BP Texas City: caso de responsabilidad en seguridad de procesos

Resumen

• El 23 de marzo de 2005, durante el reinicio de la unidad de isomerización en la refinería de BP en Texas City, la columna de destilación de refinado se llenó durante más de tres horas sin que se extrajera líquido. Los instrumentos y alarmas de nivel defectuosos no revelaron el inventario real. El líquido entró en la línea de cabeza, abrió las válvulas de alivio, sobrecargó un tambor de purga atmosférica y formó una nube de vapor inflamable que se encendió. La CSB registra 15 muertes, 180 heridos y pérdidas que superan los 1.500 millones de dólares.
• La cuestión central de responsabilidad no es si se produjeron errores de primera línea, sino quién tenía el control práctico sobre las condiciones que hicieron catastróficos esos errores: si se debía arrancar con instrumentos defectuosos, si los procedimientos reflejaban la operación real, si había supervisión adicional, si se investigaron los arranques anormales, si se reemplazó el sistema de purga atmosférica, si se permitieron remolques ocupados, y si los presupuestos reflejaban el riesgo conocido.
• El registro causal más sólido es la investigación de la CSB, que atribuye el desastre a deficiencias organizativas y de seguridad en toda BP. El informe del Panel Baker encontró deficiencias en seguridad de procesos en las cinco refinerías de BP en EE. UU. y advirtió que la mejora en las tasas de lesiones personales había creado una falsa confianza.

Por qué Texas City es un caso de disciplina de costos

Considerar Texas City un caso de disciplina de costos no significa que una orden presupuestaria causara mecánicamente la explosión. Significa que las decisiones sobre dinero, personal, programación, mantenimiento, formación y diseño determinaron qué salvaguardas existían cuando el arranque salió mal. La CSB documentó una cadena en la que un antiguo sistema de purga permanecía abierto a la atmósfera, los defectos de los instrumentos persistieron, los procedimientos no reflejaban la operación habitual, la dotación y la formación se habían reducido, y se colocaron remolques temporales cerca de equipos peligrosos.

Cada condición tenía un responsable y una consecuencia de recursos.

La frase también protege contra una explicación fácil pero incompleta: el error del operador. Los operadores cerraron o no abrieron válvulas, continuaron llenando y no reconocieron el nivel real. Son elementos confirmados. Pero un análisis de responsabilidad pregunta por qué el sistema dependía tanto de la acción humana perfecta durante un arranque peligroso. La norma OSHA de Gestión de Seguridad de Procesos requiere análisis de peligros que consideren controles de ingeniería y administrativos, consecuencias de fallos, ubicación de instalaciones y factores humanos.

También requiere integridad mecánica, procedimientos operativos, formación, revisión previa al arranque, investigación de incidentes, gestión del cambio y auditorías. Esa arquitectura existe porque ningún operador debería soportar toda la carga de contener un inventario catastrófico.

La cuestión de disciplina de costos es operativa: cuando un sitio sabe que los instrumentos no son fiables, que la conducta de arranque se desvía del procedimiento, que el mantenimiento está pendiente y que una descarga de alivio puede formar una nube de vapor, ¿quién puede autorizar el siguiente dólar y quién puede detener el siguiente arranque? Los gerentes del sitio pueden retrasar el arranque, reparar instrumentos, añadir supervisión, reubicar personas y escalar necesidades de capital. Los líderes de unidad de negocio pueden fijar la dotación y el gasto.

Los líderes corporativos pueden rechazar recortes generales que ignoren las condiciones del sitio. El consejo puede exigir indicadores de seguridad de procesos. Los reguladores pueden inspeccionar y exigir. Los organismos de normalización pueden definir la línea base de ingeniería. Los trabajadores en remolques cercanos controlaban casi ninguna de esas decisiones.

Esa distribución desigual del control es el hecho central de responsabilidad. Las personas más expuestas a la explosión tenían menos poder para inspeccionar la columna, rediseñar el sistema de alivio, fijar el programa de parada o desafiar el plan de capital de la refinería. Por lo tanto, un registro duradero debe seguir el control aguas arriba desde la fuente de ignición.

Una cronología auditable desde la advertencia hasta la aplicación

1999-2000: integración de la fusión y presión de costes fijos.BP adquirió la refinería mediante su fusión con Amoco. El informe final de la CSB registra un objetivo corporativo de reducir los costes en efectivo de las unidades de negocio para 2001 al menos un 25% con respecto a los niveles de 1998. Su revisión de una retrospectiva de la refinería de 2002 también encontró que el gasto en mantenimiento ya había caído sustancialmente durante la década de 1990 y que las reducciones no reflejaban adecuadamente las necesidades específicas de mantenimiento de la refinería. Esto es historia documental confirmada. No establece que cada defecto posterior resultara de una partida presupuestaria, pero establece que la presión sobre los recursos precedió al desastre y afectó al mantenimiento, la formación, la dotación de personal, la inspección y los trabajos de parada.

2002-2004: se acumularon advertencias.Las revisiones internas describieron problemas de integridad mecánica, formación, fiabilidad, notificación y cultura. Los arranques anteriores de la ISOM mostraron repetidamente niveles y presiones anormales, pero las desviaciones no se convirtieron en un bucle de aprendizaje efectivo. Una revisión de peligros de 2003 recomendó un segundo operador de panel durante los arranques, pero la recomendación no se implementó antes de marzo de 2005. En 2004 se produjeron dos incidentes mortales en la refinería, y otros eventos graves añadieron señales de advertencia. La importancia en términos de responsabilidad no es solo la retrospectiva: la dirección tenía pruebas de condiciones de deterioro antes del arranque mortal.

Finales de 2004 a principios de 2005: otro desafío presupuestario se encontró con una planta débil.La CSB informó que el liderazgo refinador del grupo emitió un nuevo desafío de reducción de capital del 25% para 2005. La dirección de Texas City argumentó que el recorte era demasiado profundo y recuperó parte, pero no toda, de la reducción propuesta. Una presentación de febrero de 2005 a los altos directivos de refinación incluía preocupación por el estado de la planta, la presión de producción, la formación inadecuada, el cierre deficiente de las acciones de seguridad de procesos y la débil disponibilidad mecánica. El mismo registro público describe un plan de negocio de la refinería que advertía de que el sitio podría matar a alguien en un plazo de 12 a 18 meses. Estos hechos convierten la escalada de peligros en un problema de gobernanza: el riesgo no era totalmente invisible.

10 de marzo de 2005: un problema de instrumentación conocido persistía.La recomendación urgente de la CSB reproducida por el Panel Baker afirma que una orden de trabajo reconocía que era necesario reparar un transmisor de nivel de la columna y que la reparación se aplazó hasta después del arranque. La evidencia pública no revela cada conversación o razonamiento técnico en torno a ese aplazamiento. Pero muestra que la autorización de arranque y la finalización del mantenimiento eran decisiones vinculadas bajo control de la dirección.

23 de marzo de 2005: la unidad se reinició y la columna se llenó en exceso.Durante el arranque matutino, los hidrocarburos entraron en la columna de 170 pies durante más de tres horas sin que saliera líquido por el fondo. La instrumentación dio a los operadores una imagen falsa. Tres válvulas de alivio de presión se abrieron durante unos seis minutos, enviando líquido a un sistema de purga atmosférica de tamaño insuficiente o inadecuado. El tambor se llenó y expulsó una liberación similar a un géiser desde su chimenea. Se formó una gran nube de vapor que, según la CSB, fue encendida muy probablemente por un camión diésel al ralentí cercano. Hacia la 1:20 p.m., las explosiones y los incendios golpearon la unidad y los remolques circundantes. Las 15 personas fallecidas eran contratistas que trabajaban en remolques temporales situados a tan solo 121 pies del tambor de purga.

Agosto y septiembre de 2005: revisión urgente y primer acuerdo.El 17 de agosto, la CSB recomendó urgentemente que el consejo global de BP encargara una revisión independiente de la supervisión corporativa y la cultura de seguridad. En septiembre, OSHA y BP llegaron a un acuerdo tras más de 300 deficiencias citadas. El centro de datos de OSHA sobre BP enhttps://obis.osha.gov/dep/bp/bp.htmlconserva la secuencia de inspecciones, citaciones, acuerdos y verificaciones posteriores.

Enero y marzo de 2007: dos investigaciones importantes llegaron al público.El Panel Baker publicó su revisión en enero. Fue encargado y financiado por BP en respuesta a la recomendación de la CSB, pero su presidente y panel externos asumieron la responsabilidad de las conclusiones. Examinó la cultura de seguridad de procesos y la supervisión de las refinerías estadounidenses, no la causa raíz detallada de la explosión. El 20 de marzo, la CSB aprobó su informe final de accidente tras revisar más de 30.000 documentos, realizar 370 entrevistas, probar equipos y analizar datos del sistema de control y arranques anteriores.

Octubre de 2007 a 2009: responsabilidad penal y litigios por derechos de las víctimas.El Departamento de Justicia anunció que BP Products North America se declararía culpable de una violación grave de la Ley de Aire Limpio y pagaría una multa penal de 50 millones de dólares, con tres años de libertad condicional, enhttps://www.justice.gov/archive/opa/pr/2007/October/07_ag_850.html. El Quinto Circuito consideró posteriormente si se había consultado a las víctimas antes del acuerdo de culpabilidad. Su opinión enhttps://www.ca5.uscourts.gov/opinions/pub/08/08-20125-CV0.wpd.pdfencontró una violación legal de la Ley de Derechos de las Víctimas de Delitos porque las víctimas deberían haber tenido una oportunidad significativa de conferenciar antes de que se cerrara el trato, aunque el tribunal denegó el recurso de mandamus solicitado. La responsabilidad se extendió, por tanto, más allá de los equipos y el dinero, al procedimiento por el cual se escuchaba a las personas perjudicadas.

2009-2012: las actuaciones de seguimiento pusieron a prueba si la reparación era real.La inspección de seguimiento de OSHA en 2009 produjo 270 avisos de incumplimiento y 439 supuestas infracciones intencionadas adicionales. El total propuesto inicial era de 87,43 millones de dólares, según consta en el comunicado del Departamento de Trabajo enhttps://www.dol.gov/intelligence team/releases/osha/osha20091030. Una duplicación administrativa redujo posteriormente el componente de incumplimiento, y BP resolvió esa parte por 50,61 millones de dólares en 2010. En 2012, otro acuerdo resolvió 409 de las 439 infracciones adicionales por 13,027 millones de dólares, mientras que las cuestiones agrupadas de válvulas de alivio siguieron siendo controvertidas. Esta secuencia importa porque muestra por qué un anuncio de reforma es una prueba más débil que una inspección de seguimiento del regulador.

1 de febrero de 2013: el control operativo cambió de manos.El informe anual de 2013 de Marathon Petroleum enhttps://www.marathonpetroleum.com/content/documents/Investors/Annual_Report/MPC_Annual_Report_2013_with10-K.pdfregistra su adquisición de la refinería y los activos relacionados de BP. La responsabilidad histórica por las decisiones de la era de BP no se transfirió, pero el control operativo actual sí. Cualquier afirmación en presente sobre las condiciones del sitio debe distinguir, por tanto, la responsabilidad histórica de BP de las obligaciones del propietario posterior.

Marzo de 2025 a julio de 2026: la mayoría de las recomendaciones se cerraron, una brecha estructural permaneció abierta.La revisión del vigésimo aniversario de la CSB informó de que 25 de las 26 recomendaciones se habían cerrado con éxito. La recomendación abierta restante pedía que la norma PSM de OSHA exigiera una revisión de gestión del cambio para fusiones, reorganizaciones, cambios de personal y recortes presupuestarios que puedan afectar a la seguridad de procesos. La página de investigación de la CSB seguía mostrando 25 cerradas y una abierta cuando se consultó el 15 de julio de 2026. El punto sin resolver va directamente al título de este caso: si las decisiones sobre costes y organización deben pasar una revisión formal de seguridad antes de reducir la capacidad de control.

La secuencia física fue técnica, pero no misteriosa

La secuencia inmediata puede describirse sin especulación. La columna de destilación de refinado se reiniciaba tras el mantenimiento. La alimentación entraba en la columna mientras la ruta que debía hacer avanzar el líquido permanecía cerrada. El transmisor de nivel de la columna solo medía un rango estrecho cerca del fondo de un recipiente de 170 pies de altura. Estaba mal calibrado, y una alarma de alto nivel separada no proporcionó la advertencia necesaria. Los operadores vieron indicaciones que no revelaban el inventario creciente.

Cuando el nivel real se acercó a la parte superior de la columna, el líquido entró en las tuberías de cabeza y aumentó la presión en las válvulas de alivio.

Las válvulas de alivio hicieron lo que están diseñadas para hacer: se abrieron para proteger el equipo de la presión. Pero el destino de la descarga no era seguro para el evento que ocurrió. Las válvulas enviaron material inflamable a un tambor de purga y chimenea atmosférica que databa de la década de 1950. El tambor no pudo contener la carga líquida. La chimenea liberó entonces miles de galones de hidrocarburos volátiles al aire libre, donde se formó una nube de vapor cerca de vehículos, equipos de proceso y remolques ocupados. La cadena convirtió un llenado excesivo en una explosión con víctimas masivas.

La distinción entre una válvula de alivio y un sistema de eliminación seguro es esencial. Abrir una válvula puede evitar que un recipiente se rompa, pero crea un peligro diferente si el material descargado no se contiene, recupera o quema de forma segura. La CSB concluyó que el sistema atmosférico era anticuado e inseguro y que se habían perdido oportunidades de conectar el alivio de la columna a una antorcha.

El resumen posterior de 2025 registra que el API revisó sus directrices de alivio de presión para abordar el llenado excesivo de recipientes y favorecer alternativas inherentemente más seguras cuando la descarga atmosférica presenta riesgo de explosión de nube de vapor.

La ubicación de los remolques convirtió la explosión en un desastre humano. Los remolques eran convenientes para los trabajos de parada, pero la conveniencia colocó a personal no esencial cerca de una unidad peligrosa. La CSB determinó que 13 remolques fueron destruidos y 27 más resultaron dañados; personas en remolques resultaron heridas a cientos de pies del tambor de purga. Esto no era una propiedad química oculta, sino una decisión de ubicación. El RP 753 actual del API refleja la norma posterior al incidente dedicada a edificios portátiles cerca de plantas de proceso.

La secuencia tuvo, por tanto, múltiples oportunidades de prevención o mitigación: dejar de llenar, establecer un nivel preciso, alarmar de forma independiente, parar automáticamente, mantener abierta la ruta de drenaje, retrasar el arranque, añadir supervisión, enviar el alivio a una antorcha, eliminar las fuentes de ignición y mantener a las personas fuera de la zona de explosión. La catástrofe requirió que varias capas estuvieran ausentes, degradadas, omitidas o ineficaces al mismo tiempo.

El control práctico se situó en varios niveles

Los operadores de primera línea controlaban las acciones inmediatas, pero no la arquitectura de seguridad.Los operadores manipulaban válvulas, monitorizaban pantallas, se comunicaban entre turnos y respondían a las alarmas. Podrían haber interrumpido el arranque si hubieran reconocido el llenado excesivo. Sin embargo, sus decisiones estaban condicionadas por lecturas falsas de los instrumentos, procedimientos incompletos o inexactos, comunicación inconsistente entre turnos, fatiga, desviaciones normalizadas y un diseño de sala de control que no mostraba un balance de material eficaz. Tratar su conducta como la explicación completa asignaría la responsabilidad a las personas que operaban dentro de condiciones que no diseñaron ni financiaron.

La supervisión de turno y de unidad controlaba la preparación del arranque.Los supervisores y el personal técnicamente capacitado podían exigir una revisión previa al arranque, verificar que los instrumentos y las alarmas funcionaran, confirmar la capacidad del tanque y las rutas de flujo, asegurarse de que los procedimientos reflejaran las condiciones reales, dotar de un segundo operador y detener el arranque cuando la preparación fuera incierta. Las recomendaciones de la CSB abordaron específicamente la supervisión competente durante las fases peligrosas y la dotación adicional de personal de panel durante los arranques. Esto demuestra que la supervisión no era ceremonial; era una capa protectora faltante.

La dirección de la refinería controlaba el mantenimiento, los procedimientos, la dotación de personal, la ubicación y la escalada local.El liderazgo del sitio podía priorizar las órdenes de trabajo, prohibir el arranque con equipos críticos defectuosos, investigar los arranques anormales anteriores, actualizar los procedimientos, trasladar los remolques, instalar protección de nivel independiente y elevar el riesgo no resuelto al liderazgo corporativo. También controlaba cómo se traducían los objetivos de producción y los programas de parada en decisiones cotidianas. El sitio no controlaba todos los objetivos presupuestarios corporativos, pero controlaba si los peligros no resueltos se hacían explícitos y si las operaciones continuaban.

El liderazgo del refinado en Norteamérica y del grupo controlaba los recursos disponibles.Los líderes corporativos y de unidad de negocio fijaban los retos presupuestarios, las prioridades de capital, los modelos de dotación de personal, los contratos de rendimiento y la autoridad de las funciones de seguridad. La CSB rastreó las advertencias y los estudios hacia arriba y concluyó que los recortes presupuestarios y la presión de producción afectaron a la formación, la dotación de personal, el mantenimiento y la integridad mecánica. El Panel Baker también determinó que BP no siempre había proporcionado los recursos y el liderazgo en seguridad de procesos necesarios en sus refinerías estadounidenses. Por eso la responsabilidad práctica no se detiene en la puerta de la refinería.

El consejo controlaba el diseño de la supervisión.Un consejo no calibra un transmisor de nivel. Determina si la dirección debe presentar indicadores de seguridad de procesos adelantados y rezagados, si los peligros principales reciben el mismo escrutinio disciplinado que los controles financieros, si las conclusiones de las auditorías independientes permanecen abiertas, si los ejecutivos son responsables del cierre y si las decisiones sobre recursos que debilitan las salvaguardas son visibles. Antes de Texas City, las medidas de lesiones personales recibían más atención que el rendimiento de la seguridad de procesos. Una tasa baja de resbalones, tropiezos y lesiones ordinarias no podía mostrar si una columna podía llenarse en exceso o si un sistema de alivio podía crear una nube de vapor.

Los reguladores controlaban las normas y su aplicación, pero no la operación diaria.OSHA podía inspeccionar, citar, acordar, supervisar y exigir medidas correctoras. La EPA y el Departamento de Justicia podían hacer cumplir los deberes de prevención de liberaciones accidentales de la Ley de Aire Limpio. Los reguladores no podían operar la unidad el 23 de marzo, pero la CSB determinó que la capacidad de inspección integral de seguridad de procesos era limitada antes del desastre. El posterior programa de énfasis nacional en refinerías y el extenso seguimiento de Texas City fortalecieron el desafío externo.

Los organismos del sector controlaban la línea base de ingeniería compartida.El API podía revisar las directrices sobre edificios portátiles, eliminación de alivios de presión, fatiga y métricas de seguridad de procesos. Las normas consensuadas no sustituyen las obligaciones legales de una empresa ni el análisis de peligros específico del sitio, pero influyen en lo que se considera práctica de ingeniería reconocida y generalmente aceptada. Las revisiones posteriores a Texas City importan, por tanto, como reparación a nivel de sistema.

Los contratistas, trabajadores, familias y vecinos soportaban la exposición sin un control equivalente.Los contratistas realizaban trabajos de parada y ocupaban remolques seleccionados o aprobados por otros. Las familias no tenían ningún papel en la autorización del arranque. Los residentes cercanos dependían de los sistemas de contención y emergencia de la refinería. La asimetría es la base moral y operativa para asignar los deberes más estrictos a quienes tienen mayor poder preventivo.

La presión sobre los costes importaba a través de los controles que debilitaba

La CSB no se limitó a señalar que los presupuestos eran ajustados. Vinculó las decisiones de gasto y organización con la capacidad de seguridad de procesos. Su informe describió reducciones en mantenimiento, formación, ingeniería, inspección, supervisión y gasto en paradas. Constató que la refinería aceptó reducciones sin un análisis suficientemente estructurado de las necesidades de mantenimiento específicas del sitio y que la presión sobre el gasto afectó a la decisión de no sustituir el sistema de purga de la ISOM.

También constató que los altos directivos recibieron advertencias sobre el estado de la planta y las debilidades en seguridad de procesos.

La inferencia adecuada no es que el control de costes sea inherentemente inseguro. Las refinerías deben gestionar el coste, el programa, la fiabilidad y la producción. La inferencia respaldada es que los recortes generalizados se vuelven inseguros cuando no se contrastan con el estado y el perfil de peligros de cada instalación. Un objetivo del 25% aplicado a un activo relativamente sano y el mismo objetivo aplicado a una refinería envejecida y poco fiable no eliminan el mismo margen de seguridad.

La disciplina de costes se convierte en disciplina de seguridad de procesos solo cuando la organización puede demostrar qué inspecciones, reparaciones, niveles de dotación, ejercicios de formación y salvaguardas seguirán siendo adecuados tras el cambio.

Por eso es tan importante la recomendación aún abierta de la CSB sobre la gestión del cambio organizativo. La norma de OSHA cubre expresamente los cambios en los productos químicos, la tecnología, los equipos, los procedimientos y las instalaciones del proceso. No enumera expresamente una fusión, una reducción de personal, una reorganización o un recorte presupuestario. Sin embargo, esos cambios pueden alterar la capacidad humana y financiera que hace fiable cada salvaguarda física. La recomendación abierta obligaría a las organizaciones a preguntarse si una decisión no técnica cambia el riesgo técnico.

Las métricas eran otra forma de control de costes. El Panel Baker descubrió que BP hacía hincapié en la seguridad personal e interpretaba la mejora de las tasas de lesiones como prueba de una seguridad de procesos aceptable. La seguridad personal importa, pero mide una clase diferente de fallo. Una refinería puede reducir las lesiones comunes mientras acumula corrosión, pruebas retrasadas, defectos de alarma, acciones de estudio de peligros abiertas, debilidades del sistema de alivio y arranques anormales. El RP 754 del API describe el posterior marco de cuatro niveles para indicadores de seguridad de procesos adelantados y rezagados.

La lección no es abandonar las métricas de lesiones; es evitar que una métrica fácil enmascare el riesgo catastrófico.

La fatiga plantea el mismo punto a nivel de la fuerza laboral. La CSB descubrió que los operadores clave habían trabajado turnos de 12 horas durante 29 o más días consecutivos, y su resumen de 2025 dice que algunos trabajadores clave habían trabajado hasta 39 días consecutivos. La fatiga fue evaluada como un probable contribuyente, no la causa única. El API RP 755 surgió de la recomendación posterior al incidente y proporciona un marco para la gestión del riesgo de fatiga. La programación es una elección de coste y capacidad; tratarla como un mero problema de sueño individual evade el control del empleador sobre las horas de trabajo.

El error del operador es un hallazgo, no un punto de parada

El registro público confirma desviaciones del procedimiento de arranque escrito. El flujo de fondo permaneció cerrado. La alimentación continuó. Los operadores no detectaron el nivel real. Estos hechos importan para la competencia, la formación y el procedimiento. Pero detenerse ahí contradiría la estructura de la investigación.

En primer lugar, las prácticas de arranque anormales se habían normalizado. Los arranques anteriores mostraron niveles altos, oscilaciones de presión y desviaciones del procedimiento. Cuando una solución alternativa tiene éxito repetidamente sin una catástrofe inmediata, una organización puede confundir la supervivencia con la validación. Un sistema maduro de seguridad de procesos investiga la desviación, corrige el procedimiento o la operación y verifica la salvaguarda. Texas City no convirtió esas advertencias previas en una mejora del control.

En segundo lugar, los operadores recibieron información deficiente. El transmisor de nivel solo mostraba una pequeña parte de la altura de la columna y estaba mal calibrado. Una alarma redundante funcionó mal. La pantalla no proporcionaba un balance de masa efectivo que mostrara que entraba material sin salir. La comunicación entre turnos no preservaba de forma fiable las instrucciones críticas. El rendimiento humano no puede separarse del diseño de la interfaz, la instrumentación, la dotación de personal y la comunicación.

En tercer lugar, el procedimiento se utilizaba como la salvaguarda más fiable contra el llenado excesivo. Un procedimiento puede guiar la acción, pero no puede detener físicamente la alimentación cuando el nivel real se vuelve peligroso. Un disparo de nivel alto-alto independiente, una indicación diversa, un aislamiento automático de la alimentación o una capa de ingeniería equivalente no dependerían de que un operador cansado reconciliara correctamente señales engañosas.

Las recomendaciones de la CSB pedían una instrumentación eficaz, múltiples indicadores de nivel, controles automáticos adecuados y una visualización clara del balance de masa de la columna.

Por último, incluso un fallo completo para evitar el llenado excesivo no tenía por qué matar a personas. Un sistema de antorcha cerrado podría haber gestionado de forma segura o reducido en gran medida el peligro de la liberación. Una ubicación adecuada podría haber mantenido los remolques y al personal no esencial fuera de la zona de explosión. El control de la ignición podría haber reducido la probabilidad. La responsabilidad está estratificada precisamente para que un error no se convierta en 15 muertes.

Esto no absuelve todas las decisiones de primera línea. Sitúa esas decisiones en el mismo mapa causal que las elecciones que definieron la carga de trabajo, la información, el equipo y las consecuencias. La responsabilidad debe ser proporcional al control práctico y a la evidencia, no a la proximidad a la última válvula manipulada.

El daño y el coste no pueden comprimirse en una multa

El daño principal fue humano. Quince trabajadores no regresaron a casa. Ciento ochenta personas resultaron heridas según el recuento final de la CSB. Las familias perdieron familiares, ingresos, cuidados y tiempo futuro. Los supervivientes se enfrentaron a consecuencias físicas y psicológicas. Los contratistas y empleados aprendieron que los edificios previstos para su trabajo podían aumentar su vulnerabilidad. La comunidad de Texas City se alarmó por un evento industrial que envió humo, fuego, actividad de emergencia e incertidumbre más allá de la unidad.

La CSB estimó pérdidas financieras superiores a 1.500 millones de dólares. Esa cifra capta una escala económica, no el valor de la vida. Tampoco debe combinarse casualmente con cantidades posteriores de ejecución o acciones correctivas porque las categorías pueden solaparse. La pérdida de producción, los daños a la propiedad, las reclamaciones, los gastos legales, la reparación, las multas y las inversiones posteriores responden a preguntas diferentes.

El acuerdo de 2005 con OSHA incluyó un pago de 21.361.500 dólares, registrado en las exposiciones finales de OSHA enhttps://www.osha.gov/enforcement/bp/final-exhibits-to-bp-agreement. El acuerdo de 2010 por incumplimiento exigió 50,61 millones de dólares y al menos 500 millones de dólares asignados a un programa de seguridad de refinería; el anuncio del Departamento de Trabajo está enhttps://www.dol.gov/intelligence team/releases/osha/osha20100805-0, y la hoja informativa de OSHA enhttps://obis.osha.gov/dep/bp/bpsettlementfactsheet.html. El acuerdo de 2012 añadió 13.027.000 dólares por la mayoría de las infracciones adicionales, documentado enhttps://www.dol.gov/intelligence team/releases/osha/osha20120712. Estos son importes de ejecución finales o acordados, a diferencia del titular propuesto anterior de 87,43 millones de dólares.

La resolución penal del Departamento de Justicia añadió una multa de 50 millones de dólares y libertad condicional. Un acuerdo civil separado de 2010 sobre la Ley de Aire Limpio por otros incendios, una fuga y violaciones de notificación en la refinería impuso 15 millones de dólares; el Departamento de Justicia y la EPA lo describieron enhttps://www.justice.gov/archives/opa/pr/bp-products-pay-largest-single-facility-clean-air-act-penalty-releases-hazardous-pollutants. Ese anuncio también dijo que BP había realizado alrededor de 1.400 millones de dólares en acciones correctivas y gastaría aproximadamente otros 500 millones de dólares en virtud de los requisitos de OSHA y de la resolución penal. Estas declaraciones gubernamentales documentan la escala, pero no prueban que cada dólar produjera una salvaguarda eficaz.

La reparación civil privada no es totalmente auditable a partir de las fuentes aquí utilizadas. Los acuerdos pueden ser confidenciales, clasificados de forma diferente o vinculados a reclamaciones individuales. El artículo no establece, por tanto, un total de indemnización a las víctimas. Esa incógnita debe permanecer visible en lugar de rellenarse con un número no respaldado.

La aplicación de la ley mostró tanto responsabilidad como retraso

El expediente legal importa porque puso a prueba varias obligaciones distintas. OSHA abordó los requisitos de seguridad de procesos en el lugar de trabajo. El Departamento de Justicia y la EPA abordaron los deberes de prevención de liberaciones y medioambientales de la Ley de Aire Limpio. Los tribunales abordaron la acusación penal y los derechos legales de las víctimas. Ninguno de estos registros sustituye a la investigación técnica, y el informe técnico no determina todas las cuestiones legales.

El caso penal estableció la responsabilidad legal corporativa más allá de una citación administrativa. El Departamento de Justicia declaró que BP admitió que, desde 1999 hasta la mañana de la explosión, varios procedimientos necesarios para garantizar la integridad mecánica y un arranque seguro no se habían establecido o se estaban ignorando. La declaración de culpabilidad, la multa penal y la libertad condicional no identificaron a un único culpable humano por cada fallo. Atribuyeron una consecuencia grave a la conducta de la entidad corporativa en virtud de la Ley de Aire Limpio.

La impugnación de las víctimas expuso una segunda cuestión de responsabilidad: quién participa en la resolución. EnIn re Dean, el Quinto Circuito sostuvo que el gobierno y el tribunal de distrito no habían concedido a las víctimas los derechos plenos que proporciona la Ley de Derechos de las Víctimas de Delitos cuando las negociaciones de la declaración de culpabilidad se llevaron a cabo sin consulta oportuna. El tribunal denegó el recurso extraordinario porque las víctimas tuvieron posteriormente oportunidades significativas de hablar y el tribunal de distrito aún debía considerar el acuerdo. Ambas partes importan. Se encontró una violación de derechos; la declaración de culpabilidad no se deshizo automáticamente. Un relato justo no debe informar solo de una mitad.

El seguimiento de OSHA reveló por qué es esencial la evidencia de cierre. El acuerdo de 2005 exigía una evaluación y corrección amplias. Cuatro años después, la agencia alegó 270 incumplimientos y 439 nuevas infracciones intencionadas. BP impugnó partes de ese registro, y acuerdos posteriores reclasificaron, agruparon, retiraron o dejaron algunas citaciones impugnadas. La hoja informativa de OSHA de 2012 enhttps://obis.osha.gov/dep/bp/FactSheet-BP-2012-Agreement.htmlconcilia la secuencia y afirma que las inspecciones de verificación encontraron que los elementos de incumplimiento se corrigieron en virtud del acuerdo de 2010. También conserva el hecho de que algunas citaciones de válvulas de alivio permanecieron en litigio separado.

Esto no es prueba de que nada cambiara después de 2005. Es prueba de que la reforma inicial fue incompleta y de que la verificación externa forzó más trabajo. El retraso en la aplicación también transfirió el riesgo a los trabajadores que permanecieron en la refinería durante el período de corrección. Un sistema duradero no debería requerir un evento catastrófico, un acuerdo récord, una constatación de seguimiento de cientos de deficiencias y otro acuerdo récord antes de que los fundamentos de ingeniería se vuelvan demostrablemente actuales.

El registro normativo más amplio también produjo aprendizaje. OSHA creó un programa de énfasis nacional para refinerías. El API y los sindicatos desarrollaron normas. Sin embargo, la recomendación de cambio organizativo de la CSB sigue abierta. Por tanto, la responsabilidad regulatoria es mixta: inspección y aplicación sólidas tras el desastre, desarrollo significativo de normas y una laguna normativa no resuelta en el punto donde las decisiones corporativas de costes y personal entran en el sistema de peligros.

Lo que el registro de reparación demuestra realmente

El registro de reparación tiene varios niveles de solidez probatoria. La evidencia más sólida específica del sitio proviene de acuerdos regulatorios, trabajo de expertos independientes, inspecciones y cierre de recomendaciones de la CSB. Los informes anuales de la empresa añaden detalles útiles, pero siguen siendo autoinformados.

Las exposiciones finales de OSHA de 2010 dicen que BP completó aproximadamente 660 acciones correctivas impuestas por el acuerdo de 2005. El trabajo incluía cerrar y desmantelar la unidad ISOM; corregir más de 300 deficiencias citadas de seguridad de procesos, eléctricas y otras; ampliar la formación en seguridad y salud; encargar una auditoría PSM exhaustiva; responder a 220 de las 228 recomendaciones de expertos que aceptó; e implementar 100 recomendaciones de una revisión de alivio de presión de unidades seleccionadas.

La misma exposición conservaba las alegaciones de OSHA de que cuatro recomendaciones de sistemas instrumentados de seguridad no se habían implementado y que la revisión de alivios debería haberse extendido más. La evidencia debe incluir tanto la finalización como la disputa.

El acuerdo de 2010 exigía más: evaluación de dispositivos y sistemas de alivio de presión, corrección de desviaciones de la práctica de ingeniería reconocida, análisis robustos de capas de protección, controles interinos, programas en las 28 unidades de proceso, expertos independientes, progreso trimestral y un enlace a nivel de consejo para las preocupaciones de OSHA. La asignación de 500 millones de dólares importaba porque la corrección sin recursos no es un plan.

La verificación de 2012 de que los elementos de incumplimiento se corrigieron es más sólida que una promesa, aunque no demuestra que cada decisión operativa posterior siguiera siendo segura.

El informe anual de 2007 de BP presentado ante la SEC enhttps://www.sec.gov/Archives/edgar/data/313807/000115697308000263/u54999_20f.htminformó de que retiró edificios temporales de las zonas de alto riesgo, puso fuera de servicio 17 chimeneas de purga de refinería relevantes, completó 50 evaluaciones de riesgo de accidentes mayores, fortaleció la auditoría y contrató a unas 640 personas en las refinerías estadounidenses en ingeniería, inspección y apoyo a la seguridad de procesos. Estas declaraciones son prueba de lo que BP afirmó públicamente y a lo que se comprometió en ese momento. Deben leerse junto con, no en lugar de, las conclusiones del seguimiento de OSHA.

El cierre de las recomendaciones de la CSB proporciona otra capa. Las recomendaciones a BP abordaban la experiencia del consejo, la notificación de incidentes, los indicadores de seguridad de procesos, la instrumentación, el historial de mantenimiento, la notificación de cuasi accidentes con el sindicato, la formación en situaciones anormales, la dotación de personal durante los arranques, la supervisión competente y los procedimientos de arranque actuales. La página de investigación enumera esos elementos dirigidos a BP como cerrados mediante una acción aceptable o una acción alternativa aceptable.

El cierre significa que la CSB consideró que la respuesta cumplía o abordaba adecuadamente el objetivo de la recomendación. No es una garantía contra la recurrencia ni equivale al cumplimiento continuo en todas las instalaciones.

La reparación de la industria amplió el impacto. El API RP 753 abordó la ubicación de edificios portátiles. El RP 754 creó indicadores de rendimiento de seguridad de procesos. El RP 755 abordó la fatiga. El API también revisó el RP 521 sobre sistemas de alivio de presión y despresurización. Estos cambios convierten el desastre de una empresa en una línea base de ingeniería compartida. Su valor real depende de la adopción, la auditoría, la implementación sobre el terreno y de si los reguladores y los operadores utilizan las normas para cuestionar acuerdos convenientes pero débiles.

La reparación también necesita un límite temporal. BP vendió la refinería de Texas City a Marathon en 2013. BP siguió siendo responsable de su conducta histórica y obligaciones legales, mientras que Marathon asumió el control operativo actual sobre el activo adquirido. Una afirmación de que "BP reparó Texas City para siempre" ignoraría el cambio de propiedad y la necesidad de mantenimiento continuo. Una afirmación de que las condiciones posteriores en el sitio demuestran automáticamente la reparación de BP sería igualmente infundada.

La conclusión defendible es más estrecha: los registros públicos muestran una reparación técnica, organizativa, de ejecución y basada en normas sustancial, seguida de una transferencia de control operativo.

Hechos confirmados, inferencias respaldadas e incógnitas

Hechos confirmados.El arranque de la ISOM llenó en exceso la columna de destilación de refinado. Las funciones críticas de indicación y alarma no mostraron a los operadores la condición real. Las válvulas de alivio descargaron a un sistema de purga atmosférica, se formó una nube de vapor y la ignición produjo explosiones e incendio. Quince trabajadores murieron y 180 resultaron heridos. Los remolques ocupados estaban dentro del área peligrosa. Los arranques anteriores habían mostrado un comportamiento anómalo. Se documentaron problemas de dotación de personal, fatiga, procedimientos, mantenimiento, ubicación y supervisión corporativa. La CSB atribuyó el desastre a deficiencias organizativas y de seguridad en múltiples niveles. OSHA emitió citaciones extensas y posteriormente encontró incumplimientos. BP llegó a resoluciones penales, administrativas y civiles. La mayoría de las recomendaciones de la CSB se cerraron posteriormente, mientras que la recomendación de gestión del cambio organizativo permaneció abierta en la fecha de acceso.

Inferencias respaldadas.La presión de costes y producción redujo el margen de seguridad porque las decisiones documentadas de gasto y personal afectaron a la formación, el mantenimiento, los trabajos de parada, la supervisión y la sustitución de equipos peligrosos. El evento probablemente se habría prevenido o mitigado materialmente si se hubieran implementado protección independiente contra el llenado excesivo, indicación fiable, un sistema de antorcha cerrado, una preparación disciplinada del arranque o una ubicación segura de los remolques. La dependencia de las tasas de lesiones personales debilitó la visibilidad ejecutiva del riesgo de accidentes mayores. Estas inferencias se siguen de las conclusiones oficiales y la lógica de control; no requieren asignar un motivo privado a cada directivo.

Incógnitas.El registro público utilizado aquí no revela todas las discusiones internas, motivos subjetivos, decisiones de órdenes de trabajo, modelos de clasificación de capital, condiciones de acuerdos legales, recuperaciones de seguros, resultados médicos individuales o condiciones operativas posteriores a la venta. No permite una asignación completa de la pérdida de más de 1.500 millones de dólares entre propiedad, interrupción, reclamaciones, reparación y otras categorías. No demuestra que todas las refinerías de BP o cada propietario posterior implementaran cada lección con igual calidad. Tampoco puede aislar cuánto contribuyó cada capa fallida a la gravedad de la explosión en un porcentaje causal numérico.

La distinción protege tanto el rigor como la equidad. Los hechos confirmados pueden respaldar conclusiones institucionales sólidas. La inferencia respaldada puede explicar por qué importa el diseño de control. Las incógnitas impiden que el análisis se convierta en una historia sobre la intención oculta. La responsabilidad no requiere omnisciencia; requiere una correspondencia basada en la evidencia entre la responsabilidad y el control.

Comparación contrafáctica: controles que cambian la consecuencia

Un contrafáctico útil pregunta qué control disponible habría roto la cadena, no si una organización perfecta podría haber evitado todo error.

Retraso del arranque.Si la dirección hubiera exigido la reparación y las pruebas del transmisor de nivel y las alarmas antes del reinicio, los operadores habrían tenido una imagen más fiable y el arranque podría no haberse producido en absoluto. La incertidumbre es si esas reparaciones por sí solas habrían evitado todas las acciones posteriores. El contrafáctico más sólido combina una indicación precisa con un punto de control formal de preparación.

Protección independiente contra el llenado excesivo.Si un dispositivo de nivel alto-alto separado o una salvaguarda de balance de masa hubiera detenido automáticamente la alimentación, la columna no podría haber seguido llenándose solo porque la indicación primaria era incorrecta. Esto es más sólido que pedir al mismo operador que interprete otra alarma generada por la misma cadena de fallos. Aborda directamente el riesgo de causa común y de respuesta humana.

Eliminación de alivio cerrada.Si las válvulas de alivio hubieran descargado a una antorcha o sistema cerrado diseñado adecuadamente, la protección contra sobrepresión no habría expulsado un gran inventario inflamable al área de trabajo. La CSB declaró que una antorcha habría prevenido o minimizado en gran medida la gravedad del accidente. Este contrafáctico no depende de predecir qué vehículo encendió la nube, porque evita que la nube se forme donde había personas y fuentes de ignición.

Ubicación segura.Si los remolques temporales y los trabajadores no esenciales hubieran estado fuera de la zona de explosión modelada, el evento podría haber dañado equipos, pero la exposición de víctimas masivas habría sido radicalmente diferente. El registro oficial de la explosión de la refinería Husky Superior en 2018 enhttps://www.csb.gov/husky-energy-superior-refinery-explosion-and-fire/proporciona una comparación imperfecta pero instructiva. Treinta y seis trabajadores resultaron heridos y el evento causó daños importantes, pero la CSB señaló que muchos trabajadores se habían trasladado a edificios resistentes a explosiones o se habían alejado de la unidad durante una pausa. Su resumen del aniversario de Texas City también señala que la refinería Superior había reubicado los remolques de los contratistas y posteriormente exigió unidades resistentes a explosiones. Esto no es un experimento controlado y no demuestra que la ubicación por sí sola explique la ausencia de muertes. Apoya la inferencia más estrecha de que separar a las personas de los peligros del proceso cambia la exposición cuando falla la prevención.

Dotación de personal y gestión de situaciones anormales.Un segundo operador de panel formado, un supervisor competente, un traspaso de turno eficaz y una práctica realista en simulador podrían haber desafiado la fijación en la lectura de nivel engañosa. Los límites de fatiga podrían haber mejorado la atención y el juicio. Estos son controles administrativos y de rendimiento humano, por lo que son menos independientes que un disparo automático, pero añaden diversidad a la defensa.

Gestión del cambio organizativo.Si las decisiones presupuestarias, de personal y de reorganización hubieran requerido una revisión documentada de seguridad de procesos, los responsables de la toma de decisiones habrían tenido que identificar qué salvaguardas, competencias, inspecciones y acciones abiertas afectaban los recortes. La revisión podría haber rechazado el cambio, financiado controles compensatorios o expuesto el riesgo restante a una autoridad superior. No puede afirmarse con certeza que el papeleo habría evitado el evento. El contrafáctico depende de una revisión con autoridad real, datos precisos y cierre ejecutable.

Estas comparaciones muestran por qué el accidente era prevenible sin pretender que existía una bala de plata. Había múltiples controles disponibles, y varios habrían evitado la liberación o separado a los trabajadores de sus consecuencias. Una responsabilidad duradera requiere preservar esa redundancia.

La evidencia posterior prueba si el aprendizaje viajó

La cuestión de la durabilidad se extiende más allá de una unidad reparada. En septiembre de 2022, se produjo una liberación mortal de nafta e incendio en la refinería de BP en Toledo. La página de investigación de la CSB enhttps://www.csb.gov/bp---husky-oregon-chemical-release-and-fire-/registra dos muertes, grandes pérdidas de propiedad, una inundación de alarmas, desbordamiento de líquidos, gestión débil de situaciones anormales y oportunidades de aprendizaje perdidas de un evento anterior. La CSB identificó explícitamente similitudes entre los escenarios de desbordamiento de Toledo y Texas City.

Esa comparación debe acotarse. Toledo involucró equipos diferentes, una secuencia diferente, personas diferentes y una refinería adquirida posteriormente por otra empresa. No demuestra que el trabajo de acuerdo de Texas City fuera falso o que los mismos directivos tomaran las mismas decisiones. Demuestra que el aprendizaje empresarial no puede inferirse únicamente del cierre de acciones en un solo sitio.

Si una empresa afirma que una lección es corporativa, la prueba es si el análisis de peligros, la gestión de alarmas, la protección contra desbordamientos, la autoridad para detener el trabajo y el aprendizaje de incidentes viajan a través de las instalaciones y sobreviven a los cambios de liderazgo y propiedad.

El registro de Toledo también refuerza la jerarquía de controles. Los operadores se enfrentaron a miles de alarmas y una situación anómala en cascada. Cuando un proceso depende de una respuesta humana improvisada tras el fallo de las salvaguardas, el mismo patrón de responsabilidad vuelve: quién diseñó la filosofía de alarmas, quién aseguró la protección independiente contra desbordamientos, quién convirtió los hallazgos anteriores en acción y quién tenía autoridad para parar. La comparación es relevante porque el patrón de fallo, no el hardware exacto, es lo que la gobernanza de la seguridad de procesos debe aprender.

Las normas del sector proporcionan otro mecanismo de viaje. Las reglas sobre edificios portátiles, sistemas de fatiga, métricas de seguridad de procesos y directrices de alivio más seguras pueden llegar a empresas que no formaban parte del incidente original. El resumen de 2025 de la CSB trata esos cambios como resultados positivos del sector. Pero una norma publicada es solo un control potencial. La verificación requiere estudios de peligros del sitio, registros de ingeniería, participación de la fuerza laboral, inspección, pruebas, simulacros y evidencia de que los hallazgos se cierran antes de la operación.

La prueba de responsabilidad duradera

Texas City supera una prueba de responsabilidad duradera solo si la evidencia sigue siendo utilizable después de los titulares, acuerdos, cambios de liderazgo y venta de la refinería.

En primer lugar, elexpediente técnicodebería demostrar la seguridad del arranque. Debería identificar los escenarios creíbles de llenado excesivo; mostrar una indicación de nivel independiente y correctamente calibrada; documentar los puntos de consigna de las alarmas y las pruebas de funcionamiento; demostrar una acción protectora automática o alternativas justificadas; mostrar el balance de masa de entrada y salida; validar los procedimientos contra la práctica operativa real; y exigir una revisión previa al arranque que pueda detener el trabajo. Un elemento de acción cerrado sin resultados de prueba no es suficiente.

En segundo lugar, elexpediente de control de consecuenciasdebería demostrar que una capa de prevención fallida no se convierte en un evento de víctimas masivas. Los estudios de alivio deberían cubrir escenarios de líquido y vapor, la eliminación debería evitar la descarga atmosférica inflamable cuando exista peligro de nube de vapor, el control de la ignición debería ser creíble y los edificios ocupados deberían estar ubicados o construidos para los peligros modelados de incendio, toxicidad, proyectiles y explosión. La conveniencia temporal nunca debe primar sobre la seguridad de la vida.

En tercer lugar, elexpediente de rendimiento humanodebería mostrar una dotación de personal adecuada, supervisión, traspaso de turno, límites de fatiga, evaluación de competencias, simulacros de situaciones anormales, pantallas de sala de control utilizables y autoridad del trabajador para detener un arranque. Debería distinguir la culpa del aprendizaje. Una organización que disciplina al último operador pero deja instrumentos engañosos y una carga de trabajo imposible sin cambios no ha reparado el sistema.

En cuarto lugar, elexpediente de integridad mecánicadebería mostrar que los defectos críticos para la seguridad se reparan antes de su uso o se gestionan mediante controles documentados y acotados en el tiempo que garanticen realmente una operación segura. La antigüedad de las órdenes de trabajo, las inspecciones vencidas, el deterioro de las alarmas, los bypass de los sistemas instrumentados de seguridad, el estado de los dispositivos de alivio y los fallos repetidos deberían llegar a la dirección como indicadores adelantados. El trabajo diferido debería identificar quién aceptó el riesgo, durante cuánto tiempo, con qué evidencia y con qué protección compensatoria.

En quinto lugar, elexpediente de costes y organizacióndebería someter los recortes presupuestarios, los cambios de personal, las fusiones, las reorganizaciones, la subcontratación y la compresión de paradas a una revisión formal de seguridad. La revisión debería cuantificar las salvaguardas y competencias afectadas, incluir la experiencia de los trabajadores y de seguridad de procesos, nombrar a los aprobadores responsables, preservar la disidencia e impedir que la producción se reanude hasta que se cierren las acciones requeridas. Esta es la lección normativa no resuelta en el registro de la CSB.

En sexto lugar, elexpediente de gobernanzadebería permitir a los ejecutivos y al consejo ver el riesgo catastrófico directamente. Los indicadores adelantados deberían incluir el mantenimiento crítico vencido, las acciones de análisis de peligros abiertas, las capas protectoras deterioradas, las inundaciones de alarmas, las pérdidas de contención, los incidentes repetidos, las desviaciones de procedimientos, la exposición a la fatiga y la calidad del cierre de auditorías. Las tasas de lesiones personales rezagadas siguen siendo útiles, pero no pueden sustituir a estas medidas. La compensación y el ascenso no deberían recompensar el rendimiento de producción o costes logrado conllevando un riesgo de proceso oculto.

En séptimo lugar, elexpediente normativo y de reparacióndebería conservar las citaciones, los acuerdos, los elementos impugnados, los resultados de verificación, la participación de las víctimas y el impacto en la comunidad sin colapsarlos en un total de relaciones públicas. El expediente del Quinto Circuito muestra que las personas afectadas deben ser escuchadas antes de que una resolución penal quede efectivamente fijada. El expediente de OSHA muestra que la inspección de seguimiento es necesaria para distinguir la corrección prometida de la corrección completada.

Por último, elexpediente de aprendizajedebería viajar. Una lección de Texas City debería aparecer en todas las instalaciones relevantes de la era BP, en los sistemas del propietario sucesor, en las normas del sector y en la práctica de inspección de los reguladores. Los incidentes posteriores deberían desencadenar una comparación con los hallazgos originales, no ser tratados como sorpresas aisladas. La transferencia de propiedad debería incluir el estado y la evidencia de los compromisos críticos de seguridad para que una venta no restablezca la memoria institucional.

El registro hasta el 15 de julio de 2026 respalda una conclusión sobria. BP y la industria realizaron reparaciones sustanciales; los reguladores impusieron consecuencias significativas; las normas cambiaron; y la CSB cerró la mayoría de las recomendaciones. El mismo registro también muestra una corrección retrasada, una violación de los derechos de las víctimas, paralelismos posteriores de desbordamiento en otra refinería operada por BP y una recomendación normativa aún abierta en la intersección del coste, la dotación de personal y la seguridad.

Por eso Texas City sigue siendo una prueba de responsabilidad en lugar de un episodio histórico cerrado. La seguridad de procesos es duradera solo cuando la autoridad para gastar menos se empareja con el deber documentado de demostrar que gastar menos no ha comprado más riesgo.