EL ANEXO SL
En breve entrará en escena la norma ISO 14001:2015. Al igual que el resto, deberá seguir lo expuesto en el
Anexo SL (la antigua ISO Guide 83).
Este documento, el Anexo SL, es el culpable de que todas las normas hayan entrado en un proceso de renovación que culminará entre 2015 y 2016 en la mayoría de los casos. A parte de un poco de trabajo extra, es una gran noticia para el Responsable de Calidad pues todas las normas van a seguir una misma estructura lo que facilitará la gestión e integración.
Además de disponer de una estructura común (todas las normas tendrán un mismo índice de forma que, por ejemplo, el apartado 5 siempre se refiera al liderazgo o el 8 a la operación;
más información...), las nuevas versiones de las normas harán hincapié en la gestión de riesgos y en la integración de este proceso con el negocio.
LA NUEVA NORMA ISO 14001:2015
Dada esta necesidad de cambio, impuesta por el famoso anexo, parece lógico aprovechar el proceso para remozar las diferentes normas. ISO 14001 no iba a ser una excepción; aquí os dejo los principales cambios que se están planteando (
fuente BSI):
- Incorporación de los principios de la norma ISO 26000 (Guía de Responsabilidad Social) generando un acercamiento entre la gestión ambiental y la responsabilidad social empresarial.
- Refuerzo de la necesidad de mejoras reales en el desempeño ambiental de la empresa. Este punto hace que la ISO 14001 se acerque a su equivalente europeo, el Reglamento EMAS.
- Mayor relevancia de la evaluación del riesgo.
- Análisis de los impactos ambientales en la cadena de valor, como paso siguiente a la implicación de los miembros de la organización (de nuevo siguiendo el dictado de EMAS)
- Mayor relevancia del cumplimiento legal y otros requisitos externos de carácter voluntario.
- Mayor implicación de los grupos de interés.
En definitiva: mayor relación con la Responsabilidad Social, mejor alineamiento con EMAS, necesidad de conseguir mejoras reales, énfasis en el cumplimiento legal y en la implicación de los grupos de interés. Pero la nueva norma también otorga una mayor relevancia a la evaluación de riesgos y a la gestión de los aspectos medioambientales, especialmente los relacionados con la cadena de valor, es decir, con el negocio y las operaciones o la producción.
METODOLOGÍAS
Las nuevas propuestas de la norma ISO 14001:2015 dan para largo, pero aquí nos vamos a centrar en el análisis de los riesgos ambientales, proponiendo una metodología que nos permitirá determinar los aspectos medioambientales significativos para la organización (aquéllos que tienen un cierto impacto medioambiental), los controles que debemos implementar y las acciones que podemos plantear para reducir ese impacto. El análisis también nos ofrecerá propuestas para establecer objetivos de mejora en la organización.
Desde mi punto de vista, las metodologías empleadas en este área hasta la fecha son poco sistemáticas y, a veces, un tanto simplistas, en el sentido de que omiten algunos procesos fundamentales. Elegimos unos cuantos aspectos medioambientales, determinamos de alguna forma cuál es su impacto (aquí es importante que aparezca alguna fórmula que de un cierto vigor matemático al análisis) y planteamos acciones para reducir dicho impacto.
Hay otra manera de hacer este análisis recurriendo a algunas técnicas comunes en áreas como la Seguridad Informática, en donde la gestión de los riesgos es un aspecto crítico que marca la supervivencia del Responsable de Seguridad o de IT en la organización. No os asustéis, son sencillas y tienen una aplicación directa en la gestión medioambiental; ésta será la última vez que aparecerá "Seguridad Informática" en este texto.
ACTIVOS, VULNERABILIDADES Y AMENAZAS
El primer paso es realizar un
INVENTARIO de ACTIVOS, es decir, obtener una lista de todos aquéllos elementos de la organización que puedan tener un impacto sobre el medioambiente. Dichos activos deberán agruparse, es decir, no necesitamos listar todos y cada uno de los equipos electrónicos de la organización.
Este inventario (en el caso de una oficina, el modelo más sencillo) podría quedar así:
- Equipos Electrónicos
- Baterías SAI
- Consumo Eléctrico
- Gas
- Vehículos
- Papel
- Plástico
- Tonners
- Flourescentes
- Refrigeración
- [No es exhaustivo]
Crear esta lista es todo un arte y, en especial, plantear las agrupaciones. La buena noticia es que el mismo proceso de análisis permitirá ir afinándola, añadiendo nuevos elementos o eliminando otros que no aporten valor.
El siguiente paso consiste en determinar
cómo de vulnerables son estos activos. Es decir, determinar que aspectos les hacen perjudiciales o beneficiosos (no os olvidéis riesgos & oportunidades) para el medioambiente. Obtendremos una tabla como la siguiente:
Determinados los activos de la organización y cómo pueden afectar al medioambiente, debemos ahora analizar de qué forma pueden verse amenazados. Es decir, debemos determinar qué amenazas pueden explotar las vulnerabilidades detectadas para provocar un impacto negativo (o positivo) sobre los activos:
EVALUACIÓN DEL IMPACTO AMBIENTAL
Tras inventariar los activos de la organización, determinar cómo de vulnerables son y analizar cómo pueden verse amenazados, toca evaluar el impacto de dichas amenazas. O, lo que es lo mismo, evaluar el riesgo que supone cada una de las amenazas identificadas para el desempeño medioambiental de la organización.
Como habréis notado, intento poner énfasis en un concepto fundamental:
el riesgo se evalúa sobre cada amenaza, no sobre cada activo.
Para el análisis, bastará con considerar la fórmula:
Nivel de Riesgo=Impacto x Probabilidad
Y pongo "Nivel de Riesgo" y no "Riesgo" para evitar cometer otro error bastante habitual. Según la norma
ISO 31000 el riesgo se define como:
"El Efecto de la Incertidumbre sobre los Objetivos"
Es decir, el riesgo es un efecto, una amenaza sobre el cumplimiento de los objetivos, NO ES NÚMERO.
Se suelen utilizar escalas para evaluar tanto el impacto como la probabilidad. Cuanto mayores sean más precisión podremos tener en nuestras estimaciones aunque, por norma general, será suficiente con considerar una escala de 1 a 5 para ambos factores.
Esta técnica es bien conocida así que nos vamos a limitar a poner como ejemplo una relacionada con el impacto sobre las emisiones de CO2 y otra relacionada con la probabilidad (aunque es posible definir diferentes escalas para cada amenaza):
Impacto Emisiones CO2:
- Menos del 10% de las emisiones totales de la organización
- Entre el 10% y el 20%
- Entre el 20% y 30%
- Entre el 30% y 50%
- Más del 50%
Probabilidad Emisiones CO2:
- Se espera una variación inferior al 5% en las emisiones de CO2
- Variación entre el 5% y el 10%
- Variación entre el 10% y el 20%
- Variación superior al 20%
- No somos capaces de controlar la variación
Antes de comenzar a evaluar el impacto, hay otros dos temas importantes que debemos tener en cuenta:
- Disponer de datos del periodo anterior. Podemos andar dándole vueltas a cómo establecer controles para gestionar la recogida de pilas de botón para, poco más tarde, descubrir que el año pasado sólo hemos comprado apenas un puñado. Nos puede y nos debe preocupar el consumo de gas pero quizás nos percatemos que sólo es responsable de la emisión de media tonelada de CO2 frente a las diez mil que producen el resto de las fuentes.
- Considerar la existencia de los controles ya implantados. Los controles relajan el impacto y disminuyen la probabilidad de aparición de un problema. Es un tema que solemos olvidar y que nos puede ocasionar algo de trabajo extra.
Tras esas consideraciones, podemos ya proceder a evaluar el nivel de riesgo de cada amenaza identificada, obteniendo como resultado una tabla similar a la siguiente (notad que he incluido una nueva columna para indicar los controles actuales; por favor, considerarla como lo que es, un ejemplo):
METAS Y OBJETIVOS
El siguiente paso es fijar los límites para los niveles de riesgo que debemos considerar (un mapa de riesgos). Normalmente se definen dos:
- Nivel de Seguridad: por debajo de este nivel (verde), no tenemos por qué preocuparnos. La probabilidad de que se materialice una amenaza es baja y su impacto también.
- Nivel de Tolerancia: por debajo de este nivel (amarillo) el riesgo asociado es tolerado por la organización. Admitimos que el medioambiente puede resultar amenazado pero consideramos que el impacto será moderado y la probabilidad de que ocurra no es muy alta. Por encima (rojo), el riesgo no es tolerable (no puede ser aceptado) lo que nos obliga a tomar acciones.
Si os fijáis, tras este análisis conocemos ya los Aspectos Medioambientales significativos para la organización, sabemos sobre cuáles tenemos que centrar nuestra atención y en qué medida deben preocuparnos.
Y podemos también establecer objetivos y planes de acción para cada uno de ellos. El objetivo deberá ser reducir el nivel de riesgo, es decir, disminuir el impacto de una amenaza o la probabilidad de que ésta se materialice. Los planes consistirán en la implantación de nuevos controles que permitan alcanzar los objetivos marcados. De estos objetivos y planes deberán también salir los objetivos medioambientales de la organización para el periodo en cuestión.
En la tabla se han añadido dos columnas para registrar este proceso:
Puede observarse que se ha fijado un objetivo para reducir el nivel de riesgo asociado con cada amenaza. Además se proponen los controles que podrán hacer que disminuya el impacto, la probabilidad o ambos factores simultáneamente.
El sistema permite además un seguimiento sencillo de la evolución del desempeño medioambiental y de la eficacia de los nuevos controles implementados: bastará con añadir otra columna para mostrar el nivel de riesgo actual y poder así compararlo con el objetivo planteado.
Otra buena idea es calcular el nivel de riesgo total del sistema y plantear un objetivo general encaminado a reducir dicho nivel de riesgo. Así podremos evaluar de forma conjunta el efecto de todas las acciones emprendidas.
EN DEFINITIVA
La metodología propuesta está alienada con los cambios previstos en la norma ISO 14001:2015. Permite identificar de forma rápida los aspectos medioambientales que requieren nuestra atención, fijar objetivos concretos y medibles, plantear acciones en base a estos objetivos y realizar un seguimiento de las acciones emprendidas. Es fácil integrar en este análisis las consideraciones legales y normativas (en el ejemplo, se habla simplemente de legislación pero podemos también hacer referencia a leyes o normativas concretas).
Finalmente, la metodología es también de utilidad para evaluar los riesgos laborales pudiendo facilitar la, cada vez más necesaria, integración de estas dos áreas de la organización (riesgos laborales, riesgos medioambientales)
No en todas las normas se da la suficiente relevancia al proceso de análisis y gestión de riesgos y oportunidades. Es un punto crítico en normas como la ISO 14001 (gestión medioambiental) o la ISO 27001 (Seguridad de la Información). También lo encontramos en la ISO 20000 (Gestión de Servicios) y en algunas más. Sin embargo, no está presente en la más genérica, la norma ISO 9001, aunque lo estará en la próxima revisión que será publicada en 2015 (ver más adelante).
