Finanzas abiertas en Colombia: la guía completa

Qué son las finanzas abiertas

Las finanzas abiertas son un esquema de portabilidad de datos financieros. El titular de la información —una persona natural o una empresa— autoriza a un tercero a consultar sus datos en la entidad donde los tiene, y esa entidad los entrega por una API bajo un estándar común. No hay scraping, no hay compartir contraseñas, no hay archivos planos por correo: hay un contrato técnico, un consentimiento explícito y una trazabilidad auditable.

El cambio de fondo es de propiedad. En el modelo cerrado, el banco es dueño de facto del historial transaccional porque es el único que puede leerlo. En finanzas abiertas el dato sigue custodiado por la entidad, pero la decisión de con quién compartirlo es del cliente. Eso convierte información que estaba encerrada en insumo para crédito, agregación, pagos iniciados por terceros y seguros personalizados.

Tres elementos hacen que el modelo funcione y ninguno es opcional:

• Estándares técnicos comunes. Si cada entidad expone su propia API a su manera, integrar el ecosistema cuesta lo mismo que no tenerlo. Por eso la SFC fijó OAuth 2.0, FAPI 2.0, ISO 20022 y un diccionario de datos único.
• Consentimiento verificable. Un permiso con alcance, propósito y vigencia explícitos, revocable por el titular en cualquier momento, y registrado de forma que se pueda demostrar ante el supervisor.
• Un directorio de participantes. Un registro autoritativo de quién es proveedor de datos, quién es tercero receptor y qué certificados presenta, para que las entidades no tengan que confiar en desconocidos.

Finanzas abiertas vs. open banking vs. open insurance

Los tres términos describen el mismo mecanismo aplicado a alcances distintos. La confusión es común y tiene consecuencias prácticas: una entidad que planea solo para open banking subdimensiona el proyecto.

Colombia legisló directamente en el nivel amplio. El sistema de finanzas abiertas incluye a establecimientos de crédito, SEDPE, sociedades fiduciarias, aseguradoras, comisionistas de bolsa y administradoras de fondos de pensiones. Es decir: si una entidad es vigilada por la SFC, es proveedora de datos, y eso arrastra a open insurance al mismo perímetro obligatorio.

El marco normativo colombiano, norma por norma

El régimen no salió de una sola norma sino de una secuencia de cinco años. Conocer el orden importa porque cada una modifica plazos o alcance de la anterior.

Hay dos relojes corriendo en paralelo y se confunden con facilidad. El de la Circular 004 aplica a entidades que ya operaban modelos de open finance con estándares propios y les exige migrar a los estándares de la SFC. El del Decreto 0368 aplica a todas las vigiladas y arranca cuando la SFC publique el cronograma de estándares.

Quién es quién en el sistema

El Decreto 0368 nombra tres roles y de ahí se derivan todas las obligaciones. Una misma entidad puede ocupar dos roles a la vez —un banco es proveedor de datos de sus clientes y receptor de datos de otras entidades— y eso duplica lo que tiene que construir.

• Titular. La persona natural o jurídica cuyos datos personales se tratan. Es quien autoriza, quien puede revocar y quien tiene que poder ver qué autorizó.
• Proveedor de datos. Entidad vigilada por la SFC que expone la información. Su obligación es entregar los datos por API bajo el estándar, confirmar la autorización con el titular antes de que el dato circule, y verificar que el receptor esté habilitado.
• Tercero receptor de datos. Entidad vigilada o persona jurídica no vigilada que accede a la información. Su obligación es obtener la autorización del titular con alcance y propósito específicos antes de pedir cualquier dato.

La SFC administra un registro con tres módulos —proveedores de datos, terceros receptores y participantes voluntarios—. Los terceros no vigilados pueden inscribirse de forma voluntaria, y los proveedores tienen el deber de verificar su cumplimiento antes de entregarles datos. En la práctica esto significa que un proveedor necesita consultar el directorio en tiempo de ejecución, no una vez al mes.

Qué datos entran en alcance

El Decreto 0368 define tres categorías de información. La distinción es operativa: cada categoría tiene su propio reloj de habilitación una vez la SFC publique el estándar correspondiente.

1. Productos y servicios a nombre del titular. Cuentas, saldos, movimientos, créditos, inversiones, pólizas: el inventario de lo que el cliente tiene contratado.
2. Información asociada al proceso de vinculación. Los datos de conocimiento del cliente recogidos al abrir el producto, que permiten a un tercero evitar repetir el onboarding completo.
3. Características generales de productos y servicios ofrecidos por los participantes del sistema. Datos de catálogo, no de cliente: tarifas, coberturas, condiciones. Es la categoría que habilita comparadores y marketplaces.

Nada de esto circula sin autorización del titular, y la autorización no es una casilla genérica. La solicitud debe especificar la identificación del receptor, las categorías de datos personales, el tipo de tratamiento, el propósito específico y la vigencia. Un consentimiento que no fije propósito y duración no cumple.

Plazos y cronograma de implementación

El Decreto 0368 no fija fechas absolutas: fija plazos relativos que arrancan con actos de la SFC. Esta es la cadena.

La lectura práctica: una entidad que empiece a construir cuando salga el estándar tiene 12 meses para tener APIs conformes al estándar, consentimientos auditables y registro al día. Construir esa capa desde cero toma entre 6 y 18 meses de ingeniería especializada, así que el margen es más estrecho de lo que parece.

Qué tiene que construir una entidad para cumplir

Cumplir no es exponer un endpoint REST. El estándar de la SFC obliga a un conjunto de piezas que tienen que operar juntas y auditarse por separado.

1. Capa de APIs conforme al estándar

Endpoints con los contratos, códigos de estado y modelos de datos del diccionario SFC, mensajería alineada a ISO 20022 donde aplique, versionado y sandbox para que los terceros integren sin tocar producción. Detalle técnico en la guía de open finance.

2. Autorización de grado financiero

OAuth 2.0 con PKCE y el perfil de seguridad FAPI 2.0: Pushed Authorization Requests (PAR, RFC 9126), tokens sender-constrained vía DPoP o mTLS, y autenticación mutua de cliente con certificados (RFC 8705). No es OAuth genérico: los flujos implícitos y los secretos compartidos quedan fuera.

3. Motor de consentimientos

Un componente que emita, muestre, versione, revoque y expire autorizaciones con alcance granular, y que deje registro inmutable de cada cambio de estado. Es la pieza que el supervisor pide primero cuando hay una queja de un titular.

4. Integración con el directorio

Consulta del registro de la SFC para validar que el receptor está habilitado y que su certificado es vigente, en cada solicitud. Más gestión del propio registro de la entidad y de sus certificados.

5. Trazabilidad y reportes

Audit trail de cada acceso a datos —quién, qué, cuándo, bajo qué consentimiento—, retención acorde a las Leyes 1266 de 2008 y 1581 de 2012, e indicadores listos para los reportes de seguimiento de la SFC.

Qué habilita el modelo, más allá del cumplimiento

Tratar las finanzas abiertas solo como un costo regulatorio deja la mitad del valor sobre la mesa. Los casos de uso que se vuelven viables cuando el dato circula con consentimiento:

• Originación de crédito con datos reales. Historial transaccional verificado en lugar de certificados laborales, lo que amplía el crédito a población sin historial en centrales de riesgo.
• Verificación de ingresos automática. Segundos en vez de días, y sin documentos manipulables.
• Agregación financiera. Una vista única de cuentas, créditos, inversiones y pólizas en la app de la entidad que gana la relación con el cliente.
• Portabilidad real. Mover un producto de una entidad a otra sin repetir el onboarding, con los datos de vinculación viajando con el cliente.
• Seguros personalizados. Tarificación con comportamiento financiero real y cotización comparable entre aseguradoras. Ver open insurance.
• Pagos iniciados por terceros. Débito directo desde cuenta con autorización explícita, sin la fricción ni el costo de la red de tarjetas.

La ventaja competitiva no está en cumplir a tiempo —eso lo hará todo el mercado— sino en tener la capa lista antes y usarla como producto.

Preguntas frecuentes