pi

La gestin de los grandes riesgos



Ttulo original: Managing the Risks of Olganizational Accidenls

James Reason, 1997

Modus Laborandi
La Edicin, marzo de 2010

Direccin editorial: Jess Villena Lpez Este libro est dedicado a dos pilotos y dos cirujanos que han
Traduccin: Juan M anuel h'anzo Amatriain mejorado enormemente la seguridad de sus respectivos mbitos:
Dis6io y maquetacin: Sputnik produ cciones editoriales
Produccin grfica: PROCOGRAF Capitn Gordon Vette
Capitn Daniel M aurino
Dr. Lucian Leape
Sr. Marc de Leval

Reservados todos los derechos de esta edicin para

Editorial Modus Laborandi , S. L.
Emilio Carrere 4,3. B, 28015, M adrid
www.moduslaborandi.colTl

ISB~:978-84 -937 117-6-4

Depsito legal: M-8229-2010

Impreso en Tecnlcas Grficas Forma S.A., Polgono El Caballo,

Ctra. M-206 -Va de Servicio-, km 0,4.28890 Loeches (Madrid).

La editorial Modus Laborandi agradece los comentarios

de sus lectores, que pueden enviar a nuestra direccin de atencin
al cliente: buzon@moduslaborandi. com
ndice

Lista de diagramas 13
Lista de tablas 17
Lista de siglas 19
fu~o TI
1. Amenazas, defensas y prdidas 25
Accidentes individuales y organizativos 25
Encontrar el nivel de explicacin adecuado 26
Proteccin y produ ccin: dos hechos universales 27
Sacrificar la proteccin adicional en favor de mejoras de la prod uccin 30
Los peligros del barco indenme 31
La naturaleza y variedad de las defensas 32
El modelo de defensas tipo qu eso suizo 34
Fallos activos y condiciones latentes 35
La trayectori a del accidente 38
D e la diligencia al Jumbo 39
Fases en el desarrollo de un accidente organizativo 42
Res umen del argumento 46
2. La derrota de las defens as 49
Las cosas no sienlpre son lo qu e parecen 49
Deslizndonos a travs de las gri etas del sistema de mantenimiento
de aero naves 50
Los millones dilapidados: el colapso del Banco Barings 58
El descarrilanuento de Nak.ina: un fallo latente durante 76 aos 66
Rasgos comunes 68
3. D efensas peligrosas 73
Muerto por su armadura 73
Algunas paradojas 74
Automatizacin: irOlas, trampas y sorpresas 74
Control de calidad frente a garanta de calidad 80
Redactar un nuevo procedinuento 83

9
 p

ndice
ndice

87 La vulnerabilidad de la instalacin 135

Causar el siguiente accidente por intentar prevenir el anterior
90 El predominio de las omisiones 137
Defensas en profundidad: proteccin o peligroso encubrimiento?
92 Las caractersticas de las tareas proclives a las omisiones 139
Falsas alarmas
94 Las caractersticas de un buen recordatorio 142
Conexiones deliberadamente dbiles
96 La justificacin del mantenimiento 144
Resumen
Conclusiones 148
4. La contribucin humana 97
97 6. Navegar por el espacio de seguridad 149
El factor humano
98 Evaluar la seguridad 149
La diversidad de los controles administrativos
101 Contar coces 150
La fase que haya alcanzado la trayectoria vital de la organizacin
102 Presentacin del espacio de seguridad 153
Tipo de actividad
102 Corrientes internas del espacio de seguridad 154
Nivel dentro de la organizacin
104 Qu alimenta el motor de la seguridad? 155
El equilibrio entre formacin y procedimientos
106 Establecer los objetivos de seguridad adecuados . 158
Tres niveles de actuacin
108 La prueba destructiva 159
Errores y acciones con xito
110 Una visin de conjunto de las ayudas a la navegacin 160
Infracciones y acciones que cumplen las normas
111 Programas de informes de incidentes y casi accidentes 162
Acciones correctas e incorrectas
112 El proceso de medida proactivo: las prioridades 164
La calidad de los procedimientos disponibles
114 Son los accidentes realmente necesarios? 168
Seis tipos de conducta en relacin con las normas
Algunos ejemplos extrados de la vida real 116 7. Una gua prctica para la gestin del error 171
Incumplimiento errneo 116 Qu es la gestin del error? 171
Cumplimiento correcto y equivocaciones 116 Prcticas antiguas pero con frecuencia desencaminadas 172
Cumplimientos errneos e iru"acciones con xito 117 Los errores no son causas sino consecuencias 172
Improvisacin correcta 119 El ciclo de inculpacin 173
El cuadro cOITlpleto 120 Las personas o las situaciones? 175
5. El mantenimiento puede causar graves dal10s a su sistema 125 Una visin de conjunto de la caja de herramientas de la gestin
125 del error 177
Peligrosos encuentros a corta distancia
126 Tripod-Delta 179
Accidentes organizativos y fallos de mantenimiento
127 Review y MESH 187
Apoto XIII
127 Tecnica de evaluacin y reduccin del error humano (HEART) 191
Flixborough
Three Mile Island 128 El enfoque del diagrama de influencia (IDA) 196
Vuelo American Airlines 191, Chicago O ' Hare 129 Ayuda a la decisin sobre errores de mantenimiento (MEDA) 200
Bhopa] 130 Tripod-Beta 202
Vuelo JL 123 de Japan Air Lines, Monte Osutaka 130 Resumen de los principios ms importantes de la gestin del error 204
Piper Alpha
131
131 8. La infeliz suerte del regulador 205
ClaphamJunction
132 Los reguladores en el punto de mira 205
Phillips 66 Company
Accidentes regulados 206
Las actividades y su probabilidad relativa de sufrir problemas
133 Challenger: cuando la desviacin se convierte en la norma 206
de actuacin
La estacin de metro de King's Cross: una visin estrecha de la ley 209

II
ro
ndice

Piper Alpha: inspecciones sup erfi ciales y mu estreo incompleto 21 1 Lista de diagramas
El Fokker-28 que se estrell en Dryden: la red de seguridad qu e fa ll 213
El Pip'er Cliieftain estrellado en Young, N ueva Gales del Sur 215
El ataque contra los .reguladores estadounidenses 220 U Relacin entre amenazas, defensas y prdidas. 27
Condenado tanto si lo haces como si no 223 1.2 Perfil de la relacin entre producci n y proteccin. 28
Legislacin y regulacin: algunos grandes xitos 224 1.3 C urso vital de una organizacin hipottica a travs del espa-
Atonoma y dependencia como constri cciones del proceso cio de produ ccin-proteccin. 30
de regulacin 227 1.4 El ideal y la realidad de las defensas en profundidad. 35
El cambio hacia la autorregulacin 228 1.5 Una trayectoria de accidente atraviesa los agl~ eros alinea dos
Ventajas y desventajas del cambio hacia la autorregulacin 236 en los estratos de defensas, barreras y salvaguardias . 39
Un posible modelo del proceso de regul acin 238 1.6 Fases del desarrollo y la investigacin de un accidente orga-
El rgulador m.erece un trato mejor 244 nizativo. 44
9. Ingeniera de una cultma de la seguridad 247 3.1 Cmo los n ecesarios procedimientos de seguridad adicio-
El alcance de este captulo 247 nales reducen el margen de accin preciso para llevar a cabo
Qu es una cultura organizativa? 249 las tareas de forma efectiva. 84
Los componentes de la cultura de la seguridad 252 3.2 R esumen de la filosona subyacente a las defensas en profun-
Ingt::l1iera de una cultura que infornu 254 didad. 90
Ingeniera de una cultura justa 264 4.1 Un co ntinuo de controles administrativos. 99
Ingeniera de una cultura flexible 275 4.2 Un proceso de control principalmente prealimentado,
282 basa do en pro cedimientos, con adiciones espordicas. 99
Ingeniera de una cultura que aprende
La q ]tura de la seg~lridad: mucho ms que la suma de sus partes 282 4.3 Control retroalimentado de produ ccin qu e requiere com-
284 paraciones fi'ecuentes entre las metas y las realizaciones. 99
Post scrptUIT1: cl]tura nacional
4.4 Controles mixtos de retroalimentaci n y prealimentacin. 100
10. La conciliacin de los diferentes enfo ques de la gestin 4.5 Situacin de los tres niveles de actuacin dentro de un es-
de la seguridad 285 p acio de actividad definido por el modo dominante de
R etorno a la distinCin entre accidentes individuales y organizativos 285 control de la accin y por la naturaleza de la situacin lo cal . 106
Tres enfoques de la gestin de la seguridad 286 4.6 R esumen de los principales tipos de error. 110
Et modelo 'pe:rsollal 286 4.7 R esumen de los diversos comportamientos en relaci n con
E! modelo d~ lnge.ni era 287 las reglas. 122
I modelo Q~g.i;-uza't.ivo 289
5.1 El ej emplo bsico (tuercas y tornillos). 136
r.e.s :le rie~~6 primarias 290 5.2 Una sencilla fotocopiadora con una elevada probabilidad de
La'; preporiderancla del riesgo en diferentes m.bitos 291 que uno se olvide de retirar la ltima pgina del original. 141
PLiedet1" pted;:.~ir~e los accidentes organizativos a partir de los daos 5.3 Ejemplo de un sencillo recordatorio que minimiza el 01-
pe)'so~ales.? :;'!~: . 297 vido de la ltima pgina. 143
C~hdicib'e i;en:tes: ' el riesgo universal 299 5.4 Caractersticas del deterioro de un tem m ecnico simple
. H~9~ciIad~:/clp;~asi40
~..,~-.~',
. -'-::,+-:-"i!,:.'h-, ', ..." .-' ',",-:.
el pndulo? .
. 299 (basado en Kelly). 145
A,lgu'tlOS lil-bl:h1a de las ~o ndiciones latentes 301 5.5 Relacin entre el nivel de mantenimiento preventivo y
E1.Peeio. ~~lfbc:a~O"" 303 el coste total de mantenimiento -indicado por la linea
. La:itin1;~;Jdb~a , ;:-~... 306 de puntos. 146
h-(;;j;:~~~;)tt:~!!;( 13
~"',."'~" .... ..
,'.' ..... \'"~;.;;::':"~,,.:~/'?:;c::;. .,'
........-------------
Lista de diagramas
Lista de diagramas
5.6 Comparacin de los riesgos para el sistema por un fallo
de componentes debido a (a) descuido del mantenimiento 9.1 Diagrama de fllUo del incidente del despegue desautorizado
ue
y (b) errores cometidos durante el mantenimiento. 147 q(b m uestra l,os vnculos causales que se juzgan relevantes
asa d o en O Leary).
6.1 Una distribucin imaginaria del nmero de coces sufiidas 264
9.2 ~os elementos bsicos de la accin humana.
por los integrantes de un regimiento de caballera durante 9.3 Arbol de dec ., d 265
un periodo de tiempo dado. 151 . lSlOn para eterminar la culpabilidad de los
actos peligrosos.
6.2 Distribucin bilateral de la resistencia-vulnerabilidad entre los 270
soldados de caballera que no sufrieron ninguna coz, discrimi- 10.1 Mapade Ias repercusiones causales de recientes accidentes
orgamzatlvoS.
nando en funcin de la efectividad de sus contramedidas. 152 300
10.2 Valores relativos (altamente especulativos) de d _ .
6.3 El espacio de seguridad. 153 d . lversos tIpOS
6.4 Corrientes y contracorrientes en el interior del espacio e p~slbles factores causales para los objetivos explicativos
predlctIvos y correctivos. '
de seguridad 155 301
6.5 Resumen de los principales factores involucrados en la na-
vegacin por el espacio de seguridad. 159
6.6 reas candidatas a la medicin proactiva de procesos, cada
una de ellas dotada de un canal separado y numerado que
las conecta al sistema de informacin sobre la seguridad. 165
6.7 Los subsistemas de proceso primarios que subyacen a la se-
guridad organizativa. 167
7.1 Los elementos del ciclo de inculpacin. 174
7.2 Las tres patas de Tripod-Delta: tipos genricos de fallo,
actos peligrosos, resultados negativos. 181
7.3 Las relaciones entre procesos sistmicos bsicos y tipos ge-
nricos de fallo, y el impacto combinado de dichos GFT en
las circunstancias que fuerzan los errores. 184
7.4 Un perfil de estado de fallo Tripod-Delta que identifica los
tres GFT que ms necesitan ser mejorados en el futuro inme-
diato. 186
7.5 Diagrama de influencia simplificado que muestra algunos
de los factores determinantes de la probabilidad de que una
nave encalle en un bajo fluvial . 198
7.6 Unidades bsicas del anlisis de sucesos Tripod-Beta. 203
8.1 Los elementos bsicos del proceso regulador. 240
8.2 Incorporacin de los factores organizativos y de gestin
(o & M) a los elementos bsicos del proceso regulador. 241
8.3 Un perfil de factor organizativo generado por las puntua-
ciones agregadas de todos los casos. 242
8.4 El proceso regulador integrado en un ciclo de aprendizaje
ms amplio. 243

I5
..........-------------
Lista de tablas

2.1 R esumen de los fallos activos y las condiciones latentes que

socavaron o rompieron las defensas del sistema de manteni-
miento de aeronaves. 57
2.2 Cm o m anej an la informacin sobre la seguridad distintas
culturas organizativas . 71
4.1 Diversidad de la ac tividad organizativa (basa da en Perrow). 103
4. 2 Algunos ej emplos de los diversos tipos de actividad. 103
4. 3 Seis variedades de actuacin en relacin con las reglas. 114
5.1 Probabilidad relativa de problemas de actuacin humana en
actividades humanas universales . 134
5.2 C0111.pilacin del resultado de tres estudios que muestra las
relaciones entre actividades y problemas de actuacin. 135
5.3 Resumen de los posibles procesos cognitivos implicados en
la omisin de pasos necesarios para la ej ecu cin de una
tarea. 140
6.1 C ifras n1.edias de problemas qu e contribuyeron a accidentes
fa tales en tres tipos de aeronaves. 160
6.2 R esumen de las posibles interacciones entre m edidas reacti-
vas y proactivas . 161
7.1 R esumen de herramientas de gestin del error. 179
7. 2 Gn eros de tareas y probabilidades de error asociadas
(basa do en Williams). 194
7.3 Tip os de conductas infi:actoras y probabilidades nominales
asociadas para las muj eres. 195
7.4 Pasos implicados en el clculo de la probabilidad incondi-
cional de qu e la percepcin del riesgo del patrn sea impre-
CIsa. 199
9.1 M atriz de gestin de riesgos de British Airways empleada
p ara evaluar el riesgo futuro qu e tendr la compaa de qu e
se repita un cierto suceso. 261
9.2. R esumen de los efectos de la recomp ensa y el castigo en el
cambio conductual en el puesto de trabajo. 273
10.1 Co mparacin de las estimaciones de cuatro tip os de riesgo
en diferentes mbitos. 292
10.2 Prdidas financieras sufi:idas por la industria petroqumica a
consecuencia de sucesos graves. 304

17
...........-------------
Lis ta de siglas

ACAA: Australian Civil Aviation Authoriy - Autoridad de Aviacin

Civil Australiana.
ALARP : As low as reasonably practicable - Tan bajo como sea razonable-
mente practicable.
AMMS: Aurora Mishap Management System - Sistema de gestin de inci-
dencias Aurora.
AOe: Air Operators Certifica te- Certificado de operador areo.
ASR.S: Aviation Safety Report System - Sistema de informes sobre
la seguridad en la aviacin (NASA).
BA: British Airways.
BASl: Bureau of Air Safety Investigation - Oficina de Investigacin
de la Seguridad Area (Australia).
BASlS: British Airways Safety Information System - Sistema de infor-
mes de seguridad de British Airways.
BB & co.: Barings Brothers & Co.

BFS: Barings Futures (Singapur) Pte Lirnited.

BSL: Barings Securities Lim.i.ted.
C EO: Chiif executive officer - Presidente ejecutivo.
ClMAH : Control oJ Industrial Major Hazards - Control de riesgos indus-
triales graves.
COS HH: Control oJ Substances Hazardous to Health - Control de sustan-
cias peligrosas para la salud.
CR.lEPl: Central Research Institute for the Electrical Power Industry -
Instituto Central de Investigacin del Sector de la Energa
Elctrica.
CRM: Crew (cockpit) resource management - Gestin de recursos de la
tripulacin (cabina).
CVR.: Cockpit Voice R ecorder - Segunda caja negra.
Ee: European Conumssion - Comisin Europea.
EM: Error management - Gestin del error.
EPe: Error-producing condition - Circunstancia generadora de error.
FAA: Federal Aviation Adlmnistration - Administracin Federal de
Aviacin (Estados Unidos).

19
.......---------------
Lista de siglas
Lista de siglas

FD!'l: Flight data reearder - Caja negra. MESH:

Managing Engineering Scifety Health - Ingeniera de gestin de la
FEA : Fai/ure mode and iffects analysis - Anlisis delnlOdo y los efectos salud y la seguridad.
del fallo. MSA:
M arine Safety Agency - Agencia de Seguridad M artima.
FMEA : Fai/ure rnodes and iffects analysis - Anlisis del modo y los efec tos NASA:
N ational Aeronautics and Space Administration - Administra-
del fallo. cin N acional Aeronutica y Espacial.
FMS: Flight rnanagement system - Sistema de gestin de vuelo. NCO : Non -earnmissioned <1ficer - Suboficial.
FSA: Forrna/ saJety assessrnent - Evaluacin de seguridad formal . N!'lC:
Nuclear Regulatory Commission - Comisin Reguladora de
GFT : General Jailure type -Tipo gen rico de fallo. la Energa Nuclear.
HAZAN: H azards a11alysis study - Estudio de anlisis de las am enazas. NTSB :
National Transport Safety Board - Oficina Nacional de Segu-
HA ZOP : H azard operability study - Estudio de operabilidad de las ame- ndad en el Transporte.
nazas. NUREG:
R eport series issued by Nuclear Regulatory Conunission _
HEA : Human error analysis - Anlisis del error humano. Serie de informes publicados p or la Comisin Reguladora de
HEAIU : Hurna11. Error Assessrnent and Reduction Technique - Tecnica de la Energa Nuclear.
evaluacin y reduccin del error humano. NWA : Northwest Airlines.
HEMP: H azardous Elfects Managernent Process - Proceso de gestin de o &M:
O};galzational a11.d rnanagerial - Factores organizativos y de ges-
amenaza y efecto. tlon.
Hl'lA: Hum an reliability analysis - Anlisis de fiabilidad humana. PIF:
Performance-influencing factor - Factor que influye sobre la
H!'lO: High-reliability organzation - Organizacin de alta fiabilidad. actuacin.
H ealth and Safety Commission - Comisin de Salud y Segu- PRA:
HSC: Probabilistic risk assessment - Evaluacin probabilstica de riesgos.
ridad. PSA:
Probabilistic scifety assessl1'lent - Evaluacin probabilstica de la se-
HSE: H ealth and Safety Executive - Comit Ejecutivo de Salud y guridad.
Seguridad. PWTt:
Pressurised water reactor - Reactor de agua a presin.
lAEA: International Safety Advisory Group - Grupo Asesor Interna- QA: Quality Assurance - Garanta de calidad.
cional en M ateria de Seguridad. !'lAMS:
R eliability and rnaintainability study - Es tudio de fia bilidad y
IDA : Injluence DiagramApproach - Enfoque del diagrama de influencia. mantenibilidad
IDM: Irifluence Diagrarn Methodology - M etodologa del diagrama de !'lB : Rule-based - Basado en reglas.
influencia. !'lPF :
Railway proble111 jactor - Factor en un problema ferroviario.
IFSD: Iriflight engine shutdouJ/1. - Parada de motor en vuelo. l'l.BMIC
A Soviet-built nuclear power plant - Central nuclear de construc-
INPO: Institute ofNuclear Power Operations - Instituto de Opera- cin sovitica .
ciones de la Energa Nuclear (Estados Unidos) . SB : Skm-based - Basado en habilidades.
JAL: Jap an Airlines. SESMA :
Special Event Search and lvIaster Analysis - Anlisis de deteccin
KB: K11.owledge-based - Basado en conocimientos. y control de sucesos especiales.
LTI: Lost-time injury - Accidentes que conllevan p rdidas de jorna- SIMEX:
Singapore M one tary Exchange - Intercambio Monetario In-
das de trabajo. ternacional de Singapur.
MEDA : Mai11.tenance Error D ecision A id - Ayuda a la toma de decisiones SOl' :
Standard operating procedure - Procedimiento operativo estndar.
sobre errores de mantenimiento. SPC:
Statistical Process Control - Control estadstico de procesos .

20
21
Lista de siglas

SR & QA: Safet)' Reliablt)' and Qualit)' Assurance Prograrn - Programa

de seguridad fiable y garanta de calidad.
TBR: To-be-remembered - Que debe recordarse.
TMI: Three Mile Island. Prefacio
TQM: Total Q~talit)' Management - Gestin de calidad total.
vPC:
Violation-producingfactor - Factor inductor de infraccin.

Este libro no ha sido concebido como lectura acadmica, aunque espero

que haya profesores y estudiantes que lo lean.Va dirigido a la gente real
y en especial a aquellos cuya labor cotidiana consiste en pensar en los
riesgos de las tecnologas donde stos son mayores, a fin de gestionarlos
o regularlos. El lector que imagino es alguien con formacin tcnica ms
que en factores humanos. Con esta nocin en mente he intentado -no
siempre con xito- mantener el texto tan libre de jerga especializada
como me ha sido posible.
El libro no va dirigido a un solo sector econmico, sino que intenta
identificar principios y herramientas generales aplicables a cualquier or-
ganizacin que afronte riesgos de uno u otro tipo. Esto incluye a los ban-
cos y las compaias aseguradoras tanto como a las centrales nucleares, la
exploracin y produccin petrolfera, las plantas de proceso qumico y el
transporte areo, martimo o terrestre. Cuanto ms se asciende hacia las
cimas de estos sistemas, ms se asemejan sus procesos organizativos -y sus
debilidades.
En un libro de esta clase es inevitable que tiendan a predominar los
ejemplos de carcter ms dramtico y espectacular; no obstante, aunque
he utilizado estudios de caso para ilustrar con ejemplos mis ideas, no he
pretendido convertir este libro en otro catlogo de estudios de caso de ac-
cidentes. He hecho hincapi, ms bien, en los principios y en los detalles
prcticos -que deben operar hombro con hombro-o Finalmente, la ver-
dadera prueba que esta obra deber superar es si, con el tiempo, sus ideas
pueden o no traducirse en alguna mejora de la resistencia de unos siste-
mas que son complejos y estn bien defendidos frente a los infrecuentes,
pero habitualmente catastrficos, accidentes organizativos .

James Reason

22 23
 1
Amenazas, defensas y prdidas

ACCIDENTES INDIVIDUALES Y ORGANIZATIVOS

HAY DOS CLASES DE ACClDENTES: los que les ocurren a los individuos y los que
suceden a las organizaciones. Los accidentes individuales son, con mucha
diferencia, los ms numerosos, pero no el asunto principal de este libro.
Nuestra atencin se centrar en los accidentes organizativos} que, en compa-
racin, son sucesos relativamente raros, aunque a menudo catastrficos, y
que acaecen a tecnologas modernas y complejas como las centrales nu-
cleares, la aviacin comercial, la industria petroqumica, las plantas de pro-
ceso qumico, el transporte martimo o ferroviario, los bancos o los estadios
deportivos.
Los accidentes organizativos tienen mltiples causas, que involucran a
numerosas personas que operan en diferentes niveles de sus respectivas
empresas. Los accidentes individuales, en cambio, son aqullos en los que
una persona o un grupo concreto suele ser al mismo tiempo el agente y
la vctima del accidente l . Sus consecuencias para las personas afectadas
pueden ser graves, pero su extensin es limitada. De otro lado, los acci-
dentes organizativos pueden tener efectos devastadores sobre poblaciones
y bienes sin relacin alguna con la organizacin en cuestin, y sobre el
n1.edio ambiente.Y si bien la naturaleza (pero no necesariamente la fi:e-
cuencia) de lo s accidentes individuales ha permanecido relativamente
constante a lo largo de los aos, los accidentes organizativos son un pro-
ducto de tiempos recientes o, ms concretamente, un producto de inno-
vaciones tecnolgicas que han alterado radicalmente la relacin entre los
sistemas y sus elementos humanos.

1. Los accidentes individuales pueden, y suelen, tener orgenes organizativos. De hecho,

como ha sealado Andy Pearce, de Shell Expro, un accidente mortal en una plataforma
ocenica es tpicamente el resultado de una cadena de al m enos siete fallos distintos. No

25
La gesti n de los gra ndes riesgos
r. Am enazas, defensas y prdi das

ENCONTRAR EL NIVEL DE EXPLICACI N ADECUADO

bsica de este libro es q 1 . , .
. '.' , ue e mar co teon co qu e presenta el dia ram a 1 1
Los accidentes organizativos son sucesos dific iles de entender y de con- s~rvlla p ara este Prop OSItO. El diagrama mu estra la relacin ent! los tr~s
trolar. O curren muy raram ente y son dificiles de predecir y de prever. ; emen~os que dan t.tulo al captulo: am enazas, defensas y p rdidas. To dos
Para quienes los viven directam ente, surgen de la nada. Pero p or dificil os acCI entes orga mzatIvos Suponen la rotura de la b "
. , s arr eras y protec-
que sea m odelarlos, debem os esforzarnos por hallar algn modo de en- CIOn es que separan a las p ersonas y los activos vulnerables - colectiva-
tender cmo se desenvuelven si h e111.0 S de lograr algn nuevo avance en
mente den omll1ados p rdidas- de 1
d - . . .
r.
os p e IgroS cap aces de causarles
la limitacin de su frecuencia. Sin m encionar el coste humano en tr mi- dan~s ~peIJlllclOs. H ay aqu una marcada diferencia con los accidentes in-
nos de lesion es y muertes, hay muy pocas organizaciones com erciales ca- IVI u es, donde esas defensas a m enudo son inadecuadas . .
El dia . . . ' o ll1eXIstentes.
paces de sobrevivir a las repercusiones de un gran accidente de este tipo. . .' gram a 1,.1 dmge nuestra aten cin a la pregunta central de cual-
Se dice que en lgica nada es accidental. Pero, es cierto lo contrario? qmer ll1VestIgaCIon de un accidente: .: qu rompi las d r ?E b
bl h 11 ' . ' elensas. s pro a-
Carecen de lgica los accidentes? Sus causas, no ti enen principios sub- e que se a en uuplicados tres tipos de fac tores -hulu ,.
. . anos, tecnICOS y
yacentes? H e escrito este libro p orque creo que esos principios existen . orgamzatIvos- y los tres es tarn regidos p or dos procesos
di ' . comunes a
Los accidentes organizativos pu eden ser verdaderam ente accidentales en to as as orgam zacIOn es tecn olgicas: la p roduccin y la proteccin.
el modo com o los diversos factores incidentes se combinan p ara produ-
cir el resultado pernicioso, pero la existencia de esos precursores, o de las D iagrama 1.1
circunstancias que los crearon, no tien e nada de accidental. La dific ultad, R elacin entre amenazas, defensas y prdidas
n o obstante, reside en encontrar el nivel de descripcin adecuado.
Si tomam os en consideracin solam ente los detalles sup erfi ciales -el
DEFE N SAS
tip o de informacin que recogen las noticias- los accidentes organiza-
tivos son desalentadoram ente diversos . O curren en una gran variedad de
sistem as y en lo calizacion es muy diferentes. Cada accidente tiene su pro-
pio patrn individual de causa y efecto. Aparte del h ech o de qu e siempre
PELIGRO
1111
son malas n oticias, este nivel de descripcin parece desafi ar todo intento
de generalizacin e implica claram ente la necesidad de investigar ms en
profundidad ciertas estructuras y procesos subyacentes comunes para en-
AM.ENAZAS
1111
contrar el nivel de descripcin correcto.
E n el p olo opuesto, puede afirmarse que todo accidente organizativo
supon e la liberacin no planeada de agencias destru ctivas tales com o masa,
en erga, sustancias qumicas u otras similares. Sin duda, esto es una gen e- PROTECCIN y PRODUCCIN: DOS HECHOS UNIVERSALES
ralizacin , pero no nos lleva m uy lej os. N o obstante, como los artilleros,
Todas las organizacion es tecnolgicas p roducen algo -b ' r
h emos encuadrado el obj etivo. El nivel de descrip cin idneo debe estar turad t d len es m anulac-
situado en algn punto entre los detalles superfi ciales, muy idiosincrsi- . .~s, ransporte e p ersonas, servicios finan cieros o de otro tipo, ex-
tr acClOn de maten as primas etc.- Y en la ruedid .
cos, y la vagu edad de esa definicin tan amplia. . d . ,. , a en que sus op eraCIOnes
El obj etivo es descubrir ideas que puedan aplicarse igualm ente bien a f ro uctIvas ~xponen a activos y a p ersonas al p eligro, todas ellas (y los sis-
un amplio abanico de mbitos de baj o riesgo y alta peligrosidad. La tesis ema~ mayores en qu e se ll1cardinan) requieren diversas formas de p ro-
telcclO,n. que se l11terpongan entre las am enazas locales, sus posibl~s vctimas
y a p erdIda de actIVOS .
siempre es fc il trazar una lnea rpida y ntida entre los accidentes individuales y organi-
. Pdoseem os una comprensin razonablem ente bu en a de los asp ec tos
zativos, pero este libro sostiene que es til tratarlos como tip os de sucesos distintos. pro UCtIVOS de una organiz . , .
aCIOn, y sus pro cesos asoCIados son relativa-
26
27

La gestin de los grandes riesgos
mente transparentes; las funciones de proteccin, sin embargo, son ms
diversas e intrincadas . El diagrama 1.2 presenta algunos de los temas 1111.-
plicados en la compleja relacin entre produccin y proteccin. En un
mundo ideal, el nivel de proteccin debera igualar al de las amenazas de
las operaciones productivas -la zona de pa:'idad2-:-~ Cuanto may~r sea la
magnitud de esas operaciones, mayores seran tamblen la exposlclon a las
amenazas y la correspondiente necesidad de proteccin. La gravedad de
las amenazas operacionales de diversos tipos de produccin -y, por ende,
de organizaciones diversas-, empero, difieren, y, as, las empresas de
menor peligrosidad necesitarn menos proteccin por unidad de ~ro
ducto que las empresas de peligrosidad mayor, o, de otro modo, aquellas
pueden operar en la regin por debajo de la zona de paridad y stas deben
hacerlo por encima. . nec~sidades prev~ecern durante la mayor parte de la vida de una organi-
La amplia zona de operacin (el rea ligeramente sombreada del dla-
gram.a 1.2) est delimitada por dos extremos peligrosos. En la esqmna su-
perior izquierda est la regin donde la proteccin excede en mucho los
peligros que suponen las amenazas de las operaciones productivas. La pro-
teccin consume recursos productivos -tales como personas, matenales
y dinero-, as que es probable que esas organizaciones tan sobreprotegi-
das se vean pronto en bancarrota.
Diagrama 1.2
Perfil de la relacin entre produccin y proteccin
Proteccin
Empresas con
peligrosidad
alta
Empresas con
peligrosidad
baja
Produccin
2. En las tecnologas ms snpl es, los elementos productivos y protectores eran a me-
nudo estru cturas diferentes; en las tecnologas complejas la nusma entidad puede cumplir
tanto funciones productivas como defensivas -as es, por ejemplo, en el caso de los PI-
lotos o de los operadores de salas de control.
28
1. Amenazas, defensas y prdidas
En el otro polo, en la esquina inferior derecha, las protecciones dis-
ponibles estn muy lejos de alcanzar lo necesario para la seguridad de la
produccin, y las organizaciones que operan en esta zona encaran un
riesgo muy alto de sufi.-ir un accidente catastrfico (lo que probablemente
significar tambin tener que cesar en su actividad comercial) . General-
mente, es~as zonas obviamente peligrosas se evitan, aunque slo sea por-
que son lI1aceptables tanto para los entes reguladores como para los
aCClOlUstas. Lo que ms nos interesa aqu es cmo navegan las organiza-
ClOnes por el espacio limitado por esos dos extremos .
Pese a las frecuentes declaraciones en sentido contrario, la asociacin de
producci~n y proteccin rara vez es igualitaria y uno de los procesos pre-
donunara, dependiendo de las circunstancias locales. Dado que la produc-
cin crea los recursos que hacen posible la proteccin, por lo general sus
zaClOn. Esto es aSI, en parte, porque quienes gestionan la organizacin po-
seen competencias productivas, ms que protectoras, y en parte porque la
informacin relativa a la produccin es directa, continua y fcil de enten-
der. En cambio, el xito en la proteccin se evidencia en la ausencia de re-
sultados negativos, la informacin asociada a ella es indirecta y discontinua,
y sus indicadores son diflciles de interpretar y, a menudo, engaosos. Slo
despt~s de un accidente severo o de un casi accidente aterrador la pro-
tecclOn deViene -por un breve periodo de tiempo- la preocupacin
predonunante en las mentes de quienes dirigen la organizacin.
Todos los gestores racionales aceptan la necesidad de algn grado de
proteccin, y muchos participan firmemente de la conviccin de que, a
largo plazo, la produccin y la proteccin van necesariamente a la par. Es en
el corto plazo donde surge el conflicto. Casi a diario, los encargados y su-
pervisores directos de los operarios deben decidir si recortan un poco las
eXIgenCIas de seguridad para cumplir ciertos plazos o satisfacer otras de-
mandas operativas. En la mayora de los casos, esos breves recortes no cau-
san efectos negativos, por lo que pueden llegar a convertirse en parte
habitual de las prcticas de trabajo rutinarias. Por desgracia, esa reduccin
gradual de los mrgenes de seguridad del sistema lo vuelve cada vez ms vul-
nerable a combinaciones particulares de factores causantes de accidentes.
El diagrama 1.3 -cuyo principal propsito es presentar los dos im-
portantes rasgos de la vida organizativa que ms adelante describir-
traza el infortunado curso de una organizacin hipottica a travs del es-
pacio de produccin-proteccin. La historia comienza cerca de la esquina
mfenor Izqmerda, donde la organizacin inicia su produccin con un ra-
29
 I. Amenazas, defensas y prdidas
La gestin de los grandes riesgos

proteccin se convierten a menudo en avances productivos, que devuel-

nable margen de seguridad. (Los puntos negros indican el avan~e de la ven a la organizacin a la misma situacin de proteccin inadecuada que
zo . ., de un suceso a otro). Con el paso del tlem.po, el margen de
orga11lZaClOn .d d te predominaba antes del accidente, si es que no la llevan a otra an peor. La
.. dad merma gradualm.ente hasta que ocurre un acCl ente ecos incidencia de las explosiones en las minas aument enormemente en los
~ea~~r~l suceso induce una mejora de la proteccin, que ms adela~te se aos siguientes a la introduccin de la lmpara de Davy y la historia de
sacrifica ara aumentar la produccin, hasta que ocurre otro acCl ente, los accidentes martimos rebosa de colisiones asistidas por radar -por
, . p 1 anterior. El nivel de proteccin se eleva de nuevo Y se
mas grave que e '1 de tiempo sin acCl- citar slo dos de los muchos ejemplos de accidentes derivados del sacri-
ve paulatinamente erosionado despues ~or un apso ficio de beneficios de proteccin a cambio de ganancias productivas-o
dentes. La historia termina con una catastrofe. Este proceso ha sido denominado compensacin de riesgos u homeos-
tasi s de riesgos3.
Diagrama 1.3 .
tal de una organizacin hipottica a travs del espacIO
e uno VI .,
de produccin-protecClon
Los peligros del (cbarco indernne4

Una nutrida evidencia muestra que un periodo prolongado sin que ocu-
rra un accidente grave puede causar una continua erosin de la protec-
Proteccin
cin, a medida que las demandas productivas empiezan a dominar su ya
desigual relacin. Es fcil olvidarse de temer cosas que raramente ocu-
Mejores defensas rren, sobre todo bajo la presin de imperativos de produccin tales como
reconvertidas en el crecimiento, el beneficio y la cuota de mercado. Como resultado, las in-
aumento de la
produccin versiones en una proteccin ms efectiva disminuyen y declinan el cui-
dado y el mantenimiento precisos para preservar la integridad de las
defensas existentes. Adems, la mayora de las organizaciones considera
econmicanlente esencial el crecimiento de la produccin, pero el mero
hecho de incrementarla sin la consiguiente provisin de nuevas defensas
o la ampliacin de las existentes erosionar tambin los mrgenes de se-
guridad. La consecuencia de ambos procesos -desatender las defensas
existentes y no ai'adir otras nuevas- es un gran aumento del riesgo de
Sacrificar la proteccin adicional en favor de mejoras sufrir un accidente catastrfico; en ocasiones, definitivo.
de la produccin Ms adelante volveremos sobre la interrelacin entre la produccin y
la proteccin, pero ahora debemos centrarnos en la proteccin -los es-
ncia las meioras en la proteccin se implementan durant~ el
C on firecue, ~ .nf SU fin es eVitar
periodo UTlediatam.ente posterior a un suceso I austO. d fi . 3. Erik Hollnagel analiza stos y otros ejemplos de compensacin de riesgos en Human
ue el accidente se repita, pero pronto se aprecia que las e ensas.meJo- Reliabilit)' Anall'sis: Context an.d Con.trol, (Londres, Academic Press, 1993, pp. 8-11) . Vase
;adas confieren ventajas productivas. A comienzos del Siglo XIX , p~,r eJenl- tambin G.J. S.Wilde "The theory of risk homeostasis: implications for safety and healtl1,
'lo, los dueos de minas advirtieron rpidam.ente q:le la ll1venClOn de.l~ Risk Anall'sis, 2,1982, pp. 209-255. Leonard Evans ha ofiecido una excelente cr ti ca de la
idea de homeostasis de riesgo en su aplicacin al transporte por ca rretera en Tiqffic Sqfet)'
P, d .d d de Davy pefluita extraer carbon de zonas que pre
lampara e segun a . d G/Id tile Driver (Nueva York,Van Nostrand Reinhold, 1991, pp. 298-300).
viamente se juzgaban demasiado peligrosas debido a l~ presenlCla d e g~se~ 4. Constante Perin acu el trmino en L1na ponencia titulada .British Rail: the case
. nflamables. Los armadores tardaron poco en descubnr que e ra ~r nau of the unrocked boat, un come ntario sobre el accidente ferroviario de Clapham Junc-
~ico permita a sus mercantes navegar a velocidades m~yores po~ vlas m;- tion ofrecido en el Workshop on ManagingTechnological Risk in Industrial Society ce-
lebrado del 14 al 16 de mayo de 1992 en Bad Homburg, Alemania.
rtimas muy estrechas o frecuentadas. En suma, las mejoras ten entes a a
3I
30
La gesti n de los g rand es riesgos
tratos de defensas, barreras y salvagu ardias que se levantan para resistir las
am enazas, tanto naturales como creadas por el ser humano-oSi hay un
hecho cierto en un accidente es que las defensas fu eron rotas o evitadas.
Identificar cmo pu eden ocurrir esos fallos es el primer paso para enten-
der un pro ceso comn a todos los accidentes organizativos.
As, como la produccin puede involucrar numerosas ac tividades di-
ferentes, tambin la proteccin puede lograrse de diversas formas. En el
resto del libro reservaremos el trmino proteccin para el fin general de
garantizar la seguridad de p ersonas y bienes, y llam aremos defensas a los
diversos medios gracias a los cuales es posible conseguir di cho fin . E n este
punto convendra considerar las distintas m aneras como se pu eden des-
cribir o clasificar las defensas.
LA NATURALEZA Y VARIEDAD DE LAS DEFENSAS
Las defensas pu eden clasificarse, bien segn las diversas fun ciones qu e
cumplen, bien segn las diversas maneras cmo las cumplen . Las funcio-
nes defensivas son universales; sus modos de aplicacin varan de una or-
ganizacin a otra dependiendo de sus amenazas op erativas.
Todas las defensas estn diseI1.adas para cumplir una o ms de las si-
guientes funciones:
- C rear conciencia y comprensin de las amenazas lo cales.
- Ofi'ecer una gua clara de cmo operar con seguridad.
- Proporcionar alarmas}' avisos cuando el p eligro es inminente.
- R estaurar el sistema a un estado seguro cuando se sit a fu era de lo nor-
mal.
- Interponer barreras de seguridad entre las am enazas y las poten ciales
prdidas.
- Contener y eliminar las amenazas en el caso de qu e se sup eren dichas ba-
neras .
- Proporcionar medios de evacuacin y rescate para el caso de qu e la con-
tencin de las am enazas fall e.
Implcita en la ordenacin de esta lista est la idea de defensas en pro- de control muy automatizados.
fundidad - sucesivos estratos de proteccin, uno detrs de otro, cada uno
de ellos ofreciendo proteccin frente al posible fallo del anterior-o
Cuando la conciencia, la comprensin y la direccin procedimental no lo-
gran mantener las am enazas alejadas de las potenciales vctimas, las alar-
1. Am enazas, defensas y prdidas
mas y los avisos alertan del p eligro inm.inente y guan a los controladores
del sistema (o a los disp ositivos de seguridad ingeniados para ello) p ara de-
volver el sistem a a un estado seguro. Si no lo consigu en , hay barreras fsi-
cas que se interp on en entre las am enazas y las prdidas potenciales . Otras
defensas ac tan para conten er y elimjnar las am enazas.Y si todas es tas de-
fensas previas fallan, se recurre a m edidas de evacuacin y rescate.
Es esta multiplicidad de defensas superpuestas y que se respaldan mu-
tuam ente lo qu e hace que sistemas tecnolgicos complej os como las cen-
trales nuclea res o el moderno avin com ercial sean en gran m edida
inmunes a los fall os aislados, sea n stos humanos o tcnicos. M s que nin-
gn otro factor, la presen cia de elaboradas defensas en profundidad ha mu-
dado el carcter de los accidentes industriales. Las tecnologas previas sufi'an
- y, en la medida en qu e siguen operando, continan sufi'iendo- un n-
mero relativamente alto de accidentes individuales. En las tecnologas m o-
dernas, como la generacin de electricidad m ediante energa nu clear o el
transporte areo, ocurren muy pocos accidentes individuales. Su mayor p e-
ligro radica en los accidentes organizativos, raros pero con fi'ecuencia de-
sastrosos, fruto de ap ortaciones causales de mu chas p ersonas diferentes,
distribuidas ampliamente p or todo el sistenla y a lo largo del tiemp o.
Las funciones defensivas arriba esboza das suelen cumplirse m ediante
una combinacin de aplicaciones duras y blandas . Las defensas duras
incluyen disp ositivos tcnicos como los elem entos de seguridad autom-
ticos diseados p or la ingeniera, las barreras fsicas, las alarmas y avisado-
res, los m eca nismos de bloqueo de seguridad, las llaves, el equip o de
proteccin p ersonal, las pru ebas no destructivas, las debilidades estru ctura-
les deliberadamente incluidas en el dise'o (por ej emplo, clavij as de segu -
ridad en los pilones de suj ecin de los m otores de los aviones) y la m ejora
del diseI'i.o del sistema. Las defensas blandas, com o suoiere
b el trmjno , se
basan mu cho en la combinacin de pap el y p erso nas: legislacin, vigilan-
cia del regulador, reglas y procedimi entos, formacin, entrenamiento, ins-
tru cciones previas, controles admjnistrativos (p or ej emplo, sistemas de
permjsos p ara iniciar trabaj os o protocolos de cambio de turno), licencias
de operador, certificaciones, insp eccin de supervisin y - el elemento
fundamental- los opera dores de primera lnea, en esp ecial en los sistem as
Las ac tividades humanas que empleaban las tecnologas anteriores eran
principalmente productivas: la gente haca o elaboraba cosas que condu-
can direc tamente a la obtencin de un beneficio comercial. La disp onj-
bilidad gen eralizada de cap acidad de computacin a muy bajo coste, sin
33
 . Nll.enazas, defensas y prdidas
La gestin de los grandes riesgos
. de cada estrato cambian
. . que los agujeros .
embargo, ha producido un cambio inmenso en la naturaleza de la relacin D' al modo, puede 1111ag111arSe d 'espuesta a las aCClOnes
e Igll y Vl'en en n1enguan o se expan en en r
de los seres humanos con las tecnologas modernas, que es ms patente en d .' v a n ' al
e SIt10, . las demandas loc es. h emOS
las centrales nucleares y en las glass- cockpit de la aviacin com ercial. de los operadores ya . . ? Para responder a esta pregunta ..
En lugar de hallarse fisica y directamente involucrados en la tarea de pro- .e' 1110 se crean los aguJeros.. . , . fallos activos y condlClon es
o 'd . ' 0' n la dlst111ClOn entre
ducir algo (y, por consiguiente, en contacto inmediato con las amenazas . en conSl eraCl
de ton1ar
locales), los operadores de las centrales elctricas y los pilotos actan como latentes .6

planificadores, ges tores, agentes de mantenimi ento y controladores- su-

Diagrama 1.4 .d d
pervisores de sistemas en gran parte automatizadoss. Una parte crucial de . al 1 alidad de las defensas en profundi a
este ltimo rol incluye la funcin defensiva de devolver el sistema a un es- E llde y a re
tado seguro en el caso de que se produzca una emergencia.
Las defensas en profundidad tienen sus pros y sus contras. Una de sus
consecuencias ms desafortunadas es que vuelven a los sistemas ms com-
plejos, y por ende ms opacos, para sus gestores y operadores. En muchos El ideal
de esos sistemas, los seres humanos que ej ercen el control estn cada vez
m s alejados, fisica e intelectualmente, de los sistemas productivos que no-
nunalmente controlan. Esto favorece la proliferacin de condiciones la-
tentes - que estudiaremos ms adelante.

EL MODELO DE DEFENSAS TIPO QUESO SUIZO

En un mundo ideal, todos los estratos de defensa estaran intactos y seran

imp enetrables para las posibles trayectorias de accidente -como mues-
tra el lado izquierdo del diagram a 1.4- . En el mundo real, empero, todos
los estratos tienen puntos dbiles y aguj eros del tipo que muestra el lado CONDICIONES LATENTES
derecho del diagrama. La naturaleza exacta de esos aguj eros ser objeto FALLOS ACTIVOS y
de examen en el siguiente epgrafe ; pero antes deb emos transnutir al ienes disean, manufacturan, oper~n,
D ado que son los seres humanos qu lgicos complejos, no es extrano
m enos algo de la naturaleza dinmica de esas diversas defensas en pro-
mantienen Y gestionan los SlStemas tecno tn im licadas en todos los ac-
u e las decisiones Y acciones hUl11anas es contr~uyen de dos n1an eras al
fundidad .
Aunque el diagrama 1.4 muestra las capas defensivas y sus agujeros q . . Los seres h umano s . fi: CClones
asociados como entidades fij as y estticas , en realidad estn en flujo cons- Cidentes orgam zatlvos . .
' obVIa n1e 1
d' ante los errores e In -a
1d . s
L
fallo de estos sistemas. a mas ,. por pilotos, contra a ore
tante. Una imagen en movinuento, donde cada estrato defensivo entrase . lnea del SIstema - . n es finan
o saliese del encuadre en funcin de las condiciones locales, representara cometidos en la pnmera d d eguros o de inverslO -
li ' arre ores e s al de
m ejor la metfora del queso suizo . D efensas concretas pu eden retirarse areos, agentes d e po Cla, c eradores de salas de control, perso n
.
Cleras, trl'pulaClon es navales, op
o inhabilitarse deliberadamente durante operaciones de calibracin, man-
tennLiento y comprobacin, o como resultado de errores e infracciones. P ress 1990 (trad.
y, k Cambndge UlUvers1ty , ' [l-
, e ] R easo n , HII I11at1d ElMrOdus
6 .veas
l; N ueva DI d' ?009) cap. 7. El trmino apareclOIP , .
Laboran 1, - , Al - refiero e ter-
5. Vase N. Moray, Monitoring behaviour and sup erviso ry contra!>' en K. Boff, L. cast. El elTor IIU11/a110 Madn ~ IU~go se camb1 por fallos latentes.. l~r~ato alguno.
Kaufillan y J. Thomas (eds.) , H andbook r1 Percep tiol'l Gnd H'.JIIInI'1 Peifonnat'lCe, vol. 2 Nueva
ll1ero CQ111.0 errores atentes r ue no 1111plica necesanall1ente error
'cO nd1c10nes latentes, po q
York,Wiley, 1986. nun O (' 3S

34
La gestin de los grandes riesgos
l. Amenazas, defensas y prdidas

embargo, ha producido un cambio inmenso en la naturaleza de la relacin

De igual modo, puede imaginarse que los aguj eros de cada estrato cambian
de los seres humanos con las tecnologas modernas, que es ms patente en
de sitio, van y vienen, menguan o se expanden en respuesta a las acciones
las centrales nucleares y en las glass- cockpit de la aviacin comercial. de los operadores y a las demandas locales.
En lugar de hallarse fisica y directamente involucrados en la tarea de pro-
Cmo se crean los aguj eros? Para responder a esta pregunta h emos
ducir algo (y, por consiguiente, en contacto inmediato con las amenazas
de tomar en consideracin la distincin entre fallos activos y condiciones
lo cales), los operadores de las centrales elctricas y los pilotos actan como latentes 6 .
planificadores, gestores, agentes de mantenimiento y controladores- su-
pervisores de sistemas en gran parte automatizados 5 . Una parte crucial de
Diagrama 1.4
este ltimo rol incluye la funcin defensiva de devolver el sistema a un es-
El ideal y la realidad de las defensas en profundidad
tado seguro en el caso de que se produzca una emergencia.
Las defensas en profundidad tienen sus pros y sus contras. Una de sus
consecuencias ms desafortunadas es que vuelven a los sistemas ms com-
plejos, y por ende ms opacos, para sus gestores y operadores. En muchos
El ideal
de esos sistemas, los seres humanos que ejercen el control estn cada vez
ms alejados, fisica e intelectualmente, de los sistemas productivos que no-
minalmente controlan. Esto favorece la proliferacin de condiciones la- Defensas en
tentes -que estudiaremos ms adelante. profundidad
' .1


EL MODELO DE DEFENSAS TIPO QUESO SUIZO

En un mundo ideal, todos los estratos de defensa estaran intactos y seran

impenetrables para las posibles trayectorias de accidente -como mues-
tra el lado izquierdo del diagrama 1.4-. En el mundo real, empero, todos
los estratos tienen puntos dbiles y agujeros del tipo que muestra el lado
derecho del diagrama. La naturaleza exacta de esos aguj eros ser objeto
de examen en el siguiente epgrafe; pero antes debemos transmitir al
menos algo de la naturaleza dinmica de esas diversas defensas en pro-
fundidad.
Aunque el diagrama 1.4 muestra las capas defensivas y sus agujeros
asociados como entidades fijas y estticas, en realidad estn en flujo cons-
tante. Una imagen en movimiento, donde cada estrato defensivo entrase
o saliese del encuadre en fimcin de las condiciones locales, representara
mejor la metfora del queso suizo. Defensas concretas pueden retirarse
o inhabilitarse deliberadamente durante operaciones de calibracin, man-
tenimiento y comprobacin, o como resultado de errores e infracciones.
FALLOS ACTIVOS Y CONDICIONES LATENTES
Dado que son los seres humanos quienes disean, manufacturan, operan,
mantienen y gestionan los sistemas tecnolgicos complejos, no es extrao
que las decisiones y acciones humanas estn implicadas en todos los ac-
cidentes organizativos. Los seres humanos contribuyen de dos maneras al
fallo de estos sistemas. La ms obvia, mediante los errores e infracciones
cometidos en la primera lnea del sistema -por pilotos, controladores
areos, agentes de polica, corredores de seguros o de inversiones finan-
cieras, tripulaciones navales, operadores de salas de control, personal de

6.Vase J. Reason, Human Enm; Nueva York, Camb ridge University Press, 1990 (trad.
5. Vase N . Moray, Monitoring behaviour and sup ervisory co ntro],) en K. Boff, L.
cast.: El error humano, Madrid, Modus Laborandi, 2009], cap. 7. El trmino apareci pri-
Kaufillan y J. Thomas (eds.), Handbook of Perception and Hum an Peifonnance, vol. 2 Nueva
mero como errores latentes y luego se cambi por fallos latentes.Ahora prefiero el tr-
York,Wiley,1986 .
nuno condicion es latentes, porque no implica necesariamente error o fallo alguno.

34
35
La gestin de los grandes ri esgos
manteninuento y otros como ellos-o Es probable que sus actos peligro-
sos tengan impacto directo sobre la seguridad del sistema; debido a la in-
mediatez de sus efectos adversos se los denomina fallos activos.
Si se tratase de accidentes individuales, es probable que el descubri-
miento de los actos peligrosos inmediatamente anteriores al resultado ne-
gativo constituyese el final del asunto. De hecho, que la identificacin de
los fallos activos no cierre el dossier de la investigacin de un accidente
importante es algo que slo viene ocurriendo desde mediados de la d-
cada de los setenta , aproximadamente. Antes, limitar la responsabilidad a
los errores de individuos que se encontraban en la primera lnea de las
operaciones era algo que convena tanto a los investigadores como a las
organizaciones afectadas -por no hablar de los abogados, que siguen te-
niendo dificultades para establecer nexos causales entre las decisiones al
m ximo nivel y los sucesos con cretos.
Hoyes improbable que los investigadores o las organizaciones res-
ponsables den por acabada la bsqueda de las causas de un accidente or-
ganizativo con la mera identificacin de los fallos humanos ocurridos en
primera lnea . Esos actos peligrosos se ven ahora ms como consecuen-
cias que como ca usas principales 7 . Veremos el desarrollo de esta nueva
perspec tiva y los episodios que la conformaron en el captulo 4. Aunque
la falibilidad es una condicin inevitable de la naturaleza humana, hoy se
reconoce que las personas que trabajan en sistemas complejos cometen
errores o quebrantan sus pro cedimientos por razones que, por lo general,
trascienden el mbito de la psicologa individual. Estas razones son las con-
diciones latentes .
Las condiciones latentes son a las organizaciones tecnolgicas lo que los
patgenos residentes al cuerpo humano. Como stos, las condiciones la-
tentes -tales como un diseI'io pobre, una sup ervisin incompleta, los de-
fectos de fabricacin o los fallos de mantenimiento inadvertidos, los
procedimientos impracticables, una automatizacin tosca, una formacin
insuficiente o unas herramientas y equipos por debajo de lo que sera ade-
cuado- pueden estar presentes durante muchos aos antes de combinarse
con circunstancias locales y fallos activos para traspasar las numerosas ca-
pas de defensas del sistema. Su origen radica en decisiones estratgicas, y
otras de alto nivel, adoptadas por las administraciones pblicas, los regula-
7. DavidWoods y sus colegas de la O hi o State University han desa rrol.lado la idea de
qu e los errores son consecuencias ms que causas.Vase, por ejemplo, D.Woods el ni., Be-
Ililld HlllllnII Error: Cogn ili/le S)'stellls, COlllpllters nn.d HI'ldsiglrl. Slate-ofllre-A rl Reporl, (Day-
ton , Ohio, CSE RIAC, Wright-Patterson Air-Force Base, 1994) .
1. Amenazas, defen sas y prdidas
dores, los fabricantes, los diseadores y los gestores de las organizaciones.
El impacto de estas decisiones se extiende a travs de la organizacin, co n-
figura una cultura de empresa caracterstica (vase el captulo 9) y crea fac-
tores productores de errores en los lugares de trabajo concretos.
Las condiciones latentes estn presentes en todos los sistemas. Son una
parte inevitable de la vida de las orgaluzaciones.Y no son necesariamente
producto de malas decisiones, aunque tambin pueden serlo. Por ejemplo,
es raro que los recursos se distribuyan equitativamente entre los distintos
departamentos de la organizacin. La decisin original de su asignacin
puede haberse basado en slidas razones mercantiles, pero todas esas des-
igualdades crean problemas de calidad, fiabilidad o seguridad a alguien, en
alguna parte del sistema, en algn momento posterior. Ningn grupo de
altos directivos puede prever todas las ramificaciones futuras de sus deci-
siones actuales.
As pues, la importantsima distincin entre fa llos activos y condicio -
nes latentes se basa en dos factores de carc ter principalmente organiza-
tivo. El primero tiene que ver con el tiempo que tardan en ocasionar un
impacto negativo. Los fallos activos suelen tener efectos inmediatos y de
vida relativamente corta, mientras que las condicio nes latentes pu eden
permanecer inactivas durante un tiempo, sin causar ningn dafio partiCll-
lar, hasta que interac tan con las circunstancias locales de modo que su-
peran las defensas del sistema. Su segunda diferencia tiene relacin con la
localizacin de sus instigadores humanos dentro de la organizacin. Los
fallos activos los com eten quienes se sitan en la interfaz ser humano-sis-
tema -el personal de primera lnea-. En cambio, las condiciones la-
tentes se gestan entre sus cuadros directivos, y en el interior de agencias
de fabricacin, co ntratacin, regulacin o de la ad ministra ci n pblica
relacionadas con ellos.
Los fallos activos particulares tienden a ser exclusivos de un suceso
concreto, mientras que unas mismas condiciones latentes -si no se las
descubre y corrige- pueden contribuir a cierto nmero de accidentes di-
ferentes. Las condiciones latentes pueden aumentar la probabilidad de fa-
llos activos por medio de la creacin de factores lo cales que promuevan
la comisin de errores e infi:acciones y pueden tambin agravar las con-
secuencias de los actos peligrosos a travs de sus efectos sobre las defen-
sas, barreras y salvaguardias del sistema.
37
La gestin de los grandes riesgos 1. Amenazas, defensas y prdidas

LA TRAYECTORIA DEL ACCIDENTE D iagrama 1.5

Una trayectoria de accidente atraviesa los aguj eros alineados en los sucesivos
La condicin necesaria de un accidente organizativo es la rara reunin estratos de defensas, barreras y salvaguardias
de un conjunto de aguj eros en sucesivas defensas qu e permite a las ame-
nazas entrar en contacto daino con personas y bienes. Estas ventanas
de oportunidad son raras gracias a la pluralidad de las defensas y la mo-
Algun os agujeros
vilidad de los agujeros. El diagrama 1.5 muestra una trayectoria de acci-
debidos a fa llos activos
dente. Los fallos activos pu eden crear orificios en las defensas al m enos de
dos formas. Primero, el personal de primera lnea puede desactivar deli-
beradamente ciertas defensas para cumplir objetivos operativos locales. El
ejemplo ms trgico de una decisin de este tipo sucedi cuando los ope-
radores de la sala de control de C h ernbil desactivaron los sucesivos ni-
veles de defensa del reactor nuclear RBMK a fin de completar la tarea de
Defe nsas en
probar un nuevo generador de voltaje. Segundo, los operarios de primera profundidad
lnea pueden, sin darse cuenta, falla r en el desempeo de su rol como una
de las lineas de defensa ms importantes del sistema. Un ejemplo comn
sera el diagnstico errneo de un estado anormal del sistema, que in-
duce una secu encia incorrecta de acciones de recuperacin. Esos errores Otros aguj eros
de primera linea desempearon un papel significativo en el accidente de debidos a
la central nuclear de T hree Mile Island, en el desastre del iso cianato de condiciones laten tes

metilo de Bhopal, en las fatales avalanchas humanas de los estadios de ft-

bol de Heysel y Sheffield8 y en muchos otros accidentes organizativos.
Nadie puede prever todos los posibles escenarios de desastre; en con-
secu en cia, es inevitable que desde el comienzo mismo de la vida pro- Los agujeros pueden ser produ cto de fallos activos o latentes.

ductiva de un sistema tenga ste algunas debilidades defensivas, o que se

desarrollen inadvertidas -o, al menos, sin ser corregidas- durante sus
operaciones subsiguientes. Tales condiciones latentes pueden adoptar di-
versas formas: son ejemplos el diseo que haca al Herald if Free Enterprise
propenso a zozobrar, las juntas tricas defectuosas de los cohetes auxilia-
res del Challenger, la inadecuada contencin de incendios y los aspersores
corrodos de la plataforma de extraccin de gas Piper Alpha, la incapaci-
dad para advertir el riesgo de incendio en las estaciones del metro de Lon-
dres y la erosin gradual de las inspecciones por parte de la supervisin
que llev tanto al desastre ferroviario de Clapham Junction como a la
quiebra del Banco Barings.
Los fallos activos y las conriiciones latentes pueden provocar de dife-
rentes maneras la superacin parcial o total de las defensas de un sistema.
El captulo 2 presentar tres casos de estudio que ilustran algunas de ellas.
Pero antes debemos examinar las fases que conforman la historia de un
accidente organizativo.

8. En uno u otro lu gar de este libro analizaremos los dems accidentes citados en esta DE LA DILIGENCIA AL JUMBO
lista (y citaremos las fuentes) pero no volveremos a hacer mencin de los desastres ocu-
rridos en es tadios de ftbo l. El m ejor anlisis de estos accidentes posiblemente sea el ofre- Podemos reflexionar acerca de la historia de los accidentes organizativos
cido por DOlninic Elliot y Denis Sm.ith en su artculo Football stadia disasters in the
United Kingdom: learning from tragedy, In dl/stria! and EnvirO/l/nenta! Crisis Quarterly, 7,
empleando dos marcos temporales distintos: uno que abarque la historia
1993, pp. 205-229. de una organizacin en particular; otro que comprenda la historia de un

39
La gesti n de los grandes riesgos
accidente organizativo concre to. Nu estro principal inters se centra en el
segundo, pero merece la pena conceder algo de atencin al primero, aun-
que slo sea para iluminar un poco ms la distincin entre accidentes in-
dividuales y accidentes organizativos.
Imaginemos una organizacin cuya vida dio comienzo ha ce ms de
un siglo, en el Oeste Americano, transportando pasajeros y correo de una
ciudad a otra de la fiontera en diligencia. Asumamos tambin que la misma
compi.a gobierna hoy con xito un negocio de transporte areo de al-
cance mundial que utiliza reactores de carga modernos y toda la parafer-
nalia de alta tecnologa que ahora acompa l1a a tal empresa. (Cualquier
parecido con una organizacin real es pura coincidencia).
Al comienzo, los padres fundadores reuniran el dinero necesario para
comprar una diligencia y algunos caballos; probablemente, conduciran
ellos mismos -al menos, al inicio-o Su negocio les expondra a nume-
rosas amenazas: indios hostiles, bandidos, desiertos, carninos en mal estado,
barrancos y diversas condiciones meteorolgicas extremas. Podan prever
algunos de estos peligros, pero otros habran de aprenderlos a travs de
amargas exp eriencias. Con el tiempo, su proteccin aumentara gradual-
nlente -de proveer a los conductores con un revlver y un abrigo de
cu ero de oveja pasando por contratar personal adicional, armado con es-
copetas, y procurarle mejores armas, hasta conseguir una escolta de caba-
llera para atravesar territorios peligrosos, etc.
Si en aqu ellos das pioneros ocurra algn desastre, la culpa -si se la
puede llamar as- era casi por entero de quienes estuvieran en el lugar
del suceso. Un conductor poda ignorar las advertencias locales y elegir
una ruta peligrosa, o tomar una curva demasiado deprisa y volcar; el des-
cuidado Winchester del escolta poda encasquillarse, o quedarse sin mu-
nicin, o simplemente poda no apuntar recto.
En esta etapa de la historia de la organizacin todos esos contratiem-
pos seran accidentes individuales, con causas y consecuencias muy loca-
lizadas. Veamos ahora un escenario contempo rneo. Supongamos que uno
de los Jumb o de la compa l'ia despega del aeropuerto de una gran ciudad
y ms tarde se estrella contra un edificio de viviendas, de modo que fa-
llece la tripulacin y numerosos residentes. La primera posibilidad en que
se piensa tras un accidente semejante es la de un error del piloto. En este
caso, sin embargo, los investigadores del accidente areo establecen pronto
que una clavija de suj ecin de uno de los motores fall justo despus del
despegue; eso caus que el motor se desprendiera, lo que volvi in con-
trolable al avin. Las subsigui entes inspecciones de las instalaciones de
40
1. Amenazas, defensas y prdidas
mantenimiento de la compaa revelan que el aparato acababa de pasar
una revisin general que inclua una prueba no destructiva de las clavijas
de seguridad y tambin que las arandelas de fijacin de las clavijas de ese
avin en concreto no haban vuelto a colocarse despus de la revisin y
que el inspector no haba detectado su ausencia. A la zona de la clavija de
suj ecin, que estaba mal iluminada, se acceda a travs de una plataforma
de trabajo baj o el ala inestable. El desmontaje y reposicin de las fijacio-
nes era responsabilidad de un mecnico con escasa formacin y que no
vea la necesidad de usar etiquetas rojas de advertencia para indicar la re-
tirada no rutinaria de alguna pieza, etc.
Los investigadores podran entonces proceder a preguntar por qu los
mecnicos no haban recibido ningn curso formal de formacin, por
qu en aquel momento estaba vacante el puesto de director de formacin,
por qu eran inadecuadas las condiciones del lugar de trabajo y p or qu
los fabricantes del aparato creyeron necesario instalar clavijas de seguri-
dad, dado qu e, a pesar de haber sido concebidas como dispositivo de se-
guridad (que posibilitara que el motor se separase rpidamente del ala
en caso de explosin o colisin), su fallo haba estado involucrado en nu-
merosos incidentes y accidentes.
En suma, el suceso no tuvo el fallo de una persona en particular como
causa suficiente. Fue un accidente organizativo cuyos orgenes podran
retrotraerse a muchos mbitos del sistema de transporte areo, del opera-
dor al fabricante y -por implicacin- al ente regulador. Y si alguien
cree que semejante conjuncin de sucesos desafortunados es demasiado
improbable para ser verosmil, cabe sealar que todos los fallos individua-
les mencionados en esta narracin han ocurrido realmente, aunque nunca
reunidos en un nico accidente de aviacin.
El mensaje de este estudio de caso hipottico es que si bien puede ser
idneo que quienes se preocupan de los accidentes individuales en siste-
mas de tecnologa sencilla centren su atencin en los actos peligrosos de
agentes inmediatos, ese enfoque sera totalmente incapaz de descubrir
causas remediables de un accidente organizativo. Virtualmente todas las
causas de cualquier contrariedad que le suceda a una diligencia sern fa-
llos activos. Si se encu entra el modo de corregir esos fallos -mejores
armas, mejor suspensin, mejores mapas, mejor proteccin contra las in-
clemencias del tiempo-los mrgenes de seguridad aumentarn, o lo ha-
ran si estas mejoras en las defensas no induj eran a los conductores a tom ar
atajos a travs de territorios considerados hasta entonces como demasiado
peligrosos (y ste es un s con maysculas).
41
La gesti n de los grandes riesgos
D ebera ser obvio ya que una investigacin similar, centrada en el indi-
viduo, en el caso del accidente del Jumbo, tendra escasas o nulas probabi-
lidades de mej orar la seguridad del sistem a. Mientras los sistemas
tecn olgicos modernos empleen personas, habr siempre fallos activos
-muy pocos de los cuales tendrn consecuencias pelj udiciales porque las
defensas neutralizarn la mayora de ellos-oN o podemos cambIar la con-
dicin humana, pero s las condiciones de trabaj o de las personas. Ahora
bien, el nico m odo de lograr mej oras radicales de este tipo es mediante
una mejor comprensin de la naturaleza de los accidentes organizativos.
M s adelante presentaremos algunos pasos preliminares hacia este obJ ebvo.
FASES EN EL DESARROLLO DE UN AC CIDEN TE ORGANIZATIVO
El relato del accidente del reactor de carga que acabam os de leer ofi'ece al-
gunos atisbos de las dific ultades que afi'ontan quienes intentan rastrear las
causas ltimas de un accidente organizativo. D nde trazar la lnea?, en las
lindes de la organizacin?, en el fabricante?, en el regulador?, en los fac-
tores sociales que conformaron esas diversas ap ortaciones causales? Luego
veremos que las actuales investigaciones de accidentes toman en conside-
racin todas esas influencias, cada vez ms remotas. En teora, las diversas
cadenas causales se podran retrotraer hasta el Big Bang. Pero, entonces,
qu reglas indican dnde ha de detenerse el anlisis de los accidentes or-
ganizativos? , .
D ado qu e el tiempo y la causalidad son continuos, carecen de lnutes
naturales; hay slo imp osiciones artificiales. Al analista de accidentes, como
al historiador, lo limitan sus recursos y la disponibilidad de evidencia fia-
ble. D ej ando a un lado las preocupaciones legales sobre la responsabilidad,
hay dos motivos principales para efectuar investigaciones . de accidentes:
determinar qu pas y evitar que algo as vu elva a ocurrIr en el futuro.
Ambos obj etivos se alcanzan mej or limitando el alcance del anlisis a aque-
llas cosas sobre las qu e cabe esperar razonablem ente que las personas Im-
plicadas -y, muy en especial, los gestores del sistema- pu edan ej ercer
algn control. Una pequea y triste historia ayudar a cla rifica~' este punto.
Valeri Legasov, acadmico de la Unin Sovitica, fue el l11vestlgador
principal del desastre del reactor nuclear de C h ernbil, ocurr!do el 2~ .de
abril de 1986. l fu e tambin el principal portavoz de la Umon SovletlCa
en la conferencia internacional sobre el accidente, que se celebr en Viena
en septiembre del n1.ism o ao. En ese encu entro, Legasov culp plena-
42
I. Amenazas, defensas y prdidas
mente del desastre a los errores e infi'accion es de los op eradores. M s tarde
confes a sus amigos que en Viena dij e la verdad, p ero no toda la verdad.
En abril de 1988, exactam ente dos aos despus del desastre, se ahorc col-
gndose del balcn de su apartamento. Antes de suicidarse, grab sus sen-
timientos m s profundos acerca del accidente en una cinta magnetofnica.
Tras visitar Chernbil, llegu a la inequvoca conclusin de que el accidente
era ... el resultado agregado de toda la incorrecta gestin de la econona que
imperaba en nuestro pas desde haca tantos aos 9 .
Es muy p osible que la evaluacin de Legasov fu era correcta, p ero de
qu nos sirve esa inform acin ? N o p odemos volver a 1917 y vivir de o tro
modo los ios que siguieron a la R evolucin Sovitica. Aunque el vere-
dicto de Legasov sea correcto es improbable que lleve a mejoras tangibles .
A los m odelos causales de accidentes cabe juzgarlos slo por la medida en
que sus aplicacion es m ej oran la seguridad del sistem a. Las defi ciencias
econmi cas y sociales que Legasov identific estn fu era del alcance de
los gestores del sistema, desde cuya p ersp ectiva esos problemas so n he-
chos dados e inmutables. Por el contrario, nuestro inters principal debe
orientarse hacia lo que es posible cambiar y controlar.
Por estas razones, y porque la cantidad y fiabilidad de la informacin
relevante declinar rpidamente con la creciente distancia del suceso, el
modelo de pro ceso causal de un accidente que ofrece el diagrama 1. 6
debe necesariam ente mantenerse, en gran m edida, dentro de los lmites de
lo que la organizacin afectada puede gestionar. Adems, debera adver-
tirse tambin que todas las organizaciones tecn olgicas tienen estrech os
lazos con otras organizacion es. El sistema areo en conj unto, p or ej emplo,
incluye a aerolneas, autoridades aerop ortu arias, mantenimiento, fab ri-
cantes, controladores areos, reguladores, sindicatos, departam entos de la
administracin pblica, ministros del gobierno y organismos in ternacio-
nales com o la Asociacin Internacional del Transporte Areo o la O rga-
nizacin Internacional de Aviac in C ivil - todos los cuales pueden
desemp ear algn papel en un accidente organizativo.
El diagram a 1. 6 mues tra las principales fases del desarrollo de un ac-
cidente organizativo. Este modelo intenta con ec tar los diversos elem en -
tos qu e inciden en una secuencia coherente, qu e va de abaj o hacia arriba
en la influ encia causal y de arriba hacia abaj o en la investigacin.
9. La cita procede de las C intas L egasov, una trascripcin preparada por el D eparta-
mento de Energa de los Estados U nidos en 1988. El ma terial original apareci en Pral/da
poco desp us de la muerte de Legasov.
43
La gesti n d e los gra ndes ri esgos
D iagrama 1.6
Fases del desarrollo y la inves tigaci n de un accidente organizativo
DEFENSAS
PELIGRO
1111
AMENAZAS
1111
Vas
de las condiciones
latentes
E l rect ngul o superior represe nta los elem entos prin cipales de un suceso ; el tri ngulo inferior,
el sistema qu e lo produce, dividido en tres niveles: las personas (actos peLigrosos), el luga r de tra-
bajo (circunstan cias que provocan errores) y la orga nizaci n. Las fl echas negras en direccin as-
cendente in dica n la direccin de la ca usalidad; las flechas blancas en direcc i n descendente, los
pasos de la investigacin.
Aceptando el marco temporal discutido antes, la historia ca usal co-
mienza con los factores organizativos: decisiones estratgicas y procesos
organizativos generales -prediccin, elaboracin de presupuestos, asig-
nacin de recursos, planificacin, programa cin temporal, comunicacin,
gestin, auditora, etc.-. Estos procesos estarn co nfigurados y colorea-
dos por la cultura de la empresa, por las ac titudes tcitas y las reglas no es-
critas relativas al modo como esa organizacin lleva a cabo sus asuntos
(vase el captulo 9 para un anlisis ms extenso de la cultura organizativa).
Las consecuencias de estas actividades se transmiten desp us a travs
de toda la organizacin hasta los lugares de trabajo individuales - salas de
control, cabinas de vuelo, centros de control del trfico areo, instalacio-
44
1. A m en azas, d e fen sas y prdidas
nes de mantenimiento, etc.-, donde se revelan como factores con cierta
probabilidad de inducir actos peligrosos. Esos factores incluyen la presin
temporal, las h erramientas y los equip os inadecuados, deficien tes interfa-
ces operario-mquina, la formaci n insuficiente, la escasez de p erso nal,
una mala ratio supervisor-trabajadores, los salarios bajos, el bajo estatus, una
cultura de machotes, los pro cedimientos ambiguos o impracticables, las
malas comunicaciones, etc.
En el luga r de trabajo, estos factores locales se combinan con las natu-
rales tendencias humanas a produ cir errores e infi:acciones -denomina-
dos, en conjunto, actos p eligrosos-, que com eten los individuos y
equip os situ ados en primera lnea o en la intelfaz directa persona-m-
quina. Se cometern m uch os de estos actos p eligrosos, p ero slo unos
pocos, m uy po cos, provocarn aguj eros en las defensas. Analizaremos en
detalle la naturaleza de es tos actos en el captulo 4. Aunque esta clase de
actos estn implicados en la mayora de los accidentes organizativos , no
son una condicin n ecesaria. En algunas ocasiones, las defensas fallan sim-
plem ente como resultado de condiciones latentes -como, por ejemplo,
en los desastres del Challenger y en el incendio de la estacin de metro de
King's Cross-. El diagrama 1.6 muestra esta posibilidad mediante las vas
de las condiciones latentes, que conectan directamente el lugar de trabajo
y los factores organizativos con el fallo de las defensas.
Hasta aqu h emos visto la secuen cia causal de los accidentes, desde los
fac tores organizativos, p asando por las condiciones del lugar de trabajo y
los actos peligrosos de un individuo (o un equipo) hasta el fallo de las de-
fensas y los resultados adversos. En su anlisis o su investiaacin
o la direc-
cin se invierte (sigu e las flechas blancas del grfico 1.6) . La investigacin
comienza por el resultado aciago (qu sucedi) e indaga luego cundo y
cmo fallaron las defensas. D ebe establecerse qu fallos activos y qu con-
diciones latentes estuvieron implicadas en ca da defensa rota o eludida; y
en cada acto contrario a la seguridad que se identifique, qu condiciones
lo cales pudieron hab erlo configurado o provocado; y para cada una de
stas , qu factores organizativos corriente arriba pudieron haber con-
tribuido a crearlas. Cada condicin local puede ser producto de varios
factores organizativos diferentes, pues es probable que existan mltiples
conexion es entre los elementos organizativos del modelo y los diversos
emplazamientos de trabajo.
45
La gestin de los grandes riesgos
RESUMEN DEL ARGUMENTO
Este captulo empez por distinguir entre accidentes individuales y orga-
nizativos. La frecuencia de los accidentes individuales en el lugar de tra-
bajo ha disminuido radicalmente con los aos, pero su naturaleza bsica
-deslices, lapsus, tropiezos y torpezas fiente a los que no se estaba pro-
tegido- ha permanecido ms o menos constante en cuanto que es pro-
bable que un individuo, o un equipo de trabajo, sea al mismo tiempo el
agente y la vctima del accidente. En cambio, los accidentes organizativos
-el tema de este libro- son un fenmeno relativamente nuevo, surgido
de desarrollos tecnolgicos que han aumentado en gran medida las de-
fensas del sistema a la vez que han cambiado el rol de las personas de pro-
ductores o transformadores distribuidos a p ensadores y controladores
centralizados.
En contraste con tiempos pretritos, los elementos humanos de las
tecnologas modernas suelen hallarse alejados de las amenazas cotidianas
de sus respectivas operaciones. En los sistemas de alta tecnologa ocurren
muy raramente accidentes organizativos pero, cuando ocurren, es proba-
ble que sus resultados sean desastrosos y que no afecten slo a los impli-
cados inmediatos sino tambin a personas y bienes muy alejados del
suceso, tanto en el espacio como en el tiempo. La lluvia radiactiva de
C h ernbil, por ej emplo, sigue constituyendo una amenaza para las gene-
raciones futuras en grandes reas de Europa.
Entender los accidentes organizativos y reducir su frecuencia son los
mayores retos que afiontamos al inicio del nuevo milenio. Sus costes hu-
manos, ambientales y econmicos son inaceptables. Pero, cmo desarro-
llaremos un conj unto de conceptos igualmente aplicables a todos estos
sucesos, extremadam.ente infrecuentes y singulares y -lo ms imp or-
tante- que contribuyan a mejorar la prevencin? He propuesto dos con-
juntos de trminos: el primero aporta un marco para entender los detalles
de un suceso particular -amenazas, defensas, prdidas-; el segundo -la
tensin entre produccin y proteccin- ofrece un medio para entender
los procesos que desembocan en el fallo de las defensas. Mencionamos dos
de esos procesos: el sacrificio de mejoras protectoras para obtener ventajas
productivas y el deterioro gradual de las defensas a lo largo de periodos en
los que la ausencia de sucesos adversos crea la impresin de que el sistema
funciona con seguridad -el caso del barco indemne .
Las defensas en profundidad han logrado que los sistemas tecnolgi-
cos modernos sean en gran medida inmunes a fallos aislados. A su vez,
I. Amenazas, defensas y prdidas
son el elemento singular con mayor responsabilidad en el surgimiento de
los accidentes organizativos. Hemos clasificado las barreras y salvaguar-
dias de dos maneras: por su funcin (conciencia, comprensin, aviso, di-
reccin, restauracin, interposicin, contencin, evacuacin y rescate) y
por sus modos de aplicacin (defensas duras)) y blandas))). Ningn estrato
defensivo est nunca totalmente intacto; empero, todos ellos tienen res-
quicios y aguj eros creados por combinaciones de fallos activos (errores e
infi.acciones cometidos por el personal de primera lnea) y condiciones la-
tentes (consecuencias de decisiones de alto nivel con efecto retardado
sobre la integridad de los diversos estratos defensivos) .
El captulo concluy con dos perspectivas sobre el desarrollo de los ac-
cidentes organizativos. La primera esboz el desarrollo de una organiza-
cin hipottica desde sus h eroicos das iniciales, cuando es probable que
todas sus contrariedades consistiesen en accidentes individuales, hasta los
tiempos actuales, en los que el riesgo mayor proviene de los infiecuentes
pero catastrficos accidentes organizativos. La segunda perspectiva traz la
historia de un accidente organizativo concreto y sigui su desarrollo desde
los factores sistmicos situ ados corriente arriba)), a travs de los factores
locales inductores de errores e infracciones, hasta el nivel del individuo
que incurri en actos peligrosos. Muchos fallos activos sern inocuos, pero
es probable que algunos tengan efectos adversos inmediatos sobre las de-
fensas locales. Cuando los resquicios abiertos por fallos activos se alinean))
con los creados por las condiciones latentes, surge una ventana de opor-
tunidad)) a travs de la cual una trayectoria de un accidente puede hacer
que alguna amenaza entre en contacto pernicioso con activos y personas.
El propsito principal de este captulo ha sido presentar las ideas b-
sicas y preparar el camino para un anlisis ms exhaustivo de estos temas
en los siguientes captulos. El captulo 2 inicia este anlisis ms refinado
examinando las varias grietas en el sistema)) que revelan los estudios de
caso de tres accidentes organizativos. Aqu nuestro propsito es dar con-
crecin a esta estructura abstracta. Debo reiterar que ste no es otro libro
ms sobre estudios de caso de accidentes. Los he incluido aqu por el
nico motivo de comprender mejor los accidentes organizativos en ge-
neral, ms que sus ejemplos particulares.
47
 2
La derrota de las defensas

LAS COSAS NO SIEMPRE SON LO QUE PARECEN

LA MENTE HUMANA T IENE PRO PENSiN a emparej ar aquello que se asemeja!.

Es natural, pues, que creamos que los accidentes desastrosos se deban a
errores igualmente monstruosos . Sin embargo, la investigacin minuciosa
de las catstrofes organizativas ha invertido ese saber convencional: las de-
fensas pueden ser p eligrosas; el mejor personal puede cometer los peores
errores; las organizaciones ms concien zudas y mejor dirigidas pu eden
sufi'ir las p eores calamidades. Como el camino al infierno, la mayora de
las secuencias de accidentes estn empedradas de buenas intenciones -o
de lo que en su da parecieron buenas ideas .
En el captulo anterior presentamos las ab erturas que los fallos ac tivos
y las condiciones latentes crean en las defensas del sistema. Cuando en-
gendran un resultado particularm ente malo, asumimos naturalmente que
slo puede hab er sido fi'uto de unos inmensos aguj eros debidos a una tre-
menda n egligencia o a una mala prctica habitual. Puede que las malas
prcticas formen p arte del cuadro, pero la realidad suele ser mucho m s
ordinaria. Las trayec torias de los accidentes organizativos pueden desli-
zarse con la misma facilidad a travs de grietas diminutas y en aparien cia
insignifica ntes qu e a travs de los ms inmensos agujeros.
Este captulo analiza tres casos de estudio recientes extrados de tres
mbitos muy diferentes. El primero, un casi accidente qu e se desliz a tra-
vs de grietas nnimas en el sistema; el segundo, un desastre que p as por
unas aberturas enormes en las defensas; el tercero, cosa infrecuente, tuvo
su origen en una sola p ero prolongada condicin latente. Muchos otros

1. Sir Francis Baco n lo expres co n ms elega ncia en 1620: La mente humana es pro-
pensa a sup oner la existencia de ms orden y regularidad en el mundo de los qu e halla en
l (Tll e New O lga/IOII). Una man era de simplificar consiste en suponer la simetra de mag-
nitud entre ca usas y consecuencias.

49

La gestin de los grandes riesgos
estudios de caso bien documentados habran servido igualmente bien a
nuestros propsitos, pero la mayora han sido ya exhaustivamente anali-
zados en otros trabajos.
Nuestro propsito es intentar identificar patrones recurrentes en las
formas en que fallan las defensas. Existen, incluso en sucesos tan dife-
rentes como stos, suficientes rasgos comunes como para permitirnos abs-
traer algunos principios generales sobre el desarrollo de los accidentes
organizativos? El cientfico social estadounidense Karl Weick expuso con
gran acierto el meollo del problema:
Sabemos que las causas nicas son raras, pero desconocemos cmo pueden
llegar a encadenarse algunos pequeos sucesos hasta producir un resultado
desastroso. Sin ese conocimiento, hemos de esperar a que, en efecto, suceda
una crisis para poder diagnosticar un problema, ya que no estamos en condi-
ciones de detectar un problema potencial antes de que sUlja .Anticipar y pre-
ver desastres equivale a entender las regularidades existentes en las formas
que tienen de combinarse los pequeos sucesos hasta tener efectos despro-
porcionadamente grandes 2
DESLIZNDONOS A TRAVS DE LAS GRIETAS DEL SISTEMA
DE MANTENIMIENTO DE AERONAVES
Nuestro primer caso de estudio es un ejemplo de primera categora de un
accidente areo que casi se abri paso a travs de los dim.inutos resquicios
de la vasta armadura del sistema. No ocurri una catstrofe, por fortuna,
pero estuvo muy cerca, y slo la evit, en la ltima trinchera, la pronta ac-
tuacin de las defensas humanas 3 .
Al poco de despegar del aeropuerto de East Midlands hacia Lanzarote,
en las Islas Canarias, los pilotos del Boeing 737-400 detectaron prdida de
aceite y cada de su presin en ambos motores; emitieron un Mayday y
se dirigieron al aeropuerto de Luton, donde tan pronto tomaron tierra los
apagaron. No hubo heridos. Luego se descubri que las cubiertas de la
transmisin a alta presin del rotor faltaban en ambos motores y de ah su
2.Vase K . E. Weick, The vulnerable system: an analysis of the Tenerife air c!isaster,
en PJ. Frost et al. (ed.) Riframil'lg Olganiz ational Culture, Londres, Sage Publications, 1991.
Kad Weick es uno de los cientficos sociales ms perspicaces en el mbito de los accidentes
organizativos, y su trabajo aparecer citado en relacin con diferentes temas a lo largo de
este libro.
3. Report 01'1 the Incident to Boeing 737-400, C-OBMM, Near Dallentr)' 0/'1 23 February 1995,
Aircraft Incident Report 3/96, Department ofTransport, Londres, HMSO, 1996.
50
p
2. La derrota de las defensas
casi total prdida de aceite durante el vuelo. La noche anterior los inge-
nieros de mantenirniento de la aerolnea haban efectuado una inspec-
cin programada de ambos motores usando un boroscopio (inspeccin
obligatoria cada 750 horas de vuelo).
Esas inspecciones deba efectuarlas el turno de noche de manteni-
miento en lnea. La noche vspera de aqulla en que haba de realizarse
esa tarea, el ingeniero de mantenimiento en lnea a cargo del turno ex-
pres su preocupacin por el personal disponible para ocuparse de la carga
de trabajo prevista para la noche siguiente, que saba inclua las inspec-
ciones con el boroscopio.Alllegar esa noche a su trabajo, sin embargo, se
encontr con que no se haba asignado personal de mantenimiento extra
a su grupo. De los seis hombres que nominalmente lo constituan slo es-
taban de servicio cuatro esa noche y dos de ellos - incluido el propio in-
geniero de mantenimiento en lnea- estaban trabajando noches extra
para cubrir insuficiencias de personal.
El ingeniero se apercibi de que debera efectuar las inspecciones con
el boroscopio l mismo, pues era el nico ingeniero de ese turno en la
lnea en posesin de la necesaria autorizacin. Como la inspeccin deba
realizarse en un hangar a cierta distancia de donde se haca el grueso del
trabajo de mantenim.iento en lnea, pero muy cerca del hangar de man-
tenimiento en base, decidi poner la inspeccin a la cabeza de su lista de
tareas de esa noche.
Despus de organizar el trabajo de su equipo para esa noche, recogi
de la oficina de mantenimiento en lnea la documentacin referente a la
inspeccin y se dirigi al avin, donde empez a preparar uno de los mo-
tores para esa operacin. Hecho esto, cruz al cercano hangar de mante-
nimiento en base, donde se guardaba el boroscopio. All encontr al
controlador de mantenimiento en base (a cargo del turno de noche de
este servicio) y le pidi el equipo de inspeccin, y tambin si haba al-
guien disponible que pudiera echarle una mano, porque necesitaba una
s~gunda persona que girase la bobina del motor mientras l efectuaba la
inspeccin.
En el turno de noche tambin andaban escasos de personal. Al llegar
esa noche a su oficina el controlador de mantenimiento en base haba re-
cibido una peticin de los remolque en rampa para que sacase otro avin
de su rea (un Boeing 737-500) porque estaba estorbando, y no poda res-
ponder de inmediato a su demanda por falta de personal en su equipo.
Pero al escuchar al ingeniero de lnea vio el modo de matar dos pjaros de
un tiro. Las normas de la empresa exigan que, para conservar su autoriza-
51
La ges ti n de los grand es ri esgos
ci n para usarlo, el perso nal deba realizar al io dos inspecciones con bo-
roscopio de las obligatorias cada 750 horas4 . Su autorizacin estaba prxima
a caducar porque muy raram ente se le asignaba esa tarea.Tamhn saba que
el turno de mantenimiento en lnea deba ocuparse de ocho aviones esa
no che y le faltaban dos hombres. As que ofi:eci un truequ e. l efectua-
ra la inspeccin con el boroscopio si el ingeniero de m antenimiento en
lnea se encargaba de traer el B737-500 de la plataforma de operacion es a
la zona de mantenimiento en base.
El ingeniero de mantenimiento en lnea estuvo de acuerdo con este
arreglo tan conveniente para ambos y puso al controlador de manteni-
miento en base al corriente del trab<u0 preparatorio de los m otores que ya
haba efectuado. D ado que el ingeniero de lnea no haba ido al hangar de
mantenimiento en base con intencin de transferir la inspeccin a otra
persona, no llevaba consigo ningn documento escrito o nota donde cons-
tasen qu operaciones h aba terminado ya. D e h echo, la do cumentacin
que usaba el mantenimiento en lnea no inclua ningn espacio apto para
registrar esa clase de detalles. El controlador de mantenimiento en b ase,
sin embargo, se dio por satisfecho con las instrucciones verbales que reci-
bi. Su siguiente paso fu e elegir un lnec nico que le ayudase a preparar y
comprobar el equip o del boroscopio.
Con estos ino centes y bienintencionados preliminares qued dispu esta
la escena para un casi desastre. El controlador de man tenimi ento en base
envi al m ecnico a preparar el segundo motor p ara la inspeccin y de-
dic luego un tiemp o considerable a orga nizar el trab<u0 de su reducido
p ersonal para aquella noch e. C uando al fin se reuni con el ITlecnico
junto al avin traa su copia personal del manual de formacin p ara el
uso del boroscopio, donde haba anotado varios detalles qu e le ayudaran
a juzgar ciertas m edidas a lo largo de la insp eccin. Aunqu e las instru c-
ciones de la tarea no le eran familiares -pues se trataba de documenta-
cin de m antenimiento en lnea, no en base- , y no contaba con fi ch as
de procedimiento de Boeing para la tarea, no juzg necesario hacerse con
otro material de consulta. Mientras el m ecnico preparaba el segundo
motor para el examen, el controlador de mantenimiento en base comenz
la inspeccin del primer motor.
4. El boroscopio es un instrumento diagnstico de fibra ptica em pleado pa ra detec-
tar signos de defectos estru cturales en los labes de las turbinas dentro de las reas de alta
y baj a presi n de un motor a reaccin . Es una pa rte importante del conju nto de tcnicas
de comprobaci n no destru ctivas (NDT) de un in ge niero aero nuti co.
2. La derrota de las defe nsas
El trabaj o continu a lo largo de las siguientes horas , aunque con nu-
merosas interrupcion es debido a qu e el controlador de mantenimiento en
base tela que resolver los problem as urgentes que surgan por todas par-
tes en su propio mbito de responsabilidad. El resultado fue que no vol-
vieron a colo carse las cubiertas de la transmisin del rotor, qu e no se
efectuaron pruebas de m otor en tierra (comprobacin que habra reve-
lado la prdida de aceite) y que en el libro de partes de vuelo del avin
se firn'l qu e se haba completado la insp eccin con boroscopio de ambos
lnotores.
Avanzada la noch e, el ingeniero de mantenimiento en lnea regres
con un equipo de su seccin p ara prep arar el avin para el vuelo del da
siguiente. El controlador de mantenimiento en base y l debatieron si des-
co n ec tar los disyuntores de los circuito s de ignicin e hidruli co del
motor. El controlador no lo crea necesario p orque n o tena inten cin de
trabajar en el aparato con los sistemas de energa hidrulica y elc trica
activos; no obstante, el ingeniero de lnea los desactiv de todos m odos,
confia ndo en que el controlador se haba dado cuenta de ello. Cuando ms
tarde el avin fu e devuelto a la lnea, los pilotos advirtieron que los dis-
yuntores no se haban vuelto a activar y se quej aron de ello al ingeniero
de mantenimiento en lnea del turno de maiiana. ste resp ondi qu e pro-
bablem ente haba sido un desliz y los activ. D e vuelta en la oficina de
mantenimiento en lnea se pregunt en voz alta delante de un compaero
cmo p odan haberse comp robado los motores con los circuitos de igni-
cin desac tivados.Todava estaban hablando de ello cuando oyeron qu e el
aparato haba tenido que efectuar un aterrizaj e de emergencia en Luton .
N o sabemos exactam ente por qu no se volvieron a colo car las cu-
biertas en los motores ni p or qu se firm que la insp eccin se haba com-
pletado cuando faltaban partes tan vitales, y sin hab er realizado la prueba
de motores. Sabem os, no obstante, que las omisiones durante el proceso de
reinstalacin son el fallo de mantenimiento individual ms comn -as en
aviacin como en el sector de la energa nuclear-o D e hecho, estas omi-
siones de mantenimiento probablem ente sean el tip o singular de problema
de actuacin humana m s extendido en el m arco de las tecnologas de alta
peligrosidad (vase el captulo 5). Sabemos asimismo qu e haba habido al
menos nueve casos previos en otras aerolneas en que no se repusieron las
cubiertas del rotor de alta potencia tras los procesos de mantenimiento. La
eviden cia disponible indica tambin que mu chos trabajos de manteni-
miento de aparatos se firman como terminados sin efectuar una verifica-
cin exhaustiva. Es m s probable que se tomen estos ataj os en la realizacin
53
La gestin de los grandes riesgos
de tareas cuando se est bajo presin temporal-por ejemplo, cuando hay
que devolver un avin a la lnea antes de su hora de partida prevista.
Saber con exactitud qu pas en la m ente de las personas implicadas
en el momento en que cometan esos errores nos ayudara po co a en-
tender cmo acontecen los accidentes organizativos o cmo podramos
evitar que sucedan en el futuro. Esos fallos humanos ocurren co n fre-
cuencia y seguir siendo as mientras los seres humanos sigan retirando y
restituyendo a su lugar los millones de piezas extrables que forman un
avin moderno. En este caso, como en el de otros accidentes organizati-
vos, nuestra preocupacin fundamental son los factores sistmicos que fa-
vorecen que esos errores ocurran y, adems, permiten que pasen
inadvertidos. En aviacin, la falibilidad humana, com.o la gravedad, la m e-
teorologa o el estado de la pista es slo otra amenaza previsible. La cues-
tin no es por qu ocurri un error, sino por qu no se fue capaz de
subsanarlo a tiempo. Para rep etir un tema constante de este libro: no po-
demos cambiar la condicin humana, pero podemos cambiar las condi-
ciones de trabajo de la gente.
Cules fueron, pues, las pequeas grietas del sistema que permitieron
que estas desviaciones habituales estuvieran a punto de provocar una gran
catstrofe area? El primer factor, y el ms obvio, es que tanto al eqUIp o
de mantenimiento en lnea como al de mantenirniento en base les faltaba
personal, aunque no tanto como para que tuvieran que suspender las ta-
reas que tenan asignadas . Estas insuficiencias temporales de personal de
m antenimiento, debidas a bajas y permisos, no son infrecuentes. Un pro-
blema similar, en otro incidente distinto, contribuy a que saltase de su
marco el parabrisas de una cabina de mando, fij ado con pernos del ta-
mal'o equivocados. En este caso, como en el anterior, una insuficiencia
temporal de p erson al oblig a los sup ervisores a ocuparse de tareas para
las qu e carecan de las habilidades y la experiencia precisas. Y en ambos
su cesos su capacidad para efectuar dichas tareas con fiabilidad se vio m er-
mada por la continua necesidad de dedicar atencin a sus deberes de ges-
tin. Para complicar an ms estos problem as, adems, los jefes de turno
implicados en ambos accidentes estaban en situacin de dar ellos mismos
el visto bueno a tareas que haban dej ado incompletas, eliminando as una
importante oportunidad de detectar el error.
5. Vase Report 0/1. the A ccidel'lt to Blle One-Eleven., G- BJRT, ove/' Didcot, Oxfo/'dshi/'e Ofl 10
jUI'le 1990, Aircraft Ancident R eport 1/ 92, Departl11ent oITransport, Lor1dres, HMSO, 1992.
Vase tambin D. Maurino,]. Reason, N . Jo hnston y R. Lee, Beyond AV/atlO/1. Human. Fac-
to/'s: SaJety in High Teclu'/Ology Systellls, Aldershot, Avebury Aviation 1995, cap, 4,
54
2, La derrota de las defensas
En el caso de las cubi ertas de motor ausentes, sin embargo, haba an
otra grieta m s sutil en el sistema: la diferencia entre las prcticas de tra-
bajo del mantenimiento en base y en lnea. La divisin del trabajo entre
ambas ramas de una instalacin de mantenimiento de aeronaves suele estar
delimitada con claridad. Los ingenieros de mantenimiento en lnea estn
acostumbrados a ej ecutar tareas aisladas, a m enudo no programadas (re-
paracin de defectos), tanto en solitario como en p equeos grupos. Estas
tareas suelen completarse en un solo turno. El mantenimiento en base, en
cambio, efecta las revisiones programadas. C uando un aparato entra en
el hangar de mantenimiento en base es probable qu e permanezca all du-
rante un tiempo relativam ente largo; los distintos turnos que rotan reali-
zarn en l un gran nmero de tareas diferentes y cada turno transferir
al siguiente el trabajo inconcluso.
As pu es, los entornos del mantenimiento en lnea y del manteni-
m.iento en base requieren tipos de planificacin e instrucciones de apoyo
diferentes. En el caso del primero, la documentacin se gen era justo antes
de iniciar el trabajo y est suj eta a cambios en funcin de las nec esidades
operacionales. Las fichas de tarea, por tanto, ofrecen slo una breve des-
cripcin de la labor a realizar. En nurcado contraste, la planificacin del
trabajo del mantenimiento en base co mi enza varias semanas antes de
poner manos a la obra y se entrega al responsable en forma de un enorme
rimero de documentacin que incluye amplias secciones de apoyo y ex-
plicacin. La vida en la seccin de lnea est llena de sorpresas, mientras
que el m antenimiento en base es mu cho ms regular y predecible.
La inspeccin con boroscopio obligatoria cada 750 horas fue diseada
como una tarea del mantenimiento en lnea y su documentacin no in-
clua ninguna de las fichas de operacin paso a paso ni las secciones del
manual de mantenimiento que normalmente se facilitan con las instruc-
ciones del mantenimiento en b ase; co ntena solam ente referencias a la
documentacin detallada disponible en algn otro sitio. La tarea era fa-
n1.iliar para el ingeniero de lnea, por lo qu e no juzg ne cesario llevar
consigo esa do cumentacin adicional y por eso las instrucciones qu e dio
al controlador de mantenimiento en base eran relativam ente parcas, en
comparacin co n la documentacin usual en la seccin de ste. En par-
ticular, las instruc ciones generadas por la ingeniera de lnea no mencio-
naban el trabajo de reposicin - volver a colocar las suj ecion es y las
cubiertas- ni exiga que se firmase la terminacin de cada paso de estas
tareas, qu e sera lo esperable en las instru cciones generadas por el m ante-
nimiento en base. Tampoco haba ninguna de las acostumbradas adver-
55
La gestin de los grandes ri esgos
tencias, recalcadas en el manual de mantenimiento, que sealaban que la
seguridad del avin se vera seriamente amenazada si el trabajo de reen-
samblaje no se llevaba a cabo como estaba especificado.
Dada la escasez de personal en su turno, que inevitablemente com-
portara demandas adicionales de su propio tiempo, probablemente fue un
error por parte del controlador de lTlantenim.iento en base ofi'ecerse a lle-
var a cabo la inspeccin con el boroscopio. Pero esto es algo que difcil-
mente podra clasificarse como un disparate de gran magnitud y, desde
luego, era una accin permisible dentro de los procedim.ientos de la em-
presa. A la vista de su falta de experiencia reciente con la tarea, el con-
trolador se equivoc claramente al suponer que podra realizarla sin
emplear fichas de procedim.iento detalladas y orientndose slo por su
memoria y por unas notas de formacin no oficiales. Hasta que el inge-
niero de lnea le pas sus instrucciones seguramente no saba que le fal-
taba el m aterial de apoyo detallado. En ese momento pudo cruzar a la
oficina de m antenimiento en lnea, o ir a mantenimiento en base, y co-
gerla, pero haca mucho fi'o aquella noche de invierno y l estaba seguro
de conocer el procedimiento.Y hasta el investigador del accidente admi-
ti que si l mismo hubiera recogido ese material no le habra sido fcil
usarlo. Todos los manuales se corrigen y actualizan continuam.ente, y a
menudo es complicado, para quienes no estn familiarizados con su con-
figuracin, seguir el hilo del texto que describe una determinada tarea.
Otra pequea rendija en el sistema fue la ausencia de un procedi-
miento formal para transferir tareas del mantenim.iento en lnea al man-
tenimiento en base. Com.o resultado, no existan hojas de fase del proceso
(que indican el trabajo previo completado) y las instrucciones de la trans-
ferencia se transmitieron verbalm~ente en lugar de por escrito. Aqu no es
que la defensa fuera defectuosa sino que estaba completamente ausente.
Ahora bien, esas delegaciones de tareas son hechos relativamente infi'e-
cuentes y, si bien en retrospectiva es f cil apreciar la necesidad de proce-
dimientos de transferencia, no es fcil imaginar por qu su creacin deba
figurar en un lugar prominente en la agenda de nadie antes de que ocu-
rriera el suceso. La tabla 2.1 resume estas diversas grietas en las defensas.
En julio de 1996 la aerolnea implicada en este accidente fu e conde-
nada a pagar una multa de 150000 libras, ms otras 25000 libras de costas
judiciales por poner en peligro imprudente y n egligentemente la aero-
nave y sus pasajeros6 Fue la primera vez en el Reino Unido que la Civil
6. Th e Ti/l/ es, 26 de julio de 1996 .
Tabla 2.1
R esumen de los fallos ac tivos y las condiciones latentes que socavaron
o rompieron las defensas del sistema de m antenil11.iento de aeronaves
Fallos ac tivos C ondiciones latentes
El in geni ero de mantenimi ento en ln ea La aeroln ea no dispona de una forma
qu e devo lvi el aparato a su tripulacin efectiva de co nocer el personal dispOluble
dej pasa r la oportunidad de descubrir y la carga de trabajo, y de aju star uno a
qu e [LItaban las cubi ertas de la otra , en parti cular en los turnos de no che,
tra ns nusi n cuando reactiv los sabind ose qu e estn suj etos a los efec tos
disy untores del circuito de igni cin y se adversos de trabaj ar a esas horas.
pregunt cmo se haba podido efec tuar
una pru eba de m o tor con ellos apagados. La vigilancia de este problema de personal
por parte del organismo regul ador era
La tripula cin acept qu e los disy untores inadec uada.
de la cabina de mand o es tu vieran
desac tiva dos como algo '<n o rma]" y no Tanto el turno de noche de
indaga ron m s en el asunto. mantelumi ento en ln ea co mo el de
mantelunuento en base tenan escasez de
En del libro de partes de vuelo del avi n perso nal, situacin que se repeta co n
se firm qu e la insp eccin se haba bastante frec uencia.
concluido, sin una ad ecuada inspecci n
del trabajo efectu ado en los mo to res. Un a investigacin interna revel qu e las
inspeccio nes co n boroscopio solan
El co ntrolado r de mantelunu ento en base llevarse a ca bo sin seguir los
estaba en posicin de dar el visto bu eno a procedinu entos aprobados. Esto era un
su propi o trabajo incompleto, sin efec tuar fall o del sistema de ga ranta de calidad de
ulterior inspecci n. la compia.
El co ntrolado r de manteninuento en base N o exis tan procedinuentos para transferir
no sup ervis co n sufi ciente m eti cul osidad un trabajo parcialmente temu nado del
el trabaj o de un m ec nico qu e careca mantelumiento en ln ea al de
relati va m ente de experiencia. Esto fu e as, mantelumiento en base. Co mo res ultado,
en parte, a ca usa de las mu chas no se dispona de lungn fo rmulario para
interrupcion es qu e se derivaron de sus registrar en qu f.1se se hallaba el trabaj o y
deberes adnulustrativos . el inge lu ero de mantelunu ento en ln ea
N o se efec tu lun guna prueba de dio slo instru cciones de transferencia .
moto res . verbales al controlador de manteninuento
en base.
El co ntrolador de mantelumi ento en base
realiz el trabajo sin utilizar co mo La doc umentacin qu e se entreg al
referencia fi chas de pro cedinu ento o el controlador de manteninu ento en base no
inclua la (para l) habitual
manual de manteninu ento. En lugar de
ello, co nfi en su mem o ria y en un a do cum entaci n de consulta. En particular,
referencia sin la debida aprobacin -sus careca de toda referencia al trabajo de
nota s de fo rm acin. reposici n y de cualqui er medi o qu e
obligase a firmar que esa tarea concre ta se
haba finaLiz ado.
La gestin de los grandes riesgos
AviationAuthority present cargos contra una aerolnea basndose en los
artculos 50 y 51 de la Ordenanza de Navegacin Area de 1989. Los dos
ingenieros de mantenimiento directamente implicados en el accidente
fueron despedidos .Tras el veredicto, el presidente adjunto de la aerolnea
declar a la prensa: Hoy ha sido un da duro para nosotros, pero hemos
aprendido de la experiencia. Hemos cambiado completamente nuestros
procedimientos. En el captulo 3 analizarenlOs si sta fue o no la res-
puesta idnea .
El capitn del avin, cuya rpida actuacin evit la catstrofe, declar orgenes posiblemente puedan retrotraerse un siglo o ms.
que forma parte del trabajo de un piloto resolver lo inesperado. Debe-
mos prever el peor escenario posible. No estamos ah arriba slo para pul-
sar botones y confiar en las maravillas de la tecnologa moderna . Debemos
estar preparados para esta clase de eventualidad)/. Esta frase define con
gran claridad el papel de la tripulacin como defensa del sistema. En el
captulo 5 nos plantearemos la siguiente pregunta: es la tarea principal de
los pilotos de la aviacin contempornea hacer fiente a las emergencias
producidas por los errores de mantenimiento que no han sido detectados?
Los MILLONES DILAPIDADOS: EL COLAPSO DEL BANCO BARINGS
Para quienes trabajan en la minera, la construccin, el transporte, las cen-
trales nucleares, las plantas de proceso qumico y similares, el trmino
am.enaza suele significar un peligro inanimado asociado a la liberacin
incontrolada de masa, en erga o sustancias txicas. Sin embargo, conviene
que recordemos que defensas en profundidad es un trmino militar re-
lacionado con situaciones en las que las amenazas de las que hay qu e pro-
tegerse son otras personas.
La gente constituye una amenaza de muchas maneras distintas. Para
los militares es el enemigo. Para una multitud en un estadio de ftbol
es la aglomeracin de otros cuerpos. Para la aviacin comercial adopta la
form.a de secuestradores y terroristas. En las grandes ciudades son los la-
drones, los atracadores y los asesinos. Para los bancos pueden ser traders que
resultan ser unos gral1l~as.
Nuestro segundo estudio de caso se refiere a la quiebra del grupo ban-
cario Barings -o al menos a la parte de la historia relacionada con el
fallo de sus defensas-o Fieles al enfoque adoptado, no ahondaremos en la
7 . Ibid.
2. La derrota de las defensas
competencia, los motivos o la moral de la principal amenaza de este caso:
Nick Leeson, el sedicente trader granujas. Daremos por supuesto que cual-
quiera que comercie diariamente por valor de millones est expuesto a
numerosas tentaciones y en posicin de cometer errores muy costosos.
Nuestro inters, como en el caso previo, se centra en saber cmo es que
el sistema bancario careca de ciertas barreras, salvaguardias y defensas, y
qu otras fueron traspasadas o eludidas. Inevitablemente, haremos un re-
lato muy resumid0 9 , y limitado al periodo del colapso final, aunque sus
El 26 de febrero de 1995, la Corte Suprema de Londres design un
equipo de administradores judiciales para hacerse cargo de la gestin de
Barings PLC, la empresa matriz del Grupo Barings. La decisin obedeca
al descubrimiento de que Barings Futures (Singapur) PTE Limited (BFS)
haba perdido 869 millones de libras en las bolsas de Singapur y Tokio. Ba-
rings Brothers & Co., Limited (BB & co.) era el banco de inversiones ms
antiguo de la city de Londres. Desde la fundacin original de la sociedad,
en 1792, haba permanecido independiente yen manos privadas.
Barings Securities operaba en Singapur desde 1987, pero slo en 1992
entr en el Intercambio Monetario Internacional de Singapur (Singapore
Monetary Exchange, SIMEX), con el propsito de negociar en el mercado
de futuros y opciones, que creca con gran rapidez. La nueva compaa
creada para encargarse de este negocio fue BFS. Leeson fue nombrado jefe
de liquidacin. Y algo extraordinariamente inusual: se le pidi que hlese
tambin el trada de BFS en SIMEX. Esta decisin quebrant un principio b-
sico del sector de inversin: mantener las actividades de compraventa y li-
quidacin estrictamente separadas. El trabajo del trader es ganar dinero; el
del empleado de liquidacin es asegurarse de que no se producen errores
en la contabilidad y enmendarlos cuando los detecta . Los investigadores
del caso en Singapur describieron ms tarde el hecho de que se confiriera
a Leeson este doble rol como una decisin desacertadalO.
D e julio de 1992 a febrero de 1995, el Grupo Barings efectu una re-
estructuracin radical de sus negocios hasta entonces autnomos, cada
8. Nick Leeson narr su participacin en la bancarrota de Barings en un libro titu-
lado Roglle Tinder [El trader gra nuj a], Londres, Little, Brow n and Compa ny, 1996.
9. Quienes deseen informarse ms extensame nte sob re la quiebra del Banco Barings
deberan leer el libro de Stephen Fay The Collapse of Barings, Londres, Arrow Business
Books, 1996,del qu e he extrado el grueso de la historia aqu expuesta.
10. Barings Futures (Singapur) PTE Ltd, T/e Report of th e l/'/spectors Appointed by the Mi-
/lis ter of Finance, Singapur, Ministry for Finance, 1995.
59
La gestin de los grandes ri esgos
uno de ellos con culturas y operaciones diferentes. Haba surgido un
conflicto entre BB & co., que se dedicaba a operaciones bancarias ms
convencionales, y su subsidiaria, Barings Securities Limited (BSL). BSL se
haba formado a partir de la adquisicin en 1984 de una agencia de in-
versiones burstiles con base en el Reino Unido y fuertes conexiones en
Asia. BSL haba prosperado en la embriagadora atm.sfera financiera de
finales de la dcada de 1980, pero su salud, en 1992, haba em.peorado
mucho. Su consejero delegado, ChTistopher Heath (por algn tiempo, el
empleado mejor pagado de Gran Bretaa) se enfrentaba a unos merca-
dos en descenso con una plantilla numerosa y h ambrienta de sustancio-
sas pnm.as.
La situacin lleg a un punto crtico el domingo 26 de septiembre
de 1992, un da que Heath describira luego como el aquelarre!!. Heath
dim.iti como consejero delegado y se nombr a Peter Norris director
general de operaciones. En marzo de 1993, Heath abandon Barings y
Norris fue ascendido a consejero delegado. A finales de 1993, BB & co.
y BSL se fusionaron para formar el Investment Bank Group, luego re-
bautizado como Barings Investment Bank (ElB) . Esta entidad se subdi-
vidi en cuatro secciones. Las dos relevantes para su futuro derrumbe
fu eron el Grupo de Corredura y Compraventa de Valores, presidido
por Norris , y el Grupo Bancario, dirigido por George Maclean -
quien, ms adelante, declarara ante los investigadores del Banco de In-
glaterra:
Creo qu e las semillas de esto Da quiebra] se sembraron cuando entranlOS en
BSL para fusionar las dos comparuas y supusimos que los controles de calidad
que noso tros teamos [en BB & co.] se podran il1l.plel1l.entar all rpidamente.
A la vista de los resultados, parece qu e nos equivocal1l.os!Z
Despus de superar los exmenes del mercado financiero local, Lee-
son comenz a negociar en el parqu del SIMEX. Pronto fue nom.brado
gerente general y trader jefe de BSF, aunque segn se vio despus pareca
haber bastante confusin en Londres acerca de las com.petencias co rres-
pondientes a este cargo. Heath, que era quien lo h aba nombrado origi-
nalm.ente, crea que se trataba meramente de un empleado que transmita
las rdenes recibidas por telfono o por fax al trader presente en el SIMEX .
Leeson, sin em.bargo, tena otras ideas. Ser un operador le daba acceso al
11. S. Fay, op. cit.
12. Ibid.
60
2. La derrota de las defensas
parqu. En su libro Rogue 7i'ader (El trader granuja) nos da una clara idea
de la impresin que esto le caus:
La primera vez que entr en la sala de contratacin pude ver y oler el dinero.
Durante todo el tiempo que llevaba en Barings haba estado acercndome a
l pulgada a pulgada, y en Singapur, de pronto, estaba all. Haba estado tra-
bajando en las trastiendas del negocio durante casi seis aos , n1.oviendo bille-
tes de aqu para all y solucionando los problemas de otra gente. Ahora, de pie
sobre el parqu, poda trab~ar con dinero instantneo - estaba suspendido en
el aire,justo delante de n, invisible pero con una imnensa carga elctrica, es-
perando slo que alguien lo hiciera descargar a tierra!3
La confusin en torno al doble rol de Leeson como empleado de li-
quidacin y como trader est en el corazn mismo del desplome de Ba-
rings. Lesson pas a travs de las hendiduras de la matriz de la estructura
de gestin de Barings igual que el cigarrillo encendido qu e cay a travs
de las grietas de una escalera mecnica caus el incendio de la estacin d e
metro de K.ing's Cross. En esa estructura, cada lnea de negocio -banca,
compraventa de acciones, comercio de valores y divisas , etc.- era una de
las columnas de la matriz y las diversas oficinas y estructuras regionales re-
partidas alrededor del mundo eran las filas. La teora era que todo em-
pleado se hallaba conectado tanto con la direccin local como con la
oficina de Londres . La realidad, en este caso, era que nadie vigilaba d e
cerca las actividades de Leeson. Sus superiores inmediatos no slo fueron
incapaces de colegir qu competencias le confera la definicin de su
puesto, sino que adems eran reticentes a supervisar su trabajo. Todo el
mundo lo consider siempre responsabilidad de algn otro. A quin deba
informar de sus actividades era una cuestin confusa, o que no se plante-
aba. No ayudaba a resolver problema que las oficinas de la alta dire ccin
de Singapur estuvieran en la planta 24 del nu evo edificio Ocean Tower,
mientras que Leeson trabajaba en el piso 14.
En julio de 1992, BFS abri una cuenta de errores, un procedimiento
estndar para retener valores o divisas objeto de un intercambio sobre el
que existe desacuerdo hasta que ste se resuelve, habitualmente en menos
de 24 horas. Se le dio el nmero 88888 (la cuenta cinco ochos). Cinco
das despus, Leeson orden a un asesor informtico independiente de
Singapur que cambiase el software de BSF, con el fin de excluir la cuenta
cinco ochos de los informes sobre intercambios de valores y divisas,
13. N. Leeso n, op. cit.
61
La gestin de los g rand es riesgos
posicin y precios, que a diario se remitan a Londres, y que slo se en-
viase el archivo diario de avales -que se refi ere al efe ctivo o los valores
depositados en la Bolsa como ga ranta de solvencia o como m edio de li-
quidar b enefi cios y prdidas. Eso significaba que cuando ese archivo
diario ll egase a Londres, el sistema automtico de clasificacin no reco-
noc era el nmero de cuenta y, como resultado, no se transmitira infor-
m acin alguna al sistem a interno de informes de Barings, llamado First
Futures.
La informacin disponible en Londres apareca en dos pantallas de or-
denador. Una mostraba los balances de avales del sistema informtico de
SIMEX e inclua el archivo de avales de la cuenta cinco ochos . La segunda
mostraba los balan ces transferidos al sistema First Futures y era la nica
que la oficina de Londres estudiaba minu ciosamente de forma regular; en
ella no apareca ninguna informacin de la cuenta cinco ochos. Londres
slo se percat de este pequeo secreto contable tres das antes del des-
plome. Fue a travs de este aguj ero por donde se esfumaron cientos de
millones de libras.
Leeson se embarc entonces sin autorizacin en una fren tica com-
praventa de op ciones y futuro s. En diciembre de 1992 sus p rdidas se ele-
vaban a 208 millones de libras. Tanto entonces, como durante los meses
qu e siguieron, a Leeson se le co nsideraba en Londres como un empleado
sobresaliente. E n 1993 se le concedi una prima de 130000 libras; al ao
siguiente recibi otra de 450000. Barings sup ona que sus ben eficios de-
clarados provelan del arbitraj e - compraventas que aprovechaban las di-
ferencias de precios entre los m ercados j ap on eses y el SIMEX- . La oficina
de Londres crea que los valores y divisas obj eto de ese intercambio te-
nan una paridad perfecta -que se compensaba mutuam ente- , p or lo
que no pareca que el ban co corriera ningn riesgo real. E n febrero de
1985 las prdidas acumuladas alcanzaban ya los 830 millones de libras .
Leeson financiaba sus prdidas de tres m aneras. Primero, tomaba dinero
en prstamo de las subsidiarias de Barings Securities en Tokio y Londres,
quienes crean que lo utilizaba para hacer negocios por cuenta de ellas. Se-
gundo, BSL de Londres le prestaba dinero para pagar los mrgenes necesa-
rios como garanta de los intercambios - fondo s para cubrir prdidas no
realizadas- .Y no se dieron los pasos adecuados para verificar las cuentas o
para contrastad as con los registros de transacciones de los clientes. Tercero,
a medida que sus prdidas aumentaban ms y ms, en enero y febrero de
1995, Leeson cre compraventas artificiales en el sistem a de ordenadores de
SIMEX para reducir el nivel de los pagos de avales exigidos por la Bolsa.
62
2. La derro ta de las defensas
All11ismo tiempo, ocultaba sus huellas remitiendo a Londres informes fal-
sos que hinchaban los beneficios de BSF y falsificando transacciones de com-
praventa y entradas contables.
E n julio y agosto de 1994, un equipo de auditora interna de BSL vi-
sit Singapur p ara revisar las operaciones de las oficinas de Barings en la
regin. Su informe, entregado en diciembre de 1994, expresaba cierta
preocupacin por la ausencia de separacin entre las oficinas delanteras
(comercio de valores y divisas) y traseras (contabilidad) de BS F. El miem-
bro de ese equipo que audit la oficina de Singapu r escribi qu e, si bien
no exista evidencia de que Leeson es tuviese abusando de su doble rol
. .. debe examinarse el potencial de que as suceda 14. El informe reco~
mendaba qu e Leeson dej ase de ser el nico responsable de la sup ervisi n
de la oficina de liquidacin, pero esto n o le privaba de los poderes que
necesitaba p ara seguir cometiendo sus engal10s. Una de las principales ra-
zon es de la auditora era investigar los grandes ben eficios de Leeson. El
inform e lleg a la conclusin de que esos ben efi cios se deban a sus ex-
cep cionales habilidades y expresaba su inquietud, porque los m rgen es
de ben efi cio de BFS se veran erosionados de forma imp ortante en el
caso de qu e fu era fi chado por un comp etidor. Al igual que la direccin
de Londres, los auditores qu edaron hipnotizados por los benefi cios de-
clarados de Leeson.
Por esa poca, sin embargo, la ofi cina de Londres ya era consciente de
que haba decenas de millones de libras que no podan asentarse en la
contabilidad debido a compraventas qu e no se correspondan entre s
-a la imp osibilidad de hacer corresponder lo que debera haber en una
cuenta con lo que en efecto haba en ella- oA Tom H awes, el tesorero del
Grupo BIJ3, el informe de la auditora le tranquiliz algo : Cremos qu e no
poda estar ocurri endo nada demasiado malo o lo habran descubierto.
Posteriormente declarara que no haba ninguna excusa p ara no hab er
concedido a la recon ciliacin contable la mxima prioridad. Pero siem-
pre pareca haber algn otro asunto ms urgente. Es te sentimiento apa-
rece con fi'ecu en cia en la historia de los accidentes organizativos.
A principios de febrero de 1995 hubo rumores en los m ercados acerca
de los negocios en Japn y sobre posibles problemas con algunos clien-
tes . La oficina de Londres incluso recibi una preo cupada llam ada del
Banco de Pagos Internacionales, sito en B asilea. N ada de esto inquiet a
los direc tivos de B arings, sin embargo, porque crean - equivocada-
14. S. Fay, op. cit.
63
La gestin de los grandes ri esgos
mente- qu e su posicin en los m ercados japoneses estaba cubi erta por
posiciones equivalentes y de signo opuesto en el SIMEX.
Pero el ritmo de los desc ubrimientos se aceler en febrero de 1995.
El 6 de febrero, Tom H awes y otro colega, Tony R ailton, visitaron Singa-
pur co n la esperanza de aclarar diversos asuntos. Poco a po co fu eron des-
cubriendo lo suficiente para hacerles sentir una creciente alarma. El 23 de
febrero Leeson no acudi a su oficina. Ese mismo da Hawes enco ntr un
documento impreso por ordenador en el que descubri L1l1a cuenta lla-
mada "cuenta de errores" donde constaban dios sabe cuntas transaccio-
nes, todas, al parecer, saldadas con tremendas prdidas15. Al da siguiente,
viernes, Pe ter Baring, presidente de Barings se entrevist con el director
adjunto del Banco de Inglaterra y le inform de que Barings haba sido
vctima de un gigantesco fiaude. A lo largo de ese fin de semana el Banco
de Inglaterra intent infructuosam ente salvar el Barings. El domingo por
la tarde se convoc a los administradores. D esp us de 203 a110S de histo-
ria, el viejo banco de inversiones quebraba .
H asta aqu nos h emos centrado en el fallo de los controles internos;
p ero, qu hay del fallo del papel regulador del Banco de Inglaterra? El in-
fOrIlle de la investigacin qu e el Banco de Inglaterra l 6 realiz sobre la
quiebra critic la supervisin ej ercida por uno de sus altos direc tivos, bajo
cuya responsabilidad estaban los bancos de inversiones, y afirm qu e este
direc tivo haba cometido un error de juicio en 1993 cuando, informal-
m ente, haba concedido perlTllSO a Barings para que sus transacciones en
la Bolsa de Valores de Osaka sup erasen el 25% de su capital. Efecto in-
m ediato del informe fu e la dilTllsin de dicho directivo, aCOlTlpal1ada de
la de Pe ter Baring y Andrew Tuckey, presidente y presidente adjunto, res-
pectivamente, de Barings PLe. Nick Leeson cumpli en una crcel de Sin-
gapur su condena de seis a110s y medio por fraude. NG, un gran grupo
bancario y asegurador holands, compr los activos y pasivos de Barings
por el precio simblico de una libra -aunque el coste real fu eron 660 mi-
llones de libras-o En junio de 1996, el Bussines Tirnes de Singapur infor-
maba de la mayor demanda judicial nunca interpuesta en Singapur (por
ms de 2000 Imllones de dlares), contra Coopers & Lybrands Singapore
y Deloitte & Touche, la compa11a que suministraba servicios de audito-
ra externa a BSF, por dar L1l1a acreditacin injustifica da a los informes de
15. [bid.
16. R eport cif fh e Board cif Bankirg SlIpelVisioll IlIqlliry illto fhe Cim llllsfallces of fh e Collapse
of Barillgs, Londres, HM SO, 1995.
2. La derrota de las defensas
BSF, del Grupo Barings, en el al10 cerrado el 31 de diciembre de 1994. Las
repercusiones, sin duda, continuaran.
Al usar la cuenta cinco ochos tanto para ocultar sus prdidas COIT10
para declarar falsos ben eficios a la oficina de Londres, Leeson cre un agu-
j ero inmenso en las defe nsas del sistema. C laramente, el propio Leeson fu e
el principal arquitecto de esos fallos activos. Podemos hacernos una idea
de estas destructivas transacciones contemplando un instante el p eriodo
que sigui U11ediatamente al terremo to de Kobe, el 17 de enero de 1995
- el suceso que desencaden su ruina final-o Leeson apost a qu e los va-
lores j aponeses subiran en lugar de bajar y el 20 de enero adquiri una po-
sicin a largo plazo (cuyo valor se apreciara si su precio de merca do suba)
mediante la compra de 10 014 contratos de futuros del Nikkei 225. El lunes
23 de enero el Nikkei 225 - un ndice basado en 225 valores negociados
en la Bolsa de Tokio- cay 1175 puntos, pero Leeson sigui comprando.
El 27 de enero sus compras ascendan a 27158 contratos.
Slo el 23 de enero la posicin de Leeson en el m ercado de futuro s
del Nikkei p erdi 34 millones de libras; su cartera de opciones haba per-
dido 69 millones desde el terremoto. Leeson respondi usando transac-
ciones cruza das (un m edio de transferir rden es de compraventa entre
dos clientes de una misma firma a travs de la Bolsa) con la cuenta cinco
ochos para declarar grandes dividendos a favor de Barings . Entre el 23 y
el 27 de enero, mientras afirmaba hab er ganado cinco millones de libras
mediante su arbitraj e, en realidad haba perdido 47 millones.
Es extremadamente dificil dar una resp uesta preventiva al fraud e, y un
fraude por incomp etencia de estas proporciones es an ms dificil de pre-
decir o de resistir. En abril de 1994 el mundo banca rio interna cional fue
sacudido por la noticia de qu e el j efe de un trader de Wall Street haba
descubierto que ste haba declarado un beneficio completamente falso
de 350 millones de dlares. La reaccin de la alta direccin de Barings fu e
efec tu ar una revisin de sus propios controles de riesgo, y descubri qu e
deba mejorarlos radicalmente. El consejo de direcci n fu e informado de
qu e se estaba desarrollando un sistema de gesti n de riesgos ms estricto,
pero nada volvi a orse de ese plan hasta enero de 1995, cuando era de-
masiado tarde p ara evitar el desas tre. A lo largo de 1994 se nombraron
controladores de ri esgos en Hong Kong y Tokio, pero la direccin de Sin-
gapur dijo qu e ellos no los necesitaban .
El informe del Banco de Ingla terra identific cierto nmero de sel1ales
de advertencia que deberan haber alertado a la direccin de Barings de las
actividades no autorizadas de BSF. El informe admite que ninguno de esos
La gestin de los grandes ri esgos
indicadores por separado habra constituido un aviso suficiente, pero todos
en conjunto deberan haber hecho sonar la alarma tanto en Londres como
en Singapur. Entre esos indicadores se incluyen los siguientes:
- La ausencia de separacin entre las oficinas delanteras y traseras des-
cubierta por la auditora interna realizada entre julio y agosto de 1994.
- El alto nivel de financiacin necesario para costear las actividades de
contratacin de BSF.
- El balance de fondos transferidos de Londres a Singapur para cubrir
avales y qu e no cuadraba.
- El inslito contraste entre los altsimos beneficios aparentes y el bajo
nivel de riesgo que perciba la direccin de Barings en Londres.
- El descubrimiento de un supuesto adeudo por un monto de aproxi-
madamente 30 millones de libras con cargo a uno de los clientes de
BSF, Spear, Leeds & Kellogg, que Leeson haba falsificado en diciem-
bre de 1994.
- Una carta enviada por SIMEX a BSF el 11 de enero de 1995 y que inclua
referencias con cre tas a la cu enta cinco ochos. En aquel ITlOmento la
carta no fu e reenviada a Londres.
- y otra carta, con idnticos remitente y destinatario, fechada el 27 de
enero de 1995, en la que SIMEX solicitaba confirmacin de que BSF es-
taba en condiciones de financiar sus peticiones de avales en el caso de
que ocurriera un movimiento adverso del m ercado. Esta carta s se re-
miti a Londres, pero no se actu en consecuencia por las razones ya
sealadas.
EL DESCARRILAMIENTO DE NAKlNA: UN FALLO LATENTE
DURANTE 76 Aos
Si hay un elem ento defensivo que predomine sobre todos los dems en
las actividades ferroviarias es la estabilidad del firme -el suelo sobre el
que se tienden los rales-o Si ste fallase, los rales perderan su alineacin
y su capacidad de sustentacin, y un tren que circulase por un segmento
en tales condiciones probablemente descarrilara. As su cedi enjulio de
1992 en una curva cerca de Nakina, Ontario l7 . Lo que diferencia a este ac-
17 . Estoy profundamente agradecido a Peter H arl e,jefe de prevenci n de acciden-
tes de la oficina para la seguridad del transporte (de Ca nad) po r proporcionarme una
sin opsis de este accidente titulada Nak ina: A/l. Organiz atio/lal Accident. Puede co nsultarse
66
2. La derrota de las defensas
cidente de otros descarrilamientos es que su causa ltima se retrotrae a
1916, al momento en qu e se tendi el trazado.
Nada ms rebasar una curva a la velocidad reglamentaria de 35 millas
por hora, el personal de un tren de mercancas de Canadian N ational vio
que los rales que tean justo delante estaban suspendidos en el aire. El
agua haba arrastrado completamente el firme que deba estar debajo. In-
capaz de frenar a tiempo, el tren descarril y cay a un estanque adyacente.
Dos miembros de su dotacin murieron y el conductor result gravemente
herido.
La investigacin subsiguiente, ll ~vada a cabo por la Oficina Canadiense
para la Seguridad en el Transporte, determin a partir del proyecto origi-
nal qu e el firme discurra por la ribera de un embalse de castores: los ra-
les se haban tendido sobre una presa de cas tores -una m ezcla inestable
de turba y sedimento aluvial-o La parte superior del firme tuvo las m e-
joras y el mantenimiento apropiados a lo largo de las dcadas siguientes,
pero nunca se rectific la inestabilidad bsica de sus cimientos.
Los accidentes organizativos implican la interaccin de condiciones
latentes con factores lo cales desencadenantes. Dos de estos sucesos loca-
les precipitaron el accidente. Primero, la compaa ferroviaria implel11.ent
una poltica de exterminio de los castores en la vecindad de las vas frreas
-para minimizar los problemas de inundaciones y riadas destructoras de
infraestructura ferroviari a asociados a la ac tividad de los castores-o Esto
signific que los castores dejaron de mantener la vetusta presa. Segundo,
aqul haba sido un verano inusualmente lluvioso y el nivel del agua tras
la presa haba cre cido, sobresaturando el firme colindante. La presa que
los castores ya no podan reparar fu e debilitndose gradualmente bajo la
creciente presin del agua acumulada y se desplom cuando una m asa
crtica del estrato de lodo que formaba su base se desliz al fondo de la
presa .
Los investigadores construyeron un modelo informtico de la presa
levantada por los castores y probaron su estabilidad en diversos escenarios.
El ej ercicio evidenci que la carga temporal ej ercida sobre la presa por un
tren de carga en trnsito no bastaba para causar el derrumbe. La desesta-
bilizacin catastrfica del firme se debi por entero a una rpida cada de
dos metros del nivel del agua a un lado del terrapln del ferrocarril. No
hubo indicios visuales previos de que el firme estuviera socavado ni el
un a exposici n co mpleta del accidente en el siguiente info rme: TSB Ocwrrence R epo rt ,
n.OR92T0183 , Ottawa , Transport Safety Board, 1992 .
La ges ti n de los grandes ri esgos
hecho poda haberse predicho sin un detallado anlisis geo tcnico. Como
la va pareca estable a quienes realizaban las inspecc iones rutinarias de
sus caractersticas externas, no se llev a cabo ningn anlisis de esa clase
ni se tomaron m edidas para reforzar el lecho subyacente.
As pu es, y co ntra lo que suele ser habitual, en es te accidente no hubo
fallos ac ti vos (errores o inE:accio nes) por parte de la dota cin del tren ni
del mantenimiento de la va. Su causa ltima fue un fallo latente de cons-
truccin - permitido por los estndares de 1916- qu e haba permane-
cido inactivo durante 76 aos hasta que un co njunto de condiciones
locales desencadenantes hizo que su debilidad intrnseca se pusiera de ma-
nifiesto co n resultados fa tales.
RASGOS COMUNES
Al ofi'ecer estos tres estudios de caso nu estro propsito es doble: primero,
mostrar en detalle la diversidad de formas en qu e las defensas de un sis-
tema pu eden ser debilitadas y sup eradas, hasta ca usar un accidente orga-
nizativo ; segundo, ver qu principios com.unes, si existe alguno, pueden
aplicarse legtilTlamente a tres sucesos tan diferentes como stos. Ser la se-
gunda cuestin la qu e nos ocupe en esta seccin final. En este sentido, vale
la pena recordar que, en las ciencias de la seguridad, la prueba de todo
principio general es m uy prctica: indica alguna apli cacin co rrec tiva
factible? Las abstracciones tericas son de escaso inters a menos qu e nos
ll eve n a co nseguir una seguridad m ejor.
El hecho primero y ms obvio en los tres ac cidentes es la preexisten-
cia de co ndiciones latentes, a menudo desde antiguo, qu e contribuyeron
al fallo de las defensas del sistem.a. Los errores e infracciones qu e come-
ten qui en es trabajan en primera lnea so n lTlUy frecuentes en los acci-
dentes organizativos, pero no constituyen ca usas necesarias ni sufi cientes,
como evidenci claramente el descarrilamiento de Nakina. En cambio, en
los sistemas complejos existen condiciones latentes siernpre; y existen ahora.
Podemos no saber qu co ndiciones latentes concretas estarn implica das
en algn suceso futuro, pero s sabemos que alguna lo estar, y a partir de
los ya amplios anlisis de accidentes organizativos podemos tambin ha-
cernos una idea bastante aproximada de los tipos de condiciones latentes
que constituirn una amena za m s probable para la seguridad del sistema .
No hay en ello ningn misterio.T ienen relacin con los procesos bsicos
de la organizacin: disello, constru ccin, operacin, mantenimiento, co-
68
2. La derrota de las de fensa s
l11unicacin, seleccin, form.acin, sup ervisin y gestin. La lista est in-
completa , pero bastar para evidenciar qu e son elem entos genricos esen-
ciales de cualqui er pro ceso produ ctivo -de h echo, son las ocupaciones
cotidianas de la direccin.
Esto nos lleva a dos generalizaciones importantes. Prim.ero, la calidad
de la produccin y la calidad de la proteccin dependen de los mismos
pro cesos organizativos subyacentes . La seguridad no es un aspecto sepa-
rado del res to. Segundo, no podemos prevenir qu e el sistema co ntenga
condiciones latentes porque son el resultado inevitable de la toma de de-
cisiones estratgicas. La nica accin til a nuestro alcance es ha cerlas vi-
sibles a qui enes dirigen y operan la orga ni zacin, de manera qu e, en todo
momento, sea posible co rregir al menos las peores de ellas. No podem.os
esperar resolver todos nu estros problemas de un golpe. Los recursos siem-
pre son limitados. Pero podemos identifica r y lu ego abordar aquellas con-
diciones latentes qu e, en un mon1.ento dado, demandan una atencin ms
urgente. Por supuesto, mientras arreglamos stas, otras cosas pu eden ir mal.
La gestin del riesgo, co mo la vida, consiste en una p11l1etera cosa detrs
de otra. En el captulo 7 describiremos algunas de las herramientas de
diagnstico proactivo m ediante las qu e podemos poner en prc ti ca este
programa de manteninuento en forma a largo pla zo.
En los tres sucesos estudiados fall el proceso esencial de revisin y
comprobacin de las defensas. En el desca rrilanuento del tren, el pro-
blema subyacente era virtualmente indetectable antes de que se produj era
el suceso. Es, por lo tanto, un caso especial. Ms a menudo, las debilidades
latentes de las defensas so n potencialmente -e incluso realmente- evi-
dentes antes de que tenga n un efecto adverso. Los dos primeros estudios
de caso revela ron un motivo muy co mn por el qu e no se detec taron ni
repararon las debilidades defensiva; del sistema: la ge nte encargada de ello
se haba olvidado de temer lo que pudiera ocurrir.
Es mu y fcil qu e quienes tienen en mente co mo prioridades absolu-
tas los objetivos de produ ccin o de b en eficios pierdan de vista los peli-
gros. Los sucesos infaustos son nuserico rdiosamente infi:ecuentes en los
sistemas bien defendidos. Muy pocas personas han tenido experiencia di-
rec ta de ell os. Las demandas de produ cci n, en ca mbio, son inmediatas,
continuas y perennes. Tambin va ran co nstantem ente y por ello exigen
atencin permanente, nuentras que el func ionanuento seguro genera un
resultado co nstante -y, en consecuencia, relativamente ca rente de inte-
rs- co nsistente en que no sucede nada. Los mecanismos m erced a los
que se consigue esta fiabilidad pueden resultar impenetrables a qUlenes
La gestin de los grandes riesgos 2. La derrota de las defensas

operan y dirigen el sistema . Una vez ms, Karl Weick nos ha facilitado Tabla 2.2
una elegante sntesis de este problema1S. Cmo manejan la informacin sobre la seguridad
distintas culturas organizativas
La fiabilidad es invisible en el sentido de que los resultados fiables son cons-
tantes, lo que significa que no hay nada a lo que prestar atencin. Los ope-
Cultura patolgica C ultura burocrtica C ultura generativa
radores no ve n nada y no ver nada les lleva a sup oner que nada est
sucediendo; y si no sucede nada y contin an actuando como hasta ahora, se- No quiere saber P uede no detectar La busca activamente
guir sin ocurrir nada. Este diagnstico es engaoso y puede indu cir a error
A los mensajeros (<<Pepitos A los mensajeros se les A los mensaj eros se les forma y
porque los resultados estables pueden ser producto de insumas dinm..icos. Grillo) se les liquida escucha, si surgen se les recompensa
La idea de Weick es que la seguridad es un no suceso dinn'Ico: lo que La responsabilidad se elude La responsabilidad est La responsabilidad se comparte
produce el resultado estable no es una continua repeticin, sino un cam- compartimentada

bio constante. Para obtener esta estabilidad, el cambio en un parmetro del El fallo se castiga u oculta A los L1!lOS se responde con A los fallos se responde con
sistema debe ser compensado por cambios en otros parmetros. reparaciones locales refo rmas de largo alcance

Si una vigilancia eterna es el precio de la libertad, el precio de la se-
guridad es una inquietud crnica . Los estudios de las organizaciones de
alta fiabilidad -sistemas con menos accidentes de lo que en justicia les
correspondera- muestran que las personas que los operan y dirigen
tienden a asumir que todos los das sern problemticos, y act an en con-
secuencia. ste no es un estado mental fcil de sostener, emp ero, en par-
ti cular cuando lo que a uno le inquieta es algo que no ha sucedido nunca
o que sucedi hace mucho tiempo, y quizs incluso en otra organizacin.
y, como veremos luego, es probable que esta actitud tipo Casandra sea
mal recibida en ciertas culturas organizativas.
Ron Westrum, uno de los principales socilogos industriales de Esta-
dos Unidos, ha clasificado las culturas organizativas en funcin del modo
en que manejan la ormacin relacionada con la seguridad19. Westrum
identifica tres tipos de cultura -patolgica, burocrtica y generativa-,
cuyas caractersticas principales resume la tabla 2.2.
Westrum sostiene que las organizaciones que desarrollan operacio-
nes potencialmente peligrosas necesitan de imaginacin indispensable
- una diversidad de pensamiento e imaginacin a la altura de la diver-
sidad de los posibles escenarios de fallo. Poseer esa imaginacin indis-
pensa ble no slo caracteriza a las organizaciones de alta fiabilidad (o
generativas), sino que su ausencia - CO UlO vimos en los dos primeros es-
Se desmotiva activamente la L1s uuevas ideas suelen generar Las nuevas ideas son bien
sugerencia de nuevas ideas problemas recibida~
tudios de caso- figura de forma destacada en las fases de desarrollo de
un accidente organizativo.
En retrospectiva, casi siempre se puede identificar la presencia de se-
ales de advertencia previas a un desastre que, de haber sido atendidas y
haberse actuado en consecuencia, podran haber fi'ustrado la secuencia
del accidente. La pregunta que a menudo surge despus de un suceso es:
cmo es posible que en ese momento no se percibieran o se pasaran de-
liberadal11.ente por alto esas seales? Las posibles causas de que eso ocu-
rra son numerosas, pero la mayora tienen que ver con el hecho de que
los observadores a toro pasado y co n un conocimiento retrospectivo
petfecto ven las cosas de manera muy diferente a com.o las vean los par-
ticipantes ac tivos, con una visin i>rospectiva limitada ~ Saber cmo resul-
taron las cosas - lo que los psiclogos han denom..inado conocimiento de
los resultados- sesga profundamente nuestro juicio sobre las acciones de
quienes las afi'ontaron in situ. Diversos estudios2o han mostrado qu e:
- La gente sobreestima enormemente lo que cree que habra podido
prever.
- Tambin sob reestima lo que otros eran cap aces de prever.

18. K. E. Weick, Organizational culture as a source ofhigh reliability, Califorl'lio Mo-

noge/lle/1.t Rwiew, 29, pp. 112-127. 20. El ms importante de los cuales quiz sea el artculo de Barllch Fischhoff Hind-
19. R .Westrum, Cultures with requisite imaginatioll, en ].Wise, D. H opkin y P. Sta- sight do es not equal foresigh t: the effect of outcome knowledge OI\ j udgement under un-
ger (eds.), Verifica/ion ond [/ida/ion ofComp/ex Systel/ls: Hunw/'I Fac/ols Issues, Berln , Sprin- certain ty,jo /./rna/ ofExperil/le/1.tal Ps)'cholog)': HUlllan Perforlllance and Perception , 1, 1975, pp.
ge r-Verlag, 1992, pp. 401-416 . 288-299 .

7 7I
 La gesti n de los g randes riesgos
- Sus recuerdos de lo que ellos nusm os eran capaces prever no son fi-
dedignos.
Uno de los hechos que ms fcilmente pasamos por alto cuando repa-
samos la historia causal de un accidente es que un indicador previo del
desastre slo es una verdadera advertencia cuando se sabe qu clase de de-
sas tre se va a sufiir. Sin embargo, muy raramente es as, como han expli-
cado los psiclogos holandeses Willem Albert Wagenaar y JoP Groeneweg:
Los accidentes parecen ser el resultado de coincidencias muy complejas que
raramente podran haber sido previstas por los participantes involu crados. Esa
impredecibilidad es consecuencia del gran nmero de causas y de la disper-
sin de la informacin entre los participantes [... l.Los accidentes no ocurren
porque la gente se la juegue y pierda, sino porque esa gente no cree qu e el
accidente que est a punto de oc urrir sea posible en absolut0 21.
En po cas palabras, muchos accidentes so n accidentes irnposibles -al
m enos desde la persp ec tiva de los implicados 22- . se fue probablemente
el caso del accidente debido al fallo de mantenimien to del avin, pero
quiz no tanto el de la bancarrota del Banco Barings. En este caso, la di-
reccin del Barings se haba asustado lo suficiente a ca usa del fraude p er-
petrado por el agente de Wall Street en abril de 1994 como para ordenar
la revisi n de sus propios controles de riesgo. Advirtieron las defici encias
y comenzaron a corregirlas, pero no lo bastante rpido para escapar al de-
sastre. Tal vez, co mo observ el tesorero del grup o, siempre haba alguna
otra cosa que pareca m s urgente. Un epitafio idneo para la mayora de
los accidentes organizativos.
21. WA . Wagenaa r y J. Groeneweg, Accidents at sea : mu ltiple ca uses and impossible
co nseq uences, Jntema/ional Jo l/rila I of Man-i\lJacliin e S/I/dies, 27,1987, pp. 587-598.
22.Vase ta mbin el muy influ yente lib ro de C harl es Per row No rI l/al Acciden/s: Lil/ing
Illitll Higli-Risk Tedl/l ologies, Nu eva York, Basic Books, 1984 [trad. cast. : Acciden/es nOrll/ales.
COlll/ivir con las tewologas de al/o riesgo, Madrid , Modu s Laborandi , 2009].
72
3
Defensas peligrosas
MUERTO POR SU ARMADURA
EN UNA HMEDA MAANA de finales de octubre de 1415, una considerable
fi.erza de caballeros franceses cubiertos con pesadas armaduras avanz con-
tra un pequeo y dbil ejrcito ingls formado por 5000 arqueros sin ar-
madura y unos 300 hombres de armas. (El ejrcito francs era al menos
cinco veces ms numeroso). Los caballeros franceses cargaron a caballo sobre
un terreno flanqueado por densos bosques a ambos lados y, aunque inten-
taron atacar los flancos del contingente ingls para evitar la amenaza de sus
arcos largos, que conocan pelfectamente, la naturaleza del terreno hizo que
las dos alas del ataque convergieran en el centro del campo. Una vez a su
alcance, los arqueros ingleses lanzaron una tormenta de flechas de casi un
metro de largo y punta de acero, que mataron a algunos caballeros fiance-
ses en el acto ; p ero muchos otros slo cayeron de sus caballos heridos.
A comienzos del siglo xv, la armadura de planchas qu e llevaban los ca-
balleros casi haba alcanzado su cnit en cuanto a complejidad y peso. Es-
taba fa bricada a pru eba de la m ayora de las armas de punta o filo de la
po ca, pero tea un defecto fatal. Era tan pesada que si su ocupante era
descabalga do tena graves dificultades para volver a ponerse en pie, espe-
ciahnente en circunstancias como las que co ncurriero n en el campo de
batalla de Azincourt: un espacio estrecho, atestado y embarrado l . Cados
en el suelo, yacan indefensos, y los desembarazados peones ingleses, ar-
mados con mazas, puales y dagas, los m asacraron. (Hubo algunos prisio-
neros, pero m s tarde fueron asesinados). El ej rcito ingls perdi en torno
a 100 hombres y n'ios en la batalla; los muertos franceses, la mayora no-
bles, ascendieron a muchos miles.
1. Para saber ms sobre qu se senta al enco ntrarse un o en la diana de una llu via de
flechas , vase John Keegan , Tlie Pace cifVlkir, Nueva York,Viking Press, 1976.
73
La gesti n de los grandes riesgos
Este sangriento episodio de una larga guerra -que los ingleses, final-
mente, perdieron- sirve para presentar el tema principal de este captulo,
a saber, que unas defensas diseadas para proteger frente a un tipo de ame-
naza puede hacer vctimas de otras clases de peligros a quienes deban sal-
vaguardar; peligros que normalmente no previeron quienes las crearon y
que sus usuarios ni siquiera llegaron a comprender.Y esto es tan cierto hoy
- en la poca de los sistemas de alta tecnologa- como lo era en los tiem-
pos de Azincourt.
ALGUNAS PARADOJAS
La historia de las defensas, barreras y salvaguardias abunda en paradojas,
con frecuencia dolorosas. Las medidas de proteccin pueden causar daos.
A la inversa, pequeas dosis de un ente daino pueden proporcionar una
proteccin duradera, como en el caso de la vacunacin o inoculacin.
Algo anlogo a la inoculacin, en el mundo de las tecnologas de alta pe-
ligrosidad, es la oportunidad de reformar el sistema que procuran los inci-
dentes, los casi accidentes y otras lecciones gratuitas -sucesos que podran
haber sido desastrosos, pero que en esa ocasin no lo fi..eron-. Hasta cierto
punto, es posible (vacunar un sistema contra los accidentes organizativos,
aprendiendo m s sobre las fortalezas y debilidades de sus defensas a partir
de esos casos en que sali bien librado por los pelos (vase el captulo 6).
El presente captulo analiza algunas de esas irolas y paradojas relativas
a las defensas en tanto afecten a sistemas vulnerables a los accidentes orga-
nizativos. En ningn momento sostendr que las defensas sean intrnseca-
mente malas. Sin duda, la provisin de defensas diversas y redundantes ha
reducido mucho la cifra absoluta de su cesos adversos; pero tambin
ha cambiado radicalmente tanto la naturaleza de los accidentes que ocu-
rren como el carcter de los sistemas que protegen --sobre todo, han trans-
formado la relacin entre sus componentes humanos y tcnicos-o Es
esencial, por tanto, que quienes dirigen y operan tecnologas complejas
entiendan tanto las ventaj as como los peligros de las defensas multicapa.
AUTOMATIZACIN: IRONAS, TRAMPAS Y SORPRESAS
Una de las formas en que los diseadores de sistemas han procurado re-
ducir lo que h a llegado a conocerse como el problema 80:20 -el fie-
cuente descubrimiento de que en torno al 80% de las causas de accidentes
74
3 Defensas peligrosas
se deben a fallos humanos y slo el 20% a fallos tcnicos- ha consistido
en implantar ms automatizacin an en el interfaz ser humano-sistema.
Por supu esto, el deseo de alejar a los falibles seres humanos del lazo de
control no es la nica razn de este rpido crecimiento de la automatiza-
cin. La disponibilidad de capacidad de computacin barata desde co-
mienzos del ltimo cuarto del siglo xx -una tecnologa de vanguardia
cuyo uso ofiece considerables ventajas com erciales- ha constituido un
poderoso incentivo.
C uando, a comienzos de la dcada de los setenta, se form el consorcio
europeo Airbus Industrie, la cuota de Europa en el mercado global de re-
actores cOlnerciales de transporte era prcticamente cero. Para competir con
los fabricantes estadounidenses dominantes,Airbus decidi usar en el diseo
de cabinas de mando automatizadas las ltimas tecnologas disponibles.Aun-
que otros fabricantes, como Boeing y M cDonnell Douglas, siguieron su
ejemplo,Airbus Industrie continu a la vanguardia de la divisin del trabajo
entre pilotos y sistemas informticos de gestin de vuelo. Batir a la compe-
tencia exigi una agresiva poltica de diferenciacin - sobre todo en el
punto hasta el qu e se estaba dispuesto a llegar para hacer que los aparatos
dependieran menos del control humano-o La filosofa radical de la auto-
matizacin de la cabina de vuelo les hizo ganar una porcin sustancial del
mercado de reactores de transporte, pero tambin cre una nueva hornada
de dificultades con el factor humano. Dificultades que en absoluto son ex-
clusivas de los aparatos de Airbus, ni siquiera de la aviacin2 .
Antes de ver en detalle estos problemas en el mbito de la aviacin,
vale la pena considerar, en trminos generales lo que la psicloga brit-
nica de la ingeniera, Lisanne Bainbridge, ha llamado, con gran acierto, las
ironas de la automatizacim>3.
- Al asumir las partes fciles de la labor de un operador humano, la au-
tomatizacin puede hacer que las partes difciles del trabajo resulten
aun ms difciles.
- Muchos disel1adores de sistemas juzgan a los seres humanos ineficien-
tes y poco fiables; pero an dejan algunas p ersonas para que resuelvan
precisam ente aquellas tareas que el diseador no sabe cm o automa-
2. Gran parte de la informacin contenida en esta seccin procede del volumen AlJia-
tioll Week a/1.d Space Teclmology, parte 1, dedicado al tema Automated cockpits: who's in
charge?, 30 de enero de 1995.
3. L. Bainbridge, lronies of automation, en J. Rasmussen, K. Duncan y J. Leplat (eds.)
New Techn.olog)' alld HUl/1an Error, Chichester, Wiley, 1987, pp. 271-283.
75
La gestin de los grandes riesgos
tizar -muy especialmente, la de restaurar e! sistema a un estado seguro
despus de un fallo imprevisto.
- En sistem as altamente automati zados, la labor de los operadores huma-
nos es vigilar e! sistema para asegurarse de que la automtica funciona
como debe. Pero es bien sabido que incluso las personas ms motiva-
das tienen problemas para mantener la vigilancia durante largos perio-
dos de tiempo. As pues, son inadecuadas para vigilar la aparicin de unas
circunstancias anormales que son extraordinariamente infrecuentes.
- Para conservar las habilidades hay que practicarlas continuamente. Sin
embargo, un sistema automtico que slo falla muy ocasionalmente
niega a los operadores humanos la oportunidad de practicar las habi-
lidades a que debern recurrir en una emergencia. As, los operadores
pueden perder su cualificacin precisamente en aquellas habilidades
que justifican la continuidad de su marginal existencia.
- Y, C011'lO se1ala Bainbridge, quiz la ironia final es que son los siste-
mas automatizados con ms xito, aquellos que raramente precisan in-
tervencin manual, los que pueden requerir las mayores inversiones
en la formacin de los operadores.
Aunque los sistemas de control automtico y sus problem.as no son
exclusivos de la aviacin, ste es e! sector ms exha ustivamente estudiado
y que aporta las mejores descripciones de incidentes y accidentes re!ati-
vos a la automatizacin - gra cias a la grabacin a bordo de datos de
vuelo-o Adems, los sistemas de gestin de vuelo son una de las formas
ms avanzadas de auto11'latizacin disponibles en la actualidad. Por estas ra-
zones -y porque muchos de los problemas con que se enfi.-entan los avio-
nes son comunes a otras tecnologas- en lo que resta de esta seccin nos
centraremos principaln'lente en la automatizacin de las aeronaves.
La automatizaci n de la cabina de vuelo ha demostrado tene r sus pros
y sus contras. Por una parte, ha simplificado mucho la tarea de la navega-
cin horizontal -sa ber dnde se es t respecto al suelo- gracias a un
mapa electrnico que no slo mu estra la posicin de! aparato en rela cin
con la geografia debajo de l, sino tambin e! tiempo atmosfrico que
encontrar a lo largo de su ruta -los pilotos lo juzgan uno de los ele-
mentos ms tiles de los apara tos con glass cockpit-. De otra parte, ha
habido muchos problemas co n los cambios de altitud, o navegacin ver-
tical, algunos de los cuales han llevado a accidentes fatales 4 .
4. D. Hu ghes, Incidents reveaJ mod e co nfusion.Automated Cockpits Special R eport,
Part h, A "iatioll Hleek 0111/ Space Tecllllologjl, op. cit. , p. 5.
3. Defensas pe]jgrosas
La navegacin vertical es complej a porque est controlada por la com-
binacin de las acciones de! timn de profundidad y la propulsin de los
motores. Un sistema de gestin de vuelo {flight I'nanagernent s)'stem} FMS)
oh'ece al menos cinco modos distintos de variar la altitud, cada uno con
un grado diferente de automatizacin. El piloto seleccionar algunos de
esoS modos; otros entrarn en funcionamiento automticaluente. En uno
de ellos, por ejemplo, e! FMS controlar la velocidad vertical de! aparato;
en otro, mantendr la trayectoria de! avin en un ngulo dado. Una com-
plicacin adicional consiste en que e! FMS cambiar de modo automti-
camente atendiendo a la situacin 10ca15 Por ej emplo, si e! piloto
selecciona una altitud final de 5000 pies, e! modo de ascenso permane-
cer activo slo hasta alcanzarla; logrado esto, e! aparato se nivelar y e! FMS
cambiar automticamente al modo de mantenimiento de la altitud.
Adems, algunos FMS tienen envolturas de proteccin duras, dise1a-
das para prevenir que la velocidad del aparato y la tolerancia a la tensin
de su armazn exceda ciertos valores crticos. El trmino duro signifi ca
qu e el FMS impondr esas barreras automticamente sin accin alguna de!
piloto. La idea es que si, por error, ste lleva e! avin ms all de esos l-
mites de proteccin duros, e! FMS cambiar por s solo a la configura cin
de un modo seguro. Si, por ejemplo, la velo cidad de un apa rato cayese
por debajo de cierto valor crtico durante la aproximacin al punto de
destino, el FMS podra iniciar e! modo de efec tuar una vuelta de 360 ac-
tivando automticamente los aceleradores. Este elemento defensivo se h a
revelado peligroso en varias ocasiones, cuando los pilotos, ignorantes de
la transicin, han luchado contra el FM S por el control de! aparato -en
ocasiones, sin xito.
El meollo del problema -desde una perspectiva de factores huma-
nos- es que e! FM S puede cambiar de modo por efec to de una interven-
cin de! piloto o siguiendo su propia lgica interna. No es extro, pues,
que los pilotos acaben confundidos acerca de qu modo est activo o qu
va a pasar a continuacin. Para mantenerse por delante de! aparato, las tri-
pulaciones no slo deben saber en qu modo estn, sino tambin cmo se-
lecciona el FMS los nuevos modos. En ocasiones, esto puede ser pedir
demasiado, sobre todo cuando esa denunda ocurre, como suele suceder,
5 . D. D.Woods, The price of flexibility , en W. Hefley y D. Murray (eds .), Proceenil7gs
ol IlI temational /lVo/'kshop 0 11 Inte/lige/'/t Use/' IlIteifaces, ACM, enero de 1993. Vase tambi n N.
B. Sarter y D. D. Woods, Mod e error in the supervisory co ntrol of automated systems,
en Proceeni/'/gs 01 the Hllman Facto/'s Societjl 36th A I'/IIlIol Nleeti/'lg, Atlanta, CA, octubre de
1992.
77
La gestin de los grandes riesgos
durante lapsos de elevada carga de trabajo mental. He aqu otra irOIa de
la automatizacin: los FMS, diseados para aligerar la carga mental del piloto,
tienden a ser ms oscuros y a exigir ms atencin en los lapsos de ms
carga de trabajo -una caracterstica que Earl Wiener, psiclogo de la avia-
cin en la Universidad de Miam.i, ha llamado automatizacin chapucera6.
Un reciente estudio del Instituto Tecnolgico de Massachussets (MIT)
analiz 184 casos de co nfusin de modo -algunos de los cuales desem-
bocaron en accidentes fatales- ocurridos entre 1990 y 19947 . El 74% de
ellos estaba asociado a maniobras de navegacin vertical; slo el 26% tena
relacin con la navegacin horizontal. Los errores de modo se clasificaron
en diversas categoras. La ms numerosa (45% del total) se deba a que los
pilotos haban introducido datos de forma incorrecta o en el modo equi-
vocado, lo que haba producido un modo de FMS que no esperaban o un
cambio de modo desconcertante. La segunda categora ms numerosa
(20%) tena que ver con problemas de transicin entre modos en los que
cundi la cOIusin entre los pilotos (o se produjo una desviacin no in-
tencionada del aparato) porque el FMS ejecut una transicin de modo
inesperada o no ej ecut la que s se esperaba. Una categora ligeramente
ms pequea (18%) surge del hecho de que la tripulacin no entenda del
todo la automatizacin y, en consecuencia, introdujo datos incorrectos -
o no los introdujo cuando era necesario-, dando lugar a una maniobra in-
esperada del aparato o simplemente desconcertndolos sobre su
comportam.iento. De todas estas confusiones, el 14% se debi a un fallo en
la coordinacin de la tripulacin -uno de sus nuembros uci una se-
cuencia de acciones que indujo a error a otros acerca del modo activo, un
cambio de modo o una desviacin-.Y en el 12% de los casos fue un fallo
por parte del FMS lo que caus la cou sin o la desviacin indeseada del
aparato.
Estos descubrim.ientos revelan otra iroa ms de la automatizacin.
Los sistemas de control informtico, cuyo fin es elinunar la posibilidad de
que ocurran deslices, lapsus y torpezas puntuales en la cabina de vuelo,
pueden aumentar la probabilidad de errores en un nivel ms alto y con ca-
pacidad para causar la destruccin total del aparato y sus ocupantes. La
carga mental de la navegacin horizontal ha disminuido mucho, pero la
relacionada con la navegacin vertical, ms compleja y deternunante para
6. E. L. Wiener, Hllman Factors a/'.d Admnced TeChll0logy ((Glass Cockpit) Ti'arlSport A ir-
crafl, TechnicaJ Report 117528, (Washington De.: NASA, 1989).
7. El autor del trabajo fue R .John Hansman, profesor del Departamento de Aeron u-
tica y Astronutica del MIT. Los datos ofi-ecidos aqu provienen de D. Hughes, OJ!. cit,
). Defensas peligrosas
la seguridad, puede, en ciertas circunstancias, aumentar sensiblemente.
Adems, estos problemas aadidos referidos a cambios de altitud ocurri-
rn durante los despegues y los aterrizajes - los momentos de mayor carga
de trabajo para los pilotos.
En su detallado estudio sobre las cOIusion es de modo (conocidas tam-
bin como errores de modo))) en varios sistemas de control automatizado
-incluyendo la aviacin, la anestesia, las centrales nucleares y los vuelos
espaciales8- , David Woods y Nadine Sarter identificaron varios proble-
mas de factores humanos relevantes en todos estos mbitos. Los sistemas
automatizados pueden:
_ Aumentar las demandas sobre la memoria de sus usuarios.
_ Causar que no estn seguros de cundo y hacia dnde deberan enfo-
car su atencin.
_ Dificultarles trabajar en equipos que compartan una nusma compren-
sin de la situ acin (stuatol1al awarel1ess) .
_ Afectar negativamente a sus modelos mentales del sistema.
_ Aumentar su carga de trabajo en momentos en que la exigencia ya es
alta.
_ Linutar su habilidad para desarrollar estrategias efectivas para solven-
tar las demandas de sus tareas.
- Aumentar su estrs y su ansiedad.
_ Incrementar el potencial de confusin debido a una mayor flexibili-
dad (esto es, por la existencia de muchos niveles y tipos de automati-
zacin posibles).
Woods y Sarter sealan, luego, las propiedades de los sistemas auto-
matizados que fomentan esos problemas:
- Pueden ocultar sucesos, cambios o anomalas de inters.
- Poseen mltiples modos.
- Obligan al acceso secu encial a informacin muy interrelacionada.
- Ofrecen una visin exigua de un espacio virtual ilimitado.
- Contienen secuencias de operaciones y modos que son complejas y ar-
bitrarias.
- Suprimen informacin importante acerca de las actividades de otros
nuembros del equipo.
8. N. B. Sarter y D. D. Woods, oJ!. cit. Vase tambin D. D. Woods el al., Behind Hllrnan
Error: Cogrlitille Sysfems, COll1puters and Hindsight. State of file Arl Reporf, Dayton, OH , CSEKIA,
Wright-Patterson Airforce Base, 1994.
79
La ges ti n de los gra ndes ri esgos
En resumen, las confusiones de modo pueden ocurrir por una de estas
dos ca usas principales: el usuario valora equivocadamente el modo activo
en un momento dado o no se apercibe de las transiciones entre modos.
El primero es un fallo de perc epcin (o de interpretacin); el segundo, es
un fallo de atencin. En ambos casos, las causas pueden retrotraerse a una
automatizacin chapucera. En sus esfu erzos por contrarrestar la falta de
fiabilidad de las actuaciones humanas, los diseadores de los sistemas
de control automatizados han creado inadvertidam ente opo rtunidades
para nuevos tipos de error, que pueden ser incluso m s graves que aque-
llos que estaban intentando prevenir.
CONTROL DE CALIDAD FRENTE A GARANTA DE CALIDAD
El paso del control de calidad a la garanta de calidad, ha abierto una bre-
cha en la proteccin de las tecnologas de alta p eligrosidad? Para com-
prender esta pregunta, h emos de pasar revista primero, muy brevem ente,
a los hitos de la historia de los logros y de la medicin en el terreno de
la calidad9 .
En la Antigedad, babilonios, egipcios, griegos y romanos iniciaron el
proceso de calidad al establecer unidades de p eso y medida. Durante toda
la Edad M edia, los gremios de artesanos y lTlercaderes fij aron estndares de
calidad, as como normas relativas a las condiciones de trabajo y los sala-
rios. Con la llegada de la Revolucin Industrial a Gran Breta11a, sin elTl-
bargo, y con la subsiguiente difusin de los m todos de produccin masiva
en los Estados Unidos, la fabricacin de cosas dej de ser una prerroga-
tiva exclusiva de los trabaj adores de oficio expertos. El uso de moldes y
plantillas, en conjuncin con una maquinaria propulsa da por las nu evas
fu entes de energa, signific que un personal relativamente poco cualifi-
cado pudiera realizar trabajos de fabricacin complejos. Durante este pe-
riodo, la responsabilidad principal de la vigilancia de la calidad recay en
los supervisores. M s tarde, debido al impacto del taylorismo (gestin cien-
tfica) y a un sustancial aUlTlento de la ratio entre trabajadores y supervi-
sores, estos ltimos se co ncentraron m s en los asuntos de produccin y
dejaron el control de calidad en m anos de una nueva variedad de sup er-
visor, el insp ec tor. Para describir esta funcin de inspeccin especializada,
al final de la cadena de produccin, se acuo el trmino control de calidad.
9. A. Bend ell ,j. Kelly, E . M erry y F. Sims, Qllalil)': !\I[easllrillg and Monitoring, Londres,
Century Business, 1993.
80
3. Defensas peligrosas
En la dcada de los veinte, mientras trabajaba en los laboratorios Bell
de Nu eva York , Walter Shewhart y su equipo idearo n el control estads-
tico de pro cesos (Statistica l Process Control, spc). Una caracterstica crucial
de esta tc nica era qu e exiga qu e las m edidas de calidad se tomaran, no
al final de la cadena , sino en el punto de fabricacin. Ms tarde, en la d-
cada de los cincuenta, W . Edwards D eming adopt el spc y lo llev a
Japn. El siguiente prrafo describ e la situacin que D eming encontr
en elJapn de posgu erra 10 :
En gestin,Japn tambi n se encontraba atrasado. En ciertos secto res an se
usaba el llan,ado m todo Taylor [ . . .]. El control de calidad dependa total-
mente de la inspeccin , y no todos los productos era n suficientem ente ins-
peccionados. En aquellos das,Japn era competitivo en costes y precios, pero
no en calidad. Era todava, literalmente, la poca de los produ ctos de calidad
pobre, pero baratos.
D em.ing desarroll el ciclo de accin planear-ha cer- comprobar para
dirigir una mejora continua de la calidad. En una sociedad orientada a la
accin, la tendencia general es a concentrarse en el segmento hacer del
ciclo y a esca timar atencin y recursos a las fas es de planificacin y com-
probacin.
En la dcada de los setenta, D eming reimport estas ideas a los Esta-
dos Unidos. Por entonces, otros gurs de la calidad como Joseph Juran,
Armand Feigenbaum y Kaoru Ishikawa, estaban causando tam.bin un
profundo efec to en las creencias y actitudes de los directivos estadouni-
denses. El resultado fu e el movimiento por la gestin de la calidad total
(Tota l Quality Managem.ent, TQM), qu e posteriormente se extendi por
todo el mundo industrializado. Un rasgo clave de la TQM es que todo el
personal de la en,presa comparte la responsabilidad de la calidad. Esto no
es algo que un inspector deba controlar al final de la cadena, sino algo
que deb e garantizarse a travs de todo el proceso de trabajo, desde las
decisiones de la alta direccin hasta las acciones individuales en el mbito
del taller. D e ah que ahora hablemos de garanta de calidad, en lugar de con-
trol de calidad. En otras palabras, la calidad no es algo que se pu eda infun-
dir en una tarea inspeccionando su resultado; es algo que deb e convertirse
m ediante ingeniera en parte intrnseca de ella.
H asta aqu los antecedentes. Veamos ahora qu efecto ha tenido este
desarrollo en una actividad concreta -el mantenimiento de aeronaves-
10. C itado en Bendell el al., OjJ. cit., p. 47. La fu ente es el libro de N ancy R. M an n The
Ke)'s lo Excellel1ce:The Slor)' oflhe Dellling Phi/osojJh)', Londres, Mercury, 1985.
81
La gestin de los grandes riesgos
donde la calidad y la seguridad estn inextricablemente unidas. Debo su-
brayar, no obstante, que el siguiente anlisis es relevante para todos los
mbitos laborales donde se empleen tcnicas modernas de garanta de ca-
lidad y la calidad del trabajo tenga un impacto directo sobre la seguridad
del sistema.
En el captulo 2 analizamos el caso de la ausencia de las cubiertas del
rotor de transmisin del motor que casi caus un desastre. En su informe,
el investigador del accidente seal varias similitudes entre las acciones
precursoras de este suceso y las de otros accidentes relacionados con el
mantenimiento ocurridos en Gran Bretaa. Dos rasgos comunes a estos in-
cidentes eran, primero, que un ingeniero exp erto dio el visto bueno a su
propio trabajo cuando ste no lo ameritaba, y, segundo, que durante los tur-
nos de noche no haba nadie del departamento de garanta de calidad qu e
pudiera evaluar la idoneidad de las prcticas de trabajo.
Cuando no existe un departamento de inspeccin separado, un indi-
viduo adecuadamente autorizado debe firmar o estampar su sello perso-
nal en la declaracin de que el trabajo ha sido efectuado con un alto nivel
de calidad. sta es la nica prueba de que la tarea ha sido terminada; y
el conjunto de todas esas firmas y sellos debe estar completo para atesti-
guar que un aparato est preparado para volver a volar despus de las ope-
raciones de mantenimiento.
Constituyen estas medidas de garanta de la calidad (QualityAssurance,
QA) confirmacin suficiente de que un aparato est en co ndiciones de
volar? Estos incidentes sugieren que la respuesta es no. La inexistencia de
un departamento de inspeccin separado y la ausencia de personal de QA
hicieron posible que alguien firmarse como terminados y ap tos para el
servicio trabajos inacabados o mal efectuados.
Una importante leccin a extraer de estos sucesos es que debemos ser
prudentes respecto a los desarrollos defensivos diseii.ados para mejorar
- o, al menos, asegurar- la calidad y la seguridad cuando pueden servir
tambin a otras metas sin relacin con, o hasta antagnicos de, stas. Pen-
semos, por un momento, qu ofi-ece la QA a la organizacin y al indivi-
duo. Desde la perspectiva de una empresa, la eliminacin de una funcin
de inspeccin independiente (al menos para la mayora de los puestos de
trabajo) confiere como nnimo dos ventaj as comerciales: primero, eli-
mina las demoras, a menudo prolongadas, que acompi.an a las inspec-
ciones separadas; segundo, permite que una mayor parte de la fuerza de
trabajo est ocupada en el obviamente productivo hacer, en contraste
con las labores de comprobacin.
82
3. Defensas peligrosas
En el m.bito individual, las prcticas de QA ofrecen a un ingeniero so-
brecargado de trabajo la va del nnimo esfuerzo: a saber, dar el visto
bueno a distintos pasos de una tarea - antes o despus de abordarla- sin
comprobar en realidad la calidad del trabajo. Uno de los descubrimientos
ms slidos de la psicologa del trabajo es que las personas sentimos la
tentacin de recurrir a atajos siempre que se presenta la ocasin. As pues,
no es casual qu e firmar sin comprobar sea una de las infracciones de
procedimiento detectadas con ms frecuencia en el mantenimiento de
aviones.
No estoy insinuando que la organizacin o el individuo rebajen delbe-
radamente la calidad o la seguridad. De hecho, es probable que ambos ase-
veren su genuino compromiso con esas metas y sealen su adopcin de las
tcnicas de garanta de calidad ms recientes como clara evidencia de ello.
En una disciplina en continua evolucin, como la ingeniera aeronutica,
es dificil advertir que no todos los cambios son para mejor. Aunque el em-
perador no vaya completamente desnudo con sus nuevas ropas, puede que
haya sido despojado de una parte importante de su vestimenta.
La vida en el mundo del trabajo es muy complicada. Est sometida a
numerosas fuerzas, y no todas ellas la im.pulsan en la mism.a direccin al
mismo tiem.po. Como vimos antes, los conflictos entre las presiones de
produccin y de proteccin tienden a resolverse a favor de la primera -al
menos hasta que ocurre un accidente grave.
REDACTAR UN NUEVO PROCEDIMIENTO
Todas las organizaciones sufren cierta tensin entre la natural variabilidad
de la conducta humana y la necesidad del sistema de que las activida-
des de sus miembros tengan un alto grado de regularidad. Los gestores de
los sistemas de alta peligrosidad deben intentar restringir las acciones hu-
manas a cursos de accin que no slo sean eficientes y productivos, sino
tambin seguros. El medio ms usado para lograr ambos objetivos son los
procedimientos escritos. Ahora bien, entre los procedimientos de pro-
duccin y los de proteccin existen algunas diferencias importantes.
Aunque no sean en absoluto inmutables, los procedimientos diseados
para garantizar un trabajo eficiente suelen surgir de forma bastante natu-
ral de las caractersticas del equip o productivo y de la tarea a la que se
aplica. De otro lado, los procedimientos operativos seguros se emniendan
continuamente para prohibir las acciones implicadas en algn incidente
La gestin de los grandes riesgos
o accidente reciente ll . Co n el tiempo, esas adiciones al reglamento de-
vienen cada vez ms restrictivas y a menudo reducen el abanico de ac-
ciones permitidas a muchas menos de las necesarias para que el trabajo
pu eda realizarse nicamente bajo las condiciones ptimas.
El diagrama 3.1 ilustra esta contraccin de la accin permitida a lo largo
de la historia de un sistema dado -podra ser una planta de proceso qu-
mico, un ferrocarril, una empresa de aviacin comercial o cualqui er tec-
nologa de alta peligrosidad con riesgo de sufi-ir accidentes organizativos- .
El espacio entre las reas sombreadas representa el margen de la accin pres-
Cl-ita. Con el transcurso del tiempo, la organizacin inevitablemente sufi-e
accidentes e incidentes en los que se identifican acciones humanas como
factores con currentes. Tras cada suceso, los procedimientos se modifican
para proscribir las acciones implicadas. Como consecuencia, el margen de
las acciones autorizadas se contra e graduah11ente hasta que su espacio es
m enor del que requiere la ej ecucin de todas las tareas necesarias . La nica
forma de llevar a cabo esos trabajos es infringiendo los procedimientos.
Diagrama 3.1
Cmo lo:; necesarios procedimientos de seguridad adicionales reducen el
margen de accin preciso para llevar a cabo las tareas de forma efectiva
Margen
de la accin regulada Actualizaci n
~---,._ _...,
contin ua de los
procedimientos
~--+---l para evitar que
incidentes y acci-
dentes ocurridos
~---;----I vuelvan a suceder
Acciones necesa-
rias e n oGl.siones para
poder ll evar a cabo
el trabajo
11.]. Reaso n, D. Parker y R. Free, Bending lile RlIles :Th e [(rieliel; Origins nl"ld Mn nage-
lII ent cif Srifely Violntions, Leiden, Facultad de Ciencias Sociales, Universidad de Leiden, 1994.
3. Defensas peli grosas
Por ejemplo, el reglamento de British Rail prohbe a los operarios de
maniobras ~as perso nas que unen los coches y vagones que formarn el
tren) permanecer entre los vagones durante las maniobras de composicin
-esto es, cua ndo la locomo tora de cabecera propulsa un conjunto de va-
gones hacia otros detenidos a los que ha de unirse- ' 2 . Slo cuando los
vagones se han detenido puede el operario introducirse entre ellos para
realizar la necesaria conexin. A veces, sin embargo, el enganch e es de-
masiado corto para poder efectuarlo cuando los topes estn totalmente ex-
tendidos. La tarea slo es factible cuando el primer impacto de los vagones
comprime los top es momentneamente. El mejor modo de efec tuar la
conexin es, ento nces, permanecer entre los vagones durante la manio-
bra de composicin. Ser operario de maniobras es un trabaj o peligroso.
Muchos operarios mueren aplastados entre los topes o al caer bajo las
ruedas . Pero no mueren por vulnerar el reglamento. Hay suficiente hol-
gura entre los topes y entre los vagon es . Lo que a veces resulta fatal es
algn error subsiguiente del operario mientras infringe el reglam.ento
quedndose entre dos vagones. Puede distraerse un instante y situarse in-
advertidamente entre dos topes o resbalar y caer bajo las ru edas del vagn .
En un trabajo peligroso, un error sumado a una infraccin es, co n fi-e-
cuencia, una frmula petfecta para provocar un desastre '3
No obstante, la mera repeticin de estas accio nes aisladas -a pesar de
haber estado implicadas en algn accidente- no suele redundar en un re-
sultado adverso. Su aportacin a un accidente anterior fue slo una causa
ms -necesaria, quiz, p ero casi nunca suficiente- en la complej a inter-
accin entre condiciones latentes, desencadenantes lo cales y otros fallos
activos. Como esta combinacin de factores rara vez -si es que alguna-
se repite exactamente de la misma forma, la fuerza de trabajo aprende r-
pidamente que, por lo general, esas transgresiones ocasionales no conlle-
van desventajas; de hecho, no suele tardar mu cho en descubrir tambin
que posibilitan una forma de trabajar ms fcil y eficiente.
Irnicamente, pues, uno de los efec tos de aumentar continuamente la
severidad de la constri ccin de las prcticas de trabajo seguras es aumen-
tar la probabilidad de que se cometan transgresiones. El margen de accin
permitido se reduce a tal punto que los procedimientos se infi-ingirn rLl-
tinariamente, o cuando las necesidades operativas lo demanden. Mientras
12. R . Free, Til e Role of Procedllml Vio lntio/"lS in Rnilwny Accidenls, tesis doctoral, Univer-
sidad de Manchester, 1994.
13. [bid.
85
La gestin de los grandes riesgos
que los errores nacen de la insuficiente especificacin de diversas opera-
ciones mentales; muchas infracciones surgen del exceso de especificacin
procedimentaP4.
Pero la historia no acaba aqu. A p esar de que la comisin ocasional de
estos actos prohibidos carezca de consecuencias negativas en la mayora de
los casos, el hecho de que en el pasado hayan estado implicados en algn
suceso adverso indica que pueden aumentar el riesgo que asumen los in-
fractores, aunque como regla general salgan bien librados.
Un modo por el que las infracciones aumentan el riesgo es haciendo
ms probable que ocurra un error ulterior. Conducir un coche a 180 km/h,
por ejemplo, no basta por s solo para causar un accidente. Sin embargo,
como, casi con certeza, esa velocidad ser superior a la usual en ese con-
ductor, har ms probable que juzgue errneamente la distancia de frenado
o las caractersticas de control del velculo.Y como, en ese momento, los
mrgenes de tolerancia de esos errores estn considerablemente reducidos,
es menos probable que un error no tenga infaustos resultados. En suma, las
infracciones pueden tener dos consecuencias: pueden aumentar la proba-
bilidad de un error posterior y tambin la de que su resultado sea adverso.
La cuestin decisiva en el marco de muchas tecnologas de alta peli-
grosidad no es si transgredir o no las normas, sino cundo hacerlo -o, quiz
an ms importante, cundo cumplirlas- oSi para realizar un trabajo es
preciso recurrir a acciones prohibidas, se infi:ingirn las normas. Casi todas
las operaciones peligrosas conllevan la ej ecucin de acciones que estn
ms all de los lmites prescritos, pero dentro de los lmites de lo que la
gente que comparte unas competencias laborales comparables juzga acep-
table. La mayora de los trabaj adores experimentados saben aproxim ada-
mente dnde est el borde entre la seguridad y el desastre, y no lo
cruzan, salvo en circunstancias extremas. Lo que no siempre perciben con
precisin, sin embargo, es dnde se encu entran con respec to a l en un
momento dado. H ay ocasiones en que lo ms prudente es retroceder den-
tro de los estrechos lmites de la accin permitida, o incluso detener com-
pletamente las operaciones. La decisin de cundo obrar as, sin embargo,
se basa en un juicio delicado y en ocasiones falible.
14.]. Reason, "A systems approach to organizational errors, Elgollomics, 38, 1995, pp.
1708-1721.
86
3. Defensas peligrosas
CAUSAR EL SIGUIENTE ACCIDENTE POR INTENTAR PREVENIR
EL ANTERIOR
Los investigadores de accidentes no slo deben establecer las causas de un
suceso sino tambin aconsejar m edidas que ayuden a prevenir su recu-
rrencia. A m enudo, estas m edidas preventivas toman la forma de apaiios de
ingeniera o de regulacin diseados para corregir un problema en par-
ticular o una debilidad del sistema que haya sobresalido conspicuamente
entre los factores causales. Por desgracia, a veces esos mismos apaos
desempean un papel causal protagonista en un accidente posterior. Dos
ej emplos ilustrarn esta idea.
En la dcada de los cincuenta, a consecuencia de varios accidentes a-
reos en los que el estado de la pista, enfangada o contaminada de algn otro
modo, hizo que algunos aviones se estrellaran durante el desp egue, se aa-
di a la cabina de vuelo un nuevo instrumento - el monitor de despe-
gUe-15 El piloto deba ajustar el ngulo de ascenso del avin hasta hacerlo
coincidir con un indicador de obj etivo que le sealaba el instrumento. El
piloto operaba los controles de la propulsin y el timn de profundidad
hasta que el cursor que indicaba el ngulo de ascenso actual del aparato
coincida sobre una escala vertical con el indicador de objetivo. Era un
instrum ento de mando relativamente novedoso, que calculaba el ngulo
de ascenso idneo en las circunstancias presentes y acto seguido orde-
naba a la tripulacin ajustarse al ngulo-obj etivo siguiendo el movimiento
del cursor, que se11alaba, a lo largo de la escala, su ngulo real en cada mo-
1TIento.
Poco despus de introducirse el nu evo instrumento, un avin desp eg
trazando un ngulo de elevacin inslitamente agudo ' 6 . In capaz de man-
tenerlo, perdi velocidad y cay sobre la pista. Los investigadores del ac-
cidente descubrieron luego que el fallo de un pequeo tornillo que deba
hacer de tope dentro del monitor de despegue haba causado que ste
ordenase un ngulo de ascenso totalmente inadecuado. Pese al hecho de
que los dems instrumentos de vuelo funcionaban correc tam ente, los pi-
lotos siguieron la indicacin del instrumento defec tuoso. COlTlO han des-
cubierto otros inves tigadores, lo s instrumentos que asumen parte del
trabajo m ental de los pilotos parecen acaparar su atencin -en esos das,
15. El ms famoso de estos accidentes fu e el sufi.. ido en febrero de 1958 por un aparato
de BEA, a bordo del cual viajaban, entre otros pasajeros, el equipo de ftbol del Manches-
ter United y su manager, sir Matt Busby.
16.]. Reason, iV/an in Molion, Lo ndres,Weidenfeld, 1974.
La gesti n de los grandes ri esgos
el problem a se denominaba fascinacin 17- incluso aunque haya en la
cabina de vuelo fu entes de informacin alternativas, aunque m enos fci-
les de procesar.
El segundo ejenlplo parte de un suceso-centinela en la historia de
la gen eracin elc trica nuclear. A las 4 de la madrugada del 28 de marzo
de 1979, una turbina de uno de los dos reactores de agua a presin (Pres-
sursed water reactor, PW R) que M etropolitan Edison op eraba en la ce ntral
de Three Mue Island -cerca de H arrisburg, Pensilvania- se par (se
trab) automticamente l 8 . La causa fu e que, durante la realizacin de ta-
reas mantenimi ento, se produjo una fu ga de agua - una ca ntidad equi-
valente a una taza de caf- a travs de una junta defec tu osa . La humedad
afec t al sistem a neumtico qu e co ntrolaba dos vlvulas del sistem a de
alimentacin de agua e hizo que se cerraran automticamente, lo cual
cort el flujo de agua al generador de vapor y detuvo la turbina: con las
bombas paradas, el calor del sistema primario de refrigeracin -que cir-
cula a travs del ncleo del reactor- no poda transferirse al agua fr a del
circuito secundario. En ese instante, cientos de alarmas e indi cadores so-
n oros se ac tivaron simultneam ente en la sala de control y las bombas de
alimentacin de agua de em.erge ncia entraron asimismo en funciona-
miento, automticamente. Estas bombas haban sido diseadas para ex-
traer agua de un tanque de almacen amiento de em ergen cia y hacerla
circular por el sistema de refrigeracin sec undario p ara co mp ensar el
agua que hi erve hasta evaporarse cuando deja de circular.
La em ergencia dur 16 horas y provoc la emisin de p equeas ca nti-
dades de material radiactivo a la atmsfera circundante. Los op eradores de
servicio al inicio del incidente cometieron varios errores bien documen-
tados, pero el m s relevante aqu para nosotros fil e redu cir la inyeccin de
agua a alta presin en el sistema de refi:igeracin del reactor, reduciendo
as su fluj o neto de casi cuatro mil litros por minuto a algo m enos de cien .
Ese estrangulamiento provoc graves daos en el ncleo del reactor. No
es preciso que nos detengamos aqu a examinar por qu razones se tom
esa decisin-otros autores las han debatido extensam ente-o Lo que nos
17. FI' P.. C, Fasci/1alion., Flying Personnel R esea rch ConuTlittee R eport, Lo ndres, Ministry
ofDefence, 1960 .
18.J. Ke meny, T he Need Jo r Clw/1ge: The Legac)' oJ TMI. R eporl oJ Ihe Presidel/ lial COl/l/l/is-
siO/1 0 1/ Ihe Accidel/ I oJThree !VIile Islm'ld, Nu eva York, Pergamon, 1979 .Vase tambin, C har-
les Perrow, No rlllal Accidenls: LiI)i/1g /./Jith High-Risk Teclmologies, Nu eva Yo rk, Basic Books,
1984 [trad. cast.: Accidentes I/oflll ales. COflf)ivir CO II las tewologas de alto riesgo, Madri d, Modu s
Laborandi ,2009].
88
3. Defe nsas peligrosas
at ie son las m edidas qu e tom la C omisin R eguladora de la Energa
Nu clea r de los Estados Unidos para prevenir que esa accin pudiera rep e-
tirse en cualquier futuro accidente en una ce ntral nu clear.
D espu s de Three Mue Island (T MI) , los reguladores de la energa nu-
clear estadounidense prescribieron estrictam ente qu e los operadores de las
centrales no reduj eran la inyeccin de agua a alta presin durante los es-
tadios de recuperacin de un suceso fu era de lo normal.Tres aos despus,
en este caso en Ginna l9 , el equipo de la sala de control de o tro PWR hubo
de hacer frente a una emergencia en la qu e reducir la inyeccin de agua
a alta presin habra sido la decisin correcta; p ero, p erfec tamente cono-
cedores de la restriccin normativa promulgada a resultas del accidente de
TM I , no lo hicieron. C omo co nsecuencia, la duracin de la emergencia se
alarg varias horas.
Es tos ej emplos ilustran algunos de los dal'ios potenciales que pu eden
seguirse de lo qu e, a primera vista, parecen ser intentos perfectamente ra-
zo nables de enmendar las causas de accidentes previos . H ay aqu dos
pro blem as princip ales. Co mo muestra el cas o del m onitor de desp egu e,
introdu cir nuevos elem entos defensivos produ cto de inge niera aumenta
la co m.plejidad al sistcma. En pa rticular, i.ade comp onentes qu e pu eden
fallar. Adem s, en este caso, co mo, en general, en las for mas ms moder-
nas de automatizacin, los inten tos de alejar a los op eradores de sala del
lazo de control direc to pueden crea r tip os imprevistos de error humano.
El caso de Ginna ilustra el segundo problema : que ni los reguladores
ni los diseadores del sistema pu eden prever todos los escenarios de fallo
posibles en sistem as complej os, fu ertem ente acoplados y altamente inter-
ac tivos, como las centrales nu cleares; y, por ende, no pu eden proscribir
universaln,ente determina dos tip os de respues ta humana. Lo qu e dem os-
tr ser un error en el accidente de TM I result ser una acci n vital en
Ginna. E n el captulo 4 veremos que las regulacion es y los procedimien-
tos comparten con otros dispositivos de control prealimentados el pro-
blema de ser insensibles a las circunstancias locales.
19. D. D. Woods, Operalor Decisiol/ Belwviol/r dl/ril/g Ihe Stealll Cel/eralor Tilbe R llpll/re al
Ihe Gil/l/a N I/clear POlf)er Slaliol/, Resea rch Report 82-1C57- CONRM-R2, Pittsburgh, PA:
Westinghouse R&D Cen ter, 1982.
La gesti n de los grandes riesgos 3. D efe nsas peli grosas

DEFENSAS EN PROFUNDIDAD: PROTECCIN O PELIGROSO Queda patente, pu es, que las defensa s en profundidad estn cimentadas
ENCUBRIMIENTO? en la redundancia (muchas capas de proteccin) y la diversidad (muchos
tipos de proteccin diferentes). Sin embargo, estos mismos rasgos -alta-
El diagrama 3 .2 resume la filos afia de las defensas en profundidad. Aqu, la mente deseables desde el punto de vista de la ingeniera- generan tam-
seguridad depende de la independencia causal entre los errores y las averas bin diversos problemas en los sistemas sociotcnicos complejos - hasta el
tcnicas que afectan, respectivamente, al equipo de proceso, a los sistemas punto de que Jens Rasmussen, ingeniero y destacado filsofo de la tecno-
de proteccin producto de la ingeniera -normalmente inactivos-, a las loga, ha acuado la expresin falacia de las defensas en profundidad21 .
barreras fisicas levantadas contra la emisin involuntaria de sustancias pe- Uno de los principales problemas que esta clase de defensas plantean a
ligrosas y a la proximidad de las vctimas probables de un suceso adverso. los controladores y gestores de un sistema es que pueden ocultar tanto que
Los accidentes graves ocurren cuando es te supu esto de independen cia ocurren errores como sus consecuencias a largo plazo; una de sus caracte-
mutua de los distintos estratos defensivos no se cumple. En el desastre de rsticas es que no siempre responden ante fallos individuales: pueden ser
Bhopal, por ej emplo, fallaron a un tiempo tres defensas supuestamente in- contrarrestados o qu edar ocultos, y en ninguno de los dos casos los indi-
dependientes: una chimenea de seguridad de quemado de gases que deba viduos directamente interesados ser conscientes de que han ocurrido. Este
haber quemado el isocianato de metilo, el filtro absorbente-neutralizador rasgo permite la insidiosa acumulacin de condiciones latentes -patge-
de una torre de lavado que deba haber depurado el aire de cualesquiera nos residentes- qu e pueden luego combinarse con condiciones locales y
emisiones, y el sistema de aspersores de agua que deba haber neutralizado errores de primera lnea para romp er o eludir las capas de defensa.
las emanaciones restantes 20 . Un sistema con pocas defensas - co nducir un coch e, por ej emplo-
no suele mantenerse tan imperturbable ante una acumulacin de fallos.
Los errores son detectables de inmediato y el aprendizaje subsiguiente li-
Diagrama 3.2
nutar su recurrencia. Pero eso no es necesariamente as en el caso de las
Resumen de la filosofa subyace nte a las defensas en profundidad
defensas con mltiples luveles. Una peligrosa desventaj a fi'uto de ese ocul-
tanu ento es que IU los individuos IU las orgaluzaciones pueden sacar pro-
Equipo de proceso Sistemas de Contencin Zona de
seguridad seguridad vecho de sus errores con facilidad. Y tanto ms probable es qu e esa
desventaja se transforme en prdidas cuanto m s tiendan quienes disean
Funcio nantiento Situaciones fuera o gestionan esos sistem as a atribuir sus ocasionales fallos catastrficos a la
norl1lal de lo normal falibilidad individual antes que a las debilidades intrnsecas del sistem a.
El terico de las organizaciones Charles Perrow public en 1984 un
libro de gran rep ercusin, Accidentes normales. Convivir con las tecnologas de
Perturbacin Prdida de Emisin Difusin alto riesgo, donde propona la onunosa tesis de que en los sistemas com-
control plejos y frreamente acoplados, como las centrales nucleares , y co n inde-
pendencia de la competencia de sus operadores y gestores, los accidentes
Las ln eas hor izo ntales entre los recuadros indi ca n las co nsecuencias del fa llo en cada una de son inevitables 22 . De ah su ttulo : los accidentes en esos sistemas son nor-
SllSfases. Para qu e los estratos defensivos preserven la seguridad, es necesari o qu e los fa ll os que
afecten al recuadro 1 ca rezca n de toda relacin con los fallos qu e afecte n a otros recuadros (a males. De acuerdo co n Perrow, las redundancias que constituyen las de-
partir de R asmu ssen). fensas en profundidad poseen tres caractersticas peligrosas:

20. D. A Liho u y S.]. Li hou, Bhopa/: SOllle Huma n Factors Co/'/s irlemtio/'/~, Binningham , 21.]. R asmussen , Lea rning rrom experi ence? Som e resea rch issues in industrial risk
Lihou Loss Prevention Services, 1985 .vase tambin L J. B ellamy, Th.e Sajel)' Matwgement mana gem ent, en B. Wilp ert y T. Q val e (eds,) , Re/iabi/il)' anrl SaJely i/1 Haz ardo/./s Work
Factor:An A/'/a /)'sis rf the HI/m an Error Aspects oJ the Bhopa/ Disaster, Londres, Tec hni ca Ltd ., Sl'slel/ /s, Hove, LEA, 1993,
1985. 22. lbirl.

91
La ges ti n de los grand es ri esgos
- Las m edidas de respaldo defensivo redundantes aumentan la comple-
jidad interactiva de las organizacio nes de alta tecnologa y, con ello, la
probabilidad de que sucedan fallos de modo-co mpartido imprevisi-
bles. El supu esto de indep endencia de los estratos defensivos pued e
ser adec uado para el caso de las averas puram ente tcnicas; en cam-
bio, los errores humanos en primera linea y en los mbitos del m an-
teninuento y la ges tin tienen una capacidad nica para engendrar
fallo s que pueden afec tar a varios estratos defensivos al mismo tiempo.
- Aadir redundancia v uelve ms opaco el sistema para quienes, no mi-
nalmente, lo controlan y dirigen. Co n el tien"lpo, los errores inadver-
tidos, as como otros problem as latentes, se acu m ulan y aumenta la
probabilidad de que los aguj eros de los estratos defensivos se alineen
y p ermitan el paso de una trayec toria de accidente (vase el diagrama
1.5) . Este alineamiento puede ser fruto de fallo s de modo-compartido
interactivos o de la inhabilitacin si multnea de unas defensas que se
crean independientes, como sucedi en C hernbil.
- Como consecuencia de este peli g roso ocultamiento, y de bido a su
obvia complicacin ingenieril, las defensas redundantes pu eden lleva r
a que los operadores y gestores del sistem a se olvid en de temer lo que
pueda ocurrir. Este falso sentimiento de seguridad les impulsa a in-
tentar lograr niveles de produccin an ms elevados (vase el captulo
1). En palabras de Perrow: Esos arreglos, dispositivos de seguridad in-
cluidos [ . . .] a m enudo slo sirven para permitir a quien es gobiernan
el sistema incrementar su velocidad, operar co n peo r tiempo o hacerlo
con explosivos ms poten tes.
FALSAS ALARMAS
A quienes haya n llega do a enfurecerse a causa del repetido pitido de la
alarma del coche de algn vecino, no les chocar la idea de qu e las alar-
mas pu ed en m entir. Las falsas alarmas pu eden ser fuente de una intensa
irritacin en nuestra vida co tidiana. En el marco de las tecnologas de alta
peligrosidad p ueden ca usa r un desastre. Es la situacin del pastor m enti-
roso que grita que viene el lobo! Las falsas alarmas frec uentes hacen
que la gente les retire su co nfianza y haga caso omiso d e ellas, o no crea
las advertencias que indican la inminencia de una em ergencia autntica.
Ju sto desp us de las cuatro de la tarde del domingo 18 de junio de
1972, un avi n de pasajeros (Papa India) tipo Trid ent, de British Euro-
92
3. Defensas peligrosas
pean Airways, desp eg del aerop uerto de Londres-H eathrow en direc-
cin a Bruselas y se estrell 120 segu ndos despu s en un campo a las afue-
ras de Staines 23 . No hubo sup ervivientes . Fu e el peor desastre areo
ocurrido en las Islas Britnicas y el primer accidente fatal de un Trident
en funcionami ento regular como parte de la fl o ta d e una aerolnea. Y
sigue siendo uno de los ms misteriosos. Una de las cajas negras (flight
data recorder, FDR), se recup er intacta y revel exactamente qu le ocurri
al aparato, pero no sabemos con certeza cmo ni por qu sucedi, dado que
en esos das an no haba a bordo una CV R , la segunda caja negra (Cock -
pit T/o ice R eco rder, cvn..).
Cosa inslita, en la cabina de vuelo haba cuatro pilo tos: un veterano
capitn de la BEA, de 51 ios, en el asiento izquierdo ; un piloto novel, de
22 al'los, en el asiento derecho; y detrs, entre ellos, u n piloto de 24 ai10s,
con al go m s de experiencia, cu ya misin era estar atento a los instru-
mentos y a las acciones de los otros dos. Ms atrs, ocup aba el asiento su-
plementario otro capitn de la BEA. La accin qu e desencaden el desastre
est fuera de discusin: en torno al nunuto y m edio despu s del desp e-
gue, los alero nes del borde de ataq ue de las alas del Trident se retraj eron
prematuramente, cuand o la velocidad de ascenso era todava insuficiente,
y el aparato com enz a entrar en prdida. No sabemos quin accion el
nundo ni porqu lo hizo.
El Trident estaba equipado co n varios sistemas de alerta de entrada en
prdida. Junto a alarmas sonoras haba tambin un sistema de aviso que
haca vibrar la palanca de mando y un sistema neumtico de recuperacin
de la entrada en prdida qu e empujaba la palanca de ma ndo. Este ltimo
dispositivo desco necta automticam ente el piloto automtico e inclina
hacia abajo el morro del aparato para favo recer la recup eracin de la in-
cipiente parada. Haba tambi n a la izqui erda del panel de control ce ntral
una palanca que p ermita desactivar el sistema de al erta mediante vibra-
cin de la palanca de m ando.
La evidencia aportada por la FDR revel qu e los dos mecanismos de vi-
bracin y traccin de la palanca de mando entraron en accin tan pronto
como el aparato se aproxim a la velocidad de entrada en prdida. El morro
del apa rato baj, pero con el efecto de nivelacin del timn de profundi-
dad m al ajustado la cola del aparato ej erca demasiada resistencia hacia
abajo. Como consecuencia, el m orro del avin volvi a elevarse y ocho se-
23. M .Job, A ir Disasfer, vol.l ,Weston C reek,AcT,Aerospace Publications Pty Ltd,1994,
cap. 11, pp. 88-97.
93
La gestin de los grandes ri esgos
gundos despus del primer tirn de la palanca de mando el sistema de re-
cuperacin de entrada en prdida actu por segunda vez. Tres segundos
despus se repiti la misma pauta y de nuevo el sistema que empuj aba la
palanca hizo que el morro descendiera. En ese momento alguien en la ca-
bina de vuelo cometi un error fa tdico: desactiv el mecanismo de alarma
de la palanca. El morro del avin se inclin hacia arriba con un ngulo que
exceda en 30 lo que el ap arato poda resistir y entr en prdida real-
mente. Cay en picado, y 22 segundos despus se estrell contra el suelo.
Por qu se desactiv el mecanismo que haca vibrar la palanca de
mando cuando actu por tercera vez? Nunca lo sabremos con certeza,
pero entre la comunidad de pilotos comerciales britnica est muy ex-
tendida la conviccin de que las razones decisivas fueron, primero, que la
tripulacin no crea hallarse en una situacin de entrada en prdida (pro-
bablemente porque desconoca la retraccin de los alerones delanteros) y,
segundo, que desconfiaba profundalTlente del sistema de alarma que haca
vibrar la palanca de mando; en suma, crea que indicaba una falsa alarma.
N o slo haba habido muchas alarmas espurias durante la fase de desa-
rrollo del sistema de recuperacin, algunos ati.os atrs, sino que tambin
haba ocurrido un bu en nmero de incidentes bien documentados en los
que se haba producido una falsa activacin de este sistema durante el
funcionamiento normal del avin.
CONEXIONES DELIBERADAMENTE DBILES
Una forma de limitar el dati.o de un accidente o una avera tcnica es di-
seti.ar puntos deliberadamente dbiles en el sistema para qu e falle de ma-
neras ms seguras y predecibles. Los fusibles de un circuito elctrico son
un consabido ejemplo de este principio: si ocurre una sobrecarga en un
circuito, quemar el filamento del fu sible en lugar de algn aparato elc-
trico, minimizando as el riesgo de que se desencadene un incendio en
algn lugar donde acaso nadie pueda advertirlo.
Un principio similar se aplica en la construc cin de grandes aviones
comerciales cuyos motores van sujetos bajo las alas mediante pilones. En
un tpico 747, por ejemplo, el piln de cada motor contiene dos tipos de
clavija de seguridad (o riostra): una riostra a la conexin superior y un ti-
rante en diagonal hacia popa. Si se ejerce una fuerza indebida sobre el
motor y el piln, el ensamblaje est diseti.ado para romperse limpiamente
por las clavijas, evitando as la posibilidad de que se arranquen grandes
94
3 Defensas peligrosas
troZOS de la estructura de las alas. Un avin sobrevivir a la prdida de un
motor muchsimo mejor que a la prdida de una parte sustancial de la
estructura que le proporciona su capacidad de sustentacin, el ala.
Quiz cuando se comenz a sujetar los motores a reaccin bajo las
alas, las clavijas de seguridad cumplan la funcin prevista y nada m s, pero
recientemente su fallo improcedente ha estado implicado en varios inci-
dentes y accidentes graves, muy notoriamente en Schiphol en 199224 . Muy
a menudo, esos fallos se debieron a que las clavijas de seguridad se insta-
laron o aseguraron mal durante alguna operacin de mantenimiento.
El uno de marzo de 1994, uno de los motores de un Boeing 747-251B
de Northwest Airlines (NWA) que acababa de aterrizar en el nuevo aero-
puerto internacional de Narita, en Tokio, se solt mientras el avin rodaba
para dejar la pista y, medio descolgado, fue arrastrando por el pavimento
hasta que el aparato se detuv0 25 . La causa inmediata del accidente fue la
rotura de la riostra a la conexin superior en el interior del piln del
motor, que, a su vez, se debi a que, en una exh austiva revisin general en
las instalaciones de m antenimiento de NWA en Minneapolis-St. Paul, no se
haban colocado las suj eciones adecuadas del tirante diagonal hacia popa,
a causa de lo cual, algn tiem.po desp us, se solt. El motivo de haber
abierto el motor era posibilitar la comprobacin no destructiva de las cla-
vij as de seguridad. Posteriormente, las sujeciones correctas aparecieron en
el hangar donde se efectu la revisin, ocultas bajo un trozo de plancha
de madera dentro de una bolsa de tela sin indi cacin alguna, encima de
la plataforma utilizada para trabajar bajo las alas.
Este accidente ilustra cmo las medidas adoptadas para prevenir un pro-
blema de seguridad pueden contribuir a otro. Antes del accidente del avin
de NWA en N arita se haba informado en cinco ocasiones de casos de des-
plazamiento de clavijas de seguridad de los pilones de los motores del
B-747.En una de ellas el accidente ocurrido fue similar al de Narita.Todos
fueron atribuidos a una colo cacin defectuosa - a despecho de que los
defectos de disei'o deben h aber desempe11ado tambin algn papel-o
Estos incidentes llevaron a Boeing a exigir la adici n de unas fijaciones
secundarias para las clavijas de seguridad. En la fecha del accidente de N a-
rita dichas fijaciones secundarias haban sido instaladas en la clavija-tirante
24. B-747 Accident, Schiphol Airport,Amsterdam, 4 October 1992, Flight Deck, 21,
Londres, British Ailways Safety Services, OtOllO de 1996, pp. 13-22.
25. NTSB, !\llainteanceAnomaly Reslllti/lg in Dragged E''gine dllring lnding ROI/Ollt, North-
lIIest Air!ines F/ight 18, New Tokyo Inlernational Airport, March 1, 1994, NTSB/SIR-94/02 ,
Washmgton De., National Transport Safety Board, 1995.
95
La gesti n de los gra ndes riesgos
diagonal a popa de 7 de los 41 B-747 de la flota de NWA. Es probable que
esta novedosa variante de suj ecin contribuyese a los mal entendidos y las
confusiones procedimentales qu e posteriormente posibilitaron que se co-
metieran errores de instalacin qu e pasaron inadvertidos.
Los dispositivos de seguridad, como la adicin de cualquier otro com-
ponente, aumentan la complejidad de los sistemas, especiahTlente durante
su mantenimiento. Por consiguiente, crean nuevas oportunidades de que
sucedan errores humanos de un tipo especiah11ente determinante para la se-
guridad. As pues, estamos una vez ms ante un ejemplo de un elemento
de seguridad que se convierte en un punto de vulnerabilidad. La principal
amenaza a qu e se enfrentan los 111otores de un avin moderno no es tanto
una carga excesiva cuanto un excesivo contacto con la mano humana.
RESUMEN
En es te captulo hemos identificado al m enos seis forma s en que las de-
fensas pu eden ser peligrosas:
- M edidas defensivas diselladas para redu cir las oportunidades de que
suceda un tipo particular de error humano pu eden desviar las opor-
tunidades de error a alguna otra parte del sistema, donde los errores
pu eden ser incluso ms costosos .
- Unas defensas mejores se convierten a m enudo en mejoras produ cti-
vas, en lu gar de protectoras, lo qu e vuelve al sistema menos seguro de
lo que era antes.
- Las defensas en profundidad, qu e se basan en la redundancia y en la di-
versidad, hacen al sistema ms opaco para sus operadores; de ah que
posibiliten la acumulacin insidiosa de condiciones latentes.
- Los dispositivos de advertencia y alarma qu e adquieren reputacin de
indicar peligros inexistentes reducen la probabilidad de que se atienda
a sus sei'iales y se acte en consonancia con ellas en el caso de una
emergencia real.
- Las medidas diseadas para eliminar una causa notoria de un accidente
anterior pueden contribuir a que ocurra el siguiente.
- Las defensas, las barreras y las salvaguardias at'iaden componentes y co-
nexio nes adicio nales al sistema, elementos que no slo lo vu elven ms
complejo sino qu e, adems, pu eden ellos mismos fallar tambin catas-
trficam ente.
4
La contribucin humana
EL FACTOR HUMANO
SON LOS SER.ES HUMANOS QU IENES disel1an, construyen, operan, mantienen,
gestionan y defienden las tecnologas de alta peligrosidad. No es extrallo ,
pu es, que el factor humano desempel1e el papel principal tanto entre las
ca usas co mo en la prevencin de los accidentes organizativos . Este cap-
tulo explora la aportacin humana a la seguridad -o a lo contrario- de
los sistemas co mplejos y bien defendidos.
Est de moda afirmar que el error humano est implicado en el 80- 90%
de todos los accidentes graves. Si bien probablem ente se acerca a la verdad,
esta proposicin mejora muy poco nu estra comprensin de c mo y por
qu ocurren accidentes organiza tivos. Primero, apenas podra ser de otro
modo dado el grado de participacin humana en los sistemas de alta peli-
grosidad. Segundo, el trmino error hum ano conno ta la impresin de
que todos los actos peligrosos entran en la misma ca tegora; pero los erro-
res adoptan diferentes formas, tienen orgenes psicolgicos dife rentes, oc u-
rren en diferentes partes del sistema y requieren n'ltodos de aes ti n
diferentes. o
Adems, esa afirmacin pasa por alto que en los sistemas de alta peli-
grosidad la condu cta de las perso nas est mucho ms constrel1ida que en
la vida diaria. Las acciones de los pilotos, las tripulaciones navales, los ope-
radores de salas de control y otros similares estn estrictam ente oO'oberna-
das por controles de gestin y de regulacin. Estos controles administrativos
constituyen una parte principal de las defensas de cualqui er sistema de alta
peli grosidad y son de dos clases L
1. P Jo hn so n y J. C ill , i\!Iollogelll elll COlllral oml Olgolliz oliollOI BellO/liollr, Londres, Palll
Chap ham PlIblishing, 1993.
97
 ""'o

La gestin de los grandes ri esgos

- Controles externos h echos de reglas, regulaciones y procedimientos que Diagrama 4 .1

prescriben minuciosamente qu acciones pu eden realizarse y cmo se Un continuo de controles administrativos
las debera llevar a cabo. Esta clase de controles basados en pap eles en-
carnan la sabidura colectiva del sistema acerca de cmo se debera Controles prescriptivos Controles mLxtos Controles d iscrecio nales
ha cer el trabajo. basados qu e conuan basados
en proced imientos ~ en la fo rmacin ~ en la fo rmac in
- Controles internos deriva dos de cono cimientos y principios adquiridos y reglas y en los procedimien tos y la experiencia
a travs de la formacin y la experiencia.
Los controles externos son escritos, que quienes realizan las tareas pres-
Cl'itas deben ten er muy a mano. En cambio, los controles internos existen
Diagram a 4.2
sobre todo en el interior de la mente de cada individuo. C ualquier intento
Un proceso de control principalmente prealimentado, basado en
de clasificar las conductas organizativas debe comenzar por analizar cmo
procedimientos, con adicio nes espo rdicas
operan diversas combinaciones de controles administrativos para confinar
la natural variabilidad de la accin humana a cursos seguros y produ ctivos. Co ndu cta
Estndares Proceso In cidentes
prescrita
y obj etivos
organiza tivos
r.- por reglas
. . . Actuaci n
hU111ana
sometido
a co ntrol
y accidentes
ocasio nales
y procedimientos
LA DIVERSIDAD DE LOS C ONTROLES ADMINISTRATIVOS

Los co ntroles administrativos van desde los que son mayormente pres-
criptivos hasta los que son en gran lTledida discrecionales . Aqullos de-
Aiiadidos espordicos a los procedinuentos
I
I

penden principalmente de pro cedimientos externos, mientras qu e stos se de seguridad, resultado de los incidentes . . - - ~
y accidentes sufi' idos
nutren de la interiorizacin de conocimientos y experiencias -o, en una
palabra, de formacin-; existen diversas combinaciones de amb os. El dia-
grama 4.1 resume este continuo de modos de control.
El diagrama 4.2 ilustra un modo de control principalmente prescrip- Diagram a 4 .3
tivo. El diagrama 4.3 ilustra el polo opuesto, predominantem ente discre- C ontrol retroalimentado de producci n que requiere comparacio nes
cional, de es ta dimensin. El diagrama 4.4 mu estra una combinacin de frecuentes entre las m etas y las realizaciones
nlOdos de co ntroP.
En los diagramas 4.2- 4.4 pu ede apreciarse qu e los diferentes modos de Fo rmaci n y
control administrativo comparten tres caractersticas comunes: experiencia

- Estndares y objetivos organizativos qu e definen las m etas de produccin Co mparador

Resultados
y seguridad del sistema y especifican tambin los estndares de actua- Estndares P roceso
Actuaci n Medicio nes
cin necesarios para alcanzar esas m etas . y objetivos so metido
h UI11ana de resultados
orga niza tivos a co ntrol
- La actuacin hurnana, o las actividades que llevan a cabo los elem entos
humanos del sistema.
Comparacio nes frec uentes
I
de las mediciones de los resultados I
co n los obj etivos de la organizaci n. . . __ ~
La actuacin q ue se desva de lo deseado
2.]. R easoll , D. Parker, R . Law toll y C. Polloc k, Olganizatiol'/a l Con/mis ami th e fmrie- se corrige. La actuaci n cong ru ente
fies of Rllle-Relafed Behaviollr, ponencia prese ntada al encuentro del UI< Ecollomic and So- se refuerza
cial Research Council sobre Riesgos en Escenarios O rganizativos, Londres, mayo de 1995.
La gesti n de los grand es ri esgos
4. La co ntribu cin humana

Diagrama 4.4 de la organizacin . La actu acin que se desva se reajusta para reducir la
Controles mixtos de retroalimenta cin y prealimenta cin discrepancia y la ac tuacin congru ente se refu erza.
En cualquier tecnologa o sistema dado, la proporcin entre modos de
Prin cipi os, reglas FOrnlJci n y control m ediante prealimentaci n o m ediante retro alimentacin depen-
y procedinuelltos ex pe rie nc ia
der de va rios fac tores :

DesvIacI n c~
eo R esultados
- La fase en qu e se encuentre la trayectoria vital de la organizacin.
- El tipo de trabajo o las actividades qu e realiza.
Estondales Proceso
~-----,

y obJetivos ....
Actu ac i n
sometid o
humana
OI g;1I11 Z.ltl VOS a co ntrol
..
Comparacio nes frecuentes de las medi-
cio nes de los resul tados con los obj etivos
de la o rgani zaci n. La actuaci n qu e se
desva de lo desead o se corrige. La ac-
tuaci n co ng ru ente se al.m 3cena en
fo rma de reglas y procedinu elltos
- El proceso sOl'/'I etido a control - qu e, obviam.ente, variar en funci n de
la naturaleza de la tecnologa de que se trate.
En el di agrama 4 .2, la actua cin humana - y, por consigui ente, el
proceso bajo control- es t estri ctamente estandariza da l11.ediante reglas
y pro cedimientos. El lenguaj e de la teora del control habla de disposi-
tivos de prealimentac in cuando los medios condu ctuales de lograr los
obj etivos de la organizacin se esp ecifi ca n previam ente y se expresan
m ediante reglas y pro cedimientos, sin considerar las condicio nes lo cales .
En el mbito de las accio nes rela cionadas con la seguridad existe, no obs-
tante, un bucl e de retro alimentacin espordico: en el captulo 3 vimos
qu e mu ch as organi zaciones buro crti cas responden a sus in cidentes y ac-
cid entes ocasionales reda ctando otro pro ce dimiento qu e prohb e las
acciones implicadas en el ltim.o episodio adverso. El resultado, como
mu es tra el di agrama 4. 2, es el crec imiento lineal del corpus de pro cedi-
mi entos.
El control basado en la retro alimentaci n a partir de lo s resultados,
que mu es tra el dia grama 4 .3, define el polo opu esto del continuo pres-
criptivo-discrecional. Aqu se asume que la fu erza laboral comprende los
obj etivos de la organizaci n, y qu e ha interiorizado los conocimientos, pe-
ricias y habilidades precisas para, sirvindose de diferentes m edios, alcan-
zarlos. Los resultados se miden y com.paran a m enudo con los obj etivos
100
Medi cio nes - La posicin de un individuo dentro de la j erarqua de la organizacin.
de resul tados
- El grado de forma cin propo rcionado a los individuos.
LA FASE QUE HAYA ALCANZADO LA TRAYECTORlA VITAL
I
DE LA ORGANIZACIN
~ --~
probablem ente sean el ensayo y el error, o los controles de retro alimen-
tacin, los qu e gobiernen en buena m edida las etapas primeras de una
tecnologa o un proceso de m anufactura . Durante ese p eriodo inicial, con
todo, ges tores y sup erviso res detec tarn las ocasiones en qu e las acciones
y las circunstancias resulten precisamente en el resultado deseado. E n o tras
palabras, buscarn qu e no exista desviacin alguna entre los obj etivos or-
ganiza tivos y las m edidas de sus resultados. C uando tal situacin se observe
co n suficiente frecu encia -suponi endo qu e el proceso sea razonabl e-
mente predecible- es probable qu e se la exprese en forma de pro cedi-
mientos, lo que dar origen a los controles nux tos del tipo qu e resume el
diagram a 4.4.
A m edida qu e ava nce el aprendizaj e orga niza tivo y el trab ajo vaya
siendo estandarizado cada vez m s , los controles prealimentados acabarn
predominando sobre los retroalic lentados . D espu s de todo, es mu cho
ms barato qu e haga el tr;:bajo una m ano de obra relativamente p oco cua-
lificada, controlada por procedimientos, que ten er que co nfiarse al juicio
de individuos altam ente cualificados y experimentados .
E n ciertas profesiones, la transici n de la retroalimentacin a la preali-
mentacin pu ede durar un tiemp o muy largo. E n medicina , por ej em.plo,
la formacin de los do ctores los ha preparado durante siglos para actuar
sobre una base en gran m edida discrecio nal, segn la conviccin de que la
dolencia particular de cada paciente concreto planteaba un conjunto U cO
de problem as clnicos que exiga que su diagnsti co y tratami ento viniese
determinado por una combinaci n de principios basados en conocinuen-
tos formales y experiencia clnica. Hoy, sin embargo, debido a diversas ra-
lOl
La gestin de los grandes ri esgos 4. La co ntribu cin humana

zones de tipo poltico, econmico, legal y de gestin, ese enfoque tradi- Tabla 4.1
cional est mudando hacia un sistema donde, cada vez ms, la atencin sa- Diversidad de la actividad organizativa (basada en Perrow)
nitaria se presta sobre la base de procedimientos especficos de cada
Nmero de casos excepcionales
patologa. Es curioso que ese tenaz bastin de la accin discrecional que (esto es, sucesos, situaciones y problemas nu evos)
es la medicina est derivando hacia un modo de control prealimentado
Pocos Mu chos
cuando mu chos otros mbitos hasta no hace mucho dominados por las
Tareas rutinarias , repetitivas , bi en Tareas no rutinarias, pero el anlisis
normas -notoriamente, los ferrocarriles y la exploracin y extraccin de Fcil estructuradas y predecibles. Es posible de los numerosos casos excepcionales
crudo- estn adoptando controles basados en la actuacin y alejndose de preprog ramar los procesos y su control es relativam ente sim ple. R equiere
mediante reglas y procedimi entos. una co mbinacin de co ntrol
los modos de control prescriptivos.
Natura leza de prescriptivo y control de la actuaci n
la indagaci n discrecional.
para solucionar
Trabajo ru tinari o, pero los problemas Tareas no rutinarias, pobrenl en te
TIPO DE ACTIVIDAD los problemas
son a veces vagos y estn pobremente estru cturadas e impredecibles. No es
conceptualizados. Exige una mezcla posible aplicar reglas y procedimientos.
Con independencia de la etapa de desarrollo de un sistema, la naturaleza Dificil de control prescriptivo mediante La ejecucin de las tareas qu eda
reglas y procedimientos y co ntrol a la discrecin del individu o.
de las tareas que lleva a cabo la organizacin configurar en gran m edida de la actuacin discrecional individual.
la proporcin entre controles de procesos (o prealimentados) y de resul-
tados (o retro alimentados). Es fcil expresar en forma de procedimientos
ciertas actividades; pero no otras. Charles Perrow identific dos aspectos
de la ac tividad de una organizacin que determinan el grado en que se la Tabla 4.2
Algunos ejemplos de los diversos tipos de ac tividad
puede preprogramar3 :
- El nmero de casos excepcionales: esto es, en qu medida es proba- Nmero de casos excepcionales
(esto es, sucesos, situaciones y problemas nu evos)
ble que durante el curso del trabajo sllljan sorpresas, situaciones nue-
Pocos Mu chos
vas y sucesos inesperados.
- La naturaleza del proceso de indagacim pre ciso para resolver los Cadenas de p rod ucci n Arq uitectura
Fcil Ferrocarriles Jnvestigacin cientfica
problemas. Algunos pueden resolverse fcilmente mediante el anlisis Serv icios postal es Gestin de proyectos
y la aplicacin de soluciones basadas en reglas ; otros, poco compren- Co nstru cc in Mantenjnuento y reparacin
Naturaleza de Banca tradicional Exploracin pe troli fera
didos an, requieren una extensiva elaboracin basada en conOCI-
la indagacin Transporte por G lITete r a , et ::. Trabajo policial, etc.
mientos. para solucionar
los problem as D ifci l Operaciones militares modernas
La tabla 4.1 enuncia las caractersticas de los cuatro tipos de actividad Centrales nu cleares Banca de inversin
Plantas de proceso qumico Macroeconona
organizativa. La tabla 4.2 ofrece ejemplos de cada uno de ellos. Dificil Aviac in moderna Polti ca
Manufactura avanzada Recuperacin de accidentes
Organizaciones de 1+ D improbables respecto de lo
Anestesia contemplado en el disello.
NIVEL DENTRO DE LA ORGANIZACIN
Medicina geritrica, etc. Gesti n de crisis, etc.

Cuanto ms alta es la posicin de un individuo dentro de una organiza-

cin, ms dificil es procedimentar su trabajo. La tarea de un conductor de
3. C. Perrow, "A framework for th e co mparati ve analysis of o rganiza tion s, A merican
Sociological R e/liew, 32, 1967, pp. 194-208.
tren, por ejemplo, consiste en arrancar, condu cir y detener un tren de
acuerdo con los dictados del sistema de sealizacin de la va y el crono-
grama de su trayectoY los procedinuentos de la compaia ferroviaria pres-

I02 I03
La ges ti n de los g rand es ri esgos
criben claramente cmo debera hacerlo. Pero no existen pro cedimientos
qu e expongan cmo el equipo de alta direccin de una firma debera al-
canzar los objetivos estratgicos. As pues, en las organizaciones relativa-
nlente burocratizadas cabe esperar qu e los altos ej ecutivos operen
fundamentalmente por retroalimentacin a partir de los resultados; y el
nlOdo opuesto regir las acciones de los empleados de prin'lera lnea. Los
gestores intermedios y los supervisores de primera lnea ocuparan posi-
ciones intermedias en el continuo prescriptivo-discrecional.
La amplia variacin de la medida en que los trabajos individuales pue-
den ser redu cidos a pro ce dimientos ti ene implicaciones no slo para el
tipo de controles que les son apli cables sino tambin para la dificultad con
qu e es posible identificar o incluso definir errores o infrac cion es . Si el
conductor de un tren rebasa una seIi.al de peligro, co mete un error in-
voluntario o u na infraccin delib erada. Tanto los errores como las in-
fracciones se definen en trminos de la desviacin de una accin respecto
a un estndar de ac tuacin al qu e se aspira o qu e se exige. En la primera
lnea de cualquier industria suele haber po cas dudas acerca de las varas
con qu e se miden esas desviaciones. Pero, quin decide si una decisin
es tratgica de alto nivel es correcta o no ? Habitu almente, esos asuntos
slo pu eden fallarse al cabo de mu cho tiempo, e incluso entonces la cues-
tin de si una decisin dada fue co rrecta o no es a menudo objeto de de-
bate.
EL EQUILIBRIO ENTRE FORMACIN Y PROCEDIMIENTOS
Cuanto ms prolongada e intensiva sea la formacin de un individuo,
menos probable es que ste se vea gobernado por rgidos controles pre-
alimentados, y a la inversa . Ciertamente, hay excepciones . Los pilotos de
aerolnea reciben una formacin muy extensa, tanto antes de iniciar su ca-
rrera co mo tripulantes como a lo largo de ella, y, no obstante, sus activi-
dades estn muy suj etas a regulaciones y procedimi entos. Lo mi smo es
cierto en la mayora de las ramas de un ej rcito profesional.
Las culturas militares difieren en la autonona que conceden a man-
dos subalternos y subofi ciales. La capacidad de co mbate del ej rcito ale-
mn - desde la guerra franco-prusiana de 1870, pasando por la Primera
Gu erra Mundial, hasta la defensa de Alem ania en 1945- era legendaria.
A lo largo de la Segunda Guerra Mundial , las tropas de infantera alema-
nas causaron a las fu erzas de los aliados un 50% ms de baj as de las que
4. La co ntribu ci n hum ana
stos les infligieron, p ese a qu e la sup erioridad area aliada en el campo
de batalla era abrumadora en los aJ'os finales del co nfli cto. La W ehrmacht
hizo a los rusos, en promedio, seis baj as por cada una que stos le infii-
. 4
gleron.
Mu chas autoridades han especulado sobre las bases de esa superioridad
militar. Obedeca a la valenta, la calidad y la tenacidad de los soldados
alemanes individuales o era fi'uto del carcter de sus instituciones milita-
res? Sin negar la primera posibilidad, la mayora de los autores prefi ere la
hiptesis organizativa.
Existen argumentos convincentes segn los cuales Alemania habra
conseguido crear una organizacin militar ms efec tiva que la de sus ene-
migos. Esta efec tividad tela muchas fac etas, pero una de ellas es particu-
larmente relevante aqu. En la instruccin de sus mandos inferiores, sobre
todo de los suboficiales, la Wehrmacht sigui el antiguo principio del A ,i f-
tragss)'stem (literalm ente sistema de misim) , cuya esencia era que un
mando subalterno deba ser capaz de perseguir los objetivos tcticos de sus
superiores con o sin rdenes, lo cual presupOla un co nsiderable grado de
iniciativa y comprensin tctica por parte de estos m andos inferiores.
Como seii.al Alistair Horne:
Lejos de ser una horda de rgidos e inflexibles robots (qu e fu e siempre, entre
las co ncepcion es errneas que los aliados teran de los alemanes, una de las
ms insidiosas), la Wehrmacht tea una capacidad de reaccin y de recupe-
racin de la iruciati va -especialmente en momentos de derrota- mu y su-
perior, en particular, a la del ejrcito britnico de 1944 s
Sustituyendo el grado de suboficia1 por el cargo de sup erviso r y
pensa ndo en la seguridad en lugar de en la guerra, sera interesante com-
probar si la idea del sistema de misin puede emplea rse para m ejorar la
direccin de la conducta segura en las tec nologas de alta peligrosidad.
Volveremos sobre esta cuestin de la descentralizacin en el captulo 9.
H asta aqu hemos contemplado los procedimientos desde una pers-
pectiva organizativa.Ahora debemos adoptar una actitud ms psicolgica
y analizar algunas formas de diferenciar las acciones en relacin con las re-
glas. Emp ezaremos por identificar tres niveles de actuacin humana.
4. A. H o rne, Th e Lonel)' Lende/': iVlol'l f)' J944-45, Londres, Ma cmillan, 1994.
5. [bid., pp. 191-192 .
105
 La gestin de los grandes riesgos 4. La contribucin humana

TRES NIVELES DE ACTUACIN El modo de control automtico es el opuesto en todo sentido. Es en

gran parte inconsciente -acaso nos damos cuenta del producto (una pa-
El diagrama 4.5 resume la principal subdivisin de la actuacin humana labra, una accin, una idea, una percepcin), mas no del proceso que lo
entre tres niveles segn se base en habilidades (skill-based, SB), reglas (ru/e- cre-, su capacidad es virtuahnente ilimitada -al menos, ningn psic-
based, R..B) o conocimientos (knowledge-based, KB). Estos niveles de actua- logo ha descubierto an sus lmites- es muy rpido y opera en paralelo
cin, propuestos inicialm.ente por Jens Rasmussen 6 , se diferencian en -es decir, hace muchas cosas a la vez en lugar de tener que hacer una de-
funcin de variables psicolgicas y situacionales que, combinadas, defi- trs de otra-, no requiere esfuerzo y es esencial para manejar las recu-
nen un espacio de actividad sobre el que pueden cartografiarse los tres rrencias de la vida diaria. Pero forma una comunidad muy especializada de
niveles de actuacin. estructuras de conocimiento: slo sabe lo que sabe; no es un instrumento
universal para resolver problemas, como el modo consciente. Naturahnente,
preferimos operar en el modo automtico siempre que sea posible.
Diagrama 4.5
Situacin de los tres niveles de actuacin dentro de un espacio de actividad La segunda dimensin que define el espacio de actividad es la natura-
definido por el modo dominante de control de la accin y por la naturaleza leza de la situacin inmediata. Los dos polos de esta dimensin son las si-
de la situacin local tuaciones cotidianas altamente familiares y los problemas enteramente
nuevos, con los problemas para solucionar sobre los cuales se ha recibido
Situaciones Modos de control formacin -o para los que existe un procedimiento escrito- en una
Consciente Mixto Automtico posicin intermedia.
Rutinarias Los tres niveles de actuacin pueden resumirse de la siguiente manera:
- Al nivel basado en habilidades (SB) realizamos tareas rutinarias, muy
Problemas practicadas, de un modo en gran parte automtico, con ocasionales

,
para solucionar
sobre los que se ha Basado en reglas
recibido formacin
Problemas
nuevos
Los seres humanos controlan sus acciones gracias a diversas combina-
ciones de dos modos de control: el consciente y el automtico. El modo
consciente tiene capacidad limitada, es lento, secuencial, laborioso y pro-
penso al error, pero, potencialmente, muy inteligente. Es el modo que
usamos para prestar atencim a algo. Pero la atencin es un recurso li-
mitado : si se enfoca sobre una cosa, se la retira n ecesariamente de otras.
6.]. Rasmussen, "Human errors: a taxonomy for describing human malfu nctio n in in-
dustrial installations,Jo~lr/l.al r!f Occupatiollal A ccidents, 4,1982, pp. 311-333.Vase tambin
]. Rasmussen, "Skills, rul es, knowledge: signals, signs and symbols and other distinctions in
human performance models, IEEE T'ansactions: S)'sterflS, Man and Cyvernetics, SMC-13,
1983, pp. 257-267 .
comprobaciones conscientes de sus progresos. Esto es lo que a la gente
se le da mejor -la mayor parte del tiempo.
- Cambiamos al nivel basado en reglas (R..B) cuando apreciamos la nece-
sidad de modificar nuestra conducta, en gran medida preprogramada,
porque hemos de tener en cuenta algn cam.bio en la situacin. Es
probable que se trate de un problema al que nos hemos enfrentado
antes, o que se nos ha enseado a solventar, o previsto en los procedi-
mientos. A este nivel se le llama basado en reglas porque aplicam.os
reglas escritas o memorizadas del tipo: si (tal situacin) entonces (tales
acciones). Al aplicar estas reglas conectamos automticamente los sig-
nos y sntomas del problema a alguna estructura de conocimiento
almacenada. Podramos usar el pensamiento consciente, luego, p ara ve-
rificar si esa solucin es, o no, adecuada.
- Al nivel basado en conocimientos (1m) recurrimos con la mayor re-
nuencia. Solamente cuando h emos sido repetidamente incapaces de
encontrar alguna solucin preexistente, nos volvemos hacia la lenta y
penosa operacin de pensar las cosas con detenimiento y minuciosi-
dad. Cuando se dispone de tiempo y se est en un entorno indul-

106 107
La gesti n de los grand es ri esgos
gente que tolera el aprendizaj e por prueba y error, a menudo damos
con bu enas solu ciones . Pero los humanos n o solemos responder de
forma ptima en una emergencia -aunqu e hay algunas notables ex-
cepciones- . Muy a menudo, nu estra comprensin del problema es
fi:agmentaria , imprecisa o ambas cosas al mismo tiempo. Asimismo, la
capacidad de ahllacenam..iento de informacin de la conciencia es muy
limitada; no pu ede retener ms de dos o tres cosas a la vez. Tiende a
funcionar COlUO un tamiz con varias roturas, por las qu e se pierden las
cosas mientras dirigimos nu estra atencin de un asp ec to a otro del
problem a. Adems, simplem ente, pu ede que es temos aterrados y el
miedo, como otras emociones intensas, de algn modo desplaza la ac-
cin razonada y la suplanta con reacciones reflej as o estereotipadas .
En el diagram a 4.5 , esta reaccin a la situacin se situ ara en la esquina
inferior derecha del espacio de actividad.
D eb e subraya rse qu e estos niveles de actividad no son mutuam ente
excluyentes. Los tres pueden coexistir simultn eamente. Pensemos en el
proceso de condu cir un coch e: el control de la velo cidad y la direccin
del coche se realizan al nivel SB; la negociacin de las normas de trfi co y
los usos de la carretera con o tros conductores o peatones tiene lugar al
nivel FU3; y, al m..ismo tiempo qu e estos dos niveles estn en operacin, po-
demos estar nleditando algn nuevo y dificil problema vital en el nivel leB.
C omprender los niveles de ac tividad nos sirve para clasificar la diversidad
de errores e infracciones qu e analizaremos algo m s adelante.
ERRORES y ACCIONES CON XITO
El error humano puede definirse como el fracaso de las acciones planeadas
para alca nz ar determinados fi nes deseados - sin qu e h.aya intervenido en ello
algn suceso irnprel,isible-7 La oracin entre guiones es importante por-
que separa la accin controlable del h echo de haber tenido buena o mala
suerte. Alguien que mu ere por el impacto de un trozo de basura espacial
mientras acuda a sus asuntos probablem ente no lograr los obj etivos in-
mediatos qu e persegua , pero dificilmente cabr atribuirlo a un error por
su parte. Asimismo, alguien qu e golpea oblicuamente una p elota de golf
7. ]. R eason, HI/IIl aJ/ Error, N ueva Yo rk , Ca mbridge University Press, 1990 [trad . cast.:
El error !l/l/lIaIl O, Madrid, M odus Laborandi , 2009].
lO S
4. La co ntribu ci n hum ana
de forma qu e impacta casualmente co n un rbol y rebota hasta entrar en
el greem puede que haya alcanza do su propsito, pero no por eso su ac-
ci n dej a de ser errnea.
Esta definicin contiene tres elementos: un plan o intencin qu e in-
co rpora tanto un objetivo como los m edios para lograrlo, una secuencia de
acciones iniciadas por ese plan, y la medida en que esas acciones tienen
xito en alcanzar lo que se proponan. Lgicam ente, las acciones pu eden
fi'acasar en la consec ucin de su obj etivo por una u otra de las siguientes
causas:
- El plan es adec uado, p ero no se logra efec tuar las acciones como se
haba plan ea do. Estos fallos de ej ecucin involuntarios se llaman co-
lT1muente deslices) lapsus) tropiez os o torpez as. Los deslices tienen que ver
con acciones observables y suelen atribuirse a fallos de atencin o de
percep cin. Los lapsus son su cesos de car cter ms interno qu e gen e-
ralmente involucran fallos de m emoria.
- Las acciones se ajustan exactamente a lo planea do, pero el plan es in-
adecuado para obtener el resultado p erseguido. El fallo est aqu en un
nivel ms alto -en los procesos mentales implicados en la evaluaci n
de la informacin disponible, la planificacin, la formulacin de inten-
ciones y la ponderacin de las probables consecuencias de las acciones
planea das-oA estos errores se les llama equivocaciones y se los ha sub-
dividido en dos subcategoras: equivocaciones basadas en. reglas y equivoca-
ciones basadas en conocimientos. Las primeras obedecen a la apli cacin
incorrec ta de reglas normalmente adecuadas, a su no aplicacin (in-
fi'accin) o a la aplicacin de reglas inadecuadas . Las equivocaciones
basadas en conocimientos sobrevienen cuando nos quedamos sin solu-
ciones preexistentes y hemos de resolver problemas en el acto. C omo
sealamos antes, es un proceso muy propenso al error. El diagrama 4.6
resume los diversos tipos de errores.
Como dij e antes, todos los errores implican algn tipo de desviacin.
En el caso de los deslices, lapsus, tropiezos o torp ezas, las accion es se des-
van de la intencin vi gente. E n el caso de las equivocaciones, en ca mbio,
la desviacin se produce con resp ec to al camino adecuado para alcanzar
el obj etivo deseado.
lO9
La gestin de los grandes riesgos 4. La contribu cin hum ana

Diagrama 4.6 relativo de influ encia de unos y otros vara en funcin de la clase de in-
ResuI11.en de los principales tipos de error fiaccin.
Las infracciones rutinarias implica n , tpicamente, el recurso a una
Deslices forma m s rpida, cmoda, econmica o expeditiva de hacer las cosas al
en la accin
nivel de actividad basada en habilidades -seguir la va del nnimo es-
I debidos a fallos
de atencin fJerzo entre dos puntos relacionados de una tarea- oEsos atajos pueden
Deslices y lapsus convertirse en parte habitual del repertorio comportamental de una p er-
basados en
habilidades sona, especialmente cuando sta se halla inserta en un entorno de trabajo
qu e raram ente castiga las infracciones de las normas o recomp ensa su
T
Errores
Lapsus de
memoria
l cumplimiento. Los procedimientos chapuceros, que guan las acciones
siguiendo vas qu e parecen ms largas de lo necesario, promueven tam-
bin las infracciones rutinarias.
Equivocac iones Las infracciones optimizadoras -o quebrantar las reglas por el placer
basadas en reglas de hacerlo- reflejan el h echo de que las acciones humanas contribuyen
I
Equivocaciones l a una pluralidad de fines motivacionales, algunos de los cuales estn esca-
samente relacionados con los asp ectos funcionales de la tarea en cuestin.
As, el objetivo funcional del conductor profesional es llegar de A a B,
Equivocaciones
I basadas
en co nocimientos
pero en el trayecto puede optimizar el placer de la velo cidad o dejarse
llevar por sus instintos agresivos. La tendencia a optimizar metas no fun-
cionales puede llegar a convertirse en parte del estilo de actuacin de un
individuo.
Las infracciones rutinarias y op timiza doras estn claramente relacio-
INFRACCIONES y ACCIONES QUE CUMPLEN LAS NORMAS
nadas con el logro de fines personales (o sea, menos esfuerzo o ms emo-
cin) , mientras qu e el origen de las infracciones necesarias se encu entra
Las infracciones son desviaciones de los procedimientos, estndares o re-
predominantem ente en las situaciones de trabaj o concretas. En este caso,
glas idneos p ara operar co n seguridad8 . Las desviaciones pueden ser de-
d incumplimiento de las normas se ve como esencial para poder realizar al
lib eradas u ocurrir por error (por ejemplo, exceder el lmite de velocidad
trabajo. Las infi'acciones necesarias suelen estar provocadas por fallos or-
sin reparar en haber acelerado o en una limitacin local). No obstante, las
ganizativos relativos a la lo calizacin del trabajo, o a las herramientas o al
infracciones que ms nos interesan son las deliberadas, donde las acciones
equipo a l destinados -vase el ejemplo de los operarios de maniobras
- aunque no sus posibles co nsecu en cias adversas- son inten cionadas.
del captulo 3-. Adems, cabe que ofi'ezcan asimisl11.0 un modo ms c-
Estos actos, realizados sin mala intencin, deben diferenciarse del sabotaje,
modo de trabajar. El efec to combinado de ambos factores lleva con fi'e-
donde tanto el acto como su resultado pernicioso son intencionados.
cuencia a qu e estas contravencion es lleguen a ser rutinarias, en lugar de
Se distinguen tres grandes categoras de contravenciones de las nor-
ser excepcionales.
mas de seguridad: infracciones rutinarias, optimizadoras y necesarias. En
los tres casos, factores organizativos e individuales configuran la decisin
de conculcar los procedimientos de operacin seguros - si bien el grado
ACCIONES CORRECTAS E INCORRECTAS

S.VaseJ. R easoll, D. Pa rker y R. Free, BeI'/ding the Rllles:Th e Vrieties, Origins a/1d Ma -
nagel'/"Ient of SaJety Vio latio/1s, Leiden , Facultad de Ciencias Sociales, Universidad de Leiden, Aqu los trminos correcto e incorrecto significan la exactitud en la
1994 . percepcin del riesgo. Una accin correcta es la que se realiza sobre la base

no III
La gesti n de los grandes riesgos
de una evaluacin del riesgo exacta. Una accin incorrecta es la qu e se basa
en una evaluacin inexac ta o inadecuada de los riesgos asociados.
Las acciones coronadas p or el xito -con respec to a los fines p erso-
nales- n o son necesariamente acciones correctas - respecto a la exacti-
tud de la evaluacin del ri esgo-o Como vimos antes, co ndu cir a 150
km/h puede satisfacer los fines p ersonales de llegar antes y experimentar
la excitacin de la velocidad, pero, claram ente, no es una accin correcta,
dado el increm ento de los riesgos asociados a un rgimen fisico relativa-
mente descono cido y sus dismi nuidos mrgenes de error. D e la misma
man era, cUlTlplir las normas no es automticamente correcto; ni come-
ter una infi-accin, incorrecto. Todo depende de las condicion es locales y
de la idoneidad de los procedimientos.
Co n frec uen cia es im p osible saber anticip adam ente qu es lo co-
rrecto y a m enudo se desco noce en el momento de actuar. Pero, en prin-
cipio, se podra expresar en trminos probabilsticos. Por ej emplo, la
probabilidad de verse involu crado en un accidente fatal cuando se viaja
por una autopista britnica sin superar el lmite de velocidad puede calcu-
larse a partir de los datos sobre la frecuen cia de accidentes en relacin
co n las millas de exp osicin 9 . Asimismo, la m edida en que es te riesgo
crece co nforme lo hace el exceso de velocidad es algo que, en principio,
tambin puede determinarse.
LA CALIDAD DE LOS PROCEDIMIENT OS DISPONIBLES
H asta aqu hemos contemplado los comportamientos en relacin con las
normas desde una perspectiva psicolgica y desde una visin organizativa.
Ah ora adoptaremos la perspectiva de la teora del control y examinare-
mos la efectividad de los procedimi entos de seguridad. H ay tres posibili-
dades: que las normas sean buenas, que sean malas o que no existan - sin
normas-o Aqu bueno comp or ta tanto correccin como el fom ento
de obj etivos personales aceptables (esto es, la efi ciencia, la redu ccin del
esfu erzo, etc.) . Las normas m alas son o bien inadecuadas en las circuns-
tancias concretas o incor rectas, o ambas cosas.
A diferen cia de los pro ce dimientos que gobiernan las actividades pro-
ductivas, los qu e se elaboran para garantizar que el trabaj o sea seguro su-
9. D. E Finc h, P. Ko mp fi1er, C. R . Lockwoo d y G. Maycock, Speed, Speed Lilllils nlld
Accidwts, Project Report n .o 58, Crowthorne, Transpo rt Research Laboratory, 1994.
II2
4. La co ntribuci n h umana
fren de una limitacin en la consideracin de la va riedadVirtuall1"lente en
to das las operaciones de eleva da peligrosidad la diversidad de las conduc-
tas peligrosas posibles es mu chsimo m ayor qu e la de las conductas pro-
du ctivas prescritas. Por eso, si bi en las prescrip ciones prealimentadas
pu eden bastar para co ntrolar la actu acin produ ctiva (vase de nu evo el
diagrama 4.2), la diversidad indispensable de los pro cedimi entos precisos
para gobernar la condu cta segura ser siempre m en or qu e la posible di-
versidad de las situacion es inseguras. Com o dij o el terico del control
R oss Ashby, slo la diversidad puede destruir la diversidad. E n otras pa-
labras, slo la diversidad de la agencia de control puede reducir la diver-
sidad del resultado a co ntrolarlo.
Podemos ilustrar este p roblem a mediante un sencillo ej emplo dom s-
tico. Los procedimientos necesarios para guiar la prep aracin de, digamos,
una sopa minestrone pu eden transmitirse en unas p ocas frases. Pero los
procedimientos necesari os para garantizar qu e esa tarea se realizar de una
forma absolutam ente segura podran llenar varios libros y aun as es im-
probable que abarcasen todos los peligros y todos los escenarios de acci-
dentes posibles. Por supuesto, podemos prever algunas de las am enazas ms
probables (bacterias nocivas, cuclM os afilados, la posibilidad de escaldarse
o electrocutarse, la presencia de gases inflamables o venenosos, etc.) y pro-
curar regular la conducta de nu estro cocinero respecto a esos p eligros ob-
vios. Y eso mismo es lo que intentan las organizacion es resp ecto a sus
riesgos de op eracin concretos. Pero es imposible prever todas las posibles
combinaciones de peligros y sus correspondientes escenarios de accidente.
As pu es, en esencia, nunca se po dr lograr una condu cta completam ente
segura emplea ndo exclusiva mente prescripciones prealimentadas. Siem-
pre habr situaciones qu e las normas no cubren o a las que son localmente
inaplicables. En otras palabras, siempre habr situaciones en las que las nor-
mas resulten malas y situaciones en las que no hayal) prescrip ciones.
Po r supu esto, esto no significa que las organizaciones deban cej ar en
sus esfuerzos por formular normas de seguridad . Esas normas son impor-
tantes no slo porque gua n el comportamiento seguro en relacin con
amenazas identificadas y bien conocidas; constituyen, adems, un impor-
tante registro del aprendizaje de la organizacin sobre sus peligros opera-
tivos. Las p ersonas cambian ms deprisa que sus trabaj os, por lo cual ese
registro es crucial para difundir el conocimiento relativo a la seguridad a
travs de todo el sistema. N o obstante, el problema de la diversidad indis-
10. W. R. Ashby, A I1 [Il!rodllclioll lo C)'bemetics, Londres , C hap man & H all,1956.
II3
La gestin de los grandes riesgos 4. La contribucin humana

pensable significa que esa compilacin de procedimientos op erativos se-
guros nunca ser omnicomprensiva ni podr aplicarse universalmente.
SEIS TIPOS DE CONDUCTA EN RELACIN CON LAS NORMAS
Sobre la base de las diversas distinciones analizadas hasta aqu, podemos
identificar ahora seis tipos de comportamiento en relacin con las nor-
mas, tal como recoge la tabla 4.3. La tabla se crea cruzando los tres tipos
de situaciones segn su relacin con las normas y los dos tipos de actua-
cin. En cuanto a estos ltimos , la actuacin correcta se refiere a ac-
ciones que son correctas (respecto a la evaluacin del riesgo) y adems
tienen xito (en el logro de fines personales). La actuacin errnea, en
cambio, se refiere a acciones que son incorrectas y, adems, fi-acasan.
Tabla 4.3
Seis variedades de ac tuacin en relaci n con las reglas
Buenas l1or11135 Malas normas Sin normas
Actuacin Cumplimiento Infraccin Improvisacin
correcta correcto correcta correc ta
Actuacin Incumplimi en to C umplimi ento Equivocac in
errnea errneo errneo
[illislICllliollJ [I/Iisplinllce]
Las principales caractersticas de estas seis conductas se resumen a con-
tinuacin. En la seccin siguiente ofreceremos ejemplos ilustrativos de
todas ellas extrados de la vida real.
- Cumplimiento correcto: actuacin correcta (y segura) obtenida gracias al
cumplimiento de unas normas de seguridad adecuadas.
- Irifraccin correcta: actuacin correcta conseguida gracias al incumpli-
miento de unas normas o procedimientos inadecuados.
- Improvisacin correcta: un curso de accin adoptado en ausencia de pro-
cedimientos adecuados y que conduce a un resultado seguro.
- Incumplim.iento errneo: conducta que implica el incumplimiento de
unas normas de seguridad adecuadas y, adems, incurrir en uno o ms
errores, lo que conduce a un resultado no seguro.
- Cumplimiento errneo: conducta que implica el cumplimiento equivo-
cado de unas normas de seguridad inadecuadas o unos procedimien-
tos operativos inexactos, lo que lleva a un resultado no seguro.
- Equivocacin: un resultado no seguro que resulta de un plan de accin
inadecuado ejecutado sin disponer de proceslimientos idneos (esto es,
una equivocacin basada en conoc,irniento).
Hay una categora de acciones peligrosas que la lgica de la tabla 4.3
no abarca: la trasgresin errnea, pero con xito, de unas normas adecua-
das". En este caso se alcanzan las metas personales como se haba planea-
do, pero a despecho de una evaluacin errnea de sus p eligros. Estas
infracciones con xito -que no hay que confundir con las infracciones
correctas- son el caldo de cultivo del que ocasionalmente surgen los in-
cumplimientos errneos. Las infi-acciones con xi to, aunque no suelen
tener derivaciones lesivas de por s, crean las condiciones que promueven
los peligrosos incumplimientos errneos, condiciones que incluyen el ex-
ceso de confianza en las propias habilidades y una subestimacin crnica
de los riesgos.
Cul es la fi:ecuencia relativa de la probabilidad de que ocurran estos
diversos tipos de conducta? Puesto que habitualmente las normas de se-
guridad evolucionan por un proceso de seleccin natural, podemos con-
fiar razonablemente en que las buenas normas sern mucho ms numerosas
que las malas y que las situaciones sin reglas sern infi-ecuentes. Es tam-
bin muy probable que el cumplimiento de las normas sea mucho ms
fi-ecuente que su vulneracin. As pues, es probable que el cumplimiento
correcto sea el modo de conducta ms comn, y que las infi:acciones co-
rrectas, el cumplimiento errneo y las improvisaciones - con o sin xito-
sean los tipos menos fi-ecuentes. La evidencia de los estudios de campo in-
dica que los actos de incumplimiento errneo con xito son relativamente
comunes, aunque su nmero es muy inferior al de los actos de cumpli-
miento correcto. Los incumplimientos errneos incluiran un subconj unto
mucho ms pequeo de infi-acciones errneas pero con xito.
. 11. Tony Musc hara, del Institute of Nuclea r Power Operations de Atlanta, ha suge-
ndo otra adicin a esta lista : mal-c umplinu ento, cumplinu ento malintencionado de unos
procedimientos que so n malufiestamente err neos o inaplicables.

II4 II5
La gesti n de los g randes ri esgos
ALGUNOS EJEMPLOS EXTRADOS DE LA VIDA REAL
Incumplinento errneo
El accidente de Chernbil se origin casi enteram ente a ca usa de in-
cumplimientos errneos l2 D e los siete actos peligrosos, bi en documenta-
dos, qu e llevaron a la explosin del reactor nuclear RBMK ucrania no en
abril de 1986, seis fueron incumplimientos errneos de un tipo u otro. El
primero de ellos (y quizs el ms determinante) fue la decisin equivo-
cada del operador de co ntinuar la pru eba del genera dor de voltaje a p esar
de qu e un error opera tivo inicial haba ocasionado que el nivel de po-
tencia cayese a slo un 7% de la potencia mxim a. Las caractersticas del
reactor P...BMK hacan qu e su funcionamiento en un rgi.men de baj a po-
tencia como se crease un coeficiente de vaco positivo en el ncleo del
reactor, que poda derivar en una reactividad fuera de control. Los pro-
cedimientos operativos de la central prohiban estrictam.ente toda opera-
cin por debajo de un 20% de su potencia mxima. (La inten cin inicial
era realiza r el experimento al 25% de esa potencia). Luego, para comple-
tar el experim.ento, los operadores apagaron sucesivam ente varios siste-
mas de seguridad especfi cos e hi cieron as inevitable la explosin
subsigui ente. Nos enco ntramos aqu ante un caso, triste pero muy signi-
ficativo, en el que un grupo de op eradores galardonados y muy motiva-
dos se las arreglaron para destruir un reactor vetusto, pero relativa mente
bien defendido, sin la ayuda de fallo tcnico alguno.
Cumplinento correcto y equivocaciones
Por lo general, no se registra el cumplimiento correcto, ya que raramente
se ve implicado en un accidente. R ecientemente, sin embargo, la Comi-
sin R eguladora de la Energa Nuclear de los Estados Unidos patro cin
un programa de insp eccin orientado a los fac tores humanos cuyo obj e-
tivo era indagar las circunstancias qu e rodearon a algunos sucesos opera-
tivos potencialmente significativos ocurrido s en centrales nucleares
estadounidenses 13 . D e los 21 informes de inspeccin, aproximadamente la
12. J. Reason, The Chernobyl errors, BlIlletill of fhe Brifisll Ps)'chological Socief)', 40,
1987, pp. 2201-2206. . .
13 . NUR.EC/CR-6093, An Anal)'sis of Opera fional Expe/"l e/lce dllrmg Lo/'/! PO/,ller and S//./ t
Down and a Pla/l forAddressillg Hum an. R eliav ilit)' Assess/ll el'lf Iss/./es, Wash.ington DC, US Re-
gulatory COlTlm.ission , 1994.
II6
4. La contribu cin humana
mitad fu eron califi ca dos como rec uperaciones con xi to y los restantes
como recup eraciones con m enos xito. Todos los sucesos terminaro n con
el retorno a una si tu acin segura, pero en 11 casos los operadores se sin-
tieron confusos o inseguros acerca de sus condiciones causales y cometie-
ron errores en sus intentos de devolver la central a un estado seguro. En
cambi o, los actos de los grupos de operadores qu e lograron recup eracio-
nes con xito fu eron ejemplares -en algunos casos, verdaderamente ins-
pirados-o Un im.portante factor discriminante entre las recup eraciones
con pleno xito y las de m enos xito fu e el estado de la planta en el mo-
mento en que surgieron las circunstancias anormales.
En la mayora de las recup eraciones con xito las centrales estaban
fun cionando a plena po tencia, o casi. sa es la si tuacin <<normal en una
central de en erga nuclear -verter megavatios a la red- oLa m ayora de
los procedimientos operativos de em ergencia es tn escritos p ensando en
esa circunstancia como teln de fondo. Esos pro cedimientos y la forma-
cin correspondiente del personal facilitaron casi todas las recup eraciones
qu e concluyeron co n pleno xito. La m ayora de las recuperaciones con
menos xito, en cambio, ocurrieron en circunstancias de baja potencia o
durante paradas, es tados perfec tamente normales de la central, por lo
dems, y necesarios para realizar el mantenim.iento, las reparaciones y la
recarga de com.bustible, pero qu e constituyen una proporcin relativa-
mente pequea del tiempo de su vida til total. Se dispone de pocos pro-
cedimientos qu e cubran emergencias que sUljan en esos estados especiales.
Como res ultado, los operadores no tuvieron otro remedio que ingenir-
selas y, en varios casos, incurrieron en errores qu e agravaron la enler-
gencia original y retrasaron la rec up eracin. Los equipos obraron al
margen de las normas porque no se les haba dado ninguna para man ejar
emergencias en esas circunstancias atpicas, p ero igualmente peligrosas .
Como co nsecuencia, hubieron de improvisar en situaciones que no en-
tendan plenam ente, En ltimo trmino, no fracasaron (finalmente logra-
ron devolver las centrales a un estado seguro), p ero muchas de las acciones
que efectuaron en el curso de esas operaciones encaj an en la categora de
equivocacim, tal como la identifica la tabla 4.3.
Cumplinentos errneos e infracciones con xito
El desastre de la plataforma Piper Alpha, el 6 de julio de 1988, ofrece
ej emplos tanto de cumplimi ento s errneos co mo de infra cciones con
xito. Los pro cedimientos de em ergencia exigan qu e el perso nal de la
II7
La gestin de los grandes riesgos
plataforma se concentrase en la cocina del rea de alojamiento. Ed Pun-
chard describe su comportamiento:
En toda la plataforma la gente segua instintivamente su entrenamiento y las
instrucciones de emergencia. Ante la ausencia de toda otra informacin, la
mayora intentaba llegar hasta la cocina para comprobar si faltaba alguien y
recibir instrucciones. Despus de todo, se les haba entrenado para hacer exac-
tamente eso 14
Lamentablem.ente, los aloj amientos estaban directamente en la trayec-
toria de la bola de fuego que estall a las 11:22 de la noche. La mayora
de los que haban cumplido el procedimiento de emergencia murieron
quemados o por asfixia.
Cuando se produjo la primera explosin (hacia las 9:58 de esa tarde),
Ed Punchard, superintendente de submarinismo, estaba en la oficina de
su seccin, en una de las cubiertas inferiores de la plataforma, con algu-
nos de sus submarinistas. Su primera reaccin fue correr escaleras arriba
hasta el nivel de 26 metros con la esperanza de llegar hasta el bote salva-
vidas situado en el nivel de los 32 metros. En su camino se toparon con
una densa humareda y pudieron or el sonido de una fuga de gas, de
modo que volvieron a baj ar y con ayuda de una cuerda alcanzaron la cu-
bierta de red del pilar noroccidental. Desde all Punchard descendi por
una escalera de mano de acero y salt a un bote de rescate. No est claro
si esta forma de escapar fue una trasgresin deliberada o fruto de la ne-
cesidad; es evidente, en cambio, que la mayora de los supervivientes fue-
ron hombres que incumplieron las instrucciones de congregarse en la
COCIna.
La historia militar es muy rica tanto en cumplimientos errados como
en felices desobediencias, aunque slo estas ltimas tienden a ser glori-
ficadas, como la insubordinacin de Nelson en Copenhague, cuando
opt por leer la orden de retirada que le transmita el telgrafo de ban-
deras mirando por el catalejo con su ojo tuerto. C laro que si hubiera
perdido la batalla la historia habrajuzgado su decisin bajo una luz muy
diferente. Las contravenciones con xito suelen juzgarse como el sello de
un gran lder militar, mientras los cun"lplimientos errneos se estiman
carac tersticos de los ms incompetentes. En su tratado El arte de la gue-
rra, escrito hace 2500 aos, Sun-Tzu aconsejaba desobedecer con buen
jUlClO :
14. E. Punchard, PiperA lpha:A SlIrvlJOr~ Stor)', Londres,W. H .Allen & Co. , 1989, p.128.
IIS
4 La co ntribucin humana
Si es seguro que el combate se saldar con una victoria, debes luchar, aunque
el gobernante lo prohba; si el combate no ha de acabar en victoria, no debes
lu char, aunque el gobernante as lo ordene 1s
Improvisacin correcta
Uno de los ejemplos ms dramticos de improvisacin afortunada ocu-
rri el 19 de julio de 1989 a bordo del United Airlines 232, un DC-lO
McDonnell Douglas a cuyo mando estaba el capitn Alfied C. Haynes. El
avin volaba a altitud de cru cero cuando la turbo-hlice del motor n-
mero dos, situado a cola, se desintegr y sus fiagmentos destrozaron los tres
sistemas hidrulicos del aparato. Los diseadores haban calculado que la
probabilidad de quedarse sin los tres sistemas hidrulicos era inferior a
una entre mil millones (10- 9 ) y no se haba diseiado ningn procedi-
miento de emergencia que previese esa posibilidad casi inimaginable. Al
Haynes describi as la gravedad de su situacin:
Estbamos a ms de once mil metros, sin los alerones que controlan el ba-
lanceo del avin, sin timones verticales para coordinar los giros, sin timones
de profundidad para controlar el ngulo de inclinacin, sin los slats de las alas
para ayudarnos a reducir la velocidad, sinjlaps que pudiramos usar en la ma-
niobra de aterrizaje y sin los alerones restantes de las alas que nos ayudasen a
reducir velocidad en vuelo o a frenar una vez llegados al suelo, sin rueda de-
lantera y sin frenos. La verdad, no nos quedaba gran cosa que pudiramos
u tilizar16
C uarenta y cinco minutos ms tarde el aparato aterriz violentamente
en Sioux City, Iowa. D e los 285 pasajeros y los 11 tripulantes que viaj a-
ban a bordo sobrevivieron 174 pasajeros y diez miembros de la tripula-
cin. Unos catorce segundos tras ocurrir la emergencia, el aparato se
haba escorado lateralmente 38 a la derecha , y de seguir as se dara com-
pletamente la vuelta y se precipitara en picado. En ese momento Hay-
nes tom el control del aparato, cort en seco la potencia al motor
nmero uno (el mo to r izquierdo) y aceler al mximo el nmero tres (el
motor derecho), consiguiendo que el ala derecha comenzase a regresar
a su posicin normal. Despus de eso, los dos pilotos -ms otro que
15. L. Giles, Slm Tz u 011 tite Art ofWar, Singapur, Graham Brash, 1988 (edicin origi-
nal, 1910).
16.A. C. Haynes, "United 232 : Coping with the loss of all ilight controls, Flight Deck,
3, 1992, pp. 5-21, vase p.7.
II9
La ges ti n de los grandes ri esgos
volaba CO IT10 pasajero- aprendieron sobre la ntarcha c mo utili zar la
diferencia de aceleracin de los dos motores restantes, situados en las alas,
para h acer qu e el avin se deslizase a la derecha o a la izquierda , traza ndo
giros desce ndentes. As fueron llevndolo hacia Sioux C ity y habran
conseguido aterrizar sanos y salvos si en la aproxim.acin final , al llegar a
baja altura, el aparato no se hubiera visto afec tado por maniobras inco n-
trolables (fu goides). Salvar las vidas de 184 de las 296 personas a bordo
-todas las cuales , casi con certeza, habran muerto en un choque in-
controlado- fue una extraordinaria h azia de pilotaj e y de gestin de
recursos humanos (la tripulacin).
EL CUADRO COMPLETO
Este captulo ha examinado algunas de las op ciones comportamentales
de que disponen quienes trabajan en sistemas de tecnologa co mplej a.
Dado qu e todo este comportamiento est gobernado por controles ad-
ministrativos, con'lenzamos viendo los principales m edios qu e usan los
sistentas para constreir a sus operarios a seguir cursos de accin seguros
y productivos. Representamos dichos medios a lo largo de una dimensin
que abarca desde los procedimientos prealimentados externos, que pres-
criben rgidamente las acciones permisibles, hasta los controles retro ah-
mentados, en gran medida discrecionales, basados en el cono cimiento, las
habilidades y la experiencia interiorizadosVarios factores inciden en cul
de estos dos modelos predomine: la fase alcanzada en la trayectoria vital
del sistema, el tipo de op eraciones qu e lleva a cabo, el nivel jerrquico de
un individuo dentro de la organizacin y la cantidad de formacin que
se estima necesaria para su desempeo.
La siguiente seccin del captulo examin varias formas de clasificar la
actuacin humana. Identificamos tres niveles de actuacin -basados en las
habilidades (SB), en las reglas (RB) y en el conocimiento (KJ3), respectiva-
mente-, definido s todos por la interaccin entre los modos de control de
la accin (consciente o automtico) y la naturaleza de la situacin iIU11e-
diata (rutinaria o problemtica). Tres tipos principales de errores, o accio-
nes desafortunadas, van unidos a estos niveles de actuacin: desli ces y
lapsus basados en habilidades, equivocaciones basa das en reglas y equivo-
caciones basadas en conocimientos. Sealamos luego tres formas en que las
personas pueden infi-ingir los procedimientos -infi-acciones rutinarias, op-
timizadoras y necesarias- y distinguimos tambin entre acciones correc-
120
4. La co ntribu cin humana
tas e in correctas en funcin de si implicaban o no una evaluacin adecuada
de los peligros que conlleva el curso de accin que se planea ej ecutar.
A co ntinuacin planteamos la cuestin de qu e los pro cedimientos de
seguridad nunca pu eden prever todas las formas en qu e las p ersonas pue-
den sufrir algn dio en el curso de su trabajo. Ca recen de la variedad
indispensable para igualar peligros tan numerosos. D e resultas, las situa-
ciones de trabajo pertenecern a una de estas clases: las regidas por bue-
nos procedimientos, aqu llas cuyos pro cedimi entos disponibles so n
inadec uados o impro ce dentes y aqu llas otras para las qu e no se ha re-
dactado ningn pro cedimiento. Estas tres circunstancias - norma s bu e-
nas, normas malas y ausen cia de normas-, combin adas con la actuacin
correcta o errnea , generan seis tipos de comportamiento, segn su re-
lacin con las normas: cumplimiento corre cto, infraccin correcta, im-
provisacin correc ta, incumplimiento errneo, cumplimiento errneo y
equivocaciones (fallos de improvisacin).
Tanto las organizaciones como el comportami ento humano so n co m-
plej os; no es extrao, pues, que este captulo haya presentado un descon-
certante nmero de distinciones. Ahora es el momento de compon er con
ellas, bas tante literallllente, el cuadro completo: para representarlo, el dia-
grama 4.7 mu estra dos rutas de accin principales: una ll eva directa mente
a una actuacin co rrec ta y cuhnina co n xito; la otra dibuj a diversos ca-
minos a lo que en su mayora so n co nductas peligrosas. En ambos casos,
el punto de partida es la pregunta haban previsto los procedimientos o
la formacin esa tarea (o situa cin) ?. Las acciones humanas slo pu eden
entenderse dentro de un contexto dado que, en este caso, es una tarea o
situacin de trabaj o. E nlos sistemas bien establecidos, la mayora de las ac-
tividades se habr previsto de un modo u otro, pero a veces surgen situa-
ciones totalmente nu evas en las qu e los trabaj adores tienen qu e improvisar
un curso de accin viable pro cesa ndo el conocimiento a su alca n ce.
Cuando los individu os que afi-ontan esa coyuntura poseen eleva das habi-
lidades y una vasta experiencia (como el capitn Al H aynes) parece hab er
aproximadam ente un 50% de probabilidades de qu e den con las respues-
tas acertadas. En la mayora de los casos, sin embargo, las probabilidades
son mu cho ms baj as .
Aunque exista n pro cedinuentos escritos para una tarea concreta, no
tienen por qu ser necesariamente idneos para , o aplicables a, la situacin
lo cal. En el sec tor de la energa nuclea r, por ej emplo, en torno al 60% de
los probl em as de actuacin humana ti enen relacin co n pro cedimientos
defi cientes . Los procedimientos inadecuados o inaplicables so n co ndicio-
12 1
 4. La co ntribu cin humana

Diagrama 4.7 nes latentes que harn que la fuerza laboral pierda su confianza en los pro-
R esumen de los diversos comportamientos en relaci n con las reglas cedimientos oficiales y los ignore por completo o siga procedimientos no
oficiales de su propia cosecha - llamados en algunos sectores libros ne-
M s del 50% groS - . Ante un mal pro cedimi ento, el p ersonal ti ene dos opciones: se-
H aban previsto Improvisacin, de probabilidad guirlo (un cumplimiento errneo) o no (una infraccin correcta).
los procedimi entos "-_-.I elaboraci n basada ~
de equivocaciones,
o la forma cin esa No en conocimientos El siguiente nivel del diagrama 4. 7 plantea esta pregunta: los bu enos
co n una alta proporcin
tarea o situacin?
de co misin de errores procedirnientos, se cumplieron como se pretenda? Si la respu esta es s,
hemos completado todas las etapas de una actu aci n correcta y con xito.
Pero hemos visto que hay varios caminos por los que las acciones huma-
S nas pueden desviarse del que resulta preferible. Podemos come ter una

Condi cio nes
orga niza ti vas late ntes
Eran adecuados qu e suscitan falta de
los procedimi entos co nfianza en los
o la formac in
procedimi entos y un a
para la ta rea
confianza mu cho mayor
en cuesti n?
en las prcticas de
r
C umplimiento equivocacin relacionada con las normas. Por ej emplo, podemos malin-
errneo terpretar la situacin, no ser capaces de recono cerla como una excepcin,
S
y aplicar una norma o pro cedimi ento adecuado p ara la mayora de las si-
tuacio nes de este tipo pero no para sta en particular. Segundo, podemos
Se sigui seguir alguna prctica informal de trabajo y cometer un incumplimiento
~ el procedimiento errneo. Por ltimo, podemos tener un desliz o sufrir un lapsus de m e-
deficiente?
moria , de modo que las acciones, aunque se prop onan seguir el pro ce-
dimiento, no salen com o se haba planeado.

N~I
trabajo informales,
Infraccin Con esto hemos abarcado la mayor parte de los comportamientos hu-
,, correcta rfll
,, manos implicados en los accidentes organizativos. En el prximo captulo
,, ~
, ~~F nos centraremos en un solo tip o de error - las omisiones durante la ins-
,,

\r
S talacin o recolocacin de un dispositivo durante una operacin de man-
,,
tenimiento- . Como veremos, la fi'ecuencia con que este tipo de error
" Desliz o lapsus
\ basado en contribuye a que sucedan accidentes organizativos justifi ca sobradam ente
~.:' esta detenida atencin .
\~o
habilidades
\---____,_-...___ ,f:>.H
Se sigu i algn Se sigui alguna o tra
Fuero n seguidos ..-_. .I otro procedimi ento ~ prctica info rmal
como se pretenda? No fo rmal? No de trabaj o'

S
S
I , [ Incumplimiento
S
.......... [ err neo l.
Equivocacin
Actuacin basada en reglas:
correc ta y co n aplicacin
xi to equivocada de
una regla
acertada ~!!

12 3
 5
El mantenimiento puede causar graves daos
a su sistema

PELIGROSOS ENCUENTROS A CORTA DISTANCIA

EN EL CAPTULO 3 ANALIZAMOS algunos de los problemas qu e crean los sis-

temas automatizados en el marco de las tecnologas modernas. Alejar a las
perso nas de los procesos qu e, en principio, controlan reduc e la cantidad
de conta cto directo , y con ello los desli ces, lapsus, tropiezos o torp ezas,
pero aumenta tambin la probabilidad de cierto tipo de equivocaciones
-especialmente, las confusiones de modo- qu e pueden tener conse-
cuencias an ms desastrosas que las qu e los diseadores intentaban pre-
Ve 11lL
En este captulo analizamos el polo op uesto del espectro llU11ediato-
distante, las actividades relacionadas con el mantenimiento, donde la can-
tidad de co nta cto direc to entre seres humanos y sistema ciertamente no
ha disminuido; en algunas reas , de h ech o, ha aumentado. El trmino ac-
tividades relacionadas co n el mantenimiento inclu ye las reparaciones no
programadas, las inspecciones, el mantenimiento preventivo programado,
la calibra cin y las pru ebas y comprobaciones.
Sostendr que estos encuentros cercanos con los componentes tcni-
cos de un sistem a probablemente constitu yen el mayor problema indivi-
dual de actuacin humana a que se enfrentan la mayora de las tecnologas
de alta peligrosidad. Por eso mismo, ofi:ece tambin la mayor oportuni-
dad de mejorar los facto res humanos. Los errores de los pilotos, los ope-
radores de salas de co ntrol u otro personal de primera lnea pu eden
alladir los toques finales a un accidente organiza tivo p ero, a menudo, son
las co ndi ciones latentes creadas por lapsus de mantenimiento las que o
bien ponen en marcha la secuencia del accidente o desbaratan los inten-
tos de recuperacin.
Este captulo ofi'ecer evidencia en apoyo de las siguientes afirmaciones:

125
La gestin de los g randes ri esgos
- H a habido un gran nmero de accidentes organizativos donde los fa-
llos de m antenimiento han constituido una causa significa tiva o un
factor agravante.
- De los tres tipos de actividad humana que son universales en las tec-
nologas de alta peligrosidad,el control en condiciones normales, el
control en circunstancias de emergencia y las actividades relacionadas
con el mantenimiento, es el ltimo el que constituye el mayor pro-
blema en relacin con los fa ctores humanos.
- D e los dos componentes principales del mantenimiento, el desmon-
taj e de los componentes y su subsiguiente remontaje, es este ltimo el
que concita, con gran diferencia, el mayor nmero de errores.
- De los diversos tipos de errores posibles asociados al remontaje, la ins-
talacin o recolocacin de componentes, las omisiones, el fallo con-
sistente en no realizar algn paso nec esario de la tarea, constituye el
tipo de error ms frecuente e imp ortante.
Dedicaremos principalmente nuestra atencin a la aviacin y la gene-
racin elctrica m ediante energa nuclear porque estos dos sectores ofre-
cen los datos m ej or docul11.enta dos sobre fa llos rela cionados con el
mantenimiento. Pero no son casos especiales. No hay motivo para sup o-
ner que los mismos patrones de sucesos no estn presentes en todas las tec-
nologas de alta p eligrosidad. Con independencia del sector, las actividades
relacionadas con el mantenimi ento comparten un gran nmero de ca-
ractersticas, en particular la retirada y recolocacin de componentes; ade-
ms, por supuesto, todas ellas comportan encuentros cercanos con la mano
humana.Y es la fi'ecuencia de ese contacto, y por ende la mayor oportu-
nidad de error, ms que cualquier posible falta de competencia por parte
del personal de m antenimiento, la que constituye el ncleo del problema.
Exploraremos luego algunas de las formas en qu e es posible gestionar
esos frecu entes fallos. No obstante, existe un remedio ms bsico: que los
diseadores y los fabricantes adviertan que hoy el riesgo de que un com-
ponente dbil falle por falta de mantenimiento puede ser considerable-
m ente m enor que el riesgo de que un componente sano resulte daado
u omitido durante alguna operacin de m antenimiento.
ACCIDENTES ORGANIZATIVOS y FALLOS DE MANTENIMIENTO
No es posible ni necesario ofi-ecer una lista exhaustiva de todos los acci-
dentes organizativos en los que los fallos relacionados con el m anteni-
126
5 Elmanteninu ento puede ca usar graves daos a su sistema
Illiento han tenido parte. Basta para nuestros propsitos presentar algunos
ej emplos bien do cumentados procedentes de distintas tecnologas de alta
peligrosidad.
Apolo X III
Poco despus del lanzamiento del Apata X III, el 11 de abril de 1970, ocu-
rri una explosin en el mdulo de servicio que abri una brecha en su
costado ' . La explosin se origin en el interior de un depsito de oxgeno
lquido. La provoc el hecho de que la tripulacin activase un conjunto
de paletas rotatorias diseadas para remover esa sustancia a intervalos a lo
largo de la misin. Poco antes del inicio de la misma, las paletas haban su-
perado una comprobacin, en cuyo curso haban sido conectadas a una
fuente de suministro elctrico equivocada, cuyo efecto hl e que se quemase
el material aislante de los cables de la alimentacin elctrica del disposi-
tivo, lo cual, a su vez, convirti el depsito de oxgeno en una bomba a
la espera de detonar tan pronto como alguien pulsara el interruptor de en-
cendido de las paletas; cuando as ocurri, una chispa hizo defla grar el
oxgeno lquido. El resto, como suele decirse, es historia. La nave espacial
circunval la luna y la tripulacin - los astronautas Lovell, H aise y Swi-
gert- us el sistema de soporte vital del mdulo lunar durante la peli-
grossima reentrada en la atmsfera de la Tierra. ste fu e uno n'ls de los
mu chos episodios en que la p ericia de la tripulacin, ac tu ando como l-
tima lnea de defensa, evit el desastre que poda haber seguido a la emer-
gencia iniciada por un fallo de mantenimiento.
Flixborough
En 1974, en la N ypro Factory de Flixborough una tubera provisional fall
y lib er 50 toneladas de ciclohexano a alta temperatura que al mezclarse
con el aire hicieron explosin, destruyendo la fbrica y matando a 28 p er-
sonas 2 . N ormalmente, el proceso de produccin empleaba seis reactores en
serie, unidos entre s por una lnea corta de unos 70 centmetros de di-
metro con hlelles de expansin en los extremos. Dos meses antes del de-
sastre apareci una grieta en una vasija - la nmero cinco de la serie- y
1. Euciclopedia Britnica, Macropaedia , vol. 17, p. 367, 1980.
2.T.A. Kletz, HIlIat Hlent Wrol1g: Case Histories cif Process Pla/1.t D isasters, Houston, Gulf
Publishing Company, 1985.
12 7
La gesti n de los g randes ri esgos
hubo que retirarla; se la sustituy por una tub era improvisa da de unos
50 centmetros de din'letro que conectaba las vasijas cuatro y seis. La sus-
tentacin de la nu eva tub era era inadecuada y, adems, como se la encaj
en los fuelles existentes, de mayor dimetro, teIna holgura para desplazarse
o culebrear cuando la presin se elevaba por encima de lo normal - lo
qu e fue la causa de la emisin del ciclohexano a la atmsfera.
Three Mile Island
En el accidente de la central nuclear de Three Mile Island, ocurrido el 28
de marzo de 1979, concurrieron dos fallos de mantenimiento indepen-
dientes entre s? Uno desencaden la emergencia, el otro retras la recu-
peracin. El primero ocurri cuando una brigada de mantenimiento
intentaba renovar la resina usada en el tratamiento del agua de la central.
Una pequea cantidad de agua se filtr al interior del sistema de aire a pre-
sin de algunos ins trumentos de la central, causando que se p arasen las
bombas de alimenta cin de agua. Eso cort el suministro de aaua al bae-
~ b
n erador de vapor e hizo que se detuviese la turbina y que el calor del sis-
tema de refri ge ra cin primario dejase de transferirse al agua fra del
sistema secundario. En ese mismo instante entraron en funcionamiento
automticamente las bombas de alimentacin de aaua de emeraencia
b ti'
pero el agua no poda circular por las tuberas co nectadas a los depsitos
de almacenamiento de agua de em ergencia porque sus vlvulas estaban
cerradas; las haban dejado as, por error, durante unos trabajos de mante-
nimiento efectuados dos das antes. Sin refiigeracin alguna, se produjo un
rpido aumento de la temperatura y la presin en el ncleo ca us qu e el
reactor entrase en parada -las barras de control descendieron automti-
camente entre las barras de combustible del ncleo, absorbiendo los neu-
trones emitidos y deteniendo la reaccin en ca dena-o No obstante, como
los materiales radiactivos siguen produ ciendo calor naturalmente, la tem-
peratura y la presin del ncleo continuaron aumentando, lo que hizo
que entrase en accin una vlvula automtica de alivio de presin. Su
apertura deba haber sido temporal, pero se atasc; se cre as un agl~ e ro
en el sistema primario de refrigeracin por el qu e el agua radiactiva a alta
presin pas al rea de contencin, y desde all al stano. Hicieron falta
an otras 16 horas para devolver la central a un estado seguro.
3.Johl1 Kem eny" The Neerlfo r C!wllge:Th e Legac)' ofTMI. Reparl aflhe Presirlelllia/ COII/-
lI/issiOIl al Three lVIi/e ls/allrl, Nueva Yo rk , Pergamon , "1979.
128
5. El manterlllTll ento puede ca usa r graves dalios a su sistema
Vuelo American Airlines 191, Chicago O'Hare
La tarde del 25 de mayo de 1979, vspera del Da de los Cados un DC-
10 de American Airlines sala hacia Los ngeles 4 .Justo antes de adop tar el
ngulo de despegue, algunas piezas del motor de babor salieron despedi-
das del aparato; poco despus el motor entero y su piln de fijacin se des-
prendieron y cayeron sobre la pista. El DC-lO continu su ascensin, pero
a 90 metros de altura comenz a escorarse marcadamente hacia la iz-
quierda . La escora aument y el morro del avin empez a inclinarse r-
pidamente hacia abajo. Segundos despus el aparato se estrell contra el
suelo y explot. Murieron las 271 personas que viajaban a bordo. Los in-
vestigadores del accidente descubrieron grietas y fia cturas de fatiga en el
piln del motor. Una deformacin en forma de media luna en el reborde
superior de un panel del piln sugera la fuerte sospecha de que alguien .
lo haba diado al retirarlo o al volverlo a montar en el ala durante una
operacin de mantenimiento. La investigacin descubri que el motor y
el piln de babor haban sido desmontados ocho semanas antes para sus-
tituir sus cojinetes autodireccionables, ob edeciendo a un boletn de man-
tenimiento de McDonnell Douglas . Como resultado de este hallazgo, la
Agencia Federal de Aviacin tom la medida sin precedentes de prohibir
el despegue de todos los DC-l0 matriculados en los Estados Unidos para
profundizar la investigacin. Su insp eccin revel que seis DC-lO su-
pu estamente en condiciones de servicio tenan fiacturas similares en el
reborde sup erior de los paneles traseros de sus pilones. Cuatro de esos
aparatos pertenecan a American Airlines, los otros dos a Continental Air-
lines. Posteriormente se descubri que ambas compias haban elabo-
rado procedimientos especiales para efectuar la sustitucin de los cojinetes
autodireccionables de los paneles delanteros y traseros , tal como exiga el
boletn de manteninuento del fabricante. Aunqu e ste aconsejaba que los
motores fueran desmontados antes que los pilones, ambas aerolneas ha-
ban diseI1ado una tCluca qu e crean ms efici ente: desmontar motor y
piln como una sola Uludad. Los investigadores llegaron a la conclusin
de qu e la cada del motor y el piln fueron resultado del dao infligido
por esos pro cedinuentos de manteninuento inadecuados.
4. M.Job, Air Disasler, Vol. 2,Westo n Creek, ACT: Aerospace Publications Pty Ltd, 1996,
cap. 4, pp. 47-60.
12 9
La gesti n de los grandes riesgos
Bhopal
La noche del 2 al 3 de diciembre de 1984 una fuga de iso cianato de me-
tilo en una p equ ea fbrica de plaguicidas devast la ciudad india de Bho-
pal, matando a 2500 personas y causando lesiones a muchos miles ms s.
La causa inmediata de la emisin fue la entrada de agua en un depsito
de almacenaje de iso cianato de metilo. La alambicada historia de cmo
lleg all incluye un mantenimiento chapucero, tuberas de conexin im-
provisadas, defensas fallidas, sequa y deficiente toma de decisiones por
parte de la direccin de la empresa y de los responsables polticos. Los fa-
llos de mantenimiento que contribuyeron al desastre incluyeron una chi-
m enea de seguridad de quemado de gases desconectada, una planta de
refi:igeracin que no funcionaba y la incapacidad de limpi ar tuberas y
vlvulas con regularidad.
Vuelo JL 123 de Japan Air Lines, Monte Osutaka
El 12 de agosto de 1985 un Boeing 747 de JAL, en vuelo nacional, se es-
trell en un costado del lTlOnte Osutaka, unos 100 kilm.etros al oeste del
aeropuerto Huneda de Toki0 6 . La cifra de fallec idos fue la ms alta de la
historia en el accidente de un solo avin. Tras una larga y penosa investi-
gacin, se demostr que la causa principal del accidente haba sido una
reparacin chapu cera del fuselaje efectuada ms de siete aos antes . Al
ajustar en su lugar la seccin reparada de un mamparo de presin, parte
del montaje se realiz incorrectamente. En una pequeI'ia seccin de la
unin se emplearon como refuerzo dos planchas distintas en lugar de una
sola plancha slida . La separacin entre las dos planchas supuso que la
unin estuviese sujeta por una sola hilera de remaches, en lugar de dos,
5.Vanse las fu entes citadas en el captulo 3, p. 90 Para dos exposiciones contrapues-
tas del mismo suceso, vanse tambin Union Carbide, Bh.opal jVfeth.yl Isocynate II'lcident In-
vestigation Teal1l R epo rt, Danbury, Unon Carbide Corporation, marzo de 1985, y W
Morehouse y M.A. Subramanian, The Blwpal Tingedy, Nueva York, COllncil on International
and PublicAffaires, 1986Vase iguaLllente P. Shrivastava, Bhopal:Anatol'l1Y of a Crisis, Cam-
bridge, MA, Ballinger Publishing Company, 1987. Para una exposicin co mparativa lTlL1y
perspicaz vase asimismo N. M eshkati, "An etiological investigation of micro- and macro-
economic factors in the Bhopal disaster: lessons for industries of both industrialized and
developing countries, Inter/'/Otional journal of Inml5lrial E lgonomics, 4,1989, pp. 161-175, Y N.
Meshkati, "Human factors in large-scale technological systems' accidents: Three Mile Is-
land , Bhopal, Chernobyl, Industrial Crisis Qllarterly, 5,1991 , pp. 133-154.
6. M .Job, Air Disaster, vol. 2, op. cit. , cap. 10, pp. 136-153.
130
5. El mantenimiento puede causar graves dat'i.os a su sistema
lo que redujo su resistencia a la fatiga en torno a un 70%. Los controles
efectuados en las revisiones de mantenimiento posteriores no detectaron
estos problemas, principahnente porque la zona donde se realiz esa unin
era inaccesible a las inspecciones visuales.
Piper Alpha
El desastre de la Piper Alpha, ocurrido la tarde del 6 de julio de 1988,
provoC la muerte de 165 de las 226 personas a bordo de esa plataforma
de extraccin de petrleo y gas en el M ar del Norte, Junto con dos trI-
pulantes de uno de los barcos de rescate 7 . La explosin fue consecuencia
de una fuga de condensado ocurrida cuando los trabajadores del turno de
noche intentaron volver a poner en marcha una bomba que haba sido
apagada para efectuar labores de mantenimiento. Los operarios descono-
can que se haba retirado una vlvula de presin de seguridad de la tu-
bera de alivio de presin de la bomba y que la plancha plana que se haba
encajado en su lugar no era estanca. Su desconocimiento era fruto de fa-
llos de comunicacin en el cambio de turno, ocurrido unas horas antes,
sumados al fallo del sistema de autorizacin para iniciar trabajos respecto
al mantenimiento de la vlvula.
Clapham Junction
A las 8:10 de la maana del 12 de diciembre de 1988 un tren procedente
del extrarradio norte de Londres choc contra otro tren detenido en una
zanja justo al sur de la estacin de ClaphamJunction. Poco despus, un ter-
cer tren que se diriga hacia el sur se estrell contra los restos del primeros.
Hubo 35 muertos y 500 heridos. La causa inmediata del choque fue una
seal que no deba estar en verde y que ocult la presencia del convoy de-
tenido al maquinista del tren procedente del norte hasta que flle demasiado
tarde. Ese fallo se debi directamente al modo de trabajar del mecnico en-
cargado de renovar el cableado de la seal el da anterior. En lugar de des-
conectar o agavillar los cables viejos, se limit a echarlos a un lado. Tambin
7. The Hon. Lord. C llllen, Public Inquiry irlto the Piper Alplw Disoster, Department of
Energy, Londres, HM SO, 1990.
8. A. Hidden, Irwestigatiol1 into the Clapham jlll'lction Railway Accident, D epartment of
Transport, Londres, HM SO, 1989.Vase tambi n C. Perin, "British Rail: the case of the un-
rocked boat , comentario orrecido en un taller celebrado del 14 al 16 de mayo de 1992 en
Bad Hamburg bajo el lema l\lfanaging Technological Risks il1 Industrial Societ)'.
13 1
La gesti n de los gran des ri esgos 5. El mantenimi ento puede causa r g raves di.os a su sistema

tela la costumbre de reutilizar cinta aislante usa da , si bien en esta ocasin brayar qu e los errores de mantenimiento - como los fallos humanos en
prescindi por completo de ponerla alrededor de las terminaciones ex- cualquier otra esfera- son algo ms qu e causas aisladas; son, a su vez, con-
pu estas de un cable. Como resultado, ese cable entr en contacto co n parte secuencia de fac tores organizativos o de condi ciones latentes.
del equipo prximo causando un fallo de la seal, que indic lo qu e no
deba.
LAS ACTIVIDADES Y SU PROBABILIDAD RELATIVA DE SUFRIR
PROBLEMAS DE ACTUACIN
Phillips 66 Company
Hay muchas maneras de clasificar la actuacin humana y sus errores aso-
A la una de la tarde del 23 de octubre de 1989 una gran explosin y el
ciados, cada una con sus propios usos y limitaciones . En el captulo 4, por
m cendio que le sigui arrasaro n la planta de produccin de gasolina de
ejemplo, identificamos tres ca usas principales del error humano: los des-
la Phillips 66 Company en el co mplejo qurni co Houston, en la localidad
lices y lapsus basados en habilidades, las equivocaciones basadas en las nor-
de Pasadena, Texas 9 Muri eron 23 trabajadores y ms de 130 resultaron h e-
mas y las equivocaciones basadas en conocimiento. Esa taxonorna causal
ridos. Las prdidas en cuanto a valor de la propi edad ascendieron a ms
es til para identificar los procesos m entales subyacentes , p ero es dificil
de 100 millones de dlares. La causa del accidente fu e una fuga de gases
de aplicar para los no esp ecialistas. Es mucho lTl.s probable qu e, siguiendo
extremadam ente inflamables ocurrida durante unas operaciones regulares
su propio criterio, los inge nieros y los inspectores de calidad clasifiqu en
de mantenimiento en uno de los reactores de polietil eno de la fbr ica.
los problemas de ac tuacin humana por sus consecuencias para el sistem a
En menos de dos minutos la nube de vapor entr en contac to con una
(por ej emplo, sl~ eci ones que faltan , instalaciones incorrectas, h erramien-
fu ente igni cin y explot con una fuerza equivalente a 2,4 toneladas de
tas olvidadas y cosas as). Aunque los m eca nismos cognitivos subya centes
TNT. El personal de mantenimiento co ntrata do se ocupaba en retirar los
pueden resultar menos patentes, es ta clase de informa cin est fc ilmente
tapones de polietileno solidifica do qu e hubiera en las condu cciones de
disponible y su interpretacin es sencilla.
la instala cin. E n el punto donde stas se unan a las tub eras del reactor
Una de las ventaj as de las clasificaciones consecu en.cia/es es qu e suele
haba una vlvula de bola. Esas vlvulas se mantenan abiertas durante la
hab er p ocas dudas sobre lo que estaba haciendo la p erso na en cues tin
produ ccin para que las partculas de polietileno pudieran asentarse en las
cuando ocurri el error. Como veremos luego, esta divisin p or actividad
condu ccion es, y se cerraban durante las operaciones de mantenimiento.
de los problemas de actuacin puede ser muy reveladora.
En es ta ocasin la vlvula estaba abierta por error: se haba conectado al
Al examinar la diversidad de la actuacin humana resulta til com en-
revs la mangu era de aire que suministraba el aire a presin que abra y
zar por un conjunto de actividades prese ntes en todas las instalaciones de
cerraba la vlvula (sus dos extremos eran idnticos) y cuando se puso el
tecnologas de alta peli grosidad . A qu ofrezco una lista preliminar:
mterruptor de accionamiento en posicin de cierre la vlvula se abri.
A travs de ella se produjo el escape de gases inflamables . - Control en circunstancias 1l0rn1.ales.
- Control en circunstancias fu era de lo normal o de emergencia.
En estas breves relaciones de accidentes organizativos inducidos por fallos - Mantenimiento, calibra cin y pruebas.
de m antenimiento hemos sacrificado deliberadamente el detalle en favor
En puridad, deb eramos alladir a esta lista las actividades de prep ara-
del alcance. Nuestra intencin ha sido transmitir cierta idea de la m edida
cin y aplicacin de pro cedimientos, instrucciones, normas, regulaciones
en qu e los errores de mantenimiento han estado im.plicados en una gran
y controles administrativos, pero, puesto qu e los analizamos ya en el ca-
variedad de accidentes en muchos sectores diferentes. Pero debemos su-
ptulo anterior, aqu limitaremos nues tra atencin a las tres actividades
arriba sealadas.
9. Occ upati o nal Safety and H ealth Admin istration (OSI-lA), The Phillips 66 CO II/patl)'
HO/lstol1 Chell/lcal CO II/plex Exploslol'l ami Fire, Washington DC, U S Department ofLabor A partir de esta lista de actividades humanas universales es posible rea-
(OSHA), 1990 . lizar una evaluacin preliminar de la probabilidad relativa de que padez-

13 2 133
La gestin de los g randes ri esgos 5. El mantenimiento pu ede ca usa r graves daJ'ios a su siste ma

can problemas de actuacin humana. Para ello, hemos de plantear tres
preguntas:
- La pregunta por la manipulacin directa. Qu actividades comportan dell NPO fu ero n los informes de sucesos significativos prese ntados por las
ms contacto humano direc to con el sistema y, por ende, ofrecen ma-
yores oportunidades de que ocurran fallos activos (errores e infrac-
ciones) que tengan efectos adversos sobre el sistema?
- La pregunta por la criticidad. Qu actividades, en el caso de qu e se las
efecte menos que adecuadamente, conllevan mayores riesgos para la
seguridad del sistema?
- La pregunta por lafrecuencia. Con qu fre cuen cia se llevan a cabo estas
actividades en el curso del funcionamiento cotidiano del sistema en su
conjunto?
Sera razo nable suponer que una actividad qu e punte alto en cada
una de estas tres preguntas tendr la mayor probabilidad de sufrir pro-
blemas de actuacin humana. La tabla 5.1 resume los resultados de este
anlisis.
Atlanta, y el tercero por el Instituto Central de Investigacin del Sector
de la Energa Elc trica (Central Resea rch Institute for the Electrical
power Industry, CRlEPI) de Tokio. La fu ente de datos de las investigaciones
centrales elctricas nucleares estadounidenses . En el primer estudio del
1N1'O, 87 sucesos significativos se retrotraj eron a 182 causas primordiales lO;
en el segundo, se identificaron 387 causas primordiales a partir de 180 in-
formes de su cesos significativosl 1 . Los datos del estudio japons se extra-
eron de 104 informes estndar de sucesos pro cedentes de las centrales
J !?
vinculadas al c RJEPI -.
Los datos avalan el anlisis anterior. En los tres estudios , ms de la mitad
de los problemas de actuacin identificados estaban relacionados con ac-
tividades de mantenimiento, comprobacin o calibracin.
Tabla 5.2
Compilacin del resultado de tres estudi os que mu estra las relaciones entre
ac tividades y problemas de actuacin

Tabla 5.1 Proporciones medias de problemas

Actividades Intervalos (%)
de actuacin (% del total)
Probabilidad relativa de problemas de actuacin humana en actividades
humanas universales Relacionadas con 60 55-65
el mantenimiento
Operaciones 16 8- 22
Manipulacin
Actividad Criticidad Fre cuencia no rmales
directa"
Operaciones de 5 2-8
Control en Baja Moderada Alta emergencia
normalidad
Control en M oderada Alta Baja
enlergencia
Relacionado con Alta Alta Alta
el mantenimiento
LA VULNERABILIDAD DE LA INSTALACIN

La siguiente pregunta inquiere en qu asp ectos del mantenimiento, la

Las labores relacionadas con el m antenimiento -que puntan altO
comprobacin y la calibracin es ms probable que ocurra una actuacin
en los tres criterios- aparecen como la actividad con mayor probabili-
humana por debajo de la adec uada. En todos los sectores, las actividades
dad de generar problemas de actuacin humana de alguna clase. Hasta
relacionadas con el mantenimiento exigen quitar suj eciones y desmontar
qu punto confirma esta prediccin la evidencia disponible?
Los datos ms relevantes provienen del funcionamiento de las centra-
10. INPO, A l/ Analysis oJ Root Ca l/ses in 1983 Significant EVel/1 Reporfs, IN PO 84- 027,
les nucleares . La tabla 5.2 ofrece una sntesis de los resultados de tres es- Atlanta, CA, [nstitute ofNu clear Power Operations, 1984.
tudios, dos de ellos llevados a cabo por el Instituto de Operaciones de la 11. INPO, A n Analysis cf Root Causes i/11983 al/d '/ 984 Significal/f Evenf R eports, INI'O 85-027.
Energa Nuclear (Institute of Nuclear Power Operations, INPO) , sito en 12. K. Takano, co mun.icacin perso nal, 1996.

134 135
La gestin de los grandes riesgos
componentes, para despus volver a montarlos e instalarlos. En conse-
cuencia , una ba ran parte de las actividades relacionadas con el manteni-
miento entran en las categoras de desmontaje o de instalacin.
De nuevo, hay bases a priori para identificar una de estas tareas -la
instalacin- como la que con ms probabilidad concitar problemas de
actuacin humana. El diagrama 5.1, que muestra un tornillo con ocho
tuercas marcadas cada una con una letra distinta, clarifica por qu es as.
Esa imagen representa, en m.iniatura, las labores de mantenim.iento: aqu
la tarea consiste en retirar las tuercas y volver a colo carlas en un orden pre-
determinado. En principio, slo hay una forma de sacar las tuercas y cada
paso viene dado naturalmente por el anterior. Se trata de una tarea para
cuya realizacin todo el conocimiento necesario se encu entra en el
mundo n'ls que en la cabeza'3.
Diagrama 5.1
El ejemplo bsico (tuercas y tornillos)
En el caso de la instalacin, en cambio, existen ms de 40 mil mane-
ras (factorial de 8) de volver a colocar las tuercas en un orden equivocado,
sin co ntar la posibilidad de una o ms posibles omisiones.Y empeora an
ms la probabilidad de error el hecho de que muchas posibles omisiones
u ordenaciones errneas pueden escapar a la deteccin durante el proceso
de remont;0e. En suma, la probabilidad de cometer errores durante la ins-
talacin es muchsimo mayor que durante el desmontaje, al tiempo que
las posibilidades de detectarlos y corregirlos son mucho menores.
13. La distincin entre conocimiento en el mundo y conocimiento en la cabeza pro-
cede del excelente Libro de Don Norman, The Ps)'cholog)' oj EIJeryda)' Tlll'lgs , Nu eva York,
Basic Books, 1988 [trad. cast.: La psicologa de los objetos cotidiallos, Nerea, Madrid, 1990].
13 6
5 El mantenjmjento pu ede ca usar g raves daJ'ios a su sistema
La evidencia disponible respalda la prediccin de que la instalacin
ser especialmente vulnerable a los errores.Vase a continuacin la lista de
las siete primeras causas de 276 paradas de motor en vu elo (iriflight engine
slwtdown, IFSD) en aparatos Boeing '4 .
- Instalacin incompleta (33%).
- Dos infligidos durante la instala cin (14,5%).
- Instalacin inadecuada (11%).
- Equipo no instalado o ausente (11%).
- Do causado por un obj eto extro (6,5%).
- Aislamiento, inspeccin o comprobacin inadecuadas (6%).
- Equipo no activado o desactivado (4%).
Los datos muestran que las cuatro categoras causales ms frecuentes las
ocuparon diversas formas de instalacin deficiente que,juntas, suman ms
del 70% de los factores que contribuyeron a causar los accidentes. Pratt y
Whitney (1992) llegaron a resultados comparables en su inves tigacin de
120 IFSD ocurridas en aparatos Boeing-747 en 1991 15 . En este estudio, los
tres factores causales ms fi.-ecu entes fueron las piezas ausentes, las piezas
inadecuadas y la instalacin incorrecta. En un estudio de la Autoridad de
Aviacin C ivil britnica sobre toda clase de deficiencias de manteni-
miento, el problema ms frecuente fue la instalacin incorrecta de com-
ponentes, segu ida por la colocacin de piezas inadecuadas, los errores en
el cableado elctrico y los objetos sueltos (como por ejemplo herra-
lIlientas) olvidados en el aparato l6 .
EL PREDOMINIO DE LAS OMISIONES
Qu tipo de error es ms probable que ocurra durante las actividades re-
lacionadas con el mantenimiento y, muy especialmente, durante las labo-
res de instalacin? Como mencionamos antes, la respuesta es las omisiones:
no realizar todas las partes necesarias de la tarea. Las omisiones pueden
consistir en olvidarse de reinstalar un componente o en no llevarse los ob-
jetos ;0enos (herramientas, trapos y cosas as) tras terminar el trab;0o.
14. Boeing, Mailltenallce Error Decisioll Aid, Seattle, Boeing CO ll1ll1ercial Ajrplan e
Group, 1994.
15. Pratt yWhitney, OpeJ/ COI/JI, nmero de marzo de 1992 .
16. United I(jn gdoll1 Civil Aviation Authority (UI< CAA) Maintenance erron), Asia Pa-
cificA ir Sajet)', sep ti embre de 1992.
137
 5. El mantenimiento pu ede ca usar graves daos a su sistema
La gesti n de los g randes riesgos

- Dejar elementos sueltos o desconectados (11%).

Jens Rasmussen l7 analiz 200 informes de sucesos significativos publi-
cados en Nuclear Power Experience e identific los siguientes como los cua-
tro tipos principales de errores:
- Omisin de actos funcionalmente aislados (34%).
- Otras omisiones (9%).
- Efecto(s) colateral(es) no tenido(s) en cuenta (8%) .
- Variabilidad manual, falta de precisin (5%).
Rasmussen identific tambin las actividades asociadas ms a m enudo actuacin humana en las centrales nucleares y probablem ente tambin en
con las omisiones, a sab er:
- R eparacin y modificacin (41%).
- Comprobacin y calibracin (33%).
- Control de inventario (9%).
- Operacin y control manuales (6%).
La investigacin del INPO antes citada descubri qu e las omisIOnes
constituan el 70% de todas las causas ltimas de fallos de actuacin hu-
man a y el 64 ,5% de los errores en tareas relacionadas con el manteni-
nuento l8 . Y hall tambin que el 96% de los procedinuentos defi cientes
incluan onusiones de algn tipo.
Por mi parte, he analizado los informes de 122 lapsus de manteni-
nuento ocurridos en una gran aerolnea a lo largo de un periodo de tres
aii.os. Su clasificacin prelinunar dio como resultado la siguiente propor-
cin de tipos de errores:
- Onusiones (56%).
- Instalaciones incorrec tas (30%) .
- Piezas incorrectas (8%).
- Otros (6%).
Y qu se onute? Un anlisis ms detallado de los errores por onusin los p asos de una tarea proclive a las onusiones (vase el diagrama 5.2).
produjo los siguientes resultados:
- Suj eciones total o parcialmente sin fijar (22%).
_ Dejar componentes bloqueados y/o pasadores de seguridad sin reti-
rar (13%).
- Tapas sueltas o ausentes (11%) .
17.]. Rasmusse n, What can be lea rned from human error reports?, en K. Duncan,
M . Gruneberg y D. Wallis (eds.), Cha/'lges i/'l Work i/'/g Lije, Londres,Wiley,1980 .
18. INPO 85-027, op. cit.
- C omponentes ausentes (10%).
- Dejarse olvidadas herranuentas o suj eciones de repuesto (10%).
- Falta de lubricacin (7%).
- Paneles sin colo car (3%).
Parece innecesario elaborar ms la cuestin. Las onusiones represen-
tan la categora m s numerosa entre los errores relacionados con el man-
teninuento, que constituyen a su vez la clase ms nutrida de problemas de
la aviacin - si bien todava no disponemos de datos comparables que
pernutan contrastar es ta opinin.
LAS CARACTERSTICAS DE LAS TAREAS PROCLIVES A LAS OMISIONES
D esde un punto de vista analtico hayal m enos dos enfoqu es orientados
a obtener un m ejor conocinuento de las omisiones de mantetunuento:
uno busca identificar sus m ecanismos cognitivos subyacentes, el otro in-
tenta dilucidar qu aspectos de una tarea ocasionan que sea especialmente
proclive a las omisiones. Dificulta el primero el h echo de que una omi-
sin pueda surgir en muy variados pro cesos cognitivos que intervienen en
la planificacin y ej ecu cin de una accin, como resume la tabla 5.3. Los
mecanismos subyacentes no son fciles de establecer, tU siquiera por in-
trosp eccin cuando es uno mismo quien incurre en la onusin; y cuando
fu e otra p ersona, en algn momento del pasado, pu ede ser imposible des-
cubrir las razon es subyacentes. La va del anlisis de la tarea, en cambio, es
ms prometedora.
El acto de copiar un do cumento contenido en varias hojas sueltas en
una simple mquina fotocopiadora nos ofi-ece una ilustracin cotidiana de
Existe eviden cia convincente de que la onusin m s probable consiste en
olvidar bajo la tap a la ltima p gina del original cuando uno se m arch a
con su copia completa - y el original incompleto.
H ay al m enos cuatro carac tersticas distintivas de la tarea de foto copiar
que se conj u gan p ara hacer muy probable esta onu sin - sin que im-
porte quin realice la tarea.
- El paso est aislado funcionalmente de las acciones precedentes . Antes,
la necesidad de retirar la pgina recin copiada para fotocopiar la si-
guiente induca este ac to. Ahora, no hay pgina siguiente.

139
La gestin de los g randes ri esgos 5 E l mante nim.i e nto puede causar g raves daJ'i os a su siste ma

- La necesidad de retirar la ltima pgina del original ocurre cuando ya Diagrama 5 .2

se ha conseguido el fin principal de la accin -hacer una copia com- Una sencilla foto copiadora co n una elevada probabilidad de que uno se olvid e
pleta del documento- pero antes de terminar la tarea en s. de retirar la l tima pgina del original
- El paso ocurre cerca del final de la tarea. Los estudios sobre descuidos
por despiste en la vida cotidiana han mostrado que esos finales pre-
maturos son una forma corriente de omisin que puede ser inducida
por la preocupacin por la tarea siguiente. Ahora bien, en un trabajo de
mantenimiento organizado en torno a una pauta de turnos de ocho o
doce horas no hay ninguna garanta de que el individuo que comienza
una tarea sea el nusmo que la ternune. E incluso cuando es la nusma
persona quien efec t a la tarea completa siempre existe la posibilidad
de qu e le reclamen para otras obligaciones o le distraigan antes de aca-
bar la tarea.
- La ltima pgina del original est oculta bajo la tapa de la foto copia-
dora -el fe nmeno fu era de la vista, fuera de la m ente.
La lista podra ampliarse con otros rasgos qu e, en el caso de caracteri- - Pasos que incluyen acciones o elementos que en otras tareas muy si-
zar a un paso dado de la tarea, podran cOlTlbinarse entre s y con los an- nlliares n o son necesarios.
teriores y aumentar la probabilidad de que dicho paso se onuta. Entre esas - Pasos que incluyen cambios introdu cidos recientemente en las prcti-
otras carac tersticas capaces de provocar omisiones se incluyen las si- cas preVIas.
guientes: - Pasos que incluyen la rep eticin de acciones previas, dep endiendo de
las condiciones lo cales .
Tabla 5.3 - Pasos que incluyen la instalacin de n'lltiples componentes (por ejem-
Resumen de los posibles pro cesos cognitivos implicados en la omjsin de pasos plo, suj eciones, cojinetes, arandelas, separadores, etc.).
necesarios para la ej ecucin de una tarea - Pasos que dep enden de alguna accin, circunstancia o estado ante-
nores.
Nivel de l fa llo Na turaleza del [.1 11 0 Tipo de faU o - Pasos que no siempre son necesarios en la ej ecucin de esa tarea con-
creta.
Planificacin a) Inadvertidamente se pasa por alto Error
un C0111pOnente necesario. Las actividades de m anteninuento estn muy pro cedimentadas. Por lo
b) El componente se deja Infraccin
deliberadamente fu era del plan tanto, ser posible, en principio, identificar los pasos concretos ms vulne-
de accin. rables a las onusiones deternunando el nmero de caractersticas proclives
Almacenaje de la La intencin de Ueva r a cabo Lapsus a provocar onusiones qu e posee ca da paso discreto. Una vez id entificados
inten cin la accin no se recuerda
en el 111 0 111ento oportun o.
los pasos ms propensos al error, pueden emprenderse acciones correcti-
vas para redu cir la probabilidad de que se los onuta .
EjeCllcin Las accio nes no se siguen COIll0 Desliz
se tena intencin de que ocurriera
e in advertidamente se omite de la
secuenc ia un C0111pOnente necesario.

Vigilan cia El actor no detecta nj corrige la Desliz

o misi n precedente.
La gestin de los grandes riesgos
LAS CARACTERSTICAS DE UN BUEN RECORDATORIO
Diversos procesos cognitivos pueden contribuir a que se incurra en una
omisin, y su naturaleza concreta puede quedar oculta tanto para el actor
como para el observador externo, mientras que los m edios para limitar su
futura recurrencia pueden ser relativamente sencillos y fciles de aplicar
una vez que los pasos propensos al error han sido identificados. La con-
tramedida m s simple es un recordatorio adecuado. Qu caractersticas
debe poseer un buen recordatorio ? La lista que sigu e ofrece algunas su-
gerenClas.
- D ebe ser cap az de atraer la atencin del actor en el momento crtico
(ser notorio).
- Debe estar situado tan prximo como sea posible, en el tiempo y en
el esp acio, al paso de la tarea que debe recordarse (to-be-remembered,
TBR) (ser contiguo).
- Debe suministrar informacin suficiente sobre cundo y dnde debe
realizarse el paso TBR (ifrecer contexto).
- Debe informar al actor d e lo que debe hacer (frecer contenido).
- Debe permitir que el actor repase y compruebe todas y cada una de las
acciones o componentes discretos que deberan formar parte de una
correcta ejecu cin de la tarea (comprobar) .
Estas cinco caractersticas son criterios universales de un buen recor-
datorio y so n aplicables virtualmente a cualquier situacin. Existen, no
obstante, varios criterios secundarios que podran apli carse tambin en
muchas situaciones:
- Debera funcionar de manera efectiva en un amplio abanico de pasos
TBR (ser comprehensivo).
- Debera (cuando est justificado y sea posible) bloqu ear la continua-
cin de la tarea hasta que se haya completado el paso previo necesa-
rio (ser constrictivo).
- Debera ayudar al actor a saber cundo ha completado ya los pasos
necesarios. En otras palabras, debera co ntinuar existiendo y siendo
visible durante algn tiempo tras la ej ecu cin del p aso en cuestin
(confirrna/) .
- Debera ser fcil de retirar cuando el momento de la accin y de su
comprobacin ha pasado -por ejemplo, uno no quiere enviar m s de
una felicitacin navidea a cada p ersona (finalizar).
5. El mantenimi ento puede ca usar graves daos a su sistema
La presencia de recordatorios no es una solu cin garantizada para el
problema de las omisiones. Pero -en el espritu del kaizen"/9- sin duda
ayudar a reducir sustancialmente su frecuencia. Piense, p or ejemplo, cul
podra ser el impacto del recordatorio que muestra el diagrama 5.3 sobre
la probabilidad de que usted se olvide de retirar la ltima pgina de un
original.
Diagrama 5.3
Ej emplo de un sencillo recordatorio que nunimi za el olvido
de la ltima pgina
RECO(jER.
LA LTIMA
P((jINA
1 .......
....
- -
Cualquier redu ccin semej ante en la mayor categora individual de
error humano en el m antenimiento podra rendir sustanciales beneficios,
en vidas y en costes. Segn un anlisis de Boeing, el mantenimiento y los
fallos de inspeccin fu eron el segundo factor en la lista de causas de muer-
tes en vuelo -por detrs slo de los accidentes en que, a pesar de contar
con control areo, el avin se estrell contra el terreno- y causaron la
muerte de 1481 personas en 47 accidentes entre 1982 y 199120. No obs-
tante, es m s probable que los costes de los fallos de mantenimiento se ex-
presen en trminos d e dinero que de vctimas.Y las p rdidas pueden ser
muy altas. Una gran aerolnea ha calculado que sus prdidas anuales atri-
19. Palabra japonesa que signifi ca "proceso de li berado, paciente y continuo de refina-
mi ento. Para una explicaci n del significado profundo de la palabra , vase la novela de
Mi chael C ric hton, Risil'lg S/I/'I, p. 214 [trad. cast.: Sol naciente, Madrid, Debolsill o, 2004] .
20. R.A. Davis, "Human factors in the globalmarket place. Keynote Address Anl1 /1al
Meeti/1g of tite Human Factors a/'ld E /gonO/nics Societ)', Seattle, WA, 12 de octubre de 1993.
I43
La gesti n de los g randes riesgos
buibles a lapsus de mantenimiento ascienden a unos 38 millones de d-
lares 21. Se ha estimado, asimismo, qu e una parada de motor en vuelo puede
suponer prdidas de hasta m edio milln de dlares en ingresos p erdidos
y reparaciones; la cancelacin de un solo vu elo puede costar hasta 150 mil
dlares; cada hora de retraso en la platafo r ma de operacion es puede cos-
tar 10 mil dlares 22 .
D ebe advertirse que los recordatorios arriba descritos no son una so-
lucin permanente al problema de las omisiones, sino, en el m ej or de los
casos, medidas de primeros auxilios con las que hacer frente a las dificul-
tades qu e sufre la actual generacin de sistemas de alta peligrosidad - cuya
vida til se prolongar todava muchos ios en el futuro-oUna solucin
ms duradera sera el diseI'o de componentes que slo pudieran instalarse
de la forma correcta. Otra consistira en que el sistem a se desactivase au-
tomticamente cuando detectase la ausencia de determinadas piezas. Una
tercera solucin, y ms fundamental, estribara en redisear las inspeccio-
nes de mantenimiento de modo que desapareciese la necesidad de contacto
humano directo. Como primer paso en la direccin de esta ltima posibi-
lidad, pasaremos revista a algunas de las razones econmicas y de ingenie-
ra por las que no se efectan tareas de mantenimi ento en absoluto.
LA JUSTIFI C AC IN DEL MANT ENIMIENTO
Por qu no disear sistemas qu e no precisen mantenimiento ? Por qu
no hacer que todas las piezas qu e componen un sistema duren exacta-
m ente lo mism.o -un lapso de tiempo igual a la vida planificada del sis-
tema co mo un todo- ? La respuesta estndar es que n o sera econmico,
dada la complejidad y el coste de un sistema tecnolgico moderno 23 . Por
eso, mu chos de sus comp on entes habrn sido diseados co n una vida til
mayor qu e la duracin de su ciclo de produccin ms largo pero m enor
qu e la vida plan eada del sistem a en su conjunto. A estos componentes
dbiles, identificados en la fase de diseo, se los habr hech o accesibles
y sustituibles; se llama a esto carga de ma ntenimiento esp erada. Otros
con1.ponentes fallarn de forma no planificada, sin embargo, como resul-
21. Boeing, oj!o cit.
22. R. C. Graeber, T he value of human fac to rs awareness for ai rline managem ent,
po nencia presentada al congreso sobre Human Fac tors fo r Aerospace Leaders, Royal Ae-
ro nautical Soci ety, Londres, 28 de mayo de 1996.
23. A. Kell y, Mnill lellnl/ce Plalll/illg al/ d Cortrol, Londres, Butterworths, 1984.
144
5. El man tenimiento puede causa r g raves da iios a su sistema
tado de equivocaciones en su diseo o de una inadec uada manipulacin
operacionaL Esto co nstituye la carga de mantenimiento n o esp erada .
Am bas estn interrelacionadas: si no se logra atender a la carga de m an-
tenimiento esperada, se necesitar una inversin mayor y ms costosa de
recursos en m antenimiento para afrontar los fallos inesp erados . El dia-
grama 5.4 resume esta interaccin .
Di agrama 5.4
Caractersti cas del deterioro de un tem n1.ecnico simple (basado en Kelly)
I
Recursos necesari os
Fallo de la unidad
para devolver la unidad
a un nivel acep table
Zona
Zo na de mantenimi ento de mantenimie nto
preve ntivo (mante nimie nto correctivo
plani fica do, servicios en rampa,
inspeccin , aj ustes meno res)
Tiempo q ue lleva opera tiva la unidad
(desde su prilll.era instalacin o su ltimo mantenimi ento)
Una vez se rebasa la curva de recursos el coste de devolver la uni-
dad - y, por ende, el sistema- a un nivel aceptable crece espectacular-
mente. Trabajar en la zona de mantenimiento preventivo tiene muchas
ventaj as: es m s econmico, atiende la carga de mantenimi ento esp erada
y, al prevenir fallos, redu ce mu cho la carga de m antenimiento no esperada.
El diagram a 5.5 resume la visin ortodoxa en ingeniera: muestra cm o
l'
determinar el nivel ptimo de mantenimiento preventivo: coincide con
el nivel ms bajo del coste de mantenimiento co njunto (suma de los cos-
tes respectivos de ambas fo rmas de mantenimiento).
Por desgracia, es ta ortodoxia da p or supues to que todas, o cu anto
menos la m ayora de las actividades de m antenimiento, son esencialmente
benignas ; mas supongamos que el mantenimiento preventivo no siempre
prevenga los fallos y que el mantenimiento correctivo no siempre los co-
rrij a; que, en realida d, ambas actividades tengan un alto p otencial p ara
ca usar serios daos, tornando inoperantes componentes previam ente fi a-
bles o sim plem ente no reponindolos.
145
La gestin de los g randes riesgos
Diagrama 5.5
Relacin entre el nivel de mantenimiento preventivo y el coste total de
mantenimiento -indicado por la lnea de puntos
I
Coste
\
\
\~~~---,
\ Nivel ptitno
"\ de ll1an teninuento
\ " preventivo
,-------,::---"'----, "
Coste
de mantenimiento de mantenimi ento
correctivo preventivo
Nivel de manteni mi ento preventivo
El diagrama 5.6 contempla la cuestin del m antenim.iento desde una
perspectiva ms amplia -que incluye los factores humanos, adems de los
tcnicos- oEl diagrama representa (de forma muy especulativa) los ries-
gos qu e suponen para el sistema (a) el descuido del mantenimiento y (b)
la probabilidad de errores en el mantenimiento preventivo o correctivo.
La segunda dimensin se basa en el supuesto de que la probabilidad de
error aumentar como una funcin lineal de la cantidad de actividad
de mantenimiento. Como slo una proporcin relativamente pequea de
las acciones humanas son errneas, el riesgo de fallo humano nunca su-
p erar un valor bastante bajo. No obstante, como veremos luego, no es el
valor absoluto lo que importa, sino la proporcin relativa entre el des-
cuido del mantenimiento y el riesgo de errores de mantenimiento. Su-
pongo tambin que el riesgo de estos errores no cambiar de forma
sistemtica con el paso del tiempo : la tecnologa progresa, pero la falibi-
lidad humana sigu e siendo la misma.
D e otro lado, en m arcado contraste, es probable que los riesgos deri-
vados del descuido del mantenimiento disminuyan constantem ente con
la mejora de las tcnicas de fabricacin y de la fiabilidad intrnseca de los
materiales. Las diagonales y la flecha punteada que apuntan hacia la es-
quina inferior izquierda del dibujo representan esto en el diagrama 5.6;
cada lnea de la serie corresponde a una fase en la mejora de la tecnolo-
ga. Queda claro que si un nivel de mantenimiento dado -determinado
5 El mantenimiento puede ca usar graves dailos a su sistema
Diagrama 5.6
COlTlparacin de los riesgos para el sistema por un fallo de componentes
debido a (a) descuido del mantenimiento y (b) errores cometidos
durante el mantenimiento
I Probabilidad de que
un compone nte fall e
Probabilidad
debido a descuido del P robab ilidad de que un
de fallos de
mantenimiento compone nte falle o falte
debido a un error de
mantenimiento
Coste
Nivel de actividad de mantenimiento (cantidad de contac to humano directo)
La serie de diagonales que se acercan progresivamente a la esquina inferior izquierda representan
la creciente fiabilidad de los compon entes co n el paso del tiempo.
por las consideraciones econmicas y de ingeniera arriba mencionadas-
permanece relativamente constante en el tiempo, pronto se alcanzar un
punto en el que los peligros del sistema vendrn a estar dominados por
una tasa de error incluso relativamente baja.
Los datos antes citados sobre p aradas de motor en vuelo muestran que
todos los factores contribuyentes ms comunes estn asociados a fallos
humanos, ms que a fallos tcnicos no asistidos . Por supu esto, podra
alegarse que la aplicacin de las pruebas no destructivas y otras tcnicas
avanzadas de diagnstico permiten a los ingenieros aeronuticos identifi-
car fallos tcnicos poten ciales antes de que sucedan durante el vuelo, lo
que convierte a los errores humanos en la primera categora residual de
fallo. Bien puede ser as, pero eso no altera el hecho de que el contacto
humano regular con los entre 4 y 6 millones de piezas extrables de un
aparato moderno comporta un nivel de riesgo inaceptable.
Irnicam ente, una de las presiones que sostiene este elevado nivel de
contacto en el mantenimiento es el carcter decisivo de la seguridad en
estos sistemas. Para la aviacin comercial, para la generacin elctrica que
emplea energa nuclear o para las plantas de proceso qumico sufrir una
avera catastrfica es inaceptable. Debe hacerse todo lo posible -y cons-
1 47

La gestin de los grandes riesgos
tatar que se ha hecho- para preservar la integridad y la fiabilidad de estos
sistemas. Pero, como hemos visto, el contacto con el operario de mante-
nimiento puede daar tanto como sanar y en algunos sistemas modernos
parece haberse alcanzado el punto en que los riesgos de lo primero pue-
den superar a los beneficios de lo segundo.
CONCLUSIONES
Los rpidos avances tecnolgicos experimentados por los sistemas de alta
peligrosidad no han trado slo la sustitucin del control humano por or-
denadores, sino tambin mejoras sustanciales en la fiabilidad del equipo
y los componentes, algo que se ha logrado gracias a materiales y proce-
sos de fabricacin mejores y a la amplia difusin de tcnicas de diagns-
tico refinadas. No obstante, el cronograma de mantenimiento de un avin
moderno o de una central nuclear contina exigiendo el desmontaje, ins-
peccin y remontaje repetido de millones de piezas extrables a todo lo
largo de la extensa vida til del sistema. Hace 20 o 30 alos, el resultado
probable de estas inspecciones habra sido la frecuente deteccin y susti-
tucin de componentes estropeados . Es casi seguro que en aquellos das
el riesgo debido a defectos intrnsecos de ingeniera era mayor que los pe-
ligros creados por el hecho de perm.itir el acceso a las vulnerables entra-
ilaS del sistema a verdaderas legiones de falibles humanos . Hoy en da la
balanza se inclina del lado opuesto.
La mayor amenaza que encaran las tecnologas modernas proviene de
las personas y muy especialmente del bien intencionado pero con fre-
cuencia innecesario contacto fsico que exigen unas agendas de mante-
nimiento anticuadas. N ecesitamos urgentemente, por parte de los
diseiiadores y de los fabricantes de sistemas, una mayor conciencia de la
diversidad de la falibilidad humana y de la naturaleza inductora de erro-
res de gran parte de las tareas de mantenimiento - en particular durante
la instalacin o el renlOntaje-. Sobre todo, han de convencerse de que
el mantenimiento puede ser, adems de una defensa necesaria, una seria
amenaza. Hasta que los sistemas se diseen y construyan con estas cues-
tiones en mente, un buen p ersonal de mantenimiento seguir contribu-
yendo a provocar lamentables accidentes organizativos.
t
6
N avegar por el espacio de seguridad
EVALUAR LA SEGURlDAD
E STE C APTULO TRATA DE LOS PRIN C IPIOSsubyacentes a la medicin de la se-
guridad. (Examinaremos las propias medidas y su aplicacin en el prximo
captulo). En particular, se ocupa de la evaluacin de la salud de la segu-
ridad de los sistenus tecnolgicamente complejos que - en virtud de sus
defensas multiestrato- sufren un nmero relativamente bajo de acciden-
tes graves. Volveremos tambin sobre una distincin que introduj e en el ca-
ptulo 4, y que discrimina entre procesos y resultados.
En lo referente a la constriccin del comportamiento humano a cur-
sos de accin seguros y productivos, la mayora de las organizaciones se
inclinan por los controles de procesos basados en reglas , regulaciones y
procedimientos (vase el captulo 4). Sin embargo, en la gestin de la se-
guridad del sistema, lo op uesto es la norma. La mayora de las organiza-
ciones que efectan operaciones peligrosas se apoyan en gran parte en
medidas de resultados o, ms concretamente, en medidas de resultados ne-
gativos que registran los sucesos adversos como las prdidas de tiempo de
operacin o las vctimas.
Desdichadamente, los datos de resultados son un indicador poco fia-
ble de la fiabilidad intrnseca de un sistema. As es, especialmente, cuando
el nmero de sucesos adversos ha cado hasta un valor asinttico bajo, en
torno al cual las pequei1as fluctuaciones que se producen en sucesivos pe-
riodos de registro son ms (,ruido que sei1al. En muchos sistenlas bien
defendidos , esos datos son demasiado escasos, y llegan demasiado tarde
para guiar con efectividad la gestin de la seguridad. De hecho, algunas
tecnologas modernas se han convertido en vctimas de su propio xito:
ha prescindido en buena parte de las medidas convencionales de resulta-
dos que solan orientar la seguridad del sistem.a. En la aviacin comercial,
por ejemplo, el riesgo de accidente se ha mantenido virtualmente cons-
149
La gesti n de los grand es ri esgos 6. N avega r por el espacio de seguridad

tante durante los ltimos 25 aos en torno a una media mundial de una durante un periodo de tiempo dad0 2 . Las cifras exactas no importan, pero
vctima (pasajero) por cada milln de millas de vuelol . el diagram a 6.1 da una idea aproximada de lo qu e descubri.
Si queremos mejorar, hemos de repensar la naturaleza de la seguridad.
Las definiciones de diccionario son de escasa ayuda. La mayora equiparan
Diagrama 6.1
la seguridad con estar libre de riesgo o peligro, dos cosas siempre presen-
Una distribu cin im aginaria del nmero de coces sufridas p or los integrantes
tes en las tecnologas de alta peligrosidad. El indicador ms extendido es
de un regimiento de caballera durante un periodo de tiempo dado
el nmero de resultados negativos, que slo es til cuando las tasas de ac-
cidentes son lo bastante altas, e incluso en ese caso hay que contar con el P ropo rcin del
regimiento
problema de la distorsin que introduce el azar - la combinacin fortuita
de elem entos causales en un momento y lugar concretos.
Los datos de resultados negativos aportan un indicador vlido de la se-
guridad intrnseca del sistema slo cuando sus gestores tienen pleno con-
trol de todos los p osibles factores desencadenantes de accidentes; slo en
ese caso pueden vincularse directamente las tasas de accidentes con la ca-
lidad de la gestin de la seguridad. Pero ninguna tecnologa de alta peli-
grosidad puede lograr ese grado de control total. Es posible defenderse de
las amenazas naturales y reducir en cierta m edida los actos p eligrosos, pero
ni unas ni otros pueden ser eliminados por completo. Condiciones laten-
tes, patgen os, h abr siempre. La probabilidad de su funesta conjuncin o 2 3+
N mero de coces
siempre ser mayor que cero. El importante componente aleatorio de la
causalidad de los accidentes significa que las organizaciones seguras pue-
den , aun as, sufrir accidentes, y que las organizaciones inseguras pueden
La mayora del regimiento, con gran diferencia, no sufri ninguna coz.
librarse de ellos durante largos periodos de tiemp o; la mala suerte puede
Un pequeo nmero de soldados recibi una coz, una cifra m enor reci-
abatir a los virtuosos y la buena su erte proteger a los indignos.
bi dos y un nmero aun ms pequeo recibi tres coces. Sobre la base
Una salida a este impasse pasa por el empleo de medidas de proceso de la
de esos datos y otros similares, Poisson desarroll un modelo terico -la
seguridad. Para aplicar estas medidas con efectividad debemos asumir que
distribucin de Poisson- para determinar la probabilidad aleatoria de un
la seguridad tien e dos caras, una positiva y otra negativa. C omo sucede
accidente entre un grupo de personas que comparten la misma exposi-
con la salud, las ocasionales ausencias de seguridad son ms fciles de cuan-
cin a una am enaza particular. La distribu cin de Poisson contesta a esta
tificar qu e su presencia prolongada. Para acercarnos a la cara positiva de
pregunta: cuntas p ersonas podem os esperar que sufran cero, uno, dos o
la seguridad, h emos de reflexionar sobre las coces .
ms accid entes cuando n o existe ninguna raz n especial para qu e una
persona sea vctima de m s accidentes que otra?
CONTAR COCES Incluso en la cuestin relativamente im11ediata de las coces, es improba-
ble que todas las personas tengan la misma prop ensin a sufrir esos dolo-
A comienzos del siglo XIX, el gran m atem tico fi-ancs Simen Poisson rosos contactos. El diagrama 6.1 muestra que la mayor parte del regimiento
cont el nmero de coces recibidas por soldados de caballera prusianos entraba en la categora de cero coces. No obstante, puede haber muchas

1. R .W H oward, Breaking through the 106 barrier, Proceedillgs oJtlle Internatiollol Fe- 2. W H addon, E. A. Suchman y D. Klein , A ccident R esearch: Metil ods ond Approaches,
dera tion ofA irworthiness COI1Jerwce, Auckland, N ueva Zelanda, 20-23 de octub re de 1991. N ueva York, H arper & Row, 1964.

I SO I 5I
La gesti n de los g randes riesgos
razones diferentes para ello. Algunos de los hombres que no recibieron coz
alguna sencillam ente pu eden haber tenido su erte, otros pueden haber es-
tablecido una buena relacin con sus monturas, otros pueden haber ex-
tremado la precaucin y, por fin , otros pueden hab er sido amables con sus
caballos y, adems, precavidos respecto a la zona ms p eligrosa. R azones
similares, pero opu estas, podran explicar p or qu algunas personas fu eron
ms coceadas que otras. As pues, podemos imaginar un continuo qu e va
de los soldados a pru eba de coces a los propensos a las coces, de los indi-
viduos relativam ente seguros a los relativam ente peligrosos.
Much os fac tores dife rentes operan para determinar la posicin de un
individuo a lo largo de la dimensin seguro-p eligroso. En algunos casos,
ser simplen"lente cuestin de buena o mala suerte; pero en otros se deber
al xito de contramedidas deliberadas. Los soldados de caballera ms in-
munes a las coces sern aquellos que empleen las m ejores m edidas de pro-
teccin (amabilidad, precaucin, etc.) de la forma ms constante y efectiva.
En suma, como muestra el diagrama 6.2, podemos discriminar grados de
seguridad, as como de peligrosidad.
Diagrama 6.2
Distribu ci n bilateral de la resistencia-v ulnerabilidad entre los soldados
de caballera qu e no sufrieron ninguna coz, discrimi nando en fun cin
de la efectividad de sus contralTledidas
C reciente resistencia Creciente vulnerabilidad
El ej emplo de las coces demu estra que los da tos de resultados slo
pu eden revelar la cara negativa de la seguridad. Esas m edidas registran
m omentos de vulnerabilidad; n o pueden discriminar los ingredientes, ms
dilatados en el tiempo, de la resistencia. C omo luego veremos, para eva-
luar directam ente estos ltimos es preciso usar m edidas de proceso -n-
dices qu e miden la salud de la seguridad gen eral del sistema en su
conjunto mediante el muestreo regular de diversos signos vitales-o Slo
as podemos navegar el espacio de seguridad (vase a continuacin) apo-
6. N avega r por el espacio de seguridad
yndonos en principios fiabl es, en lugar de permanecer a m erced de las
corrientes dominantes.
PRESENTACIN DEL ESPACI O DE SEGURIDAD
El espacio de seguridad es una ampliacin natural del continuo resisten-
cia-vulnerabilidad presentado en la seccin anterior; es un espacio terico
donde p odemos representar la resistencia o la vulnerabilidad de un indi-
viduo o una organizacin. El diagrama 6.3 mu estra su forma elpti ca, con
la mxi ma resistencia en el extrem o izqui erdo y la mxima vulnerabili-
dad en el derech o - esa forma reflej a qu e la mayora de las personas y las
organizacion es ocuparn alguna posicin interm edia en dicho espacio-o
En lo que sigu e, nu estra atencin se centrar en las organizaciones ms qu e
en los individuos.
Diag rama 6.3
El espacio de seguridad
C rec ien te resistencia
..
Crecien te vuln erabili dad
" t /
Organi zacio nes
El diagrama muestra la pos ibl e distribucin en un momento dado de 40 orga nizaciones hip o-
tticas dentro del espacio de seguri dad. Sus posiciones en este espacIO vIenen deter mmadas por
su resistenc ia o vuln erabilidad in tr nseca a los riesgos de SllS operac iones.
La calidad de los procesos que una organizacin utiliza para combatir los
riesgos de sus operaciones determina su situacin dentro del espacio de se-
guridad. En otras palabras, su posicin en la dimensin resistencia-vulne-
rabilidad ser funcin de la amplitud e integridad de sus defensas en
cualqu ier momento del tiem po. H ay que advertir, empero, qu e la seguridad
absoluta no existe. Mientras co ntinen existiendo las amenazas naturales, la
falibilidad humana, las condiciones latentes y la posibilidad de c ot~uncio
nes aleatorias de fac tores generadores de accidentes, hasta las organizacio-
nes ms intrnsecam ente resistentes - las situ adas cerca del extremo
I5 3
La gestin de los grand es ri esgos
izquierdo- seguirn estando suj etas a la posibilidad de sufi-ir accidentes.
Por la misma razn, organizaciones no seguras, pero con suerte, situadas
en el extremo derecho seguirn librndose de sufi-ir accidentes durante pe-
riodos de tiempo bastante largos.
Por supu esto, las organizaciones pueden fOljar su propia suerte hasta
cierto punto -pero nunca completame nte-o Esto tiene dos implicacio-
nes para las medidas de resultados. Primero, habr cierta correspondencia
entre la posicin de una organizacin en el espacio de seguridad y el n-
m ero de resultados nega tivos que le hayan sucedido. A lo largo de un p e-
riodo de muestra, es probable que las organizaciones en el polo resistente
del espacio sufran m enos sucesos adversos que las situadas en el pol o vul-
nerable; pero esta correlacin nunca ser pelfecta debido a las imprevisi-
bles intromisiones de la bu ena y la mala fortuna . Segundo, cuando en un
mbito concreto las tasas de accidentes caen a niveles muy bajos, como ha
ocurrido en la aviacin y en las centrales nucleares, que ocurran o no re-
sultados negativos (en un periodo de registro concreto) revela muy poco
sobre la posicin de una organizacin en el espacio de seguridad -y, sin
embargo, esas diferencias de ubicacin continuarn existiendo.
CORRIENTES INTERNAS DEL ESPACIO DE SEGURIDAD
Muy pocas organizaciones ocupan posiciones fij as en el espacio de segu-
ridad. La mayora de ellas est en constante movimiento, unas impulsa das
activam ente h acia el polo resistente del espacio por la enrgica imple-
mentacin de medidas de seguridad efec tivas, otras descuidadas, al punto
de derivar pasivamente hacia el extremo inseguro. Esas corrientes natu-
rales flu yen en sentidos opuestos dentro del espacio y tanto ms crece su
fu erza cuanto lTls se acerca una organizacin a uno de los extremos. El
diagrama 6.4 ilustra esas corrientes . C uanto ms cerca del polo peligroso
del espacio deriva una organizacin, ms probable es que sufi-a acciden-
tes. Esto, Uldo a las presiones del pblico y las agencias reguladoras, aporta
un poderoso impulso para implementar m ejores m edidas de seguridad.
A pesar de que los accidentes son indicadores relativamente poco fiables
de la seguridad intrnseca de una organizacin, tienen la virtud de enfo-
car las mentes de la alta direccin hacia las cuestiones de proteccin en
lugar de hacerlo hacia las de produccin, al menos por un tiempo. Esto
suscita una pregunta que debatiremos en un apartado posterior: son ne-
cesarios los accidentes graves para la sup ervivencia de las organizaciones?
154
6. Navegar por el espacio de seguridad
Diagrama 6.4
Corrientes y contracorrientes en el interior del espacio de seguridad
.. C reciente resistencia C reciente vulnerabilidad
-..-.. Corrientes en accin . . - -..--
~ - . . en el espacio de seguridad ..---::=
Fuerzas opuestas entrarn en juego tan pronto como la organizacin
entre en las regiones ms resistentes del espacio. Las iniciativas de seguri-
dad pierden empuj e y gen eran rendimientos decrecientes. Los ges tores ,
una vez ms, se olvidan de sentir aprensin y empiezan a desviar una parte
cada vez m ayor de su atencin y de sus recursos hacia los obj etivos de
produccin.y, como vimos en el captulo 1, las nuevas y m ejores defen-
sas se emplean para impulsar obj etivos productivos, ms que protectores.
En otras palabras, las orgazaciones se acostumbran a su estado de segu-
ridad aparente y se pernten derivar -como el bote indenme- hacia re-
giones de mayor vulnerabilidad.
Si las organizaciones se guiasen solam ente por las medidas de sus re-
sultados, probablemente se moveran pasivamente, como los restos flotan-
tes de un naufragio, hacia uno y otro lado de la zona central del espacio
de seguridad. Una gestin efectiva de la seguridad sigfica navegar por
ese espacio activamente con la nra puesta en alcanzar la zona de m xima
resistencia y mantenerse en ella. Para lograrlo, los directivos deben enten-
der la naturaleza de las fuerzas que actan sobre la orgazacin, as como
las clases de informacin que necesitan para establ ecer su posicin actual.
Para llegar hasta la regin obj etivo y lu ego m~ntenerse en ella son n ece-
sarias dos cosas: un motOD> interno que impulse la orgazacin en la di-
reccin correcta y ayudas a la navegacin para trazar su avance.
QU ALIMENTA EL MOTOR DE LA SEGURIDAD?
Tres son los ingredientes vitales para hacer funcionar el motor de la se-
guridad, los tres patrimonio de la alta direccin -o lo que el te rico de
la organizacin H . Mintzberg h a denominado el vrtice estratgico del
155
La gesti n de los grandes ri esgos
sistemaJ- . Estas tres fu erzas impulsoras son: el compromiso, la comp e-
ten cia y el conocimiento -las tres ces .
El compromiso tiene dos componentes principales : la motivacin y
los rec ursos. El asp ecto motivacional es t relacionado con el hecho de si
la organizacin persigue ser el modelo de su sector en lo que a buenas
prcticas de seguridad se refi ere o se contenta simplem ente con ir un paso
por delante de los las agencias reguladoras - la diferen cia sei'ialada en el
captulo 2 entre organizaciones generativas y patolgicas- oLos niveles
altos de mo tivac in son relativam ente raros, y diuciles de sos tener. Por
eso es tan importante la cultura de la seguridad de la organizacin: los
altos directivos vienen y va n -y se contrata ms a lderes orga niza tivos
para revitalizar fortunas comerciales languidecientes que para mejorar una
trayectoria de seguridad qu e no es ni buena ni mala- , mientras qu e una
bu ena cultura de la seguridad es algo qu e perdura a travs de esas revolu-
ciones palaciegas y, merced a ello, aporta la fu erza impulsora que se nece-
sita, al margen de las inclinaciones del ltimo co nsej ero del ega do. El
segundo aspecto ataiie a los recursos qu e se destinan a alcanzar obj etivos
de seguridad. N o es slo cuestin de dinero; importa la calid ad tanto
como la ca ntidad y tiene qu e ver co n el calibre y el estatus de las perso-
nas a quienes se encomienda dirigir la seguridad del sistema. En algunas
orga nizaciones, los puestos en el mbito de la seguridad se ven CO lTlO ex-
cel entes oportunidades para una promocin rpida; en demasiadas em-
presas, sin emb argo, se los considera co m o zonas de es tacionami ento
prolongado donde situ ar a ejecutivos co n po co poder o quemados.
Pero el compromiso solo n o basta. La orga nizacin debe poseer tam-
bin la cOlnpeten cia tcnica necesaria para lograr sus obj etivos de segu-
ridad. La comp etencia est muy estrechamente relacionada con la calidad
del sistema de informa cin acerca de la seguridad de qu e disp one la or-
ganizacin. R ene la informacin correcta? La difunde bien? Acta en
funcin de ella? Estudios comparativos pareados - qu e es tudian pares de
empresas similares en todos los aspec tos excepto en su historial de segu-
ridad- han m ostrado que las dos ca ractersticas con ms probabilidad de
discriminar entre organizaciones seguras e inseguras son, primero, el com-
promiso al m xi mo nivel y, segundo, la posesin de un sistema de infor-
m acin relativo a la seguridad adecuad0 4 .
3. H . Mintzberg, Mil/tz belg 0 11 N[al/agel/leJlt: [//Side ol/r Stml/ge JJ1orld oj O lga niz atiO/"ls,
Nu eva Yo rk, Free Press, 1989.
4.Vase M .]. Smith , H. Co hen,A. Co hen y R .]. C leveland , C hara cteristi cs ofsuc-
cessful safety progra m s ,jol/wal qf Sajet)' R esearcll, 10, 1988, pp. 5-14.Vase tambi n U. T<je-
156
6. N avega r po r el espacio de seguri da d
Ni el compromiso ni la comp etencia sern suficientes a menos que
la orga ni zaci n p osea una conciencia adec uada -o co nocinu ento- de
los peligros que amenaza n sus op era cion es. Dos rasgos son sintomticos
de las orga luzaciones qu e carece n de este ne cesario nivel de conciencia.
El primero es la paradoja posicional, qu e consiste en qu e quienes estn si-
tu ados en la cspide de la organizacin, y tien en el mximo grado de
autonona para la toma de decisiones, culpan de la m ayora de sus pro-
blemas de seguridad a las linutaciones personales de quienes se encuen-
tran en primera linea, que, por lo general, simpl emente se linutan a seguir
los pro ce dinu entos y a trabaj ar con el equipo qu e se les proporciona . El
segundo sntoma es el f enmeno equis, algo qu e pu ede aqu ejar a los ges-
tores tc nicos asignados a cargos de seguridad: tratan las m edidas de se-
guridad como si fueran pi ezas de equipo, las implem entan en su lugar y
ponen una equis al lado de su nombre en la lista de tareas p endientes
para indicar un trabaj o ternunado ms. La mayora de las piezas de equipo
hacen lo qu e se supone qu e tienen que hacer; se las enciende y funcio-
nan como di cen sus especificaciones. Sin embargo, las medidas de segu-
ridad comportan tanto un produ cto como un pro ceso. No bas ta con
implem entarl as. H ay que observa rlas, preocuparse por ellas, afinarlas y
aju starlas. Los elementos del equipo suelen ser casi completamente pro-
ducto y muy poco pro ces o. En cambio, las medidas de seguridad se pa-
recen ms a la religin: hay qu e rezar muchsimo (proceso) y suceden
poqusimos nUlagros (producto) .
Las organizaciones cono cedoras entienden la verdadera naturaleza de
la gu erra de la seguridad. La ven como realmente es: una larga guerra
de guerrillas sin ninguna victoria decisiva final. Para ellas, un lapso pro-
longado sin ningn accidente grave no sei'iala la llegada de la paz. Lo ve n,
correctam ente, como un p eriodo de creciente p eligro y, por ende, refor-
man y refu erzan sus defensas en consecuencia. En cualquier caso, y pu esto
qu e la victoria fin al corresponde a la entropa , el ltimo helicptero aban-
donando Saign sera una m etfora ms idn ea para la conclusin de la
gu erra de la seguridad qu e una gran batalla decisiva como Yorktow n,Wa-
terloo o Appomatox .
llen, A n eva lu ati o n of sa fety info rlll ati o n system s o f six lll ediul11-size d and Iarge firl11s,
JOl/rnal qf OCC/ljJa tional Accidel/ts, 3,1983, pp. 273-288.
157
La ges tin de los grandes ri esgos 6. Navegar por el espacio de seguridad

ESTABLECER LOS OBJETIVOS DE SEGURIDAD ADECUADOS ayudas a la navegacin, que analizaremos ms en profundidad en las sec-
ciones siguientes.
La clave de la navegacin por el espacio de seguridad consiste en apreciar
qu es posible gestionar y qu no. Muchas organizaciones tratan la ges- Diagrama 6.5
tin de la seguridad como un proceso de produccin n egativo: se propo- R esumen de los principal es factores involucrados en la navegacin
nen, para el siguiente periodo contable, objetivos consistentes en menores por el espacio de seguridad
resultados n egativos (por ejemplo, el ao que viene reduciremos a la Creciente resistencia Creciente vu lnerabilidad
..
mitad los accidentes que supu sieron prdidas de jornadas de trabajo).
Pero los accidentes, por su misma naturaleza, no son susceptibles de con-
trol directo. Es tanto lo que de su diversidad causal cae fu era de la esfera
de influencia de la organizacin que sta no pu ede suprimir ni evitar sus
amenazas, slo defenderse contra ellas; pero es consiguiendo esto como
Zona
o bjetivo ..
I
I
I
---
Fuerzas
impulso ras
Co mpromiso
Co mp ete ncia
Conocimiento
!'

logra continuar su actividad. De la misma manera, una organizacin slo

Ayudas a la navegacin
puede esforzarse por minimizar los actos peligrosos; nunca eliminarlos i
M edidas M edida s t[
por completo. de resultados de proceso
Una gestin efectiva de la seguridad se parece ms a un programa de reactivas proactivas ll,

mantenimiento fsico a largo plazo que a una produccin negativa. En

lugar de luchar en vano por ejercer control directo sobre incidentes y ac-
cidentes, los gestores deberan medir y mejorar regularmente aquellos
procesos -diseo, hardware, formacin, procedimientos, planificacin, ela-
boracin de los presupuestos, comunicacin, conflictos de objetivos, etc.-
~u e se sabe estn causalmente implicados en los accidentes organizativos.
Estos son los procesos que es posible gestionar y que determinan la salud
de la seguridad de un sistema. Son, en cualquier caso, los procesos para
cuya gestin se contrata a los directivos. Vista as, la gestin de la seguri-
dad no es algo aadido, sino una parte esencial del ncleo de negocio del
sistema .
Como seal antes, el nico objetivo que la gestin de la seguridad
puede alcanzar no es no tener ningn accidente sino situarse en la regin
del espacio de seguridad caracterizada por la mxima resistencia -y per-
manecer ah-o Simplemente moverse en direccin a una mayor seguri-
dad no es difcil; pero mantener las mejoras es muy arduo. Mantener esa
posicin a despecho de las fuertes corrientes contrarias requiere disponer
de ayudas a la navegacin. Ms concretamente, requiere un sistema de in-
formacin acerca de la seguridad que no slo sea capaz de sacar las con-
clusiones correctas sobre sucesos ya ocurridos (medidas reactivas) sino que
proporcione tambin chequeos de salud)) regulares de procesos organiza-
tivos bsicos (medidas proactivas) que puedan usarse para guiar acciones co-
rrectivas dirigidas a objetivos especficos. El diagrama 6.5 muestra estas
(a) Las nlerzas impulsoras y (b) las ayudas a la navegac in de las que co nsta en co njunto el sis-
tema de informaci n. ' ,
LA PRUEBA DESTRUCTIVA
En el caso de que las ideas de resistencia y vulnerabilidad a las amenazas
parezcan demasiado abstractas, vanse los resultados del siguiente estudio.
Un modo de determinar la capacidad relativa de resistencia y resiliencia
de diferentes sistemas es co nstatar cuntas cosas hubieron de ir m al para
qu e sufi:ieran un accidente grave. Esto equivale, en efecto, a lo que, en in-
geniera, es una prueba destru ctiva.
En este caso, los sistemas eran tipos de aeronaves: helicpteros, aparatos
ligeros (aviacin general) y grandes reactores comerciales. La fu ente de
datos fueron 90 investigaciones de accidentes fatales llevadas a cabo por la
Oficina de Investigacin de Accidentes Areos del Reino Unido entre las
dcadas
.
de los setenta y los noventaS.Todas esas investiaaciones
b
fueron rea-
lizadas y sus informes confeccionados siguiendo la forma estndar estable-
cida por la Organizacin Internacional de Aviacin Civil para
ll1vestlgadores de accidentes.
5. D. Stephens, T/ e Rllle ofT/ree)) as Applierl fo A ircmJt Accirlents, M anchester, D epar-
tam ento de Psicologa , Universidad de M anchester, 1996.

159
La gesti n d e los gra ndes ri esgos
Primero, se postularon 16 posibles factores causales: problemas de
motor, problelTlas de fuselaje, problemas sistmicos, problemas de C0111-
bustible, horas de vuelo del piloto en el tipo de aparato, periodos de des-
canso, error del piloto, materias propias del operador, cambios de plan,
hora del da o de la noche, condiciones de formacin de hielo , visibilidad ,
viento, precipitaciones, control del trfico areo y comuni caciones por
radio. Se averigu el nmero de causas concurrentes en cada uno de los
accidentes mortales y la tabla 6.1 resume los resultados. Como se esperaba,
los helicpteros fueron el tipo de aparato ms vulnerable. En contraste,
hizo falta ms del doble de factores causales concurrentes para provocar
un accidente fatal en los grandes reactores comerciales, mucho mejor de-
fendidos.
Tabla 6.1
Cifras ITledias de problemas que contribuyeron a accidentes fatales
en tres tipos de aeronaves
Tipo de aparato Nmero de accidentes Cifra media
de problemas
H elicpteros 22 1,95
Aparatos ligeros 29 3,38
Grandes reactores 39 4,46
Fu ente : datos procedentes de los informes de la UK M m.
UNA VISIN DE CONJUNTO DE LAS AYUDAS A LA NAVEGACIN
Las ayudas a la navegacin se dividen en dos categoras: rnedidas reactivas
que slo cabe aplicar despus de ocurrido un su ceso adverso y medidas pro-
activas que pueden ponerse en prctica antes de que eso suceda para eva-
luar la salud de la seguridad del sistema en su conjunto. Una gestin de
la seguridad efectiva requiere emplear anlbos tipos de m edidas. Debemos
aprender del pasado las lecciones apropiadas y traducir lu ego ese conoci-
miento en una mayor resistencia . Al mismo tiempo, debemos hacer visi-
bles a quienes dirigen y operan el sistema las condiciones latentes y los
patgenos residentes que son una parte inevitable de cualquier tecnolo-
ga compleja, no importa lo bien gestionada que est, y que la experien-
cia ha demostrado que pueden suministrar los ingredientes de futuros
accidentes organizativos.
r60
6 . Navegar por el espacio de seguridad
Usadas adecuadamente, tanto las m~edidas reactivas como las proactivas
pueden facilitar informacin valiosa sobre el estado de los procesos orga-
nizativos subyacentes. El modelo de desarrollo causal de un aCCIdente or-
ganizativo presentado en el diagrama 1.6 llama nuestra atencin sobre dos
temas importantes: las condiciones lo cales y organizativas que promueven
los actos peligrosos y las defensas, barreras y salvaguardias que mantienen
la separacin entre las amenazas y las prdidas potenciales. La tabla 6.2 re-
sume las diversas interacciones entre ellas y los tipos de ayudas.
Tabla 6.2
Resumen de las posibles interacciones entre medidas reactivas y proactivas
Tipo de ayuda a la navegacin
Medidas reactivas Medidas proactivas
Condiciones locales El anlisis de un gran nmero Identifica aquellas circunstancias
y organizativas de incidentes pu ede revelar que lus se necesita corregir,
lo que genera olejoras constantes
patrones recurrentes de causa
y efecto. de resistencia o ([0 [111<1 fsica l) .
Defensas, barreras Cada suceso ll1uestra una Las comprobaciones regulares
y salvaguardias trayectoria que atraviesa parcial o revel an dnde existen agujeros
ahora y dnde es ms probable
co mpletamente las defe nsas.
qu e aparezcan a co ntinuacin.
Uno de los usos equivocados ms frecuentes de las medidas reactivas
consiste en prestar atencin de un modo denusiado estrecho a los suce-
sos singulares: conduce a contramedidas dirigidas principalmente a pre-
venir la recurrencia de los fallos individuales, en particular los de origen
hununo. Pero los accidentes organizativos tienen causas n1.ltiples. Nin-
gn factor es necesariamente ms importante que otro. Fue su combina-
cin lo que caus el suceso.
Para aprender del pasado las lecciones apropiadas, lo mejor es analizar
muchos sucesos relacionados con un mismo sector tecnolgico em-
pleando un mismo marco de clasificacin, que revelar patrones de causa
y efecto rara vez evidentes en las investigaciones de un solo caso. Adems,
esos patrones sealan tambin qu factores lo cales u organizativos desem-
pean regularmente algn papel en la causalidad de los sucesos adversos.
Esto, a su vez, gua la seleccin de los procesos organizativos que se mues-
trearn pro activa y regularmente. Hay muchos candidatos posibles para
una evaluacin regular, pero pocas organizaciones tienen los recursos
necesarios para muestrearlos todos, ni sera conveniente que lo hicieran.
r6r
La gestin de los g randes riesgos
El ~nlisis de mltiples episodios nos dice cules de los mu chos procesos
posIbles tIen en la mayor probabilidad de aportar una medicin, vlida
,. d Y
etiectlVa en ternunos e costes, de la salud actual de la seguridad.
Una tcnica reactiva efectiva debera ofi-ecer un retrato preciso de la
debilidades y ausencias que existan en las defensas. Estas instantneas re~
velan las formas, con frecuencia improbables, en que incluso las defensas
ms elaboradas pueden ser derrotadas_ Una vez ms, el anlisis de nume-
rosos sucesos del mismo mbito puede sacar a la luz patrones recurrentes
y a menudo sorprendentes, de debilidad defensiva.
Las ayudas a la navegacin ms impo rtantes, sin embargo, estn en el
lado derec~o de la tabla 6.2_ Son las medidas de pro ceso proactivas, que
pueden aplicarse antes de que ocurra un suceso adverso. Su propsito es
ofi-ecer comprobaciones regulares tanto del estado de las defensas del sis-
tema com o de sus signos vitales en el mbito de la organizacin y en el
lu ~ar de trabaJo. Como en medicina, no hay una medida compreh ensiva
y uruca de la salud de la seguridad, sino que se basar en el muestreo de
un sub conjunto de un agregado potencialmente mayor de ndices que
reflejan el estado actual de varios procesos organizativos. El nmero de
esos controles diagnsticos, que diferir de un tip o de sistem.a a otro vara
tpicam ente entre unos ocho y diecisis, y su propsito es identifi~ar los
dos o tres procesos que necesitan atencin con la mxima urgencia. La fi-e-
cu en cia co n que se efecten estas comprobaciones depender de la tasa
de cam.bio probable del pro ceso en cuestin . Los factores propios del ta-
ller cambian con ms rapidez que los organizativos y por esa razn han
de estar s l~ etos a control a intervalos ms frecuentes.
, Volverem,os a estos procedimientos en una seccin posterior y en el
prox;mo capItulo ofreceremos una gua prctica para su seleccin y apli-
caClOn. Entretanto, debemos detenernos brevemente en los informes
sobre incidentes y casi accidentes; un tipo de medicin de la seguridad que
no slo es t desarrollndose rpidamente en diversos sec tores sino que
adems, suministra datos tanto reactivos como proactivos.'
PROGRAMAS DE lNFORMES DE INCIDENTES Y CASI ACCIDENTES
Para algunas personas, los trminos casi accidente e incidente signifi-
can cosas dIstmtas, pero puesto que no es una prctica universal, emplea-
remos caSI aCCIdente para cubrir toda esa clase de su cesos. Un casi
accidente es cualquier suceso que pudo haber tenido malas consecuencias
pero que no las tuvo. Los casi accidentes pueden ir desde una penetraciI;
162
6. Navegar por el espacio de seguridad
parcial de las defensas hasta situaciones en que todas las salvaguardias dis-
ponibles fueron vencidas pero no se produj eron p rdidas. En otras pala-
bras, abarcan toda la gama de su cesos, desde los m s benignos, en que una
o ms defensas evitaron, como estaba previsto, un resultado n ega tivo po-
tencial, hasta aqullos en que falt el grosor de un cabello para que ocu-
rriera una catstrofe. Los primeros suministran informacin proactiva til
sobre la resistencia y la capacidad de resiliencia del sistema, mientras que
los segundos son indistinguibles de un accidente de pleno derecho en
' todo excepto en el resultado negativo y, por lo tanto, entran plenamente
en el mbito reactivo.
Las ventaj as de reunir y analizar casi accidentes son claras . En la bonita
frase que em.plea Exxon, facilitan lecciones gratis6.
_ Si se extraen las conclusiones correctas y se acta sobre esa base, pue-
den funcionar como vacunas y movilizar las defensas del sistema con-
tra sucesos futuro s ms graves -y, como las buenas vacunas, cumplen
esta funcin sin causar dao a nadie ni a nada en el proceso.
_ Proporcionan vislumbres cualitativos de cm o pueden alinearse pe-
qu eos fallos defensivos hasta crear grandes desastres.
_ Gracias a que ocurren con ms frecuencia que los accidentes graves,
suministran cifi-as en la cantidad requerida para efectuar anlisis cuan-
titativos de mayor profundidad.
_ Y, quiz lo ms importante, aportan un poderoso recordatorio de las
am enazas a que se enfrenta el sistema, frenando as el proceso de ol-
vidarse de ten er miedo. No obstante, para qu e tengan ese efecto, debe
darse amplia difusin a los datos, sobre todo en la alta direccin de la
organizacin, entre los gerentes obsesionados con las cifras . Consta que
estos gestores adoptan una actitud de especial alerta cuando la infor-
macin relativa a cada suceso incluye una estimacin realista de su
coste financiero potencial para la organizacin _
, Los programas de informes de casi accidentes afrontan, por supuesto,
diversos problemas, el menor de los cuales no es que dependan de la vo-
luntad de los individuos para informar sobre su cesos en los que ellos mis-
mos puede que hayan desempeado un papel significativo. Analizaremos
extensam ente los factores qu e contribuyen a crear una cultura qu e in-
forma en el captulo 9.
6. Escuch esta exp resin a John Sleigh, antes j efe de organizacin de servicios de la
seguridad en la refinera Esso en Fawley.
16 3
 La gestin de los grandes ri esgos
Un onnante pu ede estar bien dispu esto a ormar sobre un suceso
pero no ser capaz de ofi-ecer una exposicin suficientem ente detallada d:
los factores causales concurrentes_ En ocasiones los informantes no Son
conscIentes de las causas precursoras corriente arriba de la organizacin.
En otros cas os, puede qu e no adviertan la significatividad de los factores
lo cales de su luga r de trabajo: si estn acostumbrados a trabajar con Un
eqlllpo mfenor al nivel estndar pu ede que no informen de ello como
un factor incidente; si efec tan habitualmente una tarea qu e deb era ser
sup ervIsa da, pero que nunca lo es, pu ede qu e no recono zcan un pro-
bl ema en esa falta de sup ervisin, etc.
Es probable qu e los factores de la voluntad y la capacidad de informar
combinados, tenga n dos efectos: que no se informe de todos los casi ac~
cidentes y que la calidad de la informa cin acerca de ellos sea insuficiente
~ara identificar prec urso res decisivos. No obstante, el muy considerable
exIto de los m ej ores programas (que veremos en el captulo 7) indica que
sus ventajas sup eran co n mucho estas dificultades_ Parece haber pocas
dudas de que los programas de informes de casi accidentes pu eden cons-
tItUIr una ayuda a la navegacin de inestimable valor.
EL PROCESO DE MEDIDA PROACTIVO: LAS PRIORIDADES
H emos expuesto antes ya las razo nes para realizar evaluaciones regulares
de los pro cesos organizativos qu e subyacen tanto a la seguridad como a
la calidad. Nuestro propsito es ahora exa minar en detalle qu puede me-
dIrSe y los pro~ables benefi cios de invertir ese esfuerzo en cada una de las
posibles reas. Estas figuraban a grandes rasgos en la base del diagrama 1.6
y a continua cin se muestran por separado en el diagrama 6.6. Se trata de
los actos p eligrosos, los factores locales del lugar de trabajo y los factores
organiza tivos. Los tres existen independientemente de que ocurran o no
sucesos adversos. No considero las defensas como una entidad separada a
ca usa de lo estrechamente entretejidas que estn con los factores huma-
nos, locales y orgaruzativos que ya recoge el diagrama 6.6.
A continuacin examinaremos los m ritos relativos de cada tipo de
m edIda proactlVa de pro ceso:
- Actos peligrosos. Los actos peligrosos so n la materia prima de que estn
hechos los accidentes. Las numerosas teoras iceberg de la ca usalidad
de los accidentes presuponen varias - y muy diferentes- ratios entre
sus cifi-as y las de mu ertos y heridos_H ay serios problemas de m edida.
r64
6_ Navegar por el espacio de seguridad
Diagrama 6.6
reas candidatas a la m edicin proa ctiva de procesos, cada una de ellas dotada
de un canal separado y numerado que las conecta al sistema de informacin
sobre la seguridad
Canales
proactivos
~1!~....,..A.C.t.o.s.pe.l.i g.r.os.o.s~""~IIIP'~
Sistema
de informacin
sobre la
seguridad i;
i
~". . . .F.a.ct.o.re.s.o.r.g.al.u.za.t.iv.o.s.d.e.t.ra.b.~.o"~~~~ ~II~~~II~! :
Es casi imposible determinar la cifra real de actos peligrosos que se co-
meten. Lo nico cierto es que es muy alta _M s til que las cifras bru -
tas -ms o m enos incalculables, en cualquier caso- es la informacin
so bre la naturaleza y variedad de los ac tos peligrosos, en particular
cuando viene desglosada por el tipo de actividad desarrollada (vase el
captulo 5). Diferentes actos p eligrosos piden diferentes tipos de ges-
tin (vase el captulo 7). Los errores son , esencialmente, problem as de
procesamiento de la ormacin y requieren un n1.ejor suministro de la
misma, bien en la cabeza de la persona en cuestin, o bien en el lu gar
de trabajo. Los orgenes de las infi-acciones, en cambio, radican en fac-
tores motivacionales, actitudinales, grupales y culturales, qu e deb en
combatirse con contramedidas ms dirigidas al corazn que a la cabeza.
- Factores locales del luga r de trabajo. (,Co rriente arriba de los actos peli-
grosos se encuentran sus prec ursores mentales y fsicos inmediatos,
cosas tales como un deficiente disefio del lu gar de trabajo, una auto-
matizacin chapucera, h errami entas y equipos inadecuados, procedi-
mientos impra cticables, ausencia de sup ervisin efectiva, elevada carga
de trabajo, presin temporal, una formacin y una experiencia inade-
cuadas, horarios intempestivos, un sistema de relevos mal con cebido,
pobre planificacin del trabajo, falta de p ersonal, una percepcin del
ri esgo mal calibrada, un equipo de proteccin del p erso nal inco rrecto,
r 65
La gestin de los g randes ri esgos 6. Navega r por el espacio de seguridad

un trabajo en equipo deslavazado, defectos del liderazgo, etc. Es pro-
bable que su nmero sea m enor que el de los actos p eligrosos que ge-
neran. Por eso son ms fciles de gestionar que la naturaleza humana.
Con todo, n o son ms que expresiones lo cales de problemas organi-
za tivos de alto nivel.
- Factores organiz ativos. Slo en los niveles sup eriores del sistema empe-
zamos a trabar contacto con los tipos de fallos p adres - los procesos
que crean, corriente abajo, los problemas hijos-. Si no cambian, los
esfuerzos por mejorar las cosas a nivel del lugar de trabajo y de los tra-
baj adores sern, en gran medida, estriles. Puede que se rnitiguen los
efectos lesivos de ciertas clases de actos peligrosos y se mejoren algu-
nas circunstancias del lugar de trabajo, pero la existencia ininterrum-
pida de fallos padres en los estratos ms altos de la organizacin har
inevitable que los reemplacen otros tipos de problemas lo cales y hu-
manos. Claramente, por tanto, los factores organizativos representan
el rea prioritaria para la m edicin de procesos. Ahora bien, cmo
seleccionar los procesos que h an de medirse?
Las organizaciones estn h echas de n1.u chos elementos. Si cada ele-
mento fu era del todo independiente del resto slo se podra evaluar la
seguridad general de una empresa midindolos todos individualmente.
Al contrario, si todos los elementos estuvieran estrechamente relaciona-
dos entre s, el estado de cualquiera de ellos ofi-ecera un indicador glo-
bal de la seguridad intrnseca de la organizacin . La realidad se sita en
algn punto entre ambos extremos, probablemente, con los elementos in-
dividuales agrupados de forma modular y parcialmente coincidente. Un
_ Factores tcnicos: por ej emplo, la gestin del mantenimiento, los niveles
de automatizacin, las intelfaces ser humano-sistema, los controles de
ingeniera, el diseo, el hardware, etc.
_ Factores procedimentales: por ejemplo, los estndares, las normas, los con-
troles administrativos, los pro cedimientos operativos, etc.
- Formacin: por ej emplo, los mtodos formales fi-ente a los informales,
la existencia de un departamento de formacin, las habilidades y com-
petencias requeridas para efectuar ciertas tareas, etc.
En el ncleo de todos estos conglomerados, e impregnndolos a todos,
est la cuestin de la cultura. Por el momento, podemos vincular los fac-
tores culturales con las tres ces analizadas ms arriba: compromiso, com-
petencia y conocimiento - pero tal como existen en la organizacin en
su conjunto, no como puedan plasmarse en la m ente de este o aquel alto
directivo-o El diagrama 6.7 resume la imagen de conjunto de las prin-
cipales dimensiones de la medicin de pro cesos.
Diagrama 6.7
Los subsistemas de proceso p rimarios que sub yacen a la seguridad organizativa
Factores especficos
de la seguridad
Formacin Formaci n

reciente estudio sobre varias medidas de pro cesos relacionados con la se-
Factores
guridad identific los cin co amplios conglomerados que se enumeran a cl'! turales
Factores Factores
continuacin 7 : COI11.promiso
procedim entaJes
de gesti n
Competen cia
- Factores especificos de la seguridad: p or ej emplo, la elaboracin de infor- Co nocimiento
mes de incidentes y accidentes, la poltica de seguridad, los recursos y
procedimientos de emergencia, la seguridad fuera del trabajo, etc. Formaci n Formacin

- Factores de gestin: por ej emplo, la gestin del cambio, el liderazgo y la

administracin, la comunicacin, la contratacin y asignacin de per-
sonal, los controles de compras, las incompatibilidades entre produc-
Factores
cin y proteccin, etc. tcnicos

7. J. Reason , The dimensions of safety, en J. Patrick (ed. ), Cogllitille Sciellce Approa- Se apreciar que la form acin se representa co mo un a caracter stica universal ms que co mo
ches to Cognitille COl/tro /, Tercer Congreso Eu ropeo, Cardiff, Unive rsidad de WaJ es, 1991. un conglomerado locali zado de tems relacionados.

r66 r67
La gesti n de los grandes r iesgos 6. Navegar por el espacio de seguridad

El mensaje de este diagrama es muy sencillo: los tipos de pro cesos que
puedan medirse proactivamente variarn much o de un sector a otro; no
obstante, esto no supondr ningn problema siempre que se p reste una
atenci n suficiente y equitativa a los principales subsistem as que susten-
tan la seguridad organizativa. Hay muchas formas posibles de evaluar la ca-
lidad de la formacin, los procedimientos, los elementos de seguridad
fi'uto de ingeniera especfica, etc. Lo importante es que se haga un es-
fuerzo, basado en slidos principios, por muestrear cada una de las seis
dimensiones arriba identificadas: la cultura, la formacin, la gestin, las
cuestiones especficas de la seguridad, los procedimientos y los factores
tcnicos. El propsito de cada ejercicio de m edicin es doble: primero,
identificar los procesos que, en ese momento, suponen mayor motivo de
preocupacin; segundo, realizar un seguimiento de la efectividad de me-
didas correctivas previas. Las mediciones que no vayan a usarse para guiar
la mejora de la fo rma llsica del sistema no merece la pena efectuarlas.
Hemos examinado algunos de los principios mediante los que pueden
lograrse mediciones de la seguridad con buena relacin coste-efectividad.
Efectuar evalu aciones proactivas de los signos vitales del sistema y actuar
a tenor de sus resultados y aplicar inteligentem.ente los informes de casi
accidentes no garantiza que no ocurrirn ms accidentes pero acercar a
la organizacin a la nica meta de seguridad alcanzable: adquirir el m-
ximo grado de resistencia intrnseca a sus amenazas locales y sostenerlo en
el tiem.po. La segunda parte es la ms ardua.
En el prXiITIO captulo pasaremos de los principios orientadores a las
prcticas del mundo real. Los errores humanos suponen la m ayor amenaza
individual para las tecnologas de alta peligrosidad. El captulo 7 ofi:ece una
gua prctica para la gestin del error y pasa revista a algunos de los ins-
trumentos y h erramientas de medida de que disponemos actu almente
para llevar a cabo este propsito.

SON LOS ACCIDENTES REALMENTE NECESARIOS?

La historia muestra que la causa de la seguridad florece en la estela del de-

sastre, aunque slo brevemente. H emos de concluir que h acen falta ca-
tstrofes de la m.agnitud de Piper Alpha, Chernbil o Bhopal para que
polticos y altos ejecutivos entiendan que invertir en seguridad es un buen
negocio? Es que las organizaciones deben despearse por el precipicio
para saber dnde est? Son necesarios los accidentes, incluso los ms pe-
que'ios y frecuentes, para calibrar la efectividad de las medidas de seguri-
dad? Estn condenadas las empresas a luchar contra su incendio ms
reciente o a intentar prevenir su ltimo aparato estrellado? La respuesta
debe ser s -mientras las organizaciones complejas y de alta peligrosi-
dad continen apoyndose principalmente en m edidas de resultados para
navegar por el espacio de seguridad.
Este captulo ha esbozado una alternativa practicable - la evaluacin
regular de los procesos organizativos comunes a la calidad y la seguri-
dad-o Las condiciones latentes que generan accidentes ya estn presen-
tes. N o hace falta esperar a que ocurran sucesos adversos para descubrirlas.
Pero tam.poco podemos tener la expectativa de corregirlos todos de una
vez. Los sisteITlas necesitan formas firm.emente fundamentadas de identi-
ficar los problemas ms urgentes de sus procesos para desplegar sus limi-
tados recursos correctivos a tiempo y de la forma ms efectiva.

168 169
 7
Una gua prctica para la gestin del error

QU ES LA GESTIN DEL ERROR?

LA GESTIN DEL ERROR (error m.anagement, EM) tie"ne dos componentes: la re-
duccin de errores y la contencin del error. La reduccin de errores comprende
las medidas diseadas para limitar que sucedan errores. Como su xito nunca
puede ser total, se necesita tambin la contencin del error -las medidas
diseadas para limitar las consecu encias adversas de los errores que conti-
nen ocurriendo-o En este mbito general, la EM es indistinguible de la ges-
tin de la calidad o, en realidad, de toda clase de buena gestin.
La gestin del error incluye:
- Las medidas dirigidas a minimizar la propensin de un individuo o un
equipo a cometer errores.
- Las medidas dirigidas a reducir la vulnerabilidad al error de determi-
nadas tareas o elementos de tareas.
- Las medidas dirigidas a descubrir, evaluar y a continuacin eliminar los
factores generadores de errores (o de infracciones) localizables en el
lugar de trabajo.
- Las medidas dirigidas a diagnosticar los factores organizativos que crean
factores generadores de errores en el caso de un individuo, un equip o,
una tarea o el lugar de trabajo.
- Las medidas dirigidas a mejorar la deteccin de errores.
- Las medidas dirigidas a incrementar la tolerancia al error del lugar de
trabajo o del sistema.
- Las medidas dirigidas a hacer ms visibles las condiciones latentes a
quienes operan o dirigen el sistema.
- Las medidas dirigidas a mejorar la resistencia intrnseca de la organi-
zacin a la falibilidad humana.

171
 La gestin de los gra nd es ri esgos
PRCTICAS AN TIGUAS PERO CON FRECUENCIA DESENCAMINADAS
La idea de la gestin del error no es nada nu evo. La soga de ahorcar y el
ltigo estuvieron probablemente entre sus primeros instrumentos, p ero la
implementacin de un programa comprehensivo y basado en principios
slidos es algo excepcionalmente raro. La mayora de los intentos de ges-
tin del error son fi'agmentarios m s que planeados , reactivos ms que
proactivos, y los impulsan los sucesos adversos m s que los principios. En
gran m edida, ignoran tambin los sustanciales desarrollos que en los lti-
mos 20 o 30 aos han tenido lugar en las ciencias del comportamiento en
la comprensin de la n aturaleza, diversidad y causas del error humano '.
Entre los problemas asociados con las formas actuales de EM se en-
cuentran las siguientes:
- Combaten contra el error ms reciente en lugar de prever y preve-
nir el prximo.
- Centran su atencin en los fallos activos m s que en las condiciones
latentes.
- Centran su aten cin en el personal ms qu e en la contribucin de la
situ acin al error.
- Se apoyan demasiado en exhortaciones y sanciones disciplinarias.
- Emplean trminos sesgados hacia la culpabilizacin, y esencialmente
sin sentido, como falta de cuidado, mala actitud o irresponsabili-
dad - incluso en la gestin de la calidad total (Total Quality Manage-
ment, TQM)2 .
- D entro de los factores causantes de errores no distinguen adecuada-
mente entre los de carcter aleatorio y los de naturaleza sistemtica.
- Por lo general, desconocen el conocimiento actual sobre factores hu-
manos en lo qu e con cierne al error y la causalidad de los accidentes.
Los ERRORES NO SON CAUSAS SINO CONSECUENCIAS
En el momento de escribir estas lneas tengo ante m un titular de peri-
dico que reza: La causa del siniestro del avin se atribuye al error hu-
mano. Esto confunde ms que aclara. En aviacin, como en todos los
1.]. Reaso n, Hu man Error, Nu eva York, Cambridge Uni ve rsity Press, 1990 [trad. cast.
El error lu ulJaNO, Madrid, Modus Laborandi, 2009].
2. K. Ishikawa, Cuide lo Quali!)' Control, Tokio,Asian Productivity Organization, 1976.
17 2
7- Una gua prctica para la gestin del erro r
sectores, el error humano figura en una provecta lista de causas qu e los
investigadores de accidentes y la prensa usan. Sin embargo, el error hu-
mano es una consecuencia, no una causa . Como hemos visto en los cap-
tulos anterio res, los errores son configurados y provocados por factores
precedentes radicados en el lugar de trabajo y en la organizacin. Identi-
ficar un error es simplemente el comienzo de la bsqueda de las causas, no
su final. El error, ni ms ni m enos que el desastre que pu ede precipitar, es
algo que precisa explicacin. Solamente si comprendemos el contexto que
lo provoc podremos tener alguna esperanza de limitar su repeticin.
Si esto es as, por qu la gente est tan dispu esta a aceptar el error hu-
mano como explicacin, en lugar de COU10 algo que ha de ser explicado ?
La respu esta est profundamente arraigada en la naturaleza humana. Los
psiclogos lo denominan error de atribucin fundal'nentaP.
C uando vemos a, u omos de, alguien que acta mal, tendemos a atri-
buir su conducta a algn aspecto estable de la personalidad de ese indivi-
duo. D ecimos que es descuidado, tonto, estpido, incompetente, temerario
o inconsciente. Pero si preguntsemos a esa persona por qu se comporta
as es casi seguro que nos respondera sealando a la situa cin local y afir-
mando que no tea eleccin -que las circunstancias le obligaron a obrar
as-oLa realidad, por supu esto, se sita en algn punto entre ambos ex-
trenlOS.
EL C ICLO DE INCULPACIN
Por qu estamos tan dispuestos a culpar a las personas antes que a las si-
tuaciones? Parte de la respuesta radica en la ilusin del libre albedro 4, que es
lo que hace del error de atribu cin fundamental algo tan intrnseco a la na-
turaleza humana.
Las personas, esp ecialmente en las culturas occidentales, confi eren un
gran valor a la creencia de qu e son agentes libres, dueilos de su propio des-
tino. Pu eden llegar a enfermar fisica y mentalm ente cuando se les priva de
esa sensacin de autonona personal. Al valorar tanto como lo hacemos esa
sensacin de lib ertad personal, naturalmente suponemos que los dems
tambin controlan sus resp ectivos destinos; les vemos tambin como agen-
tes libres, capaces de escoger entre el bien y el mal, as como entre cursos
3. S.T. Fiske y S. E.Taylor, Social Cogll ilioll, Reading, MA,Addison-Wesley, 1978.
4. H . M. Lefco urt, The fUl1ctiol1 of the illusions of control and fie edo J11, Alllericall
Ps)'c/ologis!, mayo de 1973, pp. 417-425.
173
La gestin de los g randes riesgos 7. Una gua prctica para la gesti n del error

de accin correctos o proclives al error. Cuando a la gente se le da a leer pequeo o nulo, los errores continan estando implicados en incidentes y
informes de accidentes y se le pregunta qu factores causales seran ms accidentes. Entonces los jefes se sienten doblemente agraviados: han ad-
evitables, casi invariablemente seala a los factores humanos; se los ve cama vertido y castigado al personal, pese a lo cual, persiste en cometer errores;
algo mucho menos fijo o constreido que cualquier co ntribucin causal parece que se mofa deliberadamente de la autoridad de la direccin. En
situacional u organizativa. Es esto, unido a la ilusin del libre albedro, lo consecuencia, quienes cometen los siguientes errores reciben admonicio-
que impulsa el ciclo de inculpacin que muestra el diagrama 7.1. nes ms severas y sufren sanciones ms p enosas.Y el ciclo se perpet a.
Por supu esto, las personas pueden comportarse de manera descuidada
y estpida; todos lo hacemos en algn momento. Pero un acto estpido
Diagrama 7.1
o descuidado no convierte a una p ersona en estpida y descuidada. Todo
Los elem.entos del ciclo de inculpacin
el mundo es capaz de un amplio abanico de acciones, geniales en ocasio-
nes, otras veces tontas, pero casi siempre algo intermedio. Uno de los
Las acciones humanas
se ven como las causas principios bsicos de la gestin del error es que el mejor personal puede
menos constreidas cometer a veces los p eo res errores . As pues, cmo em anciparnos del
de los accidentes y, por
ciclo de inculpacin? Debemos admitir los siguientes h echos bsicos sobre
ende, como las m s
evitables. la naturaleza y el error humanos:
- Las acciones humanas estn constreidas casi siempre por factores que
Por qu? Porque se ve se encu entran ms all del control inmediato del individuo.
Los errores se consideran a las personas com o - La gente no pu ede evitar fcilmente acciones que no tena inten cin
ahora incluso ms age ntes libres, capaces
previa de realizar.
culpables, puesto que de elegir entre acciones
parecen ignorar correctas y errneas. - Los errores tien en mltiples causas: factores personales, relacionados
deliberadamente con la tarea, situacionales y organizativos.
admoniciones, sanciones - En el caso de una fuerza de trabajo exp erta, exp erimentada y en gran
y exhortaciones .
medida bien intencionada, las situaciones son ms susceptibles de me-
Dado que los errores se
jora que el personal.
co nsideran intencionados
en parte, atrae n sobre
s la atribucin
de culpabilidad. LAS PERSONAS O LAS SITUACIONES?
Estas medidas son A las acciones
ineficaces y, en consideradas culpables El comportamiento humano est gobernado por la interaccin entre fac-
co nsecuencia, los errores se respond e con
~ admo niciones, sanciones tores psicolgicos y situacionales. El libre alb edro es ilusorio porque las
siguen implicados en los
y exigencias de ser ms circunstancias locales limitan siempre nuestro margen de accin. Esto vale
sucesos adversos.
cuidadoso en el futuro. para los errores igual que para cualquier otra accin humana. Estas afir-
maciones plantean una pregunta cru cial a todos aquellos cuyo oficio es
minimizar los errores peligrosos potenciales: qu es m s fcil de enmen-
dar, la persona o la situacin?
Al considerar a las personas como agentes libres, sus errores se ven, al El sentido comn y la prctica general haran p ensar que se trata de la
menos en parte, como acciones voluntarias. Las transgresiones deliberadas persona. Despus de todo, a una persona se la puede volver a formar, dis-
reciben admoniciones, sanciones, amenazas y exhortaciones a no reincidir, ciplinar, asesorar o advertir de manera tal que se consiga que en el futuro
pero como el efecto de stas sobre los factores generadores de errores es se comporte de forma ms adecuada -o sa es al m enos una creen cia

174 175
La gesti n de los grand es riesgos
muy extendida-oEsta visin de las cosas es especialmente predominante
en aquellas profesiones qu e se enorgullecen de su voluntaria aceptacin
de la responsabilidad p erson al -mdicos, pilotos, ingenieros y simila-
res-o Las situaciones, en cambio, aparecen como algo dado: parece que
tenemos que resignarnos a cmo son. Pero, realmente es esto as?
En realidad, no. La mayora de la opinin cientfica se inclina clara-
mente a favor del enfoque situacional, en lugar del personal, de la gestin
del errors. Hay much as razones para que as sea.
- La falibilidad humana puede moderarse hasta cierto punto, pero no
puede eliminarse del todo. Es una parte constante de la naturaleza hu-
mana, en parte porque los errores, en muchos contextos, tien en una
funcin til (por ej emplo, el aprendizaje por prueba y error en situa-
ciones basadas en el conocimiento).
- Diferentes tipos de errores ob edecen a diferentes mecanismos psico-
lgicos, suceden en partes diferentes de la organizacin y demandan
mtodos de gestin diferentes.
- Los errores que pueden ser determinantes para la seguridad ocurren
en todos los niveles del sistema, no slo en la primera lnea.
- Las m edidas que implican castigos , amenazas, amedrentamiento, peti-
ciones de cooperacin, etc., slo tienen una efectividad lTlUy limitada.
y, en muchos casos, pu eden ocasionar ms p eljuicios que beneficios
- a la moral, al respeto por uno mismo y al sentido de la justicia.
- Los errores son producto de una cadena de causas donde los factores
psicolgicos precipitantes - una momentnea falta de atencin, un
error de juicio, un fallo de memoria, una preocupacin absorbente-
suelen ser los eslabones finales, y los ms difciles de gestionar, de la ca-
dena.
- La evidencia pro cedente de nUlTlerosas investigaciones de accidentes
indica que los episodios adversos son ms a m enudo resultado de si-
tu aciones y actividades pro clives al error que de perso nas propensas al
error. Por supuesto, esas personas existen, pero raramente p ermanecen
mu cho tiempo en la peligrosa primera lnea. Con bastante fi'ecuencia,
se las asciende a puestos directivos.
5. D. Meister, Human error in man- mac hine sys tems, en S. Brown y J. Martin (ed.)
HI/I/lnfl Aspals oj 1\IIal/ -Mane S)'slems, Milton Keynes, The Open Ull.iversity Press, 1977,
pp. 299-324.Vase tambin el artculo de S. C. Brown en elITllsmo volumen (pp. 44-53).
7- Una gua prctica para la gestin de! error
UNA VISIN DE CONJUNTO DE LA CAJA DE HERRAMIENTAS
DE LA GESTIN DEL ERROR
No entra dentro del alcance de este libro ofi"ecer una revisin definitiva
de todas las tcnicas disponibles directa o indirectamente relacionadas con
la gestin del error -en el sentido ms amplio del trmino-o No me
ocupar, por ejemplo, de muchas medidas que han evoluclOnado a lo largo
de los aos y cuyo uso es hoy muy amplio, como la seleccin, la fonTla-
cin la concesin de licencias y certificados, la evaluacin de habilidades,
la g~stin de recursos humanos, el seguimiento y la auditora de la. cali-
dad, las auditoras de la seguridad tcnica, las auditoras de actos p eligro-
sos, los sistemas de gestin de amenazas, los procedimientos, las listas de
comprobacin, las normas y regulaciones, los controles administrativos
(por ej emplo, los sistemas de p ermisos para iniciar trabajos), la TQM, etc.
Tampoco examinar instrumentos pertenecientes pnnCIp almente al te-
rreno de los ingenieros y los especialistas tcnicos en fiabilidad , como la
evaluacin probabilstica de la seguridad (probabilistic saJety assessment, PSA) ,
los anlisis basados en rboles de fallos y eventos, el anlisis de la fiabilidad
humana (human reliability analysis, HRA), el anlisis del error humano ~~uman
error analysis, HEA), los estudios del riesgo y la operabilidad (haz ard operabi-
lity studies, HAZOP) , los anlisis del modo y los efectos del fallo (failure modes
and effects anal}'sis, FMEA) y medidas similares. No es que consldere que estas
tcni cas no son importantes -por el contrario, constituyen una parte
esencial de la caja de herramientas del gestor de la seguridad-, pero ya
han sido extensamente analizadas en varios excelentes libros recientes .
6
Aqu concentraremos nuestra atencin en aquellas tcnicas de EM di-
rectamente relacionadas co n los temas analizados a lo largo de este libro,
y muy en especial con las m edidas que siguen los principios de evaluacin
de la seguridad expuestos en el captulo 6. Albergo la esperanza de que lo
que la seleccin resultante pu eda adolecer en cuanto a falta de amplitud
lo compense su novedad y su utilidad prctica. La gestin comprehenslva
del error puede y debera dirigirse a varios niveles diferentes de la orga-
nizacin -el individuo y el equipo, la tarea, el lugar de trabajo y los pro-
6. E. H ollange!, HI/l"ll an R eliabi/if)' A I/al)'sis: COl'ltexl (J1l.n Control, Londres, Academic
Press 1993. Center for C hemical Process Safety, CI/inelines jor Pre/Jenll/lg Hl/l1l an Error 111
Proce;s Scifet)', Nueva York, Center for C hel1l.ical Process Safety of the American Institute
of C hel1l.ical Engineers, 1994 . B. Kirwan, A CI/ine lo Practical HI/I/Jal/ R elwbJil ly Assess1'llent,
Londres, Taylor & franci s, 1994. A. 1. Glendon y E. F. M cKell.na, HI/lll al'l. Sajet)' afln R1Sk
i\llmwgel/lel/t, Londres, C hapm an & Hall, 1995 .
177
 7. Una gua prctica para la gesti n del error
La gesti n de los grandes riesgos

cesos organizativos- . Como sealamos antes, muchas organizaciones ya Tabla 7.1

Resumen de herramientas de gestin del error
orientan la mayora de sus recursos de EM h acia el individuo. Por esta razn,
y por consistencia con el acento que este libro pone en los factores COn- Reactivo-proactivo
Herramientas de Sectores originales Niveles organizativos
textuales, ms que personales, no profundizaremos ms en las medidas de gestin del error de aplicacin a los que va dirigido
carcter individual. Tampoco nos ocuparemos de las medidas relativas a , Proactivo'
'ipod-Delta Exploracin y Factores del lugar
los equipos -han sido analizadas ya con gran amplitud en otras obras-o produccin petrolfera. de trabaj o y de la
Transporte martimo organjzacjn
Durante los ltimos quince aos las grandes aerolneas han formado a sus
Operaciones Factores del lu gar de Proactivo
pilotos -y, ms recientemente, a sus ingenieros de mantenimiento- en Review
ferroviarias trabajo y de la
gestin de recursos de tripulacin (crew resources managel'nent, CRM), o ges- o rganizacin
tin de recursos de cabina. Esta tcnica ha tenido mucho xito en la me- Ingenjera de gestin Mantenimiento de Factores del lugar de Proactivo
jora de la actuacin de los tripulantes , en particular en lo referente a de la salud y la aero naves trabaj o y de la
seguridad (MESH) organjzacin
compartir mejor la conciencia de la situacin, a la mejora de las comuni-
Lecrllca de evaluacin Potencialmente Factores de la tarea , el Proactivo
caciones y a la potenciacin de las habilidades de liderazgo. No obstante, y reduccin del error aplicable a todas las lugar de trabajo y la
las tcnicas de CRM, sus puntos fuertes y sus dbiles, han sido ya obj eto de humano (HEART) operaciones peligrosas organizacin

varios libros recientes y, por lo tanto, no ahondar ms en ellas aqu 7 . Potencialmente Factores de la tarea, el R eactivo y proactivo
Metodologa del
diagrama de influencia aplicable a todas las lugar de trabaj o y la
Esto nos deja slo tres niveles que considerar: la tarea, el lugar de tra- operaciones peligrosas organizacin
(IDM)
bajo y la organizacin. En el captulo 5 describ una tcnica para identi- Mantenimjento de Factores de la tarea, el Reactivo
Ayuda a la toma
fic ar los pasos proclives al error en tareas de mantenimiento, por lo que de decisiones sobre ae ronaves lu gar de trabajo y la
organizacin
no la repetir aqu.Y esto nos lleva a las principales reas de anlisis: las he- errores de
mantenimiento (MEDA)
rramientas reactivas y proactivas diseadas para revelar y corregir los fac- R eactivo
Tripod-Beta Exploracin y Factores de la tarea, el
tores generadores de error tanto al nivel del lugar de trabajo como al de produccin petrolfera lugar de trabaj o y la
la organizacin. La tabla 7.1 resume las m edidas que examinaremos. organizacin

En las descripciones que siguen a continuacin examinaremos Tri-

pod-Delta con m s detalle que los otros instrumentos proactivos de me-
di cin de procesos. Existen para ello diversas razones:
- Es el ancestro tanto de Review como de MESH . Como tal, encarna
todos los principios que subyacen a las tcnicas posteriores .
- Lleva en uso ya varios aos, por lo que sabemos m s de sus puntos
fuertes y dbiles que en el caso de otras tcnicas.
- Ha sido puesto a prueba en una amplia variedad de continentes, cul-
turas y operaciones, desde Norteam rica y el norte de Europa, pa-
sando por Oriente Medio y fi:ica, hasta el sudeste asitico y Australia.
Tambin ha sido aplicado con xito en instalaciones m artimas.
TRIPOD-DELTA
Un equipo de investigacin conjunto de las universidades de Leiden y
Manch ester cre Tripod-Delta para las operaciones de exploracin y pro-
duccin petrolera de Shell Internacionale Petroleum M aatschappij (hoy
Shell International Exploration and Production BV)8. El proyecto Tripod
comenz en 1988. La tcnica se desarroll en varias compaas de opera-
ciones de Shell entre 1989 y 1992. La primera versin fue editada para
toda la Shell en 1993, y la actual versin revisada -conocida ahora como
Tripod-D elta para distinguirla de su pariente prximo,Tripod-Beta- fue
puesta en circulacin en 1996 .

7. E. Wiener, B. Kanki y R . H ehnreich, C rew Resollrce Mm"/agel'/'lent, Nu eva York,Aca-

8. P. Hudson,]. Reason,W.Wagenaar, P. Bentley, M . Primrose y].Visser, Tripod-Delta:
dem.i c Press, 1993. N.]ohnston, N. M cDonald y R. Fuller, Aviation Ps)'cholog)' in Practice,
proactive app roach to enhanced safety, journol 01 Petrole/./ll/ Technolog)', 40,1994, pp. 58-62.
AJdershot, Avebury, 1994.
179

La gestin de los grandes ri esgos
Tripod-Delta tiene tres elementos:
- Una filosofa de la seguridad coherente que conduce al establecimiento
de objetivos de seguridad alcanzables.
- Una manera de pensar integrada sobre los pro cesos que perturban las
operaclOnes seguras.
- Un conjunto de instrumentos para medir estos pro cesos perturbado-
res - denominados tipos genricos de fallo (genera lJailure type, GFT)-
que no dependen de las estadsticas de incidentes o accidentes (es decir,
de medidas de resultados).
Durante el desarrollo de Tripod-Delta, la principal magnitud de la se-
guridad que empleaba Shell era la tasa de accidentes que ocasionaron pr-
didas de jornadas de trabajo por milln de horas/ hombre de trabajo. El
principal objetivo del program a Tripod era la reduccin de los acciden-
tes con prdida de j ornadas de trab;0o (Lost-time iryuries, LTI) . No obstante,
Tripod-Delta no pretenda reducir los LT I directam ente, sino que operaba
un nivel ms arriba, al apuntar a los tipos genricos de fallo, esto es, a los
factores situacionales y organizativos qu e provocaban los LTI. La filo sofa
subyacente puede resumirse del siguiente modo:
- La gestin de la seguridad es esencialmente un problema de control or-
ganizativo.
- La clave radica en sab er qu es controlable y qu n o lo es.
- Los actos peligrosos, los LTI y los accidentes so n engendrados por la
unin de dos conjuntos de progenitores: los tipos genricos de fallo
(vase ms adelante una descripcin completa) y los fac tores desenca-
denantes locales.
- Sin embargo, slo uno de ellos puede conocerse por adelantado y, por
ende, es potenciah11ente corregible antes de causar daI10, a saber, los GFT,
-
las condiciones latentes asociadas a pro cesos organizativos concretos.
Los LTI son como mosquitos. Es intil intentar acabar con ellos uno a
1 Inspeccion ar
uno. Sencillamente, otros ocupan el lu gar de los eliminados. La nica
solucin a largo plazo es drenar los pantanos donde se reproducen
-esto es, los tipos genricos de fallo.
- Una gestin efectiva de la seguridad depende de la m edicin regular
y la correccin selectiva de los GFT. Los instrumentos de Tripod-Delta
estn diseI1ados para guiar este proceso.
Tripod toma su nombre de la estru ctura tripartita que muestra el dia-
gram a 7.2, que resume tambin los elementos principales de la filosofa
1 80
7. Una gua prctica para la gesti n del erro r
que subyace a Tripod-Delta . La pata,) inferior der:cha del diagrama 7 .2
representa la preocupaci n tradicional de la .gestlOn de la segundad: la
realizacin de actos peligrosos en circunstanCIas peligrosas. En ocaSlOnes
estos actos traspasan las defensas y causan resultados adversos. En el pasado,
la mayora de las medidas correctivas iban dirigidas a la dos patas infe-
riores. Se hicieron enrgicos esfuerzos por formar y motivar al person al
para que trabajase de for ma segura, las defensas fueron inspeccionadas y
mejoradas con regularidad y se investigaron los sucesos adversos p a r~ eVI-
tar qu e volvieran a su ceder.Tripod-Delta aI1ade una tercera dimenslOn, de
la mxima inLportancia : la medicin y control de los GFT, a los que se Iden-
tifi ca, en parte, a partir de las condiciones latentes recurrentes unidas a su-
cesoS anteriores (indicado en el grfico por la flecha que une los sucesos
con los GFT). stos, a su vez, crean las condiciones que fomentan o exa-
cerban los actos peligrosos (indicado en el grfico p or la flecha qu e une
los GFT con los actos peligrosos). Veremos la naturaleza, la m edicin y el
co ntrol de los GFT un poco ms adelante.
Diagrama 7.2
Las tres "patas de Tripod-Delta: tipos genricos de fallo, actos peligrosos,
resultados negativos
T ip os ge nri cos
de fallo
,1
'1
y m ej ora r
I
incide ntes,
prdidas
Defensas
Ta mbin se id entifica n las acciones de gestin de la seguridad necesar ias en cada etapa. La ms
importan te de todas es la med icin y control de los CFT.
181
La gestin de los grandes ri esgos
Tras observar operaciones en varias compaas de op eraciones y estu-
diar sus registros de accidentes, se escogieron 11 GFT como los que mejor
reflejaban los factores del lugar de trabajo y organizativos con mayor pro-
babilidad de contribuir a que se cometieran actos peligrosos y, en conse-
cuencia, de causar LT I. La lista es la siguiente:
- Hardware. Incluye todo lo relacionado con la calidad y disponibilidad
de herramientas y equipo. Sus componentes principales incluiran las
polticas y las responsabilidades sobre las compras, la calidad del sis-
tema de almacenaje, la calidad de los suministros, el robo y extravo de
equipo, el alquiler a corto plazo, el cumplimiento de las especificacio-
nes, la edad del equipamiento, el uso heterodoxo de ste, etc.
- Diseo. El diseo se convierte en GFT cuando conduce directamente a
que se cometan errores e infiacciones. Hay tres clases principales de
problemas: la incapacidad del diseador para aportar orientacin ex-
terna (abismo de conocimiento), la frecuente opacidad para el opera-
dor del funcionamiento interno de los objetos diseados, as como del
abanico de acciones que es seguro efectuar con ellos (abismo de eje-
cucin), y el hecho de que los objetos diseados no procuren infor-
macin de retroalimentacin a su usuario (abismo de evaluacin).
- Gestin del mantenimiento. Este GFT se preocupa de la gestin, ms que
de la ejecucin de las actividades de mantenimiento (comprendidas
en otros GFT). Se planific el trabajo para que fu era seguro? Origin
el trabajo de mantenimiento, o la parada a l asociada, algn tipo de
peligro? Se llev a cabo el mantenimiento a su debido tiempo?
- Procedimientos. Atae a la calidad, precisin, relevancia, disponibilidad
y factibilidad de los procedimientos.
- Circunstancias capaces de forzar un error. Se refiere a circunstancias rela-
cionadas con el lugar de trabajo o con el individuo que pueden indu-
cir actos peligrosos. Pueden dividirse en dos amplias categoras que,
hasta cierto punto, se solapan: las circunstancias que promueven erro-
res y las circunstancias que promueven infraccion es. Como muestra el
diagrama 7.3, las circunstancias que fu erzan la comisin de errores re-
ciben la influencia de numerosos G FT corriente arriba de la organi-
zacin.
- Gobierno domsco ~10usekeepil1g). Constituye un GFT cuando los pro-
blem as llevan presentes mucho tiempo y varios niveles de la organi-
zacin son conscientes de ello, pero nada se ha hecho para corregirlos.
Sus influencias corriente arriba incluyen: una inadecuada inversin,
7. Una gua prctica para la gesti n del error
insuficiente personal, incentivos insatisfactorios, una deficiente defi-
nicin de las responsabilidades o un equipo flsico pobre.
_ Objetivos incompatibles. Los conflictos de obj etivos pueden ocurrir en
cualquiera de estos tres niveles:
Conflictos de objetivos individuales causados por alguna preocupa-
cin o por asuntos domsticos .
Conflictos de objetivos grupales, cuando las normas informales de un
grupo de trabajo son incompatibles con los objetivos de seguridad de
la organizacin.
Conflictos en el nivel organizativo, cuando h ay incompatibilidad
entre los objetivos de seguridad y los de produ ctividad.
Comunicaciones . Los problemas de comunicacin pueden clasificarse
dentro de tres categoras:
Fallos sistmicos consistentes en que los canales de comunicacin
necesarios no existen, no funcionan o no se los usa regularmente.
Fallos de m ensaj e, en que los canales existen, pero la informacin
necesaria no se transmite.
Fallos de recepcin, en que los canales existen y los mensajes se en-
van, pero el receptor los m.alinterpreta o llegan dernasiado tarde.
_ Organizacin. Se refiere a las deficiencias de organizacin que desdIbu-
j an las responsabilidades en relacin con la seguridad y hacen posIble
qu e se pasen por alto las seales de advertencia. Sus tres. componentes
principales son la estructura organizativa, las responsabilidades orgarn-
zativas y la gestin de la seguridad de las subcontratas.
_ Formacin. Esta clase de problemas incluye el no ser capaz de com-
prender las n ecesidades de formacin, la insuficiencia de la fOl~macin
con respecto a lo que las op eraciones requieren, la obstruCClOn de la
formacin, la insuficiente evaluacin de los resultados, una combma-
cin desafortunada de trabajadores con y sin experiencia, un anlisis
defici ente de las tareas, la inadecuada definicin de las competencias
necesarias, etc.
_ Difensas. Comprende los fallo s en la deteccin, la alerta, la proteccin
del personal, la recuperacin, la contencin, la evacuacin y el rescate.
Las evaluaciones Tripod-Delta de cualquier tipo de op eracin con-
creta (por ejemplo, la peI{oracin, la exploracin sismolgica, la. ingenie-
ra, el transporte por carretera, el transporte martimo, etc.) denvan de la
aplicacin de listas de comprobacin basadas en indicadores -o snto-
mas- especficos de la presencia y grado, de GFT. Estos mdIcadores se ob-
1 83
La gestin de los grandes ri esgos 7. Una gua prctica para la gestin del erro r

Diagram_a 7 .3 -Estn situadas las vlvulas de corte a una altura superior a los 2 metros?
Las relaciones entre procesos sistmicos bsicos y tipos genricos de f.111o, y el -Se han sealizado las conducciones con un c digo estndar (el de la
impac to combinado de dichos GFT en las circunstancias que fu erzan los errores compa11a) ?
Procesos GTF
- Hay en es ta plataforma puntos donde las cubiertas y las pasarelas estn
a diferente altura?
Establecimiento de obj etivos Objetivos inco mpatibles
I -Ha habido que efectuar durante la semana previa ms de dos opera-
Organizacin Deficiencias organizativas ciones de mantenimiento no programadas?
Gestin Comunicaciones deficientes -Salen m alos olores del sistema de ventilacin a baj a presin?

Diseo Fallos de diseI'io Expertos en determinada tarea, con una experiencia profesional sinu-
D efe nsas insuficientes lar, crean los indicadores. El software de Tripod-D elta, implementado en un
Construccin Fallos de hardware ordenador p ersonal, almacena las bases de datos de los indica dores (una

Funcionamiento
D efe nsas insuficientes
Formaci n deficiente
Procedimientos inadecuados
--i~
,I por cada GFT y cada tipo de op eracin) y construye el instrumento de
lnedida para cada comprobacin que se requiera seleccionando 20 indi-
cadores para cada GFT y generando con ellos una lista de comprobacin
Gobierno domstico pobre C irCllllstanc ias
aptas para forzar de 220 tems que un nuembro de la fu erza de trabajo (por ej emplo, un su-
M antenimiento Formacin deficiente
la comisin de pervisor de pel{oracin) debe cumplimentar. Slo una pequea porcin
Procedimientos inadecuados --l ~
errores
Pobre gestin del de tems se repite entre una lista y la siguiente. El formulario del listado
mantenimi ento puede contestarse en pantalla o sobre papel. Una vez com.pleto, el software
analiza los datos y genera un perfil de estado de fallo -un grfi co de ba-
rras- qu e mu estra el grado relativo de preocupac in que inspira cada
tienen directamente de especialistas en cada una de las actividades y ta- uno de los 11 GFT (vase el diagrama 7.4). En particular, identifica los dos
reas concretas, es de cir, de quienes es tn im_plicados diariamente en su o tres GFT qu e ms n ecesitan de atencin inmediata. El software analiza
gestin y operacin. Quienes tienen experiencia directa de un tipo par- tambin las tendencias a lo largo del tiempo y archiva los datos de mu -
ticular de trabajo poseen un conocimiento vital (y habitualmente sin ex- chos lugares. Las sesiones de comprobacin Tripod-Delta suelen realizarse
plotar) de lo que es seguro y lo que es peligroso hacer en l.Tripod-Delta trimestralmente; si bien esto se puede modificar para acomodarse al ritmo
ha sido co nfeccionado especficamente para que sean ellos mismos quie- de cambio de cada lugar de operaciones concreto.
nes lo usen, asegurndose as de que vean la informacin que proporcio- La clave del uso de Tripod-Delta radica en gestionar los perfiles en
nan como relevante para su trabajo. Esto significa qu e quienes efectan el lugar de los indicadores individu ales. stos son meros sntomas y, por lo
ncleo de la actividad so n tambin quienes construyen estos instrum_en-
tanto, corregirlos individualmente raramente cura la enfermedad sub-
tos y los tienen en sus manos.
yacente. La tarea de los gestores de reas estratgicas y operativas consiste
Cada indicador se refiere a un tem tangible -algo que puede obser-
en revisar los p erfiles de estado de fallo para sus respectivas reas y plani-
varse directamente en las instalaciones o encontrarse en el sistema de ar-
ficar e implementar acciones correctivas para los dos o tres p eores GFT
chivo de informacin- sobre el qu e hay que responder simplemente con
se11alados en cada operacin de comprobacin. La gestin de la seguridad
un sh) o un no. A continuacin, a modo de ej emplo, ofi-ezco una lista
comporta as una mejora proactiva consta nte de los procesos causales sub-
de algunos tems indicadores relacionados con el dise110 de una plata-
yacentes en lugar de arreglos) reactivos dirigidos a prevenir el ltimo ac-
forma de explotacin de hidrocarburos en alta mar:
cidente ocurrido.
- Esta plataforma, fue diseada originalmente para funcionar de forma D ebera advertirse asimismo qu e slo uno de los GFT - las defensas-
automtica? est especfi cam ente conectado con la seguridad. Los restantes tienen que
La gestin de los grandes riesgos 7. Una gua prctica para la gestin del error

Diagrama 7.4 su atencin en los factores humanos y organizativos que afectan a las prc-
Un perfil d e estado de fallo Tripod-Delta qu e identifica los tres GFT
ticas de trabajo seguras; en su funcionamiento, va de abajo arriba: se crea
que ms n ecesitan ser mejorados en el futuro inmediato (en este caso,
procednientos, objetivos incompatibles y comunicacin)
en el lugar de trabajo usando el conocimiento de oficio de los especialis-
tas en la tarea y es descriptivo -esto es, dice cmo es realmente el mundo,
Motivos de preocupacin, tal co mo revelan las no cmo debera ser- y deliberadamente no comprehensivo: muestrea
puntuaciones de las listas de comproba cin solamente un nmero limitado de las dimensiones posibles de la salud de
Tipos genricos de fallo la seguridad. En una palabra, cada proceso potencia y complementa el
Hardware otro. El objetivo es que los dos trabajen en paralelo.
Diseo Las ms
Gestin del mantenimiento ,-, necesitadas de
Procedimientos , - correccin
I
REVIEW y MESH
Circunstancias capaces de forza r '-'
un error
Gobierno dom s ti co Aunque se aplican en sectores diferentes, es oportuno examinar conjun-
Objetivos incOlnpatibles
Organizacin
Comunicacin
:1: J ' ,,
I
tamente Review10 y MESH II porque ambos se guan por los mismos prin-
cipios fundamentales y usan el nsmo mtodo de evaluacin. Estos
Formacin '-' instrumentos son los descendientes naturales de Tripod-Delta, si bien para
Defensas medir el impacto adverso de las condiciones latentes usan escalas de opi-
nin en lugar de indicadores. Los dos fueron desarrollados por la Uni-
o 5 10 15 20
versidad de Manchester -en colaboracin con British Rail Research y
Nmero de indicadores a los que se ha respondido
en un sentido "preoc upante (20 tems por cada GFf)
British Airways Engineering respectivamente- a comienzos de la dcada
de los noventa y llevan ya varios aos en uso. Como seala la tabla 7.1, Re-
view investiga los factores locales y organizativos que afectan a la actua-
cin humana en operaciones ferroviarias, en tanto que MESH evala las
ver con procesos generales que cimentan tanto la calidad como la segu-
ridad. Por eso el perfil de estado de fallo constituye una parte importante mismas cuestiones en el contexto del mantenimiento de aeronaves.
Los indicadores Tripod-Delta tienen muchas ventajas obvias: son ob-
de la caja de herramientas de cualquier gestor estratgico u operativo. La
servables directamente, es bastante dificil que las inclinaciones o sesgos de
seguridad no es un aadido .
quien contesta el cuestionario influyan en sus respuestas y tienen validez
Existe una estrecha sinergia entre Tripod-Delta y los tipos de sistemas
tanto de contenido como formal, esto es, por un lado, estn directamente
de gestin de la seguridad que las compaas de exploracin y produccin
relacionados con los GFT individuales de un contexto operativo particular
petrolfera han venido desarrollando en respuesta al Inform.e Cullen sobre
y, por otro lado, cualquier usuario especialista puede considerarlos rele-
el desastre de la plataforma Piper Alpha9 Un sistema de gestin de la se-
guridad proporciona las estructuras administrativas necesarias para im- vantes para las cuestiones locales significativas para sus tareas correspon-
dientes (ya que los indicadores fueron generados por agentes idnticos a
pulsar buenas prcticas de seguridad; se centra en los factores tcnicos y
ellos). Pero no carecen de problemas: crear una base de datos de indicado-
de gestin asociados con los peligros; funciona de arriba abajo, liderado
por la gestin; es prescriptivo y normativo, es decir, enuncia como debe-
ran ser las cosas; comprehensivo como es, abarca todas las amenazas del
10.]. Reason, R eview. I. OlJeflliew. 11. Theor)', Derby, British Railways Board, 1993.vase
sistema y los requisitos para su gestin. De otro lado, Tripod-Delta centra tambin, S. Tozer, Reviel.l!, Su mlrlar)' of Pilol Study, Londres, Railtrack Safety & Standards
Dlrectorate, 1994. D ebe sealarse que Railtrack ha cambiado recientemente el nombre de
Review por el de Target.
9. The Han. Lord Cullen, PlIblic inq/./ir)' il'llo the Piper A lpha Disasler, Department of 11.]. Reason, ComprehensilJe Error Management il'lAircrcift Engineering:A Ma/'Iager's Cuide,
Energy, Londres, HMSO, 1990. London Heathrow, British Ailways Engineering, 1995.

r86
La gesti n de los grand es ri esgos
res es un pro ceso largo, caro e intensivo en trabajo. Adem s, aunq ue se
asume que todos los tems de la rela cin de indicadores de un GFT poseen
acerca del estado de ste la rnisma capacidad diagnstica, no sien"lpre es
as en la prctica: algunos tems pueden discriminar m ejor qu e otros el es-
tado de la situaci n; otros pu eden adolecer de efectos techo o suelO
-es decir, recibir siempre la nusma respuesta, sea s o no , y por tanto
ap ortar escasa informacin.
Por estas y o tras razo nes, tanto Review co mo MESH emplean escalas
subj etivas de cinco puntos en lugar de indica dores obj etivos s o no.
Mu ch os ingeIueros nuran con desco nfianza toda cifra que no sea fcil de
precisar hasta cuanto m enos u n par de decimales, p ero es ta actitud no
siempre aprecia qu e estas escalas basa das en meras impresiones explotan
un talento natural humano: a los seres humanos se nos da muy bien esti-
mar las frecuencias relativas de tipos particulares de sucesos -empleando
para ello una escala de m edida o rdinal, ms que intervalo continua-;
codificamos automticam ente, sin esfu erzo consciente, los datos sobre la
frec uencia con que algo ocurre. C uando estas estimaciones ordinales de
la fi'ec u encia de ciertos sucesos se comparan con la realidad (c uando sta
es conocida) los coeficientes de correlacin se sit an en torno a, o por en-
cima de +0,9 .
Los problem as definidos con cla ridad no son sucesos distintos a los
dems y su frecuencia se pu ede estimar delnusmo modo. Tanto R eview
como MES H piden a especialistas en tareas concretas -personas que, de
hecho, llevan a cabo directam ente el trabajo correspondi ente, o bien ges-
tores de primera lnea- qu e estimen, sobre una escala de 1 (nunca o casi
nunca) a 5 (muy a m enudo) , con qu e frecuencia han afectado negativa-
mente a su trabajo determinados tipos de problemas organizativos o del
lugar de trabajo en el curso de un periodo de tiempo breve, claramente
delinutado, o en rela cin co n un nm ero redu cido de tareas concretas .
Otro mo tivo de preocupacin para las perso nas formada s en las cien-
cias duras es su conviccin de que estas escalas son m uy susceptibles a los
sesgos subj etivos. Los descontentos, piensa n, usarn las escalas como un
pretexto para qu ejarse, nuentras que las personas en el extremo opuesto del
esp ectro afirmarn qu e todo va de la m ejor manera en el nlejor de los
mundos posibles; y ninguno de los dos informar de la realidad. Esas per-
sonas ciertamente existen , por supu esto, p ero las ciencias del comporta-
nuento lleva n m s de un siglo enfi"entndose al problem a de la subj etividad.
Una soluci n co nsiste en agregar los datos procedentes de un eleva do n-
m ero de personas a fin de generar, en cualquier momento dado, una ima-
188
7 Una gua prctica para la gesti n del error
gel: promedio. AS, las visiones sesgadas de uno y o tro signo se compensan
recIpro ca m ente. Adems, este m todo ayuda a preservar el anoIumato de
quienes responden (vase el captulo 9 para una discusi n ms extensa de
los requisitos necesarios para conseguir una cultura que informacin de los
problemas <9usta o nnimamente culpabilizadora).
R eview evala 16 facto res de problem as ferroviarios (rai[way problernJac-
tor5, I,"PF) seleccIO nad~s sobre la base de extensos estudios de campo. Las
evaluaCIOnes las efectuan regularmente (la periodicidad va ra en func in
de la localizacin) m ediante un program a informtico, sup ervisores de
dIferentes ac tIVIdades y lugares a los que se pide qu e estimen en qu m e-
dIda cada uno de esos RPF ha constituido un probl em a en el mbito de su
trabajo durante el ltimo p eri odo contable. El programa analiza y archiva
los datos por localizacin y por tarea. Los 16 factores se enumeran a con-
tinuaci n:
- H errami entas y equipami ento.
- Materiales .
- Supervisin.
- Entorno de trabajo.
- Actitudes del p ersonal.
- Gobierno domstico.
- Co ntratistas.
-Diseo.
- Comll1ucacin entre el p erso nal.
- Comll1ucacin entre departamentos.
- Asignacin de personal y distribu cin de tareas .
- Formacin.
- Plaluficacin.
- Normas.
- Gestin.
- M anteninuento.
Mientras qu e las operaciones ferroviarias se distribuyen a lo larao de
miles de kilmetros de vas, las actividades de la ingeniera aeronutic: sue-
len conc~ntrarse en un conglomerado centraliza do de talleres, hangares y
Oficll1as. Este era CIertam ente el caso de British Airways Engineering en
H~athrow c uando se desarroll MESH, que, por ello, pudo co nfigurarse con
mas dIverSIdad que R eview: diversos tipos de p ersonal evaluaban fa ctores
t~nto locales como orgaIuza tivos y si bien los primeros diferan entre los
dIStll1tos lugares de trabajo (hanga res en lnea, reas de m anteIumiento en
 7. Una gua prctica para la gesti n del error
La gesti n de los grandes riesgos

- Molestias e inconvenientes.
base, talleres y oficinas de evaluacin de condiciones para el vuelo, etc.) se
- Elementos de seguridad del p erso nal.
midieron los mismos ocho factores organizativos en toda la organizacin:
Review y MESH (como Tripod-Delta) sintetizan las evaluaciones en
- Estru ctura organizativa.
diagramas de barras. En MES H, por ej emplo, cada evaluador ve primero el
- Gestin de personal.
diagrama de sus propias valoraciones y a continuacin el de los valo-
_ Suministro y calidad de herrami entas y equipo.
res medios de su lugar de trabajo a lo largo de las cuatro semanas previas .
- Formaci n y seleccin.
Al igual que en el caso de Tripod-Delta, el prop sito de estos perfiles es
- Presiones comerciales y operativas.
identificar los dos o tres factores m s necesitados de correccin y seguir
- Planificacin y program acin temporal.
su evolucin en el tiempo.
- M antenimiento de edificios y equipo.
D ebe subrayarse qu e el xito de tc nicas como Tripod-Delta, R eview
- Comunicacin.
y MESH depende de forma crucial de que los evaluadores perciban que la
Son gestores tcnicos -personal situado en la intelfaz entre el sistema gestin acta basndose en sus valoraciones. La direcci n deb e mantener
en su conjunto y sus lugares de trabajo concretos- quienes realizan men- a la fuerza de trabajo continuamente informada de los progresos de las ta-
sualmente (en ocasiones trimestralmente) las estimaciones de los factores reas de correccin. Si se percibe que no se hace nada, se esfuma todo in-
organizativos. En cambio, las evaluaciones de los factores locales las llevan centivo para aportar evaluaciones y el sistema muere.
a cabo entre el 20 y el 30% de la fuerza de trabajo directamente involu-
crada en las operaciones en la localizacin correspondiente. Los evalua-
dores se seleccionan aleatoriamente y efec tan sus estudios regularmente, TCNICA DE EVALUACIN Y REDUCC IN
por lo general, cada semana, pero en algunos casos con un intervalo mayor, DEL ERROR HUMANO (HEART)

directamente en un ordenador, moviendo el cursor con el ratn a lo largo

HEART fue desarrollado por Jeremy Williams, un ergnomo britnico con
de una escala de valoracin. Las respu estas son annimas; quien contesta
amplia experiencia en muchas tecnologas de alta peligrosidad. Su aplica-
identifica nicamente su rango, su oficio y la localizacin donde trabaja.
cin detallada ha sido minuciosamente descrita en otro lugar 12 En esta
En cada evaluacin, el program a de MES H pide a quienes responden que
seccin esbozaremos sus caractersti cas b sicas, describiremos de qu
evalen en qu m.edida cada uno de una serie de factores lo cales han
modo pueden ordenarse las circunstancias gen eradoras de error en fun-
constituido un problema en el caso de un nmero limitado de tareas con-
cin de su grado relativo de influencia y presentaremos un aspecto nu evo
cretas o dentro de un periodo de trabajo dado (por ejemplo, un da en
-un modo fundamentado de evaluar el imp acto de varios factores in-
particular) . A continuacin se enumeran los factores locales definidos para
ductores de infraccio nes (violation-producing conditions, vpc) sobre la pro-
el mantenimiento en lnea:
babilidad de que una persona se desve de los procedimientos operativos
- Conocimientos, habilidades y experiencia. seguros.
- M oral de trabajo. HEAJU ofi.ece un conjunto de tipos de tareas gen ricas junto con sus
- H erramientas, equipo y piezas. probabilidades nominales de error asociadas (vase la lista de la tabla 7.2).
-Apoyo (de otros sectores). El punto de partida del anlisis de HEART es establecer una corresponden-
- Fatiga. Cla entre la actividad que se pretende evaluar y uno de los gneros de ta-
- Presin.
- Momento del da. 12. ]. C.Williams, HEAIU : a proposed method fo r assessi ng an d reducing human erron>,
- Entorno. en Proceedings 01 the N inth A dl){II'ICeS in Reliability Teclmology S)'lIIposilllll, Bradford: Univer-
- Ordenadores . Sidad de Bradford, 1986 .]. C. Williams, A data- based m ethod fo r assessing and reducing
human error to improve operatio nal performance, en Proceedings 01 lEE Fourtlz CO I'iference
- Instrucciones, m anuales y procedimientos. 011 Hlllnall Factors in Power Plants, Monterey, CA, 6-9 de junio de 1988.

I90

La gesti n de los grandes ri esgos
reas enumerados en la tabla 7. 2 . El paso siguiente, y el m s impo rtante (
el que da a HEART su preerrunencia en este rea), es consultar la lista de cu~
cu nstancias generadoras de error (error-producing conditions EPC) y decidir
qu circunstan cia (s) es probable qu e tenga(n) impacto sobre la ej ecucin
de la ac tividad en cuestin . H echo esto, la probabilidad nominal de error
del gnero de tarea se multiplica por la prop orci n correctamente esti-
m ada del fac tor adecuado de cada EPC .
C uando se pide a diversas personas que realicen una es timacin de la
probabilidad absoluta de que suceda un tipo particular de error, las valo-
raciones pu eden diferir en varios rden es de m agnitud entre una y otra.
Pero una extensa revisin de la literatura sobre fac tores hu manos ha re-
velado que los efectos de diversas clases d e m anipulaci n de las tasas de
error exhiben un alto grado de co nsistencia a travs de una amplia varie-
dad de situaciones exp erimentales. La siguiente lista ordena las principa-
les circunstancias inductoras de error conforme a la m edida de su efecto.
Las cifras entre parntesis indican la m agnitud po r la que debe multipli-
carse la probabilidad nominal de erro r para reflej ar la influencia de cada
fac tor :
- Falta d e familiaridad co n una situaci n que es p o tencialmente im-
p o rtante p ero qu e es nu eva o bi en o curre slo infrec uentem ente
(x 17).
- Escasez de tiemp o para la deteccin y correcci n de errores (x 11) .
- B aj a razn seiial-ruido - cuando es realmente pobre- (x 10).
- Supresin de informaci n sobre caractersticas qu e es dem asiado ac-
cesible (x 9) .
- Ausencia -o p obreza- de infor m acin espacial o funcio nal (x 8).
- Falta de coincidencia entre el modelo del sistema del diseador y el de
su usuario (X 8).
- Ausencia de medios evidentes para revertir una accin no in tencionada
(x 8) .
- Sobrecarga de la capacidad de u n canal, en particular la causada por la
presentacin simultn ea de informaci n no redundante (x 6).
- La n ecesidad de desechar una tcnica e implem entar o tra qu e requiere
la aplicacin de una fil osofia opuesta (x 6).
- La necesidad de transferir sin prdidas conocimiento especfico de una
tarea a o tra (X 5,5).
- Ambigedad de los estndares de actuacin exigidos (X 5).
- D esajuste entre el ri esgo real y el p ercibido (x 4).
- Una retroalimentaci n sistmica pobre, ambigua o m al aj ustada (X 4) .
I9 2
l'
7. U na gua prctica para la gestin del error
_ Ausencia de una confirmacin clara, directa y a tiemp o de la ejecuci n
de una accin intencionada por parte d e la secci n del sistem a sobre
la que se deb e ej ercer control (X 3).
_ Inexp erien cia del op erador (p or ej emplo, un tcnico recin cualifi-
ca do) (X 3).
_ Unos procedimientos y una interaccin de persona a persona que em-
pobrecen la calidad de la inform acin (x 3).
_ Escasa o nula comp robacin o prueba d e los resultados (x 3).
_ Conflicto entre obj etivos inmediatos ya largo plazo (x 2,5).
_ Ausencia de diversidad en el input de informaci n para comproba-
ciones de veracidad (X 2,5).
_ D esaj uste entre el nivel de logro edu cativo de u n individu o y las exi-
gencias de la tarea (X 2) .
_ La presencia de algn incen tivo para emplear otros pro cedimientos
ms peligrosos (X 2).
_ Escasa oportunidad de ej ercitar el cuerpo y la m ente fu era de los co n-
fines inmediatos del trabaj o (x 1,8).
_ U na instrumentacin p oco digna d e confian za y que as se p ercib e
(X 1,6).
_ N ecesidad de realizar juicios absolutos que estn m s all de la capa-
cidad o de la exp eriencia de un operador (X 1,6) .
- Falta de claridad en el reparto de funcio nes y respo nsabilidades (X 1,6).
- Ausencia de toda forma clara de seguir el progreso de la tarea al tiempo
que se la ej ecuta (X 1,4).
- Peligro de qu e las capacidades fisicas se vean sup eradas (X 1,4).
- La tarea tien e escaso o nulo significado intrnseco (X 1,4).
- Alto nivel de tensi n em ocion al (X 1,3).
- M ala salud, esp ecialmente fi ebre (X 1,2).
- D esmoralizacin de la fu erza d e trabaj o (x 1,2) .
- Inconsistencia entre la lec tura d e los indicadores y la esp erada p or los
p rocedimientos (X 1,15).
- Inactividad prolongada o ciclos repetitivos (X 1,1 para la primera m edia
hora, X 1,05 por cada h ora ulterior) .
- Perturbacin de los ciclos no rmales de trabajo-su eo (X 1,1) .
- Alteraciones del ritmo de la tarea causados por la interven cin de otros
(X 1,06) .
- Miembros del equipo adicio nales por encim.a d e los n ecesarios para
efectuar las tareas de m anera n ormal y satisfacto ria (X 1,03 p or cada
persona adicional).
- La edad del personal que realiza tareas de percep cin (x 1,02) .
I93
La gestin de los grandes ri esgos 7- Una gua prc tica para la gestin del error

Tabla 7.2 La tabla 7.3 recoge dichos tipos de situaciones y sus valores nominales
Gneros de tareas y probabilidades de error asociadas (basado en Williams) para las mujeres. . . .
Hasta la fecha Williams ha estableCIdo el Impacto relatIvo de ocho vpc,
Gneros de tareas Probabilidades nominales de qu e, junto con sus factores de ponderacin, conforman la siguiente lista:
error (en el intervalo
percentil entre 5 y 95)
_ La probabilidad de deteccin se percibe como baj a (X 10).
A. N ada familiar, ej ecutada aceleradam ente y sin la menor 0,55 _ Molestias e inconvenientes (X 7).
idea de las consecuencias probables. (0, 35- 0,97)
_ Estatus o autoridad aparente para infringir, hacer caso omiso o invalidar
B. Cambia el sistema a un estado nuevo o lo restaura a su 0,26
estado or iginal en un solo intento, sin supervisin ni (0,14-0,42) de recom endaciones, peticiones, procedimientos o instrucciones (X 3) .
proced imientos. _ Conducta imitativa (X 2,1).
C. Tarea compleja que requiere un nivel elevado de 0,16 _ No desaprobar a la figura de autoridad presente (X 2).
comprensin y pericia. (0,12- 0,28)
D. Tarea basta nte simple pero ej ecutada rp idamente o 0,09
prestando escasa atenci n. (0,06-0,13)
E. Tarea ru tinaria y rpida, en la que se tiene mucha prctica 0,02
Tabla 7.3
y que requiere un nivel de habilidad relativam ente baj o. (0,007-0,045) Tipos de condu ctas infractoras y probabilidades nominales asociadas
F. Cambia el sistema a un estado nuevo o lo restaura a su 0,003 para las muj eres
estado original siguiendo proced imientos y con algun a (0 ,0008-0,007)
comproba cin. Tipos de conductas infractoras Probabilidades nominales de
error para las muj eres (en el
G. Tarea completamente familiar, bi en diseada, rutinaria y 0,0004 intervalo percentil entre 5 y
en la que se tiene mu cha prctica , efectuada y repetida a (0,00008-0,009) 95) x 1.4 para los varones)
menudo por un individuo bien motivado y
A. Es claram ente inconveniente cumplir las normas. El 0,42 (0,28-0,58)
competentemente formado, con tiempo para corregir los
f.111os pero sin ayudas signifi ca tivas para el desempeo de infractor potencial no se siente obligado a cumplir las
su trabaj o. normas por ningn requerimiento implicado en la tarea.
Son fciles de infringir. La probabilidad de ser descubierto
H_ Responde correctamente al sistema incluso cuando existe 0,00002
es baja.
un sistema supervisor ampliado o automtico qu e ofrece (0,000006-0,00009)
B. El cumplimi ento es relativamente poco importante. Las 0,35 (0,20-0,59)
una interpretacin prec isa del estado del sistema.
normas so n f ciles de infringir. Hay escasos o nulos
M. Tareas miscelneas para las que no se ha podido encontrar 0,03 incentivos para cumplir las normas.
descripcin. (0,008-0, 11) 0,38 (0,21- 0,54)
C. El cumplimiento puede ser bastante importante, pero la
probabilidad de que la in fracc in sea descubierta es baja.
Los benefi cios de la trasgresin son elevados y dlfectos.

D. La trasgresin ofrece beneficios personales, si bi en la 0, 18 (0, 11-0,25)

A lo largo de los dos ltimos al10SJerry Williams ha recopilado una probabilidad de deteccin es moderada o alta . O bi en el
lista similar de circunstancias generadoras de infracciones (vpc) basn- cumplimi ento es bastante importante, pero la probabilidad
de deteccin es baja.
dose de nuevo en un rastreo exhaustivo de la literatura psicolgica y 0,03 (0,007- 0,05)
E. El cumplimiento es importante, habitualmente exigido
sobre factores humanos'3 . Como en el caso anterior, ha creado una lista legalmente, pero las probabilidades de deteccin son bajas
limitada de tipos de conductas infractoras, cada uno de ellos asociado a o moderadas.
una probabilidad nominal para las muj eres -errores improbables; el g- F. N o hay incentivo inmediato para transgredir y la 0,007 (O,OO l -O,Ol)

nero tiene un notable efecto sobre el incumplimiento normativo: para los probabilidad de deteccin es moderada o alta.
G. Socialmente inaceptable, probabilidad de deteccin baja y 0,007 (0,003- 0,02)
hombres, las prob abilidades nominales deben multiplicarse por 1,4-. probabilidad de resultado pernicioso para el infractor baj a.
H. Socialmente inaceptable, probabilidades de deteccin 0,000 1 (0,00002-0,003)

13.]. C.Williams, Assessing (he Likelihood ofViola(io/1 Beha"iollr:A Prelil/lilMr)' b1.llestiga- elevadas, probabilidad de resultado pernicioso para el
( iO/'I, Manches ter, Departamento de Psicologa, Universidad de Manchester, 1996. infi-actor alta.

195
194
La gestin de los grandes riesgos
- Obligacin percibida de obedecer a una figura de autoridad (x 1,8).
- Gnero (X 1,4 para los varones).
- Presin del grupo (x 1,07 por cada individuo que anima a la desvia_
cin, hasta un mximo de cinco personas).
En conj unto, estas listas de circunstancias generadoras de errores o de
infi'acciones constituyen la mejor descripcin disponible de los factores
promotores de dichas conductas en el lugar de trabajo. El hecho de que
se los pueda ordenar de forma fiable -de una manera que hace posible
evaluar los efectos relativos de los diferentes factores- representa un gran
avance y una incorporacin extremadamente valiosa a la caja de herra-
lTlientas del gestor preocupado por la seguridad.
EL ENFOQUE DEL DIAGRAMA DE INFLUENCIA (IDA)
El enfoqu e del diagrama de influencia (Injluence Diagram Approach, roA)
tiene dos aspectos importantes. Primero, proporciona herramientas que
permiten modelar cualitativamente las influencias existentes en diversos lli-
veles de la orgallizacin que afectan a los resultados adversos - ya sea eva-
luando su contribucin a episodios pasados, ya la probabilidad de algn
suceso futuro-o Segundo, este lTlOdelo cualitativo puede utilizarse asi-
mismo para generar medidas cuantitativas de la influencia de diversos fac-
tores tcnicos, humanos y organizativos sobre los riesgos a que se enfi'enta
una tecnologa de alta peligrosidad concreta. Una vez ms, estas m edidas
cuantitativas pueden elaborarse bien reactivamente, en respuesta a un ac-
cidente particular, o bien proactivamente, para medir la probabilidad de
que algn suceso adverso posible se actualice en el futuro. M erced a estas
aportaciones, el IDA puede desempear un papel muy informativo tanto en
la investigacin de accidentes con1.O en la elaboracin de anlisis forma-
les de la seguridad. Aunque el ejemplo con el que lo ilustraremos un poco
ms adelante provenga del sector del transporte martimo, el IDA es apli-
cable, en principio, a toda clase de tecnologas de alta peligrosidad'4 .
Puede que las formas concretas en que pueden acaecer los resultados
negativos sean dinciles de prever, pero la diversidad misma de tales resul-
tados adversos es bien conocida, en su mayor parte, para todos los secto-
res de alta peligrosidad. En el transporte martimo, por ejemplo, es
14. D. Embrey, lncorporating Management and Organizational Facto rs into Proba-
bilistic Safety Assessme nt, Reliabilit)' Engineering, 38,1992, pp. 199-208.
7. Una gua prctica para la gestin del error
itnprobable que las maneras en que el desastre pueda sobrevenirle a una
nave -o las modalidades de fallo- vayan mucho m s all de los incen-
dios, las colisiones, los varamientos, los hundimientos, la piratera y los
actos de guerra. EliDA cartograna las influencias sobre una modalidad de
fallo particular -veremos el ejemplo de un barco que encalla en un bajo
fluvial- en diferentes niveles:
_ El nivel del factor incidente: que incluye los actos peligrosos o los fallos
tcnicos inmediatamente responsables del suceso.
_ El nivel del factor que irifluye en la actuacin (peiformance-irifluencingfactoJ;
PIF) : que son las condiciones inmediatas del lugar de trabajo que con-
forman el hecho mismo de que ocurran fallos tcnicos o humanos.
_ El nivel de implementacin: que son los factores organizativos subya-
centes que crean los PIF.
_ El nivel de polticas: que comprende los factores de poltica y regula-
cin que determinan los procesos organizativos que se desarrollan al
nivel de implementacin,
El diagrama 7 .5 muestra un esquema de influencia referido al caso de
una nave qu e encall en un bajo fluvial. Para simplificar, hemos combi-
nado los niveles de los factores PIF e incidente - la m etodologa del dia-
grama de influencia permite tales abreviaciones-o Se advertir tambin
qu e el diagrama de influencia es enteramente consistente con el marco
terico del desarrollo de los accidentes organizativos expu esto en los pn-
meros captulos de este libro.
En trminos prcticos, el IDA se lleva a cabo por etapas. Primero, se
desarrolla el diagrama de influ encia a partir de una discusin estructurada
con un grupo de expertos -en este caso, especialistas en transporte ma-
rtimo; otros sectores requeriran xpertos anlogos- qu e poseen un co-
nocimiento detallado tanto de las realidades operativas como de las
cuestiones polticas ms amplias. Habiendo identificado los factores impli-
cados a cada nivel y sus respectivas iIilluencias sobre la modalidad de fallo
en cuestin, el paso siguiente consiste en cuantificar esas iIillu encias.
Nornulmente,la labor de asignar cifi'as a las probabilidades de fallo hu-
mano es poco ms que una forma de arte, pero los pasos implicados en la
cuantificacin de los elementos del diagrama de influencia -y, en conse-
cuencia, la probabilidad del suceso ms importante- son relativamente
sencillos, factibles, elegantes y se basan en la mejor iIormacin disponi-
ble. El proceso comienza con una de las iIillu encias de fondo (nodos ex-
ternos o <<nodos hoja) -es decir, un factor sobre el que no parecen l11CldlI
197
 7. Una gua prctica para la gestin del error
La gestin de los grandes riesgos

Diagrama 7.5 dos y los que no llegaron a ocurrir por POCo; el extremo opuesto de la es-
Diagrama de influencia simplificado que muestra algunos de los factores cala podra describir el peor caso posible del siguiente modo: Los capita-
determinantes de la probabilidad de que una nave encalle en un bajo fluvial nes de los navos no disponen de informacin alguna sobre la experiencia
operativa de su sector . El equipo de evaluadores puede necesitar la gua
Nivel de la
modalidad del fallo
de una persona con experiencia que les asesore en esta tarea.
Supongamos que la evidencia de que disponen indica que la retroa-
limentacin no se usa efectivamente para mejorar la percepcin del
Nivel del factor riesgo del patrn. As pues, en respuesta a la pregunta cul es el peso de
influyente la evidencia en cuanto a la disponibilidad de retroalimentacin a partir
de la experiencia operativa como ayuda para mejorar la percepcin del
riesgo del patrn? , el equipo de evaluacin propone una razn de in-
Nivel de
iJllplcmcnracin
fluencia (un balance de probabilidades) de 0,20 (alto): 0,80 (escaso). Su-
pongamos que cuando se formula la misma pregunta sobre el uso del
reglamento de operaciones el equipo estima que la razn es 0,20 (usado):
Nivel de polticas 0,80 (no usado). La siguiente fase consiste en combinar ambas influen-
cias para obtener la probabilidad de que la percepcin del riesgo del pa-
trn sea exacta o inexacta. La tabla 7.4 muestra cada uno de los pasos
Normalmente, el diagrama de influencia ti ene muchos ms elementos a todos los niveles . El implicados en esta operacin.
grfico ha sido simplificado para ajustarse a la exposicin del proceso de cuantificacin que se
ofrece a continuacin (elaborado a partir de Embrey, 1996).

Tabla 7.4
otras influencias externas-o En el caso del ejemplo simplificado que mues- Pasos inlplicados en el clculo de la probabilidad incondicional de que la
percepcin del riesgo del patrn sea imprecisa
tra el diagrama 7.5, pertenecen a esta categora todos los factores del nivel
de implementacin, excluyendo la dotacin de personal, y el nico factor Si ... y ... entonces ... Peso de la evidencia Peso combinado
en el nivel de polticas (normalmente, suele haber muchos ms factores). de que la percepcin (retro alitl1en taci n
del riesgo por parte x reglamento
Como en el caso de la creacin de un diagrama de influencia cualitativo, de operaciones)
del patrn es ...
la cuantificacin de las influencias individuales y combinadas es un proceso
la retroalne ntacin el reglam ento exacta in exacta
iterativo que requiere insumos de informacin del equipo de evaluadores a partir de la de o perac io nes
expertos. Para explicar cmo se llevan a cabo dichos clculos, empezare- experiencia es cla ro
operativa es
1110S con una pequea fi-accin del diagrama de influencia -la percep-
buena se usa ~ 0,95 0,05 (0,20 x 0,20) - 0,04
cin del riesgo por parte del patrn y los dos factores influyentes en l: su
experiencia operativa y el reglamento de operaciones-o En el primer paso, buena no se usa ~ 0,80 0,20 (0 ,20 x 0,80) = 0,16
el equipo de evaluacin valora la evidencia sobre si la experiencia opera-
tiva del patrn retro alimentar su percepcin del riesgo, bien positiva o pobre se usa ~ 0, 15 0,85 (0 ,80 x 0,20) = 0, 16
bien negativamente. Para ayudar a los expertos a formular este juicio se les 0,10 0,90 (0,80 x 0,80) = 0,64
pobre no se usa ~
facilita una escala graduada de indicadores que especifica la naturaleza de
la evidencia que han de tomar en consideracin. En el extremo ideal de la La probabilidad incondicional (suma ponderada)
escala podra figurar el siguiente enunciado: Los capitanes de los navos re- de que la percepcin del riesgo por parte del
patrn sea inexacta es: 0,25 0,74
ciben regularmente informacin de los incidentes de varamiento ocurri-
199
 La gestin de los grandes riesgos
Los pasos implicados en el clculo de la probabilidad incondicional de
un factor que tenga dos o ms influencias corri ente arriba so n los si-
guientes:
- Elaborar un listado de las posibles combinaciones de factores influyentes.
- Se pide al equipo de evaluacin que valore el peso de la evidencia sobre
si la exactitud de la percepcin del patrn ser alta o baja para cada una
de esas combinaciones de influencias . En la tabla 7.4 puede verse que
se estima que el efecto combinado de una retroalimentacin pobre y
un reglamento de operaciones poco claro degrada la precisin de la
percepcin del riesgo ms que cada uno de los fac tores por separado.
- Cada evaluacin condicional es modificada por un factor de ponde-
racin agregado obtenido del producto de las probabilidades de los
factores individuales correspondientes.
- La probabilidad incondicional total es la suma de los valores obteni-
dos del producto de multiplicar cada una de las probabilidades condi-
cionales por su ponderacin adecuada .
Los mismos pasos bsicos se aplican a todas las dems influ encias que
muestra el diagrama 7.5. La probabilidad total de encallar en un bajo flu-
vial se obtiene de sumar las probabilidades incondicionales de los tres fac-
tores influyentes inmediatos: la percepcin del riesgo del patrn, la
percepcin del riesgo de la tripulacin y la probabilidad de que el bene-
ficio se anteponga a la seguridad. Aunque laborioso para el equipo de
evaluacin, el rOA puede producir anlisis cualitativos y estimaciones cuan-
titativas del riesgo que se basan en slidos principios tericos y en un co-
nocimiento actualizado en el nivel del estado del arte de las tcnicas de
mgeniera.
AYUDA A LA DECISIN SOBRE ERRORES DE MANTENIMIENTO
(MEDA)
La ayuda a la decisin sobre errores de mantenimiento (Maintenance Error
Decision Aid, MEDA) es una herramienta dise11ada por Boeing en colabora-
cin con la Administracin Federal de Aviacin (Federal Aviation Admi-
nistration, FAA) y Galn.), Scientific Corporation para investigar los errores
de mantenimiento l 5 Aunque se dise para el contexto de la aviacin, sus
15. Boeing, fvIal /l/enance Error D ecslDI? Airl, Seattle, Boeing Commercial Airplane
Group, 1994.
200
7. Una gua prcti ca para la gestin del error
principios bsicos son aplicables a cualquier actividad donde el manteni-
miento sea de importancia decisiva para la seguridad. La investigacin se
lleva a cabo en dos niveles:
_ Investigacin de la lnea . MEDA comienza con una investigacin basada en
documentacin escrita que aporta al personal de mantenimiento en
lnea una forma estandarizada de investigar los errores de manteni-
miento, sus orgenes y sus consecuencias. Adems, ofrece a los inge-
nieros de primera lnea un n1.edio tericamente fundado para detectar
y eliminar los factores generadores de errores tanto en el lugar de tra-
bajo como en el mbito organizativo.
- Anlisis de tendencia organizatJla . MEDA suministra asimismo un proce-
dimiento de anlisis informtico de tendencias para la organizacin
del mantenimiento.
MEDA se divide en cinco secciones. Las tres primeras atienden a la pre-
gunta qu ocurri?. La seccin 4 indaga cmo y por qu ocurri el
error. La seccin 5a identifica las defensas que fallaron y la 5b esboza po-
tenciales soluciones.
- Seccin 1. Rene informacin sobre la aerolnea, el tipo de aeronave, el
tipo de motor, la hora del da, etc.
- Seccin 2. Describe la naturaleza del su ceso (por ejemplo, retraso del
vuelo, cancelacin, regreso al parking, parada de motor en vuelo, etc.).
- Seccin 3. Clasifica la naturaleza del lapsus: instalacin incorrecta, asis-
tencia en tierra incorrecta, reparacin incorrecta o insuficiente, aisla-
miento, inspeccin o comprobacin de una deficiencia incorrectos,
dao causado por un objeto extrao, por el equipo circundante o por
un miembro del personal. El error se define como la condicin re-
sultante de las acciones de una persona, cuando existe un consenso
general acerca de que sus acciones deberan haber sido distintas de las
que fueron.
- Seccin 4. Adopta la forma de una lista de comprobacin de los facto-
res contribuyentes que se ha de completar para cada error identificado
en la seccin 3. Esos factores incluyen: informacin, equipo, herra-
mientas o piezas, diseo y configuracin del aparato, trabajo o tarea,
cualificaciones y habilidades, desempe110 personal, entorno e instala-
ciones, entorno organizativo, supervisin, comunicacin.
- Seccin 5a. Indaga si el sistema dispona en ese momento de algn pro-
cedimiento, proceso o poltica que debera haber prevenido el acci-
dente pero que no lo hizo.
20I
 7- U na gua prctica para la gesti n de! er ror
La gesti n de los grandes riesgos

fensivo. C omenzando por el resultado final, una prdida de algn tipo, el

- Seccin 5b. Inquiere qu m edidas correctivas se han tomado o deberan
analista remonta el curso causal para establecer la naturaleza de la(s) de-
haberse tomado a nivel local para prevenir qu e el accidente vuelva a
fensa(s) que fall (o fallaron) y de la amenaza que se materializ. En el in-
suceder.
terior de cada recuadro, o nodo, se escrib e un breve prrafo de texto
Boeing ha distribuido MEDA gratis a todas sus aerolneas clientes. Uno
descriptivo del suceso en cuestin. El paso siguiente consiste en estable-
de sus obj etivos principales es facilitar un lenguaj e comn qu e posibilite
cer qu defensa concreta fall, algo que pudo deberse a fallos tanto acti-
el aumento de la comunicacin y la coop eracin entre operadores, agen-
vos con1.O latentes (los recuadros situados bajo los modos de fallo latente,
cias reguladoras, fabricantes y personal de mantenimiento. R ecientemente
con signos de interrogacin en su interior, recogen la identificacin de
se ha desarrollado u na versin para ordenador p ersonal para Singapore
cul o cules de los 11 GFT estuvo/ estuvieron implicados en el fallo -va-
Airlines E ngineering Company, que la usa en conjuncin con MESH .
se la pgina 179 de este captulo-l . En el caso de un fallo activo, es pro-
bable que ex.istieran precondicion es en el lugar de trabajo. Al igual que los
TruPOD-BETA fallos activos, stas se especifican m ediante breves descripciones. Es pro-
bable que las precondiciones fu eran producto de fallos latentes identifi-
Tripo d-B eta es una h erramienta informti ca creada internam ente por cables qu e, asimismo, deb ern ser descritos y sus GFT asociados
Shell Exploration and Production para llevar a cabo un anlisis de inci- identificados. El procedimiento contina hasta que todos los factores iden-
dente en paralelo con la investigacin de un suceso l 6 . La interaccin entre tificables h an sido identificados y descritos. A m edida qu e el an alista
ambas actividades procura a los investigadores orientacin acerca de la re- avanza, unir en la pantalla del ordenador los nodos y recuadros relacio-
levancia de su recogida de datos al tiempo que ilumina lneas de indaga- nados causalmente mediante lneas.
cin qu e llevan a la identificacin de condicion es latentes implicadas
- tipos gen ricos de fallo en la j erga de Tripod- . Tripod-B eta naci del
D iagrama 7.6
maridaj e entre la teora Tripod (expuesta anteriormente en este captulo)
Unidades bsicas del anlisis de sucesos Tripod-Beta
y la respuesta de Shell a las ex.igencias de las recom endacion es de seguri-
dad post Informe C ullen . En Shell esta combinacin adopt la forma del
pro ceso de gestin de am enaza y efecto (Haz ard and Effect Ma nagemen.t I D efensas fallidas I
Process, HEMP) , diseado para proporcionar un enfoque estru cturado al an-
lisis de los riesgos para la salud, la seguridad y el m edio ambiente a lo
largo del ciclo vital de una instalacin, y que se basa en cuatro procesos:
identificacin , evaluacin , control y recup eracin . Tripo d-B eta fu e dise-
ado para ser compatible tanto con Tripod-D elta com o con HEMP.
I Amenaza J.
,
I
Nodo de
I O bjetivo I
El diagrama 7 .6 muestra los elem entos bsicos de la caj a de herra- fallo activo
mientas analticas de Tripod-B eta. C omo seal en el captulo 1, un su-
ceso adverso consiste en la daina entrada en contacto de unas amenazas
co n unos objetivos (p ersonas, activos, entorno) por efecto de un fallo de-

16.Tripod-Beta fu e diseado por el doctor Miles Benson, un consultor independiente

en materia de fac tor humano y de software. Fue l tambin quien escribi el software de
Tripod-De!ta, R eview y MEsH.Vase asimismo J. A. Doran y G. CVan der Graaf, Tripod-
Beta: incident investigation and analysis , Proceedings oj lile ln tw'/a tional Coriference 0/1 He-
altil , Sajet)' & Enviwn/ll ent (Socie/)' oj Petrole,." " E"'gineers), Nu eva O rl eans, LA, 9-12 de
junio de 1996.
20 3
202
La gestin de los grandes riesgos

En resumen, el sciftwareTripod-B eta ofrece un medio de compilar los

hechos que la investigacin ha descubierto, y manipularlos en pantalla
para producir una imagen grfica del suceso y sus causas -un rbol del
incidente-o El programa comprueba tambin si la lgica de la estructura 8
arbrea (sus etiquetas y conexiones) se ~usta a la teora Tripod y a HEMP.
Una vez solucionadas las anomalas, se genera automticamente un bo-
La infeliz suerte del regulador
rrador de informe de accidente para su correccin y redaccin definitiva
en una aplicacin de procesanuento de textos.

RESUMEN DE LOS PRINCIPIOS Ms IMPORTANTES DE LA GESTIN Los REGULADORES EN EL PUNTO DE MIRA

DEL ERROR
1. El mejor personal puede, en ocasiones, cometer los peores errores.
2. Los estados mentales fugaces -preocupaciones, distracciones, lapsus de
meITlOria, fallos de atencin- constituyen la parte final, y la menos
susceptible de ser gestionada, de una secuencia de error.
3. No podemos cambiar la naturaleza humana. La gente siempre come-
ter errores e infra ccion es. Pero podemos cambiar sus condiciones de
trab~o para hacer menos probables los actos peligrosos .
4. Culpabilizar a la gente por sus errores - aunque emocionallTlente gra-
tificante- tendr un efecto escaso o nulo sobre su fiabilidad futura .
5. La gran mayora de los errores no son deliberados. Es muy difcil que
la gestin pueda controlar unas acciones que, para empezar, la gente no
tela intencin de hacer.
6. Los errores surgen de problemas de naturaleza informativa. La mejor
manera de abordarlos es mejorar la informacin disponible - en la
mente del personal o en el lugar de trab~o.
7. Las infi:acciones, en cambio, son problemas sociales y motivacionales.
La mejor forma de enfrentarse a ellas es, por un lado, cambiar las nor-
mas, las creencias, las actitudes y la cultura de la gente y, por otro lado,
mejorar la credibilidad, la aplicabilidad, la disponibilidad y la precisin
de los procedinuentos.
8. Las infracciones actan de dos formas: primero, aumentan la probabi-
lidad de que los infi-actores COITletan errores a continuacin y, segundo,
aumentan tambin la probabilidad de que las consecuencias de esos
errores tengan consecuencias lesivas.
LA SUERTE DE LOS REGULADORES -como la del polica- no es feliz. No
slo es raro que gocen de la estimacin de aqullos a quienes regulan,
sino que hoyes cada vez ms probable que se les culpe de los accidentes
organizativos. Durante los ltimos 30 aos la investigacin de la causas de
las grandes catstrofes ha expandido constantemente su amplitud y se h a
remontado ms y ms en el tiempo para descubrir contribuciones causa-
les cada vez ms remotas. En este elenco ampliado de causas figuran fre-
cuente y destacadamente las decisiones y acciones de las autoridades
reguladoras. Este captulo estudia el difcil y complejo papel que el regu-
lador desempeila en la linutacin de la frecuencia y gravedad de los acci-
dentes organizativos.
Veremos primero, brevemente, cinco trgicos sucesos en los que hubo
fallos de regulacin involucrados -o, cuanto menos, defectos en el pro-
ceso de regulacin- y lo haremos con el propsito de mejorar nuestra
comprensin de cmo pueden contribuir los reguladores (o el proceso de
regulacin) al fallo fatal de unas tecnologas que son complejas pero estn
bien defendidas. Los cinco estudios de caso son los siguientes:
- La explosin de la lanzadera espacial Challenger (28 de enero de 1986).
- El incendio de la estacin de metro de King's Cross (18 de noviembre
de 1987).
- La explosin de la plataforma Piper Alpha (6 de julio de 1988).
- El Fokker-28 estrellado en Dryden, Ontario (10 de marzo de 1989).
- El Piper Chieftain estrellado en Young, Nueva Gales del Sur (11 de
junio de 1993).

204 205
La gestin de los grandes riesgos
ACCIDENTES REGULADOS
Challenger: cuando la desviacin se convierte en la norma
La Comisin Presidencial que investig la destruccin de la lanzadera es-
pacial Challengery la muerte de sus siete astronautas, cuyo informe se hizo
pblico en junio de 1987, lleg a la conclusin de que la causa de la ex-
plosin fue una arandela de goma, o junta trica, defectuosa de uno de los
cohetes secundarios: el fallo de aislamiento permiti una fuga de llamas
que incendi un depsito de combustible externo l . Posteriormente, este
accidente ha sido objeto de un estudio intensivo por parte de Diane Vaug-
han, una sociloga del Bastan College. Su trabajo, recientemente publi-
cado, representa uno de los anlisis ms detallados y convincentes
realizados hasta la fecha sobre un accidente organizativ0 2 . Adems, desafia
la conviccin, muy extendida, de que el accidente sucedi porque la NASA
y su principal sub contratista, Morton Thiokol, no hicieron su trabajo
como hubieran debido : el informe de la Comisin Presidencial y los re-
portajes de prensa transmitieron la impresin de que los gestores de rango
intermedio presentes esa noche en la dramtica teleconferencia en que se
decidi el lanzamiento tomaron decisiones errneas. Se daba por sen-
tado que esos gestores, forzados por presiones de produccin y por pre-
ocupaciones polticas referentes a la NASA, hicieron caso omiso de los
defectos de las juntas tricas, infringieron las normas de seguridad y si-
guieron adelante con el lanzamiento para cumplir los plazos establecidos
en programa. Estos anlisis se centraron en los fallos individuales y, en pa-
labras de Diane Vaughan, ... transmitieron la imagen de unos gestores
inicuos, de modo que el accidente pareca una anomala, una rareza pro-
ducto de los individuos que ocupaban las posiciones responsables de la
toma de decisiones en aquel momento .
Las conclusiones de Vaughan son, en buena medida, opuestas: sostiene
que el accidente sucedi porque quienes participaron en la decisin del
lanzamiento hicieron precisamente lo que se supona que deban hacer.
1. Report of th e Presidential COl/Il'llissio/1 0/1 the Spaee Shuttle Challmger Aecident, Wa-
shington DC, Government Printing Agency, 1986.vase tambin el excelente relato de H.
S. F Cooper, A letter fi'om the Space Center, The New Yorker, 10 de noviembre de 1987.
2. D. Vaughan, The Chal/ellger La/meh Decision, Chicago, Chicago University Press,
1996. En un artculo titulado Blowup, Malcolm Gladwell resea el libro en The New Yor-
ker, 22 de enero de 1996, situndo lo en un co ntexto terico ms amplio. La publicacin
m s reciente de Vaughan sobre este tema es The trickle-down effect: policy decisions,
risky work, and the Chal/e/7ger tragedy, California Managell1e/1t R elliew, 39, 1997, pp. 8-102.
206
8. La infeliz suer te del regulador
Verdaderamente pu ede decirse que la decisin de lanzar el Challenger fiJe una
decisin basada en normas. Es slo que las formas culturales de comprensin,
las reglas, los procedimientos y las norl1l.as que haban funcionado bien en el
pasado no lo hicieron en esta ocasin. La responsabilidad de la tragedia no
recae sobre unos gestores amoralmente calculadores que conculcaron las nor-
mas, sino sobre la conformidad.
Ms aun,Vaughan descubri que la tragedia del Challenger no respon-
di a una anomala peculiar de la NASA, sino que fue configurada por fac-
tores que muchas otras organizaciones comparten.
Lo que llev inexorablemente a la NASA al trgico resultado fue la in-
sidiosa erosin de los estndares con respecto a los cuales ella misma se
autorregulaba. La Comisin Presidencial se mostr asombrada por la fre-
cuencia con que la NASA usaba la expresin riesgo aceptable, pero el
anlisis de Vaughan revel que volar con riesgos aceptables era parte in-
tegral de la cultura de la NASA -y, en realidad, de toda cultura relacionada
con la aviacin-o De hecho, el riesgo aceptable referido a la lanzadera
espacial ocupaba seis volmenes.
En la NASA, los problemas eran la norma. La palabra anomala era parte del
habla cotidiana [.. .].Todo el sistema de la lanzadera funcionaba sobre el su-
puesto de que la desviacin poda ser controlada, pero no eliminada.
En resumen, la NASA haba creado una cultura cerrada que, en palabras
de Diane Vaughan, normalizaba la desviacin). Lo que para el mundo
exterior era una forma temeraria de asumir riesgos, les pareca a los ges-
tores de la NASA un modo razonable y sensato de hacer su trabajo. El hecho
preocupante con respecto a este y otros accidentes organizativos es lo di-
ficil que resulta identificar con precisin cundo em.pezaron a torcerse las
cosas, dado que cada paso y cada decisin se derivaron naturalmente de
los precedentes.
En la NASA ninguna decisin fundamental se tom con intencin maliciosa.
Al contrario, lo que ocurri fu e que se adopt una serie de decisiones apa-
rentemente inocuas que empujaron crecientemente a la agencia espaClal haCla
un resultado catastrfico.
Tres unidades de seguridad supervisaban las operaciones de la lanza-
dera3 , la ms relevante de las cuales era el departamento interno de la pro-
pia NASA -el Programa de Garanta de la Seguridad, la Fiabilidad y la
3. D.Vaughan, Auto nomy, interdependence, and social control: NASA a"nd the Space
Shuttle Chal/engep>, A dministratille Scienee Quarterl)', 35,1990, pp. 225-233.
27
La gestin de los grandes ri esgos 8. La infeliz suerte del regulador

Calidad (SaJet)" Reliabilt)' and Qua/it)' Assurance Program, SR & QA)-. La seguridad. Cul fu e la razn de esa ausencia? N adie pens en invitar-
Comisin Presidencial detect tres fallos principales en las responsabili_ les a participar.
dades de inspeccin y vigilancia del SR & QA: Un tema que enlaza todos los problemas de regulacin que aqu ana-
lizaremos es la falta de recursos. Entre 1970 y el desastre del Challenger la
1. No descubri ni rectific la confusin que rodeaba a la asignacin de NASA redujo su personal de seguridad y control de calidad en un 71%. El
grado crtico a los componentes de la lanzadera en funcin de la personal del SR & QA en el Marshall Space Center, qu.e tena, la responsa-
gravedad de las consecuencias en caso de que fallasen. La junta del bilidad de supervisar el proyecto del cohete secundano, habla SIdo redu-
cohete secundario se etiquet inicialmente como C1-R. La C1 era la cido de unas 130 personas a 84. En conjunto, el personal de seguridad,
categora de mximo grado crtico -significaba prdida de vidas o fiabilidad y control de calidad supOla slo el 2% de las 22000 personas
del aparato-, pero la R significaba que haba redundancias, o ele- que formaban la plantilla de la NASA . Tanto el director como el direct.or ad-
mentos de seguridad auxiliares, en el caso de su posible fallo. Poste- junto del SR & QA telan otras obligaciones, por lo que ambos dedIcaban
riormente, su grado crtico se elev al ms grave Cl. Pero despus entre el 10 y el 25% de su tiempo al programa de la lanzadera, lo que les
del accidente se descubri que muchos documentos internos seguan dejaba muy poco tiempo para ocuparse de las cuestiones de seguridad.
calificando la junta como C1-R, lo que llev a algunos gestores de la
NASA (incluso a parte del personal del SR & QA) a creer que exista al-
guna redundancia defensiva.
La estacin de metro de King's Cross: una visin
estrecha de la ley
2. El personal del SR & QA no fue capaz de recopilar y difundir datos de
tendencia relativos a la erosin de la junta trica por efecto del vuelo. Justo despus de la hora punta de la tarde, una cerilla o un cigarrillo en-
Entre la dcima y la vigsimoquinta misin (la del Challenger) la mitad cendido pas a travs de una grieta en una escalera mecnica de madera
de los vuelos tuvieron problemas con esas juntas. De haber dado difu- y prendi fuego al montn de pelusa y basura cubierto de grasa ~ue haba
sin a esos datos los administradores de la NASA habran dispuesto de una debaj 0 4Veinte minutos despus las llamas se elevaban desde el tunel de la
informacin esencial sobre la historia y el alcance de las debilidades de escalera mecnica hasta el techo de la zona de taquillas. Murieron 31000
la junta.
personas. . ., .
3. La Comisin detect tres problemas en relacin con los informes de Desmond Fennell, el miembro del Consejo Real que presldlO la 111-
fallos. Primero, el SR. & QA no estableci un medio adecuado para in- vestigacin subsiguiente, dedic un captulo de su informe al papel del re-
formar de los problemas de la lanzadera a eslabones superiores de la je- gulador, la Inspeccin de Ferrocarriles, que comienza afirmando que ste
rarqua de la NASA. Segundo, no file capaz de crear un conjunto preciso haba adoptado una visin demasiado restringida de sus responsabilidades.
de exigencias para que se informase de las anomalas ocurridas du-
En mi opinin, la Inspeccin de Ferrocarriles lTl,alinterpret la ley al creer
rante los vuelos. Tercero, no fue capaz de detectar las vulneraciones de
que si el Metro de Londres cunl.pla con su obligacin de tener el debIdo
sus normas de informacin sobre esos problemas. cuidado en la seguridad de las operaciones, haba cu mplido ya todos sus de-
Adems, ningn miembro del SR & QA estuvo presente en la tele- beres reglamentarios respecto a la salud y la seguridad ~e los pasajeros [',-;l.
Aun asumiendo con comprensin la mala interpretaClon que la InspecclOn
conferencia entre el M arshall Space Flight Center y los ingenieros de
de Ferrocarriles hizo de sus responsabilidades de acuerdo con la ley, es 1111
MOlton Thiokolla noche previa al lanzamiento. En aquella ocasin, los
opinin que el nivel de recursos y el grado de alnco que dedic a h.~cer
ingenieros de Mm-ton Thiokol se mostraron muy intranquilos por el cumplir las normas [... ] fue insuficiente. Fue este clima lo que pernutlo la
hecho de proceder al lanzamiento tras una noche tan inslitamente fra . persistencia del descuido en la limpieza y otras CIrcunstancIas potenCIalmente
No obstante, en lugar de pedrseles que probasen que el lanzamiento era peligrosas en las estaciones de metro.
seguro se les desafi a probar que no lo era. La ausencia de todo repre-
sentante del SR. & QA en esa tonn de decisiones decisiva signific la pr- 4. D. Fennell, Ilwesfigation il'lto fhe King's Cross Unrfelgrol/nrf Fire, Department ofTrans-
dida de otra oportunidad de expresar preocupaciones referentes a la port, Londres, HMSO, 1988.

208 209
 La gestin de los grandes riesgos
En los aiios previos al desastre, los incendios haban sido frecuentes en
el Metro de Londres, aunque usualmente de naturaleza nfima -plan-
chas de cartn y cosas as-o Se los etiquetaba con el tranquilizador tr-
mino de brasas. Tres aos antes del desastre de King's Cross, la
Inspeccin de Ferrocarriles, confiando en que las inspecciones rutinarias
de la Brigada Antiincendios de Londres se ocupaban adecuadamente de
estos sucesos aparentemente triviales, decidi que no continuara reci-
biendo copias de los informes correspondientes que realizaba la Brigada.
Fennell consign que el Inspector Jefe ... reconoca [ahora] que fue
una decisin desafortunada.
A pesar de que la inspeccin crea que la responsabilidad principal del
riesgo de incendios corresponda a la Brigada Antiincendios de Londres
reaccion a dos fuegos en escaleras mecnicas ocurridos en 1973 escri~
biendo al Director Jefe de Operaciones de la (entonces) Direccin del
Transporte de Londres para sugerir una campaa de limpieza de la basura
inflamable acumulada b ajo las escaleras mecnicas . No obstante, no se
mencionaba en absoluto que hubiera riesgo para los pasaj eros . Ni el Ins-
pector Jefe ni su personal haban concebido nunca la posibilidad de que
el ll1CendlO de una escalera mecnica pudiera extenderse rpidamente y
llegar a amenazar vidas. Empero, cabe disculpar su omisin por dos ra-
zones. Primero, no haba ningn precedente obvio -el fogonazQ) que
provoc la catstrofe en el rea de taquillas fue un fenmeno relativa-
mente nuevo-o Segundo, como en otras operaciones ferroviarias, los re-
guladores -de forma en absoluto poco razonable- consideraban que
los mayores ri esgos para los pasajeros iban asociados al movimiento de los
trenes y no a las estticas estaciones.
Fennell conclua su exposicin del papel de la Inspeccin de Ferroca-
rriles en el desastre sealando que no haba hecho bastante uso de su au-
toridad ni haba dedicado al Metro de Londres la atencin suficiente
... para crear la tensin necesaria para garantizar la seguridad5. Critic
tambin la indulgente relacin de la Inspeccin con el Metro y su falta
de diligencia a la hora de comprobar la implementacin de las mejoras de
seguridad acordadas. En secciones posteriores de este captulo volvere-
mos sobre el tema del estilo de regulacin.
5. Ibid., pp. 146-147.
2IO
8. La infeliz suerte del regulador
Piper Alpha: inspecciones superficiales y muestreo incompleto
Lord Cullen, un veterano juez escocs, presidi la Investigacin Oficial del
desastre de la plataforma Piper Alpha (vase el captulo 5 para una breve
descripcin del suceso)6. Su lorme constaba de dos volmenes. El pri-
mero se ocupaba de los antecedentes, naturaleza y consecuencias del de-
sastre. Uno de sus captulos estaba dedicado a las deficiencias de la
regulacin -en particular, al marcado contraste entre lo que detectaron
las inspecciones del Departamento de Energa y lo que luego revel la In-
vestigacin-. El segundo volumen miraba hacia el futuro y delineaba
un nuevo rgimen de la seguridad que posteriormente ha revolucionado
la regulacin y la gestin de la seguridad de las instalaciones martimas.
La plataforma Piper Alpha recibi en tres ocasiones la visita de un ins-
pector de la Direccin General de Seguridad del Departamento de Ener-
ga durante el ao anterior al desastre. La primera fue una inspeccin
rutinaria que identific algunas cuestiones menores que no requeran se-
guimiento inmediato. La segunda sigui a un accidente fatal y detect
deficiencias en el sistema de cambio de turnos y de permisos de mante-
nimiento. La tercera tuvo lugar 10 das antes del desastre y se concentr
en zonas donde se estaban desarrollando trabajos de construccin.
Era el informe de esta ltima el que contrastaba tan marcadam.ente con
los hallazgos de la investigacin. En particular, asul1a que Occidental haba
arreglado las carencias del programa de autorizacin para iniciar traba-
jos y los cambios de turno, mientras que posterio-mente se descubri que
las deficiencias en estas reas tuvieron un papel protagonista en el desastre.
Exista una lista de comprobacin para facilitar la evaluacin de los siste-
mas de autorizacin para iniciar trabajos, pero el inspector no dispola de
ella ni tela experiencia en el uso de esos procedimientos. No inspeccion
el manual de procedimientos operativos de O ccidental en lo referente al
sistema de permisos para trabajos de mantenimiento porque estim que no
dispola de tiempo para llevar a cabo una auditora completa, que h abra
requerido dos o tres das de trabajo, cuando el caso es que slo fue capaz
de dedicar a esta inspeccin 10 horas.
El inspector desconoca tambin la prctica de poner en modo manual
las bombas antiincendios diesel durante los turnos en los que se realiza-
,
ban inmersiones. No inspeccion el sistema de inundacin ni concret la
6. The H on. Lord Cullen, Pllulic lflqIlir)' i/1.lo the Piper A lpha Disaster, Department of
Energy, Londres, HMSO, 1990.
2II

La gesti n de los grandes ri esgos
frecuen cia con que se realizaban simulacros con los botes salvavidas. En
una palabra, fue incapaz de detectar muchos de los factores que unos
pocos das despus contribuyeron al desastre.
Cuando durante la investigacin oficial se sealaron estas discrepancias
al director general de seguridad, ste, con considerable justificacin, res-
pondi: (,Creo que existe una completa diferencia de enfoque entre el
contexto en que se lleva a cabo una inspeccin y la amplisima investiga-
cin que se est desarrollando aqu 7 . El director de la seguridad descri-
bi del siguiente modo la naturaleza de la inspeccin:
[Una inspeccin es ,] esencialmente, un ejercicio de mu estreo. El inspector
mu estrea y audita el estado del equipo y los procedimientos de gestin. Habla
co n el personal e intenta ha cerse una idea general de hasta qu punto se
opera, mantiene y gestiona bien la instalacin. Un inspector debe ej ercer su
criterio profesional para establecer el alcance y profundidad de su inspeccin
y nu estra direccin operativa lo selecciona, forma y supervisa para que as
sea. No se le da una lista fija de procedimientos, equipo y otros elementos a
los que debe dar su visto bu eno, como en una lista de col11.probacin. Algo
as creara considerables dificultades, dada la variedad de operaciones, proce-
dimientos operativos e instalaciones de que hablamos; llevara a los operado-
res a poder prever qu reas com.probara siempre el inspector.
Dadas las naturales constricciones del proceso de inspeccin, esta vi-
sin suscitara considerable simpata en muchos. No as en Lord Cullen,
qu e emiti el siguiente juicio sobre el proceso de regulacin 8 :
Aun mostrando comprensin por el hecho de qu e las inspecciones se basaran
en el mu estreo, me parece claro que eran superficiales hasta el punto de ser de
escasa utilidad como comprobaciones de la seguridad de la plataforma, pues
no detectaron diversas deficiencias bi en definidas y f.cilmente determinables .
Si bien la efectividad de las inspecciones se ha visto afectada por una continua
insufi ciencia de personal y una direccin inadecuada, la evidencia m e lleva a
preguntarme, en un sentido fundamental, si el tipo de inspeccin prac ticada
por el D epartamento de Energa poda ser un m edio efectivo de evaluar o vi-
gilar la gestin de la seguridad que llevaban a cabo los operadores .
Lord Cullen dedicaba a continuacin gran parte del segundo volu-
n1.en a proponer un nuevo modo de regulacin que, como veremos ms
adelante en este captulo, posteriormente ha sido implementado.
7 . Ibirl. , vol. 1, pp. 239-24 1.
8. Ibirl ., vol. 1, p. 253 .
2 12
1'1
8. La infeliz suer te del regulador
El Fokker-28 que se estrell en Dryden: la red de seguridad
que fall
EllO de marzo de 1989,justo despus de medioda, un Fokker-28 de Air
Ontario despeg del Aeropuerto Municipal de Dryden con 65 pasajeros
y 4 tripulantes a bordo. El aparato no logr ganar altura y se estrell a
po co m enos de un kilmetro del final de la pista. Murieron 21 pasajeros
y 3 miembros de la tripulacin. El pronstico meteorolgico haba pre-
visto lluvia y temperaturas bajo cero, y el despegue se produjo en medio
de un fu erte temporal de nieve. No se haba limpiado el hielo acumulado
sobre la superficie de las alas el avin y esa contaminacin fue la causa in-
mediata de la cada.
A primera vista, podra p arecer qu e estamos ante un caso evidente de
error del piloto, ya que obviamente el capitn se equivoc al decidir con-
tinuar el despegue en esas condiciones. Sin embargo, la investigacin pre-
sidida por el comisionado Virgil Moshansky, un juez de Alberta, dur dos
afios, reuni 34000 pginas de testimonios y escuch a 176 testigos antes
de llegar a la siguiente conclusin9 :
El accidente de Dryden [.. .] no fu e resultado de una sola ca usa , sino de una
combinacin de varios factores relacionados. Si el sistem a hubiera fun cio-
nado efica zm ente, todos esos fac tores habran sido detectados y corregidos
antes de adquirir significacin [ . .. ] el accidente fue el resultado de un fallo
del sistem a de transporte areo [en su conjunto].
Entre estos factores causales figuraban prominentemente las deficien-
cias identificadas a muchos niveles distintos en el regulador, Transport Ca-
nada, una agencia que se encontraba en una posicin difcil en el momento
del accidente, atrapada en un clsico doble vnculo: de un lado, la desre-
gulacin haba resultado en una carga de trabajo mucho mayor y, al mismo
tiempo, los recortes presupuestarios impuestos por el gobierno canadiense
significaban que el nmero de p ersonas cualificadas disponibles para des-
empe11ar sus responsabilidades, muy aumentadas, se haba reducido mucho.
Transport Canada se hallaba atrapado adems en una pesadilla burocrtica:
la aprobacin de aumentos de presupuesto, por ejemplo, requ era remitir
informes distintos a once niveles del ministerio correspondiente. Las ini-
9.V P. Moshansky, COllllllissioll oJ I/1 f}lIiry illto lile Air Olllnrio Cmsll ni Dryrlell, Onlnrio.
Fillnl Reporl, vol. 1, Ottawa, Ministry ofS upply and Services, 1992, pp. 5- 6.vase tambin
el anlisis del capitn D an Maurino en D. M aurino el ni. , Beyollrl A IJinlioll HlIl/lnll Fnclors,
AJdershot, Avebury, 1995 , pp. 57-85.
213
La gestin de los grandes riesgos
ciativas en pro de la seguridad haban sido sistemticamente rechazadas o
recortadas durante muchos aos. El resultado de esas constricciones fue
que la red de seguridad de la inspeccin y la supervisin del transporte
areo fall. La Investigacin Moshansky identific como causas concu-
rrentes del accidente de Dryden varios factores relacionados con Trans-
port Canada, entre los que se incluan:
- La ausencia de indicaciones a las aerolneas sobre la necesidad de qui-
tar el hielo.
- La ausencia de auditoras de las operaciones del F-28.
- No se haba aprobado un manual operativo del avin o un manual de
operaciones de vuelo.
- Seis meses despus de la entrada en servicio del aparato, no exista una
lista de equipo mnimo.
- El reglamento de navegacin area (la regulacin vigente) era incom-
pleto, contradictorio y ambiguo.
- La formacin y certificacin de los operadores estaba enteramente en
manos de las aerolneas. El operador responsable aquel da de los vue-
los del F-28 estaba insuficientemente cualificado, prepar una infor-
macin de despacho de vuelo incorrecta, no notific a la tripulacin
las condiciones de llu via helada ni tampoco las condiciones de sobre-
vuelo en Dryden.
El informe de la investigacin resumi la participacin de Transport
Canada en la secuencia del accidente del siguiente modo:
Transport Canada, en tanto que regulador, tea el deber de prevenir las gra-
ves deficiencias operativas del programa de los F-28 [... l. Si el regulador hu-
biera sido ms diligente y minucioso en la inspeccin de la im.plementacin
de los F-28 en Air Ontario, muchas de las deficiencias operativas que inci-
dieron en el accidente del vuelo 1363 podran haber sido subsanadas 10
Apenas pueden caber dudas de que estos fallos de regulacin fueron
consecuencia de fallos sistmicos profundamente enraizados, no de la ac-
tuacin inadecuada de algunos individuos situados en la primera lnea.
Los problemas de raz residan en las altas esferas de Transport Canada y
en el clima financiero impuesto por el gobierno de entonces. Los regula-
dores operativos que testificaron para la investigacin fueron muy expl-
citos en su condena tanto de las regulaciones vigentes como de la inaccin
10. V P Moshansky, op. cit., vol. 3., p. 914.
214
8. La infeliz suerte del regulador
crnica de la alta direccin de Transport Canada. Finalmente, la inves-
tigacin reconoci que, en su mayor parte, el personal de Transport Ca-
nada estaba compuesto por personas competentes y dedicadas que
sinceramente lo hacen lo mejor que pueden para garantizar un sistema
de transporte areo seguro para el pblico, a veces en circunstancias di-
llciles y frustrantes11.
Demos al Comisionado Moshansky la ltim.a palabra sobre la tragedia
de Dryden: Despus de dos aos de audiencias pblicas e investigacin
intensiva, creo que este accidente no sucedi por mera casualidad: se per-
miti que ocurriera12. En este caso, el fallo de la red de seguridad regu-
ladora era slo una parte, pero una parte significativa, de la dolencia que
aquejaba a todo el sistema de transporte areo canadiense.
El Piper Chieftain estrellado en Young, Nueva Gales del Sur
Hacia las 19:18 horas del 11 de junio de 1993, un pequeio aparato de vue-
los a corta distancia procedente de Sdney, con cinco pasajeros y dos pilo-
tos a bordo, toc unos rboles de una colina baja en su aproximacin al
aerdromo de Young, Nueva Gales del Sur, y se estrell. Seis personas mu-
rieron en el impacto o en el posterior incendio. El nico superviviente fa-
lleci en el hospital a la maana siguiente. Para lo que puede llegar a ser un
accidente de aviacin, ste fije un desastre relativamente pequeo, pero que
iba a tener consecuencias de gran alcance para el regulador, la Autoridad de
Aviacin Civil Australiana (Australian Civil Aviation Authority, ACAA)13.
Llev a cabo la investigacin la Oficina de Investigacin de la Seguri-
dad Area (Bureau of Air Safety Investigation, BAS), una agencia que
recientemente haba adoptado como marco terico para descubrir con-
tribuciones causales organizativas y sistmicas el modelo de causalidad de
los accidentes delineado en el captulo 114 . Adems de identificar defensas
fallidas o ausentes, fallos activos y factores locales inductores de errores, el
modelo dirige a los investigadores a considerar tambin los factores or-
ganizativos y los fallos latentes. Entre stos, el informe de BASI sobre el ac-
11. lbid. , vol. 1, p. Jo,.'viii.
12. lbid., vol. 1, p. 7.
13. Para evitar confiJsiones con o tras autoridades areas civiles, en este texto nos re-
feriremos a la CAA australiana como ACM .
14. Bureau of Air Safety Investigation (BAS1), Pipe/" PA31-350 Chiiftain YOUI'lg NSW 11
jlll'l e 1993, Investi gation Report 9301743, Canberra, ACT, Bureau of Air Safety Investlga-
tion, 1994.
215
La gestin de los grandes riesgos
cidente seal varias contribuciones de carcter regulador, que incluan los
siguientes factores:
- Objetivos en coriflicto. Las actividades de la divisin de seguridad y es-
tndares de ACAA tendan ms a favorecer la viabilidad del operador
(MonarchAir, una pequea aerolnea de viajes a corta distancia en di-
ficultades econmicas) que a atender las necesidades de la seguridad del
pblico que utilizaba el transporte.
- Difidente divisin de responsabilidades. Las responsabilidades, as como la
informacin crucial, estaban repartidas entre la oficina central de ACM
en Canberra y las oficinas locales de distrito -donde radicaban los
inspectores de operaciones de vuelo que efectuaban materialmente la
supervisin requerida legalmente-o Esto significaba que a nivel re-
gional, no haba una sola persona que tuviera una visin general y ex-
haustiva de la salud de la seguridad de Monarch.
- Difidente planificacin. La oficina de distrito responsable de Monarch no
formul ni emprendi un programa efectivo para supervisar las ope-
raciones de la aerolnea. El inspector de operaciones de vuelo al que
se haba asignado esa funcin tena una elevada carga de trab~o, por
lo que su enfoque era ms reactivo que proactivo. En consecuencia, su
supervisin de Monarch se reduca en gran medida a la inspeccin de
documentos. BAS! estim. que, dado el nmero de horas de vuelo que
el aparato haba acumulado durante el ao anterior al accidente, de-
bera haber pasado un mnimo de 14 horas, y una media de 17 horas,
de revisin en ruta. En realidad, no pas ninguna. Eso significa que el
regulador desconoca el estndar real de operaciones de vuelo de Mo-
narch. Un indicador que poda haber sido significativo en este caso
eran las circunstancias financieras de la empresa, pero en la ACAA no
exista ningn mecanismo que la indujese a tomar en consideracin la
posible conexin entre el estado financiero de una organizacin y su
capacidad para volar de manera segura.
- Recursos inadecuados. El inspector local de operaciones de vuelo estaba
sobrecargado de trab~o e infradotado de recursos. Era responsable de
la supervisin de unas 40 compaas en posesin de un certificado
de operador areo (air operators certifica te, AOC) y, adems, se le exiga que
se ocupase de sus deberes administrativos y de gestin durante largos
periodos, sin dej ar de atender por ello la supervisin de los poseedo-
res de AOC que tea asignados. BAS! lleg a la conclusin de que se-
mejante carga de trabajo era inabarcable.
2I6
8. La infeliz suerte del regulador
- Comunicaciones inrifectivas. Una regulacin efectiva requiere una buena
comprensin de la organizacin supervisada. Sin embargo, la mayor
parte de la comunicacin entre Monarch y la oficina del distrito de
ACAA tena lugar de modo formal; no n1.ostraba indicacin alguna de
que hubiera una estrecha relacin de trabajo entre ambas partes. Haba
escaso contacto personal entre el inspector asignado y los responsa-
bles de las operaciones de vuelo de Monarch.
- Control dificiente. Los investigadores no hallaron evidencia alguna de
que la oficina de distrito de la ACAA ejerciera un control efectivo sobre
la supervisin de Monarch. Es ms, el inspector asignado careca del
apoyo y la supervisin adecuados por parte de su direccin operativa.
- Procedimientos operativos dificientes. La divisin de seguridad y estndares
careca de los procedimientos necesarios para garantizar que Monarch
continuaba satisfaciendo las exigencias requeridas al poseedor de un
Aoc.A pesar de que unos meses antes del accidente se haban detectado
deficiencias de las operaciones de vuelo de Monarch, la ACAA pareca re-
nuente a tomar medidas t~antes para mejorar los estndares operativos
de la compaa. En ausencia de una estrategia coordinada de vigilan-
cia, aunque se luantuvo una serie de reuniones con Monarch, no se
consigui que se materializasen las significativas mejoras requeridas.
La investigacin de Monarch recibi considerable atencin en los me-
dios de comunicacin australianos y suscit una gran preocupacin p-
blica por la seguridad de las pequeas aerolneas que cubran distancias
cortas y por la efectividad del programa de supervisin y vigilancia de la
ACAA. Esa preocupacin alcanz su punto cuhninante en mayo de 1994,
cuando el portavoz de la oposicin en materia de transporte en el Parla-
mento Federal acus airadamente de trasgresin en materia de seguridad
a Seaview Air, una pequea aerolnea de alquiler que operaba entre Lord
Howe 1sland y el continente australiano. El anterior piloto jefe de Seaview
Air era la fuente de unas acusaciones que la compaa propietaria de Sea-
view Air neg enrgicamente y tach de ... infundadas, calunmiosas, di-
famatorias y totah1.1.ente incorrectas. Ese mismo da, la empresa recibi el
decidido apoyo del director de la seguridad area de la ACAA I5 .
En octubre de 1994, un Aero Conmunder propiedad de Seaview Air
cay al mar entre Newcastle, en Nueva Gales del Sur, y Lord Howe 1s-
land. Murieron ocho pas~eros y el piloto. Poco despus del accidente, el
15 . Editorial del The Sydney Momillg Hemld, el7 de octubre de 1994.
2I7
La gestin de los grandes riesgos
Sydney Morning Rerald public un artculo que citaba la siguiente decla-
racin del director de regulacin de la seguridad area de la ACAA: Hemos
estado observando muy activamente cmo realiza operaciones Seaview
Air y consideramos que lo hace de forma totalmente satisfactoria. El
miSlTlO artculo revelaba a continuacin que en enero de 1994 la ACAA
haba advertido a Seaview Air que se arriesgaba a ver suspendido su per-
miso de vuelo a menos que corrigiese serias deficiencias operativas. La
carta de la ACAA describa esos problemas como L1l1a causa importante de
preocupacin desde la perspectiva del cumplimiento de la regulacin y la
seguridad. Dichas deficiencias incluan:
- Que la sobrecarga de los aparatos vena siendo la nornu desde hace
algn tiempo .
- Volar sin ayudas a la navegacin de emergencia.
- Anunciar la aerolnea COlT10 un servicio regular de pasajeros cuando en
realidad era un servicio de alquiler.
- Que la formacin de algunos pilotos era deficiente.
- Que un piloto haba efectuado un trayecto sin plan de vuelo.
El editorial del S)'dne)' Morning R emld del 7 de octubre de 1994, seis
das despus de la tragedia del Aero Commander, informaba que la ACAA
haba modificado su posicin anterior y admita que, en efecto, haba in-
dicado a Seaview que estaba conculcando las normas de seguridad, pero
que esas infracciones haban sido rectificadas satisfactorianlente. El mismo
editorial sealaba tambin que cuando en el mes de mayo se haba dis-
cutido el tema en el Parlamento Federal, el sei'or Brereton, ministro de
transporte, se haba limitado a remitir las preguntas de la oposicin a una
comisin parlamentaria. El editorial comentaba: Esta respuesta fue esen-
cialmente un reajuste domstico, cuando, a la luz de los acontecimientos
subsiguientes, habra sido necesaria una actuacin mucho ms directa en
el sentido de una reorganizacin del servicio.
La reorganizacin no tard en llegar. Una semana despus del acci-
dente, el ministro ces al director de seguridad de la ACAA. Doce das des-
pus del accidente, y como consecuencia de l, se orden a la polica
federal que abriera una investigacin sobre presuntos hechos constituti-
vos de delito de corrupcin en la ACAA I6 . La misma semana, el ministro
Brereton anunci que el Gabinete Federal haba acordado instituir y dotar
16. M. Riley, Police to investigate CAA link to Seaview, The Synne)' lVlo fl'li/'/g H eraln,
14 de octubre de 1994.
218
8. La infeli z suerte del regulador
de presupuesto a una nueva agencia de seguridad area independiente,
que sustituira al departamento de regulacin de la seguridad area de la
ACAA I7 , por considerar que sta era la forma idnea de resolver el conflicto
inherente entre las funciones econmicas y polticas de la ACAA.Anunci
tambin que la financiacin pblica para la regulacin de la seguridad au-
mentara un 20%. Entre tanto, el ministro Brereton resista las peticiones
de dimisin por su gestin de la ACAA (la oposicin lo llam Poncio Pi-
latos en la nieve cuando se confirm que haba continuado sus vacacio-
nes de esqu despus de ser informado de la tragedia del Seaview). Al ao
siguiente, la ACAA fue disuelta y sustituida por dos agencias, la Civil Avia-
tion Safety Authority, encargada de regular la seguridad area, y Air Ser-
vices Australia, que se ocupara del control del trfico areo y aspectos
similares de las anteriores competencias de la ACAA. Cmo funcionar esta
nueva organizacin tras el reciente cambio de gobierno es algo que habr
que ver.
La desregulacin del sector de la aviacin en Australia haba producido
un ramo de corta distancia, un tercer grupo de aerolneas, que inclua un
gran nmero de operadores con un solo avin y un solo piloto y que em-
barcaban hasta una docena de pasajeros desde y con rumbo a los centros
regionales de Australia. La mayora operaba bajo las normas, relativamente
laxas, que gobernaban las operaciones chrter. A diferencia de los Estados
Unidos, donde los nuevos operadores deben demostrar que cuentan con
recursos suficientes para mantener su aparato, en Australia cualquiera que
pueda conseguir prestado, mendigar o robar un avin lo bastante decente,
puede convertirse en el magnate de su propia aerolnea18.
Esta situacin podra haber sido manejable si la ACAA hubiera dispuesto
de los recursos necesarios para mantener la seguridad area, y el decidido
propsito de hacerlo, pero se trataba de una agencia comercial, financiada,
en parte, por aqullos a quienes regulaba . Como resultado, la ACAA senta
una natural preocupacin por sostener la viabilidad comercial de sus ope-
radores-clientes en el sector del transporte de corta distancia. Fue este
conflicto de objetivos el que, con el tiempo -y probablemente de forma
inevitable-, provoc su desaparicin.
17. M. Taylar, Brereto n strips CAA safety rol e, Th.e Ca/1berm Tin/es, 13 de octubre de
1994.
18. Financial Re/Jiew, 11 de octubre de 1994.
219
La gesti n de los grandes riesgos
EL ATAQUE CONTRA LOS REGULADORES ESTADOUNIDENSES
El siguiente titular apareci en el New York Ti/'nes en noviembre de 1995:
El laxo sistem.a de inspeccin de la Administracin Federal de Aviacin
(Federal Aviation Administration, FAA) convierte el espacio areo en Un
lugar ms peligroso. El artculo de fondo que venia a continuacin, es-
crito por Adam Bryant, recoga la crnica de algunos de los problemas que
acosaban a la FAA, uno de los organismos reguladores ms grandes y pres-
tigiosos del mundo.
La investigacin del New York Ti/'I'l es -basada en do cumentos oficia-
les y entrevistas a insp ectores, funcionario s de la age ncia y expertos del
sec tor- identific dos defectos del sistema de inspe ccin de la FAA que
juzg graves l9 . Primero, no pareca que pudiera imputarse responsabilidad
alguna a los inspectores por no desc ubrir o realizar el seguimi ento de de-
fici encias que posteriormente estuvieran implicadas en accidentes fatales.
La Oficina N acional de Seguridad en el Transporte (National Transport
Safety Board, NTSB), la agencia que investiga los accidentes areos en Es-
tado s Unidos , identific la incapacidad de la FAA para ac tu ar agresiva-
mente contra las sup ervisiones laxas como un fa ctor incidente en tres
accidentes areos con vctimas mortales, as como en un accid ente sufi-ido
por un aparato de la propia FAA. Segundo, un nmero significa tivo de ins-
pec tores ca reca an de la forma cin necesaria para ha cerse cargo de los
aviones y el equipo qu e se les haba encomendado sup ervisar. Por ejem-
plo, muchos inspe ctores declararon que se les haba asignado sup ervisar
flotas de Boeing 737 sin hab er recibido nunca formacin sobre ese apa-
rato. En el ao 1994-95 slo unos pocos de los 143 inspectores qu e su-
pervisaban a los pilotos que volaban en un avin turbohlice de uso muy
extendido, el ATR, estaban plenam ente cualificados ellos mismos para pi-
lotar esa clase de avin. La NTSB seI'al esa falta de formacin del perso-
nal regulador como factor causal concurrente en tres accidentes areos
desde 1983.
En respuesta a estas crti cas, los funcionarios de la agencia sealaban la
tasa na cional de accidentes areos - una de las ms baj as del mundo-
co mo prueba de que el sistema funcionaba. Sus crticos, sin embargo, re-
plicaron que confiar en un historial de seguridad medido por una tasa
baj a de resultados negativos es una equivocacin similar a co nsiderar se-
19. A. Bryant, Marginal safety: a special repo rt, T/ e Nel/J York Til/l es, 13 de noviem-
bre de 1995 .
220
8. La infeliz suerte del regulador
guro un neumtico desgastado mientras no explote_La contumaz nega-
tiva de la FAA a reconocer qu e existan aguj eros en su red de seguridad
lleg a irritar al senador William S. Cohen, presidente del Comit del
Congreso encargado de inves tiga r el sistema de insp eccin de la FAA. La
actitud de la FAA, afirm, ha consistido en negar las acusaciones, defen-
der su actuacin y desviar las cues tiones .
Como muchas agencias comparables en otros pases, el servicio de ins-
peccin de la FAA no anda sobrado de recursos . Cuenta con 2500 inspec-
tores de seguridad para sup ervisar 7298 aparatos perten ecientes a
aerolneas, 184434 aparatos de aviacin general, 682959 pilotos en activo,
4817 instalaciones de reparacin, 656 esc uelas de formacin de pilotos y
192 escuelas de mantenimiento. Cada aI'o, un inspector realiza ms de
400 inspecciones, cuya duracin oscila entre los cinco minutos y las cinco
semanas. El salario medio anual es de 57500 dlares.
Como en otros pases, la desregulacin del sector areo en 1978 no ha
hecho ms fcil, en absoluto, la tarea de los reguladores . Antes estaban
convencidos de qu e podan confiar en que los trabaj adores del sector ha-
ran bien su trabajo ; pero ahora, cuando una de ca da cuatro aerolneas
quiebra cada ao y otras nuevas ocupan su lugar, hay fu ertes presiones
comerciales para reco rtar costes en seguridad. En palabras de un inspec-
tor veterano: Te encuentras con mecnicos que falsifi can docum.entos y
pasan por alto cosas qu e para ellos so n obvias porqu e tienen miedo a las
represalias de sus j efes.Ya no hay co nfianza.
La FAA no es la nica agencia reguladora estado unidense acosada. El
4 de marzo de 1996 la revista Ti/'n e public un extenso artculo sobre la
Comisin R eguladora de la Indu stria Nuclea r (Nuclear Regulato-
ry Commission, NRC), la agencia responsable de supervisar la seguridad
de los 110 reac tores com erciales existentes en Estados Unidos. Su titu-
lar deca as: Dos valientes ingenieros de Connecticut denuncian el pe-
ligroso juego de la NRC: no exigir, de forma habitual, el cumplinento
de la normativa de seguridad para permitir qu e las centrales m antengan
bajos sus costes y sigan conec tadas a la red20.
El problema tea que ver con el uso de una gran masa de agua de-
nominada piscina de co mbustible gastad0 21. Hay un tipo de central nu-
clear que debe parar cada 18 meses para sustituir las barras de combustible.
20. E. Pooley, Nuclear warriors, Tim e, 4 de marzo de 1996.
21. La piscina (pool) puede denominarse tambin estanqu e (po/ld), como en el R eino
Unjdo, por ejemplo.
22I
La gestin de los grandes riesgos
Las barras gastadas -radiactivas y a muy alta temperatura- se disponen
sobre parrillas en el interior de la piscina. Debido a que el gobierno fede-
ral no ha construido un lugar de almacenamiento para los desechos de alta
radiactividad, estas piscinas se han convertido, de facto, en vertederos nu-
cleares, mu chas de ellas casi al limite de su capacidad. Si el sistema fallase
las piscinas se transformaran en calderos hirvientes de los que se elevara~
nubes de vapor radiactivo. Peor an, si una piscina perdiera el agua que
contiene a consecuencia de un terremoto, un fallo tcnico o un error hu-
mano se producira el equivalente a la fllsin de varios ncleos fuera del
rea de contencin, lo que liberara cantidades masivas de radiactividad
que haran inhabitables grandes extensiones de Estados Unidos.
Para controlar estos riesgos, las regulaciones federales exigen que las
centrales ms antiguas, que no disponen de los sistemas de refrigeracin
ms recientes, lleven a la piscina slo una tercera parte de las b arras al
mismo tiempo. En la central en cuestin, uno de los ingenieros de ms alto
rango descubri que se estaba llevando a la piscina todo el combustible a
alta tempera tura a la vez; y tambin que esa prctica llevaba vigente al
menos 20 aos. Adems, en lugar de cumplir con el periodo de enfria-
miento de 250 horas prescrito, el combustible se retiraba slo 65 horas
despus de la parada. M erced a este expediente, la central reduca en dos
semanas el tiempo sin actividad que supona cada recarga de combustible,
lo que constitua una ahorro de siete millones de dlares aproximada-
mente en los costes de la operacin.
As dio comienzo una lucha, que dur tres aos, para enmendar las
cosas. Durante 18 m eses los superiores del ingeniero negaron que existiera
el problema y rehusaron informar a la NRC. M s adelante, la direccin
contrat consultores externos para demostrar que el ingeniero estaba
equivocado, pero que acabaron mostrndose de acuerdo con l. Final-
mente, el ingeniero llev el asunto directamente a la NRC y descubri que
los reguladores nucleares estaban al tanto de esa prctica cuando menos
desde haca 10 aos, sin que hubieran adoptado ninguna medida para po-
nerle fin . La NRC se defendi diciendo que se trataba de una prctica muy
extendida , y segura, siempre que el sistema de refiigeracin de la central
hubiera sido diseado para asumir esa carga de calor -lo que no era el
caso en la central en cuestin- oAsimismo se descubri que existan cen-
trales con problemas similares en la gestin de sus piscinas de combusti-
ble gasta do en otros tres Estados.
En su respuesta escrita a un cuestionario que Time le haba enviado por
fax, el director ejecutivo de la NRC afirm que la responsabilidad de la se-
222
8. La infeliz suerte del regulador
guridad corresponde a las empresas . .. La NRC es esencialmente una agen-
cia de auditora . Con slo cuatro inspectores por cada tres centrales,
hemos de concentrarnos en las cu estiones con mayor significacin para
la seguridad. Se nos pueden pasar por alto cosas.
Como ocurre en otros lugares, la NRC recibe ataques desde todos los
flancos . El senador por Delaware Joseph Biden, que presiona para crear
una oficina de seguridad nuclear independiente, al margen de la NRC, des-
cribi el estilo de regulacin de sta como el de el zorro al cuidado del
gallinero. Los crticos de la NRC sealan tambin que la industria nuclear
estadounidense pu ede vetar la designacin de candidatos a ingresar en su
comit de direccin si los juzga demasiado hostiles, mientras que los re-
guladores complacientes encuentran la puerta abierta para oc upar bue-
nos empleos en las empresas del sector nuclear. El director ejecutivo de
un grupo de apoyo a quienes denuncien irregularidades llamado No-
sotros, el pueblo coment: Todo se reduc e a dinero ... C uando un
asunto de seguridad es demasiado caro para el sector, la NRC simplemente
lo arrumba. Al mismo tiempo, el propio sector nuclear se queja de que
muchas de las normas de la NRC disparan sus costes sin mejorar la seguri-
dad porque el sistema de regulacin no se ha mantenido al da de los
avances tecnolgicos22.
Como sus homlogos de otros pases, este organismo regulador se en-
cuentra entre la espada y la pared.
CONDENADO TANTO SI LO HACES COMO SI NO
Por todo el mundo las agencias reguladoras parecen atrapadas, sin espe-
ranza de salvacin, en un embrollo de dobles vnculos . Considrense los
siguientes:
- La carga de trabajo ha aumentado a la vez que se han recortado drs-
ticamente sus recursos.
- Con frecuencia, se acusa a los reguladores de sup ervisin indulgente
y de relaciones de colusin co n sus clientes, mientras que estos mis-
mos los consideran a menudo intrusivos, obstructivos, amenazantes,
rgidos, anticuados, ignorantes y, por lo general, hostiles a sus presio-
nes de carcter comercial.
22. E. Pooley, op. cit.
223
La gestin de los grandes ri esgos
- Las investigaciones de accidentes declaran a los reguladores culpables de
no estar plenan'lente familiarizados con los detalles de las operaciones
de sus clientes y de pasar por alto factores causales importantes; pero el
nico modo que tienen los reguladores de obtener esa informacin es
que los propios operadores se la proporcionen, o bien realizando ins-
pecciones y seguimientos peridicos. Despus de un accidente, estas
omisiones adquieren una significacin siniestra, pero para los regula-
dores, pertrechados nicamente con su capacidad de previsin, esos
factores no son sino otras ms de las posibles contribuciones a un fu-
turo accidente. Como ya dijimos, una advertencia slo lo es reah1'lente
si se sabe qu clase de contingencia sufrir la organizacin.
- Los reguladores de primera lnea son generalmente tcnicos especia-
listas. Sin embargo, los accidentes ms graves surgen de interacciones
imprevistas -y con frecuencia imprevisibles- entre factores huma-
nos y organizativos, cuya importancia slo han comenzado a recono-
cer los legisladores en materia de salud y seguridad en fechas muy
recientes y en los trminos ms generales.
En resumen, los reguladores estn en una posicin imposible : se les
pide que prevengan los accidentes organizativos en mbitos de alta tec-
nologa a pesar de lo poco que se conoce todava de la etiologa de estos
raros y complejos sucesos -como este libro trata de dejar claro.
Pero esto no siempre fue as. Algunas de las ms espectaculares reduc-
ciones de accidentes -generalmente relacionadas con individuos que se
enfrentaban a peligros claramente definidos en situaciones concretas-
han sido fi:uto de la introduccin de legislacin sobre seguridad, unida a
una regulacin y un esfuerzo efectivos por hacer cumplir las normas.
A continuacin dedicaremos una breve seccin a estas historias de xito
con objeto de reequilibrar la balanza.
LEGISLACIN y REGULACIN: ALGUNOS GRANDES XITOS
Tras una de las batallas del general Grant, durante la guerra civil estadou-
nidense, un poltico de Washington, descontento con las elevadas bajas
(unas 19000) que haban sufi'ido las fuerza s de la Unin, acus a Grant de
matar ms hombres que los ferrocarriles. Aunque, a primera vista, esto pa-
rece poco ms qu e mera retrica poltica, una mirada ms atenta aln-
mero de empleados muertos en operaciones ferroviarias en el siglo XIX
revela que no era en absoluto una exageracin. En el ao 1892, por ejem-
224
8. La infeliz suerte del regulador
plo, los ferrocarriles estadounidenses empleaban a 821415 personas, de las
cuales 30821 resultaron heridas o fallecieron a consecuencia de acciden-
tes laborales. De stos, el 35% estuvieron relacionados con operaciones
de enganche de vagones de carga y otros. Antes de esa fecha, entre 1877
y 1887, el 38% de todos los accidentes sufridos por los trabajadores ferro-
23
viarios estuvieron relacionados con las maniobras de enganche .
Hasta que el Congreso aprob la Safety Appliance Act, en 1893, la
tarea de enganche implicaba introducir una barra de conexin en una
mordaza de acoplamiento y luego insertar un pasador a travs de un ori-
ficio de la barra para fijarla en su sitio. Para efectuar esta operacin, los
operarios deban situarse entre los vagones en movimiento durante el en-
ganche y a menudo resultaban heridos y, en ocasiones, muertos .
En 1873 , EliJ.Janney -empleado de un negocio tex til y antiguo ofi-
cial confederado- patent un enganche a modo de nudillo que p ermi-
ta a los trabajadores ferroviarios enganchar y desenganchar los coches sin
necesidad de estar entre ellos para dirigir la barra e insertar el pasador. El
mercado se vio inundado de pronto por miles de enganches p atentados,
pero el diseo de Janney era claramente el mejor. En 1888, la Asociacin
de maestros constructores de vagones adopt como estndar el enganche
de Janney. El Congreso, convencido de que el dispositivo poda efectuar
la tarea con seguridad, aprob la Safety Appliance Act en 1893, convir-
tiendo el enganche de JaImey en obligacin legal para toda la industria fe-
rrOVIana .
El impacto fue aso mbroso. La tasa de accidentes cay espectacular-
mente durante los 10 aos siguientes, y hacia 1902 (slo dos aos despus
de que terminase el periodo de gracia de siete aos concedido por la Ley)
los accidentes en maniobras de enganche representaron slo el 4% de los
accidentes sufridos por los empleados. En trminos absolutos, los acci-
dentes relacionados con el enganche cayeron de unos 11 000 en 1892 a
poco ms de 2000 en 1902, a pesar del continuo aumento de la cifra de
empleados en los ferrocarriles durante esa dcada -de 873602 en 1893
a 1189315 en 1902-. Es interesante que no hubiera una reduccin en la
proporcin de empleados ferroviarios que sufrieron accidentes: co nti-
nuaron siendo en torno a un 3-4% de la fuerza laboral total ao tras ao.
23. La informaci n relativa al descenso de los accidentes durante las maniobras de
enganche procede de The Un ited S tatus Law Week, 27 de febrero de 1996, 64, p. 411 2 .
Estoy enormemente agradecido a M.ichael Baram por hab erm e facilitado este texto, aun-
que no estoy seguro de qu e ap robase enteramente el uso que hago de l aqu.
225
1I1
La gestin de los grandes riesgos
Otras leyes de seguridad de xito visible han tenido por objeto la in-
troduccin de lmites de velocidad en las carreteras. La imposicin de1l_
mite de 30 millas por hora en las carreteras britnicas en la dcada de los
treinta produjo la mayor reduccin de las muertes por accidente de ca-
rretera debida a un solo factor. La reduccin del lmite nacional de velo-
cidad de 70 a 55 millas por hora aprobada en los Estados Unidos en 1974
en respuesta a la crisis del petrleo, redujo la tasa de accidentes mortales el;
un 34%. La posterior elevacin de ese lmite a 65 millas por hora en los
tramos rurales de las autopistas interestatales condujo a un aumento del
16% en los accidentes mortales.
En Gran Bretaa, la obligatoriedad de que el conductor y el pasajero
del asiento delantero lleven puesto el cinturn de seguridad entr en
vigor el 31 de enero de 1983. La comparacin de los meses de febrero a
diciembre de ese ao con el mismo periodo del al10 anterior revel una
reduccin de los fallecimiento s del 23% y del 26% de los h eridos graves.
Un estudio posterior concret que el descenso de las muertes y los daos
graves haba sido del 23% para los conductores y del 30% para los pasa-
jeros del asiento delantero -los individuos directam.ente afectados por
la Ley.
Por supuesto, podram.os continuar con el catlogo de efectos benefi-
ciosos de otras leyes de seguridad, como la obligatoriedad del casco para
los motociclistas -y los efectos adversos de su derogacin en algunos Es-
tados de Estados Unidos-, pero la idea est clara. La legislacin dirigida
a coartar determinados tipos de actos peligrosos ha tenido un impacto
muy grande. Pero siem.pre en el caso de accidentes individuales, en los que
las personas amenazadas, los riesgos y las situaciones peligrosas eran todos
bien conocidos.
Por desgracia, no existe el mismo nivel de concrecin - o incluso de
comprensin- en el caso de los accidentes organizativos. As pues, la cues-
tin sigue en pie: qu podran hacer los reguladores para ser ms efecti-
vos en la limitacin de la fi-ecuencia y gravedad con que ocurren estos
infrecuentes pero catastrficos sucesos? Para responder a esta pregunta ne-
cesitamos primero reflexionar sobre la naturaleza del proceso de regula-
cin y analizar cmo acontecimientos clave, como la Ley de Salud y
Seguridad en el Trabajo britnica (1974) y el Informe Cullen sobre Piper
Alpha, han cambiado el modo de elaborar y hacer cumplir las leyes sobre
seguridad.
226
8. La infeliz suerte del regulador
AUTONOMA y DEPENDENCIA COMO CONSTRICCIONES
DEL PROCESO DE REGULACIN
Las autoridades reguladoras son agentes de control social. La bibliografa
sobre organizaciones es rica en exposiciones tericas sobre dicho proceso
de control, pero aqu daremos preferencia al ofrecido por Diane Vaughan
4
en su minucioso anlisis del accidente del Challenger _ Lo que hace a las
nociones de Vaughan sobre autonoma e interdependencia organizativas
articular mente relevantes para las cuestiones que ahora nos conciernen
~s que las elabor para dilucidar los problemas de regulacin que pueden
contribuir -y que as lo hicieron- a un accidente orgamzatIvo.
La esencia de su argum.ento es que el proceso regulador -descubri-
miento, vigilancia, investigacin y sancin- est constreido inevitable-
mente por las relaciones interorganizativas entre la agencia reguladora y
la empresa regulada, lo cual, a su vez, lleva a que sus relaciones se basen
ms en la negociacin y el compromiso que en amenazas y castigos. El
hecho de que tanto el regulador como el regulado sean autnomos, que
existan como entes separados e independientes, plantea al primero pro-
ble111.as especiales . Su estructura fsica, su cultura y las m edidas adoptadas
para limitar la filtracin de hechos sensibles -la informacin que se trans-
mite al exterior se criba- aslan, en diferentes m.edidas, delmedlO exte-
rior a todas las organizaciones, y, adems, stas tienden a ser muy selectivas
en sus intercambios de informacin con organizaciones externas, y espe-
cialmente con los reguladores.
stos, por su parte, intentan atravesar las fronteras de las organizacio-
nes que regulan solicitando ciertas clases de informaciones y efectuan,do
visitas peridicas a sus instalaciones. No obstante, estas estrategIas solo
pueden procurar atisbos aislados de las actividades de una organizacin_ El
tamao, la com.plejidad, las peculiaridades de la jerga organizativa (como
en el caso de la NASA, por ejemplo), el rpido avance de la tecnologa y, en
ocasiones, la opacidad intencionada se combinan para dificultar qu e el re-
gulador adquiera una visin profunda, general y exhaustiva de cmo lleva
realmente sus asuntos la organizacin.Y es probable qu e los reguladores
individuales que afrontan estas dificultades, siendo ellos mismos miem-
bros de una organizacin autnoma con su propia agenda, transmitan a sus
superiores inmediatos la impresin de que saben ms de lo qu e realmente
24. D.Vaughan, "Autonomy, interdependence, and social contro~: NASA and the space
sl1Uttle C/ alIel'lgw> , A dl'l,;nistmtilJe Sciel'lce QI.Ia/terly, 35,1990, pp. 22;)-233.
227
La gesti n de los g rand es ri esgos
saben sobre la organizacin que regulan. Confesar que no pueden p ene-
trar hasta el corazn de los asuntos de la organizacin que tienen asignada
significa adm.itir que carecen de las habilidades investigadoras necesarias
o que no estn llevando a cabo su trabajo con la suficiente diligencia, o
am.bas cosas. A los reguladores tambin les preocupan sus carreras.
En su esfuerzo por vencer esos obstculos, los reguladores tienden pau-
latinamente a depender de la ayuda que las organizaciones reguladas les
prestan para obtener e interpretar la informacin. Esa interdependencia
puede socavar e! proceso regulador de diferentes maneras. A travs delma-
terial que escoge comunicar y de la forma de presentarlo, la organizacin
regulada puede manipular el conocimiento del regulador acerca de la na-
turaleza y gravedad de un problema de seguridad. Los reguladores son seres
humanos, y como tales tienden a establecer relaciones personales con los
regulados - la gente que supervisan acaba por caerles bien y llegan a sen-
tir simpata por sus problemas en el mbito personal- y esto, a veces, com-
promete su capacidad para identificar, informar de, o sancionar infi..acciones.
Las malas relacion es consumen recursos escasos, gastan un tien"lpo va-
lioso y son desagradables y, con fiecuencia , contraproducentes -en par-
ti cular cuando se secan las fu entes internas de informacin-o Como
resultado, generalmente ambos, regulador y regulado, tienden a evitar los
encuentros antagnicos y a favorecer la negociacin y e! rega teo frente al
conflicto y la confrontacin. Diane Vaughan resume la situacin con las si-
guientes palabras:
Es probable qu e las situaciones de lTlutua dependencia engendren continua-
mente negociaciones y regateos en lugar de tcticas de confrontacin en un
proceso en que cada parte intenta controlar el uso que la otra hace de sus re-
cursos alnusmo ti empo que procura conservar los suyos. Interpretar las con-
secuencias de estas negociaciones y regateos (por ejelTlplo, que la sancin sea
el anlogo de un tirn de orejas, o que no haya sancin alguna) como fallos
de regulacin es no cOl11.prender la cuestin. El comprom.iso es un patrn de
logro del cumplinuento de las normas que la estructura de las relaciones in-
terorgan.izativas de regulacin genera sistemticamente 25
EL CAMBIO HACIA LA AUTORREGULACIN
Las dos o tres dcadas pasadas han sido testigos de una drstica transfor-
macin en la forma de elaborar la legislacin sobre seguridad en muchos
25 . birl. , p.227.
228
8. La infeli z suerte del regulado r
ases industrializados. Di cho de! modo ms sencillo, se ha pasado de leyes
~ue especificaban los m edios por los que deba conseguirse qu e se traba-
jase de forma segura, a leyes que disponen e! logro de dete~nunados o.bJe-
tivos de seguridad; en lu gar de normas que dlCtan los requlSltos concretos
que individuos u organizaciones han de cumplir, dejndoles escasa o nula
discrecin para apartarse de lo prescnto, la tendenCIa actual apunta hacra
normas que subrayan los resultados que se exigen a la gestin de la s~gu
ridad y conceden a los operadores de las tecnologas de alta pehgr~sldad
considerable libertad para determinar los m edios por los qu e alcanzaran dI-
chos resultados.
Lograr obj etivos de seguridad presupone dos funciones organizativas
bsicas26. Primero, exige disminuir la probabilidad de que sucedan aCCI-
dentes, mediante la identificacin y eliminacin de las circunstancias que
los causan. Segundo, requiere reducir las consecuencias di.osas de los ac-
cidentes qu e an sucedan -estableciendo procedimientos de mitigacin
de accidentes y de respu esta de emergencia, reduciendo aquellos factores
causales que tengan mayor probabilidad de aumentar los daos materia-
les y personales y trasladando las potenciales vc timas y los activos ame-
nazados fuera de la zona de peligro-oSobre ambas funCIOnes mfluye de
forma determinante qu juzgu e una sociedad, o una tecnologa, sufi-
cientemente seguro. Existen varios enfoques diferentes:
_ El enfoque defactiblidad o ALARP (los riesgos deben mantenerse tan bajos
como sea razonablemente factible, as loUl as reasonably practicable). Se-
guridad es lo logrado en e! punto a partir del cual para la organizacin
no es ni tecnolgica ni comercialmente factible hacer ms.
_ El enfoque de riesgo comparatilJo. La seguridad se determina sobre la base
de compara ciones con otros riesgos qu e la sociedad acepta volunta-
riamente (por ejemplo, la decisin de utilizar el transporte areo, de
viajar por carretera, de fumar, etc.). .
_ El enfoque de rnnirnos. Existe seguridad cuando los riesgos se consIde-
6
ran insignificantes, comnmente cuando su probabilidad es 10- o
n"lenor.
_ El erifoque de riesgo cero. Existe seguridad slo cuando no hay riesgo al-
guno de que suceda un accidente con consecuencias perJudICIales.
26. M. Baram, The use of rules to achieve safety: introductory remarks, ponencia
presentada al Workshop 011 the Use ofRules to Achieve Safety, Bad Homburg, Alemama,
6 de m ayo de 1993.
229
 La gestin de los grandes riesgos
Como ha sealado Michael Baram, profesor de derecho en Boston:
Con independencia del concepto que en un momento particular de la his-
tona se II1voque para defil11r lo que sea la seguridad, a medida que una so-
ciedad progresa demanda un nivel ms alto de ella. As pues, la seguridad es
un obJetiVO en ITlOvllruento que se desplaza continuamente hacia el riesgo
cero, excepto ?or ll1terrupclOnes que sobrevienen durante periodos de ad-
versidad econonuca o de elevado desemple0 27
La breve relacin del movimiento hacia la autorregulacin que ex-
pondremos a continuacin se centrar en la escena britnica, pero
desarrollos comparables han tenido lugar en otros pases. Vase, por ejem-
plo, la Ley de Planes de Emergencia y Derecho de la Ciudadana a Saber
aprobada por el Congreso de los Estados Unidos en 1986 y las enmien-
das a la Ley de Aire Limpio promulgadas por el Congreso en 1990.
A lo largo de la primera m.itad del siglo xx, la legislacin britnica
sobre seguridad estuvo firmemente asentada en el Modelo de la Le
de Fabricas28, y se caracteriz por su fi-agmentacin y por la ausencia d~
participacin de la fuerza laboral. Desde mediados del siglo X IX, la ten-
dencia haba favorecido la aprobacin por parte del Parlamento de le es
muy especficas cuya redaccin inclua regulaciones prescriptivas de~a
lladas de actividades laborales concretas. La falta de participacin de los
trab~Fdores era un legado de la tradicin de la Ley de Fbricas, que im-
poma obligaCIOnes a los empleadores y vea la participacin de los tra-
baJadores en el esfu erzo por mejorar la seguridad principalmente como
una cuestin de disciplina que era responsabilidad de los empleadores
hacer cumplir.
Hacia finales de la dcada de los sesenta este rgido edificio legislativo
-una gran pila de colecciones de normas relativas a cada sector amon-
tonadas unas sobre otras- comenzaba a desmoronarse. El rpido aumento
de la tasa de accidentes, junto a los arrolladores cambios que se estaban
prodUCIendo en las tecnologas y los materiales, induj o la exigencia ge-
neralizada de una nueva legislacin sobre salud y seguridad. El gobierno
cre una comisin de investigacin presidida por Lord Robens, hasta en-
tonces presidente de la Oficina Na cional del Carbn. Las recomendacio-
nes del Informe Robens se promulgaron - con sorprendentemente pocos
retoques por parte del gobierno- en la Ley de Salud y Seguridad en el
27. Ibirl. , p.3.
28 . S. Dawson,PWillman, M. Bamford y A. Clinton, Scifet}' at Work:Tile Lilllits of Se!f
Regl/la!lOl/, Cambridge, Cambridge University Press, 1988.
230
8. La infeliz suerte del regulador
Trabajo (Hea lth and SaJety at Work Act, Ley HSW) de 1974. Esta ley inici
el movim.iento en direccin a la autorregulacin.
La Comisin Robens identific varios defectos graves en el sistema
legal vigente para la promocin de la salud y la seguridad en el trabajo. El
primero, y el ms fundamental, era que haba demasiada legislacin, si-
tu acin que tena por efecto condicionar a la gente a creer que la salud
y la seguridad en el trabajo eran primeramente y por encima de todo un
asunto de normas m.inuciosas impuestas por agencias externas29. El se-
gundo defecto era que gran parte de la legislacin existente era insatisfac-
toria. Era ininteligible, estaba obsoleta en muchos puntos y se preocupaba
principaln"lente de las circunstancias fisicas y no de las actitudes, capaci-
dades y actu aciones de las personas y de la eficiencia de los sistemas or-
ganizativos en los que trabaj aban30. El tercer problema era la
fragmentacin de las jurisdicciones administrativas y la inexistencia de
una poltica oficial de amplio alcance en materia de salud y seguridad en
el trabajo. El informe afirmaba:
Necesitamos un sistema que se autorregule con ms efectividad ... Esto re-
quiere mejores sistemas de organizacin de la seguridad, ms iniciativas de
gestin y nl.s participacin de los trabajadores nUSlTIOS. Por lo tanto, los ob-
j etivos de la futu ra poltica laboral deben incluir no slo un aumento de la efi-
cacia de la contribucin del Estado a la salud y la seguridad en el trabajo, sino
tambin, y de manera mucho ms importante, la creacin de las condiciones
propi cias para una autorregulacin m s efectiva 3 ].
Muy pertinentemente, el segundo captulo del informe Robens haca
asimismo la siguiente observacin:
La promocin de la salud y la seguridad en el trabajo es una funcin esencial
de una bu ena gestin [ ... l. Las buenas intenciones alluvel del consejo de di-
reccin sern intiles nl. entras los gestores de los eslabones inferiores de la ca-
dena, y ms prximos a lo que sucede en el lu gar de trabajo, sigan
preocupndose exclusivamente de problemas de produccin 32 .
La Ley HSW puso en marcha la progresiva sustitucin de la legislacin
sobre salud y seguridad existente por un sistema de regulaciones y cdi-
gos de prcticas recomendados; impuso al empleador el deber de asegu-
29.The Hon. Lord Cullen, op. cil., p. 256 .
30 . Ibirl., p.257.
31. Ibirl., p.257.
32. Lord Rob ens, Saje!}' a/"lrl Henllil al Work, Reporl of tile COl/I/I/iUee 1970-72, Vol. 1,
Londres, HM SO, 1972, p. 41.
23I
 La ges ti n de los g randes riesgos
rar, en la m edida en qu e sea razonablemente fac tible, la salud, la seguri_
dad y el bienes tar en el trabajo de todos sus empleados y llevar a cabo
sus ac tividades de man era qu e garan ticen, en la medida en qu e sea razo_
nablem ente fac tible, que las personas que, no siendo sus empleados, pue-
dan verse afec tadas por ellas no se vean por ello expu estas a riesgos para
su salud y su seguridad (ss . 2 y 3); cre dos nu evos organismos, la Conu_
sin de Salud y Seguridad (H ealth and Safety Conmussion, HSC), respon_
sable del logro de los obj etivos generales de la Ley, y el Comit Ej ecutivo
de Salud y Seguridad (H ealth and Safety Executive , HSE) , en cargado de
hacer cumplir la p oltica de salud y seguridad. Las operaciones m artimas
la seguridad alimentaria y del consumo y el transporte, excepto el de sus~
tancias peligrosas, quedaron entonces fu era de las comp eten cias del HSE.
E n 1976 la Ley fue ampliada para incluir a los trabajadores del sector de
extra ccin de petrleo y gas desde plataformas m arinas, p ero la respon-
sabilidad de su regulacin fu e encomendada al Musterio de Energa (cre-
ado en 1974) habida cuenta de su co n ocimiento y su exp eriencia
especializados en esta rea de operaciones relativam ente nu eva.
En resumen: a diferencia de la Ley de Fbricas, la Ley HSW ap enas en-
traba en detalles sobre gen eradores concretos de accidentes (por ej emplo,
maquinaria, montacargas y ascensores, depsitos de gas, etc.) . En lugar de
eso, facilit unas directrices generales sobre los deberes de los empleado-
res, los empleados, los proveedores y los usuarios, y, asimism o, instituy los
procesos para la futura elaboracin de reglamentos y cdigos de prcticas
y estableci los marcos generales para el funcionamiento de un orgalusmo
encargado de disei'iar polticas (la H SC) y otro de carcter regulador (el HSE) .
D e 1971 a 1980 las cifi-as globales de accidentes mortales y no morta-
les evidenciaron una clara tenden cia descendente, esp ecialmente marcada
despus de 1973 y desde 1978 en adelante; se p ro dujo una reduccin pa-
tente y m s o menos continua en el nmero de accidentes industriales.
D ebe sealarse, no obstante, qu e este declive era tambin parte de una
disminu cin a largo plazo de los accidentes industriales, en curso desde
co mienzos de siglo. Sin embargo, a partir de 1980- 81 la tasa de acciden-
tes industriales del R eino Unido se estabiliz y p oco despus empez a
elevarse. E n la industria y en la construccin hubo ms h eridos graves al
final del periodo 1981-85 qu e al principio. Las causas de esta inversin de
tenden cia so n todava oscuras .
En 198 4, el H SE promulg los R eglamentos de Control de Riesgos In-
dustriales Graves (Control if Industrial lVlaj or H azards, C IMA H), qu e afecta-
ban a todas las instalaciones terrestres de alta p eligrosidad y exigan a los
232
8. La infeliz suerte del regul ado r
operadores la entrega al HSE de un inform.e escrito sobre la seguridad de
sU instalacin, comnmente cono cido como recom endacin de seguri-
dad. El desastre de Flixborough, ocurrido en 1974, fu e el origen de estos
reglamentos, incorporados en 1982 por la Directiva de la Comisin E u-
ropea (CE) relativa al control de los riesgos inherentes a los accidentes gra-
ves en ciertas actividades industriales, usualm.ente denominada Directiva
Sveso. Sus exigencias incluan:
_ La demostracin de la seguridad de las operaciones.
_ La notificacin de los accidentes graves .
_ Un infor me escrito (la recomendacin de seguridad).
- La actualizacin del informe a resultas de cualquier cambio signifi ca-
tivo.
- La obligacin de facilitar al HSE infor macin ulterior.
- La preparacin de un plan de em ergencia local para las instalaciones.
- La comunicacin de informacin relevante al pblico.
- Un plan de em ergencia elaborado por la autoridad local.
Tras recibir la recom endacin de seguridad, el HSE reuna un equipo
multidisciplinar de expertos para establecer si se aportaba toda la infor-
macin requ erida e identificar motivos de preocup acin inmediatos, de
los que despus se realizaba un seguimiento por carta o m ediante visitas
a las instalaciones. Una vez convencido de qu e la recomendacin de se-
guridad cumpla los requisitos, el H SE lo usaba p os teriormente como base
para elaborar su estrategia de supervisin subsiguiente. D eb e subrayarse
qu e esto no constitua un proceso de aprobacin o concesin de licen-
cias interpretable como transferencia de parte de la responsabilidad de la
salud y la seguridad al H SE . La responsabilidad recaa plenamente en el
operador, y el HSE conceda considerable importancia a las cuestiones or-
ganizativas y de gestin.
Una de las fuentes de derecho ms importantes del R eino Unido tras
la aprobacin de la Ley HSW han sido los Reglam entos de Control de Sus-
tancias Peligrosas para la Salud (Control oi Substances Hazardous to Health
Regulations, COSHH) , promulgados en 1988 a requ erimiento de una direc-
tiva de la CE sobre agentes peligrosos, y que ofl-ecenlas directrices para la
implementacin de las m edidas necesarias para proteger la salud no slo de
los empleados sino tambin de terceros. Los reglamentos COS I-II-I afectaron
virtualmente a todos los lugares de trabaj o y adoptaron una estrategia que
contrastaba marcadam ente con la Ley I-1SW en tanto que, entre otras cosas,
exigan a los empleadores conocer las propiedades de ms de 5000 sus-
233

La gestin de los gra ndes riesgos
tancias e identificar las relevantes en sus resp ec tivos lugares de trabajo ; asi-
mismo, dictaba un procedimiento escalonado para la identificacin, eVa_
luacin y control de riesgos qu e implicaba los siguientes p asos:
- Elaborar una lista de todas las sustancias peligrosas emplea das, identi_
ficar los puntos donde se las utiliza y realizar evaluaciones de riesgo
-recurriendo a expertos externos, en caso necesario.
- Controlar la exposicin a estas sustancias mediante la ventilacin, me-
jores instala ciones de lavado y el empleo de sustan cias m enos p eligro-
sas donde sea posible.
- Comprobar los equipos de respiracin, ventilacin y similares, y man-
tener un registro m eticuloso de estas inspec ciones.
-Vigilar la exposicin m edian te la utilizacin de tcnicas de higiene la-
boral idneas.
- Realizar un seguimiento de la salud de los empleados expuestos al
nesgo.
- Formar a los empleados en la n aturaleza de los riesgos y las precau-
. .
Clones que reqmeren .
El siguiente desarrollo importante surgi directa111.ente de las reco-
m endaciones recogidas en el segundo volumen del Informe C ullen sobre
el desastre de la plataforma Piper Alpha, publicado en noviembre de 1990.
Apoyndose en la legislacin reciente, Lord Cullen propuso p ara las ope-
raciones m artimas un nuevo modelo de regulacin que describi como
SIgue:
M e satisface que los operadores de instalaciones [... ] estn obligados a efec-
tuar una evaluacin formal de la seguridad en relacin con los riesgos graves,
cuyo propsito sera demostrar que se han identificado las principales ame-
nazas de la instalacin y los consiguientes riesgos para el personal y que se han
provisto los controles adecuados. La finalidad de esta evaluacin es que los
operadores tengan garantas de que sus operaciones son seguras . No obstante,
los trabajadores y el pblico tienen la legtima expec tativa de que se exija
a los operadores que prueben su seguridad ante el organismo regulador. La
presentacin de una evaluacin formal de la seguridad debera tomar la forma
de una recomendacin de seguridad, que sera actualizada a intervalos regu-
lares y siempre qu e acaeciera un cambio de circunstancias importante3]
El Informe C ullen recom endaba que la regulacin de la seguridad in-
dustrial en el m ar recayese en una divisin discreta del HSE dedicada en
33.The Han. Lord e ullen, op. cit. , vol. 1, p. 3.
234
8. La infeliz suerte del regulador
:Eelusiva a la seguridad industrial mar adentro. Propona tambin que el
emplease insp ectores especializados con una identidad clara y una
influencia fu erte en el HSE y a cuyo fiente debera estar un directodr eJ ~-
. que l nformase directamente al director general y que fu ese a emas
cutlVO
niembro del consejo de altos directivos del HSE.
Este modelo de evaluaciones formales de la seguridad (formal saf ety as-
sessments) FSA), presentadas en forma de recom endaciones de seguridad, se
~e t ndi posteriormente a otros sectores. Por ejemplo, motlvada
.
en parte
.dd
al' el desastre del Estonia} ocurrido en 1994, la AgenCla de Segun a
~artima (Marine Safety Agen cy, MSA) cre en septiembre de 1995.:111
rograma de investigacin bien financiado para investigar la evaluaclOn
p d '
formal de la seguridad de los buques . La MSA conS1 ero que su FSA com-
,. 34
pren dena cmco pasos :
_ Identificacin de amenazas .
_ Evaluacin de los riesgos asociados a ellas .
_ Consideracin de las formas alternativas de gestionar eso s riesgos.
_ Evaluacin coste-beneficio de las opciones alternativas para la gestin
de los riesgos.
_ Decisiones acerca de qu opciones seleccionar.
Un desarrollo ulterior merece una breve mencin: el recrudecimiento
de la ideologa d e la desregulacin en Gran Bretaa. En 1992 el pri:ner
ministro pronunci un discurso en el que urga a los regula~~res bntam-
cos a adoptar una actitud m s relajada respecto a la 1mpos1cIOn del cum-
plimiento del excesivo detalle de los reglamentos d e la UE. Tres meses
despus , el secretario de estado de comercIO e mdustna puso en march a
dos investigaciones sobre la burocracia. La prim.era, a la busca de opor-
tunidades p ara reducir la carga de las normativas europeas; a la segunda
se le encomend revisar, simplificar y, donde fuese pOSIble, derogar algu-
nas de las 7000 normativas existentes sobre alguna actividad comercial.
Menos de dos meses despus, el HSE anunci su intencin d e revisar m s
de 400 normativas de salud y seguridad con el propsito de aminorar la
carga que suponan para las pequeas empresas. Al mismo ti~mpo, el P ar-
lamento aprobaba la Ley d e Subcontratacin y DesregulaClon, que con-
ceda al secretario de estado de em.pleo nuevas atribuciones para abrogar
legislacin sobre seguridad.
34. Marine Safety Agency (MSA), Formal Sajet)' Assess/II e/'It oj Shipping: Prograr/'llrle O ller-
vielll, Londres, Marine Safety Agency, 15 de septiembre, 1995.
235
La gestin de los grand es riesgos
E n paralelo a estos pasos hacia la desregulacin, ha habido -predeci_
blem ente- una constante erosin del presupuesto del Hsch-JSE - redUc-
ciones del 2,6% Y el 5% en aos su cesivos, una prdida de unos 15 n, ;l1 o
. . l l l l l1es
de
. libras- oD e forma Igualmente predecible' una comisin parlamelltana.
mtegrada por todos los partidos ha criticado recientemente al HSE por lle-
var a cabo un nmero excesivam ente reducido de inspecciones y, muy es-
pecialmente, por no conseguir cumplir sus obj etivos en cuanto al examen
de recomendaciones de seguridad pendientes, requeridos por las normas
del C IMAH sobre instalaciones de alta peligrosidad.
Lo expuesto aqu no constituye en modo alguno una revisin defini_
tiva, pero probablemente se h a dicho lo suficiente para abarcar los pasos
principales del cambio hacia la autorregulacin -y la desregulacin- en
el Reino Unido. Ahora debemos considerar las implicaciones de estos
cambios para las autoridades reguladoras. Estas m edidas, sern efectivas en
la limitacin de los accidentes organiza tivos?, han facilitado en alguna
m edida la tarea del regulador?
VENTAJAS y DESVENTAJAS DEL CAMBIO HACIA
LA AUTORREGULACIN
Cualquier medida que sit e la responsabilidad del mantenimiento de unas
prc ticas de trabajo seguras en las organizaciones directamente implicadas
en ellas tiene que representar una enorme ventaj a en la lucha por la li-
nutacin de los accidentes organizativos.Y otro tanto cabe decir de la de-
m anda co nexa de qu e pongan un inters atento, continuo y proactivo en
todos los diversos factores que afectan a la seguridad de sus instalaciones.
La mayora de las op eraciones tecnolgicas, hasta las ms complejas, son
relativam ente sencillas comparadas con la tarea de mantener unas condi-
ciones de trabajo seguras. Como se seal en el captulo 4, no hay en la
selva rboles suficientes para fabricar el papel de los procedimientos ne-
cesarios para garantizar unas operaciones seguras. La seguridad, como
h emos visto, es un no- suceso dinmico que depende de forma crucial
de una comprensin clara de las interacciones entre muchos procesos sub-
yacentes diferentes . Los b enefi cios a largo plazo para la seguridad de ver-
nos forzados a afrontar estos problemas sociotcnicos enormemente
dificiles -y todava sin solu cin- son, sin duda, superiores a los de cual-
quier cantidad de arreglos puramente tcnicos. El proceso es ms valioso
que el producto . Y, como seala el Informe C ullen, muchos operadores
8. La iteliz suerte del regulador
han encontrado provech oso el ejercicio de elaborar una recom endacin
de seguridad: A menudo, ha sido la primera vez qu e se ha elab orado un
informe sobre los aspectos de la organizacin relacionados con sus pnn-
cipal es amenazas. Muchos op eradores han declarado que ese eJerCIcIO les
evado a introducir cambios en su enfoque y m.eJoras en los sIstem.as
1la ll 35
Ylos pro ce dll1uentos .
pocas dudas puede h aber de que este impulso legislativo hacia la au-
torregulacin tiene ciertamente la mejor voluntad en lo referente a la re-
duccin de la probabilidad de los accidentes organizativos, p ero es menos
seguro que beneficie a los organismos reguladores. Veamos algunos pro-
blemas.
Tradicionalmente, los reguladores trabajaban para garantizar el cumpli-
miento de las normas de seguridad dictadas por alguna autoridad legisla-
tiva. No importa lo fragmentarias, obsolescentes y ajenas que fueran las
normas; representaban, en todo caso, un estndar consensuado -al m enos
en ese mOlTlento- respecto al cual poda determinarse si una prctica la-
boral concreta o una instalacin de riesgo infringan o no esta o aquella
normativa. En el nuevo clima de autodeterminacin, los reguladores deben
continu ar su bsqueda de desviaciones, p ero de un tipo totalmente dis-
tinto. Ahora deb en detectar alejamientos de una recom endacin de segu-
ridad que se expresa en trminos mucho ms generales, que puede variar
mucho de una organizacin a otra (en funcin de sus medios) y del cual
deben asumir una responsabilidad parcial pero direc ta -pues, de entrada,
no existira como marco de referencia si la autoridad reguladora no la hu-
biera aprobado-o Como ya vim.os , detectar, vigilar y sancionar infraccio-
nes ya era bastante dificil en el pasado, p ero la responsabilidad qu e hoy
recae sobre los reguladores es realmente muy grande. No slo deben vigi-
lar el cumplimiento de recomendaciones de seguridad muy diferentes, sino
que necesitan tambin una idea muy clara de qu constituye una reco-
mendacin de seguridad adecuada, tarea ni mucho n1.enos fcil en ellinu-
tado estado actual de nuestro cono cimiento.
Para juzgar la idoneidad de una recomendacin de seguridad de otro
modo que repasando son1.eramente una lista de comprobacin, a los re-
guladores se les exige hoy poseer una comprensin exh austiva - cabra
decir que casi divina- de cada uno de los numerosos factores que pue-
den contribuir a que ocurran accidentes, tanto individuales como orga-
nizativos. La legislacin previa abarcaba en buena medida los orgenes
35. The Han . Lord C ullen, op. cit., p. 277 .
237
La gestin de los grandes riesgos
En paralelo a estos pasos hacia la desregulacin, ha habido - predeci-
blem ente- una constante erosin del presupu esto del HSC/HSE - reduc-
ciones del 2,6% y el 5% en aos sucesivos, una prdida de unos 15 millones
de libras-o D e forma igualmente predecible, una comisin parlam entaria
integrada por todos los partidos ha criticado recientemente al HSE por lle-
var a cabo un nmero excesivam ente reducido de inspecciones y, muy es-
pecialmente, por no conseguir cumplir sus objetivos en cuanto al examen
de recom endaciones de seguridad p endientes, requeridos por las normas
del C lMA H sobre instalaciones de alta peligrosidad.
Lo expuesto aqu no constituye en modo alguno una revisin defini-
tiva , pero probablemente se ha dicho lo suficiente para abarcar los pasos
principales del cambio hacia la autorregulacin -y la desregulacin- en
el R eino Unido. Ahora debemos co nsiderar las implicaciones de estos
cambios para las autoridades reguladoras. Estas medidas, sern efectivas en
la limitacin de los accidentes organizativos?, han facilitado en alguna
medida la tarea del regulador?
VENTAJAS y DESVENTAJAS DEL CAMBIO HACIA
LA AUTORREGULACIN
Cualquier m edida que site la responsabilidad del mantenimiento de unas
prcticas de trabajo seguras en las organizaciones direc tamente implicadas
en ellas tiene que representar una enorme ventaja en la lucha por la li-
nutacin de los accidentes organizativos.Y otro tanto cabe decir de la de-
manda con exa de que pongan un inters atento, continuo y pro activo en
todos los diversos factores que afectan a la seguridad de sus instalaciones.
La mayora de las operaciones tecnolgicas, hasta las ms con"lplej as, son
relativamente sen cillas comparadas co n la tarea de mantener unas condi-
ciones de trabajo seguras . Como se se'al en el captulo 4, no hay en la m endacin de seguridad adecuada, tarea IU mucho menos fcil en ellinu-
selva rboles suficientes para fabricar el papel de los procedinuentos n e-
cesarios para garantizar unas op eracion es seguras. La seguridad, como
h emos visto, es un no-suceso dinnuco que dep ende de forma crucial
de una comprensin clara de las interacciones entre muchos procesos sub-
yacentes diferentes. Los benefi cios a largo plazo para la seguridad de ver-
nos forzados a afrontar estos problemas sociotcnicos enormeme nte
difciles - y todava sin solu cin- son, sin duda, superiores a los de cual-
quier cantidad de arreglos puramente tcnicos. El proceso es ms valioso
que el producto. Y, com o seala el Informe Cullen, muchos operadores
23 6
8. La infeliz suerte del regulador
han encontrado provechoso el ej ercicio de elaborar una recom endacin
de seguridad: A menudo, ha sido la primera vez que se ha elaborado un
informe sobre los asp ectos de la organizacin relacionados con sus prin-
cipales am enazas. Muchos operadores han declarado que ese ej ercicio les
ha llevado a introducir cambios en su enfoqu e y mejoras en los sistemas
y los procedinuentos35.
Pocas dudas pu ede haber de qu e este impulso legislativo hacia la au-
torregulacin tiene ciertamente la mejor voluntad en lo referente a la re-
duccin de la probabilidad de los accidentes organizativos, pero es menos
seguro que ben eficie a los organismos reguladores. Veamos algunos pro-
blemas.
Tradicionalmente, los reguladores trabaj aban para garantizar el cumpli-
nuento de las normas de seguridad dictadas por alguna autoridad legisla-
tiva. No importa lo fl-agmentarias, obsolescentes y ajenas que fueran las
normas; representaban, en todo caso, un estndar consensuado - al m en os
en ese momento- respecto al cual poda deternunarse si una prctica la-
boral concreta o una instalacin de riesgo infringan o no esta o aqu ella
normativa. En el nuevo clima de autodeternunacin, los reguladores deben
continu ar su bsqu eda de desviaciones, p ero de un tipo totalmente dis-
tinto. Ahora deben detectar alej anuentos de una recomendacin de segu-
ridad que se expresa en trminos mu cho ms generales, que puede variar
mucho de una organizacin a otra (en funcin de sus medios) y del cual
deben asunur una responsabilidad parcial pero directa -pues, de entrada,
no existira como marco de referencia si la autoridad reguladora no la hu-
biera aprobado-o Como ya vimos, detec tar, vigilar y sancionar infl-accio-
nes ya era bastante dificil en el pasado, p ero la responsabilidad que hoy
recae sobre los reguladores es realmente muy grande. No slo deben vigi-
lar el cumplinuento de recomendaciones de seguridad muy diferentes, sino
que necesitan tambin una idea lTll1y clara de qu constituye una reco-
tado estado actual de nuestro conocinuento.
Para juzgar la idoneidad de una recomendacin de seguridad de otro
modo que repasando someramente una lista de comprobacin, a los re-
guladores se les exige hoy poseer una comprensin exhaustiva - cabra
decir que casi divina- de cada uno de los numerosos fac tores que pue-
den con tribuir a que ocurran accidentes, tanto individuales con"1O orga-
luzativos. La legislacin previa ab arcaba en bu ena medida los orgenes
35.The H an. Lord C ull en, op. cit., p.277 .
237
La gestin de los grandes riesgos
fsicos de aqullos, pero an no se conocen totalmente las diversas formas
en que los factores humanos, tcnicos y organizativos pueden combinarse
para producir los segundos -y quiz sean incognoscibles en ltimo tr-
mino, a la vista de que cada accidente organizativo grave parece engen-
drar un nuevo conjunto de sorpresas-.Y esa carga evaluadora aadida no
resulta aliviada por el hecho de que la mayora del personal regulador sea
experto en cuestiones tcnicas y operativas, ms que en factores humanos
y organizativos. La regla 80:20 puede que se ajuste a las causas de los ac-
cidentes (80 humanas/organizativas frente a 20 tcnicas), pero, cierta-
mente, no refleja la proporcin de saberes expertos en la mayora de las
autoridades reguladoras. Incluso las mayores entre stas cuentan slo con
unos pocos individuos con formacin formal en estas disciplinas blandas
-y probablemente es correcto que as sea, dado que an tienen que pro-
ducir lo que se les demanda conforme a la teora y la prctica vigentes-o
De ah que, aunque se lograse entre los saberes expertos la ratio causal-
mente idnea de 80:20, eso no garantizara la solucin del problema.
La situacin de la autoridad reguladora podra tornarse an ms dif- cupaclOnes:
cil si alguna de las organizaciones que supervisa sufriera un accidente
grave. La investigacin subsiguiente descubrira una de estas dos cosas: o
que la actuacin de la organizacin cumpla su recomendacin de segu-
ridad, o bien que el accidente se haba debido, en parte, a contravencio-
nes de ste. El primer caso podra atribuirse a defectos en el proceso de
evaluacin del regulador -para empezar, no debera haber aprobado esa
recomendacin de seguridad-, en tanto que es probable que el segundo
se juzgase como un fallo de vigilancia por parte del regulador. Condena-
dos lo hagan como lo hagan.
UN POSIBLE MODELO DEL PROCESO DE REGULACIN
Situados cerca de las fronteras del sistema que sistematizan pero sin ser
parte de l, los reguladores se hallan en una posicin nica para funcio-
nar como una de las defensas ms efectivas contra a los accidentes orga-
nizativos. Esta posicin les asegura la perspectiva precisa para identificar
prcticas insatisfactorias o el empleo de equipo deficiente a los que la or-
ganizacin se ha habituado o que de algn modo sortea. Los reguladores
son especialistas en la tecnologa de que se trata - de hecho, muchos de
ellos han sido reclutados en los sectores que regulan-; han recibido for-
macin y poseen una vasta experiencia en la identificacin de insufi-
ClenClas tcnicas y debilidades sistmicas formales. Poseen tambin la
8. La infeliz suerte del regulador
autoridad legal que les confiere acceso para investigar all donde sea pre-
ciso y para imponer las sanciones necesarias p ara hacer cumplir sus deci-
siones.
Carecen a menudo, sin embargo, de las herramientas, la formacin y
los recursos para enfrentarse con los fac tores humanos y organizativos,
que son determinantes, y para vigilar la insidiosa acumulacin de condi-
ciones latentes que posteriormente se asocian para atravesar las defensas
del sistema. Otro tanto cabe decir de los diseadores de politicas. La pa-
sada dcada fue testigo de rachas aisladas de legislacin a resultas de algn
desastre, cuando lo que haca falta eran las estructuras legales y regulado-
ras necesarias para intentar prevenir futuros accidentes, no los anteriores.
Esta penltima seccin se basa ampliamente en los principios y tcni-
cas presentados en los captulos 6 y 7, con el propsito de esbozar un mo-
delo del proceso de regulacin que, creemos, puede ser efectivo en la
reduccin de la frecuencia y gravedad de los accidentes organizativos. El
modelo regulador perfilado algo ms abajo est configurado por tres preo-
-Cmo pueden desplegar los reguladores sus limitados recursos del
modo ms efectivo en trminos de costes y mejor dirigido a la con-
secucin de sus objetivos?
-Cmo pueden lograr los reguladores que las organizaciones comple-
jas y bien defendidas que supervisan lleven a cabo las reformas orga-
nizativas necesarias para alcanzar, y a continuacin sostener, niveles
ptimos de salud de la seguridad.
- D ado que los criterios absolutos para operar de forma segura rara-
m ente se conocen por adelantado, cmo podem.os dise11ar un proceso
de regulacin que capacite al legislador, al regulador y al regulado para
ser todos partes integrales de un ciclo de aprendizaje efectivo?
El diagrama 8.1 resume los elementos bsicos del proceso regulador tal
como se veran desde la p erspectiva de los inspectores de primera linea.
Las visitas a las instalaciones generan diversos indicadores -tales como
casos de incumplimiento o desviacin de las prcticas de trabajo segu-
ras- que son los datos brutos del proceso de regulacin, y que pueden
incluir, por ejemplo, tems de equipo mal mantenidos o inservibles, falta
de informacin preparatoria o de prcticas de entrenamiento, un sistema
insuficiente de permisos para (re)iniciar trabajos o una organizacin in-
satisfactoria del cambio de turnos. Cada problema genera dos tipos de
tem de actuacin: los que efecta la organizacin regulada para enmen-
239
La gesti n de los grandes riesgos
darlo (hexgonos oscuros) y los que lleva a cabo el regulador para vigilar
esa rectificacin y, en el caso de que no se efecte de forma satisfactoria
imponer la sancin correspondiente (hexgonos blancos). ' miento, la gestin de la seguridad, la estructura organizativa, y las presiones
Diagrama 8.1
Los elementos bsicos del proceso regulador
Indi cadores lo cales, casos de accin de la
particulares, etc. organizacin del regulador
El diagrama 8.2 muestra la siguiente fase de desarrollo del modelo.
Aqu, los elementos bsicos de la regulacin se han ampliado para iden-
tificar los factores organizativos y de gestin (orga11.izational and rnanagerial,
o & M) localizados corriente arriba y que determinan los casos locales
de desviacin. La naturaleza concreta de los factores o & M variar de un
sector a otro, pero la cifia de factores evaluados ser siempre inferior al n-
mero total de factores posibles (como vimos en el captulo 7). En este
caso, el anlisis contempla slo siete factores o & M (representados por los
rectngulos oscuros). Si, por ej emplo, la organizacin regulada fuera una
240
8. La infeliz suerte del regulador
pequeii.a aerolnea, los factores o & M podran incluir factores relaciona-
dos con la tripulacin, la gestin de operaciones, la gestin del manteni-
comerciales y operativas.
Diagrama 8.2
Incorporacin de los factores organizativos y de gestin (o & M)
a los elementos bsicos del proceso regulador
Fa ctores organiza ti vos
y de gestin
Valoracin de la contribu cin de cada
factor organizativo a cada caso
Mientras que los casos particulares genera n aspectos a enmendar localm ente, los tems de ac-
cin (por parte de ambos, regulado y regulador) generados por los factores o & M exigen re-
formas ms fundamentales del sistema . Los rectngulos oscuros de la nutad superi or representan
tems de accin de la organizacin regulada para reformar un factor o & M especfico. Los rec-
t ngulos blan cos asociados son tems de accin del regulador para vigilar y, de ser necesario, co-
laborar en estas reformas.
Se supone que cada caso particular es producto de diferentes aporta-
ciones de cada uno de los factores o & M . Los nodos circulares situados
en la mitad inferior del diagrama son puntos en los que el regulador debe
evaluar el impacto de cada factor o & M sobre el caso particular. El regu-
 8. La infeliz suerte del regulado r
La gestin de los grandes ri esgos

Finalmente, el diagram a 8.4 intenta mostrar cm o el proceso de re-

lador valora la contribucin relativa de cada fa ctor o & M sobre cada caso
particular en una escala de cinco puntos donde 1 = muy p oca influencia,
5 = influencia muy considerable. Los rectngulos blancos asociados re-
presentan acciones que el regulador emprende para vigilar y, en caso n e-
cesario, cooperar en cualquier reforma.
Esas valoraciones se suman para todos los casos particulares de este
conglom erado concreto (procedentes de una o ms inspecciones) y se ge-
nera un perfil de factor organizativo (vase el diagrama 8.3). El propsito
del perfil es indicar tanto al regulador como al regulado cul de los di-
versos factores situados corriente arriba de la organizacin es el ms ne-
cesitado de reforma urgente. C omo vimos en el captulo 7 , n o es
razonable esperar que ninguna organizacin resuelva efectivamente todos
sus problem as de una vez. En inspecciones posteriores surgirn nuevos
casos qu e, a su vez, gen erarn nu evos p erfiles de factor organizativo. Una
serie de estos perfiles permitir al regulador y al regulado seguir el pro-
greso de sus esfuerzos de correccin .
gulacin aqu m odelado podra formar parte de un crculo de aprendizaje
ms amplio que incluyera a legisladores, reguladores y tecnologas de alta
peligrosidad. Alb ergamos la esperanza de que las m ej oras sistmicas que
estas reformas organizativas focalizadas generen llegu en a representar nue-
vos estndares de salud y seguridad en el trabaj o, que podran incorporarse
a una nueva legislacin que, a su vez, cambiara los criterios de inspeccin
y supervisin del regulador, y as sucesivamente. El lector advertir que las
correcciones locales que se exigen a las organizaciones reguladas quedan
relegadas a un bucle secundario ; el nfasis principal de todo el proceso
recae en la refo r ma continua de los fac tores que constituyen la fu ente de
influencia original sobre la resistencia intrnseca del sistema a sus am ena-
zas op eracionales.
La filosofa que subyace a este modelo es idntica a la descrita para Tri-
pod-Delta (vase el captulo 7). Los casos locales -por ej emplo, los actos
peligrosos- son meros sntomas de la patologa organizativa y de gestin

Diagrama 8.3 D iagram.a 8.4

Un perfil de fac tor organizativo generado p or las puntuaciones agregadas El proceso regulador integrado en un ciclo de aprendizaj e ms am.plio
de todos los casos

Perfil de facto r organizativo que mu estra el grado

relativo de preocupaci n que merece cada facto r
Reformas Legislacin
organizativo o de gesti n

o
acumulativas

DD
t t Factores
prioritarios organizativo
Poltica de
regul aci n

Criterios de
Sup ervisin y inspecci n y
vigilancia sup ervisi n

Correcciones
locales
El obj etivo de este pe,rfil es identi ficar los dos o tres fa ctores ms necesitados de refo rma por
parte de la orgaJ1lzacIO n (y el subSIgUI ente seglll llu ento y co ntrol por parte del regulador).
243
 8. La infe]j z suerte del regulador
La gestin de los grandes riesgos

subyacente. Eliminar esos casos uno a uno no mejorar la salud de la se-
guridad de la organizacin. Esto slo puede conseguirse remediando los
problemas que estn en su raz.
Como vimos en el captulo 6, mantener la seguridad, como la vida,
consiste en atender a LlI1a pui1etera cosa detrs de otra. Cabe esperar qu e
al mismo tiempo que se reforma un factor o & M sei1alado como obj etivo,
o tros estarn deteriorndose. No obstante, este modelo ofrece una forma
fundamentada de seguir el curso de esos cambios y abordar los grandes
problemas ms recientes a medida que el patrn vigente de indicadores lo-
cales los vaya revelando.
desastre, no antes. Poco o ningn prestigio poltico se gana por producir
una ausencia de sucesos, si bien, probablemente responder con xito a ese
desafio depare, a largo plazo, una recompensa lTll1cho mayor. Cada socie-
dad sufi'e los desastres que merece. Confiemos en que, en las prximas d-
cadas, se considere que los reguladores merecen algo mejor de lo que
hasta ahora ha sido el caso. Entonces, tal vez, viviremos todos un poco
ms seguros .

EL REGULADOR MERECE UN TRATO MEJOR

A juzgar por los fallos expuestos en la primera parte de este captulo, las
autoridades reguladoras no siempre logran prevenir los accidentes orga-
nizativos; pero un examen ms meticuloso evidencia que, como muchas
otras personas en primera lnea de la guerra de la seguridad, son ms a me-
nudo vctimas que villanos. S, cometen errores; pero, por qu habran de
ser diferentes al resto de la especie humana?Y, al igual qu e otras personas,
no cometen sus errores solos. Este captulo ha intentado mostrar que la
mayora de los defectos de regulacin tienen origen en niveles muy por
encima del inspector individual.
Dada la tendencia actual a buscar contribuciones cada vez ms remo-
tas a los accidentes organizativos, es inevitable que quienes poseen un co-
nocimi.ento retrospectivo pelfecto juzguen las presuntas deficiencias del
regulador como aportaciones causales importantes a los grandes desastres.
La posicin del regulador respecto a la organizacin afectada significa que
es probable que se le culp e desde todas las direcciones. Estando, como
estn, en la frontera organizativa de todas las tecnologas de alta peligro-
sidad, es inevitable que su esfera de responsabilidad est involucrada en
una gran variedad de fac tores causales. No obstante, si los reguladores han
de ser algo distinto a convenientes cabezas de turco, habr que propor-
cionarles la legislacin, los recursos y las herramientas que necesitan para
hacer su trabajo con efectividad, pu es, potencialmente, son una de las de-
fensas ms importantes frente a los accidentes organizativos.
Las sociedades, exactamente igual que los operado res de sistemas de
alta peligrosidad, anteponen la produccin a la proteccin. Como hemos
visto, la legislacin sobre seguridad se promulga despus de que ocurra un

245
244
 9
Ingeniera de una cultura de la seguridad

EL ALCANCE DE ESTE CAPTULO

POCAS FRASES SE PRONUNCIAN con ms fi-ecuencia en los estudios sobre las

tecnologas de alta peligrosidad que la de cultura de la seguridad. Pocas cosas
hay que se persigan tanto y se comprendan tan poco. Ahora bien, en el
caso de que se crea que la actual preocupacin por la cultura de la segu-
ridad no es sino otra moda pasajera, atindase a los siguientes hechos. La
aviacin comercial es un sector con un infrecuente nivel de unifonnidad
a escala mundial. Las aerolneas de todo el mundo usan, en gran medida,
los mismos tipos de aparatos y en circunstancias comparables. Los estn-
dares que deben satisfacer la formacin y la titulacin de las tripulacio-
nes , los controladores areos y los ingenieros de mantenimiento son muy
similares.Y, no obstante, en 1995, el riesgo para los pasajeros (la probabi-
lidad de sufrir un accidente con al m enos una vctima mortal) difera
entre las compal1as areas del mundo en un factor de 42, desde una pro-
babilidad de resultar herido o muerto de 1/260000 en los peores casos a
otra de 1/11 000 000 en los mejores l . Factores como los recursos naciona-
les y los de la compaa tendrn su peso, p ero pocas dudas pueden exis-
tir de que probablemente las diferencias en la cultura de la seguridad
expliquen la mayor parte de esa enorme disparidad.
Nos en contramos con el trmino cultura de la seguridad primero en
el captulo 2, al introducir la distincin entre organizaciones patolgicas,
burocrticas y generativas, y volvi a surgir en el captulo 6 en relacin
con las fuerzas motrices que impulsan a una organizacin hacia un estado
de mxima resistencia a las amenazas que acompaan a sus operaciones. El
presente captulo se centra principalmente en responder a tres preguntas:

1. Los datos proceden del Flight Safety FOLlndation Icarus ConUTuttee, citados por
Skandia International.Agradezco a Lars Hiigberg de la Inspeccin Nuclear Sueca (SKI) que
me facilitase esta informacin.

247

La gesti n de los g randes riesgos
Qu es una cultura organizativa? Cules son los ingredientes principales
de una cultura de la seguridad? y, la ms importante, cmo pu ede ser sta
objeto de ingeniera? El trmino ingeniera es deliberado, pero no lo A quienes poseen una formacin dura en ingeniera deb e parecerles
empleo con el significado tradicional de desarrollo de mejores m quinas,
dispositivos u obras. Lo que discutiremos, ms bien, es la aplicacin de la
ingeniera social.
Este libro ha qu erido defender la idea de que la m ayora de las solu-
ciones efectivas a los problemas de actuacin humana proceden del mbito
del gestor tcnico, y del regulador, ms que del psiclogo, y que es as por-
que aqullos se ocupan de las condiciones en que trabaja la gente, no de
la propia naturaleza humana. El mensaje cardinal de este captulo es que
este mismo principio general es vlido tambin para la co nsecucin de
una cultura de la seguridad efectiva. (De aqu en adelante se entender que
la expresin cultura de la seguridad se refiere a una cultura de la seguri-
dad efectiva). Las culturas nacionales surgen en gran Inedida de valores
compartidos, mientras que a las culturas organizativas las configuran las
prcticas compartidas - desarrollar esta afirmacin en la seccin si-
guiente-. Esas prcticas sern el centro de atencin de este captulo.
Mu ch as personas hablan de la cultura de la seguridad cOlno si fuera
algo que slo puede conseguirse por m edio de una formidable transfor-
macin, algo semejante a una experiencia religiosa. Este captulo asume
la tesis contraria y sostien e que una cultura de la seguridad es algo que
puede ser obj eto de ingeniera social, que se puede producir identificando
y fabricando sus componentes esenciales y ensamblndolos luego en un
todo que funcione. Sin duda, es verdad que un serio accidente organiza-
tivo pu ede produ cir algunas conversiones espectaculares a la fe de la se-
guridad -que tienen , con h arta frecuencia, una vida breve-o Una
cultura de la seguridad no es algo qu e brote completo y acabado del equi-
valente organizativo de una experiencia prxima a la muerte, sino que
em erge gradualmente de la aplicacin perseverante y con xito de medi-
das prcticas y realistas . No tiene nada de nstico. Conseguir una cultura
de la seguridad es un pro ceso de aprendizaj e colectivo como cualquier
otro. Una cultura de la seguridad no es una entidad simple; se compone
de una pluralidad de elementos, o formas de actuar, pensar y gestionar, que
interactan entre s y qu e, com o subprodu cto natural, han m ejorado la
salud de la seguridad.
9. Ingeniera de una cultura de la seguridad
QU ES UNA CULTURA ORGANIZATIVA?
qu e muchos intentos de describir la naturaleza de la cultura de la s:gun-
dad tienen la precisin definitoria de una nube. No hay una defimclOn ca-
nnica, p ero sta rene la mayora de sus caractersticas esenciales con los
mnimos circunloquios:
Valo res (qu es importante) y creencias (cmo fun cionan las cosas) compar-
tidos que al interactuar con las estructuras y sistemas de control de una o r-
ganizacin producen normas de compo rtamiento (la man era como hacemos
las cosas po r aquf
H asta la dcada de los och enta, cultura era un trmino qu e se apli-
caba ms a las nacionalidades que a las organizaciones. La cultura orga-
niza tiva se convirti en parte esencial de la (~ e rga de los gestores como
resultado de dos libros muy ledos: Corporate Culture (de Terrence Deal y
AlIan Kennedy) 3 e In Search of Excellence (de Thomas J. Peters y Robert
Waterman)4, ambos publicados en 1982. _ ,
Este ltimo libro introduj o la nocin de fortale za cultural y senalo que
la coherencia y el iInp erio de su cultura demostr ser una cualidad esen-
cial de todas las com.paas de excelencia, sin excepcin5 . Quince aos
despus , habr quiz quienes pongan en duda esta afirmacin (en p ar-
ticular, si h an sido despe didos de compaas de excelenCIa), pero pocos
discutirn la idea de qu e una cultura fuerte es aqulla en la que todos los
niveles de la organizacin comparten las mism.as m etas y valores. C itando
a Peters y Waterman de nuevo, en estas empresas [de cultura fuerte] , el
personal en los niveles inferiores del organigranu sab e lo que se s u~ o ne
que tiene que hacer, en la mayora de las SituaCIOnes, porque el puna do
de valores que les gua es claro como el agua6 .
Los tericos de las organizaciones han descrito varias culturas negati-
vas o disfuncionales. Una de esas malas culturas se caracteriza por lo que
2. B. Uttal , The co rporate culture vu1tures, Forhlne, 17 de octubre de 1983. .
3.T. E. Deal y A.A. Kennedy, Corporafe C lllfllres:Tll e Rifes ami Rlfll als 01 Corporate Life,.
Readi ng, MA,Addiso n-Wesley, 1982 [trad. cas t.: Las elllpresas COII IO SlStelll as CIIltllrales. Ritos
)' rituales de la vida o/gal/izaciona l, Buenos Aires, Sudam erIca na, 1985]. , , '
4, T. ]. Peters y R, H ,Waterman, In Sea rc' 01 Excellence. Lessol'/S frOIll Amenw s Best-Rlln
CO/'llpall ies, Nu eva York, H arper & Row, 1982, [trad, cast.: En Vllsca de la excelenCia, Lecc:o-
l/ es de las empresas mejo rgestiol/adas de los Estados U/ lldos, Barcelona, EdICIones Follo, 1984].
5, lvid,
6, lvid" p,76,
249
La gestin de los grandes riesgos
los psiclogos han llamado impotencia aprendida, trmino que describe un
estado de cosas en la que la gente aprende que los intentos de cambiar su
situacin son estriles y, en consecuencia, sen cillamente, dej a de inten-
tarlo : la energa y la voluntad para resolver problem as y alcanzar metas
se disipa 7. Otra estrategia organizativa contraproducente es la evitacin de
la ansiedad. Cuando una organizacin de esa naturaleza descubre una tc-
ru ca para reducir su ansiedad colectiva, es probable que recurra a ella una
y otra vez al m argen de su efectividad real .
La razn es qu e la organizacin qu e ha aprendido a con"lportarse as no sen-
tir ningn deseo de analizar la situacin para deternunar si la causa de su an-
siedad sigu e operando. En consec uencia, todos los rituales, las pautas de
pensanu ento y sentinuento y los comportanu entos que originahnente pu-
dieran haber estado motivados por la necesidad de evitar una situacin do-
lO1'osa y generadora de ansiedad se repetirn , incluso si las ca usas del malestar
original han dejado de actuar; y ser as porque la evitacin de la ansiedad se
refu erza positivamente por s nusma 8
Es probable qu e tanto la impotencia aprendida como la reiterada evita-
cin de la ansiedad contribuyan a impulsar el ciclo de inculpacin descrito
en el captulo 7. La gente se siente impotente ante peligros perm anentes; y
si bien puede qu e las reacciones adyacentes a incidentes y accidentes, como
redactar otro procedimiento y culpar y dar formacin, no sirvan real- Comisin de Salud y Seguridad (Health and Safety COlwmssion, HSC) del
mente para aumentar la resistencia del sistema frente a hlturOS accidentes or-
ganizativos, satisfacen al menos la funcin de reducir la ansiedad haciendo
ver que se hace algo - y culpar a los operarios de primera lnea desva la
responsabilidad de la organizacin en su conjunto.
Existe controversia entre los cientficos sociales sobre si una cultura es
algo que una organizacin tiene o algo que una organizacin es . La
primera concepci n subraya el poder de la direccin p ara cambiar la cul-
tura mediante la introduccin de prcticas y m edidas nuevas, en tanto que
la segunda ve la cultura com o una propiedad global que em erge de los va-
lores, creencias e ideologas de todos los mi embros de la organizacin.
Los directivos y los consultores de gestin son partidarios de la primera
perspectiva, mientras que los profesores y los cientficos sociales prefieren
7. P Bate, The impact of organizational culture on approaches to orga nizational pro-
blem-solving, en G. Salaman (ed .), Hl/lIlal/ Resol/rces Strategies, Londres, Sage, 1992,
p. 229, citado por N. T hompso n, S. Stradling, M . Murphy y P O 'Neill, Stress and orga-
nizational culture , British j Ol/ mal oJ Socia l Work, 26,1996, pp. 647- 665.
8. Citado porThompso n et al. , op. cit., p.651.
9. In geni era de un a cultura de la seguridad
la segunda. Este captulo toma partido por los gestores y se muestra de
acuerdo con el antroplogo Geert Hofstede cuando escrib e que:
Sobre la base de [nu estro] proyecto de investigacin, propugnamos qu e las
prcticas son rasgos que una orgaluzacin tiene. Debido al importante papel de
las prcticas en las culturas orgaluzativas, el enfoque tIene puede consIde-
rarse como algo, al menos parciahnente, susceptible de gestin. Cambiar los
valores colectivos de personas adultas en una direccin predeternunada es ex-
tremadamente dificil, si no imposible. Los valores cambian, pero no conforme
al plan rector de nadie. Las prcticas colectivas, en cambio, dependen de ca-
ractersticas orgaluzativas como las estructuras y los sistemas y se puede mflUlr
9
sobre ellas de manera ms o menos predecible transformando estos ltimos .
Aunque la idea de cultura de la seguridad exista desde 1980, su auto-
ridad recibi un enorme impulso en 1988 cuando la Agencia Internacio-
nal de la Energa Atmica public un informe en el qu e elaboraba el
concepto en detalle. En l defina la cultura de la seguridad como . . .
una combinacin de caractersticas y actitudes, en las organizaciones y en
los individuos, que instituyen que, como prioridad absoluta, los asuntos de
la seguridad recibirn en las centrales nucleares la atencin exigida por : u
importanciaIO. Por desgracia, se trata de alguna m anera de una declaraClon
de principios: esp ecifica un ideal, pero no los m edios para alcanzarlo. La
Reino Unido propuso en 1993 una definicin m s til, y que m erece la
pena reproducir completa:
La cultura de la seguridad de una organizacin es el producto de los valores ,
actitudes, competencias y patrones de comp ortanuento individuales y colec-
tivos que deternunan el compronu so con, y el estilo y la competenCla de, los
programas de salud y seguridad de una orgaluzacin. Las orgamzaclOnes qu e
poseen una cultura de la seguridad positiva se caracterizan por que sus co-
municaciones se basan en la confianza mutua, por sus percepClOnes compar-
tidas sobre la importancia de la seguridad y por su confianza en la eficacia de
las medidas preventivas" .
9. G. Hofstede, C I/ltl/res and Olgm'liz atiol'l5: In.terwltl/ral Cooperatioll and its IIrIportal1ceJor
S/.Irvil/(/I, Londres, H arper Collins, 1994, p. 199 [trad. cast.: O,{turas y olganiz aciones. El soft-
ware mel/ ta l. La cooperacin il/tewacional )' SI/ importallcia para la sl/pervillellcia , Alianza Edito-
rial , Madrid , 1996]. .
10. International Nuclear Safety Advisory Group ( IAEA), SaJet), Culture, VIena, lAEA,
1991 . li
11. Citado por R . Booth , Safety culture: co ncept, measurement and training imp -
cations, Proceedil1gs oJ Britisll Health m'ld SaJety Society Spring Colljerellce: SaJety C llltl/re m'ld
the Mal/agell1e11t oJ Risk, 19-20 de abril de 1993, p. 5.
 La ges ti n de los gra nd es riesgos
. Sin perder la sintona con esta defini cin, el presente captulo subraya
la ImportancIa declSlva de contar con un sistema de informa cin sobre la
seguridad efectivo - la base principal de una cultura il'iforl'nada-. Debo su-
brayar una vez ms qu e la preoc upacin primordial de este libro no son
las medidas de salud y seguridad tradicionales, orientadas principalmente
a prevenir los accidentes de trabajo individuales, sino la lim..itacin de los
accidentes organiz ati/los. Es este objetivo el que conforma los argumentos
expuestos a continu acin.
Los COMPONENTES DE LA CULTURA DE LA SEGURIDAD
D escribiremos ahora brevemente los elem entos principales de una cultura
de la seguridad y sus diversas interacciones. A co ntinua cin, en las si-
guientes secciones, nos ocuparemos pormenoriza damente de cada uno
de estos subcom.ponentes.
- Como sei1alamos en el captu lo 6, la ambicin de impl ementar una
cultura de la seguridad ideal es el motor que, indep endi entem ente de
la personalidad de los lderes de la organizacin o de las preocupacio-
nes mercantiles del momento, impulsa incesantemente el sistema ha cia
la meta de maximizar la salud de la seguridad. Ese ideal es dificil de al-
canzar en el mundo real; no obstante, es un objetivo por el que me-
rece la pena esforzarse.
- La potencia de este motor depende en gran medida de un sentimiento
constante de respeto hacia las numerosas entidades que pu eden tras-
pasar y romp er las defensas. En una palabra, su potencia depende de no
olvidarse de tener miedo.
- En ausencia de resultados adversos, la mejor manera -tal vez la nica
manera- de mantener un estado de inteligente y respetuosa cautela es
reunir los tipos apropiados de datos. Eso significa crear un sistema de in-
formacin de la seguridad que recopile, analice y difunda informacin
sobre incidentes, casi accidentes y comprobaciones proac tivas regulares
de los signos vitales del sistema (vase el captulo 7). Puede decirse que
todas estas actividades componen una cultura il'iforrnada -una cultura en
la qu e quienes dirigen y operan el sistema tienen un conocimi ento ac-
tualizado de los factores humanos, tcnicos, organizativos y del entorno
que determinan la seguridad del sistema en su conjunto-o En la ma-
yora de los aspectos importantes, una cultura informada es una cultura
de la seguridad.
9. Ingeniera de una cultura de la segurid ad
- Todo sistema de informacin de la seguridad depende de manera cru-
cial de la buena disposicin a participar de la fu erza de trabajo, de las
personas en contacto direc to con las am enazas. Para obtener esa par-
ticipacin, es necesario implem entar una cultura que il'iforrn.a -un clima
organizativo en el cual los trabajadores estn dispuestos a informar de
sus errores y sus casi accidentes.
- Una cultura que informa efectiva depende, a su vez, de cmo maneja
la organi zacin la culpa y el castigo. Una cultura sin culpa no es fa c-
tible ni deseable. Una pequ ea proporcin de las acciones humanas pe-
li grosas so n demasiado notorias (por ejemplo, el abuso de sustancias
txicas, el incumplimiento temerario, el sabotaj e, etc.) y m erecen cas-
tigos, en algunos casos muy severos. Una m1Unidad general para todas
las acciones humanas peligrosas carece ra de credibilidad a ojos de la
fu erza laboral. Ms importante aun, parecera ' contra todo sentido de
la justicia natural. Lo que se necesita es una cultura justa, una atmsfera
de confianza en la que se motive, incluso se recompense a las personas
por suministrar informacin ese ncial en relacin con la seguridad
-pero en la que tambin sea patente para todo el mundo dnde ha de
trazarse la lnea entre el comportamiento aceptable y el inaceptable.
- La evidencia mues tra que las organizaciones de alta fiabilidad - las l-
deres de su sector en temas de salud, seguridad y medio ambiente-
poseen la habilidad de reconfigurarse cuando tienen qu e enfrentarse
a operaciones urgentes o a ciertos tipos de p eligro. Una cultura flex ible
adopta diversas formas, p ero en mu chos casos implica un cam.bio del
modo j errquico convencional a una estructura profesional ms plana,
donde el control pasa a los exp ertos en la tarea en cuestin que se ha-
llan en el lugar de la accin, y luego retorna al modo buro crtico tra-
dicional una vez que la emergencia ha pasado. Esta adap tabilidad es
un rasgo esencial de la organizacin preparada para afrontar una crisis
y, de nu evo, dep ende de manera crucial del respeto -en este caso, el
respeto por las habilidades, la exp eriencia y las destrezas de la fu erza de
trabajo y, muy especialmente, de los supervisores de primera lnea-o
Pero el resp eto debe ganarse, yeso ha ce necesario que la organizacin
realice una im.portante inversin en formacin.
- Finalmente, una organizacin debe poseer una cultura que aprenda -la
disposicin de nimo y la co mpeten cia para sacar las co nclusiones
correctas de su sistema de informacin de la seguridad, y la voluntad
de implem entar refo rmas de gran calado cu ando ste sei1ala su nece-
sidad.
253
La gestin de los gra ndes riesgos
Los puntos precedentes han identificado cuatro componentes de im-
portancia crtica para una cultura de la seguridad: una cultura que iriforma
una cultura justa) una cultura flexible y una cultura que aprende. Juntos, inter~
actan para crear una cultura iriformada qu e, para nuestros propsitos, equi-
vale al trmino cultura de la seguridad en lo que concierne a la reduccin
de los accidentes organizativos.
INGENIERA DE UNA CULTURA QUE INFORMA
A primera vista, persuadir a los trabajadores para qu e presenten informes
crticos de incidentes y casi accidentes no es tarea fcil, especialmente
cuando pu ede que conlleve tener qu e divulgar sus propios errores. Las
reacciones humanas ante los errores que uno mismo ha com etido Son
muy diversas, pero su franca confesin no suele ser una de las ms mle-
diatas. Incluso cuando no surgen tales cuestiones p ersonales, los poten-
ciales informantes no siempre aprecian el valor de elaborar esos informes,
en particular cuando son escpticos acerca de la probabilidad de que la di-
reccin acte basndose en su informacin. M erece la pena el trabajo
extra cuando no se espera que fiuctifiqu e en nada bueno? Adems, incluso
cuando el p ersonal est co nven cido de que esc ribir una relacin sufi-
cientem ente detallada est justificado y de que se tomarn medidas ba-
sndose en ella, queda el problema fundam ental de la confianza. Meter
en los a mis compaeros? Tendr problemas yo?
Existen algunos poderosos elementos disuasorios para participar en un
programa de informes: el trabajo extra, el escep ticismo, quizs un natural
deseo de olvidar que el incidente sucedi alguna vez y -sobre todo-la
falta de confianza y, con ella, el miedo a las represalias. No obstante, exis-
ten muchos programas de informes altam ente efectivos. Qu podemos
aprender de ellos? Cul ha sido la ingeniera de su xito ?
A continuacin, examinaremos su cintamente los co mponentes de
ingeniera so cial de dos programas de informes que operan con xito
en el sec tor de la aviacin, uno a nivel nacional y otro en una aerolnea,
el sistema de informes sobre la seguridad de la aviacin de la NASA (A via-
tion Safety R epo rting Systerl'l) ASRS) y el sistema de informacin sobre la
seguridad de British Airways (British Airways Safety Information Syste/1'l)
BASIS) .
Para ello nos basaremos ampliamente en el trabajo de dos personas es-
trechamente involucradas en el diseo y gestin de dichos programas, la
254
9 Ingeniera de una cultura de la seguridad
doctora Sheryl Chappell, de la NASA, y el capitn Mike O'Leary, de Bri-
tish Aways (BA) 12. Aqu no nos proponemos analizar los programas mis-
mOS en detalle, p ero s abstraer de ellos las m ejores p rcticas para crear
una cultura que informe; toda esta seccin se centra en la cuestin de
cmo fomentar la elaboracin de informes vlidos.Y, si bien slo nos re-
feriremos a programas de informes en aviacin, los principios bsicos de
ingeniera pueden aplicarse a cualqui er otro sector. De h ech o, los pro-
gramas de informes de otros sectores -particularmente en m edicina-
han tomado como modelo en p arte programas pioneros en el sector de
la aviacin como los informes de incidentes crticos.
El estudio de estos programas, que fun cionan con xi to, mu es tra que
hay cinco fac tores importantes en la determinacin tanto de la cantidad
como de la calidad de los informes de incidentes . Algunos son esenciales
para crear un clima de confianza, otros son necesarios para motivar al p er-
sonal a elaborar los informes. Dichos factores son:
- Inmunidad frente a cualquier diligen cia disciplinaria -en la medida
en que sea factible.
- Confidencialidad o desidentificacin.
- Separacin de la agencia o departamento qu e recopila y analiza los in-
formes respecto de quienes poseen autoridad para instruir procesos
disciplinarios e imponer sanciones .
- R etroalimentacin rpida, til, accesible e inteligible a la comunidad
de quienes informan.
- Elaboracin se ncilla del informe.
Los primeros tres puntos p ersiguen fomentar un sentimiento de con-
fianza. O'Leary y C h appell explican esta necesidad:
Para que un programa de informes de incidentes consiga efectivamente hacer
aflo rar los fallos que contribuyen a que ocurran accidentes es prim.ordial que
se gane la confianza de quienes han de elaborar los informes , algo aun m s
importante cuando ello requiere una sincera exposicin de los errores del
propio informante. Sin esa confianza, el informe ser selectivo y probable-
mente encubra info rmacin fundame ntal sobre los fac tores humanos . En el
caso p eor -cuando los informantes potenciales no confan en la organiza-
cin de la seguridad- puede qu e nadie informe nunca . C rear confi anza
12. M . O 'Lea ry y S. L. C happelJ , Confidential incident repo rting systems crea te vital
awareness of safety problems, {CAO J ou ,.,w /) 51, 1996, pp. 11-13. La doc tora C happell es
ahora gerente de progra ma en los servicios de facto res humanos de TransQuest Inc., en
Atlanta, Georgia.
255
La ges tin de los gra nd es riesgos
puede ser un proceso lento. Los individuos pu eden dudar si informar o
hasta qu
. e el sistema de infonnes haya demostrado que es sensible a sus p reo- . no
cupaclOnes.
. La confianza
. es el fundamento ms importante de Ul1 prog ralUa
de ll1formes que funclOne y debe ser protegida activamente, incluso tras lUu-
chosaos de .operacin satisfactoria. Un solo caso de un informante que sufra
medIdas dlsclplinanas a resultas de haber informado puede socavar la con-
fianza y secar el fluj o de inform.es tiles 13 .
La justificacin racional de todo sistem a de informes - y un tema
recurrente a lo largo d e todo este libro- es qu e importa mucho ms
lograr una re troalimentacin vlida sobre los fac tores locales y organiza-
tivos que promu even errores e incidentes que atribuir culpas a los indi-
vidu os. Con este fin, es fundam ental proteger a los informantes y a sus
compa eros, tanto como sea posible, de las acciones disciplinarias que se
decidan sobre la base de sus infor m es. Pero esa inmunidad tendr sus l-
mites, lmites qu e defin e con la m ayor claridad la exoneracin de accin
disciplinaria prom ulga da en relaci n con el sistem a de informes sobre
seguridad de la aviacin de la NASA . El sigui ente extrac to de la circular
oficial de la Administracin Federal d e Aviacin (Federal Aviation Ad-
ministration, FAA), AC n. o 00-46C , describ e cmo se aplica el concepto
de inmunidad a los pilotos que presentan informes de incidentes .
La FAA co nsidera que la presentacin a la NASA de un informe concerniente a
un incidente o a un suceso que implique un qu ebrantamiento de la Ley de
R eglam.entos de la Aviacin Federal indica una actitud constru ctiva, que con-
tribuye a prevenir futuras infracciones. En consonancia con ello, aunqu e se re-
velara en l una infraccin, no se impondr condena civil ni certificado de
suspensin alguno en el caso de qu e:
- La infi:accin haya sido involuntaria y no deliberada.
- La infraccin no comporte un delito criminal, o un accidente, o [... ]
revele falta de cualificacin o competencia.
- La persona informante no haya sido declarada culpable de haber que-
bra ntado la Ley de R eglamentos de la Aviacin Federal o cualquier
normativa promulgada al am.paro de dicha ley por alguna accin dis-
ciplinar previa de la FAA dictada en los cinco aos anteriores al suceso
de que se informa.
- La persona informante dem.uestre qu e elabor y present personal-
mente o por correo a la NASA , a travs del ASRS, un informe escrito del
incidente o suceso, en el plazo de los diez das posteriores a la comi-
sin de la infraccin l4 .
13. Ibid., p. 11.
14. S. L. C happell, (,Avia tion Safety R epo rting System : program overview, en R epo/" t
of tile
SelJentil tClJO Fliglt t SaJet), and Hut Han Facto/"5 R egional SC/"/"Iina/", Ads Abeba, Etiopa,
18- 21 de octubre de 1994, pp. 312-353 .
9. Ingeniera de una cultura de la seguridad
La f rmula p arece funcionar. La tasa d e informes del ASRS fu e alta , in-
cluso al con1.ien zo.Ya entonces emp ez a recibir una m edia aproximad a
de unos 400 info rmes al m es. En este momento ronda los 650 por se-
man a, m s d e 2000 al m es. E n 199 5 el ASRS recibi m s de 30 000 in-
formes .
A lo largo de los aos, EAS IS se h a ampliado p ara ab arcar una amplia va-
riedad de program as de informes. Todas las tripulaciones tien en la obli-
gacin d e informar d e cu alquier su ces o relacionado con la seguridad
utilizando informes de seguridad area (A l" SaJet)' R eports, ASR). Los ASR
no son annimos. P ara promover la cumplimentaci n de ASR, la Orden
para Tripulantes de British Airways n .O 608 asevera qu e:
N o es normalmente la poltica de British Airways incoar diligencias discipli-
narias en respu esta al inforl1l.e de ningn incidente qu e afecte a la seguridad
area . nicamente en la infrecuente circunstancia de qu e un empleado haya
efectuado una accin o asumido riesgos qu e, en opinin de la Compalla,
ningn em.pleado razonablemente prudente con su forma cin y su expe-
riencia hubiera debido efectuar o asumir, considerar British Airways la po-
sibilidad de emprender acciones disciplinarias l ".
D e nu evo , la frmula parece fun cionar. Dos estadsticas inv itan a
creer en su xito. Primero, el nmero de ASR presentados m s que se tri-
plic entre su puesta en march a, en 1990 , y 199 5 . Segundo, la cifra d e
informes clasificados en las categoras d e riesgos graves y altos h a dis-
minuido en dos tercios entre el primer semestre de 1993 y el m ismo se-
m estre de 1995 16
Otro impo rtante componente de EAS IS es el program a confiden cial d e
informes sobre fac tores humanos de British Airways, instituido en 1992 .
El ASR suministrab a buen a informacin tcnica y procedimental, p ero se
senta la n ecesidad de un canal de informaci n qu e fu era m s sensible a
las cu estiones relacionadas con los fac tores humanos. A cada piloto que
entrega un ASR se le invita ahora a rellen ar un cu estionario confiden cial
sobre fac tores human os relacionados con el incidente. La entrega del cu es-
tionario es voluntaria. Los altos directivo s a cargo d e los servicios de se-
guridad de EA ofrecan la siguiente garanta en la portada de la versin
inicial del cu estionario :
15.J.A. Passmore, Ai r safety report form, Fligh-t Deck, primavera de 1995, pp. 3-4.
16. M. O'Leary y N . Pidgeo n, Too bad we have to have co n6denti al reporting pro-
grammes, Fliglt t Deck, verano de 1995 , pp. 11-16.
25 7
 La gestin de los grandes ri esgos
Le doy mi absoluta garanta de qu e los servicios de seguridad tratarn confi_
denciahnente cualquier informacin qu e usted nos facilite y de que este cu _
tionario ser destruido tan pro nto como se hayan pro cesado sus dat~s
Solamente mi unidad tI ene acceso a este programa.
En su primer aii.o d e funcio nam.i ento, el programa de informes sobre
fac tores humanos recibi 550 respu es tas tiles l 7 . Las cu es tio nes qu e los
informes suscitan se comuni can regularmente a la direccin, p ero se
tiene much o cuidado d e sep arar los asuntos de seguridad importantes de
los incidentes en s, con el fin d e proteger el anonimato de los info r -
nantes.
Otra fu ente d e informacin importante de BAS IS es el anlisis de de-
teccin y co ntrol de sucesos esp eciales (Specia l Event Search and Master
Anlisis, SESMA) , que evita la necesidad de informes humanos p orque re-
visa directam ente las caj as negras (flght da ta reCOrdeY5, FOR) de las diversas
flotas de aparatos de BA, sin dej ar de garantizar p o r ello un completo ano-
nimato a las tripulaciones. Las FDR de cada vuelo se exploran en busca de
sucesos que se juzgue se sitan fiJ era de las normas de seguridad. Todos
los sucesos se ahnacenan en una base de datos d e BAS IS y los gestores tc-
nicos y los representantes sindicales de los pilotos debaten los m s graves
en una reuni n m ensual. Si el inciden te se considera lo bastante grave, se
pide al representante sindical que lo discuta con los tripulantes involu-
crados - sin dejar de o cultar sus identidades a la direccin.
C uando el p ersonal del ASRS de la NASA recib e un informe, lo procesa,
teniendo g ran cuidado de preservar el anonimato del informador, de la si-
guiente m an era l8 :
- Un anlisis inicial filtra los info rmes que implica n accidentes, con-
ducta criminal o carentes de contenido referente a la seguridad.
- El info rme se codifica y el informante es desidentificado. E n esta fase
se co ntacta por telfon o con el informante para confirmarle la recep-
cin y la desidentificaci n .
- Tras un co ntrol de calidad, la info rmaci n se introduce en la base de
datos del ASRS y se destruye el info rme o riginal.
La fo rma m s obvia de asegurar la confidencialidad es que los infor-
m es se entregu en an nimam en te, p ero, como han se'.alado O 'Leary y
17. M . O'Leary y S. Fisher, British A irways CO/ifirlential HUllla n Factors R eporting Pro-
gm/"ll 1"11 e. First Yenr Repon, April 1992-!\I[a rch 1993, H ounslow, British Ai rways Safety Ser-
vices, 1993.
18. S. C happell, op. cit.
9. Inge ni era de una cultura de la seguridad
Chappell , esto no siempre es p osible o incluso d eseable19 . Los principales
problem as de un completo anonimato son los siguientes :
- Los analistas no pu eden contac tar co n el informante p ara res olver
dudas.
- Es m s p robable que los gestores descalifiquen los informes annimos
com o obra de agitadores y desafec tos.
- E n las empresas p equ eii.as es casi imposible garantizar el anonimato.
O 'Leary y C h app ellllegan a la co nclu sin de qu e eliminar las identi-
dades de los itormes en una fase p osterior de su pro ceso - como se des-
cribe arriba en el caso del ASRS- es probablemente el modo m s factible
de prese rvar la confiden cialidad. A nivel nacional, una desidentificacin
completa significa no slo eliminar el nombre de las p ersonas, sino tam-
bin la fec ha, la h ora y el nmero d el vuelo, as como el nombre de la ae-
rolnea. Todos los iJormantes p o tenciales deben conocer y comprender
los criterios de desidentificacin.
Otra m edida in1portante para generar confian za es separar la organi-
zacin que recibe los informes tanto del o rganismo regulador como d e
la compaia empleadora. C omo en el caso del ASRS, idealmente, los ana-
listas del sistema de informes no deberan tener autoridad legal ni op era-
tiva alguna sobre los informantes p o tenciales. Los sistem as de informes
gestionados por un tercero desinteresado - como una universidad- tam-
bin pueden ayudar a ganarse la confian za de los info rmantes. Si, co mo
BASIS, el sistem a de informes es interno a una comp aa, los emplead os
deben percibir una completa indep endencia del dep artam ento recepto r
con resp ecto a la direcci n operativa, para poder ofrecer as la necesaria
garanta de confidencialidad.
Aparte de una ausencia (o p rdida) de confian za, p ocas cosas pued en
desalentar m s cuando se o rma sobre incidentes qu e la percepcin de
una completa ausen cia de resultado tiles. Tanto ASRS como BA SIS hacen
mu cho hincapi en una rpida retroalimentacin de la informacin rele-
vante a sus resp ectivas comunidad es. Si un o rme del ASRS describe una
situacin de p eligro continuada -por ej emplo, una ayuda a la navegaci n
defectuosa, un procedimiento COlU SO o un m apa equivo cado- se enva
de inmediato un m ensaj e de alerta a las auto ridades correspondientes para
que puedan investigar el problema y adoptar las acciones correctivas ne-
cesarias . (Como m encion antes, el ASRS n o tiene ninguna autoridad legal
19. M . O'Leary y S. L. C happell, op. cit.
259
 La gesti n d e los gra n des ri esgos
u operativa propia) . El equipo del ASRS ha enviado 1700 bol etines y notas
de alerta desde el comienzo del programa , en 1976. En 1994 la tasa de
respuesta a los boletines de alarma y las notas FYI (for your il'iformatio1'/., para
su informa cin) fu e del 65%.
La comunidad de aviacin y la co munidad acadmi ca pu eden acceder
a la informacin que acopia la base de datos del ASRS de diversas maneras.
Primero, pu eden realizarse bsqu edas co ncretas a peticin de empresas,
agencias pblicas o investigadores . La informacin se difunde tambin,
adems de a travs de otros informes del ASRS, m ediante un boletn infor-
mativo, Callback, cuyo nmero total de lec tores se calcula en ms de cien
mil. Este bol etn describ e asuntos de seguridad y destaca las m ejoras in-
troducidas como resultado de los informes de accidentes, lo cual cumple
la doble funcin de informar a los informantes y de felicitarles por su
contribucin colectiva a la seguridad area .
Los servicios de seguridad de British Airways difunden tambin de di-
ferentes formas la informacin de BAsls. Adems de los informes de la uni-
dad y de artculos en revistas, publican FlJ'wise, un boletn m ensual de
18-20 pginas qu e incluye anlisis de tendencias relacionados con deter-
minados sucesos y breves descrip ciones de incidentes, uesglosados por flo-
tas. A cada incidente se le asigna una ca tegora de riesgo (basada en una
m atriz de riesgo; vase la tabla 9.1) y una de las siguientes categoras de
accin:
- Investigacin actilla. Acciones para prevenir una recurrencia qu e no se
comprende plenamente.
- Se precisa accin . Se han identificado m edidas preventivas, pero an no
se las ha implementado.
- Accin bajo obserllacin. Se h an implementado m edidas preventivas y se
estn observando sus efectos .
- Iriform.e bajo observacin. Los servicios de seguridad han emprendido
acciones si n necesidad de ms investigacin. Se est observando la fre-
cuencia con que ocurre de nuevo el suceso.
El ltimo factor qu e examinaremos aqu es la facilidad de elaboracin
del informe. El formato, extensin y contenido del formulari o o cues-
tionario son extraordinariamente importantes, como lo es el contexto en
que se esp era que los informantes lo respondan. La privacidad y un m e-
carlismo de entrega c modo son incentivos importantes -o, dicho a la
inversa , su ausencia puede ser disuasoria-o En relacin co n el diseo del
formulario de informe, O 'Leary y C happ ell sealan lo siguiente:
260
9. Inge ni era de una c ultura d e la seguridad
Tabla 9.1
Matriz de gestin de riesgos de British Airways empleada para evalu ar el riesgo
futuro que tendr la compaIi.a de qu e se repIta un CIerto suceso
Gravedad Matriz d e riesgos
e B A
Alto
(grave)
Medi o
D e B
(alto)
Bajo
E D e
(mnj"o) (bajo) (medio)
Baja Media Alta
Probabilidad de recurrencia
La matriz genera categoras de riesgo en una escala qu e va de A (ri esgo grave) a E (riesgo nnimo).
Si el formulario es largo y con1.pletarlo exige mu cho tiempo, es menos proba~
ble que los informantes hagan el esferzo; si es demasiado corto, resulta dlficil
obtener toda la informacin necesaria sobre el lI1.C1dente. En general, cuanto
ms concretas sean la preguntas, ms fcil ser contestar el cuestiona,rio; sin en;-
bargo, la informacin que proporcione estar limitada por la elecclOn de aque-
llas . Las preguntas abiertas sobre las percepciones,J UlClos, deCISIOnes y aCCIones
del informante no estn sometidas a esta lirnitacin, y le ofi-ecen una mayor
oportunidad de contar toda la historia. Este mtodo es ms efe ctivo ,en la ob-
tencin de toda la informacin sobre el incidente, pero reqUIere mas tIempo
y suele demandar del sistema de infor mes mayores recursos analticos 20
Ser necesaria una cierta medida de aprendizaje por prueba y error
antes de que la organizacin encu entre el formato que mejor se adecua
tanto a sus propsitos como a sus potenciales informantes. A tal resp ecto,
podemos aprender de la expen encia de los servicios de segundad de Bn-
tish Ailways con su cuestionario confidencial sobre factores humanos_ En
su forma inicial, haca un nmero limitado de preguntas muy concretas, al-
aunas de las cuales intentaban establecer si haba ocurrido un desliz o una
: quivocacin (vase en el captulo 4 la descripcin tcnica de estos actos
peligrosos) y, de ser as, cules eran los factores causales ;nCIdentes. Una
lista de estos vena a continuacin del enunCIado, y p edla una respuesta
s/no a cada uno de ellos: en el caso de los deslices y lapsus de ej ecucin,
20. [bid. , p. 12.
 La gestin de los grandes riesgos
9. In geniera de una cultura de la seguridad

la lista inclua el cansancio, la presin temporal la r~ Ita de t' 1 El formato multirrespuesta del anterior formulario del cuestionario
g ononlla ' d 1 b' , l,u es 1I11U os y 1
e a ca 1I1a de vuelo' en el caso dI ' . . a er-
al - ' e as eqllIvocaclOnes 111 1 ' de factores humanos haca que fuera relativamente sencillo transformar las
nu es engan osos, ins trumentos engan-os r . C ella l11a-
. , os una 10rnla ' . fi ' respuestas s/no en diagramas de barras, Con la segunda versin, ms
una m suficiente cooperacin entr'e la t, ' 1' . , CIOn 1I1SU clente y
A ' ' npu aClOn, abierta, para identificar las cuestiones significativas para los factores hu-
. pesar de que una de las preguntas inquira u se hi b ' manos los analistas de BA tuvieron que desarrollar una estructura de cla-
mformantes se qu eiaron del tono . d 1q zo len , muchos
~ negatIvo e as preg t . sificacin consensuada. Su principal inters recaa en dos categoras: la
Y se comprendi que es to bien pod' d' d' un as en conjunto
la Isua Ir a algl . 1fc actuacin de la tripulacin y las influencias sobre su conducta, El com-
completar el formulario Adell1a's 1 ali d ' 1I10S 11 ormantes de
, , os an stas e BA e t b d portamiento de la tripulacin se subdividi en descriptores de errores
con la validez de algunos de los d t . s a an es COntentos
no entendan bien la diferenci t ,a os, ya que los tnpulantes-informantes (deslices o equivocaciones de accin), habilidades de trabajo en equip o, y
. a ecm ca entre deslrces 1 . tareas especficas (como la operacin automtica o manual). Las influen-
Clones, As pues, los servicios de ,'d d d . . ' apsus y equlvoca_
segun a e Bntlsh Ai 1 cias se dividiero n tambin en tres grupos: factores organizativos (forma-
en 1995 un nuevo cuestionario ex ' d d . Iways anzaron
preguntas abiertas que abar'cab purgba o e jerga, en el que formulaban cin, pro cedinuentos, presiones comerciales, etc), fac tores de entorno
. ' an un a amco de fa t 'b (instalaciones aeroportuarias, condiciones meteorolgicas, etc.) y factores
1I1fluencias locales en la cabina d dI ' c ores qu e 1 an desde
m acin. O'Leary ofi'ece d~s P ' o- e man o lasta la efectividad d e la for- perso nales (automatizacin, autosatisfaccin, moral, etc) . Lo s futuro s
foqu e: rebuntas como ej emplos de este nuevo en- desarrollos se orientan a establecer nexos causales entre los diversos fac-
tores -un cambio de intentar responder a la pregunta cmo? a en-
- Cmo respondieron inicialmente usted y su trip 1 . , frentarse a la pregunta por qu ?-. Aqu la meta es identifi car los
ceso, y cmo establ ecieron qu elem ent t ' . u aCIOn ante el su- patgenos residentes que pueden incidir en el surginuento de toda una
ban involucrados ?' os eCl1lCOS y p ersonales esta- panoplia de diferentes problem.as en la cabina d e nu ndo.
-Estaba claramente disponible tod 1 . f(' ., El diagrama 9.1 da una idea de lo que este desarrollo pued e rendir en
el vuelo, el FMS (el sistema d a, a Idn ormaCIOn relevante sobre el campo del anlisis causal. El diagrama resume un incidente ficticio con-
e gestIOn e vuelo) y 1 .
coqjunto? Los contr'oles 1 ti e slstelna en su sistente en un despegue fallido. En este caso, el estrs operacional se haba
y se ec tores . u e' ' il ~
a mbiguos~ En el caso d e h ' e. ron ut es. No resultaron generado por un aeropuerto con much o trfi co y por la comunicacin
. , qu e no aya SId '. '1 '
rarse?21. o aSI, ec ua es podnan mejo-
con la compal1a para concretar las cifi'as de la hoja d e carga a la vez qu e
el avin se diriga hacia la pista de despegue. El clima d e coop eracin en
Como sel1ala O 'Leary, el estilo d '.
de trabaj o analtico del res:pondente al ael1ealis~setaCLdles~lOnanohtransfiere la carga la cabina de vuelo era pobre. El copiloto se senta desbordado pero no fu e
b10 1 " b ,' e lacto res 1Imanos. El cam- capaz de transnutrselo al capitn . Se con centr en realizar primero una
la incrementado la dern d d
. an a e tra aJo sob' 1 li . d tarea y despu s otra, y no co mprol qu haca el capitn. Como resultado,
dIsponibles para pro cesar los d t ' ., re os nllta os recursos
. . a os, p ero tambl en ha h 1 1 pas por alto las comprobaciones previas al d espegu e. El vuelo obtuvo
tlOnan o sea ms sensible a d ' , . ec 10 que e cues-
, ' versas cuestIOnes qu " pernuso para despega r cuando lleg a la pista y al encender la poten cia d e
bna. Adem s, la fiabilidad d 1 li" h e pr evIamente no cu-
. e an SIS a aumentado d f( , desp egu e, la sirena de alarma de configuracin indic que no se haban
PreVIamente unos 3500 pil t '. e orma espectacular:
, o os e Ingem eros p d ' . r configurado losjlaps p ara el despegue. La maniobra fu e suspendida.
cesos de m anera idio ' ," 1 o Ian 1I11Ormar de los su-
SlI1CraSlca' a l ora emple .
slo una do cena de tripulant~s qu: trab . al:os ~1I~ eqllIpo formado por Finalmente, en el contexto d e la ingeniera de una cultura que in-
analistas22 ajan e onna voluntana como forma, es insoslayable preguntar si existe alguna evidencia cientfica qu e
resp alde la efi cacia de los informes de casi accidentes. En un estudio
sueco 23 , relacionado principalrllente con los accidentes individuales, la im-
, 21. M . O 'Lea ry, New developments in the British Ai!w .
tors R eport1l1g Prograll1Jl1e Flio!Jt D k . . ays Confidentlal Human Fac-
22. lbid. , p. 21. ' ' ec, verano de 1996, pp. 19-22. 23. C itado por S. ]. Guastell o, Do we really know how well our occupatio nal acci-
dent prevention progra ms wo rk?, SaJe!), Scie/lce, 16,1993, pp. 445-463.
262
263
 La ges ti n de los grandes ri esgos
plem entacin de un programa de informes de incidentes dio COmo re-
sultado un aumento del nmero de sugerencias correctivas por parte de
la fu erza laboral, pero no un descenso significativo de la tasa de acciden_
tes. E n el estudi o que sigui a ste, los participantes recibi eron formacin
sobre cmo recono cer e interpretar incidentes crticos, cuyo efecto fu
una disminucin del 56% en la gravedad de las h eridas y lesion es, per~
mnguna en la frecuencia de accidentes. El mensaje principal de estos ha-
llazgos es que los informantes potenciales deben tener una idea muy clara
de qu constitu ye un incidente. En determinadas circunstancias, esto no
siempre es intuitivamente obvio.
Diagrama 9.1
Diagrama de flujo del incidente del despegue desautorizado qu e m uestra
los vnculos causales que se juzgan relevantes (basa do en O 'Leary) 24
INGENIERA DE UNA CULTURA JUSTA
El ideal de una cultura totalmente justa es, casi con certeza, inalcanzable.
No obstante, una organizacin en la que la mayora de sus nuembros com-
parte la creencia de que habitualmente se har justicia, entra dentro de los
lrnites de lo posible. Dos cosas estn claras de partida. Primero, que sera
24. M . O'Leary, op. cit., p.22 .
9. Ingeniera de una cultura de la seguridad
conlpl etamente
' inaceptable castigar todos los errores y actos p eligrosos
, . sin
ten el' en cuenta sus orgenes y circunstancias. Segundo,. . que sen ., a 19Ual-
J11en te
l naceptable conceder U11L1ludad general y eXll1ur de
.. sanClon .a todas
las acciones que hayan co ntribuido o pudieran contnbUIr a accIdentes
organizativos. Este libro ha destacado con fuerza los fa ctor:s sltuacIOnales
y sistn"licos que llevan al fallo catastrfico de las t~cnologlas de alta peli-
arosidad, pero sera pueril no recono cer que, en CIertas ocasIOnes, relatl-
~amente raras, pu eden ocurrir accidentes por efecto de la co ndu cta
irracionalmente tem eraria, negligente e incluso malintencionada de ll1dl-
viduos con cretos . La dificultad radica en discrinunar entre estas pocas
( 1alas conductas autnticas y la imnensa mayora de los actos peligrosos,
In . . , il
a los que atribuir alguna forma de culpabilidad no es m oportuno m. ut .
Un prerrequisito de la ingeluera de una cultura justa es un cOI1Junto
de principios consensuado que trace la frontera entre acciones aceptables
e inaceptables. Con este fin, com enzaremos p or p erfilar algunas de las
cuestiones psicolgicas y legales que deben tenerse en cuenta al pro ceder
a dicho juicio. El diagrama 9.2 disp one el escenario.
Diagrama 9.2
Los elem entos bsicos de la accin humana
Todas las acciones humanas constan de tres elementos esenciales:
- Una intencin que especifica su objetivo imnediato y - cuando estas
acciones orientadas a metas no son totalmente automticas o habitua-
les- la co ndu cta necesaria para alcanzarlo.
- Las acciones desencadenadas por esa intencin -que pueden o no con-
formarse al plan de accin.
- Las consecuencias de esas acciones -que pueden conseguir o no el ob-
jetivo deseado. A este resp ecto, las acciones pueden constituir xitos o
fiacasos .
 La gestin de los grandes riesgos
Las flechas de preahmentacin que muestra el diagrama 9 2 . d'
_ ' ., . . In Ican
que, a1 formular una mtencIOn, las aCCIOnes se seleccionan en la .
. , . . ' creenCIa
de qu e consegmran su obJetIVO (o cuando menos suministrarn u
. , ' il na re-
tro,ah m entacIOn ut para asegurar el xito de acciones futuras) p .
ti. ' " ' ero esa
e no SIempre esta JustIficada . Las ~~chas de retroalimentacin completan
el bucle al proporcIOnar mformacIOn sobre el grado de xito o fracaso de
las aCCIOnes precedentes y sus consecuencias. Las acciones humanas ' creyndola descargada, apunta con ella a Y y aprieta el gatillo. Si cualquier
. d' d estan
m car ma as en un contex to que incluye el contexto fsico inmedi t
, . dI aoy
e1 propoSIto e a secuen cia comportamental de la que una accin
ti con-
cre ta arma parte: Los tres marcos de accin precedentes, situados detrs
del actual, sImb olIzan, en el diagrama 9.2, el contexto histrico.
Estas dos cuestiones tienen una estrecha relacin con la responsabili_
dad mdlvldual: en el caso de las tecnologas de alta p eligrosidad es inevi-
table, por definicin, que todas las situaciones fsicas contengan un
elemento de nesgo; pero tambi n es probable que los actores individua_
les hayan sido -o deberan haber sido- formados p ara prever y mini-
nuzar,esos n esgos. Esto nos retrotrae a la distincin qu e introdl~nos en
el capItulo 4 entre acciones con xi to y sin l, por un lado, y conducta co-
rrecta o incorrec ta, por otro. El xito viene determinado exclusivamente
por el h echo de s~ las acciones planeadas consiguieron o no sus objetivos
mmediatos; p ero eXlto no necesariamente significa correccin. Acciones
con xito pueden ser incorrectas; esto es, pueden alcanzar sus objetivos lo-
cales y, no obstante, ser temerarias o negligentes.
Segn el D erecho, una persona que obra temerariamente es alguien
que delib eradamente asume un riesgo injustificable (esto es, previsible, y
cuyo mal resultado, aunque incierto, es probable). Sin embargo, como han
sealado Smith y Hagan:
El piloto de una aeronave, el ci ruj ano qu e lleva a cabo una operacin y el em-
presano de cIrco que ofrece un nmero de equilibrio en la cuerda floja no
pueden depr de antIcIpar que sus actos pueden causar la muerte de alguien;
y, S111 embargo, no deberamos calificarlos de temerarios, a menos que los ries-
gos que acepten asumir estn injustificados. Ahora bien, la justificacin de un
nesgo depende del valo r social de la ac tividad de que se trate, as como de la
probabIlidad de que el peIjuicio previsto ocurra 25
De otro lado, la negligencia comporta ocasionar una consecuen cia que
una persona razonable y prudente habra previsto y evitado; se puede ser
25 .]. C. Smh y B. H ogan, Crinlil'lal Lnw, 3.' edi cin, Londres, Buttelworths, 1975, p. 45.
266
9. Ingeniera de una cultura de la seguridad
negligente tambin con respecto a una circunstancia: Una p ersona acta
negligentemente con respecto a una circunstancia cuando un hombre ra-
zonable hubiera sido consciente de la existen cia de esa circunstancia y,
debido a dicha existencia , habra evitado actuar de esa forma26. En este
caso, que esa persona fuera inconsciente de la circunstancia e incapaz de
prever el resultado adverso es irrelevante. Por ej emplo, X toma un arma,
persona razonable se hubiera dado cuenta de que caba la posibilidad de
que el arma estuviera cargada y, en consecuencia, hubiera evitado actuar
as, entonces X se comport de forma negligente con respecto a la cir-
cunstancia. Si el arma estaba cargada e Y result muerto, entonces X fu e
negligente con respecto a la consecuencia. Ante un tribunal, no es nece-
sario que la acusacin pruebe nada en absoluto acerca del estado mental
del acusado en el momento de la accin. Basta con que demuestre qu e se
llevaron a cabo ciertas acciones en determinadas circunstancias. Histri-
camente, la negligencia ha sido un concepto de derecho civil ms que de
derecho penal, y se sanciona con penas muy inferiores a las correspon-
dientes a la temeridad27 .
Con frecuencia, se considera que quienes participan en el funciona-
miento de las tecnologas de alta peligrosidad tienen una carga de res-
ponsabilidad adicional en virtud de su formacin y de los graves riesgos
asociados al fallo humano. Por ejemplo, en el caso de Alidair vs. Taylay, en
1978, Lord D enning fall que:
H ay actividades en las que el grado de p ericia profesional que debe exigirse
es tan elevado, y las consecuencias potenciales del menor alejamiento de ese
elevado estndar tan graves, que la actuacin de un modo que no se ajuste a
dicho estndar en una sola ocasin es suficiente para justificar el despid0 28
Esta sentencia, en el espritu de que los cuelguen a todos, es insatis-
factoria en muchos aspectos: ignora la ubicuidad del error, as como los fac-
tores situacionales que lo inducen, y es insensible a la variedad de los fallos
humanos y a sus diversos orgenes psicolgicos. Llevando lgicamente esta
sentencia h asta una conclusin absurda, podra afirmarse que, pu esto que
todos los pilotos, los operadores de salas de control y otros empleados en
26. lbid., pp. 45-46.
27. D. Marx, comu nicacin personal, 9 de enero de 1997. Estoy muy agradecido a
David Marx por su beneficioso asesoramiento acerca de la distincin en tre temeridad y
negligencia .
28 . Citado por M. O'Leary y N. Pidgeon, op. cit. , p. 16.
267

La gestin de los grandes riesgos
puestos determinantes para la seguridad de las tecnologas de alta peligro_
sidad son seres humanos falibles que, en un momento u otro, inevitable_
mente, defraudarn las expectativas de Lord Denning en cuanto al
cumplimiento ntegro de esos elevados estndares deberan, por consi-
guiente, ser despedidos. Ni siquiera los jueces ms sabios y distinguidos
aciertan siempre.
La prueba de S>/stitucn de Neil Johnston constituye una gua mucho
ms sli da29 , y es consistente con el principio de que el mejor personal
puede cometer los peores errores. Frente un accidente o un incidente grave
en el que estuvieron implicados los actos peligrosos de una persona con-
creta, deberamos efectuar la siguiente prueba mental: sustituyamos a la
persona en cuestin por otra procedente del mismo mbito de actividad
y en posesin de una cualificacin y una experiencia comparables y haga-
mos la siguiente pregunta: A la luz de cmo se desarrollaron los sucesos
y de cmo los percibieron quienes los vivieron en tiempo real, es proba-
ble que este otro individuo se hubiera comportado de forma diferente?
Si la respuesta es probablemente no, entonces, como afirma Johnston,
... atribuir culpas no aporta nada sustancial, oculta las deficiencias sist-
micas y culpa a una de las vctimas. Un complemento til a la prueba de
sustitucin consiste en preguntar a los iguales del individuo: Dadas las cir-
cunstancias que concurrieron en aquel momento, puede usted estar seguro
de que no habra cometido el mismo acto peligroso u otro similar? Si, de
nuevo, la respuesta es probablemente no, es inapropiado culpar a nadie.
En cuanto a los antecedentes, basta con lo dicho. Pasemos ahora a la
tarea de ordenar los actos peligrosos conforme a su grado de culpabilidad.
Como en el marco de la jurisprudencia, un criterio discriminante crucial
es aqu la naturaleza de la intencin. Un delito tiene dos elementos clave:
la mens rea, o mente culpable, y el actus reus, o acto culpable, ambos ne-
cesarios para su comisin. Excep to en casos muy con cretos (como, por
ejemplo, en caso de negligencia), sin el elemento mental el acto en s no
es delito. La conducta delictiva no es el tenIa que aqu nos ocupa princi-
palmente, pero adoptaremos el principio del elemento mental como
directriz bsica; no obstante, a partir de este momento abordaremos la
cuestin desde una perspectiva psicolgica en lugar de legal.
El diagrama 9 .3 esboza los elementos mnimos esenciales del rbol de
decisin usado para discriminar la culpabilidad de un acto peligroso. Se da
29. N.Johnston, Do blame and punishment have a role in organizational risk 111ana-
gement?, Fliglrt Deck, primavera de 1995, pp. 33-36.
268
9. Ingeniera de una cultura de la seguridad
or supuesto que las acciones examinadas han contribuido a que ocu-
~riera un accidente o a un incidente grave en el que se evit por muy
oco un resultado funesto. Es probable que en un accidente orgarllzatlvo
~oncurran varios actos peligrosos; el rbol de decisin h a de aplicarse por
separado a cada uno de ellos. En este punto, nuestra preocupacin son los
actos peligrosos cometidos individualmente, bIen por una sola persona,
bien por diferentes personas en mom.entos distintos de la secuenCIa de
un accidente.
Las preguntas clave tienen que ver con la intencin. Si tanto las ac-
ciones como las consecuencias fueron intencionadas, posiblemente este-
mOS en el terreno de la condu cta criminal y es probable que responder a
ella internamente exceda el alcance de la organizacin. Las acciones no
intencionadas definen deslices y lapsus -en general, los errores m.enos
culp ables-; las consecuencias no queridas definen equivocaciones e in-
fracciones. El rbol de decisin suele tratar del mIsmo modo todos los
tipos de errores, excepto en lo que se refiere a la pregunta sobre las I.n-
fracciones. Para las equivocaciones, la pregunta es la que figura en el dIa-
grama 9.3, pero para los deslices y lapsus lo que se inquiere es qu estaba
haciendo esa persona cuando ocurrieron dichos lapsus y deslI ces: SI el 111-
dividuo estaba contraviniendo conscientemente unos procedllTuentos
operativos seguros, entonces el error resultante es ms culp able, ya ~ue
debera h aber sido consciente de que la infra ccin aumenta la probabili-
dad tanto de cometer un error como de que resulten consecuencias ne-
gativas de l (vase el captulo 4). . .
La pregunta sobre las sustancias no autorizadas 111tenta establecer SI
en el momento en que se cometi el acto peligroso el111dlvlduo estaba o
no bajo los efectos del alcohol u otras drogas que se sab e petjudican la ac-
tuacin. Dado que la ingestin de sustancias no autorizadas suele ser un
acto voluntario, su implicacin indicara un nivel de culpabIlIdad alto.
Pero el asunto no es tan obvio. En 1975, durante el descenso hacia Nai-
robi, el copiloto de un Boeing 747 oy malla orden del controlador areo:
en lugar de siete, cinco, cero, cero, entendi cinco, cero, cero, cero 3r
program el piloto automtico para volar a una al~ltud de, 5000 pIes .
Pero para volar a esa altura sobre el nivel del mar el aVlOn habna terudo que
hacer un tnel bajo tierra, dado que est nada menos que 300 metros por
30. Air Accident Investigation Branch (AAm) Boeillg 747-136 G-A WNJ. Repor' 01'1 the
I,.,cide,.,' I'Iear Nairobi Ah'porl, Ke"l'a 011 3 Septe",ber 1974, Aircraft ACCldent R eport 14/75,
Londres, HM SO, 1975 .
269
 9. Ingeniera de una cultu ra de la seguridad

debaj o de la inusual altitud a la que est emplazado el aeropuerto de N ai-

robi. C uando el avin sali de entre las nub es, la tripulacin vio que vo-
laban a poco ms de 200 pies de altura sobre el su elo. La rpida reaccin
del capitn evit el que pudo h aber sido el primer gran desastre de un
<1umbo j et de Boeing. Luego se sup o que el copiloto, que recientem ente
haba estado de vacacion es en la India, tena la solitaria, y no en un estado
leve, y que haba estado tratndose co n medicamentos no autorizados qu e
producan, entre otros efectos secundarios, somnolencia y nuseas. Tom ar
medicacin no autorizada como resultado de una enfermedad , aunque
~
8 claramente reprensible, lo es menos que consumir drogas o alcohol con
vo..~ propsitos recreativos y, p or lo tanto, se ha asignado a la categora de
abuso de sustancias, con atenuantes. El grado de atenuacin dep ender,
Bu por descontado, de las circunstancias locales .
'"' Excepto cuando el incumplimiento se ha convertido en gran m edida
..8
"O
l1J en una forma automtica de trabaj ar (como ocurre a veces en el caso de
"O los ataj os rutinarios), las infi-acciones implican, por parte de quien las p er-
"O'"' petra, una decisin consciente de romp er o relaj ar las reglas. Con todo,
]
C'")
'"' aunque las acciones puedan ser deliberadas, las p osibles consecuencias n e-
0\ E<~
'"' u gativas n o lo son - en contraste con el sabotaj e, en el que tanto el acto
S
....'"' ~
bJ) .... com o las consecuencias son in tencionados- oLa mayora de las infi.-accio-
'Q"' ' ;els::'"' nes no ob edecern a una intencin maliciosa, de m odo que el grado en
....s:: que sean reprobables depender en gran parte de la calidad y disponibili-
~
"O
l1J dad de los procedimientos relevantes, los cuales, com o vimos en el cap-
'...."' tulo 4, no siempre son adecuados para una situacin determinada. C uando
'o.."'
,g:
se juzga que se es el caso -cuando as lo juzga, quizs, un (~ urado de
~~ iguales del p erpetrador-, el problema recae ms en el sistema qu e en el
Tl individu o. Ahora bien, si existan buenos pro cedimientos inmediatam ente
~- " '"ro '"
l1J
"O
o c: '"i1 disp onibles y fueron deliberadamente conculcados, debe plantearse la pre-
/' "O :g c: uo
rl '"
;:l
c: gunta de si la conducta fue temeraria en el sentido legal del trmino. Tales
/' "O
..o....
.D
~ a 1:l
ro
acciones son claram ente m s culpables que las infracciones n ecesarias
'<G
- esto es, las acciones de incumplimiento n ecesarias para poder llevar a
cabo el trabaj o cuando los procedimientos relevantes son errneos, inade-
1 cuados o impracticables.
Parece correcto aplicar la prueba de sustitucin de ] ohnston una vez de-
cididas las cuestiones de posible abuso de sustancias e incumplimiento de-
liberado, si bien una pru eba similar tien e claram ente un papel qu e
desempear en la evaluacin de la culpabilidad de las infi'acciones indu ci-
das por el sistema (que en el diagrama 9.3 viene representado p or la lnea
de puntos). La idea es razonablem ente im11ediata: alguien bien motivado,

27 1

La gesti n de Jos grandes riesgos
de equiparable competencia y una cualificacin comparable, podra co-
m eter (o h a cometido) la mism a clase de error en esas o m uy similares
circunstancias? Si la respuesta del jurado de pares es s, entonces, proba-
blem ente, el error es disculpable. Si la respuesta es no, habr que ver si
haba habido deficiencias inducidas por el sistem a en la formacin, selec-
cin o experiencia de esa persona. En el caso de que no se identifiquen
tales condiciones latentes, habr que contemplar la posibilidad de un error
por negligencia. Si se las encuentra, es probable que el acto peligroso sea
un error, en buena n1.edida inocente, inducido por el sistema.
En esta categora habra que clasificar al op erario cuyo deficiente ca-
bleado de una garita de seales contribuy de forma significativa al de-
sastre ferroviario de Clapham ]unction (vase el captulo 5) . Sus acciones
no pasaran la prueba de sustitu cin, ya que era en gran m edida auto di-
dacta y haba adquirido sus malas prcticas de trabaj o en ausencia de una
formacin y una supervisin adecuadas. Tal y como estableci la investi-
gacin oficial, los problemas subyacentes correspondan al sistema y no al
individuo, que era un trabaj ador muy laborioso y estaba muy motivado
por la idea de hacer bien su trabajo.
En j erga legal, la ltima pregunta importante, en la esquina superior
derecha del diagrama 9.3, podra reformularse as: H aba precedente? ducta indeseada. Las recompensas son el m edio ms poderoso para cam-
La susceptibilidad de las personas a los deslices y lapsus cotidianos difiere
mu cho, y de forma duradera. Algunos individu os son co nsiderable-
m ente ms distrados que otros, por ej emplo. Que la persona en cuestin
cuente con un historial previo de actos peligrosos no implica necesaria-
m ente nada acerca de su culpabilidad en el error cometido en esta ocasin
con creta, pero s indica la necesidad de formacin correctiva o incluso de
asesoramiento profesional en la lnea de: no crees que le haras un favor
a todo el mundo si considerases la posibilidad de ocupar un puesto dife-
rente dentro de la empresa?. As es como la direccin recluta a algunos de
sus ms distinguidos miembros. La competencia y la inteligencia no tienen
ninguna relacin con el hecho de ser distrado, pero ste s que es un rasgo
que no resulta particularmente til para el desemp el10 profesional de un
piloto o un operador de sala de control.
D nde deberam os trazar, pues, la lnea entre la conducta aceptable y
la inaceptable en el diagrama 9. 3? El lugar ms obvio sera entre las dos ca-
tegoras de abuso de sustancias. Tanto el dao malintencionado como el
consumo peligroso de alcohol o drogas son totalmente inaceptables y de-
b eran recibir sanciones m uy severas , de las qu e posiblem ente deberan
ocuparse los tribunales ms que la organizacin. Entre el abuso de sus-
27 2
9. Ingeniera de una cultura de la seguridad
tancias, co n atenuantes y el posible error por negligencia hay una zona
gris en la que debe ej ercerse el juicio con cuidado. Las restantes categoras
deben conceptualizarse como exentas de culpa -a menos que involucren
fac tores agravantes que n o h emos contemplado aqu-o La experien cia
lleva a pensar que la m ayora de los actos peligrosos -quizs el 90% o
ms- entran en esta categora de inocencia.
Qu debe esperarles a la pequ ea proporcin de individuos cuyos
actos peligrosos son considerados, con justicia, culpables? No es compe-
tencia de este captulo aconsej ar sobre la naturaleza de las sanciones . N o
obstante, aunque el asunto concierne exclusivamente a las organizaciones
en cu estin, s podemos decir algo sobre el valor - o lo contrario- de los
castigos.
D esafortunadam ente, una gran parte de la investigacin psicolgica
sobre el tema de la recompensa y el castigo ha estudiado a la rata de labora-
torio y no es especialmente relevante para la conducta humana. La tabla 9 .2
resume de forma muy sim plificada qu saben los psiclogos sobre los efec-
tos de la recompensa y el castigo en el lugar de trabaj 0 31. El asunto prin-
cipal es aqu la efectividad de el palo y la zanahoria para aumentar la
probabilidad de la conducta desea da y reducir las posibilidades de la con-
biar la conducta, pero slo son efectivas si se dan de forma inmediata o muy
prxim a a la conducta que se desea. Los castigos demorados tienen efec-
tos negativos: en general, no mejoran la conducta y pueden inducir resen-
timiento tanto en las personas castigadas como en las que podran serlo. Las
celdas etiquetadas como efectos dudosos significan que, en ambos casos,
op eran fu erzas contrapu estas ; en consecuencia, los resultados son inciertos.
Tabla 9.2
R esumen de los efectos de la reco m.pensa y el castigo en el cambio conductual
en el puesto de trabaj o
Imnediato s D emorados
Efectos Efectos
R ecompensa dudosos
positivos
Efec tos Efectos
Castigo
dudosos positivos
31. ]. M. G eorge, AsynU11etri cal effects of rewa rds and pu nishment: th e case of social
loa6 ng, j oumal oJ Ocwpational and Olga/liz lltio/11l1 Ps)'cI/Olog)', 68,1995, pp. 327-328.
27 3
 La gestin de Jos grandes riesgos
Pero hay otros factores que aconsejan vivamente la aplicacin de cas-
tigos a los pocos que cometen actos peligrosos flagrantes . En la mayora
de las organizaciones, el personal en primera lnea sabe muy bien quie-
nes son los vaqueros y los que flexibilizan las normas habitualmente.
Verles salir bien librados un da s y otro tambin beneficia poco a la moral
de trabajo o a la credibilidad del sistema disciplinario; verles llevarse su
merecido no slo es gratificante, sirve tambin para reforzar la posicin
de la fiontera de la conducta aceptable. Adems, las personas ajenas a la
empresa no son las nicas vctimas potenciales. El despido justificado pro-
tege a los compaeros del infractor; es probable que sea a stos, quiz m s
que a cualesquiera otras posibles vctimas, a quienes ms pone en peligro
la reiterada temeridad o negligencia de esa persona. Su marcha hace del
entorno de trabajo un lugar ms seguro y, adems, favorece que la fuerza
de trabajo perciba la cultura de la organizacin como justa. La justicia
funciona en dos sentidos: los castigos severos a unos pocos pueden pro-
teger la inocencia de los m s numerosos.
D avid Marx, un ingeniero aeronutico que fue uno de los principales
arquitectos de la ayuda a la toma de decisiones sobre errores de manteni-
miento (MEDA) de Boeing (vase el captu lo 7), hizo el siguiente comen-
tario sobre la relacin entre informes de sucesos y sistemas disciplinarios
-aunque escribe sobre el sector de la aviacin, sus ideas son de aplica-
cin general:
Muchos de nosotros hemos descubierto que los sistemas disciplinarios actua-
les son un obstculo significativo a la hora de pedirle a un empl eado que d
un paso adelante y hable de su equivocacin . Consecuentemente, como sec-
tor, hemos empezado a reevaluar la interrelacin entre la disciplina del em-
pleado y la investigacin de sucesos adversos. Las aerolneas, internamente o
en colaboracin con la FAA, han desarrollado muchos programas [... ]. Se le
llame inmunidad, anmista o incentivo relacionado con la actuacin, todos
los programas intentan animar al empleado que ha cometido un error a salir
a la luz. Sin embargo, a medida que ms y ms programas de incentivos entran
en el mercado de las ideas, el paisaje disciplinario deviene cada vez ms C0111-
pIejo y desorientador. Con todos los programas que hoy existen, el empleado
individual tendra que ser abogado para ponderar si es seguro o no dar la cara32
David Marx ha obtenido recientemente un ttulo en derecho y uno
de los fiutos ms interesantes de ese marid<0e entre la ingeniera y la ley
ha sido el investigador de incidentes informtico llamado Sistema de ges-
32. D. Marx, comunicacin personal, 1 de octubre de 1996.
274
9. Ingen.iera de una cultura de la seguridad
tin de incidencias Aurora (Aurora Mishap Mal1agemel1t S)'stem, AMMS).
AMMS est formado por diversos elementos; pero su aspecto m s impor-
tante, para nuestros presentes propsitos, es su metodologa estructurada
para establecer la aplicabilidad de una accin disciplinaria. El consejo de
evaluacin disciplinaria de una organizacin emplea esta herramienta
de investigacin como ayuda para la toma de decisiones . El AMMS aplica
un mismo enfoque consistente a la cuestin de si la accin disciplinaria
est justificada o no. Hasta la fecha, varias aerolneas estadounidenses lo
vienen utilizando en el mbito del mantenimiento de aeronaves y cuenta
con el respaldo de los sindicatos del sector.
INGENIERA DE UNA CULTURA FLEXIBLE
La flexibilidad organizativa significa poseer una cultura capaz de adap-
tarse con efectividad a demandas cambiantes. La flexibilidad es una de las
propiedades definitorias de lo que un grupo de investigacin muy influ-
yente de Berkeley -dirigido porTodd La Porte, Karlene Roberts y Gene
Rochlin- ha llamado organizaciones de alta fiabilidad ~1gh-reliabilit)' oy-
gal1izations, HItO). El grupo ha llevado a cabo trabajos de campo en varias
organizaciones intensivas en tecnologa y altamente complejas que deben
funcionar, hasta donde es humanamente posible, con un estndar impe-
cable -cero fallos-o Los sistem as que aqu nos interesan son el control
del trfico areo y las operaciones aeronavales militares.
Los retos operativos a que se enfientan estas organizaciones (y otras
comparables) son dos:
- Gestionar unas tecnologas complejas y muy exigentes asegurndose
de evitar fallos graves que pudieran incapacitar seriamente a la orga-
nizacin, quizs incluso destruirla.
- Al mismo tiempo, m antener su capacidad para hacer frente a p eriodos
de demanda y produ ccin muy altos, m ximos, cuando quiera que
estos se produzcan 33 .
Las organizaciones estudiadas por el grupo de B erkeley posean las si-
guientes caractersticas:
33 . T. R. LaPorte y P. M. Co nsolin.i , "Working in practice but not in theory: theore-
tical challenges of " high-reliability" organizations, j ollrnal 01 Pllblie Administration Rese-
are/ alld Theory, 1,1991, p. 21.
275

La gesti n de los gra ndes ri esgos
- Eran grandes, internamente dinmicas y, de forma intermitente, in-
tensamente interactivas.
- Todas realizaban tareas complejas y diflciles b~o una considerable pre-
sin temporal.
- Todas han llevado a cabo esas exigentes actividades, a lo largo de un
buen nmero de ios, con una tasa de error muy baja y una ausen cia
casi completa de fallos ca tastrficos.
A primera vista, las dos organizaciones que aqu examinaremos -el
portaaviones nuclear de la m arina estadounidense y el centro de control
del trfico areo- tenan estructuras organizativas muy j errqui cas y bu-
rocrti cas, con una clara lnea de autoridad y mando. Ambas organiza-
ciones confiaban en muy alto grado en proc edimi entos operativos
es tndar (s tandard operating procedures, SO l') comprobados, y realizaban un
enorme esfuerzo para formar a su personal en la ejecucin de esos pro-
cedimientos. E s casi cierto que, en condiciones de funcionami ento ruti-
nario, la nica decisin necesaria era qu SOl' aplicar.
En estas HRO las acciones estaban sujetas a estrecha vigilancia, y en el
momento en qu e ocurra un error se realizaba una investigacin irune-
diata - denominada lavado en caliente en la j erga de la marina esta-
dounidense- . Con los aos, estas organiza ciones han aprendido que hay
ciertos tipos de error, con fre cuencia bastante nimios, que pueden con-
vertirse rpidamente en fallos graves que amenazan el sistema. En estas
reas determinantes, a diferencia de otras, no se alentaba el aprendiz~e
por prueba y error, para evitar qu e se convirtiera en una prctica que
crease h bito . Adems, y cito la descripcin de La Porte y Consolini,
existe una sensacin palpable de que es probable que ocurran sucesos
semejantes qu e sea imposible prever con claridad , imposibles de imaginar
incluso. Es una nube qu e se cierne siempre sobre las operaciones, una pre-
ocupacin permanente34. Dicho brevemente, estas organizaciones sufi'en
inquietud crnica. La siguiente cita, de la misma fuente, capta muy elo-
cu entemente esa inteligente ca utela y sus consecuencias culturales:
Las personas que trabajan en estas orga nizaciones saben casi todo lo qu e se
pued e saber tcnica mente sobre las tareas que realizan -y tem en qu e
eso pu eda inducirles a suponer qu e estn preparados para responder a cual-
quier contingencia-o Con todo, un nfimo fallo de comprensin, un instante
de indecisin , puede desencadenar el desastre. Por eso usan una estrategia de
34. bid. , p. 27 .
"1
9. In ge ni era de una cultura de la seguridad
toma de decisiones proactiva y preventiva. Efectan indagaciones y anlisis
tanto antes como despus de los errores. Procuran ser sinpticos, aun sabI endo
qu e nunca lo conseguirn por compl eto. En su intento de eVItar los. peh.gros
de esta lu cha, sus patron es de toma de deCISIOnes parecen prom~ve r estrate-
gias aparentem.ente contradictorias de aumento de la producclOn y redu c-
cin de los errores. Esos patrones fomentan:
- Informar de los errores, sin alentar un a actitud laxa hacia su comisin.
- Tomar la iniciativa de seil.alar deficiencias en los sa l' y proponer y validar
modificaciones en aqullos que se demu estre qu e son inadecuados.
- Evitar erro res sin sofocar la iniciativa o crear rigidez en el operador.
- La vigilancia mutua , sin induci,r una co ntraprodu ce nt~ p ~'d~~a de auto-
nona , confianza y seguridad en SI nllsmos entre los operadores .
Y, cmo responden las HRO a la sbita necesidad de operar a u~ ritmo
extremadamente rpido? Bajo la superficie del modo de operaCl,on ruti-
nario, burocrtico y basa do en los SO l', subyace, a la espera, un patron com -
ple tamente diferente de comportamiento organizativo. Esto es lo qu e
sucedi a bordo de un portaaviones cu ando unos 70 de sus 90 aparatos
estaban volando en distintas misiones:
Los patrones de autoridad mudan y pasan a basarse en las habilidades fun-
cionales. La autoridad , y las pautas de decisin coleglddas sustItuyen a las bu-
rocrticas a medida qu e el tempo de las operaciones se acelera. El ra~go y el
estatus formal se devalan como razn para la obediencia. El rango Jerarql1lco
cede el paso a la cOlnpetencia tcnica, co n frecuencia en manos de ql1lenes
tienen un rango formal inferior. Las clases (subofiCiales veteran os) aconseJan
a los oficiales al mando, dan rdenes cortsmente a los tel1lentes y avasallan a
los alfreces. La situacin crtica, las amenazas y la conl.plejidad de las opera-
ciones hacen que smj a una suerte de disciplin a funcional, una profeslOnali-
zacin de los equipos de trabajo. La informacin y las negoCIacIOnes (a veces
conflictivas) sobre los resultados aumentan en importanCIa; la retro alimenta-
ci n sobre cmo va la cosa . se demanda y se va Iora . 36 .
Un tipo similar de fle xibilidad fu e evidente en un centro de control
del trfico areo. Los cambios de viento repentinos pu eden Imponer una
carga adicional sobre unos controladores ya de por s bastante ocup a~~s.
R eorientar las rutas de vuelo de un gran nmero d e aparatos en relacJOn
co n nada m enos qu e, en este caso, tres aeropuertos importan,tes, dos gran-
des bases militares y cinco p equ el1.os aerdromos d e aVlacJOn gen eral, se
35. bid. , p. 29 .
36. bid., p. 32.
277

La gesti n de los gra ndes ri esgos
- Eran grandes, internam ente dinmicas y, de forma intermitente, in-
tensamente interactivas.
- Todas realizaban tareas complejas y dif1ciles bajo una considerable pre-
sin temporal.
- Todas han llevado a cabo esas exigentes actividades, a lo largo de un
buen nmero de aos, con una tasa de error muy baja y una ausencia
casi completa de fallos catastrficos.
A primera vista, las dos organizaciones que aqu examinaremos -el
portaaviones nuclear de la marina estadounidense y el centro de control
del trfico areo- tenan estructuras organizativas muy j errquicas y bu-
rocrticas, con una clara lnea de autoridad y mando. Ambas organiza-
ciones confiaban en muy alto grado en proc edin entos operativos
estndar (s tandard operating procedures) sap) comprobados, y realizaban un
enorme esfuerzo para formar a su personal en la ejecucin de esos pro-
cedimientos. Es casi cierto que, en condiciones de funcionamiento ruti-
nario, la nica decisin necesaria era qu sal' aplicar.
En estas HRO las acciones estaban sujetas a estrecha vigilancia, y en el
momento en qu e ocurra un error se realizaba una investigacin inme-
diata -denominada lavado en caliente en la jerga de la marina esta-
dounidense-. Con los aos, estas organizaciones han aprendido que hay
ciertos tipos de error, con fi:ecuencia bastante nimios, que pueden con-
vertirse rpidamente en fallos graves qu e amenazan el sistema. En estas
reas determinantes, a diferencia de otras, no se alentaba el aprendizaje
por prueba y error, para evitar qu e se convirtiera en una prctica que
crease hbito. Adems, y cito la descripcin de La Porte y Consolini,
existe una sensacin palpable de que es probable que ocurran sucesos
sem ejantes que sea imposible prever con claridad, imposibles de imaginar
incluso. Es una nube que se cierne siempre sobre las op eraciones, una pre-
ocupacin permanente34. Dicho brevem ente, estas organizaciones sufren
inquietud crnica. La siguiente cita, de la misma fuente, capta muy elo-
cuentemente esa inteligente cautela y sus consecuencias culturales:
Las personas que trabajan en estas organjzaciones saben casi todo lo qu e se
puede sab er tcnicamente sobre las tareas qu e realizan -y temen qu e
eso pueda inducirles a suponer que estn preparados para responder a cual-
quier contingencia-o Con todo, un nfimo fallo de comprensin, un instante
de indecisi n, puede desencadenar el desastre. Por eso usan una estrategia de
34. [bid. , p. 27.
9. Ingeni era de una cultura de la seguridad
ton'la de decisiones proactiva y preventiva. Efectan indagaciones y anlisis
tanto antes como despus de los errores. Procuran ser sinpticos, aun sabIendo
qu e nunca lo conseguirn por completo. En su intento de evItar los p eli~ros
de esta lu cha , sus patrones de toma de deCISIOnes parecen prom~ver estrate-
gias aparentem ente contradictorias de aumento de la producclOn y reduc-
cin de los errores . Esos patrones fomentan:
_ Informar de los errores, sin alentar una actitud laxa hacia su comisin.
_ Tomar la uciativa de sealar deficiencias en los SO l' y proponer y validar
modificaciones en aqullos que se demuestre qu e son inadecuados.
_ Evitar errores sin sofo car la uciativa o crear rigidez en el operador.
_ La vigilancia mutua, sin inducir una contraproducente prdida de auto-
35
nonua , co nfianza y seguridad en s nusm os entre los operadores
Y, cmo responden las HRa a la sbita necesidad de operar a :l~'l ritmo
extremadamente rpido? Bajo la sup erficie del modo de operaCl,on rutI-
nario buro crtico y basado en los sap, subyace, a la espera, un patron com-
pleta:n ente diferente de comportam.iento organizativo. Esto es lo .que
sucedi a bordo de un portaaviones cuando unos 70 de sus 90 aparatos
estaban volando en distintas misiones:
Los patrones de autoridad mudan y pasan ~ basa rse en las habilidades fun-
cion ales . La autoridad, y las pautas de declSlon colegladas sustItuye n a las bu-
rocrticas a m edida que el tempo de las operaciones se acelera . El ran,go y el
estatus formal se devalan como razn para la obediencia. El rango Jerarqmco
cede el paso a la competencia tcluca, con fiecuencia en manos de qmenes
tienen un rango formal inferior. Las clases (subofiCIales veteranos) aco nsejan
a los oficiales al mando, dan rdenes cortsm ente a los tem entes y avasallan a
los alfreces. La situacin crtica, las amenazas y la complejidad de las opera-
ciones hacen que surja una suerte de ilisciplina funcio nal, una profeslOnall-
zaci n de los equipos de trabajo. La informacin y las negOCIacIOnes (a veces
conflictivas) sobre los resultados aumentan en importanCIa ; la retro alImenta-
. al . 36
ci n sobre cmo va la cosa se demanda y se v ora .
Un tipo similar de flexibilidad fu e evidente en u n centro de control
del trfico areo. Los cambios de viento repentinos pueden Imponer una
carga adicional sobre unos controladores ya de por s bastante ocupad~s.
R eorientar las rutas de vuelo de un gran nmero de aparatos en relaclOn
con nada m enos que, en este caso, tres aeropuertos ll11.portan,tes, dos gran-
des bases militares y cinco pequeos aerdromos de aVIa CIon general, se
35. bid. , p. 29.
36. bid. , p. 32.
277
La gestin de los grandes riesgos
convierte para los controladores de servicio en un programa de accin
prioritario. La Porte y Consolini describieron lo que sucedi:
El tempo para llevar a cabo el control de aproximacin y el centro de con-
trol en ruta aumenta, y los controladores se renen en pequeos grupos al-
rededor de las pantallas de radar relevantes, trazando las maneras ptimas de
gestionar el trfico a medida que el cambio de viento se torna inminente. Se
intercambian consejos, se proponen sugerencias, y el trfico real se COITlpara
con las simulaciones usadas en las muchas horas de formacin que siguen los
controladores [. . .]. Aunque existen normas generales y hay controladores y
supervisores en posicin de autoridad, es el equipo el que se congrega en
torno a los controladores que ocupan los asientos cali.entes. Sern los con-
troladores experimentados, los virtuosos, [y no los supervisores,] quienes
dominen el curso de la decisin. La prdida de la separacin -el indica-
dor clave del fallo de un controlador- es algo demasiado terrible para que
evitarlo se confe exclusivamente a las normas 37
Cuando el periodo de tempo acelerado se va ralentizando, la autori-
dad revierte sin brusquedades a su forma burocrtica previa, determinada
por el rango. Un tipo muy similar de flexibilidad es evidente en una anc-
dota que me contaron acerca de una de las unidades mejor valoradas del
ejrcito estadounidense durante la Guerra de Corea: los suboficiales de la
unidad reconocan que carecan de las cualidades necesarias para mandar
a los hombres en una situacin de accin. Cuando la unidad entr en
combate, el mando local pas a un pequeo grupo de soldados rasos. Des-
pus, fuera ya de esa situacin, estos lderes de combate no tuvieron
ningn problema en obedecer las rdenes de los suboficiales, cuyas habi-
lidades en la organizacin cotidiana de la vida militar reconocan plena-
mente.
As pues, existe evidencia convincente de que la capacidad de una or-
ganizacin para pasar de un modo de gestin burocrtico y centralizado
a otro ms descentralizado y profesional es un determinante importante
de su fiabilidad - o incluso de su capacidad de supervivencia-o Pero,
cmo puede ser objeto de ingeniera? Karl Weick -cuya obra he citado
en diversos momentos a lo largo de este libro- ha apuntado varias ob-
servaciones importantes a este respecto. Para lograr una descentralizacin
efectiva -del tipo descrito ms arriba-, Weick sostiene que:
[... ] primero hay que centrali.zar, para socializar al personal en el uso de su-
puestos y premisas similares en su toma de decisiones, de modo que cuando
37 . [bid ., p. 34.
9. Ingeniera de una cultura de la seguridad
operen sus propias unidades, las operaciones descentrali.zadas sean equivalen-
tes y estn coordinadas. Esto es precisamente lo que hace una cultura: crea un
conjunto homogneo de supuestos y premisas de decisin que, cuando se [,e-
curre a ellas sobre una base local y descentralizada, preservan la coord111aclOn
y la centralizacin. An ms importante, cuando la centralizacin se reali.za
va supuestos y premisas de decisin el cumplimiento ocurre S111 neceSIdad de
supervisin, lo que contrasta agudamente con la centrali.zacin basada en n~r
mas y regla111.entaciones o con la centralizacin basada en la esta~danzacI~n
y la jerarqua, que requieren ambas un elevado 111vel de supervlSl0n.Ademas,
ni las normas ni la estandarizacin estn bien dotadas para afrontar e111.er-
. d
genClas e as queino 'eXlste prece dente 38 .
Probablemente no es ninguna coincidencia que las HRO que estudi
el grupo de Berkeley fueran militares o buena parte de su personal clave
tuviera experiencia militar -algo cierto tambin de la tercera HRO no ana-
lizada aqu, una central nuclear californiana donde muchos de sus ope-
radores y supervisores haban estado previamente en la fuerza naval
nuclear-oLa aceptacin de una manera disciplinada de abordar el trabajo,
una confianza bien fundada en los soP y la familiaridad con los usos y cos-
tumbres de las estructuras basadas en la graduacin seran todas ellas de
ayuda para fOljar los valores compartidos sobre la fiabilidad que haran po-
sible una accin descentralizada efectiva cuando la ocasin lo exigiera.
Weick aporta otra idea de considerable relevancia aqu: todas las tec-
nologas de alta peligrosidad se enfrentan al problema de la variabilidad
intrnseca -la diversidad interna del sistema excede la del personal que
debe controlarlo (vase el captulo 4)-. Como consecuencia, ese perso-
nal pasa por alto inform.acin importante, realiza diagnsticos incomple-
tos y aplica remedios miopes que pueden empeorar en lugar de remedIar
el problema. Pero una cultura que fomenta los relatos de guerra puede
nutigar ese problema. Puesto que la naturaleza de estos sistenlas deja escaso
margen para el aprendizaje por ensayo y error, mantener la fiabilidad de-
pende en ellos del desarrollo de alternativas al ensayo y el error, entre las
que se incluiran la imaginacin, la experiencia vicaria, la simulacin, los
relatos y su narracin.
Un sistema que valora los relatos y su narracin es potencialmente ms fia-
ble porque su personal sabe ms sobre el sistema, sabe ms sobre los errores
potenciales que podran ocurrir, y tiene ms confianza en ser capaz de ma-
38. K. E.Weick, Organizational culture as a source ofhigh reliability, California Ma-
Iwgemel1t ReiJiew, 24, 1987, pp. 112-127, vase p. 124.
279
La gestin de los gran des riesgos
nejar bien los que sucedan porque sabe qu e otras personas han sabido solu-
cionar errores simiJares 39
Otras formas de reducir la distancia entre la diversidad del sistema y la
de sus controladores humanos incluyen:
- Una cultura que favorece la comunicacin cara a cara. Una forma (cierta-
mente estereotipada) de describir a los ingenieros es como personas in-
teligentes que no conversan. Dado que sab emos que la gente tiende a
minusvalorar lo que no hace bien, y dado que los sistemas de alta fia-
bilidad necesitan conversaciones ricas y densas para mantener su com-
plejidad, resulta que pueden tener dificultades para generar esa riqueza
si la conversacin es una actividad poco valorada por su personal o si
ste es incapaz de encontrar sustitutivos de la co nversacin (el correo
electrnico podra ser uno de esos sustitutivos, por ejemplo) )40.
- Grupos de trabajo cOI'/'Ipuestos de personas diferentes. Un equipo de indi-
viduos diferentes posee ms diversidad indispensable que un equipo de
individuos homogneos41. Importa menos en qu consista esa diver-
sidad -que difieran en su especialidad, su exp eriencia, su gnero,
etc.- que el hecho de que exista. Si la gente busca cosas diferentes,
cuando ponga sus observaciones en comn ver ms de lo que cual-
quiera de ellos habra visto soI0 42. Por la mism a razn , los grupos
compuestos por personas muy similares tienden a ver cosas muy si-
milares y, por ende, carecen de diversidad indispensable.
La descentralizacin de la autoridad en ciertas circunstancias fu e un
rasgo crucial del concepto militar alemn de A ,iftragss)'stem - (sistema de
misin) , expuesto en el captulo 4-, cuya esencia consista en entrenar a
los mandos subordinados, los suboficiales subalternos y de mayor grado,
hasta el punto de que ellos (o, muy raramente, ellas) fu eran capaces de al-
canzar los objetivos tcticos de sus sup eriores, con o sin rdenes. Traducido
a un contexto civil, significa seleccionar y formar a los supervisores de pri-
mera lnea para que sean capaces de dirigir el trabajo de forma segura y pro-
ductiva sin necesidad de sOPo Este sistema localinente situado de direccin
39 . lvid. , p. 113.
40 . lvid., p. 11S.vase tambin K. M. Eisen hardt,]. L. Kahw;uy y L.]. Bourgeois, "Con-
fli ct and strategic choice: H ow top manageme nt tea ms di sagree, Califom ia Ma llagemellt
Rwiew, 39, 1997, pp. 42-62 .
41.K.E.Weick, op.cit. , 1987,p. 1l6.
42. lvid ., p. 116 .
280
9. Ingeniera de un a cultura de la seguridad
del comportamiento exige mucho de las cualidades personales de los su-
pervisores. Uno de sus requisitos es una amplia experiencia en las tareas que
se realizan en el lugar de trabajo y en las condiciones en las que es proba-
ble que se lleven a cabo. Los supervisores han de ser expertos locales tanto
en las demandas productivas locales como en el espectro de sus amenazas
obvias, y menos obvias. De igual importancia es una autoridad personal
derivada por igual del respeto de la fu erza de trabaj o y del respaldo de la
direccin-una caracterstica fundamental en el xito del ej rcito alemn.
No todas las ac tividades de las tecnologas de alta peligrosidad se reali-
zan en grupos bajo supervisin. C uando las personas operan en relativo ais-
lamiento, la responsabilidad pasa del grupo a los auto controles; entre stos,
son de capital importancia las tcnicas diseadas para mejorar la concien-
cia de las amenazas y la percepcin del riesgo, es decir, las medidas que
persiguen fomentar la actuacin correcta, ms que la n1.eramente exi-
tosa. Varios programas de evaluacin de riesgos se estn desarrollando en
este momento o han sido implementados ya. Sin embargo, como ha ob-
servado WillemAlbert Wagenaar, la formacin en evaluacin de riesgos es
de escasa utilidad una vez que las acciones incorrectas se han co nvertido
en habituales 43 . C uando eso ocurre, el personal no est asurniendo riesgos
deliberadamente, sino que est corriendo riesgos de una forma en gran me-
dida irreflexiva y automtica. Para ser efectiva, esa formacin debe tener
lugar en la fase inicial de la ocupacin del puesto ; y la orientacin provista
in situ por la sup ervisin, consolidarla y ampliarla posteriormente. Por la
misma razn, es principali11.ente a travs de la intervencin de la supervi-
sin local que cabe la posibilidad de modificar pautas incorrectas de co n-
du cta que llevan largo tiempo asentadas.
E n resumen, las organizaciones de alta fiabilidad son capaces de cam-
biar de la modalidad de co ntrol centrali zado al modo descentralizado en
el que la direccin de las operaciones locales depende en buena m edida
de la profesionalidad de los sup ervisores de primera lnea. Paradjica-
mente, quizs, el xito de esta transformacin depende del establecimi ento
previo de una cultura j errquica fuerte y disciplinada. Son los supuestos y
valores crea dos por esta cultura los qu e posibilitan la coordinacin de los
grup os de trabajo descentraliza dos. Los equipos efectivos, capaces de ope-
rar autnomamente cuando lo exigen las circunstancias , necesitan lderes
de alta calidad, lo cual, a su vez, requiere que la organizacin invierta ge-
43.W.A.Wagenaar, l<..isk-taking and accident ca usation, enJ.Yates (ed.) Risk-Taking
Be/Qlliollr, C hichester, W iley, 1992.
281
 La gestin de los grandes riesgos
nerosamente en la calidad, la motivacin y la experiencia de sus supervi-
sores de primera lnea.
INGENIERA DE UNA CULTURA QUE APRENDE
De todas las sub culturas consideradas hasta aqu, la cultura capaz de
ap:"ender.es probablemente la ms fcil de hacer objeto de ingeniera y la
mas dIfcil de hacer que funcione" La mayora de sus elementos constitu-
yentes han sido descritos ya: observar (darse cuenta, poner atencin, tomar
en cuenta, seguir la trayectoria), reflexionar (analizar, interpretar, diagnos-
tIcar), crear (imaginar, disear, planificar) y actuar (implementar, obrar,
comprobar). Los primeros tres no son tan difciles; es el ltimo el que po-
sIblemente origine la mayora de los problemas. Hacindonos eco del
arrepentido lamento del directivo del Banco Barings despus de la quie-
bra, siempre pareca haber algo ms urgente que hacer.
Despus de todo lo que se ha escrito ya 44 , poco ms puede hacer un
libro para insuflar en la alta direccin la voluntad de implementar las re-
formas que indican sus sistemas de informacin sobre la seguridad, ex-
cepto llamar su atencin sobre esta estremecedora observacin del terico
de las organizaciones Peter Senge:
Que un nio sufra una discapacidad que entorpezca su aprendiz;tie es tr-
gICO, pero cuando le ocurre a una organizacin es fatal. sa es la causa de
que pocas corporaciones vivan ni siquiera la mitad que las personas - la ma-
yora mu ere antes de cumplir los cuarenta45.
No debera hacer falta recordar a los altos directivos que un accidente
organizativo puede acortar brutalmente incluso esa breve esperanza de vida.
LA CULTURA DE LA SEGURIDAD: MUCHO Ms QUE LA SUMA
DE SUS PARTES
Al llegar a este punto, me represento mentalmente a un imaginario gestor
tcnico de una organizacin con un buen historial de seguridad (proba-
44. R eco m.iendo al lector interesado comell2ar por la lectura de B.Toft y S. Reynolds,
Learl'lll1gfrom Dlsaster: A MnJ'Iagel1leJ1t Approach, Londres, Buttelworths H einemalUl , 1994.
45. P. M. Senge, Th e F!fth Discipline: The Art al'/(( Pmctice of the Learning Olganiz ation,
Londres, .~entury Bussll1ess, 1990 [trad. cast., La qlli/1.ta disciplina: el arte y la prctica de la
O/gamzac/OI'/ abIerta al aprendIz aJe, Barcelona, Graruca, 2004] .
9. Ingeniera de una cultura de la seguridad
blemente medido en funcin a la tasa de accidentes con prdida de jorna-
das de trabajo por milln de horas/hombre) que empieza a repasar los com-
ponentes culturales que hemos examinado hasta aqu. S -puede decidir
l, o ella- , puede decirse que tenemos un sistema para informar de los in-
cidentes. S, disponemos de un mtodo razonablemente justo y directo
para decidir si procede o no emprender acciones disciplinarias. S, en oca-
siones, hemos permitido considerable discrecionalidad a los sup ervisores
de primera lnea y hemos respaldado despus sus decisiones -cuando las
cosas han salido bien, por supuesto-.Y, s, hemos implementado diversas
mejoras en la seguridad, bastante caras, sobre la base de informacin tanto
reactiva como proactiva, as que podra decirse que tenemos una cultura
que aprende. Significa todo esto que tenemos una cultura informada, o, en
trminos ms corrientes, una cultura de la seguridad?
Como sabe cualquier ingeniero, montar las piezas de una mquina no
es lo mismo que hacerla funcionar.Y lo mismo es aun ms verdad si cabe
en la ingeniera social que en sus homlogas mecnicas. Para contestar a
nuestro hipottico gestor deberamos, por nu estra parte, formularle algu-
na s otras preguntas:
- Qu miembros del consejo directivo tienen la responsabilidad de la se-
guridad organizativa (a diferencia de la preocupacin co nvencIOnal
por la salud y la seguridad en el trabajo)?
- La informacin sobre la seguridad organizativa, se debate en todas las
reuniones regulares del consejo, o su equivalente de alto nivel?
-Qu sistema, si es que existe alguno, se utiliza para valorar el coste de
las prdidas ocasionadas por los actos peligrosos, los incidentes y los ac-
cidentes?
-Quin coteja, analiza y difunde la informacin relativa a la seguridad
organizativa? Cuntos escalones j errquicos de informacin separan
a esa persona del consejero delegado? Qu presupuesto anual se asigna
a su departamento? Qu volumen de plantilla supervisa?
- El nombramiento para un puesto relacionado con la seguridad orga-
nizativa, se ve como una recompensa al talento o como un pudridero
organizativo para fuerzas agotadas?
-Cuntos especialistas en factores humanos y organizativos emplea la
empresa?
- "Quin decide qu accin disciplinaria se impone? Participan los pares
. .
y los representantes sindicales del acusado en el proceso de enJUl-
ciamiento? Existe algn procedimiento interno de apelacin?
 La ges ti n de los gra ndes ri esgos

La lista potencial es interminable. La idea es sta: la mera posesin de

los elementos externos fiuto de la ingeniera no es suficiente. Una cul-
tura de la seguridad es mu ch o ms que la suma de las partes qu e la Com-
ponen. y aqu -perversamente tal vez, habida cuenta de lo qu e dijimos
10
al comienzo de este captulo- debemos reconocer la fu erza del argu-
mento qu e afirma que una cultura es algo que una organizacin es, ms La conciliacin de los diferentes enfoques
que algo qu e tiene. Pero para que una organizacin logre algo que se de la gestin de la seguridad
aproxime a un estado de ser sa tisfactorio debe primero tenen> sus COm-
ponentes esenciales.Y stos, como hemos intentado demostrar, pueden ser
obj eto de ingeniera. El resto dep ende de la qumica orga niza tiva. Ahora
bien, utilizar y h acer - especialmente en una organizacin tcnica- con-
du ce a pensar y creer.
RETORNO A LA DISTINC IN ENTRE ACCIDENTES INDIVIDUALES
Por ltimo, m erece la pena m encionar aqu que si usted est conven- Y ORGANIZATIVOS
cido de que su organizacin posee una buena cultura de la seguridad es casi
seguro que se equivo ca. Como el estado de gracia, una cultura de la segu- REC IENTEMENTE HE PUESTO A PRUEBA algunas de las ideas de este libro con
ridad es algo que uno se esfu erza por alcanzar, p ero que raramente se logra. profesionales de la seguridad que se enfren,tan a las realidades CO tI~lal~S
Como en el caso de la religin, el proceso es m s importante que el pro- de la exploracin y la produ ccin de p etroleo en el M ar _del Norte, ~
du cto. La virtud - y la recomp ensa- consisten en la lucha, ms que en odo qu e soy consciente de que existe caSI un abIsmo entre su ac tual fo
su resultado.
m
calizacin en los accidentes co n danos _ persona1es y 1m nfaSIS _ en los I-enr
- "
compar acron, I'nfi-eCllentes- accidentes orgamzatlvos
, a gran r-
d 1escala , Po
su u esto , los profesionales son plenam ente co nSCIentes : ~s p e Igras
ec~nmjcos, co_m~
POST SCRPTUM: CULTURA NACIONAL
humanos y medioambientales que _supon: n catastrafes
Toda cultura organizativa est co nfigurada por el co ntexto nacional donde la de Piper Alpha, pero durante los ltimos 15 anos, mas o menos, el_PIll~
radica -y es to es especialmente cierto en el caso de las organizaciones ' 1 paral11.e
Clpa ' t r-o de evalllacin
" de la seguridad en" la mdustna p1etralera, '
multinacionales-o El alcance de este captulo excluye Ocuparnos de las di- COlTlO en m uchos otros mbitos de alta p eligrosIdad, han sIdo 1 os abc~I;
ferencias entre las culturas nacionales. Sobre es te tem a, rernito al lector a dentes con p rdida de Joma , d as d e tra b'
aJo por- 1nilln de horas/10m
-1 re ,
los libros germinales de Geert Hofs tede 46 . Aconsejo viva mente tambin En consecu encIa, ' parece oportuno,
- en es te captulo final, retomar
,._ a cues-
al lec tor interesado qu e consulte el trabaj o de Robert Helnu'eich 47 y sus tin, examinada muy brevemente en el captulo 1, de las dIferencIas entr e
colegas de la universidad de Texas, y el de Najmedin M eshkati 48 , de la los accidentes individuales y organizativos. ' _ 'd
Universidad de California del Sur. Otro problema que es necesario afro ntar es la creenCIa, compartI a
por nlu c1lOS ges t or-es te' CIU'COS , de que la principal amenaza para la mte-
ridad de sus activos radica en las deficiencias comportamentales y mo-
g , 1 del p ersonal situ ado en primera lnea , Para ellos, la tan
tlvaClOna es " , ' r dos en
manida estadstica segn la cual los errores humanos estan lmp lca
46. G. H ofstede, op. cit. 1994.Vase tambi n G. Hofstede, Cllltllrd COl/seqllellces: In ter-
natiolla! D{tJereuces in f!f/ork-Re!ated f(!es, BeverJy Hills, CA, Sage PubJications, 1980.
47. R . L. Helmreich,A. Merritt y P. Sherman, "Research project evaluates th e efJect , a A n dy Pea rcpe,
- de Shell
of national cul ture on fli ght crew behaviour, {C.~o j Oll l'lla!, 51,1996, pp. j 4-16 (y mu chas 1, Estoy particularm ente agradeCIdo _ d Expro,
Gas poar Richard Clark,
hacer posibles
otras fue ntes). de BP E xp Iorat'10 11 , y a Rob Pinchbeck
. 'de.
Atl antlc ower an "

48 . N. M eshkati, "Cultural f.1c tors infl uencing safety need to be addressed in design estos y otros valiosos contactoslcon lo~ pr~~~I~;l~~~~aio resulta en una ause ncia de ste,
2, C uando un pe1JlllclO re aCiana o. "
and opera ti on of techn ology, {CAO j Olll'lla!, 51, 1996, pp, 17-1 8 (y mu chas otras fuentes) , usualmente durante ms de uno o dos dJas.
 La gesti n de los grandes ri esgos
el 80- 95%.
de
.
todos los su cesos adversos significa, por lo gen eral , que 1
causas pnnclpales de todos los accidentes son la ineptitud humana in di-
v~dual y las acciones equivocadas. Cuando buscan la ayuda de un espe-
CIalista en factores humanos, lo que esperan es alguien o algo que arreale
los orgenes psicolgicos de estas conductas desviadas e indeseadas . P:ro
esa demanda - como con60 que haya qu edado claro- va a contraco_
rriente del m ensaj e principal de este libro: los lugares de trabajo y las
orga mzac~ones son ms f.kiles de ges tionar que las m entes de los trabaj a-
dores mdlvlduales . No se pu ede cambiar la naturaleza humana, p ero se
pueden cambIar las condiciones en que trabajan las p ersonas . En una pa-
labra, las solucIOnes a la mayora de los problemas de actuacin humana
son tcni cas, m s que psicolgicas.
Otra forma de emp ezar a resolver estos aparentes conflictos es reco-
no cer que existen tres modelos distintos de gestin de la seguridad -el
modelo personal, eImodelo de ingeniera y el modelo organiz ativo-- y que
cada uno de ellos tIene una perspectiva diferente sobre el error humano.
D eborah Lucas, que ahora trabaja para el Conlt Ej ecutivo de Salud y Se-
gundad del R emo Umdo, fu e la primera en proponer esta importante
distincin 3 .
El obj etiv o principal de es te captulo final es mostrar que, a pesar de
sus dIferenCIas en cuanto a tradicin, nfasis y dominios de aplicacin, no
hay mnguna razn para que estos diversos modelos y sus prcticas aso-
cla~as no puedan coexistir armnicam ente en una mism a organizacin
- sIempre que se reconozcan los puntos fuertes y dbiles de cada enfoque.
TRES ENFOQUES DE LA GESTIN DE LA SEGURIDAD
El modelo personal
El enfoque tradicional de la seguridad laboral ej emplifica el modelo p er-
sonal: el acento principal recae en los actos peligrosos individuales y en los
3. D. A. Lucas, Wise m en learn by o th ers' harl11s, fools by their own: o rga niza ti onal
barners to learmng the lesso ns fi:ol11 m;ti or accidents, ponencia presentada al Safety & Re-
liabih tySooety SymposlLl ll1 so bre Safety & R eliabili ty in the '90s: Will past exp erience
01: predlctlO~l l11eet O L![ needs?, 19- 20 de septiembre de 1990, Altrincham , M anchesteI.
Vease tambl en D.A. Lucas, Understanding th e hum an fac tor in disasters, Interdisciplinary
SC/ el'lce R evlews, 17, 1992, pp. 185-190 . Vase asimism o Center fo r C hemical P rocess Sa-
fety, G llldehnesJor Preven/il'lg HI./I'I/al'l Error in Process Saje/y, Nu eva Yo rk, Center for C he-
nu cal Pro cess Safety of the Ameri ca n Institu te of C hemi cal E ngineers, 1994, pp. 44- 101 .
286
ro. La co nciliaci n de los diferentes enfoq ues de la ges ti n de la seguridad
~ accidentes con daos personales. Este eoque ve a las p ersonas COlT10 agen-
tes libres capaces de elegir entre el comportamiento seguro y el peligroso.
Eso significa que se percib e que son factores psicolgicos como la falta
de atencin o de m emoria, la desmotivacin, la falta de cuidado, la falta de
destrezas de conocimiento o de experiencia, la negligencia y, en ocasiones,
la tem eridad dolosa los qu e dan forma predominantem ente a los errores.
Sus principales aplicaciones se dan en sectores donde la interaccin con las
amenazas es muy prxima. Por ello, es el modelo de aplicacin ms exten-
dido de los tres. Es tambin el eoque con una historia ms larga, que se
remonta hasta los inicios de la industrializacin. Su gestin suele corres-
ponder a departamentos y profesionales de la seguridad, si bien - en fec has
ms recientes- se ha hecho ms hincapi en la responsabilidad personaL
Las contram edidas ms amplian"lente utilizadas son las campaas de
p asquines que apelan al miedo, las recompensas y los castigos, la audi-
tora de los ac tos p eligrosos , la redaccin de un nuevo protocolo, la
formacin y la seleccin. Las mejoras se miden m ediante indicadores es-
tadsticos de daos p ersonales, como fallecimientos, accidentes con p r-
dida de jornadas de trabajo, casos que precisaron tratamiento mdico, casos
de primeros auxilios, etc. A m enudo, se fundam enta en la visin de las
causas de los accidentes com o un iceberg o una pirmide . El anlisis
de Frank Bird sobre 1753498 accidentes, de los que informaron 297 em-
presas qu e representaban a 21 sec tores in dustriales diferentes, propor-
cion la base emprica de tales creen cias 4 . Su estudio produjo la razn
1:10:30:600 (vase abaj o), ampliamente utilizada h oy, aunque tambin se
emplean otras razones comp arables :
- 1 herido grave o de importancia.
-10 heridos leves .
- 30 accidentes resultantes en daos a la propiedad.
- 600 incidentes sin heridos o daos visibles.
El modelo de ingeniera
El modelo de ingeniera se origina en la ingeniera de la fiabilidad, en la
ergonona tradicional (yen su variante moderna, la ingeniera cognitiva),
en la gestin de riesgos y en la evaluacin de la fi abilidad humana.Ve la
4. F Bird JI. , Practica! L oss COI/tro! Leadership, Lo ngaville, GA, Internatio nal Loss Co n-
trol Institute, 1969 .
 La gestin de los grandes ri esgos
s~gt.l,ridad como, algo que hay que instalar en el sistema mediante inge-
mena y que, all donde se pueda, debe cuantificarse con tanta precisin
como sea posible.Vale decir que se centra en la fiabilidad del sistema pro-
ducto de la ingeniera, con fi-ecuencia expresada en trminos probabi-
lsticos. A diferencia del modelo personal, los errores humanos no se
consideran simplemente el producto de lo que ocurre entre las orejas del
mdlvlduo, smo como algo que emerge de los desajustes entre el ser hu-
mano y la mquina, o a causa de una pobre ingeniera humana -es decir
porque los diseii.adores del sistema no fueron capaces de adecuarlo acer~
tadamente a los puntos fuertes y dbiles de sus controladores humanos-
Tpicam ente, este modelo enfoca su atencin en cmo las caractersticas'
del lugar de trab;0o o, ms especficamente, las propiedades informacio-
nales de la intelfaz ser humano-mquina influyen en la actuacin de los
operadores de primera lnea -por ejemplo, operadores de salas de con-
trol, pilotos, etc.-. Trat con cierta extensin estos temas en el captulo 3,
en el contexto de la automatizacin chapucera .
Fueron la industria de la energa nuclear, las fuerzas armadas, las agen-
cias espaciales, la industria de procesamiento qumico y la aviacin -terre-
nos en los que la seguridad del sistema depende de manera determinante
de la fiabilidad de un pequeo nmero de controladores humanos-
quienes inicialmente impulsaron esta lnea de investigacin. Ms recien-
temente, no obstante, su mbito de aplicacin se ha visto muy ampliado
debido a la obligatoriedad legal de que las empresas de petrleo y gas pre-
senten evaluaciones formales de la seguridad como parte de sus reco-
mendaciones de seguridad (vase el captulo 7). Las aplicaciones prcticas
de este enfoque incluyen: estudios de la operabilidad de las amenazas ~1a
z ard operability studies, HA ZOPS), estudios de anlisis de riesgos (haz ard analy-
sis studies, HAZANS) , evalua cin probabilstica de riesgos (probablistic l'sk
assessment, PI~), auditoras tcnicas de la seguridad, estudios de fiabilidad
y mantenibilidad ('eliability and maintanibility studies, RAM S) , anlisis de fia-
bilidad humana ~1Ul'l1an reliabl ty analyss, HRA) , anlisis de tareas cogniti-
vas, directrices ergonmicas, bases de datos y la aplicacin de sistemas de
apoyo a la toma de decisiones. Pueden encontrarse excelentes exposicio-
nes de la naturaleza y aplicaciones de estas herramientas en varios textos
recientes s.
5. E. Hollnagel, Hu man Re/iabi/it)' Ana/ysis: Conlext a/1{/ Control, Londres, Academic
Press, 1993; Center for C henll cal Process Safety, Oj!ocit.; A. I. Glendon y E. F. McKelm a,
HUl/lal/ Sqfety ami Risk Managelllel/t, Londres, Chapman & Hall, 1995; B. Kirwan , A GI/ide
to Practlcal Human Re/iabilit)' Assemne/lt, Londres, Taylor & Francis, 1994; E. M . Doug-
288
10. La co nciliacin de los difere ntes enfoq ues de la gestin de la seguridad
El modelo organizativo
Si el modelo organizativo, el ms reciente de los tres, tiene algn vnculo
disciplinar, probablemente sea con la gestin de crisis. Aunque a sus prac-
ticantes no siempre les resulte patente, este enfoque tiene sus orgenes in-
telectuales en dos libros. El primero, Man-Made Dsastel; del fallecido (y
muy aorado) Barry Turner, publicado en 19786 . La segunda influencia
fundamental fu e Accidentes norrnales, de Charles Perrow7 . En retrospectiva,
debe acreditarse tambin al Honorable Peter Mahon por su extraordina-
rio informe sobre la tragedia del Monte Erebus, ocurrida en 19798 . Como
ha sealado Neil ]ohnston, el Informe M ahon se adelant 10 aos a su
po ca 9 . La mayora de los accidentes que han conformado nuestro pen-
sami ento actual sobre los factores organizativos an no haban sucedido.
Como vimos en el captulo 8, el extenso informe del juez Moshansky
sobre la tragedia de Dryden ha conferido un respaldo ms reciente al en-
foqu e organizativo lO .
El modelo organizativo contempla el error humano ms como una
consecuencia que como una causa; en buena medida, los errores son sn-
tomas qu e revelan la presencia de condiciones latentes en el sistel11.a en ge-
neral; son importantes slo en tanto en cuanto afectan negativamente a la
integridad de las defensas. El modelo subraya la necesidad de m edidas pro-
activas de salud de la seguridad y de continuas reformas de los procesos
bsicos del sistema. Todo esto tiene mucho en comn con la gestin de ca-
lidad total; de hecho, el modelo organizativo difumina deliberadamente la
distincin entre los factores relacionados con la seguridad y los deterrni-
nantes de la calidad: a ambos se los juzga importantes para aumentar la re-
herty Jr. y J. R. Fragola , HI/lllan Reliabilily AI/alysis: A S)'slel/Is E/'Igil/ eering Approach I/,il/
N I/clear POllJer Plant Applications, Nueva York , Wiley, 1988.
6. B. Turner, Man-Made Disasler, Londres, Wykeham, 1978. E n la actualidad , el doc-
tor Nick Pidgeon, de la Universidad de Gales, en Bangor, est preparando una segunda
edi cin .
7. Charles Perrow, Nonna l Accidellls: LiIJil'g wit/ Higll-Risk Tecl111010gies, Nueva York,
Basic Books, 1984 [trad. cast.: A ccidentes normales. COI'I/JlJir con las temologas de alto riesgo,
Modus Laborandi , M adrid, 2009).
8. R eporl oJ I/e Ro)'al Commissiol/ to Inq/lire into t/e Cras/ 01'1 i\lIol./I11 Erebl/s, Anlarlica oJ
a D C-1 OA ircraJt Oj!eraled by A ir NellJ Z ealand Limiled, Wellington, 1981 .Vase tambi n G.
Vette, III/pact Ereb/ls, Wellin gto n, Aviation Consultants Ltd, 1983 y S. McFarlane, The Ere-
bl/s Papers, Auckland, Avon Press, 1991.
9. D. Maurino, et al., Beyol/d Avialion HIIII/an Factors, Aldershot, Avebury, 1995, pp. 30-56.
10.V P. M oshansky, Cornrnissioll oJ [lIql/ir)' il/lo Ihe Air Ol/Iario Cras/ al Dr)'dm, 01'110-
rio. Final Report, vol. :1 , Ottawa, Ministry of Sup ply and Se rvices, 1992.
 La gestin de los g randes riesgos
ID. La conciliacin de los diferentes enfoques de la gestin de la seguridad
sistencia intrnseca del .
'. sIsten1a a sus anlena ' .
consIdera Implicados en los'd zas operatIvas y a ambos se 1 - Riesgos debidos a la insidiosa acurnulacin de condiciones latentes dentro de las
E h acCI entes orgal1Izativos Os
. .n muc os aspectos, el modelo or a " . esferas del mantenimiento, la gestin)' la olganiz an. Estos riesgos estn es-
pliacIn del modelo de inge ..' g I1IZatIvo es slI11plemente una an
'1 L ' l1Iena y no es el b l ' l- trechamente asociados con sistemas que poseen varias defensas dis-
e. os desajustes ser humaIlO ' . 1 a so uto lI1compatibl e co
puestas en profundidad. Como vimos anteriormente, el resultado
. . ' -maqulI1a se c 'd' n
SlOnes preVIas, tomadas en 1 al . onsI eran resultado de de .
os , tos I1Iveles d 1 . CI- indeseado es la rotura o elusin de las defensas decisivas, lo cual pone
madas, a su vez, por factores d , e sIstema, que estn confo r _
a las amenazas (que no necesariamente han de causar daos fsico s) en
regulacin y la sociedad. e mayor amplItud relacionados COn la
contacto petjudicial con personas o activos, provocando prdidas. En
Este Iibro ha oti'ecido una combinacin d este caso, puede producirse incluso la destruccin de toda una instala-
y orgal1Izativo, con un nfasis alg e los enfoques de ingeniera
d 1 d o mayor en el d cin o un sistema. Son los accidentes organizativos por antonomasia.
e to o evidente que ambos SOl . segun o. No obstante es
, d 1 necesanos p , ' - Riesgos para terceros. Son riesgos que amenazan las vidas, el sustento y el
gIa e los accidentes organiz t' . .ara comprender la etiol o_
a IVOS y para lInut '1 ti bienestar fsico y mental de individuos no directamente empleados por
suce d en y su gravedad D d ' . ar a 'ecuencia con qu
d . on e SI eXIste confli e la organizacin, as como la probabilidad de que sus activos, o el medio
elos y el enfoque, en gran arte diri . cto es entre estos dos mo-
ldo ambiente en general, sufi-an prdidas o daos. Tales terceros inclui-
sionales tradicionales de la sePgU ,'d d 1gb a los lI1dividuos, de los profe-
. r I a a oral SI b ran a los pasajeros, los pacientes, los inversores, los contribuyentes, las
estas dIferencias son una cuestin de " . n em argo, con fi-ecuencia,
CltcUnstanCIas, no sustanciales. personas que viven en la vecindad de una instalacin de alta peligrosi-
dad o, en realidad, cualquiera que pueda ser afectado adversamente por
REAS DE RIESGO PRIMARIAS el funcionamiento de una tecnologa concreta, por una actividad fi-
nanciera (por ejemplo, la banca, los seguros, la gestin de fondos de
En toda tecnologa de alta peligrosidad . , pensiones y similares) o por los servicios pblicos (por ejemplo, las fuer-
nesgo, cuya significatividad nat 1 eXlste~l cuatro areas primarias de zas armadas, las fuerzas de seguridad, etc.).
. ' ura ITIente, vana de un sector a otro Estos cuatro tipos de riesgos pueden clasificarse en dos grupos. Los
- Riesgos d d - . .. '
e anos o pel]uIClos personales Est' . riesgos de petjuicios personales se identifican estrechamente con los ac-
en las que la fuerza de traba' " an asoCiados con actividades
~o esta en estrecho cidentes individuales y el modelo personal. Los otros tres tipos de riesgos
nazas. Los resultados indeseabl . contacto con las ame-
mitado de algn activo E . es : on un trabajador herido o el dao li- estn todos asociados con los accidentes organizativos y constituyen la
. n I1Ingun caso SlI1 emb' . l' preocupacin principal tanto del modelo de ingeniera como del modelo
extensos en una instalacin l" argo, UTIp Ican daos
'b '
d escn lI110S estos episod' o en e sIsten1a
.
en g 1 E
en era . n el captulo 1 organizativo.
lOS como aCCidentes ' di .d
tan a trabajadores individuales o a el lI1 VI uales, porque afec-
material. ementos lI1dlVlduales del equipo
LA PREPONDERANCIA DEL RIESGO EN DIFERENTES MBITOS
- Riesgos debidos a errores cometidos .
E" . .. por controladores 1 d .
stan aSOCiados ms estrecha .. CalJe e pnmera lnea. Todos estos riesgos estn presentes, cuanto menos en alguna medida, en
ITIente con aquello .
mas ) en los que el Cont' l ' . s SIstemas (o subsiste- todas las operaciones de alta peligrosidad -en este sentido, los tres mo-
10 esta centralizado e 1
mente pocos individuos E l . n as manos de relativa- delos de gestin de la seguridad pueden aplicarse a todas ellas-; pero al-
1 '. . n os sIstemas mode ' .
a actIvIdad de control t, ' . rnos, caSI con seguridad gunos riesgos predominan sobre otros, y su proporcin relativa vara de
es ara automatIzada en al . '
sul tado no querido p d " , . guna medIda. El re- un sector a otro (vase la tabla 10.1). Adems, esa preponderancia no viene
_ o na ser un aCCidente or . . ..
senalamos anteriormente es iI 'b bl gal1Izatlvo SI bIen, como dada de una vez y para siempre por la naturaleza del sector; puede variar
, l1pro a e que UI .
na como resultado de 11 1 1 Suceso Senlejante ocu- a causa de nuevos desarrollos tecnolgicos e incluso sociales. Las tcnicas
n so o error 'd
radores. COmetI o por uno o varios ope-
avanzadas de fabricacin, por ejemplo, han desviado la preocupacin de
los deslices, lapsus, tropiezos o torp ezas de los trabajadores individuales

291
 La ges ti n d e los g ralldes
<
.'
lIesgos
10. La co n cili aci n de los difere n tes e n foq u es de la ges ti n d e la seguri da d
en la ca dena de prod .,
UCClOn conven cional 1
po cos op eradores clave q . ' a os costosos errores de La historia de la tecnologa moderna es rica en ej emplos en los que
El ' ue programan 1 h ' unos
b n os hospitales, las mayores preocu .as erranu entas informatizadas nuevos descubrimientos han pillado a los gestores de riesgos a contrapi.
Ienestar de los pacientes y 1 . P: Clones fu eron en otro tiemp l' En los sistem as de transporte, pongam os por caso, el nfasis se pona tra-
a protecclOn d I O e
con las enfermedades pero l'lt ' e p ersonal frente al Conta t dicionalmente en la seguridad de los pasaj eros o la carga y en los riesgos
1 ' unamente 1 b' co
a os ges tores de rieso-os a t0111~ . . os cam lOs sociales han forzod qu e supona la falibilidad del personal situado en primera lnea -los pi-
1 b . ,,1 en consId . . , 1 " o
n en e creciente nmero de agresione fi . ela ClOn os p eligros que supo_ lotos, los m aquinistas y las tripulaciones de los buques-oSlo en fechas
de la sa nidad . s SlCas que suti-en los trob1i d
a ,~ a ores relativam ente recientes, por ejemplo, se han p erca tado las aerolneas de los
riesgos asociados al mantenimiento o de las enormes prdidas derivadas de
los daI10s que suti-e el personal de tierra - y que en algunas grandes aero-
Tabla 10.1 lneas estadounidenses ascienden a 30 millones de dlares al aI1o-. Hizo
Comparacin de las estimaciones de cuatro tipo d . falta el desastre de Clapham Junction para que British Rail fu era co ns-
e n d'fc '
1 erentes ambitos
s e n esgo
<

ciente de los riesgos asociados al trabajo tcnico en el sistema de se11aliza-

Sector de operacin
Riesgos de daos
Errores de cin, y slo a consecuen cia de l empez a registrar los accidentes con
p ersonales Condiciones
operadores Riesgos para daI10s perso nales que sufra su personal de infraestru cturas (por ej emplo,
latentes terceros
clave
Generacin elctri ca los operarios de m.a niobras y los trabajadores que se ocupan de las vas); y,
muy b;tio
nuclear alto alto sin embargo, se trataba de una organizaci n con 160 aI10S de tradicin en
(en estado normal) Oluyalto
Plantas de proceso innovacin en m ateria de seguridad tanto en la esfe ra de la ingeniera
b;tio-moderado
gUJn ico alto alto como en la humana (donde humano equivala a condu ctor o guardavas).
(en es tado normal) mu y alto
Av cin COJ11ercial Slo durante la p asada dca da ha llegado el sector de la energa nucl ea r a
moderado-alto
alto alto darse cuenta de los ri esgos asociados a las circunstancias de baj a p otencia
(personal de tierra) muy alto
Ma nu factura avanzada
muy b;tio
o de parada; la formacin y los procedimi entos de los op eradores de las
alto alto variable salas de control estaban dirigidos casi exclusivam ente a manej ar em ergen-
Exploracin y
alto
cias en las situaciones, ms tpicas, de pl ena potencia. Hizo falta la tragedi a
produccin petrolfera alto alto muy alto de la estacin de m etro de King's C ross p ara revelar qu e las estaciones, al
Transpo rte martinlO
alto igual que los trenes, podan ser lu ga res p eligrosos para los pasaj eros y para
alto alto mu y alto el p ersonal. E hizo falta el Informe C ullen para qu e las empresas del pe-
Ferrocarriles trleo y el gas del M ar del Norte se ap ercibieran de las tcnicas de eva -
alto
alto alto
(infraestru ctura) alto luacin formal de la seguri dad, a pesar de que haca tiempo que eran un
Constru ccin elem ento ca rdinal de la agendd de la gestin de riesgos en las fuerzas ar-
mu y alto
moderado-alto alto aJto m adas y en los sectores de la energa nuclear y el proceso qumico.
Minera El riesgo es fimcin de la probabilidad de qu e ocurra un suceso y de la
llJ uyal to
moderado-al to alto b;tio- posible extensin de su resultado nega tivo. Las estimaciones qu e ofrece
Medi cina moderado
moderado la tabla 10.1 varan mucho a tenor de las diversas m aneras como pu ede ob-
mu y alto alto mu yaJto tenerse una calificacin de alto (o muy alto) riesgo. En la columna de ac-
Servicios fi nancieros
lUuy b;tio
muy alto
cidentes personales, por ej emplo, las consecuencias lesivas de un suceso
alto alto adverso se lim.itarn habitualmente a un individuo, a un pequeo grup o
Estadios deportivos y
control de masas
alto
alto o a su entorno inmediato. Aqu, la calificacin de alto ri esgo se asigna m s
alto aJto sobre la base de la prob abilidad qu e del resultado - que, por supues to,
depender tambin del nmero de vctimas potenciales-o Pero el hecho

293

La gesti n de los grandes ri esgos
inverso es cierto para, digamos, la evaluacin de muy altO riesgo adscrita
a los riesgos para terceros asociados con la generacin de electricidad em-
pleando energa nuclear. Aqu , la probabilidad de una fu ga radiac tiva im-
portante es sobremanera pequeI'i a, pero sus consecuencias adversas, en el
p eor de los casos, seran verdaderamente terribles.
Incluso si los lectores discrepan de las estimaciones de riesgo concre-
tas que ofrece la tabla 10.1, hay algo que contina siendo dificil de cues-
tionar: hay m enos variabilidad entre los distintos sectores en los riesgos
asociados a las condiciones latentes que en los otros tipos de riesgos. En
este aspecto, el riesgo de todos ellos debe evaluarse, al m enos, como altO.
D escubrir las razo nes no es dificil. Cuanto m s se alej a uno del espacio de
las operaciones de primera lnea, m s parecidas se tornan las organizacio-
n es. Los sistem as tcnicos, del tipo que sea, comparten inevitablem ente
gran nmero de procesos ordinarios: previsi n , planificacin, programa-
cin temporal, elab oraci n de presupuestos, esp ecificaci n del nuevo
equipo (y, en o casiones, su diseilo y construccin) , operacin, m anteni-
nuento, gestin, comunicacin, etc.Y es en el seno de esos procesos donde
se siembran las semillas de los desastres futuro s - sin importar el sector- o
En resum.en , todos los mbitos de alta p eligrosidad comparten la amenaza
de los accidentes orgaluzativos, nuentras que sus riesgos de accidentes in-
dividuales son extrem adam ente variados. A p esar de ello, el modelo per-
sonal sigue siendo el enfo que m s utilizado en la gesti n de la seguridad.
Adems, con resp ecto a la aplicacin y utilidad del enfoqu e p ersonal,
por un lado, y de los enfoques de ingeluera y orgaluzativo por otro, existe
una m arcada asimetra: estos dos enfoques pueden aplicarse de forma til
a la linutaci n del riesgo de d ios p ersonales (y, p or lo tanto, prevenir ac-
cidentes individuales), mientras qu e el modelo personal no sirve en ab-
soluto para responder a los riesgos de error de op eradores clave, o
deriva dos de condiciones latentes, o para terceros -todos los cuales p er-
tenecen netam ente al rea de los accidentes organizativos- . D e h echo, su
predonuno en la m ente de much os gestores tClucos sup o ne un induda-
ble obstculo p ara la m ejora de la seguridad. Aplicados a los riesgos id-
neos, este enfoque y sus herramientas h an demostrado ser valiosos. La
dificultad reside en que algunos directivos son incapaces de re cono cer
que existen o tros tip os de riesgos y otras herranuentas para hacerles frente.
C uando todo lo que tienes es un martillo, casi todo lo que ves te parecen
clavos. O, para expresarlo m s directam ente, cuando el modelo personal
es el nico enfo que con el que uno se siente cmodo, todos los proble-
mas parecen ser problem as concenuentes a alguna p ersona.
294
10. La co nciliacin de los diferentes enfoq ues de la gestin de la seguridad
Por qu es tan seductor el m o delo perso.nal? M ere:e la pena ech~r un
vistazo a algunas de las razones de la extendida atracClOn que despierta el
enfoqu e personal de la gestin de riesgos:
_ Existe desde hace m.ucho tiempo. La m ayora de los altos directivos ha
desarrollado su carrera en este paradigm a y se siente a gusto con sus
doctrinas. Para muchos gestores, gestin siglufica gestin de personal,
de modo que el enfoque orientado a la persona se ajusta a la descnp-
cin del puesto. . ..
_ Algunas orgaluzaciones, notablem ente Du Pont, han temdo ~l~ vlSlble
xito en la consecucin de unas tasas de aCCIdentes COl~ p erdida de
jornadas de trabajo por nulln de h oras/ hombre muy b aj as . En 1990,
po r ej emplo, los accidentes con prdida de Jornadas de trabajo (que
im.plicaron ausen cia del trab ajo durante n"ls de un da) por ca da
200 000 horas de exposicin, en sus ram as global y europea, fuer~ n de
O 03 2 y O 023 respectivam ente; esto es, 0,16 y 0,12 por nullon de
h~ras/hon~bre, o 0,32 y 0,23 por cada 1000 empleados. A Du Po nt se
la considera, con justicia, lder del m ercado en este aspecto,. y vanas
comparuas importantes han intentado emular, sus logr~s, espeClalmel~te
en el sector de la explo racin y la explotacion petrolfera. Estas cifras
prop orcionan un obj etivo muy claro al qu e apuntar ; y unas metas tan
bien definidas son bienve nidas en el, a m enudo, b astante nebuloso
asunto de la gestin de la seguridad. .
_ Es mucho m s fcil atribuir la respo nsabilidad legal de un aCCIdente a
los actos peligrosos del personal situ ado en primera ln.ea~ ya que es
n1.UCh o n13's 1:'
lacil pr-obar-la
' conexin entre esas aCCIo nes mdlvlduales
, .y
el resultado desastroso que cualquier posible nexo entre este y de:l-
siones previas de la direccin -vase, por ej emplo, la fallida acusaCl~n
co ntra los directivos implicad os (por la C omisin de Investlga~lOn
Sheen)11 en el caso del hundimiento del Herald 0 1 Free Entelpnse - .
En este proceso, el ju ez Turner orden al jurado ex culpar a los acusa-
dos incluso antes de qu e la defensa expusiera su eVidenCIa, afirmando
qu e n o exista evidencia directa de que (<una p ersona razonablem ente
prudente que ocupase el pu esto de cualqmera de ~os acusados l: u=
biera percibido que el riesgo era obvIO o grave. N o era sufiCiente, ana
11. B. Sheen, IvI. V Hemld oJ Free Enterprise. R eport oJ CO llrt 11 . ' 8074, D epartment of
Transport Londres, H MSO, 1987. I l d d t 20
12. N: Cohen, "Zeebrugge manslaughter prosecuti on collapses, ~ , e 1/. . epe/l en,
de octubre de 1990.
295
 La gesti n de los grandes riesgos
10 . La conciliacin de los diferentes enfoq ues de la gestin de la seguridad

di, con hacer pa tentes los fallo . ,

s, S1l10 que h abla que d
acusados haban obrado COl1 te -'d d N ' emostrar que los PUEDEN PREDECIRSE LOS ACCIDENTES ORGANIZATIVOS A PARTIR
m ell a o era d . 'bl
denar p or homicidio a una e _. a nUSI e, afirm, COn- DE LOS DAOS PERSONALES?
, , mpr esa m erced a la .,
actos de unos individuos cuy ' , a gregaclOn de los
. as accIO nes no fu eron ,.
m eran as . En este punto la legO 1 . , . 1 en SI 111ISn1as te- Para mantenernos fieles a los argumentos bsicos expuestos en este libro
., ' IS aClOn Ino- esa contrad ' 1
d aClOn emitida en 1988 por el e . b ' Ice a recon1en_ deb emos estar bien dispu estos a reconocer que fa ctores organizativos y de
onseJO d e Europa 1 .
que 1os actos individuales s d b _' en e sentido de gestin corriente arriba de la organizacin constituyen la raz tanto de
_. . . e ellan aCLlIl1ularse cuand _ .
r1I11Ir SI una empresa ha comer" d c~ I . o se trate de di- los accidentes individuales como de los organizativos. Ambos tipos de su-
_ C. 1 o una l,uta o un delito
omo menCIOnamos ya en el ca tulo 7 . cesos se deben a condiciones latentes.
nuestra libertad personal o a l il P , d ' con cedemos un alto valor a No es dificil encontrar ej emplos de dat'os personales que tuvieron cau-
, , a USlOn e nuestro libre alb d ' p
qu e tambin se lo atribuimo. ' e no. uesto sas organizativas. En su excelente libro Al'/. Engineer's View oJ Human Error,
s a otros, teneIl10S una ti d
a asumir que los actos pelio- _ . ' uerte ten encia Trevor Kletz l4 divide sus captulos en dos grupos: aqullos en los que las
brosoS se come tieron porq 1 . d '
en cues tin eligieron seo-uir L _ d ., ue os 111 Ividuos causas de los accidentes con dat'os perso nales fueron fallos individuales
- 1
na an10S en un apartado
b
t _.
111 Clu SO e aCClOn peli -
.
e
glOSO. omo se- (deslices, falta de habilidad, falta de motivacin, etc.) y aq uellos que fueron
. ., , an euor, esto VIen e agra d - 1
atnbuClon Jndarnental-la. ' . ,va o por e error de fruto de defectos organizativos. Entre stos estn los accidentes que podran
.. . , creenCIa Ul1lversal de .
malas acciones son malas . qu e qlll enes cometen haberse prevenido co n mejor formacin, m ejores instrucciones, un disei'io
" perso nas .
- El modelo p erso nal co ncuerda tambin mejor, una construccin mejor, mejor mantenimiento y mejores mtodos
modo como la mayora de 1 _ muy es trechamente con el de operacin.
, as personas trata d bl '
no es lugar para embrollarnos 1 fil fi' e esta ecer causas. Este Si tanto los accidentes individuales como los organizativos hunden
en a oso a de la l'd d
rece la p ena tomar nota de 10 1 ' ca usa 1 a , pero m e- sus races en procesos sistnu cos co munes, podra sostenerse qu e las tasas
. ' que os expert . _. .
dIcho sobre el tema: os enjlUlsprudenCIa h an de accidentes con prdida de jornadas de trab~o por nUlln de horas/ hom-
bre -o estadsticas comparables de dai'ios personales- seran indica tivas
La explicacin ca usal de un suceso concreto se de .
phcado por referencia a un acto d lib . d tiene cuando se lo ha ex- de la vulnerabilidad (o resistencia) del sistema a los accidentes organiza-
los antecedentes de ste cont .' e era o' en el sentid o de que mnguno .
de tivos. La cifra de dat'os personales sufridos en un periodo dado segura-
ara
lib era do es, por tanto mu y a 111e d como ca usa del suceso U I
, , nu o un a barrera . n acto lumano de- mente ha de ser un sntoma diagnsti co de la salud del sistema en su
retrospecti vo de las ca usas [J 'f. < < . < y una meta en el trazado conjunto. Por desgracia, no es as. La relacin es asim trica. Una tasa in-
. . ... es, con recuenCIa alg ' ]l ' d
retrotraemos la causa de Ul1 . ' o mas a a e lo cual no
suceso postenor y al I d usualmente alta de accidentes con prdida de jornadas de trabajo es, casi
mos la ca usa a travs de causas' t. d' go lasta ond e s retrotrae-
<
< < 111 er me las de otras clases 13 con certeza, co nsecu encia de un sistema enferm.o qu e, de hecho, podra
- Finalmente, hay otros dos factores _. ser susceptible de sufrir un accidente organizativo inminente. Pero lo
maca del modelo p erson 1 1 que contubuyen a afianzar la pri- co ntrario no es n ecesariamente cierto. Una tasa baja de accidentes con
. a en a mente de much E
lI1dividual, cuando las cosas s I l a gente. n un nivel prdida de j ornadas de trab~o (del orden de 2 a 5 por n1.illn de
. ' a en ma obtenem b
sa tisfaccin emocional si p d l' os una uena dosis de horas/hombre) -como ostentan muchas tecnologas de alta peligrosidad
o emos cu par de ello a l '
a algo.y, en el nivel de 1 _ . . , . a gUlen, m ejor qu e bien gestionadas- revela muy po co acerca de la probabilidad de un ac-
. a orgal1lzaclOn eXIsten ob . .
Cleras y legales en la p 'b'l 'd d d ' Vlas ventdjas finan- cidente organizativo.
OSI 1 1 a e desacoplar 1 falibilid .
de la responsa bilidadj'urdic dI ' ,a, ad lI1dividual El problema se divide en dos partes . Primero, una tasa tan baj a y a m e-
d' . . a e a empresa. En amb _
e clrcunscnbu- la culpabilid d _ os casos, ser cap az nudo asinttica de accidentes co n prdida de jornadas de trab~o por mi-
a a per sonas con cretas ofi-ece vent~a s _
lln de horas/hombre inco rpora ms ruido qu e set'al. En un p eriodo
13. H. LA. H art yAH' e . .
Press 1985 p 43 . onole, al/sa/IO/'I I/'l. fhe Law, 2.' ed Oxford' Tl1 Cl .
e
d
aren on
I ) ' . ' ')
14.T. A. Kletz, An Engil1 eer's f/iew of H,.l/lIall Error, Rugby,The [nstitution of Chem.i-
cal Engineers, 1985.
296
297
 La ges ti n de los grandes ri esgos
contable, por ejemplo, gran parte de los expedientes de accidentes con
prdida de jornadas de trabajo reflej arn slo cosas como que un nuem-
bro del p ersonal adnunistrativo se cay de la bicicleta al resbalar sobre
una placa de hielo delante de la oficina y se fractur una mueca. En el
caso del sec tor del petrleo y el gas, por ej emplo, qu nos dice es te dato
acerca de la integridad de una instalacin en alta mar? Nada.Y esto nos
lleva al segundo problema. Para las muchas organizaciones preo cupadas
que han disnunuido sus episodios de accidentes con p rdida de jornadas
de trabajo a lo qu e podra ser un mnimo irreducible (dadas las amenazas
p erennes en su sector), el dato que los registra ya no ser ningn indicio
de dnde acechan los peligros reales. Llegados a este punto, los sucesos sin
h eridos -como el nmero de fugas de material es combustibles- ti enen
una capacidad diagnstica mucho mayor acerca de la integridad del sis-
tema en su conjunto. Son estos sucesos precursores, junto con las com-
probaciones regulares de la calidad de los procesos subyacentes (vase el
captulo 7), los que muestran donde se localizan los mayores riesgos po-
tenciales.
Para una gestin del riesgo efectiva, el compromiso al ms alto lUVel
es un requisito necesario, pero no es suficiente. De hecho, un cO!npronuso
ciego con el modelo p ersonal puede resultar contraproducente. Por ejem-
plo, el visitante de una torre de perforacin (u otra instalacin compara-
ble) suele encontrarse con un gran cartel anunciador que proclama que
ese lugar lleva tantos nUles de horas sin sufrir un accidente qu e haya con-
llevado p rdida de jornadas de trab;uo -muy a m enudo se trata de va-
lores muy prximos a algn umbral, como, por ejemplo, 999970 horas-o
Claramente, la inten cin de esos carteles es motivar a la fuerza de trab;uo
a mantenerse fiel a sus prc ti cas de trab;uo seguras, pero transnuten tam-
bin otros dos mensajes, m enos tiles. El primero es qu e se es un lugar
seguro -lo qu e no es as (como m e dijo un peliorador de Texas en cierta
ocasin: No hay una jodida cosa en este sitio con la que no te puedas
hacer dao)-. El segundo mensaj e es : Ay del sup ervisor que l'ifol'l'ne
de un accidente con p rdida de jornadas de trabajo ahora!. Como sos-
tuve en el captulo 6, el compron-uso necesita el complemento de las otras
dos ces -la competencia y el co no cinuento-. Su combinacin crea
una con ciencia inteligente e informada tanto sobre la diversidad de los
riesgos como acerca de las diferentes formas de co mbatirlos .
10. La conciliacin de los diferentes enfoques de la ges ti n de la seguridad
CONDICIONES LATENTES: EL RIESGO UNIVERSAL
Al m argen de las am.enazas que p ara las p ersonas albergue su lugar de tra-
bajo, todas las orgaluzaciones son vulnerables a condiciones latentes y al
fallo de sus defensas. A este resp ecto, el modelo orgaluzativo aqu presen-
tado, aunque se derive en gran medida del estudio de sucesos que pro-
dujeron daos fisicos, es relevante para todos los sectores, algo qu e, sin
embargo, no siempre se aprecia. Este problema se deb e, en p arte, a la es-
trecha asociacin que existe en la m ente de muchas p ersonas entre la se-
guridad y el riesgo de dafios personales -si su sistema no est sl~eto a
padecer sucesos fisicamente daosos, esas personas tienden a sentir la ms
profunda falta de inters por cualquier cosa que lleve la palabra segun-
dad en el ttulo-o Sin embargo, como este libro ha procurado demos-
trar, los desastres fisicos y los econnucos tienen vas causales comunes: los
nusmos principios bsicos y las mismas contramedidas puede aplicarse a
un banco o una compalla aseguradora, no n1.enos qu e a las plantas de
pro ceso qunuco y a las compaas petroleras.
HA OSCILADO DEMASIADO EL PNDULO?
Las crticas que acabo de expresar respecto al modelo personal no deb en
tomarse como indicativas de que el enfoque organizativo est exento de
problemas. Como hemos visto en varios puntos a lo largo de este libro, los
ltimos 20 aos han sido testigos de una bsqueda cada vez m s vasta de
los orgenes de los grandes accidentes. Investigadores y analistas se han
remontado desde el resultado funesto, pasando por los ac tos p eligrosos
m s prximos (en caso de ser identificados), el lugar de trab;uo y los fac-
tores orgaluzativos , hasta el regulador y el sistema en su conjunto -y, en
algunos casos, hasta el clima econnuco y la naturaleza de la sociedad en
general-o El diagrama 10.1 muestra dnde se sitan algunos de estos su-
cesos de mayor importancia con respec to a dicha bsqu eda ampliada de
causas.
La pregunta que plantea el encabezanu ento de esta seccin la suscita la
sospecha de que el pndulo puede haber oscilado demasiado lejos en nues-
tros actuales intentos de rastrear posibles errores y contribuciones a los ac-
cidentes, que se encuentran muy distantes, tanto en el tiempo como en el
espacio, de los sucesos mismos. El valor relativo de las varias categoras cau-
sales puede evaluarse por referencia a tres preguntas centrales en la bs-
299
La ges ti n de los gra ndes riesgos
Diagrama 10.1
M apa de las repercusiones causales de recientes accidentes organizativos
Movind onos desde el interior hacia fu era, el ce ntro de la "dian a represe nta a los indi vidu os
en primera ln ea, el crcul o "in terioP) es el lu gar de trabaj o, el crcul o medio correspo nde a los
factores orga ni zativos, el sigui ente a los reguladores y al sistema en general , y el anillo exte rior
a los fac tores societa les.
queda de la seguridad del sistema (vase el diagrama 10.2) . H asta qu
punto tomar en cuenta los fa ctores individuales, contextuales, organiza ti-
vos, sistmicos y societales iade valor:
- a nuestra comprensin de las causas de los accidentes y otros sucesos
emparentados?
- a nu estra capacidad para predecir la probabilidad de futuro s acciden-
tes y sucesos anlogos?
- (lo que es ms importante) a nu estros esfu erzos correctivos para dis-
minuir su futura fi:ecuencia y gravedad?
Si bien es patente que la situacin actual representa un avance signifi-
ca tivo con respecto a la irreflexiva atribu cin de todos los males al error
humano, es necesario expresar cierta inquietud sobre la utilidad terica y
prctica de la continua expansin de esta bsqueda de factores causales.
Hemos alcanzado, e incluso rebasado, al parecer, el punto de rendimientos
decrecientes, especialmente en lo que concierne a la gestin del riesgo.
NecesitalT10S tambin encontrar, un trmino medio factible que reconozca
tanto las influencias psicolgicas como las contextuales sobre la actuacin
humana, as como las interacciones entre fallos activos y condiciones la-
300
10 . La co ncili aci n de los di fere ntes enfoqu es de la gesti n de la seguridad
Diagrama 10.2
Valores relativos (altam ente especulativos) de diversos tipos de posibles factores
causales para los objetivos expli cativos, predictivos y correctivos
Valor explicativo Valor predictivo Valor correctivo
Individuos
Lugar de trabaj o
Procesos orga niza ti vos
C ultura orga niza tiva
R egulacin
Sociedad
Valores relativos (especul ativo)
Los fa ctores individuales, por s solos, son slo de pequeilo a moderado valor para los tres ob-
j etivos. En conjunto, el lu ga r de trabajo y los fac tores organi zativos apo rtan la mayor parte del
val or ailadido. Las influ encias ms remotas ti enen rendimientos decreCientes, sobre todo en lo
qu e se refiere a las co ntramedidas y a la gesti n del riesgo.
tentes que son capaces, en raras ocasiones, de romper las defensas del sis-
tema. El captulo 5, por ejemplo, ofreci un fuert e alega to a favor de
conceder una atencin mucho ms minuciosa a las actividades de mante-
nimiento. Los nlOdelos causales de los accidentes slo pueden juzgarse por
la m edida en que sus aplicaciones mejoran la seguridad del sistema . Las
defici encias econmicas y societales identificadas por Legasov -por ej em-
plo- (vase el captulo 1) estn fuera del alcance de los gestores de siste-
mas; desde su perspectiva , esos problemas estn dados y son ilU11Utables .
En cambio, nuestro inters principal debe apuntar a lo modificable y lo
controlable.
ALGUNOS PROBLEMAS DE LAS CONDICIONES LATENTES
En exposiciones anteriores's, describ estas bombas de relojera de ac-
cin retardada como errores o fallos latentes; pero, en sentido causal, el tr-
15. J. R eason , HlIl/wl/ EITor, Cambridge, Ca mbrid ge Uni versity Press, 1990, cap. 7
[trad. cast.: El erl'or JIII/WnO, Modu s Laborandi , M adrid , 2009].
301
La gestin de los grandes riesgos
mino condicin es mucho ms apropiado. Hart y Honor distinguen
entre causas y condiciones: las causas so n lo que hace que algo cam-
bie, mientras que las m eras co ndiciones so n:
[... ] justamente esas [cosas] que estn presentes por igual tanto en el caso de
que ocurran accidentes como en el caso normal, en el que no ; y es esta con-
sideracin lo que nos lleva a rechazarlas como causas del accidente, a pesar de
que es cierto que sin ellas el accidente no habra ocurrido [ ... ] citar factores
que estaban presentes tanto en el caso de un desastre como en el del funcio-
namiento normal no explicara nada: esos factores no hace n que algo cam-
bie16
En el caso de un incendio, por ejemplo, una mera condicin sera el
oxgeno del aire. En un accidente ferroviario, seran factores tales como
la velocidad normal y la carga y peso del tren, y las paradas y aceleracio-
nes rutinarias. Las condiciones latentes que hemos examinado en este
libro no son en absoluto de esta naturaleza, pero s estn presentes en el
sistema al margen de que ocurran o no accidentes. Todos los sistemas al-
bergan condiciones latentes; el accidente simplemente las hace manifies-
tas. En una palabra, su presencia no discrimina entre estados normales y
sucesos adversos. Adems, la medida en que se las revele no depender
tanto del grado de enfermedad del sistema, cuanto de los recursos de
que disponga el investigador. Cuanto ms exhaustiva sea la investigacin,
ms condiciones latentes descubrir.
As llegamos forzosamente a la siguiente conclusin: slo los sucesos
ms prximos -los actos peligrosos y los desencadenan tes lo cales- de-
terminarn si ocurre o no un accidente. Si esto es as, por qu debemos
contemplar en absoluto estos factores m s distantes? H ay tres razones con-
vincentes de la importancia de las condiciones latentes:
- Indudablemente, entran en combinacin con factores locales y rom-
pen las defensas. En muchos casos, consisten en la debilidad o ausencia
de defensas.
- Es posible identificar y eliminar los patgenos residentes en el inte-
rior del lugar de trabajo y en la organizacin antes de que ocurra algn
suceso adverso.
- Los desencadenantes lo cales y los actos peligrosos son difciles de pre-
ver y es casi imposible defenderse contra algunos factores inmediatos
(por ejemplo, los olvidos, la falta de atencin y otros semejantes).
16. H . Hart y A. Honor, op. cit., p. 34.
302
10. La co nciliacin de los diferentes enfoques de la gestin de la segll[idad
En suma, identificar y eliminar proactivamente las condiciones laten-
tes, a pesar de los problemas inherentes a la tarea, sigue siendo el mejor
camino para mejorar el estado fsico del sistema. Sin embargo, ste ha de
ser un proceso constante. As, aunque se aborde un problema, surgirn
otros en su lugar. En la guerra de la seguridad no hay victorias final es.
EL PRECIO DEL FRACASO
En el captulo 5 tocamos la cuestin de los costes de los fallos de mante-
nimiento en la aviacin comercial. Los temas analizados en este captulo
surgieron en gran medida por impulso del sector del petrleo, por lo cual
sern los costes de las prdidas derivadas de accidentes que afectan a ese
sector los que ocupen aqu el centro de nuestra atencin. Otra buena
razn para ello es que, probablemente, el proceso de reduccin de cos-
tes se ha llevado en este sector ms lejos que en cualquier otro.
La tabla 10.2 muestra los costes financieros estimados derivados de va-
rios sucesos graves ocurridos en el sector petroqumico. Me facilit estos
datos Eric Brandie, director de prevencin de prdidas de Chevron UK
Ltd 17
El H SE y Chevron llevaron a cabo un estudio conjunto de evaluacin
de prdidas durante 13 semanas de funcionamiento normal de una de las
plataformas de la compaa en el M ar del Norte. Aunque no hubo nin-
gn incidente grave en ese periodo, los costes acumulados derivados de
toda una panoplia de pequeiios incidentes que entraban en una u otra
categora de clasificacin ascendieron a un milln de libras, dato que, pro-
yectado para todo el ao en ese yacimiento, se elevaba a cuatro millones
de libras -el equivalente al cese de actividad de la plataforma durante un
da a la semana a lo largo de todo el ao.
En 1993, el H SE estim que por cada libra que se recuperaba gracias a
los seguros, una amplia variedad de otras prdidas financieras aadan a la
factura final entre cinco y cincuenta libras ms. Como en un iceb erg, por
cada libra visible (recup erada cobrando los seguros), los costes indirec-
tos sumergidos bajo la superficie podan alcanzar hasta cincuenta veces
esa suma. AqU estn incluidos:
17. E. F Brandie, "The cos t of accidents - an operator's view , ponencia presentada en
la Safety Co nfere nc e de 1996 "People & C hanges, Costs & C hallenges, Institute ofPe-
trol euI11 , Londres, 26 de septiembre de 1996 .
30 3
 La ges ti n d e los g randes riesgos
lO. La co n ciliacin de los diferentes enfoqu es d e la gestin de la segu r idad

, . Tabla 10.2
Perdidas financieras suEi'idas por la indLSt . . ,. y a stos habra que aJ'adir intangibles como el dao a la reputacin
i !la p e tlOgulll11Ca a consecuen cia
d e Su cesos g raves de la compaa (que probablemente se reflejar en el valor de sus accio-
Suceso Pas
nes), la prdida de oportunidades de negocio, las dificultades para reclutar
Prdida finan ciera (millo nes de d lares) personal y un descenso general de la moral de trabajo. Los accidentes no
Piper Alpha
Reino Unido 2500* slo cuestan vidas , son tambin econmicamente desastrosos. Muy pocas
Exxon Valdez Esta dos Unidos organizaciones pueden soportar semejantes niveles de prdidas financieras.
3500
Phill.ips 66 Pasadena Estados Unidos
La verdadera pregunta, por supuesto, no es cunto nos cuesta la segu-
Entre 1 300 Y 2100**
Sleipn er A ridad, sino cunto nos ahorra. Este libro ha descrito cmo surgen los ac-
Noruega 300
cidentes organizativos y ha delineado medidas prcticas para reducir la
La Mede Noru ega 250 probabilidad de que ocurran. Pero esos accidentes pueden acaecer incluso
Saga 2/4-14 Fran cia 260 en los sistemas mejor gestionados; por eso, no basta simplemente con pla-
Sodega Llra J apn 171 nificar su prevencin, es asimismo esencial planificar la recuperacin de la
G rangemouth R eino Unido actividad econmica tras un accidente a fin de rninimizar las irU11ensas pr-
100
Croatzcoalcas M xico
didas que origina. Dan Stover 18 nos proporciona un ejemplo de lo que
98
Pembroke puede lograr un procedimiento efectivo de recuperacin tras prdidas. Mu-
R ein o Unido 79 chas organizaciones sufi'ieron las consecuencias del gran atentado con ca-
Dacea
Bangladesh 76 min-bomba de Bishopsgate, en la city de Londres, en 1993. Entre dichas
Ras Tanura Sudfrica 35 organizaciones, el Saudi Internacional Bank abri y reanud sus activida-
des normales el lunes siguiente. Ese banco dispona de un programa de re-
* No incluye el coste incalculable de 167 mu ertos El C ',. . cuperacin tras prdidas bien concebido y que haba sido puesto a prueba
(Henil/ and Snfe/)' Execu/i1le, estima el coste tot~1 d o nlJte Ej ecutIvo de Sa lud y Seguridad
HSE
IIl cuantlfi cables) en 2066 milJo nes d Ib. l' e Plpel ~pha (Slll Contar dichas prdidas por otro atentado en la cercana zona de Sr. Mary Axe. El coste total de los
., e I las este r lilas Adem as I I .,
pro d UCClOn del M ar del Norte resto' I ' .. , , a a teraclon resultante de la daos infligidos por el atentado se estim en 1500 millones de libras.
1a pro d ucclon., a m enos un pUnto po' t 1 1 . '
** L . .,durante el p eriod o alec e d
ta o.
Icen ua a a tasa de crecmti ento de
Para terminar, un pensamiento que invita a la reflexin: cuatro de cada
a estunaclOn superi or file ofrecida po r D an Stover de Brown & Ro t E S .
, o nelgy ervlces. cinco organizaciones que sufren un gran desastre sin disponer de proce-
dimientos de recuperacin nunca reanudan sus actividades. Ms aun, el
80% de los planes de recuperacin tras un desastre no funcionan la pri-
- D aos a materiales y productos.
mera vez que se necesita recurrir a ellos l 9 . Estudios recientes 20 han mos-
- Da~os a la instalacin de la planta.
trado que las organizaciones preparadas para afi'ontar crisis hacen planes
- Da~os a la construccin de la plataforma.
para al menos cinco clases de crisis diferentes, y dichos planes de crisis
- D anos a h erramientas y maquinaria .
- Costes legales. . estn estrechamente vinculados a los planes de recup eracin de la activi-
dad econmica. Adems, esas organizaciones tienen una estructura flexi-
- Gasto en suministros de em ergencia.
- LImpIeza del sitio. ble y adaptable y en ellas son raras las racionalizaciones y la negacin de
la realidad. En palabras de David Smith, de la Escuela de Negocios de la
- Retrasos en la produccin.
- Necesidad de horas extras.
- Tiempo de investigacin. 18. D. Stover, The costs of faiJure , Proceedings oj the 1996 Sajety Conjere/lce, Londres,
- Tiempo q h d d . . . 26 de septi e mbre de 1996.
ue an e eJar su actIvIdad normal los superviso ' 19. Ibid .
- Coste de los paneles de investigacin. res. 20 . L Mitroff, T Pau chant, M. Finney y C. P earson, Do some organizations ca u se
- Esfuerzo adrninistrativo. their own crisis? The cultural profiles of crisis- prone 115. crisis-pre pared organizati o n s, In-
dustrial Crisis Q/larterly, 3,1989, pp. 269-283.

30 5
 i
La gestin de los grandes riesgos

Universidad de Durham, toda negacin de la naturaleza cardinal de la

gestin de crisis es una manifestacin de una cultura propensa a las crisis
y, en tanto que tal, un caso que necesita tratamiento21.

LA LTIMA PALABRA

En este captulo hemos buscado reconciliar tres enfoques diferentes de la

gestin de la seguridad: el modelo personal, orientado a reducir los suce-
sos que provocan daos personales, el modelo de ingeniera, centrado en
la interfaz ser humano-mquina y en la fiabilidad del sistema, y el modelo
organizativo, que atiende a la integridad de las defensas y a los factores sis-
tmicos ms amplios. Cada uno de ellos tiene sus propios instrumentos de
medicin y sus contramedidas. En tanto en cuanto un sector est expuesto
al riesgo de sufrir tanto accidentes individuales como organizativos, los tres
enfoques tendrn algn papel que desempear en su programa general de
gestin de la seguridad.
Los conflictos que existen surgen principahnente de la preponderancia
del modelo personal en situaciones que demandan un anlisis ms minu-
cioso de los factores tcnicos y sistmicos. Mientras que la aplicacin
de los modelos de ingeniera y organizativo puede ser til en la reduc-
cin de los accidentes individuales, el modelo personal, en solitario, (y espe-
cialmente la actitud que lo acompaa) tiene un valor muy limitado en
mbitos donde los riesgos derivan principalmente de la insidiosa acumula-
cin de condiciones latentes y su rara conjuncin con desencadenantes lo-
cales de un modo capaz de superar defensas multiestrato. Por supuesto, esto
no significa que debamos ignorar los riesgos de daos personales o el com-
portamiento de individuos y equipos. Pero s significa que los gestores de
riesgos deberan ser conscientes de los orgenes sistmicos ms amplios
de los accidentes organizativos y conocer las diversas tcnicas de que hoy
en da se dispone para frustrar su desarrollo. Una gestin del riesgo efectiva
requiere la aplicacin de diferentes contramedidas que apunten simultnea
y continuamente a diferentes niveles del sistema. Basta un solo accidente or-
ganizativo para poner fin a todas las disquisiciones acerca de qu es lo fun-
damental.

21. D. Smith, "Crisis management and strategic management, A dvances il'l Strategic
MIlI'1agel/lent, 8, 1992, p. 268.

306