La vulnerabilidad que no estaba en el cuadernillo

A las 04:06 del 19 de agosto de 2024, el viento sobre el través del Bayesian pasó en segundos de manejable a más de 70 nudos. El toldo del flying bridge se rasgó de babor a estribor. El velero escoró a 90° — el mástil en el agua — en menos de quince segundos, los generadores se apagaron y se encendió la iluminación de emergencia. No hubo inundación en el interior del casco hasta que el agua pasó por encima de las amuradas de estribor y se precipitó por las escaleras. Algunos pasajeros usaron los cajones de los muebles como escalera para salir de su camarote. Siete personas no salieron: seis pasajeros y un tripulante.

Es tentador leer esa cronología y señalar a la tripulación. Tenían un aviso de temporal. Veían las tormentas. El capitán había dejado la orden de ser despertado por encima de 20 nudos. El buque ya garreaba el ancla y escoraba antes de la ráfaga fatal. Desde afuera, parece un caso de personas que no actuaron con suficiente rapidez.

Esa lectura es justamente la trampa que esta serie existe para desmontar. Porque bajo la cronología se encuentra una condición que nadie a bordo podía controlar, por la razón más simple posible: no estaba en el cuadernillo.

El cuadernillo de estabilidad del Bayesian fue aprobado en 2008 por la autoridad marítima británica conforme al Large Commercial Yacht Code. Ese cuadernillo sí contenía el tipo correcto de salvaguarda: curvas de ángulo máximo de escora permanente para prevenir la inundación progresiva en turbonadas — precisamente la guía que una tripulación necesita para saber qué ráfaga súbita puede soportar antes de que el agua empiece a entrar. Pero esas curvas existían solo para las condiciones a vela, con la orza arriada y las velas izadas.

La noche del naufragio, el Bayesian no navegaba a vela. Estaba fondeado en condición de motor: orza arriba, sin velas. Para esa condición — aquella en la que realmente se encontraba — el cuadernillo aprobado no contenía ninguna curva contra turbonadas.

Tras la pérdida, el MAIB encargó a la Wolfson Unit de la Universidad de Southampton reconstruir el modelo de estabilidad. En las condiciones a vela, el ángulo de estabilidad nula documentado iba de 84,3° a 92,3°. En la condición de motor, la Wolfson Unit lo calculó en 70,6°. El mismo estudio determinó que el mástil de 72 metros representaba por sí solo la mitad del momento escorante por viento de través, y que de través una ráfaga superior a 63,4 nudos haría volcar el buque con probabilidad, sin importar los efectos de apantallamiento entre los elementos del aparejo.

La mayor parte del esfuerzo de investigación se concentra en una sola pregunta: ¿se siguió el procedimiento? Es la primera pregunta equivocada, porque supone que el procedimiento — o el límite, o el expediente, o el certificado — describía la situación en la que realmente se desarrollaba el trabajo.

Todo documento crítico de seguridad lleva un alcance implícito: el conjunto de condiciones operativas para las que fue validado. Una base de seguridad se redacta para una envolvente de proceso definida. Un límite operativo seguro se fija para una configuración supuesta. Un expediente de estabilidad se aprueba para estados de carga específicos. Fuera de ese conjunto validado, el documento no está equivocado — está en silencio. Y el silencio, para quien trabaja bajo su autoridad, equivale a permiso.

No es una curiosidad marítima. Los informes públicos de incidentes del Chemical Safety Board estadounidense describen repetidamente fugas ocurridas en estados operativos — un lavado no rutinario, un aislamiento supuesto en lugar de verificado, una configuración fuera del caso evaluado — para los cuales el análisis de peligros aplicable había concluido que el riesgo era bajo o simplemente no había mirado. El mecanismo es idéntico: un documento aprobado, una condición real fuera de su alcance validado y equipos que tratan lo «aprobado» como «seguro en todos los estados».

En los sitios de transformación que he investigado en África Occidental, el mismo patrón se repite. Un HAZOP valida una unidad para el régimen estable y para una secuencia de arranque definida. La fuga llega durante un rearranque parcial tras una parada por disparo — una condición que ocurre decenas de veces al año en operación pero no figura en ningún lugar del estudio. Los operadores seguían el procedimiento. No existía procedimiento para el estado en que estaban. La investigación que culpó al «error del operador» se cerró en tres semanas. La condición que produjo el evento nunca se puso por escrito, así que produjo el siguiente también.

En realidad hay dos investigaciones del Bayesian en paralelo, y convergen hacia respuestas opuestas. Conforme a su mandato legal sin atribución de culpa, el MAIB saca a la luz una condición latente — una vulnerabilidad de estabilidad no documentada en el estado operativo, amplificada por el efecto vela del mástil y por un diseño autorizado a descender por debajo del rango de estabilidad habitual. La fiscalía italiana, que actúa bajo un mandato de responsabilidad, situaría, según lo informado, la responsabilidad en las acciones de la tripulación y su lectura del tiempo.

"El único objetivo de una investigación de seguridad es la prevención de accidentes futuros. No tiene por finalidad determinar la responsabilidad ni atribuir culpa."

El mismo buque. La misma cronología. Las mismas siete muertes. Dos conclusiones — porque cada investigación está construida para encontrar un tipo de cosa distinto. Una investigación de seguridad sin atribución de culpa está diseñada para sacar a la luz las condiciones del sistema. Una investigación de responsabilidad está diseñada para sacar a la luz los actos de los individuos. Ninguna miente. Pero solo una previene la siguiente pérdida, y no es la que termina en una persona.

No hace falta un naufragio para encontrar sus estados silenciosos. Aplique esto a cualquier documento crítico de seguridad que rija una operación en servicio — una base de seguridad, un expediente de estabilidad, un límite operativo seguro, una envolvente de permiso, un procedimiento crítico.

1. Enumere los estados operativos reales — Liste cada condición en la que el activo realmente se opera, incluidos los estados no rutinarios: arranque, rearranque tras disparo, carga parcial, modo mantenimiento, configuración degradada. Obtenga esto de los operadores, no del documento.
2. Asigne cada estado al documento — Para cada estado de su lista, localice dónde el documento caracteriza explícitamente el modo de falla y la envolvente segura para ese estado.
3. Marque los estados silenciosos — Toda condición presente en operación pero no cubierta explícitamente en el documento es un estado silencioso — un peligro no evaluado, no uno bajo.
4. Trate el silencio como un hallazgo — Un estado silencioso no aporta ninguna prueba de seguridad. Hasta que se caracterice, se gestiona como un peligro de accidente mayor abierto, con controles provisionales — no como rutina.
5. Reevalúe tras cada cambio — Toda modificación, recalificación o nuevo modo operativo crea nuevos estados. Una gestión del cambio que no repite los pasos 1 a 4 simplemente fabrica nuevos estados silenciosos.

Aplicada al Bayesian, la auditoría lo detecta en el paso 1: el fondeo en condición de motor es un estado operativo real; en el paso 2 no hay curva contra turbonadas para él; en el paso 3 se marca como silencioso; en el paso 4 se trata como un peligro de vuelco no evaluado que exige un límite provisional. Nada de eso requiere retrospectiva. Requiere la disciplina de preguntar al cuadernillo por las condiciones en las que el activo realmente se encuentra.

La condición latente más peligrosa de su operación no es la que evaluó y juzgó mal. Es la que su documentación aprobada nunca describió — porque nadie supo preguntar, así que nadie fue advertido. El primer movimiento del investigador es encontrar las condiciones que la aprobación nunca cubrió, y tratar ese silencio como el peligro que es.

"«Aprobado» es una afirmación sobre un conjunto de condiciones, no sobre la realidad."