Lo que Safety-II y HOP comparten —y lo que explica su convergencia metodológica— es la distinción entre trabajo prescrito y trabajo real
El punto de quiebre
Durante décadas, el modelo Safety-I funcionó como la arquitectura de referencia para la seguridad industrial: identificar la desviación, corregir el comportamiento, reforzar el procedimiento. El modelo tiene mérito real y redujo significativamente los accidentes vinculados a incumplimientos claros y condiciones evidentemente deficientes. El problema aparece en la zona donde ese modelo no llega.
La paradoja es difícil de ignorar en 2026: organizaciones con más procedimientos, más formación, más tecnología y más auditorías que en cualquier momento anterior siguen registrando accidentes graves que, técnicamente, no deberían ocurrir. No son accidentes por ausencia de protocolo. Son accidentes que ocurren en sistemas bien diseñados, con personal competente, en condiciones que pasaron todas las revisiones. El modelo Safety-I no tiene respuesta estructural para ese escenario.
Erik Hollnagel formuló el problema con una precisión incómoda: si en la mayoría de los sistemas productivos las cosas salen bien el 99,9% de las veces, el análisis centrado exclusivamente en el 0,1% de los fallos está perdiendo la mayor parte de la información disponible sobre cómo funciona realmente ese sistema. Safety-II invierte la pregunta: en lugar de preguntar qué salió mal, pregunta por qué habitualmente sale bien y qué condiciones sostienen ese rendimiento.
Donde se acelero el cambio
El modelo Human and Organizational Performance (HOP) recorrió un camino paralelo, desarrollado inicialmente en los sectores nuclear y de aviación, donde la tolerancia al fallo catastrófico es estructuralmente cero. Su principio central incomoda a algunos sistemas preventivos: los errores humanos son normales y predecibles en entornos complejos, no porque los operadores sean descuidados, sino porque la variabilidad es consustancial a cualquier trabajo humano en sistemas con muchas variables simultáneas. Culpabilizar al operador tras el accidente no previene el siguiente. Diseñar sistemas tolerantes a esa variabilidad, sí.
Lo que Safety-II y HOP comparten —y lo que explica su convergencia metodológica— es la distinción entre trabajo prescrito y trabajo real. Los procedimientos describen cómo debería ejecutarse una tarea en condiciones ideales. El trabajo real incluye adaptaciones, compensaciones e improvisaciones que el personal de planta desarrolla para hacer funcionar el sistema en condiciones que los procedimientos no anticiparon. Esas adaptaciones no son violaciones: son, frecuentemente, la razón por la que la línea sigue corriendo. Ignorarlas equivale a perder información crítica sobre las condiciones que sostienen el rendimiento habitual y que, en circunstancias específicas, pueden precipitar un accidente.
En 2026, el enfoque trasciende los sectores de alta fiabilidad donde se originó y aparece con mayor frecuencia en discusiones de seguridad industrial de manufactura general. Su difusión sigue siendo desigual y su adopción formal documentada en contextos latinoamericanos es estrecha, lo que exige cautela antes de asumir que el camino de implementación es directo o inmediato.
Donde golpea esto a Gerentes de Planta
La implicación más inmediata no está en la filosofía, sino en los procesos que un Gerente de Planta controla directamente: la investigación de incidentes y la forma en que se lideran las conversaciones de seguridad en el piso.
Una investigación de accidente que concluye con «incumplimiento del procedimiento» como causa raíz ha clasificado el evento, pero no ha aprendido de él. Bajo la lógica de HOP, esa conclusión es el punto de partida, no el destino. La pregunta que abre conocimiento real es qué condición del sistema —la presión de tiempo, la ambigüedad en la instrucción, la herramienta inadecuada, el cambio de turno mal gestionado— llevó a ese operador competente a tomar la decisión que tomó. Las auditorías basadas en verificación documental tampoco capturan esta brecha. Para hacerlo se requieren conversaciones genuinas en Gemba, no inspecciones de cumplimiento.
El rol del líder de seguridad en planta también cambia de función. En el modelo Safety-I, ese referente es fundamentalmente un auditor: verifica cumplimiento y sanciona desviaciones. En Safety-II, es un facilitador del aprendizaje: crea las condiciones para que los operadores reporten las dificultades reales antes de que se conviertan en incidentes. Ese cambio no es cosmético. Requiere una cultura donde informar de una adaptación no sea equivalente a admitir una infracción, y eso tiene consecuencias directas en cómo se diseñan los canales de reporte, cómo se comportan los supervisores de turno y qué señales emite la dirección cuando recibe información incómoda.
Que aun podria cambiar la lectura
Safety-II y HOP no tienen un estándar normativo único ni un marco regulatorio que obligue a su adopción. Su base es académica e institucional, sólida en sectores de alta fiabilidad, pero su transferibilidad documentada a manufactura general en América Latina es limitada. Esto no invalida el enfoque, pero sí restringe la posibilidad de apoyarse en casos de implementación locales comparables al momento de justificar un cambio interno.
Existe también una tensión real entre el principio HOP —el error humano es normal y predecible— y la asignación de responsabilidad legal que los marcos normativos vigentes imponen a trabajadores, mandos y dirección. Esa tensión no se disuelve con un cambio conceptual: requiere una lectura cuidadosa de las implicaciones en cada jurisdicción antes de modificar los procesos formales de investigación y reporte. El Gerente de Planta que adopta esta lógica sin alinear primero el enfoque con el área legal y con las exigencias de su certificación —ISO 45001, normas locales aplicables— asume un riesgo procedimental que no debería subestimar.
La pregunta que esto deja a tu equipo
En la última investigación de incidente que cerró su equipo, ¿la conclusión explica qué condición del sistema hizo razonable, desde la perspectiva del operador, la decisión que tomó —o solo documenta que el procedimiento no se siguió?
Fuentes
- Prevencionintegral — Safety-II y HOP: cuando los procedimientos ya no bastan y la prevención necesita aprender del trabajo real (Link)
