Qué significa compliance preventivo
Compliance se refiere a la organización del cumplimiento de obligaciones. Aplicado a SST, ayuda a identificar qué decisiones pueden apartarse de las exigencias preventivas y cómo detectar, corregir y evitar esas desviaciones. No es un nombre nuevo para archivar evaluaciones ni una especialidad que sustituya al servicio de prevención.
El código de conducta es una pieza del sistema: comunica expectativas sobre seguridad, respeto, información y actuación. Para resultar útil debe conectarse con compras, producción, mantenimiento y contratación. Por ejemplo, un compromiso de no aceptar riesgos no controlados necesita un procedimiento que permita detener una tarea, resolver el problema y reanudarla con condiciones verificadas, incluso cuando exista presión de plazo.
Mapa de obligaciones y decisiones críticas
El mapa comienza con actividades, centros, personas expuestas y normas aplicables. Conviene distinguir obligaciones legales, compromisos contractuales y reglas internas voluntarias, porque su origen y consecuencias no son idénticos. Una lista de legislación sin relación con decisiones operativas no demuestra cumplimiento ni permite priorizar controles.
Como estructura de trabajo puede registrarse cada obligación junto a su responsable, evidencia esperada, comprobación y respuesta ante incumplimiento. La compra de una máquina, la entrada de una contrata o un cambio de turno pueden requerir verificaciones diferentes. La actualización se activa por cambios relevantes de actividad o regulación, sin inventar una caducidad universal de evaluaciones ni considerar que renovar una fecha actualiza por sí solo su contenido.
Contenido útil de un código de conducta
Un código preventivo debe explicar comportamientos comprensibles: comunicar situaciones peligrosas, no manipular registros, respetar medidas de protección y tratar con seriedad los avisos. También debe concretar qué se espera de quienes asignan recursos y objetivos, para evitar que toda la responsabilidad aparente recaiga en la persona que ejecuta la tarea.
La redacción puede apoyarse en situaciones habituales: una entrega urgente no justifica omitir una comprobación; un indicador de accidentes no autoriza ocultar un incidente. Conviene usar ejemplos adaptados al centro y a sus idiomas. El código no puede reducir derechos legales ni convertir automáticamente cualquier error en una infracción disciplinaria; las consecuencias requieren analizar hechos, normas y garantías aplicables.
Responsabilidades, independencia y participación
La dirección debe asignar responsabilidades y medios coherentes con la organización real. La función de compliance puede coordinar seguimiento y escalado, mientras los profesionales preventivos realizan las funciones correspondientes a su competencia. Contratar apoyo externo no elimina las obligaciones empresariales ni convierte al asesor en responsable automático de cualquier resultado.
La consulta y participación de la representación de los trabajadores mantienen su propio espacio. Un comité de cumplimiento no sustituye a delegados de prevención ni al comité de seguridad y salud cuando procedan. Es útil definir cómo llega un riesgo relevante a una decisión con capacidad de resolverlo, cómo se gestionan conflictos de interés y quién comprueba que una medida declarada terminada funciona realmente.
Canales de información y alcance de la protección
Una organización necesita vías accesibles para comunicar riesgos, incidentes e irregularidades, con respuesta comprensible. En España, la Ley 2/2023 regula sistemas internos y protección de informantes dentro de sus ámbitos material, personal y de entidades obligadas. No toda sugerencia preventiva ni todo desacuerdo interpersonal queda automáticamente amparado por ese régimen, aunque deba recibir atención por otro procedimiento.
El diseño debe distinguir aviso operativo urgente, comunicación de incumplimiento y otras solicitudes, sin usar la clasificación para dejar un riesgo sin atender. El canal interno no impide recurrir a las vías externas competentes, incluida la ITSS. Una situación que exige protección inmediata no debe esperar a que finalice una investigación de cumplimiento.
Confidencialidad y tratamiento de información
Las comunicaciones pueden contener identidades, acusaciones, datos de salud y documentos de terceros. Debe definirse finalidad, base jurídica, acceso necesario y conservación conforme al régimen aplicable. Tener una plataforma compartida no justifica que cualquier mando lea expedientes completos ni que información clínica se copie a un cuadro de mando general.
En el sistema interno regulado por la Ley 2/2023 deben aplicarse las reglas específicas de su artículo 32.2, incluida la supresión inmediata de las categorías especiales de datos recibidas, sin registrarlas ni tratarlas en ese sistema. El canal no debe convertirse en un archivo clínico. La documentación sanitaria que sea necesaria para otra finalidad legítima requiere su propio cauce habilitado y acceso restringido.
La confidencialidad no equivale a prometer secreto absoluto frente a toda actuación legal. Es necesario explicar límites y canales sin divulgar más datos de los necesarios. La información destinada a corregir condiciones de trabajo puede separarse de los detalles personales de la investigación. Los plazos de conservación deben justificarse; no se establece una retención indefinida de todo el material «por si acaso».
Ombudsperson o figura interna de escucha
Una empresa puede crear voluntariamente una figura de escucha, mediación u orientación, a veces denominada ombudsperson o defensor del trabajador. Su utilidad depende del mandato, independencia, accesibilidad y confianza. No existe aquí una obligación universal de establecer esa figura en toda empresa ni se presume que tenga facultades públicas o representación legal de la plantilla.
El diseño debe aclarar qué puede recibir, qué debe derivar y qué límites tiene la confidencialidad. No sustituye al responsable del sistema interno exigido cuando corresponda, a la representación preventiva ni a los servicios sanitarios. Tampoco debe utilizarse para imponer mediación en cualquier supuesto o condicionar el acceso a autoridades. Sus resultados se valoran por problemas canalizados y resueltos, no solo por consultas contabilizadas.
Investigación, respuesta y corrección verificable
Recibir una comunicación exige valorar la necesidad de protección inmediata y asignar una revisión sin conflictos de interés. La investigación debe diferenciar hechos comprobados, declaraciones, documentos e hipótesis. Las personas afectadas conservan las garantías aplicables; una acusación no equivale a una conclusión, y ausencia de prueba suficiente no demuestra por sí sola mala fe de quien informó.
Las medidas pueden abordar causas técnicas, organización, formación o supervisión, con responsables y comprobación posterior. Conviene separar cierre del expediente y cierre efectivo del riesgo: una respuesta enviada no acredita que se haya reparado una protección. Los aprendizajes pueden comunicarse de forma agregada, evitando revelar identidades o información que no sea necesaria para mejorar el trabajo.
Compras, contratas y presión de resultados
El cumplimiento preventivo debe aparecer en las decisiones que originan exposición. Compras necesita criterios sobre equipos y servicios; producción debe conocer restricciones operativas; contratación debe prever coordinación con empresas concurrentes. Una cláusula que exige «cumplir toda la normativa» no demuestra que se haya comprobado una interferencia concreta.
Como práctica de gestión, los cambios urgentes pueden tener un circuito de revisión proporcional que identifique condiciones pendientes antes de autorizar la ejecución. Los incentivos también deben revisarse: premiar únicamente ausencia de partes puede favorecer subregistro. El sistema ha de permitir comunicar problemas de proveedores o mandos sin depender exclusivamente de la persona cuya decisión se cuestiona, manteniendo vías claras de corrección y escalado.
Estándares voluntarios y responsabilidad jurídica
ISO 37301 ofrece un marco de gestión de compliance; su adopción o certificación no equivale a una resolución administrativa o judicial sobre cumplimiento de SST. Una auditoría debe explicar alcance, evidencias y limitaciones. No se atribuyen a una norma voluntaria obligaciones legales que no establece el ordenamiento aplicable.
En el ámbito penal español, los requisitos de imputación y las consecuencias dependen del delito y de los hechos. No puede afirmarse responsabilidad penal automática de toda persona jurídica por cualquier infracción preventiva, ni exención automática por disponer de un código o modelo. Las responsabilidades empresariales, individuales, administrativas, civiles o de Seguridad Social requieren análisis diferenciado; esta ficha no determina la solución de un caso concreto.
Ejemplo hipotético de un aviso sobre un resguardo
Una trabajadora comunica que se solicita utilizar una máquina con un resguardo anulado para recuperar un retraso. La organización atiende primero la condición peligrosa mediante sus procedimientos preventivos y evita esperar al cierre del expediente para proteger a las personas. Paralelamente, un equipo sin conflicto de interés revisa la orden, el contexto y las evidencias.
La corrección puede incluir reparación, revisión de objetivos y cambio del mecanismo de autorización, con comprobación posterior. Se informa por los cauces adecuados sin divulgar datos personales innecesarios. El caso es hipotético: muestra cómo el cumplimiento conecta comunicación con decisiones materiales, y no permite presumir de antemano un delito, una sanción o la protección jurídica exacta del informante.
Indicadores que muestran eficacia y límites
Pueden seguirse riesgos corregidos con comprobación, decisiones críticas revisadas antes de ejecutarse, tiempos de respuesta a situaciones urgentes y reincidencia de causas. Son indicadores propuestos, no requisitos de certificación ni umbrales legales. El número de códigos firmados mide distribución; no demuestra comprensión o aplicación en decisiones difíciles.
Más comunicaciones pueden indicar mayor confianza, mientras menos comunicaciones pueden reflejar silencio o desconocimiento. Debe evitarse evaluar a un centro solo por volumen de denuncias. La revisión de dirección necesita ejemplos de controles que funcionaron, fallos detectados y acciones pendientes, con información proporcional y anonimizada cuando proceda. El objetivo es cambiar condiciones y decisiones, preservando derechos, no producir un expediente aparentemente perfecto.
Preguntas frecuentes
¿El código de conducta sustituye al plan de prevención?
No. Debe conectarse con la organización y las medidas preventivas, sin sustituir evaluación, planificación, formación ni participación legal.
¿Toda comunicación de SST queda protegida por la Ley 2/2023?
No automáticamente. Debe comprobarse su ámbito y condiciones, aunque la organización deba atender el riesgo o la solicitud por otros cauces.
¿Es obligatorio tener un defensor del trabajador interno?
No existe una obligación universal con esa denominación. Puede ser una figura voluntaria, con funciones y límites claros, sin reemplazar órganos o responsables exigidos legalmente.
¿Una certificación de compliance evita la responsabilidad penal?
No automáticamente. La valoración depende del régimen aplicable, del funcionamiento real de los controles y de los hechos; una certificación o un código no deciden el resultado jurídico.
