SG-SST en Colombia: guía de implementación paso a paso

El Sistema de Gestión de Seguridad y Salud en el Trabajo (SG-SST) es obligatorio en Colombia para toda organización que tenga trabajadores a cargo. No es una certificación voluntaria ni un trámite anual: es un sistema que debe estar operando y del que hay que poder mostrar evidencia en cualquier momento.

Esta guía recorre lo que exige la norma, cómo se determina qué le aplica a su organización y dónde se rompen en la práctica la mayoría de las implementaciones.

El marco normativo, en corto

Tres normas concentran lo esencial:

• Ley 1562 de 2012. Transforma el antiguo Programa de Salud Ocupacional en un sistema de gestión y redefine el Sistema General de Riesgos Laborales.
• Decreto 1072 de 2015 (Libro 2, Parte 2, Título 4, Capítulo 6). Es el Decreto Único Reglamentario del Sector Trabajo y define la estructura completa del SG-SST bajo el ciclo PHVA.
• Resolución 0312 de 2019. Establece los estándares mínimos, que son el checklist concreto contra el que se audita.

A esto se suman normas específicas según la actividad: trabajo en alturas, espacios confinados, riesgo químico, riesgo biológico, entre otras.

Quién está obligado y con qué estándar

La Resolución 0312 gradúa la exigencia según el número de trabajadores y el nivel de riesgo de la actividad económica. Es la primera pregunta que hay que resolver, porque determina todo el alcance del trabajo:

• Hasta 10 trabajadores, riesgo I, II o III: 7 estándares mínimos. Puede ser gestionado por un técnico o tecnólogo en SST con licencia vigente.
• De 11 a 50 trabajadores, riesgo I, II o III: 21 estándares mínimos.
• Más de 50 trabajadores, o cualquier organización de riesgo IV o V: los 60 estándares completos, con profesional en SST con licencia y curso de 50 horas.

Un error frecuente: contar sólo la nómina directa. Para efectos del SG-SST también cuentan los trabajadores en misión, los contratistas y los estudiantes en práctica que ejecuten labores en las instalaciones. Una copropiedad con tres empleados directos pero con vigilancia, aseo y jardinería tercerizados tiene obligaciones de coordinación que no puede delegar por completo en el contratista.

El sistema, en el orden correcto

El Decreto 1072 organiza el SG-SST bajo el ciclo PHVA. En una implementación real el orden importa: saltarse el diagnóstico para empezar a documentar es la causa número uno de sistemas que no se sostienen.

1. Planear

• Evaluación inicial. Línea base contra los estándares mínimos aplicables. Sin esto no se sabe qué falta y se termina documentando lo que ya existe.
• Política de SST. Firmada por el representante legal, fechada, comunicada y revisada al menos una vez al año.
• Matriz de identificación de peligros, evaluación y valoración de riesgos (IPEVR). Es el corazón técnico del sistema: de aquí salen los controles, los programas y el presupuesto. La GTC 45 es la metodología de referencia más usada en Colombia.
• Matriz de requisitos legales. Normativa aplicable a la actividad, con responsable y frecuencia de verificación.
• Objetivos e indicadores de estructura, proceso y resultado, medibles y coherentes con la política.
• Plan de trabajo anual con actividades, responsables, recursos y cronograma.

2. Hacer

• Programa de capacitación anual, incluida la inducción y reinducción.
• Ejecución de los controles definidos en la matriz de riesgos, respetando la jerarquía: eliminación, sustitución, controles de ingeniería, controles administrativos y, sólo al final, elementos de protección personal.
• Programa de medicina preventiva y del trabajo: exámenes médicos ocupacionales de ingreso, periódicos y de egreso, con sus profesiogramas.
• Plan de prevención, preparación y respuesta ante emergencias, con brigada conformada y simulacros documentados.
• Gestión del cambio y coordinación de actividades con contratistas y proveedores.

3. Verificar

• Inspecciones planeadas de seguridad, con registro y cierre de hallazgos.
• Medición de los indicadores definidos, no de todos los que se puedan calcular.
• Auditoría interna anual, con auditor que no audite su propio trabajo.
• Revisión por la alta dirección, documentada.

4. Actuar

• Investigación de incidentes y accidentes de trabajo, con análisis de causa raíz. El plazo legal para reportar un accidente grave o mortal a la ARL y a la Dirección Territorial es de dos días hábiles.
• Acciones correctivas y preventivas con responsable, fecha y verificación de eficacia.
• Mejora continua sobre lo que las auditorías y los indicadores muestran.

Los cinco errores que más hallazgos generan

1. Matriz de riesgos copiada de otra empresa. Un auditor lo detecta en cinco minutos preguntando por un peligro que no existe en la operación o por uno evidente que no está. La matriz debe salir de recorrer la operación real.
2. Documentos sin evidencia de socialización. Un plan de emergencias que nadie conoce no protege a nadie. Hacen falta actas, listas de asistencia y evaluaciones.
3. Indicadores que no se miden. Definir doce indicadores y reportar dos es peor que definir tres y reportar los tres.
4. Contratistas fuera del sistema. No verificar afiliaciones, no exigir la matriz de riesgos del contratista y no dejar registro de la coordinación de actividades.
5. Sistema construido para la auditoría. Se actualiza la semana antes de la visita y se abandona después. El costo real aparece cuando ocurre un accidente y no hay trazabilidad.

Qué está en juego

El incumplimiento del SG-SST se sanciona conforme al artículo 30 de la Ley 1562 de 2012 y al Decreto 472 de 2015, con multas graduadas según el tamaño de la empresa que pueden llegar a cientos de salarios mínimos mensuales legales vigentes, y con posibilidad de suspensión de actividades en los casos más graves.

Más allá de la multa: un accidente grave sin sistema documentado expone al empleador a responsabilidad civil y, según el caso, penal. Y en licitaciones públicas y contrataciones con grandes clientes, acreditar el SG-SST dejó de ser un diferenciador para ser un requisito de habilitación.

Cuánto tarda una implementación

Para una organización mediana sin sistema previo, el rango realista es de tres a seis meses hasta tener el sistema operando y con evidencia suficiente. El diagnóstico toma una o dos semanas; el grueso del tiempo se va en la matriz de riesgos, las capacitaciones y en generar el histórico de registros que demuestra que el sistema funciona, no sólo que existe.

Intentar comprimirlo a cuatro semanas produce carpetas, no sistemas.