Contrato de Outsourcing Colombia (Tercerización de Procesos)

El derecho laboral colombiano impone requisitos significativos a los acuerdos de outsourcing para prevenir el uso de esquemas de intermediación que eludan las obligaciones de empleo directo. Conforme al Artículo 34 del CST, un contratista independiente es la persona o entidad que ejecuta un trabajo para otra a precio fijo, asume sus propios riesgos, tiene autonomía en la ejecución del trabajo y emplea a sus propios trabajadores. Cuando se cumplen estas condiciones, los empleados del contratista no se consideran empleados de la empresa cliente. Bajo el Artículo 35 del CST, un simple intermediario es la persona o entidad que contrata o engaña trabajadores en nombre de un tercero (beneficiario) — en este caso, los trabajadores se consideran empleados del beneficiario, quien asume todas las obligaciones laborales, incluyendo salarios, prestaciones sociales y aportes al sistema de seguridad social. La distinción es crucial: si el proveedor de outsourcing es reclasificado como simple intermediario, la empresa cliente se convierte en solidariamente responsable de todas las obligaciones laborales de los trabajadores del proveedor. La Corte Constitucional en la Sentencia C-614 de 2009 prohibió el uso de cooperativas de trabajo asociado y vehículos similares de intermediación para tercerizar las funciones misionales permanentes. El Decreto 2025 de 2011, que implementa el Artículo 63 de la Ley 1429 de 2010, refuerza que la tercerización de funciones misionales permanentes debe realizarse a través de contratistas independientes genuinos con infraestructura y autonomía operativa propias.

Los proveedores de BPO que traten datos personales de residentes colombianos deben cumplir la Ley 1581 de 2012 (Ley Estatutaria de Protección de Datos Personales) y el Decreto 1377 de 2013, aplicados por la SIC (Superintendencia de Industria y Comercio) a través de su Delegatura para la Protección de Datos Personales. El proveedor BPO actúa típicamente como encargado del tratamiento (procesador de datos) bajo la Ley 1581, tratando datos personales en nombre de la empresa cliente (responsable del tratamiento o controlador de datos). Conforme al Artículo 18 de la Ley 1581, el encargado debe: tratar los datos únicamente conforme a las instrucciones del responsable y los fines autorizados; implementar medidas de seguridad adecuadas (técnicas, humanas y administrativas) para prevenir el acceso no autorizado, la pérdida o la alteración; mantener la confidencialidad durante y después de la relación contractual; notificar al responsable cualquier brecha de seguridad; y cooperar con las investigaciones de la SIC. El acuerdo de BPO debe incluir un contrato de encargo del tratamiento que especifique: los tipos de datos personales tratados, los fines del tratamiento, las medidas de seguridad, los plazos de notificación de brechas, la devolución o destrucción de datos al terminar el contrato y los derechos de auditoría. Cuando el proveedor BPO transfiere datos fuera de Colombia (por ejemplo, a centros de procesamiento offshore), el Artículo 26 de la Ley 1581 exige que el país destinatario brinde un nivel adecuado de protección de datos según lo determine la SIC, o que el titular haya otorgado autorización expresa. Las sanciones por infracciones en protección de datos alcanzan hasta 2.000 SMLMV (aproximadamente COP$2.847 mil millones para 2025).

Colombia ofrece varios incentivos tributarios que benefician específicamente al sector BPO. Bajo el régimen de zonas francas (Decreto 2147 de 2016 y Ley 1004 de 2005), las empresas de BPO que operen en zonas francas de servicios designadas se benefician de una tarifa reducida del impuesto de renta del 20% (frente a la tarifa general del 35% del Artículo 240 del ET) sobre los ingresos generados por servicios exportados desde la zona. Existen zonas francas orientadas a servicios en los principales centros de BPO: Bogotá, Medellín, Barranquilla y Cali. La Ley 1429 de 2010 (Ley de Formalización y Generación de Empleo) otorga incentivos tributarios progresivos a las nuevas pequeñas empresas — los emprendimientos de BPO pueden beneficiarse de tarifas graduales del impuesto de renta durante sus primeros cinco años de operación. La Ley 2069 de 2020 (Ley de Emprendimiento) extiende beneficios adicionales para empresas de servicios basadas en innovación. Para los servicios de BPO orientados a la exportación, la tarifa del IVA es del 0% (tarifa cero) bajo el Artículo 481 del ET cuando los servicios se exportan (se consumen fuera del territorio colombiano), lo que significa que las empresas de BPO que presten servicios a clientes extranjeros pueden recuperar los créditos de IVA descontable. El MinTIC y ProColombia promueven activamente a Colombia como destino de BPO mediante incentivos a la inversión y programas de apoyo. Las empresas colombianas que inviertan en tecnología e innovación para operaciones de BPO pueden deducir estas inversiones bajo el Artículo 158-1 del ET, previa aprobación de proyectos de ciencia, tecnología e innovación por el Ministerio de Ciencia, Tecnología e Innovación.

La terminación de un contrato de BPO en Colombia requiere una gestión cuidadosa del proceso de transición-salida para garantizar la continuidad del negocio y proteger los intereses de ambas partes. Bajo el Artículo 1602 del Código Civil, el acuerdo de BPO debe incluir disposiciones detalladas de transición-salida que aborden: un período de preaviso (preaviso) — típicamente de 90 a 180 días para acuerdos de outsourcing complejos, que permita al cliente establecer arreglos de servicio alternativos; un plan de transición-salida que especifique las obligaciones del proveedor de transferir conocimiento, documentación, procesos y sistemas de vuelta al cliente o a un proveedor sucesor; migración de datos — el proveedor debe devolver todos los datos del cliente en formatos acordados y destruir las copias retenidas conforme a la Ley 1581 de 2012; transición del personal — en algunos casos, el cliente o el proveedor sucesor puede desear contratar a empleados clave del proveedor que tengan conocimiento especializado de los procesos tercerizados (sujeto a cualquier acuerdo de no solicitud entre proveedor y cliente); servicio continuo durante la transición — el proveedor debe mantener los niveles de servicio durante el período de transición para evitar la interrupción del negocio; y propiedad intelectual — clarificación de la titularidad de los desarrollos personalizados, mejoras de procesos y documentación creados durante la relación de outsourcing. Bajo el principio de buena fe (Artículo 871 del Código de Comercio), el proveedor no puede interrumpir abruptamente los servicios ni negar cooperación durante el proceso de transición. La falta de cooperación en la transición puede constituir incumplimiento que dé lugar a daños bajo los Artículos 1613 a 1617 del Código Civil. El acuerdo de BPO debe incluir una cláusula penal (Artículo 1592 del Código Civil) que aborde específicamente los incumplimientos de transición.

Las entidades financieras supervisadas por la Superintendencia Financiera de Colombia (SFC) pueden tercerizar operaciones sujetas a los requisitos regulatorios específicos establecidos en la Circular Básica Jurídica (Circular Externa 029 de 2014 y sus modificaciones) y la Circular Externa 042 de 2012 sobre gestión de riesgo tecnológico y de ciberseguridad. El marco de la SFC distingue entre funciones críticas y no críticas tercerizadas: las funciones críticas — como sistemas bancarios centrales, procesamiento de pagos, calificación crediticia y gestión de datos de clientes — requieren notificación previa a la SFC, evaluaciones detalladas de riesgo y cumplimiento de requisitos reforzados de seguridad y continuidad del negocio. Las funciones no críticas pueden tercerizarse con protecciones contractuales estándar. El contrato de outsourcing para entidades financieras debe incluir: descripción clara de los servicios tercerizados y estándares de desempeño; obligación del proveedor de permitir inspecciones y auditorías de la SFC; disposiciones de continuidad del negocio y recuperación ante desastres; requisitos de seguridad de datos alineados con los estándares de ciberseguridad de la SFC; restricciones a la subcontratación sin aprobación de la entidad financiera; y disposiciones de terminación que garanticen la prestación ininterrumpida del servicio. Bajo la Circular 042, las entidades financieras deben mantener un registro de tercerización que documente todas las funciones tercerizadas, los proveedores y los riesgos asociados. La tercerización transfronteriza por parte de entidades financieras requiere salvaguardas adicionales, incluyendo disposiciones de soberanía de datos que garanticen el acceso de los reguladores colombianos a los datos; derechos contractuales para que la SFC inspeccione instalaciones offshore; y cumplimiento de los requisitos de transferencia internacional de datos de la Ley 1581 de 2012. La entidad financiera retiene la responsabilidad regulatoria completa sobre las funciones tercerizadas — la SFC responsabiliza a la entidad, no al proveedor, del cumplimiento regulatorio.