Finanzas abiertas en Colombia dejó de tener plazo el 7 de agosto de 2026. Ese día venció la tercera y —según la propia Superintendencia Financiera (SFC)— última extensión del régimen de transición que empezó en febrero de 2024. Si su entidad vigilada o su proveedor tecnológico todavía opera con estándares de arquitectura distintos a los que exige la Circular Externa 004 de 2024, la ventana para adaptarse sin quedar en incumplimiento técnico ya se cerró. Este artículo repasa qué exige exactamente la norma, por qué tardó dos años y medio en volverse obligatoria, y qué debería estar resuelto en su stack hoy mismo.
Lo esencial
- La Circular Externa 004 de 2024 fija estándares de arquitectura, seguridad e interoperabilidad para finanzas abiertas — y para la comercialización a terceros de tecnología e infraestructura.
- El plazo original de 18 meses se extendió dos veces — la última vez hasta el 7 de agosto de 2026, fecha que ya pasó.
- No es solo una norma para bancos: cualquier proveedor que comercialice tecnología o infraestructura a una entidad vigilada colombiana cae dentro del alcance.
Qué exige realmente la norma detrás de finanzas abiertas
La Circular Externa 004 de 2024 no es una sola obligación — son tres, con calendarios distintos. Primero, define los estándares tecnológicos y de seguridad que las entidades vigiladas deben adoptar para operar en condiciones de interoperabilidad dentro del modelo de finanzas abiertas. Segundo, establece obligaciones sobre cómo debe tratarse la información de los consumidores financieros, alineadas con la Ley 1266 de 2008 y la Ley 1581 de 2012. Tercero — y esta es la parte que suele pasar desapercibida para equipos que no son bancos — fija lineamientos para cualquier entidad que comercialice a terceros la tecnología o infraestructura que usa para prestar sus servicios.
Ese tercer punto amplía el alcance más allá de las entidades financieras tradicionales. Un proveedor de core bancario, una fintech que revende su stack a otra entidad, o un integrador que despliega infraestructura cloud para un banco, entra dentro del perímetro de supervisión aunque no sea, en sí mismo, una entidad vigilada.
Finanzas abiertas no es solo una obligación de bancos. Es una obligación de cadena de suministro tecnológico.
Tres prórrogas después: la línea de tiempo real
| Fecha | Hito | Plazo resultante |
|---|---|---|
| 7 feb 2024 | SFC expide la Circular Externa 004 de 2024 | 18 meses — vence 7 ago 2025 |
| 2025 | Circular Externa 009 de 2025 — primera extensión | +6 meses — nuevo vencimiento 8 feb 2026 |
| 3 feb 2026 | Circular Externa 001 de 2026 — segunda extensión | 30 meses desde feb-2024 — vence 7 ago 2026 |
| 7 ago 2026 | Vencimiento del plazo extendido | Ya pasó — hace tres semanas |
Dos extensiones en dos años no es un patrón de norma abandonada — es un patrón de norma que la industria no lograba implementar a tiempo. Según el análisis de Holland & Knight sobre la segunda extensión, la propia SFC reconoció que adoptar estos estándares exige acuerdos, desarrollos y cambios relevantes en los sistemas de información — no un ajuste de configuración menor.
Punto clave
Que la SFC haya extendido el plazo dos veces no significa que vuelva a hacerlo. La tercera extensión se presentó explícitamente como la definitiva — construida sobre 30 meses corridos desde la circular original, no sobre una nueva prórroga abierta.
Si este análisis técnico le resulta útil, recíbalo cada semana: 👉 Suscríbete al newsletter de DacmosGroup
Qué debería estar resuelto en su arquitectura ahora mismo
Con el plazo vencido, la pregunta útil ya no es “cuándo hay que cumplir” — es qué evidencia concreta puede mostrar su equipo si la SFC pide comprobar interoperabilidad dentro del régimen de finanzas abiertas. Tres frentes técnicos concretos: primero, los estándares de arquitectura y seguridad para finanzas abiertas deben estar implementados, no solo documentados en un plan de adopción — el plazo para remitir ese plan a la delegatura correspondiente ya venció en fases anteriores de la norma.
Segundo, si su empresa comercializa tecnología o infraestructura a una entidad vigilada, revise si su contrato y su arquitectura ya reflejan los lineamientos del tercer numeral de la circular de finanzas abiertas, no solo los dos primeros. Tercero, el tratamiento de datos de consumidores financieros bajo la Ley 1266 y la Ley 1581 corre en paralelo — cumplir interoperabilidad sin cumplir tratamiento de datos deja expuesta a la entidad en el flanco que un regulador revisa primero.
Preguntas frecuentes
¿A quién aplica realmente la normativa de finanzas abiertas en Colombia?
A las entidades vigiladas por la SFC y a cualquier tercero que les comercialice tecnología o infraestructura para prestar sus servicios — no se limita a bancos, incluye proveedores de core bancario, fintechs e integradores.
¿El plazo del 7 de agosto de 2026 se puede volver a extender?
No hay ningún anuncio de la SFC en ese sentido. La segunda extensión del régimen de finanzas abiertas se construyó como un plazo fijo de 30 meses desde la expedición de la circular original, presentado como la ampliación definitiva.
¿Su equipo podría mostrar hoy evidencia técnica de cumplimiento con la Circular 004, o solo tiene el plan de adopción que remitió en 2024?
Cuéntenos si su arquitectura ya pasó por una revisión formal de interoperabilidad, o si sigue en la lista de pendientes.
El patrón detrás de finanzas abiertas se repite en cada marco regulatorio cloud de la región: el plazo original nunca alcanza, la industria pide tiempo, el regulador lo concede una o dos veces, y luego deja de conceder. Colombia ya agotó esa secuencia. La pregunta que queda no es normativa — es de arquitectura: si su stack todavía no refleja los estándares exigidos, el riesgo no es una fecha futura, es una auditoría que puede llegar cualquier semana a partir de ahora.
Un patrón parecido de plazos regionales que se mueven más de lo previsto aparece esta misma semana en el análisis de Movilidad sobre Amazon Leo en Sudamérica. Es la misma tensión entre infraestructura física y marco regulatorio que ya cubrimos en este pilar desde otro ángulo: Soberanía de datos en LATAM: cómo Brasil, México y Panamá redefinen dónde vive su nube.