Este documento describe el modelo queso suizo de Reason para explicar la causalidad de los accidentes. Según este modelo, los accidentes ocurren cuando múltiples factores permiten que se rompan las defensas del sistema. Estos factores incluyen fallas activas (errores u omisiones) y condiciones latentes (decisiones tomadas en altos niveles que crean riesgos). Las fallas activas activan las condiciones latentes y rompen las defensas del sistema. El modelo explica cómo los procesos de la organización, como la asignación de recurs

1. MODELO QUESO SUIZO DE REASON
2.4 CAUSALIDAD DE LOS ACCIDENTES — EL MODELO DE REASON
2.4.1 La aceptación en toda la industria del concepto de accidente de organización fue
posible gracias a un sencillo pero gráficamente poderoso modelo elaborado por el Profesor
James Reason, que proporcionó un medio para comprender cómo la aviación (o cualquier
otro sistema de producción) funciona con éxito o se dirige al fracaso.
Con arreglo a este modelo, los accidentes se producen cuando cierto número de factores
permiten que ocurran — siendo cada uno de ellos necesario pero en sí no suficiente para
quebrar las defensas del sistema. Debido a que los sistemas complejos como la aviación
están extremadamente bien defendidos por capas de defensas profundas, las fallas en un
punto único rara vez tienen consecuencias en el sistema aeronáutico.
Las fallas de equipo o los errores operacionales nunca son la causa del quiebre de las
defensas de seguridad operacional, sino más bien los elementos activadores. Los quiebres
de las defensas de seguridad operacional son una consecuencia tardía de decisiones
tomadas a los más altos niveles del sistema, que permanecen latentes hasta que sus efectos
o posibilidades perjudiciales se ven activadas por conjuntos específicos de circunstancias
operacionales.
En tales circunstancias específicas, las fallas humanas o las fallas activas a nivel operacional
actúan de desencadenantes de las condiciones latentes que llevan a facilitar la quiebra de
las defensas de seguridad operacional inherentes del sistema. En el concepto presentado
por el modelo de Reason, todos los accidentes comprenden una combinación de condiciones
activas y latentes.
FALLAS ACTIVAS
2.4.2 Las fallas activas son acciones u omisiones, incluyendo errores y violaciones, que
tienen consecuencias adversas inmediatas. En general y en retrospectiva se les considera
actos inseguros. Las fallas activas se relacionan generalmente con el personal de primera
línea (pilotos, controladores de tránsito aéreo, mecánicos de mantenimiento de aeronaves,
etc.) y pueden resultar en consecuencias perjudiciales. Tienen la posibilidad de penetrar las
diversas defensas para proteger el sistema de aviación creadas por la administración de la
empresa, las autoridades de reglamentación, etc. Las fallas activas pueden ser resultado de
errores normales o de desviaciones respecto de procedimientos y prácticas prescritos. El
modelo de Reason reconoce que en el lugar de trabajo hay muchas condiciones que
conducen a errores o violaciones y que pueden afectar al comportamiento individual o de
equipo.
CONDICIONES LATENTES
2.4.3 Las fallas activas del personal operacional tienen lugar en un contexto operacional que
incluye condiciones latentes. Las condiciones latentes son condiciones presentes en el
sistema mucho antes de que se experimente un resultado perjudicial y que llegan a ser
evidentes cuando actúan factores de activación locales. Sus consecuencias pueden

2. permanecer latentes durante mucho tiempo. Individualmente, estas condiciones latentes
generalmente no se perciben como perjudiciales, puesto que, en primer lugar, no se
perciben como fallas.
2.4.4 Las condiciones latentes solo pueden llegar a ser evidentes una vez que se han
quebrado las defensas del sistema.
Estas condiciones son creadas generalmente por personas que están muy lejos, en tiempo
y espacio, del accidente.
El personal que ejecuta las operaciones hereda condiciones latentes del sistema, como las
creadas por un diseño deficiente del equipo o de las tareas; objetivos incompatibles (p. ej.,
servicio a tiempo o bien seguridad operacional); defectos de organización (p. ej.,
comunicaciones internas deficientes); o malas decisiones de la administración (p. ej.,
postergación de una cuestión de mantenimiento).
La perspectiva subyacente del tratamiento de accidentes de organización procura identificar
y mitigar estas condiciones latentes en todo el sistema, en vez de realizar actividades
localizadas para minimizar las fallas activas de los individuos. Las fallas activas son
solo síntomas, y no causas, de los problemas de seguridad
operacional.
2.4.5 Aun en las organizaciones mejor dirigidas, la mayoría de las condiciones latentes
comienzan en quienes toman decisiones.
Este personal directivo también está sujeto a limitaciones y predisposiciones humanas
normales, así como a limitaciones de tiempo, presupuestarias y políticas. Dado que estas
carencias no siempre pueden evitarse, deben adoptarse medidas para detectarlas y reducir
sus consecuencias perjudiciales.
2.4.6 Las decisiones de los supervisores de la línea aérea pueden traducirse en instrucción
inadecuada, programación deficiente o negligencia respecto a precauciones en el lugar de
trabajo. También pueden conducir a conocimientos y competencias inadecuados o
procedimientos operacionales improcedentes. La forma en que los supervisores y la
organización en su totalidad desempeñan sus funciones establece las condiciones en que se
produce un error o una violación. Por ejemplo: ¿cuán eficaz es la administración con
respecto a establecer objetivos de trabajo realizables, organizar tareas y recursos, manejar
los asuntos cotidianos y comunicar interna y externamente? Las decisiones adoptadas por
la administración de la empresa y las autoridades normativas son demasiado a menudo la
consecuencia de recursos inadecuados. No obstante, evitar los costos iniciales de reforzar
la seguridad operacional del sistema puede allanar el camino hacia el accidente de
organización.
LAS BARRERA O DEFENSAS
2.4.7 En la Figura 2-3 se muestra el modelo de Reason que ayuda a comprender la
interrelación de los factores de organización y de gestión (es decir, factores sistémicos) en
la causalidad de los accidentes.
En el sistema de la aviación hay varias defensas incorporadas para proteger contra
fluctuaciones en la actuación humana o decisiones deficientes en todos los niveles del

3. sistema (es decir, en el lugar de trabajo, en los niveles de supervisión y en la administración
superior). Las defensas son recursos proporcionados por el sistema para proteger contra los
riesgos para la seguridad operacional que generan y deben controlar las organizaciones
involucradas en actividades de producción.
Este modelo muestra que, si bien los factores de organización, incluyendo las decisiones de
la administración, pueden crear condiciones latentes que podrían conducir a un quiebre en
las defensas del sistema, estos factores también contribuyen a la solidez de dichas defensas.
2.5 EL ACCIDENTE DE ORGANIZACIÓN
2.5.1 La noción de accidente de organización en que se basa el modelo de Reason puede
comprenderse mejor mediante un enfoque de elementos básicos integrado por cinco
bloques (véase la Figura 2-4).

4. 2.5.2 El bloque superior representa los procesos de la organización. Estos son actividades
sobre las cuales cualquier organización tiene un grado razonable de control directo. Los
ejemplos típicos son: formulación de políticas, planificación, comunicación, asignación de
recursos, supervisión y así sucesivamente.
Incuestionablemente, los dos procesos de organización fundamentales, por lo que hace a la
seguridad operacional, son: la asignación de recursos y la comunicación.
Las carencias o deficiencias en estos procesos de organización fomentan un doble camino
hacia el fracaso:
Un camino es el de las condiciones latentes.
Entre las condiciones latentes están, ENTRE OTRAS:
 deficiencias en el diseño del equipo,
 procedimientos operacionales normalizados incompletos o incorrectos y
 deficiencias en la instrucción.
En términos genéricos, las condiciones latentes pueden agruparse en dos grandes
conglomerados:
Un grupo es la identificación de peligro y la gestión de riesgos de la seguridad operacional
inadecuadas por las cuales los riesgos de seguridad operacional de las consecuencias de los
peligros no se mantienen bajo control, sino que transitan libremente por el sistema hasta
activarse finalmente por medio de elementos desencadenantes operacionales.
El segundo grupo se conoce como normalización de la desviación, una noción que, en
términos sencillos, es indicativa de contextos operacionales en los que la excepción pasa a
ser la regla. En este caso, la asignación de recursos es defectuosa al extremo. Como
consecuencia de la falta de recursos, la única forma de que el personal operacional,
directamente responsable de la eficacia real de las actividades de producción, puede realizar
con éxito esas actividades es tomando atajos que entrañan una violación constante
de reglas y procedimientos.
CONDICIONES LATENTES Y LAS DEFENSAS
2.5.5 Las condiciones latentes tienen todo el potencial de quebrar las defensas del sistema
de aviación.
Normalmente, las defensas en aviación pueden agruparse en tres grandes rubros:
 tecnología,
 instrucción y
 reglamentación.
Las defensas son normalmente la última red de seguridad operacional para contener a las
condiciones latentes, así como a las consecuencias de lapsos en la actuación humana.
La mayoría, si no la totalidad, de las estrategias de mitigación contra los riesgos de
seguridad operacional de las consecuencias de los peligros se basan en el fortalecimiento
de las defensas existentes o en la creación de defensas nuevas.
El otro camino que se origina en los procesos de organización es el camino de las
condiciones en el lugar de trabajo. Estas condiciones son factores que influyen directamente
en la eficacia de las personas en los lugares de trabajo de la aviación. Las condiciones en
los lugares de trabajo son principalmente intuitivas en el sentido de que todas las personas

5. con experiencia operacional las han experimentado en diversos grados, y comprenden:
estabilidad laboral, calificaciones y experiencia, moral, credibilidad de la supervisión y
factores ergonómicos tradicionales como la iluminación, la calefacción y el aire
acondicionado.
2.5.7 Las condiciones en el lugar de trabajo inferiores al nivel óptimo fomentan las fallas
activas del personal operacional. Las fallas activas pueden considerarse como errores o
como violaciones. La diferencia entre ambos es el componente de motivación. Una persona
que trata de hacer lo mejor posible para realizar una tarea, siguiendo las reglas y
procedimientos según la instrucción recibida, pero que no satisface el objetivo de la tarea
en cuestión comete un error.
Una persona que, al realizar una tarea, se desvía voluntariamente de las reglas,
procedimientos o instrucción recibida comete una violación. Así pues, la diferencia básica
entre errores y violaciones es la intención.
2.5.8 Desde la perspectiva del accidente de organización, las tareas de seguridad
operacional deberían vigilar los procesos de organización para identificar condiciones
latentes y reforzar las defensas. Estas actividades de seguridad operacional también
deberían mejorar las condiciones del lugar de trabajo para contener las fallas activas, porque
es la concatenación de todos estos factores lo que produce las fallas de seguridad
operacional (véase la Figura 2-5).