Qué dice la Superintendencia Financiera
En su Carta Circular 0014 de 2026, la Superintendencia Financiera de Colombia (SFC) recordó las condiciones para tercerizar servicios. Según el resumen de la firma Brigard Urrutia, lo esencial es:
- La responsabilidad no se terceriza. Las entidades mantienen en todo momento la responsabilidad por los servicios que prestan a los consumidores financieros.
- Análisis previo de riesgos. Antes de tercerizar hay que entender el riesgo operacional del proceso e identificar cuáles son críticos. Para esos, aplican controles y seguimiento adicionales.
- Debida diligencia. Aunque el servicio lo preste un tercero, la entidad debe asegurar que cumpla los mismos estándares.
- Seguridad en el contrato. Los contratos con terceros críticos deben incluir medidas de seguridad de la información y ciberseguridad.
De la norma a las preguntas para tu proveedor de TI
| Lo que pide la norma | Qué preguntarle a tu proveedor |
|---|---|
| Entender el riesgo del proceso tercerizado | ¿Qué parte de mi operación depende de ti y qué pasa si se detiene? |
| Identificar procesos críticos | ¿Cuáles de tus servicios tocan datos o canales críticos y con qué controles? |
| Debida diligencia | ¿Qué evidencia puedes mostrar de calidad y seguridad, evaluada por terceros? |
| Seguridad en el contrato | ¿Qué obligaciones de seguridad de la información y ciberseguridad están por escrito? |
| Responsabilidad de la entidad | ¿Quién en mi equipo conoce el sistema, y quién en el tuyo? ¿Dónde están el código y los accesos? |
Una revisión corta, cada trimestre
No hace falta una auditoría larga. Una conversación trimestral con estas cinco preguntas, respaldada con respuestas por escrito, deja a la entidad con evidencia de que supervisa lo que terceriza. Si alguna respuesta tarda o es vaga, es una señal para mirar más de cerca.
Este contenido es una guía práctica, no una opinión legal. Para el alcance exacto de la carta circular, conviene consultar el texto original con el equipo jurídico.
En Ceiba llevamos 21 años desarrollando software, nuestra unidad técnica está evaluada en CMMI nivel 5 y tiene 4.7/5 en Clutch y operamos con procesos actualizados en calidad y seguridad, respaldados por la certificación ISO/IEC 27001:2022 para el Sistema de Gestión de Seguridad de la Información (SGSI). Si quieres revisar estas preguntas con un Lead Architect, conversemos 20 minutos.
Preguntas frecuentes
- ¿Qué dice la Carta Circular 0014 de 2026 de la SFC sobre tercerización?
Según el resumen de Brigard Urrutia, recuerda que la entidad mantiene en todo momento la responsabilidad por los servicios que presta, que debe analizar el riesgo operacional de lo que terceriza e identificar los procesos críticos, que debe aplicar debida diligencia y que los contratos con terceros críticos deben incluir medidas de seguridad de la información y ciberseguridad. - ¿Se puede tercerizar el desarrollo de software en una entidad financiera?
La normativa permite tercerizar siempre que no implique delegar la profesionalidad de la entidad. Eso significa que la entidad sigue respondiendo por el servicio y debe poder supervisar a su proveedor. - ¿Qué evidencia debo pedirle a mi proveedor de TI?
Evaluaciones de calidad hechas por terceros, resultados de proyectos, obligaciones de seguridad por escrito, y claridad sobre dónde están el código, los accesos y la documentación. - ¿Cada cuánto conviene revisar al proveedor?
Una revisión corta cada trimestre con las preguntas de riesgo, seguridad y acceso, y una revisión completa al año o cuando haya un cambio importante en el proveedor o en el proyecto.
