LOPA explicado: 7 preguntas para decidir si aplica

LOPA, o Análisis de Capas de Protección, es una técnica semicuantitativa que estima si varias capas independientes reducen un escenario de accidente mayor hasta un nivel tolerable. No reemplaza la identificación de peligros ni la gestión de ISO 45001, porque solo funciona cuando cada capa tiene una función clara, independencia verificable y desempeño comprobable.

Una matriz puede marcar un riesgo como alto y aun así no decir qué barrera debe impedir la liberación de energía. LOPA obliga a formular esa pregunta con precisión. Este artículo explica siete preguntas que ayudan a decidir cuándo usarla, cuándo detener el análisis y cómo conectarla con la gestión de seguridad y salud en el trabajo de América Latina.

¿Qué problema resuelve LOPA?

LOPA resuelve la dificultad de separar un escenario de accidente de una lista extensa de peligros. Parte de un evento iniciador, identifica sus consecuencias y examina las capas independientes que deberían prevenirlo o limitarlo.

La técnica nació para riesgos de proceso, aunque su lógica también ayuda a revisar tareas con energía peligrosa, sustancias inflamables o interfaces entre operación y mantenimiento. La tesis de Andreza Araujo resulta útil aquí: el cumplimiento documental no demuestra que el control exista en la tarea. Su libro A Ilusão da Conformidade sitúa precisamente esa brecha entre lo declarado y lo que puede verificarse.

ISO 45001:2018 exige que la organización identifique peligros, valore riesgos y mantenga controles operacionales. ISO establece el marco de gestión, mientras LOPA aporta una forma específica de examinar la suficiencia de las barreras. No conviene presentarla como una obligación universal ni como sustituto de la norma.

1. ¿El escenario está definido con suficiente precisión?

El escenario debe describir una causa, una desviación y una consecuencia sin mezclar varios accidentes en una sola línea. “Pérdida de contención” es demasiado amplio; “sobrellenado del tanque durante transferencia con liberación de vapor inflamable” permite estudiar una secuencia concreta.

Una definición precisa normalmente contiene al menos tres elementos, cuya relación debe mantenerse visible: equipo o tarea, evento iniciador y consecuencia creíble. Si el equipo cambia, la frecuencia de operación cambia o la consecuencia depende de otra energía, conviene abrir otro escenario.

En una planta latinoamericana, el responsable de SST puede usar la matriz de riesgos para identificar el peligro y después abrir un escenario LOPA para un riesgo mayor. Esa separación evita que una hoja de cinco por cinco sustituya el razonamiento causal. La relación entre matriz y registro de controles ayuda a no confundir valoración con gobierno de barreras.

2. ¿Cuál es el evento iniciador y con qué frecuencia se justifica?

El evento iniciador es la condición que pone en marcha la secuencia, como una falla de instrumento, un error de configuración o una pérdida de utilidad. Sin esa causa, la estimación de frecuencia se convierte en una impresión personal.

LOPA no exige una falsa exactitud. La organización puede trabajar con categorías, datos internos, historial de mantenimiento o juicio documentado del equipo competente, siempre que explique el origen y la fecha de la información, aunque el dato tenga incertidumbre. Una cifra sin fuente no vuelve técnico al análisis.

IEC 31010:2019 reúne técnicas de evaluación y recuerda que el método debe corresponder a la decisión. ISO describe IEC 31010 como una referencia para seleccionar técnicas, no como permiso para aplicar una sola herramienta a todos los peligros. En América Latina, la fecha de revisión debe quedar registrada porque la exposición y las salvaguardas pueden cambiar.

3. ¿La consecuencia representa un riesgo crítico?

La consecuencia debe expresar el daño que podría ocurrir si las capas fallan, no solo el resultado observado en un incidente previo. Un escape pequeño puede pertenecer al mismo escenario que una liberación con potencial de incendio, siempre que cambien las condiciones de exposición.

Esta pregunta evita un error común: estudiar con más detalle los eventos frecuentes y dejar fuera los eventos de baja frecuencia con consecuencias graves. La ausencia de lesiones en siete meses no demuestra que el escenario haya desaparecido. Solo indica que el resultado no se materializó durante ese periodo.

La dirección debe acordar qué consecuencias requieren una revisión más exigente, como fatalidad múltiple, incendio mayor, explosión o exposición tóxica fuera del área, donde la combinación de energía y presencia humana aumente la gravedad posible. La severidad potencial permite separar el daño observado del daño que el escenario todavía puede producir.

4. ¿Cada capa es realmente independiente?

Una capa independiente necesita una función de seguridad definida, una causa de falla distinta y una forma de comprobar que actuará cuando sea requerida. Dos procedimientos firmados por el mismo supervisor no son dos capas independientes si ambos dependen de la misma decisión bajo presión.

La independencia también se pierde cuando varias barreras comparten energía, sensor, alimentación, mantenimiento o información. Un sistema automático y una alarma que usan el mismo transmisor pueden fallar juntos. El número de capas importa menos que la diversidad y la verificabilidad.

La jerarquía de controles aporta el orden de preferencia, pero no convierte cada control administrativo en una capa independiente. La jerarquía de controles ayuda a preguntar si una barrera elimina, sustituye, controla técnicamente o solo depende de la conducta.

5. ¿La capa tiene desempeño comprobable?

Una capa solo merece crédito si existe una prueba que permita verificar su disponibilidad, respuesta y condición de falla. Un procedimiento puede exigir una inspección cada treinta días, pero el análisis pierde fundamento si nadie comprueba cuándo se hizo, qué encontró y qué ocurrió con la desviación.

ISO 45001 vincula competencia, información documentada, control operacional y mejora. La Secretaría del Trabajo y Previsión Social de México presenta sus obligaciones de SST dentro de un marco regulatorio que debe revisarse junto con la realidad del puesto, no separado de ella.

Para cada capa, registra responsable, frecuencia, criterio de aceptación, evidencia y respuesta ante una falla. Si el control crítico se revisa solo después del accidente, no es una barrera gobernada, aunque aparezca en el procedimiento.

6. ¿El análisis conversa con la regulación local?

LOPA aporta una técnica de análisis, aunque la obligación legal depende del país, la actividad y la exposición. Por eso el informe debe identificar cómo se conecta con ISO 45001:2018 y con el sistema local de SST, sin afirmar que LOPA sea exigida por todos los reguladores.

En Colombia, el SG-SST y la Resolución 0312 de 2019 orientan estándares mínimos; en Chile, la SUSESO publica información institucional sobre seguridad social y riesgos laborales; en Argentina, la SRT concentra material del sistema de riesgos del trabajo; en Perú, SUNAFIL difunde referencias de seguridad y salud laboral. Estas instituciones deben guiar la verificación jurídica de cada operación.

El Ministerio del Trabajo de Colombia expone el marco institucional del SG-SST, la SUSESO informa el sistema chileno, la SRT publica criterios argentinos y SUNAFIL orienta sobre SST en Perú. El análisis técnico no reemplaza la consulta legal local ni la participación de trabajadores.

7. ¿Qué decisión debe producir el análisis?

LOPA debe terminar en una decisión verificable, como diseñar una nueva salvaguarda, aumentar la independencia de una capa, cambiar la frecuencia de prueba o aceptar temporalmente una condición con autoridad y fecha de revisión.

Si el resultado solo dice “riesgo controlado”, la técnica no llegó a la gestión. Andreza Araujo insiste en que la seguridad se demuestra cuando las decisiones cambian la operación, no cuando el expediente acumula firmas. Ese criterio protege el análisis contra la ilusión de cierre.

Para que la decisión sobreviva, asigna un dueño, define el plazo y establece qué evidencia permitirá cerrar la acción. Si una barrera está degradada, la autorización de continuar debe ser explícita, limitada y revisable. La aceptación de una barrera nunca debe quedar implícita en la presión por producir.

¿LOPA, Bow-Tie o matriz de riesgos?

Las tres herramientas responden preguntas distintas. La matriz ordena la prioridad de un conjunto de peligros; Bow-Tie visualiza causas, evento central, consecuencias y barreras; LOPA profundiza en un escenario concreto para estimar si las capas independientes son suficientes.

La comparación publicada sobre LOPA, Bow-Tie y FMEA puede ampliar la elección del método. La regla práctica es sencilla, aunque no superficial: primero define la decisión, después escoge la herramienta que produce la evidencia necesaria.

¿Qué hacer después de aplicar LOPA?

Después de aplicar LOPA, verifica en campo las capas que recibieron crédito, documenta las brechas y lleva las acciones al sistema de gestión. ISO 45001:2018 da la estructura; el análisis aporta la conversación técnica; la regulación de México, Colombia, Chile, Argentina o Perú define obligaciones que deben comprobarse en cada jurisdicción.

LOPA vale la pena cuando obliga a abandonar una etiqueta general y a demostrar qué barrera funciona, quién la mantiene y qué decisión se tomará si falla. Esa es la diferencia entre analizar el riesgo y gobernarlo. Para profundizar en la relación entre método, control y liderazgo, consulta también el trabajo editorial de Andreza Araújo sobre cultura de seguridad.