Cómo preservar la evidencia digital de un incidente en 7 decisiones para el comité de SST

Una investigación puede perder valor antes de que el comité de SST se reúna. Basta con que alguien reinicie un equipo, reemplace una pieza, borre un registro de acceso o pida a un testigo que “ordene” su relato. Cuando la evidencia digital desaparece, la organización termina discutiendo versiones en lugar de reconstruir decisiones y controles.

Preservar la evidencia digital de un incidente significa proteger los registros originales que permiten reconstruir qué ocurrió, cuándo ocurrió, quién decidió y qué barrera estaba disponible. No consiste en guardar capturas sueltas. Consiste en conservar la trazabilidad sin alterar la fuente.

Este procedimiento propone siete decisiones para un comité de SST, un supervisor de investigación o una persona responsable de la respuesta inicial. El enfoque se apoya en ISO 45001:2018, en la obligación de mantener información documentada y aprender de los incidentes, y en los marcos latinoamericanos que exigen investigación, registro y acciones correctivas. La ficha oficial de ISO 45001:2018 sirve como referencia para el sistema de gestión; cada país debe completar el análisis con su regulación aplicable, como el SG-SST colombiano o las disposiciones de la STPS de México.

Qué necesitas antes de empezar

Antes de intervenir registros, define quién coordina la preservación, qué sistemas pueden contener información y qué autoridad puede ordenar una copia o restringir accesos. El alcance suele incluir cámaras, controles de acceso, bitácoras de mantenimiento, órdenes de trabajo, correos, mensajes corporativos, registros de alarmas, datos de vehículos y fotografías tomadas en el lugar.

También necesitas un reloj común. Sin una referencia temporal, una cámara puede mostrar las 10:14 mientras el sistema de control de acceso registra las 09:14 por una configuración distinta. La diferencia no invalida la evidencia, pero debe quedar documentada para que la secuencia no se construya con una precisión ficticia.

Si el evento tiene potencial de lesión grave, fatalidad, daño ambiental o incumplimiento legal, coordina la preservación con las funciones jurídicas y de relaciones laborales que correspondan. El comité de SST conserva su responsabilidad preventiva, aunque algunos registros tengan restricciones de privacidad o de investigación.

Paso 1: Define la pregunta que la evidencia debe responder

La primera decisión no es tecnológica. Es investigativa. Escribe una pregunta concreta, porque “guardar todo” produce volumen sin dirección. Una pregunta útil puede ser: ¿qué condición permitió que el equipo se energizara durante la intervención?, ¿qué información recibió el supervisor antes de liberar la tarea?, o ¿cuándo se detectó la desviación y quién decidió continuar?

La pregunta determina qué fuentes tienen prioridad. Si investigas una liberación incorrecta, el registro de autorización, la orden de trabajo, el historial de alarmas y las comunicaciones del turno pueden ser más relevantes que cientos de fotografías generales.

Verifica la decisión cuando cada fuente elegida tenga una relación explícita con la pregunta. El error común consiste en descargar archivos porque están disponibles y descubrir después que nadie puede explicar qué hipótesis debían probar.

Paso 2: Congela la modificación de las fuentes críticas

Identifica qué sistemas, cuya retención puede ser breve, sobrescriben información de manera automática. Las cámaras suelen conservar imágenes durante un periodo limitado; los sistemas de control pueden rotar bitácoras; las aplicaciones de mensajería pueden eliminar contenido; y una orden de trabajo puede cambiar de estado cuando alguien intenta corregir el registro.

Solicita una retención temporal con el administrador del sistema y registra quién la pidió, cuándo se pidió y qué alcance tuvo. La retención no significa bloquear toda la operación. Significa evitar que una fuente crítica se modifique mientras se realiza la copia controlada.

La verificación consiste en obtener una confirmación escrita del custodio del sistema. Si la plataforma no permite una retención formal, documenta la limitación y prioriza la extracción antes del siguiente ciclo de sobrescritura.

Paso 3: Conserva el original y trabaja sobre una copia

No edites el archivo original para mejorar el encuadre, recortar una conversación o convertir un video a otro formato. Puedes crear una copia de trabajo, pero debes mantener la fuente recibida sin cambios y con un nombre que permita reconocer su origen.

Para cada archivo, registra el sistema de procedencia, la cuenta o dispositivo que lo generó, la fecha y hora de extracción, la persona que lo obtuvo, el formato y cualquier conversión realizada. Cuando sea técnicamente posible, calcula una huella digital del archivo y guarda el resultado junto con el registro de custodia.

La comprobación es sencilla: una segunda persona debe poder comparar la copia de trabajo con el original y explicar cualquier diferencia. Si no puedes reconstruir esa comparación, la evidencia queda expuesta a una discusión que pudo evitarse.

Paso 4: Normaliza la línea de tiempo sin borrar las diferencias

Construye una tabla donde cada sistema conserve la hora mostrada y añade y añada la zona horaria, el desfase conocido y la fuente utilizada. No corrijas silenciosamente una hora para que todos los registros parezcan coincidir. La discrepancia puede revelar una falla de configuración, una demora de comunicación o una interpretación equivocada del turno.

Incluye los hechos que ocurrieron antes del incidente, no solo el momento de la lesión o del daño. Una alarma ignorada, una reprogramación de mantenimiento o un cambio de personal pueden explicar por qué una barrera dejó de funcionar, aunque aparezcan lejos del minuto central.

Valida la secuencia con al menos dos fuentes independientes. Una cámara puede mostrar movimiento, pero no necesariamente la autorización que permitió ese movimiento. Una orden de trabajo puede indicar una instrucción, aunque no demuestre que el equipo la recibió.

Paso 5: Protege la privacidad y el acceso legítimo

La investigación no autoriza a distribuir videos, mensajes o datos personales sin criterio. Define quién necesita acceder, con qué finalidad y durante cuánto tiempo. Si un registro contiene información clínica, datos de contacto o conversaciones ajenas al incidente, limita la copia a lo necesario y conserva la versión completa bajo control restringido cuando la ley o la política interna lo exijan.

La regulación cambia entre México, Colombia, Chile, Argentina y Perú. ISO 45001 orienta el sistema de gestión, pero no reemplaza las obligaciones locales sobre datos personales, relaciones laborales, notificación de accidentes o participación del comité. El responsable debe coordinar la preservación con el asesoramiento jurídico correspondiente, especialmente cuando exista una investigación de autoridad.

Verifica el acceso mediante una lista de usuarios autorizados y un registro de consultas. El control se debilita cuando el archivo circula por grupos informales y nadie puede explicar quién lo descargó o por qué se compartió.

Paso 6: Conecta cada evidencia con una barrera y una decisión

Una carpeta llena de archivos no demuestra aprendizaje. Para cada evidencia, escribe qué barrera ayuda a evaluar, qué decisión permite confirmar y qué incertidumbre permanece. Un registro de alarma puede mostrar que existió una señal; para evaluar el control necesitas saber si alguien la recibió, si la entendió y si tenía autoridad para detener la tarea.

Esta conexión evita que la investigación se convierta en una búsqueda de culpables. James Reason explicó que los incidentes suelen combinar fallas activas con condiciones latentes que permanecen ocultas en el diseño, la supervisión o la organización del trabajo. Por eso, la evidencia debe seguir la ruta del control, no detenerse en la última persona que actuó.

La verificación exige una matriz breve con cuatro columnas: evidencia, barrera relacionada, decisión que ayuda a tomar y responsable de la respuesta. Si una fuente no cambia ninguna decisión, su prioridad puede ser menor, aunque todavía deba conservarse por razones legales.

Paso 7: Cierra la custodia con una revisión independiente

Antes de presentar conclusiones, una persona que no haya extraído los archivos debe revisar la cadena de custodia, la línea de tiempo, las fuentes faltantes y las transformaciones aplicadas. Esta revisión no busca reescribir el relato para que sea más cómodo. Busca detectar saltos que podrían alterar la interpretación.

Compara el paquete digital con la evidencia física y con las entrevistas. Una fotografía de una válvula no sustituye la verificación de su estado antes del evento. Un mensaje que dice “todo listo” no prueba que el control haya sido probado. Cuando las fuentes discrepan, conserva la discrepancia y formula una pregunta de investigación.

El criterio de cierre debe ser observable. La investigación está lista para decidir cuando otra persona puede reconstruir la secuencia, identificar la barrera que falló o se degradó, conocer las limitaciones de la evidencia y distinguir los hechos confirmados de las hipótesis abiertas.

Cómo documentar la decisión sin convertirla en trámite

El informe final debe explicar qué se preservó, qué no pudo preservarse, quién custodió cada fuente, cuál fue la referencia temporal y qué decisiones cambiaron como resultado. La estructura puede integrarse con un procedimiento de cadena de custodia de evidencia en SST y con una revisión de causa raíz orientada a capas de evidencia.

Cuando el evento sea un cuasi-accidente, la misma disciplina ayuda a evitar que una señal temprana desaparezca porque no produjo lesión. Puedes ampliar esa lógica en cómo preservar la evidencia tras un incidente para el comité de SST, siempre que el alcance del artículo coincida con el proceso aplicado en tu organización.

• Pregunta investigativa definida antes de copiar archivos.
• Retención solicitada para sistemas que sobrescriben datos.
• Original conservado y copia de trabajo identificada.
• Línea de tiempo con horas originales, desfases y fuentes.
• Acceso limitado, trazable y compatible con la regulación local.
• Relación explícita entre evidencia, barrera y decisión.
• Revisión independiente de custodia, vacíos y discrepancias.

El comité de SST no necesita más archivos para investigar mejor. Necesita evidencia que conserve su origen y que ayude a decidir qué control debe cambiar. Cuando la preservación digital se integra al sistema de gestión, la investigación deja de depender de recuerdos incompletos y puede convertirse en una respuesta verificable bajo ISO 45001 y el marco regulatorio latinoamericano aplicable.

Si tu organización necesita traducir esta lógica en un procedimiento de investigación, consulta los recursos de Andreza Araújo y conecta la evidencia con las decisiones que protegen el trabajo real.