Cómo identificar el evento top en un análisis BowTie

Si hoy te toca identificar el evento top en un análisis BowTie y lo tratás como un trámite de taller, estás dejando la parte más crítica en manos de la intuición. El problema no es menor: cuando el evento top queda mal formulado, todo el BowTie se deforma, las barreras se ubican donde no corresponde y la operación termina mirando un diagrama que no le sirve para decidir en campo.

Esto no es teoría. En Texas City, la investigación de la CSB mostró una secuencia de fallas operativas y de barreras durante el arranque de una unidad que terminó en 15 muertes y 180 heridos. En Buncefield, el sobrellenado de un tanque en un terminal de combustibles derivó en una explosión de gran magnitud, con decenas de heridos y un impacto masivo sobre la comunidad. En ambos casos, el error de fondo no fue solo técnico: fue entender tarde, o mal, dónde se perdió realmente el control del sistema.

Para profesionales HSE y supervisores, este tema importa porque no alcanza con "tener un BowTie". Hace falta que el evento top sea consistente entre plantas, turnos y equipos de trabajo. Si no, cada supervisor interpreta algo distinto, cada HSE dibuja un escenario diferente y cada dueño del proceso aprueba un criterio que no se puede auditar. Si todavía no repasaste la base conceptual, te conviene volver a este artículo de la serie; y si ya estás lidiando con escenarios solapados, el siguiente paso es este otro artículo de la serie, donde entramos en los casos más complejos.

La clave de este artículo es bajar la teoría a un método práctico: preguntas guía, validación con operación y supervisión, revisión de escenarios y un formato de trabajo que deje trazabilidad. Porque en seguridad de procesos, lo que no se puede explicar, documentar y revisar en campo suele terminar siendo una opinión decorada.

Por qué identificar el evento top en un análisis BowTie cambia la calidad del análisis

El evento top no es el incidente final, ni la amenaza, ni la causa raíz. Es el momento de pérdida de control entre un escenario peligroso y la consecuencia no deseada. Dicho de forma simple: es el punto donde el sistema deja de contener el riesgo con sus barreras preventivas y entra en una condición que puede escalar.

En BowTie, ese punto define todo lo demás. Si te equivocás ahí, podés terminar poniendo barreras al final de la película en vez de antes del quiebre. Ese error es frecuente cuando los equipos de trabajo usan palabras como "fuga", "explosión" o "lesión" como evento top. Son consecuencias, no eventos de pérdida de control. Y si mezclás esas categorías, el BowTie deja de ser una herramienta de decisión y pasa a ser un afiche corporativo.

Principio práctico: si el equipo no puede decir en 30 segundos qué perdió el sistema y en qué punto operacional ocurrió, el evento top todavía no está bien definido.

Hay además una razón organizacional. OSHA PSM 1910.119 exige procesos formales de análisis de riesgos, procedimientos operativos y gestión del cambio. ISO 45001 pide participación y consulta de los trabajadores. IEC 61511 te obliga a pensar con claridad qué demanda una función instrumentada de seguridad y cuándo. Y CCPS insiste en que la calidad del BowTie depende de la calidad de la definición del escenario. No son marcos decorativos: todos te empujan a definir con precisión el instante en que el control se pierde.

La idea no es complicar más el proceso. La idea es hacer visible la lógica del riesgo para que un supervisor de turno, un operador, un ingeniero de proceso y un HSE hablen de lo mismo. Si eso no ocurre, el BowTie queda bonito, pero no gobierna nada.

Secuencia paso a paso para definir el evento top con criterio operativo

La mejor forma de llegar al evento top correcto no es empezar por el diagrama. Es empezar por el escenario operativo. El orden importa: primero ubicás el activo o tarea, después el peligro, luego la pérdida de control y recién ahí el evento top. Saltarse pasos suele llevar a definiciones infladas, genéricas o directamente inútiles para la supervisión diaria.

Paso 1: delimitá el escenario y el activo

¿Estás analizando un tanque, una transferencia, una reacción, un mantenimiento o una maniobra de arranque? Un evento top sin límite operativo es una bolsa de palabras. Definí desde el inicio el equipo, la etapa del proceso, la condición de operación y el contexto: arranque, parada, limpieza, carga, descarga, intervención o mantenimiento. Ese marco evita mezclar escenarios que luego compiten por la misma barrera.

Paso 2: escribí el peligro, no el daño

El peligro es la fuente de energía, sustancia o condición capaz de producir un evento no deseado. No escribas "quemadura", "intoxicación" o "explosión" como punto de partida. Esos son daños o consecuencias. En cambio, pensá en hidrocarburo a presión, amoníaco en circuito cerrado, energía mecánica no aislada, temperatura fuera de control o atmósfera inflamable. Ese cambio de lenguaje ya ordena el pensamiento.

Paso 3: definí el punto de pérdida de control

Acá aparece el evento top. La pregunta no es qué lesión ocurre, sino cuándo el sistema deja de controlar el peligro. En un tanque, puede ser el nivel que supera la capacidad de contención. En un reactor, puede ser el desvío de temperatura o presión fuera del rango seguro. En una maniobra de aislamiento, puede ser la apertura o energización inesperada. El evento top debe describir ese quiebre, no la catástrofe final.

Paso 4: probalo con el criterio de observabilidad

Si no podés observarlo, inferirlo con instrumentos o reconocerlo operacionalmente, probablemente lo definiste mal. El evento top tiene que ser reconocible por el turno. No significa que el operador lo vea con los ojos, pero sí que pueda decir: "acá perdimos el control". Esa observabilidad es clave para que el BowTie sirva en entrenamiento, respuesta y verificación en campo.

Paso 5: separá causas, barreras y consecuencias

Una forma simple de detectar errores es leer la frase y preguntar si contiene causa, barrera o consecuencia. Si el texto dice "falla de válvula", estás en amenaza o causa. Si dice "se produce incendio", estás en consecuencia. Si dice "alarma alta-alta y paro automático", estás en barrera. El evento top no debería confundirse con ninguna de esas tres cosas. Debe ser el estado intermedio de pérdida de control.

Paso 6: validá con quienes operan el sistema

Este paso no se delega. El HSE puede facilitar, pero la operación y la supervisión son las que te dicen si el evento top existe en la práctica. Llevá el candidato al terreno, mostralo en una reunión de turno o en un walkdown, y preguntá si ese enunciado refleja el momento en que ellos toman acción. Si no lo reconocen, hay que reformularlo.

Si querés una regla práctica, usá esta fórmula provisional: hazard + condición de pérdida de control + contexto operativo. Luego la afinás con operación y supervisión. Esa combinación evita el clásico error de quedarse con palabras grandilocuentes que nadie sabe aterrizar.

Análisis profundo con casos: cómo se corrige el evento top en campo

Veamos dos escenarios reales y útiles para HSE y supervisores. No me interesa solo contarte qué pasó; me interesa mostrarte cómo cambia el análisis cuando el evento top se define con criterio operativo, y qué efectos tiene sobre barreras, procedimientos y consistencia entre BowTies.

Caso 1: terminal de combustibles y sobrellenado de tanque

Situación: en una terminal con 12 tanques, el equipo de HSE había construido varios BowTies para transferencias de gasolina y diésel. El evento top aparecía escrito como "derrame de combustible" o "fuga de hidrocarburo". A simple vista sonaba razonable, pero cuando se revisó con supervisores de turno surgió la primera alerta: nadie podía decidir si el escenario empezaba con un sobrellenado, una rotura de manguera, una brida aflojada o un desborde por error de secuencia.

Problema: el top event estaba redactado como consecuencia. Eso hacía que las barreras preventivas se mezclaran con medidas de mitigación. La alarma de alto nivel, el paro de transferencia y el procedimiento de alineación aparecían en la misma columna que la respuesta a emergencias. El BowTie ya no permitía diferenciar qué evitaba la pérdida de contención y qué actuaba después del evento.

Consecuencia: en 6 meses se registraron 3 desviaciones relacionadas con nivel alto y 2 alarmas fuera de servicio por pruebas vencidas. El equipo rediseñó el escenario y el evento top quedó como "el tanque pierde control de nivel y entra en sobrellenado durante la transferencia". A partir de ahí, la lógica cambió: la alarma alta-alta y el paro automático quedaron como barreras preventivas, mientras que los diques, drenajes controlados y respuesta a derrames pasaron a la parte mitigadora.

Lección: en instalaciones de almacenamiento, el evento top no es el derrame. El derrame es una consecuencia. El evento top es el instante en que el sistema deja de contener el inventario. Esa precisión permitió al supervisor entender cuándo intervenir, al HSE auditar la criticidad y al dueño del proceso priorizar pruebas de integridad y mantenimiento de instrumentos.

Caso 2: arranque de unidad de refinería y pérdida de control en la secuencia

Situación: en otra revisión, el equipo analizaba un arranque de unidad con riesgo de liberación de hidrocarburos. El BowTie original escribía el evento top como "explosión" o "incendio". Eso era útil para impresionar en una presentación, pero inútil para el turno. Si el evento top es la explosión, llegaste demasiado tarde. No había forma de ubicar barreras de control operacional ni de discutir el punto de transición entre operación normal y condición peligrosa.

Problema: el análisis no distinguía entre pérdida de control y consecuencia extrema. En la práctica, los supervisores necesitaban responder a una condición previa: acumulación de líquido en una sección no diseñada para recibirlo, aumento de presión fuera del envelope de diseño y desalineación de válvulas en el arranque. La consecuencia final podía ser una liberación masiva, pero el BowTie debía capturar el momento previo.

Consecuencia: el caso recuerda a Texas City, donde la investigación de la CSB reportó 15 muertos y 180 heridos. No fue un accidente que apareció de la nada: fue una secuencia de control perdido, barreras débiles y decisiones operativas sin un punto top bien estructurado. Cuando el BowTie se reformuló, el evento top quedó como "el sistema de arranque pierde el control de inventario y presión dentro de la unidad". Ese enunciado permitió ubicar alarmas, interlocks, supervisión de secuencia y verificación de instrumentos.

Lección: si tu evento top ya contiene la palabra "explosión", probablemente estás analizando el final de la historia. En refinería, petroquímica o química, el valor del BowTie está en capturar el umbral operativo donde una desviación todavía se puede recuperar. Ahí es donde HSE, supervisión y operación pueden hacer gestión real del riesgo.

Estos casos muestran algo importante: la calidad del BowTie no se mide por la estética del diagrama, sino por la capacidad de ayudar a decidir. Cuando el evento top está bien definido, la conversación cambia de "qué salió mal" a "en qué punto del sistema perdimos el control y qué barreras lo habrían evitado".

Diagnóstico rápido: señales de alerta y autoevaluación

Antes de avanzar, revisá si tu organización está cayendo en alguno de estos síntomas. No son detalles menores; son indicadores de que el método está fallando y que los BowTies están perdiendo consistencia entre áreas o turnos.

• Usan la misma palabra para evento top, causa y consecuencia.
• Dos supervisores distintos describen el mismo escenario con top events diferentes.
• El evento top cambia según quién lidera el taller.
• Las barreras preventivas aparecen mezcladas con las mitigadoras.
• El equipo discute más el formato que el punto real de pérdida de control.
• El BowTie no puede relacionarse con alarmas, interlocks, permisos o acciones de campo.
• Los operadores dicen que el escenario "suena lógico" pero no lo reconocen como algo que vean en turno.
• Hay demasiados BowTies con nombres distintos para el mismo modo de pérdida de contención.

Ahora hacete estas preguntas según tu rol. Si sos HSE, preguntate si el criterio que estás usando se puede replicar entre equipos y plantas. Si sos supervisor, preguntate si la gente de turno sabría reconocer el momento exacto del evento top. Si sos dueño del proceso, preguntate si la definición actual te permite decidir inversiones, prioridades de inspección y nivel de disciplina operacional.

• ¿Puedo explicar el evento top sin usar consecuencias finales?
• ¿El enunciado permite ubicar barreras antes y después del quiebre?
• ¿Operación y mantenimiento lo entienden igual?
• ¿Lo puedo auditar con evidencia de campo?
• ¿Lo puedo usar para entrenar a un turno nuevo sin entrar en ambigüedades?
• ¿Es consistente con API 754, PSM y la lógica de barreras de CCPS?

Si respondés "no" a dos o más de esas preguntas, no sigas dibujando. Frená, revisá y validá. Un BowTie mal definido no se arregla con más flechas; se corrige con mejor criterio de método.

Solución / metodología: cómo documentar y estandarizar el evento top

Acá es donde convertimos el criterio en herramienta. Si querés que el método sobreviva a la rotación de personas, al cambio de turno y a la presión de los proyectos, necesitás un formato común. No alcanza con que un facilitador sea bueno; el sistema tiene que quedar documentado para que cualquiera pueda revisarlo y mantenerlo.

Te propongo una secuencia de trabajo de siete pasos que funciona bien en plantas industriales, terminales, servicios auxiliares y escenarios de mantenimiento crítico.

1. Prepará una ficha de escenario única

Para cada BowTie, definí activo, etapa operativa, peligro principal, evento top candidato, consecuencias relevantes, barreras preventivas y mitigadoras, y responsables de validación. Evitá que distintos talleres inventen su propia nomenclatura. Una ficha única te da trazabilidad entre escenarios parecidos.

2. Usá un filtro de exclusión

Tomá cada candidato y preguntá: ¿es causa, barrera o consecuencia? Si la respuesta es sí, descartalo como evento top. Esta técnica simple evita discusiones circulares. Por ejemplo, "falla de bomba" es una amenaza; "paro de emergencia" es una barrera; "incendio" es una consecuencia. El evento top se queda en el medio: la pérdida de control del sistema.

3. Validá con operación, supervisión y dueño del proceso

La definición no se cierra en una reunión de oficina. Hacé una revisión corta en campo o en reunión de turno. Preguntá a los supervisores si el evento top coincide con la condición que ellos consideran crítica. Preguntá a los operadores qué verían primero y qué acción tomarían. Preguntá al dueño del proceso si la definición soporta decisiones de mantenimiento, instrumentación y entrenamiento.

4. Alineá el evento top con las barreras

Una vez validado, revisá si las barreras preventivas se ubican antes del top event y las mitigadoras después. Si una barrera aparece en el lugar equivocado, probablemente el evento está mal escrito. Esta verificación es esencial para que el BowTie no termine mezclando filosofía de control con respuesta a emergencias.

5. Documentá la decisión y la razón de descarte

No guardes solo el nombre final. Guardá también las alternativas descartadas y por qué se descartaron. Eso reduce retrabajo, ayuda a auditar la consistencia entre BowTies y hace visible el criterio. Cuando otro equipo replique el análisis, va a entender por qué se eligió ese top event y no otro.

6. Estandarizá la nomenclatura

Definí una regla de nombres: verbo en presente, referencia al estado de pérdida de control y contexto operativo. Evitá frases largas, interpretativas o cargadas de consecuencias. Por ejemplo, en vez de "incendio por fuga de gasolina", preferí "el tanque pierde contención por sobrellenado". Esa estructura hace más fácil comparar escenarios y entrenar a nuevos supervisores.

7. Revisión periódica y control de cambios

Si cambia el proceso, la instrumentación, el layout o la lógica operativa, revisá el BowTie. La definición del evento top no es un documento congelado; es una decisión de riesgo que debe convivir con el MOC, las investigaciones de incidentes y el cierre de desvíos. Lo que hoy parece correcto puede quedar obsoleto después de una modificación de planta.

Quick wins: usá una plantilla común para todos los BowTies, agregá una sección obligatoria de "razón de descarte", y hacé una revisión cruzada con un supervisor que no haya participado del taller. Esas tres prácticas reducen mucho el sesgo del facilitador y mejoran la consistencia entre plantas o unidades.

Cambios estructurales: incorporá la validación del evento top como hito formal de MOC, exigí que toda actualización de BowTie tenga revisión de operación, y conectá el resultado con entrenamiento de supervisores y operadores. Si no lo institucionalizás, cada facilitador volverá a inventar su propio criterio.

Aplicación práctica en el día a día de HSE y supervisores

En la práctica, esto se baja mejor en rutinas cortas que en talleres eternos. Un supervisor no necesita un documento de 40 páginas para validar un evento top; necesita una herramienta clara para decidir rápido y bien. El equipo HSE tampoco necesita más complejidad; necesita consistencia, trazabilidad y uso real.

Una forma efectiva de trabajar es hacer un bowtie huddle de 15 minutos con tres preguntas: ¿qué pérdida de control estamos describiendo?, ¿qué barreras quedan antes del evento top?, ¿quién valida que esto es lo que realmente ocurre en campo? En paralelo, incorporá el tema a los recorridos de supervisión, a los permisos de trabajo y a las reuniones de arranque de turno.

Otra herramienta útil es una tarjeta de bolsillo o ficha digital con el filtro de validación. Cuando el equipo esté discutiendo un escenario, la tarjeta les recuerda que no deben escribir causas, consecuencias ni barreras como evento top. Eso baja muchísimo la variabilidad entre facilitadores. Si además lo vinculás a los indicadores de API 754, te queda un sistema más alineado con pérdidas de contención y eventos críticos.

En plantas con múltiples BowTies similares, hacé una revisión comparativa mensual. Por ejemplo, compará todos los eventos top asociados a transferencia de líquidos, a operación en presión o a mantenimiento con energía peligrosa. Si encontrás nombres distintos para el mismo punto de pérdida de control, no lo dejes pasar. La estandarización no es un capricho; es una defensa operacional.

Y no subestimes el rol del operario experimentado. Muchas veces el mejor detector de un top event mal escrito es el turno que te dice: "eso no pasa así" o "ese no es el punto en el que hacemos algo". Escuchalo. La disciplina operativa se construye con esa fricción sana entre el papel y la realidad.

FAQ

¿Cómo sé si el evento top quedó demasiado genérico?

Si el mismo enunciado sirve para tres escenarios distintos, seguramente quedó demasiado amplio. Un evento top genérico no ayuda a ubicar barreras ni a entrenar a la operación. Lo ideal es que describa un punto de pérdida de control específico, con un contexto operativo definido. Si al leerlo no podés imaginar la secuencia real de planta, todavía falta precisión.

¿Puedo usar la consecuencia como evento top si es la palabra que más entiende la gente?

No conviene. Puede ser tentador porque suena claro, pero mezcla categorías y te rompe la lógica del BowTie. La consecuencia final se ubica a la derecha del diagrama, después del evento top. Si querés que el equipo entienda, usá lenguaje operativo, no lenguaje de daño final. La claridad no depende de simplificar demasiado, sino de nombrar bien.

¿Quién debería aprobar la definición final del evento top?

Idealmente, HSE facilita el método, supervisión valida la realidad operativa y el dueño del proceso aprueba el criterio técnico. Si el escenario involucra mantenimiento, instrumentación o contratistas, también conviene incorporar esas voces. Cuanta más gente participe, mejor; pero la decisión debe quedar clara y documentada, no diluida en consenso ambiguo.

¿Es normal que un BowTie cambie el evento top después de la primera revisión?

Sí, es normal y hasta deseable. El primer borrador suele salir más cerca de una hipótesis que de una definición robusta. Lo importante es que el cambio quede trazado y tenga una razón técnica. Si el evento top cambia porque apareció nueva información de campo o una mejor comprensión del riesgo, eso no es falla: es maduración metodológica.

¿Cómo lo alineo con API 754 y la gestión de incidentes?

Usá el evento top para conectarlo con la lógica de pérdida de contención y con los eventos de proceso que después vas a clasificar en API 754. Si la definición está bien hecha, te va a ayudar a separar el estado peligroso de la consecuencia registrable. Eso mejora la lectura de tendencias, la priorización de acciones y la coherencia entre análisis preventivo e investigación de desvíos.

¿Qué hago si operación y HSE no se ponen de acuerdo?

No fuerces un cierre rápido. Hacé un walkdown, revisá el escenario en terreno y volvés a las preguntas guía: qué se perdió, cuándo se perdió, cómo se reconoce y qué barrera lo habría detenido. Muchas discrepancias no son de opinión, sino de lenguaje. Cuando miran el mismo equipo desde funciones distintas, necesitan una forma común de describir la pérdida de control.

¿Sirve este método para BowTies complejos?

Sí, pero en escenarios complejos suele hacer falta un paso adicional: separar subeventos o escenarios hermanos. Primero cerrás el evento top básico con este método y después revisás si hay solapamientos, múltiples modos de falla o consecuencias encadenadas. Ahí es donde entra el siguiente nivel de la serie y se vuelve útil una mirada más avanzada sobre consistencia y jerarquización.

Cierre: del criterio al sistema

Identificar bien el evento top no es una fineza de ingeniería; es una decisión de gestión. Cuando lo definís mal, todo el sistema hereda el error: barreras mal ubicadas, entrenamiento confuso, indicadores inconsistentes y supervisores que no saben exactamente en qué punto intervenir. Cuando lo definís bien, en cambio, el BowTie se convierte en una herramienta útil para decidir, priorizar y auditar.

La metodología que viste acá te permite bajar la teoría a un método repetible: secuencia de pasos, preguntas guía, validación con operación, checklist de revisión y formato de documentación. Ese es el terreno donde HSE y supervisión pueden trabajar juntos sin depender de intuiciones individuales. Y si querés que la organización hable el mismo idioma entre áreas, este paso es ineludible.

Si ahora querés repasar la base y asegurarte de no caer en errores obvios, volvés a cómo definir correctamente el evento top en BowTie sin errores. Y si tu desafío ya no es el básico sino el de escenarios que se superponen, cambian de contexto o mezclan barreras, seguí con errores complejos al definir el evento top y cómo evitarlos. Ahí vas a encontrar el puente natural hacia el siguiente nivel de la serie.

En la práctica, el mejor BowTie no es el más prolijo. Es el que le permite al supervisor tomar una mejor decisión en menos tiempo y al HSE mostrar, con trazabilidad, que la organización realmente entiende dónde pierde el control. Ese es el objetivo.