No existe una norma de la Superintendencia Financiera que diga “las entidades vigiladas deben conciliar sus cuentas bancarias cada mes”. Lo que existe es un conjunto de obligaciones de control interno y administración de riesgos, y la conciliación es el control con el que varias de esas obligaciones se demuestran.
Esa distinción parece un tecnicismo y no lo es. Muchos manuales internos citan una circular concreta como si ordenara conciliar, y cuando llega una visita la conversación no va por ahí: va por si el control existe, si opera, y si hay evidencia de que operó.
Esta página separa lo que la norma dice de lo que se repite en internet, y señala lo que cambió este año, porque cambió, y bastante.
Lo primero: la circular que su manual probablemente cita ya no existe
Si el manual de procedimientos de su entidad se apoya en la Circular Externa 100 de 1995, la Circular Básica Contable y Financiera, está citando un texto subrogado.
La Circular Externa 004 de 2026, del 14 de abril de 2026, subrogó su texto y dio origen a la Circular Básica Financiera, que rige desde el 1 de junio de 2026 y no tiene carácter retroactivo frente a situaciones anteriores a esa fecha.
La nueva circular reorganiza el contenido en cuatro frentes: administración de riesgos, controles de ley y asuntos prudenciales, información financiera y esquemas de reporte, y disposiciones varias. Fue el resultado de un proceso de depuración normativa en el que la Superintendencia recibió más de mil cien comentarios.
Consecuencia práctica: cualquier documento interno, política o procedimiento que cite la CBCF por su nombre anterior necesita revisión. No porque la obligación de fondo haya desaparecido, sino porque la referencia dejó de ser correcta, y una referencia normativa equivocada en un manual es, ella misma, un hallazgo fácil.
Dónde está realmente la obligación
No en un artículo, sino en tres capas que se apoyan una en otra.
Capa 1 — El Sistema de Control Interno
Vive en la Circular Básica Jurídica, Parte I, Título I, Capítulo IV. Define el SCI como el conjunto de políticas, principios, normas, procedimientos y mecanismos de verificación que dan seguridad razonable sobre el cumplimiento de objetivos, la prevención de fraudes y el cumplimiento normativo.
Se estructura en cinco componentes: ambiente de control, evaluación de riesgos, actividades de control, información y comunicación, y seguimiento y monitoreo. Y reparte responsabilidades explícitas: la junta directiva aprueba las políticas, el comité de auditoría supervisa, la alta gerencia implementa y la auditoría interna evalúa de forma independiente.
La conciliación de cuentas es una actividad de control en ese esquema. No está nombrada, pero es una de las formas típicas de materializar ese componente sobre las cuentas de efectivo.
Capa 2 — El SIAR
El Sistema Integral de Administración de Riesgos, creado por la Circular Externa 018 de 2021, integra la administración de los riesgos de crédito, mercado, operativo, liquidez, contraparte, garantías, seguros y país en un solo sistema. Las entidades exceptuadas, las expuestas principalmente a riesgo operativo, siguen en cambio el SARE.
La nueva Circular Básica Financiera exige explícitamente adecuar el sistema de control interno al SIAR en lo relacionado con gestión de riesgos.
Una diferencia no conciliada es, en el lenguaje del SIAR, un evento de riesgo operativo: un error de proceso con impacto financiero potencial. Ahí es donde la conciliación entra en la norma, aunque la palabra no aparezca.
Capa 3 — La conservación de la evidencia
Dos exigencias que se suman:
La Circular Básica Financiera pide contar con un plan de conservación, custodia y seguridad de la información, de forma que solo puedan consultarla los funcionarios autorizados.
Y con carácter general para todo comerciante, el artículo 28 de la Ley 962 de 2005, junto con los artículos 33 y 51 del Código de Comercio, fija la conservación de libros, papeles y comprobantes por diez años contados desde la fecha del último asiento, documento o comprobante. Se admite medio electrónico, siempre que garantice su reproducción exacta.
Diez años es el dato que decide el formato. Lo que hay que poder mostrar una década después no puede vivir en el computador de quien lo hizo.
Qué significa esto en la práctica
Traducido a lo que una visita revisa, y al margen de cómo se llame la circular vigente:
Que el control exista y esté documentado. Un procedimiento escrito que diga quién concilia, qué cuentas, con qué frecuencia y quién aprueba.
Que opere con la frecuencia que el procedimiento declara. El riesgo más común no es no tener procedimiento: es tener uno que dice “semanal” mientras la evidencia muestra que se hace al cierre.
Que haya evidencia de la revisión. Quién preparó, quién revisó, en qué fecha. Está desarrollado en cómo documentar una conciliación para que resista una auditoría.
Que las diferencias se gestionen, no solo se listen. Partidas abiertas sin acción visible se leen como un control que dejó de operar. El detalle está en partidas pendientes de conciliación.
Que la evidencia sobreviva diez años y sea recuperable por alguien distinto de quien la produjo.
El error que más se repite
Afirmar que “la Superintendencia exige conciliaciones bancarias mensuales” y citar una circular.
Es incorrecto en la forma y peligroso en el fondo. En la forma, porque la norma no lo dice así. En el fondo, porque lleva a construir el control alrededor de una periodicidad —cumplir el mes— en vez de alrededor del riesgo. Y una entidad que concilia mensualmente porque “así lo exige la norma” suele detectar tarde exactamente aquello para lo que el control existe.
La pregunta correcta no es “¿cada cuánto lo exige la norma?”. Es “¿cada cuánto necesito hacerlo para que el riesgo quede controlado, y puedo demostrar que lo hago así?”.
Un apunte sobre lo que viene
La Superintendencia publicó en consulta un proyecto sobre administración del riesgo de conducta (SARCO). A la fecha de esta publicación es un proyecto, no norma vigente. Vale seguirlo, no anticiparlo en los manuales.
Qué cambia cuando el proceso corre en un sistema
Para una entidad vigilada, DataMatch resuelve el problema que más cuesta en una visita: demostrar que el control operó.
- La frecuencia real queda registrada. No hay distancia entre lo que dice el procedimiento y lo que muestra la evidencia.
- Cada cruce y cada ajuste quedan con autor, fecha y autorización, sin depender de que alguien lo documente aparte.
- Los roles están separados en la herramienta: quien concilia y quien aprueba son perfiles distintos, no un acuerdo verbal.
- El histórico es recuperable por cualquier persona autorizada, durante el tiempo que exija la política de conservación.
- Las diferencias tienen estado y antigüedad, que es la forma de demostrar que se gestionan y no solo se listan.
Asesoftware opera bajo certificación CMMI-DEV Nivel 5 y CMMI-SVC Nivel 5, y lleva más de tres décadas sosteniendo infraestructura crítica de entidades financieras y del Estado colombiano. Más de 400 cuentas conciliadas y más de 10 años de operación de DataMatch en entidades colombianas, varias de ellas vigiladas por la Superintendencia Financiera.
Un caso real en una entidad vigilada
Una entidad aseguradora —entidad vigilada— modernizó sus procesos de conciliación con DataMatch y ganó trazabilidad y control sobre ellos. DataMatch puede reducir hasta un 95 % las tareas operativas y manuales de conciliación.
Preguntas frecuentes
¿La Superintendencia Financiera exige conciliar cada mes?
No en esos términos. No hay una instrucción que fije una periodicidad de conciliación bancaria. Lo que se exige es un sistema de control interno con actividades de control efectivas y evidencia de que operan, y una administración de riesgos que cubra el riesgo operativo. La periodicidad la define la entidad en su procedimiento, y después tiene que poder demostrar que la cumple.
¿Sigue vigente la Circular Básica Contable y Financiera?
Su texto fue subrogado por la Circular Externa 004 de 2026, que dio origen a la Circular Básica Financiera, vigente desde el 1 de junio de 2026. Los manuales que citen la CBCF necesitan actualización de referencias.
¿Cuánto tiempo hay que conservar los soportes de conciliación?
La regla general para libros, papeles y comprobantes del comerciante es de diez años desde el último asiento, documento o comprobante, y admite medio electrónico que garantice reproducción exacta. Para entidades vigiladas pueden aplicar exigencias adicionales según el tipo de entidad; conviene validarlo con el oficial de cumplimiento y el revisor fiscal.
¿Una conciliación en Excel cumple para una entidad vigilada?
La norma no prohíbe ninguna herramienta. El problema es probatorio: hay que poder demostrar quién la hizo, cuándo, quién la revisó y que no se alteró después. Un archivo en una carpeta compartida normalmente no puede demostrar ninguna de las cuatro.
¿Qué pasa si una diferencia queda sin explicación?
Se documenta como lo que es: un evento de riesgo operativo con su gestión asociada. Lo que genera hallazgo no es que exista la diferencia, sino que exista sin rastro de que alguien la trabajó.
¿Dónde entiendo el proceso completo?
En la guía de conciliación bancaria: qué es, qué tipos existen y cómo se hace paso a paso, y en los errores de la conciliación manual y cuánto cuestan.
Nota. Esta página es material informativo, no asesoría jurídica ni de cumplimiento. El alcance concreto de las obligaciones depende del tipo de entidad y de su régimen aplicable; valídelo con su oficial de cumplimiento y su revisor fiscal.
HABLEMOS DE SU OPERACIÓN
Cuéntenos cuántas cuentas concilia, cuántos movimientos maneja al mes y cuánto tiempo le toma cerrar. Le respondemos con un diagnóstico de cuánto de ese tiempo es automatizable y qué costaría, no con un discurso de ventas.
¿Prefiere ver primero la herramienta? Conozca DataMatch en detalle.
