Apetito de riesgo en seguridad: 7 brechas de gobernanza que convierten decisiones en exposición

La gerencia puede aprobar una matriz de riesgos, financiar controles críticos y exigir cero incidentes, pero todavía dejar que la operación trabaje con una exposición que nadie se atreve a nombrar. El problema aparece cuando el apetito de riesgo existe en una presentación y desaparece en la decisión del turno.

El apetito de riesgo en seguridad es el límite explícito de exposición que una organización acepta mientras persigue sus objetivos. En SST no puede funcionar como una cifra aislada, porque debe traducirse en criterios de detención, autoridad, presupuesto, supervisión y verificación de controles. La tesis de este artículo es directa: cuando la dirección no convierte ese límite en decisiones observables, el apetito de riesgo se vuelve una licencia informal para operar con barreras degradadas.

¿Por qué el apetito de riesgo no es solo una declaración de la gerencia?

ISO 45001:2018 exige que la organización determine los peligros, evalúe los riesgos, establezca controles operacionales y revise si el sistema alcanza los resultados previstos. Ese ciclo pierde fuerza cuando la dirección dice que la seguridad no admite compromisos, pero aprueba una reprogramación que elimina una verificación crítica o mantiene una tarea cuando el rescate todavía no está disponible.

La diferencia entre una declaración y una gobernanza real está en la trazabilidad. Una persona supervisora debe poder responder qué exposición se acepta, cuál exige detener el trabajo, quién puede modificar el control y qué evidencia demuestra que la decisión fue revisada. En Colombia, la Resolución 0312 de 2019 sitúa el SG-SST dentro de obligaciones verificables; en México, la gestión preventiva debe dialogar con las NOM-STPS aplicables, incluida la NOM-035-STPS-2018 cuando existen factores psicosociales; en Chile, el DS 40 y las orientaciones de SUSESO sostienen la obligación de informar y controlar riesgos; en Argentina, la Ley 19.587 y la SRT estructuran deberes preventivos; y en Perú, la Ley 29783 exige una gestión preventiva que no se reduzca al papel.

La pregunta incómoda no es cuánto riesgo tolera la empresa en abstracto. Consiste en identificar qué decisión concreta se vuelve inaceptable cuando una barrera crítica no está disponible.

1. La tolerancia cambia según la presión del programa

La primera brecha aparece cuando el mismo riesgo recibe respuestas distintas según la urgencia comercial. Un equipo puede detener un izaje en una semana tranquila y permitirlo durante una parada de planta porque la producción tiene una fecha comprometida. Esa variación revela que el criterio real no está escrito en el sistema, sino escondido en la presión del calendario.

Para corregirla, la dirección debe registrar ejemplos de decisiones que no dependen del volumen de producción. Si falta el aislamiento de energía, el plan de rescate o la competencia requerida, la tarea no cambia de categoría porque el cliente esté esperando. La revisión mensual debe comparar decisiones equivalentes y preguntar qué condición hizo que una exposición fuera tolerada en un caso y rechazada en otro.

2. El límite no tiene dueño operativo

Un apetito de riesgo que no asigna autoridad se convierte en una frase decorativa. El documento puede definir que una exposición es inaceptable, pero la persona supervisora no sabe si debe detener el trabajo, pedir un recurso adicional o escalar al gerente de operaciones.

ISO 45001 vincula liderazgo, consulta y control operacional. La organización necesita una matriz sencilla que relacione cada control crítico con su dueño, su sustituto, la autoridad para detener y el tiempo máximo de respuesta. El dueño no es quien llena el formato, sino quien puede movilizar recursos y comprobar que la barrera funciona antes de liberar la tarea.

Un escenario hipotético ayuda a probar el diseño. Si una cuadrilla detecta que el detector de gases no tiene calibración vigente durante una entrada a espacio confinado, la respuesta no puede depender de una llamada informal. El procedimiento debe indicar quién detiene, quién suministra un equipo válido, qué evidencia se conserva y quién autoriza el reinicio.

3. El presupuesto se asigna al daño ocurrido, no a la exposición

Otra brecha aparece cuando la organización financia controles después de una lesión, una multa o una interrupción visible. La ausencia de un evento se interpreta como evidencia de que el control actual funciona, aunque la exposición potencial siga siendo alta.

La dirección necesita separar dos preguntas. La primera pregunta qué ocurrió. La segunda pregunta qué podría ocurrir si una barrera fallara bajo las condiciones actuales. Esta segunda lectura permite priorizar controles antes de que exista un resultado que obligue a justificar el gasto.

El presupuesto también debe mostrar qué controles se aplazaron, por qué se aplazaron y quién aceptó la exposición temporal. Cuando una acción de alto potencial se pospone tres veces, el aplazamiento deja de ser una restricción técnica y pasa a ser una decisión de gobernanza. Ese cambio debe aparecer en el tablero de la gerencia, no quedarse en la lista del área de seguridad.

4. La matriz de riesgos oculta la dependencia entre barreras

La matriz suele asignar una probabilidad y una consecuencia, pero no siempre muestra qué ocurre cuando varias barreras dependen de la misma condición. Un permiso puede estar aprobado, el supervisor puede haber firmado y el operador puede haber recibido la instrucción, aunque todos dependan de una medición que nadie confirmó en campo.

La evaluación debe identificar dependencias. Si el control crítico necesita una persona competente, un equipo calibrado, una distancia de exclusión y comunicación continua, la ausencia de cualquiera de esos elementos cambia la decisión de liberación. No basta con sumar casillas cumplidas, porque cuatro confirmaciones formales no compensan una barrera que nunca estuvo disponible.

Una tabla de gobernanza puede ayudar a la revisión ejecutiva:

5. La autoridad para detener existe en el papel, pero no en la conversación

Una tarjeta o procedimiento puede declarar que cualquier persona tiene autoridad para detener un trabajo. La prueba real aparece cuando alguien la ejerce y la primera respuesta del supervisor consiste en preguntar cuánto tiempo se perdió, quién será responsable o por qué no esperó al cambio de turno.

El sistema debe medir la calidad de la respuesta, no solamente el número de detenciones. Una detención que termina en regaño destruye la autoridad aunque el formato permanezca vigente. La revisión debe observar si el reporte recibió una respuesta clara, si la condición se corrigió y si la persona que alertó obtuvo información sobre el cierre.

La seguridad psicológica tiene aquí una función operativa. Amy Edmondson la define como una condición en la que las personas pueden plantear dudas y errores sin temor interpersonal. En SST, esa condición debe conectarse con una decisión concreta, porque hablar sin respuesta también termina silenciando la próxima alerta.

6. Los indicadores premian continuidad y castigan transparencia

Una organización puede afirmar que no tolera riesgos críticos y, al mismo tiempo, premiar a los equipos que terminan el mes sin reportes, sin detenciones y sin acciones abiertas. Ese tablero produce una señal conocida: la continuidad vale más que la evidencia.

El indicador correcto no es contar reportes como si todos fueran buenos o malos. Conviene observar el tiempo de respuesta, la repetición de la desviación, la calidad de la verificación y la proporción de acciones que eliminan la causa operacional. También resulta útil comparar los reportes voluntarios con las observaciones de campo, porque una brecha grande puede indicar que la organización dejó de escuchar.

James Reason mostró que los accidentes organizacionales se forman cuando fallas activas y condiciones latentes se alinean. Un tablero que oculta condiciones latentes por proteger una cifra de desempeño no reduce el riesgo, solo reduce la visibilidad del riesgo.

7. La dirección no revisa los riesgos que decidió aceptar

La última brecha aparece cuando la aceptación del riesgo se documenta una vez y nunca vuelve a la agenda. Las condiciones cambian, la rotación modifica la competencia, los contratistas sustituyen equipos y las medidas temporales se vuelven permanentes.

La revisión ejecutiva debe incluir una lista corta de exposiciones aceptadas, con fecha de vencimiento, responsable, condición de salida y evidencia de revisión en campo. Si la organización no puede decir cuándo termina la aceptación, no tiene una aceptación temporal, sino una transferencia silenciosa del riesgo hacia la operación.

La periodicidad debe responder a la variabilidad de la tarea. Una actividad de alta energía, con cambios diarios y contratistas múltiples, merece una revisión más cercana que un proceso estable con controles automatizados. ISO 45001 no impone una cadencia única para todos los riesgos, pero sí exige que el sistema sea adecuado a sus peligros y que la mejora se apoye en evidencia.

¿Cómo convertir el apetito de riesgo en una decisión observable?

El primer paso consiste en seleccionar tres exposiciones críticas y escribir qué condición obliga a detener, quién toma la decisión y qué evidencia permite reiniciar. Después, la gerencia debe revisar una decisión real de las últimas semanas, comparar el procedimiento con la tarea ejecutada y documentar cualquier diferencia que haya quedado sin dueño.

El ejercicio gana valor cuando incluye operaciones, mantenimiento, contratistas y representantes de los trabajadores. La dirección aporta el límite y los recursos; la operación aporta las restricciones reales; el personal expuesto muestra dónde el control depende de atajos, memoria o compensaciones improvisadas. Esa conversación permite que el apetito de riesgo deje de ser una frase corporativa y se convierta en una regla de trabajo.

Cada control crítico que se aplaza sin fecha, dueño y condición de salida transforma una decisión temporal en una exposición estructural.

Conclusión: el riesgo aceptable debe tener límites que la operación pueda aplicar

El apetito de riesgo no protege a nadie mientras cambie con la presión del programa, no tenga dueño, dependa del presupuesto posterior al daño, ignore la dependencia entre barreras, castigue la detención, premie el silencio o evite la revisión ejecutiva. Esas siete brechas muestran que la gobernanza de SST se prueba en decisiones pequeñas que ocurren antes del incidente.

La mejor prueba consiste en tomar una exposición crítica vigente y preguntar qué debe ocurrir cuando su barrera principal no está disponible. Si la respuesta incluye autoridad, recurso, plazo, evidencia y criterio de reinicio, la organización tiene un límite operativo. Si solo incluye una declaración de compromiso, todavía tiene una intención, no un sistema de control.