Cuándo es obligatoria una EIPD y cómo decidirlo

Saber cuándo es obligatoria una EIPD exige decidir antes del inicio si el tratamiento previsto puede entrañar un alto riesgo para los derechos y libertades ¹. La respuesta no depende de llamar al proyecto “innovador”: se examinan su naturaleza, alcance, contexto y fines reales.

La decisión reúne los supuestos expresos del artículo 35 ¹ y los criterios de las directrices WP248 ². El resultado debe quedar razonado con hechos, responsable y revisión, tanto si conduce a una EIPD como si concluye que no es necesaria. El expediente no empieza contando criterios, sino delimitando una operación concreta y preguntando qué efectos puede producir sobre personas concretas. Ese orden separa una incertidumbre que debe investigarse de un hecho que ya permite decidir, y evita que el equipo convierta una impresión inicial en conclusión definitiva.

Una respuesta útil también indica qué sucede después: el sí abre la evaluación, la selección de medidas y, si queda alto riesgo residual, el análisis de consulta previa. El no abre un registro motivado con condiciones de validez y un desencadenante de revisión, y en ambos recorridos debe quedar claro quién obtiene la evidencia pendiente, quién aprueba la conclusión y qué cambio impide seguir usando la versión actual.

Respuesta rápida ¿Cuándo es obligatoria una EIPD? Antes de iniciar un tratamiento probablemente de alto riesgo, aplica los supuestos del artículo 35, los criterios WP248 y las listas de la autoridad competente ¹. Registra hechos, opinión, responsable y revisión. La respuesta puede ser sí o no, pero siempre debe quedar motivada y comprobable.

Última actualización: 26 de agosto de 2026

Primero se define el riesgo, no la tecnología

La ficha inicial debe describir un tratamiento completo con un límite único: personas, categorías de datos, fuentes, destinatarios, duración, escala, decisiones y posibles consecuencias. Solo esa visión permite comparar riesgos y salvaguardas, y separar lo confirmado, lo estimado y lo desconocido facilita intervenir antes del inicio, sin convertir una herramienta nueva en prueba automática ni el tamaño de la empresa en una exención implícita.

La primera pregunta es qué puede ocurrir a las personas si se realiza el tratamiento propuesto. El artículo 35 sitúa el examen en el riesgo probable para derechos y libertades ¹. Una herramienta nueva, un modelo automatizado o una plataforma en la nube pueden aportar contexto, pero ninguna etiqueta crea por sí sola el alto riesgo.

Describe personas afectadas, datos, operaciones, fuentes, destinatarios, duración, escala y decisiones, mientras que naturaleza, alcance, contexto y fines forman una prueba conjunta ¹. Un tratamiento aparentemente corriente puede cambiar cuando reúne archivos antes separados, aumenta de forma notable el número de personas o afecta a quienes tienen pocas posibilidades de rechazarlo.

El examen debe hacerse antes de tratar los datos ¹. Ese orden permite cambiar la finalidad, reducir campos, separar accesos, limitar conservación o elegir otra arquitectura cuando aún hay alternativas. Una evaluación redactada después de contratar, desplegar y comunicar la solución pierde precisamente la capacidad preventiva que justifica la EIPD.

Prepara una ficha breve que conecte el flujo real con personas, datos, escala, consecuencias y evidencia disponible. Así quedan expuestos dos atajos: declarar que toda inteligencia artificial exige EIPD o asumir que una empresa pequeña nunca la necesita. El tamaño puede influir en la escala, pero la conclusión pertenece al tratamiento concreto. Otra persona debe poder reconstruir qué hecho sostuvo cada paso y qué incertidumbre seguía abierta.

Tres supuestos obligatorios abren la ruta directa

Cada fila expresa un supuesto completo, no un conjunto de palabras para marcar. El expediente acredita sistematicidad, exhaustividad, efecto, categorías, escala y lugar cuando forman parte del supuesto, y asigna evidencia interna a cada elemento. Así, una etiqueta comercial no produce un sí injustificado ni la ausencia de un término aislado oculta una combinación que realmente satisface el caso obligatorio.

El artículo 35 identifica tres grupos de tratamiento que requieren una EIPD ¹. Cada grupo contiene elementos acumulativos que deben comprobarse y registrarse.

Las directrices ayudan a interpretar estos supuestos dentro de la prueba general ², y el EDPB mantiene la aprobación de las directrices WP29 ³. La palabra “perfilado” no sustituye a la evaluación sistemática, la exhaustividad y el efecto significativo ¹. Del mismo modo, manejar un dato del artículo 9 no resuelve el supuesto si no se ha analizado la gran escala.

Primero se define el tratamiento y se comprueban los supuestos obligatorios ¹. Si ninguno concurre, se revisan criterios y listas ²; un resultado positivo o un alto riesgo probable conduce a la EIPD. En caso contrario se documenta la razón, mientras que un alto riesgo residual tras la EIPD puede llevar a consulta previa y todos los recorridos conservan un desencadenante de revisión.

Usa la tabla como control de integridad, no como formulario superficial. En cada fila identifica los documentos que demuestran escala, frecuencia, efectos, automatización o categoría de datos. “No aplicable” sin explicación no permite saber si faltaba un elemento o si el equipo simplemente no lo buscó.

La comprobación debe terminar con una frase de decisión por fila. Esa frase identifica el elemento presente, el ausente y la evidencia que permite distinguirlos; si un dato sigue pendiente, asigna una persona y una fecha para obtenerlo antes de aprobar el tratamiento. Así, una revisión posterior no tiene que interpretar casillas aisladas ni reconstruir por qué se descartó una ruta directa.

También conviene separar la prueba del supuesto de la valoración general del riesgo. No cumplir todos los elementos de una fila significa que esa ruta obligatoria no decide por sí sola, pero no demuestra que el tratamiento sea de bajo riesgo. El análisis continúa con los nueve criterios y las listas, conservando la evidencia ya reunida para que la siguiente etapa pueda valorar combinaciones, intensidad y consecuencias sin comenzar de nuevo.

Nueve criterios hacen visibles las combinaciones

El valor de la matriz de evaluación reside en la explicación, no en el total. Para cada criterio se registra quién puede sufrir qué consecuencia, con qué probabilidad, durante cuánto tiempo y con qué posibilidad de rechazo o remedio. Después se examina cómo se refuerzan varias filas, mientras que un espacio vacío representa análisis pendiente; un no motivado conserva el hecho que permite confirmarlo o reabrirlo.

Cuando ningún supuesto obligatorio cierra ya el análisis, los criterios WP248 permiten reconocer riesgos que se ocultan en una descripción demasiado general ². Su condición de directrices aprobadas por el EDPB debe mantenerse visible ³.

Dos criterios suelen indicar que hace falta una EIPD y la concurrencia de más criterios aumenta la probabilidad de alto riesgo ². Es una orientación, no un umbral creado por el artículo 35. El EDPB mantiene respaldadas esas directrices ³. Un solo criterio puede ser suficiente cuando su intensidad hace probable un perjuicio elevado.

No conviertas la matriz en una suma ciega: para cada criterio anota el hecho, su fuente interna y la consecuencia prevista. Por ejemplo, el número de registros no define por sí solo la gran escala si se ignoran duración, variedad, intensidad y extensión. La evidencia debe sostener el razonamiento, no decorar una conclusión ya tomada.

La relación entre criterios importa tanto como cada fila: la combinación de observación, asociación de conjuntos y vulnerabilidad puede ampliar quién queda expuesto, hacer más difícil rechazar el tratamiento y aumentar el daño de una decisión equivocada. El expediente debe explicar esa interacción con el flujo del proyecto, sin repetir tres definiciones independientes ni convertir la concurrencia en una regla automática.

Para cerrar la evaluación, distingue cuatro estados: confirmado, descartado con evidencia, incierto y no aplicable por el perímetro definido. Los estados inciertos no cuentan como respuestas negativas; generan una tarea, una persona responsable y una condición de cierre. Después, redacta una conclusión que conecte intensidad, combinación y medidas previstas con la probabilidad de alto riesgo. Esa conclusión permite revisar el razonamiento si cambia una fuente, una población o una decisión, en lugar de volver a contar marcas sin contexto.

Las listas pertinentes completan el examen

El artículo 35 prevé listas de tratamientos sujetos a EIPD y permite listas de tratamientos que no la requieren ¹. El expediente debe señalar qué autoridad competente se identificó, qué versión de las listas se consultó y en qué fecha.

No existe una lista nacional única para todos los lectores, porque la autoridad y las listas dependen del contexto. Por eso se comprueban las listas positiva y negativa aplicables, sin inventar una autoridad, un enlace o una regla nacional y sin importar la práctica de otro Estado.

Una inclusión en la lista positiva puede resolver la decisión aunque el equipo haya contado pocos criterios. Una lista negativa tampoco permite ignorar hechos nuevos que hagan probable un alto riesgo. La prueba debe conservar la referencia utilizada internamente y describir por qué coincide o no con el tratamiento real.

La persona responsable del expediente debe dejar una huella verificable de la consulta sin reproducir su contenido como orientación general. Registra el nombre interno de la fuente consultada, la fecha, la versión y la parte comparada con la actividad; otra persona debe poder repetir la búsqueda desde el contexto competente. Si el alcance territorial, el establecimiento o la autoridad no están claros, esa incertidumbre se resuelve antes de usar una lista como fundamento.

Conviene documentar por separado la lista positiva y la negativa, porque un resultado vacío puede significar que no hubo coincidencia, que se usó una versión incorrecta o que el equipo no describió el tratamiento con suficiente precisión. La nota final aclara cuál de esas posibilidades se descartó, quién lo comprobó y qué cambio obligará a repetir la consulta. El artículo mantiene así un método común sin inventar contenido nacional.

El no es una decisión completa, no una omisión

Un no defendible define el perímetro en que vale: volumen, duración, personas, datos, finalidades, ausencia de supuestos obligatorios, criterios examinados y listas comprobadas, junto con los eventos que obligarían a revisarlo; no promete seguridad permanente, pero permite actuar sobre hechos visibles y evita convertir un ejemplo sencillo en exención general por categoría, tecnología o tamaño.

El método debe permitir una conclusión negativa auténtica: el artículo 35 no ofrece una exención general a pequeñas empresas ¹, pero tampoco presume que toda operación ordinaria sea de alto riesgo. El tamaño de la organización no reemplaza la valoración de hechos.

Una lista limitada de clientes usada para comunicaciones propias puede quedar lejos del seguimiento sistemático, la gran escala y los datos sensibles según su configuración ². No es una garantía: asociación con otros conjuntos, seguimiento detallado, frecuencia o vulnerabilidad pueden cambiar el análisis. La descripción debe reflejar esa condición.

El expediente negativo identifica supuestos ausentes, criterios examinados y motivos por los que el alto riesgo no resulta probable ². Evita escribir que una categoría “nunca necesita EIPD”. Una conclusión circunscrita a los hechos actuales es más sólida porque también permite nombrar los cambios que obligarían a reabrirla.

Este razonamiento reduce trabajo futuro: si la escala aumenta o se añade una fuente, el equipo puede comparar la nueva operación con la versión anterior y ver qué elemento cambia la conclusión. Sin esa línea de base, cada revisión empieza con recuerdos contradictorios.

Una conclusión negativa debe circular con las mismas cautelas que una afirmativa. El responsable de la operación recibe el perímetro aprobado y los cambios que no puede introducir sin reabrir el análisis; compras, producto y seguridad saben qué decisión depende de sus datos. Cuando una condición aún no está confirmada, el no no sirve como permiso provisional: la persona asignada debe cerrar la incertidumbre o elevarla antes del inicio.

El control más útil es una comparación breve entre el escenario evaluado y el escenario que se pretende desplegar. Si ambos coinciden, la aprobación conserva su fundamento. Si aparecen otra finalidad, una nueva asociación, más duración o una población distinta, el expediente señala exactamente qué criterio vuelve a estar abierto. Esta disciplina evita dos extremos igualmente débiles: repetir una EIPD completa ante cualquier ajuste o mantener un no antiguo aunque ya describa otro tratamiento.

La nota de cierre debe comunicar ese límite en lenguaje operativo. Quien modifica el flujo conoce qué datos, usos y escala fueron examinados, además de la persona que decide ante una desviación. Así el no sigue siendo una decisión aplicable, en vez de una frase aislada que cada equipo interpreta según su conveniencia.

La decisión necesita fecha, responsable y prueba

El registro debe permitir que alguien ajeno a la reunión reconstruya actividad, evidencia, prueba del artículo 35, criterios, listas, opinión del delegado cuando proceda, conclusión, motivación, persona responsable, fecha y desencadenante; mantener versiones evita aplicar una decisión antigua después de incorporar otra finalidad o fuente y hace visible quién debe reabrir el expediente.

El registro comienza por actividad, límites, personas, datos, fines y flujo. Después relaciona esos hechos con el artículo 35 y los criterios revisados ². La conclusión debe poder reconstruirse sin depender de quien asistió a la reunión.

Incluye la comprobación de las listas pertinentes ¹, su versión y resultado. Cuando sea aplicable, recoge la opinión del delegado de protección de datos ², pero distingue su asesoramiento de la responsabilidad de quien dirige y aprueba el tratamiento.

Termina con resultado, motivación, responsable, fecha y desencadenante de revisión. Pueden servir una nueva finalidad, otra fuente, más personas, mayor duración, un proveedor distinto o una lógica de decisión más intensa. No se pretende adivinar todo el futuro, sino detectar cuándo dejan de ser ciertos los hechos analizados.

Mantén el expediente unido y versionado, porque los mensajes dispersos pueden explicar fragmentos, pero no muestran de forma fiable qué prueba apoyó cada conclusión ni qué condiciones permitieron iniciar la operación.

Una estructura mínima de control separa hechos, análisis, decisión y seguimiento. En hechos se guardan documentos y responsables de cada entrada; en análisis se explica cómo encajan en supuestos, criterios y listas; en decisión constan el sí o el no y quién lo aprueba; en seguimiento quedan las tareas, el riesgo pendiente y el próximo desencadenante. La separación impide que una aprobación cambie silenciosamente un dato o que una nueva evidencia quede enterrada en una conversación.

El registro también debe mostrar los desacuerdos relevantes. Si el delegado, seguridad, producto o quien aporta los datos interpreta de otra forma un elemento, anota la diferencia y la evidencia necesaria para resolverla. No hace falta convertir cada comentario en veto, pero sí demostrar que la conclusión final conocía la objeción. Cuando el proyecto avance, esa historia permite verificar si la premisa discutida se confirmó o si debe revisarse la decisión.

Una EIPD útil cambia el proyecto

Los cuatro contenidos forman una cadena. La descripción fija qué se evalúa, mientras que la necesidad y la proporcionalidad cuestionan el diseño. Los riesgos traducen el flujo en efectos para las personas, y las medidas responden a los efectos identificados y dejan visible el riesgo residual. Si esos enlaces faltan, una lista extensa de controles puede ocultar la decisión principal que originó la evaluación.

La respuesta afirmativa no termina con la etiqueta “alto riesgo”. El artículo 35 exige una evaluación con contenido operativo ¹, y las directrices la sitúan dentro de un proceso continuo de diseño ².

• descripción sistemática de las operaciones previstas y los fines, incluido cuando proceda el interés legítimo perseguido por el responsable;
• evaluación de la necesidad y proporcionalidad de las operaciones respecto de sus fines;
• evaluación de los riesgos para los derechos y libertades de las personas interesadas;
• medidas previstas para afrontar los riesgos, incluidas garantías, seguridad y mecanismos para demostrar el cumplimiento.

Los cuatro elementos proceden del artículo 35 ¹. La descripción fija el flujo al que se aplican las medidas; necesidad y proporcionalidad obligan a comprobar si cantidad, duración y accesos son realmente necesarios ². La evaluación considera consecuencias y probabilidad para las personas, y las medidas deben responder al riesgo identificado.

Cuando resulte apropiado, deben recabarse las opiniones de interesados o representantes ². Esa participación no sustituye la responsabilidad del responsable ni convierte el consentimiento en respuesta universal. Permite descubrir barreras, perjuicios y usos reales que el equipo de diseño puede no haber visto.

Si permanece un alto riesgo pese a las medidas, puede proceder la consulta previa antes del tratamiento ¹. El documento debe mostrar riesgo inicial, mitigaciones, riesgo residual y decisión posterior, evitando que una lista de controles oculte la pregunta decisiva.

Cada medida necesita una relación visible con el riesgo al que responde. Reducir campos puede limitar exposición; separar permisos puede reducir acceso indebido; cambiar una decisión puede ofrecer una vía humana efectiva. La EIPD no mejora por acumular controles sin destinatario. Para cada medida, conserva responsable, evidencia de implantación y riesgo que queda después, de modo que la aprobación dependa de medidas reales y no de compromisos futuros sin una persona responsable.

La evaluación de necesidad y proporcionalidad merece una decisión propia antes de pasar a seguridad. El equipo explica por qué cada operación y cada categoría de datos ayudan al fin declarado, qué alternativa menos intrusiva se examinó y qué límite se aplicará. Esa secuencia evita aceptar primero un diseño completo y usar después las salvaguardas como justificación retrospectiva. Si cambia el diseño para reducir el riesgo, actualiza también la descripción, porque las medidas solo pueden evaluarse contra la operación que realmente se desplegará.

La plantilla del CEPD es opcional

El CEPD adoptó una plantilla de EIPD el 14 de abril de 2026, pero dejó expresamente a los responsables la elección de su metodología de EIPD ⁴. Por tanto, no es obligatoria ni crea un nuevo supuesto del artículo 35. Para quien carece de método interno ofrece una estructura gratuita; para quien ya tiene uno, sirve de comprobación. La consulta terminó el 9 de junio de 2026 y la página oficial todavía indica que la plantilla se finalizará después de la consulta ⁵.

Revisar cuando cambie la operación o el riesgo

Un desencadenante útil es observable y asignado, como otra finalidad, una categoría adicional, más escala, una fuente nueva, otro destinatario, una lógica de decisión modificada o una salvaguarda retirada; comparar versiones permite revisar el cambio real sin tratar la EIPD como un formulario estático ni sustituir el análisis por una cita periódica sin evidencia.

El artículo 35 exige revisar cuando varíe el riesgo que representan las operaciones ¹. Las directrices describen la EIPD como un proceso continuo ², no como una fotografía administrativa que deja de mirarse tras la firma.

Relaciona el examen con cambios observables: finalidad, categorías de datos, escala, duración, fuentes, destinatarios, proveedor, lógica de decisión o salvaguardias. Una revisión periódica también puede ayudar si tiene responsable y compara hechos; una cita recurrente sin evidencia produce rutina, no control ².

El responsable de cada cambio debe saber dónde notificarlo antes de que llegue a producción. Compras puede detectar otro proveedor, producto una nueva finalidad, ingeniería una fuente adicional y operaciones un aumento sostenido de escala. El expediente asigna esos puntos de entrada y una persona que decide si el cambio afecta al análisis, evitando que la revisión dependa de que alguien recuerde espontáneamente la EIPD.

Casos prácticos para aplicar el razonamiento

Una entidad introduce una puntuación automatizada que decide el acceso a un servicio. Si la evaluación es sistemática y exhaustiva y la decisión tiene un efecto significativo, el supuesto del artículo 35 es directamente relevante ¹. La intervención humana anunciada debe comprobarse en la operación, antes de fijar fuentes y reglas.

Una pequeña asesoría mantiene una lista limitada de clientes, sin perfilado, seguimiento sistemático, datos sensibles ni asociaciones inesperadas. Su tamaño no crea una exención ², pero esos hechos pueden sostener que el alto riesgo no es probable ¹. Debe conservar límites, criterios ausentes y desencadenantes, no una afirmación general.

Un servicio combina localización, perfiles de consumo e información de personas vulnerables. Asociación, observación y vulnerabilidad son criterios separados. Su acumulación hace más probable una EIPD, aunque el nombre comercial del proyecto no aparezca en ninguna lista interna.

Cada resultado cambia si cambian alcance, finalidad o consecuencias. Los ejemplos no crean puertos seguros ni sustituyen las listas de la autoridad competente ¹. Su función es mostrar una cadena reproducible entre hechos, criterio, decisión y revisión.

Otro caso límite aparece cuando una organización amplía una herramienta existente sin alterar su nombre comercial. Añadir una fuente, conservar durante más tiempo o usar la puntuación para otra decisión puede cambiar varios criterios aunque la interfaz parezca idéntica. El equipo compara el nuevo flujo con el que fue aprobado, identifica la diferencia y vuelve al punto correcto de la prueba, sin asumir que una adquisición anterior cubre cualquier uso posterior.

También puede haber un proyecto con tecnología novedosa pero datos limitados, sin seguimiento, sin decisión significativa y con una finalidad acotada. La novedad sigue siendo un criterio que debe explicarse, no una sentencia automática. La persona responsable registra qué incertidumbre introduce, cómo se observará y qué combinación futura cambiaría la conclusión. El ejemplo muestra por qué un criterio puede ser relevante sin convertir cada piloto en alto riesgo ni cada piloto pequeño en una excepción.

En todos los casos, la salida debe poder comunicarse a quien despliega la operación. Una decisión que solo entiende el autor no controla nada: debe exponer perímetro, condiciones, tareas pendientes y desencadenante. Esa síntesis no reemplaza el expediente, pero conecta el análisis con la ejecución y permite que la persona responsable detenga un cambio que dejaría la conclusión sin fundamento.

Al comparar casos, no se traslada la conclusión de uno a otro por semejanza superficial. Se trasladan las preguntas: qué operación, qué personas, qué consecuencias, qué combinación y qué evidencia. El nuevo expediente responde de nuevo con sus propios hechos y conserva las diferencias que explican el resultado. Así los ejemplos aceleran el análisis sin convertirse en precedentes automáticos ni sustituir la revisión de listas.

Preguntas frecuentes sobre la EIPD

¿Cuándo es obligatoria una EIPD conforme al RGPD?

La EIPD es obligatoria antes de un tratamiento que probablemente entrañe alto riesgo para derechos y libertades, atendiendo a naturaleza, alcance, contexto y fines ¹. También deben comprobarse los supuestos expresos del artículo 35, los criterios WP248 y las listas pertinentes. El expediente conecta los hechos verificables con una conclusión razonada, asigna responsable y fija qué cambio observable obligará a revisarla.

¿Dos criterios WP248 hacen obligatoria la EIPD automáticamente?

No. Dos criterios suelen indicar que hace falta una EIPD ², pero esa orientación no crea un umbral legal. Un solo criterio puede bastar cuando su intensidad hace probable el alto riesgo ¹. Varios criterios deben analizarse en combinación, explicando personas afectadas, consecuencias previsibles, evidencia disponible e incertidumbres pendientes, en lugar de sumar marcas y convertir mecánicamente el resultado en una regla automática.

¿Una pequeña empresa está exenta de hacer una EIPD?

No existe una exención general para pequeñas empresas ². El EDPB mantiene respaldadas las directrices que sustentan este análisis ³. Una lista limitada puede quedar lejos del alto riesgo, mientras una operación pequeña puede reunir seguimiento sistemático, datos muy personales, vulnerabilidad o decisiones importantes. El expediente debe describir escala, duración y contexto reales, sin convertir ningún ejemplo sencillo en puerto seguro.

¿Qué debe documentarse si no hace falta una EIPD?

Debe documentarse la actividad, su perímetro, los hechos examinados y la prueba aplicada ¹. El registro incluye supuestos, criterios, comprobación de listas, opinión del delegado cuando proceda, motivación, responsable, fecha y desencadenante de revisión ². También distingue hechos confirmados de incertidumbres pendientes y tareas asignadas, para que el no no funcione como autorización basada únicamente en una ausencia de información.

¿Qué contenido debe incluir una EIPD?

Una EIPD incluye una descripción sistemática del tratamiento y sus fines ², la evaluación de necesidad y proporcionalidad ¹, los riesgos para derechos y libertades y las medidas previstas. Las garantías, la seguridad y los mecanismos de cumplimiento deben responder directamente a riesgos identificados. El documento conserva además responsables claros, evidencia verificable de su implantación y riesgo residual, en vez de limitarse a enumerar controles genéricos.

¿Es obligatoria la plantilla de EIPD del CEPD?

No. El CEPD adoptó la plantilla el 14 de abril de 2026, pero no es obligatoria: los responsables pueden utilizar la metodología de EIPD que elijan ⁴. La consulta terminó el 9 de junio de 2026 y la página oficial aún indica que la plantilla se finalizará después de la consulta ⁵. Ofrece una estructura gratuita o una comprobación de un método existente y no crea un nuevo supuesto que obligue a realizar una EIPD.

¿Cuándo debe revisarse una EIPD?

La EIPD debe revisarse cuando cambien las operaciones o el riesgo ¹. Otra finalidad, nuevos datos, más escala, otro destinatario, una lógica distinta o una salvaguarda retirada pueden invalidar el análisis. El artículo 35 exige revisar la evaluación cuando cambie el riesgo de las operaciones, y las directrices la tratan como un proceso continuo ². El expediente asigna así un responsable concreto, fija desencadenantes observables y compara siempre la versión aprobada con la operación que se pretende desplegar.