Macondo: 7 brechas que convierten señales en controles

20 de abril de 2010 marcó la explosión en la plataforma Macondo, que mató a 11 trabajadores y desencadenó un derrame de 87 días, según el informe de la Comisión Nacional sobre el Derrame de Petróleo de BP y la Perforación Marítima. El caso permite examinar cómo una organización puede tener procedimientos, especialistas y señales visibles sin convertirlos en decisiones capaces de detener una desviación.

La historia no sirve para buscar un culpable único. Sirve para identificar siete brechas que una operación latinoamericana puede revisar bajo ISO 45001 y su regulación local antes de que una alerta técnica se convierta en una pérdida irreversible.

1. ¿Qué ocurrió en Macondo y qué quedó documentado?

Macondo fue un accidente mayor ocurrido el 20 de abril de 2010 durante la perforación del pozo exploratorio Deepwater Horizon. La investigación oficial de la Comisión Nacional de Estados Unidos, publicada en 2011, describió una secuencia de decisiones técnicas, organizacionales y de supervisión que permitió que varias señales desfavorables coincidieran sin producir una detención efectiva.

La primera lectura útil es sistémica. James Reason explica que un accidente grave aparece cuando fallas activas y condiciones latentes atraviesan varias barreras; por eso, reducir el análisis a la última persona que operó una válvula deja fuera la arquitectura que hizo posible el evento.

ISO 45001 establece que la organización debe controlar sus procesos y gestionar los cambios que puedan afectar el desempeño de seguridad. La norma no convierte una carpeta en una barrera. La barrera existe cuando una señal modifica una decisión, un responsable interviene y la operación puede demostrar qué se hizo.

La ISO 45001 especifica que el sistema de gestión debe conectar liderazgo, planificación, operación, evaluación y mejora. Esa conexión es el punto de partida para leer Macondo sin copiar su contexto industrial.

2. ¿Dónde comenzó la cadena de decisiones?

La cadena comenzó antes de la explosión, cuando varias decisiones de diseño y ejecución redujeron el margen disponible para detectar y responder a una pérdida de control. La Comisión Nacional documentó que los indicadores de una prueba de presión y del comportamiento del pozo requerían una interpretación conjunta, no una validación aislada.

La brecha no consiste en que faltara un dato. Consiste en que el dato no tenía una autoridad de decisión suficientemente clara. Cuando una prueba crítica se interpreta como un trámite del programa, la organización puede conservar registros y perder capacidad de respuesta al mismo tiempo.

En una operación de energía, minería o manufactura, el supervisor debe poder responder tres preguntas antes de autorizar el siguiente paso: qué señal cambió, qué hipótesis queda descartada y quién tiene autoridad para detener. Si una respuesta depende de una llamada informal, el control está incompleto.

La OIT reconoce que la prevención exige integrar condiciones de trabajo, organización y gestión del riesgo. Esa mirada ayuda a distinguir una alerta que informa de una alerta que gobierna.

3. La primera brecha fue confundir cumplimiento con evidencia operativa

Un documento firmado demuestra que alguien completó una actividad; no demuestra que la barrera funcionó bajo presión. En Macondo, el problema relevante para la gestión actual es la distancia entre la existencia formal de una verificación y su capacidad real para detener una secuencia peligrosa.

La cultura de seguridad declarada suele medir cuántos procedimientos fueron emitidos. Una cultura operativa mide cuántas decisiones cambiaron después de una señal, cuánto tardó la escalada y si la autoridad de detener fue ejercida sin penalización por productividad.

Andreza Araujo sostiene en Safety Culture: From Theory to Practice que la madurez se observa en decisiones repetidas, no en frases colocadas en la pared. Aplicado a Macondo, el criterio exige revisar quién escuchó la advertencia, cómo la interpretó y qué presión organizacional compitió con la prudencia técnica.

Para una empresa sujeta a la Resolución 0312 de 2019 en Colombia, la revisión debe conectar la identificación de peligros y la gestión del cambio con evidencias de control. En México, la NOM-030-STPS-2009 orienta la organización de los servicios preventivos de seguridad y salud. En ambos marcos, el documento es una evidencia necesaria, pero no sustituye la demostración de que el riesgo fue tratado.

4. La segunda brecha apareció cuando la presión operativa ganó autoridad

La presión operativa se vuelve peligrosa cuando no aparece como una orden explícita, sino como una secuencia de pequeñas concesiones que hace parecer razonable continuar. El informe de 2011 sobre Macondo mostró que las decisiones se tomaron dentro de restricciones de tiempo, costo, coordinación y expectativas de producción.

La presión no elimina la responsabilidad de la dirección. La vuelve más visible. Si la única forma de cumplir el programa consiste en aceptar una incertidumbre no resuelta, el programa ya está gobernando el riesgo, aunque la política corporativa diga que la seguridad es prioritaria.

En más de 250 transformaciones culturales documentadas por Andreza Araujo, el principio editorial es que el sistema debe hacer visible la contrapartida de cada decisión crítica. Esa referencia no describe un caso de Macondo ni atribuye a esos proyectos un dato inventado; ofrece un criterio para revisar si la autoridad formal coincide con la autoridad que opera.

El supervisor puede aterrizar el criterio con una regla simple: una desviación crítica no se compensa con una firma adicional. Se compensa con una pausa, una revisión de supuestos y una decisión registrada por el nivel que controla el plazo, el presupuesto o el diseño.

5. ¿Cómo se ejecutó una barrera que no estaba integrada?

Una barrera crítica solo funciona cuando sus supuestos, responsables, criterios de aceptación y respuesta ante desviaciones están integrados en la tarea. La investigación de Macondo mostró que la secuencia de control dependía de interpretaciones parciales, coordinación entre empresas y decisiones que no compartían el mismo nivel de información.

La lección supera a la perforación. Un permiso de trabajo, una prueba de aislamiento o una validación de cambio puede fallar aunque todos sus campos estén completos si nadie define qué resultado obliga a suspender. El control debe tener una condición de salida, no solo una condición de inicio.

ISO 45001, en su lógica de control operacional y preparación ante emergencias, exige que la organización planifique cómo ejecuta, mantiene y responde a sus procesos. La aplicación práctica para una planta latinoamericana consiste en mapear la barrera desde la señal hasta la respuesta, incluido el relevo entre contratistas.

El resultado puede documentarse en una ficha breve con cinco campos: señal observada, hipótesis técnica, autoridad de detención, acción inmediata y condición para reiniciar. La ficha no reemplaza el análisis de ingeniería; evita que el análisis quede separado de la decisión.

6. ¿Qué resultado midieron las investigaciones posteriores?

El resultado más importante no fue una cifra aislada de producción perdida, sino la evidencia de que un accidente mayor puede emerger cuando varias defensas parecen razonables por separado. La Comisión Nacional y la investigación de la Junta de Seguridad Química de Estados Unidos describieron fallas que atravesaron diseño, comunicación, supervisión y respuesta.

La investigación completa cambia la pregunta. En lugar de preguntar quién cometió el último error, pregunta qué información estaba disponible, qué supuestos eran falsos, qué control debía haber detenido la progresión y qué autoridad decidió continuar.

11 trabajadores fallecieron y el derrame se prolongó 87 días, cifras documentadas en el informe de la Comisión Nacional de 2011 sobre el desastre de Macondo.

Para que el resultado sea útil en LatAm, cada acción correctiva debe tener un indicador de eficacia. No basta con cerrar la causa en el sistema. Hay que demostrar, después de un plazo definido, que la barrera se prueba en campo, que la desviación vuelve a escalar y que la dirección revisa las excepciones.

7. ¿Qué siete brechas debe revisar una operación latinoamericana?

Una operación puede convertir el caso Macondo en una revisión concreta si examina siete brechas antes de cerrar una investigación o aprobar un cambio crítico. Cada brecha debe relacionarse con una evidencia verificable y con una autoridad que pueda actuar.

1. Señales sin umbral. La organización registra datos, pero no define qué combinación obliga a detener.
2. Autoridad sin alcance. El trabajador puede reportar, aunque el supervisor no tiene facultad para suspender el plan.
3. Contratistas sin la misma lectura. Las empresas comparten un procedimiento, pero no comparten los criterios de aceptación.
4. Cambios sin reevaluación. La modificación de secuencia, equipo o plazo no activa una nueva revisión de riesgos.
5. Pruebas sin hipótesis. Se ejecuta un ensayo, pero nadie acuerda qué resultado confirma o refuta el escenario esperado.
6. Acciones sin eficacia. La investigación se cierra cuando se asigna una tarea, no cuando el control vuelve a probarse.
7. Dirección sin excepción visible. El tablero muestra cumplimiento general y oculta las decisiones que mantuvieron abierta una exposición crítica.

La lista no es una receta universal. Es una puerta de entrada para que el comité de SST, el gerente de operaciones y el responsable de riesgos trabajen sobre la misma evidencia, con plazos y responsables explícitos.

La gestión del SG-SST que impulsa el Ministerio del Trabajo de Colombia ofrece un marco útil para conectar identificación de peligros, controles, participación y mejora. México, Chile, Argentina y Perú tienen obligaciones locales que deben incorporarse al mismo mapa, sin presentar ISO 45001 como sustituto de la ley nacional.

8. ¿Cómo traducir Macondo a una decisión de mañana?

La traducción práctica consiste en revisar una barrera crítica durante una reunión operativa, no en organizar una charla retrospectiva. La persona que lidera la sesión debe tomar un cambio reciente, seguir la señal hasta la autoridad de detención y pedir la evidencia de eficacia que demuestra que el control funciona.

La siguiente tabla diferencia una investigación que cierra papeles de una investigación que transforma el sistema.

Andreza Araujo describe en Sorte ou Capacidade que un accidente no debe leerse como mala suerte cuando existen capas de decisiones que podían administrarse. La aplicación a Macondo es directa: la prevención mejora cuando la organización deja de celebrar la ausencia de eventos y empieza a verificar la calidad de sus decisiones críticas.

Cada semana sin probar una barrera crítica conserva una incertidumbre que puede reaparecer durante el relevo, el cambio de contratista o la presión por recuperar un plazo.

Conclusión: una alerta solo protege cuando cambia una decisión

Macondo demuestra que el riesgo mayor no siempre aparece por ausencia de procedimientos, sino cuando las señales no tienen umbral, autoridad ni respuesta integrada. Las siete brechas ofrecen un método para revisar esa distancia bajo ISO 45001 y dentro del SG-SST o regulación equivalente de cada país.

La prevención empieza cuando la dirección acepta que una barrera debe poder detener el plan, no solo justificarlo después. La OIT orienta la prevención hacia sistemas de trabajo seguros y saludables; el siguiente paso es demostrar, en la tarea concreta, que una alerta todavía puede cambiar el rumbo.