BowTie supervisión y error humano: del papel al campo

Cuando en un incidente alguien concluye que la causa fue el error humano, la supervisión tiene dos opciones: aceptar una explicación cómoda o hacer el trabajo difícil de mirar el sistema. En la práctica, BowTie supervisión y error humano no debería ser un debate académico; debería ser una rutina de campo para detectar qué barrera falló, qué condición latente estaba madurando y qué parte del trabajo diario se estaba sosteniendo con improvisación.

Esto importa especialmente para supervisores, superintendentes, jefes de turno y coordinadores HSE porque ustedes viven en el punto donde la política se encuentra con la realidad. La dirección define estándares, pero ustedes verifican permisos, priorizan mantenimiento, confirman dotación, gestionan cambios de último minuto y deciden si un desvío se corrige ahora o se normaliza. Si el análisis termina en falló el operador, casi siempre se perdió la oportunidad de corregir una barrera, una coordinación o una decisión de planificación.

En 2005, en la refinería de Texas City de BP, una explosión durante el arranque de una unidad dejó 15 personas muertas y más de 170 heridas. La investigación del CSB mostró algo que cualquier supervisor reconoce al instante: no fue un acto aislado, sino una combinación de procedimientos deficientes, alarmas no confiables, entrenamiento insuficiente, cambios mal gestionados y una organización que había tolerado desviaciones por demasiado tiempo. Para un mando medio, la lección es brutalmente simple: si el sistema está mal preparado, el turno paga la factura.

Por eso este artículo no repite la idea de que el error humano es la causa raíz. La complementa y la aterriza en la supervisión diaria. Si querés ver cómo este mismo razonamiento se ve desde la conducción estratégica, te conviene leer error humano no es causa raíz para líderes. Y si querés bajar la conversación a hábitos concretos de operación, también te sirve error humano y tareas críticas en primera línea.

Un BowTie útil no termina en la investigación; empieza en la rutina de supervisión.

BowTie supervisión y error humano: qué cambia cuando dejás de buscar culpables

BowTie es una herramienta de gestión de riesgos que conecta escenarios, amenazas, barreras preventivas, barreras mitigadoras y consecuencias. En papel, parece un mapa ordenado. En campo, sólo sirve si el supervisor puede responder tres preguntas concretas: qué amenaza está activa hoy, qué barrera debería estar viva y cómo verifico que esa barrera no sea una promesa vacía.

La diferencia entre un análisis pobre y uno útil es la siguiente: el enfoque tradicional suele preguntarse quién se equivocó; el enfoque BowTie pregunta qué control faltó, qué control estaba degradado o qué condición del trabajo volvió probable el error. Esa diferencia es clave para el mando medio, porque la mayoría de las veces ustedes no pueden reescribir la política corporativa, pero sí pueden cambiar el modo en que se verifica el trabajo, se prioriza la coordinación y se escala una desviación antes de que se convierta en incidente.

Cuando un operador se apura, omite un paso o interpreta mal una condición, casi nunca está actuando en el vacío. Normalmente hay presión de tiempo, un permiso que llegó tarde, un repuesto que no estaba disponible, una barrera de ingeniería en bypass, un procedimiento ambiguo o una guardia cortada. BowTie permite convertir ese contexto en una conversación técnica: no para eximir responsabilidades, sino para ubicar la responsabilidad donde corresponde y diseñar defensas reales.

De la política al campo: lo que la supervisión sí puede verificar

La supervisión no necesita memorizar todo el BowTie corporativo. Necesita traducir cada escenario crítico en señales observables. Si el escenario es pérdida de contención, entonces la pregunta es: ¿hay integridad mecánica vigente, pruebas actualizadas, aislamiento correcto, válvulas alineadas y condiciones de arranque verificadas? Si el escenario es exposición a energía peligrosa, la verificación pasa por LOTO, permisos, pruebas de ausencia de energía y coordinación con mantenimiento.

En otras palabras, BowTie sirve cuando cada barrera se vuelve un comportamiento, un documento, una verificación o una condición de campo que podés auditar con tus propios ojos. Si no se puede observar, medir o confirmar, probablemente no sea una barrera operativa, sino una intención bien escrita.

Fijate que la tabla no habla de culpa. Habla de capacidad del sistema. Eso es importante porque la supervisión pierde poder cuando administra sólo comportamiento individual. Lo recupera cuando demuestra, con evidencia, qué control estaba ausente o degradado.

Marco técnico para supervisores, superintendentes, jefes de turno y coordinadores HSE

Hay varios estándares que te ayudan a ordenar esta conversación. OSHA PSM 1910.119 exige disciplina en procedimientos operativos, entrenamiento, integridad mecánica, gestión del cambio, permisos de trabajo en caliente y gestión de contratistas. ISO 45001 pone el foco en control operacional, competencia, participación de trabajadores y mejora continua. IEC 61511 te recuerda que una función instrumentada de seguridad no existe si no se prueba, documenta y gestiona su bypass. Y API 754 te pide mirar indicadores de desempeño de seguridad de proceso, no sólo resultados finales.

El punto de unión entre estos marcos y BowTie es la barrera. CCPS lo viene explicando hace años: los riesgos mayores no se controlan con una sola acción, sino con capas de protección que deben estar independientes, verificadas y sostenidas. Para un supervisor, eso significa que una auditoría documental no alcanza. Necesitás comprobar que la barrera está viva en el turno, no solamente aprobada en el sistema.

En campo, una barrera viva tiene cuatro atributos: existe, está disponible, es competente y se usa correctamente. Una barrera nominal, en cambio, existe sólo en el procedimiento o en el software. El problema es que muchas organizaciones confunden ambas cosas y luego creen que el evento ocurrió por una falla humana individual. En realidad, el sistema estaba descansando sobre una barrera de papel.

Si querés profundizar en la lógica de diagnóstico antes de pasar a la acción, te puede servir BowTie para diagnosticar brechas en seguridad de procesos y también implementación BowTie paso a paso para HSE y supervisores. La diferencia entre entender el método y usarlo en campo es la diferencia entre una presentación y una mejora real.

Comparativo: cuando el incidente se explica por la persona versus cuando se explica por el sistema

En supervisión, el error más común es quedarse con la primera explicación plausible. Si un operador se equivoca, la reunión cierra rápido y nadie queda incómodo. El problema es que esa comodidad suele esconder una red de debilidades: planificación deficiente, mantenimiento aplazado, fatiga, presión por producción, consignación ambigua y recursos insuficientes. BowTie obliga a comparar ambos enfoques y a decidir cuál te deja más cerca de la verdad operativa.

Este comparativo no absuelve a nadie. Simplemente pone la lupa donde corresponde. Si el mismo error se repite en distintos turnos, con distintas personas y en condiciones parecidas, el problema rara vez es el individuo. El problema suele ser la combinación de amenazas, barreras débiles y supervisión insuficiente para cerrar el ciclo.

Análisis profundo con casos reales

Caso 1: Texas City, arranque mal preparado y barreras degradadas

Situación: en marzo de 2005, durante el arranque de la unidad ISOM en Texas City, la torre de destilación se sobrellenó y los vapores inflamables terminaron liberándose a la atmósfera, generando una explosión devastadora. El evento dejó 15 muertos, más de 170 heridos y pérdidas multimillonarias. La investigación del CSB documentó problemas de procedimientos, entrenamiento, alarmas, cultura de tolerancia al desvío y supervisión insuficiente en un contexto de mantenimiento y arranque.

Problema: en lugar de una barrera robusta para controlar el arranque, la operación dependía de varias suposiciones frágiles. Había instrumentos deficientes, una secuencia de puesta en marcha con riesgos conocidos y una organización que había aceptado condiciones inseguras como parte del paisaje. Para la supervisión, el punto crítico no fue sólo que alguien cometiera un error, sino que el sistema de preparación del trabajo no aseguraba la contención del riesgo durante la fase más vulnerable.

Consecuencia: la energía liberada fue catastrófica. El arranque de una unidad es una de las ventanas más peligrosas de cualquier planta porque combina equipos fuera de régimen, cambios de alineación, información incompleta y presión por volver a producir. Cuando las barreras no se verifican una por una, el primer desvío pequeño puede convertirse en una escalada mayor.

Lección para supervisión: el supervisor no debe preguntar solamente si la tarea está lista; debe preguntar si la barrera está lista. ¿El instrumento crítico fue probado? ¿La secuencia está actualizada? ¿La línea está realmente alineada? ¿Existe verificación independiente antes de energizar o introducir hidrocarburo? Si la respuesta es vaga, el arranque no está maduro aunque el cronograma diga lo contrario.

Caso 2: Piper Alpha, el permiso de trabajo que dejó de proteger

Situación: el 6 de julio de 1988, en Piper Alpha, una plataforma offshore del Mar del Norte, una explosión inicial seguida por otras detonaciones provocó 167 muertes. El informe Cullen mostró deficiencias serias en el sistema de permiso de trabajo, en la comunicación entre turnos y en la gestión de equipos fuera de servicio. Un compresor y una bomba involucrados en mantenimiento fueron parte del contexto que llevó a una secuencia fatal.

Problema: el permiso de trabajo había perdido su función real como barrera. La información sobre el estado del equipo no se transfirió correctamente, hubo confusión sobre qué estaba aislado y qué no, y la supervisión no aseguró una verificación robusta antes de devolver activos al servicio. En otras palabras, el papel estaba, pero el control no.

Consecuencia: la falta de integridad en el permiso y en el handover convirtió una condición administrativa en un desastre humano. Para un jefe de turno, este caso es una advertencia directa: si el traspaso de guardia no deja inequívoco qué equipo está aislado, qué permiso sigue abierto y qué barrera no se puede tocar, el siguiente turno hereda un riesgo invisible.

Lección para supervisión: los permisos no son una formalidad. Son una barrera crítica. Si en tu planta el permiso se firma al final del turno sin revisar el estado real del equipo, si los contratistas se mueven sin una coordinación clara o si el relevo se hace con mensajes incompletos, tenés una vulnerabilidad similar aunque no tengas mar abierto alrededor.

Un tercer ejemplo, más cercano a la lógica de integridad de barreras, es Buncefield en 2005: no hubo fatalidades, pero sí decenas de heridos, más de 20 edificios destruidos y pérdidas superiores a mil millones de libras. El sobrellenado de tanques y la falla de capas de protección mostraron que un sistema puede parecer estable hasta que una barrera instrumental, una alarma y la disciplina de operación fallan al mismo tiempo. Para supervisión, la enseñanza es clara: un incidente grande suele comenzar con un desvío pequeño que nadie quiso escalar.

Diagnóstico para mando medio: señales de alerta que no deberías normalizar

Hay síntomas que, en campo, casi siempre anuncian degradación de barreras. La buena supervisión no espera a que aparezca el incidente; detecta la pérdida de control cuando todavía hay tiempo de intervenir. Si ves estos patrones de manera repetida, no estás frente a mala suerte. Estás frente a una condición sistémica que requiere corrección.

• Permisos que se revisan en papel, pero no en el frente de trabajo.
• Trabajos críticos que empiezan con una aclaración de último minuto y nadie detiene la tarea.
• Equipos en bypass, override o con alarmas inhibidas por más tiempo del aceptable.
• Handover de turno basado en comentarios verbales sin lista de verificación.
• Mantenimiento diferido que se volvió normal por presión operativa.
• Observaciones de seguridad que siempre terminan en capacitación, pero nunca en cambio de diseño o planificación.
• Contratistas que ingresan a tareas críticas sin una verificación equivalente a la del personal propio.

El diagnóstico también pasa por preguntas incómodas. ¿Tus indicadores están mostrando tendencia de degradación de barreras o sólo accidentes ya consumados? ¿Las desviaciones de procedimiento se cierran como aprendizaje o como trámite? ¿Tu equipo sabe qué barreras no se pueden saltar, aunque haya presión por arrancar? Si la respuesta es no o depende del día, tenés una brecha de supervisión.

Autoevaluación rápida para supervisores y jefes de turno

• ¿Puedo nombrar las 5 amenazas más críticas de mi área sin mirar un archivo?
• ¿Sé qué barreras son preventivas y cuáles mitigadoras en cada escenario?
• ¿Tengo evidencia de que las barreras críticas se verifican antes del trabajo?
• ¿Escalo una desviación en menos de 24 horas o la dejo para que el sistema la absorba?
• ¿Las observaciones de campo terminan en acciones técnicas o sólo en charlas?
• ¿Sé distinguir entre error humano puntual y falla sistémica repetitiva?
• ¿El equipo me ve como alguien que verifica o como alguien que sólo controla cumplimiento documental?

Si algunas de esas preguntas te incomodan, vas por buen camino. La supervisión madura empieza cuando deja de confundir movimiento con control. Estar ocupado no es lo mismo que estar en control.

Solución: cómo traducir BowTie a prácticas diarias de supervisión

La solución no es hacer un BowTie más bonito. La solución es integrarlo en la rutina de mando medio para que cada turno tenga un lenguaje común sobre riesgo, barreras y escalamiento. En lugar de pedir al equipo que recuerde todo, hay que diseñar una forma de trabajo que haga visible lo importante y difícil de omitir.

Te propongo una metodología en seis pasos. No requiere una transformación tecnológica inmediata, pero sí disciplina y apoyo del liderazgo para sostenerla. Si la dirección quiere resultados, debe dar recursos; si la primera línea quiere seguridad, debe aportar honestidad. La supervisión queda en el medio, orquestando ambos lados.

Quick wins que podés implementar ya

• Usar una hoja de verificación de 1 página para las barreras críticas del área.
• Agregar una pregunta obligatoria en el handover: qué barrera cambió desde el último turno.
• Marcar visualmente permisos, aislamientos y equipos en bypass.
• Hacer una caminata de supervisión enfocada sólo en tres escenarios de mayor severidad.
• Registrar y cerrar los desvíos de barreras con responsable y fecha, no sólo con observación general.

Cambios estructurales que necesitan patrocinio del liderazgo

• Dotación suficiente para no depender de sobrecarga permanente.
• Planificación de mantenimiento basada en criticidad de barreras, no sólo en disponibilidad de recursos.
• Revisión de procedimientos para que sean ejecutables y no literatura.
• Gestión formal de cambios temporales, bypass y overrides.
• Capacitación específica para supervisores en lectura de BowTie, verificación de barreras y escalamiento.

Acá aparece el puente con liderazgo. Si vos detectás una barrera repetidamente degradada, no alcanza con corregir el síntoma en el turno. Tenés que llevar el caso a la cadena de mando con evidencia, porque la raíz puede estar en presupuesto, repuestos, estructura de guardias o prioridades operativas. Esa conversación se vuelve más sólida cuando el argumento no es emocional, sino BowTie: escenario, barrera, degradación y consecuencia.

Si querés una forma ordenada de medir madurez en esta transición, una diagnóstico comparativo entre seguridad de procesos y seguridad industrial puede ayudarte a distinguir dónde tu organización todavía trata síntomas y dónde ya gestiona escenarios. Y si además querés profundizar en la mejora del sistema de investigación, revisá mejora continua en investigación de incidentes.

Aplicación práctica: cómo se ve esto en el día a día

En la rutina real del mando medio, BowTie no puede exigir más tiempo del que la operación ya te niega. Por eso la clave está en incorporarlo a momentos que ya existen: arranque de turno, liberación de trabajo, verificación de campo, traspaso de guardia y cierre de desvíos. No necesitás inventar una burocracia nueva; necesitás cambiar el contenido de la conversación.

En el arranque del turno, dedicá cinco a diez minutos a revisar tres cosas: qué escenarios están activos hoy, qué barreras están bajo estrés y qué trabajos requieren verificación adicional. En el walkdown, no preguntes sólo si la orden está cumplida. Preguntá si el permiso refleja la condición real, si el aislamiento coincide con el punto de trabajo y si el equipo entiende qué paso no se puede improvisar.

En el handover, usá una estructura mínima: estado de equipos críticos, permisos abiertos, barreras degradadas, cambios temporales y decisiones pendientes. Eso evita que el siguiente turno herede una historia incompleta. Si el relevo depende sólo de la memoria, la pérdida de información ya está instalada.

Otra práctica potente es el cierre semanal de barreras. No revises sólo incidentes; revisá la salud de las barreras que sostienen tus escenarios críticos. Si una alarma estuvo inhibida, si un interlock se bypassó o si un mantenimiento quedó diferido, eso debe entrar a una conversación de prioridad operacional, no a un cajón administrativo. La supervisión agrega valor cuando convierte datos dispersos en decisiones.

Y acá entra la primera línea. La verificación real no se hace a espaldas del equipo. Se hace con el equipo. Si un operador ve que tu pregunta es siempre la misma pero tu acción nunca cambia, perderá confianza. Si ve que reportar una desviación activa soporte, priorización y recursos, empezará a confiar en el proceso. Ese vínculo es el que convierte BowTie en una herramienta viva y no en una plantilla más.

Si querés profundizar en hábitos de trabajo críticos, el complemento lógico es error humano y tareas críticas en primera línea. La supervisión traduce la regla; la primera línea la ejecuta; liderazgo la sostiene con recursos. Cuando una de esas patas falla, la barrera se cae.

¿Cómo sabes que vas por buen camino?

Vas por buen camino cuando empiezan a aparecer señales simples pero importantes. La gente deja de reportar sólo incidentes y empieza a reportar barreras debilitadas. Los permisos incluyen preguntas de calidad, no sólo firmas. Los desvíos se escalan antes de que alguien tenga que lamentarse. Y, sobre todo, la conversación deja de girar en torno a quién se equivocó para pasar a cómo evitamos que el sistema vuelva a poner a una persona en una situación imposible.

Como supervisor, superintendente, jefe de turno o coordinador HSE, tu valor no está en saber explicar el error humano después del evento. Tu valor está en reducir la probabilidad de que ese error sea suficiente para producir daño. Esa es la diferencia entre administrar cumplimiento y gestionar riesgo.

Cierre: supervisión sin atajos

BowTie no compite con tu criterio; lo ordena. Te ayuda a traducir lo que la política promete en controles que se ven, se comprueban y se sostienen en campo. Si el incidente termina explicado sólo por el error humano, probablemente el análisis se quedó corto. Y si el análisis se quedó corto, la supervisión perdió una oportunidad de aprendizaje y de control.

En la lógica de esta serie, el liderazgo tiene que asegurar recursos, prioridades y diseño; la supervisión tiene que convertir eso en práctica diaria; y la primera línea tiene que ejecutar con competencia y comunicación real. Por eso este artículo se conecta con la mirada de liderazgo y con la prevención en primera línea. Entre esos tres niveles se juega la calidad de tu sistema.

Si querés dar el siguiente paso, no empieces por un informe más largo. Empezá por una barrera crítica, una rutina de verificación y una desviación que hoy todavía se normaliza. Ahí es donde BowTie deja de ser un dibujo y se convierte en disciplina operativa.

CTA contextual: si tu equipo necesita ordenar escenarios críticos, barreras y verificación en campo, un diagnóstico digital o una mentoría técnica pueden darte el punto de partida para pasar de la teoría a la rutina.