El futuro de la norma ISO 45001 no es el cumplimiento normativo, sino la inteligencia operativa en materia de seguridad.

Durante muchos años, la norma ISO 45001 se aplicó principalmente como marco para el cumplimiento de las normas de salud y seguridad en el trabajo.

Las organizaciones implantaron sistemas de gestión de la seguridad para formalizar los procedimientos, reducir los incidentes y demostrar el cumplimiento de la normativa durante las auditorías e inspecciones. La certificación garantizaba a los organismos reguladores, a los clientes y a los equipos directivos que la seguridad en el lugar de trabajo se gestionaba de forma sistemática y responsable.

Ese enfoque tenía sentido en entornos operativos en los que la gestión de la seguridad se centraba principalmente en los procedimientos, las inspecciones y la prevención de incidentes, dentro de estructuras operativas relativamente estables en las que la plantilla era en su mayor parte fija, el entorno operativo era predecible y los riesgos de seguridad se conocían bien y estaban controlados de forma sistemática.

Esa realidad operativa ya no refleja el modo en que funcionan la mayoría de las organizaciones.

Hoy en día, las organizaciones operan en ecosistemas cada vez más complejos en los que intervienen subcontratistas, personal temporal, operaciones distribuidas y condiciones operativas que cambian rápidamente, lo que genera riesgos de seguridad que los modelos tradicionales de gobernanza no estaban diseñados para detectar ni gestionar. La seguridad en el lugar de trabajo ya no es un aspecto aislado del propio rendimiento operativo. Influye directamente en la continuidad del negocio, la resiliencia operativa, la estabilidad de la plantilla y la reputación de la empresa, de tal manera que la gobernanza de la seguridad se convierte en una disciplina operativa estratégica, en lugar de una obligación de cumplimiento gestionada al margen del negocio.

Lo que distingue la evolución de la norma ISO 45001 de otras normas de gobernanza es que el riesgo de seguridad es intrínsecamente humano y, por lo tanto, intrínsecamente variable de formas que la documentación y la gobernanza procedimental no pueden controlar por completo. El riesgo medioambiental tiene su origen en los sistemas operativos. El riesgo cibernético tiene su origen en los entornos tecnológicos. El riesgo de seguridad tiene su origen en la interacción entre el comportamiento humano, las condiciones operativas y los sistemas organizativos sometidos a presión, y esa interacción cambia cada día a medida que cambian la plantilla, el entorno operativo y las condiciones de presión que la rodean.

Las organizaciones que hoy en día obtienen el máximo valor de la norma ISO 45001 ya no la consideran principalmente un marco de cumplimiento de las normas de seguridad en el trabajo.

Lo están transformando en una capacidad coordinada de inteligencia operativa en materia de seguridad.

La norma ISO 45001 se diseñó inicialmente en torno al control de la seguridad

Cuando la norma ISO 45001 se generalizó, las organizaciones necesitaban sobre todo coherencia y trazabilidad en la gestión de la seguridad laboral en entornos operativos en los que la plantilla era relativamente estable, las estructuras operativas eran relativamente predecibles y el principal reto consistía en garantizar que se cumplieran los procedimientos de seguridad de forma coherente, más que en gestionar los riesgos de seguridad, que variaban de forma dinámica.

Era necesario identificar formalmente los riesgos para que la organización pudiera demostrar que comprendía su propio perfil de riesgo de seguridad y que había tomado decisiones deliberadas sobre cómo controlarlo. Los procedimientos de seguridad debían estandarizarse para que los requisitos de seguridad se aplicaran de manera coherente a toda la plantilla, en lugar de variar en función de la interpretación individual o las prácticas locales. Los incidentes requerían una escalación e investigación estructuradas para que los sucesos de seguridad generaran aprendizaje y una respuesta sistémica, en lugar de una gestión local que permaneciera invisible para el modelo de gobernanza más amplio. La propia auditabilidad se convirtió en un objetivo central de la gobernanza, ya que demostrar el cumplimiento ante los organismos reguladores y los clientes requería pruebas de que la gobernanza de la seguridad era sistemática y coherente.

Por lo tanto, el sistema de gestión de la salud y la seguridad en el trabajo se centraba en gran medida en los procedimientos, las inspecciones, las medidas correctivas y las pruebas de cumplimiento. Esto reflejaba con precisión la realidad operativa de la época. La gestión de la seguridad giraba principalmente en torno a demostrar el control de los procedimientos dentro de un entorno operativo delimitado, en el que la plantilla, los riesgos y las estructuras operativas se mantenían relativamente estables entre un ciclo de gobernanza y otro.

Las organizaciones modernas exigen cada vez más algo fundamentalmente diferente en materia de gestión de la seguridad.

Requieren una visibilidad continua de la seguridad operativa en entornos en los que la composición de la plantilla cambia a diario debido a la rotación de los contratistas, en los que las condiciones operativas varían bajo la presión de la producción, en los que los trabajadores temporales se incorporan a entornos peligrosos más rápido de lo que los procesos de formación inicial tradicionales pueden regular adecuadamente y en los que las decisiones que generan riesgos para la seguridad las toman en tiempo real personas que trabajan en condiciones que ningún documento de procedimiento puede prever por completo.

Por qué la gobernanza de la seguridad se ve especialmente afectada por la variabilidad humana y operativa

El reto específico en materia de gestión que distingue a la norma ISO 45001 de otras normas de gestión es que la exposición a riesgos de seguridad no es, ante todo, un riesgo sistémico o técnico. Se trata de un riesgo humano que surge de la interacción entre las personas, las condiciones y la presión, de formas que son intrínsecamente variables y difíciles de gestionar únicamente mediante la documentación.

Un riesgo de calidad puede abordarse mejorando un proceso. Un riesgo cibernético puede mitigarse aplicando un control técnico. Un riesgo de seguridad requiere cambiar el comportamiento humano en condiciones operativas dinámicas y bajo presión, lo que supone un reto de gobernanza fundamentalmente más complejo. Los procedimientos describen lo que debería suceder. No regulan lo que ocurre realmente cuando un contratista trabaja bajo presión de tiempo en un entorno desconocido, cuando un trabajador temporal realiza una tarea por segunda vez en un nuevo contexto operativo o cuando los horarios operativos cambian de tal forma que aumentan la exposición al riesgo sin que ello desencadene ninguna revisión formal de la gobernanza.

Los ecosistemas de contratistas introducen una dimensión específica de gobernanza que la mayoría de los sistemas tradicionales de gestión de la seguridad no fueron diseñados para gestionar a la escala a la que se enfrentan las organizaciones modernas. Cuando la plantilla de subcontratistas se distribuye simultáneamente por múltiples emplazamientos, cuando los subcontratistas se desplazan entre entornos operativos con diferentes perfiles de riesgo y cuando la responsabilidad de la gestión de la seguridad se comparte entre la organización principal y múltiples entidades subcontratistas, el modelo de gestión debe mantener la visibilidad más allá de los límites que no controla directamente.

La presión de la producción genera otra dinámica de gestión de la seguridad específica de la norma ISO 45001. Cuando se aceleran los calendarios operativos, cuando los niveles de dotación de personal cambian rápidamente y cuando las limitaciones de tiempo reducen los procedimientos diseñados para gestionar los riesgos de seguridad, la brecha entre la gestión de la seguridad documentada y la realidad operativa de la seguridad se amplía de formas que resultan invisibles para cualquier modelo de gestión que funcione con ciclos de revisión periódicos en lugar de una visibilidad operativa continua.

En este contexto, la gestión de la seguridad en el trabajo ya no puede funcionar eficazmente como un mero nivel estático de cumplimiento normativo. La gestión de la seguridad se está convirtiendo en una gestión operativa.

Por qué las estructuras tradicionales de gestión de la seguridad están llegando a sus límites

Muchas organizaciones siguen aplicando sistemas de gestión de la seguridad diseñados en torno a ciclos de gobernanza que partían del supuesto de que los entornos operativos eran lo suficientemente estables entre revisiones como para que la supervisión periódica resultara adecuada para mantener el control de la seguridad.

Las auditorías de seguridad se llevan a cabo según calendarios que evalúan la gestión de la seguridad a intervalos definidos, en lugar de supervisar de forma continua las condiciones operativas que determinan el riesgo real para la seguridad. Una auditoría realizada durante un periodo de funcionamiento normal puede arrojar resultados aceptables, pero no detectar en absoluto las deficiencias de gestión que surgen durante los picos de producción, los cambios de contratistas o los cambios operativos que se producen entre los ciclos de auditoría.

Las medidas correctivas se gestionan de forma aislada en cada departamento, lo que impide que la organización identifique los patrones sistémicos a los que responden las medidas correctivas individuales. Un conato de incidente en una sede da lugar a una medida correctiva que se resuelve a nivel local. Un conato de accidente similar en otra sede da lugar a una medida correctiva independiente que también se resuelve a nivel local. Ninguna de las dos medidas correctivas pone de manifiesto el patrón a nivel de toda la empresa del que ambos sucesos son síntomas, ya que el modelo de gobernanza no los relaciona estructuralmente.

En la mayoría de las organizaciones, los registros de riesgos se revisan anualmente, lo que da lugar a evaluaciones de riesgos de seguridad que reflejan las condiciones operativas existentes en el momento de la última revisión, en lugar de la realidad operativa actual. Un registro de riesgos que resultaba preciso durante un periodo de operaciones estables puede subestimar considerablemente la exposición actual a riesgos de seguridad tras un cambio operativo significativo, una transición importante de contratistas o un periodo de presión productiva sostenida que haya debilitado la coherencia de los procedimientos entre la plantilla.

La revisión de la gestión se limita a consolidar los informes históricos, en lugar de sintetizar la información actual sobre seguridad operativa para incorporarla a las decisiones estratégicas. Los responsables ven lo que ha ocurrido, pero no ven lo que se está gestando en segundo plano.

La organización mantiene la documentación sobre seguridad. Poco a poco va perdiendo la coordinación operativa.

El verdadero cambio estratégico que encierra la norma ISO 45001

El valor estratégico futuro de la norma ISO 45001 ya no radica principalmente en demostrar el cumplimiento de las normas de seguridad laboral. Dicho cumplimiento seguirá siendo un requisito legal y normativo. En la mayoría de las jurisdicciones, se trata de una obligación mínima, no de un factor diferenciador estratégico.

El verdadero valor reside, cada vez más, en coordinar de forma continua y con la antelación suficiente la información operativa sobre seguridad en toda la organización, a fin de detectar las circunstancias que dan lugar a incidentes graves antes de que dichas circunstancias provoquen daños.

Esto modifica el papel de la gobernanza de la seguridad de una forma específica para la naturaleza del riesgo de seguridad. A diferencia de los riesgos cibernéticos o medioambientales, cuyas consecuencias son principalmente financieras, operativas o de reputación, los fallos de seguridad tienen consecuencias para las personas. Esa distinción modifica el imperativo moral y estratégico en torno a la gobernanza predictiva de la seguridad de tal manera que el paso del cumplimiento normativo a la inteligencia operativa no es simplemente una oportunidad estratégica, sino una obligación ética para las organizaciones que se toman en serio la seguridad de su plantilla.

Cuando los hallazgos en materia de seguridad pasan de ser observaciones aisladas a convertirse en indicadores operativos que redefinen continuamente la priorización de los riesgos, la organización adquiere la capacidad de detectar los patrones que preceden a los incidentes graves, en lugar de limitarse a investigar los propios incidentes. Un conjunto de cuasiaccidentes entre el personal de un contratista se convierte en una señal detectable de una deficiencia sistémica en la gestión de la seguridad, en lugar de una serie de sucesos independientes. Un patrón de desviaciones de los procedimientos bajo la presión de la producción se hace visible como un riesgo estructural para la seguridad, en lugar de un conjunto de incumplimientos individuales.

Cuando las medidas correctivas se convierten en mecanismos de aprendizaje organizativo, en lugar de meros procesos administrativos, la organización refuerza la resiliencia de su gobernanza en materia de seguridad en todo su ámbito operativo, en lugar de limitarse a resolver problemas de seguridad puntuales en los lugares donde surgen. El sistema de gestión de la seguridad mejora progresivamente su capacidad para anticipar las condiciones que generan riesgos de seguridad, en lugar de limitarse a responder a los incidentes que dichas condiciones acaban provocando.

Cuando la gestión de riesgos pasa a ser predictiva en lugar de descriptiva, la organización controla la exposición a riesgos de seguridad a la que está sometida actualmente su plantilla, en lugar de la exposición registrada en la última evaluación formal de riesgos. En entornos operativos en los que la plantilla, las condiciones operativas y los niveles de presión cambian continuamente, esa distinción determina si la gestión de la seguridad es verdaderamente protectora o principalmente administrativa.

La inteligencia operativa en materia de seguridad requiere una gobernanza coordinada

Esta transformación solo es posible cuando los procesos de gestión de la seguridad se integran de forma estructural, en lugar de coordinarse periódicamente.

Cuando los resultados de las auditorías influyen de forma dinámica en la exposición operativa dentro de [Gestión de Riesgos], las organizaciones comienzan a identificar patrones estructurales de seguridad mucho antes de lo que permiten los ciclos tradicionales de inspección y auditoría. Los programas de auditoría de seguridad dejan de limitarse a confirmar la existencia de procedimientos y empiezan a generar información operativa sobre dónde se están desarrollando, en toda la organización, las condiciones que dan lugar a incidentes.

Cuando los flujos de trabajo correctivos gestionados a través de CAPA Management validan la eficacia de forma continua, en lugar de limitarse a confirmar el cierre administrativo, el aprendizaje en materia de seguridad se refuerza en todos los centros y departamentos de una forma que se potencia con el tiempo. Una medida correctiva resuelta en las instalaciones de un contratista sirve de referencia para la gestión de la seguridad en el resto de centros. La organización desarrolla su capacidad de gestión de la seguridad con cada problema resuelto, en lugar de dar vueltas en un bucle de categorías recurrentes de riesgos de seguridad bajo diferentes denominaciones operativas.

Cuando los procedimientos de seguridad regulados mediante el control de documentos evolucionan continuamente al ritmo de los cambios operativos, en lugar de actualizarse mediante ciclos programados de control de documentos, las organizaciones mantienen la coherencia entre la documentación sobre la gestión de la seguridad y las condiciones operativas que está destinada a regular. El sistema de gestión de la seguridad describe los requisitos operativos actuales, en lugar de los históricos, lo cual reviste especial importancia en entornos en los que las condiciones operativas cambian con la misma frecuencia que la composición de la plantilla, los calendarios de producción y las relaciones con los contratistas.

En ese momento, la norma ISO 45001 deja de funcionar como un marco de documentación estático que certifica las medidas de cumplimiento adoptadas en el pasado. Se convierte en un sistema de gestión operativa coordinado que supervisa de forma continua la ejecución, el control y la seguridad de los trabajadores en toda la empresa, en respuesta a unas condiciones operativas que cambian más rápido de lo que cualquier ciclo de gobernanza periódico puede seguir el ritmo.

La próxima evolución de la seguridad en el trabajo es predictiva

Históricamente, la mayoría de los sistemas de gestión de la seguridad funcionaban de forma reactiva por su propio diseño, ya que los entornos operativos que regulaban eran lo suficientemente estables como para que la detección y la respuesta a los incidentes de seguridad una vez que se producían bastaran para mantener un nivel adecuado de seguridad a lo largo del tiempo.

La próxima versión de la norma ISO 45001 presenta una estructura diferente, ya que los entornos operativos que debe regular ya no cumplen ese supuesto de estabilidad.

Las organizaciones que mantendrán una verdadera madurez en materia de gobernanza de la seguridad serán aquellas que desarrollen la capacidad de identificar las señales operativas débiles que preceden a los incidentes graves antes de que dichas señales provoquen daños. Una plantilla de contratistas que muestra un aumento de las desviaciones de los procedimientos bajo la presión de la producción. Una planta que registra más cuasiaccidentes que otras instalaciones comparables sin una explicación clara. Un patrón de medidas correctivas que sigue reapareciendo en el mismo contexto operativo a pesar de las repetidas resoluciones formales. Estas son las señales que la gobernanza predictiva de la seguridad está diseñada para detectar, y que resultan invisibles para los modelos de gobernanza que funcionan con ciclos de revisión periódicos en lugar de una visibilidad operativa continua.

La gobernanza integrada, el análisis operativo y los flujos de trabajo coordinados permiten a las organizaciones detectar riesgos estructurales para la seguridad mucho antes de lo que lo harían los ciclos tradicionales de inspección y auditoría, al conectar las señales que actualmente llegan a procesos de gobernanza independientes en un panorama continuo de inteligencia en materia de seguridad. El modelo de gobernanza pasa a ser sensible a los indicadores tempranos de deterioro del rendimiento en materia de seguridad, en lugar de estar estructurado para responder a incidentes confirmados una vez que el daño ya se ha producido.

Es aquí donde la inteligencia operativa en materia de seguridad adquiere un valor estratégico. No porque mejore la presentación de informes de seguridad, sino porque protege a las personas a las que el sistema de gestión tiene por objeto proteger, al identificar las condiciones que generan riesgos de seguridad con la suficiente antelación como para abordarlas antes de que provoquen lesiones, enfermedades o consecuencias aún peores.

Por qué los equipos directivos están reevaluando la gestión de la seguridad

Los directivos reconocen cada vez más que los incidentes graves en el lugar de trabajo rara vez se deben a un fallo aislado que un sistema de gestión de la seguridad bien gestionado debería haber evitado.

La mayoría de los fallos de seguridad más graves se desarrollan gradualmente a través de señales operativas fragmentadas que permanecen desconectadas durante el tiempo suficiente como para que su importancia colectiva no se reconozca hasta que ya se haya producido un incidente. Un patrón recurrente de cuasiaccidentes en múltiples centros pone de manifiesto la inestabilidad de los procesos operativos, algo que ninguna auditoría de un centro concreto identifica, ya que cada auditoría evalúa el rendimiento local en lugar de los patrones a nivel de toda la empresa. La presión operativa debilita la coherencia de los procedimientos entre el personal subcontratado de formas que resultan invisibles para los modelos de gobernanza que evalúan el cumplimiento en intervalos de inspección programados, en lugar de supervisar el comportamiento operativo de forma continua. Las medidas correctivas fracasan repetidamente a la hora de reducir la exposición estructural a la seguridad, no porque las medidas individuales sean inadecuadas, sino porque el modelo de gobernanza no vincula la eficacia de las medidas correctivas con la evaluación de riesgos, que debería actualizarse continuamente en función de sus resultados. Los ecosistemas de contratistas introducen un riesgo operativo oculto, ya que los contratistas individuales trasladan comportamientos y prácticas de seguridad de un entorno operativo a otro de formas que el modelo de gobernanza de la organización principal no puede rastrear.

Al mismo tiempo, la presión externa para que los directivos rindan cuentas en materia de gobernanza de la seguridad está aumentando en todos los sectores. Los marcos normativos de múltiples jurisdicciones están ampliando la responsabilidad personal de los directivos por las deficiencias en materia de seguridad laboral. Los inversores institucionales están incorporando la capacidad de gobernanza de la seguridad de la plantilla en las evaluaciones de riesgos empresariales. Los clientes y los socios de la cadena de suministro exigen una gestión de la seguridad demostrable, en lugar de limitarse a la mera posesión de una certificación. Las expectativas que se depositan en la responsabilidad de los directivos en materia de seguridad se centran cada vez más en el rendimiento operativo continuo, en lugar de en la demostración periódica del cumplimiento normativo.

Por eso, las organizaciones maduras consideran cada vez más la norma ISO 45001 no como una obligación en materia de seguridad en el trabajo, sino como una capacidad estratégica de gobernanza operativa que respalda la propia resiliencia de la empresa y, en concreto, como una capacidad que protege a las personas de las que depende el rendimiento operativo de la organización.

Del cumplimiento de las normas de seguridad en el trabajo a la inteligencia operativa en materia de seguridad

La norma ISO 45001 no está perdiendo relevancia a medida que los entornos operativos se vuelven más complejos y la plantilla se distribuye cada vez más y presenta una mayor variabilidad.

Su importancia estratégica es cada vez mayor precisamente porque los entornos que debe regular son más complejos, más variables y están expuestos a cambios más dinámicos de lo que el modelo de cumplimiento original de la norma estaba diseñado para gestionar.

Las organizaciones que sigan considerando la norma ISO 45001 principalmente como un marco de cumplimiento de la seguridad en el lugar de trabajo se encontrarán, cada vez más, gestionando una política de seguridad que resultaba adecuada para una configuración operativa anterior, mientras que su exposición real a los riesgos de seguridad evoluciona de formas que el modelo de gestión no puede detectar con la rapidez suficiente para prevenir daños graves. A medida que los ecosistemas de subcontratistas se vuelven más complejos, que aumenta la presión productiva y que las estructuras de mano de obra temporal se generalizan, la brecha entre un sistema de gestión de la seguridad orientado al cumplimiento normativo y la realidad operativa que se supone que debe regular seguirá ampliándose.

Las organizaciones que conviertan la norma ISO 45001 en un sistema coordinado de inteligencia operativa en materia de seguridad obtendrán algo mucho más valioso que el simple estatus de certificación. Obtendrán una visibilidad continua y en tiempo real de cómo evoluciona el riesgo de seguridad en todo su entorno operativo, la capacidad de actuar ante los riesgos de seguridad emergentes antes de que provoquen daños, y una arquitectura de gobernanza que se refuerza, en lugar de flaquear, a medida que aumentan la complejidad operativa y la variabilidad de la plantilla.

En entornos operativos cada vez más complejos, esa inteligencia operativa continua en materia de seguridad se está convirtiendo rápidamente en una de las ventajas más importantes en materia de gobernanza que una organización puede desarrollar. No porque mejore la preparación para las auditorías o el cumplimiento normativo, sino porque protege a las personas para las que, en última instancia, se diseñó el sistema de gobernanza.