¿Quién tuvo la culpa? Esa fue la primera pregunta en la planta de alimentos de Guadalajara cuando un cliente encontró, en un lote de galletas, una etiqueta sin la declaración de cacahuate. La respuesta llegó en dos días: el operador de etiquetado no cambió el rollo de etiquetas en el arranque del nuevo producto. Lo despidieron, el área de calidad volvió a capacitar a todo el turno y el caso se cerró.
Siete meses después, otro lote salió con la etiqueta equivocada, en otra línea, con otro operador. Esta vez el gerente de calidad no preguntó quién. Preguntó cuántas barreras había entre el error del operador y el cliente, y por qué ninguna lo detuvo. Había cuatro. Ninguna funcionó, y en ambos casos fallaron las mismas.
¿Qué es el modelo del queso suizo?
El modelo del queso suizo es una forma de entender los accidentes y los errores graves como el resultado de varias barreras que fallan al mismo tiempo. Cada barrera de un sistema (un procedimiento, una verificación, un equipo, una alarma) se representa como una rebanada de queso suizo: protege, pero tiene agujeros. El daño ocurre cuando los agujeros de varias rebanadas se alinean y dejan pasar el peligro.
El modelo fue propuesto por el psicólogo británico James Reason, que estudió el error humano en la aviación, la energía nuclear y la medicina. Aparece en su libro Human Error (1990) y se volvió conocido fuera del mundo académico con su artículo de 2000 en el BMJ, que distinguió dos maneras de ver el error: el enfoque en la persona y el enfoque en el sistema.
Fallas activas y condiciones latentes
Reason separa dos tipos de agujeros. Las fallas activas son los actos inseguros de quien está en la operación: el operador que no cambia el rollo, la enfermera que administra el medicamento equivocado. Tienen efecto inmediato y son las que se ven. Las condiciones latentes son decisiones del diseño, de la organización o de la gerencia que crean los agujeros con anticipación: un procedimiento imposible de cumplir en el tiempo disponible, un equipo que falla tanto que la gente lo apaga, una verificación que se firma sin hacerse.
La paradoja que el modelo explica es esta: las condiciones latentes pueden permanecer años sin causar daño, porque necesitan una falla activa que se alinee con ellas. Cuando el accidente finalmente ocurre, lo que se ve es la falla activa, y la organización castiga a la última persona de la cadena. Los agujeros que la pusieron ahí siguen abiertos.
| Criterio | Enfoque en la persona | Enfoque en el sistema |
|---|---|---|
| Pregunta inicial | ¿Quién se equivocó? | ¿Qué barreras fallaron y por qué? |
| Causa que encuentra | Descuido, falta de atención, falta de capacitación | Condiciones latentes que permiten el error |
| Acción típica | Sancionar, recapacitar, agregar otra firma | Cerrar agujeros en el diseño de las barreras |
| Efecto en los reportes | La gente oculta errores y casi accidentes | La gente reporta, y los agujeros aparecen antes del daño |
Ejemplo: las cuatro rebanadas de la planta de galletas
En la planta de Guadalajara, el análisis encontró cuatro barreras entre el operador y el cliente, y un agujero en cada una:
1. Procedimiento de arranque. El cambio de etiqueta estaba en el procedimiento, en el paso 14 de 22, en un arranque que la producción esperaba en menos de 15 minutos. 2. Verificación del supervisor. La lista de verificación del arranque estaba firmada en el 100% de los casos; en una observación de dos semanas, la verificación de la etiqueta se hizo de hecho en el 38%. 3. Lector de código de barras. El lector rechazaba en promedio 12 empaques buenos por turno; los operadores lo habían dejado apagado desde hacía meses. 4. Liberación de calidad. Revisaba una muestra del lote al final del turno, cuando el producto ya estaba en tarimas.
El primer operador despedido no abrió ninguno de esos agujeros. Solo fue la falla activa que se alineó con ellos. Por eso el segundo incidente era cuestión de tiempo: la acción correctiva había retirado a una persona y dejado las cuatro rebanadas como estaban. Un análisis de causa raíz que termina en una persona casi siempre termina antes de tiempo.
Cómo usar el modelo del queso suizo
El modelo no es un método de cálculo; es una forma de ordenar la investigación. En la práctica, tres pasos: listar las barreras que deberían haber detenido el evento, verificar en campo (no en el papel) en qué estado estaba cada una, y para cada agujero preguntar qué condición del sistema lo creó. La respuesta a esa última pregunta es donde cambia el proceso.
La planta cambió tres cosas y las probó una por una. Movió el cambio de etiqueta al inicio del arranque, con un tablero de verificación visible en la línea. Ajustó el lector de código hasta que los rechazos falsos bajaron a menos de uno por turno, y lo dejó sin botón de apagado para el operador. Y sustituyó la firma del supervisor por una verificación observada por muestreo, con un indicador semanal: la proporción de arranques con etiqueta verificada en el momento. Esa proporción pasó de 38% a 92% en diez semanas, y la planta lleva 14 meses sin etiquetas cambiadas.
Ese indicador es el punto central. La lista firmada al 100% era una barrera documentada; la proporción observada mostraba si la barrera existía. Leerla semana a semana y saber cuándo un cambio es real y no una semana buena es parte de lo que se aprende en la formación Green Belt, y lo que después se mantiene con un plan de control.
Límites del modelo
El propio Reason advirtió que el modelo es una simplificación. Las barreras no son independientes: la presión por producción que hace firmar la lista sin verificar es la misma que hace apagar el lector. Por eso, en sistemas complejos, el modelo funciona mejor como punto de partida que como explicación final. También tiene un riesgo de uso: convertirse en argumento para nunca responsabilizar a nadie. Reason no defendía eso; defendía separar el error honesto, que se estudia, de la conducta temeraria, que sí se sanciona, la idea que después dio origen a la cultura justa y que sostiene la cultura de seguridad de una organización.
La idea en una frase
Un accidente casi nunca dice quién falló; dice qué barreras ya estaban rotas. La planta de Guadalajara tardó dos incidentes en cambiar la pregunta, y fue la pregunta, no la persona, la que cerró los agujeros. La próxima vez que un error llegue al cliente, antes de buscar al culpable, cuente las rebanadas.
Contenido revisado por el Master Black Belt Marcelo Petenate, estadístico, graduado por la Unicamp, maestría por la USP y especialista en Lean Six Sigma y mejora continua. En esta revisión, el enfoque fue distinguir la barrera documentada de la barrera que funciona.
Medir si una barrera existe de verdad empieza por un método, no por una herramienta. Ese razonamiento empieza en el White Belt gratuito de la Escuela EDTI.
Preguntas frecuentes
¿Quién creó el modelo del queso suizo?
El psicólogo británico James Reason, profesor de la Universidad de Mánchester. El modelo aparece en su libro Human Error, de 1990, y se popularizó con su artículo de 2000 en el BMJ sobre el error humano.
¿Qué representan los agujeros del queso?
Las debilidades de cada barrera de protección. Algunos son fallas activas, actos inseguros en la operación; otros son condiciones latentes, creadas por decisiones de diseño, organización o gerencia.
¿Qué diferencia hay entre falla activa y condición latente?
La falla activa es el error de quien está en la operación y tiene efecto inmediato. La condición latente es un defecto del sistema que puede permanecer oculto mucho tiempo, hasta alinearse con una falla activa.
¿Dónde se usa el modelo del queso suizo?
Nació en la aviación y la energía nuclear y se volvió referencia en seguridad del paciente, pero sirve en cualquier industria: manufactura, alimentos, logística y servicios. Es útil siempre que se investiga un evento que atravesó varias barreras.
¿El modelo del queso suizo sustituye el análisis de causa raíz?
No. Lo complementa: ordena la investigación por barreras y evita que el análisis se detenga en la persona. Las herramientas de causa raíz, como el diagrama de Ishikawa y los 5 porqués, se aplican después a cada agujero.
¿Qué estudiar después del modelo del queso suizo?
Cómo medir si una barrera funciona en la operación, con indicadores de proceso leídos en el tiempo, y cómo probar cambios antes de extenderlos. Ese camino empieza en el White Belt de la Escuela EDTI y sigue en la formación Green Belt.