Seguridad de procesos vs seguridad industrial: BowTie y diagnóstico

La confusión entre seguridad de procesos vs seguridad industrial parece semántica, pero en planta cuesta dinero, tiempo y, cuando las barreras fallan, vidas. Una organización puede mostrar cero lesiones con tiempo perdido y, al mismo tiempo, tener una cadena de defensa degradada frente a una liberación de hidrocarburos, una reacción fuera de control o una nube tóxica. Ese es el punto ciego que BowTie ayuda a revelar.

Esto importa para profesionales HSE de todos los niveles porque el diagnóstico cambia según el problema real. Un director necesita saber si está midiendo el riesgo correcto. Un mando medio necesita ver qué barrera está débil y quién la verifica. Un operador necesita entender qué evento mayor está tratando de evitar y cuándo una desviación ya no es operable. Si todo se mira con el mismo lente, terminás gestionando indicadores que tranquilizan, pero no controlan.

El debate no es académico. El U.S. Chemical Safety Board concluyó en Texas City que una planta podía operar con normalidad aparente mientras acumulaba fallas en instrumentos, procedimientos, liderazgo y disciplina operativa. En Deepwater Horizon, once personas murieron y cerca de 4,9 millones de barriles de petróleo se derramaron porque múltiples barreras de proceso no hicieron su trabajo. En ambos casos, el sistema había confundido control de lesiones con control de escenarios de evento mayor.

BowTie sirve justamente para ordenar esa confusión. Te obliga a responder tres preguntas: ¿cuál es el top event?, ¿qué lo puede disparar?, ¿qué barreras previenen o mitigan la consecuencia? Cuando aplicás esa lógica, la diferencia entre seguridad de procesos y seguridad industrial deja de ser una discusión de oficina y se vuelve una revisión concreta de barreras, datos y responsabilidades.

Seguridad de procesos vs seguridad industrial: no son sinónimos

La seguridad de procesos protege contra eventos de baja frecuencia y alta consecuencia: pérdidas de contención, incendios mayores, explosiones, liberaciones tóxicas, colapsos de integridad mecánica y reacciones descontroladas. Su centro de gravedad no es la lesión individual, sino el evento que puede escalar a fatalidades múltiples, daño ambiental, pérdidas de activos, impacto reputacional y afectación a la comunidad. En términos prácticos, sus barreras son equipos, instrumentación, diseño, sistemas instrumentados de seguridad, inspección, mantenimiento, gestión del cambio y disciplina operativa.

La seguridad industrial, en cambio, se concentra en lesiones personales y daños a la salud derivados del trabajo cotidiano: caídas, atrapamientos, golpes, cortes, exposición a energía peligrosa, tráfico interno, ergonomía y tareas de mantenimiento. Aquí las barreras suelen ser resguardos, permisos de trabajo, bloqueo y etiquetado, orden y limpieza, segregación de peatones y vehículos, EPP, capacitación y supervisión en campo. El objetivo inmediato es que nadie se lastime en la tarea.

Ambas disciplinas se cruzan, pero no se reemplazan. Un operador que abre una línea sin aislarla correctamente enfrenta un riesgo industrial inmediato y, si esa línea contiene hidrocarburo, también un riesgo de proceso. Un inspector que detecta corrosión severa en un tanque está mirando seguridad de procesos, aunque nadie se haya lesionado aún. El error típico es creer que un buen TRIR o pocas lesiones menores equivalen a buen control del riesgo mayor. No es así.

Si el efecto principal es una lesión individual, estás mirando seguridad industrial. Si el efecto puede convertirse en incendio, explosión, nube tóxica, pérdida de contención o impacto comunitario, estás en seguridad de procesos.

BowTie permite diferenciar estas realidades sin separarlas artificialmente. El mismo método puede dibujar un escenario de pérdida de contención en una unidad de destilación o un escenario de atrapamiento en una banda transportadora. Lo importante no es el dibujo; es el análisis de barreras y la calidad del diagnóstico.

Desde el punto de vista normativo, la separación también es clara. OSHA PSM 1910.119 pone el foco en procesos con químicos altamente peligrosos y exige análisis de peligros, procedimientos, entrenamiento, integridad mecánica, gestión del cambio, investigación de incidentes y planes de emergencia. API 754 ofrece una estructura para eventos de seguridad de procesos y ayuda a salir de la trampa del indicador único. IEC 61511 regula el ciclo de vida de los sistemas instrumentados de seguridad. ISO 45001 ordena la gestión de SST, con fuerte peso en liderazgo, participación y control operacional. Y CCPS propone el marco de Risk Based Process Safety para alinear personas, sistemas y barreras.

Por qué esta confusión cuesta dinero y vidas

Cuando una organización no distingue entre estas dos disciplinas, suele pasar lo siguiente: invierte mucho en campañas de comportamiento, pero poco en confiabilidad de barreras; declara éxito porque bajó la frecuencia de lesiones menores, pero no revisa corrosión, alarmas, aislamiento o gestión del cambio; y llena la conversación de cultura, aunque no pueda demostrar si una válvula de alivio, un SIS o una guarda de máquina están disponibles cuando realmente se necesitan.

Eso no significa que el comportamiento no importe. Importa muchísimo. Pero el comportamiento solo tiene valor si el sistema lo hace posible. Un operador entrenado no compensa un transmisor mal calibrado. Un supervisor comprometido no reemplaza un diseño inseguro. Un EPP no salva una decisión de ingeniería fallida. El error humano, en seguridad moderna, se entiende como producto del sistema, no como explicación final.

La diferencia también se ve en los datos. Las lesiones personales son frecuentes, visibles y fáciles de contar. Los eventos de proceso son menos frecuentes, pero sus consecuencias son desproporcionadas. Por eso API 754 existe: para obligarnos a observar señales tempranas de deterioro, como pérdidas de contención menores, activaciones de barreras, disparos, bypasses o fallas de equipos críticos. Si solo mirás TRIR, vas a ver una fracción del riesgo real.

BowTie ordena esta conversación porque separa causas, barreras y consecuencias. El top event es el momento en que se pierde el control: el hidrocarburo sale de su contención, el operador queda expuesto a energía peligrosa, o la reacción química deja de estar contenida. A la izquierda del BowTie están las amenazas y los controles preventivos. A la derecha, las consecuencias y los controles mitigativos. Esa estructura te permite comparar si el sistema está fallando en prevención, en mitigación o en ambos.

Por eso el mismo método sirve para dos diagnósticos distintos. Si el escenario es una fuga de solvente con potencial de incendio, el análisis debe concentrarse en integridad mecánica, alarmas, procedimiento, diseño, detección de gas y respuesta de emergencia. Si el escenario es un atrapamiento en una mezcladora, el foco estará en resguardos, LOTO, permisos, acceso, supervisión y disciplina de tarea. El lenguaje cambia, pero la lógica de barreras es la misma.

Casos reales: cuando el indicador equivocado te engaña

Caso 1: Texas City, la trampa de creer que todo estaba bajo control

En 2005, la refinería de Texas City vivió uno de los accidentes industriales más estudiados de las últimas décadas. Durante un arranque de la unidad de isomerización, un separador se sobrellenó. La mezcla hidrocarburo-vapor terminó liberándose por el sistema de venteo y se formó una nube inflamable que explotó. Murieron 15 personas y alrededor de 180 resultaron heridas. La tragedia no ocurrió por una sola falla aislada, sino por una cadena de debilidades en instrumentación, procedimientos, supervisión, cultura de alarmas, mantenimiento y gestión del riesgo.

El problema de fondo no era la falta de una campaña de seguridad industrial. El problema era un sistema de seguridad de procesos degradado. Había historial de advertencias, hallazgos de auditoría y una normalización progresiva del desvío. En un enfoque BowTie, el top event habría sido la pérdida de contención del hidrocarburo; las amenazas incluían lectura errónea de nivel, arranque fuera de secuencia, mala transferencia de turno y diseño inadecuado del sistema de venteo; las barreras preventivas fallaron una tras otra, y las mitigativas no estuvieron en posición de limitar la explosión.

La lección es dura pero muy útil para HSE: una organización puede tener estadísticas aceptables de lesiones personales y, aun así, estar incubando un accidente mayor. El tablero de planta mostraba productividad, continuidad y métricas de SST, pero no necesariamente salud de barreras. Por eso los directores necesitan indicadores de proceso y no solo indicadores de personal. Por eso el mando medio debe verificar lo que sucede en campo. Y por eso el operador tiene que saber que un bypass temporal o una alarma inhibida no son detalles administrativos, sino señales de un sistema que se acerca al límite.

Caso 2: la planta con pocos accidentes, pero demasiadas exposiciones cotidianas

Ahora mirá un escenario muy común en manufactura, alimentos, logística o minería de proceso: la planta logra bajar su tasa de lesiones con tiempo perdido, pero sigue acumulando incidentes de atrapamiento, golpes, caídas al mismo nivel, contactos con energía y desvíos en bloqueo y etiquetado. No hace falta que ocurra un evento catastrófico para ver el problema. En Estados Unidos, por ejemplo, el Bureau of Labor Statistics reportó en 2023 cientos de miles de lesiones no fatales por caídas, resbalones y tropiezos, una categoría que sigue estando entre las más frecuentes de la industria privada.

¿Qué dice esto? Que la seguridad industrial es altamente dependiente del orden del trabajo diario. En una planta de alimentos, un montacargas compitiendo con peatones, una plataforma con residuos de aceite, un panel sin espacio de maniobra o una intervención sin LOTO no son problemas menores. Son amenazas activas. Si no se corrigen, la organización vive en modo suerte. El top event aquí no es una nube tóxica, pero sí puede ser una lesión seria, una amputación o una fatalidad individual.

La lección para el diagnóstico es clara: no uses el mismo lente para todo. Si el sistema muestra buenos números generales pero persistentes desvíos en tareas críticas, no estás frente a un problema de comunicación. Estás frente a un problema de control operativo. Y ese control se mide en piso, no en presentaciones. Si querés ordenar esa transición de diagnóstico a ejecución, te va a servir BowTie paso a paso: herramientas para HSE y supervisores, donde el foco baja a herramientas, rutinas y verificación en terreno.

Caso 3: Deepwater Horizon y la falsa tranquilidad de confiar en una sola barrera

En 2010, Deepwater Horizon explotó tras una serie de decisiones y fallas técnicas que comprometieron la integridad del pozo. Murieron 11 personas y el derrame alcanzó cerca de 4,9 millones de barriles de petróleo. La investigación mostró debilidades en interpretación de pruebas, diseño, control del pozo, barreras mecánicas y gestión de la información. Fue un recordatorio brutal de que una barrera aislada no es suficiente.

Este caso ayuda a entender algo que en planta a veces se olvida: una barrera no es un documento, es una función verificable. Si decís que una alarma te protege, tenés que demostrar que está operativa, calibrada, entendida y atendida. Si decís que el SIS evita una sobrepresión, tenés que demostrar que cumple su función, que las pruebas son válidas y que los bypass están controlados. Si decís que el procedimiento evita el error, tenés que confirmar que es practicable y que la gente lo usa de verdad.

Cuando analizás estos casos con BowTie, el diagnóstico deja de ser filosófico. Ya no preguntás si la empresa tiene buena cultura en abstracto. Preguntás si la cadena de barreras controla el escenario que más te puede costar. Y esa pregunta sí mueve decisiones de inversión, mantenimiento, capacitación y liderazgo.

Diagnóstico organizacional: señales de alerta que no deberías ignorar

Si querés saber si tu organización está mirando seguridad industrial y seguridad de procesos como si fueran lo mismo, buscá estas señales. Si aparecen varias juntas, el diagnóstico es bastante claro: el sistema está más cómodo contando lesiones que gestionando escenarios críticos.

• Se reportan con detalle los TRIR, LTIR y observaciones, pero no los eventos Tier 1, Tier 2 o precursores de proceso.
• Los BowTie existen en carpetas o talleres, pero no tienen dueños de barrera, pruebas de desempeño ni revisión periódica.
• Las discusiones de liderazgo se centran en actos inseguros, no en integridad mecánica, MOC, alarmas, bypasses o pruebas de SIS.
• Los supervisores conocen campañas, pero no pueden explicar el top event, las amenazas y las barreras críticas de su área.
• La investigación de incidentes termina en causas humanas genéricas y no en fallas de control del sistema.
• El tablero HSE mezcla todo en una sola métrica y no distingue entre lesiones personales y eventos de proceso.
• La verificación de campo existe, pero no valida si la barrera crítica realmente cumple su función.

Ahora bien, el diagnóstico también depende del rol. Un director debería preguntarse si la organización sabe cuáles son sus cinco escenarios de mayor consecuencia y qué barreras los controlan. Un mando medio debería preguntarse si sus supervisores saben verificar esas barreras en el turno. Un operador debería preguntarse si entiende qué desviación no puede dejar pasar sin escalarla. La madurez se mide por la capacidad de tomar decisiones en el punto donde vive el riesgo.

Metodología práctica para ordenar el diagnóstico

Diagnosticar no es llenar un formato. Es comparar el riesgo que creés que controlás con el riesgo que realmente estás controlando. Si querés distinguir seguridad de procesos de seguridad industrial con criterio, usá una secuencia simple y repetible. No hace falta empezar con software ni con una consultoría gigantesca. Hace falta claridad de alcance, disciplina y voluntad de mirar barreras, no solo resultados.

1. Definí el universo de escenarios. Separá escenarios de proceso de los escenarios ocupacionales. No los mezcles en una sola lista de peligros si eso impide ver la diferencia de consecuencias.
2. Elegí los top events más críticos. Pensá en pérdida de contención, sobrepresión, reacción fuera de control, caída, atrapamiento, contacto con energía o tráfico interno. Cada uno tiene BowTie propio o familia de BowTies.
3. Identificá barreras preventivas y mitigativas. No aceptes frases genéricas como 'capacitación' o 'concientización'. Especificá función, dueño, estándar y forma de verificación.
4. Asociá indicadores de desempeño. Para proceso, usá API 754 y métricas de barrera. Para industrial, agregá indicadores de cumplimiento crítico, exposiciones y controles de tarea.
5. Verificá en campo. Si la barrera no se ve, no se prueba o no se entiende, no existe como control confiable.
6. Cerrá con gobernanza. Asegurá revisión periódica, escalamiento y aprendizaje. Lo que no tiene dueño ni fecha termina siendo una buena intención.

La idea no es burocratizar. La idea es construir un lenguaje común entre dirección, supervisión y operación. Si querés pasar del diagnóstico a la implementación, el puente natural está en Integrar BowTie en seguridad de procesos y mejora continua, donde el enfoque se mueve de entender el problema a sostenerlo en el tiempo.

En organizaciones con buena base, el quick win suele ser separar de inmediato el tablero de lesiones del tablero de eventos de proceso. Eso baja la niebla en una semana. El cambio estructural, en cambio, es instalar la lógica de barreras como criterio de gestión: cada escenario crítico debe tener barreras nombradas, estándares de desempeño, frecuencia de prueba y dueño de seguimiento. Ahí es donde BowTie deja de ser un dibujo y se convierte en una herramienta de gobierno.

Aplicación práctica: cómo bajarlo al día a día

Para dirección, el uso práctico empieza por una pregunta simple: ¿cuál es el riesgo mayor que podría sorprendernos mañana? Si no podés responderlo con evidencia, necesitás revisar el sistema de gestión. No basta con decir que la cultura es buena. Tenés que ver si los eventos Tier 1 y Tier 2 se discuten en comité, si las desviaciones se cierran con plazo y si la integridad mecánica tiene prioridad real sobre la producción.

Para mandos medios, BowTie sirve como instrumento de conversación y de verificación. En la charla pre-tarea, no preguntes solo si el trabajo fue entendido; preguntá cuál es el top event, qué barrera lo previene y qué condición obliga a parar. En la ronda de supervisión, revisá si la barrera está físicamente presente, si está operable y si su dueño conoce el estándar. Eso transforma la supervisión de un acto administrativo a una función de control.

Para operadores, la aplicación diaria tiene que ser simple. Un operador no necesita memorizar teoría. Necesita saber tres cosas: qué puede salir mal, qué barrera lo protege y qué señal indica que debe escalar. Cuando ese lenguaje está bien entrenado, el operador deja de ser el último eslabón al que se culpa y pasa a ser una fuente de detección temprana del riesgo. Eso sí es disciplina operativa.

Una forma útil de cerrar el ciclo es hacer mini revisiones de BowTie en el piso. Elegí un escenario por semana, caminá el área, confirmá si la barrera existe, si está marcada, si tiene prueba vigente y si el equipo entiende su propósito. Si la respuesta es confusa, ahí está el diagnóstico. Y si querés medir la madurez de tu organización con menos intuición y más evidencia, un Diagnóstico Digital te ayuda a ubicar con precisión dónde estás parado hoy.

FAQ

¿Seguridad de procesos y seguridad industrial pueden gestionarse con el mismo sistema?

Pueden convivir dentro del mismo sistema de gestión, pero no deben evaluarse con los mismos indicadores ni con la misma lógica operativa. Seguridad de procesos gestiona eventos mayores y barreras críticas; seguridad industrial controla lesiones y exposiciones cotidianas. Si las mezclás sin criterio, terminás ocultando el riesgo mayor detrás de métricas de frecuencia. Lo correcto es integrar, no fusionar de manera indiscriminada.

¿Por qué el TRIR no alcanza para diagnosticar el estado HSE?

Porque el TRIR mide lesiones registrables, no la salud de las barreras que evitan un accidente mayor. Una planta puede bajar su tasa de lesiones y, al mismo tiempo, tener alarmas inoperativas, bypasses no controlados o integridad mecánica degradada. Para eso necesitás indicadores de proceso como los de API 754 y una lectura de barreras con BowTie. El TRIR ayuda, pero no alcanza.

¿BowTie reemplaza al HAZOP, al IPERC o al análisis de tareas?

No. BowTie complementa esas herramientas. HAZOP, IPERC, JSA y análisis de tarea alimentan el entendimiento de peligros y desvíos. BowTie ordena el resultado en una estructura de amenazas, barreras y consecuencias, y te permite gestionar el desempeño de esas barreras. En otras palabras, no compite con el análisis detallado: lo traduce a una lógica útil para operar y gobernar.

¿Qué barreras son realmente críticas en una organización?

Son las que, si fallan, permiten que el top event ocurra o que la consecuencia escale. En proceso, suelen ser SIS, PSV, alarmas, detección de gas, integridad mecánica, MOC y procedimientos críticos. En seguridad industrial, suelen ser LOTO, resguardos, permisos de trabajo, segregación vehicular, sistemas de acceso y supervisión de tarea. La criticidad no la define el organigrama; la define el escenario.

¿Cómo empiezo si mi planta tiene baja madurez y poco tiempo?

Empezá por tres escenarios de alto potencial y construí BowTie simples pero verificables. No intentes cubrir todo de una vez. Definí top event, amenazas, barreras, dueños e indicadores. Luego hacé una caminata de campo para validar si esas barreras existen de verdad. En paralelo, separá el tablero de lesiones del tablero de riesgo mayor. Con eso ya generás una mejora real sin paralizar la operación.

¿Quién debe ser dueño de la barrera?

El dueño de la barrera debe ser quien puede asegurar que la barrera funcione como fue diseñada, no quien solo la firma en un organigrama. A veces será mantenimiento, a veces operaciones, a veces ingeniería o un contratista especializado. Lo importante es que exista una responsabilidad clara, una frecuencia de revisión y un criterio de aceptación. Sin dueño, la barrera se vuelve una idea y no un control.

Cierre

La diferencia entre seguridad de procesos y seguridad industrial no es un detalle teórico. Es la diferencia entre mirar el síntoma y mirar el sistema. Cuando distinguís ambas disciplinas con BowTie, dejás de discutir si el problema es cultural o técnico y empezás a ver dónde se rompe la cadena de control: en el diseño, en la operación, en la supervisión, en la verificación o en la gobernanza.

Ese diagnóstico es el primer paso para dejar de gestionar por inercia. El segundo paso es implementar herramientas, rutinas y verificación en terreno, que es justo lo que desarrollamos en BowTie paso a paso: herramientas para HSE y supervisores. Y cuando ya tenés una base sólida, el siguiente desafío es escalar el enfoque a la mejora continua y a contextos más maduros, como veremos en Integrar BowTie en seguridad de procesos y mejora continua.

Si tu organización todavía mide tranquilidad y no control real, este es el momento de corregir el rumbo. Porque en seguridad industrial y de procesos, lo que no se diagnostica bien, se paga caro después.