Un gafete nuevo en la caseta de vigilancia

Pensemos en una escena hipotética, aunque reconocible en cualquier parque industrial del Bajío. Una planta de autopartes contrata el mantenimiento de su red y de sus servidores con una empresa de servicios especializados. Compras revisó todo lo que debía: la constancia vigente del Registro de Prestadoras de Servicios Especializados u Obras Especializadas (REPSE), el contrato por escrito, los comprobantes de nómina, las cuotas al IMSS y las aportaciones al Infonavit. Tres meses después, el técnico que atendía la cuenta deja de venir y llega otro, con gafete del proveedor y acceso a la sala de servidores desde el primer día. Nadie en la planta sabe quién es. El papeleo, sin embargo, está en orden.


La escena ilustra una distinción que la reforma en materia de subcontratación, publicada en el Diario Oficial de la Federación el 23 de abril de 2021, dejó más clara que nunca: la ley mexicana obliga a verificar al proveedor, no a las personas que el proveedor asigna. Y la escala del fenómeno no es menor. Según el cuarto informe de labores de la Secretaría del Trabajo y Previsión Social (STPS), presentado en septiembre de 2022, alrededor de 2.7 millones de trabajadores pasaron de la subcontratación a la contratación directa con la reforma, con un salario promedio diario que subió de 469 a más de 593 pesos. Quienes siguen prestando servicios a través de un tercero lo hacen hoy bajo el régimen de servicios especializados, y la autoridad lo vigila de cerca: de acuerdo con cifras de la STPS incluidas en su Programa de Inspección 2026 y difundidas a finales de septiembre de 2026, en 2025 se cancelaron más de 51 mil registros del REPSE por incumplimientos, más de 13 mil empresas regularizaron su situación y volvieron a registrarse, y se realizaron más de 38 mil acciones de inspección que alcanzaron a 5.4 millones de trabajadores.


Lo que la reforma de 2021 sí exige

El esquema está en los artículos 12 a 15 de la Ley Federal del Trabajo, en el texto consolidado por la Cámara de Diputados con última reforma del 14 de mayo de 2026. El artículo 12 prohíbe la subcontratación de personal, es decir, que una persona ponga a sus trabajadores a disposición de otra en beneficio de esta. El artículo 13 permite, en cambio, la subcontratación de servicios u obras especializadas que no formen parte del objeto social ni de la actividad económica preponderante de quien los recibe, siempre que el contratista esté inscrito en el padrón público que administra la STPS. El artículo 14 exige que el contrato conste por escrito y señale el objeto de los servicios y el número aproximado de trabajadores que participarán, y establece que quien contrata responde solidariamente si el contratista incumple sus obligaciones con esos trabajadores. El artículo 15 regula el registro: acreditar el cumplimiento de obligaciones fiscales y de seguridad social, renovarlo cada tres años y aceptar que la STPS lo niegue o cancele si deja de cumplirse. Los antiguos artículos 15-A a 15-D, que regulaban el esquema anterior desde 2012, quedaron derogados.


La legislación fiscal completa el cuadro. Para deducir el pago, el artículo 27, fracción V, de la Ley del Impuesto sobre la Renta pide al contratante verificar el registro del prestador y obtener copia de los comprobantes fiscales de nómina de los trabajadores que le prestaron el servicio, de la declaración y el entero de las retenciones y del pago de cuotas al IMSS y aportaciones al Infonavit; la Ley del IVA impone una revisión análoga para acreditar el impuesto. El contratista, además, informa cada cuatro meses al IMSS y al Infonavit, mediante los sistemas ICSOE y SISUB, sobre los contratos celebrados y el personal involucrado. Las multas por subcontratar sin cumplir este régimen van de 2,000 a 50,000 veces la Unidad de Medida y Actualización. Y el protocolo de inspección en materia de subcontratación que la STPS dio a conocer el 24 de noviembre de 2025 instruye a los inspectores a comprobar que los trabajadores asignados estén dados de alta en la seguridad social, figuren en los recibos de nómina y en sus contratos, y realmente realicen las actividades pactadas.


Lo que el expediente del proveedor no responde

Ese andamiaje persigue un objetivo legítimo: que los derechos y contribuciones de quienes prestan el servicio no se diluyan entre dos razones sociales. Cumplirlo protege a la empresa de la responsabilidad solidaria y de la pérdida de la deducción. Lo que no hace, porque no es su objeto, es decirle a la empresa contratante si la persona que hoy entra a la planta, se conecta a la VPN o recibe las llaves del almacén es idónea para ese acceso en particular. El registro acredita que el proveedor existe, paga y cotiza. El comprobante de nómina acredita que una persona con determinado número de seguridad social cobró. Ninguno de los dos documentos dice nada sobre la relación entre esa persona y el nivel de exposición de la función que va a cumplir.


Además, el tiempo juega en contra. La revisión documental suele concentrarse al dar de alta al proveedor y al renovar su registro cada tres años, mientras que la rotación del personal asignado puede ser mensual. En muchas empresas mexicanas, la confianza en el contratista se sostiene con frases que cualquier gerente de Compras o de RR.HH. reconoce: "trabajamos con ellos desde hace años", "el dueño es de toda la confianza", "siempre mandan a la misma gente". Pueden ser ciertas. Pero ninguna reemplaza una pregunta explícita cuando la persona cambia y el acceso sigue siendo el mismo.


La excepción: cuando la ley sí mira a cada persona

Hay un sector donde la legislación mexicana sí exige identificar a cada individuo y no solo a la empresa: la seguridad privada. La Ley Federal de Seguridad Privada, aplicable a los servicios autorizados en el ámbito federal, obliga a los prestadores a solicitar la consulta previa de antecedentes y la inscripción de cada elemento operativo en el Registro Nacional del Personal de Seguridad Pública (artículos 28, fracción III, y 32, fracción XVI), y a que ese personal porte la cédula de identificación expedida por la autoridad durante el servicio. Una empresa de seguridad puede tener su autorización vigente y, aun así, no puede enviar a cualquier persona a cubrir un puesto.


El contraste es útil precisamente porque es la excepción. La mayoría de los servicios especializados que contrata una empresa en México, desde soporte de tecnologías de la información hasta mantenimiento industrial, logística interna, limpieza o desarrollo de software, no tienen un régimen equivalente. No se trata de que la ley debiera imponerlo siempre, sino de reconocer que, fuera de los sectores regulados, qué se sabe de la persona asignada es una decisión de gestión que puede pactarse en el contrato.


Proporcionalidad: mirar a la persona solo cuando la función lo justifica

Ahí es donde Human Risk Management, entendido como la gestión estructurada de los riesgos asociados a personas, funciones, accesos y decisiones, y no como vigilancia, tiene algo concreto que aportar. El criterio no es verificar a todo el que entra a cambiar una lámpara, ni tratar al personal del contratista como sospechoso. Es la proporcionalidad: cuanto mayor es el acceso que otorga la función, a datos de clientes, a sistemas críticos, a dinero o a instalaciones sensibles, más sentido tiene que la empresa y su proveedor acuerden qué se verifica de quien la ocupa y qué ocurre cuando esa persona cambia. "El REPSE responde si el proveedor cumple con sus trabajadores; no responde si la persona que hoy tiene la llave del site es la adecuada para tenerla. Esa segunda pregunta no tiene que hacerse para todos, pero sí para las funciones con acceso real, y conviene que quede escrita en el contrato y no en la buena fe", señala Guido Schenone, Comercial & Growth Manager de Validato. Validato, compañía especializada en Background Screening y Human Risk Management con presencia en México, incluye entre sus servicios la verificación de antecedentes de personal tercerizado y proveedores externos, con distintos niveles de profundidad según lo que requiera cada posición, sin que esto implique que administre accesos, sustituya las obligaciones del contratista ni garantice que un incidente no ocurra.


La protección de datos fija el límite opuesto. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y cuya aplicación corresponde hoy a la Secretaría Anticorrupción y Buen Gobierno, mantiene los principios de finalidad y proporcionalidad: los datos que se recaben sobre una persona deben ser los necesarios para una finalidad determinada. Verificar a quien presta un servicio sensible no equivale a indagar su vida privada, y la información debe ceñirse a lo que la función exige, con aviso de privacidad y con un responsable claro entre contratante y contratista.


La pregunta que la reforma dejó abierta

La reforma de 2021 resolvió con bastante precisión qué documentos debe pedir una empresa a su contratista para no cargar con sus incumplimientos laborales y fiscales, y la STPS demostró en 2025 que está dispuesta a cancelar registros cuando esos documentos no respaldan la realidad. Esa hoja de ruta no contesta una pregunta distinta, a veces más relevante para la seguridad y la continuidad de una operación: si la persona que finalmente cruza la caseta, se sienta frente a la consola o queda a cargo de un turno es alguien sobre quien la organización, o su proveedor, se hizo la pregunta adecuada. Para RR.HH., Compliance, Legal y Seguridad, el debate ya no es si conviene contratar servicios especializados, sino qué parte de esa cadena de confianza se sigue resolviendo con un "siempre se ha hecho así" y qué parte merece, por la función que se entrega, una revisión específica sobre la persona.


Fuentes y marco normativo consultado

  1. Cámara de Diputados, Ley Federal del Trabajo, texto vigente con última reforma DOF 14-05-2026, arts. 12, 13, 14 y 15 (prohibición de subcontratación de personal, servicios y obras especializadas, contrato por escrito, responsabilidad solidaria, registro ante la STPS) y arts. 15-A a 15-D (derogados el 23-04-2021); https://www.diputados.gob.mx/LeyesBiblio/pdf/LFT.pdf
  2. Diario Oficial de la Federación, Decreto de reforma en materia de subcontratación laboral (23 de abril de 2021)
  3. El CEO, "Outsourcing de salida: 2.7 millones están fuera del esquema y con mejores ingresos, asegura STPS" (1 de septiembre de 2022), sobre el cuarto informe de labores de la STPS; https://elceo.com/economia/outsourcing-de-salida-2-7-millones-estan-fuera-del-esquema-y-con-mejores-ingresos-asegura-stps/
  4. Radar Laboral, "Cancela STPS más de 51 mil registros del REPSE" (30 de septiembre de 2026), cifras de 2025 atribuidas al Programa de Inspección 2026 de la STPS; https://radarlaboral.news/2026/09/30/cancela-stps-mas-de-51-mil-registros-del-repse/
  5. En Blanco y Negro, "STPS canceló más de 51 mil registros del Repse por incumplimientos" (30 de septiembre de 2026); https://enblancoynegro.com.mx/2026/09/30/stps-cancelo-mas-de-51-mil-registros-del-repse-por-incumplimientos/
  6. KPMG México, "Flash: nuevo protocolo de inspección en materia de subcontratación" (noviembre de 2025), sobre el protocolo de la STPS del 24 de noviembre de 2025 y multas de 2,000 a 50,000 UMA; https://kpmg.com/mx/es/tendencias/2025/11/flash-nuevo-protocolo-inspeccion-materia-subcontratacion.html
  7. IDC Online, "Adiós trabas del REPSE: STPS facilita la renovación y registro" (10 de junio de 2026), sobre el Acuerdo de simplificación publicado en el DOF el 9 de junio de 2026; https://idconline.mx/laboral/2026/06/10/adios-trabas-del-repse-stps-facilita-la-renovacion-y-registro
  8. Ley del Impuesto sobre la Renta, art. 27, fracción V, y Ley del Impuesto al Valor Agregado, art. 5, fracción II (requisitos de deducción y acreditamiento en servicios especializados); análisis en ContadorMx, "Servicios especializados y REPSE: efectos fiscales y reglas de cumplimiento 2026"
  9. IDC Online, "Detalles del IMSS sobre el ICSOE" (13 de septiembre de 2021), periodicidad cuatrimestral de la informativa de contratos de servicios u obras especializados
  10. Cámara de Diputados, Ley Federal de Seguridad Privada, arts. 5, fr. VI, 28, fr. III, y 32, fr. XVI y XX (consulta de antecedentes, inscripción en el Registro Nacional del Personal de Seguridad Pública y cédula de identificación del personal operativo); https://www.diputados.gob.mx/LeyesBiblio/pdf/LFSP.pdf
  11. Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025 (principios de finalidad y proporcionalidad; autoridad: Secretaría Anticorrupción y Buen Gobierno)
  12. Validato, descripción de servicios de verificación de personal externo y proveedores y de Human Risk Management en México; https://validato.ch/mx-es/validato-external-services