Deepwater Horizon: 7 señales de que el sistema de riesgos perdió el control

El caso Deepwater Horizon no se explica por una sola decisión equivocada. El informe final de la U.S. Chemical Safety and Hazard Investigation Board sobre Macondo, publicado en 2016, mostró cómo varias barreras técnicas y administrativas podían parecer activas mientras el sistema seguía acumulando exposición.

La pregunta útil para una operación latinoamericana no es quién falló en la última maniobra. La pregunta es qué señales permitieron que una condición crítica llegara hasta el punto en que la respuesta dejó de ser posible. Esa lectura conecta el caso con ISO 45001:2018 y con la obligación de identificar peligros, controlar cambios, consultar a los trabajadores y comprobar la eficacia de los controles.

El escenario inicial: una operación que confundió actividad con control

El 20 de abril de 2010, la plataforma Deepwater Horizon sufrió una explosión y un incendio durante las actividades asociadas al pozo Macondo, en el Golfo de México. La investigación de la CSB y otros informes oficiales describieron una cadena en la que decisiones de diseño, interpretación de pruebas, comunicación y gestión de elementos críticos quedaron conectadas.

El escenario resulta incómodo porque la operación no estaba detenida ni carecía de procedimientos. Había reuniones, formularios, equipos redundantes y personas con experiencia. El problema apareció cuando esos elementos dejaron de formar una barrera coherente. Cada área podía mostrar una tarea cumplida, aunque ninguna demostrara que el riesgo dominante había sido reducido a un nivel aceptable.

Un sistema de gestión de SST enfrenta el mismo peligro cuando convierte el control en evidencia documental. ISO 45001:2018 exige información documentada, pero no considera que un registro sustituya la verificación en campo. La pregunta decisiva es si el control funciona bajo las condiciones reales que pueden alterar la tarea.

La decisión que cambió la lectura del caso

La decisión más valiosa para un comité de investigación consiste en ampliar el objeto de análisis. La barrera no es solo el dispositivo que debía contener la presión. También incluye el diseño del pozo, la calidad de las pruebas, la comunicación entre contratistas, la autoridad para detener el trabajo y el criterio usado para aceptar una señal ambigua.

El informe final de la CSB relacionó el fallo del preventor de reventones con un fenómeno de pandeo de la tubería que no había sido reconocido durante los esfuerzos de control. Esa conclusión no elimina las decisiones anteriores. Las vuelve más relevantes, porque muestra que un equipo considerado crítico necesita una base de diseño, prueba y respuesta que contemple modos de falla plausibles.

Para ordenar esa revisión conviene contrastar el caso con el análisis de cambio operacional antes de liberar una tarea. Cuando cambia la secuencia, la presión, la configuración o la información disponible, el permiso original deja de ser una garantía suficiente.

Las 7 señales de que el sistema perdió el control

1. El control crítico tenía dueño, pero no criterio de aceptación

Asignar un responsable no demuestra que una barrera sea confiable. El responsable necesita saber qué condición debe comprobar, qué resultado invalida la autorización y quién puede detener el trabajo cuando la evidencia contradice el plan.

En Macondo, la discusión sobre pruebas y señales habría exigido una regla explícita para interpretar resultados que no confirmaban con claridad el estado esperado. En una planta de América Latina, la misma brecha aparece cuando el formato contiene una firma, pero nadie ha definido qué lectura técnica permite liberar la tarea.

El SG-SST colombiano, apoyado en la Resolución 0312, obliga a demostrar gestión, pero la evidencia útil debe conectar identificación del peligro, control y seguimiento. Una firma sin criterio de aceptación solo acredita que el documento circuló.

2. La prueba se trató como un trámite aislado

Una prueba no protege por sí misma. Protege cuando su diseño responde al modo de falla que puede producir el daño y cuando la organización sabe qué hacer con un resultado dudoso.

La señal de alerta surge cuando el equipo repite la prueba sin cambiar la hipótesis. Ese comportamiento crea una falsa sensación de estabilidad, ya que la organización mide la repetición del procedimiento, no la validez de la conclusión.

ISO 45001:2018 ofrece un marco para revisar la eficacia de las acciones. La pregunta no es cuántas pruebas fueron ejecutadas, sino qué peligro quedó descartado, qué peligro permaneció abierto y bajo qué autoridad se tomó la decisión.

3. La interfaz entre contratistas quedó fuera del mapa

Las tareas de alto riesgo suelen distribuirse entre operador, contratista de perforación, proveedor técnico y responsables de supervisión. Cuando cada parte conserva una versión parcial del riesgo, el sistema pierde la imagen completa justo cuando necesita decidir.

El informe de la National Commission sobre el derrame de Deepwater Horizon, publicado en 2011, examinó decisiones corporativas y técnicas que no pueden reducirse a la conducta de una persona. Esa lectura es aplicable a cualquier operación donde la responsabilidad contractual se confunda con la propiedad del riesgo.

Antes de liberar trabajos simultáneos, el equipo debería usar una lógica similar a la descrita en las brechas que dejan el riesgo sin dueño. Si dos áreas pueden cambiar la energía, el aislamiento o la secuencia de la otra, existe una interfaz que debe gobernarse.

4. La presión de producción convirtió la duda en demora

Una organización madura no trata toda interrupción como pérdida de productividad. La duda técnica puede ser la última oportunidad para corregir una barrera antes de que el escenario se vuelva irreversible.

La señal aparece cuando el supervisor recibe una alerta y debe justificar por qué detuvo la operación, mientras nadie debe justificar por qué la liberó. Esa asimetría desplaza el sistema hacia la continuidad del trabajo, incluso cuando la información disponible es incompleta.

En México, la NOM-035-STPS-2018 permite reconocer factores de riesgo psicosocial asociados a cargas, jornadas y liderazgo, pero la prevención no termina en una encuesta. Cuando la presión impide cuestionar una decisión crítica, el factor psicosocial ya está interactuando con el peligro físico.

5. La barrera técnica se evaluó sin revisar su contexto

Un dispositivo puede estar instalado y aun así no cumplir la función que la organización le atribuye. La confiabilidad depende de la configuración, el mantenimiento, la energía disponible, la interacción con otros equipos y la respuesta ante una condición anormal.

El caso Macondo obliga a revisar esa diferencia entre presencia y desempeño. Un elemento crítico necesita un estándar de funcionamiento verificable, una prueba pertinente y una respuesta definida para cuando el escenario excede el supuesto de diseño.

La misma distinción aparece al analizar el criterio de aceptación de una barrera. La pregunta no es si el control existe, sino qué evidencia permite confiar en él durante la tarea concreta.

6. La autoridad para detener estaba implícita

Una facultad que nadie puede ejercer sin consecuencias no funciona como barrera. La autoridad para detener debe estar escrita, entrenada y respaldada por la reacción del liderazgo cuando alguien la utiliza.

La investigación de un evento mayor debe identificar quién tenía información, quién podía cambiar el plan y quién podía suspender la operación. Si esas tres funciones están separadas sin un mecanismo de escalamiento, el sistema puede conservar información crítica sin convertirla en decisión.

ISO 45001:2018 vincula liderazgo, consulta y participación de los trabajadores. En Chile, el DS 40 y la fiscalización asociada a la gestión preventiva refuerzan la necesidad de informar sobre riesgos y medidas de control. La norma no reemplaza la decisión operativa, pero ayuda a hacer visible quién debe tomarla.

7. El aprendizaje se cerró antes de comprobar el cambio

Una investigación pierde valor cuando termina en una lista de acciones que no cambia el proceso. El cierre requiere evidencia de que la condición que permitió la exposición ya no se repite bajo operación normal, arranque, mantenimiento y emergencia.

La métrica más útil no es el porcentaje de acciones cerradas. Es la estabilidad de la barrera después de que desaparece la atención extraordinaria del equipo investigador.

La Ley 29783 en Perú, la Ley 19.587 y la SRT en Argentina, junto con los marcos de México, Colombia y Chile, pueden sostener esa disciplina si la obligación se traduce en controles con responsable, criterio, frecuencia, evidencia y autoridad para corregir.

Qué mostró la ejecución del caso

La ejecución de una prevención eficaz habría requerido integrar las disciplinas que suelen trabajar separadas. Ingeniería debía definir los modos de falla; operación debía traducirlos en condiciones de liberación; mantenimiento debía preservar la función; supervisión debía interpretar señales; y la dirección debía proteger la autoridad de detener.

Ese encadenamiento también explica por qué una campaña de capacitación rara vez corrige una barrera mal diseñada. El entrenamiento puede mejorar la lectura de una señal, aunque no puede crear una redundancia que el proceso nunca incorporó ni compensar un criterio de aceptación ambiguo.

Para una operación latinoamericana, la adaptación práctica consiste en usar ISO 45001:2018 como arquitectura de gestión y conectar cada exigencia con el regulador aplicable. México requiere revisar las NOM-STPS pertinentes; Colombia debe integrar el SG-SST y la Resolución 0312; Chile necesita considerar DS 40 y SUSESO; Argentina debe articular la Ley 19.587 con la SRT; Perú debe alinear el sistema con la Ley 29783.

Qué resultado debe medirse después de la corrección

El resultado no se demuestra con una reducción temporal de reportes. Una baja de alertas puede significar que la exposición disminuyó, aunque también puede indicar que las personas dejaron de informar.

El indicador correcto combina evidencia de barrera y calidad de decisión. La dirección puede revisar cuántos controles críticos tienen criterio de aceptación, cuántas pruebas producen una respuesta definida, cuánto tiempo tarda una alerta en escalar y cuántas acciones fueron verificadas en condiciones de operación real.

La tendencia debe leerse junto con entrevistas, observaciones de tarea y revisión de cambios. Si el tablero mejora mientras los trabajadores evitan registrar dudas, la organización está midiendo silencio, no control.

Lecciones que se pueden transferir a cualquier operación

La primera lección es que el riesgo mayor suele cruzar fronteras organizacionales. El responsable del contrato puede no ser el dueño de la barrera, y el dueño de la barrera puede no estar presente cuando la operación cambia.

La segunda es que una señal ambigua debe aumentar el nivel de revisión. Cuando una prueba no confirma el estado esperado, la decisión prudente no consiste en elegir la interpretación que permite continuar, sino en detener la liberación hasta obtener evidencia suficiente.

La tercera es que la cultura se observa en la respuesta a la mala noticia. Un trabajador que informa una desviación está entregando información de control. Si la respuesta del líder castiga el mensajero y conserva el plan, el sistema aprende a ocultar.

La cuarta es que la investigación necesita reconstruir decisiones, no solo secuencias. James Reason explicó que los accidentes organizacionales se forman cuando fallas latentes atraviesan barreras. Esa mirada ayuda a evitar que la última acción visible se convierta en explicación total.

Qué aplicar esta semana en tu operación

Elige un proceso con energía peligrosa, cambios frecuentes o varias empresas involucradas. Reúne al responsable de operación, mantenimiento, ingeniería, contratistas y representación de los trabajadores. Pídeles que describan la barrera crítica con cinco respuestas concretas: qué debe impedir, cómo se verifica, qué resultado invalida la autorización, quién detiene y qué evidencia confirma su eficacia.

Después, toma una tarea liberada recientemente y compara el procedimiento con la condición real. Si encuentras una diferencia, no la conviertas de inmediato en una falta individual. Clasifícala como una posible brecha de diseño, comunicación, supervisión, competencia o autoridad. Esa clasificación define una acción más útil que una nueva charla general.

La revisión puede complementarse con las decisiones que el líder debe cerrar sobre riesgo residual. El objetivo no es llenar otro formato. Es impedir que la operación avance con una barrera que nadie ha demostrado que funciona.

Conclusión

Deepwater Horizon dejó una lección que sigue siendo vigente para cualquier sistema de SST: una barrera pierde valor cuando la organización no sabe qué evidencia la valida, quién puede detener y cómo comprobar que el cambio permanece. ISO 45001:2018 y los reguladores de América Latina ofrecen estructura, pero la seguridad depende de convertir esa estructura en decisiones operativas verificables.

El caso no pide buscar un culpable más rápido. Pide reconocer antes las siete señales que anuncian que el sistema dejó de gobernar el riesgo.