Proyecta actualizar instrucciones del Sistema de Finanzas Abiertas en armonía con el Decreto 368 de 2026
La Superintendencia Financiera de Colombia (SFC) proyecta subrogar el Capítulo IX de la Circular Básica Jurídica para actualizar las reglas del Sistema de Finanzas Abiertas, con el fin de armonizar las disposiciones expedidas bajo el esquema voluntario de finanzas abiertas con el nuevo modelo obligatorio establecido por el Decreto 368 de 2026. El proyecto regula la participación de proveedores y receptores de datos, fija requisitos de infraestructura, arquitectura, seguridad e interoperabilidad mediante API, y establece lineamientos para la vinculación de terceros receptores de datos no vigilados.Algunas de las obligaciones
Las entidades vigiladas que participen en el Sistema de Finanzas Abiertas deberían:- Implementar protocolos de intercambio automático de información mediante API para el acceso y suministro de datos e información del sistema.
- Contar con políticas, procedimientos y recursos técnicos y humanos para garantizar la seguridad y calidad de los datos e información intercambiados.
- Mantener registros (logs) de cada solicitud de datos realizada en el sistema por un término de cinco años.
- Realizar pruebas periódicas de calidad de datos, documentar los resultados y mantenerlos a disposición de la SFC.
- Implementar procedimientos de validación para verificar periódicamente el correcto intercambio de información a través de las API.
- Gestionar vulnerabilidades y riesgos de seguridad asociados a las API utilizando marcos de referencia reconocidos.
- Abstenerse de implementar prácticas que obstaculicen, dificulten o desincentiven el intercambio de datos o los procesos de autorización y autenticación de los titulares.
- La Circular define obligaciones específicas para distintos participantes del Sistema de Finanzas Abiertas, incluyendo Proveedores de Datos, Terceros Receptores de Datos Vigilados y, de forma indirecta, Terceros Receptores de Datos No Vigilados.
Algunos aspectos de interés
- Se establece un sistema obligatorio de finanzas abiertas para determinadas entidades vigiladas por la SFC que participen como Proveedores de Datos, así como la posibilidad de participación de otros actores como Terceros Receptores de Datos Vigilados y No Vigilados.
- Las API deberán cumplir estándares específicos de arquitectura, administración de datos y seguridad, incluyendo OpenAPI 3.1, formato JSON, arquitectura REST, ISO 20022 y el marco FAPI 2.0.
- Para la industria de seguros y administradores de activos de terceros se prevé la utilización de estándares como ACORD, ISIN, CFI, OpenFunds o FIX, según corresponda.
- Los Proveedores de Datos que decidan vincular Terceros Receptores de Datos No Vigilados deberán establecer políticas, procedimientos y controles de vinculación, monitoreo y debida diligencia, así como verificar requisitos relacionados con protección de datos, seguridad de la información y capacidad operativa.
- La regulación sobre tratamiento de datos personales en el Sistema de Finanzas Abiertas será desarrollada posteriormente mediante una circular externa adicional.
- Los lineamientos para el directorio de participantes, los estándares por categorías de información y los indicadores de seguimiento serán expedidos posteriormente conforme a los plazos previstos en el Decreto 368 de 2026.
Fechas y plazos
- La implementación de los estándares de intercambio de información se realizará de forma gradual conforme la SFC expida los estándares aplicables para cada categoría de información o servicio.
- Las entidades vigiladas que actualmente tengan implementados esquemas o casos de uso de finanzas abiertas bajo la Circular Externa 004 de 2024 tendrían hasta el 7 de abril de 2027 para adecuarlos a las nuevas instrucciones.
- Dentro de los 30 días siguientes a la expedición de la Circular, dichas entidades deberán remitir a la delegatura institucional correspondiente un plan de adecuación.
