Las 254 entidades que vigila la Superintendencia Financiera manejan $1.732 billones de pesos, y el 87% de esa plata no es suya: son depósitos del público, deudas con otros bancos, recursos de terceros. Esa sola cifra explica por qué un banco se organiza como se organiza. Quien opera con plata ajena necesita a alguien que vigile cuánto riesgo toma y a alguien más que vigile que lo haga dentro de la ley.
Esta guía muestra esa estructura completa y se detiene en la distinción que más se confunde: Riesgo y Cumplimiento no son la misma área, aunque las dos vivan en la segunda línea de defensa y las dos sean independientes del negocio.
Tres líneas de defensa
El esqueleto es el modelo de tres líneas:
- Primera línea — el negocio. Banca de personas, banca de empresas, tesorería, fábrica de crédito, operaciones, canales. Toma el riesgo y es su dueña: es la primera responsable de controlarlo.
- Segunda línea — la vigilancia. Define el marco, mide, pone límites y desafía a la primera línea. Aquí se separan Riesgo y Cumplimiento.
- Tercera línea — la auditoría interna. No gestiona nada: evalúa si las dos primeras funcionan, y le reporta al Comité de Auditoría.
Por encima está el gobierno —la Junta Directiva y sus comités de Riesgos, Auditoría, SARLAFT, ALCO y Crédito—, que aprueba el marco y el apetito de riesgo. Esa aprobación no se puede delegar. Por fuera del perímetro están la Superintendencia, la revisoría fiscal, la UIAF, los auditores externos y las calificadoras.
Dos funciones que responden preguntas distintas
| Riesgo | Cumplimiento | |
|---|---|---|
| Pregunta central | ¿Cuánta pérdida podemos tolerar y con qué capital la respaldamos? | ¿Estamos operando dentro de la norma y de nuestra propia ética? |
| Naturaleza | Se toma a propósito y se remunera con retorno | No se busca ni se remunera: solo se evita |
| Lógica | Optimización entre riesgo y rentabilidad | Binaria: se cumple o no se cumple |
| Norma base | SIAR — Circular Externa 018 de 2021 | SARLAFT 4.0 — Circular Externa 027 de 2020 |
| Quién lidera | CRO o vicepresidente de Riesgos | Oficial de Cumplimiento, con responsabilidad personal ante la SFC |
| Si falla | Pérdida financiera, deterioro de cartera, erosión del capital | Multas, sanción personal, riesgo penal, pérdida de corresponsalías |
La fila que más dice es la de la lógica. En riesgo existe un óptimo: un banco que no tomara ningún riesgo de crédito no prestaría, y no tendría negocio. En cumplimiento no existe un «nivel óptimo de incumplimiento». Por eso no pueden estar bajo la misma cabeza: quien optimiza está tentado a negociar, y quien vigila la norma no debería poder hacerlo.
Riesgo: lo que se toma a propósito
Bajo el CRO se agrupan tres familias:
- Riesgos financieros: crédito (SARC), mercado (SARM), liquidez (SARL), riesgo de tasa de interés del libro bancario y riesgo de contraparte.
- Riesgos no financieros: operacional (SARO), seguridad de la información y ciberseguridad, continuidad del negocio y riesgo ambiental, social y climático.
- Capital y modelos: la declaración de apetito de riesgo, la suficiencia de capital con sus pruebas de estrés y la validación independiente de los modelos.
Desde 2021 la Superintendencia los agrupa en un solo sistema, el SIAR (Sistema Integral de Administración de Riesgos), que obliga a gestionarlos de forma conjunta y no como silos.
Cumplimiento: lo que solo se evita
El núcleo es la prevención de lavado de activos y financiación del terrorismo. El SARLAFT 4.0 trabaja con un enfoque basado en riesgo sobre cuatro factores —cliente, producto, canal y jurisdicción— e incluye el conocimiento del cliente, el monitoreo de operaciones inusuales, los reportes de operaciones sospechosas a la UIAF y la consulta de listas restrictivas y personas expuestas políticamente.
Alrededor de ese núcleo están el cumplimiento regulatorio (mapa normativo, atención al consumidor financiero, reporte tributario internacional, régimen cambiario) y la conducta: abuso de mercado, conflictos de interés, anticorrupción y el canal de denuncias.
Un detalle que marca la diferencia: el Oficial de Cumplimiento se posesiona ante la Superintendencia y responde personalmente. No es un cargo que el banco pueda reasignar en silencio.
La frontera gris
Hay temas que un banco pone en Riesgo y otro en Cumplimiento o en Jurídica: el fraude (es riesgo operacional, pero su investigación toca Cumplimiento), el riesgo legal, la protección de datos personales, el riesgo de conducta, la ciberseguridad y el riesgo reputacional, que nadie origina porque es consecuencia de fallas en cualquiera de los dos lados.
No hay una respuesta única. Lo que un supervisor revisa es que cada tema esté asignado explícitamente y sin vacíos.
Una plantilla para todos los sistemas
SARC, SARM, SARL, SARO y SARLAFT comparten la misma anatomía: identificación, medición, control y monitoreo, apoyados en políticas, procedimientos, documentación, estructura, órganos de control, tecnología, divulgación y capacitación. Quien entiende esa plantilla puede reconstruir cualquiera de ellos.
De dónde viene todo esto
La normativa colombiana es la bajada local de Basilea. El Pilar I pone el capital mínimo por riesgo de crédito, mercado y operacional; el Pilar II obliga al banco a evaluar sus propios riesgos y demostrar que su capital los cubre; el Pilar III exige divulgación para que el mercado discipline a quien gestiona mal. Basilea III añadió los colchones de capital y los indicadores de liquidez, que en Colombia entraron con el Decreto 1477 de 2018.
Qué cambió en 2026
El 14 de abril de 2026 la Superintendencia expidió la Circular Básica Financiera (Circular Externa 004 de 2026), que reemplaza a la antigua Circular Básica Contable y Financiera tras un proceso de depuración. Su primera parte es precisamente la administración de riesgos. Si vas a citar una norma, verifícala en la circular nueva.
Para quién sirve este mapa
Para quien entra a trabajar en banca y necesita ubicarse en el organigrama; para quien le vende tecnología o servicios a un banco y necesita saber quién decide qué; para quien prepara una entrevista en riesgo, fraude o cumplimiento; y para quien lee los estados financieros del sector y quiere entender por qué un endeudamiento del 87% es normal en un banco y alarmante en cualquier otra empresa. Esa comparación está en el análisis de las tres superintendencias y las cifras del sector en la radiografía del sector financiero.
Este mapa es material de estudio, no asesoría regulatoria.
Fuentes
- Circular Básica Financiera (Circular Externa 004 de 2026) — Superintendencia Financiera
- Terminó la depuración de la Circular Básica Contable y Financiera — Superintendencia Financiera
- Colombia implementa el SIAR y el SARE — Garrigues
- Instrucciones sobre administración del riesgo de LA/FT (SARLAFT 4.0) — Garrigues
- Oficial de cumplimiento: funciones y responsabilidades — Infolaft
Explora el tablero
Interactivo: filtra, pasa el cursor sobre las barras y abre las tablas. Abrir en pantalla completa →