El Decreto 0368 de 2026, expedido por el Ministerio de Hacienda y Crédito Público el 7 de abril de 2026, convirtió el sistema de finanzas abiertas en obligatorio para todas las entidades vigiladas por la Superintendencia Financiera de Colombia. Colombia pasó, en una sola norma, del open finance voluntario a las finanzas abiertas obligatorias.
Reemplaza el esquema voluntario que regía desde el Decreto 1297 de 2022, modifica el Decreto 2555 de 2010 y desarrolla el mandato de la Ley del Plan Nacional de Desarrollo 2022–2026. Con él, compartir datos con consentimiento del titular dejó de ser una decisión estratégica de cada entidad y pasó a ser un deber.
Esta guía explica lo que el decreto define: los tres roles del sistema, las tres categorías de datos en alcance, los requisitos del consentimiento, el registro que administra la SFC y el cronograma de plazos que empezó a correr.
Qué cambia respecto al esquema anterior
El Decreto 1297 de 2022 había creado un marco de finanzas abiertas de adopción voluntaria: una entidad podía participar si le convenía. En cuatro años ese diseño produjo lo predecible — quienes tenían incentivo para abrir lo hicieron, quienes tenían incentivo para no abrir no abrieron, y el ecosistema no alcanzó masa crítica.
| Decreto 1297 de 2022 | Decreto 0368 de 2026 | |
|---|---|---|
| Participación | Voluntaria | Obligatoria para toda entidad vigilada por la SFC |
| Rol de proveedor de datos | Opcional | Deber legal |
| Terceros no vigilados | Sin marco claro | Pueden inscribirse de forma voluntaria en el registro |
| Categorías de datos | Indefinidas en detalle | Tres categorías explícitas |
| Registro de participantes | Inexistente | Administrado por la SFC, con tres módulos |
| Cronograma | Sin plazos vinculantes | Plazos de 6 y 12 meses encadenados |
El fundamento normativo también sube de nivel: el decreto desarrolla la habilitación de la Ley del Plan Nacional de Desarrollo 2022–2026 y modifica el Decreto 2555 de 2010, el estatuto reglamentario del sistema financiero. No es una instrucción de supervisión: es reglamentación.
Los tres roles del sistema
Todas las obligaciones del decreto se derivan de tres definiciones. Una entidad puede ocupar dos roles a la vez, y normalmente lo hace.
Titular
La persona natural o jurídica cuyos datos personales son objeto de tratamiento. Es quien autoriza, quien puede revocar y quien tiene derecho a saber qué autorizó. El decreto lo pone en el centro: el dato sigue custodiado por la entidad, pero la decisión sobre su circulación es del titular.
Proveedor de datos
Entidad vigilada por la SFC que entrega el acceso a los datos. La participación es obligatoria y cubre a establecimientos de crédito, SEDPE, sociedades fiduciarias, aseguradoras, sociedades comisionistas de bolsa y administradoras de fondos de pensiones, entre otras vigiladas.
Sus deberes: exponer los datos por API bajo el estándar, confirmar la autorización con el titular antes de que el dato circule, y verificar el cumplimiento del receptor antes de entregarle información.
Tercero receptor de datos
Quien accede a los datos: puede ser una entidad vigilada por la SFC o una persona jurídica no vigilada. Ese segundo caso es la puerta de entrada de fintechs, comparadores, corredores y proveedores tecnológicos al sistema.
Su deber principal es obtener la autorización del titular antes de solicitar cualquier dato, con el contenido mínimo que el decreto especifica.
Las tres categorías de datos en alcance
La distinción no es académica: cada categoría tiene su propio estándar técnico y, por tanto, su propio reloj de habilitación.
- Productos y servicios a nombre del titular. El inventario de lo contratado: cuentas, saldos, movimientos, créditos, inversiones, pólizas. Es la categoría de mayor volumen y la que habilita agregación, verificación de ingresos y originación.
- Información asociada al proceso de vinculación. Los datos de conocimiento del cliente recogidos al abrir el producto. Permiten que un tercero no repita el onboarding completo, y son la base de la portabilidad real.
- Características generales de los productos y servicios ofrecidos por los participantes del sistema. Datos de catálogo, no de cliente: tarifas, coberturas, condiciones. Habilita comparadores y marketplaces sin tocar datos personales.
La tercera categoría suele pasarse por alto en la planeación técnica porque no involucra datos personales, pero es la que abre el canal de distribución: un comparador que puede leer catálogo por API distribuye productos sin necesitar un acuerdo comercial previo con cada entidad.
Qué exige el decreto del consentimiento
Esta es la parte del decreto que más impacta el diseño de software. La autorización del titular tiene un contenido mínimo obligatorio, y una casilla genérica de aceptación no lo satisface.
La solicitud de autorización debe especificar:
- Identificación del receptor — quién va a recibir los datos.
- Categorías de datos personales — qué se va a compartir, de forma granular.
- Tipo de tratamiento — qué se va a hacer con los datos.
- Propósito específico — para qué. "Mejorar la experiencia del cliente" no es un propósito específico.
- Duración de la autorización — hasta cuándo. No hay consentimiento perpetuo.
Y hay una obligación simétrica que se omite con frecuencia: el proveedor de datos debe confirmar la autorización con el titular antes de que la información circule. No basta con que el receptor afirme tenerla; la entidad que custodia el dato tiene que verificarla con quien la otorgó.
El registro de participantes de la SFC
El decreto encarga a la SFC administrar un registro con tres módulos: proveedores de datos, terceros receptores de datos y participantes voluntarios. Es la raíz de confianza que permite que dos entidades sin contrato bilateral intercambien datos con seguridad.
- Los terceros no vigilados pueden inscribirse de forma voluntaria para participar como receptores.
- Los proveedores de datos verifican el cumplimiento del receptor antes de entregarle información — un deber activo, no una presunción.
- El decreto también fija 12 meses para que quede operativo el marco del directorio, y 12 meses para los indicadores de seguimiento de la SFC.
En términos de implementación, esto significa que el proveedor tiene que consultar el registro en tiempo de ejecución. Una habilitación revocada o un certificado vencido deben cortar el acceso de inmediato, no en el siguiente ciclo de sincronización.
El cronograma: qué reloj corre y desde cuándo
El decreto no fija fechas absolutas para las entidades. Fija plazos relativos que arrancan con actos de la SFC, en cadena.
| Hito | Plazo | Responsable |
|---|---|---|
| Publicación del cronograma de estándares técnicos | 6 meses desde el decreto (7 de abril de 2026) | SFC |
| Habilitación del acceso a datos, por categoría | 12 meses desde la publicación de cada estándar, prorrogables 6 meses a discreción de la SFC | Entidades vigiladas |
| Marco operativo del directorio de participantes | 12 meses | SFC |
| Indicadores de seguimiento | 12 meses | SFC |
La lectura práctica del cronograma: una entidad que espere a que salga el estándar de su categoría de datos para empezar a construir tendrá 12 meses —quizá 18 con prórroga— para entregar APIs conformes, consentimientos auditables y registro al día. Construir esa capa desde cero toma entre 6 y 18 meses de ingeniería especializada. El margen existe, pero no sobra, y no admite un arranque tardío.
Qué hacer ahora
- Determinar los roles. Proveedor, receptor o ambos. Define el alcance real del proyecto y suele ser la decisión que más se posterga.
- Inventariar datos contra las tres categorías y mapearlos al diccionario de datos de la SFC. Es el trabajo más largo y el menos visible.
- Inscribirse en el registro en el módulo correspondiente, y preparar la gestión de certificados que eso implica.
- Resolver la capa de seguridad. FAPI 2.0, PAR, mTLS, rotación de certificados: construirla o integrarla, pero decidirlo ya, porque es la ruta crítica.
- Diseñar el consentimiento con el contenido mínimo del decreto, incluida la confirmación del proveedor con el titular y el portal de revocación.
- Instrumentar audit trail y telemetría desde el primer día, porque son la base de los indicadores de seguimiento que la SFC va a exigir a los 12 meses.
Los pasos 3 a 6 son idénticos para todas las entidades del país y ninguno diferencia comercialmente a nadie. Son exactamente la capa que Opensurix entrega construida.
Preguntas frecuentes
¿Qué es el Decreto 0368 de 2026?
Es el decreto expedido por el Ministerio de Hacienda y Crédito Público de Colombia el 7 de abril de 2026 que hace obligatorio el sistema de finanzas abiertas para todas las entidades vigiladas por la Superintendencia Financiera, reemplazando el esquema voluntario del Decreto 1297 de 2022 y modificando el Decreto 2555 de 2010.
¿A quién obliga el Decreto 0368?
A todas las entidades vigiladas por la SFC, que deben participar como proveedores de datos de forma obligatoria: establecimientos de crédito, SEDPE, sociedades fiduciarias, aseguradoras, sociedades comisionistas de bolsa y administradoras de fondos de pensiones, entre otras.
¿Una fintech no vigilada puede participar?
Sí, como tercero receptor de datos. El decreto admite personas jurídicas no vigiladas en ese rol y la SFC administra un módulo de participantes voluntarios en su registro. El proveedor de datos debe verificar su cumplimiento antes de entregarle información.
¿Qué datos entran en alcance?
Tres categorías: los productos y servicios a nombre del titular, la información asociada a su proceso de vinculación, y las características generales de los productos y servicios que ofrecen los participantes del sistema.
¿Qué debe contener la autorización del titular?
La identificación del receptor, las categorías de datos personales, el tipo de tratamiento, el propósito específico y la duración de la autorización. Además, el proveedor de datos debe confirmar esa autorización con el titular antes de que la información circule.
¿Cuáles son los plazos del Decreto 0368?
La SFC tiene 6 meses desde el decreto para publicar el cronograma de estándares técnicos. Desde la publicación de cada estándar, las entidades tienen 12 meses para habilitar el acceso a la categoría de datos correspondiente, prorrogables 6 meses a discreción de la SFC. El marco operativo del directorio y los indicadores de seguimiento tienen plazo de 12 meses.
¿El Decreto 0368 reemplaza la Circular 004 de 2024?
No, son complementarios. El decreto define quién participa, en qué roles y qué datos circulan. La Circular 004 define los estándares técnicos y de seguridad con los que se implementa: OAuth 2.0, FAPI 2.0, ISO 20022 y el diccionario de datos de la SFC. El régimen de transición de la circular vence el 7 de agosto de 2026.
El reloj ya arrancó
Construir la capa de finanzas abiertas toma entre 6 y 18 meses; integrarla toma 30 días. Opensurix entrega APIs conformes, motor de consentimientos con el contenido mínimo del Decreto 0368, cliente de directorio y audit trail exportable — listos para cuando la SFC publique el estándar de tu categoría de datos.