Una empresa puede disponer de un plan de prevención cuidado y de equipos de protección conformes, y seguir siendo no conforme porque nunca ha identificado los textos que se aplican a su actividad, o porque nunca verifica si realmente los cumple. Precisamente este es el punto que la norma ISO 45001:2018 viene a estructurar mediante dos requisitos complementarios: el apartado 6.1.3 (requisitos legales y otros requisitos) y el apartado 9.1.2 (evaluación del cumplimiento). Bien gestionados, estos dos requisitos transforman una obligación sufrida en una vigilancia normativa gestionada, trazable y oponible en caso de inspección.

Que es una obligación de cumplimiento en SST

Una obligación de cumplimiento agrupa el conjunto de requisitos que la organización debe o decide cumplir en materia de seguridad y salud en el trabajo. La norma distingue dos familias. Por un lado, los requisitos legales: el marco normativo nacional y local aplicable, es decir, las leyes, decretos, órdenes y textos técnicos que regulan la higiene, la seguridad y la salud de los trabajadores. Por otro, los otros requisitos: los compromisos que la organización suscribe de forma voluntaria, como los requisitos de clientes o contratantes, los acuerdos con los representantes del personal, las normas internas de un grupo, o también los códigos sectoriales y los referenciales a los que la empresa se adhiere.

Estas obligaciones no son una lista teórica. Condicionan directamente la identificación de los peligros, la definición de las medidas de control y la construcción del sistema de gestión. Comprender su alcance supone haber sentado primero las bases de un sistema de gestión de la SST coherente, en el cual el cumplimiento normativo es un pilar y no una casilla que marcar al final del proyecto.

Lo que exige la norma: 6.1.3 y 9.1.2

El apartado 6.1.3 pide a la organización establecer, implementar y mantener un proceso para determinar y acceder a los requisitos legales y otros requisitos aplicables a sus peligros, a su sistema de gestión de la SST y a sus actividades. Exige también determinar como se aplican concretamente estos requisitos a la organización y que debe comunicarse, y tenerlos en cuenta al establecer, implementar, mantener y mejorar continuamente el sistema. Dicho de otro modo, la norma no se conforma con un archivador de textos: pide vincular cada requisito con una realidad operativa.

El apartado 9.1.2 cierra el ciclo. Impone establecer, implementar y mantener un proceso de evaluación del cumplimiento de los requisitos legales y otros requisitos. La organización debe definir la frecuencia y los métodos de evaluación, evaluar su cumplimiento y emprender las acciones necesarias si procede, mantener el conocimiento y la comprensión de su estado de cumplimiento, y conservar información documentada que demuestre los resultados de dicha evaluación. La norma exige, por tanto, tanto saber que se aplica (6.1.3) como demostrar que realmente se cumple (9.1.2).

Identificar no es evaluar: vigilancia normativa frente a evaluación del cumplimiento

La confusión más frecuente en el terreno consiste en creer que un registro de textos bien llevado basta para demostrar el cumplimiento. Se trata de dos actividades distintas y secuenciales.

La vigilancia normativa (identificar y seguir)

La vigilancia normativa consiste en identificar los textos aplicables, recopilarlos, seguir su evolución y registrarlos. Responde a la pregunta: cuales son los requisitos que se nos aplican hoy? Una vigilancia organizada se apoya en tres etapas:

  • La identificación: elaborar la lista de textos aplicables a la actividad, a los procesos, a las sustancias utilizadas, a los equipos y a las categorías de personal.
  • El seguimiento: vigilar las modificaciones, derogaciones y nuevos textos, con una frecuencia definida, una fuente fiable y un responsable identificado.
  • El registro: consignar de forma estructurada cada requisito, su fuente, su fecha, su ámbito y la manera en que se aplica a la organización.

La evaluación del cumplimiento (verificar)

La evaluación del cumplimiento tiene lugar después. Consiste en confrontar cada requisito identificado con la situación real de la empresa para determinar: conforme, no conforme, o parcialmente conforme con un plan de acción. Responde a la pregunta: cumplimos efectivamente lo que se aplica? Identificar una obligación relativa a la vigilancia médica de los empleados es una cosa; verificar que cada empleado afectado ha recibido efectivamente la visita prevista es otra. La vigilancia alimenta la evaluación, pero nunca la sustituye. Una auditoría se basara sistemáticamente en esta distinción para probar la solidez del dispositivo.

El marco normativo de SST en Marruecos

En Marruecos, la base de las obligaciones de cumplimiento en seguridad y salud en el trabajo se encuentra ante todo en el Código de Trabajo (ley 65-99). Su título relativo a la higiene y la seguridad establece las obligaciones generales del empleador en materia de protección de los trabajadores, acondicionamiento y salubridad de los lugares de trabajo, prevención de riesgos y puesta a disposición de medios de protección. Es la referencia de primer nivel que toda vigilancia de SST debe integrar.

A esta base se añaden dispositivos específicos que la vigilancia debe cubrir:

  • La medicina del trabajo: las normas relativas a los servicios médicos del trabajo y a la vigilancia de la salud de los empleados, que estructuran las visitas médicas y el seguimiento individual.
  • El comité de seguridad e higiene: la instancia interna dedicada a la prevención de riesgos laborales, cuya composición, función y funcionamiento están regulados, y que constituye un punto de cumplimiento verificado con regularidad.
  • Los textos técnicos de aplicación: decretos y órdenes que precisan requisitos por riesgo, por sector o por tipo de instalación, y que hay que vincular a los peligros realmente presentes en la empresa.

La lógica es esencial: el marco normativo no se copia en bloque, se filtra en función de los peligros identificados. Por ello, el cumplimiento normativo se construye en diálogo estrecho con el proceso de identificación de peligros y evaluación de riesgos (IPER): cada peligro significativo requiere los requisitos legales correspondientes, y cada requisito legal orienta a su vez las medidas de control que deben implementarse.

Mantener un registro actualizado

El registro de requisitos legales y otros requisitos es la pieza clave del dispositivo, la que hace que el cumplimiento sea gestionable y demostrable. Para ser realmente útil, conviene que incluya, para cada requisito:

  • el título y la referencia del texto o del compromiso, con su fuente oficial;
  • el ámbito afectado (higiene, seguridad de máquinas, productos químicos, medicina del trabajo, instancias representativas...);
  • la aplicabilidad: en que y por que título el requisito afecta a la organización;
  • el estado de cumplimiento resultante de la evaluación, con la prueba asociada;
  • el responsable, la acción a emprender en caso de desviación y el plazo;
  • la fecha de la última actualización y la fecha de la próxima revisión.

Un registro vivo exige una gobernanza: una frecuencia de actualización definida, un responsable designado, una fuente de vigilancia fiable y una articulación clara con la revisión por la dirección. Es esta regularidad la que distingue un sistema de gestión maduro de un archivador estático. Mantener el registro actualizado también significa anticipar los cambios en lugar de sufrirlos, y disponer en todo momento de una imagen clara del propio estado de cumplimiento, exactamente lo que exige el apartado 9.1.2.

Para verificar en que punto se encuentra su organización antes de una auditoría y estructurar su revisión de cumplimiento, HEMC pone a disposición su lista de verificación de preparación para la auditoría ISO 45001, un punto de partida concreto para organizar su vigilancia y su evaluación del cumplimiento.

Entre esas obligaciones, las relativas a los equipos de trabajo son las que más se descubren en auditoría: véase el marcado CE de máquinas y la Directiva 2006/42/CE.