiento de costes cuando el objetivo mantiene inventario [26]. El marco de información aplicable y la política requieren revisión profesional.
Calidad de los beneficios
Los ajustes de calidad de los beneficios deben representarse como registros propuestos en lugar de ediciones de la fuente EBITDA. Cada registro almacena el importe declarado, el ajuste propuesto, la categoría, el periodo, la evaluación de recurrencia, el efecto en efectivo, el efecto fiscal, la evidencia, la opinión de la dirección, la opinión del asesor y el estado de revisión. Los ajustes de run-rate, sinergias y previsiones necesitan un etiquetado especialmente claro porque van más allá del historial registrado.
Capital circulante y deuda neta
El análisis del capital circulante debe preservar las definiciones a nivel de cuenta, la estacionalidad, el perímetro de la operación, la fecha de corte y el método de normalización. El análisis de la deuda neta debe identificar por separado caja, préstamos, intereses devengados, arrendamientos, saldos con accionistas, contraprestación diferida, garantías, caja restringida y propuestas similares a deuda o similares a caja. La clasificación es una cuestión de negociación y asesoramiento. El agente puede elaborar el calendario de evidencia y el mapeo propuesto.
Figura 5. Grafo de conciliación financiera y registro de excepciones Fuente: marco financiero Matchpoint; contexto de reporte [21-28].
Fiscalidad, partes vinculadas y reestructuración
Registros del impuesto de sociedades
El Ministerio de Finanzas UAE proporciona el marco federal del impuesto de sociedades, y la Autoridad Tributaria Federal publica orientaciones y preguntas frecuentes sobre el impuesto de sociedades [10,11]. Una data room fiscal debe conectar el registro, el periodo fiscal, la declaración, los estados financieros, las elecciones, los cálculos, el pago, la correspondencia y los asuntos pendientes. Un justificante de presentación prueba la presentación. No prueba que la posición fiscal sea correcta.
Precios de transferencia y partes vinculadas
La guía de precios de transferencia de la FTA aborda el principio de plena competencia y la documentación [11]. El motor de VDD debe conciliar las partes vinculadas a través del libro mayor, los registros de propiedad, las declaraciones de los administradores, los contratos, la documentación fiscal y las confirmaciones de la dirección. Debe señalar las transacciones sin acuerdos, sin soporte de precios, sin evidencia de liquidación o sin una identidad coherente de la contraparte. El asesor fiscal determina la posición y la subsanación.
Reestructuración previa a la venta
Las reorganizaciones pueden alterar la propiedad, la base fiscal, las licencias, los contratos y las relaciones laborales. Las decisiones del Ministerio de Finanzas UAE abordan las transferencias intragrupo, la renta imponible y los beneficios fiscales por reestructuración [12]. Por lo tanto, una transferencia previa a la venta propuesta debe representarse como un grafo de dependencias con pasos legales, condiciones fiscales, asientos contables, aprobaciones y evidencia de finalización. Un agente puede supervisar las condiciones. No debe concluir que el beneficio fiscal es aplicable.
Alertas fiscales
Propiedad, personas nominales y gobernanza familiar
Titularidad real
La Decisión del Consejo de Ministros n.º 109 de 2023 exige un análisis de personas físicas basado en la titularidad, los derechos de voto o el control, con un umbral del 25 por ciento y el rastreo a través de cualquier número de personas jurídicas [1]. También considera el derecho a nombrar o destituir a la mayoría de los consejeros y utiliza un criterio subsidiario de alta dirección cuando no pueda identificarse al titular real [1,2]. La Recomendación 24 del GAFI y sus directrices exigen información suficiente, precisa y actualizada sobre la titularidad real [3,4].
El gráfico de titularidad de la VDD debe modelar a los propietarios legales, los titulares reales, las entidades intermedias, los fideicomisos o fundaciones cuando corresponda, los acuerdos de voto, las opciones, las prendas, los derechos de nombramiento de consejeros, las funciones de designado y los cambios a lo largo del tiempo. Cada arista necesita un documento fuente y una fecha de vigencia. Un gráfico basado únicamente en porcentajes puede pasar por alto el control.
Comprobaciones de consejeros designados
La decisión UAE define y regula a los consejeros designados y establece plazos de notificación [1]. El glosario del GAFI distingue a los designados de los titulares reales y se centra en las instrucciones de quien designa [5]. El flujo de trabajo de agentes debe comparar los registros mercantiles, las actas del consejo, los poderes notariales, los contratos de servicios, la correspondencia y las declaraciones para detectar indicios de que el título formal y la instrucción real difieren. Toda señal de este tipo requiere revisión por asesores jurídicos y por la dirección.
Gobernanza de la empresa familiar
El Decreto-Ley Federal n.º 37 de 2022 pretende regular la titularidad y la gobernanza de la empresa familiar, facilitar la transferencia generacional y apoyar la continuidad [6]. La preparación para la salida debe recoger el memorando, los acuerdos de accionistas, el protocolo familiar cuando corresponda, las restricciones a la transferencia, los derechos de adquisición preferente, los mecanismos de valoración, las disposiciones sobre conflictos, las medidas de sucesión y las aprobaciones. La operación propuesta puede requerir decisiones familiares y corporativas en vías distintas.
Sanciones y anticorrupción
La evaluación del programa de cumplimiento del DOJ pregunta cómo una empresa realiza la diligencia debida M&A, integra las entidades adquiridas y gestiona los riesgos de tecnologías emergentes, incluido AI [13]. La guía FCPA del DOJ y la SEC aborda la responsabilidad del sucesor y el cumplimiento de M&A [14]. El marco de cumplimiento de OFAC exige una evaluación del riesgo de sanciones y la integración del cumplimiento en M&A [15]. Las directrices de OFSI otorgan importancia a una diligencia debida razonable y documentada sobre la titularidad y el control [16]. Los materiales de la OCDE respaldan una diligencia debida integral basada en riesgos en las operaciones corporativas [17,18].
Estas fuentes son específicas de cada jurisdicción y dependen de los hechos. Respaldan una categoría de control, no una conclusión jurídica para cada operación. El vendedor debe registrar la fuente de cribado, los parámetros de búsqueda, la fecha, el análisis de titularidad, el revisor, la resolución de falsos positivos y el escalado.
Figura 6. Gráfico de titularidad y control de designados con señales de alerta respaldadas por evidencia
Fuente: marco de titularidad de Matchpoint; requisitos de UAE y del GAFI [1-7,52].
Flujos de trabajo comerciales, jurídicos y de señales de alerta
Análisis comercial, operativo y contractual
Poblaciones de clientes y proveedores
La diligencia debida comercial comienza con poblaciones reproducibles. Los maestros de clientes y proveedores deben conciliarse con los ingresos, las cuentas por cobrar, las compras, las cuentas por pagar, los contratos y la evidencia bancaria. Los nombres necesitan una tabla controlada de resolución de entidades. El sistema debe conservar la denominación social original, el nombre comercial, la relación con el grupo, el país, el identificador y el nivel de confianza de cada coincidencia propuesta.
Extracción de contratos
Un agente puede proponer la extracción de las partes, el plazo, la renovación, la terminación, el cambio de control, la cesión, la exclusividad, el precio, la indexación, el volumen, el nivel de servicio, la responsabilidad, la legislación aplicable y las disposiciones sobre notificaciones. El asesor jurídico revisa las cláusulas materiales y el efecto de las modificaciones. La confianza de la extracción debe ser específica por campo. Una confianza media alta puede ocultar una cláusula decisiva con baja confianza.
Concentración y rotación de clientes
El código determinista debe calcular la concentración de ingresos, la retención, la rotación de clientes, las métricas de precio-volumen-mezcla y las métricas de cohortes a partir de poblaciones aprobadas. Las explicaciones de la dirección, los motivos de pérdida de clientes y la clasificación del pipeline siguen siendo evidencia cualitativa separada. El informe debe indicar el denominador, la moneda, el período, el conjunto de entidades y el tratamiento de las adquisiciones o operaciones discontinuadas.
Afirmaciones operativas
Las afirmaciones operativas, como la capacidad, la utilización, la entrega puntual, la tasa de defectos, la cartera de pedidos, los ingresos recurrentes o el número de clientes activos, requieren definiciones y controles de las fuentes. Un agente puede comparar las afirmaciones entre los paquetes de información para el consejo, los materiales de ventas y los sistemas de origen, y luego crear registros de contradicciones. No debe seleccionar la cifra más favorable.
Puente de previsiones
La previsión debe tender un puente entre el ritmo de ejecución histórico y los supuestos de precio, volumen, cliente, producto, capacidad, contratación, capex y capital circulante. Cada supuesto almacena el propietario, la fuente, la aprobación y la sensibilidad. El agente puede identificar si una previsión depende de contratos no firmados, capacidad no disponible o financiación no resuelta. El consejo y los asesores siguen siendo responsables de la previsión.
Líneas de trabajo de Legal, RR. HH., PI, Privacidad y Ciberseguridad
Registros legales
La preparación legal incluye la constitución, los documentos constitutivos, la titularidad, las aprobaciones del consejo y de los accionistas, las licencias, los contratos materiales, la financiación, las garantías, los activos, los inmuebles, los litigios, los seguros y la correspondencia regulatoria. La Ley de Sociedades Mercantiles y sus modificaciones posteriores proporcionan el UAE marco de derecho societario [7]. También pueden aplicarse las normas de zona franca, de zona franca financiera y específicas de cada emirato. El asesor jurídico debe definir el régimen aplicable para cada entidad.
El agente puede indexar documentos, extraer fechas y partes, comparar registros, identificar firmas faltantes y derivar anomalías. Nunca debe decidir sobre el privilegio legal, la materialidad, la exigibilidad, la suficiencia de la divulgación o la exposición legal. Los documentos privilegiados permanecen fuera del contexto ordinario del modelo, salvo que el asesor jurídico cree expresamente un flujo de trabajo controlado.
Personas y empleo
La línea de trabajo de RR. HH. debe conciliar los datos maestros de empleados, la nómina, los beneficios, los visados, los contratos, los acuerdos de incentivos, las vacaciones devengadas, los ceses y los litigios. Los datos personales deben minimizarse antes del acceso al modelo. Los datos de empleados identificados pueden ser innecesarios para muchos análisis agregados. La evidencia redactada o seudonimizada puede respaldar pruebas de población mientras se conserva una clave separada bajo control restringido.
Propiedad intelectual
La cadena de evidencia de la propiedad intelectual conecta la creación, la cesión, el registro, la licencia, el repositorio de código fuente o de contenido, las condiciones contractuales de los contratistas y la dependencia de los ingresos. Un agente puede identificar a las personas o proveedores asociados al desarrollo relevante y compararlos con los registros de cesión. El asesor jurídico determina la titularidad y la remediación.
Privacidad y ciberseguridad
La línea de trabajo de privacidad debe identificar las categorías de datos personales, las finalidades, los sistemas, los encargados del tratamiento, la compartición, la conservación, los incidentes y los flujos transfronterizos. La línea de trabajo de ciberseguridad debe mapear los activos críticos, las identidades, el registro de eventos, las copias de seguridad, la gestión de vulnerabilidades, los incidentes, los terceros y las pruebas de recuperación. El Marco de Ciberseguridad 2.0 del NIST y las publicaciones sobre confianza cero proporcionan estructuras de gobierno y control de acceso [46-48]. La guía AI del NCSC añade controles para riesgos de modelos, datos y cadena de suministro [32,33].
Uso de AI en la sociedad objetivo
La evaluación de cumplimiento de septiembre de 2024 del DOJ plantea cómo la dirección evalúa los riesgos de AI, los integra en la gestión de riesgos empresariales, gobierna el uso de AI y previene el uso indebido [13]. Un vendedor preparado para una salida debe mantener un inventario de sistemas de AI, la finalidad empresarial, las fuentes de datos, la dependencia de proveedores y modelos, la supervisión humana, las pruebas, el historial de incidentes y la posición contractual. Las operaciones en la UE también pueden requerir una evaluación de aplicabilidad de la Ley AI; el Reglamento (UE) 2024/1689 establece un marco centrado en las personas y basado en riesgos con aplicación por fases [49]. Se requiere asesoramiento jurídico para el alcance y las obligaciones.
Motor de señales de alerta
Registro de hallazgos
Una señal de alerta es una excepción respaldada por evidencia que puede afectar al valor, el calendario, la estructura o la revelación de la transacción, o a la confianza del comprador. El registro debe separar la detección de la conclusión. Una prueba automatizada detecta una señal. Un analista la evalúa. Un responsable profesional o de la dirección determina la respuesta y la revelación.
Familias de detección
Las reglas deterministas son adecuadas para pruebas exactas: números de secuencia faltantes, pagos duplicados, diferencias de saldo, presentaciones tardías, contratos sin firmar, licencias caducadas, movimientos negativos del capital circulante o porcentajes de titularidad que no suman correctamente. Los métodos estadísticos pueden priorizar asientos contables, márgenes, clientes, transacciones o patrones de acceso inusuales. Los modelos de lenguaje pueden identificar inconsistencias semánticas entre narrativas y documentos. Cada método necesita una evaluación registrada de falsos positivos y falsos negativos.
Ejemplos de señales de alerta
Ejemplo ilustrativo: una distribuidora familiar presenta a una persona física como accionista. El registro mercantil, el acuerdo de accionistas y la correspondencia del consejo indican un acuerdo de testaferro y derechos de nombramiento en poder de otro miembro de la familia. El agente crea una señal que vincula los registros. El asesor jurídico determina el análisis de titularidad y revelación.
Ejemplo ilustrativo: las cuentas de gestión muestran AED 6 million de EBITDA ajustado. El puente del balance de comprobación contiene AED 1.2 million de normalizaciones propuestas, incluido un salario del propietario, un coste de asesoramiento puntual y un descuento anual a clientes no firmado. El sistema conserva las tres propuestas por separado. El asesor de VDD evalúa la recurrencia y la evidencia; el informe nunca convierte automáticamente las tres en EBITDA aceptado.
Ejemplo ilustrativo: el maestro de clientes muestra 420 clientes, mientras que la población de ingresos facturados contiene 447 entidades jurídicas. La resolución de entidades identifica nombres de grupos y variantes ortográficas, dejando 11 entidades facturadas sin conciliar. La conciliación permanece abierta hasta que finanzas confirme la población y el tratamiento.
Triaje
La gravedad debería combinar la calidad de la evidencia, el impacto plausible, la urgencia y la reversibilidad. Una etiqueta de grave nunca debería generarse únicamente a partir de la confianza del modelo. La extracción con alta confianza de un asunto menor puede ser comercialmente intrascendente. La identificación con baja confianza de un posible problema de titularidad o sanciones puede requerir revisión humana inmediata.
Figura 7. Flujo de trabajo de detección, adjudicación y cierre de señales de alerta
Fuente: Matchpoint marco de control de hallazgos [13-24,29-33].
Redacción, revisión, seguridad y aceptación
Flujo de trabajo de redacción del informe Vdd
Redacción basada en afirmaciones
El generador de informes debería trabajar a partir de un registro de afirmaciones aprobado. Cada afirmación contiene una declaración, alcance, periodo, unidades, citas de evidencia, identificador de cálculo, estado, revisor y limitaciones. El agente de redacción convierte las afirmaciones aceptadas en narrativa y tablas. No puede crear una declaración relevante sin cita.
Roles de las fuentes
El informe debería distinguir cuatro roles de fuente:
Hecho registrado: directamente respaldado por una fuente controlada.
Resultado calculado: producido por lógica determinista aprobada a partir de entradas controladas.
Explicación de la dirección: atribuida a la dirección y respaldada o no corroborada según se indique.
Hallazgo del asesor: análisis profesional dentro de un proceso de encargo y revisión.
Esta separación impide que una explicación de la dirección se vuelva a presentar como un hecho establecido de forma independiente. También permite al lector reproducir una tabla calculada e identificar el corte de datos utilizado.
Controles de redacción
El contexto del modelo debe contener únicamente la evidencia aprobada y el conjunto de afirmaciones para la sección actual. El prompt de redacción debe prohibir las inferencias no declaradas, exigir identificadores de evidencia integrados en el texto y poner de manifiesto las contradicciones. Un posprocesador determinista debe comprobar cada cifra contra el registro de cálculos, cada período definido contra el perímetro y cada cita contra una fuente publicada.
Ciclo de revisión
PCAOB AS 1215 exige documentación suficiente para comprender los procedimientos, la evidencia y las conclusiones en un contexto de auditoría [22]. No caracteriza el informe VDD como una auditoría.
Confianza y control de versiones
El informe emitido recibe una versión, fecha, alcance, destinatario, posición de confianza y hash. Los cambios posteriores a la emisión requieren un suplemento controlado o una reemisión. Un panel en tiempo real puede ayudar a seguir las actualizaciones, pero el lector debe seguir sabiendo qué evidencia y qué versión del informe rigieron una decisión.
Revisión humana y aprobación final
Control de cuatro ojos
Todo hallazgo material debe tener un preparador y un revisor independiente. La independencia se basa en roles y tiene en cuenta los conflictos. Un administrador del sistema que mantiene el flujo de trabajo puede confirmar la ejecución, pero no puede sustituir al revisor financiero, jurídico o fiscal. El registro de aceptación nombra cada rol y conserva evidencia con marca temporal.
Acciones reservadas
Las acciones reservadas incluyen definir el perímetro de la operación; determinar la titularidad legal y efectiva; aprobar ajustes contables; expresar conclusiones fiscales, jurídicas o de valoración; decidir sobre el privilegio; aceptar una manifestación de la dirección; aprobar la divulgación; emitir el informe VDD; y responder a un comprador sobre un asunto material. Los permisos de las herramientas deben hacer que estas acciones no estén técnicamente disponibles para el agente.
Escalamiento
Las reglas de escalado deben ser explícitas. Algunos ejemplos son una contradicción en la titularidad, una posible coincidencia con sanciones, evidencia de mala conducta, ausencia de cuenta bancaria, laguna material en la presentación de impuestos, sospecha de violación de datos, dependencia del pronóstico respecto de un contrato no firmado o instrucción de omitir un registro relevante. El flujo de trabajo detiene el resultado afectado y enruta la evidencia al propietario correspondiente. Debe conservar el desencadenante y la respuesta sin exponer contenido restringido a usuarios no autorizados.
Manifestaciones de la dirección
Los registros de manifestaciones de la dirección deben indicar la pregunta exacta, la persona que responde, la autoridad, la fecha, la respuesta, la salvedad y la evidencia de respaldo. Una respuesta de chat copiada en un informe carece de contexto adecuado. El sistema puede organizar y comparar las manifestaciones a lo largo del tiempo. Debe señalar las respuestas modificadas y conservar ambas versiones.
Seguridad, MCP y diseño de permisos
Identidad
Cada persona, agente, servicio y herramienta recibe una identidad diferenciada. Las cuentas compartidas impiden la atribución. Los tokens de corta duración y vinculados a la audiencia, junto con ámbitos específicos para cada finalidad, se ajustan a la guía de autorización de MCP [41]. El entorno de ejecución debe rechazar la transmisión directa de tokens y evitar que un servidor MCP utilice un token de cliente con un servicio descendente para el que no fue emitido.
Matriz de permisos
Inyección de prompts y evidencia envenenada
Un documento puede contener instrucciones destinadas a manipular un modelo. La guía de NCSC identifica amenazas de inyección de prompts y envenenamiento de datos [32,33]. La capa de ingesta debe tratar el texto de los documentos como datos no confiables, separar las instrucciones del sistema del contenido, deshabilitar las llamadas arbitrarias a herramientas durante la extracción, restringir las conexiones salientes y exigir salidas válidas según el esquema. Un documento que diga «ignore las instrucciones anteriores» sigue siendo texto de evidencia.
Pérdida y exfiltración de datos
El sistema debe impedir la copia, la descarga, el acceso web y la retención por parte del modelo sin restricciones. El registro debe capturar el actor, la herramienta, los identificadores de evidencia, la finalidad, el identificador de salida y la decisión de política. Los registros necesitan sus propios controles de confidencialidad, integridad y retención. El resultado de una herramienta debe devolver el mínimo de campos necesarios para la tarea.
Riesgo de proveedores y modelos
La investigación de Anthropic sobre agentes confiables, medición de la autonomía y desalineación agéntica simulada respalda una supervisión explícita, pruebas y cautela en entornos sensibles [38-40]. El trabajo sobre desalineación informa de experimentos simulados y señala que los autores no tenían conocimiento de este comportamiento en implementaciones del mundo real [40].
Figura 8. Matriz de permisos y autoridad de transacción con privilegio mínimo
Fuente: marco de seguridad de Matchpoint; guía de MCP, NIST y NCSC [32,33,41-48].
Evaluación y aceptación de agentes
Unidades de evaluación
La evaluación de agentes debe utilizar tareas representativas de transacciones en lugar de benchmarks generales de lenguaje. Las unidades incluyen clasificación de documentos, extracción de cláusulas, conciliación de poblaciones, detección de hallazgos, precisión de citas, manejo de contradicciones, selección de herramientas, abstención y escalado. La guía de Anthropic sobre evaluaciones de agentes hace hincapié en tareas, evaluadores y análisis empírico [37]. El RMF de NIST AI y el Perfil Generativo AI organizan la gobernanza, el mapeo, la medición y la gestión del riesgo [29-31].
Verdad de referencia
Un revisor cualificado crea o aprueba la respuesta de referencia. Los casos difíciles o ambiguos deben conservar un registro de adjudicación. La verdad de referencia puede incluir variantes de respuesta aceptables y abstención explícita. El conjunto de evaluación debe representar documentos escaneados, enmiendas, registros multilingües, tablas, páginas faltantes, casi duplicados, evidencia contradictoria y archivos restringidos.
Métricas
Pruebas adversariales
La suite debe incluir inyección de prompts en documentos, nombres de archivo engañosos, texto oculto, archivos corruptos, solicitudes no autorizadas, registros obsoletos, contratos contradictorios, totales manipulados, exportaciones parciales y una herramienta que devuelva un error. El agente debe preservar la incertidumbre y detener las conclusiones afectadas. Una demostración exitosa con documentos limpios no satisface la puerta de control.
Umbral de aceptación
Los umbrales dependen del impacto de la tarea. Los totales financieros exactos deben requerir coincidencia determinista. Una herramienta de extracción de cláusulas legales puede requerir una exhaustividad muy alta y revisión obligatoria. Una sugerencia de carpeta de bajo riesgo puede tolerar más error. El registro de lanzamiento debe indicar el conjunto de datos, la versión, el modelo, los prompts, las herramientas, los umbrales, los resultados, las limitaciones conocidas y el aprobador.
Hoja de ruta, caso operativo y limitaciones
Hoja de ruta de preparación de doce meses
Calendario condicionado a la evidencia
El análisis considera una hoja de ruta de doce meses comprimida por flujos de trabajo agénticos. No se proporcionaron datos observados del programa para establecer un ratio de compresión. Los equipos pueden ejecutar líneas de trabajo independientes en paralelo una vez conocidas las dependencias y la capacidad. Deben registrarse los días transcurridos reales, las horas de revisión, el retrabajo, las excepciones y los resultados de las transacciones.
Paralelización
El trabajo en paralelo es seguro cuando las líneas de trabajo tienen fuentes independientes e interfaces claras. La extracción de contratos puede avanzar mientras se revisa el mapeo del balance de comprobación. El análisis de titularidad puede bloquear las conclusiones sobre partes relacionadas y sanciones. La conciliación financiera histórica debe preceder a las conclusiones sobre la calidad de los beneficios. La clasificación de privacidad debe preceder al acceso amplio al modelo o a los asesores.
Objetivo de velocidad de máquina
«Velocidad de máquina» debe significar la ejecución rápida de una tarea controlada y repetible una vez que se dispone de evidencia aprobada. Los ejemplos incluyen el cálculo de hash de 10.000 archivos, la prueba de una población de un libro mayor, la comparación de campos definidos o la regeneración de un borrador citado. No debe implicar juicio profesional instantáneo, remediación de la fuente, respuesta de la dirección ni acuerdo del comprador.
Registro de capacidad
El programa registra el tiempo de ejecución máquina, el tiempo del revisor, el tiempo del propietario de la fuente, la acumulación de excepciones y el retrabajo. Una automatización que reduce el tiempo de extracción y aumenta el ruido en la revisión puede elevar el esfuerzo total. La unidad válida es la evidencia aceptada o el hallazgo aceptado por hora de extremo a extremo, con las puertas de calidad y riesgo satisfechas.
Figura 9. Cronograma de preparación, flujos de trabajo paralelos e hitos de aceptación
Caso operativo ilustrativo
Escenario
Ejemplo ilustrativo: un grupo familiar de distribución y servicios con sede en UAE está considerando una venta de participación mayoritaria. Tiene tres entidades operativas, dos vehículos de holding heredados, 235 empleados, varios acuerdos inmobiliarios con partes vinculadas y siete años de registros financieros divididos entre dos sistemas contables. El escenario es ficticio y demuestra el marco. No es un Matchpoint ni un caso de cliente.
Backlog de referencia
El inventario inicial contiene 8.400 archivos. Los hashes exactos identifican 1.120 duplicados byte a byte. La lógica de casi duplicados propone 340 grupos candidatos. El sistema crea 460 excepciones de OCR o extracción de baja confianza. Finanzas identifica AED 2.4 million de diferencias entre el balance de comprobación y las cuentas de gestión entre periodos. El asesor jurídico identifica una declaración de titularidad nominal sin resolver y un arrendamiento con una parte vinculada. Estas cifras son ilustrativas y no representan un rendimiento observado.
Ejecución controlada
El servicio de ingesta conserva los originales y crea entradas de índice propuestas. El código determinista de Finanzas mapea el balance de comprobación, y el agente redacta explicaciones para cada diferencia utilizando el registro de evidencia. El asesor jurídico revisa el gráfico de titularidad y crea la descripción autorizada. Los asesores fiscales revisan registros y declaraciones de partes vinculadas. El agente de redacción de VDD recibe únicamente afirmaciones aceptadas.
Límite de resultados
El escenario puede ilustrar la contabilidad de la carga de trabajo sin atribuir beneficios. Supongamos 1.000 unidades de tarea automatizadas, 180 excepciones de revisión y 35 hallazgos materiales. Esas cifras solo respaldan la planificación de la capacidad. Una afirmación de tiempo ahorrado requeriría una línea base manual comparable, un alcance idéntico, un ajuste por calidad, mano de obra registrada y resultados observados. Una afirmación de valor preservado requeriría un registro de transacción causal y aprobado.
Decisión
El hito de preparación permanece cerrado mientras el asunto de titularidad nominal, las diferencias financieras y el arrendamiento con una parte vinculada carecen de conclusiones aprobadas. La automatización ha hecho visibles y reproducibles los elementos abiertos. No ha resuelto su significado jurídico, contable o comercial.
Economía, capacidad e implementación
Marco de medición
Un caso de negocio de implementación debería medir el coste de adquisición, el coste de plataforma y modelo, la integración, la seguridad, la evaluación, la revisión profesional, la remediación de fuentes, la operación continua y la respuesta a incidentes. Los beneficios pueden observarse como menos horas de extremo a extremo para un resultado aceptado, menor tiempo transcurrido entre hitos aprobados, menos retrabajo, mayor cobertura de la población o menos preguntas del comprador causadas por lagunas de evidencia evitables. Cada métrica necesita una línea base y un responsable de aprobación.
Estados de la evidencia
No se proporcionó ningún benchmark aprobado de cliente real, línea base de mano de obra, resultado de transacción o resultado financiero atribuido. No se afirma ningún Matchpoint ni resultado financiero de cliente.
Inicio de la implementación de noventa días
Los días 1 a 15 definen la autoridad, el perímetro, las clases de datos, las acciones prohibidas y las tareas de evaluación. Los días 16 a 30 construyen el registro de evidencia y un conector de solo lectura. Los días 31 a 45 implementan una conciliación determinista y un libro de excepciones. Los días 46 a 60 añaden un agente acotado para la clasificación y la redacción con citas. Los días 61 a 75 realizan una evaluación adversarial y una revisión profesional. Los días 76 a 90 ejecutan un flujo de trabajo controlado y deciden si la evidencia respalda la ampliación.
Alcance mínimo viable
El primer alcance de producción debería ser una entidad, un período histórico, un sistema de origen y un flujo de trabajo con un revisor cualificado. Un ejemplo adecuado es la conciliación entre el balance de comprobación y las cuentas de gestión, o una verificación de exhaustividad de documentos corporativos. El alcance debería excluir la emisión del informe final, la comunicación con el comprador y la divulgación autónoma.
Comprar, construir o asociarse
La elección operativa depende de la sensibilidad de los datos, la disponibilidad de conectores, la arquitectura de seguridad, la capacidad de revisión, el flujo de trabajo personalizado, el volumen y la frecuencia de transacciones. Las afirmaciones de los proveedores deben probarse en el entorno del vendedor. La revisión del contrato debería cubrir el uso de datos, la retención, los subprocesadores, el entrenamiento de modelos, la ubicación geográfica, la seguridad, la respuesta a incidentes, la disponibilidad, la exportación, la eliminación y los derechos de auditoría.
Limitaciones y conclusión
Limitaciones
Este artículo es un marco de diseño. Los casos ilustrativos no establecen rendimiento. Los requisitos legales, fiscales, contables, de auditoría, de valoración, de sanciones, de privacidad y de empleo dependen de los hechos, la jurisdicción, el encargo y la legislación vigente. Los sistemas de origen pueden estar incompletos o ser incorrectos. Las capacidades de los modelos y de los proveedores cambian. El comprador sigue teniendo derecho a realizar una diligencia debida independiente.
Conclusión
Los flujos de trabajo agénticos pueden apoyar la preparación para la salida cuando cada resultado relevante permanece vinculado a evidencia controlada, cálculo determinista y autoridad humana designada. El activo central es el grafo de evidencia: origen, hash, perímetro, transformación, contradicción, revisor y estado de publicación. La sala de datos, el libro de conciliación, el registro de alertas y el informe se convierten entonces en vistas sobre el mismo registro gobernado.
El marco sitúa la velocidad después de la admisibilidad. Un archivo puede procesarse rápidamente y seguir siendo inutilizable. Un informe puede redactarse rápidamente y seguir sin respaldo. Un programa de doce meses puede reorganizarse en puertas de evidencia paralelas, mientras que la mejora del tiempo transcurrido debe medirse. La posición más sólida del vendedor es una relación precisa y reproducible de lo que se conoce, lo que se calcula, lo que declara la dirección y lo que sigue sin resolverse.
La recomendación de implementación es un único flujo de trabajo acotado: una entidad, un período, un registro de evidencia, una conciliación determinista, un asistente agéntico, un revisor profesional y un registro de aceptación. La ampliación depende de la calidad medida, el cumplimiento de permisos, la capacidad del revisor y el valor aprobado. La autoridad sobre la transacción sigue correspondiendo a la dirección y a los profesionales designados.
