Diagnóstico de barreras BowTie: fundamentos y método para HSE

El diagnóstico de barreras BowTie no es solo una herramienta técnica para gente de seguridad: es una forma de decidir mejor dónde poner tiempo, dinero y disciplina operacional. Cuando una refinería, una planta química o un terminal identifica mal sus barreras críticas, no solo aumenta la probabilidad de un incidente mayor; también gasta recursos en controles que no cambian el riesgo real.

El problema es que muchas organizaciones dicen tener BowTie, pero en la práctica solo tienen un diagrama bonito colgado en la pared, o un archivo que se actualiza una vez al año para cumplir con una auditoría. Eso no gestiona riesgo. Lo que gestiona riesgo es saber qué amenaza puede llevarte al evento top, qué barrera debería detenerla, cómo sabes si esa barrera sigue viva y quién responde cuando se degrada. Si hoy trabajás en HSE, operaciones, mantenimiento o liderazgo, este diagnóstico te sirve para algo muy concreto: entender si tu organización está controlando el riesgo o apenas administrando la apariencia de control.

El costo de confundir estas dos cosas es enorme. El desastre de Texas City en 2005 dejó 15 personas fallecidas y cerca de 180 lesionadas, después de una secuencia de fallas en controles, alarmas, procedimientos y decisiones de operación. Buncefield, en 2005, no dejó muertos pero sí 43 personas heridas y pérdidas superiores a mil millones de libras. En ambos casos, el problema no fue una sola acción humana: fue un sistema que no detectó a tiempo que sus barreras estaban degradadas, ausentes o mal diseñadas. Por eso, esta primera entrega de la serie es fundacional. Si querés aprender después cómo llevar esto al campo, te conviene seguir con BowTie en acción: cómo implementar barreras con método y más adelante con BowTie avanzado: integrar barreras y mejorar continuamente.

Diagnóstico de barreras BowTie: qué significa realmente

BowTie es una metodología visual para entender cómo un peligro puede evolucionar hacia un evento no deseado, qué barreras previenen esa evolución y qué barreras mitigan sus consecuencias. Su valor no está en el dibujo, sino en la disciplina de gestión que obliga a ordenar el pensamiento. En industria de proceso, esto es crítico porque los accidentes mayores rara vez nacen de una sola falla; suelen emerger de una combinación de amenazas, debilidades organizacionales y barreras que se degradan en silencio.

Antes de diagnosticar, conviene fijar bien los conceptos. Si los equipos usan los términos de forma distinta, el análisis se vuelve ambiguo y cada área protege su propio lenguaje en vez de proteger la operación. La base conceptual no es un lujo académico: es la condición mínima para que HSE, operaciones y mantenimiento hablen de lo mismo.

Lo que BowTie sí hace y lo que no hace

BowTie no reemplaza al HAZOP, al What-If, al LOPA ni al análisis cuantitativo de riesgo. Tampoco reemplaza a la disciplina operacional, la competencia o el mantenimiento. Lo que hace es ordenar el sistema de controles alrededor de un escenario mayor, para que la organización sepa qué proteger, cómo verificarlo y qué pasa si falla.

En otras palabras, BowTie convierte el discurso de riesgo en un mapa de decisiones. Cuando lo diagnosticas bien, podés responder preguntas incómodas: ¿qué barreras son realmente críticas? ¿Cuáles existen solo en papel? ¿Qué controles dependen demasiado del comportamiento humano? ¿Dónde estamos sobreconfiando en alarmas, rondas o checklists que nadie verifica? Esa es la diferencia entre tener una representación visual y tener un sistema de gestión.

Estándares y marcos que respaldan el diagnóstico

Si querés que el diagnóstico de barreras BowTie tenga peso organizacional, tiene que estar conectado con estándares reales. OSHA PSM 1910.119 exige elementos como PHA, procedimientos operativos, capacitación, integridad mecánica, gestión del cambio, investigación de incidentes y auditorías. Todo eso alimenta el diagnóstico de barreras. API 754 aporta la lógica de indicadores de seguridad de proceso, especialmente para diferenciar indicadores líderes de rezagados. IEC 61511 es clave cuando una barrera depende de sistemas instrumentados de seguridad. ISO 45001 aporta el marco de mejora continua y gestión del riesgo. Y CCPS ofrece la base conceptual más robusta sobre capas de protección y gestión de barreras.

Señales de una gestión de barreras débil o reactiva

Una organización no necesita un accidente mayor para mostrar que sus barreras están débiles. Muchas veces, la evidencia aparece antes en forma de pequeños desvíos, desviaciones operativas, alarmas molestas, backlog de mantenimiento o controles que dependen demasiado del heroísmo de los equipos. El diagnóstico de barreras BowTie permite leer esas señales antes de que el sistema falle de forma catastrófica.

El problema de fondo es cultural y técnico al mismo tiempo. Cultural, porque si la organización solo reacciona después de un incidente, entonces la gestión está orientada al evento y no al control. Técnico, porque si no existen estándares de desempeño para las barreras, nadie puede decir con evidencia si una protección sigue siendo eficaz.

• Las barreras críticas no tienen dueño claro ni responsable de desempeño.
• Los procedimientos existen, pero nadie verifica si siguen siendo ejecutables en campo.
• Se confunde capacitación con competencia real para operar tareas críticas.
• El mantenimiento preventivo se cumple en porcentaje, pero no se prioriza por criticidad de barrera.
• Los bypass, overrides y alarmas inhibidas se vuelven normales.
• Las investigaciones de incidentes encuentran causas inmediatas, pero no miden degradación de barreras.
• Los indicadores líderes son abundantes, pero no están ligados a escenarios de riesgo mayores.
• Se hacen auditorías, pero evalúan papeles más que condición física o capacidad de respuesta.

Si esto te suena familiar, no es casualidad. En muchas plantas, el sistema de control del riesgo termina siendo una suma de actividades: capacitaciones, rondas, inspecciones, permisos, charlas de cinco minutos, listas de verificación. Cada actividad aporta algo, pero ninguna garantiza por sí sola que la barrera crítica siga funcionando cuando más la necesitás.

Una barrera no es una intención, ni una política, ni un documento. Una barrera es una función verificable que debe existir cuando la amenaza se materializa.

El error humano no se diagnostica aislado del sistema

Uno de los errores más comunes en HSE es atribuir el fallo de una barrera a la persona que estuvo más cerca del evento. Eso simplifica el relato, pero destruye la capacidad de aprendizaje. En enfoque sistémico, el error humano suele ser la última expresión visible de fallas anteriores: diseño deficiente, carga de trabajo, interfaz pobre, alarmas mal gestionadas, supervisión insuficiente, entrenamiento desconectado de la tarea o barreras organizacionales ausentes.

Por eso, cuando diagnosticás barreras, no preguntes solo quién se equivocó. Preguntá qué permitió que ese error llegara tan lejos. Esa forma de pensar conecta directamente con el enfoque de investigación sin culpa y con la mejora continua que después podés profundizar en BowTie avanzado: integrar barreras y mejorar continuamente.

Casos reales: cuando las barreras no estaban donde debían

Caso 1: Texas City, 2005

Situación: durante el arranque de una torre de destilación en la refinería de Texas City, la operación se apoyó en instrumentos de nivel que no reflejaban adecuadamente la condición real del equipo. El sobrellenado derivó en la liberación de hidrocarburos desde un blowdown drum instalado a nivel de suelo, una configuración que amplificó el impacto del evento.

Problema: varias barreras preventivas estaban degradadas o mal diseñadas. Hubo dependencia excesiva de instrumentos poco confiables, procedimientos de arranque débiles, supervisión insuficiente y una disposición de equipos que incrementó la vulnerabilidad. El sistema no detectó a tiempo que el evento top se estaba formando.

Consecuencia: la explosión y el incendio causaron 15 muertes y alrededor de 180 heridos. El incidente se convirtió en uno de los peores desastres industriales de Estados Unidos y dejó lecciones regulatorias y corporativas de enorme costo. Los impactos financieros directos e indirectos superaron ampliamente los mil millones de dólares.

Lección: una barrera no puede depender de supuestos débiles ni de una sola fuente de verificación. Si el diagnóstico de barreras BowTie hubiese mostrado con claridad la fragilidad de los controles de arranque, la criticidad de la instrumentación y la debilidad de la mitigación, la organización habría tenido una conversación distinta antes del evento.

Caso 2: Buncefield, 2005

Situación: en el terminal de Buncefield, en el Reino Unido, un tanque de almacenamiento de gasolina sufrió sobrellenado. El sistema de medición principal falló y la alarma de alto nivel independiente tampoco evitó que el tanque siguiera recibiendo producto. La secuencia terminó en una gran nube de vapor y una explosión masiva.

Problema: el terminal confiaba en capas de protección que no estaban suficientemente verificadas. La independencia de los controles era insuficiente, la gestión de alarmas no era robusta y la detección de degradación no estaba bien integrada a la operación. Desde la perspectiva BowTie, la amenaza estaba clara, pero la cadena de barreras no tenía la fortaleza necesaria.

Consecuencia: hubo 43 personas heridas, no se registraron fallecidos, pero el daño material fue enorme. Las pérdidas económicas superaron los mil millones de libras esterlinas, con afectación severa a instalaciones, entorno y continuidad operativa.

Lección: cuando una planta dice tener redundancia pero no prueba su independencia, está más cerca de una ilusión de control que de una protección real. El diagnóstico inicial debió haber cuestionado no solo si existía una alarma, sino si esa alarma era una barrera con desempeño demostrable.

Un tercer recordatorio: Deepwater Horizon

En Deepwater Horizon, en 2010, murieron 11 personas y se derramaron aproximadamente 4.9 millones de barriles de petróleo. La tragedia mostró que las barreras técnicas, humanas y organizacionales pueden fallar en cadena cuando el sistema prioriza producción, señales débiles y decisiones apuradas sobre la verificación rigurosa. No es un caso idéntico a una planta de proceso onshore, pero la lógica es la misma: sin diagnóstico de barreras, la organización descubre su fragilidad cuando ya es tarde.

Cómo hacer un diagnóstico inicial del estado actual

Un diagnóstico útil no empieza con software ni con un dibujo sofisticado. Empieza seleccionando los escenarios de mayor potencial de pérdida y entendiendo si las barreras críticas que dicen protegerlos realmente existen, funcionan y se verifican. Esto es especialmente importante en refinerías, plantas químicas, terminales, estaciones de bombeo, minería de proceso y utilities con energía de alto riesgo.

La primera regla es simple: no intentes diagnosticar todo al mismo tiempo. Elegí unos pocos escenarios relevantes y profundizá. El segundo principio es igual de importante: usá evidencia, no opinión. Si una barrera no puede mostrarse en campo, documentarse o probarse, probablemente no esté controlando el riesgo como la organización cree.

Checklist básico para identificar brechas antes de mejorar

• ¿La barrera tiene un dueño definido y un estándar de desempeño medible?
• ¿Se puede verificar en campo y no solo en un procedimiento o presentación?
• ¿Existe independencia suficiente respecto de la falla que intenta controlar?
• ¿La barrera se prueba con la frecuencia adecuada y con evidencia trazable?
• ¿Los factores de escalamiento están identificados y gestionados?
• ¿Los operadores saben reconocer cuándo la barrera está degradada?
• ¿Los hallazgos alimentan decisiones de inversión, mantenimiento y cambio?

Si varias respuestas son dudosas, no estás frente a un problema puntual, sino ante una debilidad sistémica. Y esa debilidad tiene una consecuencia concreta: la planta cree que está protegida, pero en realidad está navegando con capas de defensa que no fueron verificadas con la rigurosidad necesaria.

Metodología práctica para pasar del mapa al diagnóstico

El diagnóstico de barreras BowTie funciona mejor cuando se lo trata como una secuencia de gestión, no como un ejercicio documental. El objetivo no es producir un diagrama elegante, sino una línea base confiable para decidir dónde actuar primero. Si la organización está madura, este diagnóstico también ayuda a evitar sobreinversión en controles redundantes y subinversión en las barreras realmente críticas.

A continuación, un método simple que podés adaptar a tu realidad. No requiere esperar al software perfecto ni a una gran consultora. Requiere disciplina, evidencia y patrocinio del liderazgo.

Pasos concretos

1. Elegí los escenarios con mayor potencial de pérdida. Concentrate en incendios mayores, liberaciones tóxicas, sobrepresión, pérdida de contención y eventos que puedan paralizar la operación o afectar a terceros.
2. Armá el BowTie con base en datos existentes. Reutilizá PHA, incidentes, HAZOP, LOPA, reportes de mantenimiento y lecciones aprendidas. No inventes amenazas desde cero si ya tenés información de la instalación.
3. Definí funciones de barrera, no solo actividades. Una charla de seguridad no es una barrera para evitar sobrellenado. Un procedimiento tampoco lo es si nadie verifica que sea ejecutable. La barrera debe tener función, desempeño y evidencia.
4. Asigná estándares de desempeño. Definí frecuencia de prueba, tiempo de respuesta, independencia, condiciones de operabilidad y criterios de aceptación. Si no hay estándar, no hay gestión.
5. Verificá en campo. Salí a planta, terminal o taller y contrastá el diseño con la realidad. Mirá accesibilidad, etiquetas, estado físico, alarmas, bypass, orden y comprensión operativa.
6. Clasificá la salud de la barrera. Verde, ámbar o rojo puede funcionar si el criterio es claro y consistente. Lo importante es que la clasificación refleje un estándar, no una percepción.
7. Priorizá según riesgo, no según facilidad. Las acciones rápidas son útiles, pero la inversión debe seguir el riesgo mayor. Si una barrera crítica está degradada, su corrección no puede esperar al próximo presupuesto.

Hay un punto clave aquí: el diagnóstico no debería quedar aislado en HSE. Si operaciones y mantenimiento no participan, las barreras quedan divorciadas de la realidad. Y si liderazgo no patrocina el proceso, el diagnóstico se transforma en un documento más que compite con decenas de prioridades urgentes.

Para avanzar con método, muchos equipos empiezan por un diagnóstico puntual y luego lo convierten en una hoja de ruta. Si querés acelerar ese paso con una metodología estructurada, el Curso Gestión de Riesgos BowTie y un Diagnóstico Digital pueden ayudarte a ordenar la línea base y priorizar mejor. La clave no es comprar una herramienta; es decidir qué riesgo querés gobernar de verdad.

Aplicación práctica en el día a día de profesionales HSE

Si trabajás en HSE, tu valor no está en saber citar el estándar de memoria, sino en traducirlo a decisiones operables. Eso significa que el diagnóstico de barreras BowTie tiene que aparecer en las reuniones de turno, en los recorridos de campo, en la revisión de MOC, en la investigación de incidentes y en los comités de inversión. Si no cambia la conversación de gestión, no está generando valor.

Para directores, el foco está en la gobernanza: qué barreras críticas protegen el negocio, cuál es su estado, cuánto cuesta corregirlas y qué exposición está aceptando la organización. Para mandos medios, el foco está en la ejecución: qué verificar en campo, cómo priorizar backlog y cómo sostener disciplina entre áreas. Para operadores, el foco es práctico: qué señales observar, qué desviaciones no normalizar y cuándo escalar sin demora.

Herramientas útiles por rol

• Directivos: tablero de barreras críticas, reportes de degradación, tendencias API 754, prioridades de inversión por riesgo.
• Supervisores: lista de verificación de barreras por turno, revisión de bypass, control de permisos, observaciones de campo.
• Operadores: preguntas de arranque y parada, reconocimiento de alarmas críticas, criterios claros de escalamiento.
• HSE: matriz de criticidad, estándar de desempeño, auditorías enfocadas en barreras, lecciones aprendidas y coaching al negocio.

Un hábito poderoso es incluir tres preguntas en cada reunión de operación: ¿qué barrera crítica está más expuesta hoy?, ¿qué evidencia tengo de que sigue funcionando?, ¿qué haría si mañana falla? Esas preguntas son simples, pero obligan a salir de la narrativa genérica de seguridad y entrar en gestión real del riesgo.

Otra práctica útil es usar el diagnóstico como lente para revisar incidentes menores. Un derrame pequeño, una alarma ignorada o una desviación de procedimiento pueden ser señales tempranas de degradación de barreras. Si solo investigás el daño visible, llegás tarde; si identificás el patrón de degradación, empezás a gestionar el riesgo antes del accidente.

Por qué esto es una decisión de negocio

Gestionar barreras no es un gasto cosmético ni una moda metodológica. Es una decisión de negocio porque impacta continuidad operativa, pérdidas por paradas no programadas, exposición regulatoria, costo de seguros, reputación, moral del equipo y capacidad de crecimiento. Una organización con barreras débiles opera con incertidumbre, y la incertidumbre siempre termina apareciendo como costo.

Los líderes que entienden esto dejan de preguntar únicamente cuánto cuesta arreglar una barrera y empiezan a preguntar cuánto cuesta no hacerlo. Esa pregunta cambia completamente el análisis. En Texas City, Buncefield o Deepwater Horizon, el costo de no diagnosticar correctamente fue varias veces superior al costo de haber fortalecido a tiempo los controles críticos.

Por eso el diagnóstico de barreras BowTie debe ser parte de la conversación estratégica, no solo de la rutina HSE. Si tu organización quiere madurar, necesita dejar de gestionar actividades sueltas y empezar a gobernar funciones de protección. Ese es el puente entre cumplimiento y desempeño.

Cierre

Este artículo dejó claro algo esencial: el diagnóstico de barreras BowTie no se trata de dibujar un diagrama, sino de entender si tu sistema de protección realmente funciona antes de que el evento top te lo demuestre con un accidente. Definir bien amenaza, barrera, evento top y consecuencia es el primer paso para dejar de gestionar por intuición y empezar a gestionar por evidencia.

En la siguiente etapa de la serie vamos a aterrizar la ejecución: cómo convertir este diagnóstico en acción concreta, cómo asignar responsables, cómo verificar barreras en campo y cómo sostener la disciplina operativa. Ese puente está desarrollado en BowTie en acción: cómo implementar barreras con método. Y si querés ir más allá, hacia un modelo de mejora continua con barreras integradas al sistema de gestión, el siguiente paso natural es BowTie avanzado: integrar barreras y mejorar continuamente.

Si hoy no tenés claridad sobre dónde está tu organización, empezá por una línea base honesta. El costo de la ambigüedad en seguridad de procesos siempre termina siendo más alto que el costo de diagnosticar bien.