Cómo elegir un proveedor de outsourcing: due diligence, SLA y plan de salida en 10 pasos

Elegir un proveedor de outsourcing no debería parecerse a comprar la línea más barata de una tabla. Un socio que gestiona correspondencia, documentos u otro proceso operativo accede a información, plazos y tareas de las que depende el trabajo diario. Por eso, una buena decisión combina precio, calidad, seguridad, continuidad y capacidad para recuperar el proceso.

Estos diez pasos permiten comparar ofertas de forma medible. Sirven para la externalización de la correspondencia empresarial y como contexto para otros procesos externos. Esto no significa que BackOffice Outsourcing preste todos los servicios citados como ejemplo.

1. Define el proceso antes de pedir ofertas

Fija el inicio y el final, el volumen, la estacionalidad, las categorías documentales, las excepciones y el resultado esperado. “Gestión de correo” puede significar solo expedición o el ciclo completo: recogida, registro, digitalización, distribución, impresión, ensobrado, franqueo, devoluciones e informes. Sin un alcance común, dos precios similares pueden describir servicios muy distintos.

2. Compara el coste total, no una sola tarifa

Incluye implantación, operaciones básicas y adicionales, materiales, transporte, almacenamiento, informes, excepciones y volúmenes mínimos. En el modelo interno añade tiempo del personal, sustituciones, equipos, espacio y errores. La calculadora de outsourcing ofrece un buen punto de partida.

3. Verifica competencia, capacidad y método real de trabajo

Las referencias importan, pero no sustituyen una conversación operativa. Pregunta quién será responsable, cómo se organizan las sustituciones, cómo se controla la calidad, qué volúmenes gestiona realmente el proveedor y qué ocurrirá ante un aumento repentino. Una respuesta sólida describe funciones, herramientas y procedimientos, no solo promete “flexibilidad”.

4. Establece los roles de protección de datos

Si una empresa externa trata datos personales por cuenta del cliente, hay que clasificar correctamente las funciones. El artículo 28 del RGPD exige utilizar únicamente encargados que ofrezcan garantías suficientes y regular el tratamiento mediante un contrato vinculante. Las directrices del EDPB señalan que el acuerdo no debe limitarse a repetir el RGPD, sino explicar de forma concreta cómo se cumplirán las obligaciones y qué nivel de seguridad se requiere. Consulta también nuestra guía sobre digitalización de correspondencia y RGPD.

5. Convierte las expectativas en un SLA medible

El SLA debe reflejar el riesgo real. Sustituye “rápidamente” por medidas como:

• tiempo desde la recogida hasta el registro y aviso,
• hora límite para órdenes de salida,
• plazo de digitalización o preparación de lotes,
• nivel de error aceptable y reglas de repetición,
• tiempo de respuesta a incidentes y escalado,
• frecuencia, contenido y formato de informes.

Cada indicador necesita fuente de datos, responsable y método de cálculo. De lo contrario, ambas partes pueden calcular correctamente el mismo KPI y obtener resultados diferentes.

6. Evalúa la seguridad técnica y organizativa

Revisa control de acceso, separación de permisos, registros de actividad, conservación y eliminación, cifrado, formación e incidentes. NIS2 incluye la seguridad de la cadena de suministro entre las medidas de gestión de riesgos para las entidades dentro de su ámbito. Aunque una empresa concreta no esté sujeta a NIS2, el principio sigue siendo útil: la seguridad también depende de proveedores y subcontratistas.

7. Identifica subcontratistas y lugares de prestación

Determina qué actividades realiza directamente el proveedor y cuáles delega. Pregunta dónde se tratan los datos, cómo se autorizan y revisan terceros y quién responde por los errores. El cliente debe saber quién accede a los documentos y dónde se ejecuta cada etapa.

8. Prueba la continuidad y los escenarios de fallo

Un plan no puede terminar en “tenemos copias”. Analiza caída del sistema, indisponibilidad de la sede, falta de personal, retraso del transporte, corte eléctrico y aumento súbito del volumen. El proveedor debe indicar prioridades, canal de comunicación, responsables y tiempo máximo para recuperar las tareas críticas.

9. Diseña informes, auditoría y gestión del cambio

Los informes deben apoyar decisiones, no limitarse a confirmar que se trabajó. Acuerda volúmenes, plazos, errores, devoluciones, excepciones y acciones abiertas. El contrato también debe regular la revisión del proceso, los cambios controlados y las reuniones operativas. Estabilidad no significa ausencia de cambios, sino cambios gestionados.

10. Empieza con un piloto y prepara el plan de salida

Un piloto limitado muestra la calidad de los datos, el número de excepciones y la carga real antes de trasladar todo el proceso. A la vez, define la finalización: devolución o eliminación de datos, entrega de registros e instrucciones, apoyo a la transición y formatos de exportación. El plan de salida no expresa desconfianza; es gestión madura del riesgo.

Una ficha breve de evaluación

Puntúa de 0 a 3: ajuste del alcance, coste total, competencia, SLA, seguridad, subcontratistas, continuidad, informes, piloto y plan de salida. La oferta más barata con cero puntos en seguridad o continuidad no es la más económica: solo aplaza el coste del riesgo.

Para evaluar un proveedor de correspondencia, solicita descripción del proceso, informe de ejemplo y alcance medible. Contacta con BackOffice Outsourcing para analizar el modelo actual, un piloto controlado y un presupuesto sin asumir que todo debe transferirse desde el primer día.

Fuentes

• Reglamento (UE) 2016/679 — especialmente el artículo 28
• EDPB, Guidelines 07/2020 on the concepts of controller and processor, versión 2.1
• Directiva (UE) 2022/2555 (NIS2) — especialmente el artículo 21

Preguntas frecuentes

¿Debe decidir el precio más bajo?

No. Compara precio, alcance, SLA, costes adicionales, seguridad, continuidad y coste potencial de los errores.

¿Qué debe incluir un SLA?

Plazos medibles, nivel de calidad, fuentes de datos, informes, respuesta a incidentes, escalado y responsabilidad sobre acciones correctoras.

¿Conviene empezar con un piloto?

Sí. Un piloto limitado revela excepciones, calidad de datos y carga real antes de trasladar todo el proceso.

¿Por qué definir la salida al inicio?

Para asegurar devolución o eliminación de datos, acceso a registros, transferencia de conocimiento y continuidad al terminar el contrato.

← Volver a todos los artículos