Auditoría de seguridad y salud en el trabajo

Qué es la auditoría de seguridad y salud en el trabajo

El artículo 30.6 de la Ley 31/1995 establece que el empresario que no hubiere concertado el servicio de prevención con una entidad especializada deberá someter su sistema de prevención al control de una auditoría o evaluación externa. El Real Decreto 39/1997 la define como un instrumento de gestión que persigue reflejar la imagen fiel del sistema de prevención, valorando su eficacia y detectando las deficiencias que puedan dar lugar a incumplimientos, a fin de permitir la adopción de decisiones dirigidas a su perfeccionamiento y mejora.

La auditoría reglamentaria comprueba cómo se ha realizado la evaluación de riesgos, si el tipo y planificación de las actividades preventivas se ajustan a la normativa y a la evaluación, si los recursos propios o concertados son adecuados y suficientes, y si la prevención está integrada en el sistema general de gestión de la empresa. Debe realizarla una persona o entidad autorizada por la autoridad laboral, con la metodología, la independencia y el contenido de informe que fija el Reglamento.

Fuera de la obligación legal, muchas organizaciones realizan auditorías internas de su sistema de gestión y auditorías de tercera parte para obtener o mantener certificaciones. Estas auditorías son voluntarias, no sustituyen la reglamentaria y su resultado no tiene efectos ante la autoridad laboral, aunque ayudan a mantener el sistema vivo entre auditorías obligatorias.

Diferencias entre auditoría reglamentaria, auditoría interna y certificación

El término auditoría se aplica a tres procesos con reglas distintas.

• Auditoría reglamentaria de prevención. Obligatoria en España para empresas con servicio de prevención propio o con trabajadores designados que no conciertan toda la actividad con un servicio ajeno. La realiza una entidad autorizada, sigue el contenido del Reglamento y su informe debe conservarse a disposición de la autoridad laboral y de los representantes de los trabajadores.
• Auditoría interna. Revisión que la propia organización hace de su sistema con criterios propios o de una norma de referencia. Es voluntaria, sirve para la mejora continua y no acredita el cumplimiento legal.
• Auditoría de certificación. Evaluación por una entidad de certificación acreditada frente a una norma como ISO 45001. Es voluntaria, verifica la conformidad con la norma y no exime de la auditoría reglamentaria cuando esta es obligatoria.

Regla práctica: si la empresa tiene recursos preventivos propios, necesita la auditoría reglamentaria aunque esté certificada; si concierta toda la prevención con un servicio ajeno, no está obligada, pero puede auditarse voluntariamente. Un certificado ISO 45001 no sustituye el informe de auditoría reglamentaria.

Cómo se realiza la auditoría reglamentaria

El Reglamento de los Servicios de Prevención fija el alcance, la periodicidad y el contenido del informe. La primera auditoría debe realizarse dentro de los doce meses siguientes al momento en que se disponga de la planificación de la actividad preventiva, y repetirse cada cuatro años, o cada dos si la empresa desarrolla actividades del anexo I; además, debe repetirse cuando lo requiera la autoridad laboral a la vista de la siniestralidad u otras circunstancias.

El proceso habitual incluye:

1. Planificación: definición del alcance (centros, actividades, modalidad preventiva), del equipo auditor y del calendario, con consulta a los representantes de los trabajadores.
2. Análisis documental: plan de prevención, evaluación de riesgos, planificación, conciertos, memoria del servicio de prevención, formación, vigilancia de la salud, coordinación de actividades e investigación de accidentes.
3. Verificación en el centro: entrevistas con dirección, mandos, personas trabajadoras y sus representantes, observación de puestos y comprobación de que las medidas planificadas están implantadas.
4. Evaluación de la integración: comprobación de que las funciones preventivas se ejercen en todos los niveles y de que los procedimientos de la empresa incorporan la prevención.
5. Informe: descripción del sistema, metodología, resultados, deficiencias detectadas y conclusiones sobre la eficacia, firmado por el auditor y con las formalidades del Reglamento.
6. Seguimiento: la empresa debe incorporar las deficiencias a la planificación, corregirlas y conservar el informe para la siguiente auditoría y para la autoridad laboral.

Las empresas de hasta 50 trabajadores sin actividades del anexo I pueden quedar exentas mediante la notificación a la autoridad laboral prevista en el anexo II del Reglamento, salvo que la autoridad decida lo contrario por la peligrosidad de la actividad o la siniestralidad.

Contenido del informe y elementos que se auditan

El artículo 31 del Reglamento fija el contenido mínimo del informe de auditoría. En la práctica, el auditor examina:

• Integración de la prevención. Plan de prevención, funciones y responsabilidades, cauces de comunicación y participación.
• Evaluación de riesgos. Metodología, alcance, actualización, personas especialmente sensibles y revisión ante daños o cambios.
• Planificación y seguimiento. Medidas, plazos, responsables, recursos y evidencias de ejecución y verificación.
• Organización preventiva. Adecuación y suficiencia de los recursos propios y de los conciertos, formación de los técnicos y actividad sanitaria.
• Actividades transversales. Información y formación, emergencias, vigilancia de la salud, coordinación de actividades, control de equipos y EPI, investigación de accidentes.
• Registros y documentación. Documentación obligatoria del artículo 23 de la Ley 31/1995 y trazabilidad de las actuaciones.

El informe debe describir el sistema, la metodología, los resultados y las conclusiones, e identificar las deficiencias detectadas y las recomendaciones para su corrección, sin que el auditor pueda mantener vinculaciones comerciales o de otro tipo que comprometan su independencia.

Errores frecuentes y criterios de calidad

Las deficiencias más habituales en torno a la auditoría reglamentaria son:

1. No identificar la obligación de auditarse al constituir un servicio propio o designar trabajadores para parte de la actividad preventiva.
2. Superar los plazos legales entre auditorías o no realizar la primera dentro de los doce meses siguientes a la planificación.
3. Confundir la certificación ISO 45001 con la auditoría reglamentaria y prescindir de esta última.
4. Recibir el informe y no trasladar las deficiencias a la planificación ni corregirlas.
5. Contratar auditorías con entidades no autorizadas o sin independencia respecto del servicio de prevención ajeno.
6. No informar ni consultar a los representantes de los trabajadores, que deben conocer el informe.

Una auditoría útil se reconoce porque produce un informe concreto, con deficiencias verificables y priorizadas, que la empresa incorpora a su planificación y cierra antes de la siguiente auditoría.

Marco normativo en España

• Ley 31/1995, artículo 30.6. Obliga a someter el sistema de prevención a una auditoría o evaluación externa cuando la empresa no concierta la actividad preventiva con una entidad especializada.
• Real Decreto 39/1997, capítulo V (artículos 29 a 33 bis). Regula la obligación de auditar, la exención por notificación, el concepto y objetivos de la auditoría, la periodicidad, el contenido del informe, los requisitos de los auditores y las auditorías voluntarias.
• Orden TIN/2504/2010. Desarrolla la autorización de las personas y entidades que pueden realizar la actividad de auditoría del sistema de prevención de las empresas.
• Ley 31/1995, artículos 23 y 39. Documentación que debe estar a disposición de la autoridad laboral y competencia del comité de seguridad y salud para conocer el informe de auditoría.

Las auditorías de sistemas de gestión de SST conforme a ISO 45001 son voluntarias e internacionales y se realizan por entidades de certificación acreditadas; en Iberoamérica, algunos países exigen auditorías o autoevaluaciones periódicas del sistema de gestión (por ejemplo, los estándares mínimos del SG-SST en Colombia), con reglas propias que no coinciden con la auditoría reglamentaria española.