ISO como muleta: el riesgo de delegar la capacidad técnica en procedimientos

La tentación del procedimiento como sustituto del conocimiento

América Latina enfrenta una paradoja incómoda en sus administraciones públicas: la mayoría de los servidores que gestionan contrataciones, datos sensibles, ciberseguridad o evaluación de proyectos no son ingenieros, analistas de riesgo ni especialistas en sistemas. Son operadores administrativos que deben lidiar con exigencias técnicas que no dominan. Ante ese vacío, un número creciente de estudios y organismos propone una solución con apariencia de pragmatismo: anclar la operación en normas ISO, no como certificación de excelencia, sino como andamiaje funcional que permite que cualquier funcionario, sin formación técnica, ejecute procesos predefinidos.

La propuesta seduce por su inmediatez. Las normas ISO 31000, 27001, 37001 y 9001 ofrecen listas de verificación, formatos estandarizados y criterios de revisión externa que no exigen comprender la teoría del riesgo, sino llenar formularios siguiendo pasos. Un estudio indonesio sobre el hospital Mandau muestra que, con ISO 31000, personal de TI escaso y poco calificado logró identificar riesgos operativos y humanos. Investigaciones en ciberseguridad de economías emergentes sugieren que combinaciones de ISO 27001 con el NIST CSF permiten a personal no técnico ejecutar controles básicos. La tentación de convertir el estándar en una prótesis cognitiva es comprensible.

El riesgo de institucionalizar la mediocridad

Pero aquí está el punto ciego: cuando un estándar se adopta como sustituto definitivo de la competencia, se corre el peligro de institucionalizar la mediocridad. El procedimiento no reemplaza el juicio experto; lo canaliza, pero también lo limita. Un funcionario que llena una matriz de riesgo según una plantilla puede producir un resultado auditable, pero no necesariamente correcto. La literatura citada por los defensores del enfoque reconoce que la falta de personal calificado sigue siendo la principal causa de fallo en sistemas de información hospitalarios, y que las normas no resuelven el desajuste entre los procesos reales y los sistemas diseñados. Lo que logran es reducir la varianza, pero no elevar el techo de calidad.

El verdadero problema no es que el estándar sea insuficiente, sino que su adopción acrítica legitima una ausencia estructural de inversión en talento. Si un gobierno puede demostrar cumplimiento procedural mediante ISO, ¿qué incentivo tiene para formar ingenieros, especialistas en ciberseguridad o analistas de riesgo? La experiencia latinoamericana en concursos públicos, documentada por el Grupo ESAN, muestra que la antigüedad sigue pesando más que la idoneidad técnica. La ISO, sin un plan paralelo de desarrollo de capacidades, se convierte en una coartada perfecta para no reformar los sistemas de selección y formación.

Equilibrio necesario: estándares como puente, no como destino

Ningún marco normativo, por bien diseñado que esté, puede sustituir la capacidad de un profesional de interpretar un contexto complejo, anticipar riesgos no previstos en la plantilla o cuestionar un procedimiento cuando la realidad lo desborda. La innovación en el sector público, como concluye la Revista CLAD, no es un problema de diseño institucional sino de capital humano: no hay quien implemente las mejoras. ISO puede ayudar a mantener la operación en marcha mientras se forma a ese capital humano, pero si se convierte en un fin en sí mismo, el Estado latinoamericano corre el riesgo de tener procesos perfectamente documentados que funcionan mal porque nadie entiende lo que realmente está pasando.

La lección es directa: bienvenidos los estándares como herramienta transitoria, pero peligrosos si reemplazan la inversión en educación técnica, la meritocracia y la especialización. América Latina necesita un equilibrio que no sacrifique la soberanía técnica por la eficiencia procedural. La muleta es útil mientras la pierna se recupera; si se usa para siempre, atrofia el músculo.