ISO 45001:2018 — Seguridad y salud en el trabajo

Qué vas a encontrar aquí. Una lectura operativa de la norma ISO 45001:2018 como sistema de gestión de la seguridad y la salud en el trabajo. Cinco bloques: el desplazamiento de OHSAS 18001 hacia este nuevo marco normativo, el método de identificación de peligros y evaluación de riesgos, la mecánica de participación y consulta de los trabajadores, el tratamiento de incidentes y no conformidades, y la construcción de cultura de seguridad. Al final, una nota que distingue la norma ISO 45001 (referente internacional voluntario) del SG-SST regulado por el Decreto 1072 de 2015 en Colombia (obligación legal), para que sepas cuándo se complementan y cuándo responden a lógicas distintas.

Esta nota no sustituye el texto de la norma. Tampoco entrega una credencial de organismo evaluador: esas las emiten organismos de certificación luego de una auditoría externa.

ISO 45001:2018 es una norma internacional publicada por la Organización Internacional de Normalización (ISO) que establece los requisitos para implementar un sistema de gestión de la seguridad y la salud en el trabajo (SGT-SST). Su uso es voluntario, admite certificación por terceros y se apoya en el ciclo de mejora continua conocido como PHVA (planificar, hacer, verificar, actuar). En el plano internacional, sustituye el lugar que durante dos décadas ocupó el referente OHSAS 18001.

1. De OHSAS 18001 a ISO 45001: el cambio de marco

OHSAS 18001 fue durante años el referente más extendido a nivel internacional para gestionar la seguridad y la salud en el trabajo. Era un documento de origen británico, impulsado por BSI, que sirvió de base a miles de organizaciones y luego se adoptó o se tomó como base de forma amplia en múltiples países. Con el paso del tiempo, su enfoque mostró límites: tendía a concentrarse en el control del riesgo físico, dejaba en un segundo plano la participación efectiva de los trabajadores, y trataba la SST como una dimensión técnica paralela a los demás sistemas de gestión (calidad, ambiente, entre otros).

ISO 45001 introduce un cambio de marco, no una simple actualización. En lugar de tratar la SST como un capítulo que se cumple o se incumple, propone integrarla al gobierno de la organización con la misma lógica con la que se gestiona otra decisión estratégica del negocio. La forma de lograrlo es alinear la norma con la estructura común que comparten ISO 9001 (calidad) e ISO 14001 (ambiente), un esquema de capítulos en el mismo orden: contexto, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora. Eso permite que una organización con varios sistemas de gestión no los opere como compartimentos aislados.

Para no inventar cronología: lo importante es la dirección del cambio, no la fecha exacta de la transición. El desplazamiento va de un modelo reactivo, centrado en listas de verificación y en tasas de accidentabilidad, hacia un modelo que conecta la SST con el contexto de la organización, las necesidades de las partes interesadas y el liderazgo visible de la alta dirección.

Punto clave 1. La novedad más visible de ISO 45001 no reside en una lista nueva de requisitos, sino en el desplazamiento del centro de gravedad: de la pregunta «¿qué tanto control aplico?» a la pregunta «¿cómo integro la SST en el gobierno de la organización?». El cambio es de marco, no de membrete.

Trampa frecuente. Tratar ISO 45001 como una versión actualizada de OHSAS 18001 que conserva la misma lógica, solo cambia el membrete, lleva a un espejismo. Si la organización mantiene una gestión basada en reaccionar a incidentes y en satisfacer una lista documental, no ha migrado de marco: ha cambiado de referencia sin mover la práctica. Esta es la confusión que sostienen muchas organizaciones que dicen estar «en transición» sin haber tocado la operación.

2. Identificación de peligros y evaluación de riesgos

En el vocabulario de ISO 45001 conviene separar tres conceptos que suelen confundirse en la práctica.

Peligro: fuente, situación o acto con potencial de causar daño en términos de lesión, enfermedad o una combinación de ambos. El peligro es una propiedad objetiva del entorno o del proceso.
Riesgo: combinación de la probabilidad de que ocurra un evento peligroso y la severidad de su consecuencia. Una fuente con probabilidad alta y consecuencia severa genera un riesgo alto; la misma fuente con probabilidad baja y consecuencia leve genera un riesgo bajo. El riesgo es una estimación, no una realidad.
Oportunidad: situación favorable que, aprovechada, mejora el desempeño en SST. La norma pide identificar tanto amenazas como oportunidades, porque reducir riesgo y ganar en capacidad suelen ir de la mano.

El método de trabajo tiene tres pasos secuenciales: identificar los peligros que la organización genera o a los que está expuesta, evaluar los riesgos asociados a cada uno, y decidir los controles para mitigarlos hasta donde sea razonable. La evaluación ordena acciones y justifica la asignación de recursos ante la dirección y ante los trabajadores.

El modelo incorpora una jerarquía de controles, también llamada jerarquía de mitigación, que ordena las intervenciones de mayor a menor capacidad preventiva. Aplicar los niveles en este orden es uno de los requisitos de razonamiento más claros de la norma:

Eliminación: remover el peligro de raíz (suprimir el paso del proceso, retirar el material, eliminar la tarea).
Sustitución: reemplazar por algo menos peligroso (otro insumo, otro equipo, otra formulación, otro diseño de tarea).
Controles de ingeniería: rediseñar procesos, instalar protecciones físicas, aislar fuentes de emisión o ruido, automatizar tareas de alto riesgo.
Controles administrativos: procedimientos, capacitación, señalización, rotaciones, gestión del cambio.
Equipos de protección personal (EPP): cuando los niveles anteriores no alcanzan por sí solos, se usan como complemento y no como primera línea.

Un error que aparece con frecuencia consiste en saltar directamente al EPP por disponibilidad inmediata. La jerarquía existe para que la organización razone por qué eligió un control y descarte, con criterios explícitos, los niveles superiores antes de recurrir al siguiente. La disciplina de pasar por este razonamiento es lo que diferencia un sistema robusto de un sistema meramente documental.

Tipo de peligro	Ejemplos típicos	Primer control a explorar
Físico	Ruido, vibración, temperaturas extremas, radiaciones ionizantes y no ionizantes	Controles de ingeniería (aislamiento de fuentes, resguardo físico). Sustitución por procesos menos ruidosos o menos contaminantes.
Químico	Sustancias tóxicas, polvos respirables, vapores, agentes cancerígenos	Sustitución por sustancias menos agresivas; sistemas de extracción localizada; rediseño del proceso.
Biológico	Agentes infecciosos, exposición a fluidos, manipulación de muestras	Controles de ingeniería (cabinas de bioseguridad, sistemas de ventilación). Procedimientos de manipulación y descontaminación.
Psicosocial	Cargas de trabajo elevadas, conflictos sostenidos, violencia laboral, falta de autonomía	Controles administrativos: rediseño de turnos, protocolos de mediación, canales de atención, revisión de metas inalcanzables.
Ergonómico	Movimientos repetitivos, posturas forzadas, levantamiento de cargas, trabajo estático prolongado	Rediseño del puesto, pausas activas, herramientas adaptadas, automatización de ciclos repetitivos.
De seguridad (mecánico/eléctrico)	Caídas a distinto nivel, atrapamientos, cortes, contactos eléctricos directos e indirectos	Controles de ingeniería: guardas, protecciones, sistemas de parada de emergencia, reordenamiento del trazado físico.

La tabla anterior no es exhaustiva: cada organización debe analizar su propia actividad y puede combinar categorías (por ejemplo, un laboratorio combina peligros químicos, biológicos, ergonómicos y de seguridad). Lo importante es que la evaluación cubra la operación real, no solo lo que figura en el organigrama de procesos.

Punto clave 2. La jerarquía de controles es una obligación de razonamiento. Para cada riesgo calificado como significativo, la organización debe sustentar por qué descartó eliminación y sustitución antes de apoyarse en controles administrativos o en EPP. Sin ese razonamiento documentado, la «gestión del riesgo» se convierte en compra de EPP.

3. Participación y consulta de los trabajadores

La participación no consiste en avisar a los trabajadores lo que ya se decidió, ni en realizar encuestas anuales para satisfacer un requisito. En ISO 45001 la participación tiene un contenido específico: los trabajadores —y sus representantes, cuando existan— intervienen en el diseño, la implementación, el seguimiento y la revisión del sistema de gestión de SST.

Conviene separar dos verbos que la norma usa con precisión distinta:

Participar: intervenir de forma activa, tomar parte en decisiones que afectan la SST propia y la del entorno inmediato. La participación va más allá de la opinión: implica capacidad de incidencia.
Consultar: pedir opinión antes de tomar una decisión que afecta la SST, sin que la consulta implique cogobierno. La consulta recoge la voz de los trabajadores como insumo obligado, no opcional, antes de decidir.

Los dos verbos son necesarios y se complementan. Una organización puede consultar sin participación genuina (pide opinión, pero decide sola), o habilitar espacios de participación sin mecanismos de consulta para temas estructurales del sistema. La norma exige ambos planos, y la calidad del sistema se nota en cómo se articulan.

Cuadro resumen. Mecanismos habituales para sostener participación y consulta, con pistas para evaluar su profundidad:

Comité paritario de seguridad y salud (o figura equivalente según la legislación local): funciona si cuenta con representación real de los trabajadores, quorum estable y actas con seguimiento de acuerdos.
Representantes designados formalmente: tienen tiempo protegido para ejercer el rol y acceso a información de indicadores sin represalia.
Reuniones periódicas de seguridad: superan la formalidad cuando se discuten casos del propio área, no temas genéricos impartidos desde un escritorio central.
Canales para reportar peligros, sugerencias y preocupaciones: funcionan cuando el trabajador que reporta recibe respuesta trazable y ve la consecuencia.
Investigaciones de incidentes con participación directa de quienes conocen el área: quienes estaban en el lugar aportan la lectura técnica que la auditoría posterior no puede reconstruir por sí sola.
Capacitaciones co-construidas con trabajadores: surgen del cruce entre instructores temáticos y la experiencia operativa del área.

Un indicador temprano de participación genuina es la calidad de los reportes de peligros. Si los trabajadores reportan incidentes menores, condiciones subóptimas y casi-incidentes sin temor a represalia, hay confianza operativa. Si solo aparecen reportes para eventos graves y tras presión externa, hay un problema de fondo en la mecánica de participación: probablemente se percibe el reporte como amenaza y no como insumo del sistema.

Punto clave 3. La participación se mide por la influencia efectiva sobre las decisiones, no por la cantidad de reuniones realizadas o actas firmadas. Una reunión sin capacidad de modificar el rumbo del sistema es decoración institucional, no participación.

4. Investigación de incidentes y no conformidades

ISO 45001 separa dos figuras que el lenguaje común tiende a mezclar, y cuya confusión cuesta recursos y aprendizaje perdido.

Un incidente es un suceso laboral que provoca o podría provocar lesión, enfermedad o combinación de ambos. Incluye el incidente con daño (accidente laboral en sentido amplio) y el casi-incidente (sin daño pero con potencial para causarlo). Una no conformidad, en cambio, es una desviación respecto de los requisitos del propio sistema de gestión: una política sin comunicar, un procedimiento sin aplicar, una auditoría interna sin ejecutar en el plazo previsto, un indicador sin analizar durante varios ciclos.

La relación entre ambas figuras es operativa, no semántica. Investigar un incidente real permite descubrir las no conformidades que estaban latentes en el sistema (procedimientos inexistentes, controles no operativos, formación ausente, responsabilidades mal distribuidas). Identificar una no conformidad, a su vez, evita que se materialice el siguiente incidente. Tratarlas como procesos inconexos duplica trabajo y, sobre todo, pierde información de causa raíz que conecta unos y otros.

Las diferencias operativas entre las dos figuras, resumidas para consulta rápida, son las siguientes:

Origen del registro. El incidente nace de un suceso puntual que afectó o pudo afectar a personas. La no conformidad nace de una desviación respecto del sistema de gestión definido por la propia organización.
Activador típico. El incidente se activa por reporte de trabajador, hallazgo en terreno, registro médico o reclamo. La no conformidad se activa por auditoría interna, revisión por la dirección, queja o evaluación de indicadores.
Pregunta que responde. El incidente responde a ¿qué ocurrió y por qué ocurrió? La no conformidad responde a ¿dónde no se cumplió lo que la organización dijo que haría?
Profundidad de la causa. Para el incidente se rastrea la cadena de decisiones y condiciones previas más allá de la causa inmediata. Para la no conformidad se identifica la brecha entre lo escrito y lo aplicado, con sus causas sistémicas.
Acción inmediata. Frente al incidente, corrección del escenario afectado (atención, resguardo del área, reasignación temporal). Frente a la no conformidad, acciones para encauzar la desviación y evitar reincidencia.
Acción de fondo. En ambos casos se trata de acción correctiva sobre la causa raíz, con énfasis distinto: causa raíz del sistema (incidente) o causa raíz que sostiene la brecha (no conformidad).
Indicador de calidad. Para el incidente, aprendizaje aplicado a procesos análogos y reducción de casi-incidentes equivalentes. Para la no conformidad, cierre verificado de la brecha y ausencia de reapertura en ciclos posteriores.

Una investigación de incidente robusta no se detiene en la causa inmediata (por ejemplo, «se resbaló», «no llevaba casco», «manipuló sin autorización»). Pregunta por capas más profundas: condición física del piso al momento del hecho, procedimiento de orden y aseo previo, gestión del cambio si se modificó el área recientemente, formación del trabajador y de su supervisor inmediato, diseño del puesto, presión de producción en ese turno, frecuencia de rotación, comunicación de riesgos actualizada. Cada capa expone decisiones humanas y de sistema que están detrás del hecho puntual y que son la materia con la que se construye la prevención.

Nota operativa. En organizaciones con sistemas inmaduros, la presión por concluir investigaciones rápido lleva a conclusiones superficiales («falta de cuidado del trabajador», «distracción momentánea»). Esta atribución culpa a quien estaba al final de una cadena de decisiones. Una investigación que termina señalando al trabajador como causa aislada suele estar ocultando fallos de gestión aguas arriba: del supervisor, del diseño del proceso, de la formación, del balance de carga. Reemplazar la atribución individual por análisis de sistema es un salto cultural que distingue a las organizaciones que aprenden de las que solo registran.

Punto clave 4. Incidentes y no conformidades son caras de la misma moneda: los primeros evidencian déficits del sistema; los segundos son la huella documental de esos déficits. Tratarlos como dos procesos independientes duplica esfuerzo y, con frecuencia, pierde el vínculo entre el evento visible y la causa estructural que lo hizo posible.

5. Cultura de seguridad

El concepto de cultura de seguridad designa el conjunto de supuestos, valores, normas y prácticas que determinan cómo se gestiona la SST en una organización, más allá de lo que digan los documentos formales. Una organización puede tener una política clara redactada, procedimientos exhaustivos, formación al día y auditorías internas cumplidas, y aun así operar con una cultura de seguridad débil si en el día a día rigen otras prioridades implícitas que contradicen lo escrito.

Una lectura útil diferencia tres niveles, cercanos a una adaptación operativa del modelo de Schein (frecuente en la literatura sobre cultura organizacional):

Artefactos visibles: señalización, estado de los equipos, comportamiento de los líderes a la vista del personal, sistema de incentivos, comunicación interna, gestión del espacio físico.
Valores declarados: políticas, códigos de conducta, discursos oficiales, objetivos del sistema de gestión, mensajes recurrentes de la dirección.
Supuestos básicos: creencias profundas y a menudo no verbalizadas sobre por qué se hace lo que se hace, qué cuenta como éxito, qué se tolera en silencio, qué problemas «realmente importan».

El cambio cultural sostenido opera de abajo hacia arriba en esta jerarquía. Si los supuestos básicos siguen siendo «producir a costa de todo» o «los accidentes les pasan a otros», una iniciativa visible quedará coja. Las políticas y los procedimientos son condición necesaria, pero no suficiente: cambian artefactos y valores declarados, no los supuestos. Intervenir sobre los supuestos requiere tiempo, coherencia de mensajes y, sobre todo, la acumulación de decisiones cotidianas consistentes.

Analogía. Piense en la cultura de seguridad como el clima de una ciudad: la temperatura se mide con un termómetro, pero el clima lo componen vientos, humedad, presión y radiación acumulados durante mucho tiempo, sobre un territorio extenso. Cambiar de termómetro no cambia el clima. Cambiar de clima exige actuar sobre cada componente de forma sostenida y, en general, durante un horizonte más largo que el de un trimestre.

El liderazgo define la velocidad del cambio cultural. En ISO 45001 el liderazgo no es un requisito decorativo: la alta dirección debe demostrar compromiso, asegurar la integración del sistema con la estrategia del negocio y promover la consulta y participación de manera sostenida. Cuando los líderes negocian plazos de entrega a costa de controles de SST ya establecidos, están comunicando más alto que la política escrita; cuando en cambio paralizan una entrega para revisar un riesgo recién identificado, también están comunicando. La atención del personal a esas decisiones es mayor de lo que la dirección suele reconocer.

Punto clave 5. La cultura se modela con el ejemplo cotidiano de cada decisión visible del liderazgo, no con discursos sobre la cultura. El sistema escribe la letra de la política; la conducta del liderazgo define la música que efectivamente se ejecuta.

Puente entre ISO 45001 y el SG-SST colombiano

Una confusión habitual en el contexto colombiano es tratar ISO 45001 y el SG-SST del Decreto 1072 de 2015 como alternativas intercambiables. No lo son. La norma ISO 45001 es un referente internacional voluntario, certificable por organismos externos, que ofrece un marco para toda organización interesada en gestionar la SST con un ciclo de mejora continua y con reconocimiento internacional. El SG-SST regulado por el Decreto 1072 y las resoluciones que lo desarrollan es una obligación legal para los empleadores en Colombia, con estándares mínimos definidos por el Ministerio del Trabajo y supervisados por las entidades de vigilancia correspondientes.

La buena noticia operativa es que su estructura es afín. Ambas manejan el ciclo PHVA, trabajan con una política, planificación, ejecución, evaluación y mejora, y comparten buena parte de sus elementos centrales: identificación de peligros, evaluación de riesgos, planes de trabajo, indicadores, auditorías internas, revisión por la dirección. Una organización con SG-SST vigente, al alinear sus prácticas con ISO 45001, encuentra un camino natural hacia la certificación, porque gran parte de la evidencia ya existe y solo requiere reordenarse. Y una organización que certifica ISO 45001 cubre, con documentación y trazabilidad, los requisitos del SG-SST, con la condición de que vigile la actualización de los requisitos regulatorios específicos.

Si tuvieras que elegir el orden de adopción, el SG-SST es la base regulatoria ineludible para los empleadores colombianos. ISO 45001 puede llegar después como movimiento voluntario de ordenamiento y reconocimiento, o pueden trabajarse en paralelo si la organización tiene capacidad para sostener ambos esquemas sin duplicar trabajo. La clave operativa está en mapear los requisitos una vez y diseñar un sistema que sirva para los dos fines, con capítulos específicos cuando la regulación local sea más exigente que el referente internacional.

Cómo aplicar ISO 45001 en una pyme sin experiencia previa

El recorrido suele tener cuatro tramos, no necesariamente lineales. Primero, el diagnóstico inicial: qué se hace ya en materia de SST, qué tan disperso está, qué tan documentado, qué obligaciones legales aplican a la actividad económica específica de la empresa. Segundo, la planificación: definir el alcance del sistema (sedes, procesos, etapas incluidas), redactar la política, fijar objetivos e indicadores y asignar responsabilidades. Tercero, la implementación: poner en marcha la identificación de peligros, la evaluación de riesgos, los controles, la formación, los mecanismos de participación y los canales de reporte. Cuarto, la verificación y mejora: auditorías internas, revisión por la dirección, acciones correctivas, ajuste de objetivos. Una pyme no necesita empezar por el tramo más ambicioso: puede acotar el alcance a una sede o a un proceso crítico y luego expandirlo de manera progresiva, con documentación alineada al alcance declarado y revisando ese alcance cuando la organización crece.

Errores que aparecen una y otra vez en las implantaciones

Cinco patrones se repiten en organizaciones que fracasan en el intento. (1) Empezar por la documentación antes de entender el trabajo real, generando un sistema de papel que no toca la operación ni la previene. (2) Tratar la participación como firma de actas en reuniones periódicas, sin influencia efectiva sobre las decisiones del sistema. (3) Limitarse al indicador de accidentabilidad visible, sin mirar exposición, casi-incidentes ni condiciones subóptimas del entorno. (4) Olvidar la integración con calidad y ambiente cuando la organización ya tiene esos sistemas normalizados, desaprovechando la estructura común. (5) Reducir la auditoría interna a un checklist genérico, perdiendo su función como mecanismo de aprendizaje y de detección temprana de brechas. Reconocer estos patrones a tiempo permite redirigir recursos y energía antes de que el sistema se desgaste.

Conexión entre ISO 45001, ISO 9001 e ISO 14001

Las tres normas comparten la estructura de alto nivel que ISO promovió hace algunos años. Esto no significa que sean idénticas, sino que comparten capítulos en el mismo orden: contexto de la organización, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora. Una organización con las tres certificaciones puede mantener un manual integrado, procedimientos comunes donde aplique y registros unificados que eviten la duplicación. Lo específico de cada norma reside en sus requisitos temáticos: gestión de la calidad en ISO 9001, gestión ambiental en ISO 14001 y gestión de la seguridad y la salud en el trabajo en ISO 45001. El ahorro operativo de integrar las tres es real, y la tendencia en las organizaciones maduras es avanzar en esa dirección.

Glosario operativo usado a lo largo de esta nota

PHVA: ciclo planificar, hacer, verificar y actuar, base de todo sistema de gestión normalizado. Contexto de la organización: combinación de cuestiones internas y externas que afectan el enfoque del sistema, incluyendo las partes interesadas y sus expectativas o necesidades. Alcance: límites del sistema definidos por la propia organización en cuanto a productos, servicios, ubicaciones y etapas cubiertas. Acción correctiva: acción orientada a eliminar la causa raíz de una no conformidad o de un incidente para evitar su repetición. Mejora continua: actividad recurrente para mejorar el desempeño del sistema, sin fecha de cierre definitiva. Casi-incidente: suceso que no produjo lesión ni enfermedad pero tenía el potencial para hacerlo; valiosa fuente de aprendizaje porque expone fallos latentes sin el costo humano del daño. Parte interesada: persona, grupo u organización que puede afectar o verse afectado por el desempeño en SST de la organización. Riesgo significativo: aquel que, tras la evaluación, requiere intervención prioritaria y trazabilidad de la acción tomada.