CAUSALIDAD DE LOS ACCIDENTES — EL MODELO DE REASON "Un avión está separado de un accidente aéreo por 6 lonchas de queso gruyere. Las lonchas representan a los que intervienen en la seguridad aérea: constructores, compañía, autoridades reguladoras, pilotos, tecnología y reglamentación. Cada loncha, como es natural en este tipo de queso, tiene unos cuantos agujeros y mayor o menor tamaño; que representan los fallos que pueden tener. Si se agrupan las lonchas en un montón, será muy poco probable que todos los agujeros coincidan; pero si es así, el avión atravesará las lonchas derivando en un accidente aéreo". La aceptación en toda la industria del concepto de accidente de organización fue posible gracias a un sencillo pero gráficamente poderoso modelo elaborado por el Profesor James Reason, que proporcionó un medio para comprender cómo la aviación o cualquier otro sistema de producción funciona con éxito o se dirige al fracaso. Con arreglo a este modelo, los accidentes se producen cuando cierto número de factores permiten que ocurran — siendo cada uno de ellos necesario pero en sí no suficiente para quebrar las defensas del sistema. Debido a que los sistemas complejos como la aviación están extremadamente bien defendidos por capas de defensas profundas, las fallas en un punto único rara vez tienen consecuencias en el sistema aeronáutico. Las fallas de equipo o los errores operacionales nunca son la causa del quiebre de las defensas de seguridad operacional, sino más bien los elementos activadores. Los quiebres de las defensas de seguridad operacional son una consecuencia tardía de decisiones tomadas a los más altos niveles del sistema, que permanecen latentes hasta que sus efectos o posibilidades perjudiciales se ven activadas por conjuntos específicos de circunstancias operacionales. En tales circunstancias específicas, las fallas humanas o las fallas activas a nivel operacional actúan de desencadenantes de las condiciones latentes que llevan a facilitar la quiebra de las defensas de seguridad operacional inherentes del sistema. En el concepto presentado por el modelo de Reason, todos los accidentes comprenden una combinación de condiciones activas y latentes. Las fallas activas son acciones u omisiones, incluyendo errores y violaciones, que tienen consecuencias adversas inmediatas. En general y en retrospectiva se les considera actos inseguros. Las fallas activas se relacionan generalmente con el personal de primera línea (operadores , controladores, personal de mantenimiento, etc.) y pueden resultar en consecuencias perjudiciales. Tienen la posibilidad de penetrar las diversas defensas para proteger los sistemas operativos creados por la administración de la empresa, las autoridades de reglamentación, etc. Las fallas activas pueden ser resultado de errores normales o de desviaciones respecto de procedimientos y prácticas prescritos. El modelo de Reason reconoce que en el lugar de trabajo hay muchas condiciones que conducen a errores o violaciones y que pueden afectar al comportamiento individual o de equipo. Las fallas activas del personal operacional tienen lugar en un contexto operacional que incluye condiciones latentes. Las condiciones latentes son condiciones presentes en el sistema mucho antes de que se experimente un resultado perjudicial y que llegan a ser evidentes cuando actúan factores de activación locales. Sus consecuencias pueden permanecer latentes durante mucho tiempo. Individualmente, estas condiciones latentes generalmente no se perciben como perjudiciales, puesto que, en primer lugar, no se perciben como fallas. Las condiciones latentes solo pueden llegar a ser evidentes una vez que se han quebrado las defensas del sistema. Estas condiciones son creadas generalmente por personas que están muy lejos, en tiempo y espacio, del accidente. El personal que ejecuta las operaciones hereda condiciones latentes del sistema, como las creadas por un diseño deficiente del equipo o de las tareas; objetivos incompatibles (p. ej., servicio a tiempo o bien seguridad operacional); defectos de organización (p. ej., comunicaciones internas deficientes); o malas decisiones de la administración (p. ej., postergación de una cuestión de mantenimiento). La perspectiva subyacente del tratamiento de accidentes de organización procura identificar y mitigar estas condiciones latentes en todo el sistema, en vez de realizar actividades localizadas para minimizar las fallas activas de los individuos. Las fallas activas son solo síntomas, y no causas, de los problemas de seguridad operacional. Aun en las organizaciones mejor dirigidas, la mayoría de las condiciones latentes comienzan en quienes toman decisiones. Este personal directivo también está sujeto a limitaciones y predisposiciones humanas normales, así como a limitaciones de tiempo, presupuestarias y políticas. Dado que estas carencias no siempre pueden evitarse, deben adoptarse medidas para detectarlas y reducir sus consecuencias perjudiciales. Las decisiones de los supervisores de la línea operativa pueden traducirse en instrucción inadecuada, programación deficiente o negligencia respecto a precauciones en el lugar de trabajo. También pueden conducir a conocimientos y competencias inadecuados o procedimientos operacionales improcedentes. La forma en que los supervisores y la organización en su totalidad desempeñan sus funciones establece las condiciones en que se produce un error o una violación. Por ejemplo: ¿cuán eficaz es la administración con respecto a establecer objetivos de trabajo realizables, organizar tareas y recursos, manejar los asuntos cotidianos y comunicar interna y externamente? Las decisiones adoptadas por la administración de la empresa y las autoridades normativas son demasiado a menudo la consecuencia de recursos inadecuados. No obstante, evitar los costos iniciales de reforzar la seguridad operacional del sistema puede allanar el camino hacia el accidente de organización. En la Figura 2-3 se muestra el modelo de Reason que ayuda a comprender la interrelación de los factores de organización y de gestión (es decir, factores sistémicos) en la causalidad de los accidentes. En los sistemas operacionales y/o productivos hay varias defensas incorporadas para proteger contra fluctuaciones en la actuación humana o decisiones deficientes en todos los niveles del sistema (es decir, en el lugar de trabajo, en los niveles de supervisión y en la administración superior). Las defensas son recursos proporcionados por el sistema para proteger contra los riesgos para la seguridad operacional que generan y deben controlar las organizaciones involucradas en actividades de producción. Este modelo muestra que, si bien los factores de organización, incluyendo las decisiones de la administración, pueden crear condiciones latentes que podrían conducir a un quiebre en las defensas del sistema, estos factores también contribuyen a la solidez de dichas defensas. EL ACCIDENTE DE ORGANIZACIÓN La noción de accidente de organización en que se basa el modelo de Reason puede comprenderse mejor mediante un enfoque de elementos básicos integrado por cinco bloques (véase la Figura 2-4). El bloque superior representa los procesos de la organización. Estos son actividades sobre las cuales cualquier organización tiene un grado razonable de control directo. Los ejemplos típicos son: formulación de políticas, planificación, comunicación, asignación de recursos, supervisión y así sucesivamente. Incuestionablemente, los dos procesos de organización fundamentales, por lo que hace a la seguridad operacional, son la asignación de recursos y la comunicación. Las carencias o deficiencias en estos procesos de organización fomentan un doble camino hacia el fracaso. Un camino es el de las condiciones latentes. Entre las condiciones latentes están: deficiencias en el diseño del equipo, procedimientos operacionales normalizados incompletos o incorrectos y deficiencias en la instrucción. En términos genéricos, las condiciones latentes pueden agruparse en dos grandes conglomerados. Un grupo es la identificación de peligro y la gestión de riesgos de la seguridad operacional inadecuadas por las cuales los riesgos de seguridad operacional de las consecuencias de los peligros no se mantienen bajo control, sino que transitan libremente por el sistema hasta activarse finalmente por medio de elementos desencadenantes operacionales. El segundo grupo se conoce como normalización de la desviación, una noción que, en términos sencillos, es indicativa de contextos operacionales en los que la excepción pasa a ser la regla. En este caso, la asignación de recursos es defectuosa al extremo. Como consecuencia de la falta de recursos, la única forma de que el personal operacional, directamente responsable de la eficacia real de las actividades de producción, puede realizar con éxito esas actividades es tomando atajos que entrañan una violación constante de reglas y procedimientos. Las condiciones latentes tienen todo el potencial de quebrar las defensas del sistema de aviación. Normalmente, las defensas en los sistemas operacionales pueden agruparse en tres grandes rubros: tecnología, instrucción y reglamentación. Las defensas son normalmente la última red de seguridad operacional para contener a las condiciones latentes, así como a las consecuencias de lapsos en la actuación humana. La mayoría, si no la totalidad, de las estrategias de mitigación contra los riesgos de seguridad operacional de las consecuencias de los peligros se basan en el fortalecimiento de las defensas existentes o en la creación de defensas nuevas. El otro camino que se origina en los procesos de organización es el camino de las condiciones en el lugar de trabajo. Estas condiciones son factores que influyen directamente en la eficacia de las personas en los lugares de trabajo de la aviación. Las condiciones en los lugares de trabajo son principalmente intuitivas en el sentido de que todas las personas con experiencia operacional las han experimentado en diversos grados, y comprenden: estabilidad laboral, calificaciones y experiencia, moral, credibilidad de la supervisión y factores ergonómicos tradicionales como la iluminación, la calefacción y el aire acondicionado. Las condiciones en el lugar de trabajo inferiores al nivel óptimo fomentan las fallas activas del personal operacional. Las fallas activas pueden considerarse como errores o como violaciones. La diferencia entre ambos es el componente de motivación. Una persona que trata de hacer lo mejor posible para realizar una tarea, siguiendo las reglas y procedimientos según la instrucción recibida, pero que no satisface el objetivo de la tarea en cuestión comete un error. Una persona que, al realizar una tarea, se desvía voluntariamente de las reglas, procedimientos o instrucción recibida comete una violación. Así pues, la diferencia básica entre errores y violaciones es la intención. Desde la perspectiva del accidente de organización, las tareas de seguridad operacional deberían vigilar los procesos de organización para identificar condiciones latentes y reforzar las defensas. Estas actividades de seguridad operacional también deberían mejorar las condiciones del lugar de trabajo para contener las fallas activas, porque es la concatenación de todos estos factores lo que produce las fallas de seguridad operacional (véase la Figura 2-5).
