Registro de riesgos explicado: 7 campos para decidir con ISO 45001

Un registro de riesgos es una herramienta viva que organiza peligros, consecuencias, controles, responsables y decisiones para que la gestión no dependa de una matriz estática. Su valor aparece cuando se actualiza ante cambios reales, orienta el control operacional y permite demostrar por qué un riesgo fue aceptado, reducido o escalado.

¿Qué es un registro de riesgos?

El registro de riesgos convierte la identificación del peligro en una secuencia de decisiones verificables. No reemplaza el análisis de riesgos ni el control en campo. Ordena la información que permite saber qué puede ocurrir, quién debe actuar y qué evidencia demuestra que la exposición cambió.

ISO 45001:2018 exige que la organización identifique peligros, evalúe riesgos y oportunidades, planifique acciones y controle los procesos relacionados con la seguridad y salud en el trabajo. El registro es útil cuando conecta esos elementos con la operación, porque una fila sin dueño ni fecha no constituye una barrera.

La tesis práctica es sencilla. Una matriz puede mostrar una puntuación; el registro debe mostrar una decisión. Esa diferencia evita que la organización confunda actualizar colores con reducir riesgos.

¿Cuáles son los 7 campos que vuelven útil el registro?

Los siete campos siguientes forman una unidad mínima. Pueden ampliarse según el proceso, la legislación y la criticidad, aunque eliminar uno de ellos suele dejar una pregunta importante sin respuesta.

1. Peligro y fuente de exposición

Describe la energía, sustancia, condición o interacción que puede causar daño, junto con la fuente concreta. “Trabajo en altura” es demasiado amplio. Una descripción útil ubica la tarea, el equipo, el acceso y la condición que origina la exposición.

2. Evento no deseado

Registra qué tendría que ocurrir para que el peligro produzca una consecuencia. La caída de una carga, la liberación de energía o el contacto con una parte móvil permiten diseñar controles más precisos que una etiqueta genérica.

3. Consecuencia creíble

Indica el daño posible sin convertir la evaluación en una predicción exacta. Conviene distinguir una lesión menor de una fatalidad potencial, porque la frecuencia esperada no debe ocultar una consecuencia de alta severidad.

4. Controles existentes

Señala qué barreras ya deberían funcionar y en qué momento intervienen. Incluye controles de ingeniería, administrativos y equipos de protección personal, pero conserva la diferencia entre una medida diseñada para prevenir el evento y otra que solo limita el daño.

5. Evidencia de eficacia

Este campo separa el control declarado del control comprobado. Puede incluir una prueba funcional, una inspección, un registro de mantenimiento, una observación documentada o una verificación de competencia. La firma de una persona no demuestra por sí sola que la barrera se sostuvo.

6. Responsable con autoridad

Asigna a una persona o función que tenga capacidad real para modificar la condición, detener la tarea, pedir recursos o escalar el riesgo. El nombre de un área no basta cuando nadie puede tomar la decisión que el registro exige.

7. Fecha y criterio de revisión

Define cuándo se revisará el riesgo y qué cambio obligará a hacerlo antes. Una modificación de equipo, una nueva sustancia, un contratista distinto, un incidente o una alerta del personal pueden invalidar la evaluación aunque todavía no haya llegado la fecha del calendario.

¿Cómo se diferencia un registro vivo de una matriz archivada?

La diferencia está en la trazabilidad. Un registro vivo conserva la fecha de la última revisión, el cambio que la provocó, la decisión adoptada y la evidencia que falta. También muestra los riesgos que permanecen abiertos, incluso cuando el área preferiría cerrar la fila.

El riesgo residual en ISO 45001 ofrece una prueba útil. Si el control aparece como instalado, pero nadie puede explicar cómo se verifica bajo las condiciones reales, el registro debe conservar la incertidumbre. Ocultarla produce una aceptación administrativa, no una reducción de exposición.

La gestión del cambio requiere la misma disciplina. Cuando una tarea deja de ser la misma, el registro de riesgos debe acompañar el cambio, no esperar a la revisión anual. La información que no cambia con la operación pierde capacidad preventiva.

¿Qué marco regulatorio debe acompañar el registro?

ISO 45001:2018 ofrece la estructura internacional, pero la obligación concreta depende del país y de la actividad. En México, el registro debe dialogar con las NOM-STPS aplicables y con la NOM-035-STPS-2018 cuando el análisis incluya factores de riesgo psicosocial. En Colombia, debe integrarse al SG-SST y a los estándares mínimos de la Resolución 0312 de 2019.

En Chile, el análisis debe considerar el DS 40 y los criterios vigentes de SUSESO. En Argentina, corresponde revisar los requerimientos de la SRT y la Ley 19.587. En Perú, la Ley 29783 y sus instrumentos complementarios forman parte del marco que debe verificarse. La referencia legal no reemplaza el juicio técnico, pero sí define obligaciones, registros y responsabilidades que la organización no puede omitir.

¿Cuándo conviene actualizar cada campo?

La revisión debe activarse por cambio, evidencia o señal, no solo por una fecha fija. Un control que falla, un cuasi-accidente, una modificación de proceso, una nueva jornada, una queja de exposición o una diferencia entre turnos puede justificar una actualización inmediata.

El riesgo emergente que escapa al inventario anual muestra por qué la cadencia importa. El registro debe tener una revisión programada, aunque la programación nunca debe convertirse en permiso para ignorar una señal nueva.

¿Qué errores reducen el valor del registro?

El primer error consiste en usar una escala numérica como sustituto de la conversación técnica. El segundo es copiar controles de otro proceso sin verificar si funcionan en el lugar donde se aplican. El tercero es asignar responsables sin autoridad. El cuarto es cerrar acciones con una fecha, aunque la evidencia no muestre que el control cambió la exposición.

James Reason explicó que los accidentes organizacionales también nacen de fallas latentes que atraviesan varias defensas. El registro ayuda a hacer visibles esas condiciones cuando conserva la relación entre peligro, barrera, evidencia y decisión. En el acervo de Andreza Araújo, Cultura de Seguridad: de la teoría a la práctica sostiene una idea compatible con esta disciplina, porque la cultura se reconoce en las decisiones que se mantienen bajo presión, no en la declaración que aparece en una política.

¿Cuándo usar un registro de riesgos?

Úsalo para tareas críticas, procesos con cambios frecuentes, operaciones con contratistas, riesgos de alta consecuencia y sistemas que necesitan demostrar control ante auditorías o autoridades. Para una actividad simple y estable, puede bastar un formato más breve, siempre que conserve el peligro, el control, el responsable y el criterio de verificación.

La pregunta final no es cuántas filas contiene el registro. Es si una persona que recibe el relevo puede entender qué riesgo permanece abierto y qué decisión debe tomar antes de continuar.

Conclusión

Un registro de riesgos cumple su función cuando deja de ser un archivo de cumplimiento y se convierte en memoria operativa. Los siete campos permiten conectar peligro, evento, consecuencia, controles, evidencia, autoridad y revisión. Con esa trazabilidad, ISO 45001:2018 y los marcos regulatorios de América Latina pueden aterrizar en decisiones que todavía influyen en el trabajo real.