SFC - Carta Circular 014 de 2026

a SuperintendenciaFinanciera de Colombia CARTA CIRCULAR 0014 DE 2026( 04 de marzo de 2026 ) Señores:REPRESENTANTES LEGALES, MIEMBROS DE JUNTA DIRECTIVA, REVISORESFISCALES, OFICIALES DE CUMPLIMIENTO, OFICIALES DE SEGURIDAD DE LAINFORMACIÓN, DEFENSORES DEL CONSUMIDOR FINANCIERO DE LASENTIDADES VIGILADAS.

Referencia: Cumplimiento de obligaciones en materia de Tercerización-Outsourcing

Respetados señores: El numeral 2 de la Parte I, Titulo II, Capítulo I, de la Circular Básica Jurídica dela Superintendencia Financiera (C.E. 006 de 2025), establece la obligación paralas entidades vigiladas de incorporar, dentro de sus políticas y procedimientosrelativos a la administración de la información, criterios y requerimientosmínimos de seguridad y calidad de la información que se maneja a través de loscanales e instrumentos utilizados para la realización de operaciones.En ese sentido, en lo relacionado con la prestación de servicios financieros através de terceros, el numeral 2.3.6 de la Parte I, Título II, Capítulo I de laCircular Básica Jurídica de la Superintendencia Financiera (C.E. 006 de 2025)establece los requerimientos que deben cumplir las entidades contratadas bajola modalidad de outsourcing o tercerización —sean personas naturales ojurídicas— cuando participen en la atención parcial o total de los distintos canaleso de los dispositivos utilizados en ellos, o cuando, en desarrollo de su actividad,tengan acceso a información confidencial de la entidad o de sus clientes.Por otro lado, el numeral 4.3.1.3.1. del Capitulo XXXI, Parte II de la CircularBásica Contable y Financiera (C.E. 100 de 1995), incorpora requerimientos ydirectrices adicionales para la contratación de terceros, siempre que ello noimplique la delegación de la profesionalidad propia de la entidad vigilada,relativos a que las entidades deben: (i) realizar un análisis de riesgo paradeterminar los procesos y/o actividades a tercerizar; (li) comprender el riesgooperacional asociado a los procesos y/o

actividades tercerizadas; (iii) contar conpolíticas eficaces para incorporar en su estrategia de riesgos, aquellos derivadosde la tercerización; y (iv) determinar dentro de los procesos y/o actividadestercerizadas aquellos que se consideren críticos, Tratándose de los procesos y/oactividades identificadas como críticos para la entidad, establece una serie deobligaciones listadas en la Circular que son también de obligatorio cumplimiento.

Dirección: Calle 7 No. 4 - 49 Bogotá D.C., Colombia Página | 1Conmutador: (+57) 601 594 0200 - 601 594 0201www.superfinanciera.gov.coSuperintendenciaFinanciera de Colombia

De igual manera, para el uso de servicios de computación en la nube, el numeral3 de la Parte I, Titulo I, Capítulo VI de la Circular Básica Jurídica de laSuperintendencia Financiera (C.E. 006 de 2025) establece los requerimientosque deben cumplir las entidades para la prestación de servicios financieros enesta modalidad, en el que se establece, entre otros aspectos, que las entidadesdeben dar cumplimiento a las disposiciones contenidas en el Capítulo XXXI«Sistema Integral de Administración de Riesgos (SIAR)» de la Circular BásicaContable y Financiera (CBCF) o las normas que lo modifiquen o sustituyan, enlo relacionado con el proveedor de servicios de computación en la nube,obligaciones que también aplican a los terceros contratados por los proveedoresde servicios de computación en la nube (subcontratistas o partners).Así mismo, en relación con los requerimientos mínimos para la gestión de laseguridad de la información y la ciberseguridad, el numeral 3.9 de la Parte I, TítuloIV, Capítulo V, de la Circular Básica Jurídica de la Superintendencia Financiera(C.E. 006 de 2025) establece la obligación de incluir en los contratos que secelebren con terceros críticos, las medidas y obligaciones pertinentes para laadopción y el cumplimiento de políticas para la gestión de los riesgos de seguridadde la información y ciberseguridad.Es así como la tercerización se ha consolidado como una tendencia creciente quepermite a las entidades incrementar su eficiencia operativa, optimizar el uso deprocesos y recursos, reducir costos y fortalecer sus actividades misionales.Asimismo,

contribuye a la disminución de cargas administrativas y al desarrollode procesos más ágiles, al tiempo que posibilita el apoyo en proveedoresespecializados para la ejecución de diversas actividades, tales como la provisiónde equipos de cómputo y seguridad, software y soluciones de comunicaciones,así como servicios de correspondencia, transmisión de información y transportede valores, entre otros.No obstante, dicha actividad de tercerización conlleva riesgos que deben serdebidamente gestionados, ya que su materialización puede afectar la seguridad,calidad y continuidad de los servicios prestados, generar repercusiones legales,reputacionales y afectaciones a derechos, generar costos significativos y, engeneral, obstaculizar el cumplimiento de los objetivos organizacionales y afectarla prestación de servicios a los consumidores financieros.Bajo esa perspectiva, la Superintendencia Financiera de Colombia, en ejerciciode sus funciones legales de inspección, vigilancia y control, recuerda a lasentidades bajo su vigilancia que, son responsables de realizar un análisis deriesgos de los procesos y actividades a tercerizar, de comprender el riesgooperacional al que se ven expuestos tales terceros y de contar con políticasefectivas que permitan incorporar en la estrategia de gestión de riesgos aquellosderivados de la tercerización, al tiempo que deben identificar cuáles procesos yactividades son críticas.Así mismo, las entidades vigiladas deben contar con los procedimientos yherramientas que le permitan verificar el cumplimiento de las obligaciones porparte del tercero, lo que la habilita para exigir y hacer el seguimiento respectivoen la gestión de los riesgos derivados de la actividad tercerizada, la cual debe

Dirección: Calle 7 No. 4 - 49 Bogotá D.C., Colombia Página | 2Conmutador: (+57) 601 594 0200 - 601 594 0201www.superfinanciera.gov.co¿ENESSuperintendenciaFinanciera de Colombia ser incorporada en las evaluaciones efectuadas por la función de gestión deriesgos y la Auditoría Interna.Adicionalmente, se recuerda que de conformidad con el literal a) del artículo 3de la Ley 1328 de 2009, dentro de los principios orientadores que rigen lasrelaciones entre los consumidores financieros y las entidades vigiladas sedestaca el de debida diligencia. Este principio exige que las entidades actúen conel nivel de diligencia necesario al ofrecer sus productos y prestar sus servicios,de manera que los consumidores reciban información suficiente, atenciónadecuada y un trato respetuoso en todas las etapas de la relación queestablezcan con la entidad.Finalmente, la Superintendencia Financiera recuerda que las anterioresdisposiciones normativas y las instrucciones impartidas por esta Entidad son deobligatorio cumplimiento por parte de nuestras entidades vigiladas.Cordialmente, Cesar Férrari Ph.DSuperintendente Financiero de Colombia 090000 Delegatura para el Consumidor Financiero bv)530000 Delegatura para Riesgo Operacional y Ciberseguridad 53050300 Subdirección de Regulación p/

Dirección: Calle 7 No. 4 - 49 Bogotá D.C., Colombia Página | 3Conmutador: (+57) 601 594 0200 - 601 594 0201www.superfinanciera.gov.co