Qué es ISO 45001 y qué resultados persigue
ISO 45001 establece un marco para dirigir la seguridad y salud en el trabajo como parte de la gestión ordinaria de una organización. Sus resultados previstos son la mejora continua del desempeño en SST, el cumplimiento de los requisitos legales y otros compromisos aplicables, y el logro de los objetivos de SST. Para alcanzarlos, pide identificar peligros, evaluar riesgos y oportunidades, establecer controles y comprobar si funcionan.
La norma no se reduce a un archivo de procedimientos. Exige que política, responsabilidades, recursos, decisiones operativas y revisión por la dirección formen un sistema coherente. La organización debe poder demostrar que el sistema se aplica en el trabajo real y que produce información útil para prevenir lesiones y deterioro de la salud.
Alcance y límites de la norma
Puede utilizarla cualquier organización, con independencia de su tamaño, actividad, forma jurídica o localización. El sistema se adapta a su contexto, a las necesidades y expectativas pertinentes de las personas trabajadoras y otras partes interesadas, y a los riesgos sobre los que la organización tiene control o influencia. También alcanza a quienes trabajan bajo su control y a otras personas que pueden verse afectadas por sus actividades.
ISO 45001 no fija una tasa universal de accidentes ni prescribe un diseño único. Tampoco regula por sí sola la seguridad del producto, los daños materiales o los impactos ambientales, salvo cuando se relacionan con la SST. La conformidad requiere incorporar y cumplir todos los requisitos aplicables de la norma dentro del alcance declarado.
Cómo funciona el ciclo de mejora
El sistema sigue el ciclo Planificar-Hacer-Verificar-Actuar (PHVA):
- Planificar: comprender el contexto, identificar peligros y obligaciones, evaluar riesgos y oportunidades, y fijar objetivos y acciones.
- Hacer: aportar recursos y competencias, comunicar, consultar y hacer participar, y controlar operaciones, compras, contratistas, cambios y emergencias.
- Verificar: medir el desempeño, evaluar el cumplimiento, realizar auditorías internas y revisar el sistema desde la dirección.
- Actuar: responder a incidentes y no conformidades, aplicar acciones correctivas y mejorar de manera continua.
Esta lógica evita tratar cada problema como un hecho aislado. Los resultados de la verificación vuelven a la planificación y pueden modificar controles, objetivos, recursos o procesos. La estructura armonizada facilita integrar el sistema con otras normas ISO de gestión.
Liderazgo, consulta y participación
La alta dirección conserva la responsabilidad sobre la eficacia del sistema: debe establecer la política, integrar los requisitos en los procesos, facilitar recursos y apoyar a quienes contribuyen a la SST. Delegar tareas en un servicio de prevención o en una persona responsable no elimina esa rendición de cuentas.
La consulta y participación de las personas trabajadoras, especialmente de quienes no ejercen funciones directivas, es un requisito central. La organización debe facilitar tiempo, formación, información y mecanismos para que intervengan en la identificación de peligros, evaluación de riesgos, investigación de incidentes, definición de controles y evaluación del desempeño. También debe eliminar o reducir barreras como el temor a represalias, un lenguaje inaccesible o la falta de respuesta a las comunicaciones.
Planificación y control de los riesgos
La planificación combina los riesgos de SST con los riesgos y oportunidades que pueden afectar al propio sistema. Debe considerar actividades rutinarias y no rutinarias, factores humanos, organización del trabajo, cambios, emergencias, contratistas y condiciones pasadas o previsibles. Los requisitos legales y otros requisitos aceptados por la organización han de identificarse, mantenerse actualizados y traducirse en controles verificables.
Al determinar controles se aplica una jerarquía: eliminar el peligro; sustituir procesos, materiales o equipos por alternativas menos peligrosas; utilizar controles técnicos y reorganizar el trabajo; aplicar controles administrativos y formación; y recurrir a EPI para el riesgo residual. Las compras, la externalización y los cambios necesitan controles proporcionales para que una decisión comercial o técnica no introduzca riesgos no evaluados.
Cómo implantarla de forma práctica
Una implantación útil comienza con un diagnóstico del contexto, las obligaciones aplicables y el sistema preventivo existente. Después se define el alcance, se asignan responsabilidades y recursos, y se comparan las prácticas reales con los requisitos. Con esa brecha se elabora un plan priorizado, no una colección indiscriminada de documentos.
Conviene integrar los controles en procesos que ya existen: diseño, producción, mantenimiento, compras, contratación, formación y gestión del cambio. Cada objetivo necesita indicador, responsable, recursos y plazo. La información documentada debe ser suficiente para operar y aportar evidencia, pero su extensión depende de la complejidad y el riesgo. Antes de declarar conformidad, la organización debe probar los controles, evaluar cumplimiento, completar una auditoría interna y efectuar la revisión por la dirección.
Evaluación, incidentes y mejora continua
La organización determina qué necesita medir y con qué criterios. Puede combinar indicadores de resultado, como daños o incidentes, con indicadores preventivos, como inspecciones completadas, exposición controlada, cierre eficaz de acciones o participación. Además, evalúa periódicamente el cumplimiento legal, audita el sistema y revisa tendencias y cambios en la revisión por la dirección.
Ante un incidente o una no conformidad debe reaccionar, controlar y corregir la situación, afrontar sus consecuencias e investigar las causas. Las acciones correctivas deben prevenir la repetición, respetar la jerarquía de controles y someterse a verificación de eficacia. Un certificado o una auditoría sin hallazgos no demuestra por sí solo ausencia de riesgos; la evidencia decisiva es un sistema mantenido que aprende y mejora su desempeño.
Certificación, relación legal y versión vigente
La certificación por una entidad independiente es voluntaria y distinta de la implantación: una organización puede utilizar ISO 45001 sin certificarse. Si busca reconocimiento externo, una entidad de certificación acreditada aporta una comprobación adicional de competencia e imparcialidad. ISO publica la norma, pero no certifica organizaciones.
En España, ISO 45001 no sustituye la Ley 31/1995, el Reglamento de los Servicios de Prevención ni las normas específicas. Puede ayudar a ordenar su cumplimiento, pero la responsabilidad legal se determina por la normativa aplicable, no por la posesión de un certificado.
A 29 de agosto de 2026, ISO 45001:2018 seguía siendo la versión vigente: había sido revisada y confirmada en 2024 y debía aplicarse con la Enmienda 1:2024, que incorpora la consideración del cambio climático en el contexto del sistema. La segunda edición estaba en fase de proyecto ISO/DIS 45001 y todavía no reemplazaba a la edición de 2018.
