Auditoría de sesiones sin interrumpir la ejecución

Cuando un auditor pide explicaciones sobre una orden concreta, la pregunta rara vez es "¿quién pulsó el botón?". La pregunta real es si el terminal estaba en manos de un operador autorizado durante toda la sesión, y si existe algún tramo en el que esa certeza se diluye. En mesas de alta frecuencia no hay margen para pedir una contraseña a mitad de rueda, así que la evidencia tiene que generarse sola, en segundo plano, mientras el flujo de órdenes sigue su curso.

La verificación continua produce un registro temporal de señales conductuales: intervalos entre pulsaciones, ráfagas de cancelación, micro-pausas antes de enviar, cambios de foco entre ventanas del terminal. Nada de eso se guarda como un vídeo ni como una captura de pantalla. Se guarda como una serie de puntuaciones con marca de tiempo, asociadas a un identificador de sesión y a un identificador de operador. El formato que suele funcionar en auditoría es una tabla plana exportable, con una fila por ventana de evaluación y columnas para el score, el umbral vigente y la confianza del modelo en ese tramo.

Qué mira un auditor cuando abre el registro

No empieza por los scores altos. Empieza por los huecos. Una ventana de incertidumbre, es decir, un intervalo donde el score cae por debajo del umbral pero no se dispara ninguna acción, es la primera cosa que se señala en un informe. La respuesta razonable no es "el modelo acertó después", sino documentar por qué esa ventana se consideró tolerada: volatilidad del libro, cambio de instrumento, latencia del feed. Si esa justificación no está en el registro, el auditor la va a pedir por escrito y fuera de plazo.

El segundo punto es la retención. La mayoría de los marcos exige conservar evidencia de identidad durante el mismo periodo que los registros de órdenes, y eso suele ser más tiempo del que la mesa quiere mantener telemetría conductual en caliente. La práctica habitual separa dos capas: los scores agregados se archivan en el sistema de cumplimiento, mientras que las señales crudas se retienen solo el tiempo necesario para reproducir un incidente. Esa separación hay que explicarla antes de que la pidan, no después.

Falsos negativos: la pregunta incómoda

Todo auditor termina preguntando lo mismo: cuántas veces el sistema marcó como sospechosa a una persona que resultó ser el operador legítimo. La cifra no se puede esconder detrás de una media mensual. Conviene tenerla desglosada por sesión, por instrumento y por franja horaria, porque un falso negativo concentrado en la apertura de un mercado concreto cuenta una historia distinta a uno repartido al azar. En la práctica, los falsos negativos se disparan cuando el trader cambia de estrategia a mitad de sesión o cuando asume un rol distinto al habitual, y eso es exactamente lo que un revisor quiere ver documentado.

La ventana de incertidumbre también aparece en el lado contrario. Un score que se mantiene alto durante horas sin ninguna variación es tan sospechoso como uno que cae. Los auditores con experiencia en sistemas biométricos saben que la firma conductual de una persona fluctúa, y un registro demasiado plano sugiere que el modelo está midiendo algo distinto de lo que dice medir.

Exportar sin frenar la mesa

El requisito operativo es que la exportación no compita con la ejecución. En la práctica esto significa que el volcado de evidencia se hace sobre una réplica, no sobre el nodo que gestiona órdenes, y que el formato de salida está fijado de antemano para que el equipo de cumplimiento no tenga que transformar nada a mano. Un registro que necesita post-procesado es un registro que se va a interpretar mal en la primera revisión.

Vale la pena revisar cómo se están midiendo las señales base antes de prometer trazabilidad completa. El scoring de ritmo en terminales de baja latencia cubre esa parte con más detalle, y es el punto de partida lógico si el registro de auditoría todavía no tiene una definición estable de qué se está midiendo.