Columbia 2003: 7 decisiones que una investigación de incidentes debe reconstruir

Una investigación de incidentes de alto potencial no termina cuando encuentra la pieza que falló. Debe reconstruir cómo una señal llegó al sistema, qué decisiones la interpretaron y por qué las barreras no cambiaron el resultado.

El 1 de febrero de 2003, el transbordador Columbia se perdió durante el reingreso con sus siete tripulantes. La Columbia Accident Investigation Board, creada por la NASA, publicó su informe final en agosto de 2003 después de revisar miles de documentos, entrevistas y registros técnicos. El documento identificó el impacto de espuma aislante sobre el ala izquierda durante el lanzamiento, pero no trató ese impacto como una explicación completa.

La tesis que interesa a un comité de SST es incómoda. El daño técnico fue visible en retrospectiva, aunque la organización no logró convertir la señal en una decisión proporcional al peligro posible. Esa diferencia separa una investigación que describe el evento de otra que modifica el sistema que puede repetirlo.

El escenario inicial exigía separar daño y decisión

El lanzamiento produjo una señal que, en apariencia, podía ser interpretada como un desprendimiento conocido del sistema externo. El problema no era únicamente que una pieza golpeara el vehículo. También importaba si el golpe había creado una condición que el diseño no podía tolerar, si existía evidencia suficiente para estimar el daño y si alguien tenía autoridad para exigir una respuesta distinta.

El informe de la Columbia Accident Investigation Board mostró que la investigación debía moverse entre ingeniería, operación, comunicación y gobierno. Cuando esas capas se revisan por separado, el incidente parece una secuencia técnica. Cuando se conectan, aparece una cadena de decisiones que mantuvo abierta la exposición.

La misma distinción sirve para una planta, una mina o una obra. El desprendimiento de una carga, una alarma inhibida o una grieta en una estructura pueden ser la causa inmediata del evento, pero no explican por sí solos por qué el trabajo continuó, quién aceptó la incertidumbre y qué control debía haber cambiado antes de la siguiente tarea.

Decisión 1, clasificar el evento por su potencial

La primera decisión ocurre antes de buscar causas. El comité debe decidir si investiga un daño observable o un evento con potencial de pérdida catastrófica. Esa clasificación modifica el nivel de evidencia, la autoridad convocada y el tiempo que la organización está dispuesta a invertir.

Un evento sin lesión puede contener una señal de energía, altura, presión, movimiento o exposición química que habría producido una consecuencia fatal bajo una variación mínima. ISO 45001:2018 permite ordenar esa lectura dentro de la identificación de peligros y la evaluación de riesgos, aunque la decisión concreta debe quedar conectada con el proceso real.

En México, Colombia, Chile, Argentina y Perú, los marcos regulatorios cambian en su forma, pero una investigación seria no puede reducir el análisis a la consecuencia que finalmente ocurrió. El SG-SST colombiano, las NOM-STPS aplicables, el DS 40, la Ley 19.587 y la Ley 29783 exigen responsabilidades y controles que deben contrastarse con la operación observada.

Decisión 2, conservar la evidencia antes de explicar

La evidencia no consiste únicamente en fotografías del lugar. Incluye registros de alarmas, órdenes de trabajo, versiones de procedimientos, conversaciones de relevo, permisos, datos de mantenimiento, cambios recientes y la condición exacta de la barrera al momento del evento.

La prisa por explicar produce una historia cómoda. El equipo selecciona la primera causa visible, entrevista a quien ejecutó la tarea y cierra el expediente con una capacitación. La preservación rigurosa obliga a mantener abiertas varias hipótesis hasta que los datos permitan descartar una de ellas.

Un criterio práctico consiste en preguntar qué registro desaparecería si la investigación esperara una semana. Esa respuesta define la prioridad de preservación y evita que la memoria sustituya a la evidencia, sobre todo cuando participan varios turnos o contratistas.

Decisión 3, reconstruir la señal que se volvió normal

El informe de Columbia es útil porque obliga a preguntar cuándo la organización supo que existía una señal y qué significado le asignó. La señal no tiene valor preventivo si solo aparece en el informe posterior, cuando el resultado ya está definido.

La reconstrucción debe ordenar la señal en una línea de tiempo. ¿Cuándo apareció? ¿Quién la recibió? ¿Qué información faltaba? ¿Qué alternativa estaba disponible? ¿Qué criterio habría obligado a detener el proceso? Las respuestas deben surgir de documentos y entrevistas comparadas, no de una explicación que solo busca confirmar la hipótesis inicial.

La misma lógica aplica a una temperatura que sube lentamente, un sensor que dispara falsas alarmas, una barrera temporal que permanece instalada o un cuasi-accidente que se repite. La normalización no elimina el peligro. Solo reduce la probabilidad de que alguien lo trate como una decisión pendiente.

Decisión 4, identificar quién podía cambiar el curso

Una investigación completa debe identificar la autoridad que existía en el papel y la autoridad que funcionaba durante la operación. El organigrama puede asignar responsabilidad a una gerencia, mientras que la decisión práctica queda atrapada entre ingeniería, producción, mantenimiento y SST.

La pregunta no es quién tenía la culpa. La pregunta es quién podía pedir datos adicionales, detener la tarea, convocar un análisis técnico o exigir una barrera alternativa sin recibir una sanción por retrasar el programa.

Amy Edmondson ha mostrado que la seguridad psicológica influye en la capacidad de hablar sobre riesgos y errores. En una investigación, esa idea debe traducirse en evidencia observable, como registros de escalamiento, reuniones donde una duda quedó documentada y respuestas de liderazgo ante una mala noticia.

Decisión 5, distinguir causa física de condición organizacional

La causa física describe el mecanismo que produjo el daño. La condición organizacional explica por qué el sistema permitió que ese mecanismo existiera, permaneciera activo o no recibiera una respuesta proporcional. Confundir ambas dimensiones genera acciones correctivas incompletas.

James Reason explicó que los accidentes organizacionales combinan fallas activas y condiciones latentes. Ese marco ayuda a investigar sin convertir a la última persona que tocó el equipo en una explicación total. La entrevista sigue siendo necesaria, pero debe formar parte de una reconstrucción que incluya diseño, supervisión, mantenimiento, presión operativa y decisiones de dirección.

La acción correctiva cambia de calidad cuando pasa de “recordar el procedimiento” a “modificar la condición que hizo razonable apartarse del procedimiento”. La primera respuesta mejora la memoria. La segunda reduce la dependencia de la memoria.

Decisión 6, convertir el hallazgo en una barrera verificable

Una recomendación no es una barrera. Para que una acción tenga valor preventivo debe describir qué peligro controla, qué capacidad debe conservar, quién puede comprobarla y qué evidencia demuestra que funciona bajo operación normal y anormal.

Una tabla de cierre ayuda a evitar acciones abstractas.

La tabla no sustituye el análisis técnico. Su función es impedir que una recomendación se cierre por actividad administrativa cuando el peligro sigue teniendo la misma ruta de exposición.

Decisión 7, medir si el sistema realmente cambió

El cierre exige comparar la condición anterior con la condición posterior. Si el indicador solo confirma que hubo una reunión, una capacitación o una firma, todavía no demuestra eficacia.

La verificación puede incluir una prueba del control, una observación en campo, una auditoría de registros, un simulacro, una revisión de cambios y entrevistas con las personas que ejecutan la tarea. La elección depende del peligro, pero la evidencia debe responder a la pregunta que originó la acción.

El informe de la Columbia Accident Investigation Board no es valioso porque pertenece a la industria aeroespacial. Es valioso porque muestra la diferencia entre corregir una pieza y corregir la forma en que una organización interpreta señales, distribuye autoridad y aprende de las desviaciones.

Qué puede aplicar hoy un comité de SST

El comité puede usar el caso como una revisión de sus propias investigaciones. Seleccione un incidente de alto potencial de los últimos doce meses y reconstruya las siete decisiones sin leer primero la conclusión oficial. Después compare la reconstrucción con el expediente y observe dónde faltan datos, autoridad o verificación.

La revisión gana precisión cuando incluye a producción, mantenimiento, ingeniería, contratistas y trabajadores que conocen la tarea. Cada participante debe poder señalar qué condición estaba presente, qué barrera dependía de una decisión humana y qué evidencia permitiría declarar cerrado el riesgo.

Para profundizar, conviene conectar este ejercicio con la investigación de cuasi-accidentes de alto potencial, la preservación de evidencia digital, el indicador de severidad potencial y el análisis de puntos ciegos causales.

ISO 45001:2018 ofrece la estructura de gestión. La NOM-STPS aplicable, la Resolución 0312 y el SG-SST, el DS 40 y SUSESO, la Ley 19.587 y la SRT, o la Ley 29783 aportan obligaciones que deben aterrizarse según la jurisdicción. Ningún marco reemplaza la pregunta operativa sobre qué barrera estaba disponible cuando la señal apareció.

Columbia 2003 enseña que la pérdida no comienza cuando aparece el resultado final. Comienza antes, cuando una señal deja de generar preguntas, una autoridad queda difusa y una barrera se acepta sin prueba. La investigación que protege la operación reconstruye esas decisiones y verifica que el sistema cambió antes de declarar cerrado el caso.