AI para la diligencia debida de fondos: construcción de un grafo de evidencia a partir de DDQ, data rooms y llamadas

1. Considerar la diligencia debida como una cadena de evidencia

La diligencia debida de fondos es un proceso de decisión basado en evidencia. El inversor se pregunta si un gestor cuenta con las personas, los procesos, los controles, los incentivos, los recursos y el historial de resultados para ejecutar la estrategia propuesta dentro de los límites de riesgo acordados. La respuesta rara vez está contenida en un solo documento. Surge de una cadena que vincula una declaración del gestor con registros de respaldo, comprobaciones independientes, el juicio del revisor, excepciones y condiciones.

El ILPA DDQ 2.0 proporciona una estructura de preguntas de mercados privados ampliamente utilizada y un apéndice de documentos solicitados. Su valor va más allá de la estandarización. Ayuda a definir qué debe preguntarse, qué materiales de respaldo pueden esperarse y cómo puede un inversor comparar gestores. Sin embargo, un DDQ completado sigue siendo una declaración del gestor. Un proceso de diligencia debida sólido contrasta las declaraciones materiales con documentos constitutivos, cuentas auditadas, datos de cartera, políticas, registros de proveedores de servicios, divulgaciones regulatorias, verificaciones de antecedentes y evidencia de llamadas.

Una carpeta puede mostrar que existe una política. No muestra a qué pregunta responde la política, si se aplica al vehículo propuesto, si estuvo vigente durante el período pertinente, si la práctica coincide con la política o si otro documento la contradice. Una hoja de cálculo puede realizar un seguimiento de las solicitudes, aunque resulta difícil preservar la procedencia a nivel de párrafo, las versiones, las relaciones entre entidades y el razonamiento del revisor a medida que crece el conjunto de evidencia.

Un grafo de evidencia resuelve el problema de las relaciones. Cada objeto importante recibe un identificador estable y cada conexión tiene un tipo. Una afirmación puede estar respaldada por una política, contradicha por una transcripción de llamada y matizada por una carta lateral. Una persona clave puede desempeñar funciones en el gestor, el socio colectivo, el comité de inversiones y las empresas de la cartera. Un control de valoración puede describirse en el DDQ, regirse por una política y estar evidenciado por las actas del comité. El grafo conserva estas distinciones.

El grafo conserva la procedencia y separa las declaraciones del gestor, los registros de origen, los hallazgos del revisor y las decisiones aprobadas.

Tabla 1. Objetos centrales del grafo de evidencia

Los identificadores estables y las versiones fechadas permiten reproducir el registro de diligencia debida después de la aprobación.

2. Definir la ontología de la diligencia debida antes de seleccionar la tecnología

Una ontología establece qué necesita saber el equipo de diligencia debida y cómo se relacionan los conceptos. La tecnología seleccionada antes de la ontología a menudo automatiza un proceso inconsistente. El punto de partida es una taxonomía de preguntas que abarca organización, titularidad, gobernanza, estrategia, equipo, historial de resultados, construcción de cartera, riesgo, valoración, operaciones, cumplimiento, ciberseguridad, proveedores de servicios, sostenibilidad, términos legales, comisiones, conflictos y elaboración de informes.

La taxonomía debe distinguir una entidad de un rol y un rol de una persona. Una sociedad gestora, un socio colectivo, un asesor de inversiones, un vehículo de fondo, un vehículo de carried interest y una empresa participada pueden tener propietarios y administradores solapados. Una persona puede ser una persona clave según los documentos del fondo, miembro de un comité con derecho a voto y ejecutivo de otra entidad. Estas relaciones importan para la gobernanza, los conflictos, la concentración y la sucesión.

Las afirmaciones requieren su propia estructura. Una declaración de que el gestor nunca ha sufrido un incidente cibernético material tiene un declarante, un alcance de entidad, un periodo de tiempo, una definición de materialidad y una fecha. Sin esos atributos, la evidencia posterior no puede compararse de forma justa. Una declaración sobre el historial de resultados bruto debe identificar estrategia, atribución, moneda, fecha de valoración, tratamiento del apalancamiento, comisiones y estado realizado. La ontología debe almacenar la definición junto con la cifra.

Los controles también necesitan estructura. Una política es una declaración de diseño. La evidencia de funcionamiento puede incluir aprobaciones, registros, muestras, actas, pruebas, incidentes y remediación. Por lo tanto, el grafo debe conectar un objetivo de control con la política, el responsable del control, la evidencia operativa, el resultado de la prueba y la excepción. Esto evita que un documento de política se trate como prueba de que el control funcionó eficazmente.

La ontología debe seguir siendo práctica. Cada campo necesita un uso para la toma de decisiones, una finalidad de información o un requisito de control. Los campos excesivos crean una falsa sensación de exhaustividad y ralentizan a los revisores. Un diccionario controlado, un proceso de cambio y una correspondencia con el DDQ permiten que el modelo evolucione sin romper los registros anteriores.

3. Construir un límite de ingesta que proteja la integridad de las fuentes

El corpus de diligencia debida puede contener datos personales confidenciales, información de sociedades participadas, asesoramiento jurídico, datos de inversores y modelos comercialmente sensibles. Por tanto, la ingesta comienza con la autorización, la clasificación y el acceso. El equipo debe documentar qué datos pueden procesarse, dónde pueden almacenarse, qué modelo o servicio puede recibirlos, cuánto tiempo se conservan y cómo se eliminan.

Cada archivo recibido debe conservarse en su forma original con un hash criptográfico, la hora de recepción, la ubicación de origen y una etiqueta de acceso. Se puede convertir una copia de trabajo para búsqueda o extracción. El original sigue siendo el ancla probatoria. El reconocimiento óptico de caracteres, el análisis de hojas de cálculo, la transcripción y la conversión de documentos pueden introducir errores; el texto derivado debe conservar una referencia a la página, celda, diapositiva o marca temporal de la que procede.

El control de versiones es fundamental. Los archivos de la data room pueden sustituirse sin un historial visible. Una política puede cargarse en varias versiones. Un DDQ actualizado puede modificar una respuesta tras una impugnación. El sistema no debe sobrescribir la evidencia anterior. Debe registrar la sustitución, identificar qué cambió y determinar si los hallazgos previos requieren revisión.

Las llamadas requieren una gobernanza informada. El equipo debe confirmar si la grabación o la transcripción son lícitas y acordadas, distinguir el texto de la transcripción de las notas del revisor y conservar las marcas temporales. La atribución de los interlocutores debe verificarse para las declaraciones relevantes. Una nota concisa de la llamada puede seguir siendo el registro fehaciente cuando la grabación no sea adecuada.

Los servicios de terceros AI crean una dependencia adicional. Los materiales de IOSCO y FCA hacen hincapié en la rendición de cuentas, las competencias, la supervisión y el riesgo de terceros. El responsable de la diligencia debida debe aprobar a los proveedores, las clases de datos permitidas, los controles de seguridad, las condiciones contractuales, el registro de eventos, los cambios de modelo, la respuesta a incidentes y las disposiciones de salida. La evidencia sensible no debe enviarse a un servicio de consumo bajo una cuenta individual.

Tabla 2. Campos de ingesta controlada y procedencia

El contenido derivado permanece vinculado a la fuente inmutable y a sus condiciones de acceso.

4. Vincular las preguntas del DDQ con los requisitos de evidencia

Una matriz de cobertura del DDQ debe responder más que si se recibió una respuesta. Para cada pregunta, debe identificar la evidencia esperada, la respuesta del gestor, la cobertura de la fuente, la conclusión del revisor, las excepciones y el seguimiento. Una respuesta completa puede seguir sin respaldo; un documento puede ser relevante sin abordar la pregunta; y una respuesta puede ser coherente internamente y, al mismo tiempo, entrar en conflicto con registros independientes.

La matriz comienza con la materialidad. Las preguntas que afectan la existencia jurídica, la situación regulatoria, la titularidad, la dependencia de personas clave, la integridad del historial de resultados, la valoración, la custodia, el control de efectivo, los conflictos, las sanciones, la resiliencia cibernética y las condiciones del fondo suelen requerir revisión directa. Los asuntos administrativos de menor riesgo pueden utilizar verificación por muestreo. La materialidad debe aprobarse y ser susceptible de ajuste cuando un nuevo hecho cambie el riesgo.

La cobertura debe utilizar estados separados. Recibido significa que llegó el elemento solicitado. Que responde significa que aborda la pregunta. Respaldado significa que la fuente aporta evidencia de la afirmación. Vigente significa que la evidencia cubre el periodo relevante. Coherente significa que concuerda con otra evidencia material. Revisado significa que un profesional responsable inspeccionó la fuente y registró una conclusión. Estos estados nunca deben reducirse a un único porcentaje.

La matriz también puede identificar la dependencia de la evidencia. Varias respuestas pueden depender de la misma política o del mismo informe de proveedor de servicios. Si esa fuente está obsoleta o fuera del alcance, varias preguntas se ven afectadas. El gráfico hace visible esta dependencia y permite al equipo actualizar todos los hallazgos conectados cuando llegue nueva evidencia.

Un indicador verde de recepción no establece respaldo, vigencia, coherencia ni una revisión humana completada.

Tabla 3. Estados de cobertura y acción requerida del revisor

Cada estado es comprobable de forma independiente y puede informarse por materialidad y flujo de trabajo.

5. Utilice AI para tareas de evidencia acotadas

AI resulta útil cuando la tarea es repetitiva, la evidencia es voluminosa y el resultado puede comprobarse. La clasificación puede encaminar un documento a un flujo de trabajo. La extracción puede identificar nombres, fechas, honorarios, compromisos, proveedores de servicios, controles y términos definidos. La recuperación semántica puede mostrar pasajes relevantes para una pregunta. La comparación puede resaltar respuestas de DDQ o cláusulas de políticas que hayan cambiado. La resolución de entidades puede proponer vínculos entre personas y vehículos. El triaje de excepciones puede clasificar la evidencia faltante o contradictoria para su revisión.

El sistema debe separar la recuperación de la conclusión. Un modelo puede localizar pasajes que analicen conflictos de valoración. No debe decidir que los conflictos están adecuadamente controlados sin una prueba aprobada y el juicio humano. Un modelo puede calcular si las filas del historial de resultados cuadran con los totales. No debe determinar la calidad de la atribución cuando los roles de las operaciones, los derechos de los predecesores o las definiciones de estrategia siguen en disputa.

Los prompts y esquemas deben tener versiones. Cada extracción debe indicar el modelo, la configuración, la versión del prompt, la hora, los identificadores de la fuente y el resultado de confianza o validación. Los resultados materiales necesitan citas a nivel de página, párrafo, celda o marca temporal. La prosa del modelo que no esté respaldada debe excluirse del grafo de evidencia.

Siempre que sea posible, deben utilizarse comprobaciones deterministas. Las fechas, los totales, los identificadores duplicados, las columnas faltantes, los errores de fórmulas y la verificación cruzada de totales suelen comprobarse mejor con código que con texto generado. AI puede explicar anomalías una vez preservado el cálculo. Esta separación mejora la repetibilidad y reduce el riesgo de que un lenguaje fluido oculte un error numérico.

Los revisores humanos deben recibir el pasaje de origen, el contexto circundante, la extracción propuesta, el motivo de la coincidencia y cualquier evidencia contradictoria. Las acciones de revisión deben ser rápidas de registrar: aceptar, modificar, rechazar, escalar o solicitar evidencia. El sistema aprende operativamente mediante reglas y plantillas controladas, no mediante cambios invisibles en un modelo no gobernado.

6. Calificar la confianza de la fuente sin crear una falsa precisión

La confianza de la fuente es un juicio estructurado sobre cuánto peso merece una fuente para una afirmación concreta. No es una puntuación general de reputación. Un estado financiero auditado puede aportar evidencia sólida sobre saldos históricos dentro de su alcance. Puede aportar poca evidencia sobre la capacidad actual del equipo. Una llamada con el director de operaciones puede explicar un control, mientras que las muestras operativas y el aseguramiento independiente aportan evidencia más sólida de que funcionó.

La escala de confianza debe evaluar la autoridad, el carácter directo, la vigencia, la exhaustividad, la consistencia y la susceptibilidad al conflicto. Los registros regulatorios o legales independientes pueden situarse en un nivel alto para el estatus y la titularidad. Los documentos del fondo firmados son autoritativos para los términos contractuales. Las cuentas auditadas son sólidas para las afirmaciones auditadas. Las exportaciones del sistema y las muestras pueden respaldar evidencia operativa cuando se verifica el linaje. Las políticas describen el diseño. Las respuestas al DDQ y las llamadas son manifestaciones que requieren corroboración según la materialidad.

Una puntuación numérica puede ayudar al triaje, pero los motivos subyacentes deben permanecer visibles. Dos fuentes con la misma puntuación pueden tener debilidades diferentes. El modelo debe almacenar una clase de confianza, la justificación y el revisor. La clase puede cambiar cuando una fuente caduca, surge una excepción o llega evidencia independiente.

La confianza es específica de la afirmación y combina la autoridad de la fuente con el carácter directo, la vigencia, la exhaustividad y la consistencia.

7. Preservar las contradicciones y los cambios como evidencia

Las contradicciones son señales valiosas de diligencia debida. El tamaño del equipo en una presentación puede diferir de la declaración regulatoria. Un DDQ puede indicar que la valoración es independiente, mientras que las actas del comité muestran a profesionales de inversión aprobando valoraciones. Una política puede exigir pruebas anuales mientras que el informe más reciente es más antiguo. Una llamada puede matizar una respuesta amplia dada anteriormente.

El sistema debe preservar cada declaración, fuente y fecha de vigencia. Debe crear un enlace de excepción en lugar de seleccionar el texto más reciente y eliminar el conflicto. El registro de excepción debe describir el asunto de forma neutral, mostrar las fuentes, indicar por qué importa la diferencia, identificar al responsable y registrar el estándar de resolución.

Algunas diferencias son legítimas. El alcance de la entidad, la definición, el periodo o la materialidad pueden explicarlas. Por lo tanto, la resolución debe identificar si las declaraciones se conciliaron, si una fuente prevaleció sobre otra, si la diferencia era inmaterial, si se aceptó una remediación o si la incidencia sigue abierta. El registro de decisiones debe mostrar qué conclusión utilizó el inversor y por qué.

AI puede detectar diferencias semánticas que la coincidencia exacta no capta, incluidos cambios en calificadores como «normalmente», «sujeto a aprobación» o «cuando sea practicable». También puede crear conflictos falsos cuando dos declaraciones utilizan alcances distintos. La revisión humana es esencial antes del escalado. Los pasajes originales y el contexto deben mostrarse juntos.

8. Crear un flujo de trabajo de excepciones con derechos de decisión definidos

Una excepción es una brecha material, una contradicción, una debilidad de control, un resultado no explicado o una limitación de la evidencia. Toda excepción necesita un tipo, una gravedad, las declaraciones afectadas, el posible impacto en la decisión, un responsable, una fecha de respuesta y una prueba de cierre. Un documento faltante puede ser de baja gravedad si otra fuente fiable aborda el asunto. Una pequeña diferencia numérica puede ser de alta gravedad cuando indica un proceso de historial de resultados poco fiable.

El flujo de trabajo debe distinguir entre solicitudes de evidencia, revisión analítica, aceptación de riesgos, remediación y condiciones del comité. Los revisores pueden cerrar una laguna administrativa cuando llegue el elemento requerido. Un conflicto material puede requerir especialistas legales, de cumplimiento, operativos, fiscales, de valoración o de inversión. La aceptación del riesgo residual corresponde al órgano de decisión autorizado.

Los plazos deben reflejar la dependencia de la decisión. Una incidencia que impide la evaluación debe resolverse antes de la recomendación. Una debilidad subsanable puede convertirse en una condición precedente, una obligación de side letter o una acción de seguimiento. El comité debe ver qué queda abierto, quién puede aceptarlo y qué ocurre si no se cumple la condición.

El cierre requiere evidencia y autoridad; una respuesta del responsable por sí sola no cierra una excepción material.

Tabla 4. Clases ilustrativas de excepciones y escalado

La materialidad depende de la estrategia, el inversor, la jurisdicción y el contexto de la decisión.

9. Verificar el historial de resultados y los datos de cartera mediante el linaje de datos

El análisis del historial de resultados necesita una ruta desde las métricas reportadas del fondo y de las operaciones hasta los registros subyacentes. Cada observación debe identificar la inversión, el vehículo, el periodo de tenencia, la fecha del flujo de caja, la moneda, la base bruta o neta, la fecha de valoración, los derechos de atribución y la fuente. Los rendimientos derivados deben conservar el cálculo y los datos de entrada.

AI puede ayudar a asignar correspondencias a nombres de inversión inconsistentes, clasificar flujos de caja, comparar tablas de presentación con archivos detallados y localizar explicaciones narrativas. Los cálculos deterministas deben reproducir los totales y los rendimientos. Los revisores deben probar cambios de definición, el rendimiento del predecesor, las realizaciones parciales, las facilidades de suscripción, el tipo de cambio, los castigos, los vehículos de continuación y el valor no realizado.

Los datos de cartera también deben conectarse con las afirmaciones sobre la estrategia. Si un gestor describe inversión de control en el segmento medio-bajo del mercado, el grafo puede probar el valor de empresa de entrada, la titularidad, la geografía, el sector y el tipo de transacción. Si el gestor afirma creación de valor operativo, el inversor puede vincular las iniciativas con la evidencia de la cartera y separar los efectos de mercado, apalancamiento, múltiplo y resultados cuando los datos lo permitan.

El muestreo debe basarse en riesgos. Los grandes ganadores, los castigos, los valores atípicos de valoración, las transacciones con partes relacionadas, las operaciones modificadas y las inversiones cercanas a los cortes de reporte merecen atención. El grafo de evidencia debe registrar por qué se seleccionó cada muestra y si un problema afecta a la población más amplia.

10. Conectar la diligencia debida operativa con la evidencia de control

La diligencia debida operativa examina si el gestor puede proteger los activos, calcular valores, controlar el efectivo, mantener registros, cumplir con las obligaciones y seguir operando durante una interrupción. El grafo de evidencia debe vincular cada objetivo de control con su responsable, política, sistema, proveedor de servicios, evidencia operativa, aseguramiento, incidentes y remediación.

El control del efectivo ilustra el método. El gestor puede describir la autorización dual en el DDQ y en la política de tesorería. El revisor debe identificar cuentas bancarias, firmantes, iniciación de pagos, umbrales de aprobación, procedimientos de devolución de llamada, revisiones de acceso, segregación, conciliaciones, excepciones e historial de incidentes. Las muestras y los registros prueban el funcionamiento. Los informes de los proveedores de servicios pueden aportar evidencia, sujetos a consideraciones de alcance, periodo y controles del usuario.

La externalización no transfiere la responsabilidad. La guía de la FCA establece que las empresas siguen siendo responsables de gestionar los riesgos derivados de la externalización y de los acuerdos con terceros. La guía AI de IOSCO también destaca la responsabilidad designada, las competencias adecuadas, las pruebas, el seguimiento y la supervisión de los proveedores. El grafo debe mostrar la cadena de dependencia desde el gestor hasta los administradores, custodios, proveedores de tecnología, proveedores de datos y subprocesadores.

La evidencia de continuidad del negocio debe cubrir servicios importantes, tolerancias de impacto, personas, instalaciones, tecnología, información y terceros. Los planes deben estar conectados con pruebas, hallazgos y remediación. Un ejercicio anual exitoso tiene un valor limitado si omitió un proveedor crítico o no probó un escenario grave. El revisor debe registrar qué se probó y qué queda fuera del alcance.

La evidencia de ciberseguridad necesita acceso controlado. Los diagramas de arquitectura, los hallazgos de pruebas de penetración y los registros de incidentes pueden ser muy sensibles. El inversor puede registrar una conclusión, un identificador de evidencia, el alcance, la fecha y el revisor sin exponer ampliamente el material original. Los controles de acceso deben seguir la sensibilidad de la fuente, mientras el comité recibe el hallazgo relevante para la decisión y las limitaciones.

11. Evaluar la titularidad, la gobernanza y los conflictos como relaciones

La titularidad y el gobierno corporativo tienen naturalmente forma de grafo. El gestor, la sociedad holding, el socio colectivo, los fondos, los vehículos de carried interest, las entidades afiliadas y las sociedades de la cartera pueden compartir propietarios, consejeros, empleados y proveedores de servicios. Un modelo de relaciones puede revelar conflictos y dependencias que un cuestionario plano oculta.

La titularidad real debe estar respaldada por registros societarios fehacientes, documentos constitutivos, tablas de capitalización y confirmaciones adecuadas a la jurisdicción. Los estándares reforzados del GAFI hacen hincapié en una información sobre la titularidad real adecuada, exacta y actualizada para personas jurídicas y estructuras. El equipo de diligencia debida debe identificar a las personas físicas que, en última instancia, poseen o controlan las entidades pertinentes y documentar cualquier limitación en la evidencia disponible.

El análisis del gobierno corporativo debe mapear la autoridad formal y la influencia práctica. El reglamento del comité, las reglas de votación, el quórum, las materias reservadas, los procedimientos de conflictos y las actas establecen el diseño y el funcionamiento. El grafo puede comparar el proceso de inversión declarado con las decisiones registradas en las muestras. Puede identificar cuándo una misma persona interviene en la originación, la valoración, el riesgo y la aprobación final, generando preocupaciones de concentración o independencia.

Los conflictos deben vincularse a transacciones y decisiones. La asignación entre fondos, las operaciones cruzadas, los vehículos de continuación, los servicios afiliados, los acuerdos de financiación, las coinversiones, las inversiones personales, la valoración y las comisiones pueden generar incentivos diferentes. Un registro de conflictos por sí solo no demuestra una gestión eficaz. El revisor debe vincular el conflicto con la divulgación, la aprobación, la fijación de precios, la abstención, el consentimiento de los inversores y la evidencia operativa.

AI puede apoyar la resolución de entidades entre registros, sujeta a revisión. Los nombres similares, la transliteración, las sociedades holding y las direcciones comunes pueden producir coincidencias falsas. Cada vínculo propuesto debe mostrar los atributos coincidentes y el nivel de confianza. Las conclusiones materiales sobre la titularidad requieren evidencia fehaciente y aprobación humana.

12. Integrar los términos legales con las conclusiones comerciales

La diligencia debida legal y la diligencia debida comercial deben compartir un mapa de cuestiones controlado. Una preocupación comercial sobre la concentración del equipo puede abordarse en parte mediante disposiciones sobre personas clave, aunque la definición legal, el desencadenante, el remedio y el proceso de sustitución determinan la protección. Una preocupación sobre la valoración puede estar relacionada con los derechos del comité asesor, los informes, la auditoría y las disposiciones de destitución. Una preocupación sobre conflictos puede estar relacionada con cláusulas de consentimiento, divulgación y asignación.

El grafo de evidencia debe almacenar cada término material con su cláusula de origen, los términos definidos, la entidad afectada, la condición y la interpretación del revisor. Debe vincular el término con el riesgo subyacente y cualquier solicitud de side letter. Esto permite al comité ver si un riesgo se evita, se controla, se le asigna un precio, se divulga, se acepta o se supervisa.

AI puede recuperar cláusulas y comparar documentos, pero el significado legal depende del instrumento en su conjunto, de la legislación aplicable y de los hechos. Los términos extraídos deben conservar la cláusula circundante y ser validados por asesores jurídicos cualificados. Un resumen generado por un modelo nunca debe convertirse en el registro legal fehaciente.

Los cambios en la negociación necesitan control de versiones. El sistema debe comparar borradores, mostrar a qué riesgo responde un cambio y confirmar que el documento firmado contiene el término aprobado. Las condiciones negociadas por correspondencia pueden perderse si no se vinculan a los entregables de cierre y al plan de seguimiento.

13. Crear la pista de auditoría del comité de inversiones

El comité de inversiones necesita un paquete de decisión conciso y un registro de evidencia reproducible. El paquete debe indicar el compromiso propuesto, la adecuación a la estrategia, el rendimiento esperado y el riesgo, las fortalezas clave, las excepciones materiales, las protecciones legales, las condiciones, el plan de seguimiento y la recomendación. Cada afirmación material debe vincularse con una conclusión aprobada en lugar de hacerlo directamente con la salida bruta del modelo.

La pista de auditoría debe preservar el estado de la evidencia en el momento de corte de la decisión. El contenido del data room puede cambiar, el gestor puede proporcionar aclaraciones posteriores y las condiciones de mercado pueden variar. El registro debe identificar qué fuentes, versiones y conclusiones estaban disponibles, qué cuestiones permanecían abiertas y qué supuestos aceptó el comité.

La autoridad decisoria y los conflictos deben ser explícitos. El registro debe identificar a los asistentes, los miembros con derecho a voto, las abstenciones, el quórum, los votos, las materias delegadas y las condiciones. Una decisión del comité puede aprobar, rechazar, aplazar, solicitar más evidencia, reducir el compromiso o imponer condiciones. La justificación debe explicar el vínculo entre la evidencia y el resultado.

Las acciones posteriores a la reunión deben convertirse en obligaciones con responsables, fechas, evidencia y escalado. Una aprobación sujeta a una side letter, una revisión de políticas, una incorporación clave o un entregable de informes está incompleta hasta que se cumpla la condición. El grafo debe impedir el cierre cuando falte evidencia y reabrir la cuestión cuando un acontecimiento posterior cambie la base de la decisión.

El registro recoge la fecha de corte de la evidencia, la justificación de la decisión, las condiciones y las obligaciones posteriores al cierre.

Tabla 5. Registro del comité de inversiones y responsable del control

El registro debe conservarse de conformidad con la legislación aplicable, la política y las obligaciones contractuales.

14. Gobernanza de modelos, prompts y revisión humana

Los componentes AI del sistema de diligencia debida requieren su propia gobernanza. El Marco de Gestión de Riesgos AI de NIST organiza la actividad en torno a gobernar, mapear, medir y gestionar. Su Perfil Generativo de AI destaca riesgos como la confabulación, la privacidad de los datos, la integridad de la información, la seguridad, la propiedad intelectual, el sesgo perjudicial, la dependencia excesiva de las personas y las dependencias de terceros. Estos riesgos se traducen directamente en controles de diligencia debida.

La gobernanza debe comenzar con un inventario de modelos y casos de uso. Cada caso de uso necesita un responsable, datos permitidos, impacto en la decisión, método de validación, modelo de acceso, proveedor, proceso de cambio y plan de retirada. Un clasificador que enruta documentos tiene un riesgo distinto del de un sistema que redacta conclusiones de inversión. Este último debe afrontar restricciones y revisión más estrictas.

Las pruebas deben utilizar documentos representativos, diseños difíciles, tablas, archivos escaneados, varios idiomas, entidades ambiguas y contradicciones conocidas. Las métricas pueden incluir la precisión de extracción, la precisión de citas, los problemas materiales omitidos, las excepciones falsas y las tasas de anulación de revisores. Los resultados deben segmentarse por tipo de documento y caso de uso. Una media alta puede ocultar fallos en los registros que más importan.

La revisión humana debe ser sustantiva. Una interfaz que pide a un revisor aprobar cientos de resúmenes fluidos puede generar sesgo de automatización. Los revisores necesitan contexto de la fuente, motivos claros de escalado y tiempo suficiente para cuestionar. El proceso debe supervisar la aprobación mecánica, los desacuerdos, los patrones de error y la carga de trabajo.

Los cambios de modelos y prompts deben activar una revalidación proporcionada. Un proveedor puede cambiar un modelo alojado o una capa de seguridad. La firma debe saber cuándo cambió un componente material y si las hipótesis de rendimiento anteriores siguen siendo válidas. Los registros deben conservar el modelo y la configuración utilizados para los resultados materiales.

15. Proteger el sistema de evidencia y sus datos

El grafo de evidencia concentra información valiosa. Puede contener identidades, titularidad, registros de inversión, documentos legales, hallazgos de ciberseguridad y decisiones del comité. La arquitectura de seguridad debe aplicar el mínimo privilegio, autenticación sólida, cifrado, registro, separación de entornos, controles de pérdida de datos, copias de seguridad y recuperación probada.

El acceso debe seguir el flujo de trabajo y la necesidad. Un asesor fiscal puede necesitar estructuras y registros específicos. Un especialista en ciberseguridad puede necesitar evidencia técnica sensible. Los miembros del comité necesitan hallazgos relevantes para la decisión y acceso a las fuentes de respaldo bajo permisos controlados. Los vínculos del grafo deben respetar el nivel de acceso de cada objeto conectado y evitar filtrar información restringida mediante fragmentos de búsqueda o resúmenes generados.

La inyección de prompts y los documentos maliciosos requieren atención. Un documento puede contener texto diseñado para influir en un sistema AI. La canalización debe tratar el contenido del documento como evidencia, no como instrucción; aislar las herramientas; restringir las acciones; validar los resultados; y exigir aprobación antes de cualquier comunicación externa o cambio en el sistema. La recuperación nunca debe otorgar a un modelo autoridad para enviar solicitudes, modificar registros o aprobar hallazgos.

La respuesta a incidentes debe abarcar la extracción incorrecta, el acceso no autorizado, la brecha de seguridad del proveedor, la fuga de datos, el fallo del modelo y la procedencia corrupta. El plan debe identificar la contención, la preservación de la evidencia, la evaluación legal y regulatoria, la notificación, la remediación y la revalidación. El comité debe comprender cualquier incidente que afecte materialmente a la integridad de su registro de decisiones.

16. Diseñar roles operativos y niveles de servicio

Un grafo de evidencia cambia la asignación del trabajo. El sponsor de la diligencia debida es responsable de la pregunta de inversión y de la recomendación. Los especialistas de las líneas de trabajo son responsables de sus hallazgos. Un equipo de datos o de conocimiento mantiene la ontología, la ingesta y el linaje. El personal de riesgo de modelo o riesgo tecnológico valida los componentes AI. Los equipos jurídico, de cumplimiento, de privacidad y de ciberseguridad aprueban los límites relevantes. El comité de inversiones acepta el riesgo de inversión residual dentro de su autoridad.

Una matriz RACI debe identificar quién solicita evidencia, valida la extracción, resuelve excepciones, aprueba cambios de alcance y firma el paquete final. El sistema debe impedir que un administrador tecnológico cambie la conclusión de un revisor y que un revisor altere los registros de origen. El acceso de emergencia debe registrarse y revisarse.

Los niveles de servicio deben priorizar la materialidad. Las excepciones de alto riesgo y la falta de evidencia de aprobación obligatoria requieren una escalada rápida. Los errores de clasificación de menor riesgo pueden pasar a una corrección por lotes. El panel de control debe mostrar la antigüedad, la capacidad de los revisores, las dependencias de evidencia y los plazos de decisión, sin incentivar a los equipos a cerrar incidencias únicamente para mejorar una puntuación de finalización.

La formación debe abarcar la metodología de diligencia debida, la jerarquía de fuentes, el uso del sistema, la confidencialidad, las limitaciones del modelo, la responsabilidad de los revisores y el escalado. Los revisores necesitan suficiente comprensión técnica para cuestionar los resultados y suficiente contexto de inversión para reconocer cuándo una fuente es relevante para la decisión.

17. Implementar mediante etapas controladas

La implementación debe comenzar con un caso de uso acotado y un expediente de diligencia debida completado. El equipo puede mapear la taxonomía de preguntas, ingerir fuentes, reproducir hallazgos conocidos y medir si el grafo mejora la recuperación, la cobertura y la auditabilidad. Las pruebas históricas revelan brechas sin poner en riesgo una decisión en curso.

La primera etapa establece la preservación de fuentes, los identificadores, el acceso y las citas. La segunda añade el mapeo de preguntas y afirmaciones. La tercera introduce la validación determinista y la extracción acotada de AI. La cuarta conecta las excepciones y las aprobaciones de las líneas de trabajo. La quinta genera vistas para el comité a partir de hallazgos aprobados. Las obligaciones de seguimiento se aplican una vez que el registro previo a la inversión es estable.

Cada etapa necesita criterios de aceptación. Los punteros a fuentes deben remitir a la página o celda correcta. Las extracciones materiales deben cumplir los umbrales de precisión aprobados según el tipo de documento. Las contradicciones no deben sobrescribirse silenciosamente. La evidencia restringida debe permanecer protegida durante la búsqueda y la exportación. La salida para el comité debe excluir hallazgos no revisados.

Puede ser necesaria una operación en paralelo. El rastreador de diligencia debida existente seguirá siendo la referencia autoritativa hasta que el nuevo sistema demuestre completitud, fiabilidad y adopción por parte de los usuarios. La conciliación entre sistemas debe documentarse. La migración debe preservar fechas históricas, autores, decisiones y evidencia, en lugar de convertirlo todo en un resumen del estado actual.

La última puerta es la resiliencia operativa. El equipo debe probar el fallo de proveedores, la pérdida de un modelo, la extracción corrupta, los enlaces inaccesibles a la data room, la ausencia de personal y los plazos urgentes del comité. Un proceso de diligencia debida debe seguir siendo capaz de alcanzar una decisión controlada cuando un componente AI no esté disponible.

18. Medir si el sistema mejora las decisiones

El éxito debe medirse mediante la calidad de la evidencia, el control de las decisiones y la eficiencia operativa. Entre los indicadores útiles se incluyen el porcentaje de hallazgos materiales con procedencia a nivel de párrafo; las preguntas materiales respaldadas por evidencia actual; las excepciones resueltas con evidencia de cierre; las condiciones del comité trasladadas al seguimiento; las tasas de anulación de los revisores; los errores de citación; y el tiempo dedicado a localizar fuentes.

La velocidad por sí sola es una medida débil. Un paquete más rápido puede ser peor si los resúmenes no respaldados pasan la revisión. El sistema debe medir los problemas materiales omitidos, la falsa confianza, las excepciones no revisadas y el retrabajo. El muestreo de calidad por un revisor independiente puede comparar las conclusiones con las fuentes y evaluar si la confianza declarada está justificada.

Los resultados de las decisiones requieren cautela. El rendimiento del fondo está influido por los mercados, la estrategia y acontecimientos que van más allá de la diligencia debida. La organización aún puede comprobar si se hizo seguimiento de los riesgos identificados, si se cumplieron las condiciones, si incidentes posteriores estaban anticipados en la evidencia y si la justificación original sigue siendo reproducible.

Un grafo de evidencia eficaz crea memoria institucional. Permite al inversor comparar representaciones entre fondos y años de constitución, identificar debilidades de control recurrentes, actualizar hallazgos cuando cambia un proveedor de servicios o una persona y trasladar las condiciones previas a la inversión a la fase de propiedad. El valor comercial proviene de un acceso más rápido a evidencia fiable, un cuestionamiento más sólido y un proceso de decisión más defendible.

El principio rector es sencillo: AI puede organizar, recuperar, comparar y proponer; los profesionales responsables inspeccionan las fuentes, resuelven la incertidumbre y deciden. El grafo de evidencia proporciona a esos profesionales un registro estructurado que sigue siendo utilizable después de que se cierre el data room y termine la reunión del comité.

Referencias

1. Institutional Limited Partners Association, Cuestionario de diligencia debida 2.0, 1 de noviembre de 2021. https://ilpa.org/resources-tools/resource-library/due-diligence-questionnaire/
2. Institutional Limited Partners Association, ILPA DDQ 2.0, noviembre de 2021. https://ilpa.org/wp-content/uploads/2021/11/ILPA-DDQ-2.0.pdf
3. National Institute of Standards and Technology, Marco de Gestión de Riesgos de Inteligencia Artificial 1.0, enero de 2023. https://doi.org/10.6028/NIST.AI.100-1
4. National Institute of Standards and Technology, Marco de Gestión de Riesgos de Inteligencia Artificial: Perfil de Inteligencia Artificial Generativa, julio de 2024, actualizado en abril de 2026. https://doi.org/10.6028/NIST.AI.600-1
5. National Institute of Standards and Technology, Guía práctica del Marco de Gestión de Riesgos de AI, recurso vigente. https://airc.nist.gov/airmf-resources/playbook/
6. International Organization of Securities Commissions, El uso de la inteligencia artificial y el aprendizaje automático por parte de los intermediarios de mercado y los gestores de activos, septiembre de 2021. https://www.iosco.org/library/pubdocs/pdf/IOSCOPD684.pdf
7. International Organization of Securities Commissions, La inteligencia artificial en los mercados de capitales: casos de uso, riesgos y desafíos, marzo de 2025. https://www.iosco.org/library/pubdocs/pdf/IOSCOPD788.pdf
8. International Organization of Securities Commissions, Kit de herramientas de supervisión para el uso de AI en los mercados de capitales, mayo de 2026. https://www.iosco.org/library/pubdocs/pdf/IOSCOPD810.pdf
9. European Securities and Markets Authority, Declaración pública sobre el uso de la inteligencia artificial en la prestación de servicios de inversión minorista, 30 de mayo de 2024. https://www.esma.europa.eu/document/public-statement-ai-and-investment-services
10. U.S. Securities and Exchange Commission, Observaciones de los exámenes de asesores de fondos privados, 27 de enero de 2022. https://www.sec.gov/compliance/risk-alerts/observations-examinations-private-fund-advisers
11. U.S. Securities and Exchange Commission, Alerta de riesgo: procesos de diligencia debida de los asesores de inversión para seleccionar inversiones alternativas, 28 de enero de 2014. https://www.sec.gov/newsroom/press-releases/2014-14
12. U.S. Securities and Exchange Commission, Formulario ADV y recursos de registro de asesores de inversión, vigentes. https://www.sec.gov/investment/registration-forms-investment-advisers
13. Financial Conduct Authority, Externalización y resiliencia operativa, actualizado el 14 de julio de 2026. https://www.fca.org.uk/firms/outsourcing-and-operational-resilience
14. Financial Conduct Authority, Requisitos generales de externalización SYSC 8.1, Manual vigente de la FCA. https://handbook.fca.org.uk/handbook/sysc8/sysc8s1
15. Financial Conduct Authority, Prioridades regulatorias: lado comprador mayorista, marzo de 2026. https://www.fca.org.uk/publication/regulatory-priorities/wholesale-buy-side-report.pdf
16. Grupo de Acción Financiera Internacional, Titularidad real, estándares y orientaciones vigentes. https://www.fatf-gafi.org/en/topics/beneficial-ownership.html
17. Grupo de Acción Financiera Internacional, Las Recomendaciones del GAFI, actualizadas en febrero de 2025. https://www.fatf-gafi.org/en/publications/Fatfrecommendations/Fatf-recommendations.html
18. Grupo de Acción Financiera Internacional, Orientaciones sobre la titularidad real de personas jurídicas, marzo de 2023. https://www.fatf-gafi.org/en/publications/Fatfrecommendations/Guidance-Beneficial-Ownership-Legal-Persons.html
19. Organización Internacional de Normalización, ISO/IEC 42001:2023 Tecnología de la información, Inteligencia artificial, Sistema de gestión, descripción general vigente. https://www.iso.org/standard/81230.html
20. Banco de Pagos Internacionales, El uso de la inteligencia artificial para fines de política, 10 de octubre de 2025. https://www.bis.org/publ/othp100.htm