LOPA explicado: 7 capas de protección para decidir si un riesgo crítico sigue aceptable

LOPA ordena un escenario de riesgo en 7 capas de protección para estimar si las barreras independientes reducen la frecuencia de un evento no deseado hasta un nivel que la organización puede justificar. La técnica no sustituye la evaluación exigida por ISO 45001:2018, pero vuelve visible qué control evita el evento, cuál limita sus consecuencias y qué evidencia demuestra que cada barrera funciona.

Una matriz de riesgo puede marcar una tarea como tolerable sin mostrar qué barrera sostiene esa calificación. LOPA obliga a recorrer la cadena causal con mayor disciplina, porque una salvaguarda que depende de la misma energía, del mismo sensor o de la misma decisión humana que ya falló no debe contarse como una capa independiente.

¿Qué significa LOPA en la gestión de riesgos?

LOPA significa Layer of Protection Analysis, o análisis de capas de protección. Es un método semicuantitativo que parte de un evento iniciador, estima su frecuencia y comprueba cuánto la reducen las capas independientes de protección antes de comparar el resultado con un criterio de riesgo definido.

Su valor aparece cuando una organización necesita justificar una decisión concreta, como mantener una operación, instalar una salvaguarda adicional o detener un cambio de diseño. ISO 45001:2018 aporta el sistema de identificación de peligros, evaluación de riesgos, control operacional y mejora, mientras LOPA examina si la reducción declarada depende de barreras reales.

¿Qué pregunta responde mejor un estudio LOPA?

Un estudio LOPA responde si las barreras independientes disponibles son suficientes para un escenario definido, no si toda la operación es segura. Esa delimitación evita convertir el método en una auditoría general o en una cifra que oculte los peligros que quedan fuera del escenario analizado.

La pregunta debe incluir una consecuencia clara, una condición de inicio y un criterio de aceptación aprobado. En una tarea con liberación de energía, conviene declarar qué desviación puede iniciar el evento, qué personas o activos quedarían expuestos y qué autoridad puede aceptar el riesgo residual, cuya justificación debe quedar documentada.

¿Cuáles son las 7 capas que componen LOPA?

1. Escenario de accidente

El escenario describe la desviación, la consecuencia y las condiciones que deben coincidir para que el daño ocurra. Una formulación precisa evita mezclar en una misma hoja una fuga, una sobrepresión y un error de aislamiento que requieren barreras distintas.

2. Evento iniciador

El evento iniciador es la causa que pone en marcha la secuencia, como una falla de equipo, una pérdida de contención, una instrucción incorrecta o un cambio no controlado. Su frecuencia debe basarse en datos internos trazables, registros técnicos o una hipótesis documentada, porque una cifra elegida solo para hacer que el escenario cierre debilita la decisión.

3. Consecuencia no deseada

La consecuencia expresa el daño que se quiere evitar, por ejemplo una lesión grave, una exposición peligrosa, un incendio o una liberación que afecte a terceros. La descripción debe conservar el vínculo con las personas expuestas y con el entorno operativo donde la energía puede liberarse.

4. Capas independientes de prevención

Estas capas buscan impedir que el evento iniciador avance. Pueden incluir un diseño inherentemente más seguro, una protección física, un sistema de control o una lógica de parada, siempre que la capa tenga una función específica y no comparta la misma causa de falla con la anterior.

5. Capas independientes de mitigación

Las capas de mitigación actúan después de que la secuencia comenzó. Un sistema de detección, una contención secundaria o una respuesta de emergencia pueden reducir la severidad, aunque no deben presentarse como prevención si solo limitan el daño posterior.

6. Factores habilitadores y condiciones de exposición

El análisis debe registrar las condiciones que permiten que la consecuencia ocurra, como presencia de personas, duración de la exposición, acceso a la zona, energía disponible o recuperación de una alarma. Esta capa evita que una barrera parezca suficiente mientras el escenario real conserva una exposición mayor.

7. Frecuencia residual y decisión

La frecuencia residual es la estimación que queda después de aplicar las reducciones justificadas por las capas independientes. El resultado debe conducir a una decisión con responsable, criterio de aceptación, controles pendientes y fecha de verificación, dado que una cifra sin esa decisión no gobierna el riesgo.

¿Cómo se diferencia una capa independiente de un control repetido?

Una capa independiente cumple una función definida, puede actuar sin depender de la misma causa que activó el escenario y tiene desempeño verificable. Dos procedimientos que dependen del mismo supervisor no son dos barreras independientes si ambos fallan cuando la presión de producción altera la decisión.

La prueba práctica consiste en preguntar qué ocurre cuando la primera barrera falla, quién detecta la desviación, qué mecanismo actúa sin recibir la misma señal y qué evidencia queda después. Si la respuesta repite la misma persona, el mismo sensor o el mismo registro, probablemente se está contando dos veces un solo control cuya independencia no existe.

¿Cuándo conviene usar LOPA junto con otros métodos?

LOPA funciona mejor después de una identificación de peligros que haya definido escenarios concretos. HAZOP puede ayudar a descubrir desviaciones de proceso; un Bow-Tie puede representar visualmente las amenazas, barreras y consecuencias; una matriz puede ordenar prioridades generales. LOPA aporta una comprobación más disciplinada cuando la decisión depende de la suficiencia de varias barreras.

Ninguno de estos métodos reemplaza la observación de la tarea, la consulta a los trabajadores ni la verificación de controles en campo. ISO 45001:2018 exige que la organización mantenga información documentada y controle los cambios, de modo que un estudio LOPA debe actualizarse cuando cambian el diseño, la exposición, la dotación o la forma de ejecutar el trabajo, donde el conocimiento del equipo resulta indispensable.

¿Cómo se aplica LOPA en América Latina?

La técnica debe integrarse al sistema legal que corresponda al país y al sector. En Colombia, la Resolución 0312 de 2019 exige evidencias del SG-SST que ayuden a controlar peligros y verificar acciones.

En Chile, el DS 40 vincula la información de riesgos con la protección de las personas trabajadoras. En Argentina, la Ley 19.587 sostiene la obligación de proteger la salud y la integridad en el trabajo. En Perú, la Ley 29783 estructura la gestión de seguridad y salud ocupacional, mientras que cada actividad debe revisar sus exigencias específicas.

En México, la NOM-STPS aplicable depende del peligro y de la actividad, por lo que LOPA debe complementar, nunca sustituir, las obligaciones específicas de identificación, operación, mantenimiento, capacitación y respuesta. La decisión final debe registrar qué requisito legal aplica, qué barrera lo satisface y qué control adicional queda bajo responsabilidad de la dirección.

Cada escenario crítico que conserva una barrera sin prueba de desempeño deja una diferencia entre el riesgo que la organización declara y el riesgo que la operación realmente puede sostener.

¿Qué debe quedar documentado al cerrar un LOPA?

El cierre debe conservar el escenario, el evento iniciador, la consecuencia, las capas consideradas, los supuestos, la frecuencia residual, el criterio de aceptación, las acciones pendientes y la persona responsable de verificar cada compromiso. También debe indicar cuándo volverá a revisarse el análisis.

La posición de Andreza Araújo en Safety Culture: From Theory to Practice ayuda a separar la cultura declarada del control observable. Aplicado a LOPA, el principio es directo, ya que una barrera solo tiene valor de seguridad cuando la tarea permite ejecutarla, el liderazgo protege la decisión y la organización comprueba su desempeño.

Conclusión: LOPA sirve para decidir, no para decorar una matriz

LOPA ordena siete componentes que suelen aparecer dispersos en la gestión de riesgos, desde el escenario y el evento iniciador hasta la frecuencia residual y la decisión de aceptación. Su utilidad depende de la independencia de las capas, de la calidad de los supuestos y de la verificación en campo.

La mejor aplicación combina LOPA con ISO 45001:2018 y con el regulador latinoamericano correspondiente, porque una cifra de riesgo no reemplaza la obligación de controlar peligros, consultar a las personas trabajadoras y mejorar el sistema. Cuando una barrera no puede probarse, la dirección debe tratarla como una hipótesis pendiente, no como protección garantizada.