Circular Externa 004 de 2024 de la SFC: guía de cumplimiento

Qué establece la Circular 004

La circular tiene tres bloques de contenido, y confundirlos lleva a proyectos mal dimensionados.

1. Estándares tecnológicos y de seguridad para que las entidades vigiladas desarrollen finanzas abiertas en condiciones de interoperabilidad. Es la parte que obliga a OAuth 2.0, FAPI 2.0, ISO 20022 y el diccionario de datos de la SFC.
2. Obligaciones sobre los datos del consumidor financiero: manejo seguro, transparente y eficiente, en cumplimiento de la Ley 1266 de 2008 (habeas data financiero) y la Ley 1581 de 2012 (protección de datos personales).
3. Lineamientos para la comercialización de tecnología e infraestructura a terceros. El bloque menos comentado y el que más importa para quien quiere monetizar su capa técnica: define las condiciones bajo las cuales una entidad vigilada puede vender su infraestructura a otros participantes.

El fundamento de la interoperabilidad es el primer bloque. Si cada entidad expusiera APIs con su propio diseño, el costo de integrar el ecosistema sería igual al de no tenerlo — el problema que la fragmentación de PSD2 produjo en Europa y que la SFC decidió evitar fijando el estándar desde el supervisor.

Los estándares técnicos exigidos

A esto se suman las obligaciones derivadas de las Leyes 1266 y 1581: consentimiento informado con propósito y vigencia explícitos, derecho del titular a conocer, actualizar y rectificar, y retención acorde a la finalidad. En términos de arquitectura, esas leyes son las que obligan a que el consentimiento sea un objeto de primera clase con historia auditable, y no una columna booleana.

Plazos y prórrogas: la cronología real

El régimen de transición de la Circular 004 se movió dos veces. Circula mucha información desactualizada, así que conviene fijar la secuencia.

Dos precisiones importantes. La primera: la Circular 001 de 2026 se expidió al amparo del artículo 326, numeral 3, literal a) del Estatuto Orgánico del Sistema Financiero y del Decreto 2555 de 2010, y la propia SFC advirtió que podría revisar las instrucciones cuando el Gobierno expidiera el decreto de finanzas abiertas obligatorias — lo que efectivamente ocurrió con el Decreto 0368 de 2026.

La segunda: este plazo aplica al régimen de transición, no a las obligaciones generales del Decreto 0368, que corren por su propio reloj de 12 meses desde la publicación de cada estándar técnico. Una entidad puede estar dentro del plazo de uno y fuera del otro.

A quién aplica

El régimen de transición aplica a entidades vigiladas por la SFC que ya operaban modelos de open finance con enfoques arquitectónicos, tecnológicos o de seguridad distintos a los estándares de la circular. Es decir: quienes se adelantaron bajo el esquema voluntario del Decreto 1297 de 2022 tienen que migrar.

El universo de vigilados incluye establecimientos de crédito, SEDPE, sociedades fiduciarias, aseguradoras, sociedades comisionistas de bolsa y administradoras de fondos de pensiones. Con el Decreto 0368 de 2026 todas son proveedoras de datos obligatorias, así que la pregunta dejó de ser si aplica y pasó a ser cuándo arranca el reloj de cada categoría de datos.

Para las aseguradoras esto tiene una consecuencia específica: no hay una circular de seguros aparte y no va a haber una. Los estándares de la Circular 004 son los que aplican a los datos de pólizas y siniestros. Ver open insurance.

Checklist de conformidad

Lo que una entidad debería poder demostrar, punto por punto, ante una revisión.

Autorización y seguridad

• Authorization server con OAuth 2.0 y PKCE S256 obligatorio; flujo implícito deshabilitado.
• PAR (RFC 9126) exigido en toda solicitud de autorización.
• Tokens de acceso sender-constrained por mTLS (RFC 8705) o DPoP (RFC 9449).
• Autenticación de cliente con private_key_jwt o tls_client_auth; ningún client_secret compartido en producción.
• Redirect URIs preregistradas con coincidencia exacta.
• Rotación de certificados sin ventana de indisponibilidad, con alertas de vencimiento anticipadas.

Consentimiento y datos del titular

• Consentimiento con receptor identificado, categorías de datos, tipo de tratamiento, propósito específico y vigencia.
• Alcance granular por producto y tipo de dato; sin permisos globales.
• Revocación efectiva y propagada: los tokens vivos dejan de funcionar.
• Portal del titular para consultar y revocar sus autorizaciones sin intermediarios.
• Historia de estados de cada consentimiento, reconstruible a una fecha dada.
• Retención y tratamiento conformes a las Leyes 1266 de 2008 y 1581 de 2012.

APIs y modelo de datos

• Contratos alineados al diccionario de datos de la SFC.
• Mensajería ISO 20022 donde aplique, especialmente en pagos.
• Versionado explícito y política de deprecación publicada.
• Idempotencia en toda operación de escritura.
• Sandbox en paridad de contrato con producción, con datos sintéticos.
• Especificación OpenAPI publicada y vigente.

Directorio y trazabilidad

• Validación del receptor contra el registro de la SFC en cada solicitud, no por lote.
• Verificación de vigencia y cadena del certificado presentado.
• Registro propio actualizado: endpoints, certificados, contacto técnico.
• Audit trail inmutable por acceso a datos, exportable para el supervisor.
• Telemetría de latencia, error y disponibilidad por endpoint.
• Registro de incidentes de seguridad.

Qué pasa si no se cumple

La Circular 004 es una instrucción de la SFC a sus vigilados, y su incumplimiento se maneja por el régimen sancionatorio ordinario de la supervisión financiera. Los frentes de exposición:

• Sancionatorio. La SFC puede imponer sanciones a la entidad y a sus administradores por incumplir instrucciones, con el agravante de reincidencia.
• Protección de datos. El incumplimiento de las Leyes 1266 y 1581 abre una vía adicional ante la Superintendencia de Industria y Comercio, independiente de la financiera.
• Operativo. Sin conformidad no hay interoperabilidad: los terceros no pueden integrar, y la entidad queda fuera de los flujos de originación y agregación del mercado.
• Reputacional y comercial. En un sistema con directorio público, no estar habilitado es información pública.

El riesgo más práctico, sin embargo, es de tiempo. Construir la capa conforme toma entre 6 y 18 meses; una entidad que descubre el faltante cerca del vencimiento ya no tiene la opción de construirla.

Preguntas frecuentes