Un proveedor confiable de outsourcing de TI se reconoce por cuatro condiciones que tu empresa puede verificar antes de firmar: tiene estructura propia y autonomía para dirigir a su equipo, demuestra cómo selecciona y retiene al talento, trata la información de tu organización con las garantías que exige la ley y acepta que su servicio se mida con indicadores pactados por escrito. Si tu organización pertenece al sector salud, el estándar sube, porque la ley colombiana clasifica la información de salud como dato sensible.
La decisión pesa hoy más que hace unos años por dos razones. Encontrar talento técnico se volvió difícil para la mayoría de las empresas del país, lo que lleva a más organizaciones a buscarlo por fuera, y desde junio de 2026 la normativa laboral fija criterios más precisos para distinguir la tercerización legítima de la que encubre relaciones de trabajo, con sanciones que también alcanzan a la empresa que contrata.
¿Qué debe definir tu empresa antes de hablar con proveedores?
Antes de pedir propuestas, tu empresa necesita tener claro qué modalidad de outsourcing busca, qué perfiles requiere, por cuánto tiempo los necesita y quién va a dirigir el trabajo del equipo externo. Sin esas definiciones, las propuestas que recibas no serán comparables entre sí.
La modalidad es la primera decisión porque cada una implica un proveedor y un contrato distintos. Una empresa puede sumar profesionales especializados a un área que ya existe, lo que en el mercado también se conoce como aumento de personal o staff augmentation; puede contratar un proyecto con alcance, plazo y entregables cerrados; o puede tercerizar un servicio completo, como el soporte o la operación de una plataforma, con niveles de servicio pactados.
El perfil merece el mismo cuidado. Según el informe Escasez de Talento 2026 de ManpowerGroup, el 61% de los empleadores en Colombia reporta dificultades para encontrar trabajadores con las habilidades que necesita. En un mercado así, llegar a la conversación con el perfil bien descrito (tecnologías, años de experiencia, conocimiento del sector, nivel de inglés si aplica) ahorra semanas, y te permite ver rápido qué proveedor hace preguntas para entender la necesidad y cuál se limita a enviar hojas de vida.
La última definición, quién dirige el trabajo, parece un detalle operativo, pero tiene consecuencias legales. La normativa laboral colombiana examina quién da las instrucciones, quién fija los horarios y quién controla el trabajo para distinguir una tercerización legítima de una relación laboral encubierta, de modo que conviene acordar ese punto con el proveedor antes de firmar y dejarlo por escrito.
¿Qué criterios distinguen a un proveedor confiable de outsourcing de TI?
Los criterios que más pesan son los que el proveedor puede respaldar con evidencia: cómo selecciona al talento, cómo lo retiene y lo reemplaza, cómo protege la información de su cliente, qué estructura propia tiene y cómo mide su servicio. La experiencia y la reputación cuentan, pero son difíciles de verificar desde afuera, mientras que un proceso documentado o una cifra de rotación se pueden pedir y contrastar.
Cada criterio tiene una evidencia concreta que tu empresa puede solicitar durante la evaluación, y pedirla a todos los proveedores por igual hace que la conversación gire alrededor de hechos que puedes comprobar.
| Criterio | Qué pedir como evidencia |
| Conocimiento del negocio del cliente | Descripción de problemas similares que haya resuelto, sin nombres de clientes, y cómo prepara al profesional para entender el contexto de tu empresa |
| Selección y validación técnica | Quién entrevista a los candidatos, qué pruebas técnicas aplica y cuántos perfiles presenta por cada vacante |
| Estabilidad del talento | Rotación de los últimos doce meses en perfiles comparables, tiempo de reemplazo y quién asume el empalme |
| Seguridad de la información | Acuerdos de confidencialidad firmados por cada persona, política de manejo de datos y procedimiento para retirar accesos al terminar |
| Estructura propia | Capacidad administrativa y financiera para pagar y gestionar a su personal, y quién lo supervisa y evalúa |
| Medición del servicio | Indicadores propuestos, frecuencia de los informes y consecuencias si no se cumplen |
| Claridad del costo | Qué incluye la tarifa: prestaciones, herramientas, reemplazos, gestión y lo que se cobra aparte |
De los siete, la estabilidad del talento suele ser el punto clave para identificar si un proveedor te conviene. Según la Encuesta de Salarios 2025 de Cenisoft, el centro de investigación de Fedesoft, el índice promedio de rotación del personal dedicado al desarrollo de software fue de 26,84% entre septiembre de 2024 y agosto de 2025, y en las empresas medianas llegó a 32,58%. Con esos niveles, es recomendable preguntarle al proveedor cuánta rotación tiene en los perfiles que necesitas, en cuánto tiempo reemplaza a un profesional que sale y cómo garantiza que el conocimiento del proyecto no se vaya con él.
La seguridad de la información es el segundo criterio que requieres examinar con detalle, porque al tercerizar amplías el número de personas y sistemas que tocan tus datos. El Data Breach Investigations Report 2026 de Verizon, que analizó más de 22.000 brechas confirmadas en 145 países, encontró que las brechas con participación de terceros aumentaron 60% frente al año anterior y llegaron al 48% del total. Un proveedor serio debería poder explicar claramente qué accesos necesita su equipo, cómo los controla y cómo los cierra cuando un profesional sale del proyecto.
El conocimiento del negocio completa los tres criterios de mayor peso. Un ingeniero de datos con buen nivel técnico tarda más en producir resultados si nunca ha trabajado con la información propia de su sector, y ese tiempo de aprendizaje lo paga la empresa que contrata. Por eso vale la pena preguntar qué problemas parecidos ha resuelto el proveedor y cómo prepara a su gente antes de que empiece un proyecto.
¿Qué señales de alarma conviene detectar durante la evaluación?
Las señales de alarma más útiles aparecen en lo que el proveedor no puede mostrar: un proceso de selección que no sabe describir, cifras de rotación que no entrega, un contrato sin indicadores o una estructura que no alcanza para sostener a su propio personal. Ninguna de ellas, por sí sola, descarta a un proveedor, pero cada una justifica una pregunta adicional antes de seguir adelante.
La primera señal es la velocidad sin proceso. Si un proveedor envía varias hojas de vida pocas horas después de recibir la solicitud y no puede explicar quién entrevistó a esos candidatos ni qué pruebas técnicas presentaron, lo más probable es que esté reenviando perfiles de una base de datos sin haberlos evaluado para tu caso.
La segunda es la evasión frente a la rotación. Un proveedor que responde con generalidades cuando le preguntas cuántos profesionales salieron de sus proyectos en el último año, o que no tiene un procedimiento claro para reemplazar a alguien, le está trasladando a tu empresa el riesgo de quedarse sin equipo a mitad de un proyecto.
La tercera tiene que ver con la estructura del propio proveedor. El Decreto 0581 de 2026 del Ministerio del Trabajo incluye entre los indicios de tercerización laboral ilegal que el contratista no tenga una estructura y una capacidad administrativa suficientes para el objeto del contrato, que no tenga capacidad financiera para pagar los salarios y prestaciones de sus trabajadores, o que los riesgos de la operación los asuma la empresa contratante. Si el proveedor no puede demostrar con qué recursos propios gestiona y paga a su gente, el riesgo para tu empresa también es legal.
La cuarta es la resistencia a ser medido. Si el proveedor prefiere no comprometerse con indicadores, no acepta informes periódicos o no quiere que cada profesional firme un acuerdo de confidencialidad individual, tu empresa tendrá pocas herramientas para exigir resultados o proteger tu información cuando algo salga mal.
La quinta es una tarifa que no cuadra. Cuando el precio por profesional apenas alcanza para cubrir un salario de mercado con sus prestaciones legales, alguien está absorbiendo la diferencia, y con frecuencia esa diferencia termina pagándose en rotación, en perfiles de menor nivel que el ofrecido o en condiciones laborales que pueden convertirse en un riesgo para tu empresa.
¿Qué dice la normativa colombiana sobre la tercerización y cómo verificar que se cumple?
En Colombia la tercerización es legal cuando el proveedor ejecuta el trabajo por su cuenta y riesgo, con sus propios medios y con autonomía para dirigir a su personal. El Decreto 0581 de 2026 fijó los criterios que usa la inspección del trabajo para identificar cuándo eso no ocurre, y las sanciones que prevé alcanzan tanto al proveedor como a la empresa que contrata. [NORMATIVA: redactado a partir del texto oficial del decreto, sin revisión de abogado]
El decreto fue expedido el 5 de junio de 2026 y publicado en el Diario Oficial 53.517 del 9 de junio. Adiciona un capítulo al Decreto 1072 de 2015, el decreto único reglamentario del sector trabajo, y en sus consideraciones aclara que no prohíbe la tercerización realizada con respeto a los derechos laborales. Lo que hace es definir la tercerización ilegal y enumerar indicios para detectarla, que la autoridad debe valorar en conjunto.
Esos indicios se agrupan en dos categorías. La primera describe a un proveedor sin organización propia: no tiene la infraestructura física o tecnológica para el encargo, carece de capacidad administrativa o financiera, no tiene autonomía técnica y directiva, o el objeto del contrato consiste en suministrar trabajadores sin ser una empresa de servicios temporales.
La segunda describe a un personal subordinado a la empresa cliente: el trabajo se presta según las instrucciones y bajo el control del contratante, el trabajador queda integrado en su organización, el contratante fija el horario o el lugar, suministra herramientas como el correo corporativo, las licencias o el software sin que medie un contrato que regule su uso, o determina directa o indirectamente la remuneración.
El decreto agrega una presunción que conviene conocer antes de contratar. Cuando una empresa cubre mediante terceros actividades permanentes, entendidas como las relacionadas con su objeto social o el giro ordinario de sus negocios, se presume que existe un contrato de trabajo entre la empresa beneficiaria y las personas que ejecutan esas actividades, aunque la presunción admite prueba en contrario. En cuanto a sanciones, el Ministerio del Trabajo puede imponer multas sucesivas de hasta 5.000 salarios mínimos mensuales legales vigentes por cada infracción mientras esta subsista, y el decreto incluye expresamente a contratantes y beneficiarios entre quienes pueden ser sancionados.
Con ese marco, hay preguntas concretas que puedes hacerle a cualquier proveedor antes de firmar, y cuyas respuestas conviene dejar documentadas en el contrato:
- ¿Quién contrata, paga, supervisa y evalúa a los profesionales que trabajarán en el proyecto?
- ¿Cómo se asignan las tareas en el día a día y quién responde por el resultado del trabajo?
- ¿Qué herramientas aporta el proveedor y, si tu empresa entrega equipos, correo o licencias, qué contrato regula ese uso?
- ¿La actividad que se va a tercerizar hace parte del objeto social o del giro ordinario de tu negocio?
Este resumen se basa en el texto del decreto publicado en el Diario Oficial y no reemplaza el análisis jurídico de cada caso. Antes de firmar, lo recomendable es que el área jurídica de tu empresa, o un asesor en derecho laboral, revise el modelo de contratación propuesto a la luz de estos criterios.
¿Qué exige además el sector salud?
En el sector salud el proveedor va a trabajar con información que la ley clasifica como sensible, o muy cerca de ella, y su equipo necesita conocer los reportes y sistemas propios del sector para ser productivo desde el inicio. Esas dos condiciones elevan la exigencia en los criterios de seguridad y de conocimiento del negocio.
La Ley 1581 de 2012, que regula la protección de datos personales en Colombia, incluye en su artículo 5 los datos relativos a la salud dentro de la categoría de datos sensibles, y en su artículo 6 prohíbe su tratamiento salvo en los casos de excepción que la misma ley establece, como la autorización explícita del titular.
Para una clínica, una EPS o una aseguradora, eso significa que cualquier profesional externo con acceso a historias clínicas, autorizaciones o bases de afiliados opera dentro de un marco de responsabilidad que la organización contratante no puede delegar por completo en el proveedor
Las cifras internacionales muestran por qué el sector es un objetivo frecuente. Según el informe Cost of a Data Breach 2026 de IBM, el costo promedio de una brecha de datos en salud fue de 6,64 millones de dólares, el más alto entre las industrias que analiza el estudio; se trata de un promedio global de las organizaciones estudiadas y no de una cifra colombiana. En el mismo sentido, el Data Breach Investigations Report 2026 de Verizon registró participación de terceros en el 32% de las brechas del sector salud que analizó.
En la práctica, esto se traduce en preguntas específicas para el proveedor: si sus profesionales pueden trabajar con datos anonimizados o de prueba mientras desarrollan, qué acceso mínimo necesitan a los datos reales, cómo se registra quién consultó qué y qué formación reciben sobre el manejo de información de pacientes y afiliados.
El conocimiento del sector es la otra diferencia. Un ingeniero de datos que ya conoce los Registros Individuales de Prestación de Servicios de Salud (RIPS) entiende desde el primer día por qué una IPS necesita validar su calidad antes de reportarlos, y un analista que ha trabajado con el Sistema de Información de Precios de Medicamentos (SISMED) o con la lógica de la fuerza de ventas y el canal institucional entiende las preguntas que le hará un laboratorio farmacéutico. Ese conocimiento acorta el tiempo de adaptación y reduce los errores en los entregables, y por eso vale la pena preguntarle al proveedor qué experiencia tienen sus profesionales en el sector, además de su nivel técnico.
¿Qué preguntas hacerle al proveedor en cada etapa del proceso?
Las preguntas más útiles cambian según el momento de la evaluación. En la primera conversación sirven para saber si el proveedor entiende tu necesidad; cuando llega la propuesta, para comprobar qué estás comprando exactamente; y antes de firmar, para cerrar los riesgos legales, de seguridad y de continuidad.
El orden importa porque cada etapa filtra a los proveedores que no deberían pasar a la siguiente. Hacer todas las preguntas en la primera reunión suele producir respuestas genéricas, mientras que hacerlas cuando el proveedor ya conoce tu caso obliga a respuestas concretas que luego puedes llevar al contrato. Esta es una guía de nueve preguntas organizadas por etapa, con lo que cada respuesta te permite evaluar:
| Etapa | Pregunta | Qué revela la respuesta |
| Primera conversación | ¿Qué necesita saber de nuestra empresa antes de proponer perfiles? | Si el proveedor intenta entender el problema antes de ofrecer una solución |
| Primera conversación | ¿Qué tipo de problemas ha resuelto en organizaciones de nuestro sector? | Conocimiento del negocio, sin necesidad de pedir nombres de clientes |
| Primera conversación | ¿Cómo selecciona y valida técnicamente a los candidatos? | Si existe un proceso real de selección o solo una base de hojas de vida |
| Propuesta | ¿Qué incluye la tarifa y qué se cobra aparte? | Costos que no aparecen en la cifra principal |
| Propuesta | ¿Cuál fue la rotación en los últimos doce meses en perfiles como estos? | Estabilidad del equipo que vas a recibir |
| Propuesta | ¿Qué indicadores propone y con qué frecuencia informará sobre ellos? | Disposición del proveedor a que su servicio sea medido |
| Antes de firmar | ¿Quién contrata, paga, supervisa y evalúa a los profesionales? | Exposición de tu empresa a los indicios de tercerización ilegal |
| Antes de firmar | ¿Cómo protege nuestra información y cómo retira los accesos al terminar? | Madurez en seguridad y manejo de datos |
| Antes de firmar | Si un profesional sale del proyecto, ¿en cuánto tiempo lo reemplaza y quién asume el empalme? | Continuidad del trabajo y protección del conocimiento acumulado |
Las respuestas de la última etapa son las que más conviene llevar al contrato, porque son las que protegen a tu empresa cuando la relación con el proveedor no sale como se esperaba.
¿Cómo comparar las propuestas de forma objetiva?
La forma más objetiva de comparar propuestas es una matriz que evalúe a todos los proveedores con los mismos criterios y le asigne a cada criterio un peso según lo que más le importa a tu empresa. Así, la decisión queda sustentada en una calificación que otras áreas pueden revisar, como compras, finanzas o el comité que apruebe la contratación.
El procedimiento es sencillo. Primero se reparten 100 puntos entre los criterios según su importancia para el proyecto; después se califica a cada proveedor de 1 a 5 en cada criterio, con base en la evidencia que entregó; y al final se multiplica cada calificación por el peso del criterio y se suman los resultados. El proveedor con el puntaje más alto no tiene que ser el elegido de forma automática, pero cualquier decisión distinta debería poder explicarse.
Los pesos dependen de cada empresa y de cada proyecto. A modo de ejemplo, una organización del sector salud que va a dar acceso a datos de pacientes podría distribuirlos así:
| Criterio | Peso recomendado |
| Seguridad de la información | 25 |
| Estabilidad del talento | 20 |
| Selección y validación técnica | 15 |
| Claridad del costo | 15 |
| Conocimiento del negocio | 10 |
| Estructura propia | 10 |
| Medición del servicio | 5 |
| Total ponderado | 100 |
Una recomendación práctica es calificar el costo al final, cuando el resto de la matriz ya esté completo. Si el precio se mira primero, tiende a influir en la calificación de los demás criterios, y la comparación pierde la objetividad que se buscaba con la matriz.
¿Dónde encaja Direktio en esta decisión?
Direktio presta servicios de outsourcing de TI especializados en el sector salud, con talento en datos, analítica, inteligencia artificial y tecnología para clínicas, hospitales, EPS, IPS, aseguradoras y compañías farmacéuticas. La empresa lleva 15 años trabajando en salud y ha implementado más de 100 proyectos en Latinoamérica.
Entre los criterios para elegir un proveedor, hay dos en los que Direktio pone especial atención. El primero es la continuidad del equipo: su compromiso es que el profesional que empieza un proyecto sea el mismo que lo termina, porque en este sector el conocimiento acumulado sobre los datos y los procesos del cliente es difícil de reconstruir. El segundo es el conocimiento del negocio, que permite que su talento entienda desde el inicio el vocabulario, los reportes y las exigencias regulatorias de las organizaciones de salud.
Si tu empresa está evaluando proveedores, puedes hacerle a Direktio las mismas preguntas que a cualquier otro y comparar sus respuestas con las de los demás en una matriz de evaluación. Para conocer cómo funciona el servicio, puedes revisar la página de outsourcing de TI para el sector salud y escribirle al equipo desde allí.
Fuentes consultadas
Las cifras y la normativa citadas en este artículo provienen de las siguientes fuentes, consultadas en octubre de 2026:
- Ministerio del Trabajo. Decreto 0581 de 2026, Diario Oficial 53.517, 9 de junio de 2026.
- Congreso de la República. Ley Estatutaria 1581 de 2012, de protección de datos personales.
- ManpowerGroup. Escasez de Talento 2026, citado por el Instituto Nacional de Contadores Públicos, marzo de 2026.
- Cenisoft, Fedesoft. Encuesta de Salarios 2025.
- Verizon. 2026 Data Breach Investigations Report, resumen ejecutivo.
- IBM. Cost of a Data Breach 2026.
