Métodos de análisis de riesgos: HAZID vs HAZOP, What-If, AMFE, árbol de fallos, bow-tie, LOPA y matriz

Por Sabrina Muñoz · actualizado el 13 de noviembre de 2026

Curso relacionado: Análisis de riesgos: HAZOP y árbol de fallos.

No hay un método de análisis de riesgos mejor que los demás: cada uno contesta una pregunta distinta. El HAZID dice qué peligros tiene una instalación entera, el HAZOP cómo se puede desviar un proceso, el AMFE cómo falla cada equipo, el árbol de fallos qué combinación de fallos lleva a un accidente, el bow-tie qué barreras tienes, LOPA si bastan y la matriz por dónde empezar. Abajo tienes la tabla para elegir y cinco decisiones resueltas en plantas de ejemplo.

Primero la pregunta, después la técnica

El error que más veo es elegir la técnica antes que la pregunta. «Hagamos un bow-tie de toda la planta, que queda muy visual» acaba en un dibujo enorme que nadie mira. «Con la matriz de siempre nos vale» acaba decidiendo con un color si hace falta un corte automático nuevo. Y el contrario: un LOPA de todos los escenarios, incluidos los leves, porque parece lo más serio.

La forma buena es al revés: escribes en una frase la decisión que tienes que tomar y buscas la técnica que la contesta. La técnica es la consecuencia, no el punto de partida.

Tabla: cuándo usar cada método

Esta tabla es mi síntesis para riesgo industrial y de proceso (no para prevención laboral). El esfuerzo es relativo, para comparar filas.

Método	Pregunta que contesta	Cuándo encaja	Qué necesitas	Qué obtienes	Esfuerzo
What-If (¿qué pasa si…?) y SWIFT	¿Qué puede ir mal en esta operación o con este cambio?	Operaciones manuales, instalaciones sencillas, modificaciones pequeñas	El procedimiento y un grupo pequeño con experiencia	Tabla de preguntas, consecuencias, salvaguardas y recomendaciones	Bajo o medio
HAZID	¿Qué peligros tiene esta instalación entera?	Anteproyecto, o revisión general de una planta en marcha	Plano de implantación, descripción y lista de tipos de peligro	Registro de peligros por zonas, con primera valoración	Bajo o medio
HAZOP	¿Cómo puede desviarse este proceso de lo que debe hacer?	Diseño casi cerrado, modificaciones de proceso, revisiones periódicas	Diagramas de tuberías e instrumentos al día y equipo de varias disciplinas	Hoja de trabajo con causas, consecuencias, salvaguardas y recomendaciones	Alto
AMFE (AMEF, FMEA)	¿De cuántas maneras puede fallar este equipo o este paso?	Equipos con muchos componentes, procesos de fabricación y montaje	Lista de componentes o pasos y quien los conozca	Tabla de modos de fallo con prioridades y acciones	Medio
Árbol de fallos (fallas)	¿Qué combinación de fallos lleva a este suceso y con qué frecuencia?	Un suceso grave con varias causas que se combinan	Suceso tope, lógica del sistema y datos de fallo	Conjuntos mínimos de corte y una frecuencia	Medio o alto, en un solo suceso
Bow-tie (pajarita)	¿Qué barreras tengo frente a este suceso y en qué estado están?	Explicar y gestionar barreras de los escenarios graves	Peligro y suceso tope ya identificados	Un dibujo de una hoja y un registro de barreras con dueño	Medio
LOPA	¿Son suficientes mis protecciones?	Escenarios graves que salen del HAZOP, AMFE o What-If	Un escenario con una causa y una consecuencia, valores con su fuente y un criterio de riesgo	Un número que se compara con el criterio	Medio, escenario a escenario
Matriz de riesgos	¿Por qué escenario empiezo?	Dentro de cualquiera de las anteriores, para ordenar	Escalas bien definidas y escenarios salidos de otra técnica	Un orden de prioridad	Bajo

Verás tres escalones. Arriba, las técnicas anchas y ligeras (What-If, HAZID). En medio, las sistemáticas (HAZOP, AMFE), que recorren todo el proceso o todo el equipo fila a fila. Abajo, las de un solo escenario (árbol de fallos, bow-tie, LOPA): muy hondas, pero en un punto, y reservadas para lo que las de arriba señalan como grave. La matriz no es un escalón: acompaña a todas.

HAZID vs HAZOP

Es la comparación que más se busca, y la respuesta corta es que no compiten: van en orden.

El HAZID mira el mapa entero. Se hace pronto, cuando solo hay un plano de implantación y una lista de sustancias. La instalación se parte en pocas zonas grandes y en cada una se repasa una lista de tipos de peligro: incendio, explosión, fuga tóxica, sucesos externos (inundación, rayo, un camión que choca), pérdida de servicios, trabajos simultáneos. Sale un registro de peligros que dice qué merece un estudio más fino.
El HAZOP recorre las calles. Necesita el diseño casi cerrado, con los diagramas de tuberías e instrumentos firmes. Divide el proceso en nodos y combina parámetros (caudal, presión, temperatura) con palabras guía (no, más, menos, contrario, antes…) para encontrar desviaciones.

El HAZID ve lo que ningún HAZOP verá (un incendio de pasto que llega a la planta, una nave vecina demasiado cerca) y el HAZOP, lo que ningún HAZID verá (con la bomba parada, el producto caliente vuelve al depósito). Sin HAZID previo, puedes pasar semanas estudiando de maravilla el sistema equivocado.

El HAZID no tiene norma propia; el HAZOP sí, la IEC 61882 (UNE-EN 61882 en España).

HAZOP vs AMFE (AMEF, FMEA)

Se parecen en la forma (una tabla, un orden fijo, acciones con responsable), pero empiezan por sitios distintos. El AMFE empieza en una pieza: esta bomba, cómo puede fallar, qué pasa después. El HAZOP empieza en mitad de la cadena, en una desviación (más caudal en esta línea), y mira hacia atrás a todas sus causas y hacia delante a sus consecuencias. Por eso en un HAZOP caben causas que no son averías: una consigna mal puesta, un producto equivocado, un paso fuera de orden.

Regla práctica: si te preocupa un proceso (fluidos, energía, personas operando), HAZOP. Si te preocupa un equipo con muchos componentes, o un proceso de fabricación y montaje, AMFE. Y cuando el HAZOP señala un equipo crítico (esta desviación solo la para ese enclavamiento), el AMFE de ese equipo dice cómo puede fallar y cómo cuidarlo.

LOPA vs matriz de riesgos

La matriz pone dos juicios (cada cuánto y cómo de grave) en una casilla de color: sirve para ordenar ochenta escenarios. LOPA toma un solo escenario y hace una cuenta con órdenes de magnitud: frecuencia de la causa por la probabilidad de fallo de cada capa independiente, frente al criterio de la empresa.

La matriz te dice «este escenario es alto». LOPA te dice «te falta un factor diez de reducción de riesgo». Cuando la pregunta es si hace falta otro enclavamiento, que cuesta dinero, la matriz no basta.

Árbol de fallos vs bow-tie

El árbol de fallos parte de un suceso (el tanque rebosa) y baja, con puertas Y y O, hasta las combinaciones de fallos que lo producen: ve fallos simultáneos y causas comunes, y pone números. El bow-tie pone ese suceso en el centro de una pajarita, con amenazas y barreras a la izquierda y consecuencias a la derecha. No calcula: comunica y ayuda a gestionar cada barrera con su dueño.

Si necesitas un número, árbol. Si necesitas que dirección o mantenimiento entiendan de qué depende que no haya un accidente, bow-tie.

Lo que dice la ISO 31010 (IEC 31010)

La referencia internacional es la IEC 31010:2019, Risk management. Risk assessment techniques, de doble logotipo ISO/IEC: por eso mucha gente la busca como ISO 31010. Es la compañera de la ISO 31000 (los pasos de la gestión del riesgo) y es de pago, así que te la resumo con mis palabras.

Lo más útil es cómo ordena las técnicas: por lo que hacen. En su anexo describe más de cuarenta, agrupadas en familias. HAZOP, AMFE y el What-If estructurado (SWIFT) están entre las de identificar riesgos. Bow-tie y LOPA, entre las que analizan los controles. Los árboles de fallos y de sucesos, entre las que estudian consecuencias y probabilidad. La sorpresa: la matriz no está entre las de análisis, sino en la de registrar e informar. Si la matriz es lo único que hay en tu estudio, falta el estudio.

El HAZID no aparece con ese nombre, y bow-tie y LOPA no tienen norma propia. Y es una guía: no obliga a usar ninguna técnica, así que nadie puede «cumplirla» como un requisito.

Ejemplo resuelto: cinco situaciones, cinco decisiones

Instalaciones ficticias de formación: una fábrica de resinas con un reactor por lotes (la reacción desprende calor, con alarma, corte automático y disco de ruptura) y una terminal de combustible con tanques de gasolina y una descarga de camiones de etanol.

Situación	Pregunta real	Decisión	Por qué
1. En la terminal quieren cambiar la bomba de descarga de etanol por otra de más caudal	¿Qué cambia en esta operación?	Revisar el What-If de la descarga con la bomba nueva delante	Cambio pequeño en una operación sencilla. Con más caudal hay menos tiempo para reaccionar a la alarma de nivel
2. Dirección pregunta si hace falta un segundo interruptor de nivel muy alto en el tanque de gasolina	¿Bastan las protecciones?	LOPA del sobrellenado, con un árbol de fallos pequeño si hay dependencias	La matriz diría «alto» pero no cuánto falta. Un segundo interruptor igual al primero, probado igual, puede fallar por la misma causa
3. En la fábrica de resinas proyectan una nave nueva; solo hay un plano de implantación	¿Qué peligros tiene?	HAZID ahora; HAZOP cuando haya diagramas de detalle	Un HAZOP necesita el diseño casi cerrado; hoy, mover un depósito cuesta una línea en un plano
4. La bomba de agua de refrigeración del reactor se ha parado tres veces este año	¿Por qué falla? ¿Y sigue siendo válido el estudio?	AMFE de la bomba para mantenimiento; revisar el LOPA del reactor	Si el estudio suponía un paro cada diez años, tres en un año lo desmienten: cuando la planta contradice al estudio, manda la planta
5. El comité de dirección de la terminal tiene un cuarto de hora para la seguridad del tanque	¿De qué depende que no haya un accidente grave?	Bow-tie de una hoja, dibujado con lo que ya dicen el HAZOP y el LOPA	Aquí la técnica se elige para comunicar, no para analizar. Cada barrera, con su estado

El patrón: cambio pequeño en una operación sencilla, What-If. Anteproyecto, HAZID antes que HAZOP. Saber si las protecciones bastan, LOPA. Avería repetida, AMFE y revisión de los supuestos. Explicar barreras, bow-tie. Siempre lo más sencillo que conteste la pregunta, y dos líneas escritas explicando por qué.

Cinco criterios para elegir

Fase e información. Una técnica no puede pedir más información de la que existe: si para aplicarla hay que inventarse datos, no es su momento.
Complejidad. Cuantas más interacciones entre equipos, productos y personas, más falta hace un método sistemático.
Gravedad posible. Si lo peor es un lote perdido, basta una técnica ligera. Si puede haber muertes o daños fuera de la planta, toca preguntarse con números si las protecciones bastan.
Tiempo y gente. Un HAZOP a medias vale menos que un What-If bien hecho. Pero los recursos deciden cómo se organiza el estudio, no rebajan lo que la gravedad exige.
Quién lo pide. La norma estadounidense de seguridad de procesos (OSHA 29 CFR 1910.119) pide un análisis adecuado a la complejidad y deja elegir entre varios métodos. En España, para los establecimientos Seveso, la Directriz básica de 2026 pide describir y justificar la metodología usada.

Encadenarlas a lo largo de un proyecto

Ninguna técnica recorre el proyecto entero. Lo habitual es un relevo: el HAZID entrega peligros y zonas críticas; el HAZOP los convierte en escenarios con causa, consecuencia y salvaguardas; LOPA toma los graves y dice cuánta reducción de riesgo falta; el árbol de fallos entra cuando las causas se combinan; el bow-tie reúne las barreras para quien las mantiene; y la matriz ordena todo con la misma vara. En operación, cada cambio pasa por un What-If o por un HAZOP de los nodos afectados.

Para que el relevo funcione, los estudios tienen que hablar el mismo idioma: las mismas etiquetas de equipos, la misma matriz y cada recomendación con su número de origen. Y deja escrito en dos líneas por qué elegiste cada técnica: adecuado no significa lo máximo ni lo de siempre, significa que puedes explicar por qué esa y no otra.

Preguntas frecuentes

¿Qué diferencia hay entre HAZID y HAZOP?

El HAZID mira la instalación entera por zonas, pronto, con una lista de tipos de peligro, y dice dónde hay que mirar más a fondo. El HAZOP recorre el proceso línea a línea con palabras guía cuando el diseño está casi cerrado. Primero se hace el HAZID y después el HAZOP.

¿Qué es mejor, HAZOP o AMFE?

Ninguno es mejor: contestan preguntas distintas. El HAZOP parte de desviaciones del proceso (más caudal, menos presión) y el AMFE de los modos de fallo de cada componente. Cuando un equipo es crítico para el proceso, se usan los dos encadenados.

¿Qué diferencia hay entre HAZOP y LOPA?

El HAZOP encuentra los escenarios y anota las salvaguardas. LOPA toma un escenario grave del HAZOP y calcula, con órdenes de magnitud, si esas protecciones bastan frente al criterio de riesgo de la empresa.

¿Qué dice la ISO 31010 sobre los métodos de análisis de riesgos?

La norma, hoy IEC 31010:2019 (conjunta con ISO), describe más de cuarenta técnicas agrupadas por lo que hacen: identificar, analizar controles, estimar consecuencias y probabilidad, registrar e informar. Es una guía: no obliga a usar ninguna.

¿Cuál es el método de análisis de riesgos más usado en la industria de proceso?

El HAZOP es la referencia para procesos con fluidos y el diseño casi cerrado. Pero casi nunca va solo: lo normal es encadenarlo con un HAZID previo y con LOPA, árboles o bow-tie para los escenarios más graves.