El control que contabilizó y que no estaba

La mayoría de los consejos contabilizan la autoridad de paro entre sus controles de seguridad. Aparece en el expediente de seguridad, en las precalificaciones de contratistas, en el informe anual de seguridad al consejo — una marca en la columna que dice que el personal puede detener un trabajo inseguro. Geismar es el caso que debería llevar a cada consejero a preguntarse qué compra realmente esa marca. Un contratista la usó. El trabajo continuó. El control estaba presente en cada documento e inerte en el único momento en que se ejerció.

No es una historia de comportamiento de campo. El contratista hizo precisamente lo que el programa pide: vio una válvula degradada y la planteó. Lo que falló fue el sistema que la organización construyó en torno al momento en que habló. Y un consejo es responsable del diseño del sistema — no del comportamiento de la persona en la válvula.

La categoría de riesgo más peligrosa para un consejo no es el peligro que no supo identificar. Es el control que contabilizó y que no funciona. El peligro no identificado al menos lo deja alerta. El control contabilizado pero inerte hace lo contrario: le asignó confianza, lo inscribió en su aseguramiento, y dejó de mirar — precisamente porque cree que está resuelto.

La autoridad de paro es singularmente propensa a esta falla, porque es invisible hasta que se usa y casi nunca se prueba. En Geismar existía en cada documento y falló en el único momento en que se ejerció. La pregunta a nivel del consejo nunca fue «¿tenemos autoridad de paro?» Era «¿hemos probado alguna vez qué hace nuestro sistema cuando alguien la usa de verdad?» — y nadie la había hecho.

Cada sistema de paro tiene un valor por defecto: lo que ocurre, por inercia, mientras se busca la respuesta. En Geismar, el valor por defecto era «continuar». Ese valor no lo elige el trabajador ni el supervisor en el momento — se fija, de antemano, en el sistema que la organización diseñó. Es decir, en la gobernanza. Cuando la ambigüedad se resuelve sistemáticamente hacia «seguir trabajando», esa es una decisión a nivel del consejo tomada implícitamente, mucho antes de que una válvula empezara a fugar — y decide el desenlace de cada momento incierto que sigue.

El paro se disolvió en una interfaz precisa: un contratista planteando una inquietud al empleado de un cliente. Esa frontera contratista–cliente es donde la autoridad es más ambigua, el poder más asimétrico y la responsabilidad más difusa — y es exactamente donde los consejos aplican menos atención de diseño, porque el contratista es «la gente de otro». La costura entre dos organizaciones es el punto más débil de casi todo control de seguridad, y el paro no es la excepción.

Y la exposición no se transfiere con el trabajo. Cuando un incidente ocurre en esa costura, la estructura de contratación que parecía transferencia de riesgo en el papel se vuelve exposición compartida en público y en los tribunales. Un consejo que tercerizó la tarea no tercerizó el deber — solo tercerizó su propia visibilidad sobre si el control funciona. Sigue siendo responsable de un control que ya no puede ver.

"El lugar más peligroso de una operación es la línea donde termina la autoridad de una empresa y empieza la de otra. Esa línea está escrita en el contrato — no en la planta."

No necesita conocer la válvula. Necesita saber si el control que contabilizó funciona realmente. Tres preguntas lo establecen.

1. ¿Cuál es el valor por defecto cuando se invoca un paro y la respuesta es incierta — y quién lo decidió? — Si la dirección no puede enunciar el valor por defecto al instante, es «continuar» — y nadie lo eligió deliberadamente. Señal de alerta: la respuesta describe la política de paro en lugar del comportamiento del sistema mientras la decisión está pendiente.
2. ¿Puede alguien anular el paro de un trabajador — o de un contratista — sin una decisión de reanudación positiva y registrada? — Si un paro puede extinguirse por miscomunicación o deferencia, es una sugerencia, no un control. Señal de alerta: la autoridad de reanudación es informal o verbal, o reside en la parte que tiene un cronograma que proteger.
3. ¿Cuándo probamos por última vez qué pasa cuando alguien usa el paro — en la interfaz con contratistas en particular? — Señal de alerta: la única evidencia de que el control funciona es que existe en el papel y que «la gente sabe que puede parar». Un paro no probado en la costura con contratistas es exactamente la brecha que produjo Geismar.

Estas tres preguntas convierten la autoridad de paro de una línea que el consejo acepta en un control que el consejo ha verificado. Esa diferencia — entre aceptar y verificar — es la diferencia entre Geismar y el casi-accidente del que nadie fuera del sitio se entera nunca.

El trabajo de un consejo no es recordar a la gente que puede parar. Es garantizar que cuando alguien lo hace, el sistema para — por defecto, sin discusión, y sin importar quién lo invocó ni en qué nómina está. Un paro que debe sobrevivir a un relevo para surtir efecto es un control de nombre y una esperanza en la práctica. Geismar es lo que cuesta la distancia entre ambos, medida en una hospitalización y tres válvulas corroídas más que nadie había encontrado aún.

"Un control que ha contabilizado pero nunca probado no es protección — es un pasivo que ya ha registrado como un activo."