Seguridad organizacional: analizar condiciones que producen errores

463.1 Reconstruir un incidente sin anticipar su explicación

Un incidente asistencial casi siempre se conoce por su desenlace. Alguien advierte una omisión, una decisión tardía o una consecuencia adversa y, a partir de ahí, reconstruye lo ocurrido hacia atrás. Ese orden de trabajo tiene un costo cognitivo conocido. Quien sabe cómo terminó la secuencia tiende a juzgar que el resultado era más previsible de lo que fue para quienes actuaron, y señales que en su momento competían con muchas otras pasan a parecer evidentes. Fischhoff (1975) examinó experimentalmente cómo el conocimiento del desenlace modifica los juicios formulados en condiciones de incertidumbre. En el terreno clínico, Caplan, Posner y Cheney (1991) pidieron a 112 anestesiólogos que juzgaran la adecuación de la atención en 21 casos con resultado adverso, cada uno con una versión gemela idéntica salvo por la gravedad del daño. Cuando el desenlace pasaba de temporal a permanente, la proporción de juicios de atención adecuada descendía 31 puntos porcentuales, aunque las decisiones descritas eran las mismas.

Henriksen y Kaplan (2003) distinguen el sesgo retrospectivo, que sobrestima cuán predecible era un resultado una vez conocido, del sesgo de desenlace, que deja que la gravedad del resultado contamine el juicio sobre la calidad de la decisión. Ambos empujan la investigación hacia una búsqueda regresiva que une puntos hasta encontrar a un responsable. Como contrapeso, los autores proponen reconstruir la secuencia hacia adelante, recuperando qué información estaba disponible en cada punto crítico, qué permanecía desconocido y qué alternativas parecían razonables. Las personas que actuaron disponían de información incompleta, perseguían objetivos simultáneos y trabajaban con plazos, y comprender el proceso requiere situarse en esas condiciones antes de evaluar lo que hicieron.

Considérese un incidente hipotético de continuidad asistencial. Tras una hospitalización, un informe recomienda revisión ambulatoria dentro de una ventana de tiempo definida por el equipo tratante. El documento se envía a una bandeja compartida, pero carece de un identificador de prioridad que el sistema receptor pueda leer. Durante un cambio de turno se interpreta como una derivación ordinaria. La revisión no se agenda a tiempo y la persona vuelve a urgencias antes de que el equipo ambulatorio advierta la solicitud pendiente. El caso se ha construido para analizar la organización del trabajo y no corresponde a ningún episodio clínico real.

La primera explicación disponible señalaría que alguien clasificó mal la solicitud. Esa acción forma parte de la secuencia, aunque no explica por qué el sistema permitió que una clasificación incorrecta permaneciera sin detectarse. Hay que examinar el formato del mensaje, las reglas de la bandeja, quién estaba disponible para revisarla y si el emisor tenía forma de saber que la prioridad había sido entendida.

El análisis necesita mantener separados tres niveles de afirmación. «El informe llegó a las diez» es un hecho verificable en un registro. «La persona receptora entendió que era rutinario» es una interpretación que requiere entrevista u otra evidencia directa. «La presión de trabajo favoreció esa interpretación» es una hipótesis causal que solo puede contrastarse con datos sobre el turno y con episodios comparables. Cuando esos niveles se funden en un relato fluido, el resultado puede ser convincente y descansar, sin embargo, sobre una base documental débil.

Dos trabajos ofrecen el andamiaje conceptual habitual para estas preguntas. Reason (2000) contrapuso un enfoque centrado en la persona, que atribuye los actos inseguros a olvidos, descuidos o falta de motivación, con un enfoque sistémico que trata el error como consecuencia de factores situados aguas arriba, entre ellos las trampas recurrentes del lugar de trabajo y los procesos organizacionales que las generan. Su modelo representa las defensas como capas que una trayectoria de accidente puede atravesar cuando sus debilidades coinciden. Vincent, Taylor-Adams y Stanhope (1998) propusieron un marco jerárquico de factores que influyen en la práctica clínica, desde las características del paciente y del personal hasta el trabajo en equipo, la organización y el contexto regulatorio y económico, con el fin de delinear las condiciones de trabajo y los fallos latentes asociados. Los mismos autores advirtieron que faltaba estandarizar la recolección y el análisis de datos y validar el enfoque, de modo que el marco orienta preguntas sin convertir una reconstrucción retrospectiva en demostración causal.

463.2 Qué evidencia debe conservarse

La cronología es el primer instrumento del análisis. Debe registrar cuándo se tomó la decisión, cuándo se emitió la información, cuándo quedó disponible para el receptor y cuándo se utilizó. Esos instantes pueden diferir bastante. La hora de firma de una nota no siempre coincide con la de la decisión que documenta, y que un servidor haya recibido un mensaje no acredita que el equipo encargado lo haya leído. Cada marca temporal debe quedar asociada a un evento definido con precisión. Los protocolos de análisis sistémico de incidentes clínicos, como el descrito por Taylor-Adams y Vincent (2004), organizan esta reconstrucción antes de pasar a los factores contribuyentes.

La documentación escrita debe complementarse con entrevistas que exploren cómo se interpretó la situación. Preguntar únicamente por qué alguien no siguió un procedimiento presupone que el procedimiento era conocido, aplicable y viable en ese momento. Una entrevista útil reconstruye qué tareas competían por la atención y qué señales parecían fiables. Cuando los relatos discrepan, la discrepancia informa sobre incertidumbre o problemas de coordinación y no debe resolverse eligiendo el relato que mejor encaja con la hipótesis inicial.

También hacen falta episodios en los que el proceso funcionó. Si todos los informes usan el mismo formato y solo algunos pierden la prioridad, el formato por sí mismo no distingue el incidente de la actividad habitual. Puede interactuar con sobrecarga, con ausencia de personal experimentado o con los cambios de turno, y solo la comparación permite saberlo. Los casos exitosos revelan además reparaciones informales que compensan deficiencias del diseño, como una llamada adicional, una revisión cruzada no prevista o el conocimiento personal entre miembros de dos equipos. Esas compensaciones sostienen la seguridad cotidiana y pueden desaparecer cuando cambian las personas o la carga.

La conservación de datos debe ser proporcional a la pregunta y respetar la confidencialidad. Los documentos de trabajo pueden usar identificadores de episodio y mantener los datos sensibles en sistemas autorizados, porque la calidad de una investigación depende de la trazabilidad de los hechos y no de los detalles biográficos acumulados.

Una cronología incompleta debe declarar sus lagunas. Si no se sabe si una llamada llegó a su destinatario, no corresponde escribir que fue ignorada. Pueden formularse escenarios alternativos y examinar qué cambios serían útiles en cada uno. La incertidumbre limita la fuerza con que se atribuyen causas sin impedir toda acción. Una medida que mejora la confirmación de recepción puede ser razonable aunque no se sepa en qué punto exacto se perdió el mensaje, porque protege frente a varias de las rutas compatibles con la evidencia.

463.3 Representar dependencias y barreras

El incidente puede representarse como una cadena de requisitos. Primero tiene que existir una necesidad de seguimiento con prioridad, que luego debe expresarse en una solicitud interpretable. El receptor tiene que reconocerla y asignarle capacidad, y alguien debe verificar que la atención se concreta dentro de la ventana prevista. En este contexto, una barrera es una función que impide una desviación o que la detecta y corrige sus efectos antes de un desenlace relevante. Que la barrera figure en un documento no garantiza que esa función se cumpla.

En el caso hipotético, una primera barrera comprueba que la prioridad esté codificada y una segunda revisa las solicitudes pendientes de confirmación. La primera puede fallar porque el campo admite texto libre ambiguo. La segunda puede fallar porque el listado se revisa solo al final del turno o porque nadie está designado para hacerlo. Ambas figuran en el procedimiento escrito y su desempeño depende de condiciones concretas.

Las barreras pueden ser preventivas o de recuperación. Validar el mensaje antes del envío reduce la probabilidad de que salga incompleto, mientras que auditar los pendientes permite rescatar un mensaje ya mal procesado. La utilidad de esta última depende del tiempo que quede para actuar. Detectar una desviación después de cerrada la ventana puede servir para aprender, pero no constituye recuperación de ese episodio. El modelo debe distinguir, por tanto, entre detección, intervención correctiva y prevención efectiva del desenlace.

Las dependencias incluyen también recursos compartidos. Si la misma persona realiza ambas revisiones durante un turno saturado, añadir una segunda casilla al formulario no crea una defensa independiente. Si las dos barreras descansan en el mismo sistema informático, una caída puede desactivarlas a la vez. Tratar las barreras como si cada una redujera el riesgo por un factor independiente sobrestima la protección; la estructura de dependencia pesa tanto como la sensibilidad de cada control en condiciones normales.

Un diagrama causal útil muestra qué condiciones influyen al mismo tiempo sobre distintos pasos, por ejemplo una variable de presión operativa que afecte la emisión, la detección y la recuperación. Esa variable no debe transformarse en una explicación universal bajo el nombre de «sobrecarga», y hay que definirla con indicadores observables, como el número de solicitudes simultáneas, la frecuencia de interrupciones, las horas efectivamente disponibles o la proporción de tareas pendientes al cierre del turno. Sin esa operacionalización, el diagrama solo reemplaza una atribución vaga por otra.

463.4 Un modelo de fallo compartido

Para examinar el efecto de una condición común se construirá un modelo probabilístico con dos condiciones de trabajo, habitual y tensionada. La condición tensionada se presenta en una quinta parte de los episodios, y en ella aumentan tanto la probabilidad de que la solicitud inicial salga defectuosa como la de que fallen las dos barreras. Las probabilidades son sintéticas y se eligieron con fines didácticos. Se supone además que, conocida la condición, los tres eventos son independientes. Esta simplificación es deliberada, porque permite aislar la dependencia que aparece únicamente al mezclar condiciones.

El evento adverso del modelo ocurre solo cuando hay un defecto inicial y fallan ambas barreras. La definición deja fuera muchos incidentes posibles en un sistema real y describe un recorrido particular. Con los supuestos establecidos, la probabilidad del evento se obtiene ponderando, para cada condición, el producto de las probabilidades condicionales:

En la condición habitual ese producto vale una diezmilésima y en la tensionada, 0,036. Al ponderar ambas cifras se obtiene un riesgo global de 0,00728 por episodio, es decir, 7,28 eventos esperados por cada mil episodios. Cerca del 98,9 % de ese riesgo proviene de la condición tensionada, aunque esta abarca solo uno de cada cinco episodios.

Si se ignora la condición compartida y se multiplican directamente las probabilidades marginales (0,04 para el defecto, 0,20 para el fallo de A y 0,14 para el de B), el resultado es 0,00112, lo que subestima el riesgo por un factor de 6,5. La multiplicación es correcta; lo que falla es el supuesto de independencia, que se cumple dentro de cada condición y deja de cumplirse cuando ambas se mezclan. La misma condición eleva la frecuencia del defecto y reduce la probabilidad de que las defensas lo intercepten, de modo que las barreras rinden menos en los episodios donde más falta hacen.

El efecto se aprecia también sin considerar el defecto inicial. La probabilidad conjunta de que fallen las dos barreras es 0,064, mientras que el producto de sus marginales es 0,028; la correlación entre ambos fallos resulta del orden de 0,26, aunque dentro de cada condición sea nula por construcción. Visto de forma condicional, de cada cien solicitudes defectuosas sesenta se originan en condición tensionada, y la probabilidad de que un defecto atraviese ambas barreras es 0,182, más de seis veces lo que sugeriría el producto de 0,028. Que cada barrera falle poco en promedio puede crear una impresión de redundancia que no resiste el examen de cuándo fallan juntas.

El modelo no demuestra que la sobrecarga cause un incidente concreto. Muestra qué consecuencias tendría una estructura causal hipotética con probabilidades conocidas. En datos observacionales, la condición tensionada podría ser un marcador de casos más complejos y parte del riesgo asociado podría deberse a esa complejidad. Para atribuir efectos a una intervención sobre la carga habría que separar ambas vías o diseñar una comparación capaz de identificarlas.

463.5 Comparar cambios dirigidos a mecanismos

La primera alternativa reduce la frecuencia de la condición tensionada de una quinta parte a una vigésima de los episodios y mantiene el comportamiento interno de cada condición. El riesgo calculado baja a 0,001895 por episodio. Operacionalmente, esto podría corresponder a evitar que una acumulación previsible de solicitudes coincida con los relevos, siempre que se demuestre que la tensión no se desplaza hacia otro equipo o franja horaria.

La segunda alternativa mantiene la frecuencia de tensión y mejora la barrera B, cuya probabilidad de fallo baja a 0,02 en condiciones habituales y a 0,20 en condiciones tensionadas. El riesgo global queda en 0,002912. El cambio podría representar una revisión de pendientes con responsable designado y tiempo protegido, aunque los números no dicen qué recursos exigiría.

Respecto del escenario inicial, la intervención sobre la condición evita 5,385 eventos esperados por cada mil episodios, una reducción relativa del 74 %. La mejora de B evita 4,368 por mil, un 60 % relativo. Son expectativas sintéticas y no estimaciones de efectividad clínica. Presentar la primera como superior en la práctica exigiría conocer su factibilidad, sus efectos secundarios y la precisión de los parámetros. Una alternativa menos potente en el modelo podría ser más fácil de implementar o actuar sobre más recorridos asistenciales de los aquí representados.

Resulta instructivo examinar una mejora que solo funciona en condiciones habituales. Si B se vuelve perfecta en ellas pero conserva su probabilidad de fallo durante la tensión, el riesgo pasa de 0,00728 a 0,0072, una reducción de 0,08 eventos por mil, cercana al 1 %. El resultado se explica porque el riesgo inicial está concentrado en la condición tensionada. Una intervención que luce excelente en una prueba realizada en un período tranquilo puede aportar muy poco en el escenario que genera la mayoría de los incidentes.

Antes de asignar a una barrera adicional una eficacia multiplicativa conviene examinar sus dependencias. Si utiliza el mismo campo ambiguo o la misma bandeja, puede reproducir el error que pretendía interceptar. Una defensa basada en otra fuente de información o en otra oportunidad temporal aporta más diversidad funcional, aunque sigue siendo necesario comprobar que conserva capacidad de actuar cuando la primera falla.

463.6 Código y comprobación por enumeración

El programa enumera todos los estados posibles del defecto inicial y de las dos barreras dentro de cada condición de trabajo. La enumeración ofrece una vía independiente de la fórmula para verificar el cálculo. El código comprueba que la probabilidad total sume uno, que el riesgo enumerado coincida con la expresión analítica y que la multiplicación de marginales produzca la subestimación descrita. Para un espacio de estados tan pequeño no se necesita simulación aleatoria, y el cálculo exacto evita el error de Monte Carlo.

El programa admite además un parámetro, rho, que introduce una correlación residual entre los fallos de A y B dentro de cada condición. Con rho = 0 reproduce exactamente el modelo de la sección 463.4. Con valores positivos permite estudiar qué ocurre si la clasificación en dos condiciones no captura toda la variación compartida. La función rechaza valores de rho incompatibles con las probabilidades marginales, porque no todo par de marginales admite cualquier correlación.

from itertools import product
import math

# Parámetros sintéticos: (probabilidad de la condición, defecto, fallo A, fallo B)
BASE = {"habitual": (0.80, 0.02, 0.10, 0.05),
        "tensionada": (0.20, 0.12, 0.60, 0.50)}

def joint_ab(pa, pb, rho):
    """P(F_A y F_B | z) con correlación residual rho dentro de la condición."""
    pab = pa*pb + rho*math.sqrt(pa*(1-pa)*pb*(1-pb))
    lo, hi = max(0.0, pa+pb-1), min(pa, pb)
    if not lo - 1e-12 <= pab <= hi + 1e-12:
        raise ValueError("rho fuera del rango admisible para estas marginales")
    return pab

def exact_risk(p_stress=0.20, b_normal=0.05, b_stress=0.50, rho=0.0):
    rows = [(1-p_stress, 0.02, 0.10, b_normal),
            (p_stress, 0.12, 0.60, b_stress)]
    total = risk = 0.0
    for weight, pd, pa, pb in rows:
        pab = joint_ab(pa, pb, rho)
        # distribución conjunta de (F_A, F_B) dentro de la condición
        cell = {(1, 1): pab, (1, 0): pa-pab, (0, 1): pb-pab,
                (0, 0): 1-pa-pb+pab}
        for d, a, b in product([0, 1], repeat=3):
            probability = weight * (pd if d else 1-pd) * cell[(a, b)]
            total += probability
            if d and a and b:
                risk += probability
    assert math.isclose(total, 1.0)
    analytic = sum(w*pd*joint_ab(pa, pb, rho) for w, pd, pa, pb in rows)
    assert math.isclose(risk, analytic)
    return risk

def mix(index, p_stress=0.20):
    return (1-p_stress)*BASE["habitual"][index] + p_stress*BASE["tensionada"][index]

base = exact_risk()
less_stress = exact_risk(p_stress=0.05)
better_b = exact_risk(b_normal=0.02, b_stress=0.20)
normal_only = exact_risk(b_normal=0.0)
marginal = mix(1)*mix(2)*mix(3)
joint_barriers = 0.8*0.10*0.05 + 0.2*0.60*0.50
product_barriers = mix(2)*mix(3)

assert math.isclose(base, 0.00728)
assert math.isclose(less_stress, 0.001895)
assert math.isclose(better_b, 0.002912)
assert math.isclose(normal_only, 0.0072)
assert math.isclose(base/marginal, 6.5)
assert math.isclose(joint_barriers, 0.064) and math.isclose(product_barriers, 0.028)
assert math.isclose(0.2*0.12*0.60*0.50/base, 0.989010989, rel_tol=1e-6)

print("riesgos por episodio:", base, less_stress, better_b, normal_only)
print("producto de marginales (incorrecto):", round(marginal, 6),
      "razón:", round(base/marginal, 3))
print("fallo conjunto de barreras:", joint_barriers, "producto:", round(product_barriers, 6))
print("eventos evitados por 1000:", round(1000*(base-less_stress), 3),
      round(1000*(base-better_b), 3))
print("reducción relativa:", round(1-less_stress/base, 3), round(1-better_b/base, 3))
for rho in (0.0, 0.1, 0.3):
    print("rho residual", rho, "riesgo", round(exact_risk(rho=rho), 6))

Al ejecutarlo se obtienen los valores citados en las secciones anteriores. La última línea muestra la sensibilidad a la correlación residual. Con rho = 0,1 el riesgo sube de 7,28 a 7,97 eventos por mil, y con rho = 0,3 alcanza 9,36 por mil. Una dependencia moderada que el modelo de dos condiciones no recoge basta para elevar el riesgo estimado en cerca de un tercio.

Estimar estas probabilidades con datos reales exige denominadores adecuados. Para el fallo de una barrera hay que saber cuántas oportunidades tuvo de actuar y qué se considera detección suficiente, y contar solo los incidentes notificados deja fuera los episodios sin daño y las omisiones recuperadas a tiempo. La independencia condicional, por su parte, solo puede contrastarse en parte y con datos abundantes. Reducir la presión operativa a dos categorías puede dejar variación compartida sin capturar, y el parámetro rho permite examinar esa posibilidad en vez de suponer que una variable contextual elimina toda la dependencia.

463.7 Detección, recuperación y tiempo disponible

Un análisis de seguridad debe incorporar el intervalo entre el fallo y su consecuencia. Una solicitud mal clasificada puede recuperarse si alguien revisa los pendientes antes del límite asistencial, y la probabilidad de recuperación depende de la frecuencia de revisión y de la capacidad disponible para actuar. Detectar un problema cuando ya no queda tiempo ni recurso para corregirlo mejora el registro, pero bajo la definición adoptada no reduce el riesgo del episodio.

Supóngase que la necesidad de recuperación aparece en un instante uniformemente distribuido entre dos revisiones periódicas separadas por un intervalo $T$. El tiempo hasta la siguiente revisión sigue entonces una distribución uniforme entre cero y $T$. Si la ventana de recuperación dura $w$ horas y la acción correctiva es inmediata, la probabilidad de detectar a tiempo es

Con revisiones cada ocho horas y una ventana de cuatro, esa probabilidad es un medio, incluso con una revisión perfectamente sensible. Revisar cada dos horas la llevaría a uno. Si la ventana fuera de dos horas y las revisiones siguieran siendo cada ocho, caería a un cuarto.

El supuesto de recuperación inmediata casi nunca se cumple. Después de detectar el problema puede hacer falta conseguir un cupo, localizar a una persona o confirmar información, y esos retrasos reducen la ventana efectiva $w$ de la fórmula. Una revisión más frecuente puede multiplicar las alertas sin resolver la restricción de capacidad que impide actuar. El análisis debe medir desde el inicio de la desviación hasta la acción efectiva y distinguir los tramos que controla cada equipo de los que dependen de otros servicios.

Una barrera temporal también puede fallar por calendario. Un procedimiento que funciona en días hábiles puede dejar intervalos largos durante fines de semana, feriados o ausencias, estructura que su frecuencia media anual oculta. La exposición relevante es el intervalo máximo o la distribución completa de tiempos hasta la respuesta, según lo que exija la función asistencial.

La recuperación tiene costos, porque cada alerta interrumpe otra tarea. Si muchas alertas resultan poco pertinentes, el equipo aprende a posponerlas, fenómeno que la literatura sobre monitorización clínica ha descrito como fatiga de alarmas (Sendelbach y Funk, 2013). Hacerlas más insistentes no corrige el problema. Puede ser necesario mejorar su especificidad, asignar prioridades y asegurar que cada categoría de alerta tenga asociada una acción factible.

463.8 Causalidad y responsabilidad

Comprender las condiciones en que se produjo un error no determina por sí solo la responsabilidad profesional, administrativa o jurídica. Esas evaluaciones se rigen por normas, obligaciones y procedimientos que ninguna red probabilística contiene. El análisis causal pregunta qué factores contribuyeron y qué cambios podrían reducir la recurrencia. La atribución de responsabilidad añade otras preguntas sobre los deberes existentes, las posibilidades razonables de acción y las garantías con que deben examinarse las conductas.

Confundir ambas preguntas perjudica el aprendizaje. Si cada entrevista se percibe como búsqueda de culpables, las personas tienden a callar las adaptaciones que realizan habitualmente. Reason (2000) vinculó la cultura de notificación con la confianza, y esta con una cultura justa, entendida como un acuerdo colectivo sobre dónde se traza la línea entre las acciones censurables y las que no lo son. A la inversa, si el análisis organizacional se presenta como exoneración automática de cualquier conducta, pierde credibilidad y puede pasar por alto actuaciones relevantes. Peerally, Carr, Waring y Dixon-Woods (2017) incluyeron esta confusión sobre la culpa entre los ocho problemas que identificaron en el uso del análisis de causa raíz en sanidad. La investigación debe explicar su finalidad, el uso que se dará a los datos y qué procedimientos separados existen para las cuestiones que exceden el examen de mecanismos.

El error individual tampoco funciona como explicación autosuficiente. Decir que alguien se distrajo describe un hecho próximo al evento y deja abiertas las preguntas sobre interrupciones, diseño de la interfaz y tareas concurrentes, mientras que atribuirlo todo a «la cultura» resulta igual de impreciso.

El razonamiento contrafactual debe formularse en términos concretos. ¿Habría ocurrido el incidente si el mensaje hubiera incluido un campo validado, con la misma carga de trabajo? ¿Y si hubiera existido confirmación obligatoria del receptor, o si la solicitud hubiera llegado en otro turno? Algunas de estas preguntas pueden contrastarse con registros o experimentos de proceso; otras quedarán abiertas. No todas las condiciones presentes son causas necesarias, y un cambio que habría evitado el incidente reconstruido puede ser inviable o crear problemas en otras situaciones.

La responsabilidad de mejorar debe recaer en quien tiene autoridad y recursos para hacerlo. Un informe que recomienda «mayor atención» a todo el personal no ofrece ningún mecanismo verificable. Peerally y colaboradores (2017) describieron la tendencia a cerrar las investigaciones con controles administrativos débiles, como los recordatorios, y señalaron el problema de las muchas manos, en que numerosas personas y organizaciones contribuyen a un riesgo sin que ninguna tenga atribuciones claras para corregirlo. Una propuesta que modifica un campo del formulario, establece la recepción confirmada y define quién resuelve las solicitudes sin cupo permite observar su cumplimiento y su efecto. Hacer explícito quién debe implementar, mantener y revisar cada cambio no requiere anticipar ninguna culpabilidad individual.

463.9 Aprender de casi incidentes y de actividad habitual

Los casi incidentes permiten observar desviaciones que se recuperaron antes de causar daño. Su valor está en mostrar qué barrera funcionó y en qué condiciones, además de dejar constancia del defecto inicial. Si una enfermera detecta una solicitud duplicada durante una revisión informal, el episodio documenta una capacidad de recuperación y, posiblemente, una dependencia frágil del conocimiento personal de esa trabajadora. Convertir esa reparación en procedimiento exige comprobar si otras personas pueden realizarla con la información de que disponen.

Los sistemas de notificación no ofrecen una muestra aleatoria de los fallos. Se notifican más los eventos llamativos, los que el personal considera legítimo comunicar y los que ocurren en equipos con mayor confianza interna. El subregistro puede ser considerable. En una revisión sistemática de catorce estudios hospitalarios que compararon la revisión de historias con la herramienta Global Trigger Tool y los sistemas de notificación de los mismos centros, Hibbert y colaboradores (2023) encontraron que, en promedio, solo el 7 % de los eventos adversos identificados en las historias figuraba también en las notificaciones, con una mediana de 3,9 %. Los autores desaconsejaron usar la tasa notificada como indicador del nivel de seguridad de un hospital y reconocieron a la notificación su utilidad para detectar eventos raros, graves o nuevos y analizar factores contextuales. Por eso, comparar tasas sin considerar los cambios en la observación puede llevar a interpretar como deterioro una mejora en la transparencia o a celebrar una caída que solo refleja menor notificación.

Una estrategia complementaria consiste en revisar muestras de episodios con criterios constantes, buscando solicitudes sin confirmación, intervalos excesivos o discrepancias entre la prioridad emitida y la registrada. Estos indicadores de proceso no sustituyen a los resultados clínicos, pero aportan denominadores, mientras que el relato de incidentes aporta reconstrucciones detalladas que revelan dependencias.

Las adaptaciones que funcionan en condiciones difíciles también merecen estudio. Reason (2000) recogió de la investigación sobre organizaciones de alta fiabilidad la idea de que la variabilidad humana, en forma de compensaciones y ajustes a los cambios, es una de las salvaguardas principales de un sistema. Braithwaite, Wears y Hollnagel (2015) propusieron orientar la gestión de la seguridad hacia el estudio de cómo el desempeño cotidiano suele salir bien, además de buscar y corregir lo que falla. Un equipo puede redistribuir tareas cuando aumenta la demanda y mantener así la continuidad asistencial. Esa capacidad tiene límites. Si depende de prolongar jornadas o suprimir descansos, el desempeño inmediato se sostiene a costa de un deterioro posterior, y la evaluación debe registrar los recursos consumidos y la recuperación del equipo antes de llamar resiliencia a una compensación transitoria.

La selección de cambios debe considerar la recurrencia potencial y la gravedad, además de la visibilidad del incidente, porque un evento raro y llamativo puede acaparar la atención mientras fallos cotidianos generan una carga acumulada mayor. Cuando la información es insuficiente, puede ser razonable empezar por mejorar la detección antes de emprender una reorganización costosa.

463.10 Evaluar si una barrera mejoró

La evaluación empieza por definir operacionalmente la función que se espera de la barrera. En una confirmación de recepción, el resultado pertinente podría ser que el equipo responsable haya aceptado la solicitud y fijado la acción siguiente antes de un plazo determinado. Marcar un mensaje como leído es un indicador débil si no implica responsabilidad ni capacidad de respuesta. La medida debe aproximarse al mecanismo que se quiere fortalecer antes que a la actividad más fácil de contar.

Un diseño antes y después puede detectar cambios, pero queda expuesto a variaciones simultáneas de la demanda, del personal y de las prácticas de registro. Si la implementación sigue a un período excepcionalmente malo, parte de la mejoría puede deberse al regreso a las condiciones habituales, un caso de regresión a la media. Cuando es viable, la comparación con otros servicios o períodos pertinentes ayuda a interpretar el resultado. Conviene verificar también si cambian los mediadores previstos, es decir, la recepción, la asignación y la recuperación dentro de la ventana, porque una mejora del resultado sin cambio en el mecanismo sugiere otra explicación.

Los resultados deben examinarse en condiciones de tensión, ya que el modelo de la sección 463.4 mostró que allí se concentra la mayor parte del riesgo. Una barrera evaluada solo en períodos tranquilos puede parecer eficaz y fallar en una contingencia. Las pruebas de proceso pueden usar solicitudes sintéticas o ejercicios autorizados, con resultados separados de las mediciones de desempeño clínico.

La fidelidad de la implementación debe observarse sin suponer que toda desviación del protocolo es perjudicial. Una adaptación local puede preservar la función mediante otro procedimiento, y un cumplimiento literal puede producir confirmaciones vacías. Registrar qué se hizo, por qué y con qué consecuencias permite distinguir la forma de la función. La evaluación debe dejar abierta la posibilidad de que la intervención esté mal diseñada aunque se haya ejecutado conforme al plan.

Las barreras pierden eficacia cuando cambian los sistemas, los equipos o la demanda, y un mecanismo que fue útil puede dejar de detectar formas de fallo nuevas. Su mantenimiento requiere responsables designados, revisión de los incidentes en que intervino y pruebas periódicas proporcionales al riesgo.

463.11 Resolver el incidente hipotético

La reconstrucción del caso inicial debe cerrar con una explicación que conserve las alternativas plausibles. La prioridad se perdió entre la emisión y la clasificación, y la falta de confirmación impidió que el emisor advirtiera la desviación. La revisión de pendientes no actuó dentro de la ventana prevista. El relato apunta a una combinación de ambigüedad en la información y ausencia de recuperación oportuna. La contribución exacta de la carga de trabajo solo podrá estimarse con datos adicionales sobre el turno y sobre episodios comparables.

Las medidas propuestas pueden dirigirse a esa combinación: hacer verificable la prioridad, exigir aceptación explícita por un responsable y crear una ruta de resolución para cuando no haya capacidad disponible. Cada medida necesita una prueba de funcionamiento y un seguimiento de sus consecuencias. Si la aceptación se retrasa porque el receptor está saturado, mejorar el formulario no resolverá el problema de acceso. Si hay capacidad pero la información se pierde, ampliar los cupos puede dejar intacto el mecanismo que produjo el incidente.

El modelo de probabilidades compartidas explica por qué dos controles expuestos a las mismas condiciones protegen menos de lo que sugiere su desempeño promedio. Trasladar el análisis a un servicio real exigiría estimar los parámetros y la dependencia entre barreras, y las cifras del ejemplo no deben presentarse como tasas institucionales.

El producto de este trabajo es una cadena de decisiones, restricciones y barreras vinculada con evidencia concreta, que permita a otra persona identificar qué ocurrió, qué se infiere y qué falta observar. La atribución de responsabilidades sigue su propio cauce, y las acciones de mejora se asignan a quienes pueden ejecutarlas.

463.12 Cuando una alarma precisa todavía genera mucho trabajo

La frecuencia del defecto inicial condiciona la carga que impone una barrera. Supóngase un conjunto de diez mil solicitudes, de las cuales cien contienen un defecto relevante. Una alarma con sensibilidad de 0,90 detecta noventa de esos defectos. Si además señala por error una de cada cien solicitudes correctas, lo que equivale a una especificidad de 0,99, genera noventa y nueve avisos falsos entre las 9.900 restantes. De los 189 avisos emitidos solo 90 corresponden a un defecto, con un valor predictivo positivo cercano a 0,48. Pese a la especificidad alta, la baja frecuencia del problema produce un volumen considerable de falsas alarmas. En términos generales, con prevalencia $\pi$, sensibilidad $s$ y especificidad $e$,

El cálculo no invalida la alarma, pero permite dimensionar la revisión que requiere. Si revisar cada aviso toma cinco minutos, los avisos falsos consumen 495 minutos, algo más de ocho horas de trabajo en esa cohorte. Ese tiempo tiene que estar disponible, y de lo contrario una barrera añadida al procedimiento puede crear una cola de revisión que retrase precisamente los avisos relevantes.

Calibrar el umbral exige conocer las consecuencias de cada tipo de error y la capacidad de respuesta del servicio. Un umbral más sensible detecta más defectos a costa de más avisos falsos; uno más específico reduce el trabajo y deja escapar más problemas. La elección requiere un criterio asistencial además del indicador estadístico, y debe revisarse cuando cambia la frecuencia del defecto, porque el valor predictivo varía aunque la sensibilidad y la especificidad permanezcan constantes. Si la prevalencia del ejemplo bajara a la mitad, el valor predictivo positivo descendería a alrededor de 0,31, y dos de cada tres avisos serían falsos.

Una evaluación completa registra los avisos emitidos, los defectos confirmados, el tiempo hasta la revisión y las acciones ejecutadas, lo que permite saber si la alarma funciona como barrera o si solo produce mensajes. En monitorización clínica, la revisión de Sendelbach y Funk (2013) recoge estudios en que la gran mayoría de las alarmas resultaron falsas y describe cómo la sobreexposición conduce a desensibilización y a alarmas no atendidas. Ese contexto difiere del administrativo que aquí se analiza, aunque el mecanismo es comparable. Cuando un sistema genera más avisos de los que el equipo puede revisar, la mejora puede consistir en reorganizar la respuesta o en reducir los defectos en su origen antes que en intensificar las notificaciones.

Referencias

Braithwaite, J., Wears, R. L., y Hollnagel, E. (2015). Resilient health care: turning patient safety on its head. International Journal for Quality in Health Care, 27(5), 418–420. https://doi.org/10.1093/intqhc/mzv063

Caplan, R. A., Posner, K. L., y Cheney, F. W. (1991). Effect of outcome on physician judgments of appropriateness of care. JAMA, 265(15), 1957–1960. https://doi.org/10.1001/jama.1991.03460150061024

Fischhoff, B. (1975). Hindsight is not equal to foresight: The effect of outcome knowledge on judgment under uncertainty. Journal of Experimental Psychology: Human Perception and Performance, 1(3), 288–299. https://doi.org/10.1037/0096-1523.1.3.288

Henriksen, K., y Kaplan, H. (2003). Hindsight bias, outcome knowledge and adaptive learning. Quality and Safety in Health Care, 12(Suppl. 2), ii46–ii50. https://doi.org/10.1136/qhc.12.suppl_2.ii46

Hibbert, P. D., Molloy, C. J., Schultz, T. J., Carson-Stevens, A., y Braithwaite, J. (2023). Comparing rates of adverse events detected in incident reporting and the Global Trigger Tool: a systematic review. International Journal for Quality in Health Care, 35(3), mzad056. https://doi.org/10.1093/intqhc/mzad056

Peerally, M. F., Carr, S., Waring, J., y Dixon-Woods, M. (2017). The problem with root cause analysis. BMJ Quality & Safety, 26(5), 417–422. https://doi.org/10.1136/bmjqs-2016-005511

Reason, J. (2000). Human error: models and management. BMJ, 320(7237), 768–770. https://doi.org/10.1136/bmj.320.7237.768

Sendelbach, S., y Funk, M. (2013). Alarm fatigue: a patient safety concern. AACN Advanced Critical Care, 24(4), 378–386. https://doi.org/10.1097/NCI.0b013e3182a903f9

Taylor-Adams, S., y Vincent, C. (2004). Systems analysis of clinical incidents: the London protocol. Clinical Risk, 10(6), 211–220. https://doi.org/10.1258/1356262042368255

Vincent, C., Taylor-Adams, S., y Stanhope, N. (1998). Framework for analysing risk and safety in clinical medicine. BMJ, 316(7138), 1154–1157. https://doi.org/10.1136/bmj.316.7138.1154