ISO 45001 vs NOM-STPS vs SG-SST: 7 criterios para gobernar una operación regional

Una operación regional puede tener una sola política corporativa y, aun así, enfrentar auditorías, decisiones y responsabilidades distintas en cada país. La pregunta no es cuál marco reemplaza a los demás, sino cuál debe gobernar la decisión central y qué instrumento local debe demostrar el cumplimiento.

Para una empresa que opera en México, Colombia y otros mercados de América Latina, ISO 45001, la NOM-STPS y el SG-SST no compiten en el mismo plano. ISO 45001 organiza el sistema de gestión; la NOM-STPS fija obligaciones mexicanas; el SG-SST colombiano estructura la gestión exigible en Colombia. Confundir sus funciones produce documentos duplicados y controles que nadie usa cuando cambia la operación.

¿Qué criterios permiten comparar los tres marcos?

La comparación útil debe comenzar con la decisión que la dirección necesita tomar. Un estándar corporativo debe ayudar a asignar responsabilidades, priorizar riesgos y revisar el desempeño, mientras que un requisito nacional debe traducirse en evidencias que resistan la fiscalización local. Cuando ambos niveles se mezclan, el equipo termina midiendo la existencia del documento y no la calidad del control.

Los siete criterios siguientes permiten evaluar cada marco sin reducirlo a una lista de requisitos. El análisis toma como referencia ISO 45001:2018, la NOM-035-STPS-2018 cuando el riesgo psicosocial forma parte del alcance mexicano y el SG-SST definido por el Decreto 1072 de 2015 y la Resolución 0312 de 2019 en Colombia. La obligación concreta debe validarse con la autoridad competente y con la actividad económica de cada centro de trabajo.

ISO 45001 funciona mejor como arquitectura corporativa

ISO 45001:2018 aporta una arquitectura común para identificar peligros, evaluar riesgos, establecer controles, consultar a los trabajadores y revisar el desempeño. Su valor para una empresa regional está en crear un lenguaje compartido, aunque la norma no sustituye las obligaciones de México, Colombia, Chile, Argentina o Perú.

El criterio decisivo es la trazabilidad. La dirección debe poder seguir el recorrido que va desde el contexto de la organización hasta el control operativo que protege a una persona expuesta. La cláusula sobre planificación pierde utilidad si la matriz de riesgos no modifica compras, mantenimiento, permisos de trabajo o supervisión.

ISO 45001 también ayuda a ordenar la gestión de cambios, cuya ausencia suele dejar fuera de la evaluación a nuevas tecnologías, contratistas, turnos extendidos o modificaciones de capacidad. La referencia sobre qué auditar en una operación regional puede complementar esta lectura mediante la comparación de auditoría entre ISO 45001, NOM-STPS y SG-SST.

La NOM-STPS define el piso legal que México no puede negociar

Las NOM-STPS deben leerse como obligaciones aplicables según el peligro, el proceso y el centro de trabajo, no como un anexo mexicano de la política corporativa. La empresa puede utilizar ISO 45001 para ordenar su sistema, pero la autoridad mexicana examinará evidencias y condiciones que responden a disposiciones nacionales específicas.

En riesgos psicosociales, la NOM-035-STPS-2018 exige identificar y analizar factores, adoptar medidas de prevención y atender acontecimientos traumáticos severos conforme al tamaño y características del centro de trabajo. La evaluación debe conectarse con decisiones sobre cargas, jornadas, violencia laboral y liderazgo, porque una encuesta que no cambia esas condiciones solo produce una fotografía administrativa.

La ventaja de la NOM-STPS aparece cuando el responsable local la convierte en criterios de liberación. Antes de iniciar una tarea, contratar un servicio o modificar un turno, debe quedar claro qué evidencia acredita el requisito y quién puede detener el trabajo si esa evidencia falta.

El SG-SST colombiano convierte la obligación en un ciclo verificable

En Colombia, el SG-SST exige una gestión estructurada que incluye política, planificación, aplicación, auditoría, revisión por la alta dirección y mejora. La Resolución 0312 de 2019 define estándares mínimos cuya aplicación depende del tamaño, nivel de riesgo y características de la empresa. El sistema no debe reducirse al plan anual, porque el plan es una parte de la gestión y no su sustituto.

El punto fuerte del SG-SST es la asignación explícita de responsabilidades y evidencias. Esa característica resulta útil para integrar contratistas, comités, responsables de área y dirección, siempre que la evidencia muestre ejecución. Un formato firmado no prueba por sí mismo que el control se haya aplicado en el momento de mayor exposición.

Para una compañía regional, Colombia puede funcionar como prueba de disciplina operativa. La pregunta que conviene llevar al comité directivo es si cada acción tiene responsable, fecha, presupuesto, verificación y criterio de cierre. Cuando falta uno de esos elementos, el sistema conserva apariencia de avance sin controlar el riesgo que originó la acción.

¿Cuál marco ofrece mejor respuesta en cada decisión?

ISO 45001 gana cuando la dirección necesita una arquitectura común para varias operaciones. La NOM-STPS gana cuando la prioridad es responder a una obligación mexicana concreta con evidencia localizada. El SG-SST gana cuando la organización requiere una secuencia colombiana de responsabilidades, estándares mínimos y revisión formal.

La elección cambia según la pregunta. Si el comité pregunta cómo comparar plantas, ISO 45001 entrega la estructura. Si pregunta qué debe demostrar un centro mexicano, la respuesta debe partir de las NOM aplicables. Si pregunta cómo verificar la ejecución en Colombia, el SG-SST ofrece el ciclo de planificación y comprobación.

¿Qué errores aparecen cuando la empresa escoge un solo marco?

El primer error consiste en usar ISO 45001 como respuesta automática a cualquier obligación local. La certificación puede demostrar madurez del sistema, pero no acredita por sí sola cada requisito nacional. El segundo aparece cuando el equipo mexicano o colombiano mantiene una carpeta separada que no cambia la operación diaria.

El tercer error consiste en comparar indicadores sin explicar sus definiciones. Un centro puede reportar incidentes, ausentismo o acciones correctivas con criterios distintos, aunque el tablero corporativo muestre una cifra aparentemente comparable. La dirección necesita una ficha metodológica que indique alcance, periodo, población, fuente y limitaciones.

La investigación de incidentes revela el mismo problema. James Reason explicó que los accidentes organizacionales combinan fallas activas y condiciones latentes, por lo que la revisión debe observar barreras, decisiones y condiciones de trabajo, además de la conducta visible. Un procedimiento nacional y un sistema corporativo son más útiles cuando ayudan a encontrar esas condiciones antes de que vuelvan a coincidir.

¿Cómo integrar los tres marcos sin duplicar documentos?

La integración empieza con una matriz de obligaciones que relacione cada requisito local con un proceso corporativo, un responsable y una evidencia. La matriz debe señalar qué documento es común, qué elemento cambia por país y qué control se verifica en campo. Si todos los requisitos terminan en archivos separados, la integración no ocurrió.

Después conviene establecer una revisión trimestral de cambios regulatorios y operativos. La revisión debe incluir representantes de operaciones, recursos humanos, mantenimiento, compras y SST, porque el cumplimiento se deteriora cuando una modificación comercial o productiva no llega al sistema de gestión.

Un equipo regional también necesita una regla de escalamiento. Cuando un requisito local contradice una práctica corporativa, la operación no debe elegir informalmente. El responsable debe registrar la diferencia, evaluar el riesgo, consultar al asesor legal o técnico correspondiente y definir una condición de operación que pueda ser verificada.

La integración puede apoyarse en una secuencia sencilla. Primero se define el control corporativo que reduce el riesgo. Después se agregan las exigencias del país donde se ejecuta el trabajo. Finalmente se prueba la barrera en el lugar y se revisa si la evidencia demuestra ejecución, no solo intención.

Recomendación por contexto operativo

Una multinacional con operaciones en varios países debería adoptar ISO 45001 como columna vertebral de gobernanza, utilizar la NOM-STPS para el detalle mexicano y mantener el SG-SST como estructura de ejecución en Colombia. Esa decisión evita que cada país construya un sistema aislado, pero conserva la autoridad de los requisitos locales.

Una empresa mediana que opera en un solo país no necesita comenzar con una arquitectura corporativa compleja. Debe identificar primero las obligaciones aplicables, convertirlas en controles operativos y usar los principios de ISO 45001 para ordenar responsabilidades, consulta, auditoría y mejora.

Si el problema principal es psicosocial, la comparación regulatoria debe ampliarse con el instrumento que corresponda al país y al riesgo. La lectura sobre NOM-035, Resolución 2764 y CEAL-SM ayuda a distinguir instrumentos que suelen confundirse, mientras que la comparación de ISO 45001, ISO 45003 y NOM-035 permite ubicar la salud mental laboral dentro del sistema general.

La decisión final pertenece a la gobernanza, no a la carpeta

ISO 45001, la NOM-STPS y el SG-SST cumplen funciones distintas. El primero ordena la arquitectura de gestión, las normas mexicanas fijan obligaciones nacionales y el sistema colombiano estructura la ejecución verificable. Una operación regional obtiene valor cuando los tres marcos convergen en controles que pueden observarse, medirse y corregirse.

La pregunta que debe cerrar la revisión directiva es concreta: ¿qué decisión cambia mañana porque este marco existe? Si la respuesta solo menciona una auditoría o un documento, todavía falta conectar el sistema con la exposición real. La gobernanza madura aparece cuando el requisito modifica el diseño del trabajo, la asignación de recursos o la autorización para continuar.