Diferencia entre HAZOP y What If: guía para elegir

La diferencia entre HAZOP y What If no es solo académica; define si tu organización está realmente viendo el riesgo o apenas lo está nombrando. En plantas con procesos complejos, una elección equivocada puede dejar fuera escenarios críticos, generar recomendaciones poco útiles o, peor, dar una falsa sensación de control.

En seguridad de procesos, el problema no suele ser la falta de herramientas. Lo que falla es el diagnóstico: no se distingue bien cuándo el proceso exige profundidad sistemática y cuándo basta una revisión estructurada y ágil. Esa confusión cuesta tiempo, dinero y, en algunos casos, vidas. Texas City en 2005 dejó 15 personas muertas y más de 180 heridas durante el arranque de una unidad; Buncefield en 2005 generó una explosión masiva y pérdidas multimillonarias. En ambos casos, el problema no fue solamente técnico: fue de lectura del riesgo, disciplina operativa y madurez para preguntar las preguntas correctas.

Este artículo es el punto de partida de la serie. Si después querés pasar de la teoría a la ejecución, en la guía paso a paso de HAZOP y What If vas a ver cómo se arman equipos, nodos, desviaciones y registros de acciones. Y si buscás llevar ambos métodos a una lógica de aprendizaje continuo, el artículo de mejora continua profundiza en madurez, tendencias y lecciones de implementación.

La idea acá no es venderte un método como si fuera superior por defecto. La idea es que puedas diagnosticar tu proceso, tu cultura y tu capacidad real de análisis. Porque en seguridad industrial, elegir bien el método ya es parte del control del riesgo.

Contexto y marco técnico: qué resuelve cada técnica

HAZOP y What If son dos técnicas de análisis de peligros y operabilidad ampliamente usadas en gestión de riesgos de procesos. Ambas sirven para anticipar escenarios no deseados, pero no trabajan con el mismo nivel de detalle ni exigen el mismo esfuerzo. En términos simples: HAZOP es más sistemático y profundo; What If es más flexible, rápido y dependiente del criterio experto del equipo.

HAZOP, o Hazard and Operability Study, se apoya en la descomposición del proceso en nodos y en el uso de palabras guía como más, menos, ninguno, además de o inverso para explorar desviaciones. Es muy potente cuando hay variables interconectadas, lógica de control, inventarios de energía o material peligrosos y múltiples capas de protección. What If, en cambio, parte de preguntas abiertas del tipo ¿qué pasa si…? y funciona mejor cuando el proceso es más simple, la información es limitada o se necesita una evaluación rápida para priorizar.

Esto importa porque la gestión de riesgos moderna ya no se mide solo por tener estudios en carpeta. Se mide por capacidad de detectar escenarios, calidad de las acciones, cierre oportuno de hallazgos y conexión con desempeño real. Ahí entran estándares como OSHA PSM 1910.119, que exige análisis de riesgos de proceso y revalidación cada 5 años; IEC 61511, que ordena el ciclo de vida de sistemas instrumentados de seguridad; ISO 45001, que pide enfoque basado en riesgos y mejora continua; y las guías de CCPS, que siguen siendo referencia técnica para PHA y gestión de barreras.

También conviene mirar el dato con criterio de gestión. API 754 ayuda a diferenciar eventos Tier 1 a Tier 4, y eso es clave porque no todos los indicadores muestran lo mismo. Un estudio HAZOP puede reducir la probabilidad de escenarios mayores en una unidad compleja, mientras que un What If bien hecho puede acelerar la identificación de riesgos obvios en áreas simples sin consumir recursos desproporcionados.

Tabla comparativa técnica básica

La diferencia entre HAZOP y What If no es semántica: es operacional

La pregunta correcta no es cuál método es mejor. La pregunta correcta es: qué tipo de problema estoy tratando de resolver. Si tu proceso tiene muchas variables, secuencias de control, alarmas, interlocks y consecuencias potencialmente catastróficas, HAZOP te da una estructura mucho más robusta. Si estás evaluando una línea de transferencia, una zona de almacenamiento o una operación repetitiva con pocas variables críticas, What If puede ser suficiente y más eficiente.

La diferencia entre ambos también aparece en la calidad de la conversación. En un HAZOP bien facilitado, el equipo no se queda en “qué puede salir mal”, sino que explora desviaciones concretas, causas, consecuencias, salvaguardas existentes y recomendaciones. En un What If maduro, el equipo formula preguntas simples pero potentes, como: “¿Qué pasa si la bomba se detiene?”, “¿Qué pasa si se abre la válvula equivocada?” o “¿Qué pasa si el operador recibe una etiqueta incorrecta?”.

Lo que no conviene hacer es usar What If como atajo para procesos complejos. Tampoco conviene usar HAZOP como ritual burocrático en instalaciones simples donde el valor adicional es marginal. Esa mala elección suele venir de una cultura que confunde rigor con extensión documental. Pero la disciplina operativa no se mide por número de páginas; se mide por la capacidad de detectar fallas creíbles y actuar sobre ellas.

Un análisis de riesgos útil no es el más largo; es el que logra que el equipo vea el proceso como realmente puede fallar.

Tabla de criterios para elegir método

Análisis profundo con casos reales y lecciones de campo

Caso 1: Texas City, una lección sobre complejidad mal evaluada

Situación: En marzo de 2005, durante el arranque de una unidad en la refinería de Texas City, el nivel en una torre de destilación se manejó de forma incorrecta. El sistema terminó liberando hidrocarburos inflamables a un blowdown drum y a una pila de venteo no diseñada para ese escenario. La explosión y el incendio causaron 15 muertes y más de 180 heridos.

Problema: No falló un solo equipo; falló la comprensión del sistema. Había una combinación de factores humanos, instrumentación, alarmas, procedimientos y diseño que exigían un análisis profundo de desviaciones y de interacción entre capas de protección. Un estudio superficial, o una revisión demasiado general, difícilmente hubiera capturado el encadenamiento entre arranque, nivel, sobrellenado, descarga y fuente de ignición.

Consecuencia: Además de la tragedia humana, el caso desencadenó costos reputacionales, legales y operativos enormes. El accidente se convirtió en un símbolo de por qué un análisis de riesgos no puede limitarse a listas genéricas. Cuando el proceso es complejo, el error no suele estar en una sola causa, sino en la combinación de fallas latentes.

Lección: En una unidad compleja, HAZOP tiene una ventaja clara porque obliga a descomponer el proceso en nodos y desviaciones. Eso no garantiza eliminar el riesgo, pero sí mejora la probabilidad de encontrar escenarios creíbles antes de que se materialicen. Para equipos HSE, la lección es directa: si hay interacciones fuertes entre variables, no uses un método liviano solo por velocidad.

Caso 2: Buncefield, cuando la simplicidad aparente engaña

Situación: En 2005, el terminal de Buncefield en Reino Unido sufrió un sobrellenado en un tanque de gasolina que terminó en una explosión masiva. Fue uno de los mayores accidentes industriales en tiempos de paz en Europa. El evento dejó 43 personas heridas, afectó a cientos de empresas y generó pérdidas superiores a 700 millones de libras en daños directos e indirectos.

Problema: El caso mostró que incluso una operación que parece “simple” puede esconder una cadena de fallas: instrumentos de nivel, alarmas, procedimientos de carga, respuesta operativa y barreras de contención. Muchas organizaciones creen que por tratarse de almacenamiento o transferencia el análisis puede ser ligero. Pero cuando el inventario es alto, el impacto de una falla también lo es.

Consecuencia: La explosión no solo destruyó infraestructura; también obligó a revisar la manera en que se validan alarmas, se supervisan salvaguardas y se controlan cambios en equipos críticos. En términos de gobernanza, mostró que la madurez no depende de cuántos documentos existen, sino de si el sistema realmente detecta y contiene una desviación antes de que se convierta en pérdida de contención.

Lección: Aquí What If puede ser muy útil como herramienta de priorización, pero no como sustituto de la revisión técnica de las salvaguardas. En una terminal o área de tanques, preguntas como “¿qué pasa si el nivel alto falla?”, “¿qué pasa si la alarma no llega al operador?” o “¿qué pasa si la válvula no cierra?” son indispensables. Sin embargo, si hay automatización relevante, interlocks o múltiples tanques interconectados, conviene profundizar con una metodología más sistemática o híbrida.

Qué nos dicen estos casos sobre la madurez organizacional

Los dos eventos dejan una conclusión incómoda: muchas organizaciones no eligen el método según el riesgo, sino según la costumbre, el presupuesto o la presión del calendario. Ahí aparece la brecha de madurez. Cuando el área HSE funciona solo como auditor de papeles, la selección del método termina siendo administrativa. Cuando funciona como socio técnico del negocio, la elección se basa en complejidad, criticidad y evidencia.

La madurez se nota en cómo la organización gestiona la información. ¿Tiene P&ID actualizados? ¿La filosofía de control está documentada? ¿Existen listas de alarmas y pruebas de funcionalidad? ¿Los cambios temporales se registran y se revisan? Si esas respuestas son débiles, un HAZOP puede perder calidad, pero un What If también puede volverse una conversación demasiado dependiente de memoria individual. El método no compensa la falta de disciplina operativa.

Diagnóstico organizacional: señales de alerta y autoevaluación

Antes de elegir técnica, conviene mirar el estado real de tu organización. Si estás viendo cualquiera de estas señales, el problema no es solo metodológico; es de madurez del sistema.

• No existen criterios claros para decidir entre HAZOP, What If o análisis híbrido.
• Los estudios se hacen por cumplimiento, no por riesgo real.
• Los P&ID están desactualizados o no reflejan cambios temporales y MOC.
• Se confunde experiencia del operador con evidencia de control.
• Las recomendaciones quedan abiertas por meses o años sin seguimiento.
• Se usan workshops largos sin facilitación técnica ni registro consistente.
• La selección del método depende más del consultor disponible que del proceso.

Si sos director o gerente, preguntate si tus indicadores muestran solo cumplimiento o también efectividad. Si sos supervisor, preguntate si la gente de turno entiende por qué se eligió una técnica y no otra. Si sos operador, preguntate si tus observaciones de campo llegan al análisis o se pierden en un formulario. La calidad del estudio empieza mucho antes de la reunión; empieza en la calidad de la información y en la disciplina para usarla.

Preguntas de autoevaluación por rol

Para dirección: ¿tenés una matriz de criticidad que relacione complejidad del proceso con método de análisis? ¿podés demostrar cómo los estudios de riesgo redujeron incidentes Tier 1 o Tier 2 según API 754? ¿la revalidación PSM está conectada con MOC, integridad mecánica y gestión de acciones?

Para mandos medios: ¿el equipo sabe identificar si un estudio necesita HAZOP o What If? ¿las acciones se asignan con responsables, fechas y verificación en campo? ¿se revisan repetidamente las mismas desviaciones porque el problema de fondo no se corrigió?

Para operadores y supervisores de turno: ¿podés describir qué pasa si una bomba pierde succión, si una alarma no responde o si una válvula se queda trabada? ¿las preguntas del análisis reflejan la realidad del turno o solo el diseño teórico? ¿tu experiencia está siendo usada para detectar fallas antes de que aparezcan?

Solución y metodología: cómo decidir con criterio

La forma más práctica de resolver la diferencia entre HAZOP y What If es construir un criterio de selección, no improvisar por costumbre. El objetivo es alinear complejidad del proceso, profundidad esperada, disponibilidad de datos y madurez del equipo. No necesitás convertir cada análisis en una obra maestra; necesitás que sea defendible, útil y accionable.

Un buen punto de partida es clasificar el proceso en tres niveles: simple, intermedio y complejo. Después evaluás cuatro variables: inventario de peligros, interacción de variables, autonomía de control y calidad documental. Si el proceso tiene alto inventario, la pérdida de contención genera consecuencias severas o hay lógica de protección compleja, HAZOP suele ser la opción más sólida. Si el proceso es acotado, el peligro es conocido y el objetivo es priorizar escenarios evidentes, What If puede resolverlo con menos fricción.

Tabla de implementación práctica

Quick wins: crear una matriz de decisión de una página, usar listas de preguntas estándar por tipo de proceso y exigir que toda acción tenga evidencia de cierre. Eso solo ya mejora mucho la disciplina.

Cambios estructurales: integrar el criterio de selección con MOC, integridad mecánica y gestión de indicadores PSM; actualizar la base documental; y entrenar a facilitadores internos. Si tu organización todavía no sabe medir su madurez, un diagnóstico digital de PSM y disciplina operativa puede ayudarte a ubicar brechas antes de invertir tiempo en estudios mal enfocados.

Este enfoque también dialoga con ISO 45001, porque no se trata solo de cumplir una exigencia técnica. Se trata de construir un sistema que aprenda, priorice y mejore. En una planta madura, el método no se elige por tradición, sino por riesgo y por capacidad de ejecución.

Aplicación práctica: cómo llevarlo al día a día

En la operación cotidiana, la decisión entre HAZOP y What If debe verse como una herramienta de gestión, no como un evento aislado. En una refinería, una planta química, una terminal o una planta de alimentos con utilidades críticas, el supervisor necesita saber qué tipo de análisis conviene antes de convocar al equipo. El HSE necesita saber qué información pedir. Y el operador necesita entender que su observación de campo puede cambiar el resultado del estudio.

Para el operador, la aplicación práctica pasa por reconocer desviaciones: presión fuera de rango, bombas que cavitan, válvulas que no responden, instrumentos que oscilan, alarmas repetidas y prácticas informales que se normalizaron. Para el supervisor, la clave es validar si esas desviaciones están vinculadas a un escenario de riesgo relevante o a una anomalía menor. Para HSE, el trabajo es conectar esos hallazgos con una técnica adecuada, documentarlos bien y asegurar que se transformen en barreras, no en documentos archivados.

Herramientas útiles en el día a día: checklists por tipo de proceso, matrices simples de complejidad, revisión de alarmas críticas, walkdowns en campo, análisis de cambios temporales y uso sistemático de lecciones aprendidas. Cuando la organización adopta esta lógica, HAZOP y What If dejan de ser siglas y se convierten en una manera concreta de pensar el riesgo.

Puente conceptual hacia la ejecución y la mejora continua

Si este artículo te ayuda a decidir qué método usar, el siguiente paso es aprender cómo aplicarlo bien. Ahí entra el artículo 2 de la serie, donde bajamos a la práctica: preparación, facilitación, captura de escenarios, priorización y cierre de acciones. Ese es el puente entre el diagnóstico y la ejecución disciplinada.

Y si ya tenés capacidad de análisis, pero querés que el sistema aprenda de verdad, la tercera parte de la serie profundiza en mejora continua con HAZOP y What If. Ahí el foco cambia: de elegir el método correcto pasamos a convertir los hallazgos en tendencias, decisiones de inversión, cambios de diseño y fortalecimiento de barreras.

Ese es el punto más importante de este artículo fundacional: la diferencia entre HAZOP y What If no se define por preferencia personal, sino por la madurez de la organización para comprender su riesgo. Cuando entendés eso, dejás de pelear por nombres y empezás a gobernar el sistema.

FAQ corta para cerrar el diagnóstico

Abajo vas a encontrar preguntas frecuentes con respuestas más completas, pero la idea central es esta: si tu proceso es complejo, HAZOP suele darte más valor; si es simple o tenés poca información, What If puede ser el mejor punto de partida. En ambos casos, la disciplina operativa y el cierre de acciones son más importantes que el formato del taller.