La norma exige segmentar por nivel de riesgo y aplicar controles proporcionales. En la práctica, muchas empresas clasifican «alto, medio, bajo» según el criterio del analista de turno, y esa clasificación no resiste una pregunta sencilla: ¿por qué este proveedor es de riesgo medio y aquel de riesgo alto?
Sin un criterio escrito y aplicado igual a todos, pasan dos cosas malas a la vez. La primera es que se aplica debida diligencia intensificada a quien no la necesita, con el coste y la fricción comercial que eso trae. La segunda, más cara, es que no se aplica a quien sí la necesitaba, y eso es lo que después aparece en el informe de la visita.