En breve
- Qué es
- iziRisk Op, software de gestión de riesgo operacional, para entidades vigiladas por la Superintendencia Financiera de Colombia (SFC).
- Qué norma aplica
- El SIAR de la Circular Básica Financiera (Parte 1, Cap. 1), no el SARO de la Supersolidaria.
- Desde cuándo
- El SIAR rige desde el 01-06-2023 (Circular Externa 018 de 2021). Desde el 01-06-2026 está en la nueva Circular Básica Financiera (Circular Externa 004 de 2026).
- Qué exige el registro
- Un registro propio y único de eventos de riesgo operacional, con y sin pérdida (Circular Básica Financiera, párrafos 1.1.3.135 y 1.1.3.138).
- En Op
- Op permite configurar los campos, el flujo y el reporte que exige la norma.
¿Qué es el SIAR y dónde está hoy?
La Circular Externa 018 de 2021 de la SFC creó en la Circular Básica Contable y Financiera (CBCF) el Cap. XXXI (SIAR, Sistema Integral de Administración de Riesgos) y el Cap. XXXII (SARE), vigentes desde el 01-06-2023. En la misma fecha derogó el Cap. XXIII, el antiguo SARO.
La Circular Externa 004 de 2026 reemplazó la CBCF por la nueva Circular Básica Financiera (CBF), vigente desde el 01-06-2026. Es una depuración: reorganiza la circular en cuatro partes con numeración por párrafo, y las referencias a la CBCF se entienden hechas a la CBF. No creó el registro de eventos ni lo cambió de sistema: ya estaba en el SIAR desde 2023.
Hoy el SIAR está en la CBF, Parte 1, Cap. 1: generalidades (Sección 1), gestión del riesgo operacional (Sección 2) y medición y registro de eventos (Sección 3). El SARE está en la Parte 1, Cap. 2.
¿A qué entidades vigiladas aplica?
| Si tu entidad es… | Norma que aplica al riesgo operacional | Dónde (párrafos de la CBF) |
|---|---|---|
| Banco, corporación financiera, compañía de financiamiento o cooperativa financiera (establecimientos de crédito) | SIAR: gestión del riesgo operacional, registro de eventos, modelo estándar de medición y exposición por riesgo operacional (Anexo 13) | Parte 1, Cap. 1, párrafos 1.1.1.6, 1.1.2.117, 1.1.3.125, 1.1.3.126 y 1.1.3.134 |
| Aseguradora, fiduciaria, AFP y cesantías, comisionista de bolsa o sociedad administradora de inversión | SIAR: gestión del riesgo operacional, registro de eventos y factor de ponderación por riesgo operacional (Anexo 14) | Parte 1, Cap. 1, párrafos 1.1.1.6, 1.1.2.117, 1.1.3.128 y 1.1.3.134 |
| Corredor de seguros, almacén general de depósito, sociedad de intermediación cambiaria y de servicios financieros especiales (SICSFE), bolsa, depósito centralizado, calificadora, cámara de riesgo central de contraparte, proveedor de precios, titularizadora, sociedad de financiación colaborativa (SOFICO), entre otras | SARE, el sistema de administración de riesgo operacional para las entidades exceptuadas del SIAR | Parte 1, Cap. 2, párrafo 1.2.5 |
| Oficina de representación de una institución financiera del exterior o reaseguradora del exterior | Exceptuada del SIAR y del registro de eventos | Parte 1, Cap. 1, párrafos 1.1.1.7 y 1.1.3.134 |
| Cooperativa de ahorro y crédito, o multiactiva o integral con sección de ahorro y crédito | SARO de la Supersolidaria (no la CBF) | Fuera de la CBF: Circular Básica Contable y Financiera de la Supersolidaria, Título IV, Cap. IV, numeral 2. Ver Software SARO |
¿Qué pide la gestión del riesgo operacional?
La Sección 2 (Circular Básica Financiera, Parte 1, Cap. 1) aplica a «las entidades sometidas a la inspección y vigilancia de la SFC» (párrafo 1.1.2.117) y describe las etapas de la gestión del riesgo operacional (párrafos 1.1.2.119 a 1.1.2.137):
- La identificación de los riesgos debe hacerse «previamente a la implementación o modificación de cualquier proceso, producto, servicio o canal» (párrafo 1.1.2.122).
- Reglas para la tercerización (párrafo 1.1.2.134) y para la continuidad del negocio (párrafos 1.1.2.135 y 1.1.2.136).
- Monitoreo como mínimo semestral (párrafo 1.1.2.137) y capacitación anual (párrafo 1.1.2.138).
¿Qué se registra en la base de eventos?
El registro de eventos aplica a «todas las entidades sometidas a la inspección y vigilancia de la SFC, con excepción de las oficinas de representación de instituciones financieras y reaseguradoras del exterior» (Circular Básica Financiera, Parte 1, Cap. 1, párrafo 1.1.3.134). Incluye todos los eventos de riesgo operacional: los que generan pérdidas y afectan el estado de resultados (tipo a) y los que no (tipo b). Debe mantenerse «permanentemente actualizado y a disposición de la SFC» (párrafo 1.1.3.135).
La CBF pide un registro «propio y único», con procedimientos documentados y un proceso de control, separado de quien registra, sobre su integridad y precisión, y permite usar campos adicionales (párrafo 1.1.3.138). Entre los campos mínimos están:
- referencia;
- fechas de inicio, finalización, descubrimiento, registro contable y recuperación;
- divisa;
- cuantías de pérdida bruta, recuperada (total, por seguros y por otras recuperaciones) y neta de recuperaciones;
- clase de riesgo operacional, producto o servicio afectado, cuentas del Catálogo Único de Información Financiera (CUIF) afectadas, proceso y tipo de pérdida;
- descripción del evento, con el canal cuando aplica y la zona geográfica;
- línea de negocio.
Además, los eventos se clasifican por líneas de negocio de niveles 1 y 2 (párrafos 1.1.3.144 y 1.1.3.145) y por clases de nivel 1, 2 y 3 (párrafos 1.1.3.146 y 1.1.3.147). Las recuperaciones solo reducen la pérdida cuando hay pago efectivo (párrafos 1.1.3.139 a 1.1.3.143).
Detalle de campos y fuente oficial en nuestra guía: Circular Básica Financiera (SFC): registro de eventos de riesgo operacional.
¿Hay que enviar la base a la SFC?
La Sección 3 no fija un plazo de transmisión periódica: «La SFC puede solicitar la información que considere pertinente» (Circular Básica Financiera, Parte 1, Cap. 1, párrafo 1.1.3.151).
¿Cómo lo lleva iziRisk Op?
Op permite configurar los campos, el flujo y el reporte que exige la norma. Cada formulario de eventos admite campos adicionales, puedes adjuntar la evidencia de cada caso y hacer seguimiento a los planes de acción con responsable, fechas y evidencia. Las alertas periódicas son configurables y te recuerdan los casos abiertos.
Matriz de riesgos y KRIs en la misma plataforma
Evalúa probabilidad e impacto con criterios configurables, vincula controles a cada riesgo y compara el riesgo inherente con el residual. Haz seguimiento a tus KRIs con umbrales verde, amarillo y rojo.
Cada KRI guarda sus resultados por período y muestra en qué zona de sus umbrales quedó cada uno.
IziBot, tu asistente de riesgos con IA
Pregunta en lenguaje natural. IziBot consulta tus matrices, riesgos e incidentes y te dice cuáles son los más críticos.
- Respuestas sobre tus incidentes y pérdidas, con el detalle de cada evento.
- Sugerencias de valores para los campos de selección al registrar incidentes.
Análisis cuantitativo de riesgos
En el módulo de análisis cuantitativo de Op, cada riesgo se modela con su frecuencia anual y su pérdida mínima, más probable y máxima por evento. Op simula la distribución de pérdidas y la compara con el riesgo residual que dejan los controles.
Si registras eventos de pérdida, Op puede estimar a partir de ellos los parámetros de la frecuencia (Poisson) y de la severidad (lognormal) de cada riesgo.
- Simulación Monte Carlo de la distribución de pérdidas.
- VaR operacional y VaR condicional al percentil que definas.
- Riesgo inherente frente a residual, por riesgo o agregando varios riesgos.
Al agregar varios riesgos, Op muestra la distribución de pérdidas inherente y residual del conjunto, con su mediana, percentiles, pérdida no esperada y VaR condicional.
Fuentes oficiales
- SFC, Circular Externa 004 de 2026: depuración de la CBCF y expedición de la nueva Circular Básica Financiera
- SFC, texto de la Circular Básica Financiera (Circular Externa 004 de 2026)
- SFC, Circular Externa 018 de 2021: SIAR y SARE
- Ley 454 de 1998, artículos 40 y 41
Consultadas el 23-10-2026.
Guías para profundizar
Preguntas frecuentes
¿El SARO aplica a bancos?
No con ese nombre. El antiguo Cap. XXIII de la CBCF de la SFC fue derogado desde el 01-06-2023 (Circular Externa 018 de 2021). Hoy los bancos gestionan el riesgo operacional dentro del SIAR de la Circular Básica Financiera.
¿Qué cambió con la Circular Externa 004 de 2026?
Reemplazó la CBCF por la nueva CBF desde el 01-06-2026, como depuración y con nueva numeración por párrafos. Las referencias a la CBCF se entienden hechas a la CBF.
¿Las cooperativas financieras siguen el SARO?
No. Son establecimientos de crédito vigilados por la SFC (Ley 454 de 1998, artículo 40) y siguen la CBF.
¿Se registran los eventos sin pérdida?
Sí: el registro incluye los eventos que no generan pérdidas (Circular Básica Financiera, párrafo 1.1.3.135, literal b).
¿Hay que transmitir la base de eventos a la SFC con un plazo fijo?
La Sección 3 no lo fija; la SFC puede solicitar la información que considere pertinente (Circular Básica Financiera, párrafo 1.1.3.151).
¿Quién está exceptuado del registro de eventos?
Las oficinas de representación de instituciones financieras del exterior y las reaseguradoras del exterior (Circular Básica Financiera, párrafo 1.1.3.134).
¿iziRisk Op sirve para el SIAR?
Op permite configurar los campos, el flujo y el reporte que exige la norma. Cada formulario de eventos admite campos adicionales, puedes adjuntar la evidencia de cada caso y hacer seguimiento a los planes de acción con responsable, fechas y evidencia.
Contenido informativo basado en la norma oficial vigente al 23-10-2026; no constituye asesoría legal. Consulta siempre el texto oficial.