Implementación BowTie vs matriz de riesgos en planta: cómo traducir la estrategia a campo

La implementación BowTie vs matriz de riesgos en planta no se resuelve con una discusión teórica ni con una matriz más bonita en Excel. Se resuelve cuando el supervisor, el jefe de turno y el coordinador HSE convierten una decisión corporativa en controles visibles, auditables y sostenibles durante el turno. Si eso no ocurre, la herramienta elegida termina siendo un lenguaje de oficina que no cambia nada en la barrera que debía proteger a la persona, al equipo o al proceso.

El problema es simple y duro: muchas plantas usan la matriz para todo, incluso para riesgos de proceso que requieren seguimiento de barreras críticas, y luego ponen un BowTie en una carpeta que nadie abre. Eso crea una falsa sensación de control. En incidentes como Texas City 2005, la organización tenía procedimientos, checklists y documentos; aun así, una secuencia de arranque mal contenida terminó en 15 muertes y más de 180 heridos, con pérdidas superiores a US$ 1.5 mil millones. El problema no fue la ausencia de papeles, sino la falla de barreras que nadie estaba verificando de forma disciplinada.

Si hoy sos supervisor, superintendente, jefe de turno o coordinador HSE, este tema importa porque tu trabajo no es elegir entre herramientas por moda. Tu trabajo es decidir cuál te ayuda a priorizar, cuál te obliga a verificar y cuál te permite cerrar brechas en campo. Y eso exige criterio operativo, no solo conocimiento metodológico. En otras palabras: la matriz te ordena el universo de tareas; BowTie te obliga a comprobar si las barreras críticas siguen vivas.

Si querés ver el criterio de alto nivel antes de bajar a la rutina de turno, te conviene leer también BowTie vs matriz de riesgos: decisión estratégica para líderes. Y si necesitás la versión de ejecución para la primera línea, más aterrizada a tareas y conducta operacional, está la guía práctica para operadores. Este artículo está en el medio: toma la decisión de liderazgo y la convierte en rutina de supervisión.

Idea clave: la matriz sirve para priorizar qué mirar; BowTie sirve para comprobar si lo que debía protegerte sigue funcionando en el turno real.

Implementación BowTie vs matriz de riesgos en planta: marco técnico para supervisión

Desde la perspectiva del mando medio, la comparación no es conceptual sino operacional. La matriz de riesgos ayuda a ordenar trabajos, desvíos y acciones correctivas por severidad y probabilidad. Es útil para priorizar tareas, planificar recursos y decidir qué desviación necesita escalamiento. BowTie, en cambio, estructura un escenario de pérdida y muestra de manera visual qué amenazas pueden llegar al evento central, qué barreras preventivas y mitigadoras existen, y cuáles están degradadas o ausentes.

En una planta, ambas herramientas deben convivir. La matriz no desaparece porque exista BowTie. Lo que cambia es el criterio: para trabajos repetitivos, exposiciones conocidas y desvíos de baja complejidad operativa, la matriz suele ser suficiente. Para escenarios de proceso, energías peligrosas, liberación de sustancias, pérdida de contención, sobrepresión, incendio, explosión o impacto mayor, BowTie aporta el nivel de detalle que un supervisor necesita para verificar barreras críticas y no solo clasificar el riesgo con un número.

Esto está alineado con varios marcos reconocidos. OSHA PSM 1910.119 exige disciplina sobre procedimientos operativos, permisos, gestión del cambio, integridad mecánica y capacitación. ISO 45001 pide control operacional y participación de trabajadores. IEC 61511 obliga a tratar con rigor la función instrumentada de seguridad, sus pruebas y su disponibilidad. Y API 754 te recuerda que los eventos de proceso se gestionan con indicadores líderes y rezagados, no solo contando accidentes al final. CCPS, además, insiste en que las barreras se gestionan como sistema, no como lista decorativa.

Para un supervisor, eso se traduce en preguntas concretas: ¿qué barrera depende de un instrumento, de una persona, de un procedimiento o de una condición física? ¿Quién la revisa? ¿Con qué frecuencia? ¿Qué evidencia deja? ¿Qué hago si una barrera está degradada antes de ejecutar el trabajo? Si no podés responder esas preguntas, la herramienta no está aterrizada en la operación.

La diferencia práctica es esta: la matriz te dice si una tarea entra en la lista roja; BowTie te dice qué puede fallar si esa tarea toca una barrera crítica y cómo te das cuenta a tiempo. Esa distinción es la que evita que el supervisor trate igual una limpieza rutinaria que un aislamiento, una carga de tanque o una intervención en un equipo presurizado.

Casos reales: cuando la herramienta elegida cambia el resultado

Caso 1: Texas City, arranque de unidad y supervisión de barreras

En Texas City, 2005, el arranque de una unidad de isomerización después de una parada de mantenimiento terminó en una liberación de hidrocarburos que derivó en explosión e incendio. El evento dejó 15 personas fallecidas, más de 180 lesionadas y un impacto económico superior a US$ 1.5 mil millones. Para una mirada de supervisor, el asunto no fue solamente técnico; fue una cadena de verificaciones débiles, señales ignoradas y barreras operativas que no estaban siendo chequeadas con la disciplina necesaria.

La situación tenía ingredientes típicos de planta: arranque, personal expuesto, actividad simultánea, lineamientos de operación y presión por producir. Una matriz de riesgos podía catalogar el trabajo como alto o muy alto, pero esa clasificación no bastaba para responder preguntas críticas: ¿el indicador de nivel estaba confiable? ¿la alarma se entendía? ¿el procedimiento de arranque reflejaba la realidad del equipo? ¿había personas ubicadas en zona de impacto durante el evento? En otras palabras, faltaba una lectura de barreras.

La consecuencia fue devastadora y ampliamente documentada. Lo importante para vos, como mando medio, es la lección operacional: cuando el riesgo está asociado a pérdida de contención o a una secuencia de proceso compleja, el BowTie no reemplaza la matriz, pero sí te obliga a verificar barreras antes de liberar el trabajo. Eso incluye checklist de arranque, pre-uso de instrumentos críticos, prueba de alarmas, verificación de condiciones de energía, control de accesos y confirmación del estado de equipos auxiliares.

Lección: si una tarea puede escalar a evento mayor, la pregunta correcta no es solo qué tan alto está el riesgo, sino qué barreras concretas lo están conteniendo hoy y quién lo verifica en turno. Eso se convierte en práctica cuando el supervisor usa BowTie para revisar la secuencia, y la matriz para decidir qué actividades entran en la prioridad del día.

Caso 2: Buncefield y la importancia de detectar degradación antes del evento

En Buncefield, Reino Unido, 2005, un sobrellenado de tanque derivó en una enorme nube de vapor e incendio. No hubo muertes, pero sí 43 personas heridas y daños superiores a £1 mil millones. Para quien supervisa operaciones de almacenamiento, recepción o transferencia, este caso es incómodo porque demuestra algo que muchas plantas subestiman: un evento grave puede nacer de una cadena simple, visible y prevenible, siempre que las barreras sean observadas antes de que fallen.

Una matriz de riesgos bien aplicada probablemente habría ubicado la operación de transferencia como de criticidad alta. Pero el problema real estaba en la salud de las barreras: protección contra sobrellenado, alarmas de nivel, respuesta del operador, verificación durante transferencia, control de alarmas y confiabilidad del sistema de medición. Si el supervisor no revisa esas barreras en campo, la matriz solo está diciendo que el riesgo es alto; no está diciendo qué control puede estar a punto de fallar.

La lección para jefes de turno y coordinadores HSE es muy concreta. En actividades repetitivas, como bombeo, carga, descarga, trasvase o alineamiento de líneas, la matriz te ayuda a decidir cuándo aplicar un control adicional. Pero BowTie te muestra qué barrera preventiva debe estar activa para no depender únicamente de la atención humana. Y en una planta real, eso significa revisar niveles, redundancias, alarmas audibles y visuales, rondas, comunicación entre sala y campo, y gestión de desviaciones en tiempo real.

Una de las trampas más comunes es pensar que un procedimiento bien escrito equivale a una barrera saludable. No es así. Un procedimiento es una barrera administrativa, pero si nadie lo ejecuta con precisión, si las condiciones cambian o si el equipo no está entrenado, la barrera no existe en la práctica. Ahí es donde el mando medio deja de ser un transmisor de instrucciones y pasa a ser un verificador de desempeño real.

Lección: la frecuencia de una tarea no la vuelve menos peligrosa. Al contrario, la exposición repetida puede normalizar el desvío. Por eso, para operaciones repetitivas, la matriz prioriza; para barreras críticas, BowTie obliga a mirar salud, degradación y recuperación.

Qué hacen distinto los supervisores que controlan mejor

Los supervisores que reducen sorpresas no se limitan a pedir firmas. Ellos miran si la barrera existe físicamente, si funciona y si la gente sabe usarla. En una revisión de permiso de trabajo, por ejemplo, no alcanza con verificar que la tarea esté clasificada como de alto riesgo. Hay que confirmar si el aislamiento está hecho, si el punto de bloqueo corresponde, si la energía residual fue descargada, si el gas test está vigente y si el equipo de ejecución entendió el escenario central del BowTie.

En vez de preguntar solamente si el trabajo está autorizado, preguntan: ¿qué puede salir mal aquí? ¿qué barrera evita la liberación? ¿qué barrera me protege si la preventiva falla? Esa secuencia mental, repetida turno tras turno, es la diferencia entre una supervisión administrativa y una supervisión de control operativo.

Diagnóstico rápido: señales de alerta en mando medio

Si en tu planta la matriz se usa para todo, incluyendo eventos de proceso de alta criticidad, ya tenés una señal de alerta. Si BowTie existe, pero nadie lo usa en charlas preoperacionales, permisos o recorridas, también. Y si el seguimiento de acciones se concentra en fecha de cierre, pero no en la eficacia de la barrera, el sistema está midiendo movimiento, no protección.

Otras señales son igual de claras. La primera línea no distingue entre riesgo de tarea y riesgo de proceso. Los permisos se revisan como un trámite, no como una verificación de barreras. Las observaciones en campo detectan comportamientos, pero no degradación de controles. Los indicadores de seguridad se limitan a incidentes personales y casi no miran pérdida de contención, fallas de barrera o desvíos en protecciones críticas. Cuando eso pasa, la gestión está ciega ante el riesgo mayor.

• Se aplica la misma matriz a trabajos rutinarios y a escenarios de proceso complejos.
• El BowTie está impreso, pero no integrado a permisos, rondas ni charlas de turno.
• Las acciones correctivas cierran en fecha, pero nadie verifica si la barrera quedó sana.
• Los supervisores corrigen el acto inseguro, pero no revisan el sistema que lo hizo probable.
• Se miden observaciones de comportamiento, pero no condiciones críticas de proceso.
• Los desvíos repetidos se normalizan porque no se clasifican por impacto real.

Preguntas de autoevaluación para supervisores, jefes de turno y coordinadores HSE: ¿podés explicar en menos de dos minutos cuál es la barrera crítica del trabajo de hoy? ¿la gente que ejecuta el trabajo entiende qué evento central se está evitando? ¿el permiso de trabajo cambia si una barrera está degradada? ¿la matriz de riesgos te ayuda a priorizar o te está ocultando el escenario? ¿la verificación en campo confirma controles físicos o solo papeles? Si una de esas respuestas es no, todavía hay una brecha de implementación.

Solución práctica: cómo integrar BowTie y matriz en la rutina del turno

La implementación correcta no consiste en reemplazar una herramienta por la otra. Consiste en usar cada una donde agrega valor. La matriz prioriza; BowTie estructura y verifica. Cuando ambas viven en el mismo sistema de gestión, la planta gana velocidad de decisión sin perder profundidad técnica. Eso es especialmente útil en plantas con múltiples frentes de trabajo, contratistas, mantenimiento simultáneo y riesgo de proceso elevado.

El primer paso es definir criterios de uso. No todo trabajo necesita BowTie completo, y tratar de hacerlo universal mata la adopción. Sí lo necesitan los escenarios con potencial de pérdida mayor, cambio de estado del proceso, intervención en barreras de seguridad, trabajos no rutinarios, arranques, paradas, energización, isolación de líneas, entradas a equipos, trabajos en caliente cerca de hidrocarburos y actividades con salvaguardas instrumentadas. La matriz, en cambio, sirve para ordenar backlog, clasificar desvíos, priorizar acciones y decidir escalamiento.

El segundo paso es llevar BowTie a la conversación del turno. En la charla preoperacional, el supervisor debería decir cuál es el evento central que se quiere evitar, cuáles son las amenazas relevantes, qué barreras deben estar presentes y cómo se detectará una degradación. Eso no tiene que durar media hora. Puede hacerse en cinco minutos si el BowTie está estandarizado y la gente sabe leerlo. El valor no está en la estética del diagrama, sino en la claridad operacional.

El tercer paso es llevar la revisión al campo. Cuando el jefe de turno hace una caminata, no debería limitarse a mirar orden y limpieza. Tiene que verificar las barreras críticas: aislamiento, LOTO, válvulas correctas, estado de detectores, alarmas, tags, enclavamientos, respuesta del operador, accesos y control de energías. Si la barrera es administrativa, hay que ver evidencia de ejecución; si es física, hay que verla y tocarla; si es instrumentada, hay que confirmar prueba o disponibilidad según el plan de mantenimiento.

El cuarto paso es revisar eficacia, no solo cierre. Muchas plantas celebran que una acción se cerró, pero no verifican si realmente eliminó la degradación de la barrera. Un bloqueo corregido puede seguir permitiendo error si el diseño es confuso. Una capacitación entregada puede no haber cambiado desempeño. Un permiso mejorado puede seguir sin ser usado correctamente. Por eso, el cierre debe incluir evidencia de que la barrera volvió a su condición esperada.

El quinto paso es gestionar indicadores de proceso. API 754 es útil porque empuja a mirar eventos tier 1, tier 2, degradaciones y señales tempranas. Si solo estás siguiendo lesiones personales, estás mirando tarde. Si además ves fallas de contención, bypass de alarmas, hallazgos de mantenimiento críticos, violaciones de procedimiento y permisos no conformes, el supervisor puede anticipar degradación antes del incidente mayor.

Quick wins y cambios estructurales

Si tu organización todavía no tiene claro cómo traducir este enfoque a sus equipos, un BowTie paso a paso para HSE y supervisores puede ayudar a estandarizar la lógica. Y si necesitás acelerar la madurez del equipo, un trabajo de competencia operacional en supervisión suele ser más efectivo que otra ronda de capacitación genérica.

Aplicación práctica en el día a día de supervisión

En la rutina real, la clave es no cargar de complejidad a la operación. El supervisor no necesita convertir cada tarea en una tesis. Necesita una forma simple de decidir. Si es una tarea frecuente, de bajo potencial de pérdida mayor y bien controlada, la matriz puede bastar para priorizar y seguir. Si toca un escenario de proceso, una barrera crítica o una condición cambiante, BowTie debe aparecer en la conversación.

En la reunión de arranque del turno, podés usar tres preguntas: ¿qué trabajo puede cambiar el estado del proceso? ¿qué barrera no podemos permitir que falle? ¿qué haríamos si la barrera está degradada hoy? Esas tres preguntas filtran mejor que una lista larga de riesgos genéricos. Además, conectan con la operación de primera línea sin volver la charla una clase teórica.

En la caminata de campo, el supervisor debería llevar una versión corta del BowTie del trabajo crítico, idealmente en formato digital o laminado. No para mostrárselo a todos como si fuera un póster, sino para contrastar el modelo con la realidad. Si el BowTie dice que la barrera es un enclavamiento, verificá su estado. Si dice que la barrera es una prueba antes de arrancar, confirmá que se ejecutó. Si dice que la barrera es una acción humana, mirá si la persona está realmente preparada y no solo presente.

En permisos de trabajo, la decisión correcta es la que cambia el comportamiento en terreno. Un permiso bien hecho debe hacer visible el peligro, identificar la barrera que sostiene el control y definir qué condición suspende el trabajo. Si el permiso no tiene ese nivel de claridad, entonces es un formulario administrativo y no un control operacional. Ahí el mando medio tiene que intervenir, no para castigar, sino para elevar el estándar de ejecución.

En el seguimiento de brechas, el criterio es igual de importante. Si la matriz dice que el cierre de una acción puede esperar, pero BowTie muestra que la barrera crítica está degradada, el supervisor no debería seguir la misma lógica de prioridad. El riesgo de proceso manda. Esa es una de las diferencias más útiles para tu rol: la matriz organiza el backlog; BowTie determina qué no puede esperar.

También conviene integrar aprendizaje de eventos menores y casi incidentes. Muchas veces el primer aviso de degradación no llega como accidente, sino como bypass recurrente, alarma molestosa, observación de campo, ajuste temporal o incumplimiento parcial de procedimiento. Si esos datos se analizan solo como desviaciones menores, se pierde el patrón. Si se leen con la lógica de barreras, se ve la evolución hacia el evento mayor.

En paralelo, el supervisor debe coordinar con mantenimiento y HSE para que las barreras instrumentadas, mecánicas y humanas tengan dueño. La barrera que no tiene responsable definido termina siendo responsabilidad de todos y, por lo tanto, de nadie. El BowTie ayuda a repartir ese ownership, mientras la matriz ayuda a decidir qué accionás primero cuando todo parece urgente.

Cómo evitar que BowTie se convierta en un documento más

El error más común es imprimir BowTies sin integrarlos a la conversación operacional. Eso produce una falsa sofisticación. La planta cree que subió de nivel porque tiene diagramas, pero en campo nadie puede decir cuál es el evento central, qué amenaza domina o qué barrera debe verificarse hoy. Si eso pasa, el problema no es la herramienta; es la implementación.

Para que funcione, BowTie tiene que aparecer en tres lugares: en la planificación, en el permiso y en la verificación. Si no está en esos tres espacios, va a vivir en la biblioteca del sistema. La matriz, por su parte, tiene que convivir con la gestión de backlog y con el seguimiento de acciones. Si la usás como único lenguaje, vas a priorizar, pero no necesariamente a controlar.

Este enfoque también mejora la relación entre HSE y Operaciones. HSE deja de ser el dueño del formato y se convierte en facilitador de una disciplina común. Operaciones deja de sentir que la gestión del riesgo es una carga externa y empieza a verla como parte del control del trabajo. Cuando eso sucede, la conversación deja de ser quién falló y pasa a ser qué barrera se degradó y cómo la recuperamos.

Si querés profundizar en cómo se ve eso en la primera línea, la guía práctica para operadores muestra cómo traducir el riesgo a decisiones de piso. Y si tu foco es la salud de las barreras en supervisión real, también te puede servir verificación de barreras BowTie en supervisión real, porque ahí la teoría baja a criterios de chequeo y evidencia.

Cierre: la decisión no es de herramienta, es de disciplina

La diferencia entre una planta que gestiona riesgo y una planta que solo documenta riesgo está en la disciplina de ejecución. La matriz te ayuda a decidir dónde poner atención. BowTie te obliga a comprobar si la protección sigue funcionando. El mando medio es quien conecta ambas cosas con el turno, el permiso, la observación en campo y el cierre de brechas.

Si tu organización todavía debate BowTie vs matriz de riesgos como si fueran rivales, la discusión está mal planteada. No compiten; se complementan. Lo que cambia es el uso. Para liderazgo, la prioridad es la gobernanza y la trazabilidad, como vimos en el artículo de decisión estratégica para líderes. Para operación, la prioridad es la ejecución disciplinada. Y entre ambos extremos estás vos, traduciendo intención en control visible.

Si querés avanzar de forma ordenada, una ruta razonable es empezar con un diagnóstico de madurez, seleccionar unos pocos escenarios críticos, entrenar a supervisores y líderes de turno, y después integrar BowTie a permisos, charlas y recorridas. Si necesitás una forma estructurada de medir dónde está tu planta hoy, un diagnóstico digital puede darte ese mapa sin adivinar. Y si te falta acompañamiento para bajar el modelo a rutina real, la mentoría o el curso BowTie pueden acelerar mucho la curva.

El punto de fondo es este: una planta no se vuelve más segura por tener más herramientas. Se vuelve más segura cuando cada herramienta se usa en el lugar correcto, por la persona correcta y con evidencia correcta. Ahí es donde supervisión, HSE y operaciones dejan de discutir formatos y empiezan a gestionar barreras, que es donde realmente se gana o se pierde la seguridad de procesos.