Seguridad Industrial

La métrica oculta del LOTO

Cómo un mal diseño de maquinaria incita al accidente.

Fecha de publicación: Septiembre 2026

El bloqueo evita cada año, según la estimación de la propia autoridad, ciento veintidós muertes y sesenta mil lesiones. No es una prohibición: es una arquitectura de decisión con cinco entradas legítimas. Sobre cuál corresponde en cada tarea, qué exige realmente la NOM-004 frente a los estándares internacionales, y por qué la frecuencia con que hace falta el candado la decidió el diseño de la máquina.

Vale la pena empezar por el número, porque casi nunca se cita y cambia la conversación.

Cuando la autoridad estadounidense sustentó su norma de control de energías peligrosas, estimó que su aplicación evitaría ciento veintidós fatalidades, veintiocho mil cuatrocientas dieciséis lesiones con días perdidos y treinta y un mil novecientas veintiséis lesiones sin días perdidos cada año, con un costo de cumplimiento de doscientos catorce millones de dólares el primer año y ciento treinta y cinco millones anuales después.

Sesenta mil lesiones y ciento veintidós vidas por ciento treinta y cinco millones al año. Pocas intervenciones de seguridad industrial exhiben una relación así, y ninguna con esa documentación.

El bloqueo funciona por una razón que lo distingue de casi todo lo demás que hacemos en seguridad: no mejora la conducta, suprime la energía. No reduce la probabilidad de que alguien se equivoque; hace que equivocarse no tenga consecuencia. Es un control de aislamiento, y su desempeño no depende de quién esté frente al equipo, de qué tan cansado esté ni de cuánto falte para el cierre de turno.

 

Por eso resulta desconcertante el otro dato disponible. Un estudio publicado en el American Journal of Industrial Medicine, que revisó los expedientes de investigación de fatalidades relacionadas con bloqueo en la manufactura estadounidense, encontró que en al menos el 58.8 % de los casos los procedimientos de bloqueo ni siquiera se intentaron. Y que las situaciones más frecuentes eran la limpieza de un mezclador, la limpieza de un transportador y el desarmado de equipo eléctrico.

Las personas no mueren aplicando mal el procedimiento. Mueren en tareas donde nadie se preguntó cuál procedimiento correspondía.

Ahí está el problema real, y no es de disciplina. Es que la norma se lee como una prohibición cuando en realidad es un mapa: cinco entradas legítimas, cada una con sus condiciones. Quien conoce las cinco decide bien. Quien conoce solo la primera termina inventando la respuesta en el piso.

El mismo cálculo, en México.

La cifra estadounidense sirve para dimensionar el mecanismo, no para trasladarla. La pregunta pertinente es qué tamaño tiene el problema aquí.

Un estudio publicado en la Revista Médica del Instituto Mexicano del Seguro Social, con datos de la memoria estadística de 2024, ofrece el marco. Sobre una población de 21.9 millones de trabajadores asegurados en el seguro de riesgos de trabajo se registraron 418,514 accidentes de trabajo —sin contar los de trayecto—, con 859 defunciones derivadas de ellos. Entre las lesiones más frecuentes aparecen los traumatismos superficiales, con 114,606 casos, y las heridas, con 71,039.

Ahora bien, y esto importa decirlo con franqueza: ninguna estadística mexicana aísla los eventos por energía peligrosa. No existe una cifra nacional equivalente a la que sustentó la norma estadounidense. Las clasificaciones disponibles agrupan por naturaleza de la lesión y por sector, no por el mecanismo que la produjo.

La consecuencia es doble, y ambas caras son útiles.

La primera es que ninguna planta mexicana puede compararse contra un referente nacional en esta materia. No hay contra qué. La segunda es que, precisamente por eso, la única medición que sirve es la propia: cuántas veces por semana alguien interviene una máquina que puede moverse o que conserva energía residual. Ese número existe en toda planta, nadie lo lleva, y es el único indicador que anticipa el evento en lugar de contarlo después.

Contarlo durante una semana cuesta poco y ordena la conversación entera. Si la cifra resulta alta, ninguna de las cinco puertas que siguen es un asunto administrativo: es la descripción de lo que ocurre en esa planta todos los días.

Las cinco puertas

Primera puerta: el bloqueo completo
Es la ruta por defecto, y su alcance es más amplio de lo que se supone. La definición normativa de servicio y mantenimiento incluye expresamente lubricación, limpieza, desatasco, ajustes y cambio de herramienta cuando el trabajador queda expuesto a energización inesperada o liberación de energía. El operador que limpia el mezclador está haciendo servicio, aunque nadie en la planta lo llame así. La secuencia tiene seis pasos —conocimiento previo, paro ordenado, aislamiento, colocación de dispositivos, liberación de energía almacenada y verificación— y dos detalles que se omiten con frecuencia. El primero: el procedimiento modelo del propio estándar acompaña la verificación con una caución explícita, regresar los mandos de operación a posición neutra o de apagado después de verificar el aislamiento. Si el intento de arranque queda enganchado, la máquina arranca al restablecerse la energía. El segundo: la verificación no es una prueba de arranque cuando la energía no es eléctrica. Manómetro en cero para hidráulica y neumática, calce mecánico para cargas por gravedad, válvula bloqueada y purga comprobada para fluidos.
Segunda puerta: prueba y posicionamiento
Hay tareas que exigen que el equipo se mueva. La norma no las prohíbe: las ordena. Permite retirar temporalmente los dispositivos bajo una secuencia de cinco pasos —despejar herramientas y materiales, retirar al personal de la zona de peligro, retirar los dispositivos, energizar y ejecutar la prueba con protección efectiva, y volver a aislar y recolocar—. El estándar eléctrico exige lo mismo con otro nombre —liberación temporal para prueba o posicionamiento— y añade un requisito que vale la pena adoptar: el procedimiento debe identificar de quién es la responsabilidad de esos pasos. En la práctica, esa asignación nominal es lo que impide que la liberación temporal se convierta en una liberación permanente.
Tercera puerta: el diagnóstico por observación
Aquí está la pregunta que más veces me hacen en planta, y la respuesta oficial es más matizada de lo que suele contarse. La autoridad estadounidense sostiene que observar si el equipo está funcionando correctamente constituye inspección y, por tanto, es servicio o mantenimiento. El diagnóstico está dentro del alcance de la norma, no fuera. Y sin embargo se puede hacer. Por la vía de la prueba y posicionamiento, con el personal retirado de la zona. Y cuando retirarlo no es posible —porque el punto que hay que observar solo se ve desde ahí—, la autoridad nombra los controles que lo permiten: mando a dos manos, restricciones físicas del trabajador, cámaras y barreras físicas transparentes. Es decir: la observación del proceso en marcha es legítima cuando se ejecuta con un control de ingeniería que impide el contacto. No lo es cuando se ejecuta con atención.
Cuarta puerta: la excepción de servicio menor
Es la disposición más invocada y la peor leída. Excluye del alcance las actividades de servicio menor durante la operación normal de producción, siempre que sean rutinarias, repetitivas e integrales al uso productivo del equipo y se realicen con medidas alternativas que proporcionen protección efectiva. Cuatro requisitos, acumulativos. En el piso se invoca el primero y se descartan los otros tres. El cuarto es el que decide. Medida alternativa no significa experiencia, ni capacitación, ni cuidado: significa un control que impida físicamente la energización o el movimiento durante la tarea. Un enclavamiento, un mando a dos manos, un bloqueo mecánico, un dispositivo de presencia. Aplicado al mezclador, el criterio se resuelve solo: si la tapa no tiene enclavamiento, no hay medida alternativa, y sin medida alternativa no hay excepción.
Quinta puerta: los métodos alternativos
Cuando el bloqueo pleno no resulta viable para una tarea determinada, existe la vía de los métodos alternativos, desarrollada con detalle por la norma voluntaria estadounidense en la materia. Aquí hace falta una precisión que en México casi nadie conoce, y que puede costar cara. En una interpretación de octubre de 2024, la autoridad declinó adoptar la definición de métodos alternativos de esa norma voluntaria y declaró que no ha determinado que cumplir con ella equivalga, en todos los casos, a cumplir con sus propios requisitos. Para una planta mexicana cuyo corporativo implantó métodos alternativos sobre esa base, la consecuencia es directa: puede creerse en cumplimiento del estándar de referencia cuando la autoridad de ese estándar dice otra cosa. Es el mismo fenómeno que ya se observa con las clasificaciones de áreas peligrosas europeas frente al esquema vigente en México: el estándar importado no confiere cumplimiento por sí solo.

La puerta eléctrica: qué significa «verificado»

El estándar de seguridad eléctrica en el trabajo aporta lo que a la norma general le falta: precisión sobre qué quiere decir que un circuito está realmente desenergizado. Y lo hace mediante un concepto que vale la pena incorporar al vocabulario, porque cambia la manera de pensar el problema.

No define un procedimiento. Define un estado: la condición eléctrica segura de trabajo.

Y establece nueve pasos para alcanzarla, en el orden presentado en la medida de lo posible. Determinar todas las fuentes posibles de suministro, apoyándose en diagramas actualizados. Abrir los dispositivos de desconexión tras interrumpir correctamente la corriente de carga. Verificar visualmente que todas las cuchillas quedaron completamente abiertas, o que los interruptores extraíbles se retiraron a la posición de prueba o de desconexión total. Liberar la energía eléctrica almacenada. Bloquear o aliviar la energía no eléctrica. Aplicar los dispositivos conforme a un procedimiento documentado. Probar la ausencia de tensión. Y aplicar puesta a tierra temporal de protección donde corresponda.

El séptimo paso merece detenerse. La prueba se hace con un instrumento portátil apropiado para la aplicación, en cada conductor de fase y en cada punto de trabajo, entre fases y de fase a tierra. Y —esto es lo que más veces se omite— comprobando que el instrumento funciona sobre una fuente de tensión conocida antes y después de medir.

Un multímetro que se averió durante la medición diría exactamente lo mismo que un circuito desenergizado. Por eso se comprueba dos veces.

La norma añade que si la ausencia de tensión por sí sola no confirma la desenergización, se requieren métodos adicionales, como la prueba de ausencia de corriente en circuitos alimentados por corriente.

De ese mismo cuerpo salen tres reglas que valdría la pena trasladar tal cual a cualquier procedimiento mexicano:

Los botones no aíslan. Los dispositivos de control, como botoneras o selectores, no deben usarse como dispositivo primario de aislamiento. Es la formulación más limpia de un error que se comete a diario.

Los enclavamientos de circuito deben revisarse. La documentación debe examinarse para asegurar que ninguna operación de enclavamiento eléctrico pueda reenergizar el circuito intervenido.

Si no se le puede poner candado, no sirve como aislamiento. Cuando no es posible fijar un candado a un medio de desconexión existente, ese medio no debe usarse como único recurso para establecer la condición segura. Y el etiquetado sin candado solo se admite cuando el diseño del equipo impide instalar un candado, en cuyo caso debe emplearse al menos una medida de seguridad adicional.

¿Y cuando la condición segura no puede establecerse? El estándar abre su propia puerta, con condiciones exigentes. Solo personal calificado. Permiso de trabajo eléctrico energizado. Evaluación de riesgo de choque eléctrico. Evaluación de riesgo de arco eléctrico. Y, si el permiso especifica equipo de protección, al menos una persona adicional presente fuera de la frontera de aproximación limitada o de arco, la que resulte mayor.

La puerta eléctrica industrial: qué significa verificado

Las mismas puertas, leídas desde el marco mexicano

Todo lo anterior describe estándares que en México no son obligatorios por sí mismos. Conviene entonces la pregunta que un gerente de planta hará de inmediato: ¿qué exige realmente la ley mexicana?

Más de lo que suele suponerse, y menos de lo que hace falta.

La NOM-004-STPS contiene una secuencia de bloqueo. Está en su numeral 7.2.2, inciso c), y casi nadie la cita. Establece que el bloqueo de energía se realizará antes y durante el mantenimiento de la maquinaria y equipo, y enumera ocho pasos: que el responsable de mantenimiento efectúe el bloqueo; que se avise previamente a los trabajadores; que se identifiquen los interruptores y válvulas que deben inmovilizarse; que se bloquee la energía en tableros y controles; que se coloquen tarjetas de aviso conforme a su Apéndice A; que se coloquen los candados de seguridad; que se verifique que el bloqueo se realizó; y que se avise a los trabajadores cuando el bloqueo se retire.

Existe, pues, una obligación mexicana concreta y con secuencia. El problema no es su ausencia: es lo que la secuencia no dice.

La NOM-029-STPS aporta la parte eléctrica. Exige la comprobación de ausencia de tensión mediante equipos o instrumentos de medición, instrucciones para bloquear equipos o colocar señalización, candados o dispositivos que impidan la energización, y —detalle que merece notarse— la identificación de dispositivos de bloqueo para uno a cuatro candados. Es decir: el marco mexicano sí contempla la colocación de varios candados sobre un mismo punto de aislamiento, que es el fundamento del bloqueo grupal.

Y la NOM-028-STPS enumera el bloqueo y etiquetado entre las actividades que exigen procedimiento escrito y autorización, junto con el bloqueo de líneas de energía eléctrica y de tuberías con sustancias peligrosas o presurizadas.

Hay incluso una coincidencia que vale oro para la cuarta puerta. La NOM-004, al tratar los riesgos de alimentación y retiro manual de material, nombra los controles admisibles: dispositivo de mando bimanual, dispositivo asociado a un protector o dispositivo sensitivo. Son exactamente las medidas alternativas que la excepción de servicio menor exige. La norma mexicana ya nombra la solución; lo que no hace es vincularla con la decisión sobre cuándo puede omitirse el candado.

Lo que la secuencia mexicana no cubre

Nótese además una diferencia estructural, no de detalle. La secuencia mexicana asigna el bloqueo al responsable de mantenimiento; los estándares internacionales lo asignan a cada trabajador expuesto, que coloca y retira su propio candado. Son dos filosofías distintas de protección: una delega en un tercero competente, la otra hace que nadie dependa de la memoria ajena. Cuando una planta con matriz extranjera adopta el candado personal, no está excediendo la norma mexicana: está cerrando la brecha entre ambas.

De modo que el planteamiento correcto para una planta mexicana no es elegir entre marcos. Es cumplir la NOM-004 y la NOM-029 —que son obligatorias— y completar con las disposiciones internacionales aquello que el marco nacional deja abierto. Y decirlo así en el procedimiento, con la referencia de cada requisito a la vista, es lo que permite defenderlo tanto ante un inspector de la autoridad laboral como ante un auditor corporativo.

Aguas arriba: la máquina decide cuántas veces habrá candado

Todo lo anterior describe qué hacer con la máquina que ya existe. La pregunta más rentable es anterior: por qué hay que hacerlo tantas veces.

La norma internacional de prevención del arranque intempestivo lo resuelve con una franqueza que sorprende encontrar en un texto técnico. Establece que las máquinas deben proveerse de dispositivos manuales de aislamiento y disipación de energía considerando la tarea a realizar. Y añade:

> Si el uso del aislamiento manual y la disipación de energía no es apropiado para intervenciones breves y frecuentes, el diseñador debe proveer funciones automáticas controladas adicionales para prevenir el arranque intempestivo.

Léase junto al dato del principio. Las muertes se concentran en tareas breves, frecuentes y familiares. La norma de maquinaria dice, con verbo imperativo, que para esas tareas el candado manual no es la medida adecuada y que corresponde al diseñador resolverlo de otro modo.

El párrafo siguiente explica por qué. Esas medidas existen para impedir que los operadores se vean inducidos a usar modos de operación peligrosos y técnicas de intervención peligrosas causadas por dificultades técnicas en el uso de la máquina. Una norma de ingeniería afirmando que el mal diseño induce la conducta insegura.

La misma norma resuelve el detalle que todo el mundo conoce y nadie discute. La cantidad y la ubicación de los dispositivos de aislamiento se determinan por evaluación de riesgo, considerando la tarea y la necesidad de presencia de personas en zonas de peligro. Y el dispositivo puede ubicarse en el lugar de la intervención, o en la ruta de acceso.

Que el seccionador esté a doce metros no es un hecho de la vida. Es una decisión que alguien tomó, y que puede tomarse distinto.

La norma de dispositivos de enclavamiento asociados a resguardos, en su edición de 2024, cierra el razonamiento con un capítulo titulado diseño para minimizar la motivación de anular. Su regla es que el enclavamiento debe interferir lo mínimo posible con las actividades —en particular durante mantenimiento y servicio— precisamente para reducir el incentivo a burlarlo. Y cuando esa motivación existe, manda eliminarla por diseño o mediante modos de operación apropiados, con precedencia para los modos de operación. Entre los que enumera: ajuste, cambio de herramienta, búsqueda de fallas y observación del proceso.

Es decir: la respuesta normativa correcta al operador que anula un enclavamiento para ver qué está pasando no es sancionarlo ni capacitarlo. Es un modo de operación diseñado para eso.

Y hay una obligación de diseño que todo comprador de equipo debería tener presente: los dispositivos de aislamiento de energía instalados después del 2 de enero de 1990 deben ser capaces de aceptar un dispositivo de bloqueo. No es una recomendación de buena práctica: es un requisito, y aplica al equipo que hoy se cotiza.

Lo que aporta cada marco

La medida que casi nadie usa

De todo lo anterior se sigue un indicador que no aparece en ningún tablero y que describe mejor que la siniestralidad la madurez técnica de una planta:

La frecuencia con que hace falta el candado es un indicador inverso de la calidad del diseño de las máquinas.

Una máquina con puntos de aislamiento al alcance, accesos enclavados con dispositivos que no estorban, modos previstos para búsqueda de fallas y observación, y un diseño de limpieza que no exige introducir el brazo, requiere bloqueo menos veces. Y las veces que lo requiere, el procedimiento es lo bastante breve como para que la gente sí lo haga.

Ese es el punto donde la seguridad deja de competir con la producción. Mientras cumplir cueste más esfuerzo que no cumplir, cada procedimiento vive en tensión con el ritmo de la línea, y esa tensión la pierde el procedimiento a las tres de la mañana. Cuando cumplir es la opción de menor esfuerzo, la conducta deja de ser el control crítico.

Ciento veintidós vidas al año dependen de una lámina metálica que cuesta unos pesos y de treinta segundos de trabajo. Que esos treinta segundos ocurran o no ocurran se decidió mucho antes, en la mesa donde alguien especificó la máquina.

En HF Safety & Environmental desarrollamos programas de control de energías peligrosas a partir del estudio de riesgo potencial por equipo: procedimientos específicos por máquina, evaluación de tareas frente a las cinco vías de decisión, verificación por tipo de energía, y revisión de la accesibilidad y el diseño de los puntos de aislamiento. Si su programa está escrito para el mantenimiento programado, conviene revisar qué ocurre durante la producción normal.

Preguntas frecuentes

¿Puede observarse una máquina en marcha para diagnosticar una falla?

Sí, y es una vía reconocida. Observar si el equipo funciona correctamente se considera inspección y, por tanto, servicio, de modo que debe ejecutarse por la vía de prueba y posicionamiento, con el personal retirado de la zona de peligro. Cuando retirarlo no es posible, se admite mediante controles de ingeniería: mando a dos manos, restricciones físicas, cámaras o barreras transparentes.

¿La limpieza de un equipo entre lotes requiere bloqueo?

Depende de cuatro condiciones acumulativas: que la tarea sea rutinaria, repetitiva, integral a la producción y se ejecute con medidas alternativas que proporcionen protección efectiva. Sin esa medida alternativa —un enclavamiento, un bloqueo mecánico, un dispositivo de presencia—, corresponde el procedimiento completo.

¿Un botón de paro sirve para aislar?

No. Los dispositivos de control, como botoneras y selectores, no deben usarse como dispositivo primario de aislamiento. Y si a un medio de desconexión no se le puede fijar un candado, no debe emplearse como único recurso para establecer la condición segura.

¿Hay estadísticas mexicanas de accidentes por energía peligrosa?

No de manera desagregada. Las fuentes nacionales registran los accidentes de trabajo por naturaleza de la lesión y por sector —418,514 accidentes y 859 defunciones en 2024, sobre 21.9 millones de asegurados—, pero no aíslan el mecanismo de energía peligrosa. Ante esa ausencia, la medición útil es interna: cuántas intervenciones semanales exigen acceder a una máquina que puede moverse o conserva energía residual.

¿Existe una obligación mexicana de bloqueo y etiquetado?

Sí. La NOM-004-STPS establece en su numeral 7.2.2, inciso c), una secuencia de ocho pasos para el bloqueo de energía antes y durante el mantenimiento, con tarjetas de aviso y candados de seguridad. La NOM-029-STPS añade la comprobación de ausencia de tensión y los dispositivos de bloqueo para varios candados, y la NOM-028-STPS exige procedimiento y autorización. Lo que el marco nacional no desarrolla es la energía almacenada, el método de verificación por tipo de energía, el bloqueo grupal, la transferencia entre turnos y la inspección periódica del procedimiento.

¿Por qué el candado no resuelve las tareas breves y repetitivas?

Porque no fue diseñado para ellas. La norma internacional de prevención del arranque intempestivo establece que, cuando el aislamiento manual no es apropiado para intervenciones breves y frecuentes, el diseñador debe proveer funciones automáticas controladas adicionales. Es un problema de diseño de máquina, no de disciplina del operador.

Fuentes

  • 29 CFR 1910.147, The control of hazardous energy (lockout/tagout), apartados (a)(2)(ii), (b), (c)(4), (c)(6), (c)(7), (d), (e), (f)(1), (f)(3) y (f)(4), y el procedimiento mínimo típico del Apéndice A.
  • Análisis de impacto regulatorio de la norma de control de energías peligrosas, con las estimaciones de fatalidades y lesiones evitadas.
  • Interpretaciones oficiales sobre prueba y posicionamiento de máquinas energizadas (2007) y sobre viabilidad del bloqueo y métodos alternativos (2024).
  • Bulzacchelli, M. T.; Lees, P. S. J.; Sorock, G. S.; Vernick, J. S.; Webster, D. W. «Circumstances of Fatal Lockout/Tagout-Related Injuries in Manufacturing». American Journal of Industrial Medicine, 2008.
  • NFPA 70E, Standard for Electrical Safety in the Workplace, edición 2027: artículo 120, en particular 120.3, 120.4, 120.5 y 120.6, y sección 130.2.
  • ISO 14118:2017, Safety of machinery — Prevention of unexpected start-up, numerales 4.2, 4.3, 5.2.2 y 5.3.
  • ISO 14119:2024, Safety of machinery — Interlocking devices associated with guards, capítulo 8.
  • ISO 12100:2010, Safety of machinery — General principles for design, risk assessment and risk reduction.
  • ISO 13849-1:2023, Safety of machinery — Safety-related parts of control systems.
  • Velázquez-Narváez, Y.; Ruíz-Ramos, L.; Martínez-Treviño, M. G. et al. «Caracterización de los riesgos laborales en trabajadores afiliados al IMSS 2024». Revista Médica del Instituto Mexicano del Seguro Social, 2026;64(2):e6877.
  • Instituto Mexicano del Seguro Social, Memoria Estadística 2024, riesgos de trabajo.
  • NOM-004-STPS-1999, Sistemas de protección y dispositivos de seguridad en la maquinaria y equipo que se utilice en los centros de trabajo, numerales 5.2, 6, 7.2.2 inciso c), 8.1.1, 8.2.1 y 8.2.3, y Apéndice A.
  • NOM-029-STPS-2011, Mantenimiento de las instalaciones eléctricas en los centros de trabajo — Condiciones de seguridad, numerales 8.1, 9.2 y 9.4.
  • NOM-028-STPS-2012, numeral 8.1, inciso c).