Colombia refuerza seguridad y compliance financiero

Nuevos roles dentro de la Superfinanciera

En agosto de 2026, la Superintendencia Financiera de Colombia publicó en el Boletín Minhacienda, capítulo Superintendencia Financiera, la designación de los responsables de los roles de Oficial de Seguridad de la Información y Continuidad del Negocio, Oficial de Protección de Datos Personales y de la Función de Cumplimiento dentro de la propia entidad. El boletín figura como Boletín 827, del 11 de agosto de 2026, y sirve como contexto oficial para los movimientos internos y la agenda regulatoria del organismo.

La página de resoluciones 2026 de la Superintendencia confirma además que la Resolución 0877 del 11 de junio de 2026 creó los cargos de Oficial de Seguridad de la Información y Continuidad del Negocio y de Oficial de Protección de Datos Personales, y adoptó la función de cumplimiento dentro de la institución.

Financias abiertas, riesgos y datos

En paralelo, la Superintendencia Financiera sometió a comentarios el Proyecto de Circular Externa 10 de 2026 para actualizar las reglas del Sistema de Finanzas Abiertas en atención al Decreto 368 de 2026, con nuevas instrucciones sobre gestión de riesgos, seguridad de la información, tratamiento de datos y reporte de incidentes para las entidades vigiladas que operan esquemas de finanzas abiertas, según el análisis difundido por Ladob.

Ese mismo análisis indica que las entidades vigiladas que ya operen casos de uso bajo la Circular Externa 004 de 2024 tendrían plazo hasta el 7 de abril de 2027 para adecuarse a las nuevas instrucciones. Esa fecha aparece en reseñas de normativa financiera citadas por el medio, aunque el detalle queda pendiente de confirmación oficial en la redacción disponible.

Identidad suplantada y nuevas obligaciones

La Ley 2573 de 2026 también reconfigura el frente de seguridad digital. Medios nacionales colombianos describen que la norma elevó los estándares de seguridad digital y creó la figura de la carga dinámica de la prueba en casos de suplantación de identidad vinculados con operaciones financieras, lo que agrega herramientas para consumidores afectados por fraudes de crédito.

Baker McKenzie agrega que la ley fortalece las protecciones contra el robo de identidad al imponer nuevas obligaciones a las instituciones financieras para suspender acciones de cobro una vez notificadas de una presunta suplantación, además de deberes de verificación y documentación. El mismo análisis señala que las instituciones financieras, los proveedores de telecomunicaciones y los comercios deben implementar medidas de seguridad digital y mecanismos razonables de verificación de identidad, y tramitar las quejas por suplantación dentro de 10 días hábiles.

SAGRILAFT-PTEE unificado

En materia de cumplimiento corporativo, Baker McKenzie informó que la nueva Circular Básica Jurídica emitida por la Superintendencia de Sociedades el 2 de julio de 2026 derogó expresamente los regímenes previos SAGRILAFT y PTEE, junto con todas las circulares modificatorias expedidas entre 2020 y 2024. Según el mismo análisis, el sistema unificado de cumplimiento para lavado de activos, financiación del terrorismo, financiación de la proliferación, corrupción y soborno entró en vigor con su publicación.

La firma también indicó que el nuevo esquema obliga a las compañías y sucursales de sociedades extranjeras sometidas a vigilancia o control de la Superintendencia de Sociedades que cumplan ciertos umbrales, ahora fijados en 4.929.017 UVB de ingresos anuales o activos. Las entidades que ya estaban obligadas bajo los regímenes anteriores tendrían hasta el 31 de mayo de 2027 para adaptarse al sistema integral.

La convergencia de estas medidas deja un marco más exigente para bancos, filiales de grupos regionales y otras entidades vigiladas que deban responder, al mismo tiempo, por seguridad de la información, protección de datos, controles antifraude y programas de cumplimiento corporativo.