Cómo hacer HAZOP y What If: método, formatos y checklists

Si hoy te preguntás cómo hacer HAZOP y What If sin convertirlo en una reunión larga y poco útil, la respuesta no está en la teoría sino en la ejecución: preparación, equipo correcto, límites claros y documentación consistente. En seguridad de procesos, el valor no aparece por sentar a varias personas en una sala, sino por obligarlas a pensar en desviaciones reales, escenarios creíbles y barreras verificables.

La historia industrial está llena de estudios con buenas intenciones y malos resultados. En Texas City 2005, por ejemplo, murieron 15 personas y más de 180 quedaron heridas en una explosión durante el arranque de una unidad de refinería. El problema no fue solo técnico: también hubo fallas en la revisión de riesgos, en la traducción del análisis a la operación y en el cierre de acciones. Ese tipo de brechas es exactamente lo que este artículo busca evitar.

Este contenido complementa la base conceptual del artículo anterior de la serie, la guía para diagnosticar cuándo conviene HAZOP o What If, y prepara el terreno para integrar resultados en sistemas más robustos, como se profundiza en la mejora continua con HAZOP y What If. Acá no venimos a repetir definiciones: venimos a mostrar cómo se arma una sesión que realmente cambie la operación.

Regla práctica: una reunión de dos horas con gente experimentada no vale nada si no deja acciones claras, responsables, fechas y criterio de verificación en campo.

Para HSE y supervisión, esto importa por una razón simple: ustedes son el puente entre el análisis y la realidad del turno. Si el método está flojo, el resultado se queda en un informe. Si el método está bien armado, el estudio se convierte en una herramienta de disciplina operativa, gestión del cambio y aprendizaje organizacional.

Cómo hacer HAZOP y What If con criterio operativo

La diferencia entre una sesión útil y una sesión decorativa está en el nivel de preparación. HAZOP y What If no son solo dos nombres para revisar riesgos; son dos formas distintas de pensar el proceso, organizar la conversación y registrar decisiones. HAZOP funciona mejor cuando necesitas desarmar un sistema por nodos, desviación por desviación, con guía de palabras que fuerzan el análisis. What If funciona mejor cuando querés partir de escenarios concretos y preguntar qué pasaría si algo sale distinto a lo esperado.

Lo importante es entender que la técnica no reemplaza el criterio. El criterio se construye con tres preguntas: ¿qué estoy analizando?, ¿quién tiene que estar en la sala?, y ¿qué documento me va a decir después qué decidió el grupo y por qué? Si alguna de esas respuestas no existe antes de la sesión, el estudio arranca mal.

En términos normativos, OSHA PSM 1910.119 exige que el análisis de peligros de proceso sea documentado, revisado periódicamente y conectado con la gestión del cambio. ISO 45001 refuerza la participación de los trabajadores y el control operacional. IEC 61511 entra cuando el estudio toca funciones instrumentadas de seguridad, porque una recomendación sobre alarmas o SIS no sirve si no se valida el nivel de integridad requerido. API 754, por su parte, ayuda a medir la calidad del sistema con indicadores Tier 1 a Tier 4, especialmente cuando querés saber si las acciones se cierran y si las barreras se mantienen sanas.

CCPS también es una referencia clave. Sus guías sobre Hazard Evaluation Procedures insisten en que el valor del análisis depende de la preparación del equipo, la calidad de los datos de entrada y la disciplina de seguimiento. En otras palabras: no alcanza con hacer el estudio; hay que hacerlo con método y después sostenerlo en el tiempo.

Los tres insumos que no deberían faltar

• Base técnica actualizada: P&IDs, PFDs, lista de equipos, límites operativos, filosofía de control, alarmas, interlocks, instrumentos críticos y procedimientos.
• Contexto operacional real: incidentes recientes, desvíos repetidos, bypasses, fallas de mantenimiento, arranques, paradas, limpiezas, cambios temporales y trabajos no rutinarios.
• Reglas de trabajo: objetivo del estudio, alcance, criterios de severidad/probabilidad, formato de registro, responsable de acciones y fecha límite de cierre.

Si te interesa conectar este análisis con un enfoque más amplio de disciplina operativa, también te conviene revisar cómo se articulan estas herramientas con la gestión de eventos y capas de protección en la práctica. Ahí es donde la teoría deja de ser teoría y empieza a funcionar como sistema.

Análisis profundo con casos reales

La mejor forma de entender la metodología es mirar dónde falló en la vida real. No porque queramos explicar un accidente con una sola causa, sino porque los casos muestran qué pasa cuando el estudio no logra capturar el escenario crítico, o cuando sí lo captura pero nadie lo convierte en acción.

Caso 1: Texas City 2005, cuando el análisis no cerró la brecha operativa

Situación: durante el arranque de una unidad de refinería, un equipo de proceso se sobrellenó y se generó una nube de hidrocarburos que terminó en explosión. El evento dejó 15 muertos y más de 180 heridos. La Junta de Seguridad Química de Estados Unidos documentó que la planta operaba con condiciones de arranque complejas, equipos envejecidos y una gestión de riesgos que no logró atrapar todas las combinaciones peligrosas del escenario.

Problema: en términos metodológicos, el estudio no fue suficientemente agresivo para cuestionar la fase de arranque, la confiabilidad real de la indicación de nivel, la respuesta del operador y el efecto de múltiples fallas simultáneas. A eso se suma una debilidad típica: recomendaciones que existen en papel, pero no tienen dueño, plazo ni verificación en campo. Eso es letal en una unidad de proceso.

Consecuencia: la explosión causó víctimas fatales, lesiones graves y pérdidas millonarias. Más allá del daño inmediato, el caso terminó siendo un símbolo de cómo una organización puede tener procedimientos, análisis y personal experimentado, y aun así fallar si el sistema de ejecución es débil.

Lección: cuando hagas HAZOP, no te quedes en el régimen estable. Incluí arranque, paro, limpieza, desvíos de control, fallas de instrumentación y pérdida de barreras. Y si una recomendación no se puede verificar en terreno, no está terminada.

Caso 2: Buncefield 2005, cuando un What If incompleto deja pasar el sobrellenado

Situación: en el terminal de combustible de Buncefield, Reino Unido, un tanque se sobrellenó mientras se estaba cargando. La explosión posterior fue una de las mayores en tiempo de paz en el país. Hubo 43 personas heridas, aunque no se registraron muertes directas. El evento destruyó instalaciones, afectó áreas industriales vecinas y generó un enorme costo económico y operativo.

Problema: el escenario de sobrellenado no se trató con suficiente profundidad desde la lógica de barreras independientes. Un What If bien hecho no solo pregunta '¿qué pasa si el nivel sube más de lo esperado?'; también pregunta qué ocurre si la alarma falla, si el operador no reacciona, si el sistema de protección no es independiente o si el modo de operación cambia. Ahí está la diferencia entre una lista de preguntas y un análisis real.

Consecuencia: el terminal y sus alrededores sufrieron una devastación importante. El caso quedó como referencia mundial de lo que pasa cuando la revisión de escenarios no profundiza en el encadenamiento de fallas y en la independencia de las capas de protección.

Lección: What If sirve muy bien para escenarios concretos, pero solo si obliga a seguir la cadena completa: iniciador, barrera, barrera de respaldo, respuesta humana, consecuencias y recuperación. Si el escenario toca una función de seguridad crítica, conviene complementar con BowTie, LOPA o verificación IEC 61511.

Qué nos enseñan estos dos casos sobre la práctica diaria

Ambos incidentes muestran que el problema no es la ausencia de papeles, sino la falta de integración entre análisis, operación y cierre. En Texas City, la dificultad estuvo en capturar una combinación de condiciones complejas y en dar seguimiento efectivo a acciones y salvaguardas. En Buncefield, el desafío fue no subestimar un escenario aparentemente simple, como el sobrellenado, que en realidad exigía examinar independencia de barreras, alarmas y respuesta humana.

Para HSE y supervisión, la lectura es incómoda pero necesaria: si el equipo no conoce bien el proceso real, si el facilitador no puede frenar una conversación vaga, y si el registro no obliga a definir dueño y fecha, el método queda secuestrado por la rutina. Y cuando eso pasa, los accidentes dejan de ser sorpresas.

Diagnóstico: señales de alerta antes de sentarte a analizar

Antes de empezar un estudio, vale la pena hacer un autoexamen rápido. Muchas sesiones fracasan no por falta de conocimiento, sino porque se arrancan con documentos incompletos, personas mal convocadas o expectativas poco claras. Si ves varias de estas señales, probablemente necesitas corregir la preparación antes de entrar al análisis.

• No tenés el P&ID actualizado o nadie confía en su estado.
• La intención operativa del nodo o escenario no está escrita con claridad.
• La reunión depende demasiado de una sola persona que 'sabe todo'.
• Las acciones se redactan como tareas genéricas: 'capacitar', 'recordar', 'supervisar más'.
• No se revisan arranques, paradas, limpieza, bypasses ni mantenimiento temporal.
• Los datos de incidentes y casi incidentes no están disponibles para el equipo.
• No hay acuerdo sobre severidad, prioridad ni criterio de aceptación de riesgo.
• El scribe escribe párrafos largos, pero nadie puede auditar qué se decidió.
• No existe un dueño claro para cada acción ni fecha de cierre realista.
• El estudio no está conectado con MOC, PSSR, integridad mecánica o gestión de alarmas.

Una regla útil: si tu equipo no puede explicar en dos minutos por qué un nodo empieza y termina donde termina, o por qué un escenario de What If merece prioridad, entonces todavía no estás listo para la sesión. Primero ordená la información; después sentate a analizar.

Solución: metodología paso a paso para ejecutar bien el estudio

Acá está el núcleo práctico. No importa si elegiste HAZOP, What If o una combinación de ambos: si seguís una secuencia disciplinada, el estudio gana calidad. Si improvisás, todo se vuelve dependiente de la memoria del equipo y del carisma del facilitador. Eso no es gestión de riesgos; es suerte con formato corporativo.

Paso 1: definir objetivo, alcance y criterio de profundidad

Arrancá por escribir qué querés lograr. No es lo mismo hacer una revalidación quinquenal, evaluar una unidad nueva, revisar una modificación menor o analizar un incidente repetitivo. El alcance debe indicar límites físicos, modos de operación incluidos, documentos de referencia y nivel de detalle esperado. Si no definís eso, vas a terminar analizando demasiado poco o demasiado mucho.

Paso 2: armar el equipo correcto

El equipo mínimo debería incluir facilitador, scribe, operación, mantenimiento, instrumentación o automatización, proceso o ingeniería y HSE. En unidades críticas, agregá confiabilidad, integridad mecánica o especialista en SIS. La mezcla importa porque cada rol ve cosas distintas: operación detecta variaciones reales, mantenimiento ve fallas recurrentes, HSE cuida la estructura del análisis, y ingeniería valida la lógica técnica.

Un error común es poner mucha jerarquía y poca experiencia de campo. Otro error es dejar afuera a quien conoce el comportamiento real del sistema porque 'no tiene tiempo'. Si la persona clave no va a estar, mejor reprogramar que producir un análisis incompleto.