Equipo editorial de RISKOPILOT, 16 de septiembre de 2026, 5 min de lectura
Verificar no es proteger: la jerarquía de controles para el consejo
Las verificaciones, la capacitación y los procedimientos mantienen sanas las barreras. Solo la eliminación y la ingeniería alejan la energía letal de las personas.
El plan de acción cómodo
Muchas revisiones de incidentes graves terminan con las mismas acciones: volver a capacitar al equipo, actualizar el procedimiento, agregar una verificación. Se aprueban rápido y se auditan con facilidad. Rara vez cambian el riesgo de fatalidad, porque cada una sigue dependiendo de que una persona haga lo correcto en el momento justo.
Los puntos de protección hacen visible la jerarquía
El CCHI califica cada barrera según cuánto depende de las personas. Una barrera de ingeniería pasiva obtiene 2,0 puntos; una automatizada, 1,0; una barrera que una persona debe activar, 0,5; una barrera humana activa, 0,3, y la protección personal, 0,2. Un punto equivale aproximadamente a dividir el riesgo por diez. La capacitación, los procedimientos, los permisos y la señalización mantienen sanas las barreras, pero no superan la prueba de control directo y por sí solos no suman nada.
Las barreras independientes se suman; las que comparten una causa, como la misma cuadrilla, cuentan una sola vez. Cada trayectoria de energía letal tiene un tope de 3,0 puntos, y una tarea está tan protegida como su trayectoria más débil. Los puntos son convenciones de planificación, no probabilidades de falla medidas.
Lo que muestran dos investigaciones
En el depósito de combustible de Buncefield, en 2005, un tanque tenía un indicador de nivel y un interruptor independiente de nivel muy alto. El indicador se trababa de forma intermitente desde el mantenimiento del tanque, meses antes, y el interruptor estaba inoperante porque no se había colocado el candado necesario para sostener su palanca de prueba, aunque el interruptor se probaba periódicamente. El tanque se desbordó y la nube de vapor explotó.
Ese mismo año, en la refinería de Texas City, una torre de destilación se sobrellenó durante el arranque mientras su transmisor de nivel indicaba un nivel seguro y en descenso. La descarga se dirigió a una chimenea de purga sin antorcha, cerca de tráileres temporales ocupados. Murieron quince personas y 180 resultaron heridas. La Chemical Safety Board concluyó que muchos de los problemas eran recurrentes y ya se habían detectado en auditorías e investigaciones internas.
En ambos casos existía actividad de verificación. La ingeniería que habría mantenido la energía lejos de las personas estaba ausente o no funcionaba.
Poner a prueba el orden de prioridades
El laboratorio CCHI aplica la misma lógica a una organización de ejemplo durante 24 meses. Las medidas de aseguramiento y de cultura por sí solas redujeron los eventos simulados de alta energía de 83 a 68. Un plan que prioriza la ingeniería los redujo a 16. Son resultados ilustrativos de un modelo que supone el mecanismo, no un pronóstico. Muestran el orden de prioridades: eliminar la energía, instalar barreras de ingeniería y luego mantenerlas operativas y verificarlas.
La pregunta para el consejo
La pregunta útil para un consejo no es si se hacen las verificaciones, sino cuánta de la exposición de la organización a la energía letal sigue dependiendo de las personas.
Fuentes
- COMAH Competent Authority (2011). Buncefield: Why did it happen?
- US Chemical Safety Board (2007), final report findings, as reported by Oil & Gas Journal
- IChemE Loss Prevention Bulletin 275. Texas City refinery explosion