GRCreal // expediente: artículo categoría: ISO 45003
← Volver a artículos
ISO 45003 · Burnout · Salud Mental

Burnout en el trabajo: no es un problema individual. Es un riesgo organizacional.

La OMS reconoció el burnout como síndrome laboral en 2019.
ISO 45003 obliga a gestionarlo como lo que es: un riesgo del entorno de trabajo que la empresa debe prevenir.

Miguel Ángel Carriazo 18 junio 2026 9 min de lectura
Qué es el burnout según la OMS

Síndrome laboral, no etiqueta coloquial

La Organización Mundial de la Salud incluye el burnout en la Clasificación Internacional de Enfermedades (CIE-11) como síndrome resultante de un estrés laboral crónico que no se ha gestionado con éxito. Sus dimensiones son tres: agotamiento o falta de energía, distancia mental del trabajo o actitudes negativas hacia él, y reducción de la eficacia profesional.

Esta clasificación tiene implicaciones legales y de responsabilidad para las organizaciones. No es una cuestión de actitud del trabajador. Es el resultado de condiciones laborales que la empresa tiene obligación de gestionar.

Atribuir el burnout a la resiliencia individual del trabajador no solo es incorrecto — es una forma de ignorar la responsabilidad organizativa.
Matriz de decisión · ISO 45003
No todos los escenarios merecen la misma respuesta
IMPACTO / DECISIÓNBAJOMEDIOALTOSíndrome laboral, no…Lo que ISO 45003…La prevención es…VALORAR → DECIDIR → TRATAR → DEMOSTRAR
La prioridad nace de relacionar impacto, exposición y capacidad de control.
Los factores de riesgo que generan burnout

Lo que ISO 45003 identifica como causa, no como síntoma

Carga de trabajo excesiva y sostenida El factor de riesgo más documentado. Cuando la demanda de trabajo supera sistemáticamente la capacidad del trabajador y no hay mecanismos de ajuste, el burnout es predecible.
Falta de control sobre el trabajo Ausencia de autonomía, microgestión, decisiones que afectan al trabajo del empleado tomadas sin su participación. La percepción de no tener control amplifica el estrés.
Reconocimiento insuficiente No solo económico. El esfuerzo no reconocido, la falta de feedback positivo y la sensación de que el trabajo no importa son factores de riesgo documentados.
Injusticia percibida y valores en conflicto Trabajar en un entorno donde se percibe inequidad, falta de transparencia o conflicto entre los valores propios y los de la organización acelera el agotamiento emocional.
Lectura operativa GRCREAL
Qué entender

Síndrome laboral, no etiqueta coloquial. Delimita el problema antes de elegir una respuesta.

Qué comprobar

Lo que ISO 45003 identifica como causa, no como síntoma. Busca una práctica observable, no solo una declaración.

Qué poder demostrar

Por qué es también una cuestión de negocio. La decisión y su revisión deben dejar trazabilidad.

Lo que la empresa puede y debe hacer

La prevención es intervención en los factores, no en la persona

Evaluación de carga de trabajo. No preguntar «¿estás bien?». Medir la carga real: horas extras sistemáticas, tareas que se acumulan, deadlines imposibles. Los datos de tiempo de trabajo son un indicador objetivo.

Revisión de procesos de trabajo. El burnout que viene de procesos ineficientes no se resuelve con yoga de empresa. Se resuelve eliminando el proceso ineficiente.

Cultura de desconexión real. Si el CEO envía emails a las 11 de la noche y espera respuesta, la política de desconexión es papel mojado. La cultura la establece el comportamiento de la dirección.

Acceso a apoyo temprano. Programa de asistencia al empleado, acceso a apoyo psicológico confidencial, managers formados para detectar señales de alerta. La intervención temprana es significativamente más efectiva que la tardía.
Evidencia operativa

Qué esperaría encontrar para demostrar que esto funciona

La evidencia concreta depende del alcance y del contexto de la organización. Aun así, una revisión seria debería poder reconstruir al menos estas tres capas:
Ref.Capa de evidenciaQué debería permitir comprobar
EV-01Identificación del riesgoQuién es responsable, qué alcance se ha definido y qué decisión se ha tomado.
EV-02Medidas preventivas y responsablesQue el control o proceso se aplica sobre casos reales y no existe únicamente en la documentación.
EV-03Seguimiento de eficacia y tendenciasQue las desviaciones se detectan, se corrigen y vuelven a revisarse con una frecuencia razonable.
El coste del burnout

Por qué es también una cuestión de negocio

El absentismo por salud mental tiene un coste directo e indirecto significativo. El presentismo — estar presente pero funcionando a capacidad reducida por agotamiento — puede ser aún más costoso porque es invisible.

La rotación de empleados generada por burnout tiene costes de selección, formación y pérdida de conocimiento institucional que se estiman entre 50% y 200% del salario anual del empleado según el nivel de especialización.

Invertir en prevención del burnout no es altruismo corporativo. Es gestión del riesgo operacional — y suele ser mucho más barato que gestionar las consecuencias.
Guía de aplicación

Cómo llevar «Burnout en el trabajo: no es un problema individual. Es un riesgo organizacional.» a un modelo operativo

El error habitual al abordar este tema es convertirlo demasiado pronto en un documento o en una lista de tareas. En Riesgo psicosocial, yo lo llevaría primero a un modelo operativo verificable: qué queda dentro del alcance, quién puede decidir, qué condiciones activan una revisión y qué rastro queda después de cada actuación.

Para este caso partiría de criterios y apetito de riesgo. No porque sea el único punto importante, sino porque permite fijar el contexto antes de discutir controles. A partir de ahí conectaría escenarios, impacto y probabilidad con la realidad del sistema de gestión y entorno de trabajo y cerraría el ciclo con tratamiento, aceptación y riesgo residual.

La pregunta que utilizaría para probar la madurez sería sencilla: ¿puede una persona que no participó en el proyecto reconstruir la decisión, entender el riesgo y localizar la evidencia sin depender de una explicación oral? Si la respuesta es no, existe conocimiento, pero el gobierno todavía depende de personas concretas.

Mi enfoque

No intentaría implantar todo de una vez. Seleccionaría un caso representativo, documentaría la cadena identificación, consulta, acción y seguimiento y comprobaría dónde se pierde la trazabilidad.

El primer objetivo no sería «tener más documentación», sino conseguir que el dirección, personas y responsables preventivos pueda demostrar qué decidió, por qué lo decidió y cómo sabe que el control sigue funcionando.

Plano de revisiónQué comprobaríaSeñal de debilidadEvidencia útil
ContextoCriterios y apetito de riesgo; límites, dependencias y supuestos.El alcance cambia según quién lo explique.Ficha de alcance, inventario o mapa de dependencias vigente.
GobiernoPropietario, capacidad de decisión, escalado y excepciones.IT ejecuta, pero nadie de negocio acepta el riesgo.RACI, acta, ticket de decisión o registro de aceptación.
ControlEscenarios, impacto y probabilidad; diseño, cobertura y operación real.Se describe el control, pero no su población ni frecuencia.Configuración, procedimiento, muestra de ejecución y resultado.
SupervisiónTratamiento, aceptación y riesgo residual; umbrales, desviaciones y revisión.Solo se revisa cuando llega una auditoría o un incidente.KPI/KRI, revisión periódica, hallazgo y acción de mejora.
Secuencia de trabajo
01 · Reconstruir

Utilizar «Síndrome laboral, no etiqueta coloquial» como punto de entrada para describir la realidad actual, incluidas excepciones y dependencias que no aparecen en el procedimiento.

02 · Contrastar

Tomar «Lo que ISO 45003 identifica como causa, no como síntoma» y comprobarlo con una muestra real. La documentación debe coincidir con usuarios, activos, configuraciones, decisiones o registros.

03 · Cerrar el ciclo

Relacionar «La prevención es intervención en los factores, no en la persona» con un responsable, una fecha y una evidencia de revisión. Una desviación sin seguimiento es información, no gobierno.

Revisión crítica

Diez preguntas que utilizaría para revisar este tema

Estas preguntas no sustituyen una auditoría ni una evaluación formal. Sirven como prueba rápida de coherencia: si varias respuestas dependen de «creo», «normalmente» o «lo lleva otra persona», ya existe una línea de trabajo.

  1. ¿Qué está exactamente dentro del alcance? Debe poder delimitarse el sistema de gestión y entorno de trabajo sin recurrir a una descripción ambigua.
  2. ¿Quién es el propietario real? El dirección, personas y responsables preventivos debe conocer su responsabilidad y tener capacidad para escalar o decidir.
  3. ¿Qué escenario de riesgo estamos intentando evitar o limitar? Un control sin escenario asociado se evalúa por presencia, no por eficacia.
  4. ¿Qué depende de criterios y apetito de riesgo? Hay que identificar supuestos, datos de entrada, servicios y terceros que cambian la exposición.
  5. ¿Cómo sabemos que escenarios, impacto y probabilidad funciona sobre toda la población? Una muestra positiva no demuestra cobertura completa.
  6. ¿Qué excepciones existen hoy? Deben tener propietario, motivo, riesgo aceptado, compensación y caducidad cuando proceda.
  7. ¿Qué evidencia queda después de ejecutar el control? La evidencia debe ser recuperable, fechada y entendible por una tercera persona.
  8. ¿Qué indicador obliga a actuar? Medir sin umbral, tendencia o decisión asociada termina creando cuadros de mando decorativos.
  9. ¿Cuándo se revisó por última vez tratamiento, aceptación y riesgo residual? El cambio de contexto puede invalidar una decisión que era razonable seis meses antes.
  10. ¿Qué aprendimos de la última desviación? Si el hallazgo se cierra corrigiendo el síntoma y no cambia el sistema, probablemente volverá.
Pregunta incómoda

Si mañana la persona que domina este tema deja la organización, ¿el sistema seguiría funcionando y podríamos demostrar por qué se tomaron las decisiones? Esa respuesta suele revelar el nivel real de institucionalización.

Evidencia mínima

Qué conservaría para poder demostrar que el control está vivo

La cantidad de documentación no es una medida de madurez. Para «Burnout en el trabajo: no es un problema individual. Es un riesgo organizacional.» prefiero una cadena corta de evidencias conectadas a la operación. Cada pieza debe responder a una pregunta distinta: qué decidimos, qué hicimos, qué ocurrió y qué revisamos después.

La siguiente matriz es el paquete mínimo que intentaría localizar en una revisión. El formato puede ser un acta, un ticket, una exportación, una configuración o un registro de una herramienta; lo importante es la trazabilidad y la coherencia entre las piezas.

Ref.EvidenciaQué debería demostrarQué revisaría
EV-01Alcance y propietarioQué cubre el control y quién responde por él.Vigencia, exclusiones, dependencias y aceptación del propietario.
EV-02Criterio de riesgoPor qué se ha priorizado o diseñado de una forma concreta.Criterios y apetito de riesgo, escenario, impacto y supuestos utilizados.
EV-03Diseño del controlQué debe ocurrir, sobre qué población y con qué frecuencia.Escenarios, impacto y probabilidad, responsables, entradas, salidas y excepciones.
EV-04Muestra de ejecuciónQue el control opera fuera del documento.Fecha, población, resultado, anomalías y trazabilidad técnica u operativa.
EV-05Desviación y tratamientoCómo responde la organización cuando el control falla.Causa, riesgo residual, responsable, plazo y medida compensatoria.
EV-06Revisión y mejoraQue tratamiento, aceptación y riesgo residual se evalúa y puede cambiar.Indicadores, tendencia, decisiones, cambios aprobados y seguimiento.
Visión de auditor

Yo intentaría seguir una sola muestra de extremo a extremo. Si EV-01 dice una cosa, EV-03 otra y EV-04 no permite identificar la población afectada, el problema no es «falta de un PDF»: es una ruptura de trazabilidad.

Documentación operativa

Cómo convertir este tema en un expediente verificable

La forma más útil de trabajar este tema es convertirlo en una cadena verificable de decisiones, responsables y evidencias. No basta con afirmar que existe un control: hay que poder reconstruir qué se decidió, con qué información, quién lo ejecutó y cómo se comprobó después.

En Burnout en el trabajo: no es un problema individual. Es un riesgo organizacional., el análisis debería cubrir al menos organización del trabajo, factores psicosociales, participación, medidas, indicadores y eficacia. Esto exige coordinar a Dirección, Personas, Prevención, responsables de equipo, representantes y trabajadores y trabajar sobre organización del trabajo, cargas, horarios, canales, indicadores, evaluaciones y medidas. Cuando cada área conserva una parte distinta de la información, se retrasan decisiones, se duplican controles y se aceptan excepciones sin una visión completa.

Una forma práctica de evitarlo es utilizar un expediente único por servicio, sistema, proceso o decisión relevante. Puede ser una herramienta GRC, un repositorio documental controlado o un registro estructurado. Lo importante es conectar alcance, propietario, riesgo, control, evidencia, excepción y acción, con fecha, fuente y estado.

Ese expediente debe mantenerse durante la operación ordinaria. Si solo se completa antes de una auditoría, la organización obtiene una fotografía preparada, pero no una visión fiable del control. La actualización debería activarse ante cambios de arquitectura, proveedor, alcance, responsables, requisitos, incidentes o resultados de pruebas. También conviene definir una revisión periódica para detectar documentación formalmente vigente pero materialmente obsoleta.

La revisión debe separar cuatro preguntas: si el control está bien diseñado, si se ha implantado en todo el alcance, si funciona de forma sostenida y si reduce realmente el riesgo o cumple el objetivo. Mezclar estas preguntas lleva a conclusiones débiles: una política aprobada puede no haberse desplegado, una herramienta instalada puede no cubrir toda la población y una actividad ejecutada puede no producir el efecto esperado.

DimensiónQué debe quedar definidoEvidencia esperada
AlcanceProcesos, servicios, sistemas y terceros incluidos en «Burnout en el trabajo: no es un problema individual. Es un riesgo organizacional.».Alcance aprobado, inventario y exclusiones justificadas.
ResponsabilidadQuién decide, ejecuta, valida y acepta desviaciones.RACI, actas, aprobaciones y propietarios nominativos.
OperaciónActividades repetibles, entradas, salidas, plazos y escalados.Procedimiento, tickets, registros, alertas y métricas.
EficaciaCómo se comprueba que el control cambia el riesgo o el resultado.Pruebas, tendencias, incidencias, muestreo y acciones.
Escenario de validación

Prueba de extremo a extremo

  1. Partir de un equipo sometido a cambios, carga elevada y dependencia de conocimiento crítico y delimitar organización del trabajo, factores psicosociales, participación, medidas, indicadores y eficacia.
  2. Contrastar la documentación declarada con arquitectura, proceso, responsables y operación real.
  3. Seleccionar una muestra reciente y seguirla desde el evento de origen hasta su cierre.
  4. Distinguir entre fallo puntual, deficiencia de diseño y problema operativo recurrente.
  5. Verificar la corrección mediante una prueba posterior y no solo mediante una declaración de cierre.
Punto de control

Una captura demuestra un estado puntual. Un expediente completo demuestra el proceso, el criterio, la trazabilidad y la capacidad de corregir.

Evidencias mínimas

Qué conservaría para una revisión seria

  • evaluaciones, participación, indicadores, decisiones, medidas implantadas y revisión de eficacia
  • criterio aplicado y versión de la referencia utilizada
  • población, periodo y muestra revisados
  • excepciones, aceptación de riesgo y fecha de caducidad
  • resultado de eficacia y acciones derivadas
Preguntas de contraste

Qué preguntaría antes de darlo por implantado

  • ¿Qué parte de «Burnout en el trabajo: no es un problema individual. Es un riesgo organizacional.» está dentro del alcance y qué queda fuera?
  • ¿Quién aprueba una excepción, por qué y durante cuánto tiempo?
  • ¿Qué evidencia nace automáticamente de la operación y cuál se prepara manualmente?
  • ¿Cómo se detecta que la identificación de factores, la participación, las medidas organizativas, el seguimiento y la revisión deja de funcionar?
  • ¿Cuál fue la última prueba que cambió una decisión, un diseño o una prioridad?
  • ¿Puede una persona ajena al proceso reconstruir el expediente sin explicaciones adicionales?

El objetivo no es generar más documentación, sino conservar la documentación que permite gobernar, operar y demostrar. La madurez aparece cuando las evidencias nacen del proceso ordinario y no de una campaña previa a la auditoría.

¿Tu organización gestiona el riesgo de burnout
como parte de su sistema de prevención?
ISO 45003 proporciona el marco. La aplicación práctica requiere metodología y compromiso de la dirección.
Sobre el autor
Miguel Ángel Carriazo · vCISO

vCISO · Arquitecto de Soluciones de Infraestructura y Ciberseguridad | Gobierno, Riesgo y Cumplimiento (GRC) | Gobierno de IA · ISO 42001 | Fundador de GRCreal

Compartir artículo