Bowtie IOGP fundamentos: diagnóstico y gestión de barreras

Bowtie IOGP fundamentos te permite entender, de forma estructurada, cómo una organización controla sus riesgos de proceso antes de que se conviertan en incidentes mayores. En simple: Bowtie conecta amenazas, consecuencias y barreras, para que puedas diagnosticar si tus controles existen, funcionan y siguen siendo confiables cuando más los necesitás.

Si hoy tu planta tiene procedimientos, permisos, inspecciones y capas de protección, pero no sabes con certeza cuáles son preventivas, cuáles mitigan y cuáles recuperan, entonces estás gestionando controles dispersos, no barreras. Y cuando ocurre una pérdida de contención, una energía peligrosa o una desviación operativa, esa diferencia deja de ser teórica y pasa a ser crítica para personas, activos y continuidad operacional.

Este artículo es el punto de partida de la serie “Bowtie y la familia de barreras IOGP: de la base a la mejora continua”. Acá no vamos a venderte un dibujo bonito para una presentación. Vamos a usar Bowtie como herramienta de diagnóstico organizacional: para ver dónde estás parado, qué te falta y qué tan robusto es tu sistema real frente a los riesgos que dicen tus estudios PHA, HAZOP, LOPA o tus incidentes históricos.

Y si al final ves que el problema no es “hacer más papeles” sino ordenar la lógica de control, te conviene seguir con cómo implementar Bowtie IOGP paso a paso y, más adelante, con Bowtie IOGP avanzado: integración y mejora continua.

¿Qué problema resuelve Bowtie IOGP fundamentos?

Bowtie resuelve un problema muy común en HSE y operaciones: la organización cree que controla el riesgo porque “tiene procedimientos”, pero no puede demostrar qué barrera evita el evento, cuál reduce su impacto y cuál recupera el sistema cuando el control previo falló. La metodología Bowtie ordena esa lógica y la hace visible para la toma de decisiones.

En seguridad de procesos, el enemigo no es solo el evento catastrófico. También lo es la degradación silenciosa de controles: válvulas que no se prueban, alarmas que se inhiben, procedimientos que nadie sigue igual dos turnos seguidos, competencias asumidas pero no verificadas. Bowtie permite observar esa degradación antes de que aparezca el accidente.

Desde la perspectiva de OSHA PSM 1910.119, esto se conecta con la necesidad de operar con información de proceso, integridad mecánica, procedimientos operativos, capacitación, gestión del cambio y auditorías. Desde ISO 45001, se vincula con el control operacional y la evaluación del desempeño. Y desde la lógica de IEC 61511, obliga a pensar en la confiabilidad de las funciones instrumentadas de seguridad como capas verificables, no como intenciones.

¿Qué es Bowtie y cómo se relaciona con la familia de barreras IOGP?

Bowtie es un modelo visual de gestión de riesgo que representa cómo una amenaza puede escalar hacia un evento principal no deseado y luego desencadenar consecuencias, si las barreras de control fallan. La “familia de barreras” de IOGP amplía este enfoque al definir qué es una barrera, cómo clasificarla, cómo verificarla y cómo evitar que la organización la confunda con una simple actividad administrativa.

IOGP insiste en un punto clave: una barrera no es cualquier cosa que diga “controla el riesgo”. Una barrera debe ser específica, efectiva, auditable y capaz de prevenir, detectar, mitigar o recuperar. Esa precisión cambia la conversación en campo, en ingeniería, en mantenimiento y en liderazgo HSE.

En una refinería, por ejemplo, un sistema de alivio de presión y una inspección visual semanal no tienen el mismo rol. El primero puede ser una barrera técnica preventiva o mitigadora según el escenario; la segunda, aunque útil, suele ser una verificación o actividad de soporte, no necesariamente una barrera en sí misma. Si mezclás todo, terminás con diagramas elegantes y sistemas frágiles.

La familia de barreras IOGP ayuda a separar:

• Amenazas: fuentes con potencial de iniciar el evento.
• Consecuencia principal: el evento no deseado o top event.
• Barreras preventivas: evitan que la amenaza llegue al evento.
• Barreras mitigadoras: reducen la severidad una vez iniciado el evento.
• Barreras de recuperación: ayudan a restablecer el control o limitar la escalada posterior.

Este marco es especialmente útil en operaciones de alto riesgo: petroquímica, minería, upstream, terminales de GLP, amoníaco, almacenamiento de combustibles, plantas de energía y cualquier instalación con energías peligrosas y potencial de liberación de sustancias peligrosas.

Tabla 1. Conceptos clave para diagnosticar Bowtie IOGP fundamentos

¿Cómo diagnosticar el nivel de madurez actual en gestión de barreras?

El diagnóstico de madurez no empieza preguntando cuántos Bowties tenés, sino si tu organización entiende qué barreras son críticas, cómo se verifican y quién responde cuando pierden desempeño. Una empresa puede tener cientos de controles documentados y, aun así, no gestionar barreras.

Un nivel básico suele verse así: el riesgo está identificado, pero los controles se listan de forma genérica. Un nivel intermedio ya clasifica barreras, define responsables y algunas métricas. Un nivel avanzado incorpora desempeño, tolerancia al riesgo, evidencias de verificación y gestión de degradación en tiempo real.

Si querés distinguir madurez, observá estas preguntas:

1. ¿Las barreras están ligadas a escenarios específicos o aparecen como listas universales?
2. ¿Se verifica su efectividad en campo o solo su existencia documental?
3. ¿Hay criterios de aceptación claros para decir “esta barrera funciona”?
4. ¿Las desviaciones se escalan antes de que ocurra el incidente?
5. ¿Operaciones, mantenimiento e HSE usan el mismo lenguaje?

Cuando la respuesta es “más o menos”, hay un problema de gobierno del riesgo. No hace falta esperar una fatalidad para corregirlo. La mayoría de los eventos mayores no aparecen por ausencia total de controles, sino por una acumulación de barreras débiles, mal definidas o sin verificación.

Tabla 2. Niveles de madurez para Bowtie IOGP fundamentos

¿Cuáles son las diferencias entre amenazas, consecuencias, barreras y degradación?

La diferencia es simple en papel, pero en campo se mezcla todo. Una amenaza es lo que puede gatillar el evento. Una consecuencia es lo que ocurre si el evento se materializa. Una barrera es el control que interrumpe la cadena. Y la degradación es la pérdida de capacidad de esa barrera.

En una planta de amoníaco, por ejemplo, una amenaza puede ser la falla de una junta en una brida. El evento principal es la pérdida de contención. Las consecuencias pueden ser exposición tóxica, nube de vapor, evacuación o impacto comunitario. La barrera preventiva podría ser un programa de integridad mecánica y torque controlado; una mitigadora, la detección fija de gas y el cierre automático de válvulas; una de recuperación, el plan de respuesta y el aislamiento del área.

El gran error organizacional es llamar “barrera” a todo. Si todo es barrera, nada lo es. Y si no distinguís el rol de cada capa, terminás invirtiendo en controles visibles pero no necesariamente eficaces. Esa es una de las razones por las que Bowtie IOGP fundamentos importa tanto: obliga a pensar en función, no en intención.

Una barrera no es una actividad; es una función de control con desempeño verificable frente a un escenario específico.

Casos reales: qué pasa cuando la organización no diagnostica bien

Caso 1: Texas City, BP, 2005

El accidente de Texas City dejó 15 personas fallecidas y más de 170 lesionadas durante el arranque de una unidad de isomerización. El evento involucró sobrellenado, liberación de hidrocarburos y una explosión de gran magnitud. Más allá de las fallas técnicas, el caso mostró una debilidad sistémica: múltiples barreras operaban de forma inestable, con señalización deficiente, prácticas de trabajo no robustas y una cultura que toleró desviaciones.

Situación: una secuencia de arranque con controles degradados y alarmas que no evitaron la acumulación peligrosa. Problema: la organización no tenía una visión integrada de barreras críticas ni una verificación confiable de su desempeño. Consecuencia: explosión, víctimas fatales y pérdidas multimillonarias, con impactos regulatorios y reputacionales. Lección: si no definís, verificás y gobernás las barreras, el sistema te las “simula” hasta que falla.

La investigación del Baker Panel fue contundente: el problema no fue solo un error humano en el turno. Fue una arquitectura de gestión que permitió el error, lo normalizó y lo dejó escalar.

Caso 2: Buncefield, Reino Unido, 2005

En Buncefield, la sobrellenado de un tanque de combustible derivó en una explosión e incendio masivo. No hubo fatalidades, pero sí daños materiales enormes, interrupción operativa y una zona industrial seriamente afectada. La secuencia mostró que múltiples capas de protección no estaban funcionando como se esperaba.

Situación: fallo de nivel de tanque, sobrellenado y liberación de vapor inflamable. Problema: se confiaba en controles que no se habían verificado con suficiente rigor, y la gestión de alarmas y dispositivos de protección no era robusta. Consecuencia: explosión, incendio prolongado y grandes pérdidas económicas. Lección: una barrera crítica que no se prueba, no se mantiene o no tiene criterios claros de desempeño es una barrera aparente, no real.

Este caso es clave para HSE porque muestra algo incómodo: el sistema puede estar formalmente “cumpliendo”, pero operativamente no es resistente. Eso pasa cuando el indicador de éxito es cerrar auditorías, no evitar pérdidas de contención.

Qué tienen en común estos casos

En ambos hubo una combinación de degradación técnica, fallas organizacionales y ausencia de diagnóstico temprano. Ninguno empezó con una explosión; empezó mucho antes, con barreras débiles, señales ignoradas y decisiones normalizadas. Ahí es donde Bowtie sirve como herramienta de lectura sistémica.

Y esto conecta con un principio básico de seguridad de procesos: el error humano no se explica solo por “falta de cuidado”. Se explica por diseño organizacional, carga de trabajo, competencia, supervisión, mantenimiento, fatiga, presión por producción y tolerancia al desvío.

Señales de alerta para detectar brechas antes de implementar

Si estás en fase de diagnóstico, prestá atención a estas señales. No son teorías; son síntomas típicos de una gestión de barreras inmadura.

• Los Bowties existen, pero nadie los usa en turno ni en decisiones de cambio.
• Las barreras críticas no tienen dueño nominal ni dueño operativo.
• Las verificaciones se hacen por calendario, no por criticidad del escenario.
• Hay muchas acciones correctivas, pero pocas reducen riesgo real.
• Operaciones y mantenimiento manejan listas distintas de “controles importantes”.
• Los incidentes menores se investigan sin revisar si una barrera degradó primero.
• Se confunde cumplimiento documental con desempeño de barrera.

Si leés estas señales y te resultan familiares, tu organización probablemente necesita un diagnóstico más profundo antes de “implementar Bowtie”. Y sí: eso es bueno, porque todavía estás a tiempo de ordenar el sistema.

¿Cómo se ve una autoevaluación seria por rol?

Para directores: preguntate si el tablero de HSE muestra desempeño de barreras críticas o solo tasas rezagadas como TRIR y LTIFR. Para mandos medios: revisá si tus supervisores saben identificar cuándo una barrera está degradada y a quién escalar. Para operadores: verificá si entendés qué controles no podés improvisar ni omitir durante un cambio de turno, un arranque o una intervención no rutinaria.

La madurez empieza cuando la organización puede responder con evidencia a la pregunta: “¿cuáles son nuestras barreras críticas, cómo sabemos que siguen sanas y qué hacemos cuando dejan de estarlo?” Si no hay respuesta clara, no hay gestión de barreras; hay buena intención.

Metodología práctica para pasar del diagnóstico a la acción

Bowtie IOGP fundamentos no debe quedarse en un mapa bonito. El objetivo es construir una secuencia de trabajo que permita identificar escenarios, clasificar barreras y priorizar brechas con criterio de riesgo. La metodología básica es la siguiente.

1. Elegí escenarios relevantes: iniciá con los de mayor severidad potencial, no con los más fáciles de dibujar.
2. Definí el evento principal: por ejemplo, pérdida de contención, ignición, exposición tóxica o sobrepresión crítica.
3. Separá amenazas de consecuencias: cada lado del Bowtie debe ser lógico y verificable.
4. Clasificá barreras: preventiva, mitigadora o de recuperación, según su función real.
5. Evaluá calidad: existencia, efectividad, independencia, desempeño, mantenibilidad y detección de degradación.
6. Asigná dueños: cada barrera crítica debe tener responsable operativo y responsable de verificación.
7. Definí indicadores: no solo de resultado, también de estado y desempeño de barreras.

Tabla 3. Plan de implementación inicial

Un quick win real es tomar un escenario de alto riesgo y preguntar en planta: “¿qué barreras previenen este evento, cuáles lo mitigan y cuáles nos ayudan a recuperar?” Si nadie responde igual, ya encontraste una brecha de lenguaje y de control. Ese hallazgo vale más que un PowerPoint perfecto.

Un cambio estructural, en cambio, es integrar Bowtie con auditorías, MOC, integridad mecánica, capacitación y revisión gerencial. Ahí es donde el modelo deja de ser un artefacto y se vuelve sistema.

¿Cómo se aplica en el día a día?

En el día a día, Bowtie no se usa solo en oficina. Se usa en prearranques, reuniones de turno, permisos de trabajo, análisis de desviaciones y seguimiento de acciones. Un supervisor puede revisar si la barrera crítica está disponible antes de autorizar una tarea; un operador puede saber qué no debe hacerse si una alarma clave está inhibida; un HSE puede verificar si la desviación tuvo origen en barrera degradada.

Una buena práctica es tener una hoja de escenario por área, con máximo una página por Bowtie crítico. Allí deben figurar el evento principal, las amenazas, las barreras clave, los criterios de desempeño y las señales de degradación. Si la herramienta no cabe en el turno, está mal diseñada.

También sirve mucho usarla en investigación de incidentes. En vez de buscar solo “actos inseguros”, preguntá cuál barrera falló, cuál estaba ausente y cuál ya estaba degradada antes del evento. Ese enfoque cambia la calidad del aprendizaje.

¿Qué indicadores sirven para evaluar brechas organizacionales?

No basta con medir lesiones. Para gestionar Bowtie necesitás indicadores líderes y de estado. Algunos ejemplos útiles son:

• Porcentaje de barreras críticas con dueño asignado.
• Porcentaje de pruebas de barreras ejecutadas a tiempo.
• Cantidad de barreras degradadas abiertas más allá del plazo aceptable.
• Backlog de integridad mecánica asociado a escenarios mayores.
• Frecuencia de inhibiciones de alarmas o bypasses de seguridad.
• Porcentaje de acciones correctivas cerradas con evidencia de eficacia.

Estos indicadores permiten anticiparse. API 754 recomienda mirar indicadores Tier 1 a Tier 4 para distinguir pérdidas reales, fallas en barreras y tendencias que anteceden al evento. Bowtie se potencia cuando lo conectás con esa lógica de desempeño.

¿Qué debería cambiar primero una organización que quiere madurar?

Primero, debería dejar de tratar todos los controles como equivalentes. Segundo, debería seleccionar escenarios críticos y ordenar barreras por función. Tercero, debería medir degradación con criterios objetivos. Y cuarto, debería entrenar a líderes y operadores para que el Bowtie se use como herramienta de decisión, no como adorno metodológico.

Si la organización está madura, el beneficio es doble: menor probabilidad de pérdida de contención y mejor capacidad de respuesta cuando algo falla. Si no está madura, Bowtie te va a mostrar con claridad lo que antes estaba oculto. Y eso incomoda, pero también protege.

En ese sentido, si querés profundizar en competencia operativa y cómo impacta en decisiones reales de turno, te conviene revisar competencia operativa: mejores decisiones, menos errores. Y si tu organización todavía mezcla cultura, disciplina y cumplimiento sin una lógica de control robusta, el análisis de las 5 barreras que más fallan cuando buscamos evidencia te va a resultar especialmente útil.

Conclusión: por qué Bowtie IOGP fundamentos importa ahora

Bowtie IOGP fundamentos importa porque convierte el riesgo en una conversación operativa, no abstracta. Te obliga a distinguir entre amenazas, barreras y consecuencias; te ayuda a ver la degradación antes del incidente; y te da una base común para que HSE, operaciones, mantenimiento e ingeniería hablen el mismo idioma.

La seguridad de procesos no mejora con más listas, sino con mejores decisiones. Y mejores decisiones nacen de un diagnóstico claro. Si hoy tu organización no puede decir qué barreras son críticas, cómo se degradan y cómo se verifican, entonces el siguiente paso no es “hacer más Bowties”; es ordenar la base.

En el próximo artículo de la serie vas a ver cómo llevar este diagnóstico a una implementación real, paso a paso, sin perder el rigor técnico ni caer en burocracia. Porque una buena metodología no se mide por lo que dibuja, sino por lo que evita.

Si querés profundizar con una base estructurada, el artículo de implementación Bowtie IOGP paso a paso te va a mostrar cómo convertir este diagnóstico en práctica. Y cuando ya estés listo para integrar gestión de barreras con indicadores, aprendizaje y mejora continua, pasá al cierre de la serie con Bowtie IOGP avanzado.

CTA contextual: Si querés saber dónde está tu organización hoy en PSM, disciplina operativa y competencias, un diagnóstico de madurez puede ahorrarte meses de ensayo y error. ¿Dónde está tu organización hoy?