La nueva Circular Básica Financiera (CBF) es el texto que, desde el 1 de junio de 2026, reemplaza a la Circular Básica Contable y Financiera (Circular Externa 100 de 1995). La Superintendencia Financiera de Colombia (SFC) la expidió con la Circular Externa 004 de 2026, de 14 de abril, como resultado de un ejercicio de depuración normativa: ordena el contenido en cuatro partes, numera cada párrafo y elimina duplicidades y cargas que la SFC consideró innecesarias.
Para quien lleva riesgos, cumplimiento o auditoría en una entidad vigilada, la conclusión práctica es esta: la gestión del riesgo operacional y los requisitos de continuidad del negocio del SIAR conservan su contenido, con retoques de redacción, pero cambian de dirección. Toca actualizar las referencias de manuales, políticas y matrices de cumplimiento. La seguridad de la información y la ciberseguridad no están en la CBF, siguen en la Circular Básica Jurídica.
Qué ordena la Circular Externa 004 de 2026
La circular tiene siete instrucciones. Estas son las que afectan al día a día:
- Subroga el texto de la Circular Externa 100 de 1995 por el de la nueva CBF (instrucción primera).
- Traslada a la CBF el numeral 2.1 del capítulo II del título IV de la parte II de la Circular Básica Jurídica (CBJ), que pasa al capítulo 2 de la parte 2, el de patrimonio adecuado de las aseguradoras (segunda).
- Mantiene los anexos 1 y 2 de la antigua circular, los de remisión de información y de información no remitida, como anexos de la CBF (tercera).
- Redirige las referencias: cualquier instrucción de la SFC que cite la Circular Básica Contable y Financiera se entiende hecha a la disposición equivalente de la CBF (cuarta).
- Vigencia: rige desde el 1 de junio de 2026, sin efectos retroactivos, y no altera la vigencia ni los regímenes de transición de circulares anteriores (sexta).
- Derogatoria: deroga las circulares externas cuyas disposiciones quedan compiladas en la CBF o que la contradigan (séptima).
No hay un periodo general de adaptación. Lo que sí hay son capítulos que ya venían con fecha de entrada en vigor propia y la conservan: el de riesgos ambientales y sociales, incluidos los climáticos (Circular Externa 015 de 2025), aplica desde el 3 de abril de 2027, y los programas de autoevaluación de capital y liquidez (Circular Externa 021 de 2025), desde el 1 de enero de 2028, según el índice oficial de la CBF. La SFC aclara también que los ajustes, incluidos los de riesgo de crédito, no implican reclasificación de cartera, y que las actuaciones administrativas abiertas con base en la norma anterior siguen hasta su terminación.
Cómo está organizada la nueva Circular Básica Financiera
La CBF tiene cuatro partes, divididas en capítulos y, cuando hace falta, en secciones:
- Administración de riesgos. SIAR (capítulo 1), SARE para las entidades exceptuadas del SIAR (capítulo 2), marco de gestión de riesgos de los conglomerados financieros (capítulo 3) y riesgos ambientales y sociales, incluidos los climáticos (capítulo 4).
- Controles de ley y asuntos prudenciales. Solvencia y patrimonio, encaje y demás normas del Banco de la República, pruebas de resistencia, grandes exposiciones, autoevaluación de capital y liquidez y transacciones con vinculados.
- Información financiera y esquemas de reporte. Estados financieros, CUIF, inversiones, derivados, titularizaciones y operaciones del mercado monetario, entre otros.
- Otras disposiciones. Por ahora, los operadores de información de la PILA.
El cambio que más se va a notar es la numeración. Cada párrafo lleva un número compuesto por parte, capítulo y sección, más el número de párrafo. El 1.1.2.135, por ejemplo, es la parte 1, capítulo 1, sección 2, párrafo 135. Es más fácil de citar que los antiguos numerales y subnumerales, y obliga a rehacer cualquier referencia cruzada que tengas en tus documentos.
Dónde queda cada capítulo de riesgos
La SFC publicó una tabla de equivalencias entre la CBCF y la CBF. Para los capítulos de administración de riesgos y los prudenciales más cercanos, queda así:
| Circular Básica Contable y Financiera | Nueva Circular Básica Financiera |
|---|---|
| Capítulo XXXI. Sistema Integral de Administración de Riesgos (SIAR) | Parte 1, capítulo 1, secciones 1 a 5 |
| Capítulo XXXII. SARE | Parte 1, capítulo 2 |
| Capítulo XXX. Marco de Gestión de Riesgos de los Conglomerados Financieros (MGR) | Parte 1, capítulo 3 |
| Capítulo XXXIII. Factores ambientales y sociales, incluidos los climáticos | Parte 1, capítulo 4, sección 1 (la sección 2, sobre operaciones de crédito, es nueva) |
| Capítulo XXVIII. Esquema de pruebas de resistencia | Parte 2, capítulo 9 |
| Capítulo XIII-18. Grandes exposiciones y cupos individuales de crédito | Parte 2, capítulo 10 |
| Capítulo XXXVI. Transacciones con vinculados | Parte 2, capítulo 12 |
Dentro del SIAR, las cinco partes del antiguo capítulo XXXI pasan a ser las cinco secciones del nuevo capítulo 1: generalidades (sección 1), administración por riesgo (sección 2), medición y reporte estándar (sección 3), agregación de datos sobre riesgos y presentación de informes (sección 4) y definiciones (sección 5). Los quince anexos se mantienen como anexos del capítulo.
Riesgo operacional: el SARO ya estaba dentro del SIAR
Conviene aclararlo porque mucha documentación interna sigue hablando de «SARO». La Circular Externa 018 de 2021, de 22 de septiembre, creó el SIAR para integrar los riesgos de crédito, mercado, operacional, liquidez, contraparte, garantía, seguros y país, y derogó desde el 1 de junio de 2023 los capítulos II, VI, XXI, XXII, XXIII y XXVII de la circular contable. El capítulo XXIII era el del sistema de administración del riesgo operativo. Desde entonces, el riesgo operacional se gestiona como un riesgo más del SIAR, y la nueva CBF no cambia eso.
En la CBF, el riesgo operacional está en la parte 1, capítulo 1, sección 2, párrafos 1.1.2.114 a 1.1.2.139:
- Definición, incluido el riesgo legal, y ámbito de aplicación: 1.1.2.114 a 1.1.2.117.
- Etapas de identificación, medición, control y monitoreo: 1.1.2.119 a 1.1.2.137. El monitoreo sigue siendo, como mínimo, semestral.
- Tercerización: 1.1.2.134, con los contenidos mínimos de los contratos de procesos críticos.
- Capacitación anual: 1.1.2.138. Órdenes de embargo: 1.1.2.139.
El registro de eventos de riesgo operacional y la medición estándar están en la sección 3 (a partir del párrafo 1.1.3.135, el registro de alta calidad), y el cálculo de la exposición sigue en el anexo 13 del capítulo.
Hemos cotejado esta sección con la del antiguo capítulo XXXI. Los requisitos son los mismos y los cambios son de redacción: la capacitación ya no es «sobre el SARO», sino «sobre la gestión del riesgo operacional»; la formación del personal que atiende embargos pasa de «permanente» a «periódica», y desaparece la remisión a las excepciones en el ámbito de aplicación. Si tus materiales de formación o tu manual todavía dicen SARO, es un buen momento para cambiarlo.
Continuidad del negocio: mismos requisitos, nuevos párrafos
La gestión de la continuidad sigue dentro del riesgo operacional, en los párrafos 1.1.2.135 y 1.1.2.136. La entidad debe definir, implementar, probar y mantener la gestión de la continuidad con prevención y atención de emergencias, administración de crisis, planes de contingencia y retorno a la operación normal. Los planes tienen que haber superado pruebas, ser conocidos por los interesados, prever el trabajo remoto o en otras instalaciones de quienes cumplen funciones críticas y definir cuándo se convoca un comité de atención de emergencias que informe a la junta directiva.
El gobierno del plan está repartido por la sección 1:
- El representante legal aprueba el plan de continuidad, que debe contemplar los riesgos de interconectividad con otras infraestructuras, entidades vigiladas o proveedores (1.1.1.42).
- El comité de riesgos evalúa su idoneidad (1.1.1.51).
- La función de gestión de riesgos lo desarrolla y lo evalúa con las demás áreas (1.1.1.46).
- El plan forma parte de la documentación mínima del SIAR (1.1.1.63).
Las entidades exceptuadas del SIAR tienen requisitos equivalentes en el SARE, en el capítulo 2 de la parte 1. Si quieres repasar cómo se construye el plan, en el artículo sobre ISO 22301 está el método de referencia.
Seguridad de la información y ciberseguridad siguen en la Circular Básica Jurídica
La nueva CBF no contiene requisitos de seguridad de la información ni de ciberseguridad. Dentro del SIAR solo pide que la infraestructura tecnológica garantice la confidencialidad, seguridad, integridad y disponibilidad de la información de riesgos (1.1.1.56) y que la documentación del sistema tenga un plan de conservación, custodia y seguridad (1.1.1.64).
Las obligaciones de fondo están en la Circular Básica Jurídica, que la SFC reexpidió con la Circular Externa 006 de 2025, de 25 de junio. En el texto vigente:
- Parte I, título IV, capítulo V: «Requerimientos mínimos para la gestión de la seguridad de la información y la ciberseguridad». Política aprobada por la junta directiva, unidad de seguridad de la información y ciberseguridad que reporta a la junta al menos cada semestre, sistema de gestión de ciberseguridad (con ISO 27032, NIST, CIS o COBIT como referencias posibles), cláusulas con terceros críticos y reporte a la SFC de los incidentes que afecten de forma significativa a la confidencialidad, integridad o disponibilidad.
- Parte I, título II, capítulo I: canales, medios, seguridad y calidad en el manejo de información. Su numeral 2 recoge los requerimientos mínimos de seguridad y calidad para la realización de operaciones, y remite a ISO 27000 como referencia para gestionar la seguridad de la información.
La circular 004 no toca la CBJ, salvo para llevarse a la CBF el numeral sobre patrimonio adecuado de las aseguradoras. Si en tus documentos citas la CBJ con la numeración anterior a 2025, esa revisión es otra y conviene hacerla aparte.
Lo que haríamos ahora
Como la circular no trae obligaciones nuevas en riesgo operacional ni en continuidad, el trabajo es sobre todo documental. Por dónde empezaríamos:
- Inventario de referencias. Buscar «Capítulo XXXI», «Circular Básica Contable», «CE 100» y «SARO» en el manual del SIAR, las políticas, los procedimientos, las actas tipo y los informes a la junta. Es más rápido de lo que parece y evita que una auditoría encuentre citas a una norma subrogada.
- Matriz de cumplimiento renumerada. Pasar cada requisito a su párrafo nuevo con la tabla de equivalencias de la SFC. Al numerar por párrafo, la matriz queda más fina que con los antiguos subnumerales, y cada control puede apuntar a un párrafo concreto.
- Revisar las dos circulares a la vez. La CBJ también se reexpidió en 2025. Si tu matriz mezcla requisitos de seguridad, continuidad y riesgo operacional, actualiza las dos fuentes en la misma pasada.
- Agendar las fechas diferidas. Riesgos ambientales y sociales (3 de abril de 2027) y autoevaluación de capital y liquidez (1 de enero de 2028) para quien le aplique.
En nuestra lectura, el riesgo real de esta circular es subestimarla. No cambia lo que hay que hacer, pero deja desactualizadas de golpe muchas referencias que nadie revisa hasta que llega un requerimiento. En GlobalSuite®, el módulo de Cumplimiento permite cargar la CBF como catálogo propio, valorar cada requisito (cumple, parcial, no cumple) y reutilizar la evidencia de un control para todas las normas que lo piden; y el de Riesgos lleva el registro de eventos de pérdida, el riesgo inherente y residual y los indicadores con umbrales de alerta: la base para el informe semestral a la junta sobre la evolución del riesgo operacional, los controles y las acciones correctivas (1.1.1.46).
Fuentes oficiales, en el sitio de la Superintendencia Financiera de Colombia: Circular Externa 004 de 2026 y texto de la Circular Básica Financiera, página de la CBF, tabla de equivalencias CBF-CBCF, Circular Externa 018 de 2021 y Circular Básica Jurídica reexpedida por la Circular Externa 006 de 2025. Contenido revisado en octubre de 2026.
