Modelo de Gestión de Riesgos (SR 11-7) e IA

La SR 11-7 fue emitida en abril de 2011 por la Reserva Federal junto con la OCC, y la FDIC la adoptó en 2017. Define un modelo en términos generales: un método, sistema o enfoque cuantitativo que aplica teorías estadísticas, económicas, financieras o matemáticas para convertir datos de entrada en estimaciones cuantitativas. Un modelo tiene una parte de entrada, una parte de procesamiento y una parte de informes. El riesgo del modelo proviene de dos fuentes: errores fundamentales en el modelo y el uso incorrecto de un modelo sólido o fuera de su propósito previsto. La orientación se basa en tres pilares. El primero es un desarrollo, implementación y uso sólidos. El segundo es la validación, que tiene tres elementos centrales: evaluación de la solidez conceptual, monitoreo continuo (incluida la verificación del proceso y la evaluación comparativa) y análisis de resultados, como pruebas retrospectivas. El tercero es la gobernanza: supervisión de la junta directiva y de la alta dirección, políticas escritas, un inventario completo del modelo y documentación lo suficientemente detallada como para que alguien que no esté familiarizado con el modelo pueda entender cómo funciona. En todo momento, la guía exige un "desafío efectivo", es decir, una revisión crítica por parte de personas que sean lo suficientemente objetivas, informadas, competentes e influyentes para forzar cambios. Los modelos de proveedores no obtienen exención. Se espera que los bancos obtengan la documentación adecuada de los proveedores. Cuando se retienen detalles de propiedad exclusiva, los bancos deberían confiar más en análisis de sensibilidad, evaluaciones comparativas y pruebas de resultados. Un error común es pensar que SR 11-7 no llega a la IA porque es anterior al aprendizaje automático moderno. Su definición es tecnológicamente neutral y los supervisores han tratado la IA como dentro de su alcance. Los bancos normalmente clasifican las herramientas de IA generativa como modelos o las rigen bajo un marco de riesgo de IA más amplio que utiliza los mismos principios de validación. Las referencias relacionadas incluyen el manual del Contralor de 2021 de la OCC sobre la gestión de riesgos de modelos y el marco de gestión de riesgos de IA del NIST, publicado en enero de 2023. Para las decisiones crediticias, los requisitos de notificación de acciones adversas según la Ley de Igualdad de Oportunidades Crediticias aún se aplican cuando el modelo es complejo.