Palabras clave (SEO): Decreto 368 de 2026, finanzas abiertas Colombia, open finance, Decreto 2555 de 2010, Superintendencia Financiera de Colombia, URF Unidad de Regulación Financiera, inclusión financiera pymes, crédito para emprendedores, habeas data financiero Ley 1266 de 2008, Ley 1581 de 2012, protección de datos personales, directorio de participantes SFC, API interoperabilidad, economía popular, DIAN, decretos, tributario Colombia, Alejandro Herazo Mejía, Alejandro Herazo, Alejandro Herazo Mejía editor, Alejandro Herazo Mejía actualidad tributaria, Alejandro Herazo Mejía tributario Colombia.
Contenido informativo basado en fuentes oficiales. No constituye asesoría.
Fecha: 11 de agosto de 2026 · Línea temática: Comercial / Innovación financiera
De qué se trata
Si usted ha pedido un crédito para su negocio y le han dicho que "no tiene historial", este tema le interesa directamente.
Mediante el Decreto 368 del 7 de abril de 2026, el Gobierno nacional modificó el Título 8 del Libro 35 de la Parte 2 del Decreto 2555 de 2010 y convirtió el sistema de finanzas abiertas en un esquema obligatorio para las entidades vigiladas por la Superintendencia Financiera de Colombia (SFC). Colombia pasa así de un modelo voluntario a uno de obligatorio cumplimiento.
En palabras simples: sus datos financieros son suyos, y usted podrá autorizar que un banco, una compañía de financiamiento o una fintech vigilada los consulte para ofrecerle un producto. La entidad donde usted tiene la cuenta ya no podrá negarse a compartirlos si usted lo autoriza.
La Unidad de Regulación Financiera (URF), que lideró la norma, lo presentó públicamente el 10 de junio de 2026. Su directora, Larisa Caruso, resumió el propósito: el aprovechamiento responsable de los datos permitirá desarrollar soluciones que respondan a las necesidades de la economía popular, los emprendedores y las pequeñas unidades productivas.
Qué información entra al sistema (y qué no)
El decreto define tres categorías de datos e información que circulan en el sistema:
Productos y servicios a su nombre: saldo, historial transaccional, uso y condiciones particulares. En depósitos a la vista, mínimo 12 meses de historial (o el tiempo de vinculación, si es menor). Requiere autorización previa, expresa e informada.
Información de vinculación: datos del proceso de conocimiento del cliente, conforme a las instrucciones de la SFC. Requiere autorización.
Características generales de los productos que ofrece cada entidad, para comparar. No requiere autorización.
Los productos cubiertos incluyen depósito, crédito, inversión y aseguramiento.
Punto importante y poco comentado: no forma parte del sistema —y por tanto no es obligatorio compartirla— la información generada del análisis, procesamiento o transformación de esos datos. Es decir, el modelo de scoring propio de una entidad no se comparte; los datos crudos autorizados, sí.
Quiénes están obligados
Son Proveedores de datos obligatorios, entre otros: los establecimientos de crédito, las sociedades especializadas en depósitos y pagos electrónicos (Sedpe), las sociedades fiduciarias, las comisionistas de bolsa de valores y de bienes y productos agropecuarios, las administradoras de fondos de pensiones y cesantías, las sociedades administradoras de inversión, las entidades autorizadas para financiación colaborativa, las aseguradoras y las instituciones oficiales especiales.
Del otro lado están los Terceros Receptores de datos:
Vigilados por la SFC: acceden por derecho propio, siempre que cuenten con la autorización del titular.
No vigilados: personas jurídicas que solo participan mediante acuerdos voluntarios con una entidad vigilada, previa verificación de sus políticas de tratamiento de datos, inscripción en el Registro Nacional de Bases de Datos, cifrado, monitoreo, gestión de incidentes y ciberseguridad.
El titular —usted, su empresa— nunca está obligado a nada. El sistema se construye sobre el respeto irrestricto a la libertad del consumidor financiero de autorizar o negar el acceso a sus datos, bajo las normas de habeas data de la Ley 1266 de 2008 y de protección de datos personales de la Ley 1581 de 2012.
La autorización: cinco requisitos que debe exigir
El decreto prohíbe expresamente las autorizaciones generales o abiertas y prohíbe condicionar un producto o servicio a que usted autorice compartir sus datos. Toda autorización debe ser clara, específica y contener como mínimo:
Identificación del Tercero Receptor (razón social y domicilio).
Los datos personales objeto de tratamiento.
El tratamiento o manejo que se dará a esos datos.
La finalidad específica para la cual se autoriza.
El tiempo de vigencia de esa finalidad.
Además, usted conserva cuatro derechos: conocer la autorización y obtener copia, revocarla o actualizarla, abstenerse de autorizar y obtener una explicación clara sobre el uso que se dio a sus datos. Y el Proveedor de datos debe confirmar con usted, antes de entregar la información, que el receptor efectivamente tiene esa autorización.
Las fechas que hay que anotar
8 de octubre de 2026 (seis meses desde la entrada en vigor): plazo máximo para que la SFC publique el cronograma de expedición de los estándares comunes obligatorios. Ese cronograma debe cubrir, como mínimo, el historial transaccional de depósitos a la vista, el historial de productos de crédito, la información de vinculación del cliente, los depósitos a término, las características generales de los productos y los estándares para iniciación de pagos.
8 de abril de 2027 (doce meses): plazo máximo para definir los indicadores de seguimiento y poner en funcionamiento el directorio de participantes administrado por la SFC.
Trimestralmente, desde entonces, la SFC deberá calcular y publicar indicadores de avance del sistema.
El intercambio se hará por API bajo estándares comunes definidos por la SFC, que podrá apoyarse en espacios de prueba o sandbox regulatorios.
Sobre los costos: los Proveedores de datos podrán cobrar por el uso de su infraestructura únicamente para recuperar costos directos de implementación y mantenimiento, bajo criterios objetivos, medibles y verificables, en igualdad de condiciones para todos los participantes. En ningún caso pueden cobrar por los datos en sí.
Ventajas y desventajas (informativo)
A favor del emprendedor: un comerciante que hoy recibe pagos digitales pero no tiene historial crediticio tradicional podrá autorizar que su flujo transaccional real sirva de soporte para una solicitud de crédito. Eso amplía la base de información para el perfilamiento y abre la puerta a más competencia entre entidades —lo que, en teoría, presiona tasas y comisiones a la baja—. Se articula, además, con Bre-B, el sistema de pagos inmediatos del Banco de la República.
Puntos de cuidado: más circulación de datos también significa más superficie de riesgo. Antes de autorizar, verifique que quien le pide la información esté inscrito en el directorio de participantes de la SFC (cuando entre en operación) o, si es un tercero no vigilado, que esté respaldado por un acuerdo con una entidad vigilada. Desconfíe de cualquier formulario que le pida una autorización amplia, sin finalidad ni plazo: eso está expresamente prohibido por el decreto. Y recuerde que compartir más información no garantiza la aprobación de un crédito ni una mejor tasa.
Interpretación en un párrafo para el emprendedor
Colombia acaba de decidir que la información financiera de los clientes deja de ser un activo cautivo de cada banco y pasa a ser una infraestructura que circula —con permiso del dueño— entre competidores. Para una pyme con facturación real pero sin historial bancario, eso puede ser la diferencia entre un "no" automático y una evaluación de crédito seria. La acción concreta hoy no es firmar nada: es poner en orden su información financiera —cuenta bancaria a nombre del negocio, movimientos separados de los personales, recaudo digital documentado, facturación electrónica al día— porque en un esquema de finanzas abiertas su historial transaccional se vuelve su hoja de vida crediticia. Y de aquí al 8 de octubre conviene seguir las publicaciones de la SFC, porque ahí se definirá el calendario real.
Cómo verificarlo (fuentes oficiales)
Decreto 368 de 2026 — Gestor Normativo, Función Pública: Ver norma
Decreto 368 del 7 de abril de 2026 — texto oficial, Presidencia: Ver PDF
URF — "Colombia avanza hacia las Finanzas Abiertas Obligatorias" (10 de junio de 2026): Ver comunicado
URF — Decretos y detalle del Decreto 2555 de 2010: Ver normativa
Superintendencia Financiera de Colombia: https://www.superfinanciera.gov.co/
Banco de la República: https://www.banrep.gov.co/es
Jefe editorial: Alejandro Herazo Mejía — Contador Público, Especialista en Gerencia Tributaria, Magíster en Auditoría, Doctorando en Economía y Finanzas.