pi

La gestión de los grandes riesgos

•

Título original: Managing the Risks of Olganizational Accidenls

© James Reason, 1997

© Modus Laborandi
La Edición, marzo de 2010

Dirección editorial: Jesús Villena López Este libro está dedicado a dos pilotos y dos cirujanos que han
Traducción: Juan M anuel h'anzo Amatriain mejorado enormemente la seguridad de sus respectivos ámbitos:
Dis6io y maquetación: Sputnik produ cciones editoriales
Producción gráfica: PROCOGRAF Capitán Gordon Vette
Capitán Daniel M aurino
Dr. Lucian Leape
Sr. Marc de Leval

Reservados todos los derechos de esta edición para

Editorial Modus Laborandi , S. L.
Emilio Carrere 4,3.° B, 28015, M adrid
www.moduslaborandi.colTl

ISB~:978-84 -937 117-6-4

Depósito legal: M-8229-2010

Impreso en Tecnlcas Gráficas Forma S.A., Polígono «El Caballo»,

Ctra. M-206 -Vía de Servicio-, km 0,4.28890 Loeches (Madrid).

La editorial Modus Laborandi agradece los comentarios

de sus lectores, que pueden enviar a nuestra dirección de atención
al cliente: buzon@moduslaborandi. com
Índice

Lista de diagramas 13
Lista de tablas 17
Lista de siglas 19
fu~o TI
1. Amenazas, defensas y pérdidas 25
Accidentes individuales y organizativos 25
Encontrar el nivel de explicación adecuado 26
Protección y produ cción: dos hechos universales 27
Sacrificar la protección adicional en favor de mejoras de la prod ucción 30
Los peligros del «barco indenme» 31
La naturaleza y variedad de las defensas 32
El modelo de defensas tipo «qu eso suizo» 34
Fallos activos y condiciones latentes 35
La trayectori a del accidente 38
D e la diligencia al Jumbo 39
Fases en el desarrollo de un accidente organizativo 42
Res umen del argumento 46
2. La derrota de las defens as 49
Las cosas no sienlpre son lo qu e parecen 49
Deslizándonos a través de las gri etas del sistema de mantenimiento
de aero naves 50
Los millones dilapidados: el colapso del Banco Barings 58
El descarrilanuento de Nak.ina: un fallo latente durante 76 años 66
Rasgos comunes 68
3. D efensas peligrosas 73
Muerto por su armadura 73
Algunas paradojas 74
Automatización: irOlúas, trampas y sorpresas 74
Control de calidad frente a garantía de calidad 80
Redactar un nuevo procedinuento 83

9
 p

Índice
Índice

87 La vulnerabilidad de la instalación 135

Causar el siguiente accidente por intentar prevenir el anterior
90 El predominio de las omisiones 137
Defensas en profundidad: ¿protección o peligroso encubrimiento?
92 Las características de las tareas proclives a las omisiones 139
Falsas alarmas
94 Las características de un buen recordatorio 142
Conexiones deliberadamente débiles
96 La justificación del mantenimiento 144
Resumen
Conclusiones 148
4. La contribución humana 97
97 6. Navegar por el espacio de seguridad 149
El factor humano
98 Evaluar la seguridad 149
La diversidad de los controles administrativos
101 Contar coces 150
La fase que haya alcanzado la trayectoria vital de la organización
102 Presentación del espacio de seguridad 153
Tipo de actividad
102 Corrientes internas del espacio de seguridad 154
Nivel dentro de la organización
104 ¿Qué alimenta el «motor de la seguridad»? 155
El equilibrio entre formación y procedimientos
106 Establecer los objetivos de seguridad adecuados . 158
Tres niveles de actuación
108 La prueba destructiva 159
Errores y acciones con éxito
110 Una visión de conjunto de las ayudas a la navegación 160
Infracciones y acciones que cumplen las normas
111 Programas de informes de incidentes y casi accidentes 162
Acciones correctas e incorrectas
112 El proceso de medida proactivo: las prioridades 164
La calidad de los procedimientos disponibles
114 ¿Son los accidentes realmente necesarios? 168
Seis tipos de conducta en relación con las normas
Algunos ejemplos extraídos de la vida real 116 7. Una guía práctica para la gestión del error 171
Incumplimiento erróneo 116 ¿Qué es la gestión del error? 171
Cumplimiento correcto y equivocaciones 116 Prácticas antiguas pero con frecuencia desencaminadas 172
Cumplimientos erróneos e iruÍ"acciones con éxito 117 Los errores no son causas sino consecuencias 172
Improvisación correcta 119 El ciclo de inculpación 173
El cuadro cOITlpleto 120 ¿Las personas o las situaciones? 175
5. El mantenimiento puede causar graves dal10s a su sistema 125 Una visión de conjunto de la caja de herramientas de la gestión
125 del error 177
Peligrosos encuentros a corta distancia
126 Tripod-Delta 179
Accidentes organizativos y fallos de mantenimiento
127 Review y MESH 187
Apoto XIII
127 Tecnica de evaluación y reducción del error humano (HEART) 191
Flixborough
Three Mile Island 128 El enfoque del diagrama de influencia (IDA) 196
Vuelo American Airlines 191, Chicago O ' Hare 129 Ayuda a la decisión sobre errores de mantenimiento (MEDA) 200
Bhopa] 130 Tripod-Beta 202
Vuelo JL 123 de Japan Air Lines, Monte Osutaka 130 Resumen de los principios más importantes de la gestión del error 204
Piper Alpha
131
131 8. La infeliz suerte del regulador 205
ClaphamJunction
132 Los reguladores en el punto de mira 205
Phillips 66 Company
Accidentes regulados 206
Las actividades y su probabilidad relativa de sufrir problemas
133 Challenger: cuando la desviación se convierte en la norma 206
de actuación
La estación de metro de King's Cross: una visión estrecha de la ley 209

II
ro
Índice

Piper Alpha: inspecciones sup erfi ciales y mu estreo incompleto 21 1 Lista de diagramas
El Fokker-28 que se estrelló en Dryden: la red de seguridad qu e fa lló 213
El Pip'er Cliieftain estrellado en Young, N ueva Gales del Sur 215
El ataque contra los .reguladores estadounidenses 220 U Relación entre amenazas, defensas y pérdidas. 27
Condenado tanto si lo haces como si no 223 1.2 Perfil de la relación entre producció n y protección. 28
Legislación y regulación: algunos grandes éxitos 224 1.3 C urso vital de una organización hipotética a través del espa-
Aütonomía y dependencia como constri cciones del proceso cio de produ cción-protección. 30
de regulación 227 1.4 El ideal y la realidad de las defensas en profundidad. 35
El cambio hacia la autorregulación 228 1.5 Una trayectoria de accidente atraviesa los agl~ eros alinea dos
Ventajas y desventajas del cambio hacia la autorregulación 236 en los estratos de defensas, barreras y salvaguardias . 39
Un posible modelo del proceso de regul ación 238 1.6 Fases del desarrollo y la investigación de un accidente orga-
El régulador m.erece un trato mejor 244 nizativo. 44
9. Ingeniería de una cultma de la seguridad 247 3.1 Cómo los n ecesarios procedimientos de seguridad adicio-
El alcance de este capítulo 247 nales reducen el margen de acción preciso para llevar a cabo
¿Qué es una cultura organizativa? 249 las tareas de forma efectiva. 84
Los componentes de la cultura de la seguridad 252 3.2 R esumen de la filosona subyacente a las defensas en profun-
Ingt::l1iería· de una cultura que infornu 254 didad. 90
Ingeniería de una cultura justa 264 4.1 Un co ntinuo de controles administrativos. 99
Ingeniería de una cultura flexible 275 4.2 Un proceso de control principalmente prealimentado,
282 basa do en pro cedimientos, con adiciones esporádicas. 99
Ingeniería de una cultura que aprende
La q ¡]tura de la seg~lridad: mucho más que la suma de sus partes 282 4.3 Control retroalimentado de produ cción qu e requiere com-
284 paraciones fi'ecuentes entre las metas y las realizaciones. 99
Post scríptUIT1: cl¡]tura nacional
4.4 Controles mixtos de retroalimentació n y prealimentación. 100
10. La conciliación de los diferentes enfo ques de la gestión 4.5 Situación de los tres niveles de actuación dentro de un «es-
de la seguridad 285 p acio de actividad» definido por el modo dominante de
R etorno a la distinCión entre accidentes individuales y organizativos 285 control de la acción y por la naturaleza de la situación lo cal . 106
Tres enfoques de la gestión de la seguridad 286 4.6 R esumen de los principales tipos de error. 110
Et modelo 'pe:rsollal 286 4.7 R esumen de los diversos comportamientos en relació n con
E! modelo d~ lnge.ni ería 287 las reglas. 122
IÚ modelo Q~g.i;-uza't.ivo 289
5.1 El ej emplo básico (tuercas y tornillos). 136
Ár.e.á·s ¡:le rie~~6 primarias 290 5.2 Una sencilla fotocopiadora con una elevada probabilidad de
La'; preporiderancla del riesgo en diferentes ám.bitos 291 que uno se olvide de retirar la última página del original. 141
¿PLiedet1" pted;¿:.~ir~e los accidentes organizativos a partir de los daños 5.3 Ejemplo de un sencillo recordatorio que minimiza el 01-
pe)'so~ales.? :·;'!~:·· . 297 vido de la última página. 143
C~hdicib'ñe¡ i;úen:tes: ' el riesgo universal 299 5.4 Características del deterioro de un Ítem m ecánico simple
. ¿H~9~ciIad~:/clp;~asiá40
~..•,~-.~',
. -·'-·::,+-:-"i!,:·.'h-, ', ..." .-' ',",-:.
el• péndulo? .
. 299 (basado en Kelly). 145
A,lgu'tlOS lil-§bl¡:h1a¡¡ de las ~o ndiciones latentes 301 5.5 Relación entre el nivel de mantenimiento preventivo y
E1.Píeeio. ~~lfbc:a~O"" 303 el coste total de mantenimiento -indicado por la linea
. La:·¿itin1;~;Jdb~a , ;:-~... 306 de puntos. 146
h-(;;j;:~~~;)tt:~!!¡;( • 13
~"',."'~" .... ..
,'.' ..... \'"~;.;;::':"~·¡,,¿··.:·~/·'?:;c::;. .,'
........-------------
Lista de diagramas
Lista de diagramas
5.6 Comparación de los riesgos para el sistema por un fallo
de componentes debido a (a) descuido del mantenimiento 9.1 Diagrama de fllUo del incidente del despegue desautorizado
ue
y (b) errores cometidos durante el mantenimiento. 147 q(b m uestra l,os vínculos causales que se juzgan relevantes
asa d o en O Leary).
6.1 Una distribución imaginaria del número de coces sufi·idas 264
9.2 ~os elementos básicos de la acción humana.
por los integrantes de un regimiento de caballería durante 9.3 Arbol de dec· ., d 265
un periodo de tiempo dado. 151 . lSlOn para eterminar la culpabilidad de los
actos peligrosos.
6.2 Distribución bilateral de la resistencia-vulnerabilidad entre los 270
soldados de caballería que no sufrieron ninguna coz, discrimi- 10.1 Mapade Ias «repercusiones causales» de recientes accidentes
orgamzatlvoS.
nando en función de la efectividad de sus contramedidas. 152 300
10.2 Valores relativos (altamente especulativos) de d· _ .
6.3 El espacio de seguridad. 153 d . lversos tIpOS
6.4 Corrientes y contracorrientes en el interior del espacio e p~slbles factores causales para los objetivos explicativos
predlctIvos y correctivos. '
de seguridad 155 301
6.5 Resumen de los principales factores involucrados en la na-
vegación por el espacio de seguridad. 159
6.6 Áreas candidatas a la medición proactiva de procesos, cada
una de ellas dotada de un canal separado y numerado que
las conecta al sistema de información sobre la seguridad. 165
6.7 Los subsistemas de proceso primarios que subyacen a la se-
guridad organizativa. 167
7.1 Los elementos del ciclo de inculpación. 174
7.2 Las tres «patas» de Tripod-Delta: tipos genéricos de fallo,
actos peligrosos, resultados negativos. 181
7.3 Las relaciones entre procesos sistémicos básicos y tipos ge-
néricos de fallo, y el impacto combinado de dichos GFT en
las circunstancias que fuerzan los errores. 184
7.4 Un perfil de estado de fallo Tripod-Delta que identifica los
tres GFT que más necesitan ser mejorados en el futuro inme-
diato. 186
7.5 Diagrama de influencia simplificado que muestra algunos
de los factores determinantes de la probabilidad de que una
nave encalle en un bajío fluvial . 198
7.6 Unidades básicas del análisis de sucesos Tripod-Beta. 203
8.1 Los elementos básicos del proceso regulador. 240
8.2 Incorporación de los factores organizativos y de gestión
(o & M) a los elementos básicos del proceso regulador. 241
8.3 Un perfil de factor organizativo generado por las puntua-
ciones agregadas de todos los casos. 242
8.4 El proceso regulador integrado en un ciclo de aprendizaje
más amplio. 243

I5
..........-------------
Lista de tablas

2.1 R esumen de los fallos activos y las condiciones latentes que

socavaron o rompieron las defensas del sistema de manteni-
miento de aeronaves. 57
2.2 Cóm o m anej an la información sobre la seguridad distintas
culturas organizativas . 71
4.1 Diversidad de la ac tividad organizativa (basa da en Perrow). 103
4. 2 Algunos ej emplos de los diversos tipos de actividad. 103
4. 3 Seis variedades de actuación en relación con las reglas. 114
5.1 Probabilidad relativa de problemas de actuación humana en
actividades humanas universales . 134
5.2 C0111.pilación del resultado de tres estudios que muestra las
relaciones entre actividades y problemas de actuación. 135
5.3 Resumen de los posibles procesos cognitivos implicados en
la omisión de pasos necesarios para la ej ecu ción de una
tarea. 140
6.1 C ifras n1.edias de problemas qu e contribuyeron a accidentes
fa tales en tres tipos de aeronaves. 160
6.2 R esumen de las posibles interacciones entre m edidas reacti-
vas y proactivas . 161
7.1 R esumen de herramientas de gestión del error. 179
7. 2 Gén eros de tareas y probabilidades de error asociadas
(basa do en Williams). 194
7.3 Tip os de conductas infi:actoras y probabilidades nominales
asociadas para las muj eres. 195
7.4 Pasos implicados en el cálculo de la probabilidad incondi-
cional de qu e la percepción del riesgo del patrón sea impre-
CIsa. 199
9.1 M atriz de gestión de riesgos de British Airways empleada
p ara evaluar el riesgo futuro qu e tendrá la compañía de qu e
se repita un cierto suceso. 261
9.2. R esumen de los efectos de la recomp ensa y el castigo en el
cambio conductual en el puesto de trabajo. 273
10.1 Co mparación de las estimaciones de cuatro tip os de riesgo
en diferentes ámbitos. 292
10.2 Pérdidas financieras sufi:idas por la industria petroquímica a
consecuencia de sucesos graves. 304

17
...........-------------
Lis ta de siglas

ACAA: Australian Civil Aviation Authoriy - Autoridad de Aviación

Civil Australiana.
ALARP : As low as reasonably practicable - Tan bajo como sea razonable-
mente practicable.
AMMS: Aurora Mishap Management System - Sistema de gestión de inci-
dencias Aurora.
AOe: Air Operators Certifica te- Certificado de operador aéreo.
ASR.S: Aviation Safety Report System - Sistema de informes sobre
la seguridad en la aviación (NASA).
BA: British Airways.
BASl: Bureau of Air Safety Investigation - Oficina de Investigación
de la Seguridad Aérea (Australia).
BASlS: British Airways Safety Information System - Sistema de infor-
mes de seguridad de British Airways.
BB & co.: Barings Brothers & Co.

BFS: Barings Futures (Singapur) Pte Lirnited.

BSL: Barings Securities Lim.i.ted.
C EO: Chiif executive officer - Presidente ejecutivo.
ClMAH : Control oJ Industrial Major Hazards - Control de riesgos indus-
triales graves.
COS HH: Control oJ Substances Hazardous to Health - Control de sustan-
cias peligrosas para la salud.
CR.lEPl: Central Research Institute for the Electrical Power Industry -
Instituto Central de Investigación del Sector de la Energía
Eléctrica.
CRM: Crew (cockpit) resource management - Gestión de recursos de la
tripulación (cabina).
CVR.: Cockpit Voice R ecorder - Segunda caja negra.
Ee: European Conumssion - Comisión Europea.
EM: Error management - Gestión del error.
EPe: Error-producing condition - Circunstancia generadora de error.
FAA: Federal Aviation Adlmnistration - Administración Federal de
Aviación (Estados Unidos).

19
.......---------------
Lista de siglas
Lista de siglas

FD!'l: Flight data reearder - Caja negra. MESH:

Managing Engineering Scifety Health - Ingeniería de gestión de la
FEA : Fai/ure mode and iffects analysis - Análisis delnlOdo y los efectos salud y la seguridad.
del fallo. MSA:
M arine Safety Agency - Agencia de Seguridad M arítima.
FMEA : Fai/ure rnodes and iffects analysis - Análisis del modo y los efec tos NASA:
N ational Aeronautics and Space Administration - Administra-
del fallo. ción N acional Aeronáutica y Espacial.
FMS: Flight rnanagement system - Sistema de gestión de vuelo. NCO : Non -earnmissioned <1ficer - Suboficial.
FSA: Forrna/ saJety assessrnent - Evaluación de seguridad formal . N!'lC:
Nuclear Regulatory Commission - Comisión Reguladora de
GFT : General Jailure type -Tipo gen érico de fallo. la Energía Nuclear.
HAZAN: H azards a11alysis study - Estudio de análisis de las am enazas. NTSB :
National Transport Safety Board - Oficina Nacional de Segu-
HA ZOP : H azard operability study - Estudio de operabilidad de las ame- ndad en el Transporte.
nazas. NUREG:
R eport series issued by Nuclear Regulatory Conunission _
HEA : Human error analysis - Análisis del error humano. Serie de informes publicados p or la Comisión Reguladora de
HEAIU : Hurna11. Error Assessrnent and Reduction Technique - Tecnica de la Energía Nuclear.
evaluación y reducción del error humano. NWA : Northwest Airlines.
HEMP: H azardous Elfects Managernent Process - Proceso de gestión de o &M:
O};galúzational a11.d rnanagerial - Factores organizativos y de ges-
amenaza y efecto. tlon.
Hl'lA: Hum an reliability analysis - Análisis de fiabilidad humana. PIF:
Performance-influencing factor - Factor que influye sobre la
H!'lO: High-reliability organízation - Organización de alta fiabilidad. actuación.
H ealth and Safety Commission - Comisión de Salud y Segu- PRA:
HSC: Probabilistic risk assessment - Evaluación probabilística de riesgos.
ridad. PSA:
Probabilistic scifety assessl1'lent - Evaluación probabilística de la se-
HSE: H ealth and Safety Executive - Comité Ejecutivo de Salud y guridad.
Seguridad. PWTt:
Pressurised water reactor - Reactor de agua a presión.
lAEA: International Safety Advisory Group - Grupo Asesor Interna- QA: Quality Assurance - Garantía de calidad.
cional en M ateria de Seguridad. !'lAMS:
R eliability and rnaintainability study - Es tudio de fia bilidad y
IDA : Injluence DiagramApproach - Enfoque del diagrama de influencia. mantenibilidad
IDM: Irifluence Diagrarn Methodology - M etodología del diagrama de !'lB : Rule-based - Basado en reglas.
influencia. !'lPF :
Railway proble111 jactor - Factor en un problema ferroviario.
IFSD: Iriflight engine shutdouJ/1. - Parada de motor en vuelo. l'l.BMIC
A Soviet-built nuclear power plant - Central nuclear de construc-
INPO: Institute ofNuclear Power Operations - Instituto de Opera- ción soviética .
ciones de la Energía Nuclear (Estados Unidos) . SB : Skm-based - Basado en habilidades.
JAL: Jap an Airlines. SESMA :
Special Event Search and lvIaster Analysis - Análisis de detección
KB: K11.owledge-based - Basado en conocimientos. y control de sucesos especiales.
LTI: Lost-time injury - Accidentes que conllevan p érdidas de jorna- SIMEX:
Singapore M one tary Exchange - Intercambio Monetario In-
das de trabajo. ternacional de Singapur.
MEDA : Mai11.tenance Error D ecision A id - Ayuda a la toma de decisiones SOl' :
Standard operating procedure - Procedimiento operativo estándar.
sobre errores de mantenimiento. SPC:
Statistical Process Control - Control estadístico de procesos .

20
21
Lista de siglas

SR & QA: Safet)' Reliabílít)' and Qualit)' Assurance Prograrn - Programa

de seguridad fiable y garantía de calidad.
TBR: To-be-remembered - Que debe recordarse.
TMI: Three Mile Island. Prefacio
TQM: Total Q~talit)' Management - Gestión de calidad total.
vPC:
Violation-producingfactor - Factor inductor de infracción.

Este libro no ha sido concebido como lectura académica, aunque espero

que haya profesores y estudiantes que lo lean.Va dirigido a la «gente real»
y en especial a aquellos cuya labor cotidiana consiste en pensar en los
riesgos de las tecnologías donde éstos son mayores, a fin de gestionarlos
o regularlos. El lector que imagino es alguien con formación técnica más
que en factores humanos. Con esta noción en mente he intentado -no
siempre con éxito- mantener el texto tan libre de jerga especializada
como me ha sido posible.
El libro no va dirigido a un solo sector económico, sino que intenta
identificar principios y herramientas generales aplicables a cualquier or-
ganización que afronte riesgos de uno u otro tipo. Esto incluye a los ban-
cos y las compaiüas aseguradoras tanto como a las centrales nucleares, la
exploración y producción petrolífera, las plantas de proceso químico y el
transporte aéreo, marítimo o terrestre. Cuanto más se asciende hacia las
cimas de estos sistemas, más se asemejan sus procesos organizativos -y sus
debilidades.
En un libro de esta clase es inevitable que tiendan a predominar los
ejemplos de carácter más dramático y espectacular; no obstante, aunque
he utilizado estudios de caso para ilustrar con ejemplos mis ideas, no he
pretendido convertir este libro en otro catálogo de estudios de caso de ac-
cidentes. He hecho hincapié, más bien, en los principios y en los detalles
prácticos -que deben operar hombro con hombro-o Finalmente, la ver-
dadera prueba que esta obra deberá superar es si, con el tiempo, sus ideas
pueden o no traducirse en alguna mejora de la resistencia de unos siste-
mas que son complejos y están bien defendidos frente a los infrecuentes,
pero habitualmente catastróficos, «accidentes organizativos» .

James Reason

22 23
 1
Amenazas, defensas y pérdidas

ACCIDENTES INDIVIDUALES Y ORGANIZATIVOS

HAY DOS CLASES DE ACClDENTES: los que les ocurren a los individuos y los que
suceden a las organizaciones. Los accidentes individuales son, con mucha
diferencia, los más numerosos, pero no el asunto principal de este libro.
Nuestra atención se centrará en los accidentes organizativos} que, en compa-
ración, son sucesos relativamente raros, aunque a menudo catastróficos, y
que acaecen a tecnologías modernas y complejas como las centrales nu-
cleares, la aviación comercial, la industria petroquímica, las plantas de pro-
ceso químico, el transporte marítimo o ferroviario, los bancos o los estadios
deportivos.
Los accidentes organizativos tienen múltiples causas, que involucran a
numerosas personas que operan en diferentes niveles de sus respectivas
empresas. Los accidentes individuales, en cambio, son aquéllos en los que
una persona o un grupo concreto suele ser al mismo tiempo el agente y
la víctima del accidente l . Sus consecuencias para las personas afectadas
pueden ser graves, pero su extensión es limitada. De otro lado, los acci-
dentes organizativos pueden tener efectos devastadores sobre poblaciones
y bienes sin relación alguna con la organización en cuestión, y sobre el
n1.edio ambiente.Y si bien la naturaleza (pero no necesariamente la fi:e-
cuencia) de lo s accidentes individuales ha permanecido relativamente
constante a lo largo de los años, los accidentes organizativos son un pro-
ducto de tiempos recientes o, más concretamente, un producto de inno-
vaciones tecnológicas que han alterado radicalmente la relación entre los
sistemas y sus elementos humanos.

1. Los accidentes individuales pueden, y suelen, tener orígenes organizativos. De hecho,

como ha señalado Andy Pearce, de Shell Expro, un accidente mortal en una plataforma
oceánica es típicamente el resultado de una cadena de al m enos siete fallos distintos. No

25
La gesti ó n de los gra ndes riesgos
r. Am enazas, defensas y pérdi das

ENCONTRAR EL NIVEL DE EXPLICACIÓ N ADECUADO

básica de este libro es q 1 . , .
. '.' , ue e mar co teon co qu e presenta el dia ram a 1 1
Los accidentes organizativos son sucesos dific iles de entender y de con- s~rvlla p ara este Prop OSItO. El diagrama mu estra la relación ent! los tr~s
trolar. O curren muy raram ente y son dificiles de predecir y de prever. ; emen~os que dan tí.tulo al capítulo: am enazas, defensas y p érdidas. To dos
Para quienes los viven directam ente, surgen «de la nada». Pero p or dificil os acCI entes orga mzatIvos Suponen la rotura de la b "
. , s arr eras y protec-
que sea m odelarlos, debem os esforzarnos por hallar algún modo de en- CIOn es que separan a las p ersonas y los activos vulnerables - colectiva-
tender cómo se desenvuelven si h e111.0 S de lograr algún nuevo avance en
mente den omll1ados «p érdidas»- de 1
d - . . .
r.
os p e IgroS cap aces de causarles
la limitación de su frecuencia. Sin m encionar el coste humano en tér mi- dan~s ~peIJlllclOs. H ay aquí una marcada diferencia con los accidentes in-
nos de lesion es y muertes, hay muy pocas organizaciones com erciales ca- IVI u es, donde esas defensas a m enudo son inadecuadas . .
El dia . . . ' o ll1eXIstentes.
paces de sobrevivir a las repercusiones de un gran accidente de este tipo. . .' gram a 1,.1 dmge nuestra aten ción a la pregunta central de cual-
Se dice que en lógica nada es accidental. Pero, ¿es cierto lo contrario? qmer ll1VestIgaCIon de un accidente: .: qué rompió las d r ?E b
bl h 11 ' . ' elensas. s pro a-
¿Carecen de lógica los accidentes? Sus causas, ¿no ti enen principios sub- e que se a en uuplicados tres tipos de fac tores -hulu ,.
. . anos, tecnICOS y
yacentes? H e escrito este libro p orque creo que esos principios existen . orgamzatIvos- y los tres es tarán regidos p or dos procesos
di ' . comunes a
Los accidentes organizativos pu eden ser verdaderam ente accidentales en to as as orgam zacIOn es tecn ológicas: la p roducción y la protección.
el modo com o los diversos factores incidentes se combinan p ara produ-
cir el resultado pernicioso, pero la existencia de esos precursores, o de las D iagrama 1.1
circunstancias que los crearon, no tien e nada de accidental. La dific ultad, R elación entre amenazas, defensas y pérdidas
n o obstante, reside en encontrar el nivel de descripción adecuado.
Si tomam os en consideración solam ente los detalles sup erfi ciales -el
DEFE N SAS
tip o de información que recogen las noticias- los accidentes organiza-
tivos son desalentadoram ente diversos . O curren en una gran variedad de
sistem as y en lo calizacion es muy diferentes. Cada accidente tiene su pro-
pio patrón individual de causa y efecto. Aparte del h ech o de qu e siempre
PELIGRO
1111
son malas n oticias, este nivel de descripción parece desafi ar todo intento
de generalización e implica claram ente la necesidad de investigar más en
profundidad ciertas estructuras y procesos subyacentes comunes para en-
AM.ENAZAS
1111
contrar el nivel de descripción correcto.
E n el p olo opuesto, puede afirmarse que todo accidente organizativo
supon e la liberación no planeada de agencias destru ctivas tales com o masa,
en ergía, sustancias químicas u otras similares. Sin duda, esto es una gen e- PROTECCIÓN y PRODUCCIÓN: DOS HECHOS UNIVERSALES
ralización , pero no nos lleva m uy lej os. N o obstante, como los artilleros,
Todas las organizacion es tecnológicas p roducen algo -b ' r
h emos encuadrado el obj etivo. El nivel de descrip ción idóneo debe estar turad t d len es m anulac-
situado en algún punto entre los detalles superfi ciales, muy idiosincrási- . .~s, ransporte e p ersonas, servicios finan cieros o de otro tipo, ex-
tr acClOn de maten as primas etc.- Y en la ruedid .
cos, y la vagu edad de esa definición tan amplia. . d . ,. , a en que sus op eraCIOnes
El obj etivo es descubrir ideas que puedan aplicarse igualm ente bien a f ro uctIvas ~xponen a activos y a p ersonas al p eligro, todas ellas (y los sis-
un amplio abanico de ámbitos de baj o riesgo y alta peligrosidad. La tesis ema~ mayores en qu e se ll1cardinan) requieren diversas formas de p ro-
telcclO,n. que se l11terpongan entre las am enazas locales, sus posibl~s víctimas
y a p erdIda de actIVOS .
siempre es fác il trazar una línea rápida y nítida entre los accidentes individuales y organi-
. Pdoseem os una comprensión razonablem ente bu en a de los asp ec tos
zativos, pero este libro sostiene que es útil tratarlos como tip os de sucesos distintos. pro UCtIVOS de una organiz . , .
aCIOn, y sus pro cesos asoCIados son relativa-
26
27

La gestión de los grandes riesgos
mente transparentes; las funciones de protección, sin embargo, son más
diversas e intrincadas . El diagrama 1.2 presenta algunos de los temas 1111.-
plicados en la compleja relación entre producción y protección. En un
mundo ideal, el nivel de protección debería igualar al de las amenazas de
las operaciones productivas -la zona de pa:'idad2-:-~ Cuanto may~r sea la
magnitud de esas operaciones, mayores seran tamblen la exposlclon a las
amenazas y la correspondiente necesidad de protección. La gravedad de
las amenazas operacionales de diversos tipos de producción -y, por ende,
de organizaciones diversas-, empero, difieren, y, así, las empresas de
menor peligrosidad necesitarán menos protección por unidad de ~ro­
ducto que las empresas de peligrosidad mayor, o, de otro modo, aquellas
pueden operar en la región por debajo de la zona de paridad y éstas deben
hacerlo por encima. . nec~sidades prev~ecerán durante la mayor parte de la vida de una organi-
La amplia zona de operación (el área ligeramente sombreada del dla-
gram.a 1.2) está delimitada por dos extremos peligrosos. En la esqmna su-
perior izquierda está la región donde la protección excede en mucho los
peligros que suponen las amenazas de las operaciones productivas. La pro-
tección consume recursos productivos -tales como personas, matenales
y dinero-, así que es probable que esas organizaciones tan sobreprotegi-
das se vean pronto en bancarrota.
Diagrama 1.2
Perfil de la relación entre producción y protección
Protección
Empresas con
peligrosidad
alta
Empresas con
peligrosidad
baja
Producción
2. En las tecnologías más sünpl es, los elementos productivos y protectores eran a me-
nudo estru cturas diferentes; en las tecnologías complejas la nusma entidad puede cumplir
tanto funciones productivas como defensivas -así es, por ejemplo, en el caso de los PI-
lotos o de los operadores de salas de control.
28
1. Amenazas, defensas y pérdidas
En el otro polo, en la esquina inferior derecha, las protecciones dis-
ponibles están muy lejos de alcanzar lo necesario para la seguridad de la
producción, y las organizaciones que operan en esta zona encaran un
riesgo muy alto de sufi.-ir un accidente catastrófico (lo que probablemente
significará también tener que cesar en su actividad comercial) . General-
mente, es~as zonas obviamente peligrosas se evitan, aunque sólo sea por-
que son lI1aceptables tanto para los entes reguladores como para los
aCClOlUstas. Lo que más nos interesa aquí es cómo navegan las organiza-
ClOnes por el espacio limitado por esos dos extremos .
Pese a las frecuentes declaraciones en sentido contrario, la asociación de
producci~n y protección rara vez es igualitaria y uno de los procesos pre-
donunara, dependiendo de las circunstancias locales. Dado que la produc-
ción crea los recursos que hacen posible la protección, por lo general sus
zaClOn. Esto es aSI, en parte, porque quienes gestionan la organización po-
seen competencias productivas, más que protectoras, y en parte porque la
información relativa a la producción es directa, continua y fácil de enten-
der. En cambio, el éxito en la protección se evidencia en la ausencia de re-
sultados negativos, la información asociada a ella es indirecta y discontinua,
y sus indicadores son diflciles de interpretar y, a menudo, engañosos. Sólo
despt~és de un accidente severo o de un casi accidente aterrador la pro-
tecclOn deViene -por un breve periodo de tiempo- la preocupación
predonunante en las mentes de quienes dirigen la organización.
Todos los gestores racionales aceptan la necesidad de algún grado de
protección, y muchos participan firmemente de la convicción de que, a
largo plazo, la producción y la protección van necesariamente a la par. Es en
el corto plazo donde surge el conflicto. Casi a diario, los encargados y su-
pervisores directos de los operarios deben decidir si recortan un poco las
eXIgenCIas de seguridad para cumplir ciertos plazos o satisfacer otras de-
mandas operativas. En la mayoría de los casos, esos breves recortes no cau-
san efectos negativos, por lo que pueden llegar a convertirse en parte
habitual de las prácticas de trabajo rutinarias. Por desgracia, esa reducción
gradual de los márgenes de seguridad del sistema lo vuelve cada vez más vul-
nerable a combinaciones particulares de factores causantes de accidentes.
El diagrama 1.3 -cuyo principal propósito es presentar los dos im-
portantes rasgos de la vida organizativa que más adelante describiré-
traza el infortunado curso de una organización hipotética a través del es-
pacio de producción-protección. La historia comienza cerca de la esquina
mfenor Izqmerda, donde la organización inicia su producción con un ra-
29
 I. Amenazas, defensas y pérdidas
La gestión de los grandes riesgos

protección se convierten a menudo en avances productivos, que devuel-

nable margen de seguridad. (Los puntos negros indican el avan~e de la ven a la organización a la misma situación de protección inadecuada que
zo . ., de un suceso a otro). Con el paso del tlem.po, el margen de
orga11lZaClOn .d d te predominaba antes del accidente, si es que no la llevan a otra aún peor. La
.. dad merma gradualm.ente hasta que ocurre un acCl ente ecos incidencia de las explosiones en las minas aumentó enormemente en los
~ea~~r~l suceso induce una mejora de la protección, que más adela~te se años siguientes a la introducción de la lámpara de Davy y la historia de
sacrifica ara aumentar la producción, hasta que ocurre otro acCl ente, los accidentes marítimos rebosa de colisiones asistidas por radar -por
, . p 1 anterior. El nivel de protección se eleva de nuevo Y se
mas grave que e '1 de tiempo sin acCl- citar sólo dos de los muchos ejemplos de accidentes derivados del sacri-
ve paulatinamente erosionado despues ~or un apso ficio de beneficios de protección a cambio de ganancias productivas-o
dentes. La historia termina con una catastrofe. Este proceso ha sido denominado «compensación de riesgos» u «homeos-
tasi s de riesgos»3.
Diagrama 1.3 .
·tal de una organización hipotética a través del espacIO
e uno VI .,
de producción-protecClon
Los peligros del (cbarco indernne»4

Una nutrida evidencia muestra que un periodo prolongado sin que ocu-
rra un accidente grave puede causar una continua erosión de la protec-
Protección
ción, a medida que las demandas productivas empiezan a dominar su ya
desigual relación. Es fácil olvidarse de temer cosas que raramente ocu-
Mejores defensas rren, sobre todo bajo la presión de imperativos de producción tales como
reconvertidas en el crecimiento, el beneficio y la cuota de mercado. Como resultado, las in-
aumento de la
producción versiones en una protección más efectiva disminuyen y declinan el cui-
dado y el mantenimiento precisos para preservar la integridad de las
defensas existentes. Además, la mayoría de las organizaciones considera
económicanlente esencial el crecimiento de la producción, pero el mero
hecho de incrementarla sin la consiguiente provisión de nuevas defensas
o la ampliación de las existentes erosionará también los márgenes de se-
guridad. La consecuencia de ambos procesos -desatender las defensas
existentes y no ai'íadir otras nuevas- es un gran aumento del riesgo de
Sacrificar la protección adicional en favor de mejoras sufrir un accidente catastrófico; en ocasiones, definitivo.
de la producción Más adelante volveremos sobre la interrelación entre la producción y
la protección, pero ahora debemos centrarnos en la protección -los es-
· ncia las meioras en la protección se implementan durant~ el
C on firecue, ~ .nf SU fin es eVitar
periodo üUTlediatam.ente posterior a un suceso I austO. d fi . 3. Erik Hollnagel analiza éstos y otros ejemplos de compensación de riesgos en Human
ue el accidente se repita, pero pronto se aprecia que las e ensas.meJo- Reliabilit)' Anall'sis: Context an.d Con.trol, (Londres, Academic Press, 1993, pp. 8-11) . Véase
;adas confieren ventajas productivas. A comienzos del Siglo XIX , p~,r eJenl- también G.J. S.Wilde "The theory of risk homeostasis: implications for safety and healtl1»,
'lo, los dueños de minas advirtieron rápidam.ente q:le la ll1venClOn de.l~ Risk Anall'sis, 2,1982, pp. 209-255. Leonard Evans ha ofiecido una excelente crí ti ca de la
idea de homeostasis de riesgo en su aplicación al transporte por ca rretera en Ti·qffic Sqfet)'
P, d .·d d de Davy pefluitía extraer carbon de zonas que pre
lampara e segun a . d G/Id tile Driver (Nueva York,Van Nostrand Reinhold, 1991, pp. 298-300).
viamente se juzgaban demasiado peligrosas debido a l~ presenlCla d e g~se~ 4. Constante Perin acuñó el término en L1na ponencia titulada .British Rail: the case
. nflamables. Los armadores tardaron poco en descubnr que e ra ~r nau of the unrocked boat», un come ntario sobre el accidente ferroviario de Clapham Junc-
~ico permitía a sus mercantes navegar a velocidades m~yores po~ vlas m;- tion ofrecido en el Workshop on ManagingTechnological Risk in Industrial Society ce-
lebrado del 14 al 16 de mayo de 1992 en Bad Homburg, Alemania.
rítimas muy estrechas o frecuentadas. En suma, las mejoras ten entes a a
3I
30
La gesti ó n de los g rand es riesgos
tratos de defensas, barreras y salvagu ardias que se levantan para resistir las
am enazas, tanto naturales como creadas por el ser humano-oSi hay un
hecho cierto en un accidente es que las defensas fu eron rotas o evitadas.
Identificar cómo pu eden ocurrir esos fallos es el primer paso para enten-
der un pro ceso común a todos los accidentes organizativos.
Así, como la producción puede involucrar numerosas ac tividades di-
ferentes, también la protección puede lograrse de diversas formas. En el
resto del libro reservaremos el término «protección» para el fin general de
garantizar la seguridad de p ersonas y bienes, y llam aremos «defensas» a los
diversos medios gracias a los cuales es posible conseguir di cho fin . E n este
punto convendría considerar las distintas m aneras como se pu eden des-
cribir o clasificar las defensas.
LA NATURALEZA Y VARIEDAD DE LAS DEFENSAS
Las defensas pu eden clasificarse, bien según las diversas fun ciones qu e
cumplen, bien según las diversas maneras cómo las cumplen . Las funcio-
nes defensivas son universales; sus modos de aplicación varían de una or-
ganización a otra dependiendo de sus amenazas op erativas.
Todas las defensas están diseI1.adas para cumplir una o más de las si-
guientes funciones:
- C rear conciencia y comprensión de las amenazas lo cales.
- Ofi'ecer una guía clara de cómo operar con seguridad.
- Proporcionar alarmas}' avisos cuando el p eligro es inminente.
- R estaurar el sistema a un estado seguro cuando se sitú a fu era de lo nor-
mal.
- Interponer barreras de seguridad entre las am enazas y las poten ciales
pérdidas.
- Contener y eliminar las amenazas en el caso de qu e se sup eren dichas ba-
n·eras .
- Proporcionar medios de evacuación y rescate para el caso de qu e la con-
tención de las am enazas fall e.
Implícita en la ordenación de esta lista está la idea de «defensas en pro-
fundidad» - sucesivos estratos de protección, uno detrás de otro, cada uno
de ellos ofreciendo protección frente al posible fallo del anterior-o
Cuando la conciencia, la comprensión y la dirección procedimental no lo-
gran mantener las am enazas alejadas de las potenciales víctimas, las alar-
1. Am enazas, defensas y pérdidas
mas y los avisos alertan del p eligro inm.inente y guían a los controladores
del sistema (o a los disp ositivos de seguridad ingeniados para ello) p ara de-
volver el sistem a a un estado seguro. Si no lo consigu en , hay barreras físi-
cas que se interp on en entre las am enazas y las pérdidas potenciales . Otras
defensas ac túan para conten er y elimjnar las am enazas.Y si todas es tas de-
fensas previas fallan, se recurre a m edidas de evacuación y rescate.
Es esta multiplicidad de defensas superpuestas y que se respaldan mu-
tuam ente lo qu e hace que sistemas tecnológicos complej os como las cen-
trales nuclea res o el moderno avión com ercial sean en gran m edida
inmunes a los fall os aislados, sea n éstos humanos o técnicos. M ás que nin-
gún otro factor, la presen cia de elaboradas defensas en profundidad ha mu-
dado el carácter de los accidentes industriales. Las tecnologías previas sufi'ían
- y, en la medida en qu e siguen operando, continúan sufi'iendo- un nú-
mero relativamente alto de accidentes individuales. En las tecnologías m o-
dernas, como la generación de electricidad m ediante energía nu clear o el
transporte aéreo, ocurren muy pocos accidentes individuales. Su mayor p e-
ligro radica en los accidentes organizativos, raros pero con fi'ecuencia de-
sastrosos, fruto de ap ortaciones causales de mu chas p ersonas diferentes,
distribuidas ampliamente p or todo el sistenla y a lo largo del tiemp o.
Las funciones defensivas arriba esboza das suelen cumplirse m ediante
una combinación de aplicaciones «duras» y «blandas» . Las defensas «duras»
incluyen disp ositivos técnicos como los elem entos de seguridad automá-
ticos diseñados p or la ingeniería, las barreras físicas, las alarmas y avisado-
res, los m eca nismos de bloqueo de seguridad, las llaves, el equip o de
protección p ersonal, las pru ebas no destructivas, las debilidades estru ctura-
les deliberadamente incluidas en el diseÍ'ío (por ej emplo, clavij as de segu -
ridad en los pilones de suj eción de los m otores de los aviones) y la m ejora
del diseI'i.o del sistema. Las defensas «blandas», com o suoiere
b el térmjno , se
basan mu cho en la combinación de pap el y p erso nas: legislación, vigilan-
cia del regulador, reglas y procedimi entos, formación, entrenamiento, ins-
tru cciones previas, controles admjnistrativos (p or ej emplo, sistemas de
permjsos p ara iniciar trabaj os o protocolos de cambio de turno), licencias
de operador, certificaciones, insp ección de supervisión y - el elemento
fundamental- los opera dores de primera línea, en esp ecial en los sistem as
de control muy automatizados.
Las ac tividades humanas que empleaban las tecnologías anteriores eran
principalmente productivas: la gente hacía o elaboraba cosas que condu-
cían direc tamente a la obtención de un beneficio comercial. La disp onj-
bilidad gen eralizada de cap acidad de computación a muy bajo coste, sin
33
 ¡. Nll.enazas, defensas y pérdidas
La gestión de los grandes riesgos
. de cada estrato cambian
. . que los agujeros .
embargo, ha producido un cambio inmenso en la naturaleza de la relación D' al modo, puede 1111ag111arSe d 'espuesta a las aCClOnes
e Igll y Vl'en en n1enguan o se expan en en r
de los seres humanos con las tecnologías modernas, que es más patente en d .' v a n ' al
e SIt10, . las demandas loc es. h emOS
las centrales nucleares y en las «glass- cockpit» de la aviación com ercial. de los operadores ya . . »? Para responder a esta pregunta ..
En lugar de hallarse fisica y directamente involucrados en la tarea de pro- .e' 1110 se crean los «aguJeros.. . , . fallos activos y condlClon es
¿ o 'd . ' 0' n la dlst111ClOn entre
ducir algo (y, por consiguiente, en contacto inmediato con las amenazas . en conSl eraCl
de ton1ar
locales), los operadores de las centrales eléctricas y los pilotos actúan como latentes .6

planificadores, ges tores, agentes de mantenimi ento y controladores- su-

Diagrama 1.4 .d d
pervisores de sistemas en gran parte automatizadoss. Una parte crucial de . al 1 alidad de las defensas en profundi a
este último rol incluye la función defensiva de devolver el sistema a un es- E llde y a re
tado seguro en el caso de que se produzca una emergencia.
Las defensas en profundidad tienen sus pros y sus contras. Una de sus
consecuencias más desafortunadas es que vuelven a los sistemas más com-
plejos, y por ende más opacos, para sus gestores y operadores. En muchos El ideal
de esos sistemas, los seres humanos que ej ercen el control están cada vez
m ás alejados, fisica e intelectualmente, de los sistemas productivos que no-
nunalmente controlan. Esto favorece la proliferación de condiciones la-
tentes - que estudiaremos más adelante.

EL MODELO DE DEFENSAS TIPO «QUESO SUIZO»

En un mundo ideal, todos los estratos de defensa estarían intactos y serían

imp enetrables para las posibles trayectorias de accidente -como mues-
tra el lado izquierdo del diagram a 1.4- . En el mundo real, empero, todos
los estratos tienen puntos débiles y aguj eros del tipo que muestra el lado CONDICIONES LATENTES
derecho del diagrama. La naturaleza exacta de esos «aguj eros» será objeto FALLOS ACTIVOS y
de examen en el siguiente epígrafe ; pero antes deb emos transnutir al ienes diseñan, manufacturan, oper~n,
D ado que son los seres humanos qu lógicos complejos, no es extrano
m enos algo de la naturaleza dinámica de esas diversas defensas en pro-
mantienen Y gestionan los SlStemas tecno tén im licadas en todos los ac-
u e las decisiones Y acciones hUl11anas es contr~uyen de dos n1an eras al
fundidad .
Aunque el diagrama 1.4 muestra las capas defensivas y sus «agujeros» q . . Los seres h umano s . fi: CClones
asociados como entidades fij as y estáticas , en realidad están en flujo cons- Cidentes orgam zatlvos . .
' obVIa n1e 1
d' ante los errores e In -a
1d . s
L
fallo de estos sistemas. a mas ,. por pilotos, contra a ore
tante. Una imagen en movinuento, donde cada estrato defensivo entrase . línea» del SIstema - . n es finan
o saliese del encuadre en función de las condiciones locales, representaría cometidos en la «pnmera d d eguros o de inverslO -
li ' arre ores e s al de
m ejor la metáfora del «queso suizo» . D efensas concretas pu eden retirarse aéreos, agentes d e po Cla, c eradores de salas de control, perso n
.
Cleras, trl'pulaClon es navales, op
o inhabilitarse deliberadamente durante operaciones de calibración, man-
tenÍnLiento y comprobación, o como resultado de errores e infracciones. P ress 1990 (trad.
y, ·k Cambndge UlUvers1ty , ' [l-
, e ] R easo n , HII I11at1d ElMrOdus
6 .veas ·
l; N ueva DI d' ?009) cap. 7. El término apareclOIP , .
Laboran 1, - , Al - refiero e ter-
5. Véase N. Moray, «Monitoring behaviour and sup erviso ry contra!>' en K. Boff, L. cast.· El elTor IIU11/a110 Madn ~ IU~go se camb1ó por «fallos latentes».. l~r~ato alguno.
Kaufillan y J. Thomas (eds.) , H andbook r1 Percep tiol'l Gnd H'.JIIInI'1 Peifonnat'lCe, vol. 2 Nueva í
ll1ero CQ111.0 «errores atentes» r ue no 1111plica necesanall1ente error
'cO nd1c10nes latentes», po q
York,Wiley, 1986. nun O (' 3S

34
La gestión de los grandes riesgos
l. Amenazas, defensas y pérdidas

embargo, ha producido un cambio inmenso en la naturaleza de la relación

De igual modo, puede imaginarse que los aguj eros de cada estrato cambian
de los seres humanos con las tecnologías modernas, que es más patente en
de sitio, van y vienen, menguan o se expanden en respuesta a las acciones
las centrales nucleares y en las «glass- cockpit» de la aviación comercial. de los operadores y a las demandas locales.
En lugar de hallarse fisica y directamente involucrados en la tarea de pro-
¿Cómo se crean los «aguj eros»? Para responder a esta pregunta h emos
ducir algo (y, por consiguiente, en contacto inmediato con las amenazas
de tomar en consideración la distinción entre fallos activos y condiciones
lo cales), los operadores de las centrales eléctricas y los pilotos actúan como latentes 6 .
planificadores, gestores, agentes de mantenimiento y controladores- su-
pervisores de sistemas en gran parte automatizados 5 . Una parte crucial de
Diagrama 1.4
este último rol incluye la función defensiva de devolver el sistema a un es-
El ideal y la realidad de las defensas en profundidad
tado seguro en el caso de que se produzca una emergencia.
Las defensas en profundidad tienen sus pros y sus contras. Una de sus
consecuencias más desafortunadas es que vuelven a los sistemas más com-
plejos, y por ende más opacos, para sus gestores y operadores. En muchos
El ideal
de esos sistemas, los seres humanos que ejercen el control están cada vez
más alejados, fisica e intelectualmente, de los sistemas productivos que no-
minalmente controlan. Esto favorece la proliferación de condiciones la- Defensas en
tentes -que estudiaremos más adelante. profundidad
• ' .1 • •
••• •
• •
EL MODELO DE DEFENSAS TIPO «QUESO SUIZO»

En un mundo ideal, todos los estratos de defensa estarían intactos y serían

impenetrables para las posibles trayectorias de accidente -como mues-
tra el lado izquierdo del diagrama 1.4-. En el mundo real, empero, todos
los estratos tienen puntos débiles y agujeros del tipo que muestra el lado
derecho del diagrama. La naturaleza exacta de esos «aguj eros» será objeto
de examen en el siguiente epígrafe; pero antes debemos transmitir al
menos algo de la naturaleza dinámica de esas diversas defensas en pro-
fundidad.
Aunque el diagrama 1.4 muestra las capas defensivas y sus «agujeros»
asociados como entidades fijas y estáticas, en realidad están en flujo cons-
tante. Una imagen en movimiento, donde cada estrato defensivo entrase
o saliese del encuadre en fimción de las condiciones locales, representaría
mejor la metáfora del «queso suizo». Defensas concretas pueden retirarse
o inhabilitarse deliberadamente durante operaciones de calibración, man-
tenimiento y comprobación, o como resultado de errores e infracciones.
FALLOS ACTIVOS Y CONDICIONES LATENTES
Dado que son los seres humanos quienes diseñan, manufacturan, operan,
mantienen y gestionan los sistemas tecnológicos complejos, no es extraño
que las decisiones y acciones humanas estén implicadas en todos los ac-
cidentes organizativos. Los seres humanos contribuyen de dos maneras al
fallo de estos sistemas. La más obvia, mediante los errores e infracciones
cometidos en la «primera línea» del sistema -por pilotos, controladores
aéreos, agentes de policía, corredores de seguros o de inversiones finan-
cieras, tripulaciones navales, operadores de salas de control, personal de

6.Véase J. Reason, Human Enm; Nueva York, Camb ridge University Press, 1990 (trad.
5. Véase N . Moray, «Monitoring behaviour and sup ervisory co ntro],) en K. Boff, L.
cast.: El error humano, Madrid, Modus Laborandi, 2009], cap. 7. El término apareció pri-
Kaufillan y J. Thomas (eds.), Handbook of Perception and Hum an Peifonnance, vol. 2 Nueva
mero como «errores latentes» y luego se cambió por «fallos latentes».Ahora prefiero el tér-
York,Wiley,1986 .
nuno «condicion es latentes», porque no implica necesariamente error o fallo alguno.

34
35
La gestión de los grandes ri esgos
manteninuento y otros como ellos-o Es probable que sus actos peligro-
sos tengan impacto directo sobre la seguridad del sistema; debido a la in-
mediatez de sus efectos adversos se los denomina fallos activos.
Si se tratase de accidentes individuales, es probable que el descubri-
miento de los actos peligrosos inmediatamente anteriores al resultado ne-
gativo constituyese el final del asunto. De hecho, que la identificación de
los fallos activos no cierre el dossier de la investigación de un accidente
importante es algo que sólo viene ocurriendo desde mediados de la dé-
cada de los setenta , aproximadamente. Antes, limitar la responsabilidad a
los errores de individuos que se encontraban en la primera línea de las
operaciones era algo que convenía tanto a los investigadores como a las
organizaciones afectadas -por no hablar de los abogados, que siguen te-
niendo dificultades para establecer nexos causales entre las decisiones al
m áximo nivel y los sucesos con cretos.
Hoyes improbable que los investigadores o las organizaciones res-
ponsables den por acabada la búsqueda de las causas de un accidente or-
ganizativo con la mera identificación de los fallos humanos ocurridos en
«primera línea» . Esos actos peligrosos se ven ahora más como consecuen-
cias que como ca usas principales 7 . Veremos el desarrollo de esta nueva
perspec tiva y los episodios que la conformaron en el capítulo 4. Aunque
la falibilidad es una condición inevitable de la naturaleza humana, hoy se
reconoce que las personas que trabajan en sistemas complejos cometen
errores o quebrantan sus pro cedimientos por razones que, por lo general,
trascienden el ámbito de la psicología individual. Estas razones son las con-
diciones latentes .
Las condiciones latentes son a las organizaciones tecnológicas lo que los
patógenos residentes al cuerpo humano. Como éstos, las condiciones la-
tentes -tales como un diseI'io pobre, una sup ervisión incompleta, los de-
fectos de fabricación o los fallos de mantenimiento inadvertidos, los
procedimientos impracticables, una automatización tosca, una formación
insuficiente o unas herramientas y equipos por debajo de lo que sería ade-
cuado- pueden estar presentes durante muchos años antes de combinarse
con circunstancias locales y fallos activos para traspasar las numerosas ca-
pas de defensas del sistema. Su origen radica en decisiones estratégicas, y
otras de alto nivel, adoptadas por las administraciones públicas, los regula-
7. DavidWoods y sus colegas de la O hi o State University han desa rrol.lado la idea de
qu e los errores son consecuencias más que causas.Véase, por ejemplo, D.Woods el ni., Be-
Ililld HlllllnII Error: Cogn ili/le S)'stellls, COlllpllters nn.d HÍI'ldsiglrl. Slate-ofllre-A rl Reporl, (Day-
ton , Ohio, CSE RIAC, Wright-Patterson Air-Force Base, 1994) .
1. Amenazas, defen sas y pérdidas
dores, los fabricantes, los diseñadores y los gestores de las organizaciones.
El impacto de estas decisiones se extiende a través de la organización, co n-
figura una cultura de empresa característica (véase el capítulo 9) y crea fac-
tores productores de errores en los lugares de trabajo concretos.
Las condiciones latentes están presentes en todos los sistemas. Son una
parte inevitable de la vida de las orgaluzaciones.Y no son necesariamente
producto de malas decisiones, aunque también pueden serlo. Por ejemplo,
es raro que los recursos se distribuyan equitativamente entre los distintos
departamentos de la organización. La decisión original de su asignación
puede haberse basado en sólidas razones mercantiles, pero todas esas des-
igualdades crean problemas de calidad, fiabilidad o seguridad a alguien, en
alguna parte del sistema, en algún momento posterior. Ningún grupo de
altos directivos puede prever todas las ramificaciones futuras de sus deci-
siones actuales.
Así pues, la importantísima distinción entre fa llos activos y condicio -
nes latentes se basa en dos factores de carác ter principalmente organiza-
tivo. El primero tiene que ver con el tiempo que tardan en ocasionar un
impacto negativo. Los fallos activos suelen tener efectos inmediatos y de
vida relativamente corta, mientras que las condicio nes latentes pu eden
permanecer inactivas durante un tiempo, sin causar ningún dafio partiCll-
lar, hasta que interac túan con las circunstancias locales de modo que su-
peran las defensas del sistema. Su segunda diferencia tiene relación con la
localización de sus instigadores humanos dentro de la organización. Los
fallos activos los com eten quienes se sitúan en la interfaz ser humano-sis-
tema -el personal de «primera línea»-. En cambio, las condiciones la-
tentes se gestan entre sus cuadros directivos, y en el interior de agencias
de fabricación, co ntratación, regulación o de la ad ministra ció n pública
relacionadas con ellos.
Los fallos activos particulares tienden a ser exclusivos de un suceso
concreto, mientras que unas mismas condiciones latentes -si no se las
descubre y corrige- pueden contribuir a cierto número de accidentes di-
ferentes. Las condiciones latentes pueden aumentar la probabilidad de fa-
llos activos por medio de la creación de factores lo cales que promuevan
la comisión de errores e infi:acciones y pueden también agravar las con-
secuencias de los actos peligrosos a través de sus efectos sobre las defen-
sas, barreras y salvaguardias del sistema.
37
La gestión de los grandes riesgos 1. Amenazas, defensas y pérdidas

LA TRAYECTORIA DEL ACCIDENTE D iagrama 1.5

Una trayectoria de accidente atraviesa los aguj eros alineados en los sucesivos
La condición necesaria de un accidente organizativo es la rara reunión estratos de defensas, barreras y salvaguardias
de un conjunto de aguj eros en sucesivas defensas qu e permite a las ame-
nazas entrar en contacto dañino con personas y bienes. Estas «ventanas
de oportunidad» son raras gracias a la pluralidad de las defensas y la mo-
Algun os «agujeros»
vilidad de los agujeros. El diagrama 1.5 muestra una trayectoria de acci-
debidos a fa llos activos
dente. Los fallos activos pu eden crear orificios en las defensas al m enos de
dos formas. Primero, el personal de primera línea puede desactivar deli-
beradamente ciertas defensas para cumplir objetivos operativos locales. El
ejemplo más trágico de una decisión de este tipo sucedió cuando los ope-
radores de la sala de control de C h ernóbil desactivaron los sucesivos ni-
veles de defensa del reactor nuclear RBMK a fin de completar la tarea de
Defe nsas en
probar un nuevo generador de voltaje. Segundo, los operarios de primera profundidad
línea pueden, sin darse cuenta, falla r en el desempeño de su rol como una
de las lineas de defensa más importantes del sistema. Un ejemplo común
sería el diagnóstico erróneo de un estado anormal del sistema, que in-
duce una secu encia incorrecta de acciones de recuperación. Esos errores Otros «aguj eros»
de «primera linea» desempeñaron un papel significativo en el accidente de debidos a
la central nuclear de T hree Mile Island, en el desastre del iso cianato de condiciones laten tes

metilo de Bhopal, en las fatales avalanchas humanas de los estadios de fút-

bol de Heysel y Sheffield8 y en muchos otros accidentes organizativos.
Nadie puede prever todos los posibles escenarios de desastre; en con-
secu en cia, es inevitable que desde el comienzo mismo de la vida pro- Los agujeros pueden ser produ cto de fallos activos o latentes.

ductiva de un sistema tenga éste algunas debilidades defensivas, o que se

desarrollen inadvertidas -o, al menos, sin ser corregidas- durante sus
operaciones subsiguientes. Tales condiciones latentes pueden adoptar di-
versas formas: son ejemplos el diseño que hacía al Herald if Free Enterprise
propenso a zozobrar, las juntas tóricas defectuosas de los cohetes auxilia-
res del Challenger, la inadecuada contención de incendios y los aspersores
corroídos de la plataforma de extracción de gas Piper Alpha, la incapaci-
dad para advertir el riesgo de incendio en las estaciones del metro de Lon-
dres y la erosión gradual de las inspecciones por parte de la supervisión
que llevó tanto al desastre ferroviario de Clapham Junction como a la
quiebra del Banco Barings.
Los fallos activos y las conriiciones latentes pueden provocar de dife-
rentes maneras la superación parcial o total de las defensas de un sistema.
El capítulo 2 presentará tres casos de estudio que ilustran algunas de ellas.
Pero antes debemos examinar las fases que conforman la historia de un
accidente organizativo.

8. En uno u otro lu gar de este libro analizaremos los demás accidentes citados en esta DE LA DILIGENCIA AL JUMBO
lista (y citaremos las fuentes) pero no volveremos a hacer mención de los desastres ocu-
rridos en es tadios de fútbo l. El m ejor análisis de estos accidentes posiblemente sea el ofre- Podemos reflexionar acerca de la historia de los accidentes organizativos
cido por DOlninic Elliot y Denis Sm.ith en su artículo «Football stadia disasters in the
United Kingdom: learning from tragedy», In dl/stria! and EnvirO/l/nenta! Crisis Quarterly, 7,
empleando dos marcos temporales distintos: uno que abarque la historia
1993, pp. 205-229. de una organización en particular; otro que comprenda la historia de un

39
La gestió n de los grandes riesgos
accidente organizativo concre to. Nu estro principal interés se centra en el
segundo, pero merece la pena conceder algo de atención al primero, aun-
que sólo sea para iluminar un poco más la distinción entre accidentes in-
dividuales y accidentes organizativos.
Imaginemos una organización cuya vida dio comienzo ha ce más de
un siglo, en el Oeste Americano, transportando pasajeros y correo de una
ciudad a otra de la fi·ontera en diligencia. Asumamos también que la misma
compúi.Ía gobierna hoy con éxito un negocio de transporte aéreo de al-
cance mundial que utiliza reactores de carga modernos y toda la parafer-
nalia de alta tecnología que ahora acompa l1a a tal empresa. (Cualquier
parecido con una organización real es pura coincidencia).
Al comienzo, los padres fundadores reunirían el dinero necesario para
comprar una diligencia y algunos caballos; probablemente, conducirían
ellos mismos -al menos, al inicio-o Su negocio les expondría a nume-
rosas amenazas: indios hostiles, bandidos, desiertos, carninos en mal estado,
barrancos y diversas condiciones meteorológicas extremas. Podían prever
algunos de estos peligros, pero otros habrían de aprenderlos a través de
amargas exp eriencias. Con el tiempo, su protección aumentaría gradual-
nlente -de proveer a los conductores con un revólver y un abrigo de
cu ero de oveja pasando por contratar personal adicional, armado con es-
copetas, y procurarle mejores armas, hasta conseguir una escolta de caba-
llería para atravesar territorios peligrosos, etc.
Si en aqu ellos días pioneros ocurría algún desastre, la culpa -si se la
puede llamar así- era casi por entero de quienes estuvieran en el lugar
del suceso. Un conductor podía ignorar las advertencias locales y elegir
una ruta peligrosa, o tomar una curva demasiado deprisa y volcar; el des-
cuidado Winchester del escolta podía encasquillarse, o quedarse sin mu-
nición, o simplemente podía no apuntar recto.
En esta etapa de la historia de la organización todos esos contratiem-
pos serían accidentes individuales, con causas y consecuencias muy loca-
lizadas. Veamos ahora un escenario contempo ráneo. Supongamos que uno
de los Jumb o de la compa l'iía despega del aeropuerto de una gran ciudad
y más tarde se estrella contra un edificio de viviendas, de modo que fa-
llece la tripulación y numerosos residentes. La primera posibilidad en que
se piensa tras un accidente semejante es la de un «error del piloto». En este
caso, sin embargo, los investigadores del accidente aéreo establecen pronto
que una clavija de suj eción de uno de los motores falló justo después del
despegue; eso causó que el motor se desprendiera, lo que volvió in con-
trolable al avión. Las subsigui entes inspecciones de las instalaciones de
40
1. Amenazas, defensas y pérdidas
mantenimiento de la compañía revelan que el aparato acababa de pasar
una revisión general que incluía una prueba no destructiva de las clavijas
de seguridad y también que las arandelas de fijación de las clavijas de ese
avión en concreto no habían vuelto a colocarse después de la revisión y
que el inspector no había detectado su ausencia. A la zona de la clavija de
suj eción, que estaba mal iluminada, se accedía a través de una plataforma
de trabajo baj o el ala inestable. El desmontaje y reposición de las fijacio-
nes era responsabilidad de un mecánico con escasa formación y que no
veía la necesidad de usar etiquetas rojas de advertencia para indicar la re-
tirada no rutinaria de alguna pieza, etc.
Los investigadores podrían entonces proceder a preguntar por qué los
mecánicos no habían recibido ningún curso formal de formación, por
qué en aquel momento estaba vacante el puesto de director de formación,
por qué eran inadecuadas las condiciones del lugar de trabajo y p or qué
los fabricantes del aparato creyeron necesario instalar clavijas de seguri-
dad, dado qu e, a pesar de haber sido concebidas como dispositivo de se-
guridad (que posibilitaría que el motor se separase rápidamente del ala
en caso de explosión o colisión), su fallo había estado involucrado en nu-
merosos incidentes y accidentes.
En suma, el suceso no tuvo el fallo de una persona en particular como
causa suficiente. Fue un accidente organizativo cuyos orígenes podrían
retrotraerse a muchos ámbitos del sistema de transporte aéreo, del opera-
dor al fabricante y -por implicación- al ente regulador. Y si alguien
cree que semejante conjunción de sucesos desafortunados es demasiado
improbable para ser verosímil, cabe señalar que todos los fallos individua-
les mencionados en esta narración han ocurrido realmente, aunque nunca
reunidos en un único accidente de aviación.
El mensaje de este estudio de caso hipotético es que si bien puede ser
idóneo que quienes se preocupan de los accidentes individuales en siste-
mas de tecnología sencilla centren su atención en los actos peligrosos de
agentes inmediatos, ese enfoque sería totalmente incapaz de descubrir
causas remediables de un accidente organizativo. Virtualmente todas las
causas de cualquier contrariedad que le suceda a una diligencia serán fa-
llos activos. Si se encu entra el modo de corregir esos fallos -mejores
armas, mejor suspensión, mejores mapas, mejor protección contra las in-
clemencias del tiempo-los márgenes de seguridad aumentarán, o lo ha-
rían si estas mejoras en las defensas no induj eran a los conductores a tom ar
atajos a través de territorios considerados hasta entonces como demasiado
peligrosos (y éste es un «sí» con mayúsculas).
41
La gesti ón de los grandes riesgos
D ebería ser obvio ya que una investigación similar, centrada en el indi-
viduo, en el caso del accidente del Jumbo, tendría escasas o nulas probabi-
lidades de mej orar la seguridad del sistem a. Mientras los sistemas
tecn ológicos modernos empleen personas, habrá siempre fallos activos
-muy pocos de los cuales tendrán consecuencias pelj udiciales porque las
defensas neutralizarán la mayoría de ellos-oN o podemos cambIar la con-
dición humana, pero sí las condiciones de trabaj o de las personas. Ahora
bien, el único m odo de lograr mej oras radicales de este tipo es mediante
una mejor comprensión de la naturaleza de los accidentes organizativos.
M ás adelante presentaremos algunos pasos preliminares hacia este obJ ebvo.
FASES EN EL DESARROLLO DE UN AC CIDEN TE ORGANIZATIVO
El relato del accidente del reactor de carga que acabam os de leer ofi'ece al-
gunos atisbos de las dific ultades que afi'ontan quienes intentan rastrear las
causas últimas de un accidente organizativo. ¿D ónde trazar la línea?, ¿en las
lindes de la organización?, ¿en el fabricante?, ¿en el regulador?, ¿en los fac-
tores sociales que conformaron esas diversas ap ortaciones causales? Luego
veremos que las actuales investigaciones de accidentes toman en conside-
ración todas esas influencias, cada vez más remotas. En teoría, las diversas
cadenas causales se podrían retrotraer hasta el Big Bang. Pero, entonces,
¿qu é reglas indican dónde ha de detenerse el análisis de los accidentes or-
ganizativos? , .
D ado qu e el tiempo y la causalidad son continuos, carecen de línutes
naturales; hay sólo imp osiciones artificiales. Al analista de accidentes, como
al historiador, lo limitan sus recursos y la disponibilidad de evidencia fia-
ble. D ej ando a un lado las preocupaciones legales sobre la responsabilidad,
hay dos motivos principales para efectuar investigaciones . de accidentes:
determinar qu é pasó y evitar que algo así vu elva a ocurrIr en el futuro.
Ambos obj etivos se alcanzan mej or limitando el alcance del análisis a aque-
llas cosas sobre las qu e cabe esperar razonablem ente que las personas Im-
plicadas -y, muy en especial, los gestores del sistema- pu edan ej ercer
algún control. Una pequeña y triste historia ayudará a cla rifica~' este punto.
Valeri Legasov, académico de la Unión Soviética, fue el l11vestlgador
principal del desastre del reactor nuclear de C h ernóbil, ocurr!do el 2~ .de
abril de 1986. Él fu e también el principal portavoz de la Umon SovletlCa
en la conferencia internacional sobre el accidente, que se celebró en Viena
en septiembre del n1.ism o año. En ese encu entro, Legasov culpó plena-
42
I. Amenazas, defensas y pérdidas
mente del desastre a los errores e infi'accion es de los op eradores. M ás tarde
confesó a sus amigos que «en Viena dij e la verdad, p ero no toda la verdad».
En abril de 1988, exactam ente dos años después del desastre, se ahorcó col-
gándose del balcón de su apartamento. Antes de suicidarse, grabó sus sen-
timientos m ás profundos acerca del accidente en una cinta magnetofónica.
Tras visitar Chernóbil, llegué a la inequívoca conclusión de que el accidente
era ... el resultado agregado de toda la incorrecta gestión de la econonúa que
imperaba en nuestro país desde hacía tantos años 9 .
Es muy p osible que la evaluación de Legasov fu era correcta, p ero ¿de
qué nos sirve esa inform ación ? N o p odemos volver a 1917 y vivir de o tro
modo los úios que siguieron a la R evolución Soviética. Aunque el vere-
dicto de Legasov sea correcto es improbable que lleve a mejoras tangibles .
A los m odelos causales de accidentes cabe juzgarlos sólo por la medida en
que sus aplicacion es m ej oran la seguridad del sistem a. Las defi ciencias
económi cas y sociales que Legasov identificó están fu era del alcance de
los gestores del sistema, desde cuya p ersp ectiva esos problemas so n he-
chos dados e inmutables. Por el contrario, nuestro interés principal debe
orientarse hacia lo que es posible cambiar y controlar.
Por estas razones, y porque la cantidad y fiabilidad de la información
relevante declinará rápidamente con la creciente distancia del suceso, el
modelo de pro ceso causal de un accidente que ofrece el diagrama 1. 6
debe necesariam ente mantenerse, en gran m edida, dentro de los límites de
lo que la organización afectada puede gestionar. Además, debería adver-
tirse también que todas las organizaciones tecn ológicas tienen estrech os
lazos con otras organizacion es. El sistema aéreo en conj unto, p or ej emplo,
incluye a aerolíneas, autoridades aerop ortu arias, mantenimiento, fab ri-
cantes, controladores aéreos, reguladores, sindicatos, departam entos de la
administración pública, ministros del gobierno y organismos in ternacio-
nales com o la Asociación Internacional del Transporte Aéreo o la O rga-
nización Internacional de Aviac ión C ivil - todos los cuales pueden
desemp eñar algún papel en un accidente organizativo.
El diagram a 1. 6 mues tra las principales fases del desarrollo de un ac-
cidente organizativo. Este modelo intenta con ec tar los diversos elem en -
tos qu e inciden en una secuencia coherente, qu e va de abaj o hacia arriba
en la influ encia causal y de arriba hacia abaj o en la investigación.
9. La cita procede de las C intas L egasov, una trascripción preparada por el D eparta-
mento de Energía de los Estados U nidos en 1988. El ma terial original apareció en Pral/da
poco desp ués de la muerte de Legasov.
43
La gestió n d e los gra ndes ri esgos
D iagrama 1.6
Fases del desarrollo y la inves tigació n de un accidente organizativo
DEFENSAS
PELIGRO
1111
AMENAZAS
1111
Vías
de las condiciones
latentes
E l rectá ngul o superior represe nta los elem entos prin cipales de un suceso ; el tri ángulo inferior,
el sistema qu e lo produce, dividido en tres niveles: las personas (actos peLigrosos), el luga r de tra-
bajo (circunstan cias que provocan errores) y la orga nizació n. Las fl echas negras en dirección as-
cendente in dica n la dirección de la ca usalidad; las flechas blancas en direcc ió n descendente, los
pasos de la investigación.
Aceptando el marco temporal discutido antes, la historia ca usal co-
mienza con los factores organizativos: decisiones estratégicas y procesos
organizativos generales -predicción, elaboración de presupuestos, asig-
nación de recursos, planificación, programa ción temporal, comunicación,
gestión, auditoría, etc.-. Estos procesos estarán co nfigurados y colorea-
dos por la cultura de la empresa, por las ac titudes tácitas y las reglas no es-
critas relativas al modo como esa organización lleva a cabo sus asuntos
(véase el capítulo 9 para un análisis más extenso de la cultura organizativa).
Las consecuencias de estas actividades se transmiten desp ués a través
de toda la organización hasta los lugares de trabajo individuales - salas de
control, cabinas de vuelo, centros de control del tráfico aéreo, instalacio-
44
1. A m en azas, d e fen sas y pérdidas
nes de mantenimiento, etc.-, donde se revelan como factores con cierta
probabilidad de inducir actos peligrosos. Esos factores incluyen la presión
temporal, las h erramientas y los equip os inadecuados, deficien tes interfa-
ces operario-máquina, la formació n insuficiente, la escasez de p erso nal,
una mala ratio supervisor-trabajadores, los salarios bajos, el bajo estatus, una
cultura de machotes, los pro cedimientos ambiguos o impracticables, las
malas comunicaciones, etc.
En el luga r de trabajo, estos factores locales se combinan con las natu-
rales tendencias humanas a produ cir errores e infi:acciones -denomina-
dos, en conjunto, «actos p eligrosos»-, que com eten los individuos y
equip os situ ados en «primera línea» o en la intelfaz directa persona-má-
quina. Se cometerán m uch os de estos actos p eligrosos, p ero sólo unos
pocos, m uy po cos, provocarán aguj eros en las defensas. Analizaremos en
detalle la naturaleza de es tos actos en el capítulo 4. Aunque esta clase de
actos estén implicados en la mayoría de los accidentes organizativos , no
son una condición n ecesaria. En algunas ocasiones, las defensas fallan sim-
plem ente como resultado de condiciones latentes -como, por ejemplo,
en los desastres del Challenger y en el incendio de la estación de metro de
King's Cross-. El diagrama 1.6 muestra esta posibilidad mediante las vías
de las condiciones latentes, que conectan directamente el lugar de trabajo
y los factores organizativos con el fallo de las defensas.
Hasta aquí h emos visto la secuen cia causal de los accidentes, desde los
fac tores organizativos, p asando por las condiciones del lugar de trabajo y
los actos peligrosos de un individuo (o un equipo) hasta el fallo de las de-
fensas y los resultados adversos. En su análisis o su investiaación
o la direc-
ción se invierte (sigu e las flechas blancas del gráfico 1.6) . La investigación
comienza por el resultado aciago (qué sucedió) e indaga luego cuándo y
cómo fallaron las defensas. D ebe establecerse qu é fallos activos y qu é con-
diciones latentes estuvieron implicadas en ca da defensa rota o eludida; y
en cada acto contrario a la seguridad que se identifique, qué condiciones
lo cales pudieron hab erlo configurado o provocado; y para cada una de
éstas , qué factores organizativos «corriente arriba» pudieron haber con-
tribuido a crearlas. Cada condición local puede ser producto de varios
factores organizativos diferentes, pues es probable que existan múltiples
conexion es entre los elementos organizativos del modelo y los diversos
emplazamientos de trabajo.
45
La gestión de los grandes riesgos
RESUMEN DEL ARGUMENTO
Este capítulo empezó por distinguir entre accidentes individuales y orga-
nizativos. La frecuencia de los accidentes individuales en el lugar de tra-
bajo ha disminuido radicalmente con los años, pero su naturaleza básica
-deslices, lapsus, tropiezos y torpezas fi·ente a los que no se estaba pro-
tegido- ha permanecido más o menos constante en cuanto que es pro-
bable que un individuo, o un equipo de trabajo, sea al mismo tiempo el
agente y la víctima del accidente. En cambio, los accidentes organizativos
-el tema de este libro- son un fenómeno relativamente nuevo, surgido
de desarrollos tecnológicos que han aumentado en gran medida las de-
fensas del sistema a la vez que han cambiado el rol de las personas de pro-
ductores o transformadores distribuidos a p ensadores y controladores
centralizados.
En contraste con tiempos pretéritos, los elementos humanos de las
tecnologías modernas suelen hallarse alejados de las amenazas cotidianas
de sus respectivas operaciones. En los sistemas de alta tecnología ocurren
muy raramente accidentes organizativos pero, cuando ocurren, es proba-
ble que sus resultados sean desastrosos y que no afecten sólo a los impli-
cados inmediatos sino también a personas y bienes muy alejados del
suceso, tanto en el espacio como en el tiempo. La lluvia radiactiva de
C h ernóbil, por ej emplo, sigue constituyendo una amenaza para las gene-
raciones futuras en grandes áreas de Europa.
Entender los accidentes organizativos y reducir su frecuencia son los
mayores retos que afi·ontamos al inicio del nuevo milenio. Sus costes hu-
manos, ambientales y económicos son inaceptables. Pero, ¿cómo desarro-
llaremos un conj unto de conceptos igualmente aplicables a todos estos
sucesos, extremadam.ente infrecuentes y singulares y -lo más imp or-
tante- que contribuyan a mejorar la prevención? He propuesto dos con-
juntos de términos: el primero aporta un marco para entender los detalles
de un suceso particular -amenazas, defensas, pérdidas-; el segundo -la
tensión entre producción y protección- ofrece un medio para entender
los procesos que desembocan en el fallo de las defensas. Mencionamos dos
de esos procesos: el sacrificio de mejoras protectoras para obtener ventajas
productivas y el deterioro gradual de las defensas a lo largo de periodos en
los que la ausencia de sucesos adversos crea la impresión de que el sistema
funciona con seguridad -el caso del «barco indemne» .
Las defensas en profundidad han logrado que los sistemas tecnológi-
cos modernos sean en gran medida inmunes a fallos aislados. A su vez,
I. Amenazas, defensas y pérdidas
son el elemento singular con mayor responsabilidad en el surgimiento de
los accidentes organizativos. Hemos clasificado las barreras y salvaguar-
dias de dos maneras: por su función (conciencia, comprensión, aviso, di-
rección, restauración, interposición, contención, evacuación y rescate) y
por sus modos de aplicación (defensas «duras)) y «blandas))). Ningún estrato
defensivo está nunca totalmente intacto; empero, todos ellos tienen res-
quicios y aguj eros creados por combinaciones de fallos activos (errores e
infi.·acciones cometidos por el personal de primera línea) y condiciones la-
tentes (consecuencias de decisiones de alto nivel con efecto retardado
sobre la integridad de los diversos estratos defensivos) .
El capítulo concluyó con dos perspectivas sobre el desarrollo de los ac-
cidentes organizativos. La primera esbozó el desarrollo de una organiza-
ción hipotética desde sus h eroicos días iniciales, cuando es probable que
todas sus contrariedades consistiesen en accidentes individuales, hasta los
tiempos actuales, en los que el riesgo mayor proviene de los infi·ecuentes
pero catastróficos accidentes organizativos. La segunda perspectiva trazó la
historia de un accidente organizativo concreto y siguió su desarrollo desde
los factores sistémicos situ ados «corriente arriba)), a través de los factores
locales inductores de errores e infracciones, hasta el nivel del individuo
que incurrió en actos peligrosos. Muchos fallos activos serán inocuos, pero
es probable que algunos tengan efectos adversos inmediatos sobre las de-
fensas locales. Cuando los resquicios abiertos por fallos activos se «alinean))
con los creados por las condiciones latentes, surge una «ventana de opor-
tunidad)) a través de la cual una trayectoria de un accidente puede hacer
que alguna amenaza entre en contacto pernicioso con activos y personas.
El propósito principal de este capítulo ha sido presentar las ideas bá-
sicas y preparar el camino para un análisis más exhaustivo de estos temas
en los siguientes capítulos. El capítulo 2 inicia este análisis más refinado
examinando las varias «grietas en el sistema)) que revelan los estudios de
caso de tres accidentes organizativos. Aquí nuestro propósito es dar con-
creción a esta estructura abstracta. Debo reiterar que éste no es otro libro
más sobre estudios de caso de accidentes. Los he incluido aquí por el
único motivo de comprender mejor los accidentes organizativos en ge-
neral, más que sus ejemplos particulares.
47
 2
La derrota de las defensas

LAS COSAS NO SIEMPRE SON LO QUE PARECEN

LA MENTE HUMANA T IENE PRO PENSiÓN a emparej ar aquello que se asemeja!.

Es natural, pues, que creamos que los accidentes desastrosos se deban a
errores igualmente monstruosos . Sin embargo, la investigación minuciosa
de las catástrofes organizativas ha invertido ese saber convencional: las de-
fensas pueden ser p eligrosas; el mejor personal puede cometer los peores
errores; las organizaciones más concien zudas y mejor dirigidas pu eden
sufi'ir las p eores calamidades. Como el camino al infierno, la mayoría de
las secuencias de accidentes están empedradas de buenas intenciones -o
de lo que en su día parecieron buenas ideas .
En el capítulo anterior presentamos las ab erturas que los fallos ac tivos
y las condiciones latentes crean en las defensas del sistema. Cuando en-
gendran un resultado particularm ente malo, asumimos naturalmente que
sólo puede hab er sido fi'uto de unos inmensos aguj eros debidos a una tre-
menda n egligencia o a una mala práctica habitual. Puede que las malas
prácticas formen p arte del cuadro, pero la realidad suele ser mucho m ás
ordinaria. Las trayec torias de los accidentes organizativos pueden desli-
zarse con la misma facilidad a través de grietas diminutas y en aparien cia
insignifica ntes qu e a través de los más inmensos agujeros.
Este capítulo analiza tres casos de estudio recientes extraídos de tres
ámbitos muy diferentes. El primero, un casi accidente qu e se deslizó a tra-
vés de grietas núnimas en el sistema; el segundo, un desastre que p asó por
unas aberturas enormes en las defensas; el tercero, cosa infrecuente, tuvo
su origen en una sola p ero prolongada condición latente. Muchos otros

1. Sir Francis Baco n lo expresó co n más elega ncia en 1620: «La mente humana es pro-
pensa a sup oner la existencia de más orden y regularidad en el mundo de los qu e halla en
él» (Tll e New O lga/IOII). Una man era de simplificar consiste en suponer la simetría de mag-
nitud entre ca usas y consecuencias.

49
 p
La gestión de los grandes riesgos
estudios de caso bien documentados habrían servido igualmente bien a
nuestros propósitos, pero la mayoría han sido ya exhaustivamente anali-
zados en otros trabajos.
Nuestro propósito es intentar identificar patrones recurrentes en las
formas en que fallan las defensas. ¿Existen, incluso en sucesos tan dife-
rentes como éstos, suficientes rasgos comunes como para permitirnos abs-
traer algunos principios generales sobre el desarrollo de los accidentes
organizativos? El científico social estadounidense Karl Weick expuso con
gran acierto el meollo del problema:
Sabemos que las causas únicas son raras, pero desconocemos cómo pueden
llegar a encadenarse algunos pequeños sucesos hasta producir un resultado
desastroso. Sin ese conocimiento, hemos de esperar a que, en efecto, suceda
una crisis para poder diagnosticar un problema, ya que no estamos en condi-
ciones de detectar un problema potencial antes de que sUlja .Anticipar y pre-
ver desastres equivale a entender las regularidades existentes en las formas
que tienen de combinarse los pequeños sucesos hasta tener efectos despro-
porcionadamente grandes 2 •
DESLIZÁNDONOS A TRAVÉS DE LAS GRIETAS DEL SISTEMA
DE MANTENIMIENTO DE AERONAVES
Nuestro primer caso de estudio es un ejemplo de primera categoría de un
accidente aéreo que casi se abrió paso a través de los dim.inutos resquicios
de la vasta armadura del sistema. No ocurrió una catástrofe, por fortuna,
pero estuvo muy cerca, y sólo la evitó, en la última trinchera, la pronta ac-
tuación de las defensas humanas 3 .
Al poco de despegar del aeropuerto de East Midlands hacia Lanzarote,
en las Islas Canarias, los pilotos del Boeing 737-400 detectaron pérdida de
aceite y caída de su presión en ambos motores; emitieron un «Mayday» y
se dirigieron al aeropuerto de Luton, donde tan pronto tomaron tierra los
apagaron. No hubo heridos. Luego se descubrió que las cubiertas de la
transmisión a alta presión del rotor faltaban en ambos motores y de ahí su
2.Véase K . E. Weick, «The vulnerable system: an analysis of the Tenerife air c!isaster»,
en PJ. Frost et al. (ed.) Riframil'lg Olganiz ational Culture, Londres, Sage Publications, 1991.
Kad Weick es uno de los científicos sociales más perspicaces en el ámbito de los accidentes
organizativos, y su trabajo aparecerá citado en relación con diferentes temas a lo largo de
este libro.
3. Report 01'1 the Incident to Boeing 737-400, C-OBMM, Near Dallentr)' 0/'1 23 February 1995,
Aircraft Incident Report 3/96, Department ofTransport, Londres, HMSO, 1996.
50
2. La derrota de las defensas
casi total pérdida de aceite durante el vuelo. La noche anterior los inge-
nieros de mantenirniento de la aerolínea habían efectuado una inspec-
ción programada de ambos motores usando un boroscopio (inspección
obligatoria cada 750 horas de vuelo).
Esas inspecciones debía efectuarlas el turno de noche de manteni-
miento en línea. La noche víspera de aquélla en que había de realizarse
esa tarea, el ingeniero de mantenimiento en línea a cargo del turno ex-
presó su preocupación por el personal disponible para ocuparse de la carga
de trabajo prevista para la noche siguiente, que sabía incluía las inspec-
ciones con el boroscopio.Alllegar esa noche a su trabajo, sin embargo, se
encontró con que no se había asignado personal de mantenimiento extra
a su grupo. De los seis hombres que nominalmente lo constituían sólo es-
taban de servicio cuatro esa noche y dos de ellos - incluido el propio in-
geniero de mantenimiento en línea- estaban trabajando noches extra
para cubrir insuficiencias de personal.
El ingeniero se apercibió de que debería efectuar las inspecciones con
el boroscopio él mismo, pues era el único ingeniero de ese turno en la
línea en posesión de la necesaria autorización. Como la inspección debía
realizarse en un hangar a cierta distancia de donde se hacía el grueso del
trabajo de mantenim.iento en línea, pero muy cerca del hangar de man-
tenimiento en base, decidió poner la inspección a la cabeza de su lista de
tareas de esa noche.
Después de organizar el trabajo de su equipo para esa noche, recogió
de la oficina de mantenimiento en línea la documentación referente a la
inspección y se dirigió al avión, donde empezó a preparar uno de los mo-
tores para esa operación. Hecho esto, cruzó al cercano hangar de mante-
nimiento en base, donde se guardaba el boroscopio. Allí encontró al
controlador de mantenimiento en base (a cargo del turno de noche de
este servicio) y le pidió el equipo de inspección, y también si había al-
guien disponible que pudiera echarle una mano, porque necesitaba una
s~gunda persona que girase la bobina del motor mientras él efectuaba la
inspección.
En el turno de noche también andaban escasos de personal. Al llegar
esa noche a su oficina el controlador de mantenimiento en base había re-
cibido una petición de los remolque en rampa para que sacase otro avión
de su área (un Boeing 737-500) porque estaba estorbando, y no podía res-
ponder de inmediato a su demanda por falta de personal en su equipo.
Pero al escuchar al ingeniero de línea vio el modo de matar dos pájaros de
un tiro. Las normas de la empresa exigían que, para conservar su autoriza-
51
La ges ti ó n de los grand es ri esgos
ció n para usarlo, el perso nal debía realizar al úio dos inspecciones con bo-
roscopio de las obligatorias cada 750 horas4 . Su autorización estaba próxima
a caducar porque muy raram ente se le asignaba esa tarea.Tamhén sabía que
el turno de mantenimiento en línea debía ocuparse de ocho aviones esa
no che y le faltaban dos hombres. Así que ofi:eció un truequ e. Él efectua-
ría la inspección con el boroscopio si el ingeniero de m antenimiento en
línea se encargaba de traer el B737-500 de la plataforma de operacion es a
la zona de mantenimiento en base.
El ingeniero de mantenimiento en línea estuvo de acuerdo con este
arreglo tan conveniente para ambos y puso al controlador de manteni-
miento en base al corriente del trab<u0 preparatorio de los m otores que ya
había efectuado. D ado que el ingeniero de línea no había ido al hangar de
mantenimiento en base con intención de transferir la inspección a otra
persona, no llevaba consigo ningún documento escrito o nota donde cons-
tasen qué operaciones h abía terminado ya. D e h echo, la do cumentación
que usaba el mantenimiento en línea no incluía ningún espacio apto para
registrar esa clase de detalles. El controlador de mantenimiento en b ase,
sin embargo, se dio por satisfecho con las instrucciones verbales que reci-
bió. Su siguiente paso fu e elegir un lnecá nico que le ayudase a preparar y
comprobar el equip o del boroscopio.
Con estos ino centes y bienintencionados preliminares quedó dispu esta
la escena para un casi desastre. El controlador de man tenimi ento en base
envió al m ecánico a preparar el segundo motor p ara la inspección y de-
dicó luego un tiemp o considerable a orga nizar el trab<u0 de su reducido
p ersonal para aquella noch e. C uando al fin se reunió con el ITlecánico
junto al avión traía su copia personal del manual de formación p ara el
uso del boroscopio, donde había anotado varios detalles qu e le ayudarían
a juzgar ciertas m edidas a lo largo de la insp ección. Aunqu e las instru c-
ciones de la tarea no le eran familiares -pues se trataba de documenta-
ción de m antenimiento en línea, no en base- , y no contaba con fi ch as
de procedimiento de Boeing para la tarea, no juzgó necesario hacerse con
otro material de consulta. Mientras el m ecánico preparaba el segundo
motor para el examen, el controlador de mantenimiento en base comenzó
la inspección del primer motor.
4. El boroscopio es un instrumento diagnóstico de fibra ó ptica em pleado pa ra detec-
tar signos de defectos estru cturales en los álabes de las turbinas dentro de las áreas de alta
y baj a presió n de un motor a reacción . Es una pa rte importante del conju nto de técnicas
de comprobació n no destru ctivas (NDT) de un in ge niero aero náuti co.
2. La derrota de las defe nsas
El trabaj o continuó a lo largo de las siguientes horas , aunque con nu-
merosas interrupcion es debido a qu e el controlador de mantenimiento en
base telúa que resolver los problem as urgentes que surgían por todas par-
tes en su propio ámbito de responsabilidad. El resultado fue que no vol-
vieron a colo carse las cubiertas de la transmisión del rotor, qu e no se
efectuaron pruebas de m otor en tierra (comprobación que habría reve-
lado la pérdida de aceite) y que en el libro de partes de vuelo del avión
se firn'ló qu e se había completado la insp ección con boroscopio de ambos
lnotores.
Avanzada la noch e, el ingeniero de mantenimiento en línea regresó
con un equipo de su sección p ara prep arar el avión para el vuelo del día
siguiente. El controlador de mantenimiento en base y él debatieron si des-
co n ec tar los disyuntores de los circuito s de ignición e hidráuli co del
motor. El controlador no lo creía necesario p orque n o tenía inten ción de
trabajar en el aparato con los sistemas de energía hidráulica y eléc trica
activos; no obstante, el ingeniero de línea los desactivó de todos m odos,
confia ndo en que el controlador se había dado cuenta de ello. Cuando más
tarde el avión fu e devuelto a la línea, los pilotos advirtieron que los dis-
yuntores no se habían vuelto a activar y se quej aron de ello al ingeniero
de mantenimiento en línea del turno de maiiana. Éste resp ondió qu e pro-
bablem ente había sido un desliz y los activó. D e vuelta en la oficina de
mantenimiento en línea se preguntó en voz alta delante de un compañero
cómo p odían haberse comp robado los motores con los circuitos de igni-
ción desac tivados.Todavía estaban hablando de ello cuando oyeron qu e el
aparato había tenido que efectuar un aterrizaj e de emergencia en Luton .
N o sabemos exactam ente por qué no se volvieron a colo car las cu-
biertas en los motores ni p or qu é se firmó que la insp ección se había com-
pletado cuando faltaban partes tan vitales, y sin hab er realizado la prueba
de motores. Sabem os, no obstante, que las omisiones durante el proceso de
reinstalación son el fallo de mantenimiento individual más común -así en
aviación como en el sector de la energía nuclear-o D e hecho, estas omi-
siones de mantenimiento probablem ente sean el tip o singular de problema
de actuación humana m ás extendido en el m arco de las tecnologías de alta
peligrosidad (véase el capítulo 5). Sabemos asimismo qu e había habido al
menos nueve casos previos en otras aerolíneas en que no se repusieron las
cubiertas del rotor de alta potencia tras los procesos de mantenimiento. La
eviden cia disponible indica también que mu chos trabajos de manteni-
miento de aparatos se firman como terminados sin efectuar una verifica-
ción exhaustiva. Es m ás probable que se tomen estos ataj os en la realización
53
La gestión de los grandes riesgos
de tareas cuando se está bajo presión temporal-por ejemplo, cuando hay
que devolver un avión a la línea antes de su hora de partida prevista.
Saber con exactitud qué pasó en la m ente de las personas implicadas
en el momento en que cometían esos errores nos ayudaría po co a en-
tender cómo acontecen los accidentes organizativos o cómo podríamos
evitar que sucedan en el futuro. Esos fallos humanos ocurren co n fre-
cuencia y seguirá siendo así mientras los seres humanos sigan retirando y
restituyendo a su lugar los millones de piezas extraíbles que forman un
avión moderno. En este caso, como en el de otros accidentes organizati-
vos, nuestra preocupación fundamental son los factores sistémicos que fa-
vorecen que esos errores ocurran y, además, permiten que pasen
inadvertidos. En aviación, la falibilidad humana, com.o la gravedad, la m e-
teorología o el estado de la pista es sólo otra amenaza previsible. La cues-
tión no es por qué ocurrió un error, sino por qué no se fue capaz de
subsanarlo a tiempo. Para rep etir un tema constante de este libro: no po-
demos cambiar la condición humana, pero podemos cambiar las condi-
ciones de trabajo de la gente.
¿Cuáles fueron, pues, las pequeñas grietas del sistema que permitieron
que estas desviaciones habituales estuvieran a punto de provocar una gran
catástrofe aérea? El primer factor, y el más obvio, es que tanto al eqUIp o
de mantenimiento en línea como al de mantenirniento en base les faltaba
personal, aunque no tanto como para que tuvieran que suspender las ta-
reas que tenían asignadas . Estas insuficiencias temporales de personal de
m antenimiento, debidas a bajas y permisos, no son infrecuentes. Un pro-
blema similar, en otro incidente distinto, contribuyó a que saltase de su
marco el parabrisas de una cabina de mando, fij ado con pernos del ta-
mal'ío equivocados. En este caso, como en el anterior, una insuficiencia
temporal de p erson al obligó a los sup ervisores a ocuparse de tareas para
las qu e carecían de las habilidades y la experiencia precisas. Y en ambos
su cesos su capacidad para efectuar dichas tareas con fiabilidad se vio m er-
mada por la continua necesidad de dedicar atención a sus deberes de ges-
tión. Para complicar aún más estos problem as, además, los jefes de turno
implicados en ambos accidentes estaban en situación de dar ellos mismos
el visto bueno a tareas que habían dej ado incompletas, eliminando así una
importante oportunidad de detectar el error.
5. Véase Report 0/1. the A ccidel'lt to Blle One-Eleven., G- BJRT, ove/' Didcot, Oxfo/'dshi/'e Ofl 10
jUI'le 1990, Aircraft Ancident R eport 1/ 92, Departl11ent oITransport, Lor1dres, HMSO, 1992.
Véase también D. Maurino,]. Reason, N . Jo hnston y R. Lee, Beyond AV/atlO/1. Human. Fac-
to/'s: SaJety in High Teclu'/Ology Systellls, Aldershot, Avebury Aviation 1995, cap, 4,
54
2, La derrota de las defensas
En el caso de las cubi ertas de motor ausentes, sin embargo, había aún
otra grieta m ás sutil en el sistema: la diferencia entre las prácticas de tra-
bajo del mantenimiento en base y en línea. La división del trabajo entre
ambas ramas de una instalación de mantenimiento de aeronaves suele estar
delimitada con claridad. Los ingenieros de mantenimiento en línea están
acostumbrados a ej ecutar tareas aisladas, a m enudo no programadas (re-
paración de defectos), tanto en solitario como en p equeños grupos. Estas
tareas suelen completarse en un solo turno. El mantenimiento en base, en
cambio, efectúa las revisiones programadas. C uando un aparato entra en
el hangar de mantenimiento en base es probable qu e permanezca allí du-
rante un tiempo relativam ente largo; los distintos turnos que rotan reali-
zarán en él un gran número de tareas diferentes y cada turno transferirá
al siguiente el trabajo inconcluso.
Así pu es, los entornos del mantenimiento en línea y del manteni-
m.iento en base requieren tipos de planificación e instrucciones de apoyo
diferentes. En el caso del primero, la documentación se gen era justo antes
de iniciar el trabajo y está suj eta a cambios en función de las nec esidades
operacionales. Las fichas de tarea, por tanto, ofrecen sólo una breve des-
cripción de la labor a realizar. En nurcado contraste, la planificación del
trabajo del mantenimiento en base co mi enza varias semanas antes de
poner manos a la obra y se entrega al responsable en forma de un enorme
rimero de documentación que incluye amplias secciones de apoyo y ex-
plicación. La vida en la sección de línea está llena de sorpresas, mientras
que el m antenimiento en base es mu cho más regular y predecible.
La inspección con boroscopio obligatoria cada 750 horas fue diseñada
como una tarea del mantenimiento en línea y su documentación no in-
cluía ninguna de las fichas de operación paso a paso ni las secciones del
manual de mantenimiento que normalmente se facilitan con las instruc-
ciones del mantenimiento en b ase; co ntenía solam ente referencias a la
documentación detallada disponible en algún otro sitio. La tarea era fa-
n1.iliar para el ingeniero de línea, por lo qu e no juzgó ne cesario llevar
consigo esa do cumentación adicional y por eso las instrucciones qu e dio
al controlador de mantenimiento en base eran relativam ente parcas, en
comparación co n la documentación usual en la sección de éste. En par-
ticular, las instruc ciones generadas por la ingeniería de línea no mencio-
naban el trabajo de reposición - volver a colocar las suj ecion es y las
cubiertas- ni exigía que se firmase la terminación de cada paso de estas
tareas, qu e sería lo esperable en las instru cciones generadas por el m ante-
nimiento en base. Tampoco había ninguna de las acostumbradas adver-
55
La gestión de los grandes ri esgos
tencias, recalcadas en el manual de mantenimiento, que señalaban que la
seguridad del avión se vería seriamente amenazada si el trabajo de reen-
samblaje no se llevaba a cabo como estaba especificado.
Dada la escasez de personal en su turno, que inevitablemente com-
portaría demandas adicionales de su propio tiempo, probablemente fue un
error por parte del controlador de lTlantenim.iento en base ofi'ecerse a lle-
var a cabo la inspección con el boroscopio. Pero esto es algo que difícil-
mente podría clasificarse como un disparate de gran magnitud y, desde
luego, era una acción permisible dentro de los procedim.ientos de la em-
presa. A la vista de su falta de experiencia reciente con la tarea, el con-
trolador se equivocó claramente al suponer que podría realizarla sin
emplear fichas de procedim.iento detalladas y orientándose sólo por su
memoria y por unas notas de formación no oficiales. Hasta que el inge-
niero de línea le pasó sus instrucciones seguramente no sabía que le fal-
taba el m aterial de apoyo detallado. En ese momento pudo cruzar a la
oficina de m antenimiento en línea, o ir a mantenimiento en base, y co-
gerla, pero hacía mucho fi'ío aquella noche de invierno y él estaba seguro
de conocer el procedimiento.Y hasta el investigador del accidente admi-
tió que si él mismo hubiera recogido ese material no le habría sido fácil
usarlo. Todos los manuales se corrigen y actualizan continuam.ente, y a
menudo es complicado, para quienes no están familiarizados con su con-
figuración, seguir el hilo del texto que describe una determinada tarea.
Otra pequeña rendija en el sistema fue la ausencia de un procedi-
miento formal para transferir tareas del mantenim.iento en línea al man-
tenimiento en base. Com.o resultado, no existían hojas de fase del proceso
(que indican el trabajo previo completado) y las instrucciones de la trans-
ferencia se transmitieron verbalm~ente en lugar de por escrito. Aquí no es
que la defensa fuera defectuosa sino que estaba completamente ausente.
Ahora bien, esas delegaciones de tareas son hechos relativamente infi'e-
cuentes y, si bien en retrospectiva es fá cil apreciar la necesidad de proce-
dimientos de transferencia, no es fácil imaginar por qué su creación debía
figurar en un lugar prominente en la agenda de nadie antes de que ocu-
rriera el suceso. La tabla 2.1 resume estas diversas grietas en las defensas.
En julio de 1996 la aerolínea implicada en este accidente fu e conde-
nada a pagar una multa de 150000 libras, más otras 25000 libras de costas
judiciales por poner en peligro «imprudente y n egligentemente» la aero-
nave y sus pasajeros6 Fue la primera vez en el Reino Unido que la Civil
6. Th e Ti/l/ es, 26 de julio de 1996 .
Tabla 2.1
R esumen de los fallos ac tivos y las condiciones latentes que socavaron
o rompieron las defensas del sistema de m antenil11.iento de aeronaves
Fallos ac tivos C ondiciones latentes
El in geni ero de mantenimi ento en lín ea La aerolín ea no disponía de una forma
qu e devo lvió el aparato a su tripulación efectiva de co nocer el personal dispOluble
dej ó pasa r la oportunidad de descubrir y la carga de trabajo, y de aju star uno a
qu e [LItaban las cubi ertas de la otra , en parti cular en los turnos de no che,
tra ns nusió n cuando reactivó los sabiénd ose qu e están suj etos a los efec tos
disy untores del circuito de igni ción y se adversos de trabaj ar a esas horas.
preguntó cómo se había podido efec tuar
una pru eba de m o tor con ellos apagados. La vigilancia de este problema de personal
por parte del organismo regul ador era
La tripula ción aceptó qu e los disy untores inadec uada.
de la cabina de mand o es tu vieran
desac tiva dos como algo '<n o rma]" y no Tanto el turno de noche de
indaga ron m ás en el asunto. mantelumi ento en lín ea co mo el de
mantelunuento en base tenían escasez de
En del libro de partes de vuelo del avió n perso nal, situación que se repetía co n
se firmó qu e la insp ección se había bastante frec uencia.
concluido, sin una ad ecuada inspecció n
del trabajo efectu ado en los mo to res. Un a investigación interna reveló qu e las
inspeccio nes co n boroscopio solían
El co ntrolado r de mantelunu ento en base llevarse a ca bo sin seguir los
estaba en posición de dar el visto bu eno a procedinu entos aprobados. Esto era un
su propi o trabajo incompleto, sin efec tuar fall o del sistema de ga rantía de calidad de
ulterior inspecció n. la compúiía.
El co ntrolado r de manteninuento en base N o exis tían procedinuentos para transferir
no sup ervisó co n sufi ciente m eti cul osidad un trabajo parcialmente temu nado del
el trabaj o de un m ecá nico qu e carecía mantelumiento en lín ea al de
relati va m ente de experiencia. Esto fu e así, mantelumiento en base. Co mo res ultado,
en parte, a ca usa de las mu chas no se disponía de lungún fo rmulario para
interrupcion es qu e se derivaron de sus registrar en qu é f.1se se hallaba el trabaj o y
deberes adnulustrativos . el inge lu ero de mantelunu ento en lín ea
N o se efec tu ó lun guna prueba de dio sólo instru cciones de transferencia .
moto res . verbales al controlador de manteninuento
en base.
El co ntrolador de mantelumi ento en base
realizó el trabajo sin utilizar co mo La doc umentación qu e se entregó al
referencia fi chas de pro cedinu ento o el controlador de manteninu ento en base no
incluía la (para él) habitual
manual de manteninu ento. En lugar de
ello, co nfió en su mem o ria y en un a do cum entació n de consulta. En particular,
referencia sin la debida aprobación -sus carecía de toda referencia al trabajo de
nota s de fo rm ación. reposició n y de cualqui er medi o qu e
obligase a firmar que esa tarea concre ta se
había finaLiz ado.
La gestión de los grandes riesgos
AviationAuthority presentó cargos contra una aerolínea basándose en los
artículos 50 y 51 de la Ordenanza de Navegación Aérea de 1989. Los dos
ingenieros de mantenimiento directamente implicados en el accidente
fueron despedidos .Tras el veredicto, el presidente adjunto de la aerolínea
declaró a la prensa: «Hoy ha sido un día duro para nosotros, pero hemos
aprendido de la experiencia. Hemos cambiado completamente nuestros
procedimientos». En el capítulo 3 analizarenlOs si ésta fue o no la res-
puesta idónea .
El capitán del avión, cuya rápida actuación evitó la catástrofe, declaró
que forma parte del trabajo de un piloto resolver lo inesperado. «Debe-
mos prever el peor escenario posible. No estamos ahí arriba sólo para pul-
sar botones y confiar en las maravillas de la tecnología moderna . Debemos
estar preparados para esta clase de eventualidad)/. Esta frase define con
gran claridad el papel de la tripulación como defensa del sistema. En el
capítulo 5 nos plantearemos la siguiente pregunta: ¿es la tarea principal de
los pilotos de la aviación contemporánea hacer fi·ente a las emergencias
producidas por los errores de mantenimiento que no han sido detectados?
Los MILLONES DILAPIDADOS: EL COLAPSO DEL BANCO BARINGS
Para quienes trabajan en la minería, la construcción, el transporte, las cen-
trales nucleares, las plantas de proceso químico y similares, el término
«am.enaza» suele significar un peligro inanimado asociado a la liberación
incontrolada de masa, en ergía o sustancias tóxicas. Sin embargo, conviene
que recordemos que «defensas en profundidad» es un término militar re-
lacionado con situaciones en las que las amenazas de las que hay qu e pro-
tegerse son otras personas.
La gente constituye una amenaza de muchas maneras distintas. Para
los militares es «el enemigo». Para una multitud en un estadio de fútbol
es la aglomeración de otros cuerpos. Para la aviación comercial adopta la
form.a de secuestradores y terroristas. En las grandes ciudades son los la-
drones, los atracadores y los asesinos. Para los bancos pueden ser traders que
resultan ser unos gral1l~as.
Nuestro segundo estudio de caso se refiere a la quiebra del grupo ban-
cario Barings -o al menos a la parte de la historia relacionada con el
fallo de sus defensas-o Fieles al enfoque adoptado, no ahondaremos en la
7 . Ibid.
2. La derrota de las defensas
competencia, los motivos o la moral de la principal amenaza de este caso:
Nick Leeson, el sedicente trader granujas. Daremos por supuesto que cual-
quiera que comercie diariamente por valor de millones está expuesto a
numerosas tentaciones y en posición de cometer errores muy costosos.
Nuestro interés, como en el caso previo, se centra en saber cómo es que
el sistema bancario carecía de ciertas barreras, salvaguardias y defensas, y
qué otras fueron traspasadas o eludidas. Inevitablemente, haremos un re-
lato muy resumid0 9 , y limitado al periodo del colapso final, aunque sus
orígenes posiblemente puedan retrotraerse un siglo o más.
El 26 de febrero de 1995, la Corte Suprema de Londres designó un
equipo de administradores judiciales para hacerse cargo de la gestión de
Barings PLC, la empresa matriz del Grupo Barings. La decisión obedecía
al descubrimiento de que Barings Futures (Singapur) PTE Limited (BFS)
había perdido 869 millones de libras en las bolsas de Singapur y Tokio. Ba-
rings Brothers & Co., Limited (BB & co.) era el banco de inversiones más
antiguo de la city de Londres. Desde la fundación original de la sociedad,
en 1792, había permanecido independiente yen manos privadas.
Barings Securities operaba en Singapur desde 1987, pero sólo en 1992
entró en el Intercambio Monetario Internacional de Singapur (Singapore
Monetary Exchange, SIMEX), con el propósito de negociar en el mercado
de futuros y opciones, que crecía con gran rapidez. La nueva compañía
creada para encargarse de este negocio fue BFS. Leeson fue nombrado jefe
de liquidación. Y algo extraordinariamente inusual: se le pidió que hlese
también el trada de BFS en SIMEX. Esta decisión quebrantó un principio bá-
sico del sector de inversión: mantener las actividades de compraventa y li-
quidación estrictamente separadas. El trabajo del trader es ganar dinero; el
del empleado de liquidación es asegurarse de que no se producen errores
en la contabilidad y enmendarlos cuando los detecta . Los investigadores
del caso en Singapur describieron más tarde el hecho de que se confiriera
a Leeson este doble rol como «una decisión desacertada»lO.
D e julio de 1992 a febrero de 1995, el Grupo Barings efectuó una re-
estructuración radical de sus negocios hasta entonces autónomos, cada
8. Nick Leeson narró su participación en la bancarrota de Barings en un libro titu-
lado Roglle Tinder [El trader gra nuj a], Londres, Little, Brow n and Compa ny, 1996.
9. Quienes deseen informarse más extensame nte sob re la quiebra del Banco Barings
deberían leer el libro de Stephen Fay The Collapse of Barings, Londres, Arrow Business
Books, 1996,del qu e he extraído el grueso de la historia aquí expuesta.
10. Barings Futures (Singapur) PTE Ltd, T/¡e Report of th e l/'/spectors Appointed by the Mi-
/lis ter of Finance, Singapur, Ministry for Finance, 1995.
59
La gestión de los grandes ri esgos
uno de ellos con culturas y operaciones diferentes. Había surgido un
conflicto entre BB & co., que se dedicaba a operaciones bancarias más
convencionales, y su subsidiaria, Barings Securities Limited (BSL). BSL se
había formado a partir de la adquisición en 1984 de una agencia de in-
versiones bursátiles con base en el Reino Unido y fuertes conexiones en
Asia. BSL había prosperado en la embriagadora atm.ósfera financiera de
finales de la década de 1980, pero su salud, en 1992, había em.peorado
mucho. Su consejero delegado, ChTistopher Heath (por algún tiempo, el
empleado mejor pagado de Gran Bretaña) se enfrentaba a unos merca-
dos en descenso con una plantilla numerosa y h ambrienta de sustancio-
sas pnm.as.
La situación llegó a un punto crítico el domingo 26 de septiembre
de 1992, un día que Heath describiría luego como el «aquelarre»!!. Heath
dim.itió como consejero delegado y se nombró a Peter Norris director
general de operaciones. En marzo de 1993, Heath abandonó Barings y
Norris fue ascendido a consejero delegado. A finales de 1993, BB & co.
y BSL se fusionaron para formar el Investment Bank Group, luego re-
bautizado como Barings Investment Bank (ElB) . Esta entidad se subdi-
vidió en cuatro secciones. Las dos relevantes para su futuro derrumbe
fu eron el Grupo de Correduría y Compraventa de Valores, presidido
por Norris , y el Grupo Bancario, dirigido por George Maclean -
quien, más adelante, declararía ante los investigadores del Banco de In-
glaterra:
Creo qu e las semillas de esto Da quiebra] se sembraron cuando entranlOS en
BSL para fusionar las dos comparuas y supusimos que los controles de calidad
que noso tros te¡úamos [en BB & co.] se podrían il1l.plel1l.entar allí rápidamente.
A la vista de los resultados, parece qu e nos equivocal1l.os!Z
Después de superar los exámenes del mercado financiero local, Lee-
son comenzó a negociar en el parqué del SIMEX. Pronto fue nom.brado
gerente general y trader jefe de BSF, aunque según se vio después parecía
haber bastante confusión en Londres acerca de las com.petencias co rres-
pondientes a este cargo. Heath, que era quien lo h abía nombrado origi-
nalm.ente, creía que se trataba meramente de un empleado que transmitía
las órdenes recibidas por teléfono o por fax al trader presente en el SIMEX .
Leeson, sin em.bargo, tenía otras ideas. Ser un operador le daba acceso al
11. S. Fay, op. cit.
12. Ibid.
60
2. La derrota de las defensas
parqué. En su libro Rogue 7i'ader (El trader granuja) nos da una clara idea
de la impresión que esto le causó:
La primera vez que entré en la sala de contratación pude ver y oler el dinero.
Durante todo el tiempo que llevaba en Barings había estado acercándome a
él pulgada a pulgada, y en Singapur, de pronto, estaba allí. Había estado tra-
bajando en las trastiendas del negocio durante casi seis años , n1.oviendo bille-
tes de aquí para allá y solucionando los problemas de otra gente. Ahora, de pie
sobre el parqué, podía trab~ar con dinero instantáneo - estaba suspendido en
el aire,justo delante de nú, invisible pero con una imnensa carga eléctrica, es-
perando sólo que alguien lo hiciera descargar a tierra!3
La confusión en torno al doble rol de Leeson como empleado de li-
quidación y como trader está en el corazón mismo del desplome de Ba-
rings. Lesson pasó a través de las hendiduras de la matriz de la estructura
de gestión de Barings igual que el cigarrillo encendido qu e cayó a través
de las grietas de una escalera mecánica causó el incendio de la estación d e
metro de K.ing's Cross. En esa estructura, cada línea de negocio -banca,
compraventa de acciones, comercio de valores y divisas , etc.- era una de
las columnas de la matriz y las diversas oficinas y estructuras regionales re-
partidas alrededor del mundo eran las filas. La teoría era que todo em-
pleado se hallaba conectado tanto con la dirección local como con la
oficina de Londres . La realidad, en este caso, era que nadie vigilaba d e
cerca las actividades de Leeson. Sus superiores inmediatos no sólo fueron
incapaces de colegir qué competencias le confería la definición de su
puesto, sino que además eran reticentes a supervisar su trabajo. Todo el
mundo lo consideró siempre responsabilidad de algún otro. A quién debía
informar de sus actividades era una cuestión confusa, o que no se plante-
aba. No ayudaba a resolver problema que las oficinas de la alta dire cción
de Singapur estuvieran en la planta 24 del nu evo edificio Ocean Tower,
mientras que Leeson trabajaba en el piso 14.
En julio de 1992, BFS abrió una cuenta de errores, un procedimiento
estándar para retener valores o divisas objeto de un intercambio sobre el
que existe desacuerdo hasta que éste se resuelve, habitualmente en menos
de 24 horas. Se le dio el número 88888 (la cuenta «cinco ochos»). Cinco
días después, Leeson ordenó a un asesor informático independiente de
Singapur que cambiase el software de BSF, con el fin de excluir la cuenta
«cinco ochos» de los informes sobre intercambios de valores y divisas,
13. N. Leeso n, op. cit.
61
La gestión de los g rand es riesgos
posición y precios, que a diario se remitían a Londres, y que sólo se en-
viase el archivo diario de avales -que se refi ere al efe ctivo o los valores
depositados en la Bolsa como ga rantía de solvencia o como m edio de li-
quidar b enefi cios y pérdidas. Eso significaba que cuando ese archivo
diario ll egase a Londres, el sistema automático de clasificación no reco-
noc ería el número de cuenta y, como resultado, no se transmitiría infor-
m ación alguna al sistem a interno de informes de Barings, llamado First
Futures.
La información disponible en Londres aparecía en dos pantallas de or-
denador. Una mostraba los balances de avales del sistema informático de
SIMEX e incluía el archivo de avales de la cuenta «cinco ochos» . La segunda
mostraba los balan ces transferidos al sistema First Futures y era la única
que la oficina de Londres estudiaba minu ciosamente de forma regular; en
ella no aparecía ninguna información de la cuenta «cinco ochos». Londres
sólo se percató de este pequeño secreto contable tres días antes del des-
plome. Fue a través de este aguj ero por donde se esfumaron cientos de
millones de libras.
Leeson se embarcó entonces sin autorización en una fren ética com-
praventa de op ciones y futuro s. En diciembre de 1992 sus p érdidas se ele-
vaban a 208 millones de libras. Tanto entonces, como durante los meses
qu e siguieron, a Leeson se le co nsideraba en Londres como un empleado
sobresaliente. E n 1993 se le concedió una prima de 130000 libras; al año
siguiente recibió otra de 450000. Barings sup onía que sus ben eficios de-
clarados provelúan del arbitraj e - compraventas que aprovechaban las di-
ferencias de precios entre los m ercados j ap on eses y el SIMEX- . La oficina
de Londres creía que los valores y divisas obj eto de ese intercambio te-
nían una paridad perfecta -que se compensaba mutuam ente- , p or lo
que no parecía que el ban co corriera ningún riesgo real. E n febrero de
1985 las pérdidas acumuladas alcanzaban ya los 830 millones de libras .
Leeson financiaba sus pérdidas de tres m aneras. Primero, tomaba dinero
en préstamo de las subsidiarias de Barings Securities en Tokio y Londres,
quienes creían que lo utilizaba para hacer negocios por cuenta de ellas. Se-
gundo, BSL de Londres le prestaba dinero para pagar los márgenes necesa-
rios como garantía de los intercambios - fondo s para cubrir pérdidas no
realizadas- .Y no se dieron los pasos adecuados para verificar las cuentas o
para contrastad as con los registros de transacciones de los clientes. Tercero,
a medida que sus pérdidas aumentaban más y más, en enero y febrero de
1995, Leeson creó compraventas artificiales en el sistem a de ordenadores de
SIMEX para reducir el nivel de los pagos de avales exigidos por la Bolsa.
62
2. La derro ta de las defensas
All11ismo tiempo, ocultaba sus huellas remitiendo a Londres informes fal-
sos que hinchaban los beneficios de BSF y falsificando transacciones de com-
praventa y entradas contables.
E n julio y agosto de 1994, un equipo de auditoría interna de BSL vi-
sitó Singapur p ara revisar las operaciones de las oficinas de Barings en la
región. Su informe, entregado en diciembre de 1994, expresaba cierta
preocupación por la ausencia de separación entre las oficinas «delanteras»
(comercio de valores y divisas) y «traseras» (contabilidad) de BS F. El miem-
bro de ese equipo que auditó la oficina de Singapu r escribió qu e, si bien
no existía evidencia de que Leeson es tuviese abusando de su doble rol
«. .. debe examinarse el potencial de que así suceda» 14. El informe reco~
mendaba qu e Leeson dej ase de ser el único responsable de la sup ervisió n
de la oficina de liquidación, pero esto n o le privaba de los poderes que
necesitaba p ara seguir cometiendo sus engal10s. Una de las principales ra-
zon es de la auditoría era investigar los grandes ben eficios de Leeson. El
inform e llegó a la conclusión de que esos ben efi cios se debían a sus ex-
cep cionales habilidades y expresaba su inquietud, porque «los m árgen es
de ben efi cio de BFS se verían erosionados de forma imp ortante» en el
caso de qu e fu era fi chado por un comp etidor. Al igual que la dirección
de Londres, los auditores qu edaron hipnotizados por los benefi cios de-
clarados de Leeson.
Por esa época, sin embargo, la ofi cina de Londres ya era consciente de
que había decenas de millones de libras que no podían asentarse en la
contabilidad debido a compraventas qu e no se correspondían entre sí
-a la imp osibilidad de hacer corresponder lo que debería haber en una
cuenta con lo que en efecto había en ella- oA Tom H awes, el tesorero del
Grupo BIJ3, el informe de la auditoría le tranquilizó algo : «Creímos qu e no
podía estar ocurri endo nada demasiado malo o lo habrían descubierto».
Posteriormente declararía que no había ninguna excusa p ara no hab er
concedido a la recon ciliación contable la máxima prioridad. «Pero siem-
pre parecía haber algún otro asunto más urgente». Es te sentimiento apa-
rece con fi'ecu en cia en la historia de los accidentes organizativos.
A principios de febrero de 1995 hubo rumores en los m ercados acerca
de los negocios en Japón y sobre posibles problemas con algunos clien-
tes . La oficina de Londres incluso recibió una preo cupada llam ada del
Banco de Pagos Internacionales, sito en B asilea. N ada de esto inquietó a
los direc tivos de B arings, sin embargo, porque creían - equivocada-
14. S. Fay, op. cit.
63
La gestión de los grandes ri esgos
mente- qu e su posición en los m ercados japoneses estaba cubi erta por
posiciones equivalentes y de signo opuesto en el SIMEX.
Pero el ritmo de los desc ubrimientos se aceleró en febrero de 1995.
El 6 de febrero, Tom H awes y otro colega, Tony R ailton, visitaron Singa-
pur co n la esperanza de aclarar diversos asuntos. Poco a po co fu eron des-
cubriendo lo suficiente para hacerles sentir una creciente alarma. El 23 de
febrero Leeson no acudió a su oficina. Ese mismo día Hawes enco ntró un
documento impreso por ordenador en el que descubrió «L1l1a cuenta lla-
mada "cuenta de errores" donde constaban dios sabe cuántas transaccio-
nes, todas, al parecer, saldadas con tremendas pérdidas»15. Al día siguiente,
viernes, Pe ter Baring, presidente de Barings se entrevistó con el director
adjunto del Banco de Inglaterra y le informó de que Barings había sido
víctima de un gigantesco fi·aude. A lo largo de ese fin de semana el Banco
de Inglaterra intentó infructuosam ente salvar el Barings. El domingo por
la tarde se convocó a los administradores. D esp ués de 203 a110S de histo-
ria, el viejo banco de inversiones quebraba .
H asta aquí nos h emos centrado en el fallo de los controles internos;
p ero, ¿qué hay del fallo del papel regulador del Banco de Inglaterra? El in-
fOrIlle de la investigación qu e el Banco de Inglaterra l 6 realizó sobre la
quiebra criticó la supervisión ej ercida por uno de sus altos direc tivos, bajo
cuya responsabilidad estaban los bancos de inversiones, y afirmó qu e este
direc tivo había cometido un error de juicio en 1993 cuando, informal-
m ente, había concedido perlTllSO a Barings para que sus transacciones en
la Bolsa de Valores de Osaka sup erasen el 25% de su capital. Efecto in-
m ediato del informe fu e la dilTllsión de dicho directivo, aCOlTlpal1ada de
la de Pe ter Baring y Andrew Tuckey, presidente y presidente adjunto, res-
pectivamente, de Barings PLe. Nick Leeson cumplió en una cárcel de Sin-
gapur su condena de seis a110s y medio por fraude. ¡NG, un gran grupo
bancario y asegurador holandés, compró los activos y pasivos de Barings
por el precio simbólico de una libra -aunque el coste real fu eron 660 mi-
llones de libras-o En junio de 1996, el Bussines Tirnes de Singapur infor-
maba de la mayor demanda judicial nunca interpuesta en Singapur (por
más de 2000 Imllones de dólares), contra Coopers & Lybrands Singapore
y Deloitte & Touche, la compa11ía que suministraba servicios de audito-
ría externa a BSF, por dar «L1l1a acreditación injustifica da a los informes de
15. [bid.
16. R eport cif fh e Board cif Bankir¡g SlIpelVisioll IlIqlliry illto fhe Cim llllsfallces of fh e Collapse
of Barillgs, Londres, HM SO, 1995.
2. La derrota de las defensas
BSF, del Grupo Barings, en el al10 cerrado el 31 de diciembre de 1994». Las
repercusiones, sin duda, continuarían.
Al usar la cuenta «cinco ochos» tanto para ocultar sus pérdidas COIT10
para declarar falsos ben eficios a la oficina de Londres, Leeson creó un agu-
j ero inmenso en las defe nsas del sistema. C laramente, el propio Leeson fu e
el principal arquitecto de esos fallos activos. Podemos hacernos una idea
de estas destructivas transacciones contemplando un instante el p eriodo
que siguió üU11ediatamente al terremo to de Kobe, el 17 de enero de 1995
- el suceso que desencadenó su ruina final-o Leeson apostó a qu e los va-
lores j aponeses subirían en lugar de bajar y el 20 de enero adquirió una po-
sición a largo plazo (cuyo valor se apreciaría si su precio de merca do subía)
mediante la compra de 10 014 contratos de futuros del Nikkei 225. El lunes
23 de enero el Nikkei 225 - un índice basado en 225 valores negociados
en la Bolsa de Tokio- cayó 1175 puntos, pero Leeson siguió comprando.
El 27 de enero sus compras ascendían a 27158 contratos.
Sólo el 23 de enero la posición de Leeson en el m ercado de futuro s
del Nikkei p erdió 34 millones de libras; su cartera de opciones había per-
dido 69 millones desde el terremoto. Leeson respondió usando transac-
ciones cruza das (un m edio de transferir órden es de compraventa entre
dos clientes de una misma firma a través de la Bolsa) con la cuenta «cinco
ochos» para declarar grandes dividendos a favor de Barings . Entre el 23 y
el 27 de enero, mientras afirmaba hab er ganado cinco millones de libras
mediante su arbitraj e, en realidad había perdido 47 millones.
Es extremadamente dificil dar una resp uesta preventiva al fraud e, y un
fraude por incomp etencia de estas proporciones es aún más dificil de pre-
decir o de resistir. En abril de 1994 el mundo banca rio interna cional fue
sacudido por la noticia de qu e el j efe de un trader de Wall Street había
descubierto que éste había declarado un beneficio completamente falso
de 350 millones de dólares. La reacción de la alta dirección de Barings fu e
efec tu ar una revisión de sus propios controles de riesgo, y descubrió qu e
debía mejorarlos radicalmente. El consejo de direcció n fu e informado de
qu e se estaba desarrollando un sistema de gesti ón de riesgos más estricto,
pero nada volvió a oírse de ese plan hasta enero de 1995, cuando era de-
masiado tarde p ara evitar el desas tre. A lo largo de 1994 se nombraron
controladores de ri esgos en Hong Kong y Tokio, pero la dirección de Sin-
gapur dijo qu e ellos no los necesitaban .
El informe del Banco de Ingla terra identificó cierto número de sel1ales
de advertencia que deberían haber alertado a la dirección de Barings de las
actividades no autorizadas de BSF. El informe admite que ninguno de esos
La gestión de los grandes ri esgos
indicadores por separado habría constituido un aviso suficiente, pero todos
en conjunto deberían haber hecho sonar la alarma tanto en Londres como
en Singapur. Entre esos indicadores se incluyen los siguientes:
- La ausencia de separación entre las oficinas «delanteras» y «traseras» des-
cubierta por la auditoría interna realizada entre julio y agosto de 1994.
- El alto nivel de financiación necesario para costear las actividades de
contratación de BSF.
- El balance de fondos transferidos de Londres a Singapur para cubrir
avales y qu e no cuadraba.
- El insólito contraste entre los altísimos beneficios aparentes y el bajo
nivel de riesgo que percibía la dirección de Barings en Londres.
- El descubrimiento de un supuesto adeudo por un monto de aproxi-
madamente 30 millones de libras con cargo a uno de los clientes de
BSF, Spear, Leeds & Kellogg, que Leeson había falsificado en diciem-
bre de 1994.
- Una carta enviada por SIMEX a BSF el 11 de enero de 1995 y que incluía
referencias con cre tas a la cu enta «cinco ochos». En aquel ITlOmento la
carta no fu e reenviada a Londres.
- y otra carta, con idénticos remitente y destinatario, fechada el 27 de
enero de 1995, en la que SIMEX solicitaba confirmación de que BSF es-
taba en condiciones de financiar sus peticiones de avales en el caso de
que ocurriera un movimiento adverso del m ercado. Esta carta sí se re-
mitió a Londres, pero no se actuó en consecuencia por las razones ya
señaladas.
EL DESCARRILAMIENTO DE NAKlNA: UN FALLO LATENTE
DURANTE 76 AÑos
Si hay un elem ento defensivo que predomine sobre todos los demás en
las actividades ferroviarias es la estabilidad del firme -el suelo sobre el
que se tienden los raíles-o Si éste fallase, los raíles perderían su alineación
y su capacidad de sustentación, y un tren que circulase por un segmento
en tales condiciones probablemente descarrilaría. Así su cedió enjulio de
1992 en una curva cerca de Nakina, Ontario l7 . Lo que diferencia a este ac-
17 . Estoy profundamente agradecido a Peter H arl e,jefe de prevenció n de acciden-
tes de la oficina para la seguridad del transporte (de Ca nadá) po r proporcionarme una
sin opsis de este accidente titulada Nak ina: A/l. Organiz atio/lal Accident. Puede co nsultarse
66
2. La derrota de las defensas
cidente de otros descarrilamientos es que su causa última se retrotrae a
1916, al momento en qu e se tendió el trazado.
Nada más rebasar una curva a la velocidad reglamentaria de 35 millas
por hora, el personal de un tren de mercancías de Canadian N ational vio
que los raíles que te¡úan justo delante estaban suspendidos en el aire. El
agua había arrastrado completamente el firme que debía estar debajo. In-
capaz de frenar a tiempo, el tren descarriló y cayó a un estanque adyacente.
Dos miembros de su dotación murieron y el conductor resultó gravemente
herido.
La investigación subsiguiente, ll ~vada a cabo por la Oficina Canadiense
para la Seguridad en el Transporte, determinó a partir del proyecto origi-
nal qu e el firme discurría por la ribera de un embalse de castores: los raí-
les se habían tendido sobre una presa de cas tores -una m ezcla inestable
de turba y sedimento aluvial-o La parte superior del firme tuvo las m e-
joras y el mantenimiento apropiados a lo largo de las décadas siguientes,
pero nunca se rectificó la inestabilidad básica de sus cimientos.
Los accidentes organizativos implican la interacción de condiciones
latentes con factores lo cales desencadenantes. Dos de estos sucesos loca-
les precipitaron el accidente. Primero, la compañía ferroviaria implel11.entó
una política de exterminio de los castores en la vecindad de las vías férreas
-para minimizar los problemas de inundaciones y riadas destructoras de
infraestructura ferroviari a asociados a la ac tividad de los castores-o Esto
significó que los castores dejaron de mantener la vetusta presa. Segundo,
aquél había sido un verano inusualmente lluvioso y el nivel del agua tras
la presa había cre cido, sobresaturando el firme colindante. La presa que
los castores ya no podían reparar fu e debilitándose gradualmente bajo la
creciente presión del agua acumulada y se desplomó cuando una m asa
crítica del estrato de lodo que formaba su base se deslizó al fondo de la
presa .
Los investigadores construyeron un modelo informático de la presa
levantada por los castores y probaron su estabilidad en diversos escenarios.
El ej ercicio evidenció que la carga temporal ej ercida sobre la presa por un
tren de carga en tránsito no bastaba para causar el derrumbe. La desesta-
bilización catastrófica del firme se debió por entero a una rápida caída de
dos metros del nivel del agua a un lado del terraplén del ferrocarril. No
hubo indicios visuales previos de que el firme estuviera socavado ni el
un a exposició n co mpleta del accidente en el siguiente info rme: TSB Ocwrrence R epo rt ,
n.OR92T0183 , Ottawa , Transport Safety Board, 1992 .
La ges ti ó n de los grandes ri esgos
hecho podía haberse predicho sin un detallado análisis geo técnico. Como
la vía parecía estable a quienes realizaban las inspecc iones rutinarias de
sus características externas, no se llevó a cabo ningún análisis de esa clase
ni se tomaron m edidas para reforzar el lecho subyacente.
Así pu es, y co ntra lo que suele ser habitual, en es te accidente no hubo
fallos ac ti vos (errores o inE:accio nes) por parte de la dota ción del tren ni
del mantenimiento de la vía. Su causa última fue un fallo latente de cons-
trucción - permitido por los estándares de 1916- qu e había permane-
cido inactivo durante 76 años hasta que un co njunto de condiciones
locales desencadenantes hizo que su debilidad intrínseca se pusiera de ma-
nifiesto co n resultados fa tales.
RASGOS COMUNES
Al ofi'ecer estos tres estudios de caso nu estro propósito es doble: primero,
mostrar en detalle la diversidad de formas en qu e las defensas de un sis-
tema pu eden ser debilitadas y sup eradas, hasta ca usar un accidente orga-
nizativo ; segundo, ver qu é principios com.unes, si existe alguno, pueden
aplicarse legítilTlamente a tres sucesos tan diferentes como éstos. Será la se-
gunda cuestión la qu e nos ocupe en esta sección final. En este sentido, vale
la pena recordar que, en las ciencias de la seguridad, la prueba de todo
principio general es m uy práctica: ¿indica alguna apli cación co rrec tiva
factible? Las abstracciones teóricas son de escaso interés a menos qu e nos
ll eve n a co nseguir una seguridad m ejor.
El hecho primero y más obvio en los tres ac cidentes es la preexisten-
cia de co ndiciones latentes, a menudo desde antiguo, qu e contribuyeron
al fallo de las defensas del sistem.a. Los errores e infracciones qu e come-
ten qui en es trabajan en primera línea so n lTlUy frecuentes en los acci-
dentes organizativos, pero no constituyen ca usas necesarias ni sufi cientes,
como evidenció claramente el descarrilamiento de Nakina. En cambio, en
los sistemas complejos existen condiciones latentes siernpre; y existen ahora.
Podemos no saber qué co ndiciones latentes concretas estarán implica das
en algún suceso futuro, pero sí sabemos que alguna lo estará, y a partir de
los ya amplios análisis de accidentes organizativos podemos también ha-
cernos una idea bastante aproximada de los tipos de condiciones latentes
que constituirán una amena za má s probable para la seguridad del sistema .
No hay en ello ningún misterio.T ienen relación con los procesos básicos
de la organización: disello, constru cción, operación, mantenimiento, co-
68
2. La derrota de las de fensa s
l11unicación, selección, form.ación, sup ervisión y gestión. La lista está in-
completa , pero bastará para evidenciar qu e son elem entos genéricos esen-
ciales de cualqui er pro ceso produ ctivo -de h echo, son las ocupaciones
cotidianas de la dirección.
Esto nos lleva a dos generalizaciones importantes. Prim.ero, la calidad
de la producción y la calidad de la protección dependen de los mismos
pro cesos organizativos subyacentes . La seguridad no es un aspecto sepa-
rado del res to. Segundo, no podemos prevenir qu e el sistema co ntenga
condiciones latentes porque son el resultado inevitable de la toma de de-
cisiones estratégicas. La única acción útil a nuestro alcance es ha cerlas vi-
sibles a qui enes dirigen y operan la orga ni zación, de manera qu e, en todo
momento, sea posible co rregir al menos las peores de ellas. No podem.os
esperar resolver todos nu estros problemas de un golpe. Los recursos siem-
pre son limitados. Pero podemos identifica r y lu ego abordar aquellas con-
diciones latentes qu e, en un mon1.ento dado, demandan una atención más
urgente. Por supuesto, mientras arreglamos éstas, otras cosas pu eden ir mal.
La gestión del riesgo, co mo la vida, consiste en «una p11l1etera cosa detrás
de otra». En el capítulo 7 describiremos algunas de las herramientas de
diagnóstico proactivo m ediante las qu e podemos poner en prác ti ca este
«programa de manteninuento en forma» a largo pla zo.
En los tres sucesos estudiados falló el proceso esencial de revisión y
comprobación de las defensas. En el desca rrilanuento del tren, el pro-
blema subyacente era virtualmente indetectable antes de que se produj era
el suceso. Es, por lo tanto, un caso especial. Más a menudo, las debilidades
latentes de las defensas so n potencialmente -e incluso realmente- evi-
dentes antes de que tenga n un efecto adverso. Los dos primeros estudios
de caso revela ron un motivo muy co mún por el qu e no se detec taron ni
repararon las debilidades defensiva; del sistema: la ge nte encargada de ello
se había olvidado de temer lo que pudiera ocurrir.
Es mu y fácil qu e quienes tienen en mente co mo prioridades absolu-
tas los objetivos de produ cción o de b en eficios pierdan de vista los peli-
gros. Los sucesos infaustos son nuserico rdiosamente infi:ecuentes en los
sistemas bien defendidos. Muy pocas personas han tenido experiencia di-
rec ta de ell os. Las demandas de produ cció n, en ca mbio, son inmediatas,
continuas y perennes. También va rían co nstantem ente y por ello exigen
atención permanente, nuentras que el func ionanuento seguro genera un
resultado co nstante -y, en consecuencia, relativamente ca rente de inte-
rés- co nsistente en que no sucede nada. Los mecanismos m erced a los
que se consigue esta fiabilidad pueden resultar impenetrables a qUlenes
La gestión de los grandes riesgos 2. La derrota de las defensas

operan y dirigen el sistema . Una vez más, Karl Weick nos ha facilitado Tabla 2.2
una elegante síntesis de este problema1S. Cómo manejan la información sobre la seguridad
distintas culturas organizativas
La fiabilidad es invisible en el sentido de que los resultados fiables son cons-
tantes, lo que significa que no hay nada a lo que prestar atención. Los ope-
Cultura patológica C ultura burocrática C ultura generativa
radores no ve n nada y no ver nada les lleva a sup oner que nada está
sucediendo; y si no sucede nada y continú an actuando como hasta ahora, se- No quiere saber P uede no detectar La busca activamente
guirá sin ocurrir nada. Este diagnóstico es engañoso y puede indu cir a error
A los mensajeros (<<Pepitos A los mensajeros se les A los mensaj eros se les forma y
porque los resultados estables pueden ser producto de insumas dinám..icos. Grillo») se les «liquida» escucha, si surgen se les recompensa
La idea de Weick es que la seguridad es un no suceso dinán'IÍco: lo que La responsabilidad se elude La responsabilidad está La responsabilidad se comparte
produce el resultado estable no es una continua repetición, sino un cam- compartimentada

bio constante. Para obtener esta estabilidad, el cambio en un parámetro del El fallo se castiga u oculta A los L1!lOS se responde con A los fallos se responde con
sistema debe ser compensado por cambios en otros parámetros. reparaciones locales refo rmas de largo alcance

Si una vigilancia eterna es el precio de la libertad, el precio de la se-
guridad es una inquietud crónica . Los estudios de las organizaciones de
alta fiabilidad -sistemas con menos accidentes de lo que «en justicia» les
corresponderÍa- muestran que las personas que los operan y dirigen
tienden a asumir que todos los días serán problemáticos, y actú an en con-
secuencia. Éste no es un estado mental fácil de sostener, emp ero, en par-
ti cular cuando lo que a uno le inquieta es algo que no ha sucedido nunca
o que sucedió hace mucho tiempo, y quizás incluso en otra organización.
y, como veremos luego, es probable que esta actitud tipo «Casandra» sea
mal recibida en ciertas culturas organizativas.
Ron Westrum, uno de los principales sociólogos industriales de Esta-
dos Unidos, ha clasificado las culturas organizativas en función del modo
en que manejan la üúormación relacionada con la seguridad19. Westrum
identifica tres tipos de cultura -patológica, burocrática y generativa-,
cuyas características principales resume la tabla 2.2.
Westrum sostiene que las organizaciones que desarrollan operacio-
nes potencialmente peligrosas necesitan de «imaginación indispensable»
- una diversidad de pensamiento e imaginación a la altura de la diver-
sidad de los posibles escenarios de fallo. Poseer esa imaginación indis-
pensa ble no sólo caracteriza a las organizaciones de alta fiabilidad (o
generativas), sino que su ausencia - CO UlO vimos en los dos primeros es-
Se desmotiva activamente la L1s uuevas ideas suelen generar Las nuevas ideas son bien
sugerencia de nuevas ideas problemas recibida~
tudios de caso- figura de forma destacada en las fases de desarrollo de
un accidente organizativo.
En retrospectiva, casi siempre se puede identificar la presencia de se-
üales de advertencia previas a un desastre que, de haber sido atendidas y
haberse actuado en consecuencia, podrían haber fi'ustrado la secuencia
del accidente. La pregunta que a menudo surge después de un suceso es:
¿cómo es posible que en ese momento no se percibieran o se pasaran de-
liberadal11.ente por alto esas seüales? Las posibles causas de que eso ocu-
rra son numerosas, pero la mayoría tienen que ver con el hecho de que
los observadores «a toro pasado » y co n un conocimiento retrospectivo
petfecto ven las cosas de manera muy diferente a com.o las veían los par-
ticipantes ac tivos, con una visión i>rospectiva limitada ~ Saber cómo resul-
taron las cosas - lo que los psicólogos han denom..inado conocimiento de
los resultados- sesga profundamente nuestro juicio sobre las acciones de
quienes las afi'ontaron in situ. Diversos estudios2o han mostrado qu e:
- La gente sobreestima enormemente lo que cree que habría podido
prever.
- También sob reestima lo que otros eran cap aces de prever.

18. K. E. Weick, «Organizational culture as a source ofhigh reliability», Califorl'lio Mo-

noge/lle/1.t Rwiew, 29, pp. 112-127. 20. El más importante de los cuales quizá sea el artículo de Barllch Fischhoff «Hind-
19. R .Westrum, «Cultures with requisite imaginatioll», en ].Wise, D. H opkin y P. Sta- sight do es not equal foresigh t: the effect of outcome knowledge OI\ j udgement under un-
ger (eds.), Verifica/ion ond [¡á/ida/ion ofComp/ex Systel/ls: Hunw/'I Fac/ols Issues, Berlín , Sprin- certain ty»,jo /./rna/ ofExperil/le/1.tal Ps)'cholog)': HUlllan Perforlllance and Perception , 1, 1975, pp.
ge r-Verlag, 1992, pp. 401-416 . 288-299 .

7° 7I
 La gestió n de los g randes riesgos
- Sus recuerdos de lo que ellos nusm os eran capaces prever no son fi-
dedignos.
Uno de los hechos que más fácilmente pasamos por alto cuando repa-
samos la historia causal de un accidente es que un indicador previo del
desastre sólo es una verdadera advertencia cuando se sabe qu é clase de de-
sas tre se va a sufi·ir. Sin embargo, muy raramente es así, como han expli-
cado los psicólogos holandeses Willem Albert Wagenaar y JoP Groeneweg:
Los accidentes parecen ser el resultado de coincidencias muy complejas que
raramente podrían haber sido previstas por los participantes involu crados. Esa
impredecibilidad es consecuencia del gran número de causas y de la disper-
sión de la información entre los participantes [... l.Los accidentes no ocurren
porque la gente se la juegue y pierda, sino porque esa gente no cree qu e el
accidente que está a punto de oc urrir sea posible en absolut0 21.
En po cas palabras, muchos accidentes so n accidentes irnposibles -al
m enos desde la persp ec tiva de los implicados 22- . Ése fue probablemente
el caso del accidente debido al fallo de mantenimien to del avión, pero
quizá no tanto el de la bancarrota del Banco Barings. En este caso, la di-
rección del Barings se había asustado lo suficiente a ca usa del fraude p er-
petrado por el agente de Wall Street en abril de 1994 como para ordenar
la revisió n de sus propios controles de riesgo. Advirtieron las defici encias
y comenzaron a corregirlas, pero no lo bastante rápido para escapar al de-
sastre. Tal vez, co mo observó el tesorero del grup o, «siempre había alguna
otra cosa que parecía m ás urgente». Un epitafio idóneo para la mayoría de
los accidentes organizativos.
21. WA . Wagenaa r y J. Groeneweg, «Accidents at sea : mu ltiple ca uses and impossible
co nseq uences», Jntema/ional Jo l/rila I of Man-i\lJacliin e S/I/dies, 27,1987, pp. 587-598.
22.Véase ta mbién el muy influ yente lib ro de C harl es Per row No rI l/al Acciden/s: Lil/ing
Illitll Higli-Risk Tedl/l ologies, Nu eva York, Basic Books, 1984 [trad. cast. : Acciden/es nOrll/ales.
COlll/ivir con las tewologías de al/o riesgo, Madrid , Modu s Laborandi , 2009].
72
3
Defensas peligrosas
MUERTO POR SU ARMADURA
EN UNA HÚMEDA MAÑANA de finales de octubre de 1415, una considerable
fi.¡erza de caballeros franceses cubiertos con pesadas armaduras avanzó con-
tra un pequeño y débil ejército inglés formado por 5000 arqueros sin ar-
madura y unos 300 hombres de armas. (El ejército francés era al menos
cinco veces más numeroso). Los caballeros franceses cargaron a caballo sobre
un terreno flanqueado por densos bosques a ambos lados y, aunque inten-
taron atacar los flancos del contingente inglés para evitar la amenaza de sus
arcos largos, que conocían pelfectamente, la naturaleza del terreno hizo que
las dos alas del ataque convergieran en el centro del campo. Una vez a su
alcance, los arqueros ingleses lanzaron una tormenta de flechas de casi un
metro de largo y punta de acero, que mataron a algunos caballeros fi·ance-
ses en el acto ; p ero muchos otros sólo cayeron de sus caballos heridos.
A comienzos del siglo xv, la armadura de planchas qu e llevaban los ca-
balleros casi había alcanzado su cénit en cuanto a complejidad y peso. Es-
taba fa bricada a pru eba de la m ayoría de las armas de punta o filo de la
épo ca, pero te¡úa un defecto fatal. Era tan pesada que si su ocupante era
descabalga do tenía graves dificultades para volver a ponerse en pie, espe-
ciahnente en circunstancias como las que co ncurriero n en el campo de
batalla de Azincourt: un espacio estrecho, atestado y embarrado l . Caídos
en el suelo, yacían indefensos, y los desembarazados peones ingleses, ar-
mados con mazas, puñales y dagas, los m asacraron. (Hubo algunos prisio-
neros, pero m ás tarde fueron asesinados). El ej ército inglés perdió en torno
a 100 hombres y nü'ios en la batalla; los muertos franceses, la mayoría no-
bles, ascendieron a muchos miles.
1. Para saber más sobre qué se sentía al enco ntrarse un o en la diana de una llu via de
flechas , véase John Keegan , Tlie Pace cifVlkir, Nueva York,Viking Press, 1976.
73
La gestió n de los grandes riesgos
Este sangriento episodio de una larga guerra -que los ingleses, final-
mente, perdieron- sirve para presentar el tema principal de este capítulo,
a saber, que unas defensas diseñadas para proteger frente a un tipo de ame-
naza puede hacer víctimas de otras clases de peligros a quienes debían sal-
vaguardar; peligros que normalmente no previeron quienes las crearon y
que sus usuarios ni siquiera llegaron a comprender.Y esto es tan cierto hoy
- en la época de los sistemas de alta tecnología- como lo era en los tiem-
pos de Azincourt.
ALGUNAS PARADOJAS
La historia de las defensas, barreras y salvaguardias abunda en paradojas,
con frecuencia dolorosas. Las medidas de protección pueden causar daños.
A la inversa, pequeñas dosis de un ente dañino pueden proporcionar una
protección duradera, como en el caso de la vacunación o inoculación.
Algo análogo a la inoculación, en el mundo de las tecnologías de alta pe-
ligrosidad, es la oportunidad de reformar el sistema que procuran los inci-
dentes, los casi accidentes y otras lecciones gratuitas -sucesos que podrían
haber sido desastrosos, pero que en esa ocasión no lo fi..¡eron-. Hasta cierto
punto, es posible «(vacunar» un sistema contra los accidentes organizativos,
aprendiendo m ás sobre las fortalezas y debilidades de sus defensas a partir
de esos casos en que salió bien librado por los pelos (véase el capítulo 6).
El presente capítulo analiza algunas de esas irolúas y paradojas relativas
a las defensas en tanto afecten a sistemas vulnerables a los accidentes orga-
nizativos. En ningún momento sostendré que las defensas sean intrínseca-
mente malas. Sin duda, la provisión de defensas diversas y redundantes ha
reducido mucho la cifra absoluta de su cesos adversos; pero también
ha cambiado radicalmente tanto la naturaleza de los accidentes que ocu-
rren como el carácter de los sistemas que protegen --sobre todo, han trans-
formado la relación entre sus componentes humanos y técnicos-o Es
esencial, por tanto, que quienes dirigen y operan tecnologías complejas
entiendan tanto las ventaj as como los peligros de las defensas multicapa.
AUTOMATIZACIÓN: IRONÍAS, TRAMPAS Y SORPRESAS
Una de las formas en que los diseñadores de sistemas han procurado re-
ducir lo que h a llegado a conocerse como el problema 80:20 -el fi·e-
cuente descubrimiento de que en torno al 80% de las causas de accidentes
74
3· Defensas peligrosas
se deben a fallos humanos y sólo el 20% a fallos técnicos- ha consistido
en implantar más automatización aún en el interfaz ser humano-sistema.
Por supu esto, el deseo de alejar a los falibles seres humanos del lazo de
control no es la única razón de este rápido crecimiento de la automatiza-
ción. La disponibilidad de capacidad de computación barata desde co-
mienzos del último cuarto del siglo xx -una tecnología de vanguardia
cuyo uso ofi·ece considerables ventajas com erciales- ha constituido un
poderoso incentivo.
C uando, a comienzos de la década de los setenta, se formó el consorcio
europeo Airbus Industrie, la cuota de Europa en el mercado global de re-
actores cOlnerciales de transporte era prácticamente cero. Para competir con
los fabricantes estadounidenses dominantes,Airbus decidió usar en el diseño
de cabinas de mando automatizadas las últimas tecnologías disponibles.Aun-
que otros fabricantes, como Boeing y M cDonnell Douglas, siguieron su
ejemplo,Airbus Industrie continuó a la vanguardia de la división del trabajo
entre pilotos y sistemas informáticos de gestión de vuelo. Batir a la compe-
tencia exigió una agresiva política de diferenciación - sobre todo en el
punto hasta el qu e se estaba dispuesto a llegar para hacer que los aparatos
dependieran menos del control humano-o La filosofía radical de la auto-
matización de la cabina de vuelo les hizo ganar una porción sustancial del
mercado de reactores de transporte, pero también creó una nueva hornada
de dificultades con el factor humano. Dificultades que en absoluto son ex-
clusivas de los aparatos de Airbus, ni siquiera de la aviación2 .
Antes de ver en detalle estos problemas en el ámbito de la aviación,
vale la pena considerar, en términos generales lo que la psicóloga britá-
nica de la ingeniería, Lisanne Bainbridge, ha llamado, con gran acierto, «las
ironías de la automatizacióm>3.
- Al asumir las partes fáciles de la labor de un operador humano, la au-
tomatización puede hacer que las partes difíciles del trabajo resulten
aun más difíciles.
- Muchos disel1adores de sistemas juzgan a los seres humanos ineficien-
tes y poco fiables; pero aún dejan algunas p ersonas para que resuelvan
precisam ente aquellas tareas que el diseñador no sabe cóm o automa-
2. Gran parte de la información contenida en esta sección procede del volumen AlJia-
tioll Week a/1.d Space Teclmology, parte 1, dedicado al tema «Automated cockpits: who's in
charge?», 30 de enero de 1995.
3. L. Bainbridge, «lronies of automation», en J. Rasmussen, K. Duncan y J. Leplat (eds.)
New Techn.olog)' alld HUl/1an Error, Chichester, Wiley, 1987, pp. 271-283.
75
La gestión de los grandes riesgos
tizar -muy especialmente, la de restaurar e! sistema a un estado seguro
después de un fallo imprevisto.
- En sistem as altamente automati zados, la labor de los operadores huma-
nos es vigilar e! sistema para asegurarse de que la «automática» funciona
como debe. Pero es bien sabido que incluso las personas más motiva-
das tienen problemas para mantener la vigilancia durante largos perio-
dos de tiempo. Así pues, son inadecuadas para vigilar la aparición de unas
circunstancias anormales que son extraordinariamente infrecuentes.
- Para conservar las habilidades hay que practicarlas continuamente. Sin
embargo, un sistema automático que sólo falla muy ocasionalmente
niega a los operadores humanos la oportunidad de practicar las habi-
lidades a que deberán recurrir en una emergencia. Así, los operadores
pueden perder su cualificación precisamente en aquellas habilidades
que justifican la continuidad de su marginal existencia.
- Y, C011'lO seí1ala Bainbridge, «quizá la ironia final es que son los siste-
mas automatizados con más éxito, aquellos que raramente precisan in-
tervención manual, los que pueden requerir las mayores inversiones
en la formación de los operadores».
Aunque los sistemas de control automático y sus problem.as no son
exclusivos de la aviación, éste es e! sector más exha ustivamente estudiado
y que aporta las mejores descripciones de incidentes y accidentes re!ati-
vos a la automatización - gra cias a la grabación a bordo de datos de
vuelo-o Además, los sistemas de gestión de vuelo son una de las formas
más avanzadas de auto11'latización disponibles en la actualidad. Por estas ra-
zones -y porque muchos de los problemas con que se enfi.-entan los avio-
nes son comunes a otras tecnologías- en lo que resta de esta sección nos
centraremos principaln'lente en la automatización de las aeronaves.
La automatizació n de la cabina de vuelo ha demostrado tene r sus pros
y sus contras. Por una parte, ha simplificado mucho la tarea de la navega-
ción horizontal -sa ber dónde se es tá respecto al suelo- gracias a un
mapa electrónico que no sólo mu estra la posición de! aparato en rela ción
con la geografia debajo de él, sino también e! tiempo atmosférico que
encontrará a lo largo de su ruta -los pilotos lo juzgan uno de los ele-
mentos más útiles de los apara tos con «glass cockpit»-. De otra parte, ha
habido muchos problemas co n los cambios de altitud, o navegación ver-
tical, algunos de los cuales han llevado a accidentes fatales 4 .
4. D. Hu ghes, «Incidents reveaJ mod e co nfusion.Automated Cockpits Special R eport,
Part h, A "iatioll Hleek 0111/ Space Tecllllologjl, op. cit. , p. 5.
3. Defensas pe]jgrosas
La navegación vertical es complej a porque está controlada por la com-
binación de las acciones de! timón de profundidad y la propulsión de los
motores. Un sistema de gestión de vuelo {flight I'nanagernent s)'stem} FMS)
oh'ece al menos cinco modos distintos de variar la altitud, cada uno con
un grado diferente de automatización. El piloto seleccionará algunos de
esoS modos; otros entrarán en funcionamiento automáticaluente. En uno
de ellos, por ejemplo, e! FMS controlará la velocidad vertical de! aparato;
en otro, mantendrá la trayectoria de! avión en un ángulo dado. Una com-
plicación adicional consiste en que e! FMS cambiará de modo automáti-
camente atendiendo a la situación 10ca15 Por ej emplo, si e! piloto
selecciona una altitud final de 5000 pies, e! modo de ascenso permane-
cerá activo sólo hasta alcanzarla; logrado esto, e! aparato se nivelará y e! FMS
cambiará automáticamente al modo de «mantenimiento de la altitud».
Además, algunos FMS tienen envolturas de protección «duras», diseí1a-
das para prevenir que la velocidad del aparato y la tolerancia a la tensión
de su armazón exceda ciertos valores críticos. El término «duro» signifi ca
qu e el FMS impondrá esas barreras automáticamente sin acción alguna de!
piloto. La idea es que si, por error, éste lleva e! avión más allá de esos lí-
mites de protección «duros», e! FMS cambiará por sí solo a la configura ción
de un modo «seguro». Si, por ejemplo, la velo cidad de un apa rato cayese
por debajo de cierto valor crítico durante la aproximación al punto de
destino, el FMS podría iniciar e! modo de «efec tuar una vuelta de 360°» ac-
tivando automáticamente los aceleradores. Este elemento defensivo se h a
revelado peligroso en varias ocasiones, cuando los pilotos, ignorantes de
la transición, han luchado contra el FM S por el control de! aparato -en
ocasiones, sin éxito.
El meollo del problema -desde una perspectiva de factores huma-
nos- es que e! FM S puede cambiar de modo por efec to de una interven-
ción de! piloto o siguiendo su propia lógica interna. No es extrúío, pues,
que los pilotos acaben confundidos acerca de qué modo está activo o qué
va a pasar a continuación. Para mantenerse «por delante» de! aparato, las tri-
pulaciones no sólo deben saber en qué modo están, sino también cómo se-
lecciona el FMS los nuevos modos. En ocasiones, esto puede ser pedir
demasiado, sobre todo cuando esa denunda ocurre, como suele suceder,
5 . D. D.Woods, «The price of flexibility », en W. Hefley y D. Murray (eds .), Proceenil7gs
ol IlI temational /lVo/'kshop 0 11 Inte/lige/'/t Use/' IlIteifaces, ACM, enero de 1993. Véase tambi én N.
B. Sarter y D. D. Woods, «Mod e error in the supervisory co ntrol of automated systems»,
en Proceeni/'/gs 01 the Hllman Facto/'s Societjl 36th A I'/IIlIol Nleeti/'lg, Atlanta, CA, octubre de
1992.
77
La gestión de los grandes riesgos
durante lapsos de elevada carga de trabajo mental. He aquí otra irOIúa de
la automatización: los FMS, diseñados para aligerar la carga mental del piloto,
tienden a ser más oscuros y a exigir más atención en los lapsos de más
carga de trabajo -una característica que Earl Wiener, psicólogo de la avia-
ción en la Universidad de Miam.i, ha llamado «automatización chapucera»6.
Un reciente estudio del Instituto Tecnológico de Massachussets (MIT)
analizó 184 casos de co nfusión de modo -algunos de los cuales desem-
bocaron en accidentes fatales- ocurridos entre 1990 y 19947 . El 74% de
ellos estaba asociado a maniobras de navegación vertical; sólo el 26% tenía
relación con la navegación horizontal. Los errores de modo se clasificaron
en diversas categorías. La más numerosa (45% del total) se debía a que los
pilotos habían introducido datos de forma incorrecta o en el modo equi-
vocado, lo que había producido un modo de FMS que no esperaban o un
cambio de modo desconcertante. La segunda categoría más numerosa
(20%) tenía que ver con problemas de transición entre modos en los que
cundió la cOIúusión entre los pilotos (o se produjo una desviación no in-
tencionada del aparato) porque el FMS ejecutó una transición de modo
inesperada o no ej ecutó la que sí se esperaba. Una categoría ligeramente
más pequeña (18%) surge del hecho de que la tripulación no entendía del
todo la automatización y, en consecuencia, introdujo datos incorrectos -
o no los introdujo cuando era necesario-, dando lugar a una maniobra in-
esperada del aparato o simplemente desconcertándolos sobre su
comportam.iento. De todas estas confusiones, el 14% se debió a un fallo en
la coordinación de la tripulación -uno de sus nuembros üució una se-
cuencia de acciones que indujo a error a otros acerca del modo activo, un
cambio de modo o una desviación-.Y en el 12% de los casos fue un fallo
por parte del FMS lo que causó la co¡úu sión o la desviación indeseada del
aparato.
Estos descubrim.ientos revelan otra iro¡úa más de la automatización.
Los sistemas de control informático, cuyo fin es elinunar la posibilidad de
que ocurran deslices, lapsus y torpezas puntuales en la cabina de vuelo,
pueden aumentar la probabilidad de errores en un nivel más alto y con ca-
pacidad para causar la destrucción total del aparato y sus ocupantes. La
carga mental de la navegación horizontal ha disminuido mucho, pero la
relacionada con la navegación vertical, más compleja y deternunante para
6. E. L. Wiener, Hllman Factors a/'¡.d Ad¡mnced TeChll0logy ((Glass Cockpit¡¡) Ti'arlSport A ir-
crafl, TechnicaJ Report 117528, (Washington De.: NASA, 1989).
7. El autor del trabajo fue R .John Hansman, profesor del Departamento de Aeroná u-
tica y Astronáutica del MIT. Los datos ofi-ecidos aquÍ provienen de D. Hughes, OJ!. cit,
). Defensas peligrosas
la seguridad, puede, en ciertas circunstancias, aumentar sensiblemente.
Además, estos problemas añadidos referidos a cambios de altitud ocurri-
rán durante los despegues y los aterrizajes - los momentos de mayor carga
de trabajo para los pilotos.
En su detallado estudio sobre las cOIúusion es de modo (conocidas tam-
bién como «errores de modo))) en varios sistemas de control automatizado
-incluyendo la aviación, la anestesia, las centrales nucleares y los vuelos
espaciales8- , David Woods y Nadine Sarter identificaron varios proble-
mas de factores humanos relevantes en todos estos ámbitos. Los sistemas
automatizados pueden:
_ Aumentar las demandas sobre la memoria de sus usuarios.
_ Causar que no estén seguros de cuándo y hacia dónde deberían enfo-
car su atención.
_ Dificultarles trabajar en equipos que compartan una nusma compren-
sión de la situ ación (sítuatíol1al awarel1ess) .
_ Afectar negativamente a sus modelos mentales del sistema.
_ Aumentar su carga de trabajo en momentos en que la exigencia ya es
alta.
_ Linutar su habilidad para desarrollar estrategias efectivas para solven-
tar las demandas de sus tareas.
- Aumentar su estrés y su ansiedad.
_ Incrementar el potencial de confusión debido a una mayor flexibili-
dad (esto es, por la existencia de muchos niveles y tipos de automati-
zación posibles).
Woods y Sarter señalan, luego, las propiedades de los sistemas auto-
matizados que fomentan esos problemas:
- Pueden ocultar sucesos, cambios o anomalías de interés.
- Poseen múltiples modos.
- Obligan al acceso secu encial a información muy interrelacionada.
- Ofrecen una visión exigua de un espacio virtual ilimitado.
- Contienen secuencias de operaciones y modos que son complejas y ar-
bitrarias.
- Suprimen información importante acerca de las actividades de otros
nuembros del equipo.
8. N. B. Sarter y D. D. Woods, oJ!. cit. Véase también D. D. Woods el al., Behind Hllrnan
Error: Cogrlitille Sysfems, COll1puters and Hindsight. State of file Arl Reporf, Dayton, OH , CSEKIA,
Wright-Patterson Airforce Base, 1994.
79
La ges ti ó n de los gra ndes ri esgos
En resumen, las confusiones de modo pueden ocurrir por una de estas
dos ca usas principales: el usuario valora equivocadamente el modo activo
en un momento dado o no se apercibe de las transiciones entre modos.
El primero es un fallo de perc epción (o de interpretación); el segundo, es
un fallo de atención. En ambos casos, las causas pueden retrotraerse a una
automatización «chapucera». En sus esfu erzos por contrarrestar la falta de
fiabilidad de las actuaciones humanas, los diseñadores de los sistemas
de control automatizados han creado inadvertidam ente opo rtunidades
para nuevos tipos de error, que pueden ser incluso m ás graves que aque-
llos que estaban intentando prevenir.
CONTROL DE CALIDAD FRENTE A GARANTÍA DE CALIDAD
El paso del control de calidad a la garantía de calidad, ¿ha abierto una bre-
cha en la protección de las tecnologías de alta p eligrosidad? Para com-
prender esta pregunta, h emos de pasar revista primero, muy brevem ente,
a los hitos de la historia de los logros y de la medición en el terreno de
la calidad9 .
En la Antigüedad, babilonios, egipcios, griegos y romanos iniciaron el
proceso de calidad al establecer unidades de p eso y medida. Durante toda
la Edad M edia, los gremios de artesanos y lTlercaderes fij aron estándares de
calidad, así como normas relativas a las condiciones de trabajo y los sala-
rios. Con la llegada de la Revolución Industrial a Gran Breta11a, sin elTl-
bargo, y con la subsiguiente difusión de los m étodos de producción masiva
en los Estados Unidos, la fabricación de cosas dejó de ser una prerroga-
tiva exclusiva de los trabaj adores de oficio expertos. El uso de moldes y
plantillas, en conjunción con una maquinaria propulsa da por las nu evas
fu entes de energía, significó que un personal relativamente poco cualifi-
cado pudiera realizar trabajos de fabricación complejos. Durante este pe-
riodo, la responsabilidad principal de la vigilancia de la calidad recayó en
los supervisores. M ás tarde, debido al impacto del taylorismo (gestión cien-
tífica) y a un sustancial aUlTlento de la ratio entre trabajadores y supervi-
sores, estos últimos se co ncentraron m ás en los asuntos de producción y
dejaron el control de calidad en m anos de una nueva variedad de sup er-
visor, el insp ec tor. Para describir esta función de inspección especializada,
al final de la cadena de producción, se acuño el término control de calidad.
9. A. Bend ell ,j. Kelly, E . M erry y F. Sims, Qllalil)': !\I[easllrillg and Monitoring, Londres,
Century Business, 1993.
80
3. Defensas peligrosas
En la década de los veinte, mientras trabajaba en los laboratorios Bell
de Nu eva York , Walter Shewhart y su equipo idearo n el control estadís-
tico de pro cesos (Statistica l Process Control, spc). Una característica crucial
de esta téc nica era qu e exigía qu e las m edidas de calidad se tomaran, no
al final de la cadena , sino en el punto de fabricación. Más tarde, en la dé-
cada de los cincuenta, W . Edwards D eming adoptó el spc y lo llevó a
Japón. El siguiente párrafo describ e la situación que D eming encontró
en elJapón de posgu erra 10 :
En gestión,Japón tambi én se encontraba atrasado. En ciertos secto res aún se
usaba el llan,ado m étodo Taylor [ . . .]. El control de calidad dependía total-
mente de la inspección , y no todos los productos era n suficientem ente ins-
peccionados. En aquellos días,Japón era competitivo en costes y precios, pero
no en calidad. Era todavía, literalmente, la época de los produ ctos «de calidad
pobre, pero baratos».
D em.ing desarrolló el ciclo de acción «planear-ha cer- comprobar» para
dirigir una mejora continua de la calidad. En una sociedad orientada a la
acción, la tendencia general es a concentrarse en el segmento «hacer» del
ciclo y a esca timar atención y recursos a las fas es de planificación y com-
probación.
En la década de los setenta, D eming reimportó estas ideas a los Esta-
dos Unidos. Por entonces, otros «gurús» de la calidad como Joseph Juran,
Armand Feigenbaum y Kaoru Ishikawa, estaban causando tam.bién un
profundo efec to en las creencias y actitudes de los directivos estadouni-
denses. El resultado fu e el movimiento por la gestión de la calidad total
(Tota l Quality Managem.ent, TQM), qu e posteriormente se extendió por
todo el mundo industrializado. Un rasgo clave de la TQM es que todo el
personal de la en,presa comparte la responsabilidad de la calidad. Esto no
es algo que un inspector deba «controlar» al final de la cadena, sino algo
que deb e «garantizarse» a través de todo el proceso de trabajo, desde las
decisiones de la alta dirección hasta las acciones individuales en el ámbito
del taller. D e ahí que ahora hablemos de garantía de calidad, en lugar de con-
trol de calidad. En otras palabras, la calidad no es algo que se pu eda infun-
dir en una tarea inspeccionando su resultado; es algo que deb e convertirse
m ediante «ingeniería» en parte intrínseca de ella.
H asta aquí los antecedentes. Veamos ahora qu é efecto ha tenido este
desarrollo en una actividad concreta -el mantenimiento de aeronaves-
10. C itado en Bendell el al., OjJ. cit., p. 47. La fu ente es el libro de N ancy R. M an n The
Ke)'s lo Excellel1ce:The Slor)' oflhe Dellling Phi/osojJh)', Londres, Mercury, 1985.
81
La gestión de los grandes riesgos
donde la calidad y la seguridad están inextricablemente unidas. Debo su-
brayar, no obstante, que el siguiente análisis es relevante para todos los
ámbitos laborales donde se empleen técnicas modernas de garantía de ca-
lidad y la calidad del trabajo tenga un impacto directo sobre la seguridad
del sistema.
En el capítulo 2 analizamos el caso de la ausencia de las cubiertas del
rotor de transmisión del motor que casi causó un desastre. En su informe,
el investigador del accidente señaló varias similitudes entre las acciones
precursoras de este suceso y las de otros accidentes relacionados con el
mantenimiento ocurridos en Gran Bretaña. Dos rasgos comunes a estos in-
cidentes eran, primero, que un ingeniero exp erto dio el «visto bueno» a su
propio trabajo cuando éste no lo ameritaba, y, segundo, que durante los tur-
nos de noche no había nadie del departamento de garantía de calidad qu e
pudiera evaluar la idoneidad de las prácticas de trabajo.
Cuando no existe un departamento de inspección separado, un indi-
viduo adecuadamente autorizado debe firmar o estampar su sello perso-
nal en la declaración de que el trabajo ha sido efectuado con un alto nivel
de calidad. Ésta es la única «prueba» de que la tarea ha sido terminada; y
el conjunto de todas esas firmas y sellos debe estar completo para atesti-
guar que un aparato está preparado para volver a volar después de las ope-
raciones de mantenimiento.
¿Constituyen estas medidas de garantía de la calidad (QualityAssurance,
QA) confirmación suficiente de que un aparato está en co ndiciones de
volar? Estos incidentes sugieren que la respuesta es no. La inexistencia de
un departamento de inspección separado y la ausencia de personal de QA
hicieron posible que alguien firmarse como terminados y ap tos para el
servicio trabajos inacabados o mal efectuados.
Una importante lección a extraer de estos sucesos es que debemos ser
prudentes respecto a los desarrollos defensivos diseii.ados para mejorar
- o, al menos, asegurar- la calidad y la seguridad cuando pueden servir
también a otras metas sin relación con, o hasta antagónicos de, éstas. Pen-
semos, por un momento, qué ofi-ece la QA a la organización y al indivi-
duo. Desde la perspectiva de una empresa, la eliminación de una función
de inspección independiente (al menos para la mayoría de los puestos de
trabajo) confiere como núnimo dos ventaj as comerciales: primero, eli-
mina las demoras, a menudo prolongadas, que acompúi.an a las inspec-
ciones separadas; segundo, permite que una mayor parte de la fuerza de
trabajo esté ocupada en el obviamente productivo «hacer», en contraste
con las labores de «comprobación».
82
3. Defensas peligrosas
En el ám.bito individual, las prácticas de QA ofrecen a un ingeniero so-
brecargado de trabajo la vía del núnimo esfuerzo: a saber, dar el visto
bueno a distintos pasos de una tarea - antes o después de abordarla- sin
comprobar en realidad la calidad del trabajo. Uno de los descubrimientos
más sólidos de la psicología del trabajo es que las personas sentimos la
tentación de recurrir a atajos siempre que se presenta la ocasión. Así pues,
no es casual qu e «firmar sin comprobar» sea una de las infracciones de
procedimiento detectadas con más frecuencia en el mantenimiento de
aviones.
No estoy insinuando que la organización o el individuo rebajen delíbe-
radamente la calidad o la seguridad. De hecho, es probable que ambos ase-
veren su genuino compromiso con esas metas y señalen su adopción de las
técnicas de garantía de calidad más recientes como clara evidencia de ello.
En una disciplina en continua evolución, como la ingeniería aeronáutica,
es dificil advertir que no todos los cambios son para mejor. Aunque el em-
perador no vaya completamente desnudo con sus nuevas ropas, puede que
haya sido despojado de una parte importante de su vestimenta.
La vida en el mundo del trabajo es muy complicada. Está sometida a
numerosas fuerzas, y no todas ellas la im.pulsan en la mism.a dirección al
mismo tiem.po. Como vimos antes, los conflictos entre las presiones de
producción y de protección tienden a resolverse a favor de la primera -al
menos hasta que ocurre un accidente grave.
REDACTAR UN NUEVO PROCEDIMIENTO
Todas las organizaciones sufren cierta tensión entre la natural variabilidad
de la conducta humana y la necesidad del sistema de que las activida-
des de sus miembros tengan un alto grado de regularidad. Los gestores de
los sistemas de alta peligrosidad deben intentar restringir las acciones hu-
manas a cursos de acción que no sólo sean eficientes y productivos, sino
también seguros. El medio más usado para lograr ambos objetivos son los
procedimientos escritos. Ahora bien, entre los procedimientos de pro-
ducción y los de protección existen algunas diferencias importantes.
Aunque no sean en absoluto inmutables, los procedimientos diseñados
para garantizar un trabajo eficiente suelen surgir de forma bastante natu-
ral de las características del equip o productivo y de la tarea a la que se
aplica. De otro lado, los procedimientos operativos seguros se emniendan
continuamente para prohibir las acciones implicadas en algún incidente
La gestión de los grandes riesgos
o accidente reciente ll . Co n el tiempo, esas adiciones al «reglamento» de-
vienen cada vez más restrictivas y a menudo reducen el abanico de ac-
ciones permitidas a muchas menos de las necesarias para que el trabajo
pu eda realizarse únicamente bajo las condiciones óptimas.
El diagrama 3.1 ilustra esta contracción de la acción permitida a lo largo
de la historia de un sistema dado -podría ser una planta de proceso quí-
mico, un ferrocarril, una empresa de aviación comercial o cualqui er tec-
nología de alta peligrosidad con riesgo de sufi-ir accidentes organizativos- .
El espacio entre las áreas sombreadas representa el margen de la acción pres-
Cl-ita. Con el transcurso del tiempo, la organización inevitablemente sufi-e
accidentes e incidentes en los que se identifican acciones humanas como
factores con currentes. Tras cada suceso, los procedimientos se modifican
para proscribir las acciones implicadas. Como consecuencia, el margen de
las acciones autorizadas se contra e graduah11ente hasta que su espacio es
m enor del que requiere la ej ecución de todas las tareas necesarias . La única
forma de llevar a cabo esos trabajos es infringiendo los procedimientos.
Diagrama 3.1
Cómo lo:; necesarios procedimientos de seguridad adicionales reducen el
margen de acción preciso para llevar a cabo las tareas de forma efectiva
Margen
de la acción regulada Actualizació n
~---,._ _...,
contin ua de los
procedimientos
~--+---l para evitar que
incidentes y acci-
dentes ocurridos
~---;----I vuelvan a suceder
Acciones necesa-
rias e n oGl.siones para
poder ll evar a cabo
el trabajo
11.]. Reaso n, D. Parker y R. Free, Bending lile RlIles :Th e [¡(¡rieliel; Origins nl"ld Mn nage-
lII ent cif Srifely Violntions, Leiden, Facultad de Ciencias Sociales, Universidad de Leiden, 1994.
3. Defensas peli grosas
Por ejemplo, el reglamento de British Rail prohíbe a los operarios de
maniobras ~as perso nas que unen los coches y vagones que formarán el
tren) permanecer entre los vagones durante las maniobras de composición
-esto es, cua ndo la locomo tora de cabecera propulsa un conjunto de va-
gones hacia otros detenidos a los que ha de unirse- ' 2 . Sólo cuando los
vagones se han detenido puede el operario introducirse entre ellos para
realizar la necesaria conexión. A veces, sin embargo, el enganch e es de-
masiado corto para poder efectuarlo cuando los topes están totalmente ex-
tendidos. La tarea sólo es factible cuando el primer impacto de los vagones
comprime los top es momentáneamente. El mejor modo de efec tuar la
conexión es, ento nces, permanecer entre los vagones durante la manio-
bra de composición. Ser operario de maniobras es un trabaj o peligroso.
Muchos operarios mueren aplastados entre los topes o al caer bajo las
ruedas . Pero no mueren por vulnerar el reglamento. Hay suficiente hol-
gura entre los topes y entre los vagon es . Lo que a veces resulta fatal es
algún error subsiguiente del operario mientras infringe el reglam.ento
quedándose entre dos vagones. Puede distraerse un instante y situarse in-
advertidamente entre dos topes o resbalar y caer bajo las ru edas del vagón .
En un trabajo peligroso, un error sumado a una infracción es, co n fi-e-
cuencia, una fórmula petfecta para provocar un desastre '3
No obstante, la mera repetición de estas accio nes aisladas -a pesar de
haber estado implicadas en algún accidente- no suele redundar en un re-
sultado adverso. Su aportación a un accidente anterior fue sólo una causa
más -necesaria, quizá, p ero casi nunca suficiente- en la complej a inter-
acción entre condiciones latentes, desencadenantes lo cales y otros fallos
activos. Como esta combinación de factores rara vez -si es que alguna-
se repite exactamente de la misma forma, la fuerza de trabajo aprende rá-
pidamente que, por lo general, esas transgresiones ocasionales no conlle-
van desventajas; de hecho, no suele tardar mu cho en descubrir también
que posibilitan una forma de trabajar más fácil y eficiente.
Irónicamente, pues, uno de los efec tos de aumentar continuamente la
severidad de la constri cción de las prácticas de trabajo seguras es aumen-
tar la probabilidad de que se cometan transgresiones. El margen de acción
permitido se reduce a tal punto que los procedimientos se infi-ingirán rLl-
tinariamente, o cuando las necesidades operativas lo demanden. Mientras
12. R . Free, Til e Role of Procedllml Vio lntio/"lS in Rnilwny Accidenls, tesis doctoral, Univer-
sidad de Manchester, 1994.
13. [bid.
85
La gestión de los grandes riesgos
que los errores nacen de la insuficiente especificación de diversas opera-
ciones mentales; muchas infracciones surgen del exceso de especificación
procedimentaP4.
Pero la historia no acaba aquí. A p esar de que la comisión ocasional de
estos actos prohibidos carezca de consecuencias negativas en la mayoría de
los casos, el hecho de que en el pasado hayan estado implicados en algún
suceso adverso indica que pueden aumentar el riesgo que asumen los in-
fractores, aunque como regla general salgan bien librados.
Un modo por el que las infracciones aumentan el riesgo es haciendo
más probable que ocurra un error ulterior. Conducir un coche a 180 km/h,
por ejemplo, no basta por sí solo para causar un accidente. Sin embargo,
como, casi con certeza, esa velocidad será superior a la usual en ese con-
ductor, hará más probable que juzgue erróneamente la distancia de frenado
o las características de control del velúculo.Y como, en ese momento, los
márgenes de tolerancia de esos errores están considerablemente reducidos,
es menos probable que un error no tenga infaustos resultados. En suma, las
infracciones pueden tener dos consecuencias: pueden aumentar la proba-
bilidad de un error posterior y también la de que su resultado sea adverso.
La cuestión decisiva en el marco de muchas tecnologías de alta peli-
grosidad no es si transgredir o no las normas, sino cuándo hacerlo -o, quizá
aún más importante, cuándo cumplirlas- oSi para realizar un trabajo es
preciso recurrir a acciones prohibidas, se infi:ingirán las normas. Casi todas
las operaciones peligrosas conllevan la ej ecución de acciones que están
más allá de los límites prescritos, pero dentro de los límites de lo que la
gente que comparte unas competencias laborales comparables juzga acep-
table. La mayoría de los trabaj adores experimentados saben aproxim ada-
mente dónde está el «borde» entre la seguridad y el desastre, y no lo
cruzan, salvo en circunstancias extremas. Lo que no siempre perciben con
precisión, sin embargo, es dónde se encu entran con respec to a él en un
momento dado. H ay ocasiones en que lo más prudente es retroceder den-
tro de los estrechos límites de la acción permitida, o incluso detener com-
pletamente las operaciones. La decisión de cuándo obrar así, sin embargo,
se basa en un juicio delicado y en ocasiones falible.
14.]. Reason, "A systems approach to organizational errors», Elgollomics, 38, 1995, pp.
1708-1721.
86
3. Defensas peligrosas
CAUSAR EL SIGUIENTE ACCIDENTE POR INTENTAR PREVENIR
EL ANTERIOR
Los investigadores de accidentes no sólo deben establecer las causas de un
suceso sino también aconsejar m edidas que ayuden a prevenir su recu-
rrencia. A m enudo, estas m edidas preventivas toman la forma de apaiios de
ingeniería o de regulación diseñados para corregir un problema en par-
ticular o una debilidad del sistema que haya sobresalido conspicuamente
entre los factores causales. Por desgracia, a veces esos mismos «apaños»
desempeñan un papel causal protagonista en un accidente posterior. Dos
ej emplos ilustrarán esta idea.
En la década de los cincuenta, a consecuencia de varios accidentes aé-
reos en los que el estado de la pista, enfangada o contaminada de algún otro
modo, hizo que algunos aviones se estrellaran durante el desp egue, se aña-
dió a la cabina de vuelo un nuevo instrumento - el monitor de despe-
gUe-15• El piloto debía ajustar el ángulo de ascenso del avión hasta hacerlo
coincidir con un indicador de obj etivo que le señalaba el instrumento. El
piloto operaba los controles de la propulsión y el timón de profundidad
hasta que el cursor que indicaba el ángulo de ascenso actual del aparato
coincidía sobre una escala vertical con el indicador de objetivo. Era un
«instrum ento de mando» relativamente novedoso, que calculaba el ángulo
de ascenso idóneo en las circunstancias presentes y acto seguido «orde-
naba» a la tripulación ajustarse al ángulo-obj etivo siguiendo el movimiento
del cursor, que se11alaba, a lo largo de la escala, su ángulo real en cada mo-
1TIento.
Poco después de introducirse el nu evo instrumento, un avión desp egó
trazando un ángulo de elevación insólitamente agudo ' 6 . In capaz de man-
tenerlo, perdió velocidad y cayó sobre la pista. Los investigadores del ac-
cidente descubrieron luego que el fallo de un pequeño tornillo que debía
hacer de tope dentro del monitor de despegue había causado que éste
«ordenase» un ángulo de ascenso totalmente inadecuado. Pese al hecho de
que los demás instrumentos de vuelo funcionaban correc tam ente, los pi-
lotos siguieron la indicación del instrumento defec tuoso. COlTlO han des-
cubierto otros inves tigadores, lo s instrumentos que asumen parte del
trabajo m ental de los pilotos parecen acaparar su atención -en esos días,
15. El más famoso de estos accidentes fu e el sufi.. ido en febrero de 1958 por un aparato
de BEA, a bordo del cual viajaban, entre otros pasajeros, el equipo de fútbol del Manches-
ter United y su manager, sir Matt Busby.
16.]. Reason, iV/an in Molion, Lo ndres,Weidenfeld, 1974.
La gesti ón de los grandes ri esgos
el problem a se denominaba «fascinación» 17- incluso aunque haya en la
cabina de vuelo fu entes de información alternativas, aunque m enos fáci-
les de procesar.
El segundo ejenlplo parte de un «suceso-centinela» en la historia de
la gen eración eléc trica nuclear. A las 4 de la madrugada del 28 de marzo
de 1979, una turbina de uno de los dos reactores de agua a presión (Pres-
surísed water reactor, PW R) que M etropolitan Edison op eraba en la ce ntral
de Three Mue Island -cerca de H arrisburg, Pensilvania- se paró (se
trabó) automáticamente l 8 . La causa fu e que, durante la realización de ta-
reas mantenimi ento, se produjo una fu ga de agua - una ca ntidad equi-
valente a una taza de café- a través de una junta defec tu osa . La humedad
afec tó al sistem a neumático qu e co ntrolaba dos válvulas del sistem a de
alimentación de agua e hizo que se cerraran automáticamente, lo cual
cortó el flujo de agua al generador de vapor y detuvo la turbina: con las
bombas paradas, el calor del sistema primario de refrigeración -que cir-
cula a través del núcleo del reactor- no podía transferirse al agua frí a del
circuito secundario. En ese instante, cientos de alarmas e indi cadores so-
n oros se ac tivaron simultáneam ente en la sala de control y las bombas de
alimentación de agua de em.erge ncia entraron asimismo en funciona-
miento, automáticamente. Estas bombas habían sido diseñadas para ex-
traer agua de un tanque de almacen amiento de em ergen cia y hacerla
circular por el sistema de refrigeración sec undario p ara co mp ensar el
agua que hi erve hasta evaporarse cuando deja de circular.
La em ergencia duró 16 horas y provocó la emisión de p equeñas ca nti-
dades de material radiactivo a la atmósfera circundante. Los op eradores de
servicio al inicio del incidente cometieron varios errores bien documen-
tados, pero el m ás relevante aquí para nosotros fil e redu cir la inyección de
agua a alta presión en el sistema de refi:igeración del reactor, reduciendo
así su fluj o neto de casi cuatro mil litros por minuto a algo m enos de cien .
Ese «estrangulamiento» provocó graves daños en el núcleo del reactor. No
es preciso que nos detengamos aquí a examinar por qué razones se tomó
esa decisión-otros autores las han debatido extensam ente-o Lo que nos
17. FI' P.. C, Fasci/1alion., Flying Personnel R esea rch ConuTlittee R eport, Lo ndres, Ministry
ofDefence, 1960 .
18.J. Ke meny, T he Need Jo r Clw/1ge: The Legac)' oJ TMI. R eporl oJ Ihe Presidel/ lial COl/l/l/is-
siO/1 0 1/ Ihe Accidel/ I oJThree !VIile Islm'ld, Nu eva York, Pergamon, 1979 .Véase también, C har-
les Perrow, No rlllal Accidenls: LiI)i/1g /./Jith High-Risk Teclmologies, Nu eva Yo rk, Basic Books,
1984 [trad. cast.: Accidentes I/oflll ales. COflf)ivir CO II las tewologías de alto riesgo, Madri d, Modu s
Laborandi ,2009].
88
3. Defe nsas peligrosas
atú ie son las m edidas qu e tomó la C omisión R eguladora de la Energía
Nu clea r de los Estados Unidos para prevenir que esa acción pudiera rep e-
tirse en cualquier futuro accidente en una ce ntral nu clear.
D espu és de Three Mue Island (T MI) , los reguladores de la energía nu-
clear estadounidense prescribieron estrictam ente qu e los operadores de las
centrales no reduj eran la inyección de agua a alta presión durante los es-
tadios de recuperación de un suceso fu era de lo normal.Tres años después,
en este caso en Ginna l9 , el equipo de la sala de control de o tro PWR hubo
de hacer frente a una emergencia en la qu e reducir la inyección de agua
a alta presión habría sido la decisión correcta; p ero, p erfec tamente cono-
cedores de la restricción normativa promulgada a resultas del accidente de
TM I , no lo hicieron. C omo co nsecuencia, la duración de la emergencia se
alargó varias horas.
Es tos ej emplos ilustran algunos de los dal'ios potenciales que pu eden
seguirse de lo qu e, a primera vista, parecen ser intentos perfectamente ra-
zo nables de «enmendar» las causas de accidentes previos . H ay aquí dos
pro blem as princip ales. Co mo muestra el cas o del m onitor de desp egu e,
introdu cir nuevos elem entos defensivos produ cto de inge niería aumenta
la co m.plejidad al sistcma. En pa rticular, ú i.ade comp onentes qu e pu eden
fallar. Adem ás, en este caso, co mo, en general, en las for mas más moder-
nas de automatización, los inten tos de alejar a los op eradores de sala del
lazo de control direc to pueden crea r tip os imprevistos de error humano.
El caso de Ginna ilustra el segundo problema : que ni los reguladores
ni los diseñadores del sistema pu eden prever todos los escenarios de fallo
posibles en sistem as complej os, fu ertem ente acoplados y altamente inter-
ac tivos, como las centrales nu cleares; y, por ende, no pu eden proscribir
universaln,ente determina dos tip os de respues ta humana. Lo qu e dem os-
tró ser un error en el accidente de TM I resultó ser una acció n vital en
Ginna. E n el capítulo 4 veremos que las regulacion es y los procedimien-
tos comparten con otros dispositivos de control prealimentados el pro-
blema de ser insensibles a las circunstancias locales.
19. D. D. Woods, Operalor Decisiol/ Belwviol/r dl/ril/g Ihe Stealll Cel/eralor Tilbe R llpll/re al
Ihe Gil/l/a N I/clear POlf)er Slaliol/, Resea rch Report 82-1C57- CONRM-R2, Pittsburgh, PA:
Westinghouse R&D Cen ter, 1982.
La gesti ón de los grandes riesgos 3. D efe nsas peli grosas

DEFENSAS EN PROFUNDIDAD: ¿PROTECCIÓN O PELIGROSO Queda patente, pu es, que las defensa s en profundidad están cimentadas
ENCUBRIMIENTO? en la redundancia (muchas capas de protección) y la diversidad (muchos
tipos de protección diferentes). Sin embargo, estos mismos rasgos -alta-
El diagrama 3 .2 resume la filos afia de las defensas en profundidad. Aquí, la mente deseables desde el punto de vista de la ingeniería- generan tam-
seguridad depende de la independencia causal entre los errores y las averías bién diversos problemas en los sistemas sociotécnicos complejos - hasta el
técnicas que afectan, respectivamente, al equipo de proceso, a los sistemas punto de que Jens Rasmussen, ingeniero y destacado filósofo de la tecno-
de protección producto de la ingeniería -normalmente inactivos-, a las logía, ha acuñado la expresión «falacia de las defensas en profundidad»21 .
barreras fisicas levantadas contra la emisión involuntaria de sustancias pe- Uno de los principales problemas que esta clase de defensas plantean a
ligrosas y a la proximidad de las víctimas probables de un suceso adverso. los controladores y gestores de un sistema es que pueden ocultar tanto que
Los accidentes graves ocurren cuando es te supu esto de independen cia ocurren errores como sus consecuencias a largo plazo; una de sus caracte-
mutua de los distintos estratos defensivos no se cumple. En el desastre de rísticas es que no siempre responden ante fallos individuales: pueden ser
Bhopal, por ej emplo, fallaron a un tiempo tres defensas supuestamente in- contrarrestados o qu edar ocultos, y en ninguno de los dos casos los indi-
dependientes: una chimenea de seguridad de quemado de gases que debía viduos directamente interesados ser conscientes de que han ocurrido. Este
haber quemado el isocianato de metilo, el filtro absorbente-neutralizador rasgo permite la insidiosa acumulación de condiciones latentes -patóge-
de una torre de lavado que debía haber depurado el aire de cualesquiera nos residentes- qu e pueden luego combinarse con condiciones locales y
emisiones, y el sistema de aspersores de agua que debía haber neutralizado errores de «primera línea» para romp er o eludir las capas de defensa.
las emanaciones restantes 20 . Un sistema con pocas defensas - co nducir un coch e, por ej emplo-
no suele mantenerse tan imperturbable ante una acumulación de fallos.
Los errores son detectables de inmediato y el aprendizaje subsiguiente li-
Diagrama 3.2
nutará su recurrencia. Pero eso no es necesariamente así en el caso de las
Resumen de la filosofía subyace nte a las defensas en profundidad
defensas con múltiples luveles. Una peligrosa desventaj a fi'uto de ese ocul-
tanu ento es que IU los individuos IU las orgaluzaciones pueden sacar pro-
Equipo de proceso Sistemas de Contención Zona de
seguridad seguridad vecho de sus errores con facilidad. Y tanto más probable es qu e esa
desventaja se transforme en pérdidas cuanto m ás tiendan quienes diseñan
Funcio nantiento Situaciones fuera o gestionan esos sistem as a atribuir sus ocasionales fallos catastróficos a la
norl1lal de lo normal falibilidad individual antes que a las debilidades intrínsecas del sistem a.
El teórico de las organizaciones Charles Perrow publicó en 1984 un
libro de gran rep ercusión, Accidentes normales. Convivir con las tecnologías de
Perturbación Pérdida de Emisión Difusión alto riesgo, donde proponía la onunosa tesis de que en los sistemas com-
control plejos y férreamente acoplados, como las centrales nucleares , y co n inde-
pendencia de la competencia de sus operadores y gestores, los accidentes
Las lín eas hor izo ntales entre los recuadros indi ca n las co nsecuencias del fa llo en cada una de son inevitables 22 . De ahí su título : los accidentes en esos sistemas son «nor-
SllSfases. Para qu e los estratos defensivos preserven la seguridad, es necesari o qu e los fa ll os que
afecten al recuadro 1 ca rezca n de toda relación con los fallos qu e afecte n a otros recuadros (a males». De acuerdo co n Perrow, las redundancias que constituyen las de-
partir de R asmu ssen). fensas en profundidad poseen tres características peligrosas:

20. D. A Liho u y S.]. Li hou, Bhopa/: SOllle Huma n Factors Co/'/s irlemtio/'/~, Binningham , 21.]. R asmussen , «Lea rning rrom experi ence? Som e resea rch issues in industrial risk
Lihou Loss Prevention Services, 1985 .véase también L J. B ellamy, Th.e Sajel)' Matwgement mana gem ent», en B. Wilp ert y T. Q val e (eds,) , Re/iabi/il)' anrl SaJely i/1 Haz ardo/./s Work
Factor:An A/'/a /)'sis rf the HI/m an Error Aspects oJ the Bhopa/ Disaster, Londres, Tec hni ca Ltd ., Sl'slel/ /s, Hove, LEA, 1993,
1985. 22. lbirl.

91
La ges ti ó n de los grand es ri esgos
- Las m edidas de respaldo defensivo redundantes aumentan la comple-
jidad interactiva de las organizacio nes de alta tecnología y, con ello, la
probabilidad de que sucedan fallos de modo-co mpartido imprevisi-
bles. El supu esto de indep endencia de los estratos defensivos pued e
ser adec uado para el caso de las averías puram ente técnicas; en cam-
bio, los errores humanos en «primera linea» y en los ámbitos del m an-
teninuento y la ges tión tienen una capacidad única para engendrar
fallo s que pueden afec tar a varios estratos defensivos al mismo tiempo.
- Añadir redundancia v uelve más opaco el sistema para quienes, no mi-
nalmente, lo controlan y dirigen. Co n el tien"lpo, los errores inadver-
tidos, así como otros problem as latentes, se acu m ulan y aumenta la
probabilidad de que los «aguj eros» de los estratos defensivos se alineen
y p ermitan el paso de una trayec toria de accidente (véase el diagrama
1.5) . Este alineamiento puede ser fruto de fallo s de modo-compartido
interactivos o de la inhabilitación si multánea de unas defensas que se
creían independientes, como sucedió en C hernóbil.
- Como consecuencia de este peli g roso ocultamiento, y de bido a su
obvia complicación ingenieril, las defensas redundantes pu eden lleva r
a que los operadores y gestores del sistem a se olvid en de temer lo que
pueda ocurrir. Este falso sentimiento de seguridad les impulsa a in-
tentar lograr niveles de producción aún más elevados (véase el capítulo
1). En palabras de Perrow: «Esos arreglos, dispositivos de seguridad in-
cluidos [ . . .] a m enudo sólo sirven para permitir a quien es gobiernan
el sistema incrementar su velocidad, operar co n peo r tiempo o hacerlo
con explosivos más poten tes».
FALSAS ALARMAS
A quienes haya n llega do a enfurecerse a causa del repetido pitido de la
alarma del coche de algún vecino, no les chocará la idea de qu e las alar-
mas pu ed en m entir. Las falsas alarmas pu eden ser fuente de una intensa
irritación en nuestra vida co tidiana. En el marco de las tecnologías de alta
peligrosidad p ueden ca usa r un desastre. Es la situación del «pastor m enti-
roso» que grita «¡que viene el lobo! » Las falsas alarmas frec uentes hacen
que la gente les retire su co nfianza y haga caso omiso d e ellas, o no crea
las advertencias que indican la inminencia de una em ergencia auténtica.
Ju sto desp ués de las cuatro de la tarde del domingo 18 de junio de
1972, un avió n de pasajeros (Papa India) tipo Trid ent, de British Euro-
92
3. Defensas peligrosas
pean Airways, desp egó del aerop uerto de Londres-H eathrow en direc-
ción a Bruselas y se estrelló 120 segu ndos despu és en un campo a las afue-
ras de Staines 23 . No hubo sup ervivientes . Fu e el peor desastre aéreo
ocurrido en las Islas Británicas y el primer accidente fatal de un Trident
en funcionami ento regular como parte de la fl o ta d e una aerolínea. Y
sigue siendo uno de los más misteriosos. Una de las cajas negras (flight
data recorder, FDR), se recup eró intacta y reveló exactamente qué le ocurrió
al aparato, pero no sabemos con certeza cómo ni por qué sucedió, dado que
en esos días aún no había a bordo una CV R , la segunda caja negra (Cock -
pit T/o ice R eco rder, cvn..).
Cosa insólita, en la cabina de vuelo había cuatro pilo tos: un veterano
capitán de la BEA, de 51 úios, en el asiento izquierdo ; un piloto novel, de
22 al'los, en el asiento derecho; y detrás, entre ellos, u n piloto de 24 ai10s,
con al go m ás de experiencia, cu ya misión era estar atento a los instru-
mentos y a las acciones de los otros dos. Más atrás, ocup aba el asiento su-
plementario otro capitán de la BEA. La acción qu e desencadenó el desastre
está fuera de discusión: en torno al nunuto y m edio despu és del desp e-
gue, los alero nes del borde de ataq ue de las alas del Trident se retraj eron
prematuramente, cuand o la velocidad de ascenso era todavía insuficiente,
y el aparato com enzó a entrar en pérdida. No sabemos quién accionó el
nundo ni porqué lo hizo.
El Trident estaba equipado co n varios sistemas de alerta de entrada en
pérdida. Junto a alarmas sonoras había también un sistema de aviso que
hacía vibrar la palanca de mando y un sistema neumático de recuperación
de la entrada en pérdida qu e empujaba la palanca de ma ndo. Este último
dispositivo desco necta automáticam ente el piloto automático e inclina
hacia abajo el morro del aparato para favo recer la recup eración de la in-
cipiente parada. Había tambi én a la izqui erda del panel de control ce ntral
una palanca que p ermitía desactivar el sistema de al erta mediante vibra-
ción de la palanca de m ando.
La evidencia aportada por la FDR reveló qu e los dos mecanismos de vi-
bración y tracción de la palanca de mando entraron en acción tan pronto
como el aparato se aproximó a la velocidad de entrada en pérdida. El morro
del apa rato bajó, pero con el efecto de nivelación del timón de profundi-
dad m al ajustado la cola del aparato ej ercía demasiada resistencia hacia
abajo. Como consecuencia, el m orro del avión volvió a elevarse y ocho se-
23. M .Job, A ir Disasfer, vol.l ,Weston C reek,AcT,Aerospace Publications Pty Ltd,1994,
cap. 11, pp. 88-97.
93
La gestión de los grandes ri esgos
gundos después del primer tirón de la palanca de mando el sistema de re-
cuperación de entrada en pérdida actuó por segunda vez. Tres segundos
después se repitió la misma pauta y de nuevo el sistema que empuj aba la
palanca hizo que el morro descendiera. En ese momento alguien en la ca-
bina de vuelo cometió un error fa tídico: desactivó el mecanismo de alarma
de la palanca. El morro del avión se inclinó hacia arriba con un ángulo que
excedía en 30° lo que el ap arato podía resistir y entró en pérdida real-
mente. Cayó en picado, y 22 segundos después se estrelló contra el suelo.
¿Por qué se desactivó el mecanismo que hacía vibrar la palanca de
mando cuando actuó por tercera vez? Nunca lo sabremos con certeza,
pero entre la comunidad de pilotos comerciales británica está muy ex-
tendida la convicción de que las razones decisivas fueron, primero, que la
tripulación no creía hallarse en una situación de entrada en pérdida (pro-
bablemente porque desconocía la retracción de los alerones delanteros) y,
segundo, que desconfiaba profundalTlente del sistema de alarma que hacía
vibrar la palanca de mando; en suma, creía que indicaba una falsa alarma.
N o sólo había habido muchas alarmas espurias durante la fase de desa-
rrollo del sistema de recuperación, algunos ati.os atrás, sino que también
había ocurrido un bu en número de incidentes bien documentados en los
que se había producido una falsa activación de este sistema durante el
funcionamiento normal del avión.
CONEXIONES DELIBERADAMENTE DÉBILES
Una forma de limitar el dati.o de un accidente o una avería técnica es di-
seti.ar puntos deliberadamente débiles en el sistema para qu e falle de ma-
neras más seguras y predecibles. Los fusibles de un circuito eléctrico son
un consabido ejemplo de este principio: si ocurre una sobrecarga en un
circuito, «quemará» el filamento del fu sible en lugar de algún aparato eléc-
trico, minimizando así el riesgo de que se desencadene un incendio en
algún lugar donde acaso nadie pueda advertirlo.
Un principio similar se aplica en la construc ción de grandes aviones
comerciales cuyos motores van sujetos bajo las alas mediante pilones. En
un típico 747, por ejemplo, el pilón de cada motor contiene dos tipos de
clavija de seguridad (o riostra): una riostra a la conexión superior y un ti-
rante en diagonal hacia popa. Si se ejerce una fuerza indebida sobre el
motor y el pilón, el ensamblaje está diseti.ado para romperse limpiamente
por las clavijas, evitando así la posibilidad de que se arranquen grandes
94
3· Defensas peligrosas
troZOS de la estructura de las alas. Un avión sobrevivirá a la pérdida de un
motor muchísimo mejor que a la pérdida de una parte sustancial de la
estructura que le proporciona su capacidad de sustentación, el ala.
Quizá cuando se comenzó a sujetar los motores a reacción bajo las
alas, las clavijas de seguridad cumplían la función prevista y nada m ás, pero
recientemente su fallo improcedente ha estado implicado en varios inci-
dentes y accidentes graves, muy notoriamente en Schiphol en 199224 . Muy
a menudo, esos fallos se debieron a que las clavijas de seguridad se insta-
laron o aseguraron mal durante alguna operación de mantenimiento.
El uno de marzo de 1994, uno de los motores de un Boeing 747-251B
de Northwest Airlines (NWA) que acababa de aterrizar en el nuevo aero-
puerto internacional de Narita, en Tokio, se soltó mientras el avión rodaba
para dejar la pista y, medio descolgado, fue arrastrando por el pavimento
hasta que el aparato se detuv0 25 . La causa inmediata del accidente fue la
rotura de la riostra a la conexión superior en el interior del pilón del
motor, que, a su vez, se debió a que, en una exh austiva revisión general en
las instalaciones de m antenimiento de NWA en Minneapolis-St. Paul, no se
habían colocado las suj eciones adecuadas del tirante diagonal hacia popa,
a causa de lo cual, algún tiem.po desp ués, se soltó. El motivo de haber
abierto el motor era posibilitar la comprobación no destructiva de las cla-
vij as de seguridad. Posteriormente, las sujeciones correctas aparecieron en
el hangar donde se efectuó la revisión, ocultas bajo un trozo de plancha
de madera dentro de una bolsa de tela sin indi cación alguna, encima de
la plataforma utilizada para trabajar bajo las alas.
Este accidente ilustra cómo las medidas adoptadas para prevenir un pro-
blema de seguridad pueden contribuir a otro. Antes del accidente del avión
de NWA en N arita se había informado en cinco ocasiones de casos de des-
plazamiento de clavijas de seguridad de los pilones de los motores del
B-747.En una de ellas el accidente ocurrido fue similar al de Narita.Todos
fueron atribuidos a una colo cación defectuosa - a despecho de que los
defectos de disei'ío deben h aber desempe11ado también algún papel-o
Estos incidentes llevaron a Boeing a exigir la adició n de unas fijaciones
secundarias para las clavijas de seguridad. En la fecha del accidente de N a-
rita dichas fijaciones secundarias habían sido instaladas en la clavija-tirante
24. «B-747 Accident, Schiphol Airport,Amsterdam, 4 October 1992», Flight Deck, 21,
Londres, British Ailways Safety Services, OtOllO de 1996, pp. 13-22.
25. NTSB, !\llainte¡¡anceAnomaly Reslllti/lg in Dragged E'·'gine dllring Úlnding ROI/Ollt, North-
lIIest Air!ines F/ight 18, New Tokyo Inlernational Airport, March 1, 1994, NTSB/SIR-94/02 ,
Washmgton De., National Transport Safety Board, 1995.
95
La gestió n de los gra ndes riesgos
diagonal a popa de 7 de los 41 B-747 de la flota de NWA. Es probable que
esta novedosa variante de suj eción contribuyese a los mal entendidos y las
confusiones procedimentales qu e posteriormente posibilitaron que se co-
metieran errores de instalación qu e pasaron inadvertidos.
Los dispositivos de seguridad, como la adición de cualquier otro com-
ponente, aumentan la complejidad de los sistemas, especiahTlente durante
su mantenimiento. Por consiguiente, crean nuevas oportunidades de que
sucedan errores humanos de un tipo especiah11ente determinante para la se-
guridad. Así pues, estamos una vez más ante un ejemplo de un elemento
de seguridad que se convierte en un punto de vulnerabilidad. La principal
amenaza a qu e se enfrentan los 111otores de un avión moderno no es tanto
una carga excesiva cuanto un excesivo contacto con la mano humana.
RESUMEN
En es te capítulo hemos identificado al m enos seis forma s en que las de-
fensas pu eden ser peligrosas:
- M edidas defensivas diselladas para redu cir las oportunidades de que
suceda un tipo particular de error humano pu eden desviar las opor-
tunidades de error a alguna otra parte del sistema, donde los errores
pu eden ser incluso más costosos .
- Unas defensas mejores se convierten a m enudo en mejoras produ cti-
vas, en lu gar de protectoras, lo qu e vuelve al sistema menos seguro de
lo que era antes.
- Las defensas en profundidad, qu e se basan en la redundancia y en la di-
versidad, hacen al sistema más opaco para sus operadores; de ahí que
posibiliten la acumulación insidiosa de condiciones latentes.
- Los dispositivos de advertencia y alarma qu e adquieren reputación de
indicar peligros inexistentes reducen la probabilidad de que se atienda
a sus sei'iales y se actúe en consonancia con ellas en el caso de una
emergencia real.
- Las medidas diseñadas para eliminar una causa notoria de un accidente
anterior pueden contribuir a que ocurra el siguiente.
- Las defensas, las barreras y las salvaguardias at'iaden componentes y co-
nexio nes adicio nales al sistema, elementos que no sólo lo vu elven más
complejo sino qu e, además, pu eden ellos mismos fallar también catas-
tróficam ente.
4
La contribución humana
EL FACTOR HUMANO
SON LOS SER.ES HUMANOS QU IENES disel1an, construyen, operan, mantienen,
gestionan y defienden las tecnologías de alta peligrosidad. No es extrallo ,
pu es, que el factor humano desempel1e el papel principal tanto entre las
ca usas co mo en la prevención de los accidentes organizativos . Este capí-
tulo explora la aportación humana a la seguridad -o a lo contrario- de
los sistemas co mplejos y bien defendidos.
Está de moda afirmar que el error humano está implicado en el 80- 90%
de todos los accidentes graves. Si bien probablem ente se acerca a la verdad,
esta proposición mejora muy poco nu estra comprensión de có mo y por
qu é ocurren accidentes organiza tivos. Primero, apenas podría ser de otro
modo dado el grado de participación humana en los sistemas de alta peli-
grosidad. Segundo, el término «error hum ano» conno ta la impresión de
que todos los actos peligrosos entran en la misma ca tegoría; pero los erro-
res adoptan diferentes formas, tienen orígenes psicológicos dife rentes, oc u-
rren en diferentes partes del sistema y requieren n'létodos de aes ti ón
diferentes. o
Además, esa afirmación pasa por alto que en los sistemas de alta peli-
grosidad la condu cta de las perso nas está mucho más constrel1ida que en
la vida diaria. Las acciones de los pilotos, las tripulaciones navales, los ope-
radores de salas de control y otros similares están estrictam ente oO'oberna-
das por controles de gestión y de regulación. Estos controles administrativos
constituyen una parte principal de las defensas de cualqui er sistema de alta
peli grosidad y son de dos clases L
1. P Jo hn so n y J. C ill , i\!Iollogelll elll COlllral oml Olgolliz oliollOI BellO/liollr, Londres, Palll
Chap ham PlIblishing, 1993.
97
 ""'o

La gestión de los grandes ri esgos

- Controles externos h echos de reglas, regulaciones y procedimientos que Diagrama 4 .1

prescriben minuciosamente qué acciones pu eden realizarse y cómo se Un continuo de controles administrativos
las debería llevar a cabo. Esta clase de controles basados en pap eles en-
carnan la sabiduría colectiva del sistema acerca de cómo se debería Controles prescriptivos Controles mLxtos Controles d iscrecio nales
ha cer el trabajo. basados qu e conuan basados
en proced imientos ~ en la fo rmación ~ en la fo rmac ión
- Controles internos deriva dos de cono cimientos y principios adquiridos y reglas y en los procedimien tos y la experiencia
a través de la formación y la experiencia.
Los controles externos son escritos, que quienes realizan las tareas pres-
Cl'itas deben ten er muy a mano. En cambio, los controles internos existen
Diagram a 4.2
sobre todo en el interior de la mente de cada individuo. C ualquier intento
Un proceso de control principalmente prealimentado, basado en
de clasificar las conductas organizativas debe comenzar por analizar cómo
procedimientos, con adicio nes espo rádicas
operan diversas combinaciones de controles administrativos para confinar
la natural variabilidad de la acción humana a cursos seguros y produ ctivos. Co ndu cta
Estándares Proceso In cidentes
prescrita
y obj etivos
organiza tivos
r.- por reglas
. . . Actuació n
hU111ana
sometido
a co ntrol
y accidentes
ocasio nales
y procedimientos
LA DIVERSIDAD DE LOS C ONTROLES ADMINISTRATIVOS

Los co ntroles administrativos van desde los que son mayormente pres-
criptivos hasta los que son en gran lTledida discrecionales . Aquéllos de-
• Aiiadidos esporádicos a los procedinuentos
I
I

penden principalmente de pro cedimientos externos, mientras qu e éstos se de seguridad, resultado de los incidentes . . - - ~
y accidentes sufi' idos
nutren de la interiorización de conocimientos y experiencias -o, en una
palabra, de formación-; existen diversas combinaciones de amb os. El dia-
grama 4.1 resume este continuo de modos de control.
El diagrama 4.2 ilustra un modo de control principalmente prescrip- Diagram a 4 .3
tivo. El diagrama 4.3 ilustra el polo opuesto, predominantem ente discre- C ontrol retroalimentado de producció n que requiere comparacio nes
cional, de es ta dimensión. El diagrama 4.4 mu estra una combinación de frecuentes entre las m etas y las realizaciones
nlOdos de co ntroP.
En los diagramas 4.2- 4.4 pu ede apreciarse qu e los diferentes modos de Fo rmació n y
control administrativo comparten tres características comunes: experiencia

- Estándares y objetivos organizativos qu e definen las m etas de producción Co mparador

Resultados
y seguridad del sistema y especifican también los estándares de actua- Estándares P roceso
Actuació n Medicio nes
ción necesarios para alcanzar esas m etas . y objetivos so metido
h UI11ana de resultados
orga niza tivos a co ntrol
- La actuación hurnana, o las actividades que llevan a cabo los elem entos
humanos del sistema.
Comparacio nes frec uentes
I
de las mediciones de los resultados I
co n los obj etivos de la organizació n. . . __ ~
La actuación q ue se desvía de lo deseado
2.]. R easoll , D. Parker, R . Law toll y C. Polloc k, Olganizatiol'/a l Con/mis ami th e fmrie- se corrige. La actuació n cong ru ente
fies of Rllle-Relafed Behaviollr, ponencia prese ntada al encuentro del UI< Ecollomic and So- se refuerza
cial Research Council sobre Riesgos en Escenarios O rganizativos, Londres, mayo de 1995.
La gesti ó n de los grand es ri esgos
4. La co ntribu ción humana

Diagrama 4.4 de la organización . La actu ación que se desvía se reajusta para reducir la
Controles mixtos de retroalimenta ción y prealimenta ción discrepancia y la ac tuación congru ente se refu erza.
En cualquier tecnología o sistema dado, la proporción entre modos de
Prin cipi os, reglas FOrnlJció n y control m ediante prealimentació n o m ediante retro alimentación depen-
y procedinuelltos ex pe rie nc ia
derá de va rios fac tores :

DesvIacIó n c~
eo R esultados
- La fase en qu e se encuentre la trayectoria vital de la organización.
- El tipo de trabajo o las actividades qu e realiza.
Estondales Proceso
~-----,

y obJetivos ....
Actu ac ió n
sometid o
humana
OI g;1I11 Z.ltl VOS a co ntrol
..
Comparacio nes frecuentes de las medi-
cio nes de los resul tados con los obj etivos
de la o rgani zació n. La actuació n qu e se
desvía de lo desead o se corrige. La ac-
tuació n co ng ru ente se al.m 3cena en
fo rma de reglas y procedinu elltos
- El proceso sOl'/'I etido a control - qu e, obviam.ente, variará en funció n de
la naturaleza de la tecnología de que se trate.
En el di agrama 4 .2, la actua ción humana - y, por consigui ente, el
proceso bajo control- es tá estri ctamente estandariza da l11.ediante reglas
y pro cedimientos. El lenguaj e de la teoría del control habla de disposi-
tivos de prealimentac ión cuando los medios condu ctuales de lograr los
obj etivos de la organización se esp ecifi ca n previam ente y se expresan
m ediante reglas y pro cedimientos, sin considerar las condicio nes lo cales .
En el ámbito de las accio nes rela cionadas con la seguridad existe, no obs-
tante, un bucl e de retro alimentación esporádico: en el capítulo 3 vimos
qu e mu ch as organi zaciones buro cráti cas responden a sus in cidentes y ac-
cid entes ocasionales «reda ctando otro pro ce dimiento» qu e prohíb e las
acciones implicadas en el últim.o episodio adverso. El resultado, como
mu es tra el di agrama 4. 2, es el crec imiento lineal del corpus de pro cedi-
mi entos.
El control basado en la retro alimentació n a partir de lo s resultados,
que mu es tra el dia grama 4 .3, define el polo opu esto del continuo pres-
criptivo-discrecional. Aquí se asume que la fu erza laboral comprende los
obj etivos de la organizació n, y qu e ha interiorizado los conocimientos, pe-
ricias y habilidades precisas para, sirviéndose de diferentes m edios, alcan-
zarlos. Los resultados se miden y com.paran a m enudo con los obj etivos
100
Medi cio nes - La posición de un individuo dentro de la j erarquía de la organización.
de resul tados
- El grado de forma ción propo rcionado a los individuos.
LA FASE QUE HAYA ALCANZADO LA TRAYECTORlA VITAL
I
DE LA ORGANIZACIÓN
~ --~
probablem ente sean el ensayo y el error, o los controles de retro alimen-
tación, los qu e gobiernen en buena m edida las etapas primeras de una
tecnología o un proceso de m anufactura . Durante ese p eriodo inicial, con
todo, ges tores y sup erviso res detec tarán las ocasiones en qu e las acciones
y las circunstancias resulten precisamente en el resultado deseado. E n o tras
palabras, buscarán qu e no exista desviación alguna entre los obj etivos or-
ganiza tivos y las m edidas de sus resultados. C uando tal situación se observe
co n suficiente frecu encia -suponi endo qu e el proceso sea razonabl e-
mente predecible- es probable qu e se la exprese en forma de pro cedi-
mientos, lo que dará origen a los controles nux tos del tipo qu e resume el
diagram a 4.4.
A m edida qu e ava nce el aprendizaj e orga niza tivo y el trab ajo vaya
siendo estandarizado cada vez m ás , los controles prealimentados acabarán
predominando sobre los retroalic lentados . D espu és de todo, es mu cho
más barato qu e haga el tr;:¡bajo una m ano de obra relativamente p oco cua-
lificada, controlada por procedimientos, que ten er que co nfiarse al juicio
de individuos altam ente cualificados y experimentados .
E n ciertas profesiones, la transició n de la retroalimentación a la preali-
mentación pu ede durar un tiemp o muy largo. E n medicina , por ej em.plo,
la formación de los do ctores los ha preparado durante siglos para actuar
sobre una base en gran m edida discrecio nal, según la convicción de que la
dolencia particular de cada paciente concreto planteaba un conjunto Ú¡U cO
de problem as clínicos que exigía que su diagnósti co y tratami ento viniese
determinado por una combinació n de principios basados en conocinuen-
tos formales y experiencia clínica. Hoy, sin embargo, debido a diversas ra-
lOl
La gestión de los grandes ri esgos 4. La co ntribu ción humana

zones de tipo político, económico, legal y de gestión, ese enfoque tradi- Tabla 4.1
cional está mudando hacia un sistema donde, cada vez más, la atención sa- Diversidad de la actividad organizativa (basada en Perrow)
nitaria se presta sobre la base de procedimientos específicos de cada
Número de casos excepcionales
patología. Es curioso que ese tenaz bastión de la acción discrecional que (esto es, sucesos, situaciones y problemas nu evos)
es la medicina esté derivando hacia un modo de control prealimentado
Pocos Mu chos
cuando mu chos otros ámbitos hasta no hace mucho dominados por las
Tareas rutinarias , repetitivas , bi en Tareas no rutinarias, pero el análisis
normas -notoriamente, los ferrocarriles y la exploración y extracción de Fácil estructuradas y predecibles. Es posible de los numerosos casos excepcionales
crudo- están adoptando controles basados en la actuación y alejándose de preprog ramar los procesos y su control es relativam ente sim ple. R equiere
mediante reglas y procedimi entos. una co mbinación de co ntrol
los modos de control prescriptivos.
Natura leza de prescriptivo y control de la actuació n
la indagació n discrecional.
para solucionar
Trabajo ru tinari o, pero los problemas Tareas no rutinarias, pobrenl en te
TIPO DE ACTIVIDAD los problemas
son a veces vagos y están pobremente estru cturadas e impredecibles. No es
conceptualizados. Exige una mezcla posible aplicar reglas y procedimientos.
Con independencia de la etapa de desarrollo de un sistema, la naturaleza Dificil de control prescriptivo mediante La ejecución de las tareas qu eda
reglas y procedimientos y co ntrol a la discreción del individu o.
de las tareas que lleva a cabo la organización configurará en gran m edida de la actuación discrecional individual.
la proporción entre controles de procesos (o prealimentados) y de resul-
tados (o retro alimentados). Es fácil expresar en forma de procedimientos
ciertas actividades; pero no otras. Charles Perrow identificó dos aspectos
de la ac tividad de una organización que determinan el grado en que se la Tabla 4.2
Algunos ejemplos de los diversos tipos de ac tividad
puede preprogramar3 :
- El número de «casos excepcionales»: esto es, en qué medida es proba- Número de casos excepcionales
(esto es, sucesos, situaciones y problemas nu evos)
ble que durante el curso del trabajo sllljan sorpresas, situaciones nue-
Pocos Mu chos
vas y sucesos inesperados.
- La naturaleza del «proceso de indagacióm pre ciso para resolver los Cadenas de p rod ucció n Arq uitectura
Fácil Ferrocarriles Jnvestigación científica
problemas. Algunos pueden resolverse fácilmente mediante el análisis Serv icios postal es Gestión de proyectos
y la aplicación de soluciones basadas en reglas ; otros, poco compren- Co nstru cc ión Mantenjnuento y reparación
Naturaleza de Banca tradicional Exploración pe troli fera
didos aún, requieren una extensiva elaboración basada en conOCI-
la indagación Transporte por G lITete r a , et ::. Trabajo policial, etc.
mientos. para solucionar
los problem as D ifíci l Operaciones militares modernas
La tabla 4.1 enuncia las características de los cuatro tipos de actividad Centrales nu cleares Banca de inversión
Plantas de proceso químico Macroecononúa
organizativa. La tabla 4.2 ofrece ejemplos de cada uno de ellos. Dificil Aviac ión moderna Políti ca
Manufactura avanzada Recuperación de accidentes
Organizaciones de 1+ D improbables respecto de lo
Anestesia contemplado en el disello.
NIVEL DENTRO DE LA ORGANIZACIÓN
Medicina geriátrica, etc. Gestió n de crisis, etc.

Cuanto más alta es la posición de un individuo dentro de una organiza-

ción, más dificil es procedimentar su trabajo. La tarea de un conductor de
3. C. Perrow, "A framework for th e co mparati ve analysis of o rganiza tion s», A merican
Sociological R e/liew, 32, 1967, pp. 194-208.
tren, por ejemplo, consiste en arrancar, condu cir y detener un tren de
acuerdo con los dictados del sistema de seúalización de la vía y el crono-
grama de su trayectoY los procedinuentos de la compañia ferroviaria pres-

I02 I03
La ges ti ó n de los g rand es ri esgos
criben claramente cómo debería hacerlo. Pero no existen pro cedimientos
qu e expongan cómo el equipo de alta dirección de una firma debería al-
canzar los objetivos estratégicos. Así pues, en las organizaciones relativa-
nlente burocratizadas cabe esperar qu e los altos ej ecutivos operen
fundamentalmente por retroalimentación a partir de los resultados; y el
nlOdo opuesto regirá las acciones de los empleados de «prin'lera línea». Los
gestores intermedios y los supervisores de primera línea ocuparían posi-
ciones intermedias en el continuo prescriptivo-discrecional.
La amplia variación de la medida en que los trabajos individuales pue-
den ser redu cidos a pro ce dimientos ti ene implicaciones no sólo para el
tipo de controles que les son apli cables sino también para la dificultad con
qu e es posible identificar o incluso definir errores o infrac cion es . Si el
conductor de un tren rebasa una seIi.al de peligro, co mete un error in-
voluntario o u na infracción delib erada. Tanto los errores como las in-
fracciones se definen en términos de la desviación de una acción respecto
a un estándar de ac tuación al qu e se aspira o qu e se exige. En la «primera
línea» de cualquier industria suele haber po cas dudas acerca de las varas
con qu e se miden esas desviaciones. Pero, ¿quién decide si una decisión
es tratégica de alto nivel es correcta o no ? Habitu almente, esos asuntos
sólo pu eden fallarse al cabo de mu cho tiempo, e incluso entonces la cues-
tión de si una decisión dada fue co rrecta o no es a menudo objeto de de-
bate.
EL EQUILIBRIO ENTRE FORMACIÓN Y PROCEDIMIENTOS
Cuanto más prolongada e intensiva sea la formación de un individuo,
menos probable es que éste se vea gobernado por rígidos controles pre-
alimentados, y a la inversa . Ciertamente, hay excepciones . Los pilotos de
aerolínea reciben una formación muy extensa, tanto antes de iniciar su ca-
rrera co mo tripulantes como a lo largo de ella, y, no obstante, sus activi-
dades están muy suj etas a regulaciones y procedimi entos. Lo mi smo es
cierto en la mayoría de las ramas de un ej ército profesional.
Las culturas militares difieren en la autononúa que conceden a man-
dos subalternos y subofi ciales. La capacidad de co mbate del ej ército ale-
mán - desde la guerra franco-prusiana de 1870, pasando por la Primera
Gu erra Mundial, hasta la defensa de Alem ania en 1945- era legendaria.
A lo largo de la Segunda Guerra Mundial , las tropas de infantería alema-
nas causaron a las fu erzas de los aliados un 50% más de baj as de las que
4. La co ntribu ció n hum ana
éstos les infligieron, p ese a qu e la sup erioridad aérea aliada en el campo
de batalla era abrumadora en los aJ'íos finales del co nfli cto. La W ehrmacht
hizo a los rusos, en promedio, seis baj as por cada una que éstos le infii-
. 4
gleron.
Mu chas autoridades han especulado sobre las bases de esa superioridad
militar. ¿Obedecía a la valentía, la calidad y la tenacidad de los soldados
alemanes individuales o era fi'uto del carácter de sus instituciones milita-
res? Sin negar la primera posibilidad, la mayoría de los autores prefi ere la
hipótesis organizativa.
Existen argumentos convincentes según los cuales Alemania habría
conseguido crear una organización militar más efec tiva que la de sus ene-
migos. Esta efec tividad telúa muchas fac etas, pero una de ellas es particu-
larmente relevante aquí. En la instrucción de sus mandos inferiores, sobre
todo de los suboficiales, la Wehrmacht siguió el antiguo principio del A ¡,i f-
tragss)'stem (literalm ente «sistema de misióm) , cuya esencia era que un
mando subalterno debía ser capaz de perseguir los objetivos tácticos de sus
superiores con o sin órdenes, lo cual presupOlúa un co nsiderable grado de
iniciativa y comprensión táctica por parte de estos m andos inferiores.
Como seii.aló Alistair Horne:
Lejos de ser una horda de rígidos e inflexibles robots (qu e fu e siempre, entre
las co ncepcion es erróneas que los aliados terúan de los alemanes, una de las
más insidiosas), la Wehrmacht te¡úa una capacidad de reacción y de recupe-
ración de la iruciati va -especialmente en momentos de derrota- mu y su-
perior, en particular, a la del ejército británico de 1944 s
Sustituyendo el grado de «suboficia1» por el cargo de «sup erviso r» y
pensa ndo en la seguridad en lugar de en la guerra, sería interesante com-
probar si la idea del «sistema de misión» puede emplea rse para m ejorar la
dirección de la conducta segura en las tec nologías de alta peligrosidad.
Volveremos sobre esta cuestión de la descentralización en el capítulo 9.
H asta aquí hemos contemplado los procedimientos desde una pers-
pectiva organizativa.Ahora debemos adoptar una actitud más psicológica
y analizar algunas formas de diferenciar las acciones en relación con las re-
glas. Emp ezaremos por identificar tres niveles de actuación humana.
4. A. H o rne, Th e Lonel)' Lende/': iVlol'l f)' J944-45, Londres, Ma cmillan, 1994.
5. [bid., pp. 191-192 .
105
 La gestión de los grandes riesgos 4. La contribución humana

TRES NIVELES DE ACTUACIÓN El modo de control automático es el opuesto en todo sentido. Es en

gran parte inconsciente -acaso nos damos cuenta del producto (una pa-
El diagrama 4.5 resume la principal subdivisión de la actuación humana labra, una acción, una idea, una percepción), mas no del proceso que lo
entre tres niveles según se base en habilidades (skill-based, SB), reglas (ru/e- creó-, su capacidad es virtuahnente ilimitada -al menos, ningún psicó-
based, R..B) o conocimientos (knowledge-based, KB). Estos niveles de actua- logo ha descubierto aún sus límites- es muy rápido y opera en paralelo
ción, propuestos inicialm.ente por Jens Rasmussen 6 , se diferencian en -es decir, hace muchas cosas a la vez en lugar de tener que hacer una de-
función de variables psicológicas y situacionales que, combinadas, defi- trás de otra-, no requiere esfuerzo y es esencial para manejar las recu-
nen un «espacio de actividad» sobre el que pueden cartografiarse los tres rrencias de la vida diaria. Pero forma una comunidad muy especializada de
niveles de actuación. estructuras de conocimiento: sólo sabe lo que sabe; no es un instrumento
universal para resolver problemas, como el modo consciente. Naturahnente,
preferimos operar en el modo automático siempre que sea posible.
Diagrama 4.5
Situación de los tres niveles de actuación dentro de un «espacio de actividad» La segunda dimensión que define el espacio de actividad es la natura-
definido por el modo dominante de control de la acción y por la naturaleza leza de la situación inmediata. Los dos polos de esta dimensión son las si-
de la situación local tuaciones cotidianas altamente familiares y los problemas enteramente
nuevos, con los problemas para solucionar sobre los cuales se ha recibido
Situaciones Modos de control formación -o para los que existe un procedimiento escrito- en una
Consciente Mixto Automático posición intermedia.
Rutinarias Los tres niveles de actuación pueden resumirse de la siguiente manera:
- Al nivel basado en habilidades (SB) realizamos tareas rutinarias, muy
Problemas practicadas, de un modo en gran parte automático, con ocasionales

,
para solucionar
sobre los que se ha Basado en reglas
recibido formación
- Cambiamos al nivel basado en reglas (R..B) cuando apreciamos la nece-
Problemas
nuevos
Los seres humanos controlan sus acciones gracias a diversas combina-
ciones de dos modos de control: el consciente y el automático. El modo
consciente tiene capacidad limitada, es lento, secuencial, laborioso y pro-
penso al error, pero, potencialmente, muy inteligente. Es el modo que
usamos para «prestar atencióm a algo. Pero la atención es un recurso li-
mitado : si se enfoca sobre una cosa, se la retira n ecesariamente de otras.
- Al nivel basado en conocimientos (1m) recurrimos con la mayor re-
6.]. Rasmussen, "Human errors: a taxonomy for describing human malfu nctio n in in-
dustrial installations»,Jo~lr/l.al r!f Occupatiollal A ccidents, 4,1982, pp. 311-333.Véase también
]. Rasmussen, "Skills, rul es, knowledge: signals, signs and symbols and other distinctions in
human performance models», IEEE T¡'ansactions: S)'sterflS, Man and Cyvernetics, SMC-13,
1983, pp. 257-267 .
comprobaciones conscientes de sus progresos. Esto es lo que a la gente
se le da mejor -la mayor parte del tiempo.
sidad de modificar nuestra conducta, en gran medida preprogramada,
porque hemos de tener en cuenta algún cam.bio en la situación. Es
probable que se trate de un problema al que nos hemos enfrentado
antes, o que se nos ha enseñado a solventar, o previsto en los procedi-
mientos. A este nivel se le llama basado en reglas porque aplicam.os
reglas escritas o memorizadas del tipo: si (tal situación) entonces (tales
acciones). Al aplicar estas reglas conectamos automáticamente los sig-
nos y síntomas del problema a alguna estructura de conocimiento
almacenada. Podríamos usar el pensamiento consciente, luego, p ara ve-
rificar si esa solución es, o no, adecuada.
nuencia. Solamente cuando h emos sido repetidamente incapaces de
encontrar alguna solución preexistente, nos volvemos hacia la lenta y
penosa operación de pensar las cosas con detenimiento y minuciosi-
dad. Cuando se dispone de tiempo y se está en un entorno «indul-

106 107
La gesti ón de los grand es ri esgos
gente» que tolera el aprendizaj e por prueba y error, a menudo damos
con bu enas solu ciones . Pero los humanos n o solemos responder de
forma óptima en una emergencia -aunqu e hay algunas notables ex-
cepciones- . Muy a menudo, nu estra comprensión del problema es
fi:agmentaria , imprecisa o ambas cosas al mismo tiempo. Asimismo, la
capacidad de ahllacenam..iento de información de la conciencia es muy
limitada; no pu ede retener más de dos o tres cosas a la vez. Tiende a
funcionar COlUO un tamiz con varias roturas, por las qu e se pierden las
cosas mientras dirigimos nu estra atención de un asp ec to a otro del
problem a. Además, simplem ente, pu ede que es temos aterrados y el
miedo, como otras emociones intensas, de algún modo desplaza la ac-
ción razonada y la suplanta con reacciones «reflej as» o estereotipadas .
En el diagram a 4.5 , esta reacción a la situación se situ aría en la esquina
inferior derecha del espacio de actividad.
D eb e subraya rse qu e estos niveles de actividad no son mutuam ente
excluyentes. Los tres pueden coexistir simultán eamente. Pensemos en el
proceso de condu cir un coch e: el control de la velo cidad y la dirección
del coche se realizan al nivel SB; la negociación de las normas de tráfi co y
los usos de la carretera con o tros conductores o peatones tiene lugar al
nivel FU3; y, al m..ismo tiempo qu e estos dos niveles están en operación, po-
demos estar nleditando algún nuevo y dificil problema vital en el nivel leB.
C omprender los niveles de ac tividad nos sirve para clasificar la diversidad
de errores e infracciones qu e analizaremos algo m ás adelante.
ERRORES y ACCIONES CON ÉXITO
El error humano puede definirse como el fracaso de las acciones planeadas
para alca nz ar determinados fi nes deseados - sin qu e h.aya intervenido en ello
algún suceso irnprel,isible-7 La oración entre guiones es importante por-
que separa la acción controlable del h echo de haber tenido buena o mala
suerte. Alguien que mu ere por el impacto de un trozo de basura espacial
mientras acudía a sus asuntos probablem ente no logrará los obj etivos in-
mediatos qu e perseguía , pero dificilmente cabrá atribuirlo a un error por
su parte. Asimismo, alguien qu e golpea oblicuamente una p elota de golf
7. ]. R eason, HI/IIl aJ/ Error, N ueva Yo rk , Ca mbridge University Press, 1990 [trad . cast.:
El error !l/l/lIaIl O, Madrid, M odus Laborandi , 2009].
lO S
4. La co ntribu ció n hum ana
de forma qu e impacta casualmente co n un árbol y rebota hasta entrar en
el «greem puede que haya alcanza do su propósito, pero no por eso su ac-
ció n dej a de ser errónea.
Esta definición contiene tres elementos: un plan o intención qu e in-
co rpora tanto un objetivo como los m edios para lograrlo, una secuencia de
acciones iniciadas por ese plan, y la medida en que esas acciones tienen
éxito en alcanzar lo que se proponían. Lógicam ente, las acciones pu eden
fi'acasar en la consec ución de su obj etivo por una u otra de las siguientes
causas:
- El plan es adec uado, p ero no se logra efec tuar las acciones como se
había plan ea do. Estos fallos de ej ecución involuntarios se llaman co-
lT1Úmuente deslices) lapsus) tropiez os o torpez as. Los deslices tienen que ver
con acciones observables y suelen atribuirse a fallos de atención o de
percep ción. Los lapsus son su cesos de cará cter más interno qu e gen e-
ralmente involucran fallos de m emoria.
- Las acciones se ajustan exactamente a lo planea do, pero el plan es in-
adecuado para obtener el resultado p erseguido. El fallo está aquí en un
nivel más alto -en los procesos mentales implicados en la evaluació n
de la información disponible, la planificación, la formulación de inten-
ciones y la ponderación de las probables consecuencias de las acciones
planea das-oA estos errores se les llama equivocaciones y se los ha sub-
dividido en dos subcategorías: equivocaciones basadas en. reglas y equivoca-
ciones basadas en conocimientos. Las primeras obedecen a la apli cación
incorrec ta de reglas normalmente adecuadas, a su no aplicación (in-
fi'acción) o a la aplicación de reglas inadecuadas . Las equivocaciones
basadas en conocimientos sobrevienen cuando nos quedamos sin solu-
ciones preexistentes y hemos de resolver problemas en el acto. C omo
señalamos antes, es un proceso muy propenso al error. El diagrama 4.6
resume los diversos tipos de errores.
Como dij e antes, todos los errores implican algún tipo de desviación.
En el caso de los deslices, lapsus, tropiezos o torp ezas, las accion es se des-
vían de la intención vi gente. E n el caso de las equivocaciones, en ca mbio,
la desviación se produce con resp ec to al camino adecuado para alcanzar
el obj etivo deseado.
lO9
La gestión de los grandes riesgos 4. La contribu ción hum ana

Diagrama 4.6 relativo de influ encia de unos y otros varía en función de la clase de in-
ResuI11.en de los principales tipos de error fi·acción.
Las infracciones rutinarias implica n , típicamente, el recurso a una
Deslices forma m ás rápida, cómoda, económica o expeditiva de hacer las cosas al
en la acción
nivel de actividad basada en habilidades -seguir la vía del núnimo es-
I debidos a fallos
de atención fÍJerzo entre dos puntos relacionados de una tarea- oEsos atajos pueden
Deslices y lapsus convertirse en parte habitual del repertorio comportamental de una p er-
basados en
habilidades sona, especialmente cuando ésta se halla inserta en un entorno de trabajo
qu e raram ente castiga las infracciones de las normas o recomp ensa su
T
Errores
Lapsus de
memoria
l cumplimiento. Los procedimientos «chapuceros», que guían las acciones
siguiendo vías qu e parecen más largas de lo necesario, promueven tam-
bién las infracciones rutinarias.
Equivocac iones Las infracciones optimizadoras -o quebrantar las reglas por el placer
basadas en reglas de hacerlo- reflejan el h echo de que las acciones humanas contribuyen
I
Equivocaciones l a una pluralidad de fines motivacionales, algunos de los cuales están esca-
samente relacionados con los asp ectos funcionales de la tarea en cuestión.
Así, el objetivo funcional del conductor profesional es llegar de A a B,
Equivocaciones
I basadas
en co nocimientos
pero en el trayecto puede optimizar el placer de la velo cidad o dejarse
llevar por sus instintos agresivos. La tendencia a optimizar metas no fun-
cionales puede llegar a convertirse en parte del estilo de actuación de un
individuo.
Las infracciones rutinarias y op timiza doras están claramente relacio-
INFRACCIONES y ACCIONES QUE CUMPLEN LAS NORMAS
nadas con el logro de fines personales (o sea, menos esfuerzo o más emo-
ción) , mientras qu e el origen de las infracciones necesarias se encu entra
Las infracciones son desviaciones de los procedimientos, estándares o re-
predominantem ente en las situaciones de trabaj o concretas. En este caso,
glas idóneos p ara operar co n seguridad8 . Las desviaciones pueden ser de-
d incumplimiento de las normas se ve como esencial para poder realizar al
lib eradas u ocurrir por error (por ejemplo, exceder el límite de velocidad
trabajo. Las infi'acciones necesarias suelen estar provocadas por fallos or-
sin reparar en haber acelerado o en una limitación local). No obstante, las
ganizativos relativos a la lo calización del trabajo, o a las herramientas o al
infracciones que más nos interesan son las deliberadas, donde las acciones
equipo a él destinados -véase el ejemplo de los operarios de maniobras
- aunque no sus posibles co nsecu en cias adversas- son inten cionadas.
del capítulo 3-. Además, cabe que ofi'ezcan asimisl11.0 un modo más có-
Estos actos, realizados sin mala intención, deben diferenciarse del sabotaje,
modo de trabajar. El efec to combinado de ambos factores lleva con fi'e-
donde tanto el acto como su resultado pernicioso son intencionados.
cuencia a qu e estas contravencion es lleguen a ser rutinarias, en lugar de
Se distinguen tres grandes categorías de contravenciones de las nor-
ser excepcionales.
mas de seguridad: infracciones rutinarias, optimizadoras y necesarias. En
los tres casos, factores organizativos e individuales configuran la decisión
de conculcar los procedimientos de operación seguros - si bien el grado
ACCIONES CORRECTAS E INCORRECTAS

S.VéaseJ. R easoll, D. Pa rker y R. Free, BeI'/ding the Rllles:Th e Várieties, Origins a/1d Ma -
nagel'/"Ient of SaJety Vio latio/1s, Leiden , Facultad de Ciencias Sociales, Universidad de Leiden, Aquí los términos «correcto» e «incorrecto» significan la exactitud en la
1994 . percepción del riesgo. Una acción correcta es la que se realiza sobre la base

no III
La gestió n de los grandes riesgos
de una evaluación del riesgo exacta. Una acción incorrecta es la qu e se basa
en una evaluación inexac ta o inadecuada de los riesgos asociados.
Las acciones coronadas p or el éxito -con respec to a los fines p erso-
nales- n o son necesariamente acciones correctas - respecto a la exacti-
tud de la evaluación del ri esgo-o Como vimos antes, co ndu cir a 150
km/h puede satisfacer los fines p ersonales de llegar antes y experimentar
la excitación de la velocidad, pero, claram ente, no es una acción «correcta»,
dado el increm ento de los riesgos asociados a un régimen fisico relativa-
mente descono cido y sus dismi nuidos márgenes de error. D e la misma
man era, cUlTlplir las normas no es automáticamente «correcto»; ni come-
ter una infi-acción, incorrecto. Todo depende de las condicion es locales y
de la idoneidad de los procedimientos.
Co n frec uen cia es im p osible saber anticip adam ente qu é es lo «co-
rrecto» y a m enudo se desco noce en el momento de actuar. Pero, en prin-
cipio, se podría expresar en términos probabilísticos. Por ej emplo, la
probabilidad de verse involu crado en un accidente fatal cuando se viaja
por una autopista británica sin superar el límite de velocidad puede calcu-
larse a partir de los datos sobre la frecuen cia de accidentes en relación
co n las millas de exp osición 9 . Asimismo, la m edida en que es te riesgo
crece co nforme lo hace el exceso de velocidad es algo que, en principio,
también puede determinarse.
LA CALIDAD DE LOS PROCEDIMIENT OS DISPONIBLES
H asta aquí hemos contemplado los comportamientos en relación con las
normas desde una perspectiva psicológica y desde una visión organizativa.
Ah ora adoptaremos la perspectiva de la teoría del control y examinare-
mos la efectividad de los procedimi entos de seguridad. H ay tres posibili-
dades: que las normas sean buenas, que sean malas o que no existan - sin
normas-o Aquí «bueno» comp or ta tanto corrección como el fom ento
de obj etivos personales aceptables (esto es, la efi ciencia, la redu cción del
esfu erzo, etc.) . Las normas m alas son o bien inadecuadas en las circuns-
tancias concretas o incor rectas, o ambas cosas.
A diferen cia de los pro ce dimientos que gobiernan las actividades pro-
ductivas, los qu e se elaboran para garantizar que el trabaj o sea seguro su-
9. D. E Finc h, P. Ko mp fi1er, C. R . Lockwoo d y G. Maycock, Speed, Speed Lilllils nlld
Accidwts, Project Report n .o 58, Crowthorne, Transpo rt Research Laboratory, 1994.
II2
4. La co ntribució n h umana
fren de una limitación en la consideración de la va riedadVirtuall1"lente en
to das las operaciones de eleva da peligrosidad la diversidad de las conduc-
tas peligrosas posibles es mu chísimo m ayor qu e la de las conductas pro-
du ctivas prescritas. Por eso, si bi en las prescrip ciones prealimentadas
pu eden bastar para co ntrolar la actu ación produ ctiva (véase de nu evo el
diagrama 4.2), la diversidad indispensable de los pro cedimi entos precisos
para gobernar la condu cta segura será siempre m en or qu e la posible di-
versidad de las situacion es inseguras. Com o dij o el teórico del control
R oss Ashby, «sólo la diversidad puede destruir la diversidad». E n otras pa-
labras, sólo la diversidad de la agencia de control puede reducir la diver-
sidad del resultado a co ntrolarlo.
Podemos ilustrar este p roblem a mediante un sencillo ej emplo dom és-
tico. Los procedimientos necesarios para guiar la prep aración de, digamos,
una sopa minestrone pu eden transmitirse en unas p ocas frases. Pero los
procedimientos necesari os para garantizar qu e esa tarea se realizará de una
forma absolutam ente segura podrían llenar varios libros y aun así es im-
probable que abarcasen todos los peligros y todos los escenarios de acci-
dentes posibles. Por supuesto, podemos prever algunas de las am enazas más
probables (bacterias nocivas, cuclM os afilados, la posibilidad de escaldarse
o electrocutarse, la presencia de gases inflamables o venenosos, etc.) y pro-
curar regular la conducta de nu estro cocinero respecto a esos p eligros ob-
vios. Y eso mismo es lo que intentan las organizacion es resp ecto a sus
riesgos de op eración concretos. Pero es imposible prever todas las posibles
combinaciones de peligros y sus correspondientes escenarios de accidente.
Así pu es, en esencia, nunca se po drá lograr una condu cta completam ente
segura emplea ndo exclusiva mente prescripciones prealimentadas. Siem-
pre habrá situaciones qu e las normas no cubren o a las que son localmente
inaplicables. En otras palabras, siempre habrá situaciones en las que las nor-
mas resulten «malas» y situaciones en las que «no hayal) prescrip ciones.
Po r supu esto, esto no significa que las organizaciones deban cej ar en
sus esfuerzos por formular normas de seguridad . Esas normas son impor-
tantes no sólo porque guía n el comportamiento seguro en relación con
amenazas identificadas y bien conocidas; constituyen, además, un impor-
tante registro del aprendizaje de la organización sobre sus peligros opera-
tivos. Las p ersonas cambian más deprisa que sus trabaj os, por lo cual ese
registro es crucial para difundir el conocimiento relativo a la seguridad a
través de todo el sistema. N o obstante, el problema de la diversidad indis-
10. W. R. Ashby, A I1 [Il!rodllclioll lo C)'bemetics, Londres , C hap man & H all,1956.
II3
La gestión de los grandes riesgos 4. La contribución humana

pensable significa que esa compilación de procedimientos op erativos se-
guros nunca será omnicomprensiva ni podrá aplicarse universalmente.
SEIS TIPOS DE CONDUCTA EN RELACIÓN CON LAS NORMAS
Sobre la base de las diversas distinciones analizadas hasta aquí, podemos
identificar ahora seis tipos de comportamiento en relación con las nor-
mas, tal como recoge la tabla 4.3. La tabla se crea cruzando los tres tipos
de situaciones según su relación con las normas y los dos tipos de actua-
ción. En cuanto a estos últimos , la «actuación correcta» se refiere a ac-
ciones que son correctas (respecto a la evaluación del riesgo) y además
tienen éxito (en el logro de fines personales). La «actuación errónea», en
cambio, se refiere a acciones que son incorrectas y, además, fi-acasan.
Tabla 4.3
Seis variedades de ac tuación en relació n con las reglas
Buenas l1or11135 Malas normas Sin normas
Actuación Cumplimiento Infracción Improvisación
correcta correcto correcta correc ta
Actuación Incumplimi en to C umplimi ento Equivocac ión
errónea erróneo erróneo
[illislICllliollJ [I/Iisplinllce]
Las principales características de estas seis conductas se resumen a con-
tinuación. En la sección siguiente ofreceremos ejemplos ilustrativos de
todas ellas extraídos de la vida real.
- Cumplimiento correcto: actuación correcta (y segura) obtenida gracias al
cumplimiento de unas normas de seguridad adecuadas.
- Irifracción correcta: actuación correcta conseguida gracias al incumpli-
miento de unas normas o procedimientos inadecuados.
- Improvisación correcta: un curso de acción adoptado en ausencia de pro-
cedimientos adecuados y que conduce a un resultado seguro.
- Incumplim.iento erróneo: conducta que implica el incumplimiento de
unas normas de seguridad adecuadas y, además, incurrir en uno o más
errores, lo que conduce a un resultado no seguro.
- Cumplimiento erróneo: conducta que implica el cumplimiento equivo-
cado de unas normas de seguridad inadecuadas o unos procedimien-
tos operativos inexactos, lo que lleva a un resultado no seguro.
- Equivocación: un resultado no seguro que resulta de un plan de acción
inadecuado ejecutado sin disponer de proceslimientos idóneos (esto es,
una equivocación basada en conoc,irniento).
Hay una categoría de acciones peligrosas que la lógica de la tabla 4.3
no abarca: la trasgresión errónea, pero con éxito, de unas normas adecua-
das". En este caso se alcanzan las metas personales como se había planea-
do, pero a despecho de una evaluación errónea de sus p eligros. Estas
infracciones con éxito -que no hay que confundir con las infracciones
correctas- son el caldo de cultivo del que ocasionalmente surgen los in-
cumplimientos erróneos. Las infi-acciones con éxi to, aunque no suelen
tener derivaciones lesivas de por sí, crean las condiciones que promueven
los peligrosos incumplimientos erróneos, condiciones que incluyen el ex-
ceso de confianza en las propias habilidades y una subestimación crónica
de los riesgos.
¿Cuál es la fi:ecuencia relativa de la probabilidad de que ocurran estos
diversos tipos de conducta? Puesto que habitualmente las normas de se-
guridad evolucionan por un proceso de selección natural, podemos con-
fiar razonablemente en que las buenas normas serán mucho más numerosas
que las malas y que las situaciones «sin reglas» serán infi-ecuentes. Es tam-
bién muy probable que el cumplimiento de las normas sea mucho más
fi-ecuente que su vulneración. Así pues, es probable que el cumplimiento
correcto sea el modo de conducta más común, y que las infi:acciones co-
rrectas, el cumplimiento erróneo y las improvisaciones - con o sin éxito-
sean los tipos menos fi-ecuentes. La evidencia de los estudios de campo in-
dica que los actos de incumplimiento erróneo con éxito son relativamente
comunes, aunque su número es muy inferior al de los actos de cumpli-
miento correcto. Los incumplimientos erróneos incluirían un subconj unto
mucho más pequeño de infi-acciones erróneas pero con éxito.
. 11. Tony Musc hara, del Institute of Nuclea r Power Operations de Atlanta, ha suge-
ndo otra adición a esta lista : mal-c umplinu ento, cumplinu ento malintencionado de unos
procedimientos que so n malufiestamente erró neos o inaplicables.

II4 II5
La gestió n de los g randes ri esgos
ALGUNOS EJEMPLOS EXTRAÍDOS DE LA VIDA REAL
Incumplinúento erróneo
El accidente de Chernóbil se originó casi enteram ente a ca usa de in-
cumplimientos erróneos l2 D e los siete actos peligrosos, bi en documenta-
dos, qu e llevaron a la explosión del reactor nuclear RBMK ucrania no en
abril de 1986, seis fueron incumplimientos erróneos de un tipo u otro. El
primero de ellos (y quizás el más determinante) fue la decisión equivo-
cada del operador de co ntinuar la pru eba del genera dor de voltaje a p esar
de qu e un error opera tivo inicial había ocasionado que el nivel de po-
tencia cayese a sólo un 7% de la potencia máxim a. Las características del
reactor P...BMK hacían qu e su funcionamiento en un régi.men de baj a po-
tencia como ése crease un coeficiente de vacío positivo en el núcleo del
reactor, que podía derivar en una reactividad fuera de control. Los pro-
cedimientos operativos de la central prohibían estrictam.ente toda opera-
ción por debajo de un 20% de su potencia máxima. (La inten ción inicial
era realiza r el experimento al 25% de esa potencia). Luego, para comple-
tar el experim.ento, los operadores apagaron sucesivam ente varios siste-
mas de seguridad específi cos e hi cieron así inevitable la explosión
subsigui ente. Nos enco ntramos aquí ante un caso, triste pero muy signi-
ficativo, en el que un grupo de op eradores galardonados y muy motiva-
dos se las arreglaron para destruir un reactor vetusto, pero relativa mente
bien defendido, sin la ayuda de fallo técnico alguno.
Cumplinúento correcto y equivocaciones
Por lo general, no se registra el cumplimiento correcto, ya que raramente
se ve implicado en un accidente. R ecientemente, sin embargo, la Comi-
sión R eguladora de la Energía Nuclear de los Estados Unidos patro cinó
un programa de insp ección orientado a los fac tores humanos cuyo obj e-
tivo era indagar las circunstancias qu e rodearon a algunos sucesos opera-
tivos potencialmente significativos ocurrido s en centrales nucleares
estadounidenses 13 . D e los 21 informes de inspección, aproximadamente la
12. J. Reason, «The Chernobyl errors», BlIlletill of fhe Brifisll Ps)'chological Socief)', 40,
1987, pp. 2201-2206. . .
13 . NUR.EC/CR-6093, An Anal)'sis of Opera fional Expe/"l e/lce dllrmg Lo/'/! PO/,ller and S/¡/./ t
Down and a Pla/l forAddressillg Hum an. R eliav ilit)' Assess/ll el'lf Iss/./es, Wash.ington DC, US Re-
gulatory COlTlm.ission , 1994.
II6
4. La contribu ción humana
mitad fu eron califi ca dos como rec uperaciones con éxi to y los restantes
como recup eraciones con m enos éxito. Todos los sucesos terminaro n con
el retorno a una si tu ación segura, pero en 11 casos los operadores se sin-
tieron confusos o inseguros acerca de sus condiciones causales y cometie-
ron errores en sus intentos de devolver la central a un estado seguro. En
cambi o, los actos de los grupos de operadores qu e lograron recup eracio-
nes con éxito fu eron ejemplares -en algunos casos, verdaderamente ins-
pirados-o Un im.portante factor discriminante entre las recup eraciones
con pleno éxito y las de m enos éxito fu e el estado de la planta en el mo-
mento en que surgieron las circunstancias anormales.
En la mayoría de las recup eraciones con éxito las centrales estaban
fun cionando a plena po tencia, o casi. Ésa es la si tuación <<normal» en una
central de en ergía nuclear -verter megavatios a la red- oLa m ayoría de
los procedimientos operativos de em ergencia es tán escritos p ensando en
esa circunstancia como telón de fondo. Esos pro cedimientos y la forma-
ción correspondiente del personal facilitaron casi todas las recup eraciones
qu e concluyeron co n pleno éxito. La m ayoría de las recuperaciones con
menos éxito, en cambio, ocurrieron en circunstancias de baja potencia o
durante paradas, es tados perfec tamente normales de la central, por lo
demás, y necesarios para realizar el mantenim.iento, las reparaciones y la
recarga de com.bustible, pero qu e constituyen una proporción relativa-
mente pequeúa del tiempo de su vida útil total. Se dispone de pocos pro-
cedimientos qu e cubran emergencias que sUljan en esos estados especiales.
Como res ultado, los operadores no tuvieron otro remedio que «ingeniár-
selas» y, en varios casos, incurrieron en errores qu e agravaron la enler-
gencia original y retrasaron la rec up eración. Los equipos obraron al
margen de las normas porque no se les había dado ninguna para man ejar
emergencias en esas circunstancias atípicas, p ero igualmente peligrosas .
Como co nsecuencia, hubieron de improvisar en situaciones que no en-
tendían plenam ente, En último término, no fracasaron (finalmente logra-
ron devolver las centrales a un estado seguro), p ero muchas de las acciones
que efectuaron en el curso de esas operaciones encaj an en la categoría de
«equivocacióm, tal como la identifica la tabla 4.3.
Cumplinúentos erróneos e infracciones con éxito
El desastre de la plataforma Piper Alpha, el 6 de julio de 1988, ofrece
ej emplos tanto de cumplimi ento s erróneos co mo de infra cciones con
éxito. Los pro cedimientos de em ergencia exigían qu e el perso nal de la
II7
La gestión de los grandes riesgos
plataforma se concentrase en la cocina del área de alojamiento. Ed Pun-
chard describe su comportamiento:
En toda la plataforma la gente seguía instintivamente su entrenamiento y las
instrucciones de emergencia. Ante la ausencia de toda otra información, la
mayoría intentaba llegar hasta la cocina para comprobar si faltaba alguien y
recibir instrucciones. Después de todo, se les había entrenado para hacer exac-
tamente eso 14
Lamentablem.ente, los aloj amientos estaban directamente en la trayec-
toria de la bola de fuego que estalló a las 11:22 de la noche. La mayoría
de los que habían cumplido el procedimiento de emergencia murieron
quemados o por asfixia.
Cuando se produjo la primera explosión (hacia las 9:58 de esa tarde),
Ed Punchard, superintendente de submarinismo, estaba en la oficina de
su sección, en una de las cubiertas inferiores de la plataforma, con algu-
nos de sus submarinistas. Su primera reacción fue correr escaleras arriba
hasta el nivel de 26 metros con la esperanza de llegar hasta el bote salva-
vidas situado en el nivel de los 32 metros. En su camino se toparon con
una densa humareda y pudieron oír el sonido de una fuga de gas, de
modo que volvieron a baj ar y con ayuda de una cuerda alcanzaron la cu-
bierta de red del pilar noroccidental. Desde allí Punchard descendió por
una escalera de mano de acero y saltó a un bote de rescate. No está claro
si esta forma de escapar fue una trasgresión deliberada o fruto de la ne-
cesidad; es evidente, en cambio, que la mayoría de los supervivientes fue-
ron hombres que incumplieron las instrucciones de congregarse en la
COCIna.
La historia militar es muy rica tanto en cumplimientos errados como
en felices desobediencias, aunque sólo estas últimas tienden a ser glori-
ficadas, como la insubordinación de Nelson en Copenhague, cuando
optó por leer la orden de retirada que le transmitía el telégrafo de ban-
deras mirando por el catalejo con su ojo tuerto. C laro que si hubiera
perdido la batalla la historia habríajuzgado su decisión bajo una luz muy
diferente. Las contravenciones con éxito suelen juzgarse como el sello de
un gran líder militar, mientras los cun"lplimientos erróneos se estiman
carac terísticos de los más incompetentes. En su tratado El arte de la gue-
rra, escrito hace 2500 años, Sun-Tzu aconsejaba desobedecer con buen
jUlClO :
14. E. Punchard, PiperA lpha:A SlIrvÍlJOr~ Stor)', Londres,W. H .Allen & Co. , 1989, p.128.
IIS
4· La co ntribución humana
Si es seguro que el combate se saldará con una victoria, debes luchar, aunque
el gobernante lo prohíba; si el combate no ha de acabar en victoria, no debes
lu char, aunque el gobernante así lo ordene 1s
Improvisación correcta
Uno de los ejemplos más dramáticos de improvisación afortunada ocu-
rrió el 19 de julio de 1989 a bordo del United Airlines 232, un DC-lO
McDonnell Douglas a cuyo mando estaba el capitán Alfi·ed C. Haynes. El
avión volaba a altitud de cru cero cuando la turbo-hélice del motor nú-
mero dos, situado a cola, se desintegró y sus fi·agmentos destrozaron los tres
sistemas hidráulicos del aparato. Los diseñadores habían calculado que la
probabilidad de quedarse sin los tres sistemas hidráulicos era inferior a
una entre mil millones (10- 9 ) y no se había diseiíado ningún procedi-
miento de emergencia que previese esa posibilidad casi inimaginable. Al
Haynes describió así la gravedad de su situación:
Estábamos a más de once mil metros, sin los alerones que controlan el ba-
lanceo del avión, sin timones verticales para coordinar los giros, sin timones
de profundidad para controlar el ángulo de inclinación, sin los slats de las alas
para ayudarnos a reducir la velocidad, sinjlaps que pudiéramos usar en la ma-
niobra de aterrizaje y sin los alerones restantes de las alas que nos ayudasen a
reducir velocidad en vuelo o a frenar una vez llegados al suelo, sin rueda de-
lantera y sin frenos. La verdad, no nos quedaba gran cosa que pudiéramos
u tilizar16•
C uarenta y cinco minutos más tarde el aparato aterrizó violentamente
en Sioux City, Iowa. D e los 285 pasajeros y los 11 tripulantes que viaj a-
ban a bordo sobrevivieron 174 pasajeros y diez miembros de la tripula-
ción. Unos catorce segundos tras ocurrir la emergencia, el aparato se
había escorado lateralmente 38° a la derecha , y de seguir así se daría com-
pletamente la vuelta y se precipitaría en picado. En ese momento Hay-
nes tomó el control del aparato, cortó en seco la potencia al motor
número uno (el mo to r izquierdo) y aceleró al máximo el número tres (el
motor derecho), consiguiendo que el ala derecha comenzase a regresar
a su posición normal. Después de eso, los dos pilotos -más otro que
15. L. Giles, Slm Tz u 011 tite Art ofWar, Singapur, Graham Brash, 1988 (edición origi-
nal, 1910).
16.A. C. Haynes, "United 232 : Coping with the loss of all ilight controls», Flight Deck,
3, 1992, pp. 5-21, véase p.7.
II9
La ges ti ó n de los grandes ri esgos
volaba CO IT10 pasajero- aprendieron sobre la ntarcha có mo utili zar la
diferencia de aceleración de los dos motores restantes, situados en las alas,
para h acer qu e el avión se deslizase a la derecha o a la izquierda , traza ndo
giros desce ndentes. Así fueron llevándolo hacia Sioux C ity y habrían
conseguido aterrizar sanos y salvos si en la aproxim.ación final , al llegar a
baja altura, el aparato no se hubiera visto afec tado por maniobras inco n-
trolables (fu goides). Salvar las vidas de 184 de las 296 personas a bordo
-todas las cuales , casi con certeza, habrían muerto en un choque in-
controlado- fue una extraordinaria h azúia de pilotaj e y de gestión de
recursos humanos (la tripulación).
EL CUADRO COMPLETO
Este capítulo ha examinado algunas de las op ciones comportamentales
de que disponen quienes trabajan en sistemas de tecnología co mplej a.
Dado qu e todo este comportamiento está gobernado por controles ad-
ministrativos, con'lenzamos viendo los principales m edios qu e usan los
sistentas para constreñir a sus operarios a seguir cursos de acción seguros
y productivos. Representamos dichos medios a lo largo de una dimensión
que abarca desde los procedimientos prealimentados externos, que pres-
criben rígidamente las acciones permisibles, hasta los controles retro ah-
mentados, en gran medida discrecionales, basados en el cono cimiento, las
habilidades y la experiencia interiorizadosVarios factores inciden en cuál
de estos dos modelos predomine: la fase alcanzada en la trayectoria vital
del sistema, el tipo de op eraciones qu e lleva a cabo, el nivel jerárquico de
un individuo dentro de la organización y la cantidad de formación que
se estima necesaria para su desempeño.
La siguiente sección del capítulo examinó varias formas de clasificar la
actuación humana. Identificamos tres niveles de actuación -basados en las
habilidades (SB), en las reglas (RB) y en el conocimiento (KJ3), respectiva-
mente-, definido s todos por la interacción entre los modos de control de
la acción (consciente o automático) y la naturaleza de la situación iIU11e-
diata (rutinaria o problemática). Tres tipos principales de errores, o accio-
nes desafortunadas, van unidos a estos niveles de actuación: desli ces y
lapsus basados en habilidades, equivocaciones basa das en reglas y equivo-
caciones basadas en conocimientos. Señalamos luego tres formas en que las
personas pueden infi-ingir los procedimientos -infi-acciones rutinarias, op-
timizadoras y necesarias- y distinguimos también entre acciones correc-
120
4. La co ntribu ción humana
tas e in correctas en función de si implicaban o no una evaluación adecuada
de los peligros que conlleva el curso de acción que se planea ej ecutar.
A co ntinuación planteamos la cuestión de qu e los pro cedimientos de
seguridad nunca pu eden prever todas las formas en qu e las p ersonas pue-
den sufrir algún dúio en el curso de su trabajo. Ca recen de la variedad
indispensable para igualar peligros tan numerosos. D e resultas, las situa-
ciones de trabajo pertenecerán a una de estas clases: las regidas por bue-
nos procedimientos, aqu éllas cuyos pro cedimi entos disponibles so n
inadec uados o impro ce dentes y aqu éllas otras para las qu e no se ha re-
dactado ningún pro cedimiento. Estas tres circunstancias - norma s bu e-
nas, normas malas y ausen cia de normas-, combin adas con la actuación
correcta o errónea , generan seis tipos de comportamiento, según su re-
lación con las normas: cumplimiento corre cto, infracción correcta, im-
provisación correc ta, incumplimiento erróneo, cumplimiento erróneo y
equivocaciones (fallos de improvisación).
Tanto las organizaciones como el comportami ento humano so n co m-
plej os; no es extraño, pues, que este capítulo haya presentado un descon-
certante número de distinciones. Ahora es el momento de compon er con
ellas, bas tante literallllente, el cuadro completo: para representarlo, el dia-
grama 4.7 mu estra dos rutas de acción principales: una ll eva directa mente
a una actuación co rrec ta y cuhnina co n éxito; la otra dibuj a diversos ca-
minos a lo que en su mayoría so n co nductas peligrosas. En ambos casos,
el punto de partida es la pregunta «¿ habían previsto los procedimientos o
la formación esa tarea (o situa ción) ?». Las acciones humanas sólo pu eden
entenderse dentro de un contexto dado que, en este caso, es una tarea o
situación de trabaj o. E nlos sistemas bien establecidos, la mayoría de las ac-
tividades se habrá previsto de un modo u otro, pero a veces surgen situa-
ciones totalmente nu evas en las qu e los trabaj adores tienen qu e improvisar
un curso de acción viable pro cesa ndo el conocimiento a su alca n ce.
Cuando los individu os que afi-ontan esa coyuntura poseen eleva das habi-
lidades y una vasta experiencia (como el capitán Al H aynes) parece hab er
aproximadam ente un 50% de probabilidades de qu e den con las respues-
tas acertadas. En la mayoría de los casos, sin embargo, las probabilidades
son mu cho más baj as .
Aunque exista n pro cedinuentos escritos para una tarea concreta, no
tienen por qué ser necesariamente idóneos para , o aplicables a, la situación
lo cal. En el sec tor de la energía nuclea r, por ej emplo, en torno al 60% de
los probl em as de actuación humana ti enen relación co n pro cedimientos
defi cientes . Los procedimientos inadecuados o inaplicables so n co ndicio-
12 1
 4. La co ntribu ción humana

Diagrama 4.7 nes latentes que harán que la fuerza laboral pierda su confianza en los pro-
R esumen de los diversos comportamientos en relació n con las reglas cedimientos oficiales y los ignore por completo o siga procedimientos no
oficiales de su propia cosecha - llamados en algunos sectores «libros ne-
M ás del 50% groS» - . Ante un mal pro cedimi ento, el p ersonal ti ene dos opciones: se-
¿H abían previsto Improvisación, de probabilidad guirlo (un cumplimiento erróneo) o no (una infracción correcta).
los procedimi entos ¡"-_-.I elaboració n basada ~
de equivocaciones,
o la forma ción esa No en conocimientos El siguiente nivel del diagrama 4. 7 plantea esta pregunta: los bu enos
co n una alta proporción
tarea o situación?
de co misión de errores procedirnientos, ¿se cumplieron como se pretendía? Si la respu esta es «sí»,
hemos completado todas las etapas de una actu ació n correcta y con éxito.
Pero hemos visto que hay varios caminos por los que las acciones huma-
Sí nas pueden desviarse del que resulta preferible. Podemos come ter una

Condi cio nes
orga niza ti vas late ntes
¿Eran adecuados qu e suscitan falta de
los procedimi entos co nfianza en los
o la formac ión
procedimi entos y un a
para la ta rea
confianza mu cho mayor
en cuestió n?
en las prácticas de
r
C umplimiento equivocación relacionada con las normas. Por ej emplo, podemos malin-
erróneo terpretar la situación, no ser capaces de recono cerla como una excepción,
Sí
y aplicar una norma o pro cedimi ento adecuado p ara la mayoría de las si-
tuacio nes de este tipo pero no para ésta en particular. Segundo, podemos
¿Se siguió seguir alguna práctica informal de trabajo y cometer un incumplimiento
~ el procedimiento erróneo. Por último, podemos tener un desliz o sufrir un lapsus de m e-
deficiente?
moria , de modo que las acciones, aunque se prop onían seguir el pro ce-
dimiento, no salen com o se había planeado.

N°~I
trabajo informales,
Infracción Con esto hemos abarcado la mayor parte de los comportamientos hu-
,, correcta rfll
,, manos implicados en los accidentes organizativos. En el próximo capítulo
,, ~
·, ~~F nos centraremos en un solo tip o de error - las omisiones durante la ins-
,,

\r
Sí talación o recolocación de un dispositivo durante una operación de man-
,,
tenimiento- . Como veremos, la fi'ecuencia con que este tipo de error
" Desliz o lapsus
\ basado en contribuye a que sucedan accidentes organizativos justifi ca sobradam ente
~.:' esta detenida atención .
\~o
habilidades
\---____,_-...___ ,f:>.H
¿Se sigu ió algún ¿Se siguió alguna o tra
¿Fuero n seguidos ¡..-_. .I otro procedimi ento ~ práctica info rmal
como se pretendía? No fo rmal? No de trabaj o'

Sí
Sí
I , [ Incumplimiento
Sí
.......... [ erró neo l.
Equivocación
Actuación basada en reglas:
correc ta y co n aplicación
éxi to equivocada de
una regla
acertada ~!!

12 3
 5
El mantenimiento puede causar graves daños
a su sistema

PELIGROSOS ENCUENTROS A CORTA DISTANCIA

EN EL CAPÍTULO 3 ANALIZAMOS algunos de los problemas qu e crean los sis-

temas automatizados en el marco de las tecnologías modernas. Alejar a las
perso nas de los procesos qu e, en principio, controlan reduc e la cantidad
de conta cto «directo », y con ello los desli ces, lapsus, tropiezos o torp ezas,
pero aumenta también la probabilidad de cierto tipo de equivocaciones
-especialmente, las confusiones de modo- qu e pueden tener conse-
cuencias aún más desastrosas que las qu e los diseñadores intentaban pre-
Ve 11lL
En este capítulo analizamos el polo op uesto del espectro «llU11ediato-
distante», las actividades relacionadas con el mantenimiento, donde la can-
tidad de co nta cto direc to entre seres humanos y sistema ciertamente no
ha disminuido; en algunas áreas , de h ech o, ha aumentado. El término «ac-
tividades relacionadas co n el mantenimiento» inclu ye las reparaciones no
programadas, las inspecciones, el mantenimiento preventivo programado,
la calibra ción y las pru ebas y comprobaciones.
Sostendré que estos encuentros cercanos con los componentes técni-
cos de un sistem a probablemente constitu yen el mayor problema indivi-
dual de actuación humana a que se enfrentan la mayoría de las tecnologías
de alta peligrosidad. Por eso mismo, ofi:ece también la mayor oportuni-
dad de mejorar los facto res humanos. Los errores de los pilotos, los ope-
radores de salas de co ntrol u otro personal de «primera línea» pu eden
alladir los toques finales a un accidente organiza tivo p ero, a menudo, son
las co ndi ciones latentes creadas por lapsus de mantenimiento las que o
bien ponen en marcha la secuencia del accidente o desbaratan los inten-
tos de recuperación.
Este capítulo ofi'ecerá evidencia en apoyo de las siguientes afirmaciones:

125
La gestión de los g randes ri esgos
- H a habido un gran número de accidentes organizativos donde los fa-
llos de m antenimiento han constituido una causa significa tiva o un
factor agravante.
- De los tres tipos de actividad humana que son universales en las tec-
nologías de alta peligrosidad,el control en condiciones normales, el
control en circunstancias de emergencia y las actividades relacionadas
con el mantenimiento, es el último el que constituye el mayor pro-
blema en relación con los fa ctores humanos.
- D e los dos componentes principales del mantenimiento, el desmon-
taj e de los componentes y su subsiguiente remontaje, es este último el
que concita, con gran diferencia, el mayor número de errores.
- De los diversos tipos de errores posibles asociados al remontaje, la ins-
talación o recolocación de componentes, las omisiones, el fallo con-
sistente en no realizar algún paso nec esario de la tarea, constituye el
tipo de error más frecuente e imp ortante.
Dedicaremos principalmente nuestra atención a la aviación y la gene-
ración eléctrica m ediante energía nuclear porque estos dos sectores ofre-
cen los datos m ej or docul11.enta dos sobre fa llos rela cionados con el
mantenimiento. Pero no son casos especiales. No hay motivo para sup o-
ner que los mismos patrones de sucesos no estén presentes en todas las tec-
nologías de alta p eligrosidad. Con independencia del sector, las actividades
relacionadas con el mantenimi ento comparten un gran número de ca-
racterísticas, en particular la retirada y recolocación de componentes; ade-
más, por supuesto, todas ellas comportan encuentros cercanos con la mano
humana.Y es la fi'ecuencia de ese contacto, y por ende la mayor oportu-
nidad de error, más que cualquier posible falta de competencia por parte
del personal de m antenimiento, la que constituye el núcleo del problema.
Exploraremos luego algunas de las formas en qu e es posible gestionar
esos frecu entes fallos. No obstante, existe un remedio más básico: que los
diseñadores y los fabricantes adviertan que hoy el riesgo de que un com-
ponente «débil» falle por falta de mantenimiento puede ser considerable-
m ente m enor que el riesgo de que un componente «sano» resulte dañado
u omitido durante alguna operación de m antenimiento.
ACCIDENTES ORGANIZATIVOS y FALLOS DE MANTENIMIENTO
No es posible ni necesario ofi-ecer una lista exhaustiva de todos los acci-
dentes organizativos en los que los fallos relacionados con el m anteni-
126
5· Elmanteninu ento puede ca usar graves daños a su sistema
Illiento han tenido parte. Basta para nuestros propósitos presentar algunos
ej emplos bien do cumentados procedentes de distintas tecnologías de alta
peligrosidad.
Apolo X III
Poco después del lanzamiento del Apata X III, el 11 de abril de 1970, ocu-
rrió una explosión en el módulo de servicio que abrió una brecha en su
costado ' . La explosión se originó en el interior de un depósito de oxígeno
líquido. La provocó el hecho de que la tripulación activase un conjunto
de paletas rotatorias diseñadas para remover esa sustancia a intervalos a lo
largo de la misión. Poco antes del inicio de la misma, las paletas habían su-
perado una comprobación, en cuyo curso habían sido conectadas a una
fuente de suministro eléctrico equivocada, cuyo efecto hl e que se quemase
el material aislante de los cables de la alimentación eléctrica del disposi-
tivo, lo cual, a su vez, convirtió el depósito de oxígeno en una bomba a
la espera de detonar tan pronto como alguien pulsara el interruptor de en-
cendido de las paletas; cuando así ocurrió, una chispa hizo defla grar el
oxígeno líquido. El resto, como suele decirse, es historia. La nave espacial
circunvaló la luna y la tripulación - los astronautas Lovell, H aise y Swi-
gert- usó el sistema de soporte vital del módulo lunar durante la peli-
grosísima reentrada en la atmósfera de la Tierra. Éste fu e uno n'lás de los
mu chos episodios en que la p ericia de la tripulación, ac tu ando como úl-
tima línea de defensa, evitó el desastre que podía haber seguido a la emer-
gencia iniciada por un fallo de mantenimiento.
Flixborough
En 1974, en la N ypro Factory de Flixborough una tubería provisional falló
y lib eró 50 toneladas de ciclohexano a alta temperatura que al mezclarse
con el aire hicieron explosión, destruyendo la fábrica y matando a 28 p er-
sonas 2 . N ormalmente, el proceso de producción empleaba seis reactores en
serie, unidos entre sí por una línea corta de unos 70 centímetros de diá-
metro con hlelles de expansión en los extremos. Dos meses antes del de-
sastre apareció una grieta en una vasija - la número cinco de la serie- y
1. Euciclopedia Británica, Macropaedia , vol. 17, p. 367, 1980.
2.T.A. Kletz, HIlIat Hlent Wrol1g: Case Histories cif Process Pla/1.t D isasters, Houston, Gulf
Publishing Company, 1985.
12 7
La gesti ón de los g randes ri esgos
hubo que retirarla; se la sustituyó por una tub ería improvisa da de unos
50 centímetros de dián'letro que conectaba las vasijas cuatro y seis. La sus-
tentación de la nu eva tub ería era inadecuada y, además, como se la encajó
en los fuelles existentes, de mayor diámetro, teIna holgura para desplazarse
o «culebrear» cuando la presión se elevaba por encima de lo normal - lo
qu e fue la causa de la emisión del ciclohexano a la atmósfera.
Three Mile Island
En el accidente de la central nuclear de Three Mile Island, ocurrido el 28
de marzo de 1979, concurrieron dos fallos de mantenimiento indepen-
dientes entre s? Uno desencadenó la emergencia, el otro retrasó la recu-
peración. El primero ocurrió cuando una brigada de mantenimiento
intentaba renovar la resina usada en el tratamiento del agua de la central.
Una pequeña cantidad de agua se filtró al interior del sistema de aire a pre-
sión de algunos ins trumentos de la central, causando que se p arasen las
bombas de alimenta ción de agua. Eso cortó el suministro de aaua al bae-
~ b
n erador de vapor e hizo que se detuviese la turbina y que el calor del sis-
tema de refri ge ra ción primario dejase de transferirse al agua fría del
sistema secundario. En ese mismo instante entraron en funcionamiento
automáticamente las bombas de alimentación de aaua de emeraencia·
b ti'
pero el agua no podía circular por las tuberías co nectadas a los depósitos
de almacenamiento de agua de em ergencia porque sus válvulas estaban
cerradas; las habían dejado así, por error, durante unos trabajos de mante-
nimiento efectuados dos días antes. Sin refi·igeración alguna, se produjo un
rápido aumento de la temperatura y la presión en el núcleo ca usó qu e el
reactor entrase en parada -las barras de control descendieron automáti-
camente entre las barras de combustible del núcleo, absorbiendo los neu-
trones emitidos y deteniendo la reacción en ca dena-o No obstante, como
los materiales radiactivos siguen produ ciendo calor naturalmente, la tem-
peratura y la presión del núcleo continuaron aumentando, lo que hizo
que entrase en acción una válvula automática de alivio de presión. Su
apertura debía haber sido temporal, pero se atascó; se creó así un agl~ e ro
en el sistema primario de refrigeración por el qu e el agua radiactiva a alta
presión pasó al área de contención, y desde allí al sótano. Hicieron falta
aún otras 16 horas para devolver la central a un estado seguro.
3.Johl1 Kem eny" The Neerlfo r C!wllge:Th e Legac)' ofTMI. Reparl aflhe Presirlelllia/ COII/-
lI/issiOIl al Three lVIi/e ls/allrl, Nueva Yo rk , Pergamon , "1979.
128
5. El manterlllTll ento puede ca usa r graves dalios a su sistema
Vuelo American Airlines 191, Chicago O'Hare
La tarde del 25 de mayo de 1979, víspera del Día de los Caídos un DC-
10 de American Airlines salía hacia Los Ángeles 4 .Justo antes de adop tar el
ángulo de despegue, algunas piezas del motor de babor salieron despedi-
das del aparato; poco después el motor entero y su pilón de fijación se des-
prendieron y cayeron sobre la pista. El DC-lO continuó su ascensión, pero
a 90 metros de altura comenzó a escorarse marcadamente hacia la iz-
quierda . La escora aumentó y el morro del avión empezó a inclinarse rá-
pidamente hacia abajo. Segundos después el aparato se estrelló contra el
suelo y explotó. Murieron las 271 personas que viajaban a bordo. Los in-
vestigadores del accidente descubrieron grietas y fi·a cturas de fatiga en el
pilón del motor. Una deformación en forma de media luna en el reborde
superior de un panel del pilón sugería la fuerte sospecha de que alguien .
lo había dúiado al retirarlo o al volverlo a montar en el ala durante una
operación de mantenimiento. La investigación descubrió que el motor y
el pilón de babor habían sido desmontados ocho semanas antes para sus-
tituir sus cojinetes autodireccionables, ob edeciendo a un boletín de man-
tenimiento de McDonnell Douglas . Como resultado de este hallazgo, la
Agencia Federal de Aviación tomó la medida sin precedentes de prohibir
el despegue de todos los DC-l0 matriculados en los Estados Unidos para
profundizar la investigación. Su insp ección reveló que seis DC-lO su-
pu estamente en condiciones de servicio tenían fi·acturas similares en el
reborde sup erior de los paneles traseros de sus pilones. Cuatro de esos
aparatos pertenecían a American Airlines, los otros dos a Continental Air-
lines. Posteriormente se descubrió que ambas compúiÍas habían elabo-
rado procedimientos especiales para efectuar la sustitución de los cojinetes
autodireccionables de los paneles delanteros y traseros , tal como exigía el
boletín de manteninuento del fabricante. Aunqu e éste aconsejaba que los
motores fueran desmontados antes que los pilones, ambas aerolíneas ha-
bían diseI1ado una téCluca qu e creían más efici ente: desmontar motor y
pilón como una sola Uludad. Los investigadores llegaron a la conclusión
de qu e la caída del motor y el pilón fueron resultado del daño infligido
por esos pro cedinuentos de manteninuento inadecuados.
4. M.Job, Air Disasler, Vol. 2,Westo n Creek, ACT: Aerospace Publications Pty Ltd, 1996,
cap. 4, pp. 47-60.
12 9
La gestió n de los grandes riesgos
Bhopal
La noche del 2 al 3 de diciembre de 1984 una fuga de iso cianato de me-
tilo en una p equ eña fábrica de plaguicidas devastó la ciudad india de Bho-
pal, matando a 2500 personas y causando lesiones a muchos miles más s.
La causa inmediata de la emisión fue la entrada de agua en un depósito
de almacenaje de iso cianato de metilo. La alambicada historia de cómo
llegó allí incluye un mantenimiento chapucero, tuberías de conexión im-
provisadas, defensas fallidas, sequía y deficiente toma de decisiones por
parte de la dirección de la empresa y de los responsables políticos. Los fa-
llos de mantenimiento que contribuyeron al desastre incluyeron una chi-
m enea de seguridad de quemado de gases desconectada, una planta de
refi:igeración que no funcionaba y la incapacidad de limpi ar tuberías y
válvulas con regularidad.
Vuelo JL 123 de Japan Air Lines, Monte Osutaka
El 12 de agosto de 1985 un Boeing 747 de JAL, en vuelo nacional, se es-
trelló en un costado del lTlOnte Osutaka, unos 100 kilóm.etros al oeste del
aeropuerto Huneda de Toki0 6 . La cifra de fallec idos fue la más alta de la
historia en el accidente de un solo avión. Tras una larga y penosa investi-
gación, se demostró que la causa principal del accidente había sido una
reparación chapu cera del fuselaje efectuada más de siete años antes . Al
ajustar en su lugar la sección reparada de un mamparo de presión, parte
del montaje se realizó incorrectamente. En una pequeI'ia sección de la
unión se emplearon como refuerzo dos planchas distintas en lugar de una
sola plancha sólida . La separación entre las dos planchas supuso que la
unión estuviese sujeta por una sola hilera de remaches, en lugar de dos,
5.Véanse las fu entes citadas en el capítulo 3, p. 90 Para dos exposiciones contrapues-
tas del mismo suceso, véanse también Union Carbide, Bh.opal jVfeth.yl Isocynate II'lcident In-
vestigation Teal1l R epo rt, Danbury, Uníon Carbide Corporation, marzo de 1985, y W
Morehouse y M.A. Subramanian, The Blwpal Tingedy, Nueva York, COllncil on International
and PublicAffaires, 1986Véase iguaLllente P. Shrivastava, Bhopal:Anatol'l1Y of a Crisis, Cam-
bridge, MA, Ballinger Publishing Company, 1987. Para una exposición co mparativa lTlL1y
perspicaz véase asimismo N. M eshkati, "An etiological investigation of micro- and macro-
economic factors in the Bhopal disaster: lessons for industries of both industrialized and
developing countries», Inter/'/Otional journal of Inml5lrial E lgonomics, 4,1989, pp. 161-175, Y N.
Meshkati, "Human factors in large-scale technological systems' accidents: Three Mile Is-
land , Bhopal, Chernobyl», Industrial Crisis Qllarterly, 5,1991 , pp. 133-154.
6. M .Job, Air Disaster, vol. 2, op. cit. , cap. 10, pp. 136-153.
130
5. El mantenimiento puede causar graves dat'i.os a su sistema
lo que redujo su resistencia a la fatiga en torno a un 70%. Los controles
efectuados en las revisiones de mantenimiento posteriores no detectaron
estos problemas, principahnente porque la zona donde se realizó esa unión
era inaccesible a las inspecciones visuales.
Piper Alpha
El desastre de la Piper Alpha, ocurrido la tarde del 6 de julio de 1988,
provoCó la muerte de 165 de las 226 personas a bordo de esa plataforma
de extracción de petróleo y gas en el M ar del Norte, Junto con dos trI-
pulantes de uno de los barcos de rescate 7 . La explosión fue consecuencia
de una fuga de condensado ocurrida cuando los trabajadores del turno de
noche intentaron volver a poner en marcha una bomba que había sido
apagada para efectuar labores de mantenimiento. Los operarios descono-
cían que se había retirado una válvula de presión de seguridad de la tu-
bería de alivio de presión de la bomba y que la plancha plana que se había
encajado en su lugar no era estanca. Su desconocimiento era fruto de fa-
llos de comunicación en el cambio de turno, ocurrido unas horas antes,
sumados al fallo del sistema de autorización para iniciar trabajos respecto
al mantenimiento de la válvula.
Clapham Junction
A las 8:10 de la mañana del 12 de diciembre de 1988 un tren procedente
del extrarradio norte de Londres chocó contra otro tren detenido en una
zanja justo al sur de la estación de ClaphamJunction. Poco después, un ter-
cer tren que se dirigía hacia el sur se estrelló contra los restos del primeros.
Hubo 35 muertos y 500 heridos. La causa inmediata del choque fue una
señal que no debía estar en verde y que ocultó la presencia del convoy de-
tenido al maquinista del tren procedente del norte hasta que flle demasiado
tarde. Ese fallo se debió directamente al modo de trabajar del mecánico en-
cargado de renovar el cableado de la señal el día anterior. En lugar de des-
conectar o agavillar los cables viejos, se limitó a echarlos a un lado. También
7. The Hon. Lord. C llllen, Public Inquiry irlto the Piper Alplw Disoster, Department of
Energy, Londres, HM SO, 1990.
8. A. Hidden, Irwestigatiol1 into the Clapham jlll'lction Railway Accident, D epartment of
Transport, Londres, HM SO, 1989.Véase tambi én C. Perin, "British Rail: the case of the un-
rocked boat» , comentario orrecido en un taller celebrado del 14 al 16 de mayo de 1992 en
Bad Hamburg bajo el lema l\lfanaging Technological Risks il1 Industrial Societ)'.
13 1
La gesti ó n de los gran des ri esgos 5. El mantenimi ento puede causa r g raves dúi.os a su sistema

telúa la costumbre de reutilizar cinta aislante usa da , si bien en esta ocasión brayar qu e los errores de mantenimiento - como los fallos humanos en
prescindió por completo de ponerla alrededor de las terminaciones ex- cualquier otra esfera- son algo más qu e causas aisladas; son, a su vez, con-
pu estas de un cable. Como resultado, ese cable entró en contacto co n parte secuencia de fac tores organizativos o de condi ciones latentes.
del equipo próximo causando un fallo de la señal, que indicó lo qu e no
debía.
LAS ACTIVIDADES Y SU PROBABILIDAD RELATIVA DE SUFRIR
PROBLEMAS DE ACTUACIÓN
Phillips 66 Company
Hay muchas maneras de clasificar la actuación humana y sus errores aso-
A la una de la tarde del 23 de octubre de 1989 una gran explosión y el
ciados, cada una con sus propios usos y limitaciones . En el capítulo 4, por
m cendio que le sigui ó arrasaro n la planta de producción de gasolina de
ejemplo, identificamos tres ca usas principales del error humano: los des-
la Phillips 66 Company en el co mplejo quírni co Houston, en la localidad
lices y lapsus basados en habilidades, las equivocaciones basadas en las nor-
de Pasadena, Texas 9 Muri eron 23 trabajadores y más de 130 resultaron h e-
mas y las equivocaciones basadas en conocimiento. Esa taxonornía causal
ridos. Las pérdidas en cuanto a valor de la propi edad ascendieron a más
es útil para identificar los procesos m entales subyacentes , p ero es dificil
de 100 millones de dólares. La causa del accidente fu e una fuga de gases
de aplicar para los no esp ecialistas. Es mucho lTl.ás probable qu e, siguiendo
extremadam ente inflamables ocurrida durante unas operaciones regulares
su propio criterio, los inge nieros y los inspectores de calidad clasifiqu en
de mantenimiento en uno de los reactores de polietil eno de la fábr ica.
los problemas de ac tuación humana por sus consecuencias para el sistem a
En menos de dos minutos la nube de vapor entró en contac to con una
(por ej emplo, sl~ eci ones que faltan , instalaciones incorrectas, h erramien-
fu ente igni ción y explotó con una fuerza equivalente a 2,4 toneladas de
tas olvidadas y cosas así). Aunque los m eca nismos cognitivos subya centes
TNT. El personal de mantenimiento co ntrata do se ocupaba en retirar los
pueden resultar menos patentes, es ta clase de informa ción está fác ilmente
«tapones» de polietileno solidifica do qu e hubiera en las condu cciones de
disponible y su interpretación es sencilla.
la instala ción. E n el punto donde éstas se unían a las tub erías del reactor
Una de las ventaj as de las clasificaciones consecu en.cia/es es qu e suele
había una válvula de bola. Esas válvulas se mantenían abiertas durante la
hab er p ocas dudas sobre lo que estaba haciendo la p erso na en cues tión
produ cción para que las partículas de polietileno pudieran asentarse en las
cuando ocurrió el error. Como veremos luego, esta división p or actividad
condu ccion es, y se cerraban durante las operaciones de mantenimiento.
de los problemas de actuación puede ser muy reveladora.
En es ta ocasión la válvula estaba abierta por error: se había conectado al
Al examinar la diversidad de la actuación humana resulta útil com en-
revés la mangu era de aire que suministraba el aire a presión que abría y
zar por un conjunto de actividades prese ntes en todas las instalaciones de
cerraba la válvula (sus dos extremos eran idénticos) y cuando se puso el
tecnologías de alta peli grosidad . A quí ofrezco una lista preliminar:
mterruptor de accionamiento en posición de cierre la válvula se abrió.
A través de ella se produjo el escape de gases inflamables . - Control en circunstancias 1l0rn1.ales.
- Control en circunstancias fu era de lo normal o de emergencia.
En estas breves relaciones de accidentes organizativos inducidos por fallos - Mantenimiento, calibra ción y pruebas.
de m antenimiento hemos sacrificado deliberadamente el detalle en favor
En puridad, deb eríamos alladir a esta lista las actividades de prep ara-
del alcance. Nuestra intención ha sido transmitir cierta idea de la m edida
ción y aplicación de pro cedimientos, instrucciones, normas, regulaciones
en qu e los errores de mantenimiento han estado im.plicados en una gran
y controles administrativos, pero, puesto qu e los analizamos ya en el ca-
variedad de accidentes en muchos sectores diferentes. Pero debemos su-
pítulo anterior, aquí limitaremos nues tra atención a las tres actividades
arriba señaladas.
9. Occ upati o nal Safety and H ealth Admin istration (OSI-lA), The Phillips 66 CO II/patl)'
HO/lstol1 Chell/lcal CO II/plex Exploslol'l ami Fire, Washington DC, U S Department ofLabor A partir de esta lista de actividades humanas universales es posible rea-
(OSHA), 1990 . lizar una evaluación preliminar de la probabilidad relativa de que padez-

13 2 133
La gestión de los g randes ri esgos 5. El mantenimiento pu ede ca usa r graves daJ'ios a su siste ma

can problemas de actuación humana. Para ello, hemos de plantear tres
preguntas:
- La pregunta por la «manipulación directa». ¿Qué actividades comportan
más contacto humano direc to con el sistema y, por ende, ofrecen ma-
yores oportunidades de que ocurran fallos activos (errores e infrac-
ciones) que tengan efectos adversos sobre el sistema?
- La pregunta por la criticidad. ¿Qué actividades, en el caso de qu e se las
efectúe menos que adecuadamente, conllevan mayores riesgos para la
seguridad del sistema?
- La pregunta por lafrecuencia. ¿Con qué fre cuen cia se llevan a cabo estas
actividades en el curso del funcionamiento cotidiano del sistema en su
conjunto?
Sería razo nable suponer que una actividad qu e puntúe «alto » en cada
una de estas tres preguntas tendrá la mayor probabilidad de sufrir pro-
blemas de actuación humana. La tabla 5.1 resume los resultados de este
análisis.
Atlanta, y el tercero por el Instituto Central de Investigación del Sector
de la Energía Eléc trica (Central Resea rch Institute for the Electrical
power Industry, CRlEPI) de Tokio. La fu ente de datos de las investigaciones
dell NPO fu ero n los informes de sucesos significativos prese ntados por las
centrales eléctricas nucleares estadounidenses . En el primer estudio del
1N1'O, 87 sucesos significativos se retrotraj eron a 182 causas primordiales lO;
en el segundo, se identificaron 387 causas primordiales a partir de 180 in-
formes de su cesos significativosl 1 . Los datos del estudio japonés se extra-
·eron de 104 informes estándar de sucesos pro cedentes de las centrales
J !?
vinculadas al c RJEPI -.
Los datos avalan el análisis anterior. En los tres estudios , más de la mitad
de los problemas de actuación identificados estaban relacionados con ac-
tividades de mantenimiento, comprobación o calibración.
Tabla 5.2
Compilación del resultado de tres estudi os que mu estra las relaciones entre
ac tividades y problemas de actuación

Tabla 5.1 Proporciones medias de problemas

Actividades Intervalos (%)
de actuación (% del total)
Probabilidad relativa de problemas de actuación humana en actividades
humanas universales Relacionadas con 60 55-65
el mantenimiento
Operaciones 16 8- 22
«Manipulación
Actividad Criticidad Fre cuencia no rmales
directa"
Operaciones de 5 2-8
Control en Baja Moderada Alta emergencia
normalidad
Control en M oderada Alta Baja
enlergencia
Relacionado con Alta Alta Alta
el mantenimiento
LA VULNERABILIDAD DE LA INSTALACIÓN

La siguiente pregunta inquiere en qu é asp ectos del mantenimiento, la

Las labores relacionadas con el m antenimiento -que puntúan «altO»
comprobación y la calibración es más probable que ocurra una actuación
en los tres criterios- aparecen como la actividad con mayor probabili-
humana por debajo de la adec uada. En todos los sectores, las actividades
dad de generar problemas de actuación humana de alguna clase. ¿Hasta
relacionadas con el mantenimiento exigen quitar suj eciones y desmontar
qué punto confirma esta predicción la evidencia disponible?
Los datos más relevantes provienen del funcionamiento de las centra-
10. INPO, A l/ Analysis oJ Root Ca l/ses in 1983 Significant EVel/1 Reporfs, IN PO 84- 027,
les nucleares . La tabla 5.2 ofrece una síntesis de los resultados de tres es- Atlanta, CA, [nstitute ofNu clear Power Operations, 1984.
tudios, dos de ellos llevados a cabo por el Instituto de Operaciones de la 11. INPO, A n Analysis cf Root Causes i/11983 al/d '/ 984 Significal/f Evenf R eports, INI'O 85-027.
Energía Nuclear (Institute of Nuclear Power Operations, INPO) , sito en 12. K. Takano, co mun.icación perso nal, 1996.

134 135
La gestión de los grandes riesgos
componentes, para después volver a montarlos e instalarlos. En conse-
cuencia , una ba ran parte de las actividades relacionadas con el manteni-
miento entran en las categorías de desmontaje o de instalación.
De nuevo, hay bases a priori para identificar una de estas tareas -la
instalación- como la que con más probabilidad concitará problemas de
actuación humana. El diagrama 5.1, que muestra un tornillo con ocho
tuercas marcadas cada una con una letra distinta, clarifica por qué es así.
Esa imagen representa, en m.iniatura, las labores de mantenim.iento: aquí
la tarea consiste en retirar las tuercas y volver a colo carlas en un orden pre-
determinado. En principio, sólo hay una forma de sacar las tuercas y cada
paso viene dado naturalmente por el anterior. Se trata de una tarea para
cuya realización todo el conocimiento necesario se encu entra «en el
mundo » n'lás que «en la cabeza»'3.
Diagrama 5.1
El ejemplo básico (tuercas y tornillos)
En el caso de la instalación, en cambio, existen más de 40 mil mane-
ras (factorial de 8) de volver a colocar las tuercas en un orden equivocado,
sin co ntar la posibilidad de una o más posibles omisiones.Y empeora aún
más la probabilidad de error el hecho de que muchas posibles omisiones
u ordenaciones erróneas pueden escapar a la detección durante el proceso
de remont;0e. En suma, la probabilidad de cometer errores durante la ins-
talación es muchísimo mayor que durante el desmontaje, al tiempo que
las posibilidades de detectarlos y corregirlos son mucho menores.
13. La distinción entre conocimiento en el mundo y conocimiento en la cabeza pro-
cede del excelente Libro de Don Norman, The Ps)'cholog)' oj EIJeryda)' TllÍl'lgs , Nu eva York,
Basic Books, 1988 [trad. cast.: La psicología de los objetos cotidiallos, Nerea, Madrid, 1990].
13 6
5· El mantenjmjento pu ede ca usar g raves daJ'ios a su sistema
La evidencia disponible respalda la predicción de que la instalación
será especialmente vulnerable a los errores.Véase a continuación la lista de
las siete primeras causas de 276 paradas de motor en vu elo (iriflight engine
slwtdown, IFSD) en aparatos Boeing '4 .
- Instalación incompleta (33%).
- Dúíos infligidos durante la instala ción (14,5%).
- Instalación inadecuada (11%).
- Equipo no instalado o ausente (11%).
- Dúío causado por un obj eto extrúío (6,5%).
- Aislamiento, inspección o comprobación inadecuadas (6%).
- Equipo no activado o desactivado (4%).
Los datos muestran que las cuatro categorías causales más frecuentes las
ocuparon diversas formas de instalación deficiente que,juntas, suman más
del 70% de los factores que contribuyeron a causar los accidentes. Pratt y
Whitney (1992) llegaron a resultados comparables en su inves tigación de
120 IFSD ocurridas en aparatos Boeing-747 en 1991 15 . En este estudio, los
tres factores causales más fi.-ecu entes fueron las piezas ausentes, las piezas
inadecuadas y la instalación incorrecta. En un estudio de la Autoridad de
Aviación C ivil británica sobre toda clase de deficiencias de manteni-
miento, el problema más frecuente fue la instalación incorrecta de com-
ponentes, segu ida por la colocación de piezas inadecuadas, los errores en
el cableado eléctrico y los objetos sueltos (como por ejemplo herra-
lIlientas) olvidados en el aparato l6 .
EL PREDOMINIO DE LAS OMISIONES
¿Qué tipo de error es más probable que ocurra durante las actividades re-
lacionadas con el mantenimiento y, muy especialmente, durante las labo-
res de instalación? Como mencionamos antes, la respuesta es las omisiones:
no realizar todas las partes necesarias de la tarea. Las omisiones pueden
consistir en olvidarse de reinstalar un componente o en no llevarse los ob-
jetos ;0enos (herramientas, trapos y cosas así) tras terminar el trab;0o.
14. Boeing, Mailltenallce Error Decisioll Aid, Seattle, Boeing CO ll1ll1ercial Ajrplan e
Group, 1994.
15. Pratt yWhitney, OpeJ/ COI/JI, número de marzo de 1992 .
16. United I(jn gdoll1 Civil Aviation Authority (UI< CAA) «Maintenance erron), Asia Pa-
cificA ir Sajet)', sep ti embre de 1992.
137
 5. El mantenimiento pu ede ca usar graves daños a su sistema
La gestió n de los g randes riesgos

- Dejar elementos sueltos o desconectados (11%).

Jens Rasmussen l7 analizó 200 informes de sucesos significativos publi-
cados en Nuclear Power Experience e identificó los siguientes como los cua-
tro tipos principales de errores:
- Omisión de actos funcionalmente aislados (34%).
- Otras omisiones (9%).
- Efecto(s) colateral(es) no tenido(s) en cuenta (8%) .
- Variabilidad manual, falta de precisión (5%).
Rasmussen identificó también las actividades asociadas más a m enudo
con las omisiones, a sab er:
- R eparación y modificación (41%).
- Comprobación y calibración (33%).
- Control de inventario (9%).
- Operación y control manuales (6%).
La investigación del INPO antes citada descubrió qu e las omisIOnes
constituían el 70% de todas las causas últimas de fallos de actuación hu-
man a y el 64 ,5% de los errores en tareas relacionadas con el manteni-
nuento l8 . Y halló también que el 96% de los procedinuentos defi cientes
incluían onusiones de algún tipo.
Por mi parte, he analizado los informes de 122 lapsus de manteni-
nuento ocurridos en una gran aerolínea a lo largo de un periodo de tres
aii.os. Su clasificación prelinunar dio como resultado la siguiente propor-
ción de tipos de errores:
- Onusiones (56%).
- Instalaciones incorrec tas (30%) .
- Piezas incorrectas (8%).
- Otros (6%).
¿Y qué se onute? Un análisis más detallado de los errores por onusión
produjo los siguientes resultados:
- Suj eciones total o parcialmente sin fijar (22%).
_ Dejar componentes bloqueados y/o pasadores de seguridad sin reti-
rar (13%).
- Tapas sueltas o ausentes (11%) .
17.]. Rasmusse n, «What can be lea rned from human error reports?», en K. Duncan,
M . Gruneberg y D. Wallis (eds.), Cha/'lges i/'l Work i/'/g Lije, Londres,Wiley,1980 .
18. INPO 85-027, op. cit.
- C omponentes ausentes (10%).
- Dejarse olvidadas herranuentas o suj eciones de repuesto (10%).
- Falta de lubricación (7%).
- Paneles sin colo car (3%).
Parece innecesario elaborar más la cuestión. Las onusiones represen-
tan la categoría m ás numerosa entre los errores relacionados con el man-
teninuento, que constituyen a su vez la clase más nutrida de problemas de
actuación humana en las centrales nucleares y probablem ente también en
la aviación - si bien todavía no disponemos de datos comparables que
pernutan contrastar es ta opinión.
LAS CARACTERÍSTICAS DE LAS TAREAS PROCLIVES A LAS OMISIONES
D esde un punto de vista analítico hayal m enos dos enfoqu es orientados
a obtener un m ejor conocinuento de las omisiones de mantetunuento:
uno busca identificar sus m ecanismos cognitivos subyacentes, el otro in-
tenta dilucidar qué aspectos de una tarea ocasionan que sea especialmente
proclive a las omisiones. Dificulta el primero el h echo de que una omi-
sión pueda surgir en muy variados pro cesos cognitivos que intervienen en
la planificación y ej ecu ción de una acción, como resume la tabla 5.3. Los
mecanismos subyacentes no son fáciles de establecer, tU siquiera por in-
trosp ección cuando es uno mismo quien incurre en la onusión; y cuando
fu e otra p ersona, en algún momento del pasado, pu ede ser imposible des-
cubrir las razon es subyacentes. La vía del análisis de la tarea, en cambio, es
más prometedora.
El acto de copiar un do cumento contenido en varias hojas sueltas en
una simple máquina fotocopiadora nos ofi-ece una ilustración cotidiana de
los p asos de una tarea proclive a las onusiones (véase el diagrama 5.2).
Existe eviden cia convincente de que la onusión m ás probable consiste en
olvidar bajo la tap a la última p ágina del original cuando uno se m arch a
con su copia completa - y el original incompleto.
H ay al m enos cuatro carac terísticas distintivas de la tarea de foto copiar
que se conj u gan p ara hacer muy probable esta onu sión - sin que im-
porte quién realice la tarea.
- El paso está aislado funcionalmente de las acciones precedentes . Antes,
la necesidad de retirar la página recién copiada para fotocopiar la si-
guiente inducía este ac to. Ahora, no hay página siguiente.

139
La gestión de los g randes ri esgos 5· E l mante nim.i e nto puede causar g raves daJ'i os a su siste ma

- La necesidad de retirar la última página del original ocurre cuando ya Diagrama 5 .2

se ha conseguido el fin principal de la acción -hacer una copia com- Una sencilla foto copiadora co n una elevada probabilidad de que uno se olvid e
pleta del documento- pero antes de terminar la tarea en sí. de retirar la úl tima página del original
- El paso ocurre cerca del final de la tarea. Los estudios sobre descuidos
por despiste en la vida cotidiana han mostrado que esos «finales pre-
maturos» son una forma corriente de omisión que puede ser inducida
por la preocupación por la tarea siguiente. Ahora bien, en un trabajo de
mantenimiento organizado en torno a una pauta de turnos de ocho o
doce horas no hay ninguna garantía de que el individuo que comienza
una tarea sea el nusmo que la ternune. E incluso cuando es la nusma
persona quien efec tú a la tarea completa siempre existe la posibilidad
de qu e le reclamen para otras obligaciones o le distraigan antes de aca-
bar la tarea.
- La última página del original está oculta bajo la tapa de la foto copia-
dora -el fe nómeno «fu era de la vista, fuera de la m ente».
La lista podría ampliarse con otros rasgos qu e, en el caso de caracteri- - Pasos que incluyen acciones o elementos que en otras tareas muy si-
zar a un paso dado de la tarea, podrían cOlTlbinarse entre sí y con los an- nlliares n o son necesarios.
teriores y aumentar la probabilidad de que dicho paso se onuta. Entre esas - Pasos que incluyen cambios introdu cidos recientemente en las prácti-
otras carac terísticas capaces de provocar omisiones se incluyen las si- cas preVIas.
guientes: - Pasos que incluyen la rep etición de acciones previas, dep endiendo de
las condiciones lo cales .
Tabla 5.3 - Pasos que incluyen la instalación de n'lúltiples componentes (por ejem-
Resumen de los posibles pro cesos cognitivos implicados en la omjsión de pasos plo, suj eciones, cojinetes, arandelas, separadores, etc.).
necesarios para la ej ecución de una tarea - Pasos que dep enden de alguna acción, circunstancia o estado ante-
nores.
Nivel de l fa llo Na turaleza del [.1 11 0 Tipo de faU o - Pasos que no siempre son necesarios en la ej ecución de esa tarea con-
creta.
Planificación a) Inadvertidamente se pasa por alto Error
un C0111pOnente necesario. Las actividades de m anteninuento están muy pro cedimentadas. Por lo
b) El componente se deja Infracción
deliberadamente fu era del plan tanto, será posible, en principio, identificar los pasos concretos más vulne-
de acción. rables a las onusiones deternunando el número de características proclives
Almacenaje de la La intención de Ueva r a cabo Lapsus a provocar onusiones qu e posee ca da paso discreto. Una vez id entificados
inten ción la acción no se recuerda
en el 111 0 111ento oportun o.
los pasos más propensos al error, pueden emprenderse acciones correcti-
vas para redu cir la probabilidad de que se los onuta .
EjeCllción Las accio nes no se siguen COIll0 Desliz
se tenía intención de que ocurriera
e in advertidamente se omite de la
secuenc ia un C0111pOnente necesario.

Vigilan cia El actor no detecta nj corrige la Desliz

o misió n precedente.
La gestión de los grandes riesgos
LAS CARACTERÍSTICAS DE UN BUEN RECORDATORIO
Diversos procesos cognitivos pueden contribuir a que se incurra en una
omisión, y su naturaleza concreta puede quedar oculta tanto para el actor·
como para el observador externo, mientras que los m edios para limitar su
futura recurrencia pueden ser relativamente sencillos y fáciles de aplicar
una vez que los pasos propensos al error han sido identificados. La con-
tramedida m ás simple es un recordatorio adecuado. ¿Qué características
debe poseer un buen recordatorio ? La lista que sigu e ofrece algunas su-
gerenClas.
- D ebe ser cap az de atraer la atención del actor en el momento crítico
(ser notorio).
- Debe estar situado tan próximo como sea posible, en el tiempo y en
el esp acio, al paso de la tarea que debe recordarse (to-be-remembered,
TBR) (ser contiguo).
- Debe suministrar información suficiente sobre cuándo y dónde debe
realizarse el paso TBR (ifrecer contexto).
- Debe informar al actor d e lo que debe hacer (¡frecer contenido).
- Debe permitir que el actor repase y compruebe todas y cada una de las
acciones o componentes discretos que deberían formar parte de una
correcta ejecu ción de la tarea (comprobar) .
Estas cinco características son criterios universales de un buen recor-
datorio y so n aplicables virtualmente a cualquier situación. Existen, no
obstante, varios criterios secundarios que podrían apli carse también en
muchas situaciones:
- Debería funcionar de manera efectiva en un amplio abanico de pasos
TBR (ser comprehensivo).
- Debería (cuando esté justificado y sea posible) bloqu ear la continua-
ción de la tarea hasta que se haya completado el paso previo necesa-
rio (ser constrictivo).
- Debería ayudar al actor a saber cuándo ha completado ya los pasos
necesarios. En otras palabras, debería co ntinuar existiendo y siendo
visible durante algún tiempo tras la ej ecu ción del p aso en cuestión
(confirrna/) .
- Debería ser fácil de retirar cuando el momento de la acción y de su
comprobación ha pasado -por ejemplo, uno no quiere enviar m ás de
una felicitación navideña a cada p ersona (finalizar).
5. El mantenimi ento puede ca usar graves daños a su sistema
La presencia de recordatorios no es una solu ción garantizada para el
problema de las omisiones. Pero -en el espíritu del kaizen"/9- sin duda
ayudará a reducir sustancialmente su frecuencia. Piense, p or ejemplo, cuál
podría ser el impacto del recordatorio que muestra el diagrama 5.3 sobre
la probabilidad de que usted se olvide de retirar la última página de un
original.
Diagrama 5.3
Ej emplo de un sencillo recordatorio que nunimi za el olvido
de la última página
RECO(jER.
LA ÚLTIMA
P¡((jINA
1 .......
....
- -
Cualquier redu cción semej ante en la mayor categoría individual de
error humano en el m antenimiento podría rendir sustanciales beneficios,
en vidas y en costes. Según un análisis de Boeing, el mantenimiento y los
fallos de inspección fu eron el segundo factor en la lista de causas de muer-
tes en vuelo -por detrás sólo de los accidentes en que, a pesar de contar
con control aéreo, el avión se estrelló contra el terreno- y causaron la
muerte de 1481 personas en 47 accidentes entre 1982 y 199120. No obs-
tante, es m ás probable que los costes de los fallos de mantenimiento se ex-
presen en términos d e dinero que de vÍctimas.Y las p érdidas pueden ser
muy altas. Una gran aerolínea ha calculado que sus pérdidas anuales atri-
19. Palabra japonesa que signifi ca "proceso de li berado, paciente y continuo de refina-
mi ento». Para una explicació n del significado profundo de la palabra , véase la novela de
Mi chael C ric hton, Risil'lg S/I/'I, p. 214 [trad. cast.: Sol naciente, Madrid, Debolsill o, 2004] .
20. R.A. Davis, "Human factors in the globalmarket place. Keynote Address» Anl1 /1al
Meeti/1g of tite Human Factors a/'ld E /gonO/nics Societ)', Seattle, WA, 12 de octubre de 1993.
I43
La gesti ó n de los g randes riesgos
buibles a lapsus de mantenimiento ascienden a unos 38 millones de dó-
lares 21. Se ha estimado, asimismo, qu e una parada de motor en vuelo puede
suponer pérdidas de hasta m edio millón de dólares en ingresos p erdidos
y reparaciones; la cancelación de un solo vu elo puede costar hasta 150 mil
dólares; cada hora de retraso en la platafo r ma de operacion es puede cos-
tar 10 mil dólares 22 .
D ebe advertirse que los recordatorios arriba descritos no son una so-
lución permanente al problema de las omisiones, sino, en el m ej or de los
casos, medidas de «primeros auxilios» con las que hacer frente a las dificul-
tades qu e sufre la actual generación de sistemas de alta peligrosidad - cuya
vida útil se prolongará todavía muchos úios en el futuro-oUna solución
más duradera sería el diseI'ío de componentes que sólo pudieran instalarse
de la forma correcta. Otra consistiría en que el sistem a se desactivase au-
tomáticamente cuando detectase la ausencia de determinadas piezas. Una
tercera solución, y más fundamental, estribaría en rediseúar las inspeccio-
nes de mantenimiento de modo que desapareciese la necesidad de contacto
humano directo. Como primer paso en la dirección de esta última posibi-
lidad, pasaremos revista a algunas de las razones económicas y de ingenie-
ría por las que no se efectúan tareas de mantenimi ento en absoluto.
LA JUSTIFI C AC IÓN DEL MANT ENIMIENTO
¿Por qu é no diseúar sistemas qu e no precisen mantenimiento ? ¿Por qué
no hacer que todas las piezas qu e componen un sistema duren exacta-
m ente lo mism.o -un lapso de tiempo igual a la vida planificada del sis-
tema co mo un todo- ? La respuesta estándar es que n o sería económico,
dada la complejidad y el coste de un sistema tecnológico moderno 23 . Por
eso, mu chos de sus comp on entes habrán sido diseúados co n una vida útil
mayor qu e la duración de su ciclo de producción más largo pero m enor
l'
qu e la vida plan eada del sistem a en su conjunto. A estos componentes
«débiles», identificados en la fase de diseúo, se los habrá hech o accesibles
y sustituibles; se llama a esto «carga de ma ntenimiento esp erada». Otros
con1.ponentes fallarán de forma no planificada, sin embargo, como resul-
21. Boeing, oj!o cit.
22. R. C. Graeber, «T he value of human fac to rs awareness for ai rline managem ent»,
po nencia presentada al congreso sobre Human Fac tors fo r Aerospace Leaders, Royal Ae-
ro nautical Soci ety, Londres, 28 de mayo de 1996.
23. A. Kell y, Mnill lellnl/ce Plalll/illg al/ d Cor¡trol, Londres, Butterworths, 1984.
144
5. El man tenimiento puede causa r g raves da iios a su sistema
tado de equivocaciones en su diseúo o de una inadec uada manipulación
operacionaL Esto co nstituye la «carga de mantenimiento n o esp erada» .
Am bas están interrelacionadas: si no se logra atender a la carga de m an-
tenimiento esperada, se necesitará una inversión mayor y más costosa de
recursos en m antenimiento para afrontar los fallos inesp erados . El dia-
grama 5.4 resume esta interacción .
Di agrama 5.4
Característi cas del deterioro de un ítem n1.ecánico simple (basado en Kelly)
I
Recursos necesari os
Fallo de la unidad
para devolver la unidad
a un nivel acep table
Zona
Zo na de mantenimi ento de mantenimie nto
preve ntivo (mante nimie nto correctivo
plani fica do, servicios en rampa,
inspección , aj ustes meno res)
Tiempo q ue lleva opera tiva la unidad
(desde su prilll.era instalación o su último mantenimi ento)
Una vez se rebasa la «curva de recursos» el coste de devolver la uni-
dad - y, por ende, el sistema- a un nivel aceptable crece espectacular-
mente. Trabajar en la zona de mantenimiento preventivo tiene muchas
ventaj as: es m ás económico, atiende la carga de mantenimi ento esp erada
y, al prevenir fallos, redu ce mu cho la carga de m antenimiento no esperada.
El diagram a 5.5 resume la visión ortodoxa en ingeniería: muestra cóm o
determinar el nivel óptimo de mantenimiento preventivo: coincide con
el nivel más bajo del coste de mantenimiento co njunto (suma de los cos-
tes respectivos de ambas fo rmas de mantenimiento).
Por desgracia, es ta ortodoxia da p or supues to que todas, o cu anto
menos la m ayoría de las actividades de m antenimiento, son esencialmente
benignas ; mas supongamos que el mantenimiento preventivo no siempre
prevenga los fallos y que el mantenimiento correctivo no siempre los co-
rrij a; que, en realida d, ambas actividades tengan un alto p otencial p ara
ca usar serios daúos, tornando inoperantes componentes previam ente fi a-
bles o sim plem ente no reponiéndolos.
145
La gestión de los g randes riesgos
Diagrama 5.5
Relación entre el nivel de mantenimiento preventivo y el coste total de
mantenimiento -indicado por la línea de puntos
I
Coste
\
\
\~~~---,
\ Nivel óptitno
"\ de ll1an teninuento
\ " preventivo
,-------,::---"'----, "
Coste Coste
de mantenimiento de mantenimi ento
correctivo preventivo
Nivel de manteni mi ento preventivo
El diagrama 5.6 contempla la cuestión del m antenim.iento desde una
perspectiva más amplia -que incluye los factores humanos, además de los
técnicos- oEl diagrama representa (de forma muy especulativa) los ries-
gos qu e suponen para el sistema (a) el descuido del mantenimiento y (b)
la probabilidad de errores en el mantenimiento preventivo o correctivo.
La segunda dimensión se basa en el supuesto de que la probabilidad de
error aumentará como una función lineal de la cantidad de actividad
de mantenimiento. Como sólo una proporción relativamente pequeña de
las acciones humanas son erróneas, el riesgo de fallo humano nunca su-
p erará un valor bastante bajo. No obstante, como veremos luego, no es el
valor absoluto lo que importa, sino la proporción relativa entre el des-
cuido del mantenimiento y el riesgo de errores de mantenimiento. Su-
pongo también que el riesgo de estos errores no cambiará de forma
sistemática con el paso del tiempo : la tecnología progresa, pero la falibi-
lidad humana sigu e siendo la misma.
D e otro lado, en m arcado contraste, es probable que los riesgos deri-
vados del descuido del mantenimiento disminuyan constantem ente con
la mejora de las técnicas de fabricación y de la fiabilidad intrínseca de los
materiales. Las diagonales y la flecha punteada que apuntan hacia la es-
quina inferior izquierda del dibujo representan esto en el diagrama 5.6;
cada línea de la serie corresponde a una fase en la mejora de la tecnolo-
gía. Queda claro que si un nivel de mantenimiento dado -determinado
5· El mantenimiento puede ca usar graves dailos a su sistema
Diagrama 5.6
COlTlparación de los riesgos para el sistema por un fallo de componentes
debido a (a) descuido del mantenimiento y (b) errores cometidos
durante el mantenimiento
I Probabilidad de que
un compone nte fall e
Probabilidad
debido a descuido del P robab ilidad de que un
de fallos de
mantenimiento compone nte falle o falte
debido a un error de
mantenimiento
Nivel de actividad de mantenimiento (cantidad de contac to humano directo)
La serie de diagonales que se acercan progresivamente a la esquina inferior izquierda representan
la creciente fiabilidad de los compon entes co n el paso del tiempo.
por las consideraciones económicas y de ingeniería arriba mencionadas-
permanece relativamente constante en el tiempo, pronto se alcanzará un
punto en el que los peligros del sistema vendrán a estar dominados por
una tasa de error incluso relativamente baja.
Los datos antes citados sobre p aradas de motor en vuelo muestran que
todos los factores contribuyentes más comunes están asociados a fallos
humanos, más que a fallos técnicos «no asistidos» . Por supu esto, podría
alegarse que la aplicación de las pruebas no destructivas y otras técnicas
avanzadas de diagnóstico permiten a los ingenieros aeronáuticos identifi-
car fallos técnicos poten ciales antes de que sucedan durante el vuelo, lo
que convierte a los errores humanos en la primera categoría residual de
fallo. Bien puede ser así, pero eso no altera el hecho de que el contacto
humano regular con los entre 4 y 6 millones de piezas extraíbles de un
aparato moderno comporta un nivel de riesgo inaceptable.
Irónicam ente, una de las presiones que sostiene este elevado nivel de
contacto en el mantenimiento es el carácter decisivo de la seguridad en
estos sistemas. Para la aviación comercial, para la generación eléctrica que
emplea energía nuclear o para las plantas de proceso químico sufrir una
avería catastrófica es inaceptable. Debe hacerse todo lo posible -y cons-
1 47
 t
La gestión de los grandes riesgos
tatar que se ha hecho- para preservar la integridad y la fiabilidad de estos
sistemas. Pero, como hemos visto, el contacto con el operario de mante-
nimiento puede dañar tanto como sanar y en algunos sistemas modernos
parece haberse alcanzado el punto en que los riesgos de lo primero pue-
den superar a los beneficios de lo segundo.
CONCLUSIONES
Los rápidos avances tecnológicos experimentados por los sistemas de alta
peligrosidad no han traído sólo la sustitución del control humano por or-
denadores, sino también mejoras sustanciales en la fiabilidad del equipo
y los componentes, algo que se ha logrado gracias a materiales y proce-
sos de fabricación mejores y a la amplia difusión de técnicas de diagnós-
tico refinadas. No obstante, el cronograma de mantenimiento de un avión
moderno o de una central nuclear continúa exigiendo el desmontaje, ins-
pección y remontaje repetido de millones de piezas extraíbles a todo lo
largo de la extensa vida útil del sistema. Hace 20 o 30 aÍlos, el resultado
probable de estas inspecciones habría sido la frecuente detección y susti-
tución de componentes estropeados . Es casi seguro que en aquellos días
el riesgo debido a defectos intrínsecos de ingeniería era mayor que los pe-
ligros creados por el hecho de perm.itir el acceso a las vulnerables entra-
ilaS del sistema a verdaderas legiones de falibles humanos . Hoy en día la
balanza se inclina del lado opuesto.
La mayor amenaza que encaran las tecnologías modernas proviene de
las personas y muy especialmente del bien intencionado pero con fre-
cuencia innecesario contacto físico que exigen unas agendas de mante-
nimiento anticuadas. N ecesitamos urgentemente, por parte de los
diseiiadores y de los fabricantes de sistemas, una mayor conciencia de la
diversidad de la falibilidad humana y de la naturaleza inductora de erro-
res de gran parte de las tareas de mantenimiento - en particular durante
la instalación o el renlOntaje-. Sobre todo, han de convencerse de que
el mantenimiento puede ser, además de una defensa necesaria, una seria
amenaza. Hasta que los sistemas se diseñen y construyan con estas cues-
tiones en mente, un buen p ersonal de mantenimiento seguirá contribu-
yendo a provocar lamentables accidentes organizativos.
6
N avegar por el espacio de seguridad
EVALUAR LA SEGURlDAD
E STE C APÍTULO TRATA DE LOS PRIN C IPIOSsubyacentes a la medición de la se-
guridad. (Examinaremos las propias medidas y su aplicación en el próximo
capítulo). En particular, se ocupa de la evaluación de la «salud» de la segu-
ridad de los sistenus tecnológicamente complejos que - en virtud de sus
defensas multiestrato- sufren un número relativamente bajo de acciden-
tes graves. Volveremos también sobre una distinción que introduj e en el ca-
pítulo 4, y que discrimina entre procesos y resultados.
En lo referente a la constricción del comportamiento humano a cur-
sos de acción seguros y productivos, la mayoría de las organizaciones se
inclinan por los controles de procesos basados en reglas , regulaciones y
procedimientos (véase el capítulo 4). Sin embargo, en la gestión de la se-
guridad del sistema, lo op uesto es la norma. La mayoría de las organiza-
ciones que efectúan operaciones peligrosas se apoyan en gran parte en
medidas de resultados o, más concretamente, en medidas de resultados ne-
gativos que registran los sucesos adversos como las pérdidas de tiempo de
operación o las víctimas.
Desdichadamente, los datos de resultados son un indicador poco fia-
ble de la fiabilidad intrínseca de un sistema. Así es, especialmente, cuando
el número de sucesos adversos ha caído hasta un valor asintótico bajo, en
torno al cual las pequei1as fluctuaciones que se producen en sucesivos pe-
riodos de registro son más (,ruido» que «sei1al». En muchos sistenlas bien
defendidos , esos datos son demasiado escasos, y llegan demasiado tarde
para guiar con efectividad la gestión de la seguridad. De hecho, algunas
tecnologías modernas se han convertido en víctimas de su propio éxito:
ha prescindido en buena parte de las medidas convencionales de resulta-
dos que solían orientar la seguridad del sistem.a. En la aviación comercial,
por ejemplo, el riesgo de accidente se ha mantenido virtualmente cons-
149
La gesti ón de los grand es ri esgos 6. N avega r por el espacio de seguridad

tante durante los últimos 25 años en torno a una media mundial de una durante un periodo de tiempo dad0 2 . Las cifras exactas no importan, pero
víctima (pasajero) por cada millón de millas de vuelol . el diagram a 6.1 da una idea aproximada de lo qu e descubrió.
Si queremos mejorar, hemos de repensar la naturaleza de la seguridad.
Las definiciones de diccionario son de escasa ayuda. La mayoría equiparan
Diagrama 6.1
la seguridad con estar libre de riesgo o peligro, dos cosas siempre presen-
Una distribu ción im aginaria del número de coces sufridas p or los integrantes
tes en las tecnologías de alta peligrosidad. El indicador más extendido es
de un regimiento de caballería durante un periodo de tiempo dado
el número de resultados negativos, que sólo es útil cuando las tasas de ac-
cidentes son lo bastante altas, e incluso en ese caso hay que contar con el P ropo rción del
regimiento
problema de la distorsión que introduce el azar - la combinación fortuita
de elem entos causales en un momento y lugar concretos.
Los datos de resultados negativos aportan un indicador válido de la se-
guridad intrínseca del sistema sólo cuando sus gestores tienen pleno con-
trol de todos los p osibles factores desencadenantes de accidentes; sólo en
ese caso pueden vincularse directamente las tasas de accidentes con la ca-
lidad de la gestión de la seguridad. Pero ninguna tecnología de alta peli-
grosidad puede lograr ese grado de control total. Es posible defenderse de
las amenazas naturales y reducir en cierta m edida los actos p eligrosos, pero
ni unas ni otros pueden ser eliminados por completo. Condiciones laten-
tes, patógen os, h abrá siempre. La probabilidad de su funesta conjunción o 2 3+
N úmero de coces
siempre será mayor que cero. El importante componente aleatorio de la
causalidad de los accidentes significa que las organizaciones «seguras» pue-
den , aun así, sufrir accidentes, y que las organizaciones «inseguras» pueden
La mayoría del regimiento, con gran diferencia, no sufrió ninguna coz.
librarse de ellos durante largos periodos de tiemp o; la mala suerte puede
Un pequeño número de soldados recibió una coz, una cifra m enor reci-
abatir a los virtuosos y la buena su erte proteger a los indignos.
bió dos y un número aun más pequeño recibió tres coces. Sobre la base
Una salida a este impasse pasa por el empleo de medidas de proceso de la
de esos datos y otros similares, Poisson desarrolló un modelo teórico -la
seguridad. Para aplicar estas medidas con efectividad debemos asumir que
distribución de Poisson- para determinar la probabilidad aleatoria de un
la seguridad tien e dos caras, una positiva y otra negativa. C omo sucede
accidente entre un grupo de personas que comparten la misma exposi-
con la salud, las ocasionales ausencias de seguridad son más fáciles de cuan-
ción a una am enaza particular. La distribu ción de Poisson contesta a esta
tificar qu e su presencia prolongada. Para acercarnos a la cara positiva de
pregunta: ¿cuántas p ersonas podem os esperar que sufran cero, uno, dos o
la seguridad, h emos de reflexionar sobre las coces .
más accid entes cuando n o existe ninguna razó n especial para qu e una
persona sea víctima de m ás accidentes que otra?
CONTAR COCES Incluso en la cuestión relativamente im11ediata de las coces, es improba-
ble que todas las personas tengan la misma prop ensión a sufrir esos dolo-
A comienzos del siglo XIX, el gran m atem ático fi-ancés Simeón Poisson rosos contactos. El diagrama 6.1 muestra que la mayor parte del regimiento
contó el número de coces recibidas por soldados de caballería prusianos entraba en la categoría de «cero coces». No obstante, puede haber muchas

1. R .W H oward, «Breaking through the 106 barrier», Proceedillgs oJtlle Internatiollol Fe- 2. W H addon, E. A. Suchman y D. Klein , A ccident R esearch: Metil ods ond Approaches,
dera tion ofA irworthiness COI1Jerwce, Auckland, N ueva Zelanda, 20-23 de octub re de 1991. N ueva York, H arper & Row, 1964.

I SO I 5I
La gesti ó n de los g randes riesgos
razones diferentes para ello. Algunos de los hombres que no recibieron coz
alguna sencillam ente pu eden haber tenido su erte, otros pueden haber es-
tablecido una buena relación con sus monturas, otros pueden haber ex-
tremado la precaución y, por fin , otros pueden hab er sido amables con sus
caballos y, además, precavidos respecto a la zona más p eligrosa. R azones
similares, pero opu estas, podrían explicar p or qué algunas personas fu eron
más coceadas que otras. Así pues, podemos imaginar un continuo qu e va
de los soldados a pru eba de coces a los propensos a las coces, de los indi-
viduos relativam ente seguros a los relativam ente peligrosos.
Much os fac tores dife rentes operan para determinar la posición de un
individuo a lo largo de la dimensión seguro-p eligroso. En algunos casos,
será simplen"lente cuestión de buena o mala suerte; pero en otros se deberá
al éxito de contramedidas deliberadas. Los soldados de caballería más in-
munes a las coces serán aquellos que empleen las m ejores m edidas de pro-
tección (amabilidad, precaución, etc.) de la forma más constante y efectiva.
En suma, como muestra el diagrama 6.2, podemos discriminar grados de
seguridad, así como de «peligrosidad».
Diagrama 6.2
Distribu ció n bilateral de la resistencia-v ulnerabilidad entre los soldados
de caballería qu e no sufrieron ninguna coz, discrimi nando en fun ción
de la efectividad de sus contralTledidas
C reciente resistencia Creciente vulnerabilidad
El ej emplo de las coces demu estra que los da tos de resultados sólo
pu eden revelar la cara negativa de la seguridad. Esas m edidas registran
m omentos de vulnerabilidad; n o pueden discriminar los ingredientes, más
dilatados en el tiempo, de la resistencia. C omo luego veremos, para eva-
luar directam ente estos últimos es preciso usar m edidas de proceso -Ín-
dices qu e miden la «salud de la seguridad» gen eral del sistema en su
conjunto mediante el muestreo regular de diversos signos vitales-o Sólo
así podemos navegar el espacio de seguridad (véase a continuación) apo-
6. N avega r por el espacio de seguridad
yándonos en principios fiabl es, en lugar de permanecer a m erced de las
corrientes dominantes.
PRESENTACIÓN DEL ESPACI O DE SEGURIDAD
El espacio de seguridad es una ampliación natural del continuo resisten-
cia-vulnerabilidad presentado en la sección anterior; es un espacio teórico
donde p odemos representar la resistencia o la vulnerabilidad de un indi-
viduo o una organización. El diagrama 6.3 mu estra su forma elípti ca, con
la máxi ma resistencia en el extrem o izqui erdo y la máxima vulnerabili-
dad en el derech o - esa forma reflej a qu e la mayoría de las personas y las
organizacion es ocuparán alguna posición interm edia en dicho espacio-o
En lo que sigu e, nu estra atención se centrará en las organizaciones más qu e
en los individuos.
Diag rama 6.3
El espacio de seguridad
C rec ien te resistencia
..
Crecien te vuln erabili dad
•••
•••••••••••••
•••••••••••••••
••• ••• •••
" t /
Organi zacio nes
El diagrama muestra la pos ibl e distribución en un momento dado de 40 orga nizaciones hip o-
téticas dentro del espacio de seguri dad. Sus posiciones en este espacIO vIenen deter mmadas por
su resistenc ia o vuln erabilidad in tr ínseca a los riesgos de SllS operac iones.
La calidad de los procesos que una organización utiliza para combatir los
riesgos de sus operaciones determina su situación dentro del espacio de se-
guridad. En otras palabras, su posición en la dimensión resistencia-vulne-
rabilidad será función de la amplitud e integridad de sus defensas en
cualqu ier momento del tiem po. H ay que advertir, empero, qu e la seguridad
absoluta no existe. Mientras co ntinúen existiendo las amenazas naturales, la
falibilidad humana, las condiciones latentes y la posibilidad de c ot~uncio­
nes aleatorias de fac tores generadores de accidentes, hasta las organizacio-
nes más intrínsecam ente resistentes - las situ adas cerca del extremo
I5 3
La gestión de los grand es ri esgos
izquierdo- seguirán estando suj etas a la posibilidad de sufi-ir accidentes.
Por la misma razón, organizaciones no seguras, pero «con suerte», situadas
en el extremo derecho seguirán librándose de sufi-ir accidentes durante pe-
riodos de tiempo bastante largos.
Por supu esto, las organizaciones pueden fOljar su propia suerte hasta
cierto punto -pero nunca completame nte-o Esto tiene dos implicacio-
nes para las medidas de resultados. Primero, habrá cierta correspondencia
entre la posición de una organización en el espacio de seguridad y el nú-
m ero de resultados nega tivos que le hayan sucedido. A lo largo de un p e-
riodo de muestra, es probable que las organizaciones en el polo resistente
del espacio sufran m enos sucesos adversos que las situadas en el pol o vul-
nerable; pero esta correlación nunca será pelfecta debido a las imprevisi-
bles intromisiones de la bu ena y la mala fortuna . Segundo, cuando en un
ámbito concreto las tasas de accidentes caen a niveles muy bajos, como ha
ocurrido en la aviación y en las centrales nucleares, que ocurran o no re-
sultados negativos (en un periodo de registro concreto) revela muy poco
sobre la posición de una organización en el espacio de seguridad -y, sin
embargo, esas diferencias de ubicación continuarán existiendo.
CORRIENTES INTERNAS DEL ESPACIO DE SEGURIDAD
Muy pocas organizaciones ocupan posiciones fij as en el espacio de segu-
ridad. La mayoría de ellas está en constante movimiento, unas impulsa das
activam ente h acia el polo resistente del espacio por la enérgica imple-
mentación de medidas de seguridad efec tivas, otras descuidadas, al punto
de derivar pasivamente hacia el extremo inseguro. Esas corrientes natu-
rales flu yen en sentidos opuestos dentro del espacio y tanto más crece su
fu erza cuanto lTlás se acerca una organización a uno de los extremos. El
diagrama 6.4 ilustra esas corrientes . C uanto más cerca del polo peligroso
del espacio deriva una organización, más probable es que sufi-a acciden-
tes. Esto, Ulúdo a las presiones del público y las agencias reguladoras, aporta
un poderoso impulso para implementar m ejores m edidas de seguridad.
A pesar de que los accidentes son indicadores relativamente poco fiables
de la seguridad intrínseca de una organización, tienen la virtud de enfo-
car las mentes de la alta dirección hacia las cuestiones de protección en
lugar de hacerlo hacia las de producción, al menos por un tiempo. Esto
suscita una pregunta que debatiremos en un apartado posterior: ¿son ne-
cesarios los accidentes graves para la sup ervivencia de las organizaciones?
154
6. Navegar por el espacio de seguridad
Diagrama 6.4
Corrientes y contracorrientes en el interior del espacio de seguridad
.. C reciente resistencia C reciente vulnerabilidad
•
-..-.. Corrientes en acción . . - -..--
~ - . . en el espacio de seguridad ..---::=
Fuerzas opuestas entrarán en juego tan pronto como la organización
entre en las regiones más resistentes del espacio. Las iniciativas de seguri-
dad pierden empuj e y gen eran rendimientos decrecientes. Los ges tores ,
una vez más, se olvidan de sentir aprensión y empiezan a desviar una parte
cada vez m ayor de su atención y de sus recursos hacia los obj etivos de
producción.y, como vimos en el capítulo 1, las nuevas y m ejores defen-
sas se emplean para impulsar obj etivos productivos, más que protectores.
En otras palabras, las orga¡úzaciones se acostumbran a su estado de segu-
ridad aparente y se pernúten derivar -como el bote indenme- hacia re-
giones de mayor vulnerabilidad.
Si las organizaciones se guiasen solam ente por las medidas de sus re-
sultados, probablemente se moverían pasivamente, como los restos flotan-
tes de un naufragio, hacia uno y otro lado de la zona central del espacio
de seguridad. Una gestión efectiva de la seguridad sig¡úfica navegar por
ese espacio activamente con la núra puesta en alcanzar la zona de m áxima
resistencia y mantenerse en ella. Para lograrlo, los directivos deben enten-
der la naturaleza de las fuerzas que actúan sobre la orga¡úzación, así como
las clases de información que necesitan para establ ecer su posición actual.
Para llegar hasta la región obj etivo y lu ego m~ntenerse en ella son n ece-
sarias dos cosas: un «motOD> interno que impulse la orga¡úzación en la di-
rección correcta y «ayudas a la navegación» para trazar su avance.
¿QUÉ ALIMENTA EL «MOTOR DE LA SEGURIDAD»?
Tres son los ingredientes vitales para hacer funcionar el motor de la se-
guridad, los tres patrimonio de la alta dirección -o lo que el teó rico de
la organización H . Mintzberg h a denominado el vértice estratégico del
155
La gesti ó n de los grandes ri esgos
sistemaJ- . Estas tres fu erzas impulsoras son: el compromiso, la comp e-
ten cia y el conocimiento -«las tres ces» .
El compromiso tiene dos componentes principales : la motivación y
los rec ursos. El asp ecto motivacional es tá relacionado con el hecho de si
la organización persigue ser el modelo de su sector en lo que a buenas
prácticas de seguridad se refi ere o se contenta simplem ente con ir un paso
por delante de los las agencias reguladoras - la diferen cia sei'ialada en el
capítulo 2 entre organizaciones generativas y patológicas- oLos niveles
altos de mo tivac ión son relativam ente raros, y diuciles de sos tener. Por
eso es tan importante la cultura de la seguridad de la organización: los
altos directivos vienen y va n -y se contrata más a líderes orga niza tivos
para revitalizar fortunas comerciales languidecientes que para mejorar una
trayectoria de seguridad qu e no es ni buena ni mala- , mientras qu e una
bu ena cultura de la seguridad es algo qu e perdura a través de esas revolu-
ciones palaciegas y, merced a ello, aporta la fu erza impulsora que se nece-
sita, al margen de las inclinaciones del último co nsej ero del ega do. El
segundo aspecto ataiie a los recursos qu e se destinan a alcanzar obj etivos
de seguridad. N o es sólo cuestión de dinero; importa la calid ad tanto
como la ca ntidad y tiene qu e ver co n el calibre y el estatus de las perso-
nas a quienes se encomienda dirigir la seguridad del sistema. En algunas
orga nizaciones, los puestos en el ámbito de la seguridad se ven CO lTlO ex-
cel entes oportunidades para una promoción rápida; en demasiadas em-
presas, sin emb argo, se los considera co m o zonas de es tacionami ento
prolongado donde situ ar a ejecutivos co n po co poder o quemados.
Pero el compromiso solo n o basta. La orga nización debe poseer tam-
bién la cOlnpeten cia técnica necesaria para lograr sus obj etivos de segu-
ridad. La comp etencia está muy estrechamente relacionada con la calidad
del sistema de informa ción acerca de la seguridad de qu e disp one la or-
ganización. ¿R eúne la información correcta? ¿La difunde bien? ¿Actúa en
función de ella? Estudios comparativos pareados - qu e es tudian pares de
empresas similares en todos los aspec tos excepto en su historial de segu-
ridad- han m ostrado que las dos ca racterísticas con más probabilidad de
discriminar entre organizaciones seguras e inseguras son, primero, el com-
promiso al m áxi mo nivel y, segundo, la posesión de un sistema de infor-
m ación relativo a la seguridad adecuad0 4 .
3. H . Mintzberg, Mil/tz belg 0 11 N[al/agel/leJlt: [//Side ol/r Stml/ge J¡J1orld oj O lga niz atiO/"ls,
Nu eva Yo rk, Free Press, 1989.
4.Véase M .]. Smith , H. Co hen,A. Co hen y R .]. C leveland , «C hara cteristi cs ofsuc-
cessful safety progra m s» ,jol/wal qf Sajet)' R esearcll, 10, 1988, pp. 5-14.Véase tambi én U. T<je-
156
6. N avega r po r el espacio de seguri da d
Ni el compromiso ni la comp etencia serán suficientes a menos que
la orga ni zació n p osea una conciencia adec uada -o co nocinu ento- de
los peligros que amenaza n sus op era cion es. Dos rasgos son sintomáticos
de las orga luzaciones qu e carece n de este ne cesario nivel de conciencia.
El primero es la paradoja posicional, qu e consiste en qu e quienes están si-
tu ados en la cúspide de la organización, y tien en el máximo grado de
autononúa para la toma de decisiones, culpan de la m ayoría de sus pro-
blemas de seguridad a las linutaciones personales de quienes se encuen-
tran en primera linea, que, por lo general, simpl emente se linutan a seguir
los pro ce dinu entos y a trabaj ar con el equipo qu e se les proporciona . El
segundo síntoma es el f enómeno equis, algo qu e pu ede aqu ejar a los ges-
tores téc nicos asignados a cargos de seguridad: tratan las m edidas de se-
guridad como si fueran pi ezas de equipo, las implem entan en su lugar y
ponen una equis al lado de su nombre en la lista de tareas p endientes
para indicar un trabaj o ternunado más. La mayoría de las piezas de equipo
hacen lo qu e se supone qu e tienen que hacer; se las enciende y funcio-
nan como di cen sus especificaciones. Sin embargo, las medidas de segu-
ridad comportan tanto un produ cto como un pro ceso. No bas ta con
implem entarl as. H ay que observa rlas, preocuparse por ellas, afinarlas y
aju starlas. Los elementos del equipo suelen ser casi completamente pro-
ducto y muy poco pro ces o. En cambio, las medidas de seguridad se pa-
recen más a la religión: hay qu e rezar muchísimo (proceso) y suceden
poquísimos nUlagros (producto) .
Las organizaciones cono cedoras entienden la verdadera naturaleza de
la «gu erra de la seguridad». La ven como realmente es: una larga guerra
de guerrillas sin ninguna victoria decisiva final. Para ellas, un lapso pro-
longado sin ningún accidente grave no sei'iala la llegada de la paz. Lo ve n,
correctam ente, como un p eriodo de creciente p eligro y, por ende, refor-
man y refu erzan sus defensas en consecuencia. En cualquier caso, y pu esto
qu e la victoria fin al corresponde a la entropía , el último helicóptero aban-
donando Saigón sería una m etáfora más idón ea para la conclusión de la
gu erra de la seguridad qu e una gran batalla decisiva como Yorktow n,Wa-
terloo o Appomatox .
llen, «A n eva lu ati o n of sa fety info rlll ati o n system s o f six lll ediul11-size d and Iarge firl11s»,
JOl/rnal qf OCC/ljJa tional Accidel/ts, 3,1983, pp. 273-288.
157
La ges tión de los grandes ri esgos 6. Navegar por el espacio de seguridad

ESTABLECER LOS OBJETIVOS DE SEGURIDAD ADECUADOS ayudas a la navegación, que analizaremos más en profundidad en las sec-
ciones siguientes.
La clave de la navegación por el espacio de seguridad consiste en apreciar
qué es posible gestionar y qué no. Muchas organizaciones tratan la ges- Diagrama 6.5
tión de la seguridad como un proceso de producción n egativo: se propo- R esumen de los principal es factores involucrados en la navegación
nen, para el siguiente periodo contable, objetivos consistentes en menores por el espacio de seguridad
resultados n egativos (por ejemplo, «el año que viene reduciremos a la Creciente resistencia Creciente vu lnerabilidad
..
mitad los accidentes que supu sieron pérdidas de jornadas de trabajo»).
Pero los accidentes, por su misma naturaleza, no son susceptibles de con-
trol directo. Es tanto lo que de su diversidad causal cae fu era de la esfera
de influencia de la organización que ésta no pu ede suprimir ni evitar sus
amenazas, sólo defenderse contra ellas; pero es consiguiendo esto como
Zona
o bjetivo • ..•
I
I
I
---
Fuerzas
impulso ras
Co mpromiso
Co mp ete ncia
Conocimiento
!'

logra continuar su actividad. De la misma manera, una organización sólo

Ayudas a la navegación
puede esforzarse por minimizar los actos peligrosos; nunca eliminarlos i
M edidas M edida s t[
por completo. de resultados de proceso
Una gestión efectiva de la seguridad se parece más a un programa de reactivas proactivas ¡ll,

mantenimiento físico a largo plazo que a una producción negativa. En

lugar de luchar en vano por ejercer control directo sobre incidentes y ac-
cidentes, los gestores deberían medir y mejorar regularmente aquellos
procesos -diseño, hardware, formación, procedimientos, planificación, ela-
boración de los presupuestos, comunicación, conflictos de objetivos, etc.-
~u e se sabe están causalmente implicados en los accidentes organizativos.
Estos son los procesos que es posible gestionar y que determinan la salud
de la seguridad de un sistema. Son, en cualquier caso, los procesos para
cuya gestión se contrata a los directivos. Vista así, la gestión de la seguri-
dad no es algo añadido, sino una parte esencial del núcleo de negocio del
sistema .
Como señalé antes, el único objetivo que la gestión de la seguridad
puede alcanzar no es no tener ningún accidente sino situarse en la región
del espacio de seguridad caracterizada por la máxima resistencia -y per-
manecer ahí-o Simplemente moverse en dirección a una mayor seguri-
dad no es difícil; pero mantener las mejoras es muy arduo. Mantener esa
posición a despecho de las fuertes corrientes contrarias requiere disponer
de ayudas a la navegación. Más concretamente, requiere un sistema de in-
formación acerca de la seguridad que no sólo sea capaz de sacar las con-
clusiones correctas sobre sucesos ya ocurridos (medidas reactivas) sino que
proporcione también «chequeos de salud)) regulares de procesos organiza-
tivos básicos (medidas proactivas) que puedan usarse para guiar acciones co-
rrectivas dirigidas a objetivos específicos. El diagrama 6.5 muestra estas
(a) Las nlerzas impulsoras y (b) las ayudas a la navegac ión de las que co nsta en co njunto el sis-
tema de informació n. ' ,
LA PRUEBA DESTRUCTIVA
En el caso de que las ideas de resistencia y vulnerabilidad a las amenazas
parezcan demasiado abstractas, véanse los resultados del siguiente estudio.
Un modo de determinar la capacidad relativa de resistencia y resiliencia
de diferentes sistemas es co nstatar cuántas cosas hubieron de ir m al para
qu e sufi:ieran un accidente grave. Esto equivale, en efecto, a lo que, en in-
geniería, es una prueba destru ctiva.
En este caso, los sistemas eran tipos de aeronaves: helicópteros, aparatos
ligeros (aviación general) y grandes reactores comerciales. La fu ente de
datos fueron 90 investigaciones de accidentes fatales llevadas a cabo por la
Oficina de Investigación de Accidentes Aéreos del Reino Unido entre las
décadas
.
de los setenta y los noventaS.Todas esas investiaaciones
b
fueron rea-
lizadas y sus informes confeccionados siguiendo la forma estándar estable-
cida por la Organización Internacional de Aviación Civil para
ll1vestlgadores de accidentes.
5. D. Stephens, T/¡ e «Rllle ofT/¡ree)) as Applierl fo A ircmJt Accirlents, M anchester, D epar-
tam ento de Psicología , Universidad de M anchester, 1996.

159
La gestió n d e los gra ndes ri esgos
Primero, se postularon 16 posibles factores causales: problemas de
motor, problelTlas de fuselaje, problemas sistémicos, problemas de C0111-
bustible, horas de vuelo del piloto en el tipo de aparato, periodos de des-
canso, error del piloto, materias propias del operador, cambios de plan,
hora del día o de la noche, condiciones de formación de hielo , visibilidad ,
viento, precipitaciones, control del tráfico aéreo y comuni caciones por
radio. Se averiguó el número de causas concurrentes en cada uno de los
accidentes mortales y la tabla 6.1 resume los resultados. Como se esperaba,
los helicópteros fueron el tipo de aparato más vulnerable. En contraste,
hizo falta más del doble de factores causales concurrentes para provocar
un accidente fatal en los grandes reactores comerciales, mucho mejor de-
fendidos.
Tabla 6.1
Cifras ITledias de problemas que contribuyeron a accidentes fatales
en tres tipos de aeronaves
Tipo de aparato Número de accidentes Cifra media
de problemas
H elicópteros 22 1,95
Aparatos ligeros 29 3,38
Grandes reactores 39 4,46
Fu ente : datos procedentes de los informes de la UK M m.
UNA VISIÓN DE CONJUNTO DE LAS AYUDAS A LA NAVEGACIÓN
Las ayudas a la navegación se dividen en dos categorías: rnedidas reactivas
que sólo cabe aplicar después de ocurrido un su ceso adverso y medidas pro-
activas que pueden ponerse en práctica antes de que eso suceda para eva-
luar la «salud de la seguridad» del sistema en su conjunto. Una gestión de
la seguridad efectiva requiere emplear anlbos tipos de m edidas. Debemos
aprender del pasado las lecciones apropiadas y traducir lu ego ese conoci-
miento en una mayor resistencia . Al mismo tiempo, debemos hacer visi-
bles a quienes dirigen y operan el sistema las condiciones latentes y los
patógenos residentes que son una parte inevitable de cualquier tecnolo-
gía compleja, no importa lo bien gestionada que esté, y que la experien-
cia ha demostrado que pueden suministrar los ingredientes de futuros
accidentes organizativos.
r60
6 . Navegar por el espacio de seguridad
Usadas adecuadamente, tanto las m~edidas reactivas como las proactivas
pueden facilitar información valiosa sobre el estado de los procesos orga-
nizativos subyacentes. El modelo de desarrollo causal de un aCCIdente or-
ganizativo presentado en el diagrama 1.6 llama nuestra atención sobre dos
temas importantes: las condiciones lo cales y organizativas que promueven
los actos peligrosos y las defensas, barreras y salvaguardias que mantienen
la separación entre las amenazas y las pérdidas potenciales. La tabla 6.2 re-
sume las diversas interacciones entre ellas y los tipos de ayudas.
Tabla 6.2
Resumen de las posibles interacciones entre medidas reactivas y proactivas
Tipo de ayuda a la navegación
Medidas reactivas Medidas proactivas
Condiciones locales El análisis de un gran número Identifica aquellas circunstancias
y organizativas de incidentes pu ede revelar que luás se necesita corregir,
lo que genera olejoras constantes
patrones recurrentes de causa
y efecto. de resistencia o «([0 [111<1 física l) .
Defensas, barreras Cada suceso ll1uestra una Las comprobaciones regulares
y salvaguardias trayectoria que atraviesa parcial o revel an dónde existen agujeros
ahora y dónde es más probable
co mpletamente las defe nsas.
qu e aparezcan a co ntinuación.
Uno de los usos equivocados más frecuentes de las medidas reactivas
consiste en prestar atención de un modo denusiado estrecho a los suce-
sos singulares: conduce a contramedidas dirigidas principalmente a pre-
venir la recurrencia de los fallos individuales, en particular los de origen
hununo. Pero los accidentes organizativos tienen causas n1.últiples. Nin-
gún factor es necesariamente más importante que otro. Fue su combina-
ción lo que causó el suceso.
Para aprender del pasado las lecciones apropiadas, lo mejor es analizar
muchos sucesos relacionados con un mismo sector tecnológico em-
pleando un mismo marco de clasificación, que revelará patrones de causa
y efecto rara vez evidentes en las investigaciones de un solo caso. Además,
esos patrones señalan también qué factores lo cales u organizativos desem-
peñan regularmente algún papel en la causalidad de los sucesos adversos.
Esto, a su vez, guía la selección de los procesos organizativos que se mues-
trearán pro activa y regularmente. Hay muchos candidatos posibles para
una evaluación regular, pero pocas organizaciones tienen los recursos
necesarios para muestrearlos todos, ni sería conveniente que lo hicieran.
r6r
La gestión de los g randes riesgos
El ~nálisis de múltiples episodios nos dice cuáles de los mu chos procesos
posIbles tIen en la mayor probabilidad de aportar una medición, válida
· ,. d Y
etiectlVa en ternunos e costes, de la salud actual de la seguridad.
Una técnica reactiva efectiva debería ofi-ecer un retrato preciso de la
debilidades y ausencias que existan en las defensas. Estas «instantáneas» re~
velan las formas, con frecuencia improbables, en que incluso las defensas
más elaboradas pueden ser derrotadas_ Una vez más, el análisis de nume-
rosos sucesos del mismo ámbito puede sacar a la luz patrones recurrentes
y a menudo sorprendentes, de debilidad defensiva.
Las ayudas a la navegación más impo rtantes, sin embargo, están en el
lado derec~o de la tabla 6.2_ Son las medidas de pro ceso proactivas, que
pueden aplicarse antes de que ocurra un suceso adverso. Su propósito es
ofi-ecer comprobaciones regulares tanto del estado de las defensas del sis-
tema com o de sus «signos vitales» en el ámbito de la organización y en el
lu ~ar de trabaJo. Como en medicina, no hay una medida compreh ensiva
y uruca de la salud de la seguridad, sino que se basará en el muestreo de
un sub conjunto de un agregado potencialmente mayor de índices que
reflejan el estado actual de varios procesos organizativos. El número de
esos controles diagnósticos, que diferirá de un tip o de sistem.a a otro varía
típicam ente entre unos ocho y dieciséis, y su propósito es identifi~ar los
dos o tres procesos que necesitan atención con la máxima urgencia. La fi-e-
cu en cia co n que se efectúen estas comprobaciones dependerá de la tasa
de cam.bio probable del pro ceso en cuestión . Los factores propios del ta-
ller cambian con más rapidez que los organizativos y por esa razón han
de estar s l~ etos a control a intervalos más frecuentes.
, Volverem,os a estos procedimientos en una sección posterior y en el
prox;mo capItulo ofreceremos una guía práctica para su selección y apli-
caClOn. Entretanto, debemos detenernos brevemente en los informes
sobre incidentes y casi accidentes; un tipo de medición de la seguridad que
no sólo es tá desarrollándose rápidamente en diversos sec tores sino que
además, suministra datos tanto reactivos como proactivos.'
PROGRAMAS DE lNFORMES DE INCIDENTES Y CASI ACCIDENTES
Para algunas personas, los términos «casi accidente» e «incidente» signifi-
can cosas dIstmtas, pero puesto que no es una práctica universal, emplea-
remos «caSI aCCIdente» para cubrir toda esa clase de su cesos. Un casi
accidente es cualquier suceso que pudo haber tenido malas consecuencias
pero que no las tuvo. Los casi accidentes pueden ir desde una penetracióI;
162
6. Navegar por el espacio de seguridad
parcial de las defensas hasta situaciones en que todas las salvaguardias dis-
ponibles fueron vencidas pero no se produj eron p érdidas. En otras pala-
bras, abarcan toda la gama de su cesos, desde los m ás benignos, en que una
o más defensas evitaron, como estaba previsto, un resultado n ega tivo po-
tencial, hasta aquéllos en que faltó el grosor de un cabello para que ocu-
rriera una catástrofe. Los primeros suministran información proactiva útil
sobre la resistencia y la capacidad de resiliencia del sistema, mientras que
los segundos son indistinguibles de un accidente de pleno derecho en
' todo excepto en el resultado negativo y, por lo tanto, entran plenamente
en el ámbito reactivo.
Las ventaj as de reunir y analizar casi accidentes son claras . En la bonita
frase que em.plea Exxon, facilitan «lecciones gratis»6.
_ Si se extraen las conclusiones correctas y se actúa sobre esa base, pue-
den funcionar como «vacunas» y movilizar las defensas del sistema con-
tra sucesos futuro s más graves -y, como las buenas vacunas, cumplen
esta función sin causar daüo a nadie ni a nada en el proceso.
_ Proporcionan vislumbres cualitativos de cóm o pueden alinearse pe-
qu eüos fallos defensivos hasta crear grandes desastres.
_ Gracias a que ocurren con más frecuencia que los accidentes graves,
suministran cifi-as en la cantidad requerida para efectuar análisis cuan-
titativos de mayor profundidad.
_ Y, quizá lo más importante, aportan un poderoso recordatorio de las
am enazas a que se enfrenta el sistema, frenando así el proceso de ol-
vidarse de ten er miedo. No obstante, para qu e tengan ese efecto, debe
darse amplia difusión a los datos, sobre todo en la alta dirección de la
organización, entre los gerentes obsesionados con las cifras . Consta que
estos gestores adoptan una actitud de especial alerta cuando la infor-
mación relativa a cada suceso incluye una estimación realista de su
coste financiero potencial para la organización _
, Los programas de informes de casi accidentes afrontan, por supuesto,
diversos problemas, el menor de los cuales no es que dependan de la vo-
luntad de los individuos para informar sobre su cesos en los que ellos mis-
mos puede que hayan desempeüado un papel significativo. Analizaremos
extensam ente los factores qu e contribuyen a crear una «cultura qu e in-
forma» en el capítulo 9.
6. Escuché esta exp resión a John Sleigh, antes j efe de organización de servicios de la
seguridad en la refinería Esso en Fawley.
16 3
 La gestión de los grandes ri esgos
Un üúonnante pu ede estar bien dispu esto a üúormar sobre un suceso
pero no ser capaz de ofi-ecer una exposición suficientem ente detallada d:
los factores causales concurrentes_ En ocasiones los informantes no Son
conscIentes de las causas precursoras «corriente arriba» de la organización.
En otros cas os, puede qu e no adviertan la significatividad de los factores
lo cales de su luga r de trabajo: si están acostumbrados a trabajar con Un
eqlllpo mfenor al nivel estándar pu ede que no informen de ello como
un factor incidente; si efec túan habitualmente una tarea qu e deb ería ser
sup ervIsa da, pero que nunca lo es, pu ede qu e no recono zcan un pro-
bl ema en esa falta de sup ervisión, etc.
Es probable qu e los factores de la voluntad y la capacidad de informar
combinados, tenga n dos efectos: que no se informe de todos los casi ac~
cidentes y que la calidad de la informa ción acerca de ellos sea insuficiente
~ara identificar prec urso res decisivos. No obstante, el muy considerable
exIto de los m ej ores programas (que veremos en el capítulo 7) indica que
sus ventajas sup eran co n mucho estas dificultades_ Parece haber pocas
dudas de que los programas de informes de casi accidentes pu eden cons-
tItUIr una ayuda a la navegación de inestimable valor.
EL PROCESO DE MEDIDA PROACTIVO: LAS PRIORIDADES
H emos expuesto antes ya las razo nes para realizar evaluaciones regulares
de los pro cesos organizativos qu e subyacen tanto a la seguridad como a
la calidad. Nuestro propósito es ahora exa minar en detalle qu é puede me-
dIrSe y los pro~ables benefi cios de invertir ese esfuerzo en cada una de las
posibles áreas. Estas figuraban a grandes rasgos en la base del diagrama 1.6
y a continua ción se muestran por separado en el diagrama 6.6. Se trata de
los actos p eligrosos, los factores locales del lugar de trabajo y los factores
organiza tivos. Los tres existen independientemente de que ocurran o no
sucesos adversos. No considero las defensas como una entidad separada a
ca usa de lo estrechamente entretejidas que están con los factores huma-
nos, locales y orgaruzativos que ya recoge el diagrama 6.6.
A continuación examinaremos los m éritos relativos de cada tipo de
m edIda proactlVa de pro ceso:
- Actos peligrosos. Los actos peligrosos so n la materia prima de que están
hechos los accidentes. Las numerosas teorías «iceberg» de la ca usalidad
de los accidentes presuponen varias - y muy diferentes- ratios entre
sus cifi-as y las de mu ertos y heridos_H ay serios problemas de m edida.
r64
6_ Navegar por el espacio de seguridad
Diagrama 6.6
Áreas candidatas a la m edición proa ctiva de procesos, cada una de ellas dotada
de un canal separado y numerado que las conecta al sistema de información
sobre la seguridad
Canales
proactivos
~1!~....,..A.C.t.o.s.pe.l.i ·g.r.os.o.s~""~IIIP'~
Sistema
de información
sobre la
seguridad i;
i·
~". . . .F.a.ct.o.re.s.o.r.g.al.u.za.t.iv.o.s.d.e.t.ra.b.~.o"~~~~ ~II~~~II~!¡ :
Es casi imposible determinar la cifra real de actos peligrosos que se co-
meten. Lo único cierto es que es muy alta _M ás útil que las cifras bru -
tas -más o m enos incalculables, en cualquier caso- es la información
so bre la naturaleza y variedad de los ac tos peligrosos, en particular
cuando viene desglosada por el tipo de actividad desarrollada (véase el
capítulo 5). Diferentes actos p eligrosos piden diferentes tipos de ges-
tión (véase el capítulo 7). Los errores son , esencialmente, problem as de
procesamiento de la üúormación y requieren un n1.ejor suministro de la
misma, bien en la cabeza de la persona en cuestión, o bien en el lu gar
de trabajo. Los orígenes de las infi-acciones, en cambio, radican en fac-
tores motivacionales, actitudinales, grupales y culturales, qu e deb en
combatirse con contramedidas más dirigidas al corazón que a la cabeza.
- Factores locales del luga r de trabajo. (,Co rriente arriba» de los actos peli-
grosos se encuentran sus prec ursores mentales y físicos inmediatos,
cosas tales como un deficiente disefio del lu gar de trabajo, una auto-
matización chapucera, h errami entas y equipos inadecuados, procedi-
mientos impra cticables, ausencia de sup ervisión efectiva, elevada carga
de trabajo, presión temporal, una formación y una experiencia inade-
cuadas, horarios intempestivos, un sistema de relevos mal con cebido,
pobre planificación del trabajo, falta de p ersonal, una percepción del
ri esgo mal calibrada, un equipo de protección del p erso nal inco rrecto,
r 65
La gestión de los g randes ri esgos 6. Navega r por el espacio de seguridad

un trabajo en equipo deslavazado, defectos del liderazgo, etc. Es pro-
bable que su número sea m enor que el de los actos p eligrosos que ge-
neran. Por eso son más fáciles de gestionar que la naturaleza humana.
Con todo, n o son más que expresiones lo cales de problemas organi-
za tivos de alto nivel.
- Factores organiz ativos. Sólo en los niveles sup eriores del sistema empe-
zamos a trabar contacto con los tipos de fallos «p adres» - los procesos
que crean, corriente abajo, los problemas «hijos»-. Si no cambian, los
esfuerzos por mejorar las cosas a nivel del lugar de trabajo y de los tra-
baj adores serán, en gran medida, estériles. Puede que se rnitiguen los
efectos lesivos de ciertas clases de actos peligrosos y se mejoren algu-
nas circunstancias del lugar de trabajo, pero la existencia ininterrum-
pida de fallos «padres» en los estratos más altos de la organización hará
inevitable que los reemplacen otros tipos de problemas lo cales y hu-
manos. Claramente, por tanto, los factores organizativos representan
el área prioritaria para la m edición de procesos. Ahora bien, ¿cómo
seleccionar los procesos que h an de medirse?
Las organizaciones están h echas de n1.u chos elementos. Si cada ele-
mento fu era del todo independiente del resto sólo se podría evaluar la
seguridad general de una empresa midiéndolos todos individualmente.
Al contrario, si todos los elementos estuvieran estrechamente relaciona-
dos entre sÍ, el estado de cualquiera de ellos ofi-ecerÍa un indicador glo-
bal de la seguridad intrínseca de la organización . La realidad se sitúa en
algún punto entre ambos extremos, probablemente, con los elementos in-
dividuales agrupados de forma modular y parcialmente coincidente. Un
_ Factores técnicos: por ej emplo, la gestión del mantenimiento, los niveles
de automatización, las intelfaces ser humano-sistema, los controles de
ingeniería, el diseño, el hardware, etc.
_ Factores procedimentales: por ejemplo, los estándares, las normas, los con-
troles administrativos, los pro cedimientos operativos, etc.
- Formación: por ej emplo, los métodos formales fi-ente a los informales,
la existencia de un departamento de formación, las habilidades y com-
petencias requeridas para efectuar ciertas tareas, etc.
En el núcleo de todos estos conglomerados, e impregnándolos a todos,
está la cuestión de la cultura. Por el momento, podemos vincular los fac-
tores culturales con las tres «ces» analizadas más arriba: compromiso, com-
petencia y conocimiento - pero tal como existen en la organización en
su conjunto, no como puedan plasmarse en la m ente de este o aquel alto
directivo-o El diagrama 6.7 resume la imagen de conjunto de las prin-
cipales dimensiones de la medición de pro cesos.
Diagrama 6.7
Los subsistemas de proceso p rimarios que sub yacen a la seguridad organizativa
Factores específicos
de la seguridad
Formación Formació n

reciente estudio sobre varias medidas de pro cesos relacionados con la se-
Factores
guridad identificó los cin co amplios conglomerados que se enumeran a cl'! turales
Factores Factores
continuación 7 : COI11.promiso
procedim entaJes
de gestió n
Competen cia
- Factores especificos de la seguridad: p or ej emplo, la elaboración de infor- Co nocimiento
mes de incidentes y accidentes, la política de seguridad, los recursos y
procedimientos de emergencia, la seguridad fuera del trabajo, etc. Formació n Formación

- Factores de gestión: por ej emplo, la gestión del cambio, el liderazgo y la

administración, la comunicación, la contratación y asignación de per-
sonal, los controles de compras, las incompatibilidades entre produc-
Factores
ción y protección, etc. técnicos

7. J. Reason , «The dimensions of safety», en J. Patrick (ed. ), Cogllitille Sciellce Approa- Se apreciará que la form ación se representa co mo un a caracter ística universal más que co mo
ches to Cognitille COl/tro /, Tercer Congreso Eu ropeo, Cardiff, Unive rsidad de WaJ es, 1991. un conglomerado locali zado de Ítems relacionados.

r66 r67
La gestió n de los grandes r iesgos 6. Navegar por el espacio de seguridad

El mensaje de este diagrama es muy sencillo: los tipos de pro cesos que
puedan medirse proactivamente variarán much o de un sector a otro; no
obstante, esto no supondrá ningún problema siempre que se p reste una
atenció n suficiente y equitativa a los principales subsistem as que susten-
tan la seguridad organizativa. Hay muchas formas posibles de evaluar la ca-
lidad de la formación, los procedimientos, los elementos de seguridad
fi'uto de ingeniería específica, etc. Lo importante es que se haga un es-
fuerzo, basado en sólidos principios, por muestrear cada una de las seis
dimensiones arriba identificadas: la cultura, la formación, la gestión, las
cuestiones específicas de la seguridad, los procedimientos y los factores
técnicos. El propósito de cada ejercicio de m edición es doble: primero,
identificar los procesos que, en ese momento, suponen mayor motivo de
preocupación; segundo, realizar un seguimiento de la efectividad de me-
didas correctivas previas. Las mediciones que no vayan a usarse para guiar
la mejora de la «fo rma llsica» del sistema no merece la pena efectuarlas.
Hemos examinado algunos de los principios mediante los que pueden
lograrse mediciones de la seguridad con buena relación coste-efectividad.
Efectuar evalu aciones proactivas de los signos vitales del sistema y actuar
a tenor de sus resultados y aplicar inteligentem.ente los informes de casi
accidentes no garantiza que no ocurrirán más accidentes pero acercará a
la organización a la única meta de seguridad alcanzable: adquirir el má-
ximo grado de resistencia intrínseca a sus amenazas locales y sostenerlo en
el tiem.po. La segunda parte es la más ardua.
En el prÓXiITIO capítulo pasaremos de los principios orientadores a las
prácticas del mundo real. Los errores humanos suponen la m ayor amenaza
individual para las tecnologías de alta peligrosidad. El capítulo 7 ofi:ece una
guía práctica para la gestión del error y pasa revista a algunos de los ins-
trumentos y h erramientas de medida de que disponemos actu almente
para llevar a cabo este propósito.

¿SON LOS ACCIDENTES REALMENTE NECESARIOS?

La historia muestra que la causa de la seguridad florece en la estela del de-

sastre, aunque sólo brevemente. ¿H emos de concluir que h acen falta ca-
tástrofes de la m.agnitud de Piper Alpha, Chernóbil o Bhopal para que
políticos y altos ejecutivos entiendan que invertir en seguridad es un buen
negocio? ¿Es que las organizaciones deben despeñarse por el precipicio
para saber dónde está? ¿Son necesarios los accidentes, incluso los más pe-
que¡'ios y frecuentes, para calibrar la efectividad de las medidas de seguri-
dad? ¿Están condenadas las empresas a luchar contra su incendio más
reciente o a intentar prevenir su último aparato estrellado? La respuesta
debe ser «sí» -mientras las organizaciones complejas y de alta peligrosi-
dad continúen apoyándose principalmente en m edidas de resultados para
navegar por el espacio de seguridad.
Este capítulo ha esbozado una alternativa practicable - la evaluación
regular de los procesos organizativos comunes a la calidad y la seguri-
dad-o Las condiciones latentes que generan accidentes ya están presen-
tes. N o hace falta esperar a que ocurran sucesos adversos para descubrirlas.
Pero tam.poco podemos tener la expectativa de corregirlos todos de una
vez. Los sisteITlas necesitan formas firm.emente fundamentadas de identi-
ficar los problemas más urgentes de sus procesos para desplegar sus limi-
tados recursos correctivos a tiempo y de la forma más efectiva.

168 169
 7
Una guía práctica para la gestión del error

¿QUÉ ES LA GESTIÓN DEL ERROR?

LA GESTIÓN DEL ERROR (error m.anagement, EM) tie"ne dos componentes: la re-
ducción de errores y la contención del error. La reducción de errores comprende
las medidas diseñadas para limitar que sucedan errores. Como su éxito nunca
puede ser total, se necesita también la contención del error -las medidas
diseñadas para limitar las consecu encias adversas de los errores que conti-
núen ocurriendo-o En este ámbito general, la EM es indistinguible de la ges-
tión de la calidad o, en realidad, de toda clase de buena gestión.
La gestión del error incluye:
- Las medidas dirigidas a minimizar la propensión de un individuo o un
equipo a cometer errores.
- Las medidas dirigidas a reducir la vulnerabilidad al error de determi-
nadas tareas o elementos de tareas.
- Las medidas dirigidas a descubrir, evaluar y a continuación eliminar los
factores generadores de errores (o de infracciones) localizables en el
lugar de trabajo.
- Las medidas dirigidas a diagnosticar los factores organizativos que crean
factores generadores de errores en el caso de un individuo, un equip o,
una tarea o el lugar de trabajo.
- Las medidas dirigidas a mejorar la detección de errores.
- Las medidas dirigidas a incrementar la tolerancia al error del lugar de
trabajo o del sistema.
- Las medidas dirigidas a hacer más visibles las condiciones latentes a
quienes operan o dirigen el sistema.
- Las medidas dirigidas a mejorar la resistencia intrínseca de la organi-
zación a la falibilidad humana.

171
 La gestión de los gra nd es ri esgos
PRÁCTICAS AN TIGUAS PERO CON FRECUENCIA DESENCAMINADAS
La idea de la gestión del error no es nada nu evo. La soga de ahorcar y el
látigo estuvieron probablemente entre sus primeros instrumentos, p ero la
implementación de un programa comprehensivo y basado en principios
sólidos es algo excepcionalmente raro. La mayoría de los intentos de ges-
tión del error son fi'agmentarios m ás que planeados , reactivos más que
proactivos, y los impulsan los sucesos adversos m ás que los principios. En
gran m edida, ignoran también los sustanciales desarrollos que en los últi-
mos 20 o 30 años han tenido lugar en las ciencias del comportamiento en
la comprensión de la n aturaleza, diversidad y causas del error humano '.
Entre los problemas asociados con las formas actuales de EM se en-
cuentran las siguientes:
- «Combaten» contra el error más reciente en lugar de prever y preve-
nir el próximo.
- Centran su atención en los fallos activos m ás que en las condiciones
latentes.
- Centran su aten ción en el personal más qu e en la contribución de la
situ ación al error.
- Se apoyan demasiado en exhortaciones y sanciones disciplinarias.
- Emplean términos sesgados hacia la culpabilización, y esencialmente
sin sentido, como «falta de cuidado», «mala actitud» o «irresponsabili-
dad» - incluso en la gestión de la calidad total (Total Quality Manage-
ment, TQM)2 .
- D entro de los factores causantes de errores no distinguen adecuada-
mente entre los de carácter aleatorio y los de naturaleza sistemática.
- Por lo general, desconocen el conocimiento actual sobre factores hu-
manos en lo qu e con cierne al error y la causalidad de los accidentes.
Los ERRORES NO SON CAUSAS SINO CONSECUENCIAS
En el momento de escribir estas líneas tengo ante mí un titular de perió-
dico que reza: «La causa del siniestro del avión se atribuye al error hu-
mano». Esto confunde más que aclara. En aviación, como en todos los
1.]. Reaso n, Hu man Error, Nu eva York, Cambridge Uni ve rsity Press, 1990 [trad. cast.
El error lu ulJaNO, Madrid, Modus Laborandi, 2009].
2. K. Ishikawa, Cuide lo Quali!)' Control, Tokio,Asian Productivity Organization, 1976.
17 2
7- Una guía práctica para la gestión del erro r
sectores, el error humano figura en una provecta lista de «causas» qu e los
investigadores de accidentes y la prensa usan. Sin embargo, el error hu-
mano es una consecuencia, no una causa . Como hemos visto en los capí-
tulos anterio res, los errores son configurados y provocados por factores
precedentes radicados en el lugar de trabajo y en la organización. Identi-
ficar un error es simplemente el comienzo de la búsqueda de las causas, no
su final. El error, ni más ni m enos que el desastre que pu ede precipitar, es
algo que precisa explicación. Solamente si comprendemos el contexto que
lo provocó podremos tener alguna esperanza de limitar su repetición.
Si esto es así, ¿por qué la gente está tan dispu esta a aceptar el error hu-
mano como explicación, en lugar de COU10 algo que ha de ser explicado ?
La respu esta está profundamente arraigada en la naturaleza humana. Los
psicólogos lo denominan error de atribución fundal'nentaP.
C uando vemos a, u oímos de, alguien que actúa mal, tendemos a atri-
buir su conducta a algún aspecto estable de la personalidad de ese indivi-
duo. D ecimos que es descuidado, tonto, estúpido, incompetente, temerario
o inconsciente. Pero si preguntásemos a esa persona por qu é se comporta
así es casi seguro que nos respondería señalando a la situa ción local y afir-
mando que no te¡úa elección -que las circunstancias le obligaron a obrar
así-oLa realidad, por supu esto, se sitúa en algún punto entre ambos ex-
trenlOS.
EL C ICLO DE INCULPACIÓN
¿Por qué estamos tan dispuestos a culpar a las personas antes que a las si-
tuaciones? Parte de la respuesta radica en la ilusión del libre albedrío 4, que es
lo que hace del error de atribu ción fundamental algo tan intrínseco a la na-
turaleza humana.
Las personas, esp ecialmente en las culturas occidentales, confi eren un
gran valor a la creencia de qu e son agentes libres, dueilos de su propio des-
tino. Pu eden llegar a enfermar fisica y mentalm ente cuando se les priva de
esa sensación de autononúa personal. Al valorar tanto como lo hacemos esa
sensación de lib ertad personal, naturalmente suponemos que los demás
también controlan sus resp ectivos destinos; les vemos también como agen-
tes libres, capaces de escoger entre el bien y el mal, así como entre cursos
3. S.T. Fiske y S. E.Taylor, Social Cogll ilioll, Reading, MA,Addison-Wesley, 1978.
4. H . M. Lefco urt, «The fUl1ctiol1 of the illusions of control and fie edo J11», Alllericall
Ps)'c/¡ologis!, mayo de 1973, pp. 417-425.
173
La gestión de los g randes riesgos 7. Una guía práctica para la gestió n del error

de acción correctos o proclives al error. Cuando a la gente se le da a leer pequeño o nulo, los errores continúan estando implicados en incidentes y
informes de accidentes y se le pregunta qué factores causales serían más accidentes. Entonces los jefes se sienten doblemente agraviados: han ad-
evitables, casi invariablemente señala a los factores humanos; se los ve cama vertido y castigado al personal, pese a lo cual, persiste en cometer errores;
algo mucho menos fijo o constreñido que cualquier co ntribución causal parece que se mofa deliberadamente de la autoridad de la dirección. En
situacional u organizativa. Es esto, unido a la ilusión del libre albedrío, lo consecuencia, quienes cometen los siguientes errores reciben admonicio-
que impulsa el ciclo de inculpación que muestra el diagrama 7.1. nes más severas y sufren sanciones más p enosas.Y el ciclo se perpetú a.
Por supu esto, las personas pueden comportarse de manera descuidada
y estúpida; todos lo hacemos en algún momento. Pero un acto estúpido
Diagrama 7.1
o descuidado no convierte a una p ersona en estúpida y descuidada. Todo
Los elem.entos del ciclo de inculpación
el mundo es capaz de un amplio abanico de acciones, geniales en ocasio-
nes, otras veces tontas, pero casi siempre algo intermedio. Uno de los
Las acciones humanas
se ven como las causas principios básicos de la gestión del error es que el mejor personal puede
menos constreñidas cometer a veces los p eo res errores . Así pues, ¿cómo em anciparnos del
de los accidentes y, por
ciclo de inculpación? Debemos admitir los siguientes h echos básicos sobre
ende, como las m ás
evitables. la naturaleza y el error humanos:
- Las acciones humanas están constreñidas casi siempre por factores que
¿Por qué? Porque se ve se encu entran más allá del control inmediato del individuo.
Los errores se consideran a las personas com o - La gente no pu ede evitar fácilmente acciones que no tenía inten ción
ahora incluso más age ntes libres, capaces
previa de realizar.
culpables, puesto que de elegir entre acciones
parecen ignorar correctas y erróneas. - Los errores tien en múltiples causas: factores personales, relacionados
deliberadamente con la tarea, situacionales y organizativos.
admoniciones, sanciones - En el caso de una fuerza de trabajo exp erta, exp erimentada y en gran
y exhortaciones .
medida bien intencionada, las situaciones son más susceptibles de me-
Dado que los errores se
jora que el personal.
co nsideran intencionados
en parte, atrae n sobre
sí la atribución
de culpabilidad. ¿LAS PERSONAS O LAS SITUACIONES?
Estas medidas son A las acciones
ineficaces y, en consideradas culpables El comportamiento humano está gobernado por la interacción entre fac-
co nsecuencia, los errores se respond e con
~ admo niciones, sanciones tores psicológicos y situacionales. El libre alb edrío es ilusorio porque las
siguen implicados en los
y exigencias de «ser más circunstancias locales limitan siempre nuestro margen de acción. Esto vale
sucesos adversos.
cuidadoso en el futuro». para los errores igual que para cualquier otra acción humana. Estas afir-
maciones plantean una pregunta cru cial a todos aquellos cuyo oficio es
minimizar los errores peligrosos potenciales: ¿qué es m ás fácil de enmen-
dar, la persona o la situación?
Al considerar a las personas como agentes libres, sus errores se ven, al El sentido común y la práctica general harían p ensar que se trata de la
menos en parte, como acciones voluntarias. Las transgresiones deliberadas persona. Después de todo, a una persona se la puede volver a formar, dis-
reciben admoniciones, sanciones, amenazas y exhortaciones a no reincidir, ciplinar, asesorar o advertir de manera tal que se consiga que en el futuro
pero como el efecto de éstas sobre los factores generadores de errores es se comporte de forma más adecuada -o ésa es al m enos una creen cia

174 175
La gesti ón de los grand es riesgos
muy extendida-oEsta visión de las cosas es especialmente predominante
en aquellas profesiones qu e se enorgullecen de su voluntaria aceptación
de la responsabilidad p erson al -médicos, pilotos, ingenieros y simila-
res-o Las situaciones, en cambio, aparecen como algo dado: parece que
tenemos que resignarnos a cómo son. Pero, ¿realmente es esto así?
En realidad, no. La mayoría de la opinión científica se inclina clara-
mente a favor del enfoque situacional, en lugar del personal, de la gestión
del errors. Hay much as razones para que así sea.
- La falibilidad humana puede moderarse hasta cierto punto, pero no
puede eliminarse del todo. Es una parte constante de la naturaleza hu-
mana, en parte porque los errores, en muchos contextos, tien en una
función útil (por ej emplo, el aprendizaje por prueba y error en situa-
ciones basadas en el conocimiento).
- Diferentes tipos de errores ob edecen a diferentes mecanismos psico-
lógicos, suceden en partes diferentes de la organización y demandan
métodos de gestión diferentes.
- Los errores que pueden ser determinantes para la seguridad ocurren
en todos los niveles del sistema, no sólo en la primera línea.
- Las m edidas que implican castigos , amenazas, amedrentamiento, peti-
ciones de cooperación, etc., sólo tienen una efectividad lTlUy limitada.
y, en muchos casos, pu eden ocasionar más p eljuicios que beneficios
- a la moral, al respeto por uno mismo y al sentido de la justicia.
- Los errores son producto de una cadena de causas donde los factores
psicológicos precipitantes - una momentánea falta de atención, un
error de juicio, un fallo de memoria, una preocupación absorbente-
suelen ser los eslabones finales, y los más difíciles de gestionar, de la ca-
dena.
- La evidencia pro cedente de nUlTlerosas investigaciones de accidentes
indica que los episodios adversos son más a m enudo resultado de si-
tu aciones y actividades pro clives al error que de perso nas propensas al
error. Por supuesto, esas personas existen, pero raramente p ermanecen
mu cho tiempo en la peligrosa primera línea. Con bastante fi'ecuencia,
se las asciende a puestos directivos.
5. D. Meister, «Human error in man- mac hine sys tems», en S. Brown y J. Martin (ed.)
HI/I/lnfl Aspals oj 1\IIal/ -Mane S)'slems, Milton Keynes, The Open Ull.iversity Press, 1977,
pp. 299-324.Véase también el artículo de S. C. Brown en elITllsmo volumen (pp. 44-53).
7- Una guía práctica para la gestión de! error
UNA VISIÓN DE CONJUNTO DE LA CAJA DE HERRAMIENTAS
DE LA GESTIÓN DEL ERROR
No entra dentro del alcance de este libro ofi"ecer una revisión definitiva
de todas las técnicas disponibles directa o indirectamente relacionadas con
la gestión del error -en el sentido más amplio del término-o No me
ocuparé, por ejemplo, de muchas medidas que han evoluclOnado a lo largo
de los años y cuyo uso es hoy muy amplio, como la selección, la fonTla-
ción la concesión de licencias y certificados, la evaluación de habilidades,
la g~stión de recursos humanos, el seguimiento y la auditoría de la. cali-
dad, las auditorías de la seguridad técnica, las auditorías de actos p eligro-
sos, los sistemas de gestión de amenazas, los procedimientos, las listas de
comprobación, las normas y regulaciones, los controles administrativos
(por ej emplo, los sistemas de p ermisos para iniciar trabajos), la TQM, etc.
Tampoco examinaré instrumentos pertenecientes pnnCIp almente al te-
rreno de los ingenieros y los especialistas técnicos en fiabilidad , como la
evaluación probabilística de la seguridad (probabilistic saJety assessment, PSA) ,
los análisis basados en árboles de fallos y eventos, el análisis de la fiabilidad
humana (human reliability analysis, HRA), el análisis del error humano ~~uman
error analysis, HEA), los estudios del riesgo y la operabilidad (haz ard operabi-
lity studies, HAZOP) , los análisis del modo y los efectos del fallo (failure modes
and effects anal}'sis, FMEA) y medidas similares. No es que consldere que estas
técni cas no son importantes -por el contrario, constituyen una parte
esencial de la caja de herramientas del gestor de la seguridad-, pero ya
han sido extensamente analizadas en varios excelentes libros recientes .
6
Aquí concentraremos nuestra atención en aquellas técnicas de EM di-
rectamente relacionadas co n los temas analizados a lo largo de este libro,
y muy en especial con las m edidas que siguen los principios de evaluación
de la seguridad expuestos en el capítulo 6. Albergo la esperanza de que lo
que la selección resultante pu eda adolecer en cuanto a falta de amplitud
lo compense su novedad y su utilidad práctica. La gestión comprehenslva
del error puede y debería dirigirse a varios niveles diferentes de la orga-
nización -el individuo y el equipo, la tarea, el lugar de trabajo y los pro-
6. E. H ollange!, HI/l"ll an R eliabi/if)' A I/al)'sis: COl'ltexl (J1l.n Control, Londres, Academic
Press 1993. Center for C hemical Process Safety, CI/inelines jor Pre/Jenll/lg Hl/l1l an Error 111
Proce;s Scifet)', Nueva York, Center for C hel1l.ical Process Safety of the American Institute
of C hel1l.ical Engineers, 1994 . B. Kirwan, A CI/ine lo Practical HI/I/Jal/ R elwbJil ly Assess1'llent,
Londres, Taylor & franci s, 1994. A. 1. Glendon y E. F. M cKell.na, HI/lll al'l. Sajet)' afln R1Sk
i\llmwgel/lel/t, Londres, C hapm an & Hall, 1995 .
177
 7. Una guía práctica para la gesti ón del error
La gesti ón de los grandes riesgos

cesos organizativos- . Como señalamos antes, muchas organizaciones ya Tabla 7.1

Resumen de herramientas de gestión del error
orientan la mayoría de sus recursos de EM h acia el individuo. Por esta razón,
y por consistencia con el acento que este libro pone en los factores COn- Reactivo-proactivo
Herramientas de Sectores originales Niveles organizativos
textuales, más que personales, no profundizaremos más en las medidas de gestión del error de aplicación a los que va dirigido
carácter individual. Tampoco nos ocuparemos de las medidas relativas a , Proactivo'
'ñipod-Delta Exploración y Factores del lugar
los equipos -han sido analizadas ya con gran amplitud en otras obras-o producción petrolífera. de trabaj o y de la
Transporte marítimo organjzacjón
Durante los últimos quince años las grandes aerolíneas han formado a sus
Operaciones Factores del lu gar de Proactivo
pilotos -y, más recientemente, a sus ingenieros de mantenimiento- en Review
ferroviarias trabajo y de la
gestión de recursos de tripulación (crew resources managel'nent, CRM), o ges- o rganización
tión de recursos de cabina. Esta técnica ha tenido mucho éxito en la me- Ingenjería de gestión Mantenimiento de Factores del lugar de Proactivo
jora de la actuación de los tripulantes , en particular en lo referente a de la salud y la aero naves trabaj o y de la
seguridad (MESH) organjzación
compartir mejor la conciencia de la situación, a la mejora de las comuni-
Lecrllca de evaluación Potencialmente Factores de la tarea , el Proactivo
caciones y a la potenciación de las habilidades de liderazgo. No obstante, y reducción del error aplicable a todas las lugar de trabajo y la
las técnicas de CRM, sus puntos fuertes y sus débiles, han sido ya obj eto de humano (HEART) operaciones peligrosas organización

varios libros recientes y, por lo tanto, no ahondaré más en ellas aquí 7 . Potencialmente Factores de la tarea, el R eactivo y proactivo
Metodología del
diagrama de influencia aplicable a todas las lugar de trabaj o y la
Esto nos deja sólo tres niveles que considerar: la tarea, el lugar de tra- operaciones peligrosas organización
(IDM)
bajo y la organización. En el capítulo 5 describí una técnica para identi- Mantenimjento de Factores de la tarea, el Reactivo
Ayuda a la toma
fic ar los pasos proclives al error en tareas de mantenimiento, por lo que de decisiones sobre ae ronaves lu gar de trabajo y la
organización
no la repetiré aquí.Y esto nos lleva a las principales áreas de análisis: las he- errores de
mantenimiento (MEDA)
rramientas reactivas y proactivas diseñadas para revelar y corregir los fac- R eactivo
Tripod-Beta Exploración y Factores de la tarea, el
tores generadores de error tanto al nivel del lugar de trabajo como al de producción petrolífera lugar de trabaj o y la
la organización. La tabla 7.1 resume las m edidas que examinaremos. organización

En las descripciones que siguen a continuación examinaremos Tri-

pod-Delta con m ás detalle que los otros instrumentos proactivos de me-
di ción de procesos. Existen para ello diversas razones:
- Es el «ancestro» tanto de Review como de MESH . Como tal, encarna
todos los principios que subyacen a las técnicas posteriores .
- Lleva en uso ya varios años, por lo que sabemos m ás de sus puntos
fuertes y débiles que en el caso de otras técnicas.
- Ha sido puesto a prueba en una amplia variedad de continentes, cul-
turas y operaciones, desde Norteam érica y el norte de Europa, pa-
sando por Oriente Medio y Áfi:ica, hasta el sudeste asiático y Australia.
También ha sido aplicado con éxito en instalaciones m arítimas.
TRIPOD-DELTA
Un equipo de investigación conjunto de las universidades de Leiden y
Manch ester creó Tripod-Delta para las operaciones de exploración y pro-
ducción petrolera de Shell Internacionale Petroleum M aatschappij (hoy
Shell International Exploration and Production BV)8. El proyecto Tripod
comenzó en 1988. La técnica se desarrolló en varias compañías de opera-
ciones de Shell entre 1989 y 1992. La primera versión fue editada para
toda la Shell en 1993, y la actual versión revisada -conocida ahora como
Tripod-D elta para distinguirla de su pariente próximo,Tripod-Beta- fue
puesta en circulación en 1996 .

7. E. Wiener, B. Kanki y R . H ehnreich, C rew Resollrce Mm"/agel'/'lent, Nu eva York,Aca-

8. P. Hudson,]. Reason,W.Wagenaar, P. Bentley, M . Primrose y].Visser, «Tripod-Delta:
dem.i c Press, 1993. N.]ohnston, N. M cDonald y R. Fuller, Aviation Ps)'cholog)' in Practice,
proactive app roach to enhanced safety», journol 01 Petrole/./ll/ Technolog)', 40,1994, pp. 58-62.
AJdershot, Avebury, 1994.
179

La gestión de los grandes ri esgos
Tripod-Delta tiene tres elementos:
- Una filosofía de la seguridad coherente que conduce al establecimiento
de objetivos de seguridad alcanzables.
- Una manera de pensar integrada sobre los pro cesos que perturban las
operaclOnes seguras.
- Un conjunto de instrumentos para medir estos pro cesos perturbado-
res - denominados tipos genéricos de fallo (genera lJailure type, GFT)-
que no dependen de las estadísticas de incidentes o accidentes (es decir,
de medidas de resultados).
Durante el desarrollo de Tripod-Delta, la principal magnitud de la se-
guridad que empleaba Shell era la tasa de accidentes que ocasionaron pér-
didas de jornadas de trabajo por millón de horas/ hombre de trabajo. El
principal objetivo del program a Tripod era la reducción de los acciden-
tes con pérdida de j ornadas de trab;0o (Lost-time iryuries, LTI) . No obstante,
Tripod-Delta no pretendía reducir los LT I directam ente, sino que operaba
un nivel más arriba, al apuntar a los tipos genéricos de fallo, esto es, a los
factores situacionales y organizativos qu e provocaban los LTI. La filo sofía
subyacente puede resumirse del siguiente modo:
- La gestión de la seguridad es esencialmente un problema de control or-
ganizativo.
- La clave radica en sab er qué es controlable y qué n o lo es.
- Los actos peligrosos, los LTI y los accidentes so n engendrados por la
unión de dos conjuntos de progenitores: los tipos genéricos de fallo
(véase más adelante una descripción completa) y los fac tores desenca-
denantes locales.
- Sin embargo, sólo uno de ellos puede conocerse por adelantado y, por
ende, es potenciah11ente corregible antes de causar daI10, a saber, los GFT,
-
las condiciones latentes asociadas a pro cesos organizativos concretos.
Los LTI son como mosquitos. Es inútil intentar acabar con ellos uno a
1 Inspeccion ar
uno. Sencillamente, otros ocupan el lu gar de los eliminados. La única
solución a largo plazo es drenar los pantanos donde se reproducen
-esto es, los tipos genéricos de fallo.
- Una gestión efectiva de la seguridad depende de la m edición regular
y la corrección selectiva de los GFT. Los instrumentos de Tripod-Delta
están diseI1ados para guiar este proceso.
Tripod toma su nombre de la estru ctura tripartita que muestra el dia-
gram a 7.2, que resume también los elementos principales de la filosofía
1 80
7. Una guía práctica para la gestió n del erro r
que subyace a Tripod-Delta . La «pata,) inferior der:cha del diagrama 7 .2
representa la preocupació n tradicional de la .gestlOn de la segundad: la
realización de actos peligrosos en circunstanCIas peligrosas. En ocaSlOnes
estos actos traspasan las defensas y causan resultados adversos. En el pasado,
la mayoría de las medidas correctivas iban dirigidas a la dos «patas» infe-
riores. Se hicieron enérgicos esfuerzos por formar y motivar al person al
para que trabajase de for ma segura, las defensas fueron inspeccionadas y
mejoradas con regularidad y se investigaron los sucesos adversos p a r~ eVI-
tar qu e volvieran a su ceder.Tripod-Delta aI1ade una tercera dimenslOn, de
la máxima inLportancia : la medición y control de los GFT, a los que se Iden-
tifi ca, en parte, a partir de las condiciones latentes recurrentes unidas a su-
cesoS anteriores (indicado en el gráfico por la flecha que une los sucesos
con los GFT). Éstos, a su vez, crean las condiciones que fomentan o exa-
cerban los actos peligrosos (indicado en el gráfico p or la flecha qu e une
los GFT con los actos peligrosos). Veremos la naturaleza, la m edición y el
co ntrol de los GFT un poco más adelante.
Diagrama 7.2
Las tres "patas» de Tripod-Delta: tipos genéricos de fallo, actos peligrosos,
resultados negativos
T ip os ge néri cos
de fallo
,1
'1
y m ej ora r
I
incide ntes,
pérdidas
Defensas
Ta mbién se id entifica n las acciones de gestión de la seguridad necesar ias en cada etapa. La más
importan te de todas es la med ición y control de los CFT.
181
La gestión de los grandes ri esgos
Tras observar operaciones en varias compañías de op eraciones y estu-
diar sus registros de accidentes, se escogieron 11 GFT como los que mejor
reflejaban los factores del lugar de trabajo y organizativos con mayor pro-
babilidad de contribuir a que se cometieran actos peligrosos y, en conse-
cuencia, de causar LT I. La lista es la siguiente:
- Hardware. Incluye todo lo relacionado con la calidad y disponibilidad
de herramientas y equipo. Sus componentes principales incluirían las
políticas y las responsabilidades sobre las compras, la calidad del sis-
tema de almacenaje, la calidad de los suministros, el robo y extravío de
equipo, el alquiler a corto plazo, el cumplimiento de las especificacio-
nes, la edad del equipamiento, el uso heterodoxo de éste, etc.
- Diseño. El diseño se convierte en GFT cuando conduce directamente a
que se cometan errores e infi·acciones. Hay tres clases principales de
problemas: la incapacidad del diseñador para aportar orientación ex-
terna (abismo de conocimiento), la frecuente opacidad para el opera-
dor del funcionamiento interno de los objetos diseñados, así como del
abanico de acciones que es seguro efectuar con ellos (abismo de eje-
cución), y el hecho de que los objetos diseñados no procuren infor-
mación de retroalimentación a su usuario (abismo de evaluación).
- Gestión del mantenimiento. Este GFT se preocupa de la gestión, más que
de la ejecución de las actividades de mantenimiento (comprendidas
en otros GFT). ¿Se planificó el trabajo para que fu era seguro? ¿Originó
el trabajo de mantenimiento, o la parada a él asociada, algún tipo de
peligro? ¿Se llevó a cabo el mantenimiento a su debido tiempo?
- Procedimientos. Atañe a la calidad, precisión, relevancia, disponibilidad
y factibilidad de los procedimientos.
- Circunstancias capaces de forzar un error. Se refiere a circunstancias rela-
cionadas con el lugar de trabajo o con el individuo que pueden indu-
cir actos peligrosos. Pueden dividirse en dos amplias categorías que,
hasta cierto punto, se solapan: las circunstancias que promueven erro-
res y las circunstancias que promueven infraccion es. Como muestra el
diagrama 7.3, las circunstancias que fu erzan la comisión de errores re-
ciben la influencia de numerosos G FT «corriente arriba» de la organi-
zación.
- Gobierno domésúco ~10usekeepil1g). Constituye un GFT cuando los pro-
blem as llevan presentes mucho tiempo y varios niveles de la organi-
zación son conscientes de ello, pero nada se ha hecho para corregirlos.
Sus influencias «corriente arriba» incluyen: una inadecuada inversión,
7. Una guía práctica para la gestió n del error
insuficiente personal, incentivos insatisfactorios, una deficiente defi-
nición de las responsabilidades o un equipo flsico pobre.
_ Objetivos incompatibles. Los conflictos de obj etivos pueden ocurrir en
cualquiera de estos tres niveles:
• Conflictos de objetivos individuales causados por alguna preocupa-
ción o por asuntos domésticos .
• Conflictos de objetivos grupales, cuando las normas informales de un
grupo de trabajo son incompatibles con los objetivos de seguridad de
la organización.
• Conflictos en el nivel organizativo, cuando h ay incompatibilidad
entre los objetivos de seguridad y los de produ ctividad.
Comunicaciones . Los problemas de comunicación pueden clasificarse
dentro de tres categorías:
• Fallos sistémicos consistentes en que los canales de comunicación
necesarios no existen, no funcionan o no se los usa regularmente.
• Fallos de m ensaj e, en que los canales existen, pero la información
necesaria no se transmite.
• Fallos de recepción, en que los canales existen y los mensajes se en-
vían, pero el receptor los m.alinterpreta o llegan dernasiado tarde.
_ Organización. Se refiere a las deficiencias de organización que desdIbu-
j an las responsabilidades en relación con la seguridad y hacen posIble
qu e se pasen por alto las señales de advertencia. Sus tres. componentes
principales son la estructura organizativa, las responsabilidades orgarn-
zativas y la gestión de la seguridad de las subcontratas.
_ Formación. Esta clase de problemas incluye el no ser capaz de com-
prender las n ecesidades de formación, la insuficiencia de la fOl~mación
con respecto a lo que las op eraciones requieren, la obstruCClOn de la
formación, la insuficiente evaluación de los resultados, una combma-
ción desafortunada de trabajadores con y sin experiencia, un análisis
defici ente de las tareas, la inadecuada definición de las competencias
necesarias, etc.
_ Difensas. Comprende los fallo s en la detección, la alerta, la protección
del personal, la recuperación, la contención, la evacuación y el rescate.
Las evaluaciones Tripod-Delta de cualquier tipo de op eración con-
creta (por ejemplo, la peI{oración, la exploración sismológica, la. ingenie-
ría, el transporte por carretera, el transporte marítimo, etc.) denvan de la
aplicación de listas de comprobación basadas en indicadores -o sínto-
mas- específicos de la presencia y grado, de GFT. Estos mdIcadores se ob-
1 83
La gestión de los grandes ri esgos 7. Una guía práctica para la gestión del erro r

Diagram_a 7 .3 -¿Están situadas las válvulas de corte a una altura superior a los 2 metros?
Las relaciones entre procesos sistémicos básicos y tipos genéricos de f.111o, y el -¿Se han señalizado las conducciones con un có digo estándar (el de la
impac to combinado de dichos GFT en las circunstancias que fu erzan los errores compa11Ía) ?
Procesos GTF
- ¿Hay en es ta plataforma puntos donde las cubiertas y las pasarelas están
a diferente altura?
Establecimiento de obj etivos Objetivos inco mpatibles
I -¿Ha habido que efectuar durante la semana previa más de dos opera-
Organización Deficiencias organizativas ciones de mantenimiento no programadas?
Gestión Comunicaciones deficientes -¿Salen m alos olores del sistema de ventilación a baj a presión?

Diseño Fallos de diseI'io Expertos en determinada tarea, con una experiencia profesional sinu-
D efe nsas insuficientes lar, crean los indicadores. El software de Tripod-D elta, implementado en un
Construcción Fallos de hardware ordenador p ersonal, almacena las bases de datos de los indica dores (una

Funcionamiento
D efe nsas insuficientes
Formació n deficiente
Procedimientos inadecuados
--i~
,I por cada GFT y cada tipo de op eración) y construye el instrumento de
lnedida para cada comprobación que se requiera seleccionando 20 indi-
cadores para cada GFT y generando con ellos una lista de comprobación
Gobierno doméstico pobre C irCllllstanc ias
aptas para forzar de 220 Ítems que un nuembro de la fu erza de trabajo (por ej emplo, un su-
M antenimiento Formación deficiente
la comisión de pervisor de pel{oración) debe cumplimentar. Sólo una pequeña porción
Procedimientos inadecuados --l ~
errores
Pobre gestión del de Ítems se repite entre una lista y la siguiente. El formulario del listado
mantenimi ento puede contestarse en pantalla o sobre papel. Una vez com.pleto, el software
analiza los datos y genera un perfil de estado de fallo -un gráfi co de ba-
rras- qu e mu estra el grado relativo de preocupac ión que inspira cada
tienen directamente de especialistas en cada una de las actividades y ta- uno de los 11 GFT (véase el diagrama 7.4). En particular, identifica los dos
reas concretas, es de cir, de quienes es tán im_plicados diariamente en su o tres GFT qu e más n ecesitan de atención inmediata. El software analiza
gestión y operación. Quienes tienen experiencia directa de un tipo par- también las tendencias a lo largo del tiempo y archiva los datos de mu -
ticular de trabajo poseen un conocimiento vital (y habitualmente sin ex- chos lugares. Las sesiones de comprobación Tripod-Delta suelen realizarse
plotar) de lo que es seguro y lo que es peligroso hacer en él.Tripod-Delta trimestralmente; si bien esto se puede modificar para acomodarse al ritmo
ha sido co nfeccionado específicamente para que sean ellos mismos quie- de cambio de cada lugar de operaciones concreto.
nes lo usen, asegurándose así de que vean la información que proporcio- La clave del uso de Tripod-Delta radica en gestionar los perfiles en
nan como relevante para su trabajo. Esto significa qu e quienes efectúan el lugar de los indicadores individu ales. Éstos son meros síntomas y, por lo
núcleo de la actividad so n también quienes construyen estos instrum_en-
tanto, corregirlos individualmente raramente «cura» la «enfermedad» sub-
tos y los tienen en sus manos.
yacente. La tarea de los gestores de áreas estratégicas y operativas consiste
Cada indicador se refiere a un Ítem tangible -algo que puede obser-
en revisar los p erfiles de estado de fallo para sus respectivas áreas y plani-
varse directamente en las instalaciones o encontrarse en el sistema de ar-
ficar e implementar acciones correctivas para los dos o tres «p eores» GFT
chivo de información- sobre el qu e hay que responder simplemente con
se11alados en cada operación de comprobación. La gestión de la seguridad
un «sh) o un «no». A continuación, a modo de ej emplo, ofi-ezco una lista
comporta así una mejora proactiva consta nte de los procesos causales sub-
de algunos Ítems indicadores relacionados con el dise110 de una plata-
yacentes en lugar de «arreglos») reactivos dirigidos a prevenir el último ac-
forma de explotación de hidrocarburos en alta mar:
cidente ocurrido.
- Esta plataforma, ¿fue diseñada originalmente para funcionar de forma D ebería advertirse asimismo qu e sólo uno de los GFT - las defensas-
automática? está específi cam ente conectado con la seguridad. Los restantes tienen que
La gestión de los grandes riesgos 7. Una guía práctica para la gestión del error

Diagrama 7.4 su atención en los factores humanos y organizativos que afectan a las prác-
Un perfil d e estado de fallo Tripod-Delta qu e identifica los tres GFT
ticas de trabajo seguras; en su funcionamiento, va de abajo arriba: se crea
que más n ecesitan ser mejorados en el futuro inmediato (en este caso,
procedünientos, objetivos incompatibles y comunicación)
en el lugar de trabajo usando el conocimiento de oficio de los especialis-
tas en la tarea y es descriptivo -esto es, dice cómo es realmente el mundo,
Motivos de preocupación, tal co mo revelan las no cómo debería ser- y deliberadamente no comprehensivo: muestrea
puntuaciones de las listas de comproba ción solamente un número limitado de las dimensiones posibles de la salud de
Tipos genéricos de fallo la seguridad. En una palabra, cada proceso potencia y complementa el
Hardware otro. El objetivo es que los dos trabajen en paralelo.
Diseño Las más
Gestión del mantenimiento ,-, necesitadas de
Procedimientos , - corrección
I
REVIEW y MESH
Circunstancias capaces de forza r '-'
un error
Gobierno dom és ti co Aunque se aplican en sectores diferentes, es oportuno examinar conjun-
Objetivos incOlnpatibles
Organización
Comunicación
:1: J ' ,,
I
tamente Review10 y MESH II porque ambos se guían por los mismos prin-
cipios fundamentales y usan el nüsmo método de evaluación. Estos
Formación '-' instrumentos son los descendientes naturales de Tripod-Delta, si bien para
Defensas medir el impacto adverso de las condiciones latentes usan escalas de opi-
nión en lugar de indicadores. Los dos fueron desarrollados por la Uni-
o 5 10 15 20
versidad de Manchester -en colaboración con British Rail Research y
Número de indicadores a los que se ha respondido
en un sentido "preoc upante» (20 Ítems por cada GFf)
British Airways Engineering respectivamente- a comienzos de la década
de los noventa y llevan ya varios años en uso. Como señala la tabla 7.1, Re-
view investiga los factores locales y organizativos que afectan a la actua-
ción humana en operaciones ferroviarias, en tanto que MESH evalúa las
ver con procesos generales que cimentan tanto la calidad como la segu-
ridad. Por eso el perfil de estado de fallo constituye una parte importante mismas cuestiones en el contexto del mantenimiento de aeronaves.
Los indicadores Tripod-Delta tienen muchas ventajas obvias: son ob-
de la caja de herramientas de cualquier gestor estratégico u operativo. La
servables directamente, es bastante dificil que las inclinaciones o sesgos de
seguridad no es un «añadido ».
quien contesta el cuestionario influyan en sus respuestas y tienen validez
Existe una estrecha sinergia entre Tripod-Delta y los tipos de sistemas
tanto de contenido como formal, esto es, por un lado, están directamente
de gestión de la seguridad que las compañías de exploración y producción
relacionados con los GFT individuales de un contexto operativo particular
petrolífera han venido desarrollando en respuesta al Inform.e Cullen sobre
y, por otro lado, cualquier usuario especialista puede considerarlos rele-
el desastre de la plataforma Piper Alpha9 Un sistema de gestión de la se-
guridad proporciona las estructuras administrativas necesarias para im- vantes para las cuestiones locales significativas para sus tareas correspon-
dientes (ya que los indicadores fueron generados por agentes idénticos a
pulsar buenas prácticas de seguridad; se centra en los factores técnicos y
ellos). Pero no carecen de problemas: crear una base de datos de indicado-
de gestión asociados con los peligros; funciona de arriba abajo, liderado
por la gestión; es prescriptivo y normativo, es decir, enuncia como debe-
rían ser las cosas; comprehensivo como es, abarca todas las amenazas del
10.]. Reason, R eview. I. OlJeflliew. 11. Theor)', Derby, British Railways Board, 1993.véase
sistema y los requisitos para su gestión. De otro lado, Tripod-Delta centra también, S. Tozer, Reviel.l!, Su mlrlar)' of Pilol Study, Londres, Railtrack Safety & Standards
Dlrectorate, 1994. D ebe señalarse que Railtrack ha cambiado recientemente el nombre de
Review por el de Target.
9. The Han. Lord Cullen, PlIblic inq/./ir)' il'llo the Piper A lpha Disasler, Department of 11.]. Reason, ComprehensilJe Error Management il'lAircrcift Engineering:A Ma/'Iager's Cuide,
Energy, Londres, HMSO, 1990. London Heathrow, British Ailways Engineering, 1995.

r86
La gesti ó n de los grand es ri esgos
res es un pro ceso largo, caro e intensivo en trabajo. Adem ás, aunq ue se
asume que todos los Ítems de la rela ción de indicadores de un GFT poseen
acerca del estado de éste la rnisma «capacidad diagnóstica», no sien"lpre es
así en la práctica: algunos Ítems pueden discriminar m ejor qu e otros el es-
tado de la situació n; otros pu eden adolecer de efectos «techo» o «suelO»
-es decir, recibir siempre la nusma respuesta, sea «sí» o «no », y por tanto
ap ortar escasa información.
Por estas y o tras razo nes, tanto Review co mo MESH emplean escalas
subj etivas de cinco puntos en lugar de indica dores obj etivos «sí o no».
Mu ch os ingeIueros nuran con desco nfianza toda cifra que no sea fácil de
precisar hasta cuanto m enos u n par de decimales, p ero es ta actitud no
siempre aprecia qu e estas escalas «basa das en meras impresiones» explotan
un talento natural humano: a los seres humanos se nos da muy bien esti-
mar las frecuencias relativas de tipos particulares de sucesos -empleando
para ello una escala de m edida o rdinal, más que intervalo continua-;
codificamos automáticam ente, sin esfu erzo consciente, los datos sobre la
frec uencia con que algo ocurre. C uando estas estimaciones ordinales de
la fi'ec u encia de ciertos sucesos se comparan con la realidad (c uando ésta
es conocida) los coeficientes de correlación se sitú an en torno a, o por en-
cima de +0,9 .
Los problem as definidos con cla ridad no son sucesos distintos a los
demás y su frecuencia se pu ede estimar delnusmo modo. Tanto R eview
como MES H piden a especialistas en tareas concretas -personas que, de
hecho, llevan a cabo directam ente el trabajo correspondi ente, o bien ges-
tores de primera línea- qu e estimen, sobre una escala de 1 (nunca o casi
nunca) a 5 (muy a m enudo) , con qu e frecuencia han afectado negativa-
mente a su trabajo determinados tipos de problemas organizativos o del
lugar de trabajo en el curso de un periodo de tiempo breve, claramente
delinutado, o en rela ción co n un núm ero redu cido de tareas concretas .
Otro mo tivo de preocupación para las perso nas formada s en las cien-
cias «duras» es su convicción de que estas escalas son m uy susceptibles a los
sesgos subj etivos. Los descontentos, piensa n, usarán las escalas como un
pretexto para qu ejarse, nuentras que las personas en el extremo opuesto del
esp ectro afirmarán qu e todo va de la m ejor manera en el nlejor de los
mundos posibles; y ninguno de los dos informará de la realidad. Esas per-
sonas ciertamente existen , por supu esto, p ero las ciencias del comporta-
nuento lleva n m ás de un siglo enfi"entándose al problem a de la subj etividad.
Una solució n co nsiste en agregar los datos procedentes de un eleva do nú-
m ero de personas a fin de generar, en cualquier momento dado, una ima-
188
7· Una guía práctica para la gestió n del error
gel: promedio. ASÍ, las visiones sesgadas de uno y o tro signo se compensan
recIpro ca m ente. Además, este m étodo ayuda a preservar el anoIumato de
quienes responden (véase el capítulo 9 para una discusió n más extensa de
los requisitos necesarios para conseguir una cultura que información de los
problemas <9usta» o «núnimamente culpabilizadora»).
R eview evalúa 16 facto res de problem as ferroviarios (rai[way problernJac-
tor5, I,"PF) seleccIO nad~s sobre la base de extensos estudios de campo. Las
evaluaCIOnes las efectuan regularmente (la periodicidad va ría en func ión
de la localización) m ediante un program a informático, sup ervisores de
dIferentes ac tIVIdades y lugares a los que se pide qu e estimen en qu é m e-
dIda cada uno de esos RPF ha constituido un probl em a en el ámbito de su
trabajo durante el último p eri odo contable. El programa analiza y archiva
los datos por localización y por tarea. Los 16 factores se enumeran a con-
tinuació n:
- H errami entas y equipami ento.
- Materiales .
- Supervisión.
- Entorno de trabajo.
- Actitudes del p ersonal.
- Gobierno doméstico.
- Co ntratistas.
-Diseúo.
- Comll1ucación entre el p erso nal.
- Comll1ucación entre departamentos.
- Asignación de personal y distribu ción de tareas .
- Formación.
- Plaluficación.
- Normas.
- Gestión.
- M anteninuento.
Mientras qu e las operaciones ferroviarias se distribuyen a lo larao de
miles de kilómetros de vías, las actividades de la ingeniería aeronáutic: sue-
len conc~ntrarse en un conglomerado centraliza do de talleres, hangares y
Oficll1as. Este era CIertam ente el caso de British Airways Engineering en
H~athrow c uando se desarrolló MESH, que, por ello, pudo co nfigurarse con
mas dIverSIdad que R eview: diversos tipos de p ersonal evaluaban fa ctores
t~nto locales como orgaIuza tivos y si bien los primeros diferían entre los
dIStll1tos lugares de trabajo (hanga res en línea, áreas de m anteIumiento en
 7. Una guía práctica para la gesti ón del error
La gestió n de los grandes riesgos

- Molestias e inconvenientes.
base, talleres y oficinas de evaluación de condiciones para el vuelo, etc.) se
- Elementos de seguridad del p erso nal.
midieron los mismos ocho factores organizativos en toda la organización:
Review y MESH (como Tripod-Delta) sintetizan las evaluaciones en
- Estru ctura organizativa.
diagramas de barras. En MES H, por ej emplo, cada evaluador ve primero el
- Gestión de personal.
diagrama de sus propias valoraciones y a continuación el de los valo-
_ Suministro y calidad de herrami entas y equipo.
res medios de su lugar de trabajo a lo largo de las cuatro semanas previas .
- Formació n y selección.
Al igual que en el caso de Tripod-Delta, el prop ósito de estos perfiles es
- Presiones comerciales y operativas.
identificar los dos o tres factores m ás necesitados de corrección y seguir
- Planificación y program ación temporal.
su evolución en el tiempo.
- M antenimiento de edificios y equipo.
D ebe subrayarse qu e el éxito de téc nicas como Tripod-Delta, R eview
- Comunicación.
y MESH depende de forma crucial de que los evaluadores perciban que la
Son gestores técnicos -personal situado en la intelfaz entre el sistema gestión actúa basándose en sus valoraciones. La direcció n deb e mantener
en su conjunto y sus lugares de trabajo concretos- quienes realizan men- a la fuerza de trabajo continuamente informada de los progresos de las ta-
sualmente (en ocasiones trimestralmente) las estimaciones de los factores reas de corrección. Si se percibe que no se hace nada, se esfuma todo in-
organizativos. En cambio, las evaluaciones de los factores locales las llevan centivo para aportar evaluaciones y el sistema muere.
a cabo entre el 20 y el 30% de la fuerza de trabajo directamente involu-
crada en las operaciones en la localización correspondiente. Los evalua-
dores se seleccionan aleatoriamente y efec túan sus estudios regularmente, TÉCNICA DE EVALUACIÓN Y REDUCC IÓN
por lo general, cada semana, pero en algunos casos con un intervalo mayor, DEL ERROR HUMANO (HEART)

directamente en un ordenador, moviendo el cursor con el ratón a lo largo

HEART fue desarrollado por Jeremy Williams, un ergónomo británico con
de una escala de valoración. Las respu estas son anónimas; quien contesta
amplia experiencia en muchas tecnologías de alta peligrosidad. Su aplica-
identifica únicamente su rango, su oficio y la localización donde trabaja.
ción detallada ha sido minuciosamente descrita en otro lugar 12 • En esta
En cada evaluación, el program a de MES H pide a quienes responden que
sección esbozaremos sus característi cas b ásicas, describiremos de qué
evalúen en qué m.edida cada uno de una serie de factores lo cales han
modo pueden ordenarse las circunstancias gen eradoras de error en fun-
constituido un problema en el caso de un número limitado de tareas con-
ción de su grado relativo de influencia y presentaremos un aspecto nu evo
cretas o dentro de un periodo de trabajo dado (por ejemplo, un día en
-un modo fundamentado de evaluar el imp acto de varios factores in-
particular) . A continuación se enumeran los factores locales definidos para
ductores de infraccio nes (violation-producing conditions, vpc) sobre la pro-
el mantenimiento en línea:
babilidad de que una persona se desvíe de los procedimientos operativos
- Conocimientos, habilidades y experiencia. seguros.
- M oral de trabajo. HEAJU ofi.·ece un conjunto de tipos de tareas gen éricas junto con sus
- H erramientas, equipo y piezas. probabilidades nominales de error asociadas (véase la lista de la tabla 7.2).
-Apoyo (de otros sectores). El punto de partida del análisis de HEART es establecer una corresponden-
- Fatiga. Cla entre la actividad que se pretende evaluar y uno de los géneros de ta-
- Presión.
- Momento del día. 12. ]. C.Williams, «HEAIU : a proposed method fo r assessi ng an d reducing human erron>,
- Entorno. en Proceedings 01 the N inth A dl){II'ICeS in Reliability Teclmology S)'lIIposilllll, Bradford: Univer-
- Ordenadores . Sidad de Bradford, 1986 .]. C. Williams, «A data- based m ethod fo r assessing and reducing
human error to improve operatio nal performance», en Proceedings 01 lEE Fourtlz CO I'iference
- Instrucciones, m anuales y procedimientos. 011 Hlllnall Factors in Power Plants, Monterey, CA, 6-9 de junio de 1988.

I90

La gesti ón de los grandes ri esgos
reas enumerados en la tabla 7. 2 . El paso siguiente, y el m ás impo rtante (
el que da a HEART su preerrunencia en este área), es consultar la lista de cu~
cu nstancias generadoras de error (error-producing conditions¡ EPC) y decidir
qué circunstan cia (s) es probable qu e tenga(n) impacto sobre la ej ecución
de la ac tividad en cuestión . H echo esto, la probabilidad nominal de error
del género de tarea se multiplica por la prop orció n correctamente esti-
m ada del fac tor adecuado de cada EPC .
C uando se pide a diversas personas que realicen una es timación de la
probabilidad absoluta de que suceda un tipo particular de error, las valo-
raciones pu eden diferir en varios órden es de m agnitud entre una y otra.
Pero una extensa revisión de la literatura sobre fac tores hu manos ha re-
velado que los efectos de diversas clases d e m anipulació n de las tasas de
error exhiben un alto grado de co nsistencia a través de una amplia varie-
dad de situaciones exp erimentales. La siguiente lista ordena las principa-
les circunstancias inductoras de error conforme a la m edida de su efecto.
Las cifras entre paréntesis indican la m agnitud po r la que debe multipli-
carse la probabilidad nominal de erro r para reflej ar la influencia de cada
fac tor :
- Falta d e familiaridad co n una situació n que es p o tencialmente im-
p o rtante p ero qu e es nu eva o bi en o curre sólo infrec uentem ente
(x 17).
- Escasez de tiemp o para la detección y correcció n de errores (x 11) .
- B aj a razón seiial-ruido - cuando es realmente pobre- (x 10).
- Supresión de informació n sobre características qu e es dem asiado ac-
cesible (x 9) .
- Ausencia -o p obreza- de infor m ación espacial o funcio nal (x 8).
- Falta de coincidencia entre el modelo del sistema del diseñador y el de
su usuario (X 8).
- Ausencia de medios evidentes para revertir una acción no in tencionada
(x 8) .
- Sobrecarga de la capacidad de u n canal, en particular la causada por la
presentación simultán ea de informació n no redundante (x 6).
- La n ecesidad de desechar una técnica e implem entar o tra qu e requiere
la aplicación de una fil osofia opuesta (x 6).
- La necesidad de transferir sin pérdidas conocimiento específico de una
tarea a o tra (X 5,5).
- Ambigüedad de los estándares de actuación exigidos (X 5).
- D esajuste entre el ri esgo real y el p ercibido (x 4).
- Una retroalimentació n sistémica pobre, ambigua o m al aj ustada (X 4) .
I9 2
l'
7. U na guía práctica para la gestión del error
_ Ausencia de una confirmación clara, directa y a tiemp o de la ejecució n
de una acción intencionada por parte d e la secció n del sistem a sobre
la que se deb e ej ercer control (X 3).
_ Inexp erien cia del op erador (p or ej emplo, un técnico recién cualifi-
ca do) (X 3).
_ Unos procedimientos y una interacción de persona a persona que em-
pobrecen la calidad de la inform ación (x 3).
_ Escasa o nula comp robación o prueba d e los resultados (x 3).
_ Conflicto entre obj etivos inmediatos ya largo plazo (x 2,5).
_ Ausencia de diversidad en el input de informació n para comproba-
ciones de veracidad (X 2,5).
_ D esaj uste entre el nivel de logro edu cativo de u n individu o y las exi-
gencias de la tarea (X 2) .
_ La presencia de algún incen tivo para emplear otros pro cedimientos
más peligrosos (X 2).
_ Escasa oportunidad de ej ercitar el cuerpo y la m ente fu era de los co n-
fines inmediatos del trabaj o (x 1,8).
_ U na instrumentación p oco digna d e confian za y que así se p ercib e
(X 1,6).
_ N ecesidad de realizar juicios absolutos que están m ás allá de la capa-
cidad o de la exp eriencia de un operador (X 1,6) .
- Falta de claridad en el reparto de funcio nes y respo nsabilidades (X 1,6).
- Ausencia de toda forma clara de seguir el progreso de la tarea al tiempo
que se la ej ecuta (X 1,4).
- Peligro de qu e las capacidades fisicas se vean sup eradas (X 1,4).
- La tarea tien e escaso o nulo significado intrínseco (X 1,4).
- Alto nivel de tensió n em ocion al (X 1,3).
- M ala salud, esp ecialmente fi ebre (X 1,2).
- D esmoralización de la fu erza d e trabaj o (x 1,2) .
- Inconsistencia entre la lec tura d e los indicadores y la esp erada p or los
p rocedimientos (X 1,15).
- Inactividad prolongada o ciclos repetitivos (X 1,1 para la primera m edia
hora, X 1,05 por cada h ora ulterior) .
- Perturbación de los ciclos no rmales de trabajo-su eño (X 1,1) .
- Alteraciones del ritmo de la tarea causados por la interven ción de otros
(X 1,06) .
- Miembros del equipo adicio nales por encim.a d e los n ecesarios para
efectuar las tareas de m anera n ormal y satisfacto ria (X 1,03 p or cada
persona adicional).
- La edad del personal que realiza tareas de percep ción (x 1,02) .
I93
La gestión de los grandes ri esgos 7- Una guía prác tica para la gestión del error

Tabla 7.2 La tabla 7.3 recoge dichos tipos de situaciones y sus valores nominales
Géneros de tareas y probabilidades de error asociadas (basado en Williams) para las mujeres. . . .
Hasta la fecha Williams ha estableCIdo el Impacto relatIvo de ocho vpc,
Géneros de tareas Probabilidades nominales de qu e, junto con sus factores de ponderación, conforman la siguiente lista:
error (en el intervalo
percentil entre 5 y 95)
_ La probabilidad de detección se percibe como baj a (X 10).
A. N ada familiar, ej ecutada aceleradam ente y sin la menor 0,55 _ Molestias e inconvenientes (X 7).
idea de las consecuencias probables. (0, 35- 0,97)
_ Estatus o autoridad aparente para infringir, hacer caso omiso o invalidar
B. Cambia el sistema a un estado nuevo o lo restaura a su 0,26
estado or iginal en un solo intento, sin supervisión ni (0,14-0,42) de recom endaciones, peticiones, procedimientos o instrucciones (X 3) .
proced imientos. _ Conducta imitativa (X 2,1).
C. Tarea compleja que requiere un nivel elevado de 0,16 _ No desaprobar a la figura de autoridad presente (X 2).
comprensión y pericia. (0,12- 0,28)
D. Tarea basta nte simple pero ej ecutada ráp idamente o 0,09
prestando escasa atenció n. (0,06-0,13)
E. Tarea ru tinaria y rápida, en la que se tiene mucha práctica 0,02
Tabla 7.3
y que requiere un nivel de habilidad relativam ente baj o. (0,007-0,045) Tipos de condu ctas infractoras y probabilidades nominales asociadas
F. Cambia el sistema a un estado nuevo o lo restaura a su 0,003 para las muj eres
estado original siguiendo proced imientos y con algun a (0 ,0008-0,007)
comproba ción. Tipos de conductas infractoras Probabilidades nominales de
error para las muj eres (en el
G. Tarea completamente familiar, bi en diseñada, rutinaria y 0,0004 intervalo percentil entre 5 y
en la que se tiene mu cha práctica , efectuada y repetida a (0,00008-0,009) 95) x 1.4 para los varones)
menudo por un individuo bien motivado y
A. Es claram ente inconveniente cumplir las normas. El 0,42 (0,28-0,58)
competentemente formado, con tiempo para corregir los
f.111os pero sin ayudas signifi ca tivas para el desempeño de infractor potencial no se siente obligado a cumplir las
su trabaj o. normas por ningún requerimiento implicado en la tarea.
Son fáciles de infringir. La probabilidad de ser descubierto
H_ Responde correctamente al sistema incluso cuando existe 0,00002
es baja.
un sistema supervisor ampliado o automático qu e ofrece (0,000006-0,00009)
B. El cumplimi ento es relativamente poco importante. Las 0,35 (0,20-0,59)
una interpretación prec isa del estado del sistema.
normas so n fá ciles de infringir. Hay escasos o nulos
M. Tareas misceláneas para las que no se ha podido encontrar 0,03 incentivos para cumplir las normas.
descripción. (0,008-0, 11) 0,38 (0,21- 0,54)
C. El cumplimiento puede ser bastante importante, pero la
probabilidad de que la in fracc ión sea descubierta es baja.
Los benefi cios de la trasgresión son elevados y dlfectos.

D. La trasgresión ofrece beneficios personales, si bi en la 0, 18 (0, 11-0,25)

A lo largo de los dos últimos al10SJerry Williams ha recopilado una probabilidad de detección es moderada o alta . O bi en el
lista similar de circunstancias generadoras de infracciones (vpc) basán- cumplimi ento es bastante importante, pero la probabilidad
de detección es baja.
dose de nuevo en un rastreo exhaustivo de la literatura psicológica y 0,03 (0,007- 0,05)
E. El cumplimiento es importante, habitualmente exigido
sobre factores humanos'3 . Como en el caso anterior, ha creado una lista legalmente, pero las probabilidades de detección son bajas
limitada de tipos de conductas infractoras, cada uno de ellos asociado a o moderadas.
una probabilidad nominal para las muj eres -errores improbables; el gé- F. N o hay incentivo inmediato para transgredir y la 0,007 (O,OO l -O,Ol)

nero tiene un notable efecto sobre el incumplimiento normativo: para los probabilidad de detección es moderada o alta.
G. Socialmente inaceptable, probabilidad de detección baja y 0,007 (0,003- 0,02)
hombres, las prob abilidades nominales deben multiplicarse por 1,4-. probabilidad de resultado pernicioso para el infractor baj a.
H. Socialmente inaceptable, probabilidades de detección 0,000 1 (0,00002-0,003)

13.]. C.Williams, Assessing (he Likelihood ofViola(io/1 Beha"iollr:A Prelil/lilMr)' b1.llestiga- elevadas, probabilidad de resultado pernicioso para el
( iO/'I, Manches ter, Departamento de Psicología, Universidad de Manchester, 1996. infi-actor alta.

195
194
La gestión de los grandes riesgos
- Obligación percibida de obedecer a una «figura de autoridad» (x 1,8).
- Género (X 1,4 para los varones).
- Presión del grupo (x 1,07 por cada individuo que anima a la desvia_
ción, hasta un máximo de cinco personas).
En conj unto, estas listas de circunstancias generadoras de errores o de
infi'acciones constituyen la mejor descripción disponible de los factores
promotores de dichas conductas en el lugar de trabajo. El hecho de que
se los pueda ordenar de forma fiable -de una manera que hace posible
evaluar los efectos relativos de los diferentes factores- representa un gran
avance y una incorporación extremadamente valiosa a la caja de herra-
lTlientas del gestor preocupado por la seguridad.
EL ENFOQUE DEL DIAGRAMA DE INFLUENCIA (IDA)
El enfoqu e del diagrama de influencia (Injluence Diagram Approach, roA)
tiene dos aspectos importantes. Primero, proporciona herramientas que
permiten modelar cualitativamente las influencias existentes en diversos lli-
veles de la orgallización que afectan a los resultados adversos - ya sea eva-
luando su contribución a episodios pasados, ya la probabilidad de algún
suceso futuro-o Segundo, este lTlOdelo cualitativo puede utilizarse asi-
mismo para generar medidas cuantitativas de la influencia de diversos fac-
tores técnicos, humanos y organizativos sobre los riesgos a que se enfi'enta
una tecnología de alta peligrosidad concreta. Una vez más, estas m edidas
cuantitativas pueden elaborarse bien reactivamente, en respuesta a un ac-
cidente particular, o bien proactivamente, para medir la probabilidad de
que algún suceso adverso posible se actualice en el futuro. M erced a estas
aportaciones, el IDA puede desempeñar un papel muy informativo tanto en
la investigación de accidentes con1.O en la elaboración de análisis forma-
les de la seguridad. Aunque el ejemplo con el que lo ilustraremos un poco
más adelante provenga del sector del transporte marítimo, el IDA es apli-
cable, en principio, a toda clase de tecnologías de alta peligrosidad'4 .
Puede que las formas concretas en que pueden acaecer los resultados
negativos sean dinciles de prever, pero la diversidad misma de tales resul-
tados adversos es bien conocida, en su mayor parte, para todos los secto-
res de alta peligrosidad. En el transporte marítimo, por ejemplo, es
14. D. Embrey, «lncorporating Management and Organizational Facto rs into Proba-
bilistic Safety Assessme nt», Reliabilit)' Engineering, 38,1992, pp. 199-208.
7. Una guía práctica para la gestión del error
itnprobable que las maneras en que el desastre pueda sobrevenirle a una
nave -o las modalidades de fallo- vayan mucho m ás allá de los incen-
dios, las colisiones, los varamientos, los hundimientos, la piratería y los
actos de guerra. EliDA cartograna las influencias sobre una modalidad de
fallo particular -veremos el ejemplo de un barco que encalla en un bajío
fluvial- en diferentes niveles:
_ El nivel del factor incidente: que incluye los actos peligrosos o los fallos
técnicos inmediatamente responsables del suceso.
_ El nivel del factor que irifluye en la actuación (peiformance-irifluencingfactoJ;
PIF) : que son las condiciones inmediatas del lugar de trabajo que con-
forman el hecho mismo de que ocurran fallos técnicos o humanos.
_ El nivel de implementación: que son los factores organizativos subya-
centes que crean los PIF.
_ El nivel de políticas: que comprende los factores de política y regula-
ción que determinan los procesos organizativos que se desarrollan al
nivel de implementación,
El diagrama 7 .5 muestra un esquema de influencia referido al caso de
una nave qu e encalló en un bajío fluvial. Para simplificar, hemos combi-
nado los niveles de los factores PIF e incidente - la m etodología del dia-
grama de influencia permite tales abreviaciones-o Se advertirá también
qu e el diagrama de influencia es enteramente consistente con el marco
teórico del desarrollo de los accidentes organizativos expu esto en los pn-
meros capítulos de este libro.
En términos prácticos, el IDA se lleva a cabo por etapas. Primero, se
desarrolla el diagrama de influ encia a partir de una discusión estructurada
con un grupo de expertos -en este caso, especialistas en transporte ma-
rítimo; otros sectores requerirían éxpertos análogos- qu e poseen un co-
nocimiento detallado tanto de las realidades operativas como de las
cuestiones políticas más amplias. Habiendo identificado los factores impli-
cados a cada nivel y sus respectivas iIilluencias sobre la modalidad de fallo
en cuestión, el paso siguiente consiste en cuantificar esas iIillu encias.
Nornulmente,la labor de asignar cifi'as a las probabilidades de fallo hu-
mano es poco más que una forma de arte, pero los pasos implicados en la
cuantificación de los elementos del diagrama de influencia -y, en conse-
cuencia, la probabilidad del «suceso más importante»- son relativamente
sencillos, factibles, elegantes y se basan en la mejor iIúormación disponi-
ble. El proceso comienza con una de las «iIillu encias de fondo » (nodos ex-
ternos o <<nodos hoja») -es decir, un factor sobre el que no parecen l11CldlI
197
 7. Una guía práctica para la gestión del error
La gestión de los grandes riesgos

Diagrama 7.5 dos y los que no llegaron a ocurrir por POCo»; el extremo opuesto de la es-
Diagrama de influencia simplificado que muestra algunos de los factores cala podría describir el peor caso posible del siguiente modo: «Los capita-
determinantes de la probabilidad de que una nave encalle en un bajío fluvial nes de los navíos no disponen de información alguna sobre la experiencia
operativa de su sector» . El equipo de evaluadores puede necesitar la guía
Nivel de la
modalidad del fallo
de una persona con experiencia que les asesore en esta tarea.
Supongamos que la evidencia de que disponen indica que la retroa-
limentación no se usa efectivamente para mejorar la percepción del
Nivel del factor riesgo del patrón. Así pues, en respuesta a la pregunta «¿cuál es el peso de
influyente la evidencia en cuanto a la disponibilidad de retroalimentación a partir
de la experiencia operativa como ayuda para mejorar la percepción del
riesgo del patrón?» , el equipo de evaluación propone una razón de in-
Nivel de
iJllplcmcnración
fluencia (un balance de probabilidades) de 0,20 (alto): 0,80 (escaso). Su-
pongamos que cuando se formula la misma pregunta sobre el uso del
reglamento de operaciones el equipo estima que la razón es 0,20 (usado):
Nivel de políticas 0,80 (no usado). La siguiente fase consiste en combinar ambas influen-
cias para obtener la probabilidad de que la percepción del riesgo del pa-
trón sea exacta o inexacta. La tabla 7.4 muestra cada uno de los pasos
Normalmente, el diagrama de influencia ti ene muchos más elementos a todos los niveles . El implicados en esta operación.
gráfico ha sido simplificado para ajustarse a la exposición del proceso de cuantificación que se
ofrece a continuación (elaborado a partir de Embrey, 1996).

Tabla 7.4
otras influencias externas-o En el caso del ejemplo simplificado que mues- Pasos inlplicados en el cálculo de la probabilidad incondicional de que la
percepción del riesgo del patrón sea imprecisa
tra el diagrama 7.5, pertenecen a esta categoría todos los factores del nivel
de implementación, excluyendo la dotación de personal, y el único factor Si ... y ... entonces ... Peso de la evidencia Peso combinado
en el nivel de políticas (normalmente, suele haber muchos más factores). de que la percepción (retro alitl1en taci ón
del riesgo por parte x reglamento
Como en el caso de la creación de un diagrama de influencia cualitativo, de operaciones)
del patrón es ...
la cuantificación de las influencias individuales y combinadas es un proceso
la retroalüne ntación el reglam ento exacta in exacta
iterativo que requiere insumos de información del equipo de evaluadores a partir de la de o perac io nes
expertos. Para explicar cómo se llevan a cabo dichos cálculos, empezare- experiencia es cla ro
operativa es
1110S con una pequeña fi-acción del diagrama de influencia -la percep-
buena se usa ~ 0,95 0,05 (0,20 x 0,20) - 0,04
ción del riesgo por parte del patrón y los dos factores influyentes en él: su
experiencia operativa y el reglamento de operaciones-o En el primer paso, buena no se usa ~ 0,80 0,20 (0 ,20 x 0,80) = 0,16
el equipo de evaluación valora la evidencia sobre si la experiencia opera-
tiva del patrón retro alimentará su percepción del riesgo, bien positiva o pobre se usa ~ 0, 15 0,85 (0 ,80 x 0,20) = 0, 16
bien negativamente. Para ayudar a los expertos a formular este juicio se les 0,10 0,90 (0,80 x 0,80) = 0,64
pobre no se usa ~
facilita una escala graduada de indicadores que especifica la naturaleza de
la evidencia que han de tomar en consideración. En el extremo ideal de la La probabilidad incondicional (suma ponderada)
escala podría figurar el siguiente enunciado: «Los capitanes de los navíos re- de que la percepción del riesgo por parte del
patrón sea inexacta es: 0,25 0,74
ciben regularmente información de los incidentes de varamiento ocurri-
199
 La gestión de los grandes riesgos
Los pasos implicados en el cálculo de la probabilidad incondicional de
un factor que tenga dos o más influencias «corri ente arriba» so n los si-
guientes:
- Elaborar un listado de las posibles combinaciones de factores influyentes.
- Se pide al equipo de evaluación que valore el peso de la evidencia sobre
si la exactitud de la percepción del patrón será alta o baja para cada una
de esas combinaciones de influencias . En la tabla 7.4 puede verse que
se estima que el efecto combinado de una retroalimentación pobre y
un reglamento de operaciones poco claro degrada la precisión de la
percepción del riesgo más que cada uno de los fac tores por separado.
- Cada evaluación condicional es modificada por un factor de ponde-
ración agregado obtenido del producto de las probabilidades de los
factores individuales correspondientes.
- La probabilidad incondicional total es la suma de los valores obteni-
dos del producto de multiplicar cada una de las probabilidades condi-
cionales por su ponderación adecuada .
Los mismos pasos básicos se aplican a todas las demás influ encias que
muestra el diagrama 7.5. La probabilidad total de encallar en un bajío flu-
vial se obtiene de sumar las probabilidades incondicionales de los tres fac-
tores influyentes inmediatos: la percepción del riesgo del patrón, la
percepción del riesgo de la tripulación y la probabilidad de que el bene-
ficio se anteponga a la seguridad. Aunque laborioso para el equipo de
evaluación, el rOA puede producir análisis cualitativos y estimaciones cuan-
titativas del riesgo que se basan en sólidos principios teóricos y en un co-
nocimiento actualizado en el nivel del estado del arte de las técnicas de
mgeniería.
AYUDA A LA DECISIÓN SOBRE ERRORES DE MANTENIMIENTO
(MEDA)
La ayuda a la decisión sobre errores de mantenimiento (Maintenance Error
Decision Aid, MEDA) es una herramienta dise11ada por Boeing en colabora-
ción con la Administración Federal de Aviación (Federal Aviation Admi-
nistration, FAA) y Galn.), Scientific Corporation para investigar los errores
de mantenimiento l 5 Aunque se diseñó para el contexto de la aviación, sus
15. Boeing, fvIal /l/enance Error D ecíslDI? Airl, Seattle, Boeing Commercial Airplane
Group, 1994.
200
7. Una guía prácti ca para la gestión del error
principios básicos son aplicables a cualquier actividad donde el manteni-
miento sea de importancia decisiva para la seguridad. La investigación se
lleva a cabo en dos niveles:
_ Investigación de la línea . MEDA comienza con una investigación basada en
documentación escrita que aporta al personal de mantenimiento en
línea una forma estandarizada de investigar los errores de manteni-
miento, sus orígenes y sus consecuencias. Además, ofrece a los inge-
nieros de primera línea un n1.edio teóricamente fundado para detectar
y eliminar los factores generadores de errores tanto en el lugar de tra-
bajo como en el ámbito organizativo.
- Análisis de tendencia organizatÍJla . MEDA suministra asimismo un proce-
dimiento de análisis informático de tendencias para la organización
del mantenimiento.
MEDA se divide en cinco secciones. Las tres primeras atienden a la pre-
gunta «¿qué ocurrió?». La sección 4 indaga cómo y por qué ocurrió el
error. La sección 5a identifica las defensas que fallaron y la 5b esboza po-
tenciales soluciones.
- Sección 1. Reúne información sobre la aerolínea, el tipo de aeronave, el
tipo de motor, la hora del día, etc.
- Sección 2. Describe la naturaleza del su ceso (por ejemplo, retraso del
vuelo, cancelación, regreso al parking, parada de motor en vuelo, etc.).
- Sección 3. Clasifica la naturaleza del lapsus: instalación incorrecta, asis-
tencia en tierra incorrecta, reparación incorrecta o insuficiente, aisla-
miento, inspección o comprobación de una deficiencia incorrectos,
daño causado por un objeto extraño, por el equipo circundante o por
un miembro del personal. El error se define como «la condición re-
sultante de las acciones de una persona, cuando existe un consenso
general acerca de que sus acciones deberían haber sido distintas de las
que fueron».
- Sección 4. Adopta la forma de una lista de comprobación de los facto-
res contribuyentes que se ha de completar para cada error identificado
en la sección 3. Esos factores incluyen: información, equipo, herra-
mientas o piezas, diseño y configuración del aparato, trabajo o tarea,
cualificaciones y habilidades, desempe110 personal, entorno e instala-
ciones, entorno organizativo, supervisión, comunicación.
- Sección 5a. Indaga si el sistema disponía en ese momento de algún pro-
cedimiento, proceso o política que debería haber prevenido el acci-
dente pero que no lo hizo.
20I
 7- U na guía práctica para la gesti ón de! er ror
La gesti ón de los grandes riesgos

fensivo. C omenzando por el resultado final, una pérdida de algún tipo, el

- Sección 5b. Inquiere qu é m edidas correctivas se han tomado o deberían
analista remonta el curso causal para establecer la naturaleza de la(s) de-
haberse tomado a nivel local para prevenir qu e el accidente vuelva a
fensa(s) que falló (o fallaron) y de la amenaza que se materializó. En el in-
suceder.
terior de cada recuadro, o nodo, se escrib e un breve párrafo de texto
Boeing ha distribuido MEDA gratis a todas sus aerolíneas clientes. Uno
descriptivo del suceso en cuestión. El paso siguiente consiste en estable-
de sus obj etivos principales es facilitar un lenguaj e común qu e posibilite
cer qué defensa concreta falló, algo que pudo deberse a fallos tanto acti-
el aumento de la comunicación y la coop eración entre operadores, agen-
vos con1.O latentes (los recuadros situados bajo los modos de fallo latente,
cias reguladoras, fabricantes y personal de mantenimiento. R ecientemente
con signos de interrogación en su interior, recogen la identificación de
se ha desarrollado u na versión para ordenador p ersonal para Singapore
cuál o cuáles de los 11 GFT estuvo/ estuvieron implicados en el fallo -véa-
Airlines E ngineering Company, que la usa en conjunción con MESH .
se la página 179 de este capítulo-l . En el caso de un fallo activo, es pro-
bable que ex.istieran precondicion es en el lugar de trabajo. Al igual que los
TruPOD-BETA fallos activos, éstas se especifican m ediante breves descripciones. Es pro-
bable que las precondiciones fu eran producto de fallos latentes identifi-
Tripo d-B eta es una h erramienta informáti ca creada internam ente por cables qu e, asimismo, deb erán ser descritos y sus GFT asociados
Shell Exploration and Production para llevar a cabo un análisis de inci- identificados. El procedimiento continúa hasta que todos los factores iden-
dente en paralelo con la investigación de un suceso l 6 . La interacción entre tificables h an sido identificados y descritos. A m edida qu e el an alista
ambas actividades procura a los investigadores orientación acerca de la re- avanza, unirá en la pantalla del ordenador los nodos y recuadros relacio-
levancia de su recogida de datos al tiempo que ilumina líneas de indaga- nados causalmente mediante líneas.
ción qu e llevan a la identificación de condicion es latentes implicadas
- tipos gen éricos de fallo en la j erga de Tripod- . Tripod-B eta nació del
D iagrama 7.6
maridaj e entre la teoría Tripod (expuesta anteriormente en este capítulo)
Unidades básicas del análisis de sucesos Tripod-Beta
y la respuesta de Shell a las ex.igencias de las recom endacion es de seguri-
dad post Informe C ullen . En Shell esta combinación adoptó la forma del
pro ceso de gestión de am enaza y efecto (Haz ard and Effect Ma nagemen.t I D efensas fallidas I
Process, HEMP) , diseñado para proporcionar un enfoque estru cturado al aná-
lisis de los riesgos para la salud, la seguridad y el m edio ambiente a lo
largo del ciclo vital de una instalación, y que se basa en cuatro procesos:
identificación , evaluación , control y recup eración . Tripo d-B eta fu e dise-
ñado para ser compatible tanto con Tripod-D elta com o con HEMP.
I Amenaza J.
,
I
Nodo de
I O bjetivo I
El diagrama 7 .6 muestra los elem entos básicos de la caj a de herra- fallo activo
mientas analíticas de Tripod-B eta. C omo señalé en el capítulo 1, un su-
ceso adverso consiste en la dañina entrada en contacto de unas amenazas
co n unos objetivos (p ersonas, activos, entorno) por efecto de un fallo de-

16.Tripod-Beta fu e diseñado por el doctor Miles Benson, un consultor independiente

en materia de fac tor humano y de software. Fue él también quien escribió el software de
Tripod-De!ta, R eview y MEsH.Véase asimismo J. A. Doran y G. CVan der Graaf, «Tripod-
Beta: incident investigation and analysis» , Proceedings oj lile ln tw'/a tional Coriference 0/1 He-
altil , Sajet)' & Enviwn/ll ent (Socie/)' oj Petrole,." " E"'gineers), Nu eva O rl eans, LA, 9-12 de
junio de 1996.
20 3
202
La gestión de los grandes riesgos

En resumen, el sciftwareTripod-B eta ofrece un medio de compilar los

hechos que la investigación ha descubierto, y manipularlos en pantalla
para producir una imagen gráfica del suceso y sus causas -un árbol del
incidente-o El programa comprueba también si la lógica de la estructura 8
arbórea (sus etiquetas y conexiones) se ~usta a la teoría Tripod y a HEMP.
Una vez solucionadas las anomalías, se genera automáticamente un bo-
La infeliz suerte del regulador
rrador de informe de accidente para su corrección y redacción definitiva
en una aplicación de procesanuento de textos.

RESUMEN DE LOS PRINCIPIOS MÁs IMPORTANTES DE LA GESTIÓN
DEL ERROR
1. El mejor personal puede, en ocasiones, cometer los peores errores.
2. Los estados mentales fugaces -preocupaciones, distracciones, lapsus de
meITlOria, fallos de atención- constituyen la parte final, y la menos
susceptible de ser gestionada, de una secuencia de error.
3. No podemos cambiar la naturaleza humana. La gente siempre come-
terá errores e infra ccion es. Pero podemos cambiar sus condiciones de
trab~o para hacer menos probables los actos peligrosos .
4. Culpabilizar a la gente por sus errores - aunque emocionallTlente gra-
tificante- tendrá un efecto escaso o nulo sobre su fiabilidad futura .
5. La gran mayoría de los errores no son deliberados. Es muy difícil que
la gestión pueda controlar unas acciones que, para empezar, la gente no
telúa intención de hacer.
6. Los errores surgen de problemas de naturaleza informativa. La mejor
manera de abordarlos es mejorar la información disponible - en la
mente del personal o en el lugar de trab~o.
7. Las infi:acciones, en cambio, son problemas sociales y motivacionales.
La mejor forma de enfrentarse a ellas es, por un lado, cambiar las nor-
mas, las creencias, las actitudes y la cultura de la gente y, por otro lado,
mejorar la credibilidad, la aplicabilidad, la disponibilidad y la precisión
de los procedinuentos.
8. Las infracciones actúan de dos formas: primero, aumentan la probabi-
lidad de que los infi-actores COITletan errores a continuación y, segundo,
aumentan también la probabilidad de que las consecuencias de esos
errores tengan consecuencias lesivas.
Los REGULADORES EN EL PUNTO DE MIRA
LA SUERTE DE LOS REGULADORES -como la del policía- no es feliz. No
sólo es raro que gocen de la estimación de aquéllos a quienes regulan,
sino que hoyes cada vez más probable que se les culpe de los accidentes
organizativos. Durante los últimos 30 años la investigación de la causas de
las grandes catástrofes ha expandido constantemente su amplitud y se h a
remontado más y más en el tiempo para descubrir contribuciones causa-
les cada vez más remotas. En este «elenco» ampliado de causas figuran fre-
cuente y destacadamente las decisiones y acciones de las autoridades
reguladoras. Este capítulo estudia el difícil y complejo papel que el regu-
lador desempeila en la linutación de la frecuencia y gravedad de los acci-
dentes organizativos.
Veremos primero, brevemente, cinco trágicos sucesos en los que hubo
fallos de regulación involucrados -o, cuanto menos, defectos en el pro-
ceso de regulación- y lo haremos con el propósito de mejorar nuestra
comprensión de cómo pueden contribuir los reguladores (o el proceso de
regulación) al fallo fatal de unas tecnologías que son complejas pero están
bien defendidas. Los cinco estudios de caso son los siguientes:
- La explosión de la lanzadera espacial Challenger (28 de enero de 1986).
- El incendio de la estación de metro de King's Cross (18 de noviembre
de 1987).
- La explosión de la plataforma Piper Alpha (6 de julio de 1988).
- El Fokker-28 estrellado en Dryden, Ontario (10 de marzo de 1989).
- El Piper Chieftain estrellado en Young, Nueva Gales del Sur (11 de
junio de 1993).

204 205
La gestión de los grandes riesgos
ACCIDENTES REGULADOS
Challenger: cuando la desviación se convierte en la norma
La Comisión Presidencial que investigó la destrucción de la lanzadera es-
pacial Challengery la muerte de sus siete astronautas, cuyo informe se hizo
público en junio de 1987, llegó a la conclusión de que la causa de la ex-
plosión fue una arandela de goma, o junta tórica, defectuosa de uno de los
cohetes secundarios: el fallo de aislamiento permitió una fuga de llamas
que incendió un depósito de combustible externo l . Posteriormente, este
accidente ha sido objeto de un estudio intensivo por parte de Diane Vaug-
han, una socióloga del Bastan College. Su trabajo, recientemente publi-
cado, representa uno de los análisis más detallados y convincentes
realizados hasta la fecha sobre un accidente organizativ0 2 . Además, desafia
la convicción, muy extendida, de que el accidente sucedió porque la NASA
y su principal sub contratista, Morton Thiokol, no hicieron su trabajo
como hubieran debido : el informe de la Comisión Presidencial y los re-
portajes de prensa transmitieron la impresión de que los gestores de rango
intermedio presentes esa noche en la dramática teleconferencia en que se
decidió el lanzamiento tomaron «decisiones erróneas». Se daba por sen-
tado que esos gestores, forzados por presiones de producción y por pre-
ocupaciones políticas referentes a la NASA, hicieron caso omiso de los
defectos de las juntas tóricas, infringieron las normas de seguridad y si-
guieron adelante con el lanzamiento para cumplir los plazos establecidos
en programa. Estos análisis se centraron en los fallos individuales y, en pa-
labras de Diane Vaughan, «... transmitieron la imagen de unos gestores
inicuos, de modo que el accidente parecía una anomalía, una rareza pro-
ducto de los individuos que ocupaban las posiciones responsables de la
toma de decisiones en aquel momento» .
Las conclusiones de Vaughan son, en buena medida, opuestas: sostiene
que el accidente sucedió porque quienes participaron en la decisión del
lanzamiento hicieron precisamente lo que se suponía que debían hacer.
1. Report of th e Presidential COl/Il'llissio/1 0/1 the Spaee Shuttle «Challmger» Aecident, Wa-
shington DC, Government Printing Agency, 1986.véase también el excelente relato de H.
S. F Cooper, «A letter fi'om the Space Center», The New Yorker, 10 de noviembre de 1987.
2. D. Vaughan, The Chal/ellger La/meh Decision, Chicago, Chicago University Press,
1996. En un artículo titulado «Blowup», Malcolm Gladwell reseña el libro en The New Yor-
ker, 22 de enero de 1996, situándo lo en un co ntexto teórico más amplio. La publicación
m ás reciente de Vaughan sobre este tema es «The trickle-down effect: policy decisions,
risky work, and the Chal/e/7ger tragedy», California Managell1e/1t R elliew, 39, 1997, pp. 8-102.
206
8. La infeliz suer te del regulador
Verdaderamente pu ede decirse que la decisión de lanzar el Challenger fiJe una
decisión basada en normas. Es sólo que las formas culturales de comprensión,
las reglas, los procedimientos y las norl1l.as que habían funcionado bien en el
pasado no lo hicieron en esta ocasión. La responsabilidad de la tragedia no
recae sobre unos gestores amoralmente calculadores que conculcaron las nor-
mas, sino sobre la conformidad.
Más aun,Vaughan descubrió que la tragedia del Challenger no respon-
dió a una anomalía peculiar de la NASA, sino que fue configurada por fac-
tores que muchas otras organizaciones comparten.
Lo que llevó inexorablemente a la NASA al trágico resultado fue la in-
sidiosa erosión de los estándares con respecto a los cuales ella misma se
autorregulaba. La Comisión Presidencial se mostró asombrada por la fre-
cuencia con que la NASA usaba la expresión «riesgo aceptable», pero el
análisis de Vaughan reveló que volar con «riesgos aceptables» era parte in-
tegral de la cultura de la NASA -y, en realidad, de toda cultura relacionada
con la aviación-o De hecho, el «riesgo aceptable» referido a la lanzadera
espacial ocupaba seis volúmenes.
En la NASA, los problemas eran la norma. La palabra «anomalía» era parte del
habla cotidiana [.. .].Todo el sistema de la lanzadera funcionaba sobre el su-
puesto de que la desviación podía ser controlada, pero no eliminada.
En resumen, la NASA había creado una cultura cerrada que, en palabras
de Diane Vaughan, «normalizaba la desviación). Lo que para el mundo
exterior era una forma temeraria de asumir riesgos, les parecía a los ges-
tores de la NASA un modo razonable y sensato de hacer su trabajo. El hecho
preocupante con respecto a este y otros accidentes organizativos es lo di-
ficil que resulta identificar con precisión cuándo em.pezaron a torcerse las
cosas, dado que cada paso y cada decisión se derivaron naturalmente de
los precedentes.
En la NASA ninguna decisión fundamental se tomó con intención maliciosa.
Al contrario, lo que ocurrió fu e que se adoptó una serie de decisiones apa-
rentemente inocuas que empujaron crecientemente a la agencia espaClal haCla
un resultado catastrófico.
Tres unidades de seguridad supervisaban las operaciones de la lanza-
dera3 , la más relevante de las cuales era el departamento interno de la pro-
pia NASA -el Programa de Garantía de la Seguridad, la Fiabilidad y la
3. D.Vaughan, «Auto nomy, interdependence, and social control: NASA a"nd the Space
Shuttle Chal/engep>, A dministratille Scienee Quarterl)', 35,1990, pp. 225-233.
2°7
La gestión de los grandes ri esgos
Calidad (SaJet)" Reliabilít)' and Qua/it)' Assurance Program, SR & QA)-. La
Comisión Presidencial detectó tres fallos principales en las responsabili_
dades de inspección y vigilancia del SR & QA:
1. No descubrió ni rectificó la confusión que rodeaba a la asignación de
«grado crítico» a los componentes de la lanzadera en función de la
gravedad de las consecuencias en caso de que fallasen. La junta del
cohete secundario se etiquetó inicialmente como C1-R. La C1 era la
categoría de máximo «grado crítico» -significaba «pérdida de vidas o
del aparato»-, pero la «R» significaba que había redundancias, o ele-
mentos de seguridad auxiliares, en el caso de su posible fallo. Poste-
riormente, su «grado crítico» se elevó al más grave Cl. Pero después
del accidente se descubrió que muchos documentos internos seguían
calificando la junta como C1-R, lo que llevó a algunos gestores de la
NASA (incluso a parte del personal del SR & QA) a creer que existía al-
guna redundancia defensiva.
2. El personal del SR & QA no fue capaz de recopilar y difundir datos de
tendencia relativos a la erosión de la junta tórica por efecto del vuelo.
Entre la décima y la vigésimoquinta misión (la del Challenger) la mitad
de los vuelos tuvieron problemas con esas juntas. De haber dado difu-
sión a esos datos los administradores de la NASA habrían dispuesto de una
información esencial sobre la historia y el alcance de las debilidades de
la junta.
3. La Comisión detectó tres problemas en relación con los informes de
fallos. Primero, el SR. & QA no estableció un medio adecuado para in-
formar de los problemas de la lanzadera a eslabones superiores de la je-
rarquía de la NASA. Segundo, no file capaz de crear un conjunto preciso
de exigencias para que se informase de las anomalías ocurridas du-
rante los vuelos. Tercero, no fue capaz de detectar las vulneraciones de
sus normas de información sobre esos problemas.
Además, ningún miembro del SR & QA estuvo presente en la tele-
conferencia entre el M arshall Space Flight Center y los ingenieros de
MOl·ton Thiokolla noche previa al lanzamiento. En aquella ocasión, los
ingenieros de Mm-ton Thiokol se mostraron muy intranquilos por el
hecho de proceder al lanzamiento tras una noche tan insólitamente fría .
No obstante, en lugar de pedírseles que probasen que el lanzamiento era
seguro se les desafió a probar que no lo era. La ausencia de todo repre-
sentante del SR. & QA en esa tonn de decisiones decisiva significó la pér-
dida de otra oportunidad de expresar preocupaciones referentes a la
208
8. La infeliz suerte del regulador
seguridad. ¿Cuál fu e la razón de esa ausencia? N adie pensó en invitar-
les a participar.
Un tema que enlaza todos los problemas de regulación que aquí ana-
lizaremos es la falta de recursos. Entre 1970 y el desastre del Challenger la
NASA redujo su personal de seguridad y control de calidad en un 71%. El
personal del SR & QA en el Marshall Space Center, qu.e tenía, la responsa-
bilidad de supervisar el proyecto del cohete secundano, habla SIdo redu-
cido de unas 130 personas a 84. En conjunto, el personal de seguridad,
fiabilidad y control de calidad supOlúa sólo el 2% de las 22000 personas
que formaban la plantilla de la NASA . Tanto el director como el direct.or ad-
junto del SR & QA telúan otras obligaciones, por lo que ambos dedIcaban
entre el 10 y el 25% de su tiempo al programa de la lanzadera, lo que les
dejaba muy poco tiempo para ocuparse de las cuestiones de seguridad.
La estación de metro de King's Cross: una visión
estrecha de la ley
Justo después de la hora punta de la tarde, una cerilla o un cigarrillo en-
cendido pasó a través de una grieta en una escalera mecánica de madera
y prendió fuego al montón de pelusa y basura cubierto de grasa ~ue había
debaj 0 4Veinte minutos después las llamas se elevaban desde el tunel de la
escalera mecánica hasta el techo de la zona de taquillas. Murieron 31000
personas. . ., .
Desmond Fennell, el miembro del Consejo Real que presldlO la 111-
vestigación subsiguiente, dedicó un capítulo de su informe al papel del re-
gulador, la Inspección de Ferrocarriles, que comienza afirmando que éste
había adoptado una visión demasiado restringida de sus responsabilidades.
En mi opinión, la Inspección de Ferrocarriles lTl,alinterpretó la ley al creer
que si el Metro de Londres cunl.plía con su obligación de tener el debIdo
cuidado en la seguridad de las operaciones, había cu mplido ya todos sus de-
beres reglamentarios respecto a la salud y la seguridad ~e los pasajeros [',-;l.
Aun asumiendo con comprensión la mala interpretaClon que la InspecclOn
de Ferrocarriles hizo de sus responsabilidades de acuerdo con la ley, es 1111
opinión que el nivel de recursos y el grado de alúnco que dedicó a h.~cer
cumplir las normas [... ] fue insuficiente. Fue este clima lo que pernutlo la
persistencia del descuido en la limpieza y otras CIrcunstancIas potenCIalmente
peligrosas en las estaciones de metro.
4. D. Fennell, Ilwesfigation il'lto fhe King's Cross Unrfelgrol/nrf Fire, Department ofTrans-
port, Londres, HMSO, 1988.
209
 La gestión de los grandes riesgos
En los aiios previos al desastre, los incendios habían sido frecuentes en
el Metro de Londres, aunque usualmente de naturaleza ínfima -plan-
chas de cartón y cosas así-o Se los etiquetaba con el tranquilizador tér-
mino de «brasas». Tres años antes del desastre de King's Cross, la
Inspección de Ferrocarriles, confiando en que las inspecciones rutinarias
de la Brigada Antiincendios de Londres se ocupaban adecuadamente de
estos sucesos aparentemente triviales, decidió que no continuaría reci-
biendo copias de los informes correspondientes que realizaba la Brigada.
Fennell consignó que el Inspector Jefe «... reconocía [ahora] que fue
una decisión desafortunada».
A pesar de que la inspección creía que la responsabilidad principal del
riesgo de incendios correspondía a la Brigada Antiincendios de Londres
reaccionó a dos fuegos en escaleras mecánicas ocurridos en 1973 escri~
biendo al Director Jefe de Operaciones de la (entonces) Dirección del
Transporte de Londres para sugerir una campaña de limpieza de la basura
inflamable acumulada b ajo las escaleras mecánicas . No obstante, no se
mencionaba en absoluto que hubiera riesgo para los pasaj eros . Ni el Ins-
pector Jefe ni su personal habían «concebido nunca la posibilidad de que
el ll1CendlO de una escalera mecánica pudiera extenderse rápidamente y
llegar a amenazar vidas». Empero, cabe disculpar su omisión por dos ra-
zones. Primero, no había ningún precedente obvio -el «fogonazQ) que
provocó la catástrofe en el área de taquillas fue un fenómeno relativa-
mente nuevo-o Segundo, como en otras operaciones ferroviarias, los re-
guladores -de forma en absoluto poco razonable- consideraban que
los mayores ri esgos para los pasajeros iban asociados al movimiento de los
trenes y no a las estáticas estaciones.
Fennell concluía su exposición del papel de la Inspección de Ferroca-
rriles en el desastre señalando que no había hecho bastante uso de su au-
toridad ni había dedicado al Metro de Londres la atención suficiente
«... para crear la tensión necesaria para garantizar la seguridad»5. Criticó
también la «indulgente» relación de la Inspección con el Metro y su falta
de diligencia a la hora de comprobar la implementación de las mejoras de
seguridad acordadas. En secciones posteriores de este capítulo volvere-
mos sobre el tema del estilo de regulación.
5. Ibid., pp. 146-147.
2IO
8. La infeliz suerte del regulador
Piper Alpha: inspecciones superficiales y muestreo incompleto
Lord Cullen, un veterano juez escocés, presidió la Investigación Oficial del
desastre de la plataforma Piper Alpha (véase el capítulo 5 para una breve
descripción del suceso)6. Su Ílúorme constaba de dos volúmenes. El pri-
mero se ocupaba de los antecedentes, naturaleza y consecuencias del de-
sastre. Uno de sus capítulos estaba dedicado a las deficiencias de la
regulación -en particular, al marcado contraste entre lo que detectaron
las inspecciones del Departamento de Energía y lo que luego reveló la In-
vestigación-. El segundo volumen miraba hacia el futuro y delineaba
un nuevo régimen de la seguridad que posteriormente ha revolucionado
la regulación y la gestión de la seguridad de las instalaciones marítimas.
La plataforma Piper Alpha recibió en tres ocasiones la visita de un ins-
pector de la Dirección General de Seguridad del Departamento de Ener-
gía durante el año anterior al desastre. La primera fue una inspección
rutinaria que identificó algunas cuestiones menores que no requerían se-
guimiento inmediato. La segunda siguió a un accidente fatal y detectó
deficiencias en el sistema de cambio de turnos y de permisos de mante-
nimiento. La tercera tuvo lugar 10 días antes del desastre y se concentró
en zonas donde se estaban desarrollando trabajos de construcción.
Era el informe de esta última el que contrastaba tan marcadam.ente con
los hallazgos de la investigación. En particular, asul1Úa que Occidental había
«arreglado» las carencias del programa de autorización para iniciar traba-
jos y los cambios de turno, mientras que posterioí-mente se descubrió que
las deficiencias en estas áreas tuvieron un papel protagonista en el desastre.
Existía una lista de comprobación para facilitar la evaluación de los siste-
mas de autorización para iniciar trabajos, pero el inspector no dispolúa de
ella ni telúa experiencia en el uso de esos procedimientos. No inspeccionó
el manual de procedimientos operativos de O ccidental en lo referente al
sistema de permisos para trabajos de mantenimiento porque estimó que no
dispolúa de tiempo para llevar a cabo una auditoría completa, que h abría
requerido dos o tres días de trabajo, cuando el caso es que sólo fue capaz
de dedicar a esta inspección 10 horas.
El inspector desconocía también la práctica de poner en modo manual
las bombas antiincendios diesel durante los turnos en los que se realiza-
,
ban inmersiones. No inspeccionó el sistema de inundación ni concretó la
6. The H on. Lord Cullen, Pllulic lflqIlir)' i/1.lo the Piper A lpha Disaster, Department of
Energy, Londres, HMSO, 1990.
2II

La gesti ón de los grandes ri esgos
frecuen cia con que se realizaban simulacros con los botes salvavidas. En
una palabra, fue incapaz de detectar muchos de los factores que unos
pocos días después contribuyeron al desastre.
Cuando durante la investigación oficial se señalaron estas discrepancias
al director general de seguridad, éste, con considerable justificación, res-
pondió: (,Creo que existe una completa diferencia de enfoque entre el
contexto en que se lleva a cabo una inspección y la amplisima investiga-
ción que se está desarrollando aquÍ »7 . El director de la seguridad descri-
bió del siguiente modo la naturaleza de la inspección:
[Una inspección es ,] esencialmente, un ejercicio de mu estreo. El inspector
mu estrea y audita el estado del equipo y los procedimientos de gestión. Habla
co n el personal e intenta ha cerse una idea general de hasta qué punto se
opera, mantiene y gestiona bien la instalación. Un inspector debe ej ercer su
criterio profesional para establecer el alcance y profundidad de su inspección
y nu estra dirección operativa lo selecciona, forma y supervisa para que así
sea. No se le da una lista fija de procedimientos, equipo y otros elementos a
los que debe dar su visto bu eno, como en una lista de col11.probación. Algo
así crearía considerables dificultades, dada la variedad de operaciones, proce-
dimientos operativos e instalaciones de que hablamos; llevaría a los operado-
res a poder prever qué áreas com.probaría siempre el inspector.
Dadas las naturales constricciones del proceso de inspección, esta vi-
sión suscitaría considerable simpatía en muchos. No así en Lord Cullen,
qu e emitió el siguiente juicio sobre el proceso de regulación 8 :
Aun mostrando comprensión por el hecho de qu e las inspecciones se basaran
en el mu estreo, me parece claro que eran superficiales hasta el punto de ser de
escasa utilidad como comprobaciones de la seguridad de la plataforma, pues
no detectaron diversas deficiencias bi en definidas y f.ícilmente determinables .
Si bien la efectividad de las inspecciones se ha visto afectada por una continua
insufi ciencia de personal y una dirección inadecuada, la evidencia m e lleva a
preguntarme, en un sentido fundamental, si el tipo de inspección prac ticada
por el D epartamento de Energía podía ser un m edio efectivo de evaluar o vi-
gilar la gestión de la seguridad que llevaban a cabo los operadores .
Lord Cullen dedicaba a continuación gran parte del segundo volu-
n1.en a proponer un nuevo modo de regulación que, como veremos más
adelante en este capítulo, posteriormente ha sido implementado.
7 . Ibirl. , vol. 1, pp. 239-24 1.
8. Ibirl ., vol. 1, p. 253 .
2 12
1'1
8. La infeliz suer te del regulador
El Fokker-28 que se estrelló en Dryden: la red de seguridad
que falló
EllO de marzo de 1989,justo después de mediodía, un Fokker-28 de Air
Ontario despegó del Aeropuerto Municipal de Dryden con 65 pasajeros
y 4 tripulantes a bordo. El aparato no logró ganar altura y se estrelló a
po co m enos de un kilómetro del final de la pista. Murieron 21 pasajeros
y 3 miembros de la tripulación. El pronóstico meteorológico había pre-
visto lluvia y temperaturas bajo cero, y el despegue se produjo en medio
de un fu erte temporal de nieve. No se había limpiado el hielo acumulado
sobre la superficie de las alas el avión y esa contaminación fue la causa in-
mediata de la caída.
A primera vista, podría p arecer qu e estamos ante un caso evidente de
error del piloto, ya que obviamente el capitán se equivocó al decidir con-
tinuar el despegue en esas condiciones. Sin embargo, la investigación pre-
sidida por el comisionado Virgil Moshansky, un juez de Alberta, duró dos
afios, reunió 34000 páginas de testimonios y escuchó a 176 testigos antes
de llegar a la siguiente conclusión9 :
El accidente de Dryden [.. .] no fu e resultado de una sola ca usa , sino de una
combinación de varios factores relacionados. Si el sistem a hubiera fun cio-
nado efica zm ente, todos esos fac tores habrían sido detectados y corregidos
antes de adquirir significación [ . .. ] el accidente fue el resultado de un fallo
del sistem a de transporte aéreo [en su conjunto].
Entre estos factores causales figuraban prominentemente las deficien-
cias identificadas a muchos niveles distintos en el regulador, Transport Ca-
nada, una agencia que se encontraba en una posición difícil en el momento
del accidente, atrapada en un clásico doble vínculo: de un lado, la desre-
gulación había resultado en una carga de trabajo mucho mayor y, al mismo
tiempo, los recortes presupuestarios impuestos por el gobierno canadiense
significaban que el número de p ersonas cualificadas disponibles para des-
empe11ar sus responsabilidades, muy aumentadas, se había reducido mucho.
Transport Canada se hallaba atrapado además en una pesadilla burocrática:
la aprobación de aumentos de presupuesto, por ejemplo, requ ería remitir
informes distintos a once niveles del ministerio correspondiente. Las ini-
9.V P. Moshansky, COllllllissioll oJ I/1 f}lIiry illto lile Air Olllnrio Cmsll ni Dryrlell, Onlnrio.
Fillnl Reporl, vol. 1, Ottawa, Ministry ofS upply and Services, 1992, pp. 5- 6.véase también
el análisis del capitán D an Maurino en D. M aurino el ni. , Beyollrl A IJinlioll HlIl/lnll Fnclors,
AJdershot, Avebury, 1995 , pp. 57-85.
213
La gestión de los grandes riesgos
ciativas en pro de la seguridad habían sido sistemáticamente rechazadas o
recortadas durante muchos años. El resultado de esas constricciones fue
que la red de seguridad de la inspección y la supervisión del transporte
aéreo falló. La Investigación Moshansky identificó como causas concu-
rrentes del accidente de Dryden varios factores relacionados con Trans-
port Canada, entre los que se incluían:
- La ausencia de indicaciones a las aerolíneas sobre la necesidad de qui-
tar el hielo.
- La ausencia de auditorías de las operaciones del F-28.
- No se había aprobado un manual operativo del avión o un manual de
operaciones de vuelo.
- Seis meses después de la entrada en servicio del aparato, no existía una
lista de equipo mínimo.
- El reglamento de navegación aérea (la regulación vigente) era incom-
pleto, contradictorio y ambiguo.
- La formación y certificación de los operadores estaba enteramente en
manos de las aerolíneas. El operador responsable aquel día de los vue-
los del F-28 estaba insuficientemente cualificado, preparó una infor-
mación de despacho de vuelo incorrecta, no notificó a la tripulación
las condiciones de llu via helada ni tampoco las condiciones de sobre-
vuelo en Dryden.
El informe de la investigación resumió la participación de Transport
Canada en la secuencia del accidente del siguiente modo:
Transport Canada, en tanto que regulador, te¡úa el deber de prevenir las gra-
ves deficiencias operativas del programa de los F-28 [... l. Si el regulador hu-
biera sido más diligente y minucioso en la inspección de la im.plementación
de los F-28 en Air Ontario, muchas de las deficiencias operativas que inci-
dieron en el accidente del vuelo 1363 podrían haber sido subsanadas 10
Apenas pueden caber dudas de que estos fallos de regulación fueron
consecuencia de fallos sistémicos profundamente enraizados, no de la ac-
tuación inadecuada de algunos individuos situados en la «primera línea».
Los problemas de raíz residían en las altas esferas de Transport Canada y
en el clima financiero impuesto por el gobierno de entonces. Los regula-
dores operativos que testificaron para la investigación fueron muy explí-
citos en su condena tanto de las regulaciones vigentes como de la «inacción
10. V P Moshansky, op. cit., vol. 3., p. 914.
214
8. La infeliz suerte del regulador
crónica» de la alta dirección de Transport Canada. Finalmente, la inves-
tigación reconoció que, en su mayor parte, el personal de Transport Ca-
nada estaba compuesto por «personas competentes y dedicadas que
sinceramente lo hacen lo mejor que pueden para garantizar un sistema
de transporte aéreo seguro para el público, a veces en circunstancias di-
llciles y frustrantes»11.
Demos al Comisionado Moshansky la últim.a palabra sobre la tragedia
de Dryden: «Después de dos años de audiencias públicas e investigación
intensiva, creo que este accidente no sucedió por mera casualidad: se per-
mitió que ocurriera»12. En este caso, el fallo de la red de seguridad regu-
ladora era sólo una parte, pero una parte significativa, de la dolencia que
aquejaba a todo el sistema de transporte aéreo canadiense.
El Piper Chieftain estrellado en Young, Nueva Gales del Sur
Hacia las 19:18 horas del 11 de junio de 1993, un pequeiío aparato de vue-
los a corta distancia procedente de Sídney, con cinco pasajeros y dos pilo-
tos a bordo, tocó unos árboles de una colina baja en su aproximación al
aeródromo de Young, Nueva Gales del Sur, y se estrelló. Seis personas mu-
rieron en el impacto o en el posterior incendio. El único superviviente fa-
lleció en el hospital a la mañana siguiente. Para lo que puede llegar a ser un
accidente de aviación, éste fije un desastre relativamente pequeño, pero que
iba a tener consecuencias de gran alcance para el regulador, la Autoridad de
Aviación Civil Australiana (Australian Civil Aviation Authority, ACAA)13.
Llevó a cabo la investigación la Oficina de Investigación de la Seguri-
dad Aérea (Bureau of Air Safety Investigation, BAS¡), una agencia que
recientemente había adoptado como marco teórico para descubrir con-
tribuciones causales organizativas y sistémicas el modelo de causalidad de
los accidentes delineado en el capítulo 114 . Además de identificar defensas
fallidas o ausentes, fallos activos y factores locales inductores de errores, el
modelo dirige a los investigadores a considerar también los factores or-
ganizativos y los fallos latentes. Entre éstos, el informe de BASI sobre el ac-
11. lbid. , vol. 1, p. Jo,.'viii.
12. lbid., vol. 1, p. 7.
13. Para evitar confiJsiones con o tras autoridades aéreas civiles, en este texto nos re-
feriremos a la CAA australiana como ACM .
14. Bureau of Air Safety Investigation (BAS1), Pipe/" PA31-350 Chiiftain YOUI'lg NSW 11
jlll'l e 1993, Investi gation Report 9301743, Canberra, ACT, Bureau of Air Safety Investlga-
tion, 1994.
215
La gestión de los grandes riesgos
cidente señaló varias contribuciones de carácter regulador, que incluían los
siguientes factores:
- Objetivos en coriflicto. Las actividades de la división de seguridad y es-
tándares de ACAA tendían más a favorecer la viabilidad del operador
(MonarchAir, una pequeña aerolínea de viajes a corta distancia en di-
ficultades económicas) que a atender las necesidades de la seguridad del
público que utilizaba el transporte.
- Difidente división de responsabilidades. Las responsabilidades, así como la
información crucial, estaban repartidas entre la oficina central de ACM
en Canberra y las oficinas locales de distrito -donde radicaban los
inspectores de operaciones de vuelo que efectuaban materialmente la
supervisión requerida legalmente-o Esto significaba que «a nivel re-
gional, no había una sola persona que tuviera una visión general y ex-
haustiva de la salud de la seguridad de Monarch».
- Difidente planificación. La oficina de distrito responsable de Monarch no
formuló ni emprendió un programa efectivo para supervisar las ope-
raciones de la aerolínea. El inspector de operaciones de vuelo al que
se había asignado esa función tenía una elevada carga de trab~o, por
lo que su enfoque era más reactivo que proactivo. En consecuencia, su
supervisión de Monarch se reducía en gran medida a la inspección de
documentos. BAS! estim.ó que, dado el número de horas de vuelo que
el aparato había acumulado durante el año anterior al accidente, de-
bería haber pasado un mínimo de 14 horas, y una media de 17 horas,
de revisión en ruta. En realidad, no pasó ninguna. Eso significa que el
regulador desconocía el estándar real de operaciones de vuelo de Mo-
narch. Un indicador que podía haber sido significativo en este caso
eran las circunstancias financieras de la empresa, pero en la ACAA no
existía ningún mecanismo que la indujese a tomar en consideración la
posible conexión entre el estado financiero de una organización y su
capacidad para volar de manera segura.
- Recursos inadecuados. El inspector local de operaciones de vuelo estaba
sobrecargado de trab~o e infradotado de recursos. Era responsable de
la supervisión de unas 40 compañías en posesión de un certificado
de operador aéreo (air operators certifica te, AOC) y, además, se le exigía que
se ocupase de sus deberes administrativos y de gestión durante largos
periodos, sin dej ar de atender por ello la supervisión de los poseedo-
res de AOC que te¡úa asignados. BAS! llegó a la conclusión de que se-
mejante carga de trabajo era inabarcable.
2I6
8. La infeliz suerte del regulador
- Comunicaciones inrifectivas. Una regulación efectiva requiere una buena
comprensión de la organización supervisada. Sin embargo, la mayor
parte de la comunicación entre Monarch y la oficina del distrito de
ACAA tenía lugar de modo formal; no n1.ostraba indicación alguna de
que hubiera una estrecha relación de trabajo entre ambas partes. Había
escaso contacto personal entre el inspector asignado y los responsa-
bles de las operaciones de vuelo de Monarch.
- Control dificiente. Los investigadores no hallaron evidencia alguna de
que la oficina de distrito de la ACAA ejerciera un control efectivo sobre
la supervisión de Monarch. Es más, el inspector asignado carecía del
apoyo y la supervisión adecuados por parte de su dirección operativa.
- Procedimientos operativos dificientes. La división de seguridad y estándares
carecía de los procedimientos necesarios para garantizar que Monarch
continuaba satisfaciendo las exigencias requeridas al poseedor de un
Aoc.A pesar de que unos meses antes del accidente se habían detectado
deficiencias de las operaciones de vuelo de Monarch, la ACAA parecía re-
nuente a tomar medidas t~antes para mejorar los estándares operativos
de la compañía. En ausencia de una estrategia coordinada de vigilan-
cia, aunque se luantuvo una serie de reuniones con Monarch, no se
consiguió que se materializasen las significativas mejoras requeridas.
La investigación de Monarch recibió considerable atención en los me-
dios de comunicación australianos y suscitó una gran preocupación pú-
blica por la seguridad de las pequeñas aerolíneas que cubrían distancias
cortas y por la efectividad del programa de supervisión y vigilancia de la
ACAA. Esa preocupación alcanzó su punto cuhninante en mayo de 1994,
cuando el portavoz de la oposición en materia de transporte en el Parla-
mento Federal acusó airadamente de trasgresión en materia de seguridad
a Seaview Air, una pequeña aerolínea de alquiler que operaba entre Lord
Howe 1sland y el continente australiano. El anterior piloto jefe de Seaview
Air era la fuente de unas acusaciones que la compañía propietaria de Sea-
view Air negó enérgicamente y tachó de «... infundadas, calunmiosas, di-
famatorias y totah1.1.ente incorrectas». Ese mismo día, la empresa recibió el
decidido apoyo del director de la seguridad aérea de la ACAA I5 .
En octubre de 1994, un Aero Conmunder propiedad de Seaview Air
cayó al mar entre Newcastle, en Nueva Gales del Sur, y Lord Howe 1s-
land. Murieron ocho pas~eros y el piloto. Poco después del accidente, el
15 . Editorial del The Sydney Momillg Hemld, el7 de octubre de 1994.
2I7
La gestión de los grandes riesgos
Sydney Morning Rerald publicó un artículo que citaba la siguiente decla-
ración del director de regulación de la seguridad aérea de la ACAA: «Hemos
estado observando muy activamente cómo realiza operaciones Seaview
Air y consideramos que lo hace de forma totalmente satisfactoria». El
miSlTlO artículo revelaba a continuación que en enero de 1994 la ACAA
había advertido a Seaview Air que se arriesgaba a ver suspendido su per-
miso de vuelo a menos que corrigiese «serias deficiencias operativas». La
carta de la ACAA describía esos problemas como «L1l1a causa importante de
preocupación desde la perspectiva del cumplimiento de la regulación y la
seguridad». Dichas deficiencias incluían:
- Que la sobrecarga de los aparatos venía siendo «la nornu desde hace
algún tiempo» .
- Volar sin ayudas a la navegación de emergencia.
- Anunciar la aerolínea COlT10 un servicio regular de pasajeros cuando en
realidad era un servicio de alquiler.
- Que la formación de algunos pilotos era deficiente.
- Que un piloto había efectuado un trayecto sin plan de vuelo.
El editorial del S)'dne)' Morning R emld del 7 de octubre de 1994, seis
días después de la tragedia del Aero Commander, informaba que la ACAA
había modificado su posición anterior y admitía que, en efecto, había in-
dicado a Seaview que estaba conculcando las normas de seguridad, pero
que esas infracciones habían sido rectificadas satisfactorianlente. El mismo
editorial señalaba también que cuando en el mes de mayo se había dis-
cutido el tema en el Parlamento Federal, el sei'íor Brereton, ministro de
transporte, se había limitado a remitir las preguntas de la oposición a una
comisión parlamentaria. El editorial comentaba: «Esta respuesta fue esen-
cialmente un reajuste doméstico, cuando, a la luz de los acontecimientos
subsiguientes, habría sido necesaria una actuación mucho más directa en
el sentido de una reorganización del servicio».
La reorganización no tardó en llegar. Una semana después del acci-
dente, el ministro cesó al director de seguridad de la ACAA. Doce días des-
pués del accidente, y como consecuencia de él, se ordenó a la policía
federal que abriera una investigación sobre presuntos hechos constituti-
vos de delito de corrupción en la ACAA I6 . La misma semana, el ministro
Brereton anunció que el Gabinete Federal había acordado instituir y dotar
16. M. Riley, «Police to investigate CAA link to Seaview», The Synne)' lVlo fl'li/'/g H eraln,
14 de octubre de 1994.
218
8. La infeli z suerte del regulador
de presupuesto a una nueva agencia de seguridad aérea independiente,
que sustituiría al departamento de regulación de la seguridad aérea de la
ACAA I7 , por considerar que ésta era la forma idónea de resolver «el conflicto
inherente entre las funciones económicas y políticas de la ACAA».Anunció
también que la financiación pública para la regulación de la seguridad au-
mentaría un 20%. Entre tanto, el ministro Brereton resistía las peticiones
de dimisión por su gestión de la ACAA (la oposición lo llamó «Poncio Pi-
latos en la nieve» cuando se confirmó que había continuado sus vacacio-
nes de esquí después de ser informado de la tragedia del Seaview). Al año
siguiente, la ACAA fue disuelta y sustituida por dos agencias, la Civil Avia-
tion Safety Authority, encargada de regular la seguridad aérea, y Air Ser-
vices Australia, que se ocuparía del control del tráfico aéreo y aspectos
similares de las anteriores competencias de la ACAA. Cómo funcionará esta
nueva organización tras el reciente cambio de gobierno es algo que habrá
que ver.
La desregulación del sector de la aviación en Australia había producido
un ramo de corta distancia, un tercer grupo de aerolíneas, que incluía un
gran número de operadores con un solo avión y un solo piloto y que em-
barcaban hasta una docena de pasajeros desde y con rumbo a los centros
regionales de Australia. La mayoría operaba bajo las normas, relativamente
laxas, que gobernaban las operaciones chárter. A diferencia de los Estados
Unidos, donde los nuevos operadores deben demostrar que cuentan con
recursos suficientes para mantener su aparato, en Australia «cualquiera que
pueda conseguir prestado, mendigar o robar un avión lo bastante decente,
puede convertirse en el magnate de su propia aerolínea»18.
Esta situación podría haber sido manejable si la ACAA hubiera dispuesto
de los recursos necesarios para mantener la seguridad aérea, y el decidido
propósito de hacerlo, pero se trataba de una agencia comercial, financiada,
en parte, por aquéllos a quienes regulaba . Como resultado, la ACAA sentía
una natural preocupación por sostener la viabilidad comercial de sus ope-
radores-clientes en el sector del transporte de corta distancia. Fue este
conflicto de objetivos el que, con el tiempo -y probablemente de forma
inevitable-, provocó su desaparición.
17. M. Taylar, «Brereto n strips CAA safety rol e», Th.e Ca/1berm Tin/es, 13 de octubre de
1994.
18. Financial Re/Jiew, 11 de octubre de 1994.
219
La gestió n de los grandes riesgos
EL ATAQUE CONTRA LOS REGULADORES ESTADOUNIDENSES
El siguiente titular apareció en el New York Ti/'nes en noviembre de 1995:
«El laxo sistem.a de inspección de la Administración Federal de Aviación
(Federal Aviation Administration, FAA) convierte el espacio aéreo en Un
lugar más peligroso». El artículo de fondo que venia a continuación, es-
crito por Adam Bryant, recogía la crónica de algunos de los problemas que
acosaban a la FAA, uno de los organismos reguladores más grandes y pres-
tigiosos del mundo.
La investigación del New York Ti/'I'l es -basada en do cumentos oficia-
les y entrevistas a insp ectores, funcionario s de la age ncia y expertos del
sec tor- identificó dos defectos del sistema de inspe cción de la FAA que
juzgó graves l9 . Primero, no parecía que pudiera imputarse responsabilidad
alguna a los inspectores por no desc ubrir o realizar el seguimi ento de de-
fici encias que posteriormente estuvieran implicadas en accidentes fatales.
La Oficina N acional de Seguridad en el Transporte (National Transport
Safety Board, NTSB), la agencia que investiga los accidentes aéreos en Es-
tado s Unidos , identificó la incapacidad de la FAA para ac tu ar agresiva-
mente contra las sup ervisiones laxas como un fa ctor incidente en tres
accidentes aéreos con víctimas mortales, así como en un accid ente sufi-ido
por un aparato de la propia FAA. Segundo, un número significa tivo de ins-
pec tores ca recía aún de la forma ción necesaria para ha cerse cargo de los
aviones y el equipo qu e se les había encomendado sup ervisar. Por ejem-
plo, muchos inspe ctores declararon que se les había asignado sup ervisar
flotas de Boeing 737 sin hab er recibido nunca formación sobre ese apa-
rato. En el año 1994-95 sólo unos pocos de los 143 inspectores qu e su-
pervisaban a los pilotos que volaban en un avión turbohélice de uso muy
extendido, el ATR, estaban plenam ente cualificados ellos mismos para pi-
lotar esa clase de avión. La NTSB seI'íaló esa falta de formación del perso-
nal regulador como factor causal concurrente en tres accidentes aéreos
desde 1983.
En respuesta a estas críti cas, los funcionarios de la agencia señalaban la
tasa na cional de accidentes aéreos - una de las más baj as del mundo-
co mo prueba de que el sistema funcionaba. Sus críticos, sin embargo, re-
plicaron que confiar en un historial de seguridad medido por una tasa
baj a de resultados negativos es una equivocación similar a co nsiderar se-
19. A. Bryant, «Marginal safety: a special repo rt», T/¡ e Nel/J York Til/l es, 13 de noviem-
bre de 1995 .
220
8. La infeliz suerte del regulador
guro un neumático desgastado mientras no explote_La contumaz nega-
tiva de la FAA a reconocer qu e existían aguj eros en su red de seguridad
llegó a irritar al senador William S. Cohen, presidente del Comité del
Congreso encargado de inves tiga r el sistema de insp ección de la FAA. «La
actitud de la FAA», afirmó, «ha consistido en negar las acusaciones, defen-
der su actuación y desviar las cues tiones» .
Como muchas agencias comparables en otros países, el servicio de ins-
pección de la FAA no anda sobrado de recursos . Cuenta con 2500 inspec-
tores de seguridad para sup ervisar 7298 aparatos perten ecientes a
aerolíneas, 184434 aparatos de aviación general, 682959 pilotos en activo,
4817 instalaciones de reparación, 656 esc uelas de formación de pilotos y
192 escuelas de mantenimiento. Cada aI'ío, un inspector realiza más de
400 inspecciones, cuya duración oscila entre los cinco minutos y las cinco
semanas. El salario medio anual es de 57500 dólares.
Como en otros países, la desregulación del sector aéreo en 1978 no ha
hecho más fácil, en absoluto, la tarea de los reguladores . Antes estaban
convencidos de qu e podían confiar en que los trabaj adores del sector ha-
rían bien su trabajo ; pero ahora, cuando una de ca da cuatro aerolíneas
quiebra cada año y otras nuevas ocupan su lugar, hay fu ertes presiones
comerciales para reco rtar costes en seguridad. En palabras de un inspec-
tor veterano: «Te encuentras con mecánicos que falsifi can docum.entos y
pasan por alto cosas qu e para ellos so n obvias porqu e tienen miedo a las
represalias de sus j efes.Ya no hay co nfianza».
La FAA no es la única agencia reguladora estado unidense acosada. El
4 de marzo de 1996 la revista Ti/'n e publicó un extenso artículo sobre la
Comisión R eguladora de la Indu stria Nuclea r (Nuclear Regulato-
ry Commission, NRC), la agencia responsable de supervisar la seguridad
de los 110 reac tores com erciales existentes en Estados Unidos. Su titu-
lar decía así: «Dos valientes ingenieros de Connecticut denuncian el pe-
ligroso juego de la NRC: no exigir, de forma habitual, el cumplinúento
de la normativa de seguridad para permitir qu e las centrales m antengan
bajos sus costes y sigan conec tadas a la red»20.
El problema te¡úa que ver con el uso de una gran masa de agua de-
nominada piscina de co mbustible gastad0 21. Hay un tipo de central nu-
clear que debe parar cada 18 meses para sustituir las barras de combustible.
20. E. Pooley, «Nuclear warriors», Tim e, 4 de marzo de 1996.
21. La piscina (pool) puede denominarse también «estanqu e» (po/ld), como en el R eino
Unjdo, por ejemplo.
22I
La gestión de los grandes riesgos
Las barras gastadas -radiactivas y a muy alta temperatura- se disponen
sobre parrillas en el interior de la piscina. Debido a que el gobierno fede-
ral no ha construido un lugar de almacenamiento para los desechos de alta
radiactividad, estas piscinas se han convertido, de facto, en vertederos nu-
cleares, mu chas de ellas casi al limite de su capacidad. Si el sistema fallase
las piscinas se transformarían en calderos hirvientes de los que se elevaría~
nubes de vapor radiactivo. Peor aún, si una piscina perdiera el agua que
contiene a consecuencia de un terremoto, un fallo técnico o un error hu-
mano se produciría el equivalente a la fllsión de varios núcleos fuera del
área de contención, lo que liberaría cantidades masivas de radiactividad
que harían inhabitables grandes extensiones de Estados Unidos.
Para controlar estos riesgos, las regulaciones federales exigen que las
centrales más antiguas, que no disponen de los sistemas de refrigeración
más recientes, lleven a la piscina sólo una tercera parte de las b arras al
mismo tiempo. En la central en cuestión, uno de los ingenieros de más alto
rango descubrió que se estaba llevando a la piscina todo el combustible a
alta tempera tura a la vez; y también que esa práctica llevaba vigente al
menos 20 años. Además, en lugar de cumplir con el periodo de enfria-
miento de 250 horas prescrito, el combustible se retiraba sólo 65 horas
después de la parada. M erced a este expediente, la central reducía en dos
semanas el tiempo sin actividad que suponía cada recarga de combustible,
lo que constituía una ahorro de siete millones de dólares aproximada-
mente en los costes de la operación.
Así dio comienzo una lucha, que duró tres años, para enmendar las
cosas. Durante 18 m eses los superiores del ingeniero negaron que existiera
el problema y rehusaron informar a la NRC. M ás adelante, la dirección
contrató consultores externos para demostrar que el ingeniero estaba
equivocado, pero que acabaron mostrándose de acuerdo con él. Final-
mente, el ingeniero llevó el asunto directamente a la NRC y descubrió que
los reguladores nucleares estaban al tanto de esa práctica cuando menos
desde hacía 10 años, sin que hubieran adoptado ninguna medida para po-
nerle fin . La NRC se defendió diciendo que se trataba de una práctica muy
extendida , y segura, siempre que el sistema de refi·igeración de la central
hubiera sido diseñado para asumir esa carga de calor -lo que no era el
caso en la central en cuestión- oAsimismo se descubrió que existían cen-
trales con problemas similares en la gestión de sus piscinas de combusti-
ble gasta do en otros tres Estados.
En su respuesta escrita a un cuestionario que Time le había enviado por
fax, el director ejecutivo de la NRC afirmó que «la responsabilidad de la se-
222
8. La infeliz suerte del regulador
guridad corresponde a las empresas . .. La NRC es esencialmente una agen-
cia de auditoría» . Con sólo cuatro inspectores por cada tres centrales,
«hemos de concentrarnos en las cu estiones con mayor significación para
la seguridad. Se nos pueden pasar por alto cosas».
Como ocurre en otros lugares, la NRC recibe ataques desde todos los
flancos . El senador por Delaware Joseph Biden, que presiona para crear
una oficina de seguridad nuclear independiente, al margen de la NRC, des-
cribió el estilo de regulación de ésta como el de «el zorro al cuidado del
gallinero». Los críticos de la NRC señalan también que la industria nuclear
estadounidense pu ede vetar la designación de candidatos a ingresar en su
comité de dirección si los juzga demasiado hostiles, mientras que los re-
guladores complacientes «encuentran la puerta abierta para oc upar bue-
nos empleos» en las empresas del sector nuclear. El director ejecutivo de
un grupo de apoyo a quienes denuncien irregularidades llamado «No-
sotros, el pueblo» comentó: «Todo se reduc e a dinero ... C uando un
asunto de seguridad es demasiado caro para el sector, la NRC simplemente
lo arrumba». Al mismo tiempo, el propio sector nuclear se queja de que
muchas de las normas de la NRC disparan sus costes sin mejorar la seguri-
dad porque «el sistema de regulación no se ha mantenido al día de los
avances tecnológicos»22.
Como sus homólogos de otros países, este organismo regulador se en-
cuentra entre la espada y la pared.
CONDENADO TANTO SI LO HACES COMO SI NO
Por todo el mundo las agencias reguladoras parecen atrapadas, sin espe-
ranza de salvación, en un embrollo de dobles vínculos . Considérense los
siguientes:
- La carga de trabajo ha aumentado a la vez que se han recortado drás-
ticamente sus recursos.
- Con frecuencia, se acusa a los reguladores de sup ervisión indulgente
y de relaciones de colusión co n sus clientes, mientras que estos mis-
mos los consideran a menudo intrusivos, obstructivos, amenazantes,
rígidos, anticuados, ignorantes y, por lo general, hostiles a sus presio-
nes de carácter comercial.
22. E. Pooley, op. cit.
223
La gestión de los grandes ri esgos
- Las investigaciones de accidentes declaran a los reguladores culpables de
no estar plenan'lente familiarizados con los detalles de las operaciones
de sus clientes y de pasar por alto factores causales importantes; pero el
único modo que tienen los reguladores de obtener esa información es
que los propios operadores se la proporcionen, o bien realizando ins-
pecciones y seguimientos periódicos. Después de un accidente, estas
omisiones adquieren una significación siniestra, pero para los regula-
dores, pertrechados únicamente con su capacidad de previsión, esos
factores no son sino otras más de las posibles contribuciones a un fu-
turo accidente. Como ya dijimos, una advertencia sólo lo es reah1'lente
si se sabe qué clase de contingencia sufrirá la organización.
- Los reguladores de primera línea son generalmente técnicos especia-
listas. Sin embargo, los accidentes más graves surgen de interacciones
imprevistas -y con frecuencia imprevisibles- entre factores huma-
nos y organizativos, cuya importancia sólo han comenzado a recono-
cer los legisladores en materia de salud y seguridad en fechas muy
recientes y en los términos más generales.
En resumen, los reguladores están en una posición imposible : se les
pide que prevengan los accidentes organizativos en ámbitos de alta tec-
nología a pesar de lo poco que se conoce todavía de la etiología de estos
raros y complejos sucesos -como este libro trata de dejar claro.
Pero esto no siempre fue así. Algunas de las más espectaculares reduc-
ciones de accidentes -generalmente relacionadas con individuos que se
enfrentaban a peligros claramente definidos en situaciones concretas-
han sido fi:uto de la introducción de legislación sobre seguridad, unida a
una regulación y un esfuerzo efectivos por hacer cumplir las normas.
A continuación dedicaremos una breve sección a estas historias de éxito
con objeto de reequilibrar la balanza.
LEGISLACIÓN y REGULACIÓN: ALGUNOS GRANDES ÉXITOS
Tras una de las batallas del general Grant, durante la guerra civil estadou-
nidense, un político de Washington, descontento con las elevadas bajas
(unas 19000) que habían sufi'ido las fuerza s de la Unión, acusó a Grant de
matar más hombres que los ferrocarriles. Aunque, a primera vista, esto pa-
rece poco más qu e mera retórica política, una mirada más atenta alnú-
mero de empleados muertos en operaciones ferroviarias en el siglo XIX
revela que no era en absoluto una exageración. En el año 1892, por ejem-
224
8. La infeliz suerte del regulador
plo, los ferrocarriles estadounidenses empleaban a 821415 personas, de las
cuales 30821 resultaron heridas o fallecieron a consecuencia de acciden-
tes laborales. De éstos, el 35% estuvieron relacionados con operaciones
de enganche de vagones de carga y otros. Antes de esa fecha, entre 1877
y 1887, el 38% de todos los accidentes sufridos por los trabajadores ferro-
23
viarios estuvieron relacionados con las maniobras de enganche .
Hasta que el Congreso aprobó la Safety Appliance Act, en 1893, la
tarea de enganche implicaba introducir una barra de conexión en una
mordaza de acoplamiento y luego insertar un pasador a través de un ori-
ficio de la barra para fijarla en su sitio. Para efectuar esta operación, los
operarios debían situarse entre los vagones en movimiento durante el en-
ganche y a menudo resultaban heridos y, en ocasiones, muertos .
En 1873 , EliJ.Janney -empleado de un negocio tex til y antiguo ofi-
cial confederado- patentó un enganche a modo de nudillo que p ermi-
tía a los trabajadores ferroviarios enganchar y desenganchar los coches sin
necesidad de estar entre ellos para dirigir la barra e insertar el pasador. El
mercado se vio inundado de pronto por miles de enganches p atentados,
pero el diseño de Janney era claramente el mejor. En 1888, la Asociación
de maestros constructores de vagones adoptó como estándar el enganche
de Janney. El Congreso, convencido de que el dispositivo podía efectuar
la tarea con seguridad, aprobó la Safety Appliance Act en 1893, convir-
tiendo el enganche de JaImey en obligación legal para toda la industria fe-
rrOVIana .
El impacto fue aso mbroso. La tasa de accidentes cayó espectacular-
mente durante los 10 años siguientes, y hacia 1902 (sólo dos años después
de que terminase el periodo de gracia de siete años concedido por la Ley)
los accidentes en maniobras de enganche representaron sólo el 4% de los
accidentes sufridos por los empleados. En términos absolutos, los acci-
dentes relacionados con el enganche cayeron de unos 11 000 en 1892 a
poco más de 2000 en 1902, a pesar del continuo aumento de la cifra de
empleados en los ferrocarriles durante esa década -de 873602 en 1893
a 1189315 en 1902-. Es interesante que no hubiera una reducción en la
proporción de empleados ferroviarios que sufrieron accidentes: co nti-
nuaron siendo en torno a un 3-4% de la fuerza laboral total año tras año.
23. La informació n relativa al descenso de los accidentes durante las maniobras de
enganche procede de The Un ited S tatus Law Week, 27 de febrero de 1996, 64, p. 411 2 .
Estoy enormemente agradecido a M.ichael Baram por hab erm e facilitado este texto, aun-
que no estoy seguro de qu e ap robase enteramente el uso que hago de él aquí.
225
1I1
La gestión de los grandes riesgos
Otras leyes de seguridad de éxito visible han tenido por objeto la in-
troducción de límites de velocidad en las carreteras. La imposición de1lí_
mite de 30 millas por hora en las carreteras británicas en la década de los
treinta produjo la mayor reducción de las muertes por accidente de ca-
rretera debida a un solo factor. La reducción del límite nacional de velo-
cidad de 70 a 55 millas por hora aprobada en los Estados Unidos en 1974
en respuesta a la crisis del petróleo, redujo la tasa de accidentes mortales el;
un 34%. La posterior elevación de ese límite a 65 millas por hora en los
tramos rurales de las autopistas interestatales condujo a un aumento del
16% en los accidentes mortales.
En Gran Bretaña, la obligatoriedad de que el conductor y el pasajero
del asiento delantero lleven puesto el cinturón de seguridad entró en
vigor el 31 de enero de 1983. La comparación de los meses de febrero a
diciembre de ese año con el mismo periodo del al10 anterior reveló una
reducción de los fallecimiento s del 23% y del 26% de los h eridos graves.
Un estudio posterior concretó que el descenso de las muertes y los daños
graves había sido del 23% para los conductores y del 30% para los pasa-
jeros del asiento delantero -los individuos directam.ente afectados por
la Ley.
Por supuesto, podríam.os continuar con el catálogo de efectos benefi-
ciosos de otras leyes de seguridad, como la obligatoriedad del casco para
los motociclistas -y los efectos adversos de su derogación en algunos Es-
tados de Estados Unidos-, pero la idea está clara. La legislación dirigida
a coartar determinados tipos de actos peligrosos ha tenido un impacto
muy grande. Pero siem.pre en el caso de accidentes individuales, en los que
las personas amenazadas, los riesgos y las situaciones peligrosas eran todos
bien conocidos.
Por desgracia, no existe el mismo nivel de concreción - o incluso de
comprensión- en el caso de los accidentes organizativos. Así pues, la cues-
tión sigue en pie: ¿qué podrían hacer los reguladores para ser más efecti-
vos en la limitación de la fi-ecuencia y gravedad con que ocurren estos
infrecuentes pero catastróficos sucesos? Para responder a esta pregunta ne-
cesitamos primero reflexionar sobre la naturaleza del proceso de regula-
ción y analizar cómo acontecimientos clave, como la Ley de Salud y
Seguridad en el Trabajo británica (1974) y el Informe Cullen sobre Piper
Alpha, han cambiado el modo de elaborar y hacer cumplir las leyes sobre
seguridad.
226
8. La infeliz suerte del regulador
AUTONOMÍA y DEPENDENCIA COMO CONSTRICCIONES
DEL PROCESO DE REGULACIÓN
Las autoridades reguladoras son agentes de control social. La bibliografía
sobre organizaciones es rica en exposiciones teóricas sobre dicho proceso
de control, pero aquí daremos preferencia al ofrecido por Diane Vaughan
4
en su minucioso análisis del accidente del Challenger _ Lo que hace a las
nociones de Vaughan sobre autonomía e interdependencia organizativas
articular mente relevantes para las cuestiones que ahora nos conciernen
~s que las elaboró para dilucidar los problemas de regulación que pueden
contribuir -y que así lo hicieron- a un accidente orgamzatIvo.
La esencia de su argum.ento es que el proceso regulador -descubri-
miento, vigilancia, investigación y sanción- está constreñido inevitable-
mente por las relaciones interorganizativas entre la agencia reguladora y
la empresa regulada, lo cual, a su vez, lleva a que sus relaciones se basen
más en la negociación y el compromiso que en amenazas y castigos. El
hecho de que tanto el regulador como el regulado sean autónomos, que
existan como entes separados e independientes, plantea al primero pro-
ble111.as especiales . Su estructura física, su cultura y las m edidas adoptadas
para limitar la filtración de hechos sensibles -la información que se trans-
mite al exterior se criba- aíslan, en diferentes m.edidas, delmedlO exte-
rior a todas las organizaciones, y, además, éstas tienden a ser muy selectivas
en sus intercambios de información con organizaciones externas, y espe-
cialmente con los reguladores.
Éstos, por su parte, intentan atravesar las fronteras de las organizacio-
nes que regulan solicitando ciertas clases de informaciones y efectuan,do
visitas periódicas a sus instalaciones. No obstante, estas estrategIas solo
pueden procurar atisbos aislados de las actividades de una organización_ El
tamaño, la com.plejidad, las peculiaridades de la jerga organizativa (como
en el caso de la NASA, por ejemplo), el rápido avance de la tecnología y, en
ocasiones, la opacidad intencionada se combinan para dificultar qu e el re-
gulador adquiera una visión profunda, general y exhaustiva de cómo lleva
realmente sus asuntos la organización.Y es probable qu e los reguladores
individuales que afrontan estas dificultades, siendo ellos mismos miem-
bros de una organización autónoma con su propia agenda, transmitan a sus
superiores inmediatos la impresión de que saben más de lo qu e realmente
24. D.Vaughan, "Autonomy, interdependence, and social contro~: NASA and the space
sl1Uttle C/¡ alIel'lgw> , A dl'l,;nistmtilJe Sciel'lce QI.Ia/·terly, 35,1990, pp. 22;)-233.
227
La gesti ó n de los g rand es ri esgos
saben sobre la organización que regulan. Confesar que no pueden p ene-
trar hasta el corazón de los asuntos de la organización que tienen asignada
significa adm.itir que carecen de las habilidades investigadoras necesarias
o que no están llevando a cabo su trabajo con la suficiente diligencia, o
am.bas cosas. A los reguladores también les preocupan sus carreras.
En su esfuerzo por vencer esos obstáculos, los reguladores tienden pau-
latinamente a depender de la ayuda que las organizaciones reguladas les
prestan para obtener e interpretar la información. Esa interdependencia
puede socavar e! proceso regulador de diferentes maneras. A través delma-
terial que escoge comunicar y de la forma de presentarlo, la organización
regulada puede manipular el conocimiento del regulador acerca de la na-
turaleza y gravedad de un problema de seguridad. Los reguladores son seres
humanos, y como tales tienden a establecer relaciones personales con los
regulados - la gente que supervisan acaba por caerles bien y llegan a sen-
tir simpatía por sus problemas en el ámbito personal- y esto, a veces, com-
promete su capacidad para identificar, informar de, o sancionar infi..acciones.
Las malas relacion es consumen recursos escasos, gastan un tien"lpo va-
lioso y son desagradables y, con fi·ecuencia , contraproducentes -en par-
ti cular cuando se secan las fu entes internas de información-o Como
resultado, generalmente ambos, regulador y regulado, tienden a evitar los
encuentros antagónicos y a favorecer la negociación y e! rega teo frente al
conflicto y la confrontación. Diane Vaughan resume la situación con las si-
guientes palabras:
Es probable qu e las situaciones de lTlutua dependencia engendren continua-
mente negociaciones y regateos en lugar de tácticas de confrontación en un
proceso en que cada parte intenta controlar el uso que la otra hace de sus re-
cursos alnusmo ti empo que procura conservar los suyos. Interpretar las con-
secuencias de estas negociaciones y regateos (por ejelTlplo, que la sanción sea
el análogo de un tirón de orejas, o que no haya sanción alguna) como «fallos»
de regulación es no cOl11.prender la cuestión. El comprom.iso es un patrón de
logro del cumplinuento de las normas que la estructura de las relaciones in-
terorgan.izativas de regulación genera sistemáticamente 25
EL CAMBIO HACIA LA AUTORREGULACIÓN
Las dos o tres décadas pasadas han sido testigos de una drástica transfor-
mación en la forma de elaborar la legislación sobre seguridad en muchos
25 . ¡birl. , p.227.
228
8. La infeli z suerte del regulado r
aíses industrializados. Di cho de! modo más sencillo, se ha pasado de leyes
~ue especificaban los m edios por los que debía conseguirse qu e se traba-
jase de forma segura, a leyes que disponen e! logro de dete~nunados o.bJe-
tivos de seguridad; en lu gar de normas que dlCtan los requlSltos concretos
que individuos u organizaciones han de cumplir, dejándoles escasa o nula
discreción para apartarse de lo prescnto, la tendenCIa actual apunta hacra
normas que subrayan los resultados que se exigen a la gestión de la s~gu­
ridad y conceden a los operadores de las tecnologías de alta pehgr~sldad
considerable libertad para determinar los m edios por los qu e alcanzaran dI-
chos resultados.
Lograr obj etivos de seguridad presupone dos funciones organizativas
básicas26. Primero, exige disminuir la probabilidad de que sucedan aCCI-
dentes, mediante la identificación y eliminación de las circunstancias que
los causan. Segundo, requiere reducir las consecuencias dúi.osas de los ac-
cidentes qu e aún sucedan -estableciendo procedimientos de mitigación
de accidentes y de respu esta de emergencia, reduciendo aquellos factores
causales que tengan mayor probabilidad de aumentar los daños materia-
les y personales y trasladando las potenciales víc timas y los activos ame-
nazados fuera de la zona de peligro-oSobre ambas funCIOnes mfluye de
forma determinante qué juzgu e una sociedad, o una tecnología, «sufi-
cientemente seguro». Existen varios enfoques diferentes:
_ El enfoque defactibílidad o ALARP (los riesgos deben mantenerse tan bajos
como sea razonablemente factible, as loUl as reasonably practicable). Se-
guridad es lo logrado en e! punto a partir del cual para la organización
no es ni tecnológica ni comercialmente factible hacer más.
_ El enfoque de riesgo comparatilJo. La seguridad se determina sobre la base
de compara ciones con otros riesgos qu e la sociedad acepta volunta-
riamente (por ejemplo, la decisión de utilizar el transporte aéreo, de
viajar por carretera, de fumar, etc.). .
_ El enfoque de rnínirnos. Existe seguridad cuando los riesgos se consIde-
6
ran insignificantes, comúnmente cuando su probabilidad es 10- o
n"lenor.
_ El erifoque de riesgo cero. Existe seguridad sólo cuando no hay riesgo al-
guno de que suceda un accidente con consecuencias perJudICIales.
26. M. Baram, «The use of rules to achieve safety: introductory remarks», ponencia
presentada al Workshop 011 the Use ofRules to Achieve Safety, Bad Homburg, Alemama,
6 de m ayo de 1993.
229
 La gestión de los grandes riesgos
Como ha señalado Michael Baram, profesor de derecho en Boston:
Con independencia del concepto que en un momento particular de la his-
tona se II1voque para defil11r lo que sea la seguridad, a medida que una so-
ciedad progresa demanda un nivel más alto de ella. Así pues, la seguridad es
un obJetiVO en ITlOvllruento que se desplaza continuamente hacia el riesgo
cero, excepto ?or ll1terrupclOnes que sobrevienen durante periodos de ad-
versidad econonuca o de elevado desemple0 27
La breve relación del movimiento hacia la autorregulación que ex-
pondremos a continuación se centrará en la escena británica, pero
desarrollos comparables han tenido lugar en otros países. Véase, por ejem-
plo, la Ley de Planes de Emergencia y Derecho de la Ciudadanía a Saber
aprobada por el Congreso de los Estados Unidos en 1986 y las enmien-
das a la Ley de Aire Limpio promulgadas por el Congreso en 1990.
A lo largo de la primera m.itad del siglo xx, la legislación británica
sobre seguridad estuvo firmemente asentada en el «Modelo de la Le
de Fabricas»28, y se caracterizó por su fi-agmentación y por la ausencia d~
participación de la fuerza laboral. Desde mediados del siglo X IX, la ten-
dencia había favorecido la aprobación por parte del Parlamento de le es
muy específicas cuya redacción incluía regulaciones prescriptivas de~a­
lladas de actividades laborales concretas. La falta de participación de los
trab~Fdores era un legado de la tradición de la Ley de Fábricas, que im-
poma obligaCIOnes a los empleadores y veía la participación de los tra-
baJadores en el esfu erzo por mejorar la seguridad principalmente como
una cuestión de disciplina que era responsabilidad de los empleadores
hacer cumplir.
Hacia finales de la década de los sesenta este rígido edificio legislativo
-una gran pila de colecciones de normas relativas a cada sector amon-
tonadas unas sobre otras- comenzaba a desmoronarse. El rápido aumento
de la tasa de accidentes, junto a los arrolladores cambios que se estaban
prodUCIendo en las tecnologías y los materiales, induj o la exigencia ge-
neralizada de una nueva legislación sobre salud y seguridad. El gobierno
creó una comisión de investigación presidida por Lord Robens, hasta en-
tonces presidente de la Oficina Na cional del Carbón. Las recomendacio-
nes del Informe Robens se promulgaron - con sorprendentemente pocos
retoques por parte del gobierno- en la Ley de Salud y Seguridad en el
27. Ibirl. , p.3.
28 . S. Dawson,PWillman, M. Bamford y A. Clinton, Scifet}' at Work:Tile Lilllits of Se!f
Regl/la!lOl/, Cambridge, Cambridge University Press, 1988.
230
8. La infeliz suerte del regulador
Trabajo (Hea lth and SaJety at Work Act, Ley HSW) de 1974. Esta ley inició
el movim.iento en dirección a la autorregulación.
La Comisión Robens identificó varios defectos graves en el sistema
legal vigente para la promoción de la salud y la seguridad en el trabajo. El
primero, y el más fundamental, era que había demasiada legislación, si-
tu ación que tenía por efecto «condicionar a la gente a creer que la salud
y la seguridad en el trabajo eran primeramente y por encima de todo un
asunto de normas m.inuciosas impuestas por agencias externas»29. El se-
gundo defecto era que gran parte de la legislación existente era insatisfac-
toria. Era ininteligible, estaba obsoleta en muchos puntos y se preocupaba
principaln"lente de las circunstancias fisicas y no de «las actitudes, capaci-
dades y actu aciones de las personas y de la eficiencia de los sistemas or-
ganizativos en los que trabaj aban»30. El tercer problema era la
fragmentación de las jurisdicciones administrativas y la inexistencia de
una política oficial de amplio alcance en materia de salud y seguridad en
el trabajo. El informe afirmaba:
Necesitamos un sistema que se autorregule con más efectividad ... Esto re-
quiere mejores sistemas de organización de la seguridad, más iniciativas de
gestión y nl.ás participación de los trabajadores nUSlTIOS. Por lo tanto, los ob-
j etivos de la futu ra política laboral deben incluir no sólo un aumento de la efi-
cacia de la contribución del Estado a la salud y la seguridad en el trabajo, sino
también, y de manera mucho más importante, la creación de las condiciones
propi cias para una autorregulación m ás efectiva 3 ].
Muy pertinentemente, el segundo capítulo del informe Robens hacía
asimismo la siguiente observación:
La promoción de la salud y la seguridad en el trabajo es una función esencial
de una bu ena gestión [ ... l. Las buenas intenciones alluvel del consejo de di-
rección serán inútiles nl.Í entras los gestores de los eslabones inferiores de la ca-
dena, y más próximos a lo que sucede en el lu gar de trabajo, sigan
preocupándose exclusivamente de problemas de producción 32 .
La Ley HSW puso en marcha la progresiva sustitución de la legislación
sobre salud y seguridad existente por un sistema de regulaciones y códi-
gos de prácticas recomendados; impuso al empleador el deber de «asegu-
29.The Hon. Lord Cullen, op. cil., p. 256 .
30 . Ibirl., p.257.
31. Ibirl., p.257.
32. Lord Rob ens, Saje!}' a/"lrl Henllil al Work, Reporl of tile COl/I/I/iUee 1970-72, Vol. 1,
Londres, HM SO, 1972, p. 41.
23I
 La ges ti ó n de los g randes riesgos
rar, en la m edida en qu e sea razonablemente fac tible, la salud, la seguri_
dad y el bienes tar en el trabajo de todos sus empleados» y «llevar a cabo
sus ac tividades de man era qu e garan ticen, en la medida en qu e sea razo_
nablem ente fac tible, que las personas que, no siendo sus empleados, pue-
dan verse afec tadas por ellas no se vean por ello expu estas a riesgos para
su salud y su seguridad» (ss . 2 y 3); creó dos nu evos organismos, la Conu_
sión de Salud y Seguridad (H ealth and Safety Conmussion, HSC), respon_
sable del logro de los obj etivos generales de la Ley, y el Comité Ej ecutivo
de Salud y Seguridad (H ealth and Safety Executive , HSE) , en cargado de
hacer cumplir la p olítica de salud y seguridad. Las operaciones m arítimas
la seguridad alimentaria y del consumo y el transporte, excepto el de sus~
tancias peligrosas, quedaron entonces fu era de las comp eten cias del HSE.
E n 1976 la Ley fue ampliada para incluir a los trabajadores del sector de
extra cción de petróleo y gas desde plataformas m arinas, p ero la respon-
sabilidad de su regulación fu e encomendada al Müusterio de Energía (cre-
ado en 1974) habida cuenta de su co n ocimiento y su exp eriencia
especializados en esta área de operaciones relativam ente nu eva.
En resumen: a diferencia de la Ley de Fábricas, la Ley HSW ap enas en-
traba en detalles sobre gen eradores concretos de accidentes (por ej emplo,
maquinaria, montacargas y ascensores, depósitos de gas, etc.) . En lugar de
eso, facilitó unas directrices generales sobre los deberes de los empleado-
res, los empleados, los proveedores y los usuarios, y, asimism o, instituyó los
procesos para la futura elaboración de reglamentos y códigos de prácticas
y estableció los marcos generales para el funcionamiento de un orgalusmo
encargado de disei'iar políticas (la H SC) y otro de carácter regulador (el HSE) .
D e 1971 a 1980 las cifi-as globales de accidentes mortales y no morta-
les evidenciaron una clara tenden cia descendente, esp ecialmente marcada
después de 1973 y desde 1978 en adelante; se p ro dujo una reducción pa-
tente y m ás o menos continua en el número de accidentes industriales.
D ebe señalarse, no obstante, qu e este declive era también parte de una
disminu ción a largo plazo de los accidentes industriales, en curso desde
co mienzos de siglo. Sin embargo, a partir de 1980- 81 la tasa de acciden-
tes industriales del R eino Unido se estabilizó y p oco después empezó a
elevarse. E n la industria y en la construcción hubo más h eridos graves al
final del periodo 1981-85 qu e al principio. Las causas de esta inversión de
tenden cia so n todavía oscuras .
En 198 4, el H SE promulgó los R eglamentos de Control de Riesgos In-
dustriales Graves (Control if Industrial lVlaj or H azards, C IMA H), qu e afecta-
ban a todas las instalaciones terrestres de alta p eligrosidad y exigían a los
232
8. La infeliz suerte del regul ado r
operadores la entrega al HSE de un inform.e escrito sobre la seguridad de
sU instalación, comúnmente cono cido como recom endación de seguri-
dad. El desastre de Flixborough, ocurrido en 1974, fu e el origen de estos
reglamentos, incorporados en 1982 por la Directiva de la Comisión E u-
ropea (CE) relativa al control de los riesgos inherentes a los accidentes gra-
ves en ciertas actividades industriales, usualm.ente denominada Directiva
Séveso. Sus exigencias incluían:
_ La demostración de la seguridad de las operaciones.
_ La notificación de los accidentes graves .
_ Un infor me escrito (la recomendación de seguridad).
- La actualización del informe a resultas de cualquier cambio signifi ca-
tivo.
- La obligación de facilitar al HSE infor mación ulterior.
- La preparación de un plan de em ergencia local para las instalaciones.
- La comunicación de información relevante al público.
- Un plan de em ergencia elaborado por la autoridad local.
Tras recibir la recom endación de seguridad, el HSE reunía un equipo
multidisciplinar de expertos para establecer si se aportaba toda la infor-
mación requ erida e identificar motivos de preocup ación inmediatos, de
los que después se realizaba un seguimiento por carta o m ediante visitas
a las instalaciones. Una vez convencido de qu e la recomendación de se-
guridad cumplía los requisitos, el H SE lo usaba p os teriormente como base
para elaborar su estrategia de supervisión subsiguiente. D eb e subrayarse
qu e esto no constituía un proceso de aprobación o concesión de licen-
cias interpretable como transferencia de parte de la responsabilidad de la
salud y la seguridad al H SE . La responsabilidad recaía plenamente en el
operador, y el HSE concedía considerable importancia a las cuestiones or-
ganizativas y de gestión.
Una de las fuentes de derecho más importantes del R eino Unido tras
la aprobación de la Ley HSW han sido los Reglam entos de Control de Sus-
tancias Peligrosas para la Salud (Control oi Substances Hazardous to Health
Regulations, COSHH) , promulgados en 1988 a requ erimiento de una direc-
tiva de la CE sobre agentes peligrosos, y que ofl-ecenlas directrices para la
implementación de las m edidas necesarias para proteger la salud no sólo de
los empleados sino también de terceros. Los reglamentos COS I-II-I afectaron
virtualmente a todos los lugares de trabaj o y adoptaron una estrategia que
contrastaba marcadam ente con la Ley I-1SW en tanto que, entre otras cosas,
exigían a los empleadores conocer las propiedades de más de 5000 sus-
233

La gestión de los gra ndes riesgos
tancias e identificar las relevantes en sus resp ec tivos lugares de trabajo ; asi-
mismo, dictaba un «procedimiento escalonado» para la identificación, eVa_
luación y control de riesgos qu e implicaba los siguientes p asos:
- Elaborar una lista de todas las sustancias peligrosas emplea das, identi_
ficar los puntos donde se las utiliza y realizar evaluaciones de riesgo
-recurriendo a expertos externos, en caso necesario.
- Controlar la exposición a estas sustancias mediante la ventilación, me-
jores instala ciones de lavado y el empleo de sustan cias m enos p eligro-
sas donde sea posible.
- Comprobar los equipos de respiración, ventilación y similares, y man-
tener un registro m eticuloso de estas inspec ciones.
-Vigilar la exposición m edian te la utilización de técnicas de higiene la-
boral idóneas.
- Realizar un seguimiento de la salud de los empleados expuestos al
nesgo.
- Formar a los empleados en la n aturaleza de los riesgos y las precau-
. .
Clones que reqmeren .
El siguiente desarrollo importante surgió directa111.ente de las reco-
m endaciones recogidas en el segundo volumen del Informe C ullen sobre
el desastre de la plataforma Piper Alpha, publicado en noviembre de 1990.
Apoyándose en la legislación reciente, Lord Cullen propuso p ara las ope-
raciones m arítimas un nuevo modelo de regulación que describió como
SIgue:
M e satisface que los operadores de instalaciones [... ] estén obligados a efec-
tuar una evaluación formal de la seguridad en relación con los riesgos graves,
cuyo propósito sería demostrar que se han identificado las principales ame-
nazas de la instalación y los consiguientes riesgos para el personal y que se han
provisto los controles adecuados. La finalidad de esta evaluación es que los
operadores tengan garantías de que sus operaciones son seguras . No obstante,
los trabajadores y el público tienen la legítima expec tativa de que se exija
a los operadores que prueben su seguridad ante el organismo regulador. La
presentación de una evaluación formal de la seguridad debería tomar la forma
de una recomendación de seguridad, que sería actualizada a intervalos regu-
lares y siempre qu e acaeciera un cambio de circunstancias importante3]
El Informe C ullen recom endaba que la regulación de la seguridad in-
dustrial en el m ar recayese en «una división discreta del HSE dedicada en
33.The Han. Lord e ullen, op. cit. , vol. 1, p. 3.
234
8. La infeliz suerte del regulador
:Eelusiva a la seguridad industrial mar adentro». Proponía también que el
emplease insp ectores especializados con «una identidad clara y una
influencia fu erte en el HSE» y a cuyo fi·ente debería estar un directodr eJ ~-
. que l· nformase directamente al director general y que fu ese a emas
cutlVO
niembro del consejo de altos directivos del HSE.
¡ Este modelo de evaluaciones formales de la seguridad (formal saf ety as-
sessments) FSA), presentadas en forma de recom endaciones de seguridad, se
~e t ndió posteriormente a otros sectores. Por ejemplo, motlvada
.
en parte
.dd
al' el desastre del Estonia} ocurrido en 1994, la AgenCla de Segun a
~arítima (Marine Safety Agen cy, MSA) creó en septiembre de 1995.:111
rograma de investigación bien financiado para investigar la evaluaclOn
p ·d '
formal de la seguridad de los buques . La MSA conS1 ero que su FSA com-
,. 34
pren dena cmco pasos :
_ Identificación de amenazas .
_ Evaluación de los riesgos asociados a ellas .
_ Consideración de las formas alternativas de gestionar eso s riesgos.
_ Evaluación coste-beneficio de las opciones alternativas para la gestión
de los riesgos.
_ Decisiones acerca de qué opciones seleccionar.
Un desarrollo ulterior merece una breve mención: el recrudecimiento
de la «ideología d e la desregulación» en Gran Bretaña. En 1992 el pri:ner
ministro pronunció un discurso en el que urgía a los regula~~res bntam-
cos a adoptar una actitud m ás relajada respecto a la 1mpos1cIOn del cum-
plimiento del «excesivo detalle» de los reglamentos d e la UE. Tres meses
después , el secretario de estado de comercIO e mdustna puso en march a
dos investigaciones sobre la «burocracia». La prim.era, a la busca de opor-
tunidades p ara reducir la «carga» de las normativas europeas; a la segunda
se le encomendó revisar, simplificar y, donde fuese pOSIble, derogar algu-
nas de las 7000 normativas existentes sobre alguna actividad comercial.
Menos de dos meses después, el HSE anunció su intención d e revisar m ás
de 400 normativas de salud y seguridad con el propósito de aminorar la
carga que suponían para las pequeñas empresas. Al mismo ti~mpo, el P ar-
lamento aprobaba la Ley d e Subcontratación y DesregulaClon, que con-
cedía al secretario de estado de em.pleo nuevas atribuciones para abrogar
legislación sobre seguridad.
34. Marine Safety Agency (MSA), Formal Sajet)' Assess/II e/'It oj Shipping: Prograr/'llrle O ller-
vielll, Londres, Marine Safety Agency, 15 de septiembre, 1995.
235
La gestión de los grand es riesgos
E n paralelo a estos pasos hacia la desregulación, ha habido -predeci_
blem ente- una constante erosión del presupuesto del Hsch-JSE - redUc-
ciones del 2,6% Y el 5% en años su cesivos, una pérdida de unos 15 n, ;l1 o
. . l l l l l1es
de
. libras- oD e forma Igualmente predecible' una comisión parlamelltana.
mtegrada por todos los partidos ha criticado recientemente al HSE por lle-
var a cabo un número excesivam ente reducido de inspecciones y, muy es-
pecialmente, por no conseguir cumplir sus obj etivos en cuanto al examen
de recomendaciones de seguridad pendientes, requeridos por las normas
del C IMAH sobre instalaciones de alta peligrosidad.
Lo expuesto aquí no constituye en modo alguno una revisión defini_
tiva, pero probablemente se h a dicho lo suficiente para abarcar los pasos
principales del cambio hacia la autorregulación -y la desregulación- en
el Reino Unido. Ahora debemos considerar las implicaciones de estos
cambios para las autoridades reguladoras. Estas m edidas, ¿serán efectivas en
la limitación de los accidentes organiza tivos?, ¿han facilitado en alguna
m edida la tarea del regulador?
VENTAJAS y DESVENTAJAS DEL CAMBIO HACIA
LA AUTORREGULACIÓN
Cualquier medida que sitú e la responsabilidad del mantenimiento de unas
prác ticas de trabajo seguras en las organizaciones directamente implicadas
en ellas tiene que representar una enorme «ventaj a» en la lucha por la li-
nutación de los accidentes organizativos.Y otro tanto cabe decir de la de-
m anda co nexa de qu e pongan un interés atento, continuo y proactivo en
todos los diversos factores que afectan a la seguridad de sus instalaciones.
La mayoría de las op eraciones tecnológicas, hasta las más complejas, son
relativam ente sencillas comparadas con la tarea de mantener unas condi-
ciones de trabajo seguras. Como se señaló en el capítulo 4, no hay en la
selva árboles suficientes para fabricar el papel de los procedimientos ne-
cesarios para garantizar unas operaciones seguras. La seguridad, como
h emos visto, es un «no- suceso dinámico » que depende de forma crucial
de una comprensión clara de las interacciones entre muchos procesos sub-
yacentes diferentes . Los b enefi cios a largo plazo para la seguridad de ver-
nos forzados a afrontar estos problemas sociotécnicos enormemente
dificiles -y todavía sin solu ción- son, sin duda, superiores a los de cual-
quier cantidad de «arreglos» puramente técnicos. El proceso es más valioso
que el producto . Y, como señala el Informe C ullen, muchos operadores
8. La itúeliz suerte del regulador
han encontrado provech oso el ejercicio de elaborar una recom endación
de seguridad: «A menudo, ha sido la primera vez qu e se ha elab orado un
informe sobre los aspectos de la organización relacionados con sus pnn-
cipal es amenazas. Muchos op eradores han declarado que ese eJerCIcIO les
evado a introducir cambios en su enfoque y m.eJoras en los sIstem.as
1la ll ·· 35
Ylos pro ce dll1uentos» .
pocas dudas puede h aber de que este impulso legislativo hacia la au-
torregulación tiene ciertamente la mejor voluntad en lo referente a la re-
ducción de la probabilidad de los accidentes organizativos, p ero es menos
seguro que beneficie a los organismos reguladores. Veamos algunos pro-
blemas.
Tradicionalmente, los reguladores trabajaban para garantizar el cumpli-
miento de las normas de seguridad dictadas por alguna autoridad legisla-
tiva. No importa lo fragmentarias, obsolescentes y ajenas que fueran las
normas; representaban, en todo caso, un estándar consensuado -al m enos
en ese mOlTlento- respecto al cual podía determinarse si una práctica la-
boral concreta o una instalación de riesgo infringían o no esta o aquella
normativa. En el nuevo clima de autodeterminación, los reguladores deben
continu ar su búsqueda de desviaciones, p ero de un tipo totalmente dis-
tinto. Ahora deb en detectar alejamientos de una recom endación de segu-
ridad que se expresa en términos mucho más generales, que puede variar
mucho de una organización a otra (en función de sus medios) y del cual
deben asumir una responsabilidad parcial pero direc ta -pues, de entrada,
no existiría como marco de referencia si la autoridad reguladora no la hu-
biera aprobado-o Como ya vim.os , detectar, vigilar y sancionar infraccio-
nes ya era bastante dificil en el pasado, p ero la responsabilidad qu e hoy
recae sobre los reguladores es realmente muy grande. No sólo deben vigi-
lar el cumplimiento de recomendaciones de seguridad muy diferentes, sino
que necesitan también una idea muy clara de qu é constituye una reco-
mendación de seguridad adecuada, tarea ni mucho n1.enos fácil en ellinu-
tado estado actual de nuestro cono cimiento.
Para juzgar la idoneidad de una recomendación de seguridad de otro
modo que repasando son1.eramente una lista de comprobación, a los re-
guladores se les exige hoy poseer una comprensión exh austiva - cabría
decir que casi divina- de cada uno de los numerosos factores que pue-
den contribuir a que ocurran accidentes, tanto individuales como orga-
nizativos. La legislación previa abarcaba en buena medida los orígenes
35. The Han . Lord C ullen, op. cit., p. 277 .
237
La gestión de los grandes riesgos
En paralelo a estos pasos hacia la desregulación, ha habido - predeci-
blem ente- una constante erosión del presupu esto del HSC/HSE - reduc-
ciones del 2,6% y el 5% en años sucesivos, una pérdida de unos 15 millones
de libras-o D e forma igualmente predecible, una comisión parlam entaria
integrada por todos los partidos ha criticado recientemente al HSE por lle-
var a cabo un número excesivam ente reducido de inspecciones y, muy es-
pecialmente, por no conseguir cumplir sus objetivos en cuanto al examen
de recom endaciones de seguridad p endientes, requeridos por las normas
del C lMA H sobre instalaciones de alta peligrosidad.
Lo expuesto aquí no constituye en modo alguno una revisión defini-
tiva , pero probablemente se ha dicho lo suficiente para abarcar los pasos
principales del cambio hacia la autorregulación -y la desregulación- en
el R eino Unido. Ahora debemos co nsiderar las implicaciones de estos
cambios para las autoridades reguladoras. Estas medidas, ¿serán efectivas en
la limitación de los accidentes organizativos?, ¿han facilitado en alguna
medida la tarea del regulador?
VENTAJAS y DESVENTAJAS DEL CAMBIO HACIA
LA AUTORREGULACIÓN
Cualquier m edida que sitúe la responsabilidad del mantenimiento de unas
prácticas de trabajo seguras en las organizaciones direc tamente implicadas
en ellas tiene que representar una enorme «ventaja» en la lucha por la li-
nutación de los accidentes organizativos.Y otro tanto cabe decir de la de-
manda con exa de que pongan un interés atento, continuo y pro activo en
todos los diversos factores que afectan a la seguridad de sus instalaciones.
La mayoría de las operaciones tecnológicas, hasta las más con"lplej as, son
relativamente sen cillas comparadas co n la tarea de mantener unas condi-
ciones de trabajo seguras . Como se seí'íaló en el capítulo 4, no hay en la
selva árboles suficientes para fabricar el papel de los procedinuentos n e-
cesarios para garantizar unas op eracion es seguras. La seguridad, como
h emos visto, es un «no-suceso dinánuco» que dep ende de forma crucial
de una comprensión clara de las interacciones entre muchos procesos sub-
yacentes diferentes. Los benefi cios a largo plazo para la seguridad de ver-
nos forzados a afrontar estos problemas sociotécnicos enormeme nte
difíciles - y todavía sin solu ción- son, sin duda, superiores a los de cual-
quier cantidad de «arreglos» puramente técnicos. El proceso es más valioso
que el producto. Y, com o señala el Informe Cullen, muchos operadores
23 6
8. La infeliz suerte del regulador
han encontrado provechoso el ej ercicio de elaborar una recom endación
de seguridad: «A menudo, ha sido la primera vez que se ha elaborado un
informe sobre los asp ectos de la organización relacionados con sus prin-
cipales am enazas. Muchos operadores han declarado que ese ej ercicio les
ha llevado a introducir cambios en su enfoqu e y mejoras en los sistemas
y los procedinuentos»35.
Pocas dudas pu ede haber de qu e este impulso legislativo hacia la au-
torregulación tiene ciertamente la mejor voluntad en lo referente a la re-
ducción de la probabilidad de los accidentes organizativos, pero es menos
seguro que ben eficie a los organismos reguladores. Veamos algunos pro-
blemas.
Tradicionalmente, los reguladores trabaj aban para garantizar el cumpli-
nuento de las normas de seguridad dictadas por alguna autoridad legisla-
tiva. No importa lo fl-agmentarias, obsolescentes y ajenas que fueran las
normas; representaban, en todo caso, un estándar consensuado - al m en os
en ese momento- respecto al cual podía deternunarse si una práctica la-
boral concreta o una instalación de riesgo infringían o no esta o aqu ella
normativa. En el nuevo clima de autodeternunación, los reguladores deben
continu ar su búsqu eda de desviaciones, p ero de un tipo totalmente dis-
tinto. Ahora deben detectar alej anuentos de una recomendación de segu-
ridad que se expresa en términos mu cho más generales, que puede variar
mucho de una organización a otra (en función de sus medios) y del cual
deben asunur una responsabilidad parcial pero directa -pues, de entrada,
no existiría como marco de referencia si la autoridad reguladora no la hu-
biera aprobado-o Como ya vimos, detec tar, vigilar y sancionar infl-accio-
nes ya era bastante dificil en el pasado, p ero la responsabilidad que hoy
recae sobre los reguladores es realmente muy grande. No sólo deben vigi-
lar el cumplinuento de recomendaciones de seguridad muy diferentes, sino
que necesitan también una idea lTll1y clara de qué constituye una reco-
m endación de seguridad adecuada, tarea IU mucho menos fácil en ellinu-
tado estado actual de nuestro conocinuento.
Para juzgar la idoneidad de una recomendación de seguridad de otro
modo que repasando someramente una lista de comprobación, a los re-
guladores se les exige hoy poseer una comprensión exhaustiva - cabría
decir que casi divina- de cada uno de los numerosos fac tores que pue-
den con tribuir a que ocurran accidentes, tanto individuales con"1O orga-
luzativos. La legislación previa ab arcaba en bu ena medida los orígenes
35.The H an. Lord C ull en, op. cit., p.277 .
237
La gestión de los grandes riesgos
físicos de aquéllos, pero aún no se conocen totalmente las diversas formas
en que los factores humanos, técnicos y organizativos pueden combinarse
para producir los segundos -y quizá sean incognoscibles en último tér-
mino, a la vista de que cada accidente organizativo grave parece engen-
drar un nuevo conjunto de sorpresas-.Y esa carga evaluadora añadida no
resulta aliviada por el hecho de que la mayoría del personal regulador sea
experto en cuestiones técnicas y operativas, más que en factores humanos
y organizativos. La regla 80:20 puede que se ajuste a las causas de los ac-
cidentes (80 humanas/organizativas frente a 20 técnicas), pero, cierta-
mente, no refleja la proporción de saberes expertos en la mayoría de las
autoridades reguladoras. Incluso las mayores entre éstas cuentan sólo con
unos pocos individuos con formación formal en estas disciplinas «blandas»
-y probablemente es correcto que así sea, dado que aún tienen que pro-
ducir lo que se les demanda conforme a la teoría y la práctica vigentes-o
De ahí que, aunque se lograse entre los saberes expertos la ratio causal-
mente idónea de 80:20, eso no garantizaría la solución del problema.
La situación de la autoridad reguladora podría tornarse aún más difí-
cil si alguna de las organizaciones que supervisa sufriera un accidente
grave. La investigación subsiguiente descubriría una de estas dos cosas: o
que la actuación de la organización cumplía su recomendación de segu-
ridad, o bien que el accidente se había debido, en parte, a contravencio-
nes de éste. El primer caso podría atribuirse a defectos en el proceso de
evaluación del regulador -para empezar, no debería haber aprobado esa
recomendación de seguridad-, en tanto que es probable que el segundo
se juzgase como un fallo de vigilancia por parte del regulador. Condena-
dos lo hagan como lo hagan.
UN POSIBLE MODELO DEL PROCESO DE REGULACIÓN
Situados cerca de las fronteras del sistema que sistematizan pero sin ser
parte de él, los reguladores se hallan en una posición única para funcio-
nar como una de las defensas más efectivas contra a los accidentes orga-
nizativos. Esta posición les asegura la perspectiva precisa para identificar
prácticas insatisfactorias o el empleo de equipo deficiente a los que la or-
ganización se ha habituado o que de algún modo sortea. Los reguladores
son especialistas en la tecnología de que se trata - de hecho, muchos de
ellos han sido reclutados en los sectores que regulan-; han recibido for-
mación y poseen una vasta experiencia en la identificación de insufi-
ClenClas técnicas y debilidades sistémicas formales. Poseen también la
8. La infeliz suerte del regulador
autoridad legal que les confiere acceso para investigar allí donde sea pre-
ciso y para imponer las sanciones necesarias p ara hacer cumplir sus deci-
siones.
Carecen a menudo, sin embargo, de las herramientas, la formación y
los recursos para enfrentarse con los fac tores humanos y organizativos,
que son determinantes, y para vigilar la insidiosa acumulación de condi-
ciones latentes que posteriormente se asocian para atravesar las defensas
del sistema. Otro tanto cabe decir de los diseñadores de politicas. La pa-
sada década fue testigo de rachas aisladas de legislación a resultas de algún
desastre, cuando lo que hacía falta eran las estructuras legales y regulado-
ras necesarias para intentar prevenir futuros accidentes, no los anteriores.
Esta penúltima sección se basa ampliamente en los principios y técni-
cas presentados en los capítulos 6 y 7, con el propósito de esbozar un mo-
delo del proceso de regulación que, creemos, puede ser efectivo en la
reducción de la frecuencia y gravedad de los accidentes organizativos. El
modelo regulador perfilado algo más abajo está configurado por tres preo-
cupaclOnes:
-¿Cómo pueden desplegar los reguladores sus limitados recursos del
modo más efectivo en términos de costes y mejor dirigido a la con-
secución de sus objetivos?
-¿Cómo pueden lograr los reguladores que las organizaciones comple-
jas y bien defendidas que supervisan lleven a cabo las reformas orga-
nizativas necesarias para alcanzar, y a continuación sostener, niveles
óptimos de «salud de la seguridad».
- D ado que los criterios absolutos para operar de forma segura rara-
m ente se conocen por adelantado, ¿cómo podem.os dise11ar un proceso
de regulación que capacite al legislador, al regulador y al regulado para
ser todos partes integrales de un ciclo de aprendizaje efectivo?
El diagrama 8.1 resume los elementos básicos del proceso regulador tal
como se verían desde la p erspectiva de los inspectores de primera linea.
Las visitas a las instalaciones generan diversos indicadores -tales como
casos de incumplimiento o desviación de las prácticas de trabajo segu-
ras- que son los datos brutos del proceso de regulación, y que pueden
incluir, por ejemplo, ítems de equipo mal mantenidos o inservibles, falta
de información preparatoria o de prácticas de entrenamiento, un sistema
insuficiente de permisos para (re)iniciar trabajos o una organización in-
satisfactoria del cambio de turnos. Cada problema genera dos tipos de
ítem de actuación: los que efectúa la organización regulada para enmen-
239
La gesti ó n de los grandes riesgos
darlo (hexágonos oscuros) y los que lleva a cabo el regulador para vigilar
esa rectificación y, en el caso de que no se efectúe de forma satisfactoria
imponer la sanción correspondiente (hexágonos blancos). ' miento, la gestión de la seguridad, la estructura organizativa, y las presiones
Diagrama 8.1
Los elementos básicos del proceso regulador
Indi cadores lo cales, casos de acción de la
particulares, etc. organización del regulador
El diagrama 8.2 muestra la siguiente fase de desarrollo del modelo.
Aquí, los elementos básicos de la regulación se han ampliado para iden-
tificar los factores organizativos y de gestión (orga11.izational and rnanagerial,
o & M) localizados «corriente arriba» y que determinan los casos locales
de desviación. La naturaleza concreta de los factores o & M variará de un
sector a otro, pero la cifi·a de factores evaluados será siempre inferior al nú-
mero total de factores posibles (como vimos en el capítulo 7). En este
caso, el análisis contempla sólo siete factores o & M (representados por los
rectángulos oscuros). Si, por ej emplo, la organización regulada fuera una
240
8. La infeliz suerte del regulador
pequeii.a aerolínea, los factores o & M podrían incluir factores relaciona-
dos con la tripulación, la gestión de operaciones, la gestión del manteni-
comerciales y operativas.
Diagrama 8.2
Incorporación de los factores organizativos y de gestión (o & M)
a los elementos básicos del proceso regulador
Fa ctores organiza ti vos
y de gestión
Valoración de la contribu ción de cada
factor organizativo a cada caso
Mientras que los casos particulares genera n aspectos a enmendar localm ente, los Ítems de ac-
ción (por parte de ambos, regulado y regulador) generados por los factores o & M exigen re-
formas más fundamentales del sistema . Los rectángulos oscuros de la nutad superi or representan
Ítems de acción de la organización regulada para reformar un factor o & M específico. Los rec-
tá ngulos blan cos asociados son Ítems de acción del regulador para vigilar y, de ser necesario, co-
laborar en estas reformas.
Se supone que cada caso particular es producto de diferentes aporta-
ciones de cada uno de los factores o & M . Los nodos circulares situados
en la mitad inferior del diagrama son puntos en los que el regulador debe
evaluar el impacto de cada factor o & M sobre el caso particular. El regu-
 8. La infeliz suerte del regulado r
La gestión de los grandes ri esgos

Finalmente, el diagram a 8.4 intenta mostrar cóm o el proceso de re-

lador valora la contribución relativa de cada fa ctor o & M sobre cada caso
particular en una escala de cinco puntos donde 1 = muy p oca influencia,
5 = influencia muy considerable. Los rectángulos blancos asociados re-
presentan acciones que el regulador emprende para vigilar y, en caso n e-
cesario, cooperar en cualquier reforma.
Esas valoraciones se suman para todos los casos particulares de este
conglom erado concreto (procedentes de una o más inspecciones) y se ge-
nera un perfil de factor organizativo (véase el diagrama 8.3). El propósito
del perfil es indicar tanto al regulador como al regulado cuál de los di-
versos factores situados «corriente arriba» de la organización es el más ne-
cesitado de reforma urgente. C omo vimos en el capítulo 7 , n o es
razonable esperar que ninguna organización resuelva efectivamente todos
sus problem as de una vez. En inspecciones posteriores surgirán nuevos
casos qu e, a su vez, gen erarán nu evos p erfiles de factor organizativo. Una
serie de estos perfiles permitirá al regulador y al regulado seguir el pro-
greso de sus esfuerzos de corrección .
gulación aquí m odelado podría formar parte de un círculo de aprendizaje
más amplio que incluyera a legisladores, reguladores y tecnologías de alta
peligrosidad. Alb ergamos la esperanza de que las m ej oras sistémicas que
estas reformas organizativas focalizadas generen llegu en a representar nue-
vos estándares de salud y seguridad en el trabaj o, que podrían incorporarse
a una nueva legislación que, a su vez, cambiaría los criterios de inspección
y supervisión del regulador, y así sucesivamente. El lector advertirá que las
correcciones locales que se exigen a las organizaciones reguladas quedan
relegadas a un bucle secundario ; el énfasis principal de todo el proceso
recae en la refo r ma continua de los fac tores que constituyen la fu ente de
influencia original sobre la resistencia intrínseca del sistema a sus am ena-
zas op eracionales.
La filosofía que subyace a este modelo es idéntica a la descrita para Tri-
pod-Delta (véase el capítulo 7). Los casos locales -por ej emplo, los actos
peligrosos- son meros síntomas de la patología organizativa y de gestión

Diagrama 8.3 D iagram.a 8.4

Un perfil de fac tor organizativo generado p or las puntuaciones agregadas El proceso regulador integrado en un ciclo de aprendizaj e más am.plio
de todos los casos

Perfil de facto r organizativo que mu estra el grado

relativo de preocupació n que merece cada facto r
Reformas Legislación
organizativo o de gestió n

o
acumulativas

DD
t t Factores
prioritarios organizativo
Política de
regul ació n

Criterios de
Sup ervisión y inspecció n y
vigilancia sup ervisió n

Correcciones
locales
El obj etivo de este pe,rfil es identi ficar los dos o tres fa ctores más necesitados de refo rma por
parte de la orgaJ1lzacIO n (y el subSIgUI ente seglll llu ento y co ntrol por parte del regulador).
243
 8. La infe]j z suerte del regulador
La gestión de los grandes riesgos

subyacente. Eliminar esos casos uno a uno no mejorará la salud de la se-
guridad de la organización. Esto sólo puede conseguirse remediando los
problemas que están en su raíz.
Como vimos en el capítulo 6, mantener la seguridad, como la vida,
consiste en atender a «LlI1a pui1etera cosa detrás de otra». Cabe esperar qu e
al mismo tiempo que se reforma un factor o & M sei1alado como obj etivo,
o tros estarán deteriorándose. No obstante, este modelo ofrece una forma
fundamentada de seguir el curso de esos cambios y abordar los «grandes
problemas» más recientes a medida que el patrón vigente de indicadores lo-
cales los vaya revelando.
desastre, no antes. Poco o ningún prestigio político se gana por producir
una ausencia de sucesos, si bien, probablemente responder con éxito a ese
desafio depare, a largo plazo, una recompensa lTll1cho mayor. Cada socie-
dad sufi'e los desastres que merece. Confiemos en que, en las próximas dé-
cadas, se considere que los reguladores merecen algo mejor de lo que
hasta ahora ha sido el caso. Entonces, tal vez, viviremos todos un poco
más seguros .

EL REGULADOR MERECE UN TRATO MEJOR

A juzgar por los fallos expuestos en la primera parte de este capítulo, las
autoridades reguladoras no siempre logran prevenir los accidentes orga-
nizativos; pero un examen más meticuloso evidencia que, como muchas
otras personas en primera línea de la guerra de la seguridad, son más a me-
nudo víctimas que villanos. Sí, cometen errores; pero, ¿por qué habrían de
ser diferentes al resto de la especie humana?Y, al igual qu e otras personas,
no cometen sus errores solos. Este capítulo ha intentado mostrar que la
mayoría de los defectos de regulación tienen origen en niveles muy por
encima del inspector individual.
Dada la tendencia actual a buscar contribuciones cada vez más remo-
tas a los accidentes organizativos, es inevitable que quienes poseen un co-
nocimi.ento retrospectivo pelfecto juzguen las presuntas deficiencias del
regulador como aportaciones causales importantes a los grandes desastres.
La posición del regulador respecto a la organización afectada significa que
es probable que se le culp e desde todas las direcciones. Estando, como
están, en la frontera organizativa de todas las tecnologías de alta peligro-
sidad, es inevitable que su esfera de responsabilidad esté involucrada en
una gran variedad de fac tores causales. No obstante, si los reguladores han
de ser algo distinto a convenientes cabezas de turco, habrá que propor-
cionarles la legislación, los recursos y las herramientas que necesitan para
hacer su trabajo con efectividad, pu es, potencialmente, son una de las de-
fensas más importantes frente a los accidentes organizativos.
Las sociedades, exactamente igual que los operado res de sistemas de
alta peligrosidad, anteponen la producción a la protección. Como hemos
visto, la legislación sobre seguridad se promulga después de que ocurra un

245
244
 9
Ingeniería de una cultura de la seguridad

EL ALCANCE DE ESTE CAPÍTULO

POCAS FRASES SE PRONUNCIAN con más fi-ecuencia en los estudios sobre las
tecnologías de alta peligrosidad que la de cultura de la seguridad. Pocas cosas
hay que se persigan tanto y se comprendan tan poco. Ahora bien, en el
caso de que se crea que la actual preocupación por la cultura de la segu-
ridad no es sino otra moda pasajera, atiéndase a los siguientes hechos. La
aviación comercial es un sector con un infrecuente nivel de unifonnidad
a escala mundial. Las aerolíneas de todo el mundo usan, en gran medida,
los mismos tipos de aparatos y en circunstancias comparables. Los están-
dares que deben satisfacer la formación y la titulación de las tripulacio-
nes , los controladores aéreos y los ingenieros de mantenimiento son muy
similares.Y, no obstante, en 1995, el riesgo para los pasajeros (la probabi-
lidad de sufrir un accidente con al m enos una víctima mortal) difería
entre las compal1Ías aéreas del mundo en un factor de 42, desde una pro-
babilidad de resultar herido o muerto de 1/260000 en los peores casos a
otra de 1/11 000 000 en los mejores l . Factores como los recursos naciona-
les y los de la compañía tendrán su peso, p ero pocas dudas pueden exis-
tir de que probablemente las diferencias en la cultura de la seguridad
expliquen la mayor parte de esa enorme disparidad.
Nos en contramos con el término «cultura de la seguridad» primero en
el capítulo 2, al introducir la distinción entre organizaciones patológicas,
burocráticas y generativas, y volvió a surgir en el capítulo 6 en relación
con las fuerzas motrices que impulsan a una organización hacia un estado
de máxima resistencia a las amenazas que acompañan a sus operaciones. El
presente capítulo se centra principalmente en responder a tres preguntas:

1. Los datos proceden del Flight Safety FOLlndation Icarus ConUTuttee, citados por
Skandia International.Agradezco a Lars Hiigberg de la Inspección Nuclear Sueca (SKI) que
me facilitase esta información.

247

La gestió n de los g randes riesgos
¿Qué es una cultura organizativa? ¿Cuáles son los ingredientes principales
de una cultura de la seguridad? y, la más importante, ¿cómo pu ede ser ésta
objeto de ingeniería? El término «ingeniería » es deliberado, pero no lo
empleo con el significado tradicional de desarrollo de mejores m áquinas,
dispositivos u obras. Lo que discutiremos, más bien, es la aplicación de la
ingeniería social.
Este libro ha qu erido defender la idea de que la m ayoría de las solu-
ciones efectivas a los problemas de actuación humana proceden del ámbito
del gestor técnico, y del regulador, más que del psicólogo, y que es así por-
que aquéllos se ocupan de las condiciones en que trabaja la gente, no de
la propia naturaleza humana. El mensaje cardinal de este capítulo es que
este mismo principio general es válido también para la co nsecución de
una cultura de la seguridad efectiva. (De aquí en adelante se entenderá que
la expresión «cultura de la seguridad» se refiere a una cultura de la seguri-
dad efectiva). Las culturas nacionales surgen en gran Inedida de valores
compartidos, mientras que a las culturas organizativas las configuran las
prácticas compartidas - desarrollaré esta afirmación en la sección si-
guiente-. Esas prácticas serán el centro de atención de este capítulo.
Mu ch as personas hablan de la cultura de la seguridad cOlno si fuera
algo que sólo puede conseguirse por m edio de una formidable transfor-
mación, algo semejante a una experiencia religiosa. Este capítulo asume
la tesis contraria y sostien e que una cultura de la seguridad es algo que
puede ser obj eto de ingeniería social, que se puede producir identificando
y fabricando sus componentes esenciales y ensamblándolos luego en un
todo que funcione. Sin duda, es verdad que un serio accidente organiza-
tivo pu ede produ cir algunas conversiones espectaculares a la «fe de la se-
guridad» -que tienen , con h arta frecuencia, una vida breve-o Una
cultura de la seguridad no es algo qu e brote completo y acabado del equi-
valente organizativo de una experiencia próxima a la muerte, sino que
em erge gradualmente de la aplicación perseverante y con éxito de medi-
das prácticas y realistas . No tiene nada de nústico. Conseguir una cultura
de la seguridad es un pro ceso de aprendizaj e colectivo como cualquier
otro. Una cultura de la seguridad no es una entidad simple; se compone
de una pluralidad de elementos, o formas de actuar, pensar y gestionar, que
interactúan entre sí y qu e, com o subprodu cto natural, han m ejorado la
salud de la seguridad.
9. Ingeniería de una cultura de la seguridad
¿QUÉ ES UNA CULTURA ORGANIZATIVA?
A quienes poseen una formación «dura» en ingeniería deb e parecerles
qu e muchos intentos de describir la naturaleza de la cultura de la s:gun-
dad tienen la precisión definitoria de una nube. No hay una defimclOn ca-
nónica, p ero ésta reúne la mayoría de sus características esenciales con los
mínimos circunloquios:
Valo res (qué es importante) y creencias (cómo fun cionan las cosas) compar-
tidos que al interactuar con las estructuras y sistemas de control de una o r-
ganización producen normas de compo rtamiento (la man era como hacemos
las cosas po r aquíf
H asta la década de los och enta, «cultura» era un término qu e se apli-
caba más a las nacionalidades que a las organizaciones. La «cultura orga-
niza tiva» se convirtió en parte esencial de la (~ e rga de los gestores» como
resultado de dos libros muy leídos: Corporate Culture (de Terrence Deal y
AlIan Kennedy) 3 e In Search of Excellence (de Thomas J. Peters y Robert
Waterman)4, ambos publicados en 1982. _ ,
Este último libro introduj o la noción de fortale za cultural y senalo que
«la coherencia y el iInp erio de su cultura demostró ser una cualidad esen-
cial de todas las com.pañías de excelencia, sin excepción»5 . Quince años
después , habrá quizá quienes pongan en duda esta afirmación (en p ar-
ticular, si h an sido despe didos de compañías «de excelenCIa»), pero pocos
discutirán la idea de qu e una cultura fuerte es aquélla en la que todos los
niveles de la organización comparten las mism.as m etas y valores. C itando
a Peters y Waterman de nuevo, «en estas empresas [de cultura fuerte] , el
personal en los niveles inferiores del organigranu sab e lo que se s u~ o ne
que tiene que hacer, en la mayoría de las SituaCIOnes, porque el puna do
de valores que les guía es claro como el agua»6 .
Los teóricos de las organizaciones han descrito varias culturas negati-
vas o disfuncionales. Una de esas «malas» culturas se caracteriza por lo que
2. B. Uttal , «The co rporate culture vu1tures», Forhlne, 17 de octubre de 1983. .
3.T. E. Deal y A.A. Kennedy, Corporafe C lllfllres:Tll e Rifes ami Rlfll als 01 Corporate Life,.
Readi ng, MA,Addiso n-Wesley, 1982 [trad. cas t.: Las elllpresas COII IO SlStelll as CIIltllrales. Ritos
)' rituales de la vida o/gal/izaciona l, Buenos Aires, Sudam erIca na, 1985]. , , '
4, T. ]. Peters y R, H ,Waterman, In Sea rc¡' 01 Excellence. Lessol'/S frOIll Amenw s Best-Rlln
CO/'llpall ies, Nu eva York, H arper & Row, 1982, [trad, cast.: En Vllsca de la excelenCia, Lecc:o-
l/ es de las empresas mejo rgestiol/adas de los Estados U/ lldos, Barcelona, EdICIones Follo, 1984].
5, lvid,
6, lvid" p,76,
249
La gestión de los grandes riesgos
los psicólogos han llamado impotencia aprendida, término que describe un
estado de cosas en la que la gente aprende que los intentos de cambiar su
situación son estériles y, en consecuencia, sen cillamente, dej a de inten-
tarlo : «la energía y la voluntad para resolver problem as y alcanzar metas
se disipa» 7. Otra estrategia organizativa contraproducente es la evitación de
la ansiedad. Cuando una organización de esa naturaleza descubre una téc-
ru ca para reducir su ansiedad colectiva, es probable que recurra a ella una
y otra vez al m argen de su efectividad real .
La razón es qu e la organización qu e ha aprendido a con"lportarse así no sen-
tirá ningún deseo de analizar la situación para deternunar si la causa de su an-
siedad sigu e operando. En consec uencia, todos los rituales, las pautas de
pensanu ento y sentinuento y los comportanu entos que originahnente pu-
dieran haber estado motivados por la necesidad de evitar una situación do-
lO1'osa y generadora de ansiedad se repetirán , incluso si las ca usas del malestar
original han dejado de actuar; y será así porque la evitación de la ansiedad se
refu erza positivamente por sí nusma 8
Es probable qu e tanto la impotencia aprendida como la reiterada evita-
ción de la ansiedad contribuyan a impulsar el ciclo de inculpación descrito
en el capítulo 7. La gente se siente impotente ante peligros perm anentes; y
si bien puede qu e las reacciones adyacentes a incidentes y accidentes, como
«redactar otro procedimiento» y «culpar y dar formación», no sirvan real-
mente para aumentar la resistencia del sistema frente a hlturOS accidentes or-
ganizativos, satisfacen al menos la función de reducir la ansiedad haciendo
ver que se hace algo - y culpar a los operarios de primera línea desvía la
responsabilidad de la organización en su conjunto.
Existe controversia entre los científicos sociales sobre si una cultura es
algo que una organización «tiene» o algo que una organización «es» . La
primera concepció n subraya el poder de la dirección p ara cambiar la cul-
tura mediante la introducción de prácticas y m edidas nuevas, en tanto que
la segunda ve la cultura com o una propiedad global que em erge de los va-
lores, creencias e ideologías de todos los mi embros de la organización.
Los directivos y los consultores de gestión son partidarios de la primera
perspectiva, mientras que los profesores y los científicos sociales prefieren
7. P Bate, «The impact of organizational culture on approaches to orga nizational pro-
blem-solving», en G. Salaman (ed .), Hl/lIlal/ Resol/rces Strategies, Londres, Sage, 1992,
p. 229, citado por N. T hompso n, S. Stradling, M . Murphy y P O 'Neill, «Stress and orga-
nizational culture» , British j Ol/ mal oJ Socia l Work, 26,1996, pp. 647- 665.
8. Citado porThompso n et al. , op. cit., p.651.
9. In geni ería de un a cultura de la seguridad
la segunda. Este capítulo toma partido por los gestores y se muestra de
acuerdo con el antropólogo Geert Hofstede cuando escrib e que:
Sobre la base de [nu estro] proyecto de investigación, propugnamos qu e las
prácticas son rasgos que una orgaluzación tiene. Debido al importante papel de
las prácticas en las culturas orgaluzativas, el enfoque «tIene» puede consIde-
rarse como algo, al menos parciahnente, susceptible de gestión. Cambiar los
valores colectivos de personas adultas en una dirección predeternunada es ex-
tremadamente dificil, si no imposible. Los valores cambian, pero no conforme
al plan rector de nadie. Las prácticas colectivas, en cambio, dependen de ca-
racterísticas orgaluzativas como las estructuras y los sistemas y se puede mflUlr
9
sobre ellas de manera más o menos predecible transformando estos últimos .
Aunque la idea de cultura de la seguridad existía desde 1980, su auto-
ridad recibió un enorme impulso en 1988 cuando la Agencia Internacio-
nal de la Energía Atómica publicó un informe en el qu e elaboraba el
concepto en detalle. En él definía la cultura de la seguridad como «. . .
una combinación de características y actitudes, en las organizaciones y en
los individuos, que instituyen que, como prioridad absoluta, los asuntos de
la seguridad recibirán en las centrales nucleares la atención exigida por : u
importancia»IO. Por desgracia, se trata de alguna m anera de una declaraClon
de principios: esp ecifica un ideal, pero no los m edios para alcanzarlo. La
Comisión de Salud y Seguridad (Health and Safety COlwmssion, HSC) del
Reino Unido propuso en 1993 una definición m ás útil, y que m erece la
pena reproducir completa:
La cultura de la seguridad de una organización es el producto de los valores ,
actitudes, competencias y patrones de comp ortanuento individuales y colec-
tivos que deternunan el compronu so con, y el estilo y la competenCla de, los
programas de salud y seguridad de una orgaluzación. Las orgamzaclOnes qu e
poseen una cultura de la seguridad positiva se caracterizan por que sus co-
municaciones se basan en la confianza mutua, por sus percepClOnes compar-
tidas sobre la importancia de la seguridad y por su confianza en la eficacia de
las medidas preventivas" .
9. G. Hofstede, C I/ltl/res and Olgm'liz atiol'l5: In.terwltl/ral Cooperatioll and its IIrIportal1ceJor
S/.Irvil/(/I, Londres, H arper Collins, 1994, p. 199 [trad. cast.: O,{turas y olganiz aciones. El soft-
ware mel/ ta l. La cooperación il/tewacional )' SI/ importallcia para la sl/pervillellcia , Alianza Edito-
rial , Madrid , 1996]. .
10. International Nuclear Safety Advisory Group ( IAEA), SaJet), Culture, VIena, lAEA,
1991 . li
11. Citado por R . Booth , «Safety culture: co ncept, measurement and training imp -
cations», Proceedil1gs oJ Britisll Health m'ld SaJety Society Spring Colljerellce: SaJety C llltl/re m'ld
the Mal/agell1e11t oJ Risk, 19-20 de abril de 1993, p. 5.
 La ges ti ó n de los gra nd es riesgos
. Sin perder la sintonía con esta defini ción, el presente capítulo subraya
la ImportancIa declSlva de contar con un sistema de informa ción sobre la
seguridad efectivo - la base principal de una cultura il'iforl'nada-. Debo su-
brayar una vez más qu e la preoc upación primordial de este libro no son
las medidas de salud y seguridad tradicionales, orientadas principalmente
a prevenir los accidentes de trabajo individuales, sino la lim..itación de los
accidentes organiz ati/los. Es este objetivo el que conforma los argumentos
expuestos a continu ación.
Los COMPONENTES DE LA CULTURA DE LA SEGURIDAD
D escribiremos ahora brevemente los elem entos principales de una cultura
de la seguridad y sus diversas interacciones. A co ntinua ción, en las si-
guientes secciones, nos ocuparemos pormenoriza damente de cada uno
de estos subcom.ponentes.
- Como sei1alamos en el capítu lo 6, la ambición de impl ementar una
cultura de la seguridad ideal es el motor que, indep endi entem ente de
la personalidad de los líderes de la organización o de las preocupacio-
nes mercantiles del momento, impulsa incesantemente el sistema ha cia
la meta de maximizar la salud de la seguridad. Ese ideal es dificil de al-
canzar en el mundo real; no obstante, es un objetivo por el que me-
rece la pena esforzarse.
- La potencia de este motor depende en gran medida de un sentimiento
constante de respeto hacia las numerosas entidades que pu eden tras-
pasar y romp er las defensas. En una palabra, su potencia depende de no
olvidarse de tener miedo.
- En ausencia de resultados adversos, la mejor manera -tal vez la única
manera- de mantener un estado de inteligente y respetuosa cautela es
reunir los tipos apropiados de datos. Eso significa crear un sistema de in-
formación de la seguridad que recopile, analice y difunda información
sobre incidentes, casi accidentes y comprobaciones proac tivas regulares
de los signos vitales del sistema (véase el capítulo 7). Puede decirse que
todas estas actividades componen una cultura il'iforrnada -una cultura en
la qu e quienes dirigen y operan el sistema tienen un conocimi ento ac-
tualizado de los factores humanos, técnicos, organizativos y del entorno
que determinan la seguridad del sistema en su conjunto-o En la ma-
yoría de los aspectos importantes, una cultura informada es una cultura
de la seguridad.
9. Ingeniería de una cultura de la segurid ad
- Todo sistema de información de la seguridad depende de manera cru-
cial de la buena disposición a participar de la fu erza de trabajo, de las
personas en contacto direc to con las am enazas. Para obtener esa par-
ticipación, es necesario implem entar una cultura que il'iforrn.a -un clima
organizativo en el cual los trabajadores estén dispuestos a informar de
sus errores y sus casi accidentes.
- Una cultura que informa efectiva depende, a su vez, de cómo maneja
la organi zación la culpa y el castigo. Una cultura «sin culpa» no es fa c-
tible ni deseable. Una pequ eña proporción de las acciones humanas pe-
li grosas so n demasiado notorias (por ejemplo, el abuso de sustancias
tóxicas, el incumplimiento temerario, el sabotaj e, etc.) y m erecen cas-
tigos, en algunos casos muy severos. Una üm1Unidad general para todas
las acciones humanas peligrosas carece ría de credibilidad a ojos de la
fu erza laboral. Más importante aun, parecería ü' contra todo sentido de
la justicia natural. Lo que se necesita es una cultura justa, una atmósfera
de confianza en la que se motive, incluso se recompense a las personas
por suministrar información ese ncial en relación con la seguridad
-pero en la que también sea patente para todo el mundo dónde ha de
trazarse la línea entre el comportamiento aceptable y el inaceptable.
- La evidencia mues tra que las organizaciones de alta fiabilidad - las lí-
deres de su sector en temas de salud, seguridad y medio ambiente-
poseen la habilidad de reconfigurarse cuando tienen qu e enfrentarse
a operaciones urgentes o a ciertos tipos de p eligro. Una cultura flex ible
adopta diversas formas, p ero en mu chos casos implica un cam.bio del
modo j erárquico convencional a una estructura profesional más plana,
donde el control pasa a los exp ertos en la tarea en cuestión que se ha-
llan en el lugar de la acción, y luego retorna al modo buro crático tra-
dicional una vez que la emergencia ha pasado. Esta adap tabilidad es
un rasgo esencial de la organización preparada para afrontar una crisis
y, de nu evo, dep ende de manera crucial del respeto -en este caso, el
respeto por las habilidades, la exp eriencia y las destrezas de la fu erza de
trabajo y, muy especialmente, de los supervisores de primera línea-o
Pero el resp eto debe ganarse, yeso ha ce necesario que la organización
realice una im.portante inversión en formación.
- Finalmente, una organización debe poseer una cultura que aprenda -la
disposición de ánimo y la co mpeten cia para sacar las co nclusiones
correctas de su sistema de información de la seguridad, y la voluntad
de implem entar refo rmas de gran calado cu ando éste sei1ala su nece-
sidad.
253
La gestión de los gra ndes riesgos
Los puntos precedentes han identificado cuatro componentes de im-
portancia crítica para una cultura de la seguridad: una cultura que iriforma
una cultura justa) una cultura flexible y una cultura que aprende. Juntos, inter~
actúan para crear una cultura iriformada qu e, para nuestros propósitos, equi-
vale al término «cultura de la seguridad» en lo que concierne a la reducción
de los accidentes organizativos.
INGENIERÍA DE UNA CULTURA QUE INFORMA
A primera vista, persuadir a los trabajadores para qu e presenten informes
críticos de incidentes y casi accidentes no es tarea fácil, especialmente
cuando pu ede que conlleve tener qu e divulgar sus propios errores. Las
reacciones humanas ante los errores que uno mismo ha com etido Son
muy diversas, pero su franca confesión no suele ser una de las más ümle-
diatas. Incluso cuando no surgen tales cuestiones p ersonales, los poten-
ciales informantes no siempre aprecian el valor de elaborar esos informes,
en particular cuando son escépticos acerca de la probabilidad de que la di-
rección actúe basándose en su información. ¿M erece la pena el trabajo
extra cuando no se espera que fi·uctifiqu e en nada bueno? Además, incluso
cuando el p ersonal está co nven cido de que esc ribir una relación sufi-
cientem ente detallada está justificado y de que se tomarán medidas ba-
sándose en ella, queda el problema fundam ental de la confianza. ¿Meteré
en líos a mis compañeros? ¿Tendré problemas yo?
Existen algunos poderosos elementos disuasorios para participar en un
programa de informes: el trabajo extra, el escep ticismo, quizás un natural
deseo de olvidar que el incidente sucedió alguna vez y -sobre todo-la
falta de confianza y, con ella, el miedo a las represalias. No obstante, exis-
ten muchos programas de informes altam ente efectivos. ¿Qué podemos
aprender de ellos? ¿Cuál ha sido la ingeniería de su éxito ?
A continuación, examinaremos su cintamente los co mponentes de
«ingeniería so cial» de dos programas de informes que operan con éxito
en el sec tor de la aviación, uno a nivel nacional y otro en una aerolínea,
el sistema de informes sobre la seguridad de la aviación de la NASA (A via-
tion Safety R epo rting Systerl'l) ASRS) y el sistema de información sobre la
seguridad de British Airways (British Airways Safety Information Syste/1'l)
BASIS) .
Para ello nos basaremos ampliamente en el trabajo de dos personas es-
trechamente involucradas en el diseño y gestión de dichos programas, la
254
9· Ingeniería de una cultura de la seguridad
doctora Sheryl Chappell, de la NASA, y el capitán Mike O'Leary, de Bri-
tish Aüways (BA) 12. Aquí no nos proponemos analizar los programas mis-
mOS en detalle, p ero sí abstraer de ellos las «m ejores p rácticas» para crear
una cultura que informe; toda esta sección se centra en la cuestión de
cómo fomentar la elaboración de informes válidos.Y, si bien sólo nos re-
feriremos a programas de informes en aviación, los principios básicos de
«ingeniería» pueden aplicarse a cualqui er otro sector. De h ech o, los pro-
gramas de informes de otros sectores -particularmente en m edicina-
han tomado como modelo en p arte programas pioneros en el sector de
la aviación como los informes de incidentes críticos.
El estudio de estos programas, que fun cionan con éxi to, mu es tra que
hay cinco fac tores importantes en la determinación tanto de la cantidad
como de la calidad de los informes de incidentes . Algunos son esenciales
para crear un clima de confianza, otros son necesarios para motivar al p er-
sonal a elaborar los informes. Dichos factores son:
- Inmunidad frente a cualquier diligen cia disciplinaria -en la medida
en que sea factible.
- Confidencialidad o desidentificación.
- Separación de la agencia o departamento qu e recopila y analiza los in-
formes respecto de quienes poseen autoridad para instruir procesos
disciplinarios e imponer sanciones .
- R etroalimentación rápida, útil, accesible e inteligible a la comunidad
de quienes informan.
- Elaboración se ncilla del informe.
Los primeros tres puntos p ersiguen fomentar un sentimiento de con-
fianza. O'Leary y C h appell explican esta necesidad:
Para que un programa de informes de incidentes consiga efectivamente hacer
aflo rar los fallos que contribuyen a que ocurran accidentes es prim.ordial que
se gane la confianza de quienes han de elaborar los informes , algo aun m ás
importante cuando ello requiere una sincera exposición de los errores del
propio informante. Sin esa confianza, el informe será selectivo y probable-
mente encubra info rmación fundame ntal sobre los fac tores humanos . En el
caso p eor -cuando los informantes potenciales no confían en la organiza-
ción de la seguridad- puede qu e nadie informe nunca . C rear confi anza
12. M . O 'Lea ry y S. L. C happelJ , «Confidential incident repo rting systems crea te vital
awareness of safety problems», {CAO J ou ,.,w /) 51, 1996, pp. 11-13. La doc tora C happell es
ahora gerente de progra ma en los servicios de facto res humanos de TransQuest Inc., en
Atlanta, Georgia.
255
La ges tión de los gra nd es riesgos
puede ser un proceso lento. Los individuos pu eden dudar si informar o
hasta qu
. e el sistema de infonnes haya demostrado que es sensible a sus p reo- . no
cupaclOnes.
. La confianza
. es el fundamento más importante de Ul1 pr·og ralUa
de ll1formes que funclOne y debe ser protegida activamente, incluso tras lUu-
chosaños de .operación satisfactoria. Un solo caso de un informante que sufra
medIdas dlsclplinanas a resultas de haber informado puede socavar la con-
fianza y secar el fluj o de inform.es útiles 13 .
La justificación racional de todo sistem a de informes - y un tema
recurrente a lo largo d e todo este libro- es qu e importa mucho más
lograr una re troalimentación válida sobre los fac tores locales y organiza-
tivos que promu even errores e incidentes que atribuir culpas a los indi-
vidu os. Con este fin, es fundam ental proteger a los informantes y a sus
compañ eros, tanto como sea posible, de las acciones disciplinarias que se
decidan sobre la base de sus infor m es. Pero esa inmunidad tendrá sus lí-
mites, límites qu e defin e con la m ayor claridad la exoneración de acción
disciplinaria prom ulga da en relació n con el sistem a de informes sobre
seguridad de la aviación de la NASA . El sigui ente extrac to de la circular
oficial de la Administración Federal d e Aviación (Federal Aviation Ad-
ministration, FAA), AC n. o 00-46C , describ e cómo se aplica el concepto
de inmunidad a los pilotos que presentan informes de incidentes .
La FAA co nsidera que la presentación a la NASA de un informe concerniente a
un incidente o a un suceso que implique un qu ebrantamiento de la Ley de
R eglam.entos de la Aviación Federal indica una actitud constru ctiva, que con-
tribuye a prevenir futuras infracciones. En consonancia con ello, aunqu e se re-
velara en él una infracción, no se impondrá condena civil ni certificado de
suspensión alguno en el caso de qu e:
- La infi:acción haya sido involuntaria y no deliberada.
- La infracción no comporte un delito criminal, o un accidente, o [... ]
revele falta de cualificación o competencia.
- La persona informante no haya sido declarada culpable de haber que-
bra ntado la Ley de R eglamentos de la Aviación Federal o cualquier
normativa promulgada al am.paro de dicha ley por alguna acción dis-
ciplinar previa de la FAA dictada en los cinco años anteriores al suceso
de que se informa.
- La persona informante dem.uestre qu e elaboró y presentó personal-
mente o por correo a la NASA , a través del ASRS, un informe escrito del
incidente o suceso, en el plazo de los diez días posteriores a la comi-
sión de la infracción l4 .
13. Ibid., p. 11.
14. S. L. C happell, (,Avia tion Safety R epo rting System : program overview», en R epo/" t
of tile
SelJentil tClJO Fliglt t SaJet), and Hut Han Facto/"5 R egional SC/"/"Iina/", Adís Abeba, Etiopía,
18- 21 de octubre de 1994, pp. 312-353 .
9. Ingeniería de una cultura de la seguridad
La fó rmula p arece funcionar. La tasa d e informes del ASRS fu e alta , in-
cluso al con1.ien zo.Ya entonces emp ezó a recibir una m edia aproximad a
de unos 400 info rmes al m es. En este momento ronda los 650 por se-
man a, m ás d e 2000 al m es. E n 199 5 el ASRS recibió m ás de 30 000 in-
formes .
A lo largo de los años, EAS IS se h a ampliado p ara ab arcar una amplia va-
riedad de program as de informes. Todas las tripulaciones tien en la obli-
gación d e informar d e cu alquier su ces o relacionado con la seguridad
utilizando informes de seguridad aérea (A íl" SaJet)' R eports, ASR). Los ASR
no son anónimos. P ara promover la cumplimentació n de ASR, la Orden
para Tripulantes de British Airways n .O 608 asevera qu e:
N o es normalmente la política de British Airways incoar diligencias discipli-
narias en respu esta al inforl1l.e de ningún incidente qu e afecte a la seguridad
aérea . Únicamente en la infrecuente circunstancia de qu e un empleado haya
efectuado una acción o asumido riesgos qu e, en opinión de la CompallÍa,
ningún em.pleado razonablemente prudente con su forma ción y su expe-
riencia hubiera debido efectuar o asumir, considerará British Airways la po-
sibilidad de emprender acciones disciplinarias l ".
D e nu evo , la fórmula parece fun cionar. Dos estadísticas inv itan a
creer en su éxito. Primero, el número de ASR presentados m ás que se tri-
plicó entre su puesta en march a, en 1990 , y 199 5 . Segundo, la cifra d e
informes clasificados en las categorías d e riesgos graves y altos h a dis-
minuido en dos tercios entre el primer semestre de 1993 y el m ismo se-
m estre de 1995 16 •
Otro impo rtante componente de EAS IS es el program a confiden cial d e
informes sobre fac tores humanos de British Airways, instituido en 1992 .
El ASR suministrab a buen a información técnica y procedimental, p ero se
sentía la n ecesidad de un canal de informació n qu e fu era m ás sensible a
las cu estiones relacionadas con los fac tores humanos. A cada piloto que
entrega un ASR se le invita ahora a rellen ar un cu estionario confiden cial
sobre fac tores human os relacionados con el incidente. La entrega del cu es-
tionario es voluntaria. Los altos directivo s a cargo d e los servicios de se-
guridad de EA ofrecían la siguiente garantía en la portada de la versión
inicial del cu estionario :
15.J.A. Passmore, «Ai r safety report form», Fligh-t Deck, primavera de 1995, pp. 3-4.
16. M. O'Leary y N . Pidgeo n, «Too bad we have to have co n6denti al reporting pro-
grammes», Fliglt t Deck, verano de 1995 , pp. 11-16.
25 7
 La gestión de los grandes ri esgos
Le doy mi absoluta garantía de qu e los servicios de seguridad tratarán confi_
denciahnente cualquier información qu e usted nos facilite y de que este cu _
tionario será destruido tan pro nto como se hayan pro cesado sus dat~s
Solamente mi unidad tI ene acceso a este programa.
En su primer aii.o d e funcio nam.i ento, el programa de informes sobre
fac tores humanos recibió 550 respu es tas útiles l 7 . Las cu es tio nes qu e los
informes suscitan se comuni can regularmente a la dirección, p ero se
tiene much o cuidado d e sep arar los asuntos de seguridad importantes de
los incidentes en sí, con el fin d e proteger el anonimato de los info r -
¡nantes.
Otra fu ente d e información importante de BAS IS es el análisis de de-
tección y co ntrol de sucesos esp eciales (Specia l Event Search and Master
Análisis, SESMA) , que evita la necesidad de informes humanos p orque re-
visa directam ente las caj as negras (flíght da ta reCOrdeY5, FOR) de las diversas
flotas de aparatos de BA, sin dej ar de garantizar p o r ello un completo ano-
nimato a las tripulaciones. Las FDR de cada vuelo se exploran en busca de
sucesos que se juzgue se sitúan fiJ era de las normas de seguridad. Todos
los sucesos se ahnacenan en una base de datos d e BAS IS y los gestores téc-
nicos y los representantes sindicales de los pilotos debaten los m ás graves
en una reunió n m ensual. Si el inciden te se considera lo bastante grave, se
pide al representante sindical que lo discuta con los tripulantes involu-
crados - sin dejar de o cultar sus identidades a la dirección.
C uando el p ersonal del ASRS de la NASA recib e un informe, lo procesa,
teniendo g ran cuidado de preservar el anonimato del informador, de la si-
guiente m an era l8 :
- Un análisis inicial filtra los info rmes que implica n accidentes, con-
ducta criminal o «carentes de contenido referente a la seguridad».
- El info rme se codifica y el informante es desidentificado. E n esta fase
se co ntacta por teléfon o con el informante para confirmarle la recep-
ción y la desidentificació n .
- Tras un co ntrol de calidad, la info rmació n se introduce en la base de
datos del ASRS y se destruye el info rme o riginal.
La fo rma m ás obvia de asegurar la confidencialidad es que los infor-
m es se entregu en an ó nimam en te, p ero, como han seÍ'í.alado O 'Leary y
17. M . O'Leary y S. Fisher, British A irways CO/ifirlential HUllla n Factors R eporting Pro-
gm/"ll 1"11 e. First Yenr Repon, April 1992-!\I[a rch 1993, H ounslow, British Ai rways Safety Ser-
vices, 1993.
18. S. C happell, op. cit.
9. Inge ni ería de una cultura de la seguridad
Chappell , esto no siempre es p osible o incluso d eseable19 . Los principales
problem as de un completo anonimato son los siguientes :
- Los analistas no pu eden contac tar co n el informante p ara res olver
dudas.
- Es m ás p robable que los gestores descalifiquen los informes anónimos
com o obra de agitadores y desafec tos.
- E n las empresas p equ eii.as es casi imposible garantizar el anonimato.
O 'Leary y C h app ellllegan a la co nclu sión de qu e eliminar las identi-
dades de los itúormes en una fase p osterior de su pro ceso - como se des-
cribe arriba en el caso del ASRS- es probablemente el modo m ás factible
de prese rvar la confiden cialidad. A nivel nacional, una desidentificación
completa significa no sólo eliminar el nombre de las p ersonas, sino tam-
bién la fec ha, la h ora y el número d el vuelo, así como el nombre de la ae-
rolínea. Todos los iJúormantes p o tenciales deben conocer y comprender
los criterios de desidentificación.
Otra m edida in1portante para generar confian za es separar la organi-
zación que recibe los informes tanto del o rganismo regulador como d e
la compañia empleadora. C omo en el caso del ASRS, idealmente, los ana-
listas del sistema de informes no deberían tener autoridad legal ni op era-
tiva alguna sobre los informantes p o tenciales. Los sistem as de informes
gestionados por un tercero desinteresado - como una universidad- tam-
bién pueden ayudar a ganarse la confian za de los info rmantes. Si, co mo
BASIS, el sistem a de informes es interno a una comp añía, los emplead os
deben percibir una completa indep endencia del dep artam ento recepto r
con resp ecto a la direcció n operativa, para poder ofrecer así la necesaria
garantía de confidencialidad.
Aparte de una ausencia (o p érdida) de confian za, p ocas cosas pued en
desalentar m ás cuando se üúo rma sobre incidentes qu e la percepción de
una completa ausen cia de resultado útiles. Tanto ASRS como BA SIS hacen
mu cho hincapié en una rápida retroalimentación de la información rele-
vante a sus resp ectivas comunidad es. Si un üúo rme del ASRS describe una
situación de p eligro continuada -por ej emplo, una ayuda a la navegació n
defectuosa, un procedimiento COlÚU SO o un m apa equivo cado- se envía
de inmediato un m ensaj e de alerta a las auto ridades correspondientes para
que puedan investigar el problema y adoptar las acciones correctivas ne-
cesarias . (Como m encioné antes, el ASRS n o tiene ninguna autoridad legal
19. M . O'Leary y S. L. C happell, op. cit.
259
 La gesti ón d e los gra n des ri esgos
u operativa propia) . El equipo del ASRS ha enviado 1700 bol etines y notas
de alerta desde el comienzo del programa , en 1976. En 1994 la tasa de
respuesta a los boletines de alarma y las notas FYI (for your il'iformatio1'/., para
su informa ción) fu e del 65%.
La comunidad de aviación y la co munidad académi ca pu eden acceder
a la información que acopia la base de datos del ASRS de diversas maneras.
Primero, pu eden realizarse búsqu edas co ncretas a petición de empresas,
agencias públicas o investigadores . La información se difunde también,
además de a través de otros informes del ASRS, m ediante un boletín infor-
mativo, Callback, cuyo número total de lec tores se calcula en más de cien
mil. Este bol etín describ e asuntos de seguridad y destaca las m ejoras in-
troducidas como resultado de los informes de accidentes, lo cual cumple
la doble función de informar a los informantes y de felicitarles por su
contribución colectiva a la seguridad aérea .
Los servicios de seguridad de British Airways difunden también de di-
ferentes formas la información de BAsls. Además de los informes de la uni-
dad y de artículos en revistas, publican FlJ'wise, un boletín m ensual de
18-20 páginas qu e incluye análisis de tendencias relacionados con deter-
minados sucesos y breves descrip ciones de incidentes, uesglosados por flo-
tas. A cada incidente se le asigna una ca tegoría de riesgo (basada en una
m atriz de riesgo; véase la tabla 9.1) y una de las siguientes categorías de
acción:
- Investigación actilla. Acciones para prevenir una recurrencia qu e no se
comprende plenamente.
- Se precisa acción . Se han identificado m edidas preventivas, pero aún no
se las ha implementado.
- Acción bajo obserllación. Se h an implementado m edidas preventivas y se
están observando sus efectos .
- Iriform.e bajo observación. Los servicios de seguridad han emprendido
acciones si n necesidad de más investigación. Se está observando la fre-
cuencia con que ocurre de nuevo el suceso.
El último factor qu e examinaremos aquí es la facilidad de elaboración
del informe. El formato, extensión y contenido del formulari o o cues-
tionario son extraordinariamente importantes, como lo es el contexto en
que se esp era que los informantes lo respondan. La privacidad y un m e-
carlismo de entrega có modo son incentivos importantes -o, dicho a la
inversa , su ausencia puede ser disuasoria-o En relación co n el diseúo del
formulario de informe, O 'Leary y C happ ell seúalan lo siguiente:
260
9. Inge ni ería de una c ultura d e la seguridad
Tabla 9.1
Matriz de gestión de riesgos de British Airways empleada para evalu ar el riesgo
futuro que tendrá la compaIi.ía de qu e se repIta un CIerto suceso
Gravedad Matriz d e riesgos
e B A
Alto
(grave)
Medi o
D e B
(alto)
Bajo
E D e
(mínj¡"o) (bajo) (medio)
Baja Media Alta
Probabilidad de recurrencia
La matriz genera categorías de riesgo en una escala qu e va de A (ri esgo grave) a E (riesgo núnimo).
Si el formulario es largo y con1.pletarlo exige mu cho tiempo, es menos proba~
ble que los informantes hagan el esfúerzo; si es demasiado corto, resulta dlficil
obtener toda la información necesaria sobre el lI1.C1dente. En general, cuanto
más concretas sean la preguntas, más fácil será contestar el cuestiona,rio; sin en;-
bargo, la información que proporcione estará limitada por la elecclOn de aque-
llas . Las preguntas abiertas sobre las percepciones,J UlClos, deCISIOnes y aCCIones
del informante no están sometidas a esta lirnitación, y le ofi-ecen una mayor
oportunidad de contar toda la historia. Este método es más efe ctivo ,en la ob-
tención de toda la información sobre el incidente, pero reqUIere mas tIempo
y suele demandar del sistema de infor mes mayores recursos analíticos 20
Será necesaria una cierta medida de aprendizaje por prueba y error
antes de que la organización encu entre el formato que mejor se adecua
tanto a sus propósitos como a sus potenciales informantes. A tal resp ecto,
podemos aprender de la expen encia de los servicios de segundad de Bn-
tish Ailways con su cuestionario confidencial sobre factores humanos_ En
su forma inicial, hacía un número limitado de preguntas muy concretas, al-
aunas de las cuales intentaban establecer si había ocurrido un desliz o una
: quivocación (véase en el capítulo 4 la descripción técnica de estos actos
peligrosos) y, de ser así, cuáles eran los factores causales ;nCIdentes. Una
lista de estos venía a continuación del enunCIado, y p edla una respuesta
sí/no a cada uno de ellos: en el caso de los deslices y lapsus de ej ecución,
20. [bid. , p. 12.
 La gestión de los grandes riesgos
9. In geniería de una cultura de la seguridad

la lista incluía el cansancio, la presión temporal la r~ Ita de t' 1 El formato multirrespuesta del anterior formulario del cuestionario
g ononlla ' d 1 b' , l,u es 1I11U os y 1
e a ca 1I1a de vuelo' en el caso dI ' . . a er-
al - ' e as eqllIvocaclOnes 111 1 ' de factores humanos hacía que fuera relativamente sencillo transformar las
nu es engan osos, ins trumentos engan-os r . C ella l11a-
. , os una 10rnla ' . fi ' respuestas «sí/no » en diagramas de barras, Con la segunda versión, más
una m suficiente cooperación entr'e la t, ' 1' . , CIOn 1I1SU clente y
A ' ' npu aClOn, abierta, para identificar las cuestiones significativas para los factores hu-
. pesar de que una de las preguntas inquiría ué se hi b ' manos los analistas de BA tuvieron que desarrollar una estructura de cla-
mformantes se qu eiaron del tono . d 1q zo len , muchos
~ negatIvo e as preg t . sificación consensuada. Su principal interés recaía en dos categorías: la
Y se comprendió que es to bien pod' d' d' un as en conjunto
la Isua Ir a algl . 1fc actuación de la tripulación y las influencias sobre su conducta, El com-
completar el formulario Adell1a's 1 ali d ' 1I10S 11 ormantes de
, , os an stas e BA e t b d portamiento de la tripulación se subdividió en descriptores de errores
con la validez de algunos de los d t . s a an es COntentos
no entendían bien la diferenci t ,a os, ya que los tnpulantes-informantes (deslices o equivocaciones de acción), habilidades de trabajo en equip o, y
. a ecm ca entre deslrces 1 . tareas específicas (como la operación automática o manual). Las influen-
Clones, Así pues, los servicios de ,'d d d . . ' apsus y equlvoca_
segun a e Bntlsh Ai 1 cias se dividiero n también en tres grupos: factores organizativos (forma-
en 1995 un nuevo cuestionario ex ' d d . Iways anzaron
preguntas abiertas que abar'cab purgba o e jerga, en el que formulaban ción, pro cedinuentos, presiones comerciales, etc), fac tores de entorno
. ' an un a amco de fa t 'b (instalaciones aeroportuarias, condiciones meteorológicas, etc.) y factores
1I1fluencias locales en la cabina d dI ' c ores qu e 1 an desde
m ación. O'Leary ofi'ece d~s P ' o- e man o lasta la efectividad d e la for- perso nales (automatización, autosatisfacción, moral, etc) . Lo s futuro s
foqu e: rebuntas como ej emplos de este nuevo en- desarrollos se orientan a establecer nexos causales entre los diversos fac-
tores -un cambio de intentar responder a la pregunta «¿cómo?» a en-
-¿ Cómo respondieron inicialmente usted y su trip 1 . , frentarse a la pregunta «¿por qu é?»-. Aquí la meta es identifi car los
ceso, y cómo establ ecieron qué elem ent t ' . u aCIOn ante el su- «patógenos residentes» que pueden incidir en el surginuento de toda una
ban involucrados ?' os eCl1lCOS y p ersonales esta- panoplia de diferentes problem.as en la cabina d e nu ndo.
-¿Estaba claramente disponible tod 1 . f(' ., El diagrama 9.1 da una idea de lo que este desarrollo pued e rendir en
el vuelo, el FMS (el sistema d a, a Idn ormaCIOn relevante sobre el campo del análisis causal. El diagrama resume un incidente ficticio con-
e gestIOn e vuelo) y 1 .
coqjunto? Los contr'oles 1 ti e slstelna en su sistente en un despegue fallido. En este caso, el estrés operacional se había
y se ec tores . u e' ' il ~
a mbiguos~ En el caso d e h ' e. ron ut es. ¿No resultaron generado por un aeropuerto con much o tráfi co y por la comunicación
. , qu e no aya SId '. '1 '
rarse?21. o aSI, ec ua es podnan mejo-
con la compal1Ía para concretar las cifi'as de la hoja d e carga a la vez qu e
el avión se dirigía hacia la pista de despegue. El clima d e coop eración en
Como sel1ala O 'Leary, el estilo d '.
de trabaj o analítico del res:pondente al ael1ealis~setaCLdles~lOnanohtransfiere la carga la cabina de vuelo era pobre. El copiloto se sentía desbordado pero no fu e
b10· 1 " b ,' e lacto res 1Imanos. El cam- capaz de transnutírselo al capitán . Se con centró en realizar primero una
la incrementado la dern d d
. an a e tra aJo sob' 1 li . d tarea y despu és otra, y no co mprol ó qu é hacía el capitán. Como resultado,
dIsponibles para pro cesar los d t ' ., re os nllta os recursos
. . a os, p ero tambl en ha h 1 1 pasó por alto las comprobaciones «previas al d espegu e». El vuelo obtuvo
tlOnan o sea más sensible a d ' , . ec 10 que e cues-
, ' ¡versas cuestIOnes qu " pernuso para despega r cuando llegó a la pista y al encender la poten cia d e
bna. Adem ás, la fiabilidad d 1 áli" h e pr evIamente no cu-
. e an SIS a aumentado d f( , desp egu e, la sirena de alarma de configuración indicó que no se habían
«PreVIamente unos 3500 pil t '. e orma espectacular:
, o os e Ingem eros p d ' . r configurado losjlaps p ara el despegue. La maniobra fu e suspendida.
cesos de m anera idio ' ," 1 o Ian 1I11Ormar de los su-
SlI1CraSlca' a l ora emple .
sólo una do cena de tripulant~s qu: trab . al:os ~1I~ eqllIpo formado por Finalmente, en el contexto d e la ingeniería de una cultura que in-
analistas»22 ajan e onna voluntana como forma, es insoslayable preguntar si existe alguna evidencia científica qu e
resp alde la efi cacia de los informes de casi accidentes. En un estudio
sueco 23 , relacionado principalrllente con los accidentes individuales, la im-
, 21. M . O 'Lea ry, «New developments in the British Ai!w .
tors R eport1l1g Prograll1Jl1e» Flio!Jt D k . . ays Confidentlal Human Fac-
22. lbid. , p. 21. ' ó ' ec, verano de 1996, pp. 19-22. 23. C itado por S. ]. Guastell o, «Do we really know how well our occupatio nal acci-
dent prevention progra ms wo rk?», SaJe!), Scie/lce, 16,1993, pp. 445-463.
262
263
 La ges ti ón de los grandes ri esgos
plem entación de un programa de informes de incidentes dio COmo re-
sultado un aumento del número de sugerencias correctivas por parte de
la fu erza laboral, pero no un descenso significativo de la tasa de acciden_
tes. E n el estudi o que siguió a éste, los participantes recibi eron formación
sobre cómo recono cer e interpretar incidentes críticos, cuyo efecto fu
una disminución del 56% en la gravedad de las h eridas y lesion es, per~
mnguna en la frecuencia de accidentes. El mensaje principal de estos ha-
llazgos es que los informantes potenciales deben tener una idea muy clara
de qué constitu ye un incidente. En determinadas circunstancias, esto no
siempre es intuitivamente obvio.
Diagrama 9.1
Diagrama de flujo del incidente del despegue desautorizado qu e m uestra
los vínculos causales que se juzgan relevantes (basa do en O 'Leary) 24
INGENIERÍA DE UNA CULTURA JUSTA
El ideal de una cultura totalmente justa es, casi con certeza, inalcanzable.
No obstante, una organización en la que la mayoría de sus nuembros com-
parte la creencia de que habitualmente se hará justicia, entra dentro de los
lírnites de lo posible. Dos cosas están claras de partida. Primero, que sería
24. M . O'Leary, op. cit., p.22 .
9. Ingeniería de una cultura de la seguridad
conlpl etamente
' inaceptable castigar todos los errores y actos p eligrosos
, . sin
ten el' en cuenta sus orígenes y circunstancias. Segundo,. . que sen ., a 19Ual-
J11en te ·
l naceptable conceder üU11L1ludad general y eXll1ur de
.. sanClon .a todas
las acciones que hayan co ntribuido o pudieran contnbUIr a accIdentes
organizativos. Este libro ha destacado con fuerza los fa ctor:s sltuacIOnales
y sistén"licos que llevan al fallo catastrófico de las t~cnologlas de alta peli-
arosidad, pero sería pueril no recono cer que, en CIertas ocasIOnes, relatl-
~amente raras, pu eden ocurrir accidentes por efecto de la co ndu cta
irracionalmente tem eraria, negligente e incluso malintencionada de ll1dl-
viduos con cretos . La dificultad radica en discrinunar entre estas pocas
( 1alas conductas» auténticas y la imnensa mayoría de los actos peligrosos,
In . . , il
a los que atribuir alguna forma de culpabilidad no es m oportuno m. ut .
Un prerrequisito de la ingeluería de una cultura justa es un cOI1Junto
de principios consensuado que trace la frontera entre acciones aceptables
e inaceptables. Con este fin, com enzaremos p or p erfilar algunas de las
cuestiones psicológicas y legales que deben tenerse en cuenta al pro ceder
a dicho juicio. El diagrama 9.2 disp one el escenario.
Diagrama 9.2
Los elem entos básicos de la acción humana
Todas las acciones humanas constan de tres elementos esenciales:
- Una intención que especifica su objetivo imnediato y - cuando estas
acciones orientadas a metas no son totalmente automáticas o habitua-
les- la co ndu cta necesaria para alcanzarlo.
- Las acciones desencadenadas por esa intención -que pueden o no con-
formarse al plan de acción.
- Las consecuencias de esas acciones -que pueden conseguir o no el ob-
jetivo deseado. A este resp ecto, las acciones pueden constituir éxitos o
fi·acasos .
 La gestión de los grandes riesgos
Las flechas de preahmentación que muestra el diagrama 9 2 . d'
_ ' ., . . In Ican
que, a1 formular una mtencIOn, las aCCIOnes se seleccionan en la .
. , . . ' creenCIa
de qu e consegmran su obJetIVO (o cuando menos suministrarán u
. , ' il na re-
tro,ah m entacIOn ut para asegurar el éxito de acciones futuras) p .
ti. ' " ' ero esa
e no SIempre esta JustIficada . Las ~~chas de retroalimentación completan
el bucle al proporcIOnar mformacIOn sobre el grado de éxito o fracaso de
las aCCIOnes precedentes y sus consecuencias. Las acciones humanas ' creyéndola descargada, apunta con ella a Y y aprieta el gatillo. Si cualquier
. d' d estan
m car ma as en un contex to que incluye el contexto físico inmedi t
, . dI aoy
e1 propoSIto e a secuen cia comportamental de la que una acción
ti con-
cre ta arma parte: Los tres marcos de acción precedentes, situados detrás
del actual, sImb olIzan, en el diagrama 9.2, el contexto histórico.
Estas dos cuestiones tienen una estrecha relación con la responsabili_
dad mdlvldual: en el caso de las tecnologías de alta p eligrosidad es inevi-
table, por definición, que todas las situaciones físicas contengan un
elemento de nesgo; pero tambi én es probable que los actores individua_
les hayan sido -o deberían haber sido- formados p ara prever y mini-
nuzar,esos n esgos. Esto nos retrotrae a la distinción qu e introdl~ünos en
el capItulo 4 entre acciones con éxi to y sin él, por un lado, y conducta co-
rrecta o incorrec ta, por otro. El éxito viene determinado exclusivamente
por el h echo de s~ las acciones planeadas consiguieron o no sus objetivos
mmediatos; p ero eXlto no necesariamente significa corrección. Acciones
con éxito pueden ser incorrectas; esto es, pueden alcanzar sus objetivos lo-
cales y, no obstante, ser temerarias o negligentes.
Según el D erecho, una persona que obra temerariamente es alguien
que delib eradamente asume un riesgo injustificable (esto es, previsible, y
cuyo mal resultado, aunque incierto, es probable). Sin embargo, como han
señalado Smith y Hagan:
El piloto de una aeronave, el ci ruj ano qu e lleva a cabo una operación y el em-
presano de cIrco que ofrece un número de equilibrio en la cuerda floja no
pueden depr de antIcIpar que sus actos pueden causar la muerte de alguien;
y, S111 embargo, no deberíamos calificarlos de temerarios, a menos que los ries-
gos que acepten asumir estén injustificados. Ahora bien, la justificación de un
nesgo depende del valo r social de la ac tividad de que se trate, así como de la
probabIlidad de que el peIjuicio previsto ocurra 25
De otro lado, la negligencia comporta ocasionar una consecuen cia que
una persona «razonable y prudente» habría previsto y evitado; se puede ser
25 .]. C. Smúh y B. H ogan, Crinlil'lal Lnw, 3.' edi ción, Londres, Buttelworths, 1975, p. 45.
266
9. Ingeniería de una cultura de la seguridad
negligente también con respecto a una circunstancia: «Una p ersona actúa
negligentemente con respecto a una circunstancia cuando un hombre ra-
zonable hubiera sido consciente de la existen cia de esa circunstancia y,
debido a dicha existencia , habría evitado actuar de esa forma»26. En este
caso, que esa persona fuera inconsciente de la circunstancia e incapaz de
prever el resultado adverso es irrelevante. Por ej emplo, X toma un arma,
persona razonable se hubiera dado cuenta de que cabía la posibilidad de
que el arma estuviera cargada y, en consecuencia, hubiera evitado actuar
así, entonces X se comportó de forma negligente con respecto a la cir-
cunstancia. Si el arma estaba cargada e Y resultó muerto, entonces X fu e
negligente con respecto a la consecuencia. Ante un tribunal, no es nece-
sario que la acusación pruebe nada en absoluto acerca del estado mental
del acusado en el momento de la acción. Basta con que demuestre qu e se
llevaron a cabo ciertas acciones en determinadas circunstancias. Históri-
camente, la negligencia ha sido un concepto de derecho civil más que de
derecho penal, y se sanciona con penas muy inferiores a las correspon-
dientes a la temeridad27 .
Con frecuencia, se considera que quienes participan en el funciona-
miento de las tecnologías de alta peligrosidad tienen una carga de res-
ponsabilidad adicional en virtud de su formación y de los graves riesgos
asociados al fallo humano. Por ejemplo, en el caso de Alidair vs. Taylay, en
1978, Lord D enning falló que:
H ay actividades en las que el grado de p ericia profesional que debe exigirse
es tan elevado, y las consecuencias potenciales del menor alejamiento de ese
elevado estándar tan graves, que la actuación de un modo que no se ajuste a
dicho estándar en una sola ocasión es suficiente para justificar el despid0 28
Esta sentencia, en el espíritu de «que los cuelguen a todos», es insatis-
factoria en muchos aspectos: ignora la ubicuidad del error, así como los fac-
tores situacionales que lo inducen, y es insensible a la variedad de los fallos
humanos y a sus diversos orígenes psicológicos. Llevando lógicamente esta
sentencia h asta una conclusión absurda, podría afirmarse que, pu esto que
todos los pilotos, los operadores de salas de control y otros empleados en
26. lbid., pp. 45-46.
27. D. Marx, comu nicación personal, 9 de enero de 1997. Estoy muy agradecido a
David Marx por su beneficioso asesoramiento acerca de la distinción en tre temeridad y
negligencia .
28 . Citado por M. O'Leary y N. Pidgeon, op. cit. , p. 16.
267

La gestión de los grandes riesgos
puestos determinantes para la seguridad de las tecnologías de alta peligro_
sidad son seres humanos falibles que, en un momento u otro, inevitable_
mente, defraudarán las expectativas de Lord Denning en cuanto al
cumplimiento íntegro de esos «elevados estándares» deberían, por consi-
guiente, ser despedidos. Ni siquiera los jueces más sabios y distinguidos
aciertan siempre.
La prueba de S>/stitucíón de Neil Johnston constituye una guía mucho
más sóli da29 , y es consistente con el principio de que el mejor personal
puede cometer los peores errores. Frente un accidente o un incidente grave
en el que estuvieron implicados los actos peligrosos de una persona con-
creta, deberíamos efectuar la siguiente prueba mental: sustituyamos a la
persona en cuestión por otra procedente del mismo ámbito de actividad
y en posesión de una cualificación y una experiencia comparables y haga-
mos la siguiente pregunta: «A la luz de cómo se desarrollaron los sucesos
y de cómo los percibieron quienes los vivieron en tiempo real, ¿es proba-
ble que este otro individuo se hubiera comportado de forma diferente?»
Si la respuesta es «probablemente no», entonces, como afirma Johnston,
«... atribuir culpas no aporta nada sustancial, oculta las deficiencias sisté-
micas y culpa a una de las víctimas». Un complemento útil a la prueba de
sustitución consiste en preguntar a los iguales del individuo: «Dadas las cir-
cunstancias que concurrieron en aquel momento, ¿puede usted estar seguro
de que no habría cometido el mismo acto peligroso u otro similar?» Si, de
nuevo, la respuesta es «probablemente no», es inapropiado culpar a nadie.
En cuanto a los antecedentes, basta con lo dicho. Pasemos ahora a la
tarea de ordenar los actos peligrosos conforme a su grado de culpabilidad.
Como en el marco de la jurisprudencia, un criterio discriminante crucial
es aquí la naturaleza de la intención. Un delito tiene dos elementos clave:
la mens rea, o «mente culpable», y el actus reus, o «acto culpable», ambos ne-
cesarios para su comisión. Excep to en casos muy con cretos (como, por
ejemplo, en caso de negligencia), sin el elemento mental el acto en sí no
es delito. La conducta delictiva no es el tenIa que aquí nos ocupa princi-
palmente, pero adoptaremos el principio del «elemento mental» como
directriz básica; no obstante, a partir de este momento abordaremos la
cuestión desde una perspectiva psicológica en lugar de legal.
El diagrama 9 .3 esboza los elementos mínimos esenciales del árbol de
decisión usado para discriminar la culpabilidad de un acto peligroso. Se da
29. N.Johnston, «Do blame and punishment have a role in organizational risk 111ana-
gement?», Fliglrt Deck, primavera de 1995, pp. 33-36.
268
9. Ingeniería de una cultura de la seguridad
or supuesto que las acciones examinadas han contribuido a que ocu-
~riera un accidente o a un incidente grave en el que se evitó por muy
oco un resultado funesto. Es probable que en un accidente orgarllzatlvo
~oncurran varios actos peligrosos; el árbol de decisión h a de aplicarse por
separado a cada uno de ellos. En este punto, nuestra preocupación son los
actos peligrosos cometidos individualmente, bIen por una sola persona,
bien por diferentes personas en mom.entos distintos de la secuenCIa de
un accidente.
Las preguntas clave tienen que ver con la intención. Si tanto las ac-
ciones como las consecuencias fueron intencionadas, posiblemente este-
mOS en el terreno de la condu cta criminal y es probable que responder a
ella internamente exceda el alcance de la organización. Las acciones no
intencionadas definen deslices y lapsus -en general, los errores m.enos
culp ables-; las consecuencias no queridas definen equivocaciones e in-
fracciones. El árbol de decisión suele tratar del mIsmo modo todos los
tipos de errores, excepto en lo que se refiere a la pregunta sobre las I.n-
fracciones. Para las equivocaciones, la pregunta es la que figura en el dIa-
grama 9.3, pero para los deslices y lapsus lo que se inquiere es qué estaba
haciendo esa persona cuando ocurrieron dichos lapsus y deslI ces: SI el 111-
dividuo estaba contraviniendo conscientemente unos procedllTuentos
operativos seguros, entonces el error resultante es más culp able, ya ~ue
debería h aber sido consciente de que la infra cción aumenta la probabili-
dad tanto de cometer un error como de que resulten consecuencias ne-
gativas de él (véase el capítulo 4). . .
La pregunta sobre las «sustancias no autorizadas» 111tenta establecer SI
en el momento en que se cometió el acto peligroso el111dlvlduo estaba o
no bajo los efectos del alcohol u otras drogas que se sab e petjudican la ac-
tuación. Dado que la ingestión de sustancias no autorizadas suele ser un
acto voluntario, su implicación indicaría un nivel de culpabIlIdad alto.
Pero el asunto no es tan obvio. En 1975, durante el descenso hacia Nai-
robi, el copiloto de un Boeing 747 oyó malla orden del controlador aéreo:
en lugar de «siete, cinco, cero, cero», entendió «cinco, cero, cero, cero » 3r
programó el piloto automático para volar a una al~ltud de, 5000 pIes .
Pero para volar a esa altura sobre el nivel del mar el aVlOn habna terudo que
hacer un túnel bajo tierra, dado que está nada menos que 300 metros por
30. Air Accident Investigation Branch (AAm) Boeillg 747-136 G-A WNJ. Repor' 01'1 the
I,.,cide,.,' I'Iear Nairobi Ah'porl, Ke"l'a 011 3 Septe",ber 1974, Aircraft ACCldent R eport 14/75,
Londres, HM SO, 1975 .
269
 9. Ingeniería de una cultu ra de la seguridad

debaj o de la inusual altitud a la que está emplazado el aeropuerto de N ai-

robi. C uando el avión salió de entre las nub es, la tripulación vio que vo-
laban a poco más de 200 pies de altura sobre el su elo. La rápida reacción
del capitán evitó el que pudo h aber sido el primer gran desastre de un
<1umbo» j et de Boeing. Luego se sup o que el copiloto, que recientem ente
había estado de vacacion es en la India, tenía la solitaria, y no en un estado
leve, y que había estado tratándose co n medicamentos no autorizados qu e
producían, entre otros efectos secundarios, somnolencia y náuseas. Tom ar
medicación no autorizada como resultado de una enfermedad , aunque
~
8 claramente reprensible, lo es menos que consumir drogas o alcohol con
vo..~ «propósitos recreativos» y, p or lo tanto, se ha asignado a la categoría de
«abuso de sustancias, con atenuantes». El grado de atenuación dep enderá,
Bu por descontado, de las circunstancias locales .
'"' Excepto cuando el incumplimiento se ha convertido en gran m edida
..8
"O
l1J en una forma automática de trabaj ar (como ocurre a veces en el caso de
"O los ataj os rutinarios), las infi-acciones implican, por parte de quien las p er-
"O'"' petra, una decisión consciente de romp er o relaj ar las reglas. Con todo,
]
C'")
'"' aunque las acciones puedan ser deliberadas, las p osibles consecuencias n e-
0\ E<~
'"' u gativas n o lo son - en contraste con el sabotaj e, en el que tanto el acto
S
....'"' ~
bJ) .... com o las consecuencias son in tencionados- oLa mayoría de las infi.-accio-
'Q"' ' ;els::'"' nes no ob edecerán a una intención maliciosa, de m odo que el grado en
....s:: que sean reprobables dependerá en gran parte de la calidad y disponibili-
~
"O
l1J dad de los procedimientos relevantes, los cuales, com o vimos en el capí-
'...."' tulo 4, no siempre son adecuados para una situación determinada. C uando
'o.."'
,g:
se juzga que ése es el caso -cuando así lo juzga, quizás, un (~ urado» de
~~ iguales del p erpetrador-, el problema recae más en el sistema qu e en el
Tl individu o. Ahora bien, si existían buenos pro cedimientos inmediatam ente
~- " '"ro '"
l1J
"O
o ü c: '"i1 disp onibles y fueron deliberadamente conculcados, debe plantearse la pre-
/' "O :g c: uo
rl '"
;:l
c: gunta de si la conducta fue temeraria en el sentido legal del término. Tales
/' "O
..o....
.D
~ a 1:l
ro
acciones son claram ente m ás culpables que las infracciones «n ecesarias»
'<G
- esto es, las acciones de incumplimiento n ecesarias para poder llevar a
cabo el trabaj o cuando los procedimientos relevantes son erróneos, inade-
1 cuados o impracticables.
Parece correcto aplicar la prueba de sustitución de ] ohnston una vez de-
cididas las cuestiones de posible abuso de sustancias e incumplimiento de-
liberado, si bien una pru eba similar tien e claram ente un papel qu e
desempeñar en la evaluación de la culpabilidad de las infi'acciones indu ci-
das por el sistema (que en el diagrama 9.3 viene representado p or la línea
de puntos). La idea es razonablem ente im11ediata: alguien bien motivado,

27 1

La gesti ón de Jos grandes riesgos
de equiparable competencia y una cualificación comparable, ¿podría co-
m eter (o h a cometido) la mism a clase de error en esas o m uy similares
circunstancias? Si la respuesta del jurado de pares es «sí», entonces, proba-
blem ente, el error es disculpable. Si la respuesta es «no», habrá que ver si
había habido deficiencias inducidas por el sistem a en la formación, selec-
ción o experiencia de esa persona. En el caso de que no se identifiquen
tales condiciones latentes, habrá que contemplar la posibilidad de un error
por negligencia. Si se las encuentra, es probable que el acto peligroso sea
un error, en buena n1.edida inocente, inducido por el sistema.
En esta categoría habría que clasificar al op erario cuyo deficiente ca-
bleado de una garita de señales contribuyó de forma significativa al de-
sastre ferroviario de Clapham ]unction (véase el capítulo 5) . Sus acciones
no pasarían la prueba de sustitu ción, ya que era en gran m edida auto di-
dacta y había adquirido sus malas prácticas de trabaj o en ausencia de una
formación y una supervisión adecuadas. Tal y como estableció la investi-
gación oficial, los problemas subyacentes correspondían al sistema y no al
individuo, que era un trabaj ador muy laborioso y estaba muy motivado
por la idea de hacer bien su trabajo.
En j erga legal, la última pregunta importante, en la esquina superior
derecha del diagrama 9.3, podría reformularse así: «¿H abía precedente?»
La susceptibilidad de las personas a los deslices y lapsus cotidianos difiere
mu cho, y de forma duradera. Algunos individu os son co nsiderable-
m ente más distraídos que otros, por ej emplo. Que la persona en cuestión
cuente con un historial previo de actos peligrosos no implica necesaria-
m ente nada acerca de su culpabilidad en el error cometido en esta ocasión
con creta, pero sí indica la necesidad de formación correctiva o incluso de
asesoramiento profesional en la línea de: «¿no crees que le harías un favor
a todo el mundo si considerases la posibilidad de ocupar un puesto dife-
rente dentro de la empresa?». Así es como la dirección recluta a algunos de
sus más distinguidos miembros. La competencia y la inteligencia no tienen
ninguna relación con el hecho de ser distraído, pero éste sí que es un rasgo
que no resulta particularmente útil para el desemp el10 profesional de un
piloto o un operador de sala de control.
¿D ónde deberíam os trazar, pues, la línea entre la conducta aceptable y
la inaceptable en el diagrama 9. 3? El lugar más obvio sería entre las dos ca-
tegorías de abuso de sustancias. Tanto el daño malintencionado como el
consumo peligroso de alcohol o drogas son totalmente inaceptables y de-
b erían recibir sanciones m uy severas , de las qu e posiblem ente deberían
ocuparse los tribunales más que la organización. Entre el «abuso de sus-
27 2
9. Ingeniería de una cultura de la seguridad
tancias, co n atenuantes» y el «posible error por negligencia» hay una zona
gris en la que debe ej ercerse el juicio con cuidado. Las restantes categorías
deben conceptualizarse como exentas de culpa -a menos que involucren
fac tores agravantes que n o h emos contemplado aquí-o La experien cia
lleva a pensar que la m ayoría de los actos peligrosos -quizás el 90% o
más- entran en esta categoría de inocencia.
¿Qué debe esperarles a la pequ eña proporción de individuos cuyos
actos peligrosos son considerados, con justicia, culpables? No es compe-
tencia de este capítulo aconsej ar sobre la naturaleza de las sanciones . N o
obstante, aunque el asunto concierne exclusivamente a las organizaciones
en cu estión, sí podemos decir algo sobre el valor - o lo contrario- de los
castigos.
D esafortunadam ente, una gran parte de la investigación psicológica
sobre el tema de la recompensa y el castigo ha estudiado a la rata de labora-
torio y no es especialmente relevante para la conducta humana. La tabla 9 .2
resume de forma muy sim plificada qué saben los psicólogos sobre los efec-
tos de la recompensa y el castigo en el lugar de trabaj 0 31. El asunto prin-
cipal es aquí la efectividad de «el palo y la zanahoria» para aumentar la
probabilidad de la conducta desea da y reducir las posibilidades de la con-
ducta indeseada. Las recompensas son el m edio más poderoso para cam-
biar la conducta, pero sólo son efectivas si se dan de forma inmediata o muy
próxim a a la conducta que se desea. Los castigos demorados tienen efec-
tos negativos: en general, no mejoran la conducta y pueden inducir resen-
timiento tanto en las personas castigadas como en las que podrían serlo. Las
celdas etiquetadas como «efectos dudosos» significan que, en ambos casos,
op eran fu erzas contrapu estas ; en consecuencia, los resultados son inciertos.
Tabla 9.2
R esumen de los efectos de la reco m.pensa y el castigo en el cambio conductual
en el puesto de trabaj o
Imnediato s D emorados
Efectos Efectos
R ecompensa dudosos
positivos
Efec tos Efectos
Castigo
dudosos positivos
31. ]. M. G eorge, «AsynU11etri cal effects of rewa rds and pu nishment: th e case of social
loa6 ng», j oumal oJ Ocwpational and Olga/liz lltio/11l1 Ps)'cI/Olog)', 68,1995, pp. 327-328.
27 3
 La gestión de Jos grandes riesgos
Pero hay otros factores que aconsejan vivamente la aplicación de cas-
tigos a los pocos que cometen actos peligrosos flagrantes . En la mayoría
de las organizaciones, el personal en primera línea sabe muy bien quie-
nes son los «vaqueros» y los que «flexibilizan» las normas habitualmente.
Verles salir bien librados un día sí y otro también beneficia poco a la moral
de trabajo o a la credibilidad del sistema disciplinario; verles llevarse «su
merecido» no sólo es gratificante, sirve también para reforzar la posición
de la fi·ontera de la conducta aceptable. Además, las personas ajenas a la
empresa no son las únicas víctimas potenciales. El despido justificado pro-
tege a los compañeros del infractor; es probable que sea a éstos, quizá m ás
que a cualesquiera otras posibles víctimas, a quienes más pone en peligro
la reiterada temeridad o negligencia de esa persona. Su marcha hace del
entorno de trabajo un lugar más seguro y, además, favorece que la fuerza
de trabajo perciba la cultura de la organización como justa. La justicia
funciona en dos sentidos: los castigos severos a unos pocos pueden pro-
teger la inocencia de los m ás numerosos.
D avid Marx, un ingeniero aeronáutico que fue uno de los principales
arquitectos de la ayuda a la toma de decisiones sobre errores de manteni-
miento (MEDA) de Boeing (véase el capítu lo 7), hizo el siguiente comen-
tario sobre la relación entre informes de sucesos y sistemas disciplinarios
-aunque escribe sobre el sector de la aviación, sus ideas son de aplica-
ción general:
Muchos de nosotros hemos descubierto que los sistemas disciplinarios actua-
les son un obstáculo significativo a la hora de pedirle a un empl eado que dé
un paso adelante y hable de su equivocación . Consecuentemente, como sec-
tor, hemos empezado a reevaluar la interrelación entre la disciplina del em-
pleado y la investigación de sucesos adversos. Las aerolíneas, internamente o
en colaboración con la FAA, han desarrollado muchos programas [... ]. Se le
llame inmunidad, anmistía o «incentivo relacionado con la actuación», todos
los programas intentan animar al empleado que ha cometido un error a salir
a la luz. Sin embargo, a medida que más y más programas de incentivos entran
en el mercado de las ideas, el paisaje disciplinario deviene cada vez más C0111-
pIejo y desorientador. Con todos los programas que hoy existen, el empleado
individual tendría que ser abogado para ponderar si es seguro o no dar la cara32
David Marx ha obtenido recientemente un título en derecho y uno
de los fi·utos más interesantes de ese marid<0e entre la ingeniería y la ley
ha sido el investigador de incidentes informático llamado Sistema de ges-
32. D. Marx, comunicación personal, 1 de octubre de 1996.
274
9. Ingen.iería de una cultura de la seguridad
tión de incidencias Aurora (Aurora Mishap Mal1agemel1t S)'stem, AMMS).
AMMS está formado por diversos elementos; pero su aspecto m ás impor-
tante, para nuestros presentes propósitos, es su metodología estructurada
para establecer la aplicabilidad de una acción disciplinaria. El consejo de
evaluación disciplinaria de una organización emplea esta herramienta
de investigación como ayuda para la toma de decisiones . El AMMS aplica
un mismo enfoque consistente a la cuestión de si la acción disciplinaria
está justificada o no. Hasta la fecha, varias aerolíneas estadounidenses lo
vienen utilizando en el ámbito del mantenimiento de aeronaves y cuenta
con el respaldo de los sindicatos del sector.
INGENIERÍA DE UNA CULTURA FLEXIBLE
La flexibilidad organizativa significa poseer una cultura capaz de adap-
tarse con efectividad a demandas cambiantes. La flexibilidad es una de las
propiedades definitorias de lo que un grupo de investigación muy influ-
yente de Berkeley -dirigido porTodd La Porte, Karlene Roberts y Gene
Rochlin- ha llamado organizaciones de alta fiabilidad ~1Ígh-reliabilit)' oy-
gal1izations, HItO). El grupo ha llevado a cabo trabajos de campo en varias
organizaciones intensivas en tecnología y altamente complejas que deben
funcionar, hasta donde es humanamente posible, con un estándar impe-
cable -cero fallos-o Los sistem as que aquí nos interesan son el control
del tráfico aéreo y las operaciones aeronavales militares.
Los retos operativos a que se enfi·entan estas organizaciones (y otras
comparables) son dos:
- Gestionar unas tecnologías complejas y muy exigentes asegurándose
de evitar fallos graves que pudieran incapacitar seriamente a la orga-
nización, quizás incluso destruirla.
- Al mismo tiempo, m antener su capacidad para hacer frente a p eriodos
de demanda y produ cción muy altos, m áximos, cuando quiera que
estos se produzcan 33 .
Las organizaciones estudiadas por el grupo de B erkeley poseían las si-
guientes características:
33 . T. R. LaPorte y P. M. Co nsolin.i , "Working in practice but not in theory: theore-
tical challenges of " high-reliability" organizations», j ollrnal 01 Pllblie Administration Rese-
are/¡ alld Theory, 1,1991, p. 21.
275

La gestió n de los gra ndes ri esgos
- Eran grandes, internamente dinámicas y, de forma intermitente, in-
tensamente interactivas.
- Todas realizaban tareas complejas y diflciles b~o una considerable pre-
sión temporal.
- Todas han llevado a cabo esas exigentes actividades, a lo largo de un
buen número de úios, con una tasa de error muy baja y una ausen cia
casi completa de fallos ca tastróficos.
A primera vista, las dos organizaciones que aquí examinaremos -el
portaaviones nuclear de la m arina estadounidense y el centro de control
del tráfico aéreo- tenían estructuras organizativas muy j erárqui cas y bu-
rocráti cas, con una clara línea de autoridad y mando. Ambas organiza-
ciones confiaban en muy alto grado en proc edimi entos operativos
es tándar (s tandard operating procedures, SO l') comprobados, y realizaban un
enorme esfuerzo para formar a su personal en la ejecución de esos pro-
cedimientos. E s casi cierto que, en condiciones de funcionami ento ruti-
nario, la única decisión necesaria era qué SOl' aplicar.
En estas HRO las acciones estaban sujetas a estrecha vigilancia, y en el
momento en qu e ocurría un error se realizaba una investigación irune-
diata - denominada «lavado en caliente» en la j erga de la marina esta-
dounidense- . Con los años, estas organiza ciones han aprendido que hay
ciertos tipos de error, con fre cuencia bastante nimios, que pueden con-
vertirse rápidamente en fallos graves que amenazan el sistema. En estas
áreas determinantes, a diferencia de otras, no se alentaba el aprendiz~e
por prueba y error, para evitar qu e se convirtiera en una práctica que
«crease h ábito ». Además, y cito la descripción de La Porte y Consolini,
«existe una sensación palpable de que es probable que ocurran sucesos
semejantes qu e sea imposible prever con claridad , imposibles de imaginar
incluso. Es una nube qu e se cierne siempre sobre las operaciones, una pre-
ocupación permanente»34. Dicho brevemente, estas organizaciones sufi'en
inquietud crónica. La siguiente cita, de la misma fuente, capta muy elo-
cu entemente esa inteligente ca utela y sus consecuencias culturales:
Las personas que trabajan en estas orga nizaciones saben casi todo lo qu e se
pued e saber técnica mente sobre las tareas que realizan -y tem en qu e
eso pu eda inducirles a suponer qu e están preparados para responder a cual-
quier contingencia-o Con todo, un ínfimo fallo de comprensión, un instante
de indecisión , puede desencadenar el desastre. Por eso usan una estrategia de
34. ¡bid. , p. 27 .
"1
9. In ge ni ería de una cultura de la seguridad
toma de decisiones proactiva y preventiva. Efectúan indagaciones y análisis
tanto antes como después de los errores. Procuran ser sinópticos, aun sabI endo
qu e nunca lo conseguirán por compl eto. En su intento de eVItar los. peh.gros
de esta lu cha, sus patron es de toma de deCISIOnes parecen prom~ve r estrate-
gias aparentem.ente contradictorias de aumento de la producclOn y redu c-
ción de los errores. Esos patrones fomentan:
- Informar de los errores, sin alentar un a actitud laxa hacia su comisión.
- Tomar la iniciativa de seil.alar deficiencias en los sa l' y proponer y validar
modificaciones en aquéllos que se demu estre qu e son inadecuados.
- Evitar erro res sin sofocar la iniciativa o crear rigidez en el operador.
- La vigilancia mutua , sin induci,r una co ntraprodu ce nt~ p é~'d~~a de auto-
nonúa , confianza y seguridad en SI nllsmos entre los operadores .
Y, ¿cómo responden las HRO a la súbita necesidad de operar a u~ ritmo
extremadamente rápido? Bajo la superficie del modo de operaCl,on ruti-
nario, burocrático y basa do en los SO l', subyace, a la espera, un patron com -
ple tamente diferente de comportamiento organizativo. Esto es lo qu e
sucedió a bordo de un portaaviones cu ando unos 70 de sus 90 aparatos
estaban volando en distintas misiones:
Los patrones de autoridad mudan y pasan a basarse en las habilidades fun-
cionales. La autoridad , y las pautas de decisión coleglddas sustItuyen a las bu-
rocráticas a medida qu e el tempo de las operaciones se acelera. El ra~go y el
estatus formal se devalúan como razón para la obediencia. El rango Jerarql1lco
cede el paso a la cOlnpetencia técnica, co n frecuencia en manos de ql1lenes
tienen un rango formal inferior. Las clases (subofiCiales veteran os) aconseJan
a los oficiales al mando, dan órdenes cortésmente a los tel1lentes y avasallan a
los alféreces. La situación crítica, las amenazas y la conl.plejidad de las opera-
ciones hacen que smj a una suerte de disciplin a funcional, una profeslOnali-
zación de los equipos de trabajo. La información y las negoCIacIOnes (a veces
conflictivas) sobre los resultados aumentan en importanCIa; la retro alimenta-
ció n sobre «cómo va la cosa» . se demanda y se va Iora . 36 .
Un tipo similar de fle xibilidad fu e evidente en un centro de control
del tráfico aéreo. Los cambios de viento repentinos pu eden Imponer una
carga adicional sobre unos controladores ya de por sí bastante ocup a~~s.
R eorientar las rutas de vuelo de un gran número d e aparatos en relacJOn
co n nada m enos qu e, en este caso, tres aeropuertos importan,tes, dos gran-
des bases militares y cinco p equ el1.os aeródromos d e aVlacJOn gen eral, se
35. ¡bid. , p. 29 .
36. ¡bid., p. 32.
277

La gesti ó n de los gra ndes ri esgos
- Eran grandes, internam ente dinámicas y, de forma intermitente, in-
tensamente interactivas.
- Todas realizaban tareas complejas y dif1ciles bajo una considerable pre-
sión temporal.
- Todas han llevado a cabo esas exigentes actividades, a lo largo de un
buen número de años, con una tasa de error muy baja y una ausencia
casi completa de fallos catastróficos.
A primera vista, las dos organizaciones que aquí examinaremos -el
portaaviones nuclear de la marina estadounidense y el centro de control
del tráfico aéreo- tenían estructuras organizativas muy j erárquicas y bu-
rocráticas, con una clara línea de autoridad y mando. Ambas organiza-
ciones confiaban en muy alto grado en proc edinü entos operativos
estándar (s tandard operating procedures) sap) comprobados, y realizaban un
enorme esfuerzo para formar a su personal en la ejecución de esos pro-
cedimientos. Es casi cierto que, en condiciones de funcionamiento ruti-
nario, la única decisión necesaria era qu é sal' aplicar.
En estas HRO las acciones estaban sujetas a estrecha vigilancia, y en el
momento en qu e ocurría un error se realizaba una investigación inme-
diata -denominada «lavado en caliente» en la jerga de la marina esta-
dounidense-. Con los años, estas organizaciones han aprendido que hay
ciertos tipos de error, con fi:ecuencia bastante nimios, que pueden con-
vertirse rápidamente en fallos graves qu e amenazan el sistema. En estas
áreas determinantes, a diferencia de otras, no se alentaba el aprendizaje
por prueba y error, para evitar qu e se convirtiera en una práctica que
«crease hábito». Además, y cito la descripción de La Porte y Consolini,
«existe una sensación palpable de que es probable que ocurran sucesos
sem ejantes que sea imposible prever con claridad, imposibles de imaginar
incluso. Es una nube que se cierne siempre sobre las op eraciones, una pre-
ocupación permanente»34. Dicho brevem ente, estas organizaciones sufren
inquietud crónica. La siguiente cita, de la misma fuente, capta muy elo-
cuentemente esa inteligente cautela y sus consecuencias culturales:
Las personas que trabajan en estas organjzaciones saben casi todo lo qu e se
puede sab er técnicamente sobre las tareas qu e realizan -y temen qu e
eso pueda inducirles a suponer que están preparados para responder a cual-
quier contingencia-o Con todo, un ínfimo fallo de comprensión, un instante
de indecisió n, puede desencadenar el desastre. Por eso usan una estrategia de
34. [bid. , p. 27.
9. Ingeni ería de una cultura de la seguridad
ton'la de decisiones proactiva y preventiva. Efectúan indagaciones y análisis
tanto antes como después de los errores. Procuran ser sinópticos, aun sabIendo
qu e nunca lo conseguirán por completo. En su intento de evItar los p eli~ros
de esta lu cha , sus patrones de toma de deCISIOnes parecen prom~ver estrate-
gias aparentem ente contradictorias de aumento de la producclOn y reduc-
ción de los errores . Esos patrones fomentan:
_ Informar de los errores, sin alentar una actitud laxa hacia su comisión.
_ Tomar la üuciativa de señalar deficiencias en los SO l' y proponer y validar
modificaciones en aquéllos que se demuestre qu e son inadecuados.
_ Evitar errores sin sofo car la üuciativa o crear rigidez en el operador.
_ La vigilancia mutua, sin inducir una contraproducente pérdida de auto-
35
nonua , co nfianza y seguridad en sí nusm os entre los operadores
Y, ¿cómo responden las HRa a la súbita necesidad de operar a :l~'l ritmo
extremadamente rápido? Bajo la sup erficie del modo de operaCl,on rutI-
nario buro crático y basado en los sap, subyace, a la espera, un patron com-
pleta:n ente diferente de comportam.iento organizativo. Esto es lo .que
sucedió a bordo de un portaaviones cuando unos 70 de sus 90 aparatos
estaban volando en distintas misiones:
Los patrones de autoridad mudan y pasan ~ basa rse en las habilidades fun-
cion ales . La autoridad, y las pautas de declSlon colegladas sustItuye n a las bu-
rocráticas a m edida que el tempo de las operaciones se acelera . El ran,go y el
estatus formal se devalúan como razón para la obediencia. El rango Jerarqmco
cede el paso a la competencia técluca, con fi·ecuencia en manos de qmenes
tienen un rango formal inferior. Las clases (subofiCIales veteranos) aco nsejan
a los oficiales al mando, dan órdenes cortésm ente a los tem entes y avasallan a
los alféreces. La situación crítica, las amenazas y la complejidad de las opera-
ciones hacen que surja una suerte de ilisciplina funcio nal, una profeslOnall-
zació n de los equipos de trabajo. La información y las negOCIacIOnes (a veces
conflictivas) sobre los resultados aumentan en importanCIa ; la retro alImenta-
. al . 36
ció n sobre «cómo va la cosa» se demanda y se v ora .
Un tipo similar de flexibilidad fu e evidente en u n centro de control
del tráfico aéreo. Los cambios de viento repentinos pueden Imponer una
carga adicional sobre unos controladores ya de por sí bastante ocupad~s.
R eorientar las rutas de vuelo de un gran número de aparatos en relaclOn
con nada m enos que, en este caso, tres aeropuertos ll11.portan,tes, dos gran-
des bases militares y cinco pequeños aeródromos de aVIa CIon general, se
35. ¡bid. , p. 29.
36. ¡bid. , p. 32.
277
La gestión de los grandes riesgos
convierte para los controladores de servicio en un programa de acción
prioritario. La Porte y Consolini describieron lo que sucedió:
El tempo para llevar a cabo el control de aproximación y el centro de con-
trol en ruta aumenta, y los controladores se reúnen en pequeños grupos al-
rededor de las pantallas de radar relevantes, trazando las maneras óptimas de
gestionar el tráfico a medida que el cambio de viento se torna inminente. Se
intercambian consejos, se proponen sugerencias, y el tráfico real se COITlpara
con las simulaciones usadas en las muchas horas de formación que siguen los
controladores [. . .]. Aunque existen normas generales y hay controladores y
supervisores en posición de autoridad, es el equipo el que se congrega en
torno a los controladores que ocupan los «asientos cali.entes». Serán los con-
troladores experimentados, los «virtuosos», [y no los supervisores,] quienes
dominen el curso de la decisión. La «pérdida de la separación» -el indica-
dor clave del fallo de un controlador- es algo demasiado terrible para que
evitarlo se confíe exclusivamente a las normas 37
Cuando el periodo de tempo acelerado se va ralentizando, la autori-
dad revierte sin brusquedades a su forma burocrática previa, determinada
por el rango. Un tipo muy similar de flexibilidad es evidente en una anéc-
dota que me contaron acerca de una de las unidades mejor valoradas del
ejército estadounidense durante la Guerra de Corea: los suboficiales de la
unidad reconocían que carecían de las cualidades necesarias para mandar
a los hombres en una situación de acción. Cuando la unidad entró en
combate, el mando local pasó a un pequeño grupo de soldados rasos. Des-
pués, fuera ya de esa situación, estos «líderes de combate» no tuvieron
ningún problema en obedecer las órdenes de los suboficiales, cuyas habi-
lidades en la organización cotidiana de la vida militar reconocían plena-
mente.
Así pues, existe evidencia convincente de que la capacidad de una or-
ganización para pasar de un modo de gestión burocrático y centralizado
a otro más descentralizado y profesional es un determinante importante
de su fiabilidad - o incluso de su capacidad de supervivencia-o Pero,
¿cómo puede ser objeto de ingeniería? Karl Weick -cuya obra he citado
en diversos momentos a lo largo de este libro- ha apuntado varias ob-
servaciones importantes a este respecto. Para lograr una descentralización
efectiva -del tipo descrito más arriba-, Weick sostiene que:
[... ] primero hay que centrali.zar, para socializar al personal en el uso de su-
puestos y premisas similares en su toma de decisiones, de modo que cuando
37 . [bid ., p. 34.
9. Ingeniería de una cultura de la seguridad
operen sus propias unidades, las operaciones descentrali.zadas sean equivalen-
tes y estén coordinadas. Esto es precisamente lo que hace una cultura: crea un
conjunto homogéneo de supuestos y premisas de decisión que, cuando se [,e-
curre a ellas sobre una base local y descentralizada, preservan la coord111aclOn
y la centralización. Aún más importante, cuando la centralización se reali.za
vía supuestos y premisas de decisión el cumplimiento ocurre S111 neceSIdad de
supervisión, lo que contrasta agudamente con la centrali.zación basada en n~r­
mas y regla111.entaciones o con la centralización basada en la esta~danzacI~n
y la jerarquía, que requieren ambas un elevado 111vel de supervlSl0n.Ademas,
ni las normas ni la estandarización están bien dotadas para afrontar e111.er-
. d
genClas e as queino 'eXlste prece dente 38 .
Probablemente no es ninguna coincidencia que las HRO que estudió
el grupo de Berkeley fueran militares o buena parte de su personal clave
tuviera experiencia militar -algo cierto también de la tercera HRO no ana-
lizada aquí, una central nuclear californiana donde muchos de sus ope-
radores y supervisores habían estado previamente en la fuerza naval
nuclear-oLa aceptación de una manera disciplinada de abordar el trabajo,
una confianza bien fundada en los soP y la familiaridad con los usos y cos-
tumbres de las estructuras basadas en la graduación serían todas ellas de
ayuda para fOljar los valores compartidos sobre la fiabilidad que harían po-
sible una acción descentralizada efectiva cuando la ocasión lo exigiera.
Weick aporta otra idea de considerable relevancia aquí: todas las tec-
nologías de alta peligrosidad se enfrentan al problema de la variabilidad
intrínseca -la diversidad interna del sistema excede la del personal que
debe controlarlo (véase el capítulo 4)-. Como consecuencia, ese perso-
nal «pasa por alto inform.ación importante, realiza diagnósticos incomple-
tos y aplica remedios miopes que pueden empeorar en lugar de remedIar
el problema». Pero una cultura que fomenta los «relatos de guerra» puede
nutigar ese problema. Puesto que la naturaleza de estos sistenlas deja escaso
margen para el aprendizaje por ensayo y error, mantener la fiabilidad de-
pende en ellos del desarrollo de alternativas al ensayo y el error, entre las
que se incluirían la imaginación, la experiencia vicaria, la simulación, los
relatos y su narración.
Un sistema que valora los relatos y su narración es potencialmente más fia-
ble porque su personal sabe más sobre el sistema, sabe más sobre los errores
potenciales que podrían ocurrir, y tiene más confianza en ser capaz de ma-
38. K. E.Weick, «Organizational culture as a source ofhigh reliability», California Ma-
Iwgemel1t ReiJiew, 24, 1987, pp. 112-127, véase p. 124.
279
La gestión de los gran des riesgos
nejar bien los que sucedan porque sabe qu e otras personas han sabido solu-
cionar errores simiJares 39
Otras formas de reducir la distancia entre la diversidad del sistema y la
de sus controladores humanos incluyen:
- Una cultura que favorece la comunicación cara a cara. «Una forma (cierta-
mente estereotipada) de describir a los ingenieros es como personas in-
teligentes que no conversan. Dado que sab emos que la gente tiende a
minusvalorar lo que no hace bien, y dado que los sistemas de alta fia-
bilidad necesitan conversaciones ricas y densas para mantener su com-
plejidad, resulta que pueden tener dificultades para generar esa riqueza
si la conversación es una actividad poco valorada por su personal o si
éste es incapaz de encontrar sustitutivos de la co nversación (el correo
electrónico podría ser uno de esos sustitutivos, por ejemplo) )40.
- Grupos de trabajo cOI'/'Ipuestos de personas diferentes. «Un equipo de indi-
viduos diferentes posee más diversidad indispensable que un equipo de
individuos homogéneos»41. Importa menos en qué consista esa diver-
sidad -que difieran en su especialidad, su exp eriencia, su género,
etc.- que el hecho de que exista. «Si la gente busca cosas diferentes,
cuando ponga sus observaciones en común verá más de lo que cual-
quiera de ellos habría visto soI0 »42. Por la mism a razón , los grupos
compuestos por personas muy similares tienden a ver cosas muy si-
milares y, por ende, carecen de diversidad indispensable.
La descentralización de la autoridad en ciertas circunstancias fu e un
rasgo crucial del concepto militar alemán de A ¡,iftragss)'stem - (sistema de
misión) , expuesto en el capítulo 4-, cuya esencia consistía en entrenar a
los mandos subordinados, los suboficiales subalternos y de mayor grado,
hasta el punto de que ellos (o, muy raramente, ellas) fu eran capaces de al-
canzar los objetivos tácticos de sus sup eriores, con o sin órdenes. Traducido
a un contexto civil, significa seleccionar y formar a los supervisores de pri-
mera línea para que sean capaces de dirigir el trabajo de forma segura y pro-
ductiva sin necesidad de sOPo Este sistema localinente situado de dirección
39 . lvid. , p. 113.
40 . lvid., p. 11S.véase también K. M. Eisen hardt,]. L. Kahw;uy y L.]. Bourgeois, "Con-
fli ct and strategic choice: H ow top manageme nt tea ms di sagree», Califom ia Ma llagemellt
Rwiew, 39, 1997, pp. 42-62 .
41.K.E.Weick, op.cit. , 1987,p. 1l6.
42. lvid ., p. 116 .
280
9. Ingeniería de un a cultura de la seguridad
del comportamiento exige mucho de las cualidades personales de los su-
pervisores. Uno de sus requisitos es una amplia experiencia en las tareas que
se realizan en el lugar de trabajo y en las condiciones en las que es proba-
ble que se lleven a cabo. Los supervisores han de ser «expertos locales» tanto
en las demandas productivas locales como en el espectro de sus amenazas
obvias, y menos obvias. De igual importancia es una autoridad personal
derivada por igual del respeto de la fu erza de trabaj o y del respaldo de la
dirección-una característica fundamental en el éxito del ej ército alemán.
No todas las ac tividades de las tecnologías de alta peligrosidad se reali-
zan en grupos bajo supervisión. C uando las personas operan en relativo ais-
lamiento, la responsabilidad pasa del grupo a los auto controles; entre éstos,
son de capital importancia las técnicas diseñadas para mejorar la concien-
cia de las amenazas y la percepción del riesgo, es decir, las medidas que
persiguen fomentar la actuación «correcta», más que la n1.eramente «exi-
tosa». Varios programas de evaluación de riesgos se están desarrollando en
este momento o han sido implementados ya. Sin embargo, como ha ob-
servado WillemAlbert Wagenaar, la formación en evaluación de riesgos es
de escasa utilidad una vez que las acciones incorrectas se han co nvertido
en habituales 43 . C uando eso ocurre, el personal no está asurniendo riesgos
deliberadamente, sino que está corriendo riesgos de una forma en gran me-
dida irreflexiva y automática. Para ser efectiva, esa formación debe tener
lugar en la fase inicial de la ocupación del puesto ; y la orientación provista
in situ por la sup ervisión, consolidarla y ampliarla posteriormente. Por la
misma razón, es principali11.ente a través de la intervención de la supervi-
sión local que cabe la posibilidad de modificar pautas incorrectas de co n-
du cta que llevan largo tiempo asentadas.
E n resumen, las organizaciones de alta fiabilidad son capaces de cam-
biar de la modalidad de co ntrol centrali zado al modo descentralizado en
el que la dirección de las operaciones locales depende en buena m edida
de la profesionalidad de los sup ervisores de primera línea. Paradójica-
mente, quizás, el éxito de esta transformación depende del establecimi ento
previo de una cultura j erárquica fuerte y disciplinada. Son los supuestos y
valores crea dos por esta cultura los qu e posibilitan la coordinación de los
grup os de trabajo descentraliza dos. Los equipos efectivos, capaces de ope-
rar autónomamente cuando lo exigen las circunstancias , necesitan líderes
de alta calidad, lo cual, a su vez, requiere que la organización invierta ge-
43.W.A.Wagenaar, «l<..isk-taking and accident ca usation», enJ.Yates (ed.) Risk-Taking
Be/¡Qlliollr, C hichester, W iley, 1992.
281
 La gestión de los grandes riesgos
nerosamente en la calidad, la motivación y la experiencia de sus supervi-
sores de primera línea.
INGENIERÍA DE UNA CULTURA QUE APRENDE
De todas las «sub culturas» consideradas hasta aquí, la cultura capaz de
ap:"ender.es probablemente la más fácil de hacer objeto de ingeniería y la
mas dIfícil de hacer que funcione" La mayoría de sus elementos constitu-
yentes han sido descritos ya: observar (darse cuenta, poner atención, tomar
en cuenta, seguir la trayectoria), reflexionar (analizar, interpretar, diagnos-
tIcar), crear (imaginar, diseúar, planificar) y actuar (implementar, obrar,
comprobar). Los primeros tres no son tan difíciles; es el último el que po-
sIblemente origine la mayoría de los problemas. Haciéndonos eco del
arrepentido lamento del directivo del Banco Barings después de la quie-
bra, siempre parecía haber algo más urgente que hacer.
Después de todo lo que se ha escrito ya 44 , poco más puede hacer un
libro para insuflar en la alta dirección la voluntad de implementar las re-
formas que indican sus sistemas de información sobre la seguridad, ex-
cepto llamar su atención sobre esta estremecedora observación del teórico
de las organizaciones Peter Senge:
Que un niño sufra una discapacidad que entorpezca su aprendiz;tie es trá-
gICO, pero cuando le ocurre a una organización es fatal. Ésa es la causa de
que pocas corporaciones vivan ni siquiera la mitad que las personas - la ma-
yoría mu ere antes de cumplir los cuarenta45.
No debería hacer falta recordar a los altos directivos que un accidente
organizativo puede acortar brutalmente incluso esa breve esperanza de vida.
LA CULTURA DE LA SEGURIDAD: MUCHO MÁs QUE LA SUMA
DE SUS PARTES
Al llegar a este punto, me represento mentalmente a un imaginario gestor
técnico de una organización con un buen historial de seguridad (proba-
44. R eco m.iendo al lector interesado comell2ar por la lectura de B.Toft y S. Reynolds,
Learl'lll1gfrom Dlsaster: A MnJ'Iagel1leJ1t Approach, Londres, Buttelworths H einemalUl , 1994.
45. P. M. Senge, Th e F!fth Discipline: The Art al'/(( Pmctice of the Learning Olganiz ation,
Londres, .~entury Bussll1ess, 1990 [trad. cast., La qlli/1.ta disciplina: el arte y la práctica de la
O/gamzac/OI'/ abIerta al aprendIz aJe, Barcelona, Graruca, 2004] .
9. Ingeniería de una cultura de la seguridad
blemente medido en función a la tasa de accidentes con pérdida de jorna-
das de trabajo por millón de horas/hombre) que empieza a repasar los com-
ponentes culturales que hemos examinado hasta aquí. Sí -puede decidir
él, o ella- , puede decirse que tenemos un sistema para informar de los in-
cidentes. Sí, disponemos de un método razonablemente justo y directo
para decidir si procede o no emprender acciones disciplinarias. Sí, en oca-
siones, hemos permitido considerable discrecionalidad a los sup ervisores
de primera línea y hemos respaldado después sus decisiones -cuando las
cosas han salido bien, por supuesto-.Y, sí, hemos implementado diversas
mejoras en la seguridad, bastante caras, sobre la base de información tanto
reactiva como proactiva, así que podría decirse que tenemos una cultura
que aprende. ¿Significa todo esto que tenemos una cultura informada, o, en
términos más corrientes, una cultura de la seguridad?
Como sabe cualquier ingeniero, montar las piezas de una máquina no
es lo mismo que hacerla funcionar.Y lo mismo es aun más verdad si cabe
en la ingeniería social que en sus homólogas mecánicas. Para contestar a
nuestro hipotético gestor deberíamos, por nu estra parte, formularle algu-
na s otras preguntas:
- ¿Qué miembros del consejo directivo tienen la responsabilidad de la se-
guridad organizativa (a diferencia de la preocupación co nvencIOnal
por la salud y la seguridad en el trabajo)?
- La información sobre la seguridad organizativa, ¿se debate en todas las
reuniones regulares del consejo, o su equivalente de alto nivel?
-¿Qué sistema, si es que existe alguno, se utiliza para valorar el coste de
las pérdidas ocasionadas por los actos peligrosos, los incidentes y los ac-
cidentes?
-¿Quién coteja, analiza y difunde la información relativa a la seguridad
organizativa? ¿Cuántos escalones j erárquicos de información separan
a esa persona del consejero delegado? ¿Qué presupuesto anual se asigna
a su departamento? ¿Qué volumen de plantilla supervisa?
- El nombramiento para un puesto relacionado con la seguridad orga-
nizativa, ¿se ve como una recompensa al talento o como un pudridero
organizativo para fuerzas agotadas?
-¿Cuántos especialistas en factores humanos y organizativos emplea la
empresa?
- ¿"Quién decide qué acción disciplinaria se impone? ¿Participan los pares
. .
y los representantes sindicales del «acusado» en el proceso de enJUl-
ciamiento? ¿Existe algún procedimiento interno de apelación?
 La ges ti ón de los gra ndes ri esgos

La lista potencial es interminable. La idea es ésta: la mera posesión de

los elementos «externos» fiuto de la «ingeniería» no es suficiente. Una cul-
tura de la seguridad es mu ch o más que la suma de las partes qu e la Com-
ponen. y aquí -perversamente tal vez, habida cuenta de lo qu e dijimos
10
al comienzo de este capítulo- debemos reconocer la fu erza del argu-
mento qu e afirma que una cultura es algo que una organización «es», más La conciliación de los diferentes enfoques
que algo qu e «tiene». Pero para que una organización logre algo que se de la gestión de la seguridad
aproxime a un estado de «ser» sa tisfactorio debe primero «tenen> sus COm-
ponentes esenciales.Y éstos, como hemos intentado demostrar, pueden ser
obj eto de ingeniería. El resto dep ende de la química orga niza tiva. Ahora
bien, utilizar y h acer - especialmente en una organización técnica- con-
du ce a pensar y creer.
RETORNO A LA DISTINC IÓN ENTRE ACCIDENTES INDIVIDUALES
Por último, m erece la pena m encionar aquí que si usted está conven- Y ORGANIZATIVOS
cido de que su organización posee una buena cultura de la seguridad es casi
seguro que se equivo ca. Como el estado de gracia, una cultura de la segu- REC IENTEMENTE HE PUESTO A PRUEBA algunas de las ideas de este libro con
ridad es algo que uno se esfu erza por alcanzar, p ero que raramente se logra. profesionales de la seguridad que se enfren,tan a las realidades CO tI~lal~S
Como en el caso de la religión, el proceso es m ás importante que el pro- de la exploración y la produ cción de p etroleo en el M ar _del Norte, ~
du cto. La virtud - y la recomp ensa- consisten en la lucha, más que en odo qu e soy consciente de que existe caSI un abIsmo entre su ac tual fo
su resultado.
m
calización en los accidentes co n danos _ persona1es y 1m énfaSIS _ en los I-enr
- "
compar acron, I'nfi-eCllentes- accidentes orgamzatlvos
, a gran r-
d 1escala , Po
su u esto , los profesionales son plenam ente co nSCIentes : ~s p e Igras
ec~nómjcos, co_m~
POST SCRÍPTUM: CULTURA NACIONAL
humanos y medioambientales que _supon: n catastrafes
Toda cultura organizativa está co nfigurada por el co ntexto nacional donde la de Piper Alpha, pero durante los últimos 15 anos, mas o menos, el_PIll~
radica -y es to es especialmente cierto en el caso de las organizaciones ' 1 paral11.e
Clpa ' t r-o de evalllación
" de la seguridad en" la mdustna p1etralera, '
multinacionales-o El alcance de este capítulo excluye Ocuparnos de las di- COlTlO en m uchos otros ámbitos de alta p eligrosIdad, han sIdo 1 os abc~I;
ferencias entre las culturas nacionales. Sobre es te tem a, rernito al lector a dentes con p érdida de Joma , d as d e tra b'
aJo por- 1nillón de horas/10m
-1 re ,
los libros germinales de Geert Hofs tede 46 . Aconsejo viva mente también En consecu encIa, ' parece oportuno,
- en es te capítulo final, retomar
,._ a cues-
al lec tor interesado qu e consulte el trabaj o de Robert Helnu'eich 47 y sus tión, examinada muy brevemente en el capítulo 1, de las dIferencIas entr e
colegas de la universidad de Texas, y el de Najmedin M eshkati 48 , de la los accidentes individuales y organizativos. ' _ 'd
Universidad de California del Sur. Otro problema que es necesario afro ntar es la creenCIa, compartI a
por nlu c1lOS ges t or-es te' CIU'COS , de que la principal amenaza para la mte-
ridad de sus activos radica en las deficiencias comportamentales y mo-
g , 1 del p ersonal situ ado en «primera línea» , Para ellos, la tan
tlvaClOna es " , ' r dos en
manida estadística según la cual los errores humanos estan lmp lca
46. G. H ofstede, op. cit. 1994.Véase tambi én G. Hofstede, Cllltllrd COl/seqllellces: In ter-
natiolla! D{tJereuces in f!f/ork-Re!ated f¡(¡!¡¡es, BeverJy Hills, CA, Sage PubJications, 1980.
47. R . L. Helmreich,A. Merritt y P. Sherman, "Research project evaluates th e efJect , a A n dy Pea rcpe,
- de Shell
of national cul ture on fli ght crew behaviour», {C.~o j Oll l'lla!, 51,1996, pp. j 4-16 (y mu chas 1, Estoy particularm ente agradeCIdo _ d Expro,
Gas poar Richard Clark,
hacer posibles
otras fue ntes). de BP E xp Iorat'10 11 , y a Rob Pinchbeck
. 'de.
Atl antlc ower an "

48 . N. M eshkati, "Cultural f.1c tors infl uencing safety need to be addressed in design estos y otros valiosos contactoslcon lo~ pr~~~I~;l~~~~aio resulta en una ause ncia de éste,
2, C uando un pe1JlllclO re aCiana o. "
and opera ti on of techn ology», {CAO j Olll'lla!, 51, 1996, pp, 17-1 8 (y mu chas otras fuentes) , usualmente durante más de uno o dos dJas.
 La gestió n de los grandes ri esgos
el 80- 95%.
de
.
todos los su cesos adversos significa, por lo gen eral , que 1
causas pnnclpales de todos los accidentes son la ineptitud humana in di-
v~dual y las acciones equivocadas. Cuando buscan la ayuda de un espe-
CIalista en factores humanos, lo que esperan es alguien o algo que «arreale»
los orígenes psicológicos de estas conductas desviadas e indeseadas . P:ro
esa demanda - como con60 que haya qu edado claro- va a contraco_
rriente del m ensaj e principal de este libro: los lugares de trabajo y las
orga mzac~ones son más f.kiles de ges tionar que las m entes de los trabaj a-
dores mdlvlduales . No se pu ede cambiar la naturaleza humana, p ero se
pueden cambIar las condiciones en que trabajan las p ersonas . En una pa-
labra, las solucIOnes a la mayoría de los problemas de actuación humana
son técni cas, m ás que psicológicas.
Otra forma de emp ezar a resolver estos aparentes conflictos es reco-
no cer que existen tres modelos distintos de gestión de la seguridad -el
modelo personal, eImodelo de ingeniería y el modelo organiz ativo-- y que
cada uno de ellos tIene una perspectiva diferente sobre el error humano.
D eborah Lucas, que ahora trabaja para el ConlÍté Ej ecutivo de Salud y Se-
gundad del R emo Umdo, fu e la primera en proponer esta importante
distinción 3 .
El obj etiv o principal de es te capítulo final es mostrar que, a pesar de
sus dIferenCIas en cuanto a tradición, énfasis y dominios de aplicación, no
hay mnguna razón para que estos diversos modelos y sus prácticas aso-
cla~as no puedan coexistir armónicam ente en una mism a organización
- sIempre que se reconozcan los puntos fuertes y débiles de cada enfoque.
TRES ENFOQUES DE LA GESTIÓN DE LA SEGURIDAD
El modelo personal
El enfoque tradicional de la seguridad laboral ej emplifica el modelo p er-
sonal: el acento principal recae en los actos peligrosos individuales y en los
3. D. A. Lucas, «Wise m en learn by o th ers' harl11s, fools by their own: o rga niza ti onal
barners to learmng the lesso ns fi:ol11 m;ti or accidents», ponencia presentada al Safety & Re-
liabih tySooety SymposlLl ll1 so bre «Safety & R eliabili ty in the '90s: Will past exp erience
01: predlctlO~l l11eet O L![ needs?», 19- 20 de septiembre de 1990, Altrincham , M anchesteI.
Vease tambl en D.A. Lucas, «Understanding th e hum an fac tor in disasters», Interdisciplinary
SC/ el'lce R evlews, 17, 1992, pp. 185-190 . Véase asimism o Center fo r C hemical P rocess Sa-
fety, G llldehnesJor Preven/il'lg HI./I'I/al'l Error in Process Saje/y, Nu eva Yo rk, Center for C he-
nu cal Pro cess Safety of the Ameri ca n Institu te of C hemi cal E ngineers, 1994, pp. 44- 101 .
286
ro. La co nciliació n de los diferentes enfoq ues de la ges tió n de la seguridad
~ accidentes con daños personales. Este e¡úoque ve a las p ersonas COlT10 agen-
tes libres capaces de elegir entre el comportamiento seguro y el peligroso.
Eso significa que se percib e que son factores psicológicos como la falta
de atención o de m emoria, la desmotivación, la falta de cuidado, la falta de
destrezas de conocimiento o de experiencia, la negligencia y, en ocasiones,
la tem eridad dolosa los qu e dan forma predominantem ente a los errores.
Sus principales aplicaciones se dan en sectores donde la interacción con las
amenazas es muy próxima. Por ello, es el modelo de aplicación más exten-
dido de los tres. Es también el e¡úoque con una historia más larga, que se
remonta hasta los inicios de la industrialización. Su gestión suele corres-
ponder a departamentos y profesionales de la seguridad, si bien - en fec has
más recientes- se ha hecho más hincapié en la responsabilidad personaL
Las contram edidas más amplian"lente utilizadas son las campañas de
p asquines «que apelan al miedo», las recompensas y los castigos, la audi-
toría de los ac tos p eligrosos , la redacción de un nuevo protocolo, la
formación y la selección. Las mejoras se miden m ediante indicadores es-
tadísticos de daños p ersonales, como fallecimientos, accidentes con p ér-
dida de jornadas de trabajo, casos que precisaron tratamiento médico, casos
de primeros auxilios, etc. A m enudo, se fundam enta en la visión de las
causas de los accidentes com o un «iceberg» o una «pirámide» . El análisis
de Frank Bird sobre 1753498 accidentes, de los que informaron 297 em-
presas qu e representaban a 21 sec tores in dustriales diferentes, propor-
cionó la base empírica de tales creen cias 4 . Su estudio produjo la razón
1:10:30:600 (véase abaj o), ampliamente utilizada h oy, aunque también se
emplean otras razones comp arables :
- 1 herido grave o de importancia.
-10 heridos leves .
- 30 accidentes resultantes en daños a la propiedad.
- 600 incidentes sin heridos o daños visibles.
El modelo de ingeniería
El modelo de ingeniería se origina en la ingeniería de la fiabilidad, en la
ergononúa tradicional (yen su variante moderna, la ingeniería cognitiva),
en la gestión de riesgos y en la evaluación de la fi abilidad humana.Ve la
4. F Bird JI. , Practica! L oss COI·/tro! Leadership, Lo ngaville, GA, Internatio nal Loss Co n-
trol Institute, 1969 .
 La gestión de los grandes ri esgos
s~gt.l,ridad como, algo que hay que «instalar» en el sistema mediante inge-
mena y que, allí donde se pueda, debe cuantificarse con tanta precisión
como sea posible.Vale decir que se centra en la fiabilidad del sistema pro-
ducto de la ingeniería, con fi-ecuencia expresada en términos probabi-
lísticos. A diferencia del modelo personal, los errores humanos no se
consideran simplemente el producto de lo que ocurre entre las orejas del
mdlvlduo, smo como algo que emerge de los desajustes entre el ser hu-
mano y la máquina, o a causa de una pobre ingeniería humana -es decir
porque los diseii.adores del sistema no fueron capaces de adecuarlo acer~
tadamente a los puntos fuertes y débiles de sus controladores humanos-
Típicam ente, este modelo enfoca su atención en cómo las características'
del lugar de trab;0o o, más específicamente, las propiedades informacio-
nales de la intelfaz ser humano-máquina influyen en la actuación de los
operadores de primera línea -por ejemplo, operadores de salas de con-
trol, pilotos, etc.-. Traté con cierta extensión estos temas en el capítulo 3,
en el contexto de la «automatización chapucera ».
Fueron la industria de la energía nuclear, las fuerzas armadas, las agen-
cias espaciales, la industria de procesamiento químico y la aviación -terre-
nos en los que la seguridad del sistema depende de manera determinante
de la fiabilidad de un pequeño número de controladores humanos-
quienes inicialmente impulsaron esta línea de investigación. Más recien-
temente, no obstante, su ámbito de aplicación se ha visto muy ampliado
debido a la obligatoriedad legal de que las empresas de petróleo y gas pre-
senten evaluaciones formales de la seguridad como parte de sus reco-
mendaciones de seguridad (véase el capítulo 7). Las aplicaciones prácticas
de este enfoque incluyen: estudios de la operabilidad de las amenazas ~1a­
z ard operability studies, HA ZOPS), estudios de análisis de riesgos (haz ard analy-
sis studies, HAZANS) , evalua ción probabilística de riesgos (probabílistic l'ísk
assessment, PI~), auditorías técnicas de la seguridad, estudios de fiabilidad
y mantenibilidad (¡'eliability and maintanibility studies, RAM S) , análisis de fia-
bilidad humana ~1Ul'l1an reliabílí ty analysís, HRA) , análisis de tareas cogniti-
vas, directrices ergonómicas, bases de datos y la aplicación de sistemas de
apoyo a la toma de decisiones. Pueden encontrarse excelentes exposicio-
nes de la naturaleza y aplicaciones de estas herramientas en varios textos
recientes s.
5. E. Hollnagel, Hu man Re/iabi/it)' Ana/ysis: Conlext a/1{/ Control, Londres, Academic
Press, 1993; Center for C henll cal Process Safety, Oj!ocit.; A. I. Glendon y E. F. McKelm a,
HUl/lal/ Sqfety ami Risk Managelllel/t, Londres, Chapman & Hall, 1995; B. Kirwan , A GI/ide
to Practlcal Human Re/iabilit)' Assemne/lt, Londres, Taylor & Francis, 1994; E. M . Doug-
288
10. La co nciliación de los difere ntes enfoq ues de la gestión de la seguridad
El modelo organizativo
Si el modelo organizativo, el más reciente de los tres, tiene algún vínculo
disciplinar, probablemente sea con la gestión de crisis. Aunque a sus prac-
ticantes no siempre les resulte patente, este enfoque tiene sus orígenes in-
telectuales en dos libros. El primero, Man-Made Dísastel; del fallecido (y
muy añorado) Barry Turner, publicado en 19786 . La segunda influencia
fundamental fu e Accidentes norrnales, de Charles Perrow7 . En retrospectiva,
debe acreditarse también al Honorable Peter Mahon por su extraordina-
rio informe sobre la tragedia del Monte Erebus, ocurrida en 19798 . Como
ha señalado Neil ]ohnston, el Informe M ahon se adelantó 10 años a su
épo ca 9 . La mayoría de los accidentes que han conformado nuestro pen-
sami ento actual sobre los factores organizativos aún no habían sucedido.
Como vimos en el capítulo 8, el extenso informe del juez Moshansky
sobre la tragedia de Dryden ha conferido un respaldo más reciente al en-
foqu e organizativo lO .
El modelo organizativo contempla el error humano más como una
consecuencia que como una causa; en buena medida, los errores son sín-
tomas qu e revelan la presencia de condiciones latentes en el sistel11.a en ge-
neral; son importantes sólo en tanto en cuanto afectan negativamente a la
integridad de las defensas. El modelo subraya la necesidad de m edidas pro-
activas de «salud de la seguridad» y de continuas reformas de los procesos
básicos del sistema. Todo esto tiene mucho en común con la gestión de ca-
lidad total; de hecho, el modelo organizativo difumina deliberadamente la
distinción entre los factores relacionados con la seguridad y los deterrni-
nantes de la calidad: a ambos se los juzga importantes para aumentar la re-
herty Jr. y J. R. Fragola , HI/lllan Reliabilily AI/alysis: A S)'slel/Is E/'Igil/ eering Approach I/,il/¡
N I/clear POllJer Plant Applications, Nueva York , Wiley, 1988.
6. B. Turner, Man-Made Disasler, Londres, Wykeham, 1978. E n la actualidad , el doc-
tor Nick Pidgeon, de la Universidad de Gales, en Bangor, está preparando una segunda
edi ción .
7. Charles Perrow, Nonna l Accidellls: LiIJil'¡g wit/¡ Higll-Risk Tecl111010gies, Nueva York,
Basic Books, 1984 [trad. cast.: A ccidentes normales. COI'I/JÍlJir con las temologías de alto riesgo,
Modus Laborandi , M adrid, 2009).
8. R eporl oJ I/¡e Ro)'al Commissiol/ to Inq/lire into t/¡e Cras/¡ 01'1 i\lIol./I11 Erebl/s, Anlarlica oJ
a D C-1 OA ircraJt Oj!eraled by A ir NellJ Z ealand Limiled, Wellington, 1981 .Véase tambi én G.
Vette, III/pact Ereb/ls, Wellin gto n, Aviation Consultants Ltd, 1983 y S. McFarlane, The Ere-
bl/s Papers, Auckland, Avon Press, 1991.
9. D. Maurino, et al., Beyol/d Avialion HIIII/an Factors, Aldershot, Avebury, 1995, pp. 30-56.
10.V P. M oshansky, Cornrnissioll oJ [lIql/ir)' il/lo Ihe Air Ol/Iario Cras/¡ al Dr)'dm, 01'110-
rio. Final Report, vol. :1 , Ottawa, Ministry of Sup ply and Se rvices, 1992.
 La gestión de los g randes riesgos
ID. La conciliación de los diferentes enfoques de la gestión de la seguridad
sistencia intrínseca del .
'. sIsten1a a sus anlena ' .
consIdera Implicados en los'd zas operatIvas y a ambos se 1 - Riesgos debidos a la insidiosa acurnulación de condiciones latentes dentro de las
E h acCI entes orgal1Izativos Os
. .n muc os aspectos, el modelo or a " . esferas del mantenimiento, la gestión)' la olganiz aáón. Estos riesgos están es-
pliacIón del modelo de inge ..' g I1IZatIvo es slI11plemente una an
'1 L ' l1Iena y no es el b l ' l- trechamente asociados con sistemas que poseen varias defensas dis-
e. os desajustes ser humaIlO ' . 1 a so uto lI1compatibl e co
puestas en profundidad. Como vimos anteriormente, el resultado
. . ' -maqulI1a se c 'd' n
SlOnes preVIas, tomadas en 1 al . onsI eran resultado de de .
os , tos I1Iveles d 1 . CI- indeseado es la rotura o elusión de las defensas decisivas, lo cual pone
madas, a su vez, por factores d , e sIstema, que están confo r _
a las amenazas (que no necesariamente han de causar daños físico s) en
regulación y la sociedad. e mayor amplItud relacionados COn la
contacto petjudicial con personas o activos, provocando pérdidas. En
Este Iibro ha oti'ecido una combinación d este caso, puede producirse incluso la destrucción de toda una instala-
y orgal1Izativo, con un énfasis alg e los enfoques de ingeniería
d 1 d o mayor en el d ción o un sistema. Son los accidentes organizativos por antonomasia.
e to o evidente que ambos SOl . segun o. No obstante es
, d 1 necesanos p , ' - Riesgos para terceros. Son riesgos que amenazan las vidas, el sustento y el
gIa e los accidentes organiz t' . .ara comprender la etiol o_
a IVOS y para lInut '1 ti bienestar físico y mental de individuos no directamente empleados por
suce d en y su gravedad D d ' . ar a 'ecuencia con qu
d . on e SI eXIste confli e la organización, así como la probabilidad de que sus activos, o el medio
elos y el enfoque, en gran arte diri . cto es entre estos dos mo-
ldo ambiente en general, sufi-an pérdidas o daños. Tales «terceros» inclui-
sionales tradicionales de la sePgU ,'d d 1gb a los lI1dividuos, de los profe-
. r I a a oral SI b rían a los pasajeros, los pacientes, los inversores, los contribuyentes, las
estas dIferencias son una cuestión de " . n em argo, con fi-ecuencia,
CltcUnstanCIas, no sustanciales. personas que viven en la vecindad de una instalación de alta peligrosi-
dad o, en realidad, cualquiera que pueda ser afectado adversamente por
ÁREAS DE RIESGO PRIMARIAS el funcionamiento de una tecnología concreta, por una actividad fi-
nanciera (por ejemplo, la banca, los seguros, la gestión de fondos de
En toda tecnología de alta peligrosidad . , pensiones y similares) o por los servicios públicos (por ejemplo, las fuer-
nesgo, cuya significatividad nat 1 eXlste~l cuatro areas primarias de zas armadas, las fuerzas de seguridad, etc.).
. ' ura ITIente, vana de un sector a otro Estos cuatro tipos de riesgos pueden clasificarse en dos grupos. Los
- Riesgos d d - . .. '
e anos o pel]uIClos personales Est' . riesgos de petjuicios personales se identifican estrechamente con los ac-
en las que la fuerza de traba' " an asoCiados con actividades
~o esta en estrecho cidentes individuales y el modelo personal. Los otros tres tipos de riesgos
nazas. Los resultados indeseabl . contacto con las ame-
mitado de algún activo E . es : on un trabajador herido o el daño li- están todos asociados con los accidentes organizativos y constituyen la
. n I1Ingun caso SlI1 emb' . l' preocupación principal tanto del modelo de ingeniería como del modelo
extensos en una instalación l" argo, UTIp Ican daños
'b '
d escn lI110S estos episod' o en e sIsten1a
.
en g 1 E
en era . n el capítulo 1 organizativo.
lOS como aCCidentes ' di .d
tan a trabajadores individuales o a el lI1 VI uales, porque afec-
material. ementos lI1dlVlduales del equipo
LA PREPONDERANCIA DEL RIESGO EN DIFERENTES ÁMBITOS
- Riesgos debidos a errores cometidos .
E" . .. por controladores 1 d .
stan aSOCiados más estrecha .. CalJe e pnmera línea. Todos estos riesgos están presentes, cuanto menos en alguna medida, en
ITIente con aquello .
mas ) en los que el Cont' l ' . s SIstemas (o subsiste- todas las operaciones de alta peligrosidad -en este sentido, los tres mo-
10 esta centralizado e 1
mente pocos individuos E l . n as manos de relativa- delos de gestión de la seguridad pueden aplicarse a todas ellas-; pero al-
1 '. . n os sIstemas mode ' .
a actIvIdad de control t, ' . rnos, caSI con seguridad gunos riesgos predominan sobre otros, y su proporción relativa varía de
es ara automatIzada en al . '
sul tado no querido p d " , . guna medIda. El re- un sector a otro (véase la tabla 10.1). Además, esa preponderancia no viene
_ o na ser un aCCidente or . . ..
senalamos anteriormente es iI 'b bl gal1Izatlvo SI bIen, como dada de una vez y para siempre por la naturaleza del sector; puede variar
, l1pro a e que UI .
na como resultado de 11 1 1 Suceso Senlejante ocu- a causa de nuevos desarrollos tecnológicos e incluso sociales. Las técnicas
n so o error 'd
radores. COmetI o por uno o varios ope-
avanzadas de fabricación, por ejemplo, han desviado la preocupación de
los deslices, lapsus, tropiezos o torp ezas de los trabajadores individuales

291
 La ges ti ó n d e los g ralldes
<
.'
lIesgos
10. La co n cili ació n de los difere n tes e n foq u es de la ges ti ó n d e la seguri da d
en la ca dena de prod .,
UCClOn conven cional 1
po cos op eradores clave q . ' a os costosos errores de La historia de la tecnología moderna es rica en ej emplos en los que
El ' ue programan 1 h ' unos
b n os hospitales, las mayores preocu .as erranu entas informatizadas nuevos descubrimientos han pillado a los gestores de riesgos a contrapié.
Ienestar de los pacientes y 1 . P: Clones fu eron en otro tiemp l' En los sistem as de transporte, pongam os por caso, el énfasis se ponía tra-
a protecclOn d I O e
con las enfermedades pero l'¡lt ' e p ersonal frente al Conta t dicionalmente en la seguridad de los pasaj eros o la carga y en los riesgos
1 ' unamente 1 b' co
a os ges tores de rieso-os a t0111~ . . os cam lOs sociales han forzod qu e suponía la falibilidad del personal situado en primera línea -los pi-
1 b . ,,1 en consId . . , 1 " o
n en e creciente número de agresione fi . ela ClOn os p eligros que supo_ lotos, los m aquinistas y las tripulaciones de los buques-oSólo en fechas
de la sa nidad . s SlCas que suti-en los trob1i d
a ,~ a ores relativam ente recientes, por ejemplo, se han p erca tado las aerolíneas de los
riesgos asociados al mantenimiento o de las enormes pérdidas derivadas de
los daI10s que suti-e el personal de tierra - y que en algunas grandes aero-
Tabla 10.1 líneas estadounidenses ascienden a 30 millones de dólares al aI1o-. Hizo
Comparación de las estimaciones de cuatro tipo d . falta el desastre de Clapham Junction para que British Rail fu era co ns-
e n d'fc '
1 erentes ambitos
s e n esgo
<

ciente de los riesgos asociados al trabajo técnico en el sistema de se11aliza-

Sector de operación
Riesgos de daños
Errores de ción, y sólo a consecuen cia de él empezó a registrar los accidentes con
p ersonales Condiciones
operadores Riesgos para daI10s perso nales que sufría su personal de infraestru cturas (por ej emplo,
latentes terceros
clave
Generación eléctri ca los operarios de m.a niobras y los trabajadores que se ocupan de las vías); y,
muy b;tio
nuclear alto alto sin embargo, se trataba de una organizació n con 160 aI10S de tradición en
(en estado normal) Oluyalto
Plantas de proceso innovación en m ateria de seguridad tanto en la esfe ra de la ingeniería
b;tio-moderado
gUÍJn ico alto alto como en la humana (donde humano equivalía a condu ctor o guardavías).
(en es tado normal) mu y alto
Avü ción COJ11ercial Sólo durante la p asada déca da ha llegado el sector de la energía nucl ea r a
moderado-alto
alto alto darse cuenta de los ri esgos asociados a las circunstancias de baj a p otencia
(personal de tierra) muy alto
Ma nu factura avanzada
muy b;tio
o de parada; la formación y los procedimi entos de los op eradores de las
alto alto variable salas de control estaban dirigidos casi exclusivam ente a manej ar em ergen-
Exploración y
alto
cias en las situaciones, más típicas, de pl ena potencia. Hizo falta la tragedi a
producción petrolífera alto alto muy alto de la estación de m etro de King's C ross p ara revelar qu e las estaciones, al
Transpo rte marítinlO
alto igual que los trenes, podían ser lu ga res p eligrosos para los pasaj eros y para
alto alto mu y alto el p ersonal. E hizo falta el Informe C ullen para qu e las empresas del pe-
Ferrocarriles tróleo y el gas del M ar del Norte se ap ercibieran de las técnicas de eva -
alto
alto alto
(infraestru ctura) alto luación formal de la seguri dad, a pesar de que hacía tiempo que eran un
Constru cción elem ento ca rdinal de la agendd de la gestión de riesgos en las fuerzas ar-
mu y alto
moderado-alto alto aJto m adas y en los sectores de la energía nuclear y el proceso químico.
Minería El riesgo es fimción de la probabilidad de qu e ocurra un suceso y de la
llJ uyal to
moderado-al to alto b;tio- posible extensión de su resultado nega tivo. Las estimaciones qu e ofrece
Medi cina moderado
moderado la tabla 10.1 varían mucho a tenor de las diversas m aneras como pu ede ob-
mu y alto alto mu yaJto tenerse una calificación de alto (o muy alto) riesgo. En la columna de ac-
Servicios fi nancieros
lUuy b;tio
muy alto
cidentes personales, por ej emplo, las consecuencias lesivas de un suceso
alto alto adverso se lim.itarán habitualmente a un individuo, a un pequeúo grup o
Estadios deportivos y
control de masas
alto
alto o a su entorno inmediato. Aquí, la calificación de alto ri esgo se asigna m ás
alto aJto sobre la base de la prob abilidad qu e del resultado - que, por supues to,
dependerá también del número de víctimas potenciales-o Pero el hecho

293

La gesti ón de los grandes ri esgos
inverso es cierto para, digamos, la evaluación de «muy altO » riesgo adscrita
a los riesgos para terceros asociados con la generación de electricidad em-
pleando energía nuclear. Aquí , la probabilidad de una fu ga radiac tiva im-
portante es sobremanera pequeI'i a, pero sus consecuencias adversas, en el
p eor de los casos, serían verdaderamente terribles.
Incluso si los lectores discrepan de las estimaciones de riesgo concre-
tas que ofrece la tabla 10.1, hay algo que continúa siendo dificil de cues-
tionar: hay m enos variabilidad entre los distintos sectores en los riesgos
asociados a las condiciones latentes que en los otros tipos de riesgos. En
este aspecto, el riesgo de todos ellos debe evaluarse, al m enos, como «altO».
D escubrir las razo nes no es dificil. Cuanto m ás se alej a uno del espacio de
las operaciones de primera línea, m ás parecidas se tornan las organizacio-
n es. Los sistem as técnicos, del tipo que sea, comparten inevitablem ente
gran número de procesos ordinarios: previsió n , planificación, programa-
ción temporal, elab oració n de presupuestos, esp ecificació n del nuevo
equipo (y, en o casiones, su diseilo y construcción) , operación, m anteni-
nuento, gestión, comunicación, etc.Y es en el seno de esos procesos donde
se siembran las semillas de los desastres futuro s - sin importar el sector- o
En resum.en , todos los ámbitos de alta p eligrosidad comparten la amenaza
de los accidentes orgaluzativos, nuentras que sus riesgos de accidentes in-
dividuales son extrem adam ente variados. A p esar de ello, el modelo per-
sonal sigue siendo el enfo que m ás utilizado en la gestió n de la seguridad.
Además, con resp ecto a la aplicación y utilidad del enfoqu e p ersonal,
por un lado, y de los enfoques de ingeluería y orgaluzativo por otro, existe
una m arcada asimetría: estos dos enfoques pueden aplicarse de forma útil
a la linutació n del riesgo de dú ios p ersonales (y, p or lo tanto, prevenir ac-
cidentes individuales), mientras qu e el modelo personal no sirve en ab-
soluto para responder a los riesgos de error de op eradores clave, o
deriva dos de condiciones latentes, o para terceros -todos los cuales p er-
tenecen netam ente al área de los accidentes organizativos- . D e h echo, su
predonuno en la m ente de much os gestores téClucos sup o ne un induda-
ble obstáculo p ara la m ejora de la seguridad. Aplicados a los riesgos idó-
neos, este enfoque y sus herramientas h an demostrado ser valiosos. La
dificultad reside en que algunos directivos son incapaces de re cono cer
que existen o tros tip os de riesgos y otras herranuentas para hacerles frente.
C uando todo lo que tienes es un martillo, casi todo lo que ves te parecen
clavos. O, para expresarlo m ás directam ente, cuando el modelo personal
es el único enfo que con el que uno se siente cómodo, todos los proble-
mas parecen ser problem as concenuentes a alguna p ersona.
294
10. La co nciliación de los diferentes enfoq ues de la gestión de la seguridad
¿Por qué es tan seductor el m o delo perso.nal? M ere:e la pena ech~r un
vistazo a algunas de las razones de la extendida atracClOn que despierta el
enfoqu e personal de la gestión de riesgos:
_ Existe desde hace m.ucho tiempo. La m ayoría de los altos directivos ha
desarrollado su carrera en este paradigm a y se siente a gusto con sus
doctrinas. Para muchos gestores, gestión siglufica «gestión de personal»,
de modo que el enfoque orientado a la persona se ajusta a la descnp-
ción del puesto. . ..
_ Algunas orgaluzaciones, notablem ente Du Pont, han temdo ~l~ vlSlble
éxito en la consecución de unas tasas de aCCIdentes COl~ p erdida de
jornadas de trabajo por nullón de h oras/ hombre muy b aj as . En 1990,
po r ej emplo, los accidentes con pérdida de Jornadas de trabajo (que
im.plicaron ausen cia del trab ajo durante n"lás de un día) por ca da
200 000 horas de exposición, en sus ram as global y europea, fuer~ n de
O 03 2 y O 023 respectivam ente; esto es, 0,16 y 0,12 por nullon de
h~ras/hon~bre, o 0,32 y 0,23 por cada 1000 empleados. A Du Po nt se
la considera, con justicia, líder del m ercado en este aspecto,. y vanas
comparuas importantes han intentado emular, sus logr~s, espeClalmel~te
en el sector de la explo ración y la explotacion petrolífera. Estas cifras
prop orcionan un obj etivo muy claro al qu e apuntar ; y unas metas tan
bien definidas son bienve nidas en el, a m enudo, b astante nebuloso
asunto de la gestión de la seguridad. .
_ Es mucho m ás fácil atribuir la respo nsabilidad legal de un aCCIdente a
los actos peligrosos del personal situ ado en «primera lín.ea»~ ya que es
n1.UCh o n13's 1:'
lacil pr-obar-la
' conexión entre esas aCCIo nes mdlvlduales
, .y
el resultado desastroso que cualquier posible nexo entre este y de:l-
siones previas de la dirección -véase, por ej emplo, la fallida acusaCl~n
co ntra los directivos implicad os (por la C omisión de Investlga~lOn
Sheen)11 en el caso del hundimiento del Herald 0 1 Free Entelpnse - .
En este proceso, el ju ez Turner orden ó al jurado ex culpar a los acusa-
dos incluso antes de qu e la defensa expusiera su eVidenCIa, afirmando
qu e n o existía evidencia directa de que (<una p ersona razonablem ente
prudente» que ocupase el pu esto de cualqmera de ~os acusados l: u=
biera percibido que el riesgo era obvIO o grave. N o era sufiCiente, ana
11. B. Sheen, IvI. V Hemld oJ Free Enterprise. R eport oJ CO llrt 11 . ' 8074, D epartment of
Transport Londres, H MSO, 1987. I l ·d d t 20
12. N: Cohen, "Zeebrugge manslaughter prosecuti on collapses», ~ ·, e 1/. . epe/l en,
de octubre de 1990.
295
 La gesti ón de los grandes riesgos
10 . La conciliación de los diferentes enfoq ues de la gestión de la seguridad

dió, con hacer pa tentes los fallo . ,

s, S1l10 que h abla que d
acusados habían obrado COl1 te -'d d N ' emostrar que los ¿PUEDEN PREDECIRSE LOS ACCIDENTES ORGANIZATIVOS A PARTIR
m ell a o era d . 'bl
denar p or homicidio a una e _. a nUSI e, afirmó, COn- DE LOS DAÑOS PERSONALES?
, , mpr esa m erced a la .,
actos de unos individuos cuy ' , a gregaclOn de los
. as accIO nes no fu eron ,.
m eran as . En este punto la legO 1 . , . 1 en SI 111ISn1as te- Para mantenernos fieles a los argumentos básicos expuestos en este libro
., ' IS aClOn Ino- esa contrad ' 1
d aClOn emitida en 1988 por el e . b ' Ice a recon1en_ deb emos estar bien dispu estos a reconocer que fa ctores organizativos y de
onseJO d e Europa 1 .
que 1os actos individuales sí d b _' en e sentido de gestión «corriente arriba» de la organización constituyen la raíz tanto de
_. . . e ellan aCLlIl1ularse cuand _ .
r1I11Ir SI una empresa ha comer" d c~ I . o se trate de di- los accidentes individuales como de los organizativos. Ambos tipos de su-
_ C. 1 o una l,uta o un delito
omo menCIOnamos ya en el ca ítulo 7 . cesos se deben a condiciones latentes.
nuestra libertad personal o a l il P , d ' con cedemos un alto valor a No es dificil encontrar ej emplos de dat'íos personales que tuvieron cau-
, , a USlOn e nuestro libre alb d ' p
qu e también se lo atribuimo. ' e no. uesto sas organizativas. En su excelente libro Al'/. Engineer's View oJ Human Error,
s a otros, teneIl10S una ti d
a asumir que los actos pelio- _ . ' uerte ten encia Trevor Kletz l4 divide sus capítulos en dos grupos: aquéllos en los que las
brosoS se come tieron porq 1 . d '
en cues tión eligieron seo-uir L _ d ., ue os 111 Ividuos causas de los accidentes con dat'íos perso nales fueron fallos individuales
- 1
na an10S en un apartado
b
t _.
111 Clu SO e aCClOn peli -
.
e
glOSO. omo se- (deslices, falta de habilidad, falta de motivación, etc.) y aq uellos que fueron
. ., , an euor, esto VIen e agra d - 1
atnbuClon Júndarnental-la. ' . ,va o por e error de fruto de defectos organizativos. Entre éstos están los accidentes que podrían
.. . , creenCIa Ul1lversal de .
malas acciones son malas . qu e qlll enes cometen haberse prevenido co n mejor formación, m ejores instrucciones, un disei'io
" perso nas .
- El modelo p erso nal co ncuerda también mejor, una construcción mejor, mejor mantenimiento y mejores métodos
modo como la mayoría de 1 _ muy es trechamente con el de operación.
, as personas trata d bl '
no es lugar para embrollarnos 1 fil fi' e esta ecer causas. Este Si tanto los accidentes individuales como los organizativos hunden
en a oso a de la l'd d
rece la p ena tomar nota de 10 1 ' ca usa 1 a , pero m e- sus raíces en procesos sisténu cos co munes, podría sostenerse qu e las tasas
. ' que os expert . _. .
dIcho sobre el tema: os enjlUlsprudenCIa h an de accidentes con pérdida de jornadas de trab~o por nUllón de horas/ hom-
bre -o estadísticas comparables de dai'ios personales- serían indica tivas
La explicación ca usal de un suceso concreto se de .
phcado por referencia a un acto d lib . d tiene cuando se lo ha ex- de la vulnerabilidad (o resistencia) del sistema a los accidentes organiza-
los antecedentes de éste cont .' e era o' en el sentid o de que mnguno .
de tivos. La cifra de dat'íos personales sufridos en un periodo dado segura-
ara
lib era do es, por tanto mu y a 111e d como ca usa del suceso U I
, , nu o un a barrera . n acto lumano de- mente ha de ser un síntoma diagnósti co de la «salud» del sistema en su
retrospecti vo de las ca usas [J 'fí. < < . < y una meta en el trazado conjunto. Por desgracia, no es así. La relación es asim étrica. Una tasa in-
. . ... es, con recuenCIa alg ' ]l ' d
retrotraemos la causa de Ul1 . ' o mas a a e lo cual no
suceso postenor y al I d usualmente alta de accidentes con pérdida de jornadas de trabajo es, casi
mos la ca usa a través de causas' t. d' go lasta ond e sí retrotrae-
<
< < 111 er me las de otras clases 13 con certeza, co nsecu encia de un sistema «enferm.o» qu e, de hecho, podría
- Finalmente, hay otros dos factores _. ser susceptible de sufrir un accidente organizativo inminente. Pero lo
macía del modelo p erson 1 1 que contubuyen a afianzar la pri- co ntrario no es n ecesariamente cierto. Una tasa baja de accidentes con
. a en a mente de much E
lI1dividual, cuando las cosas s I l a gente. n un nivel pérdida de j ornadas de trab~o (del orden de 2 a 5 por n1.illón de
. ' a en ma obtenem b
sa tisfacción emocional si p d l' os una uena dosis de horas/hombre) -como ostentan muchas tecnologías de alta peligrosidad
o emos cu par de ello a l '
a algo.y, en el nivel de 1 _ . . , . a gUlen, m ejor qu e bien gestionadas- revela muy po co acerca de la probabilidad de un ac-
. a orgal1lzaclOn eXIsten ob . .
Cleras y legales en la p 'b'l 'd d d ' Vlas ventdjas finan- cidente organizativo.
OSI 1 1 a e desacoplar 1 falibilid .
de la responsa bilidadj'urídic dI ' ,a, ad lI1dividual El problema se divide en dos partes . Primero, una tasa tan baj a y a m e-
d' . . a e a empresa. En amb _
e clrcunscnbu- la culpabilid d _ os casos, ser cap az nudo asintótica de accidentes co n pérdida de jornadas de trab~o por mi-
a a per sonas con cretas ofi-ece vent~a s _
llón de horas/hombre inco rpora más ruido qu e set'íal. En un p eriodo
13. H. LA. H art yAH·' e . .
Press 1985 p 43 . onole, al/sa/IO/'I I/'l. fhe Law, 2.' ed Oxford' Tl1 Cl .
e
d
aren on
I ) ' . ' ')
14.T. A. Kletz, An Engil1 eer's f/iew of H,.l/lIall Error, Rugby,The [nstitution of Chem.i-
cal Engineers, 1985.
296
297
 La ges ti ón de los grandes ri esgos
contable, por ejemplo, gran parte de los expedientes de accidentes con
pérdida de jornadas de trabajo reflej arán sólo cosas como que un nuem-
bro del p ersonal adnunistrativo se cayó de la bicicleta al resbalar sobre
una placa de hielo delante de la oficina y se fracturó una muñeca. En el
caso del sec tor del petróleo y el gas, por ej emplo, ¿qué nos dice es te dato
acerca de la integridad de una instalación en alta mar? Nada.Y esto nos
lleva al segundo problema. Para las muchas organizaciones preo cupadas
que han disnunuido sus episodios de accidentes con p érdida de jornadas
de trabajo a lo qu e podría ser un mínimo irreducible (dadas las amenazas
p erennes en su sector), el dato que los registra ya no será ningún indicio
de dónde acechan los peligros reales. Llegados a este punto, los sucesos sin
h eridos -como el número de fugas de material es combustibles- ti enen
una capacidad diagnóstica mucho mayor acerca de la integridad del sis-
tema en su conjunto. Son estos sucesos precursores, junto con las com-
probaciones regulares de la calidad de los procesos subyacentes (véase el
capítulo 7), los que muestran donde se localizan los mayores riesgos po-
tenciales.
Para una gestión del riesgo efectiva, el compromiso al más alto lUVel
es un requisito necesario, pero no es suficiente. De hecho, un cO!npronuso
ciego con el modelo p ersonal puede resultar contraproducente. Por ejem-
plo, el visitante de una torre de perforación (u otra instalación compara-
ble) suele encontrarse con un gran cartel anunciador que proclama que
ese lugar lleva tantos nUles de horas sin sufrir un accidente qu e haya con-
llevado p érdida de jornadas de trab;uo -muy a m enudo se trata de va-
lores muy próximos a algún umbral, como, por ejemplo, 999970 horas-o
Claramente, la inten ción de esos carteles es motivar a la fuerza de trab;uo
a mantenerse fiel a sus prác ti cas de trab;uo seguras, pero transnuten tam-
bién otros dos mensajes, m enos útiles. El primero es qu e ése es un lugar
seguro -lo qu e no es así (como m e dijo un peliorador de Texas en cierta
ocasión: «No hay una jodida cosa en este sitio con la que no te puedas
hacer daño»)-. El segundo mensaj e es : «¡Ay del sup ervisor que íl'ifol'l'ne
de un accidente con p érdida de jornadas de trabajo ahora!». Como sos-
tuve en el capítulo 6, el compron-uso necesita el complemento de las otras
dos «ces» -la competencia y el co no cinuento-. Su combinación crea
una con ciencia inteligente e informada tanto sobre la diversidad de los
riesgos como acerca de las diferentes formas de co mbatirlos .
10. La conciliación de los diferentes enfoques de la ges ti ó n de la seguridad
CONDICIONES LATENTES: EL RIESGO UNIVERSAL
Al m argen de las am.enazas que p ara las p ersonas albergue su lugar de tra-
bajo, todas las orgaluzaciones son vulnerables a condiciones latentes y al
fallo de sus defensas. A este resp ecto, el modelo orgaluzativo aquÍ presen-
tado, aunque se derive en gran medida del estudio de sucesos que pro-
dujeron daños fisicos, es relevante para todos los sectores, algo qu e, sin
embargo, no siempre se aprecia. Este problema se deb e, en p arte, a la es-
trecha asociación que existe en la m ente de muchas p ersonas entre la se-
guridad y el riesgo de dafios personales -si su sistema no está sl~eto a
padecer sucesos fisicamente dañosos, esas personas tienden a sentir la más
profunda falta de interés por cualquier cosa que lleve la palabra «segun-
dad» en el tÍtulo-o Sin embargo, como este libro ha procurado demos-
trar, los desastres fisicos y los econónucos tienen vías causales comunes: los
nusmos principios básicos y las mismas contramedidas puede aplicarse a
un banco o una compallÍa aseguradora, no n1.enos qu e a las plantas de
pro ceso quÍnuco y a las compañías petroleras.
¿HA OSCILADO DEMASIADO EL PÉNDULO?
Las críticas que acabo de expresar respecto al modelo personal no deb en
tomarse como indicativas de que el enfoque organizativo está exento de
problemas. Como hemos visto en varios puntos a lo largo de este libro, los
últimos 20 años han sido testigos de una búsqueda cada vez m ás vasta de
los orígenes de los grandes accidentes. Investigadores y analistas se han
remontado desde el resultado funesto, pasando por los ac tos p eligrosos
m ás próximos (en caso de ser identificados), el lugar de trab;uo y los fac-
tores orgaluzativos , hasta el regulador y el sistema en su conjunto -y, en
algunos casos, hasta el clima econónuco y la naturaleza de la sociedad en
general-o El diagrama 10.1 muestra dónde se sitúan algunos de estos su-
cesos de mayor importancia con respec to a dicha búsqu eda ampliada de
causas.
La pregunta que plantea el encabezanu ento de esta sección la suscita la
sospecha de que el péndulo puede haber oscilado demasiado lejos en nues-
tros actuales intentos de rastrear posibles errores y contribuciones a los ac-
cidentes, que se encuentran muy distantes, tanto en el tiempo como en el
espacio, de los sucesos mismos. El valor relativo de las varias categorías cau-
sales puede evaluarse por referencia a tres preguntas centrales en la bús-
299
La ges tió n de los gra ndes riesgos
Diagrama 10.1
M apa de las «repercusiones causales» de recientes accidentes organizativos
Moviénd onos desde el interior hacia fu era, el ce ntro de la "dian a» represe nta a los indi vidu os
en primera lín ea, el círcul o "in terioP) es el lu gar de trabaj o, el círcul o medio correspo nde a los
factores orga ni zativos, el sigui ente a los reguladores y al sistema en general , y el anillo exte rior
a los fac tores societa les.
queda de la seguridad del sistema (véase el diagrama 10.2) . ¿H asta qué
punto tomar en cuenta los fa ctores individuales, contextuales, organiza ti-
vos, sistémicos y societales úiade valor:
- a nuestra comprensión de las causas de los accidentes y otros sucesos
emparentados?
- a nu estra capacidad para predecir la probabilidad de futuro s acciden-
tes y sucesos análogos?
- (lo que es más importante) a nu estros esfu erzos correctivos para dis-
minuir su futura fi:ecuencia y gravedad?
Si bien es patente que la situación actual representa un avance signifi-
ca tivo con respecto a la irreflexiva atribu ción de todos los males al «error
humano», es necesario expresar cierta inquietud sobre la utilidad teórica y
práctica de la continua expansión de esta búsqueda de factores causales.
Hemos alcanzado, e incluso rebasado, al parecer, el punto de rendimientos
decrecientes, especialmente en lo que concierne a la gestión del riesgo.
NecesitalT10S también encontrar, un término medio factible que reconozca
tanto las influencias psicológicas como las contextuales sobre la actuación
humana, así como las interacciones entre fallos activos y condiciones la-
300
10 . La co ncili ació n de los di fere ntes enfoqu es de la gestió n de la seguridad
Diagrama 10.2
Valores relativos (altam ente especulativos) de diversos tipos de posibles factores
causales para los objetivos expli cativos, predictivos y correctivos
Valor explicativo Valor predictivo Valor correctivo
Individuos
Lugar de trabaj o
Procesos orga niza ti vos
C ultura orga niza tiva
R egulación
Sociedad
Valores relativos (especul ativo)
Los fa ctores individuales, por sí solos, son sólo de pequeilo a moderado valor para los tres ob-
j etivos. En conjunto, el lu ga r de trabajo y los fac tores organi zativos apo rtan la mayor parte del
val or ailadido. Las influ encias más remotas ti enen rendimientos decreCientes, sobre todo en lo
qu e se refiere a las co ntramedidas y a la gesti ón del riesgo.
tentes que son capaces, en raras ocasiones, de romper las defensas del sis-
tema. El capítulo 5, por ejemplo, ofreció un fuert e alega to a favor de
conceder una atención mucho más minuciosa a las actividades de mante-
nimiento. Los nlOdelos causales de los accidentes sólo pueden juzgarse por
la m edida en que sus aplicaciones mejoran la seguridad del sistema . Las
defici encias económicas y societales identificadas por Legasov -por ej em-
plo- (véase el capítulo 1) están fuera del alcance de los gestores de siste-
mas; desde su perspectiva , esos problemas están dados y son ilU11Utables .
En cambio, nuestro interés principal debe apuntar a lo modificable y lo
controlable.
ALGUNOS PROBLEMAS DE LAS CONDICIONES LATENTES
En exposiciones anteriores's, describí estas «bombas de relojería» de ac-
ción retardada como errores o fallos latentes; pero, en sentido causal, el tér-
15. J. R eason , HlIl/wl/ EITor, Cambridge, Ca mbrid ge Uni versity Press, 1990, cap. 7
[trad. cast.: El erl'or J¡III/WnO, Modu s Laborandi , M adrid , 2009].
301
La gestión de los grandes riesgos
mino «condición» es mucho más apropiado. Hart y Honoré distinguen
entre «causas» y «condiciones»: las causas so n lo que «hace que algo cam-
bie», mientras que las «m eras co ndiciones» so n:
[... ] justamente esas [cosas] que están presentes por igual tanto en el caso de
que ocurran accidentes como en el caso normal, en el que no ; y es esta con-
sideración lo que nos lleva a rechazarlas como causas del accidente, a pesar de
que es cierto que sin ellas el accidente no habría ocurrido [ ... ] citar factores
que estaban presentes tanto en el caso de un desastre como en el del funcio-
namiento normal no explicaría nada: esos factores no «hace n que algo cam-
bie»16
En el caso de un incendio, por ejemplo, una «mera condición» sería el
oxígeno del aire. En un accidente ferroviario, «serían factores tales como
la velocidad normal y la carga y peso del tren, y las paradas y aceleracio-
nes rutinarias». Las condiciones latentes que hemos examinado en este
libro no son en absoluto de esta naturaleza, pero sí están presentes en el
sistema al margen de que ocurran o no accidentes. Todos los sistemas al-
bergan condiciones latentes; el accidente simplemente las hace manifies-
tas. En una palabra, su presencia no discrimina entre estados normales y
sucesos adversos. Además, la medida en que se las revele no dependerá
tanto del grado de «enfermedad» del sistema, cuanto de los recursos de
que disponga el investigador. Cuanto más exhaustiva sea la investigación,
más condiciones latentes descubrirá.
Así llegamos forzosamente a la siguiente conclusión: sólo los sucesos
más próximos -los actos peligrosos y los desencadenan tes lo cales- de-
terminarán si ocurre o no un accidente. Si esto es así, ¿por qué debemos
contemplar en absoluto estos factores m ás distantes? H ay tres razones con-
vincentes de la importancia de las condiciones latentes:
- Indudablemente, entran en combinación con factores locales y rom-
pen las defensas. En muchos casos, consisten en la debilidad o ausencia
de defensas.
- Es posible identificar y eliminar los «patógenos» residentes en el inte-
rior del lugar de trabajo y en la organización antes de que ocurra algún
suceso adverso.
- Los desencadenantes lo cales y los actos peligrosos son difíciles de pre-
ver y es casi imposible defenderse contra algunos factores inmediatos
(por ejemplo, los olvidos, la falta de atención y otros semejantes).
16. H . Hart y A. Honoré, op. cit., p. 34.
302
10. La co nciliación de los diferentes enfoques de la gestión de la segll[idad
En suma, identificar y eliminar proactivamente las condiciones laten-
tes, a pesar de los problemas inherentes a la tarea, sigue siendo el mejor
camino para mejorar el «estado físico» del sistema. Sin embargo, éste ha de
ser un proceso constante. Así, aunque se aborde un problema, surgirán
otros en su lugar. En la guerra de la seguridad no hay victorias final es.
EL PRECIO DEL FRACASO
En el capítulo 5 tocamos la cuestión de los costes de los fallos de mante-
nimiento en la aviación comercial. Los temas analizados en este capítulo
surgieron en gran medida por impulso del sector del petróleo, por lo cual
serán los costes de las pérdidas derivadas de accidentes que afectan a ese
sector los que ocupen aquí el centro de nuestra atención. Otra buena
razón para ello es que, probablemente, el proceso de «reducción de cos-
tes» se ha llevado en este sector más lejos que en cualquier otro.
La tabla 10.2 muestra los costes financieros estimados derivados de va-
rios sucesos graves ocurridos en el sector petroquímico. Me facilitó estos
datos Eric Brandie, director de prevención de pérdidas de Chevron UK
Ltd 17 •
El H SE y Chevron llevaron a cabo un estudio conjunto de evaluación
de pérdidas durante 13 semanas de funcionamiento normal de una de las
plataformas de la compañía en el M ar del Norte. Aunque no hubo nin-
gún incidente grave en ese periodo, los costes acumulados derivados de
toda una panoplia de pequeiios incidentes que entraban en una u otra
categoría de clasificación ascendieron a un millón de libras, dato que, pro-
yectado para todo el año en ese yacimiento, se elevaba a cuatro millones
de libras -el equivalente al cese de actividad de la plataforma durante un
día a la semana a lo largo de todo el año.
En 1993, el H SE estimó que por cada libra que se recuperaba gracias a
los seguros, una amplia variedad de otras pérdidas financieras añadían a la
factura final entre cinco y cincuenta libras más. Como en un iceb erg, por
cada libra visible (recup erada cobrando los seguros), los costes indirec-
tos sumergidos bajo la superficie podían alcanzar hasta cincuenta veces
esa suma. AqUÍ están incluidos:
17. E. F Brandie, "The cos t of accidents - an operator's view» , ponencia presentada en
la Safety Co nfere nc e de 1996 "People & C hanges, Costs & C hallenges», Institute ofPe-
trol euI11 , Londres, 26 de septiembre de 1996 .
30 3
 La ges ti ó n d e los g randes riesgos
lO. La co n ciliación de los diferentes enfoqu es d e la gestión de la segu r idad

, . Tabla 10.2
Perdidas financieras suEi'idas por la indLSt .· . ,. y a éstos habría que aJ'íadir intangibles como el daño a la reputación
i !la p e tlOgulll11Ca a consecuen cia
d e Su cesos g raves de la compañía (que probablemente se reflejará en el valor de sus accio-
Suceso País
nes), la pérdida de oportunidades de negocio, las dificultades para reclutar
Pérdida finan ciera (millo nes de dó lares) personal y un descenso general de la moral de trabajo. Los accidentes no
Piper Alpha
Reino Unido 2500* sólo cuestan vidas , son también económicamente desastrosos. Muy pocas
Exxon Valdez Esta dos Unidos organizaciones pueden soportar semejantes niveles de pérdidas financieras.
3500
Phill.ips 66 Pasadena Estados Unidos
La verdadera pregunta, por supuesto, no es cuánto nos cuesta la segu-
Entre 1 300 Y 2100**
Sleipn er A ridad, sino cuánto nos ahorra. Este libro ha descrito cómo surgen los ac-
Noruega 300
cidentes organizativos y ha delineado medidas prácticas para reducir la
La Mede Noru ega 250 probabilidad de que ocurran. Pero esos accidentes pueden acaecer incluso
Saga 2/4-14 Fran cia 260 en los sistemas mejor gestionados; por eso, no basta simplemente con pla-
Sodega Llra J apón 171 nificar su prevención, es asimismo esencial planificar la recuperación de la
G rangemouth R eino Unido actividad económica tras un accidente a fin de rninimizar las irU11ensas pér-
100
Croatzcoalcas M éxico
didas que origina. Dan Stover 18 nos proporciona un ejemplo de lo que
98
Pembroke puede lograr un procedimiento efectivo de recuperación tras pérdidas. Mu-
R ein o Unido 79 chas organizaciones sufi'ieron las consecuencias del gran atentado con ca-
Dacea
Bangladesh 76 mión-bomba de Bishopsgate, en la city de Londres, en 1993. Entre dichas
Ras Tanura Sudáfrica 35 organizaciones, el Saudi Internacional Bank abrió y reanudó sus activida-
des normales el lunes siguiente. Ese banco disponía de un programa de re-
* No incluye el coste incalculable de 167 mu ertos El C ',. . cuperación tras pérdidas bien concebido y que había sido puesto a prueba
(Henil/¡ and Snfe/)' Execu/i1le, estima el coste tot~1 d o nlJte Ej ecutIvo de Sa lud y Seguridad
HSE
IIl cuantlfi cables) en 2066 milJo nes d I·b. l' e Plpel ~pha (Slll Contar dichas pérdidas por otro atentado en la cercana zona de Sr. Mary Axe. El coste total de los
., e I las este r lilas Adem as I I .,
pro d UCClOn del M ar del Norte resto' I ' .. , , a a teraclon resultante de la daños infligidos por el atentado se estimó en 1500 millones de libras.
1a pro d ucclon., a m enos un pUnto po' t 1 1 . '
** L . .,durante el p eriod o alec e d
ta o.
Icen ua a a tasa de crecmti ento de
Para terminar, un pensamiento que invita a la reflexión: cuatro de cada
a estunaclOn superi or file ofrecida po r D an Stover de Brown & Ro t E · S .
, o nelgy ervlces. cinco organizaciones que sufren un gran desastre sin disponer de proce-
dimientos de recuperación nunca reanudan sus actividades. Más aun, el
80% de los planes de recuperación tras un desastre no funcionan la pri-
- D años a materiales y productos.
mera vez que se necesita recurrir a ellos l 9 . Estudios recientes 20 han mos-
- Da~os a la instalación de la planta.
trado que las organizaciones preparadas para afi'ontar crisis hacen planes
- Da~os a la construcción de la plataforma.
para al menos cinco clases de crisis diferentes, y dichos planes de crisis
- D anos a h erramientas y maquinaria .
- Costes legales. . están estrechamente vinculados a los planes de recup eración de la activi-
dad económica. Además, esas organizaciones tienen una estructura flexi-
- Gasto en suministros de em ergencia.
- LImpIeza del sitio. ble y adaptable y en ellas son raras las racionalizaciones y la negación de
la realidad. En palabras de David Smith, de la Escuela de Negocios de la
- Retrasos en la producción.
- Necesidad de horas extras.
- Tiempo de investigación. 18. D. Stover, «The costs of faiJure », Proceedings oj the 1996 Sajety Conjere/lce, Londres,
- Tiempo q h d d . . . 26 de septi e mbre de 1996.
ue an e eJar su actIvIdad normal los superviso ' 19. Ibid .
- Coste de los paneles de investigación. res. 20 . L Mitroff, T Pau chant, M. Finney y C. P earson, «Do some organizations ca u se
- Esfuerzo adrninistrativo. their own crisis? The cultural profiles of crisis- prone 115. crisis-pre pared organizati o n s», In-
dustrial Crisis Q/larterly, 3,1989, pp. 269-283.

30 5
 i
La gestión de los grandes riesgos

Universidad de Durham, «toda negación de la naturaleza cardinal de la

gestión de crisis es una manifestación de una cultura propensa a las crisis
y, en tanto que tal, un caso que necesita tratamiento»21.

LA ÚLTIMA PALABRA

En este capítulo hemos buscado reconciliar tres enfoques diferentes de la

gestión de la seguridad: el modelo personal, orientado a reducir los suce-
sos que provocan daños personales, el modelo de ingeniería, centrado en
la interfaz ser humano-máquina y en la fiabilidad del sistema, y el modelo
organizativo, que atiende a la integridad de las defensas y a los factores sis-
témicos más amplios. Cada uno de ellos tiene sus propios instrumentos de
medición y sus contramedidas. En tanto en cuanto un sector esté expuesto
al riesgo de sufrir tanto accidentes individuales como organizativos, los tres
enfoques tendrán algún papel que desempeñar en su programa general de
gestión de la seguridad.
Los conflictos que existen surgen principahnente de la preponderancia
del modelo personal en situaciones que demandan un análisis más minu-
cioso de los factores técnicos y sistémicos. Mientras que la aplicación
de los modelos de ingeniería y organizativo puede ser útil en la reduc-
ción de los accidentes individuales, el modelo personal, en solitario, (y espe-
cialmente la actitud que lo acompaña) tiene un valor muy limitado en
ámbitos donde los riesgos derivan principalmente de la insidiosa acumula-
ción de condiciones latentes y su rara conjunción con desencadenantes lo-
cales de un modo capaz de superar defensas multiestrato. Por supuesto, esto
no significa que debamos ignorar los riesgos de daños personales o el com-
portamiento de individuos y equipos. Pero sí significa que los gestores de
riesgos deberían ser conscientes de los orígenes sistémicos más amplios
de los accidentes organizativos y conocer las diversas técnicas de que hoy
en día se dispone para frustrar su desarrollo. Una gestión del riesgo efectiva
requiere la aplicación de diferentes contramedidas que apunten simultánea
y continuamente a diferentes niveles del sistema. Basta un solo accidente or-
ganizativo para poner fin a todas las disquisiciones acerca de qué es lo fun-
damental.

21. D. Smith, "Crisis management and strategic management», A dvances il'l Strategic
MIlI'1agel/lent, 8, 1992, p. 268.

306