Listado de técnicas para la Gestión de Riesgos

En el artículo anterior "Normativa relacionada con la gestión del riesgo", mencioné que las diversas normas ISO que definen las distintas disciplinas de los sistemas de gestión recomiendan consultar las normas ISO 31000 "Gestión del riesgo. Directrices" e ISO/IEC 31010 "Gestión del riesgo. Técnicas de evaluación del riesgo" para respaldar la demostración del cumplimiento del requisito de gestión del riesgo, un requisito común a todos los sistemas de gestión que pueden implementarse en la empresa.

Debido a la dificultad de aplicar una determinada metodología para llevar a cabo de forma eficiente la identificación, evaluación y toma de decisiones en relación a los riesgos y oportunidades (proceso de riesgos) que se pueden dar en una organización se puede consultar la guía  ISO/IEC 31010 "Gestión del riesgo. Técnicas de evaluación del riesgo". Dependiendo la tipología de riesgos que se necesiten gestionar y de la actividad que se necesite controlar, se deberá aplicar una u otra técnica. 

En este artículo, les proporcionaré una lista junto con breves descripciones de las diversas técnicas recomendadas en la norma ISO/IEC 31010 "Gestión del riesgo. Técnicas de evaluación del riesgo". El objetivo es ayudarles a identificar la técnica más apropiada para aplicar en la gestión de los riesgos asociados a su proyecto, actividad o proceso, buscando la máxima efectividad y eficiencia."

Mi propósito es publicar un artículo semanal que explique cada una de estas técnicas aplicadas a la gestión de riesgos en sistemas de gestión, acompañadas de un ejemplo práctico para ilustrar su aplicación. Si te interesa, te invito a seguirme en mis redes sociales en Linkedin y Facebook para recibir notificaciones cuando publique un nuevo artículo. Además, mantendré este artículo actualizado con enlaces a las publicaciones individuales que detallarán cada una de estas técnicas.

En la siguiente tabla se pueden visualizar las 31 técnicas propuestas por la norma ISO IEC 31010 "Gestión del riesgo. Técnicas de apreciación del riesgo":

A continuación se proporciona una pequeña explicación para cada una de las técnicas listadas anteriormente:

1. Lluvia de ideas. Esta técnica se utiliza para identificar una gran cantidad de riesgos potenciales, organizando sesiones estructuradas con preguntas específicas, registrando y documentando todas las ideas, clasificando y priorizando los riesgos, y luego realizando un análisis detallado de los mismos. Finalmente, se desarrolla un plan de mitigación y gestión de riesgos. Esta técnica debe completarse con otras técnicas y análisis para obtener una metodología eficiente y efectiva.

2. Entrevistas en estructuradas o semiestructuradas. Estas técnicas son especialmente útiles para identificar los riesgos. En las primeras se utilizan preguntas predefinidas para obtener respuestas comparables, mientras que las entrevistas semiestructuradas combinan preguntas específicas con otras abiertas para fomentar la creatividad. Ambos métodos ayudan a recopilar información valiosa de las partes interesadas y expertos, facilitando la identificación y evaluación de riesgos.

3. Técnica Delphi. Esta técnica consiste en obtener opiniones de un grupo de expertos de manera anónima y en múltiples rondas. Los expertos responden preguntas relacionadas con riesgos, y sus opiniones se agregan y retroalimentan en cada ronda. El proceso se repite hasta que se alcance un consenso o coincidencia en sus opiniones, y luego se utiliza esta evaluación colectiva para informar la toma de decisiones en la gestión de riesgos.

4. Listas de verificación. Esta herramienta consiste en una serie de preguntas, ítems o criterios específicos relacionados con un proyecto, proceso o actividad. Estas listas se utilizan para guiar y estructurar el proceso de identificación y evaluación de riesgos. Las preguntas en la lista están diseñadas para ayudar a los equipos de gestión a considerar una amplia gama de posibles riesgos y factores relacionados con el contexto específico en el que se aplican.

5. Análisis Preliminar del Peligro (APP). Esta técnica consiste en identificar, caracterizar y evaluar los peligros potenciales en proyectos o actividades. Se priorizan los peligros en función de su probabilidad e impacto, y se desarrollan estrategias de control y mitigación para prevenir incidentes y accidentes. Esta técnica se enfoca en la prevención al identificar y abordar riesgos antes de que se conviertan en problemas reales.

6. Los Estudios de Peligro y Operatividad (EPO o HAZOP) son una técnica sistemática en la gestión de riesgos utilizada para identificar y evaluar peligros y riesgos en procesos industriales. Se forma un equipo multidisciplinario que examina nodos críticos del proceso, genera posibles desviaciones o condiciones peligrosas, evalúa las consecuencias, identifica salvaguardias y documenta los resultados. El objetivo es prevenir accidentes y garantizar la seguridad en industrias como la química, petroquímica y farmacéutica.

7. Análisis de Peligros y Puntos Críticos de Control (APPCC). Esta técnica se utiliza principalmente en la industria alimentaria para garantizar la seguridad de los alimentos. Implica identificar peligros, establecer puntos críticos de control, definir límites críticos, monitorear, tomar acciones correctivas, verificar y documentar para prevenir riesgos para la salud pública.

8. Valoración del riesgo ambiental. El uso de esta técnica implica evaluar los posibles impactos negativos en el medio ambiente y la salud humana mediante diversas técnicas como la evaluación toxicológica, evaluación de impacto ambiental, modelado y análisis cuantitativo, dependiendo de la situación y los datos disponibles. La elección de la técnica depende de la naturaleza del riesgo y los requisitos reglamentarios, y se requiere experiencia en el campo para realizar una valoración efectiva.

9. La técnica estructurada "¿Qué Pasaría Si?" (EQPS o "What If?") es utilizada en la gestión de riesgos y seguridad industrial para explorar posibles escenarios de riesgo mediante la formulación de preguntas hipotéticas sobre procesos o situaciones. En una sesión EQPS, un equipo multidisciplinario plantea preguntas del tipo "¿Qué pasaría si...?" relacionadas con un escenario específico, analiza las posibles respuestas, identifica causas y consecuencias de eventos hipotéticos, y propone medidas de mitigación si se identifican riesgos o problemas. Esta técnica fomenta la identificación de riesgos y la toma de decisiones informadas en industrias como la petroquímica y la manufactura.

10. Análisis de escenario. El uso de esta técnica implica identificar, describir y evaluar posibles situaciones futuras que podrían afectar a un proyecto o actividad. Se priorizan los posibles escenarios en función de su probabilidad e impacto, se desarrollan planes de respuesta y se monitorea continuamente para tomar decisiones informadas y prepararse para diversas circunstancias. Esta técnica es útil en situaciones de incertidumbre y cuando múltiples factores pueden influir en el resultado.

11. Análisis del impacto en el negocio (BIA) es una técnica de gestión de riesgos que evalúa cómo los posibles escenarios de riesgo afectarían a los procesos críticos de una organización. Se identifican procesos esenciales, se evalúa el impacto de eventos adversos, se establecen prioridades, se desarrollan estrategias de continuidad y se elaboran planes de respuesta. El BIA es fundamental para la planificación de la continuidad del negocio y la mitigación de riesgos.

12. Análisis de Causa Principal (ACP) es una técnica de gestión de riesgos y mejora de procesos que busca identificar las causas fundamentales de un problema o evento no deseado. Se inicia identificando el problema, se recopilan datos, se analizan las causas superficiales y luego se profundiza para identificar las causas raíz. El objetivo es desarrollar acciones correctivas efectivas para prevenir la recurrencia del problema y mejorar el desempeño. Esta técnica es fundamental para comprender por qué ocurren los problemas y no solo tratar los síntomas.

13. Análisis de modos y efectos de fallas (AMEF) y análisis de modos y efectos de falla y criticidad (AMEFC) son técnicas utilizadas en la gestión de riesgos. El AMFE se centra en identificar modos de falla, evaluar sus efectos, determinar causas y calcular la severidad, ocurrencia y detección de cada modo. El AMFEC es una extensión del AMFE que también considera la criticidad de los modos de falla en función de su impacto en la organización. Ambas técnicas ayudan a priorizar y abordar modos de falla para mejorar la calidad, seguridad y confiabilidad en diversos sectores, especialmente en la ingeniería y la manufactura.

14. El Análisis de Árbol de Fallas (AAF) es una técnica que implica varias etapas clave: primero, se identifica un evento no deseado; luego, se identifican todas las posibles causas relacionadas con ese evento. A continuación, se crea un diagrama jerárquico conocido como "árbol de fallas" para visualizar estas relaciones y se evalúan las probabilidades y consecuencias asociadas a cada causa. Posteriormente, se lleva a cabo un análisis de riesgos para priorizar las causas más críticas. Finalmente, se desarrollan estrategias destinadas a mitigar o reducir los riesgos. Se puede concluir que el AAF facilita la comprensión y abordaje de los riesgos al desglosar un problema en sus componentes y tomar medidas para prevenir o reducir eventos no deseados.

15. Análisis de árbol de eventos (AAE). Esta técnica se centra en identificar y analizar las secuencias de eventos que pueden conducir a un resultado deseado o no deseado. Comienza identificando un evento objetivo, luego descompone este evento en eventos básicos, construye un árbol de eventos para representar sus relaciones, evalúa las probabilidades y consecuencias de los eventos básicos, realiza un análisis de riesgos para identificar secuencias críticas y, finalmente, desarrolla estrategias de gestión de riesgos para prevenir o mitigar las secuencias no deseadas y promover las deseadas.

16. Análisis de causa y consecuencia. Esta herramienta implica la identificación de eventos no deseados y la posterior identificación de todas las posibles causas y consecuencias relacionadas con esos eventos. A través de una matriz que conecta las causas y las consecuencias, se evalúa la probabilidad e impacto de cada causa en la ocurrencia de las consecuencias, lo que ayuda a priorizar las causas más críticas. Posteriormente, se desarrollan estrategias de gestión de riesgos para prevenir o mitigar las causas más significativas y, por lo tanto, reducir el riesgo de que ocurran las consecuencias no deseadas. Esta técnica proporciona una visión clara de las relaciones entre las causas y sus efectos en el contexto de la gestión de riesgos.

17. Análisis de causa y efecto. Esta herramienta, también conocida como Diagrama de Ishikawa, es una gráfica utilizada en la gestión de riesgos para identificar y analizar las causas potenciales de eventos no deseados. Se crea un diagrama que organiza las causas en categorías, mostrando cómo influyen en el evento no deseado. A través de este análisis, se pueden priorizar las causas más relevantes y desarrollar estrategias de gestión de riesgos para abordarlas, contribuyendo así a la reducción de la probabilidad o el impacto del evento no deseado. La principal función de esta herramienta es la toma de decisiones en la gestión de riesgos.

18. Análisis de capas de protección (ACDP) es una técnica utilizada en la gestión de riesgos para evaluar y fortalecer las defensas y medidas de seguridad en un sistema o proceso con el objetivo de prevenir o mitigar eventos no deseados. Esta metodología implica identificar las capas de protección existentes, evaluar su efectividad, identificar debilidades y, posteriormente, fortalecer estas capas mediante mejoras tecnológicas, entrenamiento del personal y cambios en los procedimientos. El objetivo final es reducir el riesgo residual a un nivel aceptable.

19. Análisis de árbol de decisiones consiste en identificar un problema o decisión, listar las opciones disponibles, identificar los posibles resultados, asignar probabilidades a esos resultados, y representar todo esto en un árbol de decisiones. Luego, se realiza un análisis para calcular el valor esperado de cada opción, considerando los resultados y sus probabilidades asociadas. Esto permite tomar decisiones informadas al seleccionar la opción que maximice el valor esperado o se ajuste mejor a los objetivos de gestión de riesgos, especialmente en situaciones de incertidumbre.

20. Valoración de la confiabilidad humana (VCH) es una técnica para evaluar y cuantificar la influencia de los factores humanos en la ocurrencia de errores o eventos no deseados en sistemas o procesos críticos. Implica la identificación de tareas cruciales y factores humanos que pueden afectar su ejecución, evaluación de la probabilidad de errores, cuantificación de la confiabilidad humana, y desarrollo de medidas de mitigación si es necesario. Se suele utilizar en industrias como la seguridad industrial y la aviación para mejorar la seguridad y el rendimiento teniendo en cuenta los aspectos humanos en la gestión de riesgos.

21. El Análisis en Esquema de Corbatín es una técnica de gestión de riesgos que utiliza una representación gráfica similar a una corbata para visualizar y analizar eventos no deseados. En el centro se encuentra el evento no deseado, con causas potenciales extendiéndose hacia la izquierda y consecuencias hacia la derecha. Entre las causas y consecuencias se representan barreras de control o medidas de mitigación. Esta técnica ayuda a identificar y comprender las causas y consecuencias de eventos no deseados, evaluar la efectividad de las medidas de control y tomar decisiones informadas para gestionar riesgos de manera proactiva en diversos campos, desde la seguridad industrial hasta la salud y la seguridad laboral.

22. Mantenimiento centrado en la confiabilidad. Esta técnica Implica la identificación de activos críticos, el análisis de funciones y fallas, la evaluación de impacto, la selección de estrategias de mantenimiento específicas para cada activo y la implementación de planes de mantenimiento para garantizar la confiabilidad y disponibilidad de los activos. Esta técnica contribuye a prevenir fallas en activos críticos que podrían resultar en eventos no deseados en una organización.

23. Análisis fortuito (AF) y análisis de circuito fortuito (ACF) son técnicas de gestión de riesgos que se utilizan para analizar eventos fortuitos y accidentales en sistemas complejos, centrándose en la identificación de causas, secuencias de eventos y consecuencias que podrían llevar a incidentes no deseados. El AF se aplica de manera más general para eventos imprevistos, mientras que el ACF se enfoca específicamente en eventos relacionados con sistemas eléctricos. Estas técnicas ayudan a comprender y prevenir incidentes, especialmente en entornos industriales y de seguridad crítica, permitiendo la adopción de medidas preventivas y de mitigación.

24. Análisis de Markov. El Análisis de Markov es una técnica matemática utilizada en la gestión de riesgos para modelar sistemas con transiciones de estado aleatorias. Implica identificar estados posibles, definir probabilidades de transición entre ellos y crear una matriz de transición. Al resolver el sistema de ecuaciones de Markov, se obtiene el estado estable que muestra la distribución de probabilidades a largo plazo de los estados del sistema. Esta técnica es valiosa para analizar riesgos en sistemas donde las transiciones de estado son fundamentales y las decisiones futuras dependen del estado actual del sistema. Esa herramienta es especialmente útil en la evaluación de riesgos en sistemas complejos y dinámicos.

25. Simulación de Monte Carlo. La técnica de Simulación de Monte Carlo es una herramienta esencial en la gestión de riesgos que se utiliza para modelar y evaluar sistemas o proyectos en situaciones de incertidumbre. Implica la identificación de variables de entrada, la definición de sus distribuciones de probabilidad, la generación de miles de escenarios aleatorios, la ejecución de modelos utilizando esos escenarios y la recopilación de resultados. Esta técnica permite a los tomadores de decisiones obtener una representación probabilística de los posibles resultados y evaluar el riesgo asociado, lo que facilita la toma de decisiones informadas en entornos complejos y con incertidumbre.

26. Estadísticas y redes bayesianas. Las técnicas estadísticas permiten analizar datos históricos y evaluar la probabilidad de eventos futuros, mientras que las redes Bayesianas modelan relaciones de causa y efecto entre variables para comprender cómo los riesgos se propagan en un sistema.

27. Curvas FN. Las Curvas de Frecuencia y Severidad (Curvas FN) son una técnica utilizada en la gestión de riesgos para representar gráficamente la relación entre la frecuencia y la severidad de eventos adversos o incidentes. Son especialmente valiosas para evaluar riesgos al recopilar y analizar datos históricos, lo que permite comprender cómo la probabilidad de ocurrencia de eventos se relaciona con el impacto o severidad asociada. Esta información es útil para tomar decisiones informadas en la gestión y mitigación de riesgos.

28. Índices de riesgo son una técnica común en la gestión de riesgos que implica la creación de métricas cuantitativas para evaluar y comparar riesgos en una organización (actividad y/o proceso) o en un proyecto. Estos índices se basan en parámetros como probabilidad, impacto, severidad y frecuencia para medir y priorizar riesgos. El proceso incluye la identificación de riesgos, la definición de parámetros, la recopilación de datos, el cálculo de índices, la clasificación y la toma de decisiones informadas para la gestión y mitigación de riesgos, lo que facilita la toma de decisiones fundamentadas sobre la asignación de recursos y estrategias de mitigación.

29. Matriz de consecuencia y probabilidad es una técnica para evaluar y priorizar riesgos en función de la probabilidad de ocurrencia y las consecuencias asociadas. Implica identificar riesgos, definir categorías para probabilidad y consecuencias, calificar los riesgos en la matriz y priorizarlos según su ubicación en la matriz. Los riesgos con alta probabilidad y consecuencias significativas se consideran críticos y requieren atención prioritaria. es una herramienta efectiva para la toma de decisiones informadas sobre la gestión de riesgos en diversos contextos.

30. Análisis de costo-beneficio (CBA) es una técnica utilizada para evaluar la eficacia de las estrategias de mitigación de riesgos y la asignación de recursos en función de consideraciones económicas. Implica identificar riesgos, estimar costos y beneficios asociados con las estrategias de mitigación, y luego compararlos para determinar si la inversión es justificable desde una perspectiva económica. Se utiliza para tomar decisiones informadas sobre la mitigación de riesgos en función de su impacto económico.

31. Análisis de decisión de criterios múltiples (ADCM) es una técnica ampliamente utilizada en la gestión de riesgos y la toma de decisiones en situaciones donde se deben considerar varios criterios para evaluar opciones y seleccionar la mejor alternativa. Implica identificar opciones y criterios relevantes, asignar pesos a los criterios, evaluar y clasificar las opciones en función de los criterios y pesos asignados, y seleccionar la mejor opción. Esta técnica es valiosa cuando se deben tomar decisiones informadas sobre estrategias de mitigación de riesgos o la elección de alternativas en contextos de gestión de riesgos.

[Continue reading...]

Definir el Alcance en la Gestión de Riesgos

Para garantizar un adecuado control y gestión de cualquier proceso empresarial y/o proyecto, es fundamental definir su alcance. En este sentido, la norma ISO 31000:2018 "Gestión de riesgos - Directrices" proporciona orientaciones específicas en su apartado 6.3.2, titulado "Definición del alcance", con el fin de definir el alcance de la gestión de riesgos. Estas recomendaciones resultan imprescindibles para garantizar una implementación efectiva y coherente de dicho proceso dentro de la organización.

Debido a que el proceso de gestión de riesgos puede aplicarse a diferentes niveles, como estratégico, operacional, de programa, de proyecto u otras actividades, es fundamental definir de manera precisa el alcance considerado, los objetivos relevantes a tener en cuenta y su alineación con los objetivos generales de la organización. En este artículo os explicaré cómo definir el alcance de la gestión de riesgos tanto en un sistema de gestión como en un proyecto de ingeniería.

En la tabla siguiente podéis observar los diferentes aspectos que se deben tener en cuenta para definir el alcance en la gestión de riesgos y que a continuación se explicarán en detalle:

¿Cómo definir el alcance de la gestión de riesgos de un sistema de gestión?

Definir el alcance de la gestión de riesgos de un sistema de gestión implica establecer los límites y las características específicas del proceso de gestión de riesgos en el contexto de ese sistema. En pocas palabras, consiste en determinar qué riesgos se incluirán y cómo se abordarán dentro del ámbito del sistema de gestión en cuestión.

Aquí hay algunos aspectos clave que se consideran al definir el alcance de la gestión de riesgos:

Identificación del sistema de gestión

Se debe tener claro sobre el sistema de gestión en el que se aplicará la gestión de riesgos. Por ejemplo, podría ser un sistema de gestión de calidad, un sistema de gestión ambiental o un sistema de gestión de seguridad de la información. Cada uno de ellos, dispone de unos procesos comunes que los hace fácilmente integrables, pero también disponen de procesos específicos asociados a una determinada disciplina (calidad, ambiental, seguridad...). 

Los criterios de evaluación de los riesgos, así como su identificación y planificación de las medidas de mitigación, deben ser específicas para cada disciplina. Por ejemplo, Los criterios para la evaluación de un riesgo asociado a un impacto ambiental son diferentes a los criterios definidos para evaluar un riesgo asociado a la peligrosidad de producirse un accidente laboral. 

Objetivos y metas

Es necesario establecer los objetivos y metas específicos que se desean lograr mediante la gestión de riesgos. Esto ayuda a enfocar los esfuerzos y recursos en los riesgos que son relevantes para alcanzar dichos objetivos. por lo tanto, ayudan a priorizar los riesgos en función de su relevancia.

Los objetivos del sistema de gestión pueden ser amplios y abarcar varios aspectos; en cambio, los objetivos específicos de la gestión de riesgos se centran específicamente en abordar los riesgos identificados. Estos objetivos deben estar alineados con los objetivos generales del sistema de gestión y contribuir a su logro.

Al definir objetivos específicos de la gestión de riesgos, se pueden establecer indicadores clave de rendimiento (KPIs) relacionados con la gestión de riesgos. Estos KPIs permiten medir y monitorear el progreso en la gestión de los riesgos identificados, lo que facilita la evaluación de la efectividad de las medidas implementadas y la toma de decisiones informadas.

Definir objetivos específicos de la gestión de riesgos ayuda a comunicar de manera clara y concisa qué se espera lograr en términos de la gestión de los riesgos. Esto asegura que todas las partes interesadas involucradas en el proyecto o sistema de gestión tengan una comprensión común de los objetivos y puedan contribuir de manera efectiva a su consecución. Estos objetivos como su seguimiento deben incluirse en el informe de gestión de riesgos que debe presentarse en las reuniones de la revisión del sistema como en las del seguimiento de los sistemas de gestión.

Por último, y no menos importante, al establecer objetivos específicos de la gestión de riesgos, se sienta una base para la mejora continua. 

Alcance del sistema: Se debe definir el alcance del sistema en términos de sus límites físicos, geográficos, organizativos y temporales. Esto ayuda a determinar qué actividades, procesos, áreas o unidades están incluidas en la gestión de riesgos.

Identificación de riesgos: Es importante especificar qué tipos de riesgos se considerarán dentro del alcance de la gestión de riesgos. Pueden ser riesgos internos o externos, riesgos relacionados con personas, tecnología, procesos, proveedores, clientes, entre otros.

Exclusiones: También es importante establecer las exclusiones, es decir, los riesgos que no se abordarán dentro del alcance de la gestión de riesgos. Estas exclusiones deben ser claras y documentadas adecuadamente.

Contexto y requisitos legales: Se deben tener en cuenta el contexto de la organización, además de los requisitos legales y regulatorios pertinentes para definir el alcance de la gestión de riesgos. Esto garantiza que se cumplan todas las obligaciones legales y se aborden los riesgos relevantes asociados.

Por lo tanto, el alcance de la gestión de riesgos implica delimitar qué riesgos se incluirán y cómo se gestionarán dentro del ámbito específico del sistema, considerando los objetivos, el alcance del sistema y los requisitos legales aplicables. Esto proporciona un enfoque claro y estructurado para abordar los riesgos y mejorar la capacidad del sistema de gestionarlos de manera efectiva.

Ejemplo práctico de cómo definir el alcance de la gestión de riesgos en un sistema de gestión ambiental basado en la norma ISO 14001:2015 en una empresa química:

Identificación del sistema de gestión ambiental. El alcance de la gestión de riesgos se establece dentro del sistema de gestión ambiental de la empresa química, el cual cumple con los requisitos de la norma ISO 14001. Esto incluye todas las actividades y procesos relacionados con la fabricación, almacenamiento, transporte y uso de productos químicos.

Objetivos. El alcance de la gestión de riesgos se define en función de los objetivos ambientales establecidos en el SGA. Por ejemplo, los objetivos pueden estar relacionados con la reducción de emisiones contaminantes, la gestión adecuada de residuos químicos, la prevención de accidentes ambientales y el cumplimiento de la normativa aplicable.

Alcance de las instalaciones y operaciones. Se establece que la gestión de riesgos se aplica a todas las instalaciones y operaciones de la empresa química. Esto incluye plantas de producción, áreas de almacenamiento, laboratorios, sistemas de tratamiento de aguas residuales, entre otros.

Identificación de riesgos ambientales en las operaciones. Se deben identificar los riesgos ambientales asociados con las operaciones de la empresa química. Esto implica considerar aspectos como la contaminación del suelo y del agua, la emisión de sustancias tóxicas o peligrosas, los posibles derrames o fugas, y los impactos en la salud humana y en los ecosistemas.

Cumplimiento legal y normativo. El alcance de la gestión de riesgos incluye los riesgos relacionados con el cumplimiento de las leyes y regulaciones ambientales aplicables a la empresa química. Esto implica identificar y gestionar los riesgos asociados con el incumplimiento de permisos, licencias ambientales, sustancias reguladas y requisitos de notificación.

Exclusiones específicas. Se establecen exclusiones específicas dentro del alcance de la gestión de riesgos. Por ejemplo, si ciertas operaciones o procesos están subcontratados a terceros, se debe definir claramente la responsabilidad y los requisitos de gestión de riesgos para esos proveedores externos.

¿Cómo definir el alcance de la gestión de riesgos en un proyecto de ingeniería?

Definir el alcance de la gestión de riesgos en un proyecto de ingeniería implica establecer los límites y las características específicas del proceso de gestión de riesgos en el contexto de ese proyecto. 

A continuación se definen algunos pasos que puedes seguir para definir el alcance de la gestión de riesgos en un proyecto de ingeniería:

Identificar los riesgos relevantes. Se comienza por identificar los riesgos potenciales asociados con el proyecto de ingeniería. Esto implica realizar un análisis exhaustivo de las posibles amenazas y eventos que podrían afectar el éxito del proyecto. Estos riesgos pueden incluir aspectos técnicos, de seguridad, financieros, legales, de recursos humanos, entre otros.

Analizar el contexto del proyecto. Se considera el entorno en el que se llevará a cabo el proyecto de ingeniería. Esto puede incluir factores como el marco legal o normativo, el entorno físico, las restricciones locales, los requisitos de seguridad y las expectativas de las partes interesadas. Estos elementos ayudarán a definir el alcance de los riesgos que deben ser considerados en la gestión.

Establecer los objetivos y límites del proyecto. Se deben definir los objetivos específicos del proyecto de ingeniería, así como los límites del mismo. Esto puede incluir la descripción de los productos o servicios entregables, las metas clave, los recursos disponibles y cualquier restricción importante. Estos elementos ayudarán a enfocar los esfuerzos de gestión de riesgos en el contexto del proyecto.

Definir las responsabilidades. Es importante establecer claramente las responsabilidades y roles de los miembros del equipo en la gestión de riesgos. Esto incluye identificar quiénes serán los responsables de identificar, evaluar y controlar los riesgos, así como de implementar las medidas de mitigación y contingencia correspondientes.

Determinar las exclusiones. Al definir el alcance de la gestión de riesgos, también debes identificar las exclusiones, es decir, los riesgos que no se abordarán dentro del alcance del proyecto. Esto puede incluir riesgos que sean considerados aceptables o aquellos que estén fuera del control del proyecto.

Documentar el alcance de la gestión de riesgos. Una vez se hayan definido todos los elementos anteriores, es importante documentar claramente el alcance de la gestión de riesgos en el proyecto de ingeniería. Esto puede hacerse en el plan de gestión de riesgos del proyecto, donde se describirán los riesgos incluidos, los límites establecidos y las responsabilidades asignadas.

Recuerda que la definición del alcance de la gestión de riesgos en un proyecto de ingeniería es un proceso iterativo y puede ajustarse a medida que el proyecto avanza y se descubren nuevos riesgos o cambios en el contexto. La comunicación efectiva con el equipo del proyecto y las partes interesadas relevantes es fundamental para asegurar una comprensión común del alcance y la gestión de los riesgos identificados.

Ejemplo práctico de cómo definir el alcance de la gestión de riesgos en un proyecto de ingeniería:

Identificación del proyecto. El alcance de la gestión de riesgos se establece para el proyecto de ingeniería en particular, como la construcción de un puente, una planta de energía o una infraestructura vial.

Objetivos del proyecto. El alcance de la gestión de riesgos se define en función de los objetivos del proyecto, como cumplir con los plazos establecidos, mantener el presupuesto asignado, asegurar la calidad del trabajo y garantizar la seguridad de los trabajadores y del público.

Alcance de las actividades. Se establece qué actividades y procesos específicos estarán cubiertos por la gestión de riesgos. Por ejemplo, si se trata de la construcción de un puente, el alcance puede incluir la planificación, el diseño, la construcción y las etapas de mantenimiento posteriores.

Identificación de riesgos. Se deben identificar los riesgos específicos asociados con el proyecto de ingeniería. Esto puede incluir riesgos relacionados con la seguridad en el sitio de construcción, la estabilidad del suelo, los problemas de suministro de materiales, los riesgos ambientales, los conflictos con las comunidades locales, entre otros.

Evaluación y priorización de riesgos. Se realiza una evaluación de los riesgos identificados para determinar su probabilidad de ocurrencia y el impacto potencial en el proyecto. Luego, se priorizan los riesgos en función de su nivel de riesgo, lo que ayuda a determinar las acciones necesarias para mitigarlos.

Plan de gestión de riesgos. Se desarrolla un plan de gestión de riesgos que incluye estrategias y medidas específicas para abordar los riesgos identificados. Esto puede implicar la implementación de controles de seguridad, la contratación de expertos en el manejo de riesgos, la capacitación del personal, el establecimiento de planes de contingencia y la asignación de responsabilidades claras.

Es importante destacar que este ejemplo puede variar dependiendo del tipo de proyecto de ingeniería y sus características específicas. Cada proyecto requerirá un análisis individual de los riesgos y la definición de su alcance de gestión de riesgos. Además, es fundamental contar con la participación de expertos en gestión de riesgos y otros profesionales relevantes para garantizar una gestión eficaz de los riesgos en el proyecto de ingeniería.

Alcance y planificación de la Gestión de riesgos

La definición del alcance y la planificación de la gestión de riesgos están estrechamente relacionadas y se complementan mutuamente en el proceso de gestión de riesgos. 

La definición del alcance establece los límites y los elementos que serán considerados dentro de la gestión de riesgos. Es decir, determina qué aspectos, actividades o áreas estarán incluidas en el análisis y la gestión de riesgos. Esto proporciona una base clara para identificar los riesgos pertinentes y establecer los objetivos y las metas de la gestión de riesgos.

La planificación de la gestión de riesgos se basa en la definición del alcance y tiene como objetivo establecer los procesos, las metodologías y los recursos necesarios para identificar, evaluar y gestionar los riesgos de manera efectiva. En esta etapa, se desarrolla un plan de gestión de riesgos que aborda cómo se llevará a cabo el análisis de riesgos, quién será responsable de cada tarea, qué herramientas y técnicas se utilizarán, y cómo se comunicarán los resultados y las medidas de mitigación.

La definición del alcance proporciona la base para determinar qué riesgos se deben considerar en el sistema de gestión, proyecto, proceso..., mientras que la planificación de la gestión de riesgos establece cómo se abordarán esos riesgos identificados. Ambos procesos son interdependientes y se llevan a cabo en conjunto para garantizar una gestión de riesgos efectiva.

Al planificar los riesgos se deben tener en cuenta las siguientes consideraciones:

- Los objetivos y las decisiones que se deben tomar.

- Los resultados esperados de cada etapa del proceso.

- El tiempo, la ubicación y las inclusiones y exclusiones específicas.

- Las herramientas y técnicas adecuadas para evaluar los riesgos.

- Los recursos necesarios, las responsabilidades asignadas y los registros a mantener.

- Las relaciones con otros proyectos, procesos y actividades.

[Continue reading...]

Auditoría remota de un Sistema de Gestión

¿Es posible realizar auditorías internas y/o externas de forma remota? ¿Qué aspectos debemos tener en cuenta? ¿Existe alguna normativa al respecto? En este artículo se contestarán estas y otras preguntas relacionadas con la realización de auditorías a distancia.

Las auditorías virtuales se llevan a cabo cuando una organización realiza su trabajo o presta servicios a través de un entorno en línea que permite a las personas ejecutar procesos sin importar su ubicación física. Esto puede incluir el uso de la intranet de la empresa, servicios de "computación en la nube" u otros sistemas similares. A menudo, se hace referencia a una auditoría realizada en un entorno virtual como una auditoría virtual.

Por otro lado, las auditorías remotas se enfocan en el uso de la tecnología para recopilar información, entrevistar a los auditados y llevar a cabo los procesos de auditoría cuando las reuniones "cara a cara" no son posibles o no son convenientes. Este enfoque permite a los auditores conectarse con los auditados de manera efectiva, sin importar su ubicación geográfica. Este sistema ha sido de especial ayuda en los años de pandemia donde era imposible la realización de auditorías físicas.

Las auditorías remotas pueden ser especialmente útiles en situaciones en las que los viajes son costosos, peligrosos o simplemente no prácticos. Además, pueden ser muy útiles en situaciones en las que se requiere una auditoría rápida y precisa. En tales casos, la tecnología puede permitir que los auditores recopilen la información necesaria en tiempo real y realicen su trabajo de manera eficiente.

En el anexo 4.15c “actividades de auditoría virtual” y el anexo 4.16 "Auditoría de actividades y ubicaciones virtuales" de la norma ISO 19011:2018 "Directrices para la auditoría de los sistemas de gestión", se recomienda incluir en este tipo de auditoría los siguientes aspectos:

Uso de protocolos de acceso remotos, incluyendo los dispositivos y software. Para hacer auditorías remotas, se necesitan dispositivos y software especiales para acceder al sistema de la empresa y consultar los documentos necesarios. La empresa debe otorgar permisos específicos de acceso al auditor para que pueda hacerlo de forma remota. En algunos casos, el auditor debe instalar una aplicación para acceder al sistema, pero en otros, solo necesita una plataforma de video llamada segura para compartir pantalla y visualizar los documentos. Siguiendo estos requisitos, se pueden realizar auditorías remotas eficaces para ayudar a la empresa a cumplir con las regulaciones y mejorar su desempeño.

Se deben realizar verificaciones técnicas antes de la auditoría para resolver cuestiones técnicas. Sobre todo en los casos donde el auditor tiene que instalarse un determinado software o aplicación, ya que no estará familiarizado con ello, y puede que le surjan dudas o problemas a la hora de acceder.

Planes de contingencia ante una incidencia en la comunicación. En la reunión de apertura de la auditoría, tanto el auditor como el auditado, deberían acordar los planes de contingencia a contemplar en el caso de producirse una incidencia en la comunicación durante la conexión remota. Por ejemplo, en el caso de no poder conectarse por problemas técnicos en un momento dado del proceso, acordar cuándo y cómo se va a recuperar el tiempo que no se ha podido auditar.

Otro punto importante, es la competencia del auditor en la realización auditorías remotas, incluyendo los siguientes aspectos:

- Es necesario contar con habilidades técnicas para utilizar adecuadamente los equipos electrónicos necesarios, otras tecnologías, el software y las plataformas acordadas por ambas partes para establecer una comunicación fluida durante la auditoría.

- Experiencia en realizar reuniones de forma virtual, así como saber cómo proporcionar los enlaces a la reunión, con la finalidad que ambas partes puedan conectarse de forma segura y ágil.

En la reunión de apertura de una auditoría remota, se deberían incluir y acordar los siguientes aspectos:

- Los riesgos y oportunidades asociados con las auditorías virtuales.

- El auditor y el auditado deben asegurarse que están aplicando protocolos acordados por ambas partes de acceso remoto, incluyendo los dispositivos y software.

- El uso de planos, diagramas o listados de las ubicaciones remotas de los archivos y documentos del sistema.

- Facilitar la prevención de interferencias e interrupciones en la señal por ruidos de fondo. En estas ocasiones, por ambas partes, eligen realizar las conexiones desde despachos o habitaciones en las que no tengan un ruido de fondo.

- El auditor deberá pedir permiso por adelantado para tomar capturas de pantalla de documentos o cualquier tipo de grabación, con la finalidad de garantizar la privacidad, seguridad y confidencialidad del auditado.

- En caso de que surja un contratiempo durante el acceso remoto, es importante que el auditor revise la situación con el auditado. De esta manera, se puede llegar a un acuerdo sobre la mejor forma de proceder, ya sea interrumpiendo la auditoría, reprogramándola o continuando con ella

- Durante las pausas de la auditoría, ambas partes deberían parar la videollamada (video y voz) para asegurar la confidencialidad y la privacidad durante estos recesos.

Habitualmente, la metodología de una auditoría remota es la siguiente:

El auditor se entrevista con el interlocutor de la empresa a través de una videoconferencia. Durante la sesión, el auditado compartirá la pantalla para permitir que el auditor pueda revisar y verificar los documentos de la empresa de la misma manera que lo haría durante una auditoría presencial. Para ello, la empresa deberá tener digitalizados los diferentes documentos del sistema. Además, el auditor puede solicitar entrevistar a empleados clave y verificar el funcionamiento de procesos específicos. En tales situaciones, el auditado deberá enfocar la cámara en la tarea solicitada para que el auditor pueda verificar la metodología descrita en los procedimientos de la empresa. Como en las auditorías presenciales, el auditor deberá preparar el informe final de auditoría, y presentarlo en la reunión de cierre o final (de forma remota) para aprobarlo por ambas partes. En estos casos la firma del informe se realiza también de forma remota mediante la firma o certificado digital.

En la siguiente tabla se puede observar un breve resumen de los aspectos descritos en este artículo:

La auditoría remota se realiza principalmente para cumplir con las restricciones de tiempo y distancia, lo que hace que la auditoría presencial sea difícil o imposible. Aunque la auditoría remota ofrece una solución práctica en estas situaciones, también puede presentar algunos desafíos, como la falta de acceso a ciertas áreas de la empresa o limitaciones en la calidad de la conexión a internet.

[Continue reading...]

Revisión por la Dirección según la ISO 45001:2018

En el apartado 9.3 de la norma ISO 45001:2018 que desarrolla los requisitos de los sistemas de gestión de Seguridad y Salud en el trabajo, se describe la necesidad de realizar la Revisión por la Dirección del sistema de gestión. En este artículo, vamos a presentar qué aspectos se deben tener en cuenta para el cumplimiento de este requisito.

Consideramos la Revisión por la Dirección una revisión periódica del SGSST con el objetivo de evaluar su conveniencia, adecuación y eficacia continuas, así como el grado de cumplimiento de los objetivos de SST marcados, valorando la necesidad de cambios y las oportunidades de mejora.

Se suele realizar una vez al año, normalmente a principios de año, ya que en esta revisión se debe revisar todos los resultados obtenidos del año anterior y se fijan las pautas a seguir para el año que entra. Tanto la periodicidad como la metodología a realizar para cumplir y evidenciar dicho requisito debe quedar definida por la empresa en la documentación del sistema; ya sean en forma de procedimiento, instrucción, ficha de proceso o cualquier otro tipo de documento.

Esta revisión se suele evidenciar en forma de acta de reunión, donde se recogen cada uno de los puntos (requisitos) que se revisan. En la reunión deben estar todos los miembros que componen el Comité de Seguridad y Salud de la empresa. Debido a que se deben tratar numerosos aspectos, es importante que cada uno de los miembros del Comité, disponga y aporte los datos e información necesaria para ser revisada en la reunión. Habitualmente, es el Responsable (Coordinador) de Seguridad y Salud de la empresa el que se encarga días antes de la reunión de verificar y recopilar todos los datos e información necesaria a tratar en la revisión.

El Responsable de Seguridad y Salud deberá presentar los datos de seguimiento del desempeño del SGSST y proponer los cambios y necesidades de recursos, con la finalidad que se aprueben las decisiones a tomar por parte del Comité y de la Dirección. El responsable de Seguridad y Salud será el encargado de elaborar el Acta de la Revisión del Sistema, y de comunicar los resultados de la Revisión a las partes interesadas que sean de aplicación.

El informe o acta de reunión correspondiente a la Revisión del Sistema debe contener el análisis de los siguientes aspectos del Sistema:

- El estado de las acciones de las revisiones por la Dirección previas.

Los cambios en las cuestiones internas y externas que sean pertinentes al sistema de gestión incluyendo:

• Las necesidades y expectativas de las partes interesadas.
• Los requisitos legales y otros requisitos.
• Los riesgos y oportunidades.

- El grado en que se han cumplido la política de SST y los objetivos marcados en la anterior Reunión de la Revisión del Sistema.

- La información sobre el desempeño de la SST, incluidos los siguientes aspectos:

• Los incidentes, no conformidades, acciones correctivas y de mejora.
• Los resultados de seguimiento y medición.
• Los resultados de la evaluación del cumplimiento de los requisitos legales y otros requisitos.
• Los resultados de la auditoría/s e inspecciones.
• La consulta y participación de los trabajadores.
• Los riesgos y oportunidades.

- La adecuación de los recursos para obtener un sistema de gestión de la SST eficaz

- Las comunicaciones pertinentes con las partes interesadas

- Los resultados de participación y consulta

- Estado de las investigaciones de incidentes y accidentes, las acciones correctivas y las acciones preventivas.

- Las oportunidades de mejora continua

Teniendo en cuenta los aspectos anteriores, las conclusiones y decisiones que tiene que describir el informe de la revisión del sistema son:

• La conveniencia, adecuación y eficacia del sistema de gestión de la SST en alcanzar sus resultados previstos.
• Las oportunidades de mejora.
• Cualquier necesidad de cambio en el sistema de la SST
• Las acciones si son necesarias
• Las oportunidades de mejorar la integración del sistema de la SST con los procesos de la empresa.
• Cualquier implicación para la dirección estratégica de la organización.

Los resultados incluyen las decisiones tomadas y acciones planificadas en relación con el desempeño del SGSST, los cambios en la Política y objetivos de SST y los recursos necesarios para lograrlo.

Un ejemplo de formato de Informe de revisión del sistema podría ser el siguiente:

Debido a que esta norma, como otras normas ISO asociadas a los sistemas de gestión, tienen una estructura de Alto Nivel, este requisito es fácilmente integrable. Es decir, para aquellas empresas que dispongan de un sistema de gestión integrado, pueden fusionar este documento con las demás revisiones por la Dirección de los otros sistemas de gestión.

En el caso que necesitéis saber cómo evidenciar el cumplimiento de cada uno de los requisitos de la norma ISO 45001:2018 (con ejemplos prácticos), os recomiendo que compréis mi libro /guía donde explico paso a paso cómo hacerlo. En el siguiente enlace disponéis de la descripción, índice y la información necesaria para adquirirlo: Guía de Elaboración del SGSST según la norma ISO 45001:2018

[Continue reading...]

Estructura documental del sistema de gestión

Cuando por primera vez nos encargan implantar un sistema de gestión de calidad para una empresa y no tenemos mucha idea de cómo hacerlo, lo primero de todo es saber por dónde empezar y cómo debemos dar forma a toda la documentación; para ello debemos tener claro la estructura que debemos dar a la documentación. En este artículo pretendo daros unos consejos para orientaros en esta tarea.

Si nos centramos en la norma ISO 9001:2015 (gestión de calidad) nos damos cuenta que existen numerosos requisitos que cumplir, pero a pesar de ello podemos agruparlos. para cada uno de ellos, deberemos evidenciar mediante documentos el cumplimiento de los mismos por parte de la empresa, estableciendo una estructura que nos permita organizar, identificar y encontrar cada uno de los documentos que componen el sistema.

Existen varias formas de hacerlo. Todas ellas son igual de válidas y correctas. Deberéis encontrar la manera que mejor se adapte a vuestra empresa. Es un punto importante, ya que depende lo que decidáis, va a generar más o menos papeleo. Mi consejo es que intentéis minimizar las repeticiones, ser concisos y precisos, ya que la finalidad de tener implantado en la empresa un sistema de gestión implica mejorar y controlar y no generar trabajo adicional, copioso. Si diseñamos el sistema con la última finalidad de rellenar papeles para pasar las auditorías, no servirá de nada y además tendréis que realizar un trabajo desorbitado justo antes de las auditorías.

Cualquier sistema de gestión, como por ejemplo los basados en las normas ISO 9001, ISO 14001, ISO 45001, ISO 27025, ISO 26000... disponen de una serie de requisitos que se deben cumplir y evidenciar que se cumplen mediante constancia documental. Muchos de los requisitos de gestión son comunes en todas estas normas (formación, evaluación de riesgos, mejora continua...), con lo que facilita su integración. 

En las versiones anteriores de las normas ISO requerías de la elaboración de un Manual, además de cumplimentarlo con procedimientos, instrucciones y registros. En las nuevas versiones esta obligatoriedad no existe, pero se puede mantener. De ahí que muchas empresas, que ya disponían de un sistema de gestión sigan manteniendo la estructura del Manual, procedimientos, instrucciones e información documentada (registros, listados, catálogos...). Todos los documentos anteriores se deberán identificar y controlar tanto las ediciones como los formatos.

En otros casos casos, se ha eliminado el Manual, dejando los procedimientos, instrucciones e información documentada (registros, listados...). Y finalmente, encontramos empresas que, por su simplicidad en su actividad (tareas) elaboran fichas de procesos e información documentada (registros, listados, informes...) donde se puede evidenciar el cumplimiento y control de todos los requisitos, sin la necesidad de disponer de la descripción de metodologías o protocolos a seguir.

Implementar un sistema de gestión basado en las normas ISO, se puede realizar mediante documentos propios elaborados por la empresa utilizando software simple (procesadores de texto, hojas de cálculo, bases de datos...) o bien el uso de aplicaciones informáticas específicas que nos facilitan la gestión integral de la empresa. Con la finalidad de agilizar y obtener la mayor información posible de la operatividad de los procesos, cada vez más empresas se decantan por la implementación de un sistema de gestión empresarial. Si necesitáis saber más podéis consultar el siguiente enlace: Sistema de Gestión Empresarial.

A continuación os voy a definir las diferentes opciones que podemos utilizar para estructurar la documentación del sistema:

El Manual consiste en un documento donde se describe de una forma breve, su actividad, su alcance y cómo la empresa cumple y evidencia con cada uno de los requisitos de la norma de aplicación. En esta descripción breve se suele hacer referencia a aquellos documentos que explican detalladamente cómo la empresa desempeña sus procesos y que evidencian el cumplimiento de cada requisito. Adjunto al Manual, suelen anexarse varios documentos como pueden ser la política, el mapa de procesos, el organigrama...

Para aquellas empresas que optan por eliminar el documento del Manual, deberán disponer de documentos individuales donde evidenciar aspectos que se incluyen en él, como por ejemplo, el alcance del sistema, política, mapa de procesos, definición de la actividad...

Los Procedimientos son documentos que describen de forma detallada las metodologías y protocolos a seguir para llevar a cabo todas las actividades que afectan directamente a los procesos de la empresa. Por lo tanto, establecen la operativa general de la empresa: qué hay que hacer, quien lo tiene que hacer, cómo y qué documentos se deben generar (registros, informes, listados...).

Si necesitas saber cómo puedes elaborar un proceso, puedes consultar el siguiente enlace: ¿Cómo elaborar un procedimiento?

Ficha de proceso es una herramienta que nos sirve para ver de una forma esquemática, las diferentes fases de un proceso, las responsabilidades de las personas que intervienen en el mismo, así como la documentación que se genera. También se deben describir los indicadores para controlar y medir el proceso. El concepto es el mismo que en un procedimiento, pero de forma esquemática. Si el proceso que se debe describir es simple y no requiere de la explicación detallada y compleja del mismo para que los trabajadores puedan desempeñar las diferentes tareas, nos podemos decantar por este formato. 

Si necesitas saber cómo puedes elaborar una ficha de proceso puedes consultar el siguiente enlace: ¿Cómo elaborar una ficha de proceso? 

En algunas empresas, también, podemos encontrar una sistema mixto; es decir, algunos procesos se documentan mediante fichas de proceso y algunos con procedimientos. En todo caso, se deberá indicar cómo se va a proceder y estructurar el sistema.

Las Instrucciones de Trabajo son documentos para definir operaciones técnicas muy particulares: recogiendo criterios técnicos. Para su elaboración se tiene en cuenta la legislación, la normativa aplicable o cualquier tipo de información bibliográfica o experimental así como los requisitos general que sean de aplicación recogidos en el Manual o en los procedimientos.

Naturalmente, hay empresas que debido a su actividad o bien sistema de gestión a implementar, no es necesario la existencia de instrucciones; pero en cambio otras actividades, necesitan de protocolos específicos y muy detallados para desempeñar una determinada tarea. Por ejemplo: instrucción de manipulación a agentes químicos en el laboratorio, instrucción técnica para el trabajos en altura, instrucción técnica del ensamblaje de motores.

Cabe aclarar que las instrucciones de trabajo son detalles de cómo realizar una determinada tarea de un proceso en concreto y como hemos definido anteriormente, los procedimientos y/o fichas de proceso son los que desarrollan el proceso en su totalidad. Por lo tanto, la instrucción de trabajo deberá colgar (generarse) a raíz de un procedimiento y/o ficha de proceso.

La Información Documentada son los documentos que evidencian, de forma objetiva la realización de las actividades que se consideran determinantes ya que se considera necesario dejar constancia de datos, resultados o responsabilidades y es por este motivo que han de ser conservados, protegidos, revisados y fácilmente recuperables.

Si necesitáis saber cómo controlar los formatos de los documentos del sistema podéis consultar el siguiente enlace: Control de los formatos de los documentos según la ISO 9001:2015.

Todos los documentos del sistema deben identificarse y controlarse; por lo tanto, en la mayoría de casos, las empresas optan por codificar sus documentos. Si necesitáis saber cómo hacerlo, os recomiendo que consultéis el siguiente enlace: ¿Qué documentos debemos codificar según la norma ISO 9001:2015? y Codificación de documentos.

[Continue reading...]

Identificación del contexto de la organización según la norma ISO 45001:2018

En el apartado 4 de la norma ISO 45001:2018 se describen los requisitos en relación a la identificación del contexto de la organización. En este artículo os voy a describir cómo podemos documentar el apartado 4.1 sobre la comprensión de la organización y su contexto.

Como las demás normas ISO asociadas a la implementación de los sistemas de gestión, la identificación del contexto es un requerimiento común a todas estas normas aunque se deberá cumplimentar con enfoques diferentes en función del sistema de gestión que se esté implementando, aunque será de fácil integración si se desea.

Para poder identificar las cuestiones internas y externas que aplican a la organización se deberá establecer una metodología y generar una evidencia documental que nos facilite el análisis posterior. Los resultados de la identificación de los aspectos internos y externos de la empresa nos ayudarán a establecer estrategias, metas o acciones que disminuyan riesgos;  o potencien algunos aspectos que nos podrían dar una ventaja competitiva en el mercado.

Debido a que la organización debe definir una metodología, ésta debe plasmarse, ya sea mediante un procedimiento o ficha de proceso; o bien de forma mixta. En este documento se deberá incluir, ya sea de forma redactada o esquemática:

- Las fases de la metodología a realizar (definir las entradas y salidas).

- Los puestos de trabajo involucrados, sus funciones y responsabilidades.

- Incorporar los sistemas de control y medición del proceso (indicadores de seguimiento).

- Documentos generados en cada una de las fases (formatos, identificación y codificación).

Recordad que en el caso de escoger elaborar un procedimiento o ficha de proceso, este documento deberá disponer del mismo formato que habéis diseñado y que será común para todos los documentos de este mismo tipo. Por ejemplo, si escogemos elaborar un procedimiento, y hemos elaborado un formato, además de la identificación, codificación, fecha de la edición, firmas de elaboración y aprobación... deberemos mantener una misma estructura como pueden ser los siguientes apartados: Objeto, alcance, responsabilidades, desarrollo e información documentada generada.

Si nos centramos, en el desarrollo del requisito que nos ocupa, la herramienta más utilizada para la identificación del contexto de la organización es una matriz DAFO. Como hemos comentado en otros artículos, la matriz DAFO nos permite identificar los aspectos internos y externos de la organización desglosando los aspectos en Debilidades, Amenazas, Fortalezas y Oportunidades. Podemos agruparlos en:

- Factores internos: Fortalezas y Debilidades

- Factores externos: Oportunidades y Amenazas

En este caso concreto, deberemos pensar en materia de Seguridad y Salud de los trabajadores.

Por ejemplo, si necesitamos identificar las posibles debilidades que la empresa tiene en materia de seguridad y salud, podríamos estar pensando en:  

- Las herramientas y maquinaria no son adecuadas para las tareas realizadas por los trabajadores, pudiendo provocar en ocasiones lesiones y accidentes.

- Alto porcentaje de accidentalidad.

Naturalmente, estos aspectos una vez identificados, se deberán analizar mediante una evaluación de riesgos y establecer las acciones correspondientes para minimizar estos posibles riesgos. Si desglosamos las acciones a realizar después de identificar los diferentes factores, tendríamos que hacer lo siguiente: 

Fortalezas: mantenerlas o potenciarlas.

Debilidades: evaluación de riesgos + acciones para mitigar los riesgos + posibles objetivos. Todas las debilidades identificadas deben analizarse y evaluar su riesgo. Deberemos definir las acciones necesarias para mitigar dichos riesgos, ya que si no hacemos nada, estas debilidades pueden llegar a convertirse en amenazas. En algunos casos, derivado de las mejoras que queramos realizar, podemos generar objetivos asociados a estas acciones.

Oportunidades: evaluación de riesgos + acciones para mitigar los riesgos + posibles estrategias + posibles Objetivos. Debemos tener en cuenta, que no todas las oportunidades identificadas las llevaremos a cabo. Con la finalidad de conocer si una oportunidad identificada la convertiremos en estrategia y consecuentemente en un objetivo, deberemos disponer de todos los informes y análisis que necesitemos para saber si la empresa le interesa llevar a cabo dicha oportunidad y si le va a suponer una ventaja competitiva significativa respecto a la inversión necesaria para implementarla.

Amenazas: evaluación de riesgos + acciones para mitigar los riesgos + posibles objetivos. Sobre las amenazas hay que identificarlas, analizarlas y actuar. 

En el siguiente esquema podréis visualizar de una manera visual los factores y el análisis a realizar para cada uno de ellos:

Finalmente, indicar, que los resultados obtenidos tanto de la identificación como del análisis asociado al contexto de la organización en materia de seguridad y salud, deberán ser comentados en las actas correspondientes de la revisión del sistema y de las reuniones del seguimiento del sistema de gestión.

[Continue reading...]

¿Cómo medir el rendimiento de la mejora continua de la empresa?

Uno de los requisitos de las normas asociadas a los sistemas de gestión, es la de realizar el seguimiento y medición de los diferentes procesos de la empresa. Derivado de ello, se pueden detectar posibles acciones o correcciones, que al aplicarlas favorecen la mejora de los diferentes procesos. Cualquier mejora que se incorpora en cualquier proceso, hace que el sistema de gestión sea más eficiente y, por lo tanto, se detecta una mejora en el conjunto del sistema.

Existen tres pasos importantes en relación a las mejoras que se describen a continuación:

Paso 1: Detectar las mejoras que se necesitan implementar

Por lo tanto, para poder detectar y aplicar mejoras deberemos tener en cuenta la información derivada de:

- El diagnóstico de la empresa y la necesidad de definir la cadena de valor. La empresa debe disponer de sus procesos bien definidos y estructurados, así como las relaciones que existen entre ellos. Para ello, es necesario un estudio en profundidad de las relaciones causa-efecto, mediante un análisis interno exhaustivo y un análisis funcional de la empresa.

- Mediante la comparación de nuestra empresa con otras podemos analizar qué aspectos podemos mejorar para ponernos al mismo nivel o superarlo. Algunos ejemplos de mejoras que podemos detectar mediante este tipo de análisis son: la finalidad de mejorar la competitividad,  la mejora de los procesos internos, la mejora en el producto o el servicio... Estos estudios se realizan mediante el uso de la herramienta Benchmarking.

- El seguimiento y medición de los procesos de la empresa. Con la finalidad de saber si algún aspecto de cierto proceso debe ser mejorado, primero se debe detectar. La mejor forma de detectar si un proceso no funciona según lo esperado, es mediante el uso y seguimiento de los indicadores de rendimiento. Por ese motivo es tan importante, la medición de la eficacia y eficiencia de los procesos clave de la empresa y la medición del rendimiento y la evaluación del desempeño de los procesos de la empresa. Tras la medición, debemos hacer el seguimiento y el análisis. Si al analizar los resultados, éstos se alejan de los intervalos predeterminados como funcionamiento adecuado o esperado del proceso, se tendrán que tomar medidas o acciones correctivas para corregir las desviaciones detectadas. Estas acciones son mejoras que se introducen en el sistema para corregir las desviaciones.

Paso 2: Establecer la estrategia empresarial en cuanto a la mejoras

Con la información recopilada en el paso anterior, podemos disponer de un listado bastante extenso sobre las mejoras que debemos aplicar en cada una de las áreas (procesos). Naturalmente, todo es mejorable y por lo tanto vamos a disponer de un listado bastante extenso. 

Naturalmente, cualquier mejora que queramos implementar requiere unos recursos asociados (económicos, materiales y humanos) que nos limitan la cantidad de acciones que podemos realizar en un plazo determinado de tiempo. Por lo tanto, la Dirección de la empresa, debe tomar la decisión de elegir las mejores opciones o las prioritarias que se deben implementar para que las acciones a realizar repercutan en la mejora del sistema de una forma significativa. 

Con la finalidad, que la Dirección tome las decisiones más adecuadas, deberá tener en cuenta otros análisis adicionales como por ejemplo: análisis de costes; estimación del retorno de la inversión a corto, medio y largo plazo; estudios de la viabilidad de ejecución de las acciones; legislación y normativa aplicable...

Una vez, que para cada acción de mejora planteada, la Dirección de la empresa, dispone de todos los estudios y acciones a realizar, se procede a escoger cuál o cuáles se van a implementar. Una vez escogidas:

- Se define la estrategia a seguir para implementar cada una de las acciones de mejora

- Una vez definida la estrategia, ésta se planifica. Para poder realizar una buena planificación de la estrategia, se suele utilizar la herramienta del Cuadro de Mando Integral (CMI).

- Se establecen los objetivos estratégicos asociados a cada una de las acciones a implementar.

- Se mide y evalúa el riesgo que comporta la ejecución de la acción, incorporando si procede acciones adicionales para minimizar dicho riesgo.

- Se establecen los indicadores de rendimiento de estos objetivos, con la finalidad de ver el grado de desempeño de los mismos, además de incorporar correcciones si se requieren. La finalidad última es llegar a implementar la estrategia de acorde a la planificación definida.

Paso 3: Medición de la eficacia de las acciones implementadas

Una vez que hemos implementado las acciones de mejora, debemos verificar su eficacia y analizar los beneficios reales que comporta su implementación. Es decir, ver las posibles desviaciones entre las estimaciones (previsiones) y los datos reales que se generan tras la implementación a corto, medio y largo plazo.

Por ejemplo, vamos a considerar a una empresa determinó que era necesario mejorar su proceso productivo incorporando innovación tecnológica al proceso, con la finalidad de aumentar la producción disminuyendo los costes para obtener una ventaja competitiva en el mercado. Una vez que la nueva maquinaria está instalada, el personal está formado y la puesta en marcha ejecutada; se miden los datos de rendimiento y se hace un seguimiento de los mismos para determinar si los objetivos establecidos se han cumplido o no.

Los indicadores de rendimiento que nos permiten analizar deben ser expresamente diseñados para medir y obtener la información que nos permita saber si la estrategia ha sido o no eficaz. Pueden ser indicadores que midan desde la productividad, los costes, los defectos, la rentabilidad, la amortización de la inversión, retorno de la inversión, el rendimiento del personal, las incidencias en relación a la maquinaria... dependerá de la información que necesitemos saber.

Por último comentar, que el concepto de acciones de mejora no sólo es un requisito exclusivo de la norma ISO 9001, sino es un requisito de todas aquellas normas ISO que definen un sistema de gestión; como por ejemplo, ISO 45001 (sistema de gestión de Seguridad y Salud de los trabajadores), ISO 14001 (sistema de gestión ambiental), ISO 17025 (sistema de gestión en los laboratorios), entre otros.

[Continue reading...]

Procedimientos mínimos del SGSST según la norma ISO 45001:2018

En este artículo os voy a describir, según mi criterio, cuáles son los procedimientos mínimos se deberían elaborar para documentar el sistema de gestión y dar respuesta a los requisitos de la norma ISO 45001:2018.

Aunque la norma no lo exige, la mayor parte de la empresas deciden mantener y/o elaborar un Manual del sistema de gestión con la finalidad de estructurar el sistema de gestión e incluir en él, algunos de los requisitos del sistema, como puede ser, entre ellos, el alcance del sistema. O bien, otras empresas deciden elaborarlo, debido a que disponen de otros sistemas de gestión implementados, que contienen un Manual, y que deciden mantener la misma estructura documental, para facilitar la integración de los sistemas. las nuevas versiones de las normas ISO facilitan este proceso de integración. En todo caso es decisión de la empresa el disponer de este documento o no. En el caso que no se disponga, los requisitos que quedarían recopilados en el mismo, se deberán disponer en documentos independientes debidamente identificados, según los criterios establecidos por la empresa.

Como anejos del Manual suelen aparecer los siguientes documentos:

- Mapa de procesos del SGSST

- Política de SGSST

En el caso de no disponer del Manual, quedarían como documentos independientes conjuntamente con otros que se incluyen en el Manual.

Procedimientos y/o ficha de proceso:

Hemos de evidenciar documentalmente cada uno de los requisitos que describe la norma ISO 45001:2018. Para ello, es necesario explicar y/o esquematizar la metodología a seguir para dar el cumplimiento a dicho requisito. La manera que disponemos de explicar cómo hacemos las cosas, quién las tiene que hacer, qué documentos se generan, qué controles se deben realizar... es mediante los procedimientos y/o fichas de proceso. Se puede hacer uno u otro, o una mezcla de los dos, dependiendo de lo esquemático que queramos hacerlo. Independientemente de cómo se elabore, cualquier trabajador de la empresa o bien personal ajeno a la misma, leyendo el documento debe conocer al detalle de cómo se realizan las diferentes actividades del proceso y qué es lo que tiene que hacer y cómo.

Si necesitas saber cómo elaborar un procedimiento consulta el siguiente enlace (ver aquí).

Si necesitas saber cómo elaborar una ficha de proceso consulta el siguiente enlace (ver aquí).

Volviendo al Sistema de Gestión de Seguridad y Salud de los Trabajadores basado en la norma ISO 45001:2018, os facilito un listado de los procedimientos que debería disponer el sistema de gestión para abarcar los diferentes requisitos del sistema:

Por supuesto, esto es una idea, pero lo podéis estructurar de esta manera o de otra, o reagrupar los conceptos como queráis siempre y cuando sea coherente, y  se contemple la totalidad de requisitos que os indica la norma de referencia.

Instrucciones técnicas:

Estos documentos explican el detalle de cómo se debe realizar una tarea en concreto. Por ejemplo, una instrucción técnica típica del SGSST sería el uso de las escaleras de mano y los andamios para el trabajo en altura. En este documento, se debería entrar en detalle de cómo los trabajadores de la empresa deben hacer uso de estos elementos. Naturalmente, el uso tanto de las escaleras como de los andamios tiene una legislación y normativa propia que debe incluirse en la instrucción. El lenguaje utilizado en la instrucción, debe ser claro y adaptado para que todos los trabajadores puedan seguirlo y entenderlo, además de darles la formación adecuada para evitar riesgos. Estas instrucciones cuelgan de un determinado procedimiento, el cuál debemos indicar. 

Información documentada (registros): a parte de todo lo anterior, de cada proceso o bien en casi cada una de las actividades que se realizan en cada uno de los proceso, se generan unos determinados documentos. Se debe dejar claro, tanto en el procedimiento o bien en la ficha de proceso, qué documentos se generan en cada fase, qué representan, cómo se tienen que cumplimentar, por quién y cuál es su finalidad. 

Si necesitáis una guía para poder elaborar todos los documentos del sistema, ya sea: el manual, procedimientos, fichas de proceso, registros, instrucciones técnicas... os recomiendo que consulteis el siguiente enlace:

http://asesordecalidad.blogspot.com/2019/05/nuevo-libro-guia-de-elaboracion-del.html#.Xifu-MgzY2x

[Continue reading...]