¿Es obligatoria la ISO 45001? Para qué sirve el certificado
No: la ISO 45001 no es obligatoria. Ninguna ley española exige implantarla ni certificarse, y la propia ISO lo dice en su ficha: las organizaciones que la implantan eligen si pasan por la certificación o no. Lo que sí es obligatorio en España es la prevención de riesgos laborales que fija la ley, y en algunas empresas, una auditoría legal del sistema de prevención que a menudo se confunde con la certificación. Aquí tienes qué exige cada cosa y cuándo tiene sentido certificarse.
Lo que sí es obligatorio: la Ley de Prevención
La obligación de fondo está en la Ley 31/1995 de Prevención de Riesgos Laborales. El artículo 14 reconoce a los trabajadores el derecho a una protección eficaz y le pone al empresario el deber correlativo de protegerlos. Y el artículo 16 dice cómo: la prevención tiene que integrarse en el sistema general de gestión de la empresa, en todas sus actividades y niveles jerárquicos, a través de un plan de prevención que incluya la estructura organizativa, las responsabilidades, las funciones, las prácticas, los procedimientos, los procesos y los recursos. Sus herramientas son la evaluación de riesgos y la planificación de la actividad preventiva.
Fíjate en la lista del artículo 16: estructura, responsabilidades, procedimientos, recursos. Es, en gran parte, lo que ordena un sistema de gestión. Por eso una empresa que implanta ISO 45001 no hace algo distinto de lo que la ley ya le pide: lo hace con un método común y verificable. Pero la ley no le pide ese método concreto.
La auditoría que sí es obligatoria (y no es la ISO)
Aquí está la confusión más habitual. El Real Decreto 39/1997, el Reglamento de los Servicios de Prevención, obliga a muchas empresas a pasar una auditoría o evaluación externa de su sistema de prevención. Es una obligación legal, y no tiene nada que ver con la certificación ISO 45001. El real decreto no menciona la ISO 45001 ni ninguna certificación.
- Quién tiene que pasarla (art. 29): las empresas que no han concertado el servicio de prevención con una entidad especializada, y las que combinan recursos propios y ajenos (art. 31 bis). Las de hasta 50 trabajadores que no hacen actividades del anexo I y se organizan con recursos propios pueden cumplir con una notificación a la autoridad laboral (modelo del anexo II), salvo que esta decida otra cosa.
- Cuándo (art. 30.4): la primera, en los doce meses siguientes a disponer de la planificación de la actividad preventiva; después, cada cuatro años, o cada dos si se hacen actividades del anexo I. Los plazos se amplían en dos años si la modalidad preventiva se acordó con la representación especializada de los trabajadores. Y se repite siempre que lo pida la autoridad laboral.
- Quién la hace (arts. 32 y 33): una persona o entidad autorizada por la autoridad laboral de su comunidad, sin vínculos con la empresa auditada que afecten a su independencia.
- Qué revisa (art. 30.2): cómo se ha hecho la evaluación de riesgos, si la planificación preventiva se ajusta a la normativa, si los recursos son adecuados y cómo está integrada la prevención en la gestión.
El propio real decreto prevé además las auditorías voluntarias (art. 33 bis), para empresas que no están obligadas o que quieren auditarse con más frecuencia o más alcance. Tampoco ahí aparece la ISO 45001.
| Auditoría reglamentaria (RD 39/1997) | Certificación ISO 45001 | |
|---|---|---|
| ¿Obligatoria? | Sí, para las empresas del artículo 29 | No, voluntaria |
| Quién la hace | Auditor autorizado por la autoridad laboral | Entidad de certificación (en España, conviene que acreditada por ENAC) |
| Contra qué | La normativa de prevención | Los requisitos de ISO 45001:2018 |
| Periodicidad | Cada 4 años (2 en actividades del anexo I) | Certificado de tres años con seguimiento anual |
| Qué obtienes | Un informe a disposición de la autoridad laboral y de los representantes de los trabajadores | Un certificado que puedes enseñar a clientes |
Entonces, ¿para qué sirve el certificado?
Según ISO, la certificación valida ante terceros que la organización ha implantado bien la norma, y hay empresas que solo la implantan para aprovechar sus buenas prácticas, sin certificarse. En la práctica, el certificado sirve sobre todo para cuatro cosas:
- Cuando un cliente o un pliego lo pide. Si un contrato que te interesa exige o puntúa el certificado, ahí deja de ser opcional en la práctica. Antes de decidir, mira qué piden tus clientes de verdad.
- Para ordenar lo que la ley ya exige. El plan de prevención del artículo 16 pide estructura, responsabilidades y procedimientos. ISO 45001 da un método para tenerlos, revisarlos y mejorarlos, con auditorías internas y revisión por la dirección.
- Para integrarlo con calidad y medio ambiente. ISO 45001 comparte estructura con ISO 9001 e ISO 14001, así que una empresa que ya tiene una de ellas puede llevar las tres en un solo sistema. Lo tienes explicado en ISO 14001 vs ISO 45001: diferencias y cómo integrarlas.
- Para tener una mirada externa cada año. El auditor de certificación vuelve en cada seguimiento, y eso obliga a mantener el sistema vivo entre auditoría y auditoría.
Lo que el certificado no hace: no te exime de la Ley de Prevención ni de la auditoría reglamentaria si estás obligado a ella, y no garantiza por sí solo que no haya accidentes. Certifica que el sistema existe y funciona según la norma.
¿Merece la pena certificarse? Un criterio práctico
Esto es criterio nuestro, no una regla. Suele merecer la pena cuando:
- tus clientes o las licitaciones a las que te presentas lo piden o lo puntúan;
- ya tienes ISO 9001 o ISO 14001 y añadir la 45001 al mismo sistema cuesta poco más;
- trabajas en un sector de riesgo alto (ISO cita la construcción, la industria, la minería o la agricultura) y quieres un sistema que te obligue a revisarte.
Y suele poder esperar cuando nadie te lo pide y tu prevención está concertada con un servicio de prevención ajeno que ya cubre lo que exige la ley. En ese caso, implantar la norma sin certificarla también es una opción: tienes el método y te ahorras la factura de la certificadora. Si quieres saber cuánto cuesta, lo tienes en ¿Cuánto cuesta certificarse en ISO 45001? Precios reales en España.
Qué versión de ISO 45001 está vigente
La vigente es ISO 45001:2018. Su ficha oficial dice que se revisó y confirmó en 2024, que sigue siendo la versión en vigor y que tiene una enmienda (Amd 1:2024). ISO anuncia que la sustituirá una nueva versión, hoy en fase de borrador (ISO/DIS 45001), «en los próximos meses». Hasta que se publique, se implanta y se certifica contra la de 2018. Si vienes de la norma anterior, mira ISO 45001 vs OHSAS 18001: qué cambió y por qué importa.
Si vas a implantarla tú: el curso ISO 45001 recorre la norma cláusula a cláusula, de la política y la evaluación de riesgos al control operacional y la auditoría interna, con su encaje en la ley española. Y si estás preparando la documentación, repasa los documentos obligatorios de ISO 45001.
Fuentes
- ISO, ficha de ISO 45001:2018 y sus preguntas frecuentes («Who needs ISO 45001?», «Does ISO 45001 involve certification?»), consultadas el 27 de octubre de 2026.
- Ley 31/1995 de Prevención de Riesgos Laborales, artículos 14 y 16 (texto consolidado del BOE).
- Real Decreto 39/1997, Reglamento de los Servicios de Prevención, capítulo V, artículos 29 a 33 bis (texto consolidado del BOE).
Preguntas frecuentes
¿Es obligatoria la ISO 45001 en España?
No. Ninguna ley española obliga a implantar ni a certificar ISO 45001, y la propia ISO dice que cada empresa elige si se certifica o no. Lo obligatorio es la Ley 31/1995 de Prevención de Riesgos Laborales y su desarrollo, que exige un plan de prevención integrado en la gestión de la empresa.
¿El certificado ISO 45001 sustituye a la auditoría reglamentaria de prevención?
El Real Decreto 39/1997, que regula esa auditoría, no menciona la ISO 45001 ni ninguna certificación. La auditoría legal la hace una entidad autorizada por la autoridad laboral y sigue el contenido de los artículos 30 a 33 del real decreto. Si tu empresa está obligada a ella, tiene que hacerla aunque tenga el certificado.
¿Qué empresas tienen que pasar la auditoría reglamentaria del sistema de prevención?
Las que no han concertado el servicio de prevención con una entidad especializada, y las que combinan recursos propios y ajenos. Las de hasta 50 trabajadores que no hacen actividades del anexo I y se organizan con recursos propios pueden sustituirla por una notificación a la autoridad laboral (anexo II).
¿Cada cuánto se repite la auditoría reglamentaria?
La primera, en los doce meses siguientes a tener la planificación de la actividad preventiva. Después, cada cuatro años, o cada dos si la empresa hace actividades del anexo I. Los plazos se amplían en dos años si la modalidad preventiva se acordó con la representación especializada de los trabajadores.
¿Contra qué versión de ISO 45001 se certifica hoy?
Contra ISO 45001:2018. Su ficha oficial dice que se revisó y confirmó en 2024 y que sigue vigente. ISO anuncia que la sustituirá una nueva versión, hoy en fase de borrador (ISO/DIS 45001), pero mientras no se publique nadie puede certificarse contra ella.