Cuando operación y mantenimiento comparten una barrera: 7 pruebas de continuidad del riesgo

Una bomba queda fuera de servicio y mantenimiento instala una solución temporal. Operación recibe el equipo, actualiza el permiso y retoma la producción. La escena parece ordenada, aunque la pregunta decisiva suele quedar fuera del formato: ¿quién comprobó que la barrera conserva la misma capacidad después de pasar de un equipo a otro, de un turno a otro o de un área a otra?

Cuando operación y mantenimiento comparten una barrera, el riesgo no desaparece porque cada área cumpla su parte. Puede cambiar de dueño, perder una condición de prueba o quedar protegido por una suposición que nadie documentó. La tesis de este artículo es concreta: la continuidad del riesgo debe comprobarse como una transferencia crítica, con criterios de aceptación, autoridad de liberación y evidencia de eficacia.

La continuidad del riesgo es la capacidad de una organización para conservar la función protectora de una barrera mientras una tarea, un equipo, una responsabilidad o una condición operativa cambia. ISO 45001:2018 exige controlar las operaciones planificadas y los cambios que puedan afectar el desempeño de la seguridad y salud en el trabajo; por eso, una entrega entre áreas no es un trámite administrativo.

¿Por qué una barrera se debilita al cambiar de área?

Una barrera no es únicamente un procedimiento, un dispositivo o una firma. Es una función que debe evitar, detectar, contener o responder ante una exposición concreta. Si mantenimiento entrega una guarda, un aislamiento, una alarma o un sistema de ventilación, operación necesita recibir la función que ese control debe cumplir, junto con sus límites y sus condiciones de prueba.

El deterioro aparece cuando cada equipo describe la tarea desde su propio lenguaje. Mantenimiento puede declarar que instaló el componente; operación puede asumir que el componente está listo para usar; supervisión puede interpretar que la firma del permiso confirma ambas cosas. La exposición permanece abierta porque nadie comprobó la conexión entre instalación, desempeño y uso.

James Reason explicó que los accidentes organizacionales se favorecen cuando varias defensas presentan debilidades latentes que coinciden. En una interfaz entre áreas, la debilidad puede ser una instrucción incompleta, un criterio de aceptación ambiguo o una responsabilidad repartida entre personas que creen que la otra parte verificará el control.

La revisión debe comenzar por la función protectora, no por el documento que la menciona. Preguntar “¿qué debe impedir esta barrera?” ayuda a separar la evidencia relevante de la apariencia de cumplimiento.

¿Qué debe permanecer igual durante la transferencia?

La organización debe conservar cinco elementos aunque cambie la persona responsable o el área que ejecuta el trabajo. Primero, la exposición que se pretende controlar. Segundo, la función exacta de la barrera. Tercero, la condición que permite declararla disponible. Cuarto, la respuesta cuando falla. Quinto, la autoridad que puede impedir el reinicio.

Si una cuadrilla reemplaza un interruptor de seguridad, la entrega no termina con la instalación física. Debe demostrar que el interruptor actúa sobre el peligro previsto, que no puede ser anulado sin detección, que el operador conoce la señal de falla y que el reinicio tiene un responsable identificado. La barrera cambia de estado, pero la función protectora no puede quedar implícita.

Este criterio también aplica a controles menos visibles. Una instrucción de bloqueo puede mantenerse en el sistema, mientras el equipo real incorpora una fuente de energía no descrita. Una alarma puede permanecer activa en el tablero, aunque su sensor haya sido reubicado. Una modificación temporal puede conservar el nombre del control, aunque haya cambiado la exposición que justificó su creación.

En Safety Culture: From Theory to Practice, Andreza Araujo sostiene que la cultura se reconoce en las decisiones que convierten una intención en una práctica observable. La transferencia entre áreas ofrece una prueba precisa de esa idea, porque obliga a mostrar qué se protege, quién decide y qué evidencia permite continuar.

¿Cómo se prueba la identidad del riesgo?

La primera prueba consiste en describir el peligro sin usar el nombre del equipo como sustituto. “Bomba reparada” no identifica el riesgo. Una formulación útil diría que existe una posibilidad de liberación inesperada de energía, exposición a una sustancia o pérdida de contención durante el arranque y la operación.

La segunda prueba relaciona la exposición con la tarea que realmente se ejecutará. El mismo equipo puede presentar riesgos distintos durante desmontaje, prueba, limpieza, puesta en marcha y operación estable. La transferencia debe indicar cuál de esas etapas está cubierta y cuál requiere otra autorización.

La tercera prueba busca cambios que no estaban presentes cuando se diseñó el control. Puede haber una modificación de presión, velocidad, temperatura, carga, secuencia de arranque, composición del material o acceso de contratistas. Si el proceso cambió, la barrera debe reevaluarse aunque conserve el mismo nombre.

ISO 45001:2018 conecta la identificación de peligros, la evaluación de riesgos y oportunidades, el control operacional y la gestión del cambio. La relación es práctica: el riesgo que se entrega debe ser el mismo que se evaluó, o la organización debe reconocer que está liberando una condición diferente.

¿Qué evidencia debe entregar mantenimiento?

Mantenimiento debe entregar evidencia de la función, no solo evidencia de la actividad. Una orden cerrada demuestra que alguien registró un trabajo; no demuestra que la barrera responde ante la condición que debe controlar.

La evidencia puede incluir una prueba funcional, el resultado de una calibración, una verificación del aislamiento, una inspección de montaje, una fotografía con contexto, una medición o una prueba de interbloqueo. La selección depende del peligro. El criterio común es que otra persona pueda entender qué se comprobó, bajo qué condición y con qué resultado.

La entrega también debe declarar las limitaciones. Un control puede funcionar en vacío y fallar bajo carga. Una ventilación puede alcanzar el caudal previsto con una puerta cerrada, pero no con el acceso operativo abierto. Una guarda puede cubrir el punto de atrapamiento principal y dejar expuesta una zona secundaria. Ocultar esas condiciones convierte la entrega en una promesa que operación no puede gobernar.

La Resolución 0312 de 2019 y el SG-SST en Colombia, las NOM-STPS en México, el DS 40 y los instrumentos de SUSESO en Chile, la Ley 19.587 y la SRT en Argentina, y la Ley 29783 en Perú exigen que la organización gestione peligros, controles y responsabilidades conforme a su jurisdicción. La evidencia de entrega debe integrarse a ese sistema, no circular como un archivo aislado.

¿Qué debe comprobar operación antes de aceptar?

Operación no debe aceptar una barrera solo porque el área técnica afirma que el trabajo terminó. La aceptación requiere comprobar que el control es visible para quien ejecutará la tarea, que sus instrucciones coinciden con la condición real y que la respuesta ante una falla puede activarse sin improvisación.

La primera comprobación es de reconocimiento. El operador debe poder identificar la barrera, su propósito y la señal que indica degradación. La segunda es de acceso. El control no puede quedar bloqueado por una configuración que impida inspeccionarlo o accionarlo. La tercera es de respuesta. La persona que recibe la operación debe saber a quién avisar, qué actividad detener y qué condición debe restablecerse antes del reinicio.

La cuarta comprobación es de consistencia. El permiso de trabajo, el procedimiento, la pantalla de control y la condición física deben describir la misma realidad. Cuando un documento declara aislamiento y el campo muestra una fuente conectada, la operación no está frente a una diferencia de redacción, sino ante una barrera no aceptada.

La quinta comprobación es de carga de decisión. Si el operador necesita interpretar una excepción durante el arranque, la transferencia debe definir el límite de autoridad. La seguridad psicológica se vuelve operativa cuando una duda técnica puede detener la liberación y recibir una respuesta competente, sin castigo por haberla planteado.

¿Quién autoriza el reinicio cuando la barrera queda condicionada?

Una barrera condicionada no equivale a una barrera disponible. Si el control funciona solo con una restricción de velocidad, una vigilancia adicional, un tiempo limitado o una zona de exclusión, la organización debe tratar esa condición como parte del riesgo residual y definir quién puede aceptarla.

La autoridad de reinicio debe tener cuatro componentes. Debe existir una persona con nombre o cargo, un criterio técnico que pueda verificar, una vigencia temporal y una ruta de escalamiento si el criterio no se cumple. Sin esos cuatro componentes, la frase “operar con precaución” deja la decisión en manos de la presión del turno.

La dirección tiene una responsabilidad adicional cuando una barrera no puede restituirse de inmediato. Puede decidir una reparación, un rediseño, una sustitución o una suspensión, pero debe dejar visible que la exposición permanece abierta. Registrar una excepción no la convierte en control; solo hace trazable la decisión que debe revisarse.

La experiencia de Andreza Araujo en liderazgo de seguridad insiste en una separación que suele perderse bajo presión: quien ejecuta la tarea puede detenerla, mientras la dirección conserva la responsabilidad de asegurar recursos, resolver la condición y autorizar un reinicio demostrable.

¿Qué errores convierten la entrega en una ficción?

El primer error es cerrar la orden de trabajo como si el cierre administrativo demostrara eficacia. El segundo es transferir un equipo sin transferir sus límites de operación. El tercero consiste en conservar un procedimiento antiguo después de modificar la secuencia de trabajo. El cuarto es usar la capacitación como sustituto de una barrera que necesita ingeniería o mantenimiento.

El quinto error aparece cuando el área que diseñó el control no participa en la primera prueba de operación. El sexto surge cuando se acepta una desviación temporal sin fecha de vencimiento, responsable de revisión ni criterio de retiro. El séptimo ocurre cuando una alerta de la primera línea se interpreta como resistencia al cambio, aunque revele que la barrera no fue entendida o no puede ejecutarse.

Estas fallas tienen una característica común. Cada una permite que una parte del sistema se vea completa mientras la función protectora sigue incompleta. La revisión debe buscar la contradicción, porque el riesgo suele aparecer en la distancia entre lo que el documento declara y lo que la persona puede hacer.

¿Cómo puede la dirección auditar la continuidad del riesgo?

Una auditoría útil no empieza preguntando si existe un formato de entrega. Empieza seleccionando una barrera que haya pasado recientemente entre áreas y reconstruyendo su recorrido. La dirección debe identificar el peligro original, la modificación realizada, la evidencia técnica, la aceptación operativa, el responsable del reinicio y la respuesta ante degradación.

La revisión puede organizarse con la siguiente matriz.

La dirección puede aplicar esta matriz a una tarea crítica por mes y comparar el resultado con las auditorías documentales. La meta no es producir más registros, sino encontrar dónde se rompe la continuidad entre una decisión técnica y una decisión operativa.

Para profundizar en la relación entre cultura, control y liderazgo, consulta los recursos de Andreza Araujo. También puedes revisar el análisis interno sobre control operacional verificable, que ayuda a traducir el sistema de gestión a pruebas de campo.

¿Qué decisión debe quedar visible al final?

Una transferencia segura termina con una decisión explícita. La barrera está disponible y la tarea puede continuar; la barrera está condicionada y existe una autorización con plazo; o la barrera no cumple y el trabajo debe detenerse. Las tres respuestas son válidas cuando se apoyan en evidencia, autoridad y seguimiento.

La continuidad del riesgo no se demuestra porque operación y mantenimiento hayan firmado el mismo formato. Se demuestra cuando ambas áreas describen el mismo peligro, reconocen la misma función protectora, conocen el mismo límite y pueden activar la misma respuesta ante una degradación. Esa convergencia es la prueba de que ISO 45001:2018 dejó de ser un marco documental y empezó a gobernar la decisión real.

Andreza Araujo resume su enfoque en una idea sencilla, “Safety is about coming home”. En una interfaz entre áreas, esa idea exige algo más concreto que una intención: ninguna barrera debe perder su función cuando cambia de manos.