Diseñar sistemas resilientes: prepararse para perturbaciones concretas

467.1 Resiliencia de una función definida

Un servicio puede mantener su actividad durante una contingencia y, al mismo tiempo, deteriorar la continuidad de la atención. Puede elevar la producción inmediata mediante jornadas extraordinarias a costa de una deuda de descanso que reduce la capacidad de las semanas siguientes, o proteger una función prioritaria suspendiendo otra. Antes de calificar un diseño como resiliente conviene precisar qué función se conserva, frente a qué perturbación, durante cuánto tiempo y con qué consecuencias para otras personas o servicios.

Tampoco resulta adecuado tratar la resiliencia como una cualidad global de una organización. Un mismo diseño puede responder bien a ausencias breves de personal y mal a una caída del sistema informático, o tolerar una demanda elevada mientras depende de un único proveedor. Cada perturbación actúa por un mecanismo distinto. Una comparación útil construye escenarios explícitos, evalúa funciones concretas en cada uno y evita extrapolar el buen desempeño frente a un escenario a cualquier contingencia.

Braithwaite, Wears y Hollnagel (2015) propusieron desplazar la atención desde los errores ocasionales hacia la manera en que el trabajo cotidiano consigue resultados, en buena medida porque los clínicos ajustan de forma continua lo que hacen a condiciones cambiantes. Su texto es un planteamiento conceptual y no estima el beneficio de la flexibilidad. Kruk y colaboradores (2015), a partir de la epidemia de ébola en África occidental, describieron la resiliencia de un sistema de salud como la capacidad de sus actores, instituciones y poblaciones para prepararse ante una crisis y responder a ella, mantener sus funciones esenciales mientras dura y reorganizarse después con lo aprendido. Blanchet y colaboradores (2017) distinguieron una capacidad de absorción, que mantiene el nivel de los servicios con los mismos recursos pese al choque, una capacidad de adaptación, que lo mantiene con menos recursos o con recursos distintos gracias a cambios organizativos, y una capacidad de transformación de las funciones y la estructura del sistema. Desde la ingeniería de la resiliencia, Woods (2015) separó cuatro sentidos del término que suelen confundirse: la recuperación tras una perturbación, la robustez frente a perturbaciones previstas, la capacidad de extender la adaptación cuando el sistema se acerca a sus límites y la adaptabilidad sostenida en el tiempo.

De esos marcos el capítulo toma una idea operativa, según la cual la resiliencia se evalúa respecto de funciones y perturbaciones definidas. El modelo examina sobre todo la robustez durante el episodio y la recuperación posterior. Se compararán tres diseños de atención, uno con capacidad próxima a la demanda habitual, otro con reserva permanente y un tercero con un refuerzo que se moviliza algunos días después de detectar la perturbación. La prueba combina un aumento de la demanda con una pérdida temporal de recursos. En cada diseño se medirá la producción durante el episodio, la acumulación de trabajo pendiente y el tiempo de recuperación. Los parámetros son sintéticos y los costos se expresan en unidades abstractas, con el propósito de razonar sobre mecanismos y no de describir un servicio real.

La continuidad se aproximará mediante las solicitudes que quedan pendientes y el tiempo necesario para resolverlas. Esa representación no incluye resultados clínicos ni distingue la gravedad de las necesidades. Permite, en cambio, estudiar una función administrativa relevante, que consiste en conservar la capacidad de respuesta y evitar que una contingencia breve deje una cola prolongada. Una aplicación real tendría que añadir criterios de prioridad y estimar las consecuencias de la espera.

467.2 Un modelo diario de demanda y capacidad

En condiciones habituales el sistema recibe 100 solicitudes diarias. El diseño ajustado puede completar 110, de modo que dispone de un margen nominal de 10 para absorber acumulaciones. Cada solicitud consume una unidad de capacidad, la cola comienza vacía y no hay abandonos, rechazos ni reingresos. El horizonte abarca 100 días. Estas simplificaciones permiten verificar que ninguna solicitud se crea ni se pierde.

Sea $Q_t$ el número de solicitudes pendientes al comienzo del día $t$, $D_t$ las llegadas de ese día, $C_t$ la capacidad disponible y $S_t$ las atenciones realizadas. Las atenciones no pueden superar la capacidad del día ni el trabajo disponible, y la cola al final del día es el remanente no negativo:

El modelo admite que una solicitud se atienda el mismo día en que llega y registra la demora en intervalos diarios. Como no especifica el orden de las personas dentro de cada jornada, no produce tiempos individuales de espera.

En un día habitual sin pendientes, un servicio con capacidad 130 completa 100 solicitudes y deja 30 unidades sin usar. Esa diferencia puede representar disponibilidad reservada o recursos que se dedican a otras funciones mientras no hacen falta. Para asignarle un costo hay que definir cómo se mantiene ese margen y qué actividades permiten liberarlo con rapidez.

La perturbación dura cinco días, del día 20 al 24 en la numeración del programa, que comienza en cero. Durante ese intervalo las llegadas suben a 160 y se pierden 40 unidades diarias de capacidad. Después, la demanda y los recursos básicos vuelven a sus niveles habituales. La combinación puede representar una contingencia que aumenta las necesidades mientras reduce el personal o la infraestructura. Examina una dependencia frecuente, en la que el sistema enfrenta más trabajo precisamente cuando dispone de menos medios, y la sección 467.6 muestra que analizar cada componente por separado subestima la dificultad del escenario conjunto.

467.3 Tres diseños con recursos diferentes

El diseño ajustado mantiene 110 unidades diarias fuera de la perturbación y 70 durante ella. Cada día de contingencia añade 90 solicitudes a la cola. Terminada la perturbación, dispone de apenas 10 unidades diarias para reducir lo acumulado, porque las otras 100 siguen siendo necesarias para la demanda habitual. El regreso de los recursos al nivel anterior no equivale, por lo tanto, a la recuperación del servicio.

El diseño con reserva permanente tiene 130 unidades diarias. Pierde las mismas 40 durante la perturbación y conserva 90, de modo que su cola crece 70 por día. Al terminar la contingencia dispone de 30 unidades diarias por encima de la demanda habitual. Su ventaja en la recuperación tiene así dos componentes, la menor acumulación durante el episodio y el mayor excedente después.

El diseño móvil parte de la capacidad del ajustado y cuenta con 40 unidades adicionales que se activan con una demora de dos días. En los dos primeros días de perturbación opera con 70; desde el día 22 suma el refuerzo y alcanza 110 mientras persiste la pérdida. Restablecidos los recursos básicos, opera con 150 hasta vaciar la cola. La regla del programa mantiene el refuerzo activo cualquier día en que la perturbación continúa o en que hay pendientes al comenzar la jornada, por lo que se retira al día siguiente de aquel en que la cola llega a cero.

La disponibilidad del refuerzo es un supuesto fuerte. Puede requerir personal entrenado, acuerdos con otras instituciones o tareas propias que admitan postergarse. Si proviene de otro servicio, una evaluación completa debería medir también la carga que se desplaza hacia él. En el ejemplo se supone disponible sin perjuicio para otra función, y esa hipótesis explica buena parte de la ventaja que el diseño móvil muestra más adelante.

Los costos adicionales se fijan de manera sintética. La reserva permanente cuesta 20 unidades por día, 2000 en los 100 días del horizonte. La opción móvil cuesta 5 unidades diarias por mantener la preparación y 40 por cada día de refuerzo activo. El diseño ajustado sirve de referencia con costo adicional nulo. No se contabilizan costos comunes ni consecuencias clínicas. Los costos de preparación crecen con la longitud del horizonte, mientras que el beneficio calculado corresponde a un único episodio; la sección 467.12 vuelve sobre esta asimetría.

467.4 Acumulación y recuperación

Al terminar la perturbación, el diseño ajustado acumula 450 solicitudes y, con un excedente de 10 por día, necesita 45 días para volver a cola vacía. El diseño con reserva acumula 350 y necesita 12 días, pues once jornadas eliminan 330 solicitudes y la duodécima resuelve las 20 restantes. La recuperación se cuenta desde el día siguiente al último día de perturbación hasta el final del día en que desaparecen los pendientes, inclusive.

La opción móvil acumula 330 solicitudes, 180 en los dos primeros días y 150 en los tres siguientes. Después dispone de 50 unidades diarias para recuperar y vacía la cola en siete días. El refuerzo estuvo activo diez días, tres durante la perturbación y siete después, con un costo adicional de 900 unidades, 500 por preparación y 400 por activación.

La fracción de la cuarta columna divide las atenciones de esos cinco días por las 800 solicitudes que llegaron en ellos. Como la cola estaba vacía al inicio, el cociente se interpreta sin ambigüedad. En un sistema con cola previa, parte de la producción podría destinarse a solicitudes anteriores y habría que distinguir cohortes de llegada.

En este escenario la opción móvil supera a la reserva permanente en las cuatro columnas de la tabla. Esa ventaja depende de que el refuerzo esté disponible, se active al cabo de dos días y rinda con productividad completa. Si la contingencia afecta también al recurso móvil, si la activación tarda más o si la preparación resulta más cara, el orden puede invertirse; la sección 467.10 calcula a partir de qué demora ocurre.

Volver a cola vacía tampoco garantiza que la organización haya recuperado su estado previo. Pueden quedar personal fatigado, mantenimiento aplazado o confianza deteriorada entre los usuarios. El modelo solo mide la recuperación del trabajo pendiente, y un servicio sin pendientes puede quedar más vulnerable ante una segunda perturbación cercana, sobre todo si la respuesta descansó en compensaciones extraordinarias.

467.5 El costo temporal de la cola

El máximo de pendientes indica cuánto llegó a acumularse, pero no cuánto tiempo persistió la acumulación. Por eso se calcula también la suma de las colas al final de cada día. Esa área discreta se mide en solicitudes-día. El diseño ajustado acumula 11 250 solicitudes-día, la reserva 2920 y la opción móvil 2040.

La medida no coincide con la suma de las esperas individuales en tiempo continuo, porque llegadas y atenciones se agrupan por día; con la convención adoptada, puede leerse como la carga pendiente observada en cada corte diario. Estimar días de espera por persona exigiría una cola con identificadores, un orden de atención y momentos de llegada dentro de cada jornada. Para comparar los diseños del modelo agregado el área basta, siempre que se aplique la misma convención a todos.

En el diseño ajustado el área está dominada por la recuperación. Los cinco días de crisis aportan 1350 solicitudes-día y los 45 posteriores aportan 9900. El pequeño margen habitual, que en días tranquilos parece una ventaja de eficiencia, se convierte en la restricción principal cuando existe una deuda de atención. Un criterio que solo optimice el costo por solicitud en períodos sin perturbación favorecerá ese diseño y dejará fuera el costo de restaurar la continuidad.

La curva de pendientes permite también definir umbrales de función. Una institución podría considerar inaceptable superar cierto volumen de pendientes o mantenerlo más allá de un número de días. Esos límites requieren justificación asistencial y no se deducen de la ecuación. Compararlos puede ser más informativo que ordenar por área total, porque una carga concentrada en pocos días y otra extendida durante semanas afectan de manera distinta a cada tipo de necesidad.

El área depende además del horizonte. Si la observación termina antes de que la cola se vacíe, el cálculo omite la carga posterior y favorece de manera artificial a los diseños lentos. Si después de la perturbación la demanda del diseño ajustado quedara en 105 diarias, un horizonte de 100 días cerraría con 75 solicitudes pendientes y un área de 20 850, mientras que uno de 200 días registraría la recuperación completa y un área de 21 375. Debe informarse siempre la cola residual. En el escenario base los tres diseños vacían su cola antes del día 100.

467.6 Perturbaciones combinadas y efectos no aditivos

Si al diseño ajustado se le aplica solo el aumento de demanda, durante cinco días llegan 160 solicitudes y se atienden 110. La cola alcanza 250, disminuye luego 10 por día y tarda 25 días en desaparecer, con un área de 3750 solicitudes-día. Si se aplica solo la pérdida de recursos, con demanda de 100 y capacidad de 70, se acumulan 150 solicitudes, la recuperación tarda 15 días y el área es de 1500. La suma de las áreas aisladas es 5250, mientras que la perturbación conjunta produce 11 250, algo más del doble.

La diferencia proviene de dos mecanismos. El primero se origina en el margen. En cada prueba aislada las 10 unidades de margen absorben parte del choque, de modo que los déficits diarios son 50 y 30. En la prueba conjunta el margen se descuenta una sola vez y el déficit llega a 90, no a 80. La función $\max(0,\cdot)$ que define la cola es no lineal y el principio de superposición deja de valer, aun cuando los cambios de demanda y capacidad se sumen sin interacción. Por esta vía el máximo conjunto, 450, ya supera la suma de los máximos aislados, que es 400.

El segundo mecanismo es temporal. Cuando una cola de tamaño $P$ se reduce a razón constante de $s$ solicitudes por día y $P$ es múltiplo de $s$, la recuperación aporta al área

una cantidad que crece aproximadamente con el cuadrado del tamaño inicial. Una cola el doble de grande dura el doble y, durante todo ese tiempo, mantiene más solicitudes en espera. Con $P=450$ y $s=10$ la fórmula da 9900, el valor obtenido en la simulación.

Un contrafactual separa ambos efectos. Si el déficit conjunto fuera exactamente la suma de los aislados, 80 por día, la cola máxima sería 400, la recuperación tardaría 40 días y el área sería 9000. De las 6000 solicitudes-día que separan el resultado conjunto de la suma de las pruebas aisladas, 3750 se explican por el crecimiento cuadrático con una acumulación aditiva y 2250 por el margen descontado dos veces. La partición depende del orden en que se construye el contrafactual.

La no aditividad justifica construir escenarios conjuntos plausibles. Una ausencia de personal puede coincidir con un aumento de la demanda porque ambas dependen del mismo evento externo; una interrupción tecnológica puede reducir la productividad a la vez que multiplica las consultas repetidas. Las pruebas aisladas dejan fuera esas dependencias. La selección de escenarios debería basarse en mecanismos y antecedentes pertinentes, evitando combinaciones tan extremas que no orienten ninguna decisión. Tampoco sustituyen la descripción del funcionamiento habitual. Una institución puede preferir con buenas razones una alternativa que no es la mejor en ningún escenario aislado, si mantiene resultados aceptables en el conjunto de condiciones que considera relevantes.

467.7 Código y conservación de solicitudes

El programa reproduce los tres diseños, las pruebas aisladas y los escenarios de sensibilidad citados en el capítulo. En cada día comprueba que la producción no supere la capacidad ni el trabajo disponible y, al final, que toda solicitud recibida figure como atendida o pendiente. Cuando la cola no se vacía dentro del horizonte, la función devuelve una recuperación nula y la cola residual en lugar de interrumpirse.

import math

BASE = {"ajustado": 110, "reserva": 130, "movil": 110}

def simulate(design, demand_shock=160, capacity_loss=40, horizon=100,
             start=20, duration=5, delay=2, normal_demand=100,
             post_demand=None, loss_fraction=None, backup=True):
    post_demand = normal_demand if post_demand is None else post_demand
    end = start + duration                       # primer día sin perturbación
    backlog, history, served, demand, active = 0, [], [], [], []
    for day in range(horizon):
        shock = start <= day < end
        if shock:
            arrivals = demand_shock
        else:
            arrivals = normal_demand if day < start else post_demand
        capacity = BASE[design]
        if shock:
            capacity -= capacity * loss_fraction if loss_fraction else capacity_loss
        reinforcement = (design == "movil" and backup and day >= start + delay
                         and (shock or backlog > 0))
        if reinforcement:
            capacity += 40
        available = backlog + arrivals
        completed = min(available, capacity)
        assert 0 <= completed <= capacity and completed <= available
        backlog = available - completed
        history.append(backlog)
        served.append(completed)
        demand.append(arrivals)
        active.append(reinforcement)
    assert math.isclose(sum(served) + backlog, sum(demand))   # conservación
    zero = [t for t in range(end, horizon) if history[t] == 0]
    recovery = zero[0] - (end - 1) if zero else None
    cost = {"ajustado": 0, "reserva": 20 * horizon,
            "movil": 5 * horizon + 40 * sum(active)}[design]
    return dict(maximo=max(history), area=sum(history), recuperacion=recovery,
                fraccion=sum(served[start:end]) / sum(demand[start:end]),
                costo=cost, dias_refuerzo=sum(active), residual=backlog)

def check(result, **target):
    for key, value in target.items():
        assert math.isclose(result[key], value, rel_tol=1e-3), (key, result[key])

# Escenario base (tabla de 467.4 y áreas de 467.5)
check(simulate("ajustado"), maximo=450, area=11250, recuperacion=45,
      fraccion=0.4375, costo=0, dias_refuerzo=0)
check(simulate("reserva"), maximo=350, area=2920, recuperacion=12,
      fraccion=0.5625, costo=2000, dias_refuerzo=0)
check(simulate("movil"), maximo=330, area=2040, recuperacion=7,
      fraccion=0.5875, costo=900, dias_refuerzo=10)

# Pruebas aisladas y contrafactual de déficit aditivo (467.6)
solo_demanda = simulate("ajustado", capacity_loss=0)
solo_perdida = simulate("ajustado", demand_shock=100)
aditivo = simulate("ajustado", demand_shock=150)      # déficit diario de 80
check(solo_demanda, maximo=250, area=3750, recuperacion=25)
check(solo_perdida, maximo=150, area=1500, recuperacion=15)
check(aditivo, maximo=400, area=9000, recuperacion=40)
assert simulate("ajustado")["area"] > solo_demanda["area"] + solo_perdida["area"]

# Horizonte insuficiente con demanda posterior de 105 (467.5 y 467.12)
check(simulate("ajustado", post_demand=105), area=20850, residual=75)
check(simulate("ajustado", post_demand=105, horizon=200), area=21375,
      recuperacion=90)

# Respaldo indisponible y pérdida proporcional (467.8)
check(simulate("movil", backup=False), maximo=450, area=11250,
      recuperacion=45, costo=500)
check(simulate("reserva", loss_fraction=40 / 110), maximo=386.36,
      area=3455.45, recuperacion=13)

# Demora de activación y duración de la perturbación (467.10)
for k, (mx, ar) in {3: (370, 2420), 4: (410, 2790), 5: (450, 3150)}.items():
    check(simulate("movil", delay=k), maximo=mx, area=ar)
for d, (mx, rec) in {"ajustado": (1350, 135), "reserva": (1050, 35),
                     "movil": (830, 17)}.items():
    check(simulate(d, duration=15, horizon=250), maximo=mx, recuperacion=rec)

for d in BASE:
    print(d, simulate(d))

El modelo es determinista y mantiene constante la demanda dentro de cada período. Una versión estocástica permitiría explorar la variación de llegadas, ausencias y productividad, siempre que conserve los balances y declare qué incertidumbres trata como independientes. Conviene verificar primero el caso determinista, como hacen las comprobaciones anteriores, porque el azar puede ocultar una estructura incorrecta bajo resultados variables.

La fecha de activación del refuerzo está fijada de antemano. En una organización real dependería de detectar que se ha cruzado un umbral y de obtener autorización para movilizar recursos. Un modelo de decisión debería incluir la demora de detección, el tiempo de respuesta y la posibilidad de activaciones injustificadas. El ejemplo resume esos procesos en un parámetro de dos días, sin atribuir esa rapidez a ningún sistema concreto.

467.8 Redundancia y fallos compartidos

Dos recursos nominalmente distintos pueden depender de la misma infraestructura. Un equipo de respaldo puede usar el mismo sistema informático, el mismo transporte o la misma supervisión que el principal, y una perturbación que afecte al elemento compartido inutiliza a ambos. Para que la redundancia sea útil hay que examinar su independencia funcional frente a los escenarios relevantes; contar unidades en un inventario no basta.

La forma en que se define la pérdida de recursos también altera la comparación. En el escenario base todos los diseños pierden 40 unidades. Si la pérdida fuera una fracción de la dotación, la misma que en el diseño ajustado (40 de 110), la reserva permanente perdería unas 47 unidades. Su cola máxima subiría de 350 a unas 386 solicitudes, la recuperación de 12 a 13 días y el área de 2920 a unas 3455 solicitudes-día. Los otros dos diseños no cambian, porque comparten la capacidad básica y el refuerzo móvil queda fuera de la pérdida en este supuesto. La prueba debe declarar si la perturbación representa una pérdida fija, una fracción de los recursos, la falta de una competencia específica o el cierre de una instalación.

La diversidad de recursos puede mejorar la respuesta a ciertos fallos y complicar la coordinación habitual. Un equipo con otro sistema de registro seguiría funcionando durante una caída informática, aunque después tendría que reconciliar la información, de modo que una defensa diseñada para un escenario puede crear dependencias nuevas en otro.

Los acuerdos de ayuda mutua obligan a considerar demandas simultáneas. Si varias instituciones enfrentan el mismo evento, todas pueden solicitar el mismo refuerzo, y contabilizarlo como disponible para cada una sobreestima la capacidad regional. La unidad de análisis debe ampliarse hasta el nivel en que se comparten recursos y perturbaciones, con reglas de asignación para cuando las solicitudes excedan lo disponible.

La prueba de estrés debe incluir la indisponibilidad del propio respaldo. En el modelo, la opción móvil sin refuerzo reproduce exactamente la dinámica del diseño ajustado, con 450 pendientes, 45 días de recuperación y 11 250 solicitudes-día, y añade 500 unidades de preparación sin beneficio. Ese resultado no invalida la decisión de mantener un respaldo. Indica que su disponibilidad efectiva es un parámetro decisivo, cuya verificación puede aportar más a la decisión que afinar pequeñas diferencias de productividad habitual.

467.9 Adaptación y costos humanos

Durante una contingencia la adaptación puede consistir en reasignar tareas, simplificar procedimientos o cambiar prioridades. Algunas modificaciones conservan la función con menos recursos, lo que Blanchet y colaboradores (2017) denominan capacidad de adaptación. Otras trasladan el trabajo hacia el futuro o hacia personas que están fuera del servicio. Evaluar la resiliencia exige registrar qué se modificó y qué consecuencias quedaron pendientes, porque una producción alta sostenida mediante omisiones parece un éxito si solo se mide el volumen.

El trabajo extraordinario necesita límites y tiempo de recuperación. Si el refuerzo móvil se obtiene alargando las jornadas del mismo equipo, su capacidad posterior puede disminuir. El modelo debería incluir fatiga, ausencias o reducciones temporales de productividad cuando exista evidencia para asignarles parámetros. Suponer una capacidad adicional gratuita e indefinida favorece diseños que en la práctica serían insostenibles.

La continuidad puede exigir una priorización explícita. Ante una pérdida importante de recursos quizá no sea posible mantener todas las actividades, y la evaluación debe describir cuáles se protegen, cuáles se aplazan y cómo se recuperará lo aplazado. Un indicador global de producción puede ocultar que se atendieron tareas sencillas mientras se postergaban necesidades complejas.

Las personas que solicitan atención también se adaptan. Pueden acudir a otro servicio, recurrir a apoyo informal o desistir. El modelo sin abandonos conserva toda la demanda en la cola, de modo que puede sobreestimar los pendientes que el servicio registraría y subestimar las necesidades que quedan sin respuesta fuera de él. Una lista de espera que disminuye durante una crisis puede reflejar una pérdida de acceso. La medición debería seguir cada solicitud hasta su salida y registrar el motivo.

Por la misma razón, la recuperación debe incluir la revisión de las decisiones aplazadas. Resolver las solicitudes visibles no permite identificar las que desaparecieron del registro, y una estrategia de continuidad puede requerir contactar a personas cuyos procesos quedaron interrumpidos. Ese trabajo consume capacidad y debería figurar en el diseño desde el principio. El horizonte de recuperación queda definido por las funciones que efectivamente se restablecen, con independencia de la fecha en que se declare terminada la crisis.

467.10 Comparar diseños bajo incertidumbre

Una prueba de estrés puede ser útil aunque no asigne probabilidades exactas a los escenarios. Puede preguntar si un diseño conserva una función mínima frente a pérdidas concretas y qué recursos requiere para lograrlo. Cuando existen probabilidades defendibles es posible calcular un desempeño esperado; cuando son inciertas, resulta preferible presentar los resultados por escenario, ya que un promedio puede ocultar un fallo grave en una condición poco frecuente pero relevante.

El análisis de sensibilidad debe concentrarse en los parámetros que pueden cambiar la decisión. En la opción móvil, el más importante es la demora de activación. Con los demás supuestos fijos, una demora de tres días eleva la cola máxima a 370, por encima de las 350 de la reserva permanente, aunque el área, 2420 solicitudes-día, sigue siendo menor. Con cuatro días el máximo sube a 410 y el área a 2790, todavía inferior a 2920. Con cinco días el refuerzo llega cuando la perturbación ya terminó, el máximo iguala al del diseño ajustado y el área, 3150, supera a la de la reserva. La ventaja del diseño móvil se pierde entre los tres y los cinco días de demora, según el criterio adoptado. En una institución real habría que medir cuánto tarda la activación antes de apoyarse en ella.

La incertidumbre incluye también la duración de la perturbación. Si las mismas magnitudes se mantienen 15 días en lugar de 5, el diseño ajustado acumula 1350 solicitudes y tarda 135 días en recuperarse, la reserva acumula 1050 y tarda 35, y la opción móvil acumula 830 y tarda 17. Este cálculo supone que el refuerzo se sostiene durante todo el episodio. Un recurso móvil puede agotarse o necesitar rotación en eventos prolongados, y si depende de acuerdos temporales el modelo debería incorporar límites de duración. Extrapolar una prueba breve a una crisis larga sin modificar las reglas supone una sostenibilidad no demostrada.

La comparación puede recurrir al arrepentimiento por escenario, definido como la diferencia entre el resultado de un diseño y el de la mejor alternativa disponible en esa misma condición. Ese criterio ayuda a evitar decisiones muy frágiles sin exigir una distribución de probabilidades precisa, a cambio de una función de pérdida que combine demora, continuidad y costo en una sola escala. Si esas dimensiones no pueden agregarse de manera aceptable, cabe una comparación multicriterio con restricciones explícitas, por ejemplo exigir que ningún escenario supere cierto umbral de pendientes y elegir, entre los diseños que lo cumplen, el de menor costo.

Los datos para calibrar el modelo pueden provenir de contingencias anteriores, de ejercicios y de la observación habitual de los recursos. Un ejercicio planificado suele contar con una preparación excepcional, y una contingencia pasada puede no reflejar las dependencias actuales. La validación debe examinar qué mecanismos son transferibles y qué parámetros cambiaron.

467.11 Preparación, activación y aprendizaje posterior

La preparación incluye mantener competencias y verificar que los recursos de respaldo puedan utilizarse. Un convenio firmado no demuestra disponibilidad efectiva. Pueden requerirse credenciales vigentes, acceso a los sistemas, conocimiento del circuito de atención y una persona con autoridad para activar el acuerdo. Esas tareas tienen costos antes de cualquier perturbación y son las que justifican el componente de preparación de la opción móvil.

La activación necesita señales interpretables. Esperar a que la cola sea muy grande prolonga la recuperación, como mostró el análisis de la demora, y activar demasiado pronto puede consumir recursos sin necesidad o retirarlos de otra función. Una regla basada en la demanda, la capacidad y la tendencia de los pendientes puede evaluarse mediante simulación, siempre que se consideren las falsas alarmas, las demoras de detección y el costo de mantener el refuerzo más tiempo del necesario.

La desactivación es también una decisión. Retirar el apoyo cuando termina el evento externo puede dejar una cola que tardará semanas en resolverse, como ocurre en el diseño ajustado. Mantenerlo hasta eliminar los pendientes acelera la recuperación, aunque tiene un costo y puede afectar a quien aporta los recursos. La regla tiene que responder al objetivo asistencial y considerar si persisten necesidades que no figuran en la cola visible.

Después de una contingencia, la revisión debe comparar lo previsto con lo ocurrido. Si el refuerzo llegó tarde, interesa saber si falló la detección, la autorización o la disponibilidad. Si la producción fue menor de lo esperado, puede haber restricciones de competencias o de información que el plan no contemplaba. El aprendizaje se traduce en reglas y recursos que se actualizan, lo que corresponde a la fase de reorganización descrita por Kruk y colaboradores (2015).

La preparación futura debe conservar capacidad de adaptación sin depender de la improvisación permanente. Algunas respuestas pueden estandarizarse; otras requieren que la autoridad local resuelva situaciones no previstas. Woods (2015) llama la atención sobre esta capacidad de extender la adaptación cuando los acontecimientos sobrepasan lo planificado, algo que un modelo de parámetros fijos no representa.

467.12 La reserva necesaria después de la contingencia

La velocidad de recuperación depende del excedente de capacidad sobre la demanda posterior. Si quedan 450 solicitudes y la capacidad vuelve exactamente a 100 diarias, igual que la demanda, la cola permanece constante: el sistema recuperó sus recursos sin poder recuperar los pendientes. Si la capacidad queda en 95, la cola crece 5 por día aunque el evento haya terminado. La recuperación no puede definirse, entonces, por el restablecimiento de la dotación nominal.

Cuando la demanda $D$ y la capacidad $C$ posteriores son constantes y $C>D$, el número de días necesarios para vaciar una cola $Q$ es

Con 450 solicitudes, capacidad 110 y demanda 100 resultan 45 días. Si la demanda posterior se mantuviera en 105, el excedente bajaría a 5 y harían falta 90 días. Un cambio pequeño y persistente en la demanda basta para duplicar la recuperación, y en este caso la deja fuera del horizonte de 100 días, como se mostró en la sección 467.5.

La misma relación entre rezago y excedente aparece en una proyección publicada al comienzo de la pandemia de covid-19. El COVIDSurg Collaborative (2020) estimó, mediante consulta a expertos y un modelo bayesiano aplicado a 190 países, que durante las 12 semanas de mayor disrupción se cancelarían o postergarían cerca de 28,4 millones de cirugías electivas en adultos y que, si los países aumentaran su volumen quirúrgico habitual en un 20 % después de la pandemia, se necesitaría una mediana de 45 semanas para resolver el rezago. Se trata de una proyección, no de una observación de lo ocurrido después. La lógica del modelo de este capítulo permite comprobar que el orden de magnitud es coherente. Con la tasa global de cancelación estimada en ese estudio, 72,3 %, doce semanas de disrupción equivalen a unas 8,7 semanas de volumen habitual, y dividirlas por un excedente del 20 % da unas 43 semanas. La coincidencia es solo aproximada, porque la cifra publicada es una mediana entre países.

La llegada de otra contingencia antes de vaciar la cola cambia la condición inicial del episodio siguiente. Una prueba que siempre comienza con cero pendientes puede sobreestimar la capacidad de respuesta frente a eventos repetidos. Para estudiar esa situación hay que simular secuencias de perturbaciones y conservar de una a otra la deuda de atención y los recursos consumidos, como la preparación agotada o el mantenimiento aplazado.

El costo adicional puede relacionarse con la reducción de la carga pendiente, siempre que se recuerde su carácter parcial. Respecto del diseño ajustado, el refuerzo móvil evita 9210 solicitudes-día con un costo de 900 unidades abstractas, unas 0,098 unidades por solicitud-día evitada. La reserva permanente evita 8330 con un costo de 2000, unas 0,240 por solicitud-día. Este indicador no asigna automáticamente el mismo valor a todas las esperas ni incorpora daños clínicos; ofrece una comparación operativa inicial.

Antes de interpretar esos cocientes hay que revisar cómo se reparten los costos de preparación. En el modelo, el costo de la reserva y el de la preparación móvil se acumulan durante los 100 días del horizonte, mientras que el beneficio corresponde a un único episodio. Con un horizonte de un año y un solo episodio ambos cocientes empeorarían; con varios episodios en el mismo período, mejorarían. Si los mismos recursos sirven para otras funciones o escenarios, repartir su costo puede ser razonable, siempre que no se cuente el mismo recurso varias veces como si cada contingencia dispusiera de una reserva independiente.

467.13 Interpretar la prueba de estrés

La comparación sintética muestra que una perturbación de cinco días puede producir una recuperación mucho más larga cuando el margen habitual es pequeño. La reserva permanente reduce la acumulación y acelera la recuperación. El refuerzo móvil obtiene mejores resultados con menor costo bajo los supuestos de disponibilidad y activación elegidos, y pierde esa ventaja cuando la activación se retrasa unos pocos días. Las diferencias numéricas son consecuencias del modelo y no estimaciones del desempeño de servicios reales. Su utilidad está en señalar qué conviene comprobar antes de elegir un diseño, en particular la demora real de activación y la independencia del respaldo.

En el ejemplo, la no aditividad del área de pendientes tiene dos fuentes identificables, el margen que cada prueba aislada descuenta por separado y el crecimiento aproximadamente cuadrático del área con el tamaño de la cola. Ambas dirigen la atención hacia el excedente de capacidad posterior a la crisis, además de la capacidad durante ella.

En un sistema real, las medidas de volumen deberían acompañarse de criterios de prioridad y de las consecuencias de la espera. En los términos de Woods (2015), el modelo examina la robustez y la recuperación; la capacidad de extender la adaptación ante lo imprevisto y de sostenerla en el tiempo requiere otros instrumentos de observación. Con esa delimitación, una prueba de estrés permite reconocer vulnerabilidades específicas y comparar los recursos para corregirlas, distinguiendo entre conservar la producción durante la crisis, recuperar los pendientes acumulados y restaurar las condiciones habituales de atención.

Referencias

Blanchet, K., Nam, S. L., Ramalingam, B., y Pozo-Martin, F. (2017). Governance and capacity to manage resilience of health systems: Towards a new conceptual framework. International Journal of Health Policy and Management, 6(8), 431–435. https://doi.org/10.15171/ijhpm.2017.36

Braithwaite, J., Wears, R. L., y Hollnagel, E. (2015). Resilient health care: Turning patient safety on its head. International Journal for Quality in Health Care, 27(5), 418–420. https://doi.org/10.1093/intqhc/mzv063

COVIDSurg Collaborative. (2020). Elective surgery cancellations due to the COVID-19 pandemic: Global predictive modelling to inform surgical recovery plans. British Journal of Surgery, 107(11), 1440–1449. https://doi.org/10.1002/bjs.11746

Kruk, M. E., Myers, M., Varpilah, S. T., y Dahn, B. T. (2015). What is a resilient health system? Lessons from Ebola. The Lancet, 385(9980), 1910–1912. https://doi.org/10.1016/S0140-6736(15)60755-3

Woods, D. D. (2015). Four concepts for resilience and the implications for the future of resilience engineering. Reliability Engineering & System Safety, 141, 5–9. https://doi.org/10.1016/j.ress.2015.03.018