Análisis de vulnerabilidad para empresas

Qué es el análisis de vulnerabilidad

La Ley 1523 de 2012 da las tres definiciones que ordenan todo. La amenaza es el peligro latente de que un evento, natural o causado por las personas, se presente con fuerza suficiente para causar daño. La vulnerabilidad es la «susceptibilidad o fragilidad» de quien puede ser afectado. Y el riesgo «se deriva de la combinación de la amenaza y la vulnerabilidad» (artículo 4, numerales 3, 25 y 27).

Traducido a una empresa: la amenaza casi nunca se puede quitar —el sismo va a venir, la bodega guarda inflamables—, pero la vulnerabilidad sí se puede bajar. Una brigada entrenada, una salida libre, una alarma que se oye en toda la planta o un plano de evacuación bien hecho no cambian la amenaza: cambian cuánto daño hace.

Qué norma lo exige

En el Decreto 1072 de 2015, el artículo 2.2.4.6.25 obliga a todo empleador a tener un plan de prevención, preparación y respuesta ante emergencias, y este análisis es su tercer numeral: «analizar la vulnerabilidad de la empresa frente a las amenazas identificadas, considerando las medidas de prevención y control existentes». Va precedido de identificar todas las amenazas (numeral 1) y los recursos disponibles, incluidas las redes de ayuda mutua (numeral 2), y seguido de valorar los riesgos según el número de trabajadores expuestos y los bienes de la empresa (numeral 4). El numeral 8 cierra el círculo: implementar acciones para reducir la vulnerabilidad, entre ellas los planos de las instalaciones y las rutas de evacuación.

La cobertura es más amplia de lo que se suele creer. Según el mismo artículo del Decreto 1072, el plan tiene que alcanzar cada sede y cada turno, y a todas las personas que trabajan allí, sean o no de la nómina: contratistas, proveedores y visitantes. Un análisis hecho solo para la sede principal y el turno de día está incompleto.

Las amenazas que se analizan

El numeral 1 habla de todas las amenazas que puedan afectar a la empresa, no solo del incendio. Se agrupan por su origen y se escogen mirando la sede de verdad: qué se almacena, cómo está construida, qué tiene alrededor.

Las amenazas internas no se inventan: salen de la matriz de peligros de la empresa, donde ya están identificados los peligros químicos, eléctricos y locativos de cada área. Lo que la matriz no ve está afuera de la reja: la estación de gasolina vecina, el río que se crece en invierno, la vía por donde pasan camiones con químicos. Esas amenazas externas también entran.

Los tres elementos que se evalúan

Frente a cada amenaza se mira la empresa desde tres lados, y se califican por separado. Un incendio en la bodega puede no lastimar a nadie y aun así parar la operación durante meses: son dos fragilidades distintas, y sumarlas en un solo número esconde justo lo que hay que corregir.

Las personas. Si hay quién coordine, si la brigada de emergencia está conformada y entrenada, si los trabajadores saben qué hacer y si se tiene en cuenta a quien no conoce la sede: contratistas, visitantes, clientes.

Los recursos. Los equipos con que se responde —extintores, red contra incendios, alarma, botiquín, iluminación de emergencia, señalización— y la edificación misma: salidas, escaleras, materiales. La Resolución 2400 de 1979 ya pide, en su artículo 16, puertas de salida libres de obstáculos que abran hacia afuera.

Los sistemas y procesos. Los servicios de los que depende la operación —energía, agua, comunicaciones—, si hay alternativas cuando fallan y qué tan rápido se puede volver a operar. Esa última pregunta es la que enlaza con el plan de contingencia.

Hay varias metodologías reconocidas para calificar estos tres elementos, como el método de colores. La norma no impone ninguna, pero el documento tiene que decir cuál usó y con qué escala. Si el documento muestra colores sin explicar cómo se asignaron, nadie puede saber por qué una amenaza quedó en rojo y otra en verde, y esa es la pregunta que cualquier revisión va a hacer.

Una empresa vista con los ojos del análisis

El análisis se hace caminando la sede, no frente a un escritorio. Esta maqueta muestra una planta con bodega, oficinas y patio como la ve quien hace el análisis: dónde está cada amenaza, qué recursos hay para responder, por dónde se sale y dónde se cuenta a la gente.

▶ Ver la planta en 3DInteractivo · pulse «Simular evacuación» y vea el conteo en el punto de encuentro

Qué debe dejar el análisis

Un análisis bien hecho termina en dos cosas. La primera, un nivel de riesgo por amenaza, que permite saber dónde poner primero el dinero y el esfuerzo. La segunda, y la que más se olvida, una lista de acciones para reducir la vulnerabilidad, cada una con responsable y fecha.

Esas acciones no se quedan en el documento. Pasan al plan de trabajo anual del SG-SST, a los procedimientos del plan de emergencias, a la dotación de la brigada y a los planos de evacuación que pide el numeral 8. Y cada simulacro de evacuación las pone a prueba: la Resolución 0312 pide verificar que las recomendaciones que deja el simulacro se cumplan.

Formato de análisis de vulnerabilidad

Este es el formato en blanco con los campos que la norma y este artículo explican: los datos de la sede, las amenazas identificadas, la vulnerabilidad de cada elemento y las acciones. No trae una escala de calificación a propósito: la escala sale de la metodología que la empresa declare. Se copia y se pega en Word o Excel.

Los errores que más se encuentran

• Amenazas copiadas de otra empresa: el río que no pasa cerca o la caldera que no existe.
• Sin metodología ni escala: colores o números sin decir de dónde salen.
• Un solo número para personas, recursos y procesos juntos.
• Solo la sede principal y el turno de día, sin contratistas ni visitantes.
• Un análisis sin acciones, o con acciones sin responsable ni fecha.
• Desconectado de la matriz de peligros, hasta el punto de contradecirla.
• Sin actualizar después de una remodelación, una sede nueva o un simulacro con hallazgos.

Qué arriesga la empresa

Cuando se revisa el plan de emergencias, este análisis es una de las piezas que se piden, y uno genérico se reconoce rápido. Es un hallazgo, y la Ley 1562 de 2012, en su artículo 13, fija las multas para el empleador que no cumple las normas de riesgos laborales. Pero el costo real llega el día de la emergencia: una salida que nadie revisó, una brigada que no existía o una alarma que no se oía en la bodega.

Qué exigirle a quien lo haga

• Que recorra la sede, cada sede y cada jornada, antes de escribir.
• Que identifique también las amenazas del entorno.
• Que declare la metodología y la escala que usó.
• Que califique personas, recursos y sistemas por separado.
• Que entregue acciones priorizadas con responsable y fecha.
• Que lo cruce con la matriz de peligros y con el plan de emergencias.