← Volver al blog Sistemas de gestión

ISO 45001: qué es, qué exige y cómo aplicarla [2026]

ISO 45001 es la norma internacional que define cómo debe funcionar un sistema de gestión de la seguridad y salud en el trabajo: identificar los peligros antes de que lastimen a alguien, evaluar el riesgo, controlarlo en orden de eficacia —eliminar antes que proteger—, cumplir los requisitos legales y demostrar que la dirección responde y que los trabajadores participan. Se publicó en 2018, sustituyó a OHSAS 18001 —cuyo periodo de migración cerró en 2021— y es voluntaria.

La parte que casi nadie explica y decide el resultado en México: certificarse en ISO 45001 no te exime de ninguna NOM de la STPS ni de una inspección. Son dos marcos que conviven, y el sistema sirve precisamente para que uno te obligue a ordenar el otro. Esta guía separa las dos cosas y entra en lo que hace distinta a esta norma: la consulta a los trabajadores, la identificación de peligros y la jerarquía de controles.

Qué es ISO 45001 y qué no es

Tres precisiones que ahorran discusiones:

Comparte estructura con ISO 9001 e ISO 14001, así que si ya tienes alguno de los dos, la mitad del andamiaje —contexto, liderazgo, competencia, documentación, auditoría interna, revisión por la dirección— se reutiliza.

ISO 45001 y las NOM de la STPS: no se sustituyen

En México la seguridad y salud en el trabajo está regulada, y la regulación es obligatoria con certificado o sin él. El marco base es el Reglamento Federal de Seguridad y Salud en el Trabajo y la familia de NOM de la Secretaría del Trabajo. Las que aparecen en casi cualquier matriz legal industrial:

• NOM-019-STPS-2011 — constitución y funcionamiento de la comisión de seguridad e higiene.
• NOM-030-STPS-2009 — servicios preventivos de seguridad y salud en el trabajo: funciones y actividades.
• NOM-035-STPS-2018 — identificación y prevención de factores de riesgo psicosocial. Qué exige según el tamaño de tu plantilla está en la guía de qué es la NOM-035 y cómo cumplirla.
• NOM-017-STPS-2008 — selección, uso y manejo de equipo de protección personal.
• NOM-002-STPS-2010 — prevención y protección contra incendios.
• NOM-004-STPS-1999 — protección y dispositivos de seguridad en maquinaria y equipo.
• NOM-009-STPS-2011 — trabajos en altura.
• NOM-033-STPS-2015 — trabajos en espacios confinados.

La relación entre los dos marcos es de una línea: las NOM son parte de tus «requisitos legales» de la cláusula 6.1.3, y la cláusula 9.1.2 te obliga a evaluar periódicamente si los cumples y a conservar el resultado. Es decir, el sistema no te libera de nada: te obliga a mirar de frente lo que la ley te exige y a registrarlo. En la práctica esa es la primera fuente de valor del proyecto, y también la primera fuente de hallazgos.

Conviene además no confundir esquemas: el programa voluntario de autogestión de la autoridad laboral mexicana y sus reconocimientos son otra cosa, con sus propias reglas y evaluadores. Tener uno no da el otro, aunque el trabajo de fondo —matriz legal y controles— sirva para ambos. El panorama completo de qué es obligatorio en México está en certificación ISO en México.

Cuándo vale la pena y cuándo todavía no

Certifícate si se cumple alguna de estas

1. Te lo piden para entrar. Contratistas de energía, construcción, minería, industria pesada y cada vez más corporativos lo exigen para trabajar en sus instalaciones. Aquí el cálculo es directo: cuánto vale el contrato al que hoy no puedes entrar.
2. Tienes actividades de alto riesgo. Alturas, espacios confinados, energías peligrosas, químicos, maniobras con carga. El sistema paga solo por la parte de control, con certificado o sin él.
3. Tu accidentabilidad no baja y no sabes por qué. Casi siempre es porque se investigan los accidentes y no los incidentes sin lesión, que son la mayoría de la información disponible.

Espera si se cumple alguna de estas

1. No tienes la matriz legal levantada. Empieza por ahí: es trabajo que se aprovecha completo y suele destapar lo urgente.
2. La dirección no piensa participar. La cláusula 5.1 pone responsabilidades concretas en la alta dirección y el auditor las verifica con ella, no con el responsable de seguridad.
3. No hay manera de que los trabajadores participen. Sin eso, el requisito distintivo de la norma no se puede cumplir y el sistema queda en papel.

Consulta y participación: el requisito que la distingue

Es la cláusula 5.4 y es lo que separa a ISO 45001 de cualquier otra norma de sistema de gestión. No pide «involucrar al personal» en abstracto: pide consulta —pedir la opinión antes de decidir— y participación —intervenir en la decisión—, con énfasis en los trabajadores no directivos, en asuntos concretos como la identificación de peligros, la evaluación de riesgos, la determinación de controles, las necesidades de competencia y la investigación de incidentes.

También pide eliminar los obstáculos a esa participación. Los que aparecen de verdad en las empresas:

• Consultar solo por escrito a gente que trabaja de pie y sin computadora.
• Hacer las reuniones en horario en que la línea no puede parar, de modo que solo asisten los mismos de siempre.
• Que reportar un incidente tenga consecuencias. Es el obstáculo más eficaz: si reportar cuesta, la accidentabilidad baja en el papel y sube en la realidad.
• Consultar después de decidir, lo que la norma llama informar y no consultar.

Cómo lo comprueba un auditor: no leyendo actas, sino preguntándole a un operario si alguien le pidió opinión sobre el control que se instaló en su puesto, y si sabe cómo reporta una condición insegura. Si la respuesta es no, el acta firmada no salva el hallazgo.

Identificación de peligros y evaluación de riesgos

La cláusula 6.1.2 pide un proceso continuo y proactivo de identificación de peligros. Tres palabras que hacen trabajo: continuo, no una matriz anual; proactivo, antes del daño y no después; proceso, no un documento.

Qué tiene que cubrir la identificación

• Cómo se organiza el trabajo —turnos, cargas, jornada, liderazgo— y no solo la máquina. De aquí sale el puente con los factores de riesgo psicosocial, y es lo que obliga a revisar la reforma de la jornada de 40 horas.
• Actividades y situaciones rutinarias y no rutinarias. El mantenimiento, el arranque y el paro concentran una parte desproporcionada de los accidentes graves.
• Incidentes pasados, propios y del sector, incluidos los que no causaron lesión.
• Situaciones de emergencia y cómo responderían las personas.
• Las personas: quién está en el área, incluidos contratistas, visitantes y personal con condiciones particulares.
• Cambios: proceso nuevo, equipo nuevo, turno nuevo, producto nuevo. La gestión del cambio es una fuente clásica de peligros no identificados.

Sobre la metodología de evaluación: la norma no impone ninguna. Cualquiera funciona si cumple tres condiciones —criterios escritos, aplicación consistente entre evaluadores, y trazabilidad desde el riesgo hasta el control—. Lo que sí impone es que la evaluación sea proactiva, es decir, que no dependa de que ya haya pasado algo.

La jerarquía de controles, en orden y sin atajos

La cláusula 8.1.2 exige aplicar una jerarquía al determinar controles, y el orden no es una sugerencia: es el requisito. De más eficaz a menos:

1. Eliminar el peligro. Quitar el proceso, el material o la tarea. Es el único control que no falla.
2. Sustituir por algo menos peligroso: otro solvente, otro método, otro equipo.
3. Controles de ingeniería y reorganización del trabajo. Guardas, enclavamientos, ventilación local, barandales, automatización de la tarea riesgosa, cambio de la secuencia de trabajo.
4. Controles administrativos, incluida la formación: procedimientos, permisos de trabajo, señalización, rotación, bloqueo y etiquetado.
5. Equipo de protección personal. Último, siempre.

El uso real de esta jerarquía es como criterio de auditoría de tus propias decisiones: cuando un riesgo alto está controlado únicamente con equipo de protección y capacitación, la pregunta correcta no es si se cumple, es por qué se saltaron los tres niveles anteriores. La respuesta honesta suele ser «cuesta dinero», y esa conversación es precisamente la que la norma obliga a tener en la mesa de la dirección en vez de en el piso.

Dos puntos que se olvidan y generan hallazgos: la jerarquía aplica también a contratistas y compras (cláusula 8.1.4) —el equipo que compras y el contratista que contratas entran en tu sistema—, y aplica al diseño de puestos nuevos, que es cuando eliminar todavía es barato.

Lo que se vende como obligatorio y no lo es

Qué exige documentar, por cláusula

Aquí se citan cláusulas y se parafrasean requisitos: el articulado tiene derechos de autor y, si necesitas el texto literal, se adquiere a través de un organismo de normalización.

• 4.3 — El alcance del sistema.
• 5.2 — La política de seguridad y salud en el trabajo.
• 5.3 — Las responsabilidades y autoridades asignadas.
• 6.1.1 — Los riesgos y oportunidades, y los procesos para abordarlos.
• 6.1.3 — Los requisitos legales y otros requisitos aplicables.
• 6.2.2 — Los objetivos y los planes para lograrlos.
• 7.2 — Evidencia de la competencia del personal.
• 7.4.1 — Evidencia de las comunicaciones.
• 8.2 — Los procesos y planes de respuesta ante emergencias.
• 9.1.1 — Los resultados de seguimiento, medición y evaluación del desempeño.
• 9.1.2 — Los resultados de la evaluación del cumplimiento legal.
• 9.2.2 — El programa de auditoría interna y sus resultados.
• 9.3 — Los resultados de la revisión por la dirección.
• 10.2 — Los incidentes y no conformidades, las acciones tomadas y sus resultados.

Fíjate en la 10.2: en esta norma la investigación de incidentes es un requisito explícito, no una buena práctica. Y un incidente incluye lo que no causó lesión. Es la cláusula que más cambia la operación diaria de una empresa que se certifica.

Cómo se implementa: 6 fases con plazos

Fase 1 — Diagnóstico y matriz legal (5 a 8 semanas)

Recorrido de instalaciones, revisión de lo que ya existe —comisión de seguridad e higiene, servicios preventivos, expedientes de capacitación— y levantamiento de la matriz legal traducida a obligaciones concretas con responsable y evidencia. Primera evaluación de cumplimiento.

Fase 2 — Alcance, política y estructura de participación (3 a 5 semanas)

Se define qué sitios y actividades entran, se redacta la política y —lo más importante— se decide cómo van a consultar y participar los trabajadores: mecanismos, frecuencia, representantes, y cómo se elimina cada obstáculo identificado.

Fase 3 — Identificación de peligros y evaluación de riesgos (6 a 10 semanas)

Por área y por tarea, con la gente que hace el trabajo. Es la fase que no se puede acelerar sin arruinarla: una matriz levantada en una sala de juntas describe los peligros que alguien recuerda, no los que existen.

Fase 4 — Controles, competencia y emergencias (8 a 12 semanas)

Aplicación de la jerarquía de controles a los riesgos no aceptables, requisitos comunicados a contratistas y compras, plan de competencia por puesto, y preparación y respuesta ante emergencias con simulacros.

Fase 5 — Operación y registro (3 a 4 meses)

El sistema corre: reportes de condiciones inseguras, investigación de incidentes, inspecciones, permisos de trabajo, indicadores. Aquí se genera la evidencia que se va a auditar, y aquí se ve si la participación se instaló o se quedó en el documento.

Fase 6 — Auditoría interna, revisión por la dirección y certificación

Auditoría interna contra la norma y contra la matriz legal, cierre de hallazgos, revisión por la dirección y auditoría de certificación en dos etapas con un organismo acreditado bajo ISO/IEC 17021-1. El detalle de cómo se elige el organismo y qué pasa en cada etapa está en cómo certificar tu empresa en ISO 9001, y cómo montar la interna para que encuentre algo, en auditoría interna.

Total razonable: 8 a 14 meses.

8 errores que hacen fracasar el sistema

1. Levantar la matriz de peligros sin los trabajadores. Describe lo que alguien recuerda desde una oficina. Además incumple la 5.4 de forma comprobable en cualquier entrevista.
2. Controlar riesgos altos solo con equipo de protección personal. Es saltarse tres niveles de la jerarquía, y el auditor va a preguntar por qué.
3. Investigar accidentes y no incidentes. Los casi-accidentes son la mayor parte de la información disponible y son gratis.
4. Castigar el reporte. Si reportar tiene consecuencias, el indicador mejora y la realidad empeora. Es el obstáculo que la 5.4 obliga a eliminar.
5. Dejar fuera a los contratistas. Están bajo tu control mientras trabajan en tu sitio, y la 8.1.4 lo pone por escrito.
6. Tratar la matriz legal como una lista de NOM. No sirve citar normas: hay que traducirlas a obligaciones concretas con responsable, evidencia y fecha, y evaluarlas periódicamente.
7. No gestionar el cambio. Equipo nuevo, turno nuevo, producto nuevo. Si el cambio no dispara una nueva identificación de peligros, el sistema envejece sin que nadie lo note.
8. Que la dirección delegue su parte. La 5.1 asigna responsabilidades a la alta dirección y el auditor las verifica con ella. Un director que no puede explicar los riesgos principales de su empresa es un hallazgo.

Ejemplo resuelto: una planta de 200 personas

Planta de manufactura con 200 trabajadores propios y unos 25 contratistas permanentes, tres turnos, procesos con prensas, soldadura y manejo de químicos. El motivo: un cliente corporativo lo exigió para renovar el contrato de suministro.

El número que resume el proyecto es el de reportes: de 3 a 41 al mes. Ninguna cláusula lo pide y ningún auditor lo exige, pero es la única señal fiable de que el requisito de participación de la 5.4 dejó de ser un acta firmada y se volvió una práctica. Mientras ese número no se mueva, el sistema no está operando por más documentos que tenga.

Preguntas frecuentes

Conclusión

ISO 45001 es la más operativa de las tres normas de sistema de gestión más pedidas, porque su materia prima no son documentos sino conductas: quién reporta, quién opina antes de que se decida un control, quién investiga lo que casi pasó. Por eso es también la que peor sobrevive a una implementación de escritorio.

Si vas a arrancar, tres decisiones ordenan el resto: levanta los peligros con la gente que hace el trabajo, en los tres turnos si los hay; aplica la jerarquía de controles en orden y documenta por qué cuando no puedas subir de nivel; y haz que reportar no cueste nada, porque el número de reportes es el mejor indicador anticipado que vas a tener. Lo legal —el Reglamento Federal y las NOM aplicables— se ordena en la primera fase y se evalúa periódicamente: eso es obligatorio en México con certificado o sin él.