Modelo de queso suizo en seguridad

¿Qué es el modelo de queso suizo en seguridad?

El modelo del queso suizo en seguridad es un marco teórico que explica cómo ocurren los accidentes en sistemas complejos. Su premisa central es que ninguna barrera de protección es perfecta: todas tienen debilidades, y cuando esas debilidades se alinean, el riesgo atraviesa cada capa sin ser detenido. La consecuencia es un accidente que, visto en perspectiva, era previsible y evitable.

Lo que hace poderoso a este modelo es su enfoque sistémico. En lugar de señalar a una sola persona o a un único fallo, reconoce que los accidentes son el resultado de una cadena de fallos acumulados en distintos niveles de la organización. Esa perspectiva cambia radicalmente cómo se investigan los incidentes y cómo se diseñan las estrategias de prevención.

«Los accidentes no son el resultado de un solo fallo, sino de una combinación de errores humanos y deficiencias organizativas que confluyen en el peor momento posible.» — James Reason

El origen del modelo: James Reason y su propuesta

James Reason fue el psicólogo británico que formalizó este modelo alrededor de 1990, tras analizar algunos de los desastres industriales más devastadores del siglo XX, entre ellos la explosión del transbordador Challenger y los accidentes de Bhopal y Chernóbil. Su trabajo en la Universidad de Mánchester lo llevó a concluir que estos eventos no eran producto del azar ni de la torpeza de un individuo.

Antes de Reason, la práctica habitual ante un accidente era buscar al responsable directo: la persona que apretó el botón equivocado o que tomó la decisión errónea. Reason propuso mirar más atrás en la cadena causal y encontrar las condiciones organizativas que hicieron que ese error fuera posible, probable e inevitable. Esa forma de pensar se convirtió en la base de la seguridad sistémica moderna.

La analogía del queso: capas, agujeros y trayectorias

La imagen central del modelo es tan sencilla como efectiva: imagina varias rebanadas de queso suizo colocadas una detrás de otra. Cada rebanada representa una barrera de seguridad distinta dentro de una organización. Cada agujero en el queso representa una debilidad o vulnerabilidad de esa barrera. En condiciones normales, los agujeros de distintas rebanadas no coinciden, y cualquier amenaza queda bloqueada antes de llegar al final.

El problema aparece cuando, por distintas razones, los agujeros de varias capas se alinean y forman un canal abierto de extremo a extremo. En ese momento, el riesgo pasa a través de todas las defensas sin ser detenido por ninguna, y el accidente ocurre. Reason llamó a esto la «trayectoria de accidente», un concepto que explica por qué eventos aparentemente improbables acaban sucediendo.

Las capas de defensa: cómo se estructuran las barreras

Dentro del modelo, las barreras de seguridad no son abstractas: tienen formas concretas y funcionan en diferentes niveles de la organización. Pueden ser físicas, como una guarda de máquina; procedimentales, como un protocolo escrito; o culturales, como la actitud que una empresa tiene frente al riesgo. La combinación de todos estos tipos es lo que construye un sistema realmente robusto.

La clave está en entender que cuantas más capas de defensa existan y más saludables estén, menor es la probabilidad de que sus agujeros coincidan. Pero también es cierto lo contrario: si varias capas se deterioran al mismo tiempo, la probabilidad de un accidente grave aumenta de forma significativa, incluso si ninguna de ellas ha colapsado por completo.

Fallos activos: el error visible en primera línea

Los fallos activos son los más fáciles de identificar porque ocurren en el momento del accidente y los protagoniza la persona que está directamente en contacto con el sistema. Un operario que omite un paso del procedimiento, un técnico que desconecta una alarma o un conductor que pasa por alto una señal de advertencia son ejemplos típicos de fallos activos.

Aunque parecen la causa del accidente, Reason los consideraba más bien el último eslabón de una cadena ya construida. El fallo activo es el momento en que el agujero de la última capa se abre, pero detrás de ese instante hay condiciones organizativas que lo hicieron posible. Centrarse solo en este punto impide entender el problema real.

Condiciones latentes: los fallos que nadie ve venir

Las condiciones latentes son el lado más peligroso del modelo porque permanecen ocultas durante largo tiempo antes de que contribuyan a un accidente. Se trata de debilidades instaladas en el sistema: un diseño deficiente, una cultura organizativa que tolera las desviaciones o una formación insuficiente. Están ahí, pero no producen consecuencias visibles de inmediato.

Su peligrosidad radica en que pueden existir durante meses o años sin ser detectadas, y que cuando finalmente coinciden con un fallo activo, el resultado puede ser catastrófico. Identificar y corregir las condiciones latentes antes de que se activen es el objetivo más valioso del análisis preventivo, y es donde el modelo del queso suizo aporta más valor real a las organizaciones.

Los cuatro dominios de fallo según Reason

Reason identificó cuatro áreas donde se originan la mayoría de los accidentes, y las organizó en un orden que va desde las decisiones más alejadas del incidente hasta el acto concreto que lo desencadena. Comprender estos dominios permite construir una imagen completa de cómo se forma la cadena causal y en qué puntos se puede intervenir con mayor eficacia.

¿Cómo ocurre un accidente según este modelo?

Un accidente, visto a través de este modelo, no es un evento súbito e impredecible. Es el resultado de una trayectoria que el riesgo recorre cuando los agujeros de varias capas quedan alineados al mismo tiempo. Esa alineación puede durar apenas unos segundos, pero en ese lapso ninguna barrera logra detener la amenaza.

Lo más revelador es que cada capa puede fallar por razones completamente independientes: una política organizativa deficiente abre el agujero en la primera capa; una supervisión laxa amplía el de la segunda; una comunicación deficiente deteriora la tercera; y un error humano en el peor momento atraviesa la cuarta. No se necesita un villano ni una negligencia extrema: basta con que cada capa esté un poco debilitada al mismo tiempo.

También es importante entender que los agujeros no son fijos: aparecen, se desplazan y cambian de tamaño con el tiempo. Un equipo que hoy funciona bien puede deteriorarse si deja de recibir mantenimiento. Un procedimiento que fue efectivo puede volverse obsoleto si cambian las condiciones de trabajo. Por eso la seguridad no es un estado que se alcanza, sino un proceso que se mantiene activamente.

Aplicaciones del modelo en distintos sectores

El modelo del queso suizo no es una herramienta exclusiva de la industria: su lógica se ha adaptado con éxito a cualquier entorno donde el fallo humano y el fallo organizativo puedan provocar consecuencias graves. Su versatilidad es precisamente lo que lo ha convertido en uno de los marcos de referencia más citados en la gestión de riesgos a nivel mundial.

Seguridad industrial y prevención de riesgos laborales

En el ámbito de la ingeniería en prevención de riesgos, el modelo sirve para analizar incidentes y accidentes con una visión más amplia que la simple búsqueda del error humano. Permite identificar qué barreras fallaron, por qué fallaron y en qué nivel de la organización se originó la debilidad, lo que hace que las medidas correctoras sean mucho más efectivas y duraderas.

Por ejemplo, cuando se investiga un accidente con una máquina, el modelo lleva al equipo de prevención a preguntarse no solo si el trabajador siguió el procedimiento, sino también si la guarda de seguridad industrial estaba en buen estado, si el procedimiento era claro, si la formación era suficiente y si existía una cultura organizativa que priorizara la seguridad sobre la productividad.

Aviación, salud y otros entornos de alto riesgo

La aviación civil fue uno de los primeros sectores en adoptar el modelo de forma sistemática. Las listas de verificación, los sistemas de reporte de incidentes y los procedimientos de doble verificación son, en esencia, capas de defensa diseñadas bajo la lógica del queso suizo. Gracias a ese enfoque multicapa, la aviación comercial se ha convertido en uno de los medios de transporte más seguros del mundo.

En el ámbito sanitario, el modelo se aplica para analizar errores de medicación, fallos en cirugías o infecciones hospitalarias. Cada protocolo de verificación, cada lista de comprobación quirúrgica y cada sistema de alerta temprana actúa como una capa de defensa que reduce la probabilidad de que un error aislado llegue a dañar a un paciente.

¿Cómo aplicar el modelo del queso suizo en tu organización?

Aplicar este modelo no requiere ser un experto en gestión de riesgos. Requiere voluntad de mirar más allá del error evidente y disposición para revisar el sistema con honestidad. El proceso empieza por entender qué barreras tienes, cuál es el estado real de cada una y qué señales indican que alguna está debilitándose antes de que el problema llegue a materializarse.

Paso 1: Identificar las barreras existentes

El primer paso es hacer visible lo que ya existe. Recorre mentalmente el proceso o actividad que quieres analizar y mapea todas las capas de defensa que actualmente están en funcionamiento: controles de ingeniería, procedimientos escritos, formación del personal, supervisión, equipos de protección individual y cultura organizativa. Muchas organizaciones tienen más barreras de las que creen, pero también más agujeros de los que reconocen.

En la clasificación de los tipos de riesgos laborales puedes encontrar una referencia útil para organizar esta revisión por categorías de peligro, lo que facilita identificar qué tipo de barrera corresponde a cada amenaza y dónde pueden existir vacíos de protección.

Paso 2: Detectar y reducir los agujeros

Una vez que tienes mapeadas tus capas, el siguiente paso es evaluar su estado real. Un agujero en una barrera puede manifestarse como un procedimiento desactualizado, un equipo que requiere mantenimiento, una persona sin la formación necesaria o una práctica informal que se ha instalado como costumbre. Detectar estos agujeros requiere observación directa, análisis de incidentes previos y, cuando es posible, auditorías independientes.

No es necesario eliminar todos los agujeros para estar protegido, porque eso es prácticamente imposible. El objetivo es asegurarse de que los agujeros de distintas capas no coincidan, lo que se logra manteniendo cada barrera en buen estado y añadiendo capas adicionales en las zonas de mayor riesgo.

Paso 3: Monitorear las barreras de forma continua

El estado de las barreras cambia con el tiempo, y por eso la monitorización debe ser una actividad permanente, no un evento puntual. Esto incluye revisar periódicamente los procedimientos, actualizar la formación cuando cambian los procesos, inspeccionar los controles de ingeniería y mantener abiertos los canales por los que los trabajadores pueden reportar debilidades sin miedo a represalias.

Los indicadores de alerta temprana son especialmente valiosos en este paso. Un aumento de casi accidentes, quejas repetidas sobre un procedimiento o un equipo que falla con frecuencia son señales de que algún agujero se está ampliando. Actuar sobre esas señales antes de que se alineen con los de otras capas es la diferencia entre la prevención real y la reacción posterior al accidente.

Ventajas y limitaciones del modelo

El modelo del queso suizo ha resistido décadas de uso en entornos exigentes porque ofrece algo que pocos marcos conceptuales logran: una imagen sencilla que captura la complejidad real de cómo ocurren los accidentes. Esa combinación de simplicidad visual y profundidad conceptual es lo que lo ha convertido en una referencia universal en la gestión de riesgos.

Relación con otros modelos de causalidad de accidentes

El modelo del queso suizo no existe de forma aislada. Forma parte de una familia de enfoques que comparten la idea de que los accidentes son eventos multicausales y que la prevención efectiva requiere analizar el sistema completo, no solo el acto final que desencadenó el daño. Conocer cómo se relaciona con otros modelos ayuda a elegir la herramienta más adecuada para cada situación.

La tendencia actual en seguridad industrial apunta a combinar el modelo del queso suizo con herramientas de análisis más cuantitativas. Mientras el modelo aporta la comprensión conceptual y la comunicación clara, herramientas como LOPA o el bow-tie añaden el rigor matemático necesario para priorizar inversiones en seguridad y demostrar el nivel de riesgo residual ante auditores o reguladores.

Preguntas frecuentes

¿Quién creó el modelo del queso suizo en seguridad?

El modelo fue creado por James Reason, psicólogo cognitivo británico de la Universidad de Mánchester. Lo desarrolló alrededor de 1990, tras analizar algunos de los desastres industriales más graves del siglo XX, como los accidentes de Bhopal, Chernóbil y la explosión del Challenger. Su propuesta cambió radicalmente la forma en que se investigan y previenen los accidentes en sistemas complejos, alejando el foco del individuo y poniéndolo en el sistema completo. Reason falleció en febrero de 2025 a los 86 años, pero su modelo sigue siendo la referencia más citada en gestión de riesgos a nivel global.

¿Cuántas capas de defensa tiene el modelo del queso suizo?

El modelo clásico de Reason identifica cuatro dominios de fallo que corresponden a cuatro tipos de capas: influencias de la organización, supervisión, condiciones previas para actos inseguros y los actos inseguros en sí mismos. Sin embargo, en la práctica, el número de capas de defensa que una organización puede y debe implementar varía según la complejidad del proceso, el nivel de riesgo y los recursos disponibles. No existe un número mágico de capas: lo que importa es que cada una esté en buen estado y que sus debilidades no coincidan con las de las demás.

¿Qué diferencia hay entre fallo activo y condición latente?

Un fallo activo es el error que ocurre en el momento del accidente, normalmente cometido por la persona que está operando directamente el sistema. Es visible, inmediato e identificable. Una condición latente, en cambio, es una debilidad que ya existía en el sistema antes del incidente: puede ser un procedimiento defectuoso, una cultura organizativa que tolera los atajos o un equipo sin el mantenimiento adecuado. Las condiciones latentes pueden permanecer ocultas durante meses o años antes de activarse y, cuando lo hacen junto a un fallo activo, el accidente se vuelve probable. La clave de la prevención real está en identificar y corregir las condiciones latentes antes de que se alineen con un error humano.

¿El modelo del queso suizo garantiza que no ocurran accidentes?

No, el modelo no garantiza la ausencia total de accidentes, y el propio Reason fue explícito al respecto: ninguna barrera es perfecta, y buscar una defensa infalible es una aspiración irrealizable. Lo que el modelo sí ofrece es un marco para reducir significativamente la probabilidad de que los agujeros de varias capas se alineen al mismo tiempo. Cuantas más capas saludables existan y más activamente se monitoreen, menor es la probabilidad de que un riesgo recorra toda la cadena sin ser detenido. La seguridad, bajo este enfoque, es un proceso de mejora continua, no un estado que se alcanza de una vez.

¿En qué industrias se utiliza el modelo del queso suizo?

El modelo se aplica en una gran variedad de sectores donde los fallos pueden tener consecuencias graves. La aviación civil, la industria química y petroquímica, la energía nuclear, la construcción, la minería y el sector sanitario son los entornos donde mayor penetración ha tenido. También se ha utilizado en la gestión de pandemias —como durante el COVID-19— para diseñar capas de control que reduzcan la transmisión. Su versatilidad radica en que la lógica de capas de defensa se puede aplicar a cualquier sistema donde múltiples barreras protegen frente a una amenaza.

¿Cómo se relaciona el modelo con la norma ISO 45001?

La norma ISO 45001, que establece los requisitos para los sistemas de gestión de la seguridad y salud en el trabajo, no cita explícitamente el modelo del queso suizo, pero su lógica es completamente compatible. Identificar peligros, evaluar riesgos, establecer controles, investigar incidentes y mejorar de forma continua son, en esencia, acciones orientadas a construir y mantener capas de defensa efectivas, que es exactamente lo que propone Reason. Aplicar el modelo como marco conceptual complementa la implementación de ISO 45001 y ayuda a las organizaciones a entender por qué cada requisito de la norma tiene sentido dentro de un sistema de prevención multicapa.

¿Qué es la trayectoria de accidente en el modelo de Reason?

La trayectoria de accidente es el concepto que describe el camino que recorre un riesgo cuando los agujeros de varias capas de defensa quedan alineados simultáneamente. Reason la visualizó como un rayo de luz que atraviesa una pila de rebanadas de queso cuando los agujeros de todas ellas coinciden en la misma posición. En la práctica, esta trayectoria raramente se mantiene abierta durante mucho tiempo: los agujeros se mueven y cambian. Pero en el instante en que se alinean y existe una amenaza activa, el accidente ocurre. Entender la trayectoria ayuda a comprender que los accidentes no son inevitables: son el resultado de una coincidencia que puede prevenirse reforzando cada capa de defensa de forma individual.

Conclusión

El modelo de queso suizo en seguridad te ofrece algo que pocas herramientas logran: una forma de ver los accidentes como lo que realmente son, el resultado de múltiples debilidades que coinciden, no el error de una sola persona en un momento desafortunado. Esa perspectiva cambia por completo cómo se investiga, se previene y se comunica el riesgo dentro de cualquier organización.

A partir de hoy puedes aplicar este enfoque de forma práctica: identifica las barreras que ya tienes, detecta dónde están sus agujeros y trabaja activamente para que no coincidan. Cada capa que refuerzas es una razón más por la que el riesgo no llegará a convertirse en un accidente real. No se trata de buscar la perfección, sino de construir un sistema lo suficientemente sólido para que los fallos menores no se encadenen.

Si este tema te genera más preguntas o quieres profundizar en otras áreas de la prevención de riesgos, encontrarás muchos más recursos en este sitio web. La seguridad es un campo amplio y fascinante, y cada concepto que dominas te convierte en un profesional más capaz de proteger a las personas que dependen de tu trabajo.

Sigue aprendiendo: