Metodología BowTie para equipos de investigación de accidentes

La metodología BowTie para equipos de investigación de accidentes no sirve para decorar informes: sirve para reconstruir qué pasó, por qué fallaron las barreras y qué hay que cambiar en campo. Si tu investigación termina en una narrativa de error humano, un árbol de causas o una lista de acciones genéricas, probablemente perdiste la oportunidad de convertir un evento en aprendizaje operativo.

En Texas City, 15 personas murieron y 180 resultaron heridas durante el arranque de una unidad de refinación en 2005. En Buncefield, el sobrellenado de un tanque de combustibles derivó en una explosión que dejó 43 heridos, una onda expansiva histórica y un costo de recuperación gigantesco. En ambos casos, el problema no fue solo técnico: también fue metodológico. Cuando el equipo investigador no ordena bien la evidencia, no define roles claros y no valida barreras con criterio, termina explicando un sistema complejo como si hubiera sido un simple descuido individual.

Este artículo te muestra cómo pasar del diagnóstico a la acción. Si ya leíste el primer artículo de la serie, investigación de accidentes BowTie para diagnóstico del equipo, acá vas a encontrar el paso a paso para trabajar con disciplina, trazabilidad y foco en barreras. Y si después querés escalar el aprendizaje a estándares, indicadores y madurez organizacional, el tercer artículo de la serie, investigación de accidentes BowTie: lecciones y mejora continua, cierra el ciclo.

La diferencia entre una investigación útil y una investigación que solo cumple el expediente está en el método. HSE y supervisión no necesitan más reportes extensos; necesitan un proceso replicable que convierta datos sueltos en decisiones de control, con evidencia defendible y acciones que realmente bajen el riesgo. Ese es el corazón de BowTie aplicado a la investigación.

Contexto y marco técnico

BowTie es un modelo causal y preventivo que conecta una amenaza con un evento central y sus consecuencias, atravesado por barreras preventivas y barreras de mitigación. En investigación de accidentes, el objetivo no es dibujar un diagrama bonito, sino reconstruir la secuencia real de degradación de controles que permitió que el evento ocurriera o escalara.

Para profesionales HSE y supervisores, esto cambia dos hábitos muy comunes. Primero, dejar de buscar una causa única y empezar a buscar combinaciones de fallas de control. Segundo, dejar de cerrar hallazgos con frases abstractas como "reforzar capacitación" y empezar a traducir cada hallazgo en una barrera, un dueño, un criterio de desempeño y una verificación en campo.

La metodología se apoya en varios marcos reconocidos. OSHA PSM 1910.119 exige investigar incidentes en procesos y corregir hallazgos oportunamente; ISO 45001 pide determinar no conformidades, investigar incidentes y tomar acciones correctivas; API 754 ordena el enfoque en métricas de seguridad de procesos; IEC 61511 ayuda a pensar en la integridad de sistemas instrumentados de seguridad; y CCPS insiste en que la investigación debe capturar factores del sistema, no solo actos inseguros.

La clave práctica es simple: si el incidente puede tener potencial de pérdida mayor, tratá la investigación como un ejercicio de gestión de barreras. Eso significa asegurar trazabilidad de evidencias, identificar degradación de controles, evaluar independencia de barreras, y distinguir entre barreras reales, supuestas o solamente documentadas.

Qué cambia cuando investigás con BowTie

Con un enfoque tradicional, muchas investigaciones se centran en linealidad: evento, causa inmediata, causa raíz y acción. Con BowTie, la lógica cambia a un mapa del sistema de protección. No solo preguntás qué salió mal, sino también qué debía impedirlo y qué debía reducir el impacto si fallaba la prevención.

Eso es especialmente útil para HSE y supervisión porque permite conversar con operaciones en un lenguaje concreto. En vez de discutir si la persona fue o no "culpable", podés revisar si la señalización, el permiso de trabajo, el aislamiento, el LOTO, el sistema de alarma, el procedimiento y la verificación cruzada funcionaron como barreras o quedaron como papeles sin vida.

Principio práctico: si una barrera no puede describirse con dueño, criterio de desempeño, evidencia de funcionamiento y modo de verificación, entonces no está lista para ser considerada una barrera investigable.

Estándares y referencias que conviene tener a mano

Si querés partir de un mapa claro de brechas antes de investigar, el primer paso sigue siendo el diagnóstico del equipo, las competencias y la calidad del análisis. Ese punto de partida lo trabajamos en el artículo de diagnóstico, porque sin esa base la metodología se vuelve una plantilla vacía.

Análisis profundo con casos

BowTie no es teoría de sala de reuniones. Su valor aparece cuando lo aplicás a eventos reales donde el relato inicial parecía simple y, sin embargo, el sistema tenía varias capas rotas. Los dos casos siguientes muestran por qué el método importa para HSE y supervisión.

Caso 1: Texas City, cuando el problema no era un solo operador

Situación. En marzo de 2005, durante el arranque de la unidad raffinate splitter de BP Texas City, se produjo un sobrellenado seguido de liberación de hidrocarburos y explosión. Murieron 15 personas y alrededor de 180 resultaron heridas. El evento ocurrió durante una actividad de arranque, uno de los momentos más vulnerables de cualquier planta porque se combinan presión operativa, equipos en transición y dependencia fuerte de la disciplina de turno.

Problema. Una investigación superficial habría terminado rápidamente en la frase "error del operador". Pero el enfoque BowTie obliga a preguntar qué barreras preventivas existían y cuáles estaban degradadas: medición de nivel, alarmas, procedimientos, capacitación, claridad de autoridad, verificación de instrumentos y control del arranque. Cuando esas barreras no están verificadas, el evento deja de ser un descuido y pasa a ser una falla de sistema.

Consecuencia. La liberación y explosión mostraron que la consecuencia no dependía solo de la acción humana inmediata, sino de una combinación de controles técnicos y organizacionales insuficientes. Además del costo humano, el evento dejó una lección brutal: si el equipo investigador no reconstruye bien la secuencia y no valida el estado real de cada barrera, la organización aprende mal y repite el patrón.

Lección. En investigación de accidentes, el arranque y la parada no se analizan como tareas comunes. Deben tratarse como escenarios de mayor exposición, con foco en escalamiento, supervisión activa y validación de controles críticos. Para HSE y supervisión, eso implica revisar si el procedimiento era ejecutable, si el nivel se monitoreaba de verdad, si las alarmas eran confiables y si alguien tenía el mandato de detener el arranque ante desviaciones.

Caso 2: Buncefield, cuando una barrera era solo un dibujo

Situación. En diciembre de 2005, el terminal de Buncefield en el Reino Unido sufrió un sobrellenado de un tanque de gasolina. El evento generó una nube de vapor que explotó y provocó 43 heridos, daños extensos y una interrupción operativa masiva. El impacto fue tan severo que el sitio quedó como referencia mundial en análisis de barreras y protección contra sobrellenado.

Problema. El BowTie del caso habría mostrado una cadena clara: amenaza de llenado excesivo, evento central de pérdida de contención, barreras esperadas como instrumentación de nivel, alarmas, corte automático, respuesta operativa y contención secundaria. El problema fue que una de las barreras esenciales no cumplió su función y varias defensas alrededor estaban degradadas o no eran independientes entre sí. En otras palabras, la organización pensaba que tenía una barrera robusta, pero no había evidencias suficientes de desempeño confiable.

Consecuencia. La explosión demostró que una barrera que no se prueba, no se mantiene o no se verifica en contexto de operación real es una barrera imaginaria. El costo material fue enorme, pero el costo de aprendizaje también: la investigación tuvo que mirar no solo el instrumento fallado, sino el sistema de gestión que permitía tolerar esa degradación como si fuera normal.

Lección. Para supervisores y HSE, este caso enseña algo incómodo: no alcanza con tener alarmas instaladas o procedimientos aprobados. Hay que demostrar que la barrera funciona en el escenario real, con fatiga, turnos, desvíos y carga operativa. El método BowTie obliga a conectar diseño, operación, pruebas y respuesta, y eso evita que una investigación se quede en la superficie.

Qué tienen en común estos casos

En ambos eventos hubo señales previas, pero la organización no las integró bien. Hubo controles en papel, pero la trazabilidad operativa no alcanzó para demostrar que funcionaban cuando más se los necesitaba. Hubo roles formales, pero el equipo investigador necesitó reconstruir quién sabía qué, quién decidió qué y qué barreras estaban efectivamente disponibles.

Eso es lo que diferencia a una investigación BowTie de una investigación tradicional. No busca decorar con causalidad; busca descubrir la arquitectura real de protección, incluyendo los huecos. Y cuando encontrás los huecos, recién ahí podés definir acciones correctivas que no sean cosméticas.

Una investigación útil no responde solo qué pasó; responde qué control faltó, qué barrera falló, quién debía detectarlo y qué condición del sistema hizo posible el error.

Diagnóstico y autoevaluación

Antes de implementar la metodología, conviene revisar si tu equipo ya tiene algunos síntomas de debilidad metodológica. Estas señales de alerta suelen aparecer en plantas industriales con buena intención, pero con procesos de investigación poco consistentes.

Señales de alerta en la metodología

• Las entrevistas producen versiones distintas y nadie conserva un registro de trazabilidad.
• El informe final habla de causas, pero no muestra el estado real de las barreras.
• Las acciones correctivas son genéricas: "reforzar capacitación", "difundir procedimiento", "sensibilizar al personal".
• No existe un formato único para evidencia, fotos, croquis, cronología o cadena de custodia.
• El top event se confunde con el daño final y eso distorsiona toda la lógica causal.
• Las barreras se enumeran sin dueño, sin criterio de desempeño y sin verificación en campo.
• El equipo investiga rápido para cerrar el expediente, no para entender la degradación del sistema.
• No se registran factores de escalamiento como bypass, fatiga, cambio temporal o mantenimiento diferido.

Preguntas de autoevaluación para HSE y supervisión

• ¿Podés explicar el evento central en una sola frase sin mezclarlo con la consecuencia final?
• ¿Tu equipo puede listar las barreras preventivas y mitigadoras con evidencia de que existían y funcionaban?
• ¿Las entrevistas están fechadas, firmadas o validadas y se puede reconstruir quién aportó cada dato?
• ¿Hay un criterio claro para decidir cuándo un incidente requiere análisis BowTie y no solo un reporte estándar?
• ¿Las acciones correctivas atacan controles críticos o solo corrigen síntomas visibles?
• ¿El supervisor de línea participa como fuente técnica y no solo como aprobador del informe?
• ¿Podés conectar el incidente con los indicadores de seguridad de procesos de API 754 o con los requisitos de PSM?

Si varias respuestas te dejan incómodo, eso es bueno. Quiere decir que todavía hay espacio para mejorar el método antes de que llegue el próximo evento. Y si querés una guía de partida más estratégica, revisá también BowTie para supervisión operativa: mitos y práctica, porque muchas investigaciones fallan en el traspaso del papel al campo.

Solución: metodología BowTie paso a paso

La implementación efectiva no empieza dibujando nodos. Empieza organizando el trabajo, protegiendo la evidencia y definiendo una secuencia de análisis que el equipo pueda repetir. Si querés que la investigación sea robusta, necesitás método, disciplina documental y criterio operativo.

Paso 1: definir mandato, alcance y criterio de activación

Antes de salir a entrevistar, definí por escrito por qué se abre la investigación, cuál es el evento, qué unidades o equipos están dentro del alcance y qué información mínima debe preservarse. Esto evita que el análisis se expanda sin control o que termine respondiendo a la presión política del momento.

El criterio de activación debe ser claro: pérdida de contención, incendio, explosión, exposición seria, activación de SIS, falla de barrera crítica o evento con potencial de escalamiento mayor. En plantas de proceso, no hace falta esperar a la fatalidad para aplicar BowTie. De hecho, cuanto más temprano lo uses, más valor le saca la organización.

Paso 2: armar un equipo pequeño, competente y trazable

El equipo ideal no es el más grande; es el mejor balanceado. Necesitás un líder investigador, un representante de operaciones, alguien de mantenimiento o confiabilidad, un HSE con dominio metodológico y, cuando aplique, un experto en instrumentación o integridad mecánica. Si hay potencial de evento mayor, incorporá a quien entienda el sistema de protección involucrado.

Cada rol debe quedar definido con responsabilidad explícita. El líder coordina y resuelve conflictos de evidencia; operaciones aporta secuencia real y contexto de turno; mantenimiento aporta historial técnico; HSE asegura método, consistencia y trazabilidad; y la supervisión de línea valida qué era ejecutable y qué no en la realidad del trabajo.

Paso 3: recolectar evidencia con una checklist única

La investigación se gana o se pierde en las primeras horas. Tu checklist debería incluir preservación de escena, fotografías con escala, croquis, registros de proceso, alarmas, tendencias, historian, permisos, mantenimiento, capacitación, entrevistas y cronología minuto a minuto. Si no hay trazabilidad, después nadie va a poder defender la conclusión.

Usá una sola plantilla para todo el equipo. Cada evidencia debe tener fecha, hora, fuente, responsable de recolección y ubicación del archivo. Eso evita la clásica situación en la que una foto está en el teléfono de alguien, un registro está en correo y la entrevista quedó en una libreta que nadie más vio.

Paso 4: construir la cronología antes de opinar

Un error común es empezar por la teoría. Primero se ordenan hechos, después se interpretan. La cronología debe mostrar qué pasó antes, durante y después del evento, con marcas de tiempo lo más precisas posible, y con especial atención a las decisiones de turno, alarmas, intervenciones y cambios de estado.

Recién cuando tenés la línea de tiempo podés pasar a identificar amenazas, evento central, consecuencias y barreras. Si saltás ese paso, terminás con hipótesis atractivas pero frágiles. En procesos complejos, la secuencia real siempre es más importante que la versión más cómoda.

Paso 5: dibujar el BowTie de trabajo

Acá no buscás perfección gráfica; buscás claridad causal. Colocá el evento central, las amenazas inmediatas a la izquierda, las consecuencias a la derecha, y luego agregá barreras preventivas y mitigadoras. Si una amenaza tiene más de una ruta, separala. Si una barrera depende de otra, dejalo visible. Si hay factores de escalamiento, no los escondas.

La pregunta guía es: ¿qué tendría que haber ocurrido para que este evento no sucediera, o para que no escale? Esa respuesta debe salir de evidencia, no de intuición. Y si el BowTie revela que varias barreras dependían de la misma persona, del mismo turno o del mismo componente, entonces ya encontraste un punto crítico de fragilidad.

Paso 6: validar barreras con criterios de desempeño

No toda defensa es una barrera. Una barrera debe tener función, integridad, independencia y verificación. Si un procedimiento existe pero nadie lo usa, no es una barrera efectiva. Si una alarma está deshabilitada, no es una barrera. Si una inspección se hizo fuera de frecuencia o sin cierre de hallazgos, la barrera quedó comprometida.

Acá conviene usar una matriz simple: barrera, dueño, frecuencia de prueba, evidencia disponible, condición al momento del evento y observación de desempeño. Para sistemas instrumentados o funciones de seguridad, este paso se apoya muy bien en criterios de IEC 61511. Para controles administrativos y operativos, el estándar práctico es el campo: si no se ve, no existe.

Paso 7: cerrar hallazgos con acciones correctivas útiles

Un hallazgo bien escrito describe la brecha entre lo que debía pasar y lo que pasó realmente, con evidencia. La acción correctiva debe atacar la barrera debilitada, no solo el síntoma visible. Si el problema fue un procedimiento inejecutable, no alcanza con volver a capacitar; hay que rediseñar el procedimiento y validar su uso en campo.

Cuando cierres, no uses una sola acción para todo. Separá acciones inmediatas, correctivas y estructurales. Las primeras estabilizan el riesgo; las segundas reparan la barrera; las terceras cambian el sistema para que el mismo error no vuelva a aparecer.

Quick wins y cambios estructurales

Quick wins: usar una sola plantilla de investigación, un solo repositorio de evidencias, una matriz de barreras por caso y una reunión de alineación dentro de las primeras 24 horas. También ayuda mucho grabar la cronología en un formato visual simple, porque el equipo deja de discutir relatos y empieza a discutir hechos.

Cambios estructurales: crear una taxonomía común de incidentes, definir barreras críticas por proceso, entrenar a supervisores en verificación de barreras, y enlazar la investigación con gestión del cambio, mantenimiento y PSSR. Si tu organización ya trabaja con indicadores API 754, integrarlos al cierre de hallazgos mejora la priorización y evita que todo parezca igual de urgente.

Aplicación práctica en el día a día

Para HSE, la mejor forma de usar esta metodología es convertirla en un estándar de trabajo, no en una excepción heroica. Cada vez que ocurre un evento serio, activá un paquete mínimo: preservación de escena, checklist de evidencia, cronología, matriz de barreras y formato de cierre. Si el evento es menor pero tiene potencial de escalamiento, aplicá el mismo criterio sin esperar a que alguien lo nombre como "mayor".

Para supervisión, el valor está en el campo. Tu rol no es solo contar lo que viste; es validar qué barreras estaban disponibles, qué desviaciones se toleraron y qué señales tempranas hubo antes del evento. Si el supervisor participa desde el inicio, la investigación gana contexto operativo y pierde ambigüedad.

Una práctica útil es hacer una reunión corta de 15 minutos al cierre del turno o al día siguiente para consolidar hechos. Ahí se revisa quién hizo qué, qué instrumentos estaban activos, qué permisos se emitieron y qué cambios hubo. Si usás una herramienta digital, asegurate de que el control de versiones sea estricto; si usás Excel, al menos definí un archivo maestro y un responsable único.

También conviene integrar la investigación con el seguimiento de acciones. Cada acción debe tener dueño, fecha, criterio de cierre y evidencia de efectividad. No cierres por completitud administrativa; cerrá por reducción real de riesgo. Esa diferencia es la que separa una organización reactiva de una que aprende.

FAQ

A continuación, respondo las dudas que más aparecen cuando HSE y supervisores empiezan a usar BowTie de forma operativa en investigación de accidentes.

¿BowTie sirve para cualquier accidente o solo para eventos mayores?

Sirve para ambos, pero su mayor valor aparece cuando el evento tiene potencial de pérdida seria, liberación de energía, exposición a sustancias peligrosas o escalamiento rápido. En accidentes menores también puede usarse de forma simplificada para entender barreras degradadas. La clave es no sobredimensionarlo en eventos triviales ni subutilizarlo en incidentes de alto potencial.

¿Qué hago si la evidencia es incompleta o contradictoria?

No inventes la historia para cerrar rápido. Marcá explícitamente qué está confirmado, qué está en duda y qué falta verificar. Si la evidencia no alcanza, usá la cronología como un documento vivo y registrá supuestos con su nivel de confianza. Eso es más honesto y más útil que una conclusión cerrada pero débil.

¿Cómo diferencio una barrera real de una barrera nominal?

Una barrera real tiene función definida, dueño, frecuencia de prueba, criterio de desempeño y evidencia de efectividad. Una barrera nominal solo aparece en un procedimiento, una matriz o una presentación. Si no podés demostrar su desempeño en el escenario del incidente, probablemente no estaba protegiendo nada de forma confiable.

¿Quién debe liderar la investigación: HSE u operaciones?

Lo ideal es un liderazgo compartido con una conducción metodológica clara. HSE suele liderar la estructura de la investigación, pero operaciones debe aportar la realidad del proceso y la supervisión de turno. Si uno domina sin el otro, se pierde contexto o se pierde rigor. El mejor esquema es el que asegura método sin desconectarse del trabajo real.

¿Cómo evito que la investigación termine culpando al operador?

Desplazá el foco desde la persona al sistema de barreras. Preguntá qué controles existían, cuáles estaban degradados y qué condición organizacional permitió el error. Muchas veces el acto final del operador es solo la última pieza visible de una cadena de decisiones, presiones y debilidades previas.

¿Qué formato mínimo debería usar para cerrar hallazgos?

Usá un formato que incluya hallazgo, evidencia, barrera asociada, causa de degradación, acción correctiva, responsable, fecha de cierre y verificación de eficacia. Si además vinculás el hallazgo con el diagnóstico inicial del equipo, vas a poder medir si el problema fue de competencia, de método o de ambos. Ese puente es el que después facilita la mejora continua.

Cierre

La investigación de accidentes con BowTie no es una moda metodológica. Es una forma más seria de pensar cómo fallan los sistemas y cómo recuperar control antes de que el evento se convierta en desastre. Para profesionales HSE y supervisores, el valor está en tener un proceso repetible que conecte evidencia, barreras y acciones correctivas con trazabilidad real.

Si el artículo de diagnóstico te ayudó a entender dónde está la brecha del equipo, este artículo te deja el método para trabajar sobre esa brecha. Y el siguiente paso, que desarrollamos en investigación de accidentes BowTie: lecciones y mejora continua, es convertir cada caso en aprendizaje organizacional, indicadores y madurez de gestión.

En otras palabras: primero diagnosticás, después ejecutás con método, y finalmente escalás aprendizaje. Ese ciclo es el que evita que la organización investigue mucho pero aprenda poco. Si querés llevar esto a una implementación consistente, una combinación de diagnóstico de madurez, formación práctica y acompañamiento técnico puede acelerar muchísimo el cambio; no por moda, sino porque el elefante de la seguridad se come de a poco, pero se tiene que comer bien.