01
Contact centers de servicio al cliente
Atención inbound y outbound por voz, chat y redes. Gestión de agentes, monitoreo de calidad, grabaciones con datos personales y cumplimiento de ISO 18295-1.
BPO, contact centers y TI · Outsourcing, nearshore, servicios gestionados y desarrollo de software
Sistemas de Gestión ISO para BPO, Contact Centers y Empresas de TI en Colombia
Integramos ISO/IEC 27001, ISO 9001, ISO 18295 e ISO/IEC 20000-1 con el régimen colombiano de protección de datos personales, para que tu operación responda a las auditorías de clientes locales e internacionales con evidencia, no con promesas.
Normas clave
ISO 27001 · 9001 · 18295 · 20000-1
- Un SGSI con ISO/IEC 27001:2022 que incorpora las obligaciones de la Ley 1581 de 2012 y del Decreto 1074 de 2015.
- Indicadores de servicio del contact center conectados con ISO 18295 e ISO 9001: nivel de servicio, FCR, AHT y satisfacción.
- Riesgo psicosocial de agentes gestionado en el SG-SST con la batería oficial y planes de intervención reales.
- Expedientes listos para cuestionarios de seguridad y auditorías de segunda parte de clientes.
Panorama del sector
Lo que un auditor busca en bpo, contact centers y ti
Un BPO o un contact center en Colombia vende algo intangible: la confianza de que procesará datos, transacciones y conversaciones de sus clientes con calidad y sin filtraciones. Las cuentas internacionales y los grandes contratantes locales lo verifican con cuestionarios de seguridad, auditorías de segunda parte y cláusulas contractuales de protección de datos. Una empresa de TI que presta servicios gestionados, nube o desarrollo enfrenta la misma exigencia. ISO/IEC 27001:2022 es el lenguaje común para demostrarlo: análisis de riesgos, declaración de aplicabilidad y 93 controles del Anexo A organizados en cuatro temas (organizacionales, de personas, físicos y tecnológicos). Lo ampliamos en ISO 27001: seguridad de la información para empresas y en la comparación ISO 27001 vs SOC 2.
El marco colombiano de datos personales es exigente. La Ley Estatutaria 1581 de 2012 y su reglamentación (Decreto 1377 de 2013, hoy compilado en el Decreto 1074 de 2015) obligan a contar con política de tratamiento, autorización del titular, procedimientos para consultas y reclamos, medidas de seguridad y contratos de transmisión con los encargados. La Superintendencia de Industria y Comercio (SIC) vigila su cumplimiento. Las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, y las personas jurídicas de naturaleza pública, deben inscribir sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) y actualizarlo cada año. Cuando el BPO gestiona información crediticia o de cobranza, entran además la Ley 1266 de 2008 (hábeas data financiero, modificada por la Ley 2157 de 2021) y la Ley 2300 de 2023, que restringe canales, horarios y frecuencia de contacto con los consumidores.
En la operación de contact center, la calidad se mide en segundos y en experiencias. ISO 18295-1:2017 fija requisitos para los centros de contacto con clientes (gestión de agentes, procesos, tecnología, indicadores) y ISO 18295-2:2017 establece lo que debe hacer la organización que contrata el servicio. ISO 9001 aporta el control del proceso, la gestión de quejas y la mejora; ISO/IEC 20000-1:2018 ordena la gestión de servicios de TI (incidentes, cambios, niveles de servicio), y ISO 22301:2019 protege la continuidad ante caídas de plataforma, fallas eléctricas o eventos que impidan operar una sede. Si tu oferta es de servicios profesionales, revisa ISO 9001 para empresas de servicios.
Hay un riesgo que los clientes no auditan pero que define la operación: la salud de los agentes. La carga emocional, el control de tiempos y la rotación hacen que el riesgo psicosocial sea prioritario en el SG-SST. La Resolución 2646 de 2008 y la batería adoptada por la Resolución 2764 de 2022 exigen evaluarlo e intervenirlo. Además, la operación remota debe encuadrarse en la modalidad que corresponda: teletrabajo (Ley 1221 de 2008, con los ajustes del Decreto 1227 de 2022), trabajo en casa (Ley 2088 de 2021) o trabajo remoto (Ley 2121 de 2021), cada una con implicaciones de seguridad de la información y de SST distintas.
Quality College acompaña el diagnóstico, la implementación y la auditoría interna. La certificación la otorga un organismo independiente acreditado por el ONAC o por un organismo de acreditación firmante del IAF MLA; Quality College no certifica.
Especialización
Subsegmentos que atendemos
02
Cobranza y gestión de cartera
Contacto con deudores bajo la Ley 2300 de 2023 y tratamiento de información crediticia bajo la Ley 1266 de 2008; trazabilidad de autorizaciones y canales.
03
BPO de back office
Procesamiento de documentos, nómina, contabilidad, conciliaciones y verificación. Segregación de funciones, control de accesos y acuerdos de nivel de servicio.
04
Servicios gestionados y nube
Mesa de ayuda, NOC y SOC, hosting e infraestructura. ISO/IEC 20000-1 para la gestión del servicio e ISO/IEC 27001 con controles de nube y proveedores.
05
Desarrollo de software y nearshore
Equipos que desarrollan para clientes en el exterior. Desarrollo seguro, gestión de cambios, separación de ambientes y protección del código y los datos del cliente.
06
Operaciones remotas e híbridas
Agentes y desarrolladores en teletrabajo o trabajo remoto. Seguridad del puesto, endpoints gestionados, VPN y condiciones de SST en el domicilio.
Retos frecuentes
Problemas que resolvemos en planta
Situaciones que encontramos de forma recurrente en diagnósticos del sector y que un sistema de gestión bien diseñado corrige de raíz.
Cuestionarios de seguridad sin evidencia
Respuestas afirmativas a cientos de preguntas del cliente sin políticas aprobadas, registros de revisión de accesos ni pruebas de respaldo.
Protección de datos tratada solo como trámite legal
Política de tratamiento publicada y RNBD inscrito, pero sin controles técnicos, sin contratos de transmisión y sin procedimiento para incidentes.
Rotación y desgaste de agentes
Alta rotación, ausentismo y riesgo psicosocial elevado que afectan el nivel de servicio y la calidad, sin plan de intervención efectivo.
Indicadores que no se conectan con la mejora
Tableros de AHT y nivel de servicio que se reportan al cliente, pero que no alimentan acciones correctivas ni revisión por la dirección.
Continuidad dependiente de una sola sede
Sin análisis de impacto, sin sitio alterno probado y sin plan para operar cuando falla la plataforma telefónica o el proveedor de nube.
Normas aplicables
Qué norma aplica y por qué
ISO/IEC 27001:2022
Seguridad de la información
Requisito frecuente de clientes internacionales y del sector financiero; convierte las medidas de seguridad de la Ley 1581 en controles auditables.
Ver normaISO 9001:2015
Gestión de la calidad
Ordena el proceso de servicio, las quejas, la competencia de los agentes y la mejora continua sobre los indicadores contractuales.
Ver normaISO 18295-1:2017 · ISO 18295-2:2017
Centros de contacto con clientes
Requisitos específicos para el contact center y para la organización que contrata el servicio: agentes, procesos, tecnología e indicadores.
ISO/IEC 20000-1:2018
Gestión de servicios de TI
Para mesas de ayuda, servicios gestionados y nube: catálogo, niveles de servicio, incidentes, problemas, cambios y entrega.
ISO 22301:2019
Continuidad del negocio
Análisis de impacto, estrategias de continuidad y pruebas para operaciones que no pueden detenerse.
Ver normaISO 45001:2018
Seguridad y salud en el trabajo
Integra el SG-SST obligatorio y la gestión del riesgo psicosocial y biomecánico de agentes y personal remoto.
Ver normaMarco regulatorio
Regulación colombiana que integramos al sistema
ISO exige identificar y cumplir los requisitos legales aplicables. Estas son las disposiciones que con mayor frecuencia evalúa el auditor en el sector.
| Disposición | Tema | Qué exige |
|---|---|---|
| Ley 1581 de 2012 | Régimen general de protección de datos personales | Principios, derechos de los titulares, autorización, deberes de responsables y encargados del tratamiento y facultades sancionatorias de la SIC. |
| Decreto 1074 de 2015 (compila el Decreto 1377 de 2013) | Decreto Único Reglamentario del Sector Comercio, Industria y Turismo | Reglamenta autorización, política de tratamiento, aviso de privacidad, transferencias y transmisiones internacionales, y el Registro Nacional de Bases de Datos. |
| RNBD · SIC | Registro Nacional de Bases de Datos | Obligatorio para sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y para personas jurídicas públicas; inscripción de bases nuevas, actualización anual y reporte de novedades. |
| Ley 1266 de 2008 · Ley 2157 de 2021 | Hábeas data financiero, crediticio y comercial | Aplica cuando se trata información de cumplimiento de obligaciones: reportes a centrales de información, comunicación previa al reporte negativo y términos de permanencia. |
| Ley 2300 de 2023 | Protección de la intimidad de los consumidores frente a gestiones de cobranza y comerciales | Limita canales, horarios y frecuencia de contacto; relevante para campañas de cobranza y venta en contact centers. |
| Ley 1221 de 2008 · Decreto 1227 de 2022 | Teletrabajo | Modalidad permanente apoyada en TIC; exige política interna de teletrabajo y condiciones de SST y seguridad de la información. |
| Ley 2088 de 2021 · Ley 2121 de 2021 | Trabajo en casa y trabajo remoto | El trabajo en casa es ocasional o excepcional; el trabajo remoto se pacta para ejecutarse por completo a distancia. Ambos mantienen las obligaciones del SG-SST. |
| Resolución 2646 de 2008 · Resolución 2764 de 2022 | Riesgo psicosocial y batería de instrumentos | Evaluación e intervención de factores psicosociales, especialmente relevantes en la operación de agentes de contact center. |
La aplicabilidad de cada disposición depende de la actividad, tamaño y nivel de riesgo de cada organización. Verifica siempre la versión vigente publicada en el Diario Oficial.
Procesos críticos
Controles y evidencias que diseñamos contigo
Gestión de riesgos y controles de seguridad de la información
- Inventario de activos de información por cliente y campaña, con propietario y clasificación
- Análisis de riesgos con criterios de aceptación aprobados y plan de tratamiento
- Declaración de aplicabilidad (SoA) con justificación de cada control del Anexo A
- Revisión periódica de accesos de agentes, supervisores y administradores, con retiro oportuno al terminar el vínculo
- Copias de respaldo con pruebas de restauración registradas
Protección de datos personales
- Política de tratamiento y avisos de privacidad publicados y actualizados
- Prueba de la autorización del titular cuando se requiere, por canal y campaña
- Contratos de transmisión con clientes responsables y con subencargados
- Procedimiento de consultas y reclamos con tiempos de respuesta controlados
- Gestión de incidentes de seguridad con evaluación y reporte a la SIC cuando aplique
Operación del contact center
- Dimensionamiento de personal y turnos según pronóstico de tráfico
- Selección, formación inicial y certificación interna del agente antes de atender clientes
- Monitoreo de calidad con guía de evaluación calibrada entre analistas
- Gestión de quejas con análisis de causa y retroalimentación a la campaña
- Control de horarios, canales y frecuencia de contacto en campañas de cobranza y venta
Gestión de servicios de TI
- Catálogo de servicios y acuerdos de nivel de servicio pactados con el cliente
- Gestión de incidentes y problemas con priorización y análisis de causa
- Gestión de cambios con evaluación de riesgo, aprobación y plan de reversión
- Desarrollo seguro y separación de ambientes de desarrollo, pruebas y producción
Continuidad del negocio
- Análisis de impacto en el negocio por cliente y servicio crítico
- Estrategias de continuidad: sitio alterno, trabajo remoto habilitado y proveedores redundantes
- Planes de respuesta y recuperación con roles definidos
- Pruebas periódicas con informe y acciones de mejora
Bienestar y SST de agentes
- Evaluación del riesgo psicosocial con la batería oficial y plan de intervención por área
- Pausas activas, diseño del puesto y control de riesgo biomecánico y auditivo
- Política de teletrabajo o acuerdos de trabajo remoto con verificación de condiciones del puesto
- Seguimiento de ausentismo y rotación como entradas del SG-SST
Indicadores
KPIs que el sistema debe medir
Indicadores con fórmula definida para cumplir con el seguimiento y la medición (cláusula 9.1) y alimentar la revisión por la dirección.
| Indicador | Fórmula | Criterio de seguimiento |
|---|---|---|
| Nivel de servicio | Contactos atendidos dentro del umbral de tiempo ÷ contactos ofrecidos × 100 | Umbral y porcentaje pactados en el contrato con cada cliente |
| Resolución en el primer contacto (FCR) | Casos resueltos sin recontacto en el periodo definido ÷ casos atendidos × 100 | Meta por campaña; seguimiento de causas de recontacto |
| Tiempo medio de gestión (AHT) | (Tiempo de conversación + espera + trabajo posterior) ÷ contactos atendidos | Referencia por tipo de contacto; se analiza junto con FCR y calidad para no sacrificar resolución |
| Satisfacción del cliente (CSAT) | Respuestas satisfechas ÷ respuestas totales de la encuesta × 100 | Meta acordada con el cliente; análisis de comentarios negativos |
| Revisión de accesos en plazo | Revisiones de accesos ejecutadas en fecha ÷ revisiones programadas × 100 | Frecuencia definida en la política de control de accesos |
| Rotación de agentes | Retiros en el periodo ÷ promedio de agentes activos × 100 | Meta interna; análisis de causas de retiro vinculado con el riesgo psicosocial |
Experiencia de auditoría
Hallazgos típicos y cómo se corrigen
Agentes retirados hace más de un mes conservan usuario activo en la plataforma de la campaña.
Corrección: Integrar el proceso de retiro de talento humano con la baja de accesos, revisar accesos cada mes por campaña y documentar la verificación.
No existe contrato de transmisión de datos personales con el cliente para el que se gestionan bases de datos de sus usuarios.
Corrección: Firmar contrato de transmisión con alcance, finalidades y medidas de seguridad, e incluir cláusulas equivalentes con subencargados.
La campaña de cobranza registra contactos por varios canales el mismo día con el mismo deudor.
Corrección: Parametrizar el marcador y el CRM con reglas de horario, canal y frecuencia, y auditar por muestreo los registros de contacto.
La guía de monitoreo de calidad no está calibrada: dos analistas califican la misma llamada con diferencias superiores a lo aceptado.
Corrección: Realizar sesiones de calibración periódicas, definir tolerancia entre evaluadores y registrar los resultados.
Se aplicó la batería psicosocial con riesgo alto en agentes de la línea de cobranza, sin acciones de intervención.
Corrección: Diseñar intervención en dimensiones críticas (demandas emocionales, control, liderazgo), hacer seguimiento y reevaluar en el plazo correspondiente al nivel de riesgo.
El plan de continuidad nunca se ha probado y el sitio alterno carece de licencias suficientes para la campaña principal.
Corrección: Ejecutar pruebas programadas, ajustar capacidad del sitio alterno según el análisis de impacto y registrar resultados y mejoras.
Metodología
Ruta de implementación
Plazos de referencia para un alcance típico; se ajustan tras el diagnóstico. La certificación la otorga un organismo de certificación acreditado e independiente.
- 1
Semanas 1–2
Diagnóstico
- Entrevistas con operación, TI, talento humano y área jurídica
- Brechas contra ISO 27001, ISO 9001, ISO 18295 y Ley 1581 de 2012
- Alcance por sede, cliente y servicio
- 2
Semanas 3–6
Diseño
- Análisis de riesgos y declaración de aplicabilidad
- Políticas de seguridad, protección de datos y teletrabajo redactadas con Qualitix Bot®
- Procesos de operación, quejas e indicadores documentados
- 3
Semanas 6–11
Implementación
- Controles técnicos y de personas operando con evidencia
- Indicadores, incidentes y acciones gestionados en ISO Track®
- Capacitación a agentes, supervisores y administradores
- 4
Semanas 11–14
Auditoría interna y revisión
- Auditoría interna por auditor líder distinto al consultor
- Acciones correctivas con análisis de causa
- Revisión por la dirección
- 5
Semanas 14–16
Certificación
- Acompañamiento en etapas 1 y 2 con un organismo de certificación acreditado por el ONAC o por un firmante del IAF MLA
- Cierre de hallazgos
- Plan de mantenimiento del sistema
Centro de conocimiento
Guías técnicas para bpo, contact centers y ti
ISO/IEC 27001
ISO 27001: Seguridad de la Información para Empresas
Guía de ISO 27001:2022 para empresas: cláusulas 4 a 10, 93 controles del Anexo A, gestión de riesgos, evidencias, hallazgos de auditoría y certificación.
Leer guía ISO/IEC 27001 · SOC 2ISO 27001 vs SOC 2: ¿Cuál Necesita tu Empresa de TI?
ISO 27001 vs SOC 2: certificado vs informe de atestación, Trust Services Criteria 2017, Tipo I y Tipo II, evidencias y cómo unificar controles para ambos.
Leer guía ISO 9001 · ServiciosISO 9001 para Empresas de Servicios: Guía Específica
ISO 9001 para empresas de servicios en México: revisión de requisitos, competencia, validación de procesos, diseño de servicios, indicadores y hallazgos típicos.
Leer guía ISO 22301 · ContinuidadISO 22301: Continuidad del Negocio y Resiliencia Empresarial
ISO 22301:2019 paso a paso: análisis de impacto al negocio (BIA), MTPD, RTO y RPO, estrategias, ejercicios, evidencias del auditor y hallazgos típicos.
Leer guíaPreguntas frecuentes
Respuestas de nuestros auditores
¿ISO 27001 garantiza el cumplimiento de la Ley 1581 de 2012?
No por sí sola. ISO/IEC 27001 asegura que las medidas de seguridad se gestionan por riesgos, pero la Ley 1581 exige además obligaciones jurídicas: política de tratamiento, autorización, atención de consultas y reclamos, contratos de transmisión y, cuando aplica, inscripción en el RNBD. Lo recomendable es incluir la Ley 1581 y el Decreto 1074 de 2015 como requisitos legales del SGSI y verificarlos en la auditoría interna.
¿Estoy obligado a inscribir mis bases de datos en el RNBD?
Están obligadas las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y las personas jurídicas de naturaleza pública. Quien no está obligado a inscribirse sigue obligado a cumplir la Ley 1581: política de tratamiento, autorización, derechos de los titulares y medidas de seguridad.
¿Qué aporta ISO 18295 frente a ISO 9001?
ISO 9001 es genérica para cualquier organización. ISO 18295-1 establece requisitos específicos para centros de contacto: competencia y bienestar de los agentes, información al cliente, tecnología, indicadores de servicio y gestión de quejas. ISO 18295-2 define lo que debe hacer la empresa que contrata el servicio. Pueden implementarse juntas en un mismo sistema.
Mis clientes piden SOC 2, ¿ISO 27001 me sirve?
Son marcos distintos: ISO/IEC 27001 es un sistema de gestión certificable por un organismo acreditado, y SOC 2 es un informe de atestiguamiento emitido por contadores públicos bajo normas del AICPA. Comparten muchos controles, por lo que un SGSI maduro facilita un informe SOC 2 si un cliente lo exige. Lo comparamos en detalle en el blog.
¿Cómo se gestiona la seguridad cuando los agentes trabajan desde casa?
Primero hay que definir la modalidad: teletrabajo, trabajo en casa o trabajo remoto, porque cada una tiene reglas laborales propias. Luego se aplican controles de ISO/IEC 27001 para trabajo a distancia: equipos gestionados, conexión segura, bloqueo de almacenamiento local, puesto sin terceros y monitoreo. El SG-SST debe cubrir también las condiciones del puesto en el domicilio.
¿Por qué el riesgo psicosocial es tan relevante en un contact center?
El trabajo de agente combina demandas emocionales, control de tiempos, metas de productividad y exposición a clientes molestos. Esas condiciones elevan el riesgo psicosocial, que la Resolución 2646 de 2008 y la Resolución 2764 de 2022 obligan a evaluar e intervenir. Un buen plan de intervención mejora además la rotación y la calidad del servicio.
¿Quién emite el certificado y cuánto tarda el proyecto?
El certificado lo emite un organismo de certificación independiente acreditado por el ONAC o por un organismo de acreditación firmante del IAF MLA; Quality College no certifica. Los proyectos típicos van de 8 a 16 semanas según el número de sedes, clientes y normas incluidas, y la madurez de los controles existentes.
Diagnóstico sin costo
¿Qué tan lejos está tu organización de la certificación?
Un consultor especializado en bpo, contact centers y ti revisa tu operación y te entrega brechas, prioridades y un plan con tiempos reales. Atención presencial y remota en Colombia; consulta las condiciones de nuestra garantía contractual para tu proyecto.