ISO 31030 explicada: por qué es más importante que nunca para los equipos de gestión de riesgos de viaje

Durante años, la gestión de riesgos de viaje funcionó a base de conocimiento institucional y buenas prácticas prestadas. Los líderes de seguridad construían sus programas con lo que había funcionado en su empresa anterior, lo que aprendían de colegas o lo que parecía correcto frente a las amenazas que tenían delante. No existía una norma formal ni una definición compartida de lo que debía incluir un programa completo. Dos empresas podían afirmar que tenían un programa de riesgos de viaje y referirse a cosas completamente distintas.

Eso cambió en septiembre de 2021, cuando la Organización Internacional de Normalización publicó la norma ISO 31030, titulada formalmente Gestión de riesgos de viaje: Orientación para las organizaciones. La norma tomó décadas de experiencia del sector y las codificó en un solo documento que define lo que el deber de protección exige realmente para los empleados que viajan. Es una especificación, puesta por escrito, contra la que cualquiera puede contrastar su programa.

La adopción ha sido lenta. Un estudio de Everbridge encontró que el 76% de los ejecutivos de alta dirección encuestados no contaba con un programa sólido de gestión de riesgos de viaje según lo define la ISO 31030. Al mismo tiempo, el informe Risk Outlook de International SOS registra un fuerte aumento interanual de los destinos clasificados como de riesgo elevado o alto. El entorno de riesgo sigue empeorando mientras la mayoría de las organizaciones opera todavía sin un programa que cumpla la norma. Esa brecha merece atención, y es la razón de que exista este artículo.

De dónde viene la norma y qué es

ISO es una federación de 168 organismos nacionales de normalización, la misma organización detrás de estándares de gestión de calidad como ISO 9001 y de seguridad de la información como ISO 27001. La ISO 31030 se derivó de la ISO 31000, la norma general de gestión de riesgos, adaptada específicamente a los viajes corporativos. Quienes la redactaron venían de la industria: profesionales de seguridad, proveedores de asistencia médica, gestores de viajes y académicos que pasaron sus carreras viendo programas triunfar y fracasar.

Algo que conviene aclarar desde el principio: la ISO 31030 es una norma de orientación, no certificable. No hay auditoría, no hay certificado para colgar en la pared y ninguna ley obliga a cumplirla. Se usa evaluando el propio programa contra la orientación y cerrando después las brechas que importan según la huella de viajes y el perfil de riesgo de cada organización.

Algunos directivos escuchan "orientación voluntaria" y se relajan. Es un error, y el historial legal que se cubre más adelante en este artículo muestra por qué. A los tribunales y reguladores les importa lo que habría hecho una organización razonable, y desde que existe una norma internacional, "razonable" tiene una definición escrita.

Qué cubre realmente la ISO 31030

La norma describe el ciclo de vida completo de la gestión de riesgos de viaje, desde la decisión de viajar hasta la revisión posterior al viaje. También abarca más de lo que la mayoría espera. Los riesgos incluidos van desde accidentes de tránsito e incidentes de salud rutinarios hasta brotes de enfermedades, desastres naturales, conflictos, delincuencia y amenazas de seguridad, e incluye de forma explícita la salud mental de los viajeros junto a su seguridad física. Empuja a los responsables del programa a mirar más allá de los escenarios dramáticos y considerar factores poco glamorosos como el estado de las carreteras, la fiabilidad de las telecomunicaciones locales y la calidad de la atención médica cercana. En la mayoría de los programas de viaje, un accidente de tránsito en el trayecto desde el aeropuerto es un evento mucho más probable que un secuestro.

Los requisitos centrales se desglosan así.

Evaluación de riesgos ligada al destino, al viajero y a la actividad. Se evalúa adónde va la persona, quién es y qué va a hacer allí. Esos tres datos determinan el perfil de seguridad de ese viaje. Un treintañero sano que asiste a una conferencia en Copenhague y un ejecutivo sénior con una afección cardíaca que visita una mina en el Sahel necesitan niveles de preparación muy distintos, y la norma lo hace explícito. El perfil del viajero importa: la experiencia, las necesidades médicas y los factores de riesgo personales cambian la exposición. La evaluación de riesgos no puede ser genérica ni puede saltarse.

Política de viajes y autorización. La norma espera reglas claras sobre cómo se aprueban los viajes. Eso significa canales de reserva obligatorios para que la organización sepa realmente dónde está su gente, umbrales de aprobación ligados a la clasificación de riesgo del destino, restricciones de destino cuando se justifiquen y una vía definida para las excepciones. Si un itinerario cambia a mitad de viaje de una forma que sale de la política, alguien responsable debería enterarse rápido y no después de los hechos.

Gobernanza y responsabilidades claras. Alguien es dueño del programa. Los roles están definidos entre las funciones de seguridad, viajes, recursos humanos, legal y médica, y existe un proceso de escalado y de toma de decisiones cuando un viaje implica riesgo elevado. Muchas organizaciones funcionaron durante años con una propiedad implícita, donde todos asumían que otro estaba vigilando. La ISO 31030 lo formaliza.

Preparación y comunicación con el viajero. Los empleados reciben información sobre los riesgos que enfrentarán y los recursos disponibles antes de salir. Eso incluye briefings de seguridad previos al viaje, capacitación en seguridad cuando el riesgo lo justifica, contactos de apoyo en el país y orientación clara sobre qué hacer si algo sale mal. Y continúa durante el viaje: alertas en tiempo real cuando una situación se desarrolla cerca de un viajero, procedimientos de registro periódico y formas confiables de contactar a las personas por más de un canal.

Transporte y alojamiento verificados. La norma también cubre la capa logística. Los proveedores de transporte terrestre, las rutas, los hoteles y otros proveedores se evalúan pensando en la seguridad del viajero, y las decisiones de contratación en ubicaciones de mayor riesgo consideran la seguridad y no solo el precio.

Respuesta a incidentes y protocolos de deber de protección. Cuando ocurre un incidente, hay un plan. La norma espera que las organizaciones definan cómo responderán a emergencias médicas, eventos de seguridad, desastres naturales y otras crisis que afecten a empleados en viaje, incluyendo rutas de escalado, mecanismos de asistencia y evacuación, y coordinación con la continuidad del negocio.

Monitoreo continuo y mejora. Los programas se revisan. Los incidentes y los cuasi accidentes se analizan. La organización mide su desempeño, aprende de lo ocurrido y actualiza el programa en consecuencia en lugar de dejarlo fosilizarse.

Nada de esto es revolucionario para quien lleva una década en gestión de riesgos de viaje. Es la primera vez que estos requisitos quedan escritos en una sola norma aplicable a todas las industrias y geografías, y eso cambia lo que sucede cuando los programas se comparan, se auditan o se cuestionan.

Por qué la adopción sigue siendo baja

La brecha del 76% existe por varias razones. Algunas organizaciones ven la ISO 31030 como burocracia innecesaria, otra casilla de cumplimiento que no aporta valor real. Otras carecen de recursos para construir un programa desde cero o adaptar uno existente a la orientación. Muchas simplemente no saben que la norma existe.

La estructura también pesa mucho. El riesgo de viaje toca a seguridad, gestión de viajes, recursos humanos, legal, medicina y liderazgo regional, y esos equipos rara vez comparten sistemas o datos. El trabajo de Everbridge con programas corporativos saca a la luz una y otra vez los mismos puntos de falla: propiedad fragmentada entre departamentos, procesos de aprobación inconsistentes, visibilidad limitada sobre dónde están realmente los viajeros, conocimiento tardío de eventos críticos, contacto y registro manuales, y rutas de escalado poco claras cuando algo sale mal. Una norma puede nombrar esos problemas, pero alguien dentro de la organización todavía tiene que resolverlos.

También hay un problema de percepción. La gestión de riesgos de viaje suele tratarse como un apéndice de recursos humanos o de compras en lugar de una función de seguridad. Cuando vive en la parte equivocada de la organización, no recibe la atención ni el presupuesto que necesita. La ISO 31030 ayuda a dejar claro que se trata de una disciplina de gestión de riesgos con implicaciones reales de deber de protección, pero ese mensaje todavía no ha llegado a todos los comités ejecutivos.

El trasfondo legal

El deber de protección es una obligación legal, y los tribunales ya han mostrado qué pasa cuando las organizaciones no lo cumplen. El caso que más se cita en este campo es Dennis contra el Norwegian Refugee Council. Steve Dennis, trabajador humanitario, recibió un disparo y fue secuestrado durante un ataque en Dadaab, Kenia, en 2012. Demandó a su empleador, y en 2015 el Tribunal de Distrito de Oslo declaró a la organización culpable de negligencia grave, al considerar que los riesgos eran previsibles y que la organización no los había gestionado. Recibió millones de coronas en indemnización, y el caso transformó cómo todo el sector humanitario piensa la seguridad de su personal.

Ese precedente importa mucho más allá del mundo humanitario. Cuando un empleado en viaje sufre un daño y sigue un litigio, la pregunta pasa a ser si la organización tomó medidas razonables para protegerlo. Antes de 2021, lo "razonable" se argumentaba caso por caso con peritos. Ahora existe una norma internacional que describe cómo luce un programa competente, y cuesta imaginar que los abogados de los demandantes no la usen como vara de medir.

Por qué la norma importa más ahora

El panorama de riesgos ha cambiado. El Risk Outlook de International SOS muestra cada año más destinos entrando en las categorías de riesgo elevado y alto. La inestabilidad geopolítica, los disturbios civiles, las crisis sanitarias y las disrupciones climáticas aumentan todas al mismo tiempo. Los empleados viajan a más lugares, a menudo con menos aviso previo, y las amenazas que enfrentan son más variadas que hace apenas cinco años.

La ISO 31030 le da una línea de base. Define cómo luce un programa defendible si algo sale mal y usted necesita demostrar que tomó medidas razonables para proteger a su gente. No garantiza que no ocurra nada malo. Es evidencia de que construyó un programa diseñado para reducir el riesgo y responder con eficacia cuando ocurren incidentes, y en un tribunal o en una reunión de directorio, esa evidencia pesa.

Los beneficios van más allá de la defensa legal. Las organizaciones que se alinean con la norma reportan ganancias visibles en el lado del negocio: la capacidad de operar con confianza en mercados de mayor riesgo, mayor seguridad para inversionistas, bancos y socios comerciales de que el riesgo de viaje está bajo control, mejor credibilidad de la cadena de suministro ante los clientes, más confianza y retención del personal, y en algunos casos primas de seguro más bajas porque la organización puede demostrar un control efectivo del riesgo asociado a los viajes. Un programa bien gestionado es un habilitador del negocio, y la norma le da el vocabulario para defender ese argumento internamente.

Para las organizaciones que ya tienen un programa de riesgos de viaje, la norma funciona como herramienta de auditoría. Se mapean los procesos actuales contra el texto y las brechas se vuelven visibles rápido. Para las que parten de cero, es un plano que evita reinventar décadas de lecciones aprendidas a un alto costo.

Qué hacer con ella

Si usted es responsable de la gestión de riesgos de viaje, consiga una copia de la ISO 31030 y léala. No es larga y está escrita en lenguaje claro. Compárela con lo que tiene implementado hoy y anote cada brecha que encuentre.

La experiencia de las consultoras que realizan estos análisis de brechas apunta siempre a los mismos puntos débiles: sin proceso de reserva obligatorio, sin paso de autorización previa al viaje, sin evaluaciones de riesgo antes de salir, políticas de viaje que nunca mencionan el riesgo, procesos de contratación que ignoran la seguridad y ninguna capacitación en seguridad para viajeros que van a lugares difíciles. Revise esas áreas primero, porque hay buenas probabilidades de que al menos una aplique.

Después priorice según los patrones de viaje y la exposición reales de su organización. Si los ejecutivos van con regularidad a destinos de alto riesgo, concéntrese en la respuesta a incidentes y la preparación del viajero. Si nadie puede decir quién es dueño del programa, empiece por la gobernanza. Un programa que corrige sus dos brechas más grandes este trimestre vale más que un plan a cinco años que nunca recibe financiamiento.

Por último, use la norma para construir apoyo interno. Cuando necesite presupuesto o el respaldo de la dirección, la ISO 31030 le da un punto de referencia que no es solo su opinión. Es una norma internacional que refleja el consenso de la industria sobre lo que exige el deber de protección, respaldada por jurisprudencia que muestra lo que cuesta fallar. Esa es una posición mucho más sólida para argumentar que "confíen en mí, necesitamos esto".

Las organizaciones que traten la ISO 31030 como un documento de trabajo y no como un ejercicio de cumplimiento serán las que tengan programas capaces de resistir cuando se pongan a prueba. Con el rumbo que llevan las cifras de riesgo, cada vez más lo serán.