“No pasó nada, así que era seguro.”

La empresa de servicios de rampa con la que trabajábamos se había quedado sin cintas transportadoras. Quedaba una, y esa tenía un problema de frenos.

La alternativa era alterar la operación de todo el día. El jefe de escala y el gerente de la empresa de handling lo conversaron y decidieron seguir. Con una condición: alguien tenía que tirar un calzo antes de que la cinta llegara a posición.

Los calzos se usan todo el tiempo, pero no para eso. La máquina se calza una vez que está detenida en posición, para que no se mueva mientras la gente trabaja alrededor. Es un respaldo. Ese día era el freno.

Así se trabajó todo el día, hasta que entró en servicio la unidad de reemplazo.

No pasó nada. Ni un rayón. Al final del turno, la operación figuraba como completa y en horario.

Y esa es exactamente la trampa.

La cinta no tenía frenos

Que no haya pasado nada no prueba que la operación fuera segura. Prueba que esta vez no hubo consecuencias. La diferencia suena a semántica hasta que se la mira de cerca.

Esa cinta no tenía frenos. La defensa contra el daño al fuselaje no era el sistema de la máquina. Era una persona, agachándose a tirar un calzo, en el momento justo, veinte o treinta veces por día.

Y esa persona era la misma que guiaba al conductor. Quien daba las señales era también quien tenía que juzgar cuándo tirar el calzo. Dos tareas que tiran en sentido contrario: mientras mirás el calzo no estás guiando, y mientras guiás no estás mirando a qué velocidad viene. La barrera compensatoria no se agregó al sistema. Se sacó de la atención que ya estaba asignada al trabajo.

Si esa persona calculaba mal la distancia una vez, o si el conductor llegaba dos segundos antes de lo esperado, el día terminaba de otra manera.

La operación no estaba bajo control. Estaba sostenida a mano.

Y hay algo que quiero decir con claridad, porque si no esto se lee como una acusación y no lo es: los dos gerentes tomaron una decisión razonable con la información que tenían. Alterar la operación de todo el día también tiene consecuencias, y son igual de reales. Pusieron una barrera compensatoria. Hicieron lo que se podía hacer un martes a las seis de la mañana.

La decisión no fue el problema. El problema es lo que el sistema aprendió después.

Dos turnos idénticos, dos finales distintos

Todos juzgamos una decisión por cómo terminó. Si salió bien, fue una buena decisión. Si salió mal, empezamos a buscar qué se hizo mal. Y la operación no funciona así.

Tomá ese mismo día y cambiá una sola cosa. La misma cinta, el mismo muchacho, el mismo procedimiento improvisado. Ahora agregá lluvia, una plataforma mojada y un avión que aterrizó cuarenta minutos tarde, con todos apurados por recuperar la escala. Ninguna decisión cambió. Cambió todo lo que la rodeaba.

Ese día termina en otro lugar. Y el informe va a hablar del calzo, del hombre que lo tiró y del que manejaba. No va a decir que el día anterior se trabajó exactamente igual y salió bien.

La diferencia entre un turno y otro muchas veces no está en la calidad de la decisión, sino en lo que pasó después: una ráfaga que nunca llegó, un vehículo que frenó a tiempo, alguien que detectó el error de otro un segundo antes.

Ese margen también es parte del trabajo, y no tiene nada de malo. El problema empieza cuando lo confundimos con evidencia de que las cosas están bajo control, porque ahí es cuando aprendemos exactamente la lección equivocada.

En esa confusión se pierde algo más. En cada operación que termina bien hay personas absorbiendo la distancia entre cómo se supone que funciona el trabajo y cómo funciona realmente. Esa capacidad de adaptarse es lo que nos mantiene volando la mayor parte del tiempo, y es también lo que impide que el sistema se entere de algo.

Si la seguridad de un día entero depende de que alguien tire un calzo en el momento justo, esa es la información más importante de ese día. Y es la única que nunca sale de la rampa.

Lo que nunca se reportó

De ese día no quedó nada registrado. No hubo reporte, porque ese tipo de cosas quedaban en lo local y no iban a ningún lado.

Nadie ocultó nada. El problema es más simple y peor: no había formulario para eso. Los sistemas de reporte están hechos para eventos, y no ocurrió ningún evento. No hay un campo donde escribir que se trabajaron ocho horas con una barrera mecánica reemplazada por una persona, y que salió bien. Ese día no era reportable porque, en los términos del sistema, no había pasado nada.

Y hay más, y vuelve al calzo. Cualquiera que pasara por la posición veía a un muchacho guiando una cinta y un calzo en el piso. Exactamente lo que se ve un día normal. La degradación no era visible desde afuera, porque la barrera improvisada usaba el mismo objeto que usa el procedimiento estándar. Nadie que no estuviera ahí mismo tenía forma de notarlo.

Pensá lo que eso significa. La organización nunca supo que había operado un día entero con una defensa degradada. No lo supo Seguridad, no lo supo el mantenimiento de equipos de apoyo terrestre y tampoco quien renueva el contrato con la empresa de handling. Para el sistema, ese día fue idéntico a cualquier otro día bueno.

Y si tres meses después hubiera pasado algo con una cinta parecida, nadie podría haber conectado las dos cosas, porque la primera nunca existió en el papel.

Lo que se pierde ahí no es un formulario. Es la única oportunidad que tenía el sistema de enterarse de cómo se estaba haciendo realmente el trabajo.

A la tercera vez deja de ser una excepción

La primera vez no pasa nada. La segunda, tampoco. La tercera confirma la sensación de que el riesgo estaba exagerado.

En algún momento deja de parecer una excepción y se convierte en una de las formas en que se puede hacer el trabajo. Nadie decidió conscientemente degradar nada. Cada resultado exitoso fue reforzando la idea de que esto funciona.

A las siete de la mañana, todos miraban esa cinta. Al mediodía ya era rutina. A la tarde nadie pensaba más en los frenos, solo en el calzo. Y el calzo se tira bien mientras alguien todavía tenga presente por qué lo está tirando.

Así se mueven los límites sin que nadie los mueva. Trabajar con menos margen deja de sentirse como trabajar con menos margen y empieza a sentirse como trabajar. Hasta que un día las mismas condiciones se alinean con algo distinto, y entonces nos preguntamos cómo pudieron hacer algo así.

Lo hicieron muchas veces. Siempre había salido bien.

Que una operación termine bien no prueba que haya sido segura. Prueba que terminó bien. Nada más.

Ese día no hubo un solo daño. Pero eso no era prueba de control. Dependía, una y otra vez, de una persona que tiraba un calzo exactamente en el momento justo.

Si tu principal evidencia de que la operación está bajo control es que hasta ahora no pasó nada, no tenés evidencia. Tenés margen. Y el margen se gasta.

No sé cómo es tu operación. Pero sé que en ella hay algo que todos consideran seguro y que nadie examinó nunca.

Pensalo un segundo antes de seguir. ¿En qué se apoya esa idea? Si la respuesta honesta es que siempre salió bien, acabás de encontrar tu propio calzo.

Y después está la pregunta que casi nadie hace.

Cuando algo termina bien, ¿alguien se toma el trabajo de averiguar por qué funcionó?

La próxima semana

Esta mentira funciona porque tomamos algo que sí tenemos —no hubo consecuencias— y lo usamos para responder una pregunta que ese dato no puede responder.

Con la edad hacemos exactamente lo mismo. Sabemos cuántos años tiene alguien y creemos que ese número nos dice algo sobre cómo va a trabajar.

Lie #15: “There's No Ageism in Our Company.” (“En nuestra empresa no hay edadismo”).

Beyond Human Error — The Lies We Tell Ourselves About Safety

#BeyondHumanError