Análisis What-If («¿Qué pasaría si…?»): cómo se hace, cómo se combina con listas de comprobación y ejemplo resuelto
Por Sabrina Muñoz · actualizado el 13 de noviembre de 2026
Curso relacionado: Análisis de riesgos: HAZOP y árbol de fallos.
El análisis What-If es una técnica para identificar peligros en la que un equipo que conoce la instalación se hace preguntas del tipo «¿qué pasaría si…?» y, para cada una, anota la consecuencia, las salvaguardas que ya existen y la recomendación si no bastan. Es rápido y fácil de aprender, pero depende de la experiencia de quien pregunta, así que casi siempre se combina con una lista de comprobación. Abajo tienes el método y un ejemplo resuelto: la descarga de un camión cisterna de etanol.
Qué es el What-If
«¿Y qué pasa si se va la luz?» «¿Y si alguien abre esa válvula?» Cualquier persona con experiencia en planta se hace estas preguntas al mirar una instalación. El What-If consiste en hacer lo mismo, pero en grupo, con orden y dejándolo escrito.
No hay palabras guía fijas ni formularios complicados, y por eso se aprende en una tarde. Tampoco es un método de andar por casa: la norma estadounidense de gestión de la seguridad de procesos, OSHA 29 CFR 1910.119, lo admite expresamente para el análisis de peligros de un proceso, junto con las listas de comprobación, su combinación (What-If/Checklist), el HAZOP, el AMFE (AMEF, FMEA) y el árbol de fallos. Y la IEC 31010, la norma de técnicas de evaluación del riesgo, recoge su versión estructurada (SWIFT) entre las técnicas para identificar riesgos.
Cómo se hace un What-If en cinco pasos
- Acotar y preparar. Alcance escrito (de dónde a dónde), el diagrama comprobado en campo, el procedimiento y las fichas de datos de seguridad de las sustancias.
- Escribir los pasos de la operación, o partir la instalación en sistemas con sentido (carga, reacción, descarga).
- Preguntar sin contestar. Primero se generan todas las preguntas que salgan, a la vista de todos. Si alguien empieza a responder, quien dirige lo para: ahora solo preguntas. En cuanto el grupo discute una respuesta, deja de imaginar.
- Repasar con una lista para encontrar lo que falta (lo vemos abajo).
- Contestar una a una en la tabla y valorar el riesgo, sin salvaguardas y con ellas.
Preguntas bien hechas y mal hechas
Lo que hace bueno un What-If es la pregunta que a nadie se le había ocurrido. Y lo que lo estropea son cuatro tipos de pregunta que salen siempre:
- Demasiado grande: «¿Qué pasa si hay un accidente?» No se puede contestar.
- Sin sitio ni momento: «¿Qué pasa si el operador se equivoca?» ¿En qué paso, haciendo qué?
- Tres fallos a la vez: «¿Y si fallan la bomba, la alarma y el corte juntos?» Las combinaciones se estudian con un árbol de fallos, no aquí.
- Una solución disfrazada: «¿No habría que poner otra alarma?» Todavía no sabemos cuál es el problema.
Una buena pregunta nombra una sola cosa que cambia, en un punto concreto y en un momento concreto: «¿Qué pasa si se para la bomba de agua de refrigeración mientras se dosifica el reactivo?» Se puede contestar siguiendo el proceso con el dedo. Y no todas son averías: también hay errores de personas y cortes de servicios.
La tabla de cuatro columnas
Las respuestas van a una tabla sencilla: pregunta, consecuencia, salvaguardas y recomendación. La consecuencia se cuenta hasta el final, sin quedarse en «sube la temperatura». Las salvaguardas son lo que ya existe hoy y actúa de verdad contra esa causa. Yo añado dos columnas con la valoración en una matriz de riesgos, sin salvaguardas y con ellas, para poder ordenar las recomendaciones. Más columnas útiles: responsable y fecha.
What-If con listas de comprobación: What-If/Checklist y SWIFT
El punto débil del What-If es claro: depende por completo de la experiencia de quien pregunta. Si en la sala nadie ha visto nunca saltar una chispa de electricidad estática, nadie preguntará por la toma de tierra. Nada en el método garantiza que se ha mirado todo.
La lista de comprobación tiene el problema contrario: es experiencia de otros puesta en forma de preguntas, rápida y barata, pero solo encuentra lo que alguien ya pensó. Un análisis con lista es tan completo como lo sea la lista.
Juntas se tapan los huecos. Hay dos formas habituales de combinarlas:
- What-If/Checklist. El equipo pregunta primero con libertad y, cuando se queda sin ideas, repasa una lista de comprobación del tipo de instalación (almacenamiento, carga y descarga, reactores) para ver qué se ha quedado fuera. Es uno de los métodos que cita expresamente la norma de OSHA.
- SWIFT (What-If estructurado). Divide la instalación en sistemas u operaciones y, en cada uno, apoya la lluvia de preguntas en una lista corta de categorías. Un informe publicado por el regulador británico (HSE) propone ocho genéricas: errores de operación y factores humanos, errores de medida, fallos de equipos o instrumentos, mantenimiento, fallo de servicios, pérdida de contención, operación de emergencia y factores externos.
Un consejo práctico: empieza con libertad y deja la lista para el final, como repaso. Si la lees al principio, el grupo se limita a ir marcando casillas y deja de pensar.
Ejemplo resuelto: What-If de la descarga de una cisterna de etanol
Instalación ficticia de formación: una terminal de combustibles tiene un tanque pequeño de etanol (200 metros cúbicos, en su cubeto) que se llena dos veces por semana descargando camiones cisterna con una manguera y una bomba fija. El tanque tiene un medidor de nivel con indicación en sala de control y alarma de nivel alto que sale de ese mismo medidor.
Pasos de la operación: 1) comprobar albarán y producto; 2) leer el nivel y calcular el hueco; 3) colocar, frenar y calzar el camión; 4) conectar la pinza de tierra; 5) acoplar la manguera y abrir válvulas; 6) arrancar la bomba y vigilar; 7) parar, cerrar y desconectar; 8) quitar tierra y calzos, y salir.
Equipo: alguien de fuera que dirige, un operador que hace estas descargas, mantenimiento, un conductor habitual de la empresa de transporte y quien escribe.
Salieron más de veinte preguntas. Al repasar las ocho categorías del SWIFT, la de errores de medida sacó una que nadie había hecho: ¿y si el medidor de nivel marca mal? Estas son ocho, ya agrupadas. Valoración con una matriz 5x5 de ejemplo: frecuencia (1 a 5) más consecuencia (1 a 5); 7 u 8 es riesgo alto.
| ¿Qué pasaría si…? | Consecuencia | Salvaguardas | Sin / con | Recomendación |
|---|---|---|---|---|
| …el camión trae otro producto o etanol contaminado? | Tanque contaminado; reprocesar producto. Sin heridos | Albarán, precintos, muestra antes de descargar | 5 / 4 | No |
| …el operador calcula mal el hueco? | Rebose por el venteo, nube inflamable junto a dos personas | Alarma de nivel alto | 8 / 7 | R1 |
| …el medidor de nivel marca menos de lo que hay? | La misma: rebose | Ninguna cuenta: el cálculo y la alarma usan ese medidor | 7 / 7 | R1 |
| …el camión se mueve con la manguera conectada? | Manguera arrancada, derrame junto a dos personas | Calzos, procedimiento, presencia del operador | 8 / 7 | R3 |
| …no se conecta la tierra o la pinza hace mal contacto? | Electricidad estática, chispa donde hay vapores | Procedimiento y lista previa | 8 / 7 | R2 |
| …se rompe la manguera o se suelta un acoplamiento? | Derrame hasta que alguien pare la bomba | Revisión y prueba de la manguera, paro de emergencia, suelo que desagua a una arqueta | 8 / 6 | Mantener esas salvaguardas |
| …se va la electricidad a mitad de la descarga? | La bomba se para; operación a medias, sin fuga | Procedimiento: cerrar válvulas y esperar | 4 / 4 | No |
| …llega una tormenta eléctrica? | Un rayo puede encender los vapores | Prohibido empezar con tormenta; parar si llega | 6 / 5 | Escribir que el operador decide parar sin pedir permiso |
Las frecuencias son el juicio de un equipo ficticio, no datos medidos. Lo interesante es el patrón: las cuatro filas que siguen en riesgo alto tienen en común que lo único entre el fallo y el accidente es una persona que se acuerde, o un instrumento del que depende todo. Ese es el hallazgo del estudio. Y de él salen tres recomendaciones concretas:
- R1: un interruptor de nivel muy alto en el tanque, independiente del medidor, que pare la bomba de descarga. Resuelve dos preguntas a la vez.
- R2: un sistema de toma de tierra que compruebe el contacto y no deje arrancar la bomba hasta que la conexión sea buena.
- R3: una barrera en la salida de la zona de descarga que solo se pueda levantar con la manguera colgada en su soporte.
Fíjate en cómo están escritas: dicen qué se instala, dónde y qué tiene que hacer. «Mejorar el control de nivel» no es una recomendación; es una frase que se queda años en la lista de pendientes. Y fíjate también en la pregunta del medidor: dos salvaguardas que comparten el mismo instrumento fallan a la vez. Esa idea, la independencia, es la base de LOPA.
Cuándo encaja un What-If y cuándo no
Encaja cuando la instalación es sencilla, cuando estudias una operación manual o un procedimiento, cuando hay una modificación pequeña o cuando el diseño está tan verde que no hay planos para un HAZOP. La norma de OSHA pide que el análisis sea adecuado a la complejidad del proceso, y para una descarga de camiones un What-If bien hecho es proporcionado.
No encaja como única técnica en un proceso complejo con muchos lazos de control: al mirar por pasos o por sistemas, y no línea a línea, se le pueden escapar peligros, y luego es difícil demostrar que se revisó todo. Tampoco calcula frecuencias ni dice si una protección es lo bastante fiable. No es un HAZOP barato: es otra herramienta, para otra pregunta.
¿Cuánto dura? Las fuentes públicas no dan una cifra, porque depende del alcance. Como orientación mía, una operación acotada como esta descarga se resuelve en una o dos sesiones de media jornada. Si tu What-If lleva una semana, el alcance era demasiado grande; si se despachó en un cuarto de hora, falta algo.
Errores típicos
- Mezclar preguntar y contestar. Apaga las ideas a la tercera pregunta.
- Hacerlo solo, en el despacho. Las mejores preguntas salen de quien hace la operación: el operador y, si puedes, el conductor, que la ve desde el otro lado de la manguera.
- Contar salvaguardas que no actúan contra esa causa. Una alarma que sale del instrumento que falla no protege de nada.
- Usar la lista de otra planta, o una que lleva años sin tocarse.
- Cerrar la sala sin responsables ni fechas. Las recomendaciones salen con dueño o no salen.
Si todavía no sabes qué peligros tiene la instalación entera, empieza un paso antes, con un HAZID. Y para ver el What-If al lado del resto de técnicas, tienes la comparativa de métodos de análisis de riesgos.
Preguntas frecuentes
¿Qué es el análisis What-If?
Es una técnica de identificación de peligros en la que un equipo que conoce la instalación se pregunta «¿qué pasaría si…?» paso a paso y anota, para cada pregunta, la consecuencia, las salvaguardas que ya existen y la recomendación si no bastan.
¿Qué diferencia hay entre What-If y HAZOP?
El What-If se guía por preguntas libres y suele ir por pasos de una operación o por sistemas; es rápido y fácil de aprender, pero depende mucho de la experiencia del equipo. El HAZOP recorre el proceso línea a línea con palabras guía fijas: es más lento, más riguroso y necesita el diseño casi cerrado.
¿Qué es el What-If/Checklist?
Es la combinación de las dos técnicas: primero el equipo pregunta con libertad y después repasa una lista de comprobación para ver qué se ha quedado sin preguntar. La normativa estadounidense de seguridad de procesos (OSHA 29 CFR 1910.119) la admite como método junto al What-If, las listas, el HAZOP, el AMFE y el árbol de fallos.
¿Qué es el SWIFT?
Son las siglas en inglés de What-If estructurado. Divide la instalación en sistemas u operaciones y, en cada uno, apoya la lluvia de preguntas en una lista de categorías (errores de operación, de medida, fallos de equipos, servicios, factores externos…). Está recogido en la IEC 31010 entre las técnicas para identificar riesgos.
¿Cuándo usar un What-If?
En instalaciones sencillas, operaciones manuales o procedimientos, modificaciones pequeñas y diseños todavía verdes sin planos detallados. Para procesos complejos con muchos lazos de control encaja mejor un HAZOP.