Plataforma P-36: 7 decisiones de seguridad que quedaron sin dueño

F5 | Caso narrativo sobre decisiones críticas y control operativo

La P-36 no debe estudiarse como una historia distante de una plataforma petrolera. Su valor preventivo está en mostrar que una barrera puede existir en el procedimiento y perder eficacia cuando la decisión queda dividida entre áreas, turnos, contratistas y responsables que no comparten el mismo criterio de riesgo.

En marzo de 2001, la plataforma P-36 de Petrobras sufrió explosiones y terminó hundida en el campo de Roncador, en la cuenca de Campos. Once trabajadores murieron. La secuencia pertenece a la historia pública de la seguridad industrial brasileña y puede consultarse en los registros oficiales de la Agencia Nacional del Petróleo, Gas Natural y Biocombustibles y en la documentación técnica de las autoridades marítimas brasileñas.

El objetivo no es reconstruir cada detalle técnico de la investigación ni atribuir una causa que el lector deba aceptar sin revisar el informe original. La pregunta es más exigente: ¿qué decisiones de liderazgo permiten que una condición peligrosa se mantenga abierta aunque la organización tenga procedimientos, especialistas y reuniones de seguimiento?

¿Qué convierte a la P-36 en un caso de liderazgo?

Una instalación offshore reúne sistemas de proceso, energía, mantenimiento, permisos, respuesta a emergencias, contratistas y comunicaciones entre turnos. Cada componente puede tener un responsable distinto, mientras que la exposición final pertenece a la operación completa. Esa fragmentación vuelve insuficiente la pregunta “¿quién llenó el formato?”. La dirección necesita saber quién tenía autoridad para reconocer una desviación, detener la tarea, ordenar una revisión y liberar el sistema solo después de comprobar que la barrera había recuperado su función.

ISO 45001:2018 plantea que el sistema de seguridad y salud en el trabajo debe integrarse con liderazgo, planificación, competencia, participación y control operacional. La norma no garantiza una operación segura por el hecho de existir. Exige una estructura que permita identificar peligros, tratar riesgos y comprobar el desempeño. La diferencia entre documento y control aparece cuando el trabajo se aparta de la condición prevista.

Ese principio también se refleja en regulaciones latinoamericanas. En Brasil, la NR-20 organiza requisitos para actividades con inflamables y combustibles. En México, la NOM-002-STPS-2010 establece condiciones para prevención y protección contra incendios. En Colombia, la Resolución 0312 de 2019 fija estándares mínimos del SG-SST. Los instrumentos cambian, pero todos obligan a traducir el riesgo en responsabilidades y controles verificables.

¿Qué decisión inicial cambia una investigación?

La primera decisión consiste en separar tres planos que suelen mezclarse. El hecho observable, la condición que permitió el hecho y la decisión de liderazgo que mantuvo la exposición son preguntas distintas. Si la investigación empieza con una etiqueta sobre la conducta de una persona, el análisis se estrecha antes de revisar diseño, autorización, información, mantenimiento, supervisión y respuesta.

James Reason explicó que los accidentes organizacionales se desarrollan cuando fallas activas atraviesan defensas debilitadas y fallas latentes. Ese marco ayuda a estudiar la P-36 sin convertir la investigación en una búsqueda de culpables individuales. También evita el error inverso, que consiste en hablar de fallas del sistema sin identificar quién debía sostener cada barrera.

La decisión práctica para un comité directivo es exigir una matriz que conecte cada hallazgo con una barrera, un propietario, una fecha y una evidencia. Cuando una fila no tiene dueño, todavía no existe una acción correctiva completa. Cuando tiene dueño pero no autoridad, la acción está asignada solo en apariencia.

Las 7 decisiones que el liderazgo debe reconstruir

La siguiente lectura no presenta siete causas oficiales del accidente. Son siete decisiones de control que una organización debe reconstruir al estudiar un caso de alta consecuencia. La utilidad está en preguntar qué ocurrió, qué información estaba disponible y qué autoridad tenía capacidad real para intervenir.

1. Definir quién podía detener la operación

La autoridad de detener una tarea crítica debe existir antes de la emergencia. Si solo aparece en una política general, el supervisor puede dudar cuando producción, continuidad operativa y seguridad parecen entrar en conflicto. La decisión debe indicar qué condición activa la detención, quién comunica el estado y qué evidencia autoriza el reinicio.

2. Tratar los cambios temporales como cambios de riesgo

Una reparación incompleta o una operación fuera de la configuración prevista altera las barreras originales. ISO 45001:2018 exige controlar los cambios que pueden afectar el desempeño de la SST. La gerencia debe decidir qué cambios requieren revisión formal, aunque el equipo crea que durarán pocas horas.

3. Unificar la lectura entre operación y mantenimiento

La misma condición puede parecer tolerable para mantenimiento y crítica para operación. La solución no es pedir más reuniones, sino establecer una condición común de liberación. La tarea queda abierta hasta que ambos grupos compartan el peligro, el control disponible y el criterio para volver a operar.

4. Convertir la información técnica en una orden operativa

Un informe puede ser correcto y aun así no modificar la conducta de la instalación. La dirección debe comprobar que la información llegue a quien autoriza el trabajo, que se entienda en el turno correspondiente y que indique qué hacer si la condición cambia. La comunicación que no cambia una decisión no funciona como barrera.

5. Dar prioridad a la severidad potencial

Los indicadores de lesiones pueden mostrar una tendencia favorable mientras una exposición de baja frecuencia conserva consecuencias catastróficas. La dirección debe revisar severidad potencial, energía involucrada y degradación de barreras, no solo eventos registrados. La tasa de accidentes ayuda a observar resultados, pero no reemplaza la evaluación de controles críticos.

6. Verificar la respuesta ante una desviación

Un plan de emergencia vale cuando puede ejecutarse con la dotación, los equipos, la comunicación y las rutas disponibles. La verificación debe incluir escenarios que cuestionen el supuesto principal. Si el equipo no puede explicar quién toma el mando, qué sistema se aísla y cómo se confirma el estado seguro, el documento todavía no representa una capacidad operativa.

7. Cerrar con evidencia y no con una fecha

Una acción correctiva no queda cerrada porque venció su plazo. Queda cerrada cuando la barrera fue instalada, se usa en la tarea real y alguien competente comprobó que reduce la exposición. Esta decisión protege al sistema contra el cierre administrativo, que convierte un problema técnico en una casilla verde del tablero.

¿Cómo se ejecutan esas decisiones?

La ejecución empieza con una lista de barreras críticas, no con un inventario de documentos. Para cada barrera, el equipo directivo debe identificar el peligro que controla, la condición que la degrada, la persona con autoridad para intervenir y la prueba que confirma su disponibilidad. La lista debe revisarse en campo porque un procedimiento legible no demuestra que el equipo pueda aplicarlo bajo presión.

Una caminata de liderazgo puede concentrarse en tres preguntas. ¿Qué puede liberar energía sin que el tablero lo muestre? ¿Qué cambio reciente todavía no tiene un dueño operativo? ¿Qué condición obligaría a detener esta tarea ahora? Las respuestas deben contrastarse con permisos, registros, planos, mantenimiento y entrevistas, ya que la evidencia de una sola fuente puede ocultar una contradicción.

En operaciones con sustancias inflamables, la revisión debe articular el sistema de gestión con los requisitos locales. La NR-20 brasileña, la NOM-002-STPS-2010 mexicana y la Resolución 0312 de 2019 colombiana no deben copiarse como párrafos decorativos. Deben convertirse en criterios para identificar responsabilidades, competencia, inspección, emergencia y verificación, respetando la legislación específica del país donde funciona la instalación.

¿Qué resultado debe medir la dirección?

El hundimiento de la P-36 no puede reducirse a una cifra de fatalidades ni a una explicación única. El resultado preventivo que importa para una organización actual es la calidad de sus decisiones antes del evento. Un tablero directivo debe mostrar cuántas barreras críticas tienen dueño, cuántas están degradadas, cuántas acciones fueron reabiertas y cuánto tiempo permanece abierta una exposición de alta consecuencia.

La dirección también debe observar si la operación informa desviaciones antes de que se conviertan en incidentes. Esa señal no significa que toda alerta sea eficaz. Significa que el sistema conserva capacidad de escuchar y actuar. La prueba aparece cuando una alerta modifica un permiso, una secuencia, un mantenimiento o una decisión de continuidad, y no solo cuando aumenta el volumen de reportes.

Durante 25+ años de liderazgo en EHS en empresas multinacionales, Andreza Araujo ha defendido una lectura de la cultura de seguridad que conecta comportamiento, gestión y decisiones ejecutivas. En La ilusión de la conformidad, esa posición ayuda a cuestionar la distancia entre cumplir una forma y controlar una exposición. La referencia no convierte el caso P-36 en un caso propio de Andreza, sino que aporta un criterio editorial para leerlo.

¿Qué aplicar en los próximos 30 días?

Una organización que quiere usar este caso puede comenzar con una revisión focalizada de sus cinco exposiciones de mayor severidad potencial. Para cada una, documenta la barrera principal, el dueño, el criterio de detención, la evidencia de disponibilidad y el responsable de verificar eficacia. La lista debe incluir tareas rutinarias y no rutinarias, porque la familiaridad suele esconder cambios pequeños que alteran la exposición.

Después, selecciona una tarea crítica y acompáñala desde la planificación hasta el cierre. Compara lo que dice el procedimiento con lo que hace el equipo. Registra las diferencias sin atribuir intención. Si la desviación aparece porque el control es inviable, corrige el diseño. Si aparece porque la autoridad es ambigua, corrige la gobernanza. Si aparece por falta de competencia, refuerza la capacitación y vuelve a observar la ejecución.

La última comprobación debe llegar al nivel ejecutivo. Un director debería poder responder quién detiene, quién libera, quién escala y qué evidencia permite continuar. Cuando esas respuestas dependen de una persona específica que no está presente, la organización tiene conocimiento informal, pero no una barrera confiable.

¿Qué enseña la P-36 sobre cultura de seguridad?

La lección principal no es que una plataforma compleja necesite más procedimientos. Necesita decisiones conectadas. La seguridad se debilita cuando cada área cumple su parte y nadie verifica que las partes formen una defensa completa. La cultura se vuelve visible en la manera en que la organización responde a una condición incómoda, especialmente cuando corregirla afecta continuidad, costo o plazo.

Un liderazgo maduro no espera que el incidente obligue a descubrir quién tenía autoridad. Define esa autoridad mientras la operación está estable, prueba su uso en simulaciones y revisa si la presión cotidiana la vuelve impracticable. Esa disciplina también protege a los supervisores, quienes no deberían cargar en solitario con una decisión que el sistema nunca delimitó.

El caso público de la P-36 conserva valor porque obliga a conectar ingeniería, operación y gobierno del riesgo. La investigación no debe terminar cuando se identifica una causa inmediata. Debe llegar hasta la decisión que permitió que una barrera se debilitara, hasta el control que debía detectarlo y hasta la persona que podía cambiar la condición antes del daño.

Conclusión

La P-36 muestra que el riesgo crítico no desaparece porque exista un procedimiento, una reunión o un indicador favorable. Desaparece cuando una barrera tiene diseño adecuado, autoridad definida, ejecución verificable y seguimiento que impide cerrar el problema solo en el papel. Las siete decisiones de este caso sirven para revisar quién detiene, quién libera, quién comunica, quién verifica y quién responde cuando la operación se aparta del plan.

La dirección que convierte esas preguntas en controles puede aprender de un desastre sin repetir su secuencia. Para profundizar en cultura de seguridad, liderazgo y prevención, consulta los recursos de Andreza Araujo y contrasta siempre el análisis con el informe oficial y la legislación aplicable a tu país.