Auditoría SST: la auditoría anual del SG-SST

Qué es la auditoría SST

El artículo 2.2.4.6.29 del Decreto 1072 de 2015 dice que el empleador debe realizar una auditoría anual, planificada con la participación del Comité Paritario o el Vigía de Seguridad y Salud en el Trabajo. No es opcional ni depende del tamaño de la empresa: toda empresa que tiene SG-SST tiene que auditarlo.

Su propósito no es llenar un formato sino verificar si el sistema funciona: si la política se cumple, si los indicadores dicen la verdad, si los trabajadores participan, si los accidentes se investigan y si lo que está escrito pasa en la planta. Por eso termina en hallazgos, y los hallazgos en acciones.

Quién puede hacer la auditoría

El decreto admite que la haga personal propio o externo, con dos condiciones que no se negocian.

La primera: si se hace con personal interno, el auditor debe ser independiente a la actividad, área o proceso que verifica. La segunda está en el parágrafo del mismo artículo y es una frase corta: «Los auditores no deben auditar su propio trabajo».

En la práctica, eso descarta a la persona que administra el SG-SST como auditora de ese mismo sistema, y también a la firma externa que lo implementó o lo administra. El parágrafo agrega que el programa de auditoría define la idoneidad de quien audita, y que nombrar auditores no obliga a crear cargos nuevos.

Lo que debe revisar

El artículo 2.2.4.6.30 enumera lo que la auditoría debe abarcar, «entre otros». Son trece puntos, y casi todos tocan un documento o un registro que la empresa ya debería tener:

Una auditoría que solo mira si el documento existe no cumple este artículo. La pregunta en cada punto es si lo que dice el documento pasa en la realidad.

El programa de auditoría

El parágrafo del artículo 2.2.4.6.29 pide un programa de auditoría que defina, entre otros, la idoneidad de quien audita, el alcance, la periodicidad, la metodología y la forma de presentar los informes, y que tenga en cuenta los resultados de auditorías anteriores.

Ese último punto es el que más se olvida. Una auditoría que no revisa si se cerraron los hallazgos del año pasado empieza de cero cada año, y el sistema no mejora. Los resultados, dice el mismo artículo, se comunican a los responsables de adelantar las medidas preventivas, correctivas o de mejora.

Auditoría, autoevaluación y revisión por la dirección

Son tres ejercicios anuales distintos, y una empresa necesita los tres:

• La autoevaluación de estándares mínimos de la Resolución 0312 de 2019 la diligencia la empresa, califica ítems y se reporta. Está explicada en reporte de autoevaluación.
• La auditoría del Decreto 1072 la hace alguien independiente, verifica el funcionamiento del sistema con evidencia y termina en hallazgos.
• La revisión por la alta dirección (artículo 2.2.4.6.31) la hace la gerencia al menos una vez al año: decide, con los resultados en la mano, si la estrategia funciona y si los recursos alcanzan.

El orden lógico es ese: la auditoría alimenta la revisión de la dirección, que es el punto 13 de lo que la auditoría debe abarcar.

Qué pasa con los hallazgos

El informe de auditoría no cierra el ciclo: lo abre. Cada hallazgo debe llegar a quien tiene que corregirlo, convertirse en una acción con responsable y fecha, y quedar en el plan de trabajo. Después, la revisión por la dirección mira si esas acciones se cumplieron y si sirvieron.

Un informe archivado sin acciones es la señal más clara de un sistema que existe en papel. Y se nota en una visita de inspección del Ministerio de Trabajo, donde el informe de auditoría y las acciones que salieron de él son parte de la evidencia del sistema.

Auditoría SST e ISO 45001

La auditoría del Decreto 1072 es una obligación legal; la de ISO 45001 es voluntaria y la hace un organismo de certificación acreditado cuando la empresa quiere el certificado. Comparten la lógica —verificar con evidencia y cerrar hallazgos—, y un SG-SST bien auditado cada año llega mucho mejor preparado a una certificación.

La Resolución 0312 de 2019 también premia la constancia: para el reconocimiento de excelencia que otorga a las empresas, su artículo 22 exige, entre otros requisitos, un programa de auditoría funcionando más de dos años.

Qué arriesga la empresa

No hacer la auditoría anual es incumplir una obligación expresa del Decreto 1072, y las normas de seguridad y salud en el trabajo se sancionan con las multas del artículo 13 de la Ley 1562 de 2012. Pero el costo más frecuente no es la multa: es llegar a un accidente grave con un sistema que nadie verificó, y no poder demostrar que la empresa sabía dónde estaba fallando y qué hizo al respecto.

Los errores que más se encuentran

• Confundir la autoevaluación con la auditoría. La autoevaluación no reemplaza al auditor.
• Que la audite quien la administra. El decreto lo prohíbe con todas sus letras.
• Auditar solo documentos. Sin recorrido ni entrevistas, no se verifica nada.
• No planificarla con el COPASST o el vigía.
• No revisar los hallazgos del año anterior.
• Informe sin plan de acción ni responsables.
• Saltarse la revisión por la dirección, que es el último punto de lo que se audita.

Qué exigirle al auditor

• Que demuestre que no ha participado en implementar ni administrar el sistema que va a auditar.
• Que presente un programa de auditoría con alcance, metodología y forma del informe.
• Que cubra los trece puntos del artículo 2.2.4.6.30, no solo las carpetas.
• Que incluya recorrido en campo y entrevistas con trabajadores y con el COPASST.
• Que revise el cierre de los hallazgos anteriores.
• Que entregue un informe con hallazgos y evidencia, listo para convertirse en acciones.