Bow-Tie de risco crítico: como montar em 11 passos

Bow-Tie de risco crítico é um método visual para ligar ameaça, evento central, consequência, barreiras preventivas e barreiras mitigadoras em uma única leitura operacional. Ele funciona melhor quando cada barreira tem evidência de campo, dono definido e rotina de verificação, porque o diagrama sozinho não controla risco.

O erro comum é tratar o Bow-Tie como desenho de consultoria. A equipe reúne especialistas, preenche caixas, exporta o diagrama e guarda o arquivo no PGR. O risco continua igual. Em 25+ anos de EHS executivo, Andreza Araujo identifica que a virada acontece quando o Bow-Tie deixa de explicar o passado e passa a orientar a decisão do turno: posso liberar esta tarefa hoje, com estas barreiras, neste estado real?

Passo 1: Defina o risco crítico antes de desenhar o diagrama

O primeiro passo é escolher um risco cuja perda de controle possa gerar fatalidade, incapacidade permanente, múltiplas vítimas ou dano operacional severo. Bow-Tie não deve ser usado para qualquer desvio menor, porque o excesso de diagramas enfraquece a atenção da liderança e dilui os recursos de verificação.

Comece pelo inventário de riscos do PGR, pelos eventos de alto potencial e pelas tarefas nas quais uma única falha pode atravessar várias camadas de proteção. Se o tema for energia perigosa, por exemplo, o recorte precisa dizer se o cenário é partida inesperada, trabalho energizado, bloqueio incompleto ou energia residual acumulada.

A pergunta decisiva é simples: qual cenário merece uma reunião semanal de barreiras críticas, e não apenas uma linha na matriz? Esse critério aproxima o Bow-Tie de uma rotina semanal de barreiras críticas, na qual o supervisor discute evidência viva, e não apenas classificação teórica.

Passo 2: Escreva o evento central em uma frase verificável

O evento central é a perda de controle que fica no nó do Bow-Tie, entre as ameaças e as consequências. Ele precisa ser escrito como fato observável, não como tema amplo; caso contrário, o diagrama vira uma conversa genérica sobre segurança.

Troque fórmulas vagas por frases que possam ser reconhecidas em campo. Em vez de “queda de altura”, use “trabalhador conectado a ponto de ancoragem inadequado durante manutenção em telhado”. Em vez de “vazamento químico”, use “liberação não contida de produto corrosivo durante transferência para tanque”.

Essa frase também protege contra uma armadilha frequente: misturar ameaça, evento e consequência na mesma caixa. Quando o evento central está limpo, a equipe consegue separar o que provoca a perda de controle, o que impede a perda e o que reduz dano depois que a perda ocorreu.

Passo 3: Liste ameaças reais, não categorias abstratas

As ameaças são condições ou ações que podem levar ao evento central, e cada uma precisa nascer de evidência operacional. Relato de quase-acidente, manutenção corretiva repetida, inspeção vencida, desvio observado e mudança temporária não controlada são entradas mais úteis que uma lista copiada de procedimento.

Em mais de 250 projetos de transformação cultural acompanhados por Andreza Araujo, ameaças relevantes costumam aparecer primeiro como sinais fracos que a rotina aprendeu a normalizar. O operador chama de “jeitinho”, a manutenção chama de “adaptação” e o gerente só enxerga quando a sequência já virou incidente.

Separe ameaça de causa raiz. O Bow-Tie não substitui investigação nem análise profunda; ele organiza o cenário para gestão cotidiana. Se a ameaça descrita exige três parágrafos para ser entendida, provavelmente ela precisa ser quebrada em ameaças menores, cada uma com barreiras específicas.

Passo 4: Descreva consequências com severidade operacional

As consequências ficam à direita do evento central e mostram o que pode acontecer depois que o controle foi perdido. A boa descrição combina efeito sobre pessoas, processo e continuidade operacional, sem transformar cada consequência em uma previsão dramática sem base técnica.

Use termos que ajudem a priorizar. Fatalidade, amputação, queimadura química, colapso estrutural, exposição múltipla e contaminação ambiental pedem tratamento diferente de atraso, retrabalho ou perda material limitada. A severidade deve orientar quais barreiras receberão mais verificação e orçamento.

Essa etapa também impede o uso ingênuo de indicadores reativos. Como Andreza Araujo argumenta em Muito Além do Zero, bons números não provam capacidade quando o sistema só mede o que já aconteceu. O Bow-Tie força a conversa antes da perda, no estado das barreiras.

Passo 5: Separe barreiras preventivas de barreiras mitigadoras

Barreiras preventivas reduzem a chance de o evento central ocorrer, enquanto barreiras mitigadoras reduzem a gravidade depois que a perda de controle já aconteceu. Misturar essas duas funções deixa o Bow-Tie bonito no papel, mas fraco para decisão de campo.

Travamento físico, intertravamento, bloqueio de energia, permissão de trabalho bem revisada e inspeção pré-uso podem ser preventivos, dependendo do cenário. Plano de emergência, chuveiro lava-olhos, contenção secundária, equipe de resgate e comunicação de crise costumam entrar como mitigadores.

A hierarquia importa. Se todas as barreiras têm o mesmo peso no desenho, a liderança pode acreditar que treinamento compensa falha de projeto ou que EPI substitui eliminação do perigo. Esse ponto conversa diretamente com a hierarquia de controles em SST, que ajuda a ordenar a força real de cada camada.

Passo 6: Defina o padrão mínimo de funcionamento de cada barreira

Cada barreira precisa ter um padrão mínimo de funcionamento, cuja verificação seja possível no turno. Sem esse padrão, a equipe declara que a barreira existe, mas ninguém sabe dizer se ela está inteira, degradada, mascarada ou indisponível.

Para bloqueio de energia, o padrão pode exigir cadeado individual, etiqueta, teste de energia zero e registro da pessoa autorizada. Para detector multigás, pode exigir calibração vigente, teste de resposta antes do uso, sensor compatível com o contaminante e usuário treinado para interpretar alarme.

A frase “barreira existente” deve sair do vocabulário de gestão. O estado da barreira é que decide a exposição. Uma barreira degradada pede ação diferente de uma barreira mascarada, tema aprofundado no artigo sobre estados de barreira no campo.

Passo 7: Atribua um dono para cada barreira crítica

Barreira sem dono vira responsabilidade difusa. O Bow-Tie precisa registrar quem mantém, quem verifica, quem libera exceção e quem responde quando a barreira falha, porque risco crítico não pode depender de boa vontade coletiva.

O dono não é sempre o técnico de segurança. Em muitos cenários, manutenção responde por integridade, operação responde por uso correto, engenharia responde por especificação e liderança de turno responde pela decisão de parar. SST facilita o método, mas não deve carregar sozinho a governança do risco.

A Ilusão da Conformidade, de Andreza Araujo, ajuda a nomear esse desvio: o sistema parece robusto porque todos assinaram, embora ninguém tenha assumido a decisão concreta. Para evitar esse vazio, use uma matriz simples de responsabilidade e conecte o Bow-Tie ao papel do dono de barreira crítica.

Passo 8: Escolha evidências de campo para provar que a barreira funciona

A evidência de campo é o que transforma o Bow-Tie em ferramenta de gestão, porque mostra se a barreira funcionou na condição real da operação. Registro, foto, teste, medição, checklist assinado e observação direta podem servir, desde que comprovem funcionamento e não apenas presença documental.

Um procedimento revisado não prova que o bloqueio foi aplicado. Um certificado de treinamento não prova que a pessoa reconheceu energia residual. Uma inspeção lançada no sistema não prova que o item crítico foi testado. Essa diferença separa conformidade de controle efetivo.

Use poucas evidências, mas escolha evidências fortes. Para cada barreira crítica, defina no máximo duas provas: uma de integridade e uma de uso. Quando a verificação exige dez anexos, o supervisor deixa de verificar e volta para o rito burocrático.

Passo 9: Construa indicadores de exposição, barreira e decisão

O Bow-Tie precisa gerar indicadores que mostrem exposição ao risco, estado da barreira e qualidade da decisão da liderança. Sem esses três olhares, a empresa fica presa ao acidente já ocorrido ou ao percentual de plano cumprido.

Indicador de exposição mede quantas vezes a operação entrou no cenário crítico. Indicador de barreira mede quantas barreiras estavam íntegras ou degradadas. Indicador de decisão mede se a liderança parou, escalou ou aceitou exceção quando a barreira não estava no padrão.

Essa combinação torna o painel mais útil que o TRIR isolado. A comparação entre indicador de exposição, barreira e decisão mostra por que o comitê executivo precisa enxergar a pressão operacional antes que ela apareça como acidente.

Passo 10: Teste o Bow-Tie em uma tarefa real antes de aprovar

O Bow-Tie deve ser testado em campo com uma tarefa real, uma equipe real e uma condição real de liberação. Esse teste revela termos ambíguos, barreiras impossíveis de verificar e responsabilidades que pareciam claras na sala, mas desaparecem no turno.

Escolha uma atividade crítica dos próximos sete dias e acompanhe a preparação. Pergunte ao executante quais barreiras impedem o evento central, ao supervisor quais evidências ele aceita e à manutenção quais condições tornam a barreira indisponível. Se as respostas divergirem, o desenho ainda não está pronto.

James Reason mostrou que acidentes emergem quando várias camadas falham ao mesmo tempo. O teste de campo procura justamente esses buracos antes da combinação perigosa. Não é auditoria para punir; é ensaio de controle antes que o sistema seja pressionado.

Passo 11: Transforme o diagrama em rotina de revisão

O último passo é definir quando o Bow-Tie será revisado, por quem e com base em quais sinais de mudança. Risco crítico muda quando há alteração de processo, troca de produto, contratação de terceiros, mudança de ritmo, falha repetida de barreira ou quase-acidente de alto potencial.

A revisão não precisa esperar doze meses. Para riscos críticos, o gatilho deve ser operacional. Uma barreira que aparece degradada por três semanas seguidas, uma exceção aceita sem escalonamento ou uma tarefa executada fora do cenário previsto já justificam reabrir o Bow-Tie.

Andreza Araujo defende em Cultura de Segurança que risco identificado se elimina ou controla; não fazer nada não é opção. O Bow-Tie cumpre essa frase quando vira rotina de decisão, não quando vira imagem anexada ao PGR.

Checklist final para validar o Bow-Tie

Antes de aprovar o diagrama, a equipe deve checar se ele responde às perguntas que sustentam a decisão de campo. Use o checklist abaixo como gate mínimo para riscos críticos.

• O evento central descreve uma perda de controle observável em campo.
• Cada ameaça tem evidência operacional, não apenas opinião de sala.
• Barreiras preventivas e mitigadoras estão separadas por função.
• Cada barreira crítica tem padrão mínimo, dono e evidência de funcionamento.
• O painel mede exposição, estado de barreira e decisão da liderança.
• Há gatilhos claros para revisão antes da auditoria anual do PGR.

Conclusão

Bow-Tie de risco crítico funciona quando obriga a operação a responder quatro perguntas: qual perda de controle queremos evitar, quais barreiras impedem essa perda, como sabemos que elas funcionam hoje e quem decide quando elas falham. Sem essas respostas, o diagrama é só uma fotografia organizada de intenções.

O ganho prático aparece quando supervisor, manutenção, engenharia e SST usam a mesma linguagem para discutir barreira. A partir desse ponto, o PGR deixa de ser inventário e passa a orientar escolhas reais, especialmente nos dias em que produção, prazo e pressão tentam empurrar o risco para debaixo do documento.