La matriz legal es de los pocos documentos del SG-SST que tiene definición propia dentro del decreto, obligación expresa, lugar en la lista de documentación y un ítem con puntaje en la evaluación. Y aun así es de los que más incompletos llegan a una revisión, casi siempre por la misma razón: se llenó con normas del Ministerio del Trabajo y nada más.

Qué es, según la definición del decreto

El numeral 24 del artículo 2.2.4.6.2 del Decreto 1072 de 2015 la define así:

«Es la compilación de los requisitos normativos exigibles a la empresa acorde con las actividades propias e inherentes de su actividad productiva, los cuales dan los lineamientos normativos y técnicos para desarrollar el Sistema de Gestión de la Seguridad y Salud en el Trabajo (SG-SST), el cual deberá actualizarse en la medida que sean emitidas nuevas disposiciones aplicables».

Dos palabras hacen todo el trabajo. «Exigibles a la empresa»: no es un compendio de la normativa colombiana, es lo que le aplica a esa operación. Y «acorde con las actividades propias e inherentes de su actividad productiva»: el criterio de inclusión es lo que la empresa hace, no el sector al que pertenece.

La obligación está en el parágrafo del artículo 2.2.4.6.8, entre las obligaciones del empleador: «Por su importancia, el empleador debe identificar la normatividad nacional aplicable del Sistema General de Riesgos Laborales, la cual debe quedar plasmada en una matriz legal que debe actualizarse en la medida que sean emitidas nuevas disposiciones aplicables a la empresa».

Y aparece otra vez en el numeral 15 del artículo 2.2.4.6.12, en la lista de documentación que el SG-SST debe conservar: «la matriz legal actualizada que contemple las normas del Sistema General de Riesgos Laborales que le aplican a la empresa».

Los tres contenidos del ítem 2.7.1

En la Tabla de Valores del artículo 27 de la Resolución 0312 de 2019, el ítem 2.7.1 «Matriz legal» vale 2 puntos dentro del estándar «Normatividad nacional vigente y aplicable en materia de seguridad y salud en el trabajo (2 %)».

El criterio pide «definir la matriz legal que contemple las normas actualizadas del Sistema General de Riesgos Laborales aplicables a la empresa». Pero el modo de verificación es el que revela el alcance real, porque enumera tres contenidos distintos:

  • Normas vigentes en riesgos laborales, aplicables a la empresa. Es la parte que todas las matrices traen: el Decreto 1072, la Resolución 0312, el Decreto-Ley 1295, la Ley 1562.
  • Normas técnicas de cumplimiento de acuerdo con los peligros y riesgos identificados en la empresa. Esta parte engancha la matriz legal con la matriz de peligros: si hay ruido, deben aparecer los límites de exposición; si hay químicos, el sistema de clasificación y etiquetado; si hay tareas de alto riesgo, sus resoluciones específicas.
  • Normas vigentes de diferentes entidades que le apliquen, relacionadas con riesgos laborales. Este es el que casi nunca está.

Ese tercer contenido es el que separa una matriz de trámite de una útil. «Diferentes entidades» significa, en una empresa cualquiera:

  • Dirección Nacional de Bomberos para la brigada de emergencia, y el propio Decreto 1072 la referencia al pie de su artículo 2.2.4.6.25.
  • Ministerio de Transporte para el plan estratégico de seguridad vial cuando la empresa tiene flota o conductores.
  • Ministerio de Salud y el sistema de evaluaciones médicas ocupacionales.
  • Autoridad ambiental cuando el peligro laboral y el ambiental comparten fuente: químicos, residuos peligrosos, emisiones.
  • Normas técnicas ICONTEC referenciadas por los estándares aplicables.
  • Actos administrativos municipales que apliquen a la sede.

Cómo se arma para que resista

La matriz no se construye buscando normas: se construye recorriendo la operación. Cinco pasos:

  • Partir de la matriz de peligros. Cada peligro identificado obliga a preguntar qué norma lo regula. Ese es el camino que pide el segundo contenido del criterio.
  • Recorrer los procesos y las tareas críticas, no solo el organigrama. Alturas, espacios confinados, químicos, conducción, manipulación de alimentos y trabajo remoto traen cada uno su norma propia.
  • Listar las autoridades que tocan la operación, no solo el Ministerio del Trabajo. De ahí sale el tercer contenido.
  • Para cada norma, escribir el requisito concreto, no solo el número. «Resolución 4272 de 2021» no dice nada; «reentrenamiento cada 18 meses del trabajador autorizado» sí, porque se puede auditar contra un registro.
  • Asignar responsable y evidencia por fila. Quién responde por ese cumplimiento y con qué documento se demuestra.

Con esas columnas la matriz deja de ser un listado bibliográfico y pasa a ser una herramienta de control: se puede recorrer fila por fila y marcar qué se cumple, con qué evidencia y quién responde.

El problema de fondo: la matriz envejece sola

La definición del decreto lo dice dos veces —«deberá actualizarse en la medida que sean emitidas nuevas disposiciones»— y es la obligación que más se incumple, porque el incumplimiento no se nota hasta que alguien revisa.

Solo en los últimos años cambiaron de raíz varias normas que aparecen en casi todas las matrices que circulan: la Resolución 1409 de 2012 de trabajo en alturas fue derogada por la 4272 de 2021; la Resolución 2404 de 2019 de la batería psicosocial, por la 2764 de 2022; las Resoluciones 652 y 1356 de 2012 del comité de convivencia, por la 3461 de 2025; y la Resolución 2346 de 2007 de evaluaciones médicas, por la 1843 de 2025.

Una matriz que cita cualquiera de esas cuatro está desactualizada, y el efecto no se queda en el documento: los procedimientos que se apoyan en ella repiten el error. El inventario completo está en las normas derogadas que se siguen citando en Colombia.

Una rutina de actualización razonable tiene tres disparadores: revisión programada al menos una vez al año, revisión inmediata cuando cambia la operación —nueva sede, nueva línea, nueva tarea crítica— y revisión cuando se publica una norma del sector. Sin esos tres, la matriz describe la empresa del año en que se hizo.

Los errores más frecuentes

  • Copiar la matriz de otra empresa. El criterio de inclusión es la actividad productiva propia; una matriz heredada trae normas que no aplican y omite las que sí.
  • Listar números sin requisito. Una columna de normas no permite verificar nada.
  • Quedarse solo en el Ministerio del Trabajo. El modo de verificación pide expresamente normas de diferentes entidades.
  • No cruzarla con la matriz de peligros. Sin ese cruce falta el segundo contenido, que es el que da sustento técnico.
  • Incluir normas derogadas. Resta credibilidad a toda la matriz y arrastra el error a los procedimientos.
  • Dejarla sin responsable. Un requisito sin dueño no se cumple ni se revisa.

Vale la pena recordar por qué esto pesa más que sus dos puntos en la Tabla de Valores: el numeral 5 del artículo 2.2.4.6.8 pone entre las obligaciones del empleador el «cumplimiento de los requisitos normativos aplicables», es decir, garantizar que la empresa «opera bajo el cumplimiento de la normatividad nacional vigente aplicable en materia de seguridad y salud en el trabajo». La matriz legal es el instrumento con el que esa obligación se demuestra; sin ella, el cumplimiento existe de palabra.

En Tagline levantamos la matriz legal desde la operación y la matriz de peligros, con el requisito concreto, el responsable y la evidencia por fila, y dejamos la rutina de actualización montada dentro del sistema de gestión de seguridad y salud en el trabajo. Si quiere medir primero cómo está el sistema completo, la autoevaluación de Estándares Mínimos corre en el navegador y no pide datos.