Diferencias BowTie HAZOP LOPA IPERC: qué resuelve cada método

Las diferencias BowTie HAZOP LOPA IPERC no son un debate académico: son la línea que separa una organización que entiende sus riesgos de una que solo acumula matrices, talleres y documentos. En seguridad de procesos, confundir metodologías suele terminar en una falsa sensación de control, justo antes de que una barrera falle y el incidente ocurra.

El caso de Texas City, en 2005, dejó 15 personas fallecidas, más de 180 heridas y pérdidas superiores a US$ 1.5 mil millones. El problema no fue la ausencia de una sola herramienta, sino una cadena de decisiones, barreras degradadas y señales ignoradas que nadie estaba gobernando de forma coherente. Cuando la organización no distingue entre identificar peligros, cuantificar capas de protección y gestionar barreras críticas, el sistema se vuelve opaco.

Por eso este artículo es fundacional. Si trabajás en HSE, operaciones, mantenimiento, ingeniería o liderazgo, no necesitás memorizar siglas: necesitás entender qué pregunta responde cada metodología, cuándo usarla y cómo saber si tu empresa está mezclando funciones. BowTie no reemplaza HAZOP, LOPA ni IPERC; los ordena en un sistema de gestión que permite decidir mejor.

Si además querés pasar del diagnóstico a la acción, después de este artículo te conviene seguir con cómo implementar BowTie paso a paso en operaciones HSE. Y si ya estás en una organización más compleja, con capas de análisis superpuestas, el siguiente nivel está en BowTie avanzado: integración con HAZOP, LOPA e IPERC.

Diferencias BowTie HAZOP LOPA IPERC: el problema real

La confusión aparece porque las cuatro metodologías hablan de riesgo, pero no hacen lo mismo. HAZOP busca desviaciones del proceso y sus causas; LOPA estima si las capas de protección son suficientes; IPERC prioriza peligros y controles en tareas y puestos; BowTie organiza visualmente la historia completa desde las amenazas hasta las consecuencias, pasando por las barreras.

Cuando una organización usa una sola herramienta para todo, suele pasar una de estas dos cosas: o simplifica tanto que pierde precisión, o complejiza tanto que nadie la usa en campo. En ambos casos, el resultado es el mismo: decisiones poco confiables. El objetivo no es tener más metodologías, sino que cada una cumpla su función dentro de una arquitectura de riesgo coherente.

Si todo se llama riesgo, nada queda claro. Y si todo se mide con la misma herramienta, terminás mezclando peligros de tarea, desviaciones de proceso, capas independientes de protección y gobernanza de barreras en un solo archivo.

Qué es BowTie, en términos prácticos

BowTie es una metodología para representar y gestionar escenarios de riesgo críticos. Parte de un evento tope o top event -por ejemplo, pérdida de contención de amoníaco, sobrellenado de un tanque, fuga de gas inflamable o liberación de energía no controlada- y conecta dos lados del escenario: las amenazas que pueden llevar a ese evento y las consecuencias que pueden derivarse de él.

Su mayor valor está en la gestión de barreras. BowTie no solo pregunta qué puede pasar; pregunta qué barreras previenen el evento, qué barreras mitigan sus consecuencias, quién es dueño de cada una, cómo se verifica su desempeño y qué evidencia demuestra que siguen siendo efectivas hoy. Por eso es muy potente para liderazgo, supervisión y disciplina operativa.

Qué hace HAZOP y qué no hace

HAZOP es un estudio sistemático de desviaciones de proceso. Usa palabras guía como más, menos, no, parte de, inverso, para identificar cómo una variable puede apartarse de la intención de diseño. Es especialmente útil en ingeniería de procesos, plantas químicas, refinerías, terminales y sistemas complejos donde una desviación de caudal, presión, nivel, temperatura o composición puede desencadenar un evento mayor.

HAZOP no está diseñado para gobernar la operación diaria de barreras ni para asignar responsabilidades de verificación en campo. Tampoco es, por sí solo, un sistema de priorización de controles críticos. Si lo convertís en un documento archivado, perdés su valor; si lo usás como mapa de amenazas y causas para alimentar un BowTie, ganás trazabilidad técnica.

Qué hace LOPA y cuál es su límite

LOPA es una técnica semicuantitativa. Sirve para evaluar si, después de considerar una frecuencia de amenaza y las capas independientes de protección, el riesgo residual queda dentro de lo tolerable. Es una herramienta muy útil cuando necesitás justificar el nivel de integridad requerido de una función instrumentada de seguridad o decidir si una protección es realmente independiente.

Pero LOPA no es un estudio de barreras completo. No te muestra la historia operativa completa, no comunica tan bien a la línea de supervisión y no reemplaza la necesidad de definición clara de dueños, criterios de desempeño y verificación de barreras. Es excelente para responder cuánta protección hace falta; BowTie responde además cómo se sostienen esas protecciones en el tiempo.

Qué aporta IPERC y por qué no alcanza solo

IPERC -identificación de peligros, evaluación de riesgos y controles- es muy valioso para trabajos, tareas y puestos. En minería, manufactura, logística, energía o construcción, permite ordenar peligros ocupacionales, definir controles, priorizar acciones y sostener una cultura de prevención más cercana a la operación diaria.

El problema aparece cuando se le pide a IPERC que haga el trabajo de un análisis de riesgos de proceso. Un IPERC bien hecho puede decirte que un operador expuesto a un área con ácido necesita protección facial, guantes y procedimiento; no te va a modelar, con el nivel de detalle necesario, la lógica de una pérdida de contención, la independencia de una válvula de alivio o la degradación de una barrera instrumentada. Para eso necesitás un enfoque de proceso y barreras.

Contexto y marco técnico para entender cada herramienta

Desde el punto de vista técnico, la diferencia central está en el objeto que estudia cada metodología. HAZOP mira la desviación del proceso; LOPA mira la suficiencia de las capas de protección; IPERC mira el riesgo del trabajo; BowTie mira el escenario completo y, sobre todo, la integridad de las barreras que mantienen el control.

Esto importa porque la gestión moderna de riesgos no debería basarse en intuición ni en matrices genéricas. En procesos de alto riesgo, la organización necesita saber cuáles son sus eventos críticos, cuáles son las barreras críticas, quién las posee, qué estándar de desempeño deben cumplir y con qué evidencia se verifica su condición. Sin esa secuencia, la gestión queda fragmentada.

La OSHA PSM 1910.119 exige análisis de peligros de proceso y revisión periódica, pero no impone una sola técnica. La IEC 61511 establece principios para el ciclo de vida de sistemas instrumentados de seguridad, incluyendo requisitos de independencia, especificación, validación y mantenimiento. La ISO 45001 pide identificar peligros, evaluar riesgos y planificar controles, y eso abre la puerta a combinar enfoques según el tipo de riesgo.

La referencia API 754 agrega algo clave: los indicadores de seguridad de proceso deben medir no solo resultados tardíos, sino también señales tempranas de degradación de barreras y exposición al riesgo. Y desde CCPS, la idea de barrier management viene empujando hace años una verdad incómoda: no alcanza con tener estudios; hay que administrar la confiabilidad real de los controles.

Cuándo usar cada método sin mezclar funciones

La lógica correcta no es elegir un ganador, sino asignar función. HAZOP suele ser el punto de partida en ingeniería o cambios de proceso. LOPA entra cuando necesitás validar si las capas existentes bastan y si una función instrumentada requiere un nivel de integridad específico. IPERC sirve para bajar a tareas y exposición ocupacional. BowTie integra la conversación de forma que liderazgo, supervisión y operación entiendan qué barreras sostienen el negocio.

Un ejemplo simple: una planta de amoníaco que revisa una modificación en un compresor. El HAZOP detecta desviaciones de presión y temperatura; LOPA estima si las capas independientes son suficientes; BowTie organiza el escenario de pérdida de contención y define barreras críticas; IPERC traduce la exposición ocupacional durante mantenimiento, arranque o respuesta a emergencias. Cada método aporta una pieza distinta.

Si querés que el análisis sea útil, no preguntes cuál es la metodología más poderosa. Preguntá cuál responde mejor a la decisión que tenés enfrente. Ese cambio de pregunta evita la inflación de documentos y mejora la calidad del criterio técnico.

Análisis profundo con casos reales

Los casos reales muestran mejor que cualquier definición por qué la confusión metodológica cuesta caro. En ambos ejemplos, el problema no fue la falta de procedimientos escritos, sino la falta de un sistema que mantuviera visibles las barreras, sus dueños y sus condiciones de desempeño.

Caso 1: Texas City Refinery, 2005

Situación: durante el arranque de una unidad de isomerización, se sobrellenó un recipiente de destilación y se liberó una gran nube de hidrocarburos que se encendió. El incidente terminó en una explosión e incendio de gran magnitud. La CSB estadounidense documentó 15 muertes, más de 180 heridos y pérdidas directas e indirectas superiores a US$ 1.5 mil millones.

Problema: la planta contaba con procedimientos, alarmas y estudios de riesgo, pero no existía una gobernanza clara de barreras críticas durante el arranque. Varias capas supuestamente protectoras no funcionaron como se esperaba: indicadores engañosos, operación fuera de condiciones normales, mala interpretación de señales y una cultura donde el cumplimiento documental pesaba más que la verificación efectiva en campo.

Consecuencia: el evento no solo impactó vidas y activos. También reveló cómo una organización puede tener estudios técnicos, pero no una comprensión integrada del escenario. Si se hubiera mirado el problema solo como HAZOP, se habría detectado la desviación; si se hubiera mirado solo como IPERC, se habría subestimado la naturaleza del evento de proceso; si se hubiera mirado con LOPA aislada, quizá se habría discutido suficiencia matemática sin gobernanza operativa. El faltante era un sistema de barreras visible y accionable.

Lección: BowTie es especialmente útil cuando el riesgo está en la interfaz entre ingeniería, operación y disciplina operativa. No evita el análisis detallado, pero obliga a preguntar qué barreras existen, cuáles son críticas y cómo se verifica su estado antes de que el arranque se convierta en una pérdida de contención. La lección para directivos es contundente: un estudio sin trazabilidad a barreras vivas no es gobernanza.

Caso 2: Buncefield, Reino Unido, 2005

Situación: en el depósito de combustible de Buncefield, un tanque se sobrellenó y se formó una gran nube de vapor inflamable que explotó y provocó incendios masivos. Hubo alrededor de 43 heridos, más de 2.000 personas evacuadas y daños superiores a £ 1.000 millones, convirtiéndolo en uno de los peores incidentes industriales en Europa.

Problema: el escenario mostró fallas acumuladas en detección, alarmas, independencia de barreras y gestión del cambio. El punto clave no fue solo que un instrumento fallara, sino que la organización no tenía una comprensión suficiente del conjunto de salvaguardas necesarias para detener el sobrellenado y mitigar sus consecuencias. Varias defensas existían en papel, pero no estaban siendo gestionadas como barreras críticas.

Consecuencia: el impacto fue ampliamente material, reputacional y regulatorio. Además, el caso dejó una enseñanza de alta utilidad para HSE: no basta con contar cuántos controles hay; hay que saber cuáles son verdaderamente independientes, cuáles dependen de la misma causa común y cuáles tienen una función preventiva o mitigadora. Eso es exactamente lo que BowTie visibiliza y lo que LOPA ayuda a contrastar.

Lección: cuando la organización confunde un inventario de controles con un sistema de barreras, cree que tiene protección porque tiene nombres de controles, no porque tenga efectividad demostrada. BowTie, alimentado por HAZOP y revisado con criterio LOPA, permite evitar esa ilusión. En IPERC, además, se puede traducir el escenario a exposición de personal, respuesta de emergencia y control operativo en tareas de campo.

Qué muestran estos casos en términos de gestión

Ambos incidentes comparten una constante: la degradación no fue invisible, fue ignorada o mal interpretada. Alarmas, procedimientos, capacitaciones y rondas existían; lo que faltó fue una lectura de sistema. Cuando una empresa no distingue entre identificar amenazas, cuantificar protección y verificar barreras, termina administrando actividades en lugar de administrar riesgo.

La buena noticia es que esa brecha se puede diagnosticar. No necesitás esperar a un gran evento para entender si tu organización usa HAZOP, LOPA, IPERC y BowTie correctamente. Basta con revisar cómo produce decisiones, quién responde por las barreras y qué evidencias exige para declarar que un riesgo está controlado.

Señales de alerta: cómo detectar confusión metodológica

Una organización madura no necesariamente tiene más documentos; tiene mejor criterio. Si en tu empresa todas las metodologías terminan en la misma planilla o en el mismo taller, probablemente hay una mezcla funcional que merece revisión.

• El BowTie existe, pero nadie puede explicar cuáles son las barreras críticas ni cómo se verifica su desempeño.
• El HAZOP se realiza una vez y luego queda archivado sin conexión con MOC, operación o mantenimiento.
• La LOPA se usa para justificar decisiones, pero con datos viejos, supuestos débiles o independencia dudosa entre capas.
• El IPERC absorbe riesgos de proceso complejos y termina siendo una matriz genérica que no distingue escenarios críticos.
• Los indicadores de seguridad se enfocan solo en TRIR o frecuencia de lesiones y no en señales tempranas de degradación de barreras.
• Los equipos de campo conocen procedimientos, pero no saben nombrar el evento tope ni las barreras que los protegen.
• Las acciones correctivas se cierran por evidencia documental, no por mejora real de desempeño en campo.

Si te reconocés en tres o más de esas señales, el problema no es falta de trabajo. El problema es falta de arquitectura de riesgo. Y en organizaciones de alto riesgo, esa diferencia no es menor: cambia la capacidad de anticipación, priorización y respuesta.

Preguntas de diagnóstico por rol

Para directivos: podés nombrar los cinco eventos de mayor potencial de pérdida para tu operación y sus barreras críticas? Sabés cuáles de esas barreras tienen dueño, KPI, frecuencia de verificación y evidencia de desempeño? Si no, tu organización tiene análisis, pero no gobernanza.

Para supervisores: cuando una barrera falla, el equipo sabe qué hacer, a quién escalar y qué condición obliga a parar? Las reuniones de turno revisan barreras o solo producción y seguridad reactiva? Si BowTie no entra al liderazgo de turno, se vuelve un cartel más.

Para operadores: sabés qué controles son los que realmente evitan que el problema escale? Podés identificar cuándo un instrumento, una válvula, un permiso de trabajo o una condición de proceso ya no está en estado seguro? Si la respuesta es no, la herramienta no llegó al frente.

Cómo diagnosticar si tu organización las usa bien o las mezcla

El diagnóstico no debería empezar por comprar software ni por multiplicar talleres. Debería empezar por definir qué tipo de riesgo estás tratando y qué metodología necesita cada decisión. Ese enfoque evita el error más común: convertir una herramienta útil en una receta universal.

La secuencia práctica es simple. Primero, identificá si estás frente a un riesgo de proceso, de tarea o de ambos. Luego revisá si el estudio usado responde a la pregunta correcta. Finalmente, verificá si el resultado se traduce en barreras, responsables y seguimiento en campo.

Checklist rápido de madurez

• Existe una definición formal de evento tope para escenarios críticos.
• Las barreras críticas tienen dueño, frecuencia de prueba y criterio de aceptación.
• HAZOP, LOPA e IPERC no compiten entre sí, sino que se conectan por propósito.
• Los hallazgos de campo modifican el análisis, no solo el reporte.
• Los indicadores incluyen desempeño de barreras y no solo lesiones o cumplimiento.
• El equipo operativo entiende qué hacer cuando una barrera está degradada.

Solución: cómo ordenar el sistema sin complicarlo

El objetivo no es imponer una metodología única, sino construir una ruta de trabajo que respete la naturaleza del riesgo. Si querés pasar del diagnóstico a la implementación, el orden importa más que la herramienta. Primero claridad funcional, después integración, luego automatización o digitalización.

Una forma robusta de empezar es seleccionar un escenario crítico por unidad operativa. No intentes mapear todo el universo de riesgos de una vez. Elegí un evento tope de alto impacto y alta exposición, reuní las fuentes de información disponibles y construí el caso con disciplina.

Ese escenario se alimenta con HAZOP si hay proceso, con LOPA si necesitás revisar capas independientes, con IPERC si la exposición ocupa tareas y personas, y con BowTie para conectar todo en una lógica comprensible para la organización. Si ya querés una ruta más detallada, te conviene seguir el artículo Cómo implementar BowTie paso a paso en operaciones HSE.

Quick wins que podés ejecutar en 30 días

• Elegí un proceso crítico y construí un BowTie de una sola página.
• Asigná dueño a cada barrera crítica, aunque al inicio sea de forma manual.
• Revisá si tus controles de IPERC realmente aplican a riesgo ocupacional o si están intentando cubrir proceso.
• Tomá un HAZOP viejo y verificá qué recomendaciones llegaron a campo y cuáles no.
• Usá una reunión de turno para revisar una barrera por día, no solo incidentes y producción.

Los cambios estructurales, en cambio, requieren disciplina de gobernanza. Eso implica integrar MOC, mantenimiento, inspección, pruebas funcionales, entrenamiento y métricas en un mismo lenguaje de control. Si querés profundizar el diseño de esa arquitectura, el artículo BowTie avanzado: integración con HAZOP, LOPA e IPERC te lleva al siguiente nivel.

Y si el equipo necesita apoyo para aterrizar el método en decisiones reales, una solución natural es el Curso Gestión de Riesgos BowTie. No porque BowTie sea moda, sino porque ayuda a ordenar el pensamiento y la ejecución en sistemas donde los controles no pueden depender de la memoria o de la buena voluntad.

Aplicación práctica en el día a día

En campo, la clave no es saber recitar definiciones. La clave es reconocer cuándo una condición te está acercando al evento tope y qué barrera debería frenarlo. BowTie se vuelve útil cuando deja de ser un diagrama y pasa a ser una pregunta operativa: qué barrera me protege ahora y cuál estoy perdiendo.

Para directivos

Tu foco debería estar en gobernanza. Necesitás conocer los eventos de mayor potencial de pérdida, los controles críticos y el estado de sus verificaciones. Si solo ves indicadores de lesiones, vas tarde; si ves indicadores de barreras, podés anticiparte.

Usá BowTie para priorizar inversiones, revisar desempeño y pedir cuentas por efectividad. No preguntes solo si el procedimiento existe; preguntá si la barrera sigue vigente, si el dueño la conoce y si el estándar de desempeño fue verificado en el último ciclo.

Para supervisores

Tu trabajo es convertir el análisis en disciplina de turno. En la reunión diaria, revisá una barrera crítica por sesión. En el campo, verificá que el control exista, que el equipo lo entienda y que el estado del proceso no haya cambiado respecto a lo que asumió el estudio original.

Si una barrera está degradada, el supervisor no debe normalizarla. Debe escalarla, registrar la condición y frenar la exposición cuando corresponda. Esa conducta, repetida todos los días, vale más que cien presentaciones.

Para operadores

Tu valor está en detectar señales tempranas. Un cambio de ruido, vibración, nivel, olor, temperatura o respuesta de instrumento no es una curiosidad: puede ser el inicio de una pérdida de contención o de una barrera degradada. El BowTie te ayuda a entender por qué no debes seguir operando como si nada.

Usá herramientas simples: tarjetas de barreras críticas, checklist de arranque, criterios de parada y escalamiento, y una conversación clara con tu supervisor. Si sabés qué barrera te protege, también sabés cuándo pedir ayuda a tiempo.

Qué pasa cuando la organización mezcla todo

Mezclar BowTie, HAZOP, LOPA e IPERC no significa solo usar varios métodos a la vez. Significa, más grave aún, no respetar su propósito. El síntoma más común es que el análisis termina siendo correcto en papel pero inútil en campo.

Por ejemplo, una planta puede tener un HAZOP excelente, una LOPA técnicamente correcta y un IPERC bien firmado, pero seguir operando con alarmas inhibidas, pruebas vencidas, procedimientos obsoletos y barreras sin dueño. El problema no es técnico aislado; es sistémico. Eso es exactamente lo que BowTie ayuda a visibilizar.

La madurez real aparece cuando la organización deja de preguntar cuántos estudios hizo y empieza a preguntar cuántas barreras críticas gobierna. Ahí cambia la conversación de cumplimiento a confiabilidad, y de cumplimiento a desempeño.

Cierre: por qué este diagnóstico importa

Entender las diferencias BowTie HAZOP LOPA IPERC no es un ejercicio de precisión académica. Es una forma de evitar que tu organización use una herramienta donde necesitaba otra y, peor todavía, crea que ya controló el riesgo cuando en realidad solo lo documentó.

BowTie aporta el puente entre el análisis técnico y la gestión cotidiana. HAZOP descubre desviaciones, LOPA contrasta la suficiencia de protección, IPERC aterriza el control de tareas, y BowTie integra todo para que liderazgo, supervisión y operación hablen el mismo idioma. Esa integración es la base para una gestión de barreras seria.

En la siguiente etapa, vas a poder bajar este diagnóstico a una ruta práctica paso a paso. Y en el nivel más avanzado, vas a ver cómo BowTie convive con HAZOP, LOPA e IPERC sin reemplazarlos, sino dándoles una arquitectura útil. Si querés seguir construyendo esa mirada, mirá el artículo de implementación y luego el de integración avanzada.