SG-SST y matriz de riesgos 2026: guía práctica con ISO 31000

Introducción

En esta guía del Politécnico Intercontinental aprendes a gestionar los riesgos de tu empresa con un mismo método aplicado a tres frentes: el laboral, el estratégico y el sanitario. El punto de partida es el Sistema de Gestión de Seguridad y Salud en el Trabajo (SG-SST), obligatorio para todos los empleadores en Colombia según el Decreto 1072 de 2015.

Sus exigencias se escalonan en 7, 21 o 60 estándares mínimos, según el tamaño y la clase de riesgo de la empresa (Fuente: Ministerio del Trabajo, Resolución 0312 de 2019). Su herramienta central es la matriz de riesgos, y la ISO 31000 te da el método para construirla. La urgencia es real: en 2025 se registraron 534.444 accidentes de trabajo y 438 muertes asociadas al trabajo en Colombia (Fuente: Consejo Colombiano de Seguridad, 2026).

Aquí encuentras los estándares mínimos, una matriz de riesgos paso a paso con un ejemplo y su mapa de calor, el manejo del riesgo psicosocial y las Buenas Prácticas de Manufactura (BPM) para plantas de alimentos. Si tu reto es el SG-SST, el diplomado de Seguridad y Salud en el Trabajo (Salud Ocupacional) es un buen punto de partida; si buscas el método de gestión de riesgos, el de ISO 31000 Gestión de Riesgos. Ambos son gratuitos, 100 % virtuales y de 120 horas, y solo pagas si quieres el certificado.

Índice

1. Introducción
2. ¿Qué es el SG-SST y quién debe implementarlo?
3. ¿Cuáles son los estándares mínimos del SG-SST en 2026?
4. ¿Cómo implementar el SG-SST paso a paso?
5. ¿Qué es una matriz de riesgos y en qué se diferencia de la matriz de peligros?
6. ¿Cómo hacer una matriz de riesgos paso a paso?
7. ¿Cómo se ve un ejemplo de matriz de riesgos en Excel?
8. ¿Qué es la ISO 31000 y cómo se aplica a la gestión de riesgos?
9. ¿Cómo gestionar el riesgo psicosocial en el trabajo?
10. ¿Qué son las Buenas Prácticas de Manufactura (BPM) y cuáles son sus principios?
11. ¿Cómo integrar el riesgo laboral, sanitario y estratégico en una sola gestión?
12. Diplomados de gestión de riesgos del Politécnico Intercontinental
13. Preguntas frecuentes
14. Tu siguiente paso

¿Qué es el SG-SST y quién debe implementarlo?

El SG-SST es el Sistema de Gestión de Seguridad y Salud en el Trabajo que toda empresa en Colombia debe implementar para prevenir accidentes y enfermedades laborales. Lo exige el Decreto 1072 de 2015 y se basa en la mejora continua: planear, hacer, verificar y actuar. Aplica a empleadores públicos y privados, contratantes, cooperativas y empresas de servicios temporales, entre otros.


Piensa en el SG-SST como el «manual de operación» de la seguridad en tu empresa. No es un documento que se archiva: es un ciclo anual en el que identificas peligros, evalúas riesgos, aplicas controles, mides resultados y corriges. Antes se hablaba de «programa de salud ocupacional»; ese modelo quedó atrás cuando el SG-SST se volvió obligatorio con el Decreto 1443 de 2014, hoy compilado en el Decreto 1072 de 2015.

¿Qué dice el Decreto 1072 de 2015?

El Decreto 1072 de 2015 es el Decreto Único Reglamentario del Sector Trabajo. Su capítulo 6 del título 4 de la parte 2 del libro 2 hace obligatorio el SG-SST para todos los empleadores y define su estructura: las obligaciones del empleador, la política de SST, la identificación de peligros, los indicadores y la auditoría del sistema.

El universo de obligados es amplio: según la Resolución 0312 de 2019, los estándares mínimos aplican a empleadores públicos y privados, contratantes de personal bajo contratos civiles, comerciales o administrativos, trabajadores independientes, cooperativas, empresas de servicios temporales, estudiantes afiliados al Sistema General de Riesgos Laborales y demás actores del sistema.

Hay dos actores que conviene distinguir desde el principio:

– Ministerio del Trabajo: inspecciona, vigila y sanciona.
– ARL (Administradora de Riesgos Laborales): asesora a la empresa, revisa su autoevaluación y debe informar a las Direcciones Territoriales del Ministerio del Trabajo los casos en que una empresa afiliada no registra su autoevaluación ni su plan de mejoramiento (Fuente: Ministerio del Trabajo, Circular 0027 de 2026).

¿Por qué importa? La siniestralidad de 2025 en cifras

(Fuente: Informe de Siniestralidad Laboral 2025 del Consejo Colombiano de Seguridad, 2026).

Dicho de otra forma: en 2025 se registraron en promedio 1.464 accidentes de trabajo al día, uno cada 59 segundos, y una muerte asociada a causas laborales cada 20 horas (Fuente: Consejo Colombiano de Seguridad, 2026). Y 2026 no da tregua: en el primer semestre se registraron 261.580 accidentes, 239 fallecimientos y 5.312 enfermedades calificadas de origen laboral (Fuente: Consejo Colombiano de Seguridad, citado por Portafolio, 2026).

Antioquia aparece entre los territorios más afectados: en 2025 lideró la accidentalidad laboral del país, con 118.525 accidentes de trabajo, el 22,2 % del total nacional, y registró 66 muertes asociadas al trabajo, el 15,1 % del total (Fuente: El Colombiano, 2026, con datos del Consejo Colombiano de Seguridad).

Si te asignaron el SG-SST de tu empresa, o quieres trabajar en esta área, el diplomado de Seguridad y Salud en el Trabajo (Salud Ocupacional) trabaja la normatividad vigente, el sistema general de riesgos laborales y la medicina preventiva y del trabajo. Es gratuito, 100 % virtual y de 120 horas; el certificado es opcional y cuesta COP 80.000 o USD 25.

¿Cuáles son los estándares mínimos del SG-SST en 2026?

Los estándares mínimos son los requisitos obligatorios del SG-SST que fija la Resolución 0312 de 2019 del Ministerio del Trabajo. Las empresas de 10 o menos trabajadores en riesgo I, II o III cumplen 7 estándares; las de 11 a 50 trabajadores en esos niveles cumplen 21; las de más de 50 trabajadores, y todas las de riesgo IV o V sin importar su tamaño, cumplen 60.

La Resolución 0312 de 2019 cambió la lógica del cumplimiento: derogó la Resolución 1111 de 2017, que exigía los mismos estándares a todas las empresas, y adoptó un modelo proporcional en el que la pequeña empresa de bajo riesgo cumple menos y la grande o de mayor riesgo cumple todo. Además creó un esquema de 3 estándares para las unidades de producción agropecuaria de hasta 10 trabajadores permanentes en riesgo I, II o III.

¿Cuántos estándares te corresponden?

(Fuente: Resolución 0312 de 2019, Ministerio del Trabajo).

Para una microempresa de riesgo I, II o III, los 7 estándares son: asignar a una persona que diseñe el SG-SST, afiliar a todos los trabajadores al Sistema de Seguridad Social Integral, tener al día el pago de la seguridad social, programar la capacitación en promoción y prevención, realizar las evaluaciones médicas ocupacionales, identificar peligros y evaluar y valorar los riesgos, e implementar las medidas de prevención y control frente a los peligros identificados (Fuente: Resolución 0312 de 2019, capítulo I).

Ojo con una confusión frecuente: la persona que diseña el SG-SST debe acreditar la formación que la Resolución 0312 exige según el número de estándares, que incluye el curso virtual de capacitación de 50 horas en SST. Ese curso es un requisito específico y distinto de cualquier diplomado. Ninguna formación complementaria, incluidas las del Politécnico Intercontinental, lo reemplaza.

¿Cómo se califica tu cumplimiento?

Cada año la empresa hace una autoevaluación y obtiene un porcentaje. Por debajo de 60 % la calificación es crítica; entre 60 % y 85 % es moderadamente aceptable; por encima de 85 % es aceptable. En los dos primeros casos la empresa debe formular un plan de mejoramiento y hacerle seguimiento (Fuente: Resolución 0312 de 2019, artículo 28).

El ciclo anual que no puedes saltarte

1. Diciembre: autoevaluación de los estándares del año que termina, plan de mejoramiento y plan anual de trabajo del año siguiente. Una copia de la autoevaluación y del plan se envía a la ARL para su revisión.
2. Enero: arranca la ejecución del plan anual.
3. Registro ante el Ministerio: la Circular 0027 del 26 de febrero de 2026 fijó el 31 de julio de 2026 como plazo para registrar la autoevaluación de 2025 y su plan de mejoramiento en la plataforma del Fondo de Riesgos Laborales (Fuente: Ministerio del Trabajo, 2026). El plazo del próximo año lo fija una nueva circular del Ministerio.
4. Seguimiento: revisión periódica de los avances del plan de mejoramiento con la ARL.

¿Qué sanciones hay si no cumples?

La Resolución 0312 de 2019 remite, en su artículo 36, a las sanciones del artículo 91 del Decreto-ley 1295 de 1994, modificado por el artículo 13 de la Ley 1562 de 2012, en concordancia con las normas de inspección del Decreto 1072 de 2015. Las multas se gradúan según el tamaño de la empresa (Decreto 472 de 2015, hoy compilado en el Decreto 1072 de 2015):

Nota: las sanciones fijadas en salarios mínimos se han venido calculando en otras unidades por decisión de leyes posteriores (UVT desde la Ley 1955 de 2019 y UVB desde la Ley 2294 de 2023). Antes de estimar un monto, verifica la unidad vigente con un profesional.

Además, la autoridad puede ordenar la suspensión de actividades hasta por 120 días o el cierre definitivo de la empresa en los casos más graves (Fuente: artículo 91 del Decreto-ley 1295 de 1994, modificado por la Ley 1562 de 2012).

Si tu próxima autoevaluación te preocupa, el diplomado de Seguridad y Salud en el Trabajo (Salud Ocupacional) te ayuda a entender la normatividad y la evidencia que pide cada estándar.

¿Cómo implementar el SG-SST paso a paso?

Implementar el SG-SST sigue el ciclo PHVA: planear, hacer, verificar y actuar. En la práctica son nueve pasos: designar al responsable, hacer la evaluación inicial, firmar la política, identificar peligros, definir el plan anual, conformar el COPASST o designar al vigía, capacitar, medir con indicadores y auditar para mejorar. El ciclo se repite cada año.

El error más común es tratar el SG-SST como un trámite de documentos. Las inspecciones y las ARL revisan evidencias: actas firmadas, registros de capacitación, exámenes médicos e indicadores calculados. Si una actividad no deja rastro, para efectos del sistema no ocurrió.

Los 9 pasos para implementarlo

1. Designa al responsable del SG-SST. Debe tener la formación que exige la Resolución 0312 según el número de estándares, incluido el curso virtual de 50 horas, y contar con recursos asignados por escrito.
2. Haz la evaluación inicial. Es la foto de partida: qué cumples, qué no y con qué evidencia. Se hace con la tabla de estándares que te corresponda.
3. Firma y comunica la política de SST. La firma el representante legal, se fecha y se divulga, incluido el COPASST.
4. Identifica peligros y valora riesgos. Es el corazón técnico del sistema y lo desarrollamos en las secciones sobre la matriz de riesgos.
5. Define el plan anual de trabajo. Debe identificar como mínimo objetivos, metas, responsabilidades, recursos y cronograma, firmado por el empleador.
6. Conforma el COPASST o designa al vigía. El Comité Paritario de Seguridad y Salud en el Trabajo aplica a empresas de 10 o más trabajadores; en las más pequeñas se designa un vigía. También debe funcionar el comité de convivencia laboral.
7. Capacita y entrena. Inducción, reinducción y capacitación según los peligros de cada cargo, con registro de asistencia y evaluación.
8. Mide con indicadores. Frecuencia y severidad de accidentes, prevalencia e incidencia de enfermedad laboral, ausentismo y cumplimiento del plan.
9. Audita, revisa y mejora. Auditoría anual, revisión por la alta dirección, acciones preventivas y correctivas, y la autoevaluación de diciembre que reinicia el ciclo.

Si tu empresa tiene tareas de alto riesgo, conviene complementar con formación específica, como la gestión de la seguridad de trabajo en alturas o el control de trabajos en caliente (soldadura, corte y esmerilado).

¿En qué se diferencian el SG-SST y la ISO 45001?

El SG-SST es obligatorio por ley en Colombia; la ISO 45001:2018 es una norma internacional voluntaria y certificable para sistemas de gestión de seguridad y salud en el trabajo. Comparten la lógica del ciclo PHVA, así que una empresa con un SG-SST maduro tiene buena parte del camino recorrido hacia la ISO 45001, pero certificarse no reemplaza el cumplimiento legal.

La ISO 45001 se publicó en 2018 y reemplazó al estándar OHSAS 18001. En 2024 recibió, como las demás normas ISO de sistemas de gestión, una enmienda que pide considerar el cambio climático al analizar el contexto de la organización. Así se corresponden sus elementos principales:

(Fuente: elaboración propia con base en el Decreto 1072 de 2015, la Resolución 0312 de 2019 y la ISO 45001:2018).

Cuándo tiene sentido certificarse: cuando exportas, eres proveedor de multinacionales o participas en procesos que lo exigen. Si no es tu caso, prioriza un SG-SST sólido: eso es lo que revisan el Ministerio y tu ARL. Si coordinas varios sistemas a la vez, el diplomado de Sistemas integrados de gestión HSEQ te ayuda a gestionar calidad, seguridad y ambiente con un mismo enfoque.

Y si quieres una formación técnica más extensa en esta área, el Politécnico de Suramérica, institución aliada, ofrece la Técnica Virtual en Gestión de Talento Humano y Seguridad en el Trabajo, un programa técnico laboral con costo y registro ante la secretaría de educación.

¿Qué es una matriz de riesgos y en qué se diferencia de la matriz de peligros?

Una matriz de riesgos es una tabla que cruza la probabilidad de que algo ocurra con el impacto que tendría, para decidir qué riesgos atender primero. La matriz de peligros es su versión para el SG-SST: parte de los peligros de cada tarea y los valora con un método propio, como el de la GTC 45 de ICONTEC. La lógica de fondo es la misma.

La matriz de riesgos responde una pregunta simple: de todo lo que puede salir mal, ¿qué atiendo primero? Para eso asigna a cada riesgo un valor de probabilidad y otro de impacto, y su combinación lo ubica en una zona: baja, media, alta o extrema. Por los colores con que se representa, el resultado suele llamarse «mapa de calor».

Una aclaración que ahorra confusiones: la ISO 31000 no te obliga a usar una matriz. Define el proceso de gestión del riesgo, y la matriz de probabilidad e impacto es una de las técnicas posibles para la etapa de análisis; la IEC 31010:2019 la describe junto a otras técnicas de evaluación. Es la más usada porque es visual, fácil de explicar a una junta y sirve para casi cualquier tipo de riesgo.

Un método, tres matrices

(Fuente: elaboración propia con base en la ISO 31000:2018, la GTC 45 de ICONTEC y la Resolución 2674 de 2013 del Ministerio de Salud y Protección Social).

Por qué importa entender esta conexión: en una pyme, la misma persona suele manejar los tres frentes. Una coordinadora HSEQ en una planta de alimentos de Itagüí puede tener a su cargo la matriz de peligros del SG-SST, el plan de saneamiento de las Buenas Prácticas de Manufactura (BPM) y el mapa de riesgos que pide la gerencia. Si domina el método, los tres documentos dejan de ser trámites separados y se convierten en una sola forma de pensar.

El diplomado de ISO 31000 Gestión de Riesgos te da el método común que se aplica a las tres matrices: principios, contexto, tratamiento, seguimiento y mejora del riesgo organizacional.

¿Cómo hacer una matriz de riesgos paso a paso?

Para hacer una matriz de riesgos defines el contexto y los criterios, identificas los riesgos, calificas su probabilidad e impacto en una escala, los ubicas en el mapa de calor, decides cuáles son aceptables, defines controles con responsables y la revisas periódicamente. Son siete pasos que siguen el proceso de la ISO 31000.

Los 7 pasos

1. Define el alcance y los criterios. ¿Qué vas a analizar: un proceso, un proyecto, toda la empresa? Fija las escalas de probabilidad e impacto antes de calificar, para que todos midan con la misma regla.
2. Identifica los riesgos. Para cada proceso, pregúntate qué puede salir mal, por qué y qué consecuencia tendría. Redacta cada riesgo como evento, causa y consecuencia: «Retraso en la entrega a clientes por falla de la máquina dobladora, que genera penalidades contractuales».
3. Califica la probabilidad. Usa una escala de 1 a 5, de «rara vez» a «casi seguro», con criterios concretos: por ejemplo, «una vez en más de cinco años» frente a «varias veces al mes».
4. Califica el impacto. Con la misma escala de 1 a 5, describe cada nivel en términos de tu empresa: pérdidas en pesos, días de parada, lesiones, sanciones o daño reputacional.
5. Ubica y evalúa. Multiplica probabilidad por impacto, ubica cada riesgo en el mapa de calor y compáralo con tus niveles de aceptación para decidir cuáles requieren acción.
6. Trata los riesgos. Para cada riesgo no aceptable, define controles, un responsable y una fecha. En riesgos laborales, aplica la jerarquía de controles que exige el Decreto 1072 de 2015: eliminar, sustituir, controles de ingeniería, controles administrativos y, como última barrera, elementos de protección personal.
7. Monitorea y revisa. Actualiza la matriz al menos una vez al año y siempre que haya un accidente, un cambio de proceso, una nueva máquina o una nueva norma.

¿Escala 3×3 o 5×5?

Ninguna norma colombiana obliga a una escala específica para la matriz de riesgos empresarial; la matriz de peligros del SG-SST sigue la metodología que adopte la empresa, como la GTC 45.

¿Cómo definir los niveles de aceptación?

Con una escala 5×5, los resultados van de 1 a 25. Un esquema común es este; ajústalo a la tolerancia al riesgo que apruebe tu gerencia:

Esquema ilustrativo: los rangos son una decisión de cada empresa, no un requisito normativo.

Para profundizar en cada uno de estos siete pasos, el diplomado Sistema de Gestión del Riesgo con Enfoque ISO 31000:2018 desarrolla la identificación, el análisis, la evaluación y el tratamiento de riesgos organizacionales. Es gratuito, 100 % virtual y de 120 horas; el certificado es opcional y cuesta COP 80.000 o USD 25.

¿Cómo se ve un ejemplo de matriz de riesgos en Excel?

Una matriz de riesgos en Excel tiene una fila por riesgo y columnas para el proceso, el riesgo, la causa, la consecuencia, la probabilidad, el impacto, el nivel, la zona, los controles y el responsable. El nivel se calcula con una fórmula (probabilidad × impacto) y el mapa de calor cuenta cuántos riesgos caen en cada celda, antes y después de los controles.

Para que lo veas aplicado, tomemos un caso hipotético: una pyme metalmecánica del Valle de Aburrá con 35 trabajadores, que fabrica estructuras y piezas en lámina. Su coordinadora HSEQ armó una sola matriz con ocho riesgos laborales, operativos, estratégicos y de cumplimiento. Estas son seis de sus filas:

Caso ilustrativo: la empresa, las calificaciones y los controles son hipotéticos. P = probabilidad (1 a 5); I = impacto (1 a 5); escala 5×5 con los niveles de aceptación de la sección anterior.

Cómo leer el resultado

Tres lecciones que deja el ejemplo:

• Prioriza por nivel, no por intuición. El atrapamiento en la dobladora (15) va primero, aunque la gerencia pensara que el riesgo más urgente era perder al cliente principal (10).
• Fíjate qué baja y qué no. Una guarda fija reduce la probabilidad del atrapamiento, pero si ocurre, la lesión sigue siendo grave: el impacto se queda en 5. Por eso ese riesgo residual no llega a «Bajo» y debe seguir en monitoreo.
• Una sola matriz para todos los frentes. El riesgo de vincular a un cliente sin debida diligencia aparece junto al de los humos de soldadura. Es el mismo método aplicado a riesgos distintos, y es la idea que retomamos en la sección de gestión integral.

El diplomado de ISO 31000 Gestión de Riesgos te enseña a construir y defender una matriz como esta ante una gerencia o una junta.

¿Qué es la ISO 31000 y cómo se aplica a la gestión de riesgos?

La ISO 31000:2018 es la norma internacional que da principios, un marco de referencia y un proceso para gestionar cualquier tipo de riesgo en cualquier organización. Es una guía, no un requisito: no se puede certificar. Sirve como método común para construir la matriz de riesgos, la matriz de peligros del SG-SST o el análisis de peligros en alimentos.

La ISO publicó la segunda edición en febrero de 2018, que canceló y reemplazó la primera edición de 2009. Puede usarla cualquier organización, sin importar su tamaño, actividad o sector (Fuente: ISO, ficha de la norma ISO 31000:2018).

Los principios

Los principios responden a la pregunta de cómo debe ser una buena gestión del riesgo. Su propósito central es la creación y protección del valor, y lo sostienen ocho principios:

1. Integrada: forma parte de todas las actividades, no es un área aparte.
2. Estructurada y exhaustiva: sigue un método que permite resultados coherentes y comparables.
3. Adaptada: se ajusta al contexto y a los objetivos de cada organización.
4. Inclusiva: involucra a las partes interesadas en el momento oportuno.
5. Dinámica: se anticipa y responde a los cambios.
6. Basada en la mejor información disponible: usa datos históricos y actuales, y reconoce sus limitaciones.
7. Atenta a los factores humanos y culturales: el comportamiento de las personas influye en todo el proceso.
8. De mejora continua: aprende de la experiencia.

El marco de referencia

El marco es la «estructura de gobierno» que hace que la gestión del riesgo funcione en la organización: liderazgo y compromiso de la dirección, integración, diseño, implementación, evaluación y mejora. En una pyme, esto significa que la gerencia aprueba los criterios de riesgo y asigna recursos, no solo el área de calidad.

El proceso, conectado con la matriz

¿La ISO 31000 se puede certificar?

No. La propia ISO aclara que la norma no puede usarse con fines de certificación, aunque sí sirve como guía para programas de auditoría interna o externa. Si alguien te ofrece «certificar tu empresa en ISO 31000», desconfía: lo que puedes obtener es una evaluación de tus prácticas frente a la norma, o una certificación personal de competencias emitida por un organismo de certificación de personas. Lo que sí es certificable son las normas de sistemas de gestión que usan su lógica, como la ISO 9001, la ISO 45001 o la ISO 37301.

Para recorrer los principios, el marco y el proceso con casos aplicados, el diplomado de ISO 31000 Gestión de Riesgos es la ruta directa. Es gratuito, 100 % virtual y de 120 horas; el certificado es opcional y cuesta COP 80.000 o USD 25.

¿Cómo gestionar el riesgo psicosocial en el trabajo?

En Colombia, el riesgo psicosocial se gestiona dentro del SG-SST con la batería de instrumentos que adoptó la Resolución 2764 de 2022 del Ministerio del Trabajo. La empresa debe evaluar los factores intralaborales, extralaborales y el estrés, intervenir los que salgan en riesgo y hacer seguimiento. La ISO 45003 complementa este proceso como guía internacional.

El riesgo psicosocial abarca las condiciones del trabajo que pueden afectar la salud mental y física: carga excesiva, falta de control sobre las tareas, liderazgo deficiente, jornadas extensas, acoso o falta de reconocimiento. No es un tema «blando»: en el caso de la matriz del ejemplo, la sobrecarga en temporada alta aparece junto al riesgo de atrapamiento.

¿Qué exige la norma colombiana?

La base está en la Resolución 2646 de 2008, que definió las responsabilidades frente a la identificación, evaluación, prevención, intervención y monitoreo de la exposición a factores de riesgo psicosocial. Sobre esa base, la Resolución 2764 de 2022 adoptó como referentes técnicos mínimos obligatorios la Batería de Instrumentos para la Evaluación de Factores de Riesgo Psicosocial, una guía técnica general de promoción, prevención e intervención, y protocolos de intervención específicos, y reemplazó la Resolución 2404 de 2019 (Fuente: Ministerio del Trabajo, 2022).

En la práctica, la gestión sigue cuatro pasos:

1. Evaluar con la batería oficial, aplicada por un profesional con la formación y la licencia en SST que exige la norma.
2. Analizar los resultados por áreas y cargos, sin exponer datos individuales: la información psicosocial es sensible y está protegida por la Ley 1581 de 2012.
3. Intervenir los factores en riesgo alto con las guías y los protocolos oficiales.
4. Repetir la evaluación: cada año cuando el nivel de riesgo es alto o muy alto, y cada dos años cuando es medio o bajo.

Este frente se conecta con otras normas, como la Ley 1010 de 2006 sobre acoso laboral y la Ley 1616 de 2013 de salud mental, que forman parte de los referentes normativos del riesgo psicosocial en Colombia junto con las Resoluciones 2646 de 2008 y 2764 de 2022.

¿Qué aporta la ISO 45003?

La ISO 45003:2021 es una guía internacional para gestionar el riesgo psicosocial dentro de un sistema de gestión de seguridad y salud en el trabajo como el de la ISO 45001. Su aporte práctico es llevar el tema más allá de la medición: ayuda a integrar los resultados de la batería en decisiones de organización del trabajo, como cargas, horarios, estilos de liderazgo y canales para que las personas reporten sin miedo. Como la ISO 31000, es una guía; en Colombia, lo obligatorio sigue siendo la batería y las resoluciones del Ministerio del Trabajo.

Para conectar la norma internacional con la práctica, el diplomado Sistema de Gestión de Riesgo Psicosocial ISO 45003:2021 trabaja la identificación, evaluación y gestión de factores psicosociales con el enfoque PHVA, y en la ruta para aprender sobre salud mental encuentras otros programas del área. El Politécnico de Suramérica también ofrece un diplomado gratuito en la Norma ISO 45003:2021.

¿Qué son las Buenas Prácticas de Manufactura (BPM) y cuáles son sus principios?

Las Buenas Prácticas de Manufactura (BPM) son los principios básicos de higiene que deben cumplir quienes fabrican, preparan, envasan, almacenan, transportan o venden alimentos, para que lleguen inocuos al consumidor. En Colombia las regula la Resolución 2674 de 2013 del Ministerio de Salud y Protección Social, y su cumplimiento lo vigilan el Invima y las autoridades sanitarias territoriales, según el tipo de establecimiento.

La Resolución 2674 de 2013 las define como los principios básicos y prácticos generales de higiene en la manipulación, preparación, elaboración, envasado, almacenamiento, transporte y distribución de alimentos para consumo humano, con el objeto de que los productos cumplan las condiciones sanitarias adecuadas y se disminuyan los riesgos inherentes a la producción (Fuente: Ministerio de Salud y Protección Social, 2013). Fíjate en el final de esa definición: disminuir los riesgos. Las Buenas Prácticas de Manufactura (BPM) son, en el fondo, controles para un tipo específico de riesgo: el sanitario.

¿Qué cambió con la Resolución 2674 de 2013?

La resolución reemplazó el antiguo Decreto 3075 de 1997 y unificó los requisitos sanitarios para la fabricación, el procesamiento, el envase, el almacenamiento, el transporte, la distribución y la comercialización de alimentos en un solo marco normativo. Sigue siendo la norma de referencia para las Buenas Prácticas de Manufactura (BPM) en el país.

Los principios, frente por frente

(Fuente: Resolución 2674 de 2013, Ministerio de Salud y Protección Social).

Si trabajas en producción o control de calidad de alimentos, cosméticos o medicamentos, el diplomado de Buenas Prácticas de Manufactura (BPM) recorre la cultura de inocuidad, las auditorías internas y externas y la mejora continua con el ciclo PHVA. Es gratuito, 100 % virtual y de 120 horas; el certificado es opcional y cuesta COP 80.000 o USD 25.

¿Cómo integrar el riesgo laboral, sanitario y estratégico en una sola gestión?

Para integrar los riesgos, usa un solo método (el proceso de la ISO 31000), una sola matriz con una columna que identifique el frente de cada riesgo, un responsable que coordine y un calendario común de revisión. Cada norma conserva sus requisitos propios, pero la empresa deja de manejar el SG-SST, las Buenas Prácticas de Manufactura (BPM) y los riesgos del negocio como mundos separados.

En una pyme no hay un equipo para cada sistema. Integrar no es un lujo; es la única forma de que la gestión sea sostenible. Cuatro decisiones lo hacen posible:

1. Un método común. Las mismas escalas de probabilidad e impacto para todos los riesgos. La matriz de peligros del SG-SST puede mantener la metodología que exija tu sistema, pero sus resultados se traducen a la escala común para que la gerencia compare.
2. Una matriz con columna de «frente». Como en el ejemplo de la matriz: laboral, sanitario, operativo, estratégico y de cumplimiento.
3. Un coordinador. Puede ser la persona responsable del SG-SST o de calidad, con respaldo de la gerencia.
4. Un calendario común. Diciembre concentra la autoevaluación del SG-SST, la revisión de la matriz y el plan del año siguiente; los registros del plan de saneamiento y las inspecciones se revisan cada mes.

El mismo método sirve para riesgos que van más allá de la seguridad y la inocuidad. Por ejemplo, los riesgos de lavado de activos, financiación del terrorismo y corrupción que exige gestionar la Superintendencia de Sociedades también se valoran con una matriz de probabilidad e impacto. Lo explicamos en nuestra guía de SAGRILAFT 2026.

Si tu rol es coordinar a las personas detrás de estos sistemas, en el Centro de Gestión Humana del Politécnico de Suramérica encuentras diplomados gratuitos de bienestar laboral, selección y desarrollo de personal.

Diplomados de gestión de riesgos del Politécnico Intercontinental

El Politécnico Intercontinental, institución de educación para el trabajo con licencia de la Secretaría de Educación de Itagüí, ofrece una ruta de diplomados de gestión de riesgos 100 % virtuales y gratuitos, de 120 horas cada uno. Solo pagas si quieres el certificado: COP 80.000 o USD 25.

(Fuente: fichas de los diplomados en politecnicointercontinental.com, 2026). Son educación informal y no conducen a título ni a certificado de aptitud ocupacional (Decreto 1075 de 2015, art. 2.6.6.8), ni reemplazan el curso virtual de 50 horas en SST que exige la Resolución 0312 de 2019.

Puedes ver toda la oferta en el catálogo de diplomados virtuales gratis.

Preguntas frecuentes

¿Qué es el SG-SST?
El SG-SST es el Sistema de Gestión de Seguridad y Salud en el Trabajo que todo empleador en Colombia debe implementar para prevenir accidentes y enfermedades laborales. Lo exige el Decreto 1072 de 2015 y funciona con el ciclo planear, hacer, verificar y actuar. Incluye política, identificación de peligros, plan anual, capacitación, indicadores y auditoría, y se evalúa cada año frente a los estándares mínimos de la Resolución 0312 de 2019.

¿Cuántos estándares mínimos del SG-SST debe cumplir mi empresa?
Depende del tamaño y de la clase de riesgo, según la Resolución 0312 de 2019. Las empresas de 10 o menos trabajadores en riesgo I, II o III cumplen 7 estándares, y las de 11 a 50 trabajadores en esos niveles cumplen 21. Las de más de 50 trabajadores, y todas las de riesgo IV o V sin importar su tamaño, cumplen 60. Las unidades de producción agropecuaria pequeñas de bajo riesgo cumplen 3.

¿En qué se diferencian el SG-SST y la ISO 45001?
El SG-SST es obligatorio por ley para todos los empleadores en Colombia y lo vigila el Ministerio del Trabajo. La ISO 45001:2018 es una norma internacional voluntaria y certificable. Ambos siguen el ciclo planear, hacer, verificar y actuar, por lo que un SG-SST maduro avanza buena parte del camino hacia la ISO 45001, pero la certificación no reemplaza el cumplimiento de la ley colombiana.

¿Qué sanciones hay por no implementar el SG-SST?
Según la Ley 1562 de 2012, pueden imponerse multas de hasta 500 salarios mínimos por incumplir las normas del SG-SST, de hasta 1.000 por no reportar accidentes o enfermedades laborales y de 20 a 1.000 cuando el incumplimiento causa la muerte de un trabajador. Las multas se gradúan según el tamaño de la empresa, y también puede ordenarse la suspensión de actividades o el cierre.

¿Qué es una matriz de riesgos?
Una matriz de riesgos es una tabla que cruza la probabilidad de que un evento ocurra con el impacto que tendría, para decidir qué riesgos atender primero. Cada riesgo recibe un puntaje, normalmente de 1 a 25 en una escala 5×5, y se ubica en una zona baja, media, alta o extrema. Es la técnica más usada en la etapa de análisis del proceso de la ISO 31000.

¿Cómo hacer una matriz de riesgos en Excel?
Crea una fila por riesgo con columnas para proceso, riesgo, causa, consecuencia, probabilidad e impacto de 1 a 5. Calcula el nivel con una fórmula que multiplique probabilidad por impacto y asigna la zona según tus niveles de aceptación. Agrega controles, responsable, fecha y riesgo residual. Un mapa de calor con la función CONTAR.SI.CONJUNTO muestra cuántos riesgos hay en cada celda.

¿La ISO 31000 es certificable?
No. La ISO 31000:2018 es una guía que ofrece principios, un marco de referencia y un proceso para gestionar cualquier tipo de riesgo. La propia ISO aclara que no puede usarse con fines de certificación, aunque sirve como referencia para auditorías internas o externas. Lo que sí es certificable son normas de sistemas de gestión que aplican su lógica, como la ISO 9001 o la ISO 45001.

¿Qué norma regula las Buenas Prácticas de Manufactura (BPM) en Colombia?
La Resolución 2674 de 2013 del Ministerio de Salud y Protección Social, que reemplazó al Decreto 3075 de 1997. Establece los requisitos sanitarios para quienes fabrican, procesan, envasan, almacenan, transportan, distribuyen y comercializan alimentos para consumo humano. Su cumplimiento lo vigilan el Invima y las autoridades sanitarias territoriales, según el tipo de establecimiento.

¿Cuáles son los principios de las Buenas Prácticas de Manufactura (BPM)?
Se organizan en frentes que cubren todo el recorrido del alimento: instalaciones diseñadas para evitar la contaminación, equipos y utensilios de materiales seguros, personal manipulador sano y capacitado, operaciones de fabricación higiénicas, un sistema preventivo de aseguramiento de la calidad y un plan de saneamiento con limpieza, desinfección, manejo de residuos, control de plagas y agua potable.

¿Cómo se evalúa el riesgo psicosocial en Colombia?
Con la Batería de Instrumentos para la Evaluación de Factores de Riesgo Psicosocial, que la Resolución 2764 de 2022 del Ministerio del Trabajo adoptó como referente técnico mínimo obligatorio dentro del SG-SST. La evaluación cubre factores intralaborales, extralaborales y el estrés, y se repite cada año si el riesgo es alto y cada dos años si es medio o bajo.

Tu siguiente paso

Gestionar riesgos no es llenar formatos: es decidir, con método, qué atender primero para que nadie se lesione, nadie se enferme y la empresa cumpla sus objetivos. Empieza por el frente que más te urge:

• Si tu reto es el SG-SST: el diplomado gratuito de Seguridad y Salud en el Trabajo (Salud Ocupacional).
• Si buscas el método para cualquier riesgo: el diplomado gratuito de ISO 31000 Gestión de Riesgos.

Ambos son de 120 horas, 100 % virtuales y a tu ritmo. Solo pagas si quieres el certificado.