¿El manual de procesos y procedimientos es obligatorio en Colombia?
En el sector público, sí, aunque la obligación no aparece con ese título. El parágrafo del artículo 1 de la Ley 87 de 1993 dice que el control interno «se cumplirá en toda la escala de la estructura administrativa, mediante la elaboración y aplicación de técnicas de dirección, verificación y evaluación de regulaciones administrativas, de manuales de funciones y procedimientos, de sistemas de información y de programas de selección, inducción y capacitación de personal». Es decir: el manual no es una buena práctica de gestión, es el vehículo por el que la ley dice que se expresa el control interno. En el sector privado ninguna norma lo impone con ese nombre, pero su contenido se vuelve exigible por otras vías.
¿Sigue vigente la NTCGP 1000 como referente del manual?
No. El artículo 5 del Decreto 1499 de 2017 derogó la Ley 872 de 2003, que era la que creaba el sistema de gestión de la calidad obligatorio del sector público, y con ella cayó el andamiaje de la NTCGP 1000:2009. El propio decreto solo previó que «las certificaciones otorgadas de conformidad con la Norma Técnica de Calidad en la Gestión Pública NTCGP 1000 Versión 2009 continuarán vigentes hasta la fecha para la cual fueron expedidas». Hoy el marco es MIPG, y el MECI se actualiza a través de su Manual Operativo. Un manual de procedimientos que todavía cita la NTCGP 1000 en su encabezado está desactualizado en su fundamento.
¿En qué se diferencia del mapa de procesos y del manual de funciones?
Son tres documentos distintos y ninguno reemplaza a otro. El mapa de procesos es la vista de arriba: qué procesos existen, cómo se clasifican y cómo se conectan entre sí. El manual de procesos y procedimientos es el nivel operativo: cómo se ejecuta cada uno paso a paso, con entradas, salidas, responsables, puntos de control y registros. El manual de funciones responde a otra pregunta: qué se espera de cada cargo. Se levanta primero el mapa, después los procedimientos, y el manual de funciones se define contra ellos —no al revés—.
¿Qué debe contener cada procedimiento?
Objetivo y alcance, responsable del procedimiento, entradas y salidas, la secuencia de actividades con quién ejecuta cada una, los puntos de control y qué se hace cuando el control falla, los registros que quedan como evidencia, las definiciones necesarias y el control de versiones con fecha y acto de adopción. Lo que sobra son los diagramas de veinte pasos que nadie sigue. Lo que casi siempre falta son dos cosas: el punto de decisión —qué pasa cuando el caso no es el normal— y la evidencia que debe quedar.
¿Cada cuánto hay que actualizarlo?
La Ley 87 lo puso como obligación permanente: su artículo 4, literal l), incluye entre los elementos del sistema de control interno la «simplificación y actualización de normas y procedimientos». No es un documento que se elabora una vez. En la práctica se revisa cuando cambia la norma aplicable, cuando cambia el proceso, cuando una auditoría o un hallazgo muestra que el procedimiento escrito y el real no coinciden, y de oficio al menos una vez al año. Un manual que lleva cinco años sin tocar suele describir una operación que ya no existe.
¿Y si somos una empresa privada?
Ninguna norma le exige un «manual de procesos y procedimientos» como tal, pero partes de su contenido sí son exigibles. El numeral 7 del artículo 2.2.4.6.12 del Decreto 1072 de 2015 incluye «los procedimientos e instructivos internos de seguridad y salud en el trabajo» entre la documentación que el SG-SST debe mantener disponible y actualizada. El artículo 2.2.4.6.15 pide una metodología con alcance sobre «todos los procesos y actividades rutinarias y no rutinarias». Y en materia disciplinaria, el artículo 115 del Código Sustantivo del Trabajo reformado por la Ley 2466 de 2025 obliga a probar la falta contra un deber escrito antes del hecho. Sin procedimiento documentado, esa prueba no existe.
