BowTie para dirección y liderazgo: mitos que frenan la gestión

BowTie para dirección y liderazgo no es un diagrama bonito para colgar en una sala de reuniones. Es una herramienta para decidir qué riesgos críticos merecen atención ejecutiva, cómo se asignan recursos y quién responde por la salud real de las barreras que protegen a tu gente, tus activos y tu continuidad operacional.

La evidencia es incómoda, pero clara. En Texas City, en 2005, murieron 15 personas y más de 180 quedaron heridas en una refinería que llevaba años operando con señales de deterioro, normalización de desvíos y decisiones diferidas. El costo total para la empresa superó los US$1.6 mil millones entre multas, demandas, reparaciones y pérdidas asociadas. No faltaban procedimientos; faltaba gobernanza sobre los controles críticos.

Ese es el punto que muchos directores, gerentes de planta y VP de operaciones todavía no terminan de ver: BowTie no compite con la estrategia, la vuelve operable. Si no podés responder con precisión qué escenarios pueden desencadenar una pérdida mayor, qué barreras los previenen, quién las mantiene y qué indicadores te avisan antes de que fallen, entonces no estás gobernando el riesgo. Estás administrando documentos.

Y ahí está el mito más caro. Se cree que BowTie es una lámina de HSE, una herramienta para auditorías o una forma más visual de mostrar un riesgo. En realidad, bien aplicado, es una estructura de decisión ejecutiva que conecta priorización, presupuesto, desempeño y accountability. El líder no necesita saber dibujarlo todo; necesita exigir que el sistema responda tres preguntas: qué puede salir muy mal, qué nos protege de eso y cómo sabemos que esas protecciones siguen vivas.

Si tu BowTie vive solo en HSE, no gobierna nada. Si vive en el ciclo de negocio, en la revisión de CAPEX, en el seguimiento de mantenimiento y en el tablero del comité ejecutivo, cambia decisiones.

Este primer artículo de la serie pone los fundamentos desde arriba. Después, podés bajar un nivel con BowTie para supervisar mejor la planta, donde la lógica se convierte en disciplina de turno, y cerrar el circuito con BowTie que frenan al operador en campo, donde todo se juega en la ejecución diaria. La secuencia importa: la dirección define el sistema, la supervisión lo sostiene y la primera línea lo hace real.

BowTie para dirección y liderazgo: por qué es un tema de gobernanza

Si dirigís una operación industrial, tu problema no es tener demasiada información. Tu problema es no tener un criterio común para distinguir entre riesgos operativos normales y escenarios catastróficos que pueden destruir valor en horas. BowTie sirve justamente para eso: traducir la complejidad técnica en decisiones de gobierno.

Desde la perspectiva de dirección, BowTie no responde solo a la pregunta de qué pasó. Responde a preguntas de negocio mucho más importantes: qué escenario tiene potencial de fatalidad o pérdida mayor, qué barreras lo controlan, quién es el dueño de cada barrera, cuán robustas están y cuánto cuesta sostenerlas. Eso lo hace compatible con PSM, con ISO 45001 y con cualquier sistema serio de gestión, pero le agrega foco: no todos los riesgos son iguales.

OSHA PSM 29 CFR 1910.119 exige que identifiques peligros del proceso, mantengas procedimientos, controles mecánicos, gestión del cambio, capacitación, investigación de incidentes y auditorías de cumplimiento. BowTie no reemplaza esos elementos; los organiza alrededor de escenarios críticos. API 754 aporta la lógica de indicadores líderes y rezagados para seguridad de procesos. IEC 61511 obliga a pensar en funciones instrumentadas de seguridad, pruebas periódicas y gestión de bypass. CCPS, por su parte, insiste en que los controles críticos deben ser verificables, mantenibles y trazables. La dirección no necesita memorizar la norma; necesita exigir coherencia entre ellas.

El valor ejecutivo aparece cuando convertís BowTie en un sistema de priorización. No se trata de tener 300 BowTies dispersos, sino de identificar los escenarios con potencial de fatalidad, impacto ambiental mayor, paradas no planificadas o pérdida severa de activos. En una planta grande, 10 a 15 escenarios bien elegidos suelen concentrar una parte significativa del riesgo de desastre. En una cartera multi-site, eso te permite comparar peras con peras, asignar presupuesto y seguir performance con criterio homogéneo.

Para una alta dirección, eso cambia la conversación. Ya no discutís solo incidentes pasados, sino la capacidad futura de la organización para evitar eventos de alta consecuencia. Y eso tiene impacto directo en continuidad operacional, reputación, relación con reguladores, primas de seguro, costo de capital y confianza del mercado.

Qué debe definir la dirección: alcance, criticidad y recursos

Uno de los errores más comunes es pedir un BowTie y dejar que lo “resuelva HSE”. Eso casi siempre produce un ejercicio prolijo, bien presentado y con escaso poder de decisión. La razón es simple: si la dirección no define el alcance, el criterio de criticidad y el nivel de rigor esperado, el modelo se vuelve demasiado amplio o demasiado superficial.

Primero, el alcance. No empieces por todo. Empieza por escenarios que pueden generar fatalidades, liberaciones de hidrocarburos, pérdidas mayores, daño ambiental significativo o paradas prolongadas con impacto en EBITDA. En una operación compleja, eso significa elegir los 10 a 20 escenarios que realmente merecen visibilidad ejecutiva. El resto puede quedar en el nivel operativo o de supervisión.

Segundo, la criticidad. La dirección debe fijar criterios explícitos para decidir qué merece atención especial. Una forma útil es combinar severidad potencial, frecuencia de exposición, dependencia de barreras y vulnerabilidad del sistema. Si un escenario tiene consecuencias potencialmente catastróficas pero depende de una sola barrera o de un control con evidencia débil, ese escenario sube de prioridad inmediatamente.

Tercero, los recursos. BowTie no se sostiene con una plantilla; se sostiene con mantenimiento, pruebas, capacitación, competencias, automatización y disciplina de gestión del cambio. Si el tablero muestra barreras críticas degradadas y la respuesta es “no hay presupuesto”, la organización ya decidió su nivel real de tolerancia al riesgo, aunque el PowerPoint diga otra cosa.

Cuarto, la accountability. Cada barrera crítica necesita un dueño funcional. No un “responsable genérico”, sino una persona o área con autoridad para intervenir, presupuesto para sostener la condición y obligación de reportar desviaciones. En términos de liderazgo, eso significa sacar el tema del silo de HSE y ponerlo en la mesa de Operaciones, Mantenimiento, Ingeniería y Confiabilidad.

La alta dirección también debe entender que BowTie ayuda a integrar seguridad de procesos y seguridad ocupacional sin confundirlas. ISO 45001 pone el foco en liderazgo, participación y mejora continua. PSM mira el control de peligros mayores. Ambas lógicas se necesitan, pero no son intercambiables. Si mezclás todo en un único paraguas, terminás invisibilizando los riesgos de baja frecuencia y alta consecuencia.

Dos casos reales donde el liderazgo falló antes de fallar el proceso

Caso 1: Texas City, 2005

Situación. Durante un arranque de unidad en la refinería de Texas City, una secuencia de eventos terminó en una liberación masiva de hidrocarburos y una explosión devastadora. Murieron 15 trabajadores y más de 180 resultaron heridos. El evento se produjo en un contexto de mantenimiento diferido, instrumentos poco confiables, procedimientos débiles y decisiones operativas bajo presión.

Problema. El problema no fue un único error del operador. Fue una arquitectura de control degradada: instrumentos con mala confiabilidad, barreras de contención insuficientes, trailers temporales ubicados cerca de áreas peligrosas, alarmas y procedimientos que no daban soporte efectivo y una cultura donde varios desvíos habían sido normalizados. En otras palabras, el sistema había ido tolerando pequeñas desviaciones hasta que el margen de seguridad desapareció.

Consecuencia. Además de las 15 muertes y más de 180 lesiones, el evento dejó pérdidas económicas por encima de US$1.6 mil millones. Hubo impacto regulatorio, litigios, daño reputacional y, sobre todo, una demostración brutal de que la ausencia de un sistema de barreras vivo puede convertir un arranque rutinario en una catástrofe.

Lección para dirección. Si la gerencia solo mira cumplimiento documental, pierde la lectura de degradación progresiva. El mensaje ejecutivo es simple: un BowTie útil no se limita a mostrar causas y consecuencias. Debe evidenciar cuáles barreras sostienen el riesgo en arranques, paradas y situaciones no rutinarias, que son justamente los momentos donde más se rompen los supuestos de diseño.

Si sos director o VP de operaciones, preguntate esto: ¿cuántos de tus escenarios de mayor consecuencia tienen una revisión explícita de salud de barreras en arranques? ¿Cuántas veces el comité de planta vio un indicador de “barrera degradada” antes de ver un incidente? Si la respuesta es “casi nunca”, estás administrando la suerte.

Caso 2: Deepwater Horizon, 2010

Situación. En la plataforma Macondo, en el Golfo de México, una secuencia de decisiones técnicas y de negocio derivó en una explosión y un derrame masivo. Murieron 11 personas y se liberaron aproximadamente 4.9 millones de barriles de petróleo. El costo total para BP, considerando limpieza, multas, acuerdos y litigios, superó los US$60 mil millones en distintas estimaciones públicas.

Problema. El evento mostró una falla de liderazgo en la gestión de barreras. Hubo presión de cronograma, interpretación deficiente de pruebas, dependencia excesiva de una sola verificación y una cadena de decisiones donde la pregunta correcta no era “¿podemos seguir?”, sino “¿qué barreras están realmente verificadas para permitir seguir?”. Cuando la lógica de plazo domina sobre la lógica de control, el riesgo crece aunque los reportes se vean correctos.

Consecuencia. Además del desastre ambiental, hubo impacto global en reputación, restricciones regulatorias y un costo financiero gigantesco. Pero el aprendizaje más importante para directores y gerentes de planta es otro: una barrera declarada no vale nada si no tiene evidencia de desempeño, dueño claro y autoridad real para detener una operación insegura.

Lección para dirección. El BowTie de alta dirección debe conectarse con el mecanismo de stop work, con los criterios de aceptación de pruebas y con la disciplina para decir no cuando una barrera está degradada. IEC 61511 es muy clara en esto: las funciones instrumentadas de seguridad no son un adorno, requieren pruebas, integridad y gestión de bypass. Si no hay evidencia, no hay confianza operacional.

Este caso también deja otra lección dura para VP de operaciones con múltiples sitios: el benchmark no puede quedarse en TRIR o LTIFR. Necesitás comparar salud de barreras, pruebas atrasadas, MOC pendientes y acciones críticas vencidas. De lo contrario, una planta puede verse “mejor” en seguridad personal y estar peor en riesgo mayor.

Mini referencia útil: en Buncefield, Reino Unido, en 2005, un sobrellenado de tanques terminó en una explosión que dejó 43 heridos y daños superiores a £1.000 millones. El patrón se repite: cuando la barrera independiente de sobrellenado no es robusta, el evento escala. No es un problema de mala suerte; es un problema de gobernanza sobre un control crítico.

Diagnóstico: señales de alerta en tu equipo directivo

Si estás en Dirección, hay síntomas muy concretos que te deberían poner incómodo. No necesitás esperar un gran accidente para verlos. De hecho, cuanto antes los detectes, más barato y menos traumático es corregirlos.

• Tu comité ejecutivo revisa indicadores rezagados, pero no salud de barreras.
• Los BowTies existen, pero nadie puede decir qué decisión cambió a partir de ellos.
• No hay dueños funcionales claros para las barreras críticas.
• Las acciones de MOC, integridad mecánica o pruebas periódicas se vencen y se arrastran.
• Las paradas de planta y los arranques no tienen revisión especial de escenarios críticos.
• La gerencia habla de cultura, pero no asigna presupuesto a las barreras que sostiene esa cultura.
• El sitio dice estar “en cumplimiento”, pero no puede mostrar evidencia de desempeño real en campo.
• Las auditorías cierran hallazgos, pero las barreras siguen con debilidades repetidas.
• Los contratistas y temporales quedan fuera del análisis ejecutivo, aunque están expuestos a los mismos escenarios.
• Se premia producción y costo, pero no desempeño de seguridad de procesos con la misma disciplina.

Ahora preguntate esto, sin maquillaje: ¿podés nombrar hoy los cinco escenarios de mayor consecuencia de tu planta y sus barreras principales? ¿Sabés cuáles de esas barreras están degradadas, qué recursos faltan y qué acción ejecutiva está esperando decisión? ¿Tenés un tablero que muestre tendencia, no solo estado? Si la respuesta es no, el problema no es técnico. Es de liderazgo.

Una buena autoevaluación directiva no busca culpa; busca claridad. El error humano, en estos contextos, suele ser el síntoma visible de una organización que diseñó mal sus defensas, dejó vacíos de autoridad o pidió resultados sin crear condiciones seguras para lograrlos.

Cómo implementarlo: de la estrategia al control diario

La buena noticia es que no necesitás reinventar tu sistema. Necesitás convertir BowTie en una rutina de gestión, con foco en escenarios críticos y con evidencia de barreras. La implementación más efectiva suele empezar pequeño, con disciplina, y escalar con consistencia.

El primer paso es seleccionar los escenarios que realmente importan. No te disperses. Elegí los que combinan alta severidad, alta exposición y control sensible. En muchas plantas, un conjunto de 10 escenarios cubre la mayor parte del riesgo de desastre. Esa selección debe hacerse con Operaciones, Ingeniería, Mantenimiento, HSE y Confiabilidad en la misma mesa.

El segundo paso es definir criterios de criticidad. No alcanza con decir “alto, medio, bajo”. Definí umbrales claros: fatalidad potencial, impacto ambiental, pérdida de contención, paradas mayores, exposición de contratistas o dependencia de una sola barrera. Ese criterio te evita discusiones subjetivas y te permite comparar unidades y plantas.

El tercer paso es nombrar dueños de barreras y estándares de desempeño. Cada barrera crítica debe tener un responsable funcional y un estándar verificable: frecuencia de prueba, condición mínima, tiempo de respuesta, tolerancias, vida útil y escalamiento ante desvíos. Si no existe evidencia objetiva, la barrera no puede considerarse robusta.

El cuarto paso es integrar el seguimiento al ciclo de negocio. BowTie tiene que aparecer en el review mensual de planta, en la revisión trimestral de operaciones y en los casos de inversión. Si un activo requiere CAPEX para restituir una barrera crítica, esa inversión no compite con un proyecto bonito; compite con tu nivel de riesgo aceptable.

El quinto paso es medir con indicadores líderes y rezagados. API 754 te ayuda a no quedarte solo en accidentes ocurridos. Combiná indicadores como pruebas vencidas, bypass extendidos, fallas repetidas, acciones críticas atrasadas, cambios no evaluados y degradación de integridad con eventos reales de proceso. Eso le da al comité una vista adelantada, no una autopsia.

Quick wins. Podés empezar en 90 días con tres acciones: un listado único de escenarios críticos por planta, un registro de dueños de barreras con evidencia de desempeño y un review mensual de barreras en el comité de operaciones. Eso ya cambia la conversación. Si además hacés una revisión de arranques y paradas, el efecto es todavía mayor.

Cambios estructurales. Luego viene lo más importante: incorporar BowTie al MOC, a la planificación de mantenimiento, a la gestión de contratistas y a los criterios de desempeño de los líderes. Si el bonus ignora barreras críticas, el sistema manda una señal equivocada. Si el comité solo felicita producción, la organización aprende que el riesgo mayor es invisible.

Si querés una foto objetiva de madurez para saber dónde estás parado, un Diagnóstico Digital puede ayudarte a identificar brechas en PSM, disciplina operativa y competencias. No sustituye la decisión ejecutiva, pero sí te da una base mejor que la intuición o la presión del momento.

Y si tu desafío es llevar esto a una arquitectura consistente, el Curso Gestión de Riesgos BowTie te permite profundizar en lógica de barreras, priorización y seguimiento. En organizaciones complejas, entender el método es importante; gobernarlo bien es lo que mueve la aguja.

Cómo aterrizarlo en el día a día de dirección

La dirección no implementa BowTie llenando planillas, sino cambiando preguntas. En vez de pedir solo producción, costo y seguridad personal, empezá a pedir una vista integrada de barreras críticas. Eso te da una lectura mucho más honesta de la operación.

En el comité semanal, pedí tres cosas: qué barreras críticas se degradaron, qué acciones de restauración están vencidas y qué decisión requiere soporte ejecutivo. En la visita gerencial, no te quedes en el recorrido protocolar. Preguntá a supervisores y líderes de área cómo detectan una barrera débil, qué hacen cuando una prueba falla y quién puede parar el trabajo si el control no está disponible.

Para VP de operaciones con varias plantas, la clave está en la comparabilidad. Si cada sitio define “riesgo crítico” a su manera, nunca vas a poder priorizar cartera. Necesitás un lenguaje común, métricas comunes y una cadencia común. Eso no solo mejora la seguridad; también ordena CAPEX, mantenimiento y confiabilidad.

Acá es donde la conexión con otros niveles se vuelve vital. La supervisión traduce la gobernanza en disciplina cotidiana, y la primera línea asegura que la barrera exista cuando hace falta. Por eso este artículo se complementa con BowTie para supervisar mejor la planta y con BowTie que frenan al operador en campo. La dirección no reemplaza a los otros niveles; les da dirección, recursos y límites claros.

La pregunta correcta de un líder no es “¿ya tenemos el BowTie?”. Es “¿qué decisión cambió porque tenemos el BowTie, y cómo sé que las barreras siguen disponibles?”.

FAQ

¿BowTie reemplaza al HAZOP o al PHA?

No. BowTie no reemplaza el análisis técnico de peligros; lo traduce a una lógica de gobernanza y control. HAZOP y PHA te ayudan a identificar desviaciones, causas y salvaguardas. BowTie ordena esa información alrededor de escenarios críticos para que la dirección pueda priorizar, asignar recursos y seguir la salud de las barreras. En una organización madura, ambas herramientas se complementan.

¿Cuántos BowTies debería revisar la alta dirección?

No muchos, pero sí los correctos. La alta dirección no necesita 100 BowTies; necesita entre 10 y 15 escenarios críticos bien definidos por planta o por negocio, según complejidad. El foco debe estar en los eventos con potencial de fatalidad, pérdida mayor o impacto severo. Si todo es prioritario, nada lo es.

¿Qué indicadores debería ver un director o VP?

Además de los indicadores rezagados tradicionales, deberías ver métricas líderes de salud de barreras: pruebas vencidas, bypass extendidos, acciones críticas atrasadas, fallas repetidas, integridad mecánica degradada y cambios no cerrados. API 754 es una referencia sólida para estructurar esta conversación. El objetivo no es tener más números, sino mejores señales anticipadas.

¿Quién debe ser dueño de una barrera crítica?

Un dueño funcional con autoridad real, no un nombre simbólico en una lista. La barrera puede depender de Operaciones, Mantenimiento, Ingeniería, Confiabilidad o Instrumentación, según su naturaleza. Lo importante es que haya responsabilidad explícita, evidencia de desempeño y escalamiento claro cuando la barrera se degrada. Si nadie la gobierna, la barrera no existe en la práctica.

¿Cómo evito que BowTie se vuelva burocrático?

Usándolo para decidir, no para decorar. Empezá con pocos escenarios, definí criterios de criticidad, conectá el modelo con CAPEX, MOC y mantenimiento, y usá una cadencia fija de revisión. Si el trabajo extra no cambia una decisión, es burocracia. Si cambia qué se financia, qué se repara y qué se detiene, es gobernanza.

¿Cómo se conecta esto con la supervisión y el campo?

La dirección define el sistema y asigna recursos; la supervisión verifica que las barreras estén disponibles en el turno; el operador ejecuta y detiene cuando el control no está. Ese circuito se profundiza en los otros artículos de la serie: uno para supervisión y otro para ejecución en campo. Sin esa cadena completa, BowTie se queda en papel.

Cierre: la gobernanza empieza arriba, pero se valida en campo

Si trabajás en Dirección, Gerencia de Planta o VP de Operaciones, BowTie para dirección y liderazgo te pide una decisión incómoda pero necesaria: dejar de ver el riesgo mayor como un asunto técnico aislado y empezar a tratarlo como una responsabilidad de gobernanza. Eso implica priorizar escenarios, asignar recursos, exigir evidencia y pedir accountability real sobre las barreras críticas.

Los incidentes grandes casi nunca sorprenden por completo. Suelen venir anunciados por pequeñas degradaciones, decisiones aplazadas y señales que la organización eligió no escalar. Por eso BowTie, cuando se usa bien, no es un gráfico. Es un mecanismo para que el liderazgo vea lo que importa antes de que sea demasiado tarde.

Este es solo el primer paso de la serie. En el siguiente artículo vas a ver cómo esa lógica se traduce en rutina de supervisión con BowTie para supervisar mejor la planta. Y después, cómo se vuelve conducta segura en la primera línea con BowTie que frenan al operador en campo. Ahí es donde la estrategia deja de ser discurso y se convierte en control real.