ISO como sustituto de competencias técnicas en el Estado latinoamericano

Uno de los problemas estructurales de la administración pública latinoamericana es la asimetría entre las exigencias técnicas de los procesos que gestiona y las competencias reales de quienes los ejecutan. La mayoría de los servidores públicos son operadores administrativos, no ingenieros, analistas de riesgo ni especialistas en sistemas. Sin embargo, deben lidiar con contrataciones, manejo de datos sensibles, ciberseguridad básica, control interno y evaluación de proyectos. Ante esa brecha, un conjunto creciente de investigaciones propone una solución pragmática: anclar la operación en normas ISO, no como certificación de lujo, sino como sustituto funcional de capacidades técnicas ausentes.

El problema de base: perfiles no técnicos en puestos técnicos

La literatura arbitrada revisada muestra un patrón recurrente. Un estudio sobre fuerzas policiales en América Latina, publicado por Scielo, documenta que la adopción de estándares ISO de calidad mejora la consistencia operativa incluso cuando el personal carece de formación especializada en gestión. El Grupo ESAN, por su parte, señala que la meritocracia y la gestión por competencias en la región chocan con la realidad de concursos que privilegian la antigüedad sobre la idoneidad técnica. La Revista Reflexiones agrega que, sin perfiles adecuados, los sistemas de control interno se convierten en ficciones documentales.

En el plano concreto de la inversión pública, un artículo de la Revista Impulso demuestra que los sistemas de seguimiento de inversiones fallan no por falta de plataformas tecnológicas, sino porque los operadores no interpretan correctamente los indicadores. La Revista CLAD, especializada en capacidades de innovación del sector público, concluye que la innovación no es un problema de diseño institucional sino de capital humano: no hay quien implemente las mejoras. Y desde UNIR Colombia, el análisis sobre gestión del riesgo y control interno advierte que la rotación de personal y la falta de conocimiento técnico convierten cualquier marco normativo en papel mojado.

La propuesta: ISO como andamiaje procedimental

Las normas ISO —particularmente ISO 31000 (gestión del riesgo), ISO 27001 (seguridad de la información), ISO 37001 (antisoborno) e ISO 9001 (calidad)— ofrecen algo que los operadores no técnicos necesitan: procedimientos detallados, listas de verificación, formatos estandarizados y criterios de revisión externa. No exigen que el funcionario entienda de teoría del riesgo; le exigen que llene un formulario siguiendo pasos predefinidos.

Un estudio aplicado en el hospital Mandau, publicado por la Universidad de Indonesia, muestra que la implementación de ISO 31000 permitió identificar y mitigar riesgos no técnicos —operativos y humanos— incluso cuando el personal de TI era escaso y poco calificado. La clave no fue formar expertos, sino estandarizar el proceso de identificación de riesgos para que cualquier operador pudiera aplicarlo.

En el ámbito de la ciberseguridad, un artículo en IEEE Transactions sobre marcos de resiliencia digital en economías emergentes sostiene que ISO/IEC 27001, combinado con el NIST Cybersecurity Framework, ofrece guías lo suficientemente prescriptivas como para que personal no técnico ejecute controles básicos de seguridad. La investigación sobre gobernanza de ciberseguridad en infraestructuras críticas de países en desarrollo (publicada en ProQuest) refuerza esta idea: el modelo de madurez propuesto es explícitamente “no técnico, escalable y adaptable”, diseñado para ser operado por funcionarios con formación administrativa, no informática.

Dónde falla y dónde funciona

La evidencia no sugiere que ISO resuelva mágicamente la falta de talento. Un estudio sobre riesgos en la implementación de sistemas de información hospitalarios (ISO 31000 en Mandau) identificó que una de las principales fallas fue la “falta de personal de TI calificado” y el “desajuste potencial entre los sistemas y los procesos reales”. Las normas no sustituyen el juicio experto; lo canalizan.

En cambio, funcionan bien cuando se aplican a procesos repetitivos, auditables y con márgenes de error acotados. La misma investigación sobre transformación de la fuerza laboral mediante desafíos de diseño de prompts de IA en Singapur y Filipinas (publicada en el Journal of Innovation and Development Studies) muestra que trabajadores no técnicos pueden adquirir competencias digitales rápidamente si la capacitación está estructurada en torno a estándares (en ese caso, ISO/IEC 5338 para IA). La clave es que el estándar proporciona un marco de evaluación que el operador no necesita diseñar: solo aplicar.

Implicaciones para la administración pública latinoamericana

La lección para los gobiernos de la región es directa: antes de invertir en costosos programas de capacitación técnica que rara vez retienen al personal, es más eficiente rediseñar los procesos alrededor de estándares ISO. Esto no elimina la necesidad de especialistas, pero reduce la cantidad de puntos de falla humana. Cuando un funcionario sin formación en riesgo llena una matriz de riesgo según la plantilla ISO 31000, el resultado puede no ser perfecto, pero es auditable, repetible y mejorable. Sin el estándar, el mismo funcionario probablemente no haría nada.

La falencia técnica de los servidores públicos latinoamericanos es un hecho estructural, no una anécdota. Ignorarlo y seguir exigiendo perfiles que no existen es una receta para la ineficiencia. Usar normas ISO como infraestructura cognitiva supletoria es una apuesta más realista: reduce la varianza en la calidad de la ejecución, facilita la supervisión y, sobre todo, permite que operadores no técnicos operen sistemas que de otra forma les quedarían grandes. El riesgo no es que el estándar sea insuficiente; es que sin él, el vacío técnico se llena con discrecionalidad, corrupción o parálisis.