Qué es la jerarquía de controles en ISO 45001

La matriz de riesgos tenía ciento cuarenta filas y, en la columna de control, ciento nueve decían lo mismo: uso de equipo de protección personal y capacitación. Caída a distinto nivel: arnés y plática. Exposición a ruido: tapones y plática. Atrapamiento en transmisión: guantes y plática. El auditor no cuestionó la valoración del riesgo, que estaba bien hecha; preguntó por qué, en ciento nueve peligros distintos, ningún nivel superior de control había resultado viable, y pidió ver el análisis que sustentaba esa conclusión. No existía, porque nunca se había hecho: la columna se llenó con lo que ya se hacía.

Qué dice la norma

La ISO 45001 establece en su capítulo de planificación y control operacional que la organización debe implementar y mantener un proceso para eliminar los peligros y reducir los riesgos aplicando una jerarquía de controles, en este orden: eliminar el peligro; sustituirlo con procesos, operaciones, materiales o equipos menos peligrosos; utilizar controles de ingeniería y reorganización del trabajo; utilizar controles administrativos, incluida la formación; y utilizar equipo de protección personal adecuado. El orden no es una sugerencia de buenas prácticas: es parte del requisito, y por eso un control de nivel bajo elegido sin haber descartado los superiores es un incumplimiento, aunque funcione.

La lógica del orden es la fiabilidad del control. Los niveles altos actúan sobre el peligro mismo y no dependen del comportamiento humano: si la fuente desaparece, no hay exposición posible. Los niveles bajos dependen de que cada persona, cada turno, cada día, haga lo correcto — se ponga el equipo, siga el procedimiento, recuerde la capacitación de hace ocho meses. Por eso el equipo de protección personal es el último recurso: no reduce el peligro, solo intenta limitar la consecuencia cuando el peligro alcanza a la persona.

Los cinco niveles, con lo que significan en piso

• —Eliminar: quitar el peligro de raíz. Retirar la transmisión expuesta que ya no se usa, suprimir la necesidad de subir al techo instalando la toma de muestra a nivel de piso, rediseñar la pieza para que no requiera soldadura en espacio confinado.
• —Sustituir: cambiar por algo menos peligroso. Un solvente base agua en lugar de uno inflamable, una escalera fija en lugar de una portátil, una presentación en gránulos en lugar de polvo respirable.
• —Controles de ingeniería y reorganización del trabajo: guardas con enclavamiento, extracción localizada, aislamiento acústico, ayudas mecánicas para carga, barandales, y también decisiones de organización como separar el tránsito peatonal del montacargas o reprogramar la tarea al turno de menor concurrencia.
• —Controles administrativos, incluida la formación: procedimientos, permisos de trabajo, bloqueo y etiquetado, señalización, rotación para limitar exposición, inspecciones y capacitación. Reducen la probabilidad, no la energía del peligro.
• —Equipo de protección personal: casco, arnés, protección auditiva, respirador, guantes. Último nivel, y con obligaciones propias — selección técnica según la exposición, ajuste, pruebas de sellado cuando aplica, mantenimiento, reemplazo y suministro sin costo para el trabajador.

Los niveles se combinan, no se sustituyen

Aplicar la jerarquía no significa elegir un solo nivel. Casi siempre el control final es una combinación: se instala extracción localizada, se define el procedimiento de operación y mantenimiento del sistema, y se conserva el respirador para tareas puntuales de mantenimiento. Lo que la norma exige es que se haya intentado en orden y que los niveles bajos no se usen como sustituto barato de los altos. La pregunta que ordena el análisis es simple y hay que hacerla en secuencia: se puede eliminar; si no, se puede sustituir; si no, se puede controlar por ingeniería; y solo cuando las tres respuestas son negativas y está escrito por qué, se baja a lo administrativo y al equipo de protección.

Cuándo se dispara la revisión

La jerarquía no se aplica una vez al año cuando se actualiza la matriz. Se aplica cada vez que aparece un peligro nuevo o cambia uno existente: un equipo nuevo, un cambio de proceso o de material, una obra, un turno adicional, un contratista trabajando dentro. Ese es el vínculo con la gestión del cambio, que la norma exige de forma explícita y que en la práctica es donde más se pierde — el equipo se instala en fin de semana y el análisis de riesgos se hace, si acaso, semanas después. Lo mismo aplica después de un incidente: la investigación tiene que evaluar si los controles existentes eran los correctos según la jerarquía, y una acción correctiva que consiste en recapacitar al lesionado casi siempre indica que no se revisaron los niveles superiores.

Hay además un requisito que suele olvidarse: los trabajadores deben participar en la determinación de los controles. Quien opera conoce el atajo que todos toman cuando la guarda estorba, y ese dato define si el control de ingeniería propuesto va a sobrevivir al segundo turno o va a terminar puenteado.

Lo que hay que poder demostrar

Ante una auditoría, el peligro no se defiende con la lista de controles sino con el rastro de la decisión: qué niveles se evaluaron, por qué se descartaron los superiores, quién participó, qué control quedó, quién es el responsable, para cuándo y con qué se verificó que redujo el riesgo. Cuando eso vive en una matriz en hoja de cálculo que se actualiza en noviembre, el rastro no existe y el riesgo residual queda sin revisar durante un año. Un Software de gestión de riesgos y oportunidades mantiene cada peligro con su valoración inicial, los controles aplicados por nivel, el responsable y la fecha de cada acción, y el riesgo residual recalculado, de modo que la revisión por la dirección vea qué se movió de nivel y no solo cuántas filas tiene la matriz.

En resumen

La jerarquía de controles de la ISO 45001 obliga a intentar en orden: eliminar, sustituir, controles de ingeniería y reorganización del trabajo, controles administrativos con formación y, al final, equipo de protección personal. Bajar de nivel es válido solo cuando los superiores se evaluaron y se descartaron con justificación escrita. La señal de alarma es fácil de ver desde afuera: si la mayoría de los peligros de la matriz se controla con equipo de protección y capacitación, el análisis no se hizo — se transcribió lo que ya se hacía.