Bow-Tie com barreira viciada: 7 erros técnicos que invalidam o controle crítico

O Bow-Tie pode estar desenhado, validado e aprovado e ainda assim ter cada barreira individual viciada por erro técnico — controle administrativo disfarçado de engenharia, ausência de fator de degradação, responsabilidade sem nome. Este artigo trata o método pela barreira, não pelo método. As falhas organizacionais que engavetam o Bow-Tie inteiro estão em 7 falhas que engavetam o método. Aqui o foco está nos sete vícios técnicos que invalidam cada barreira antes do top event.

Por que o Bow-Tie é tratado como nível avançado e ainda assim mente sobre o controle

O Bow-Tie consolidou-se na indústria do petróleo, na mineração e no segmento químico como método capaz de discriminar barreiras preventivas, à esquerda do evento topo, e barreiras mitigatórias, à direita, com fatores de degradação cruzando cada barreira. Em SST brasileiro, o método chegou ao PGR como sucessor da matriz 5x5, com promessa de transformar classificação em controle. Na prática, costuma reproduzir os mesmos vícios da matriz, agora num diagrama mais sofisticado.

Como Andreza Araújo defende em A Ilusão da Conformidade, cumprir formato avançado e controlar risco são posições distintas. O Bow-Tie preenchido em PowerPoint passa pela auditoria documental do MTE, ainda que cada barreira do diagrama esteja mal nomeada, mal posicionada ou sem responsável de verificação. O que distingue Bow-Tie vivo de Bow-Tie decorativo é a possibilidade de auditar barreira por barreira em campo, no mesmo dia em que o diagrama foi exibido na reunião de planta.

O que segue são sete erros estruturais que aparecem em planta industrial, mineração, agro e construção, cada um com sinal observável e correção possível em ciclo curto de revisão técnica do PGR.

1. Evento topo descrito como cenário, não como evento físico

O primeiro erro é nomear o evento topo (também chamado de top event) como cenário amplo do tipo "perda de controle do processo", em vez de descrevê-lo como evento físico discreto, do tipo "queda do trabalhador acima de dois metros" ou "liberação não controlada de cloro". Quando o evento topo é abstrato, todas as barreiras à direita ficam abstratas, e a discriminação entre preventivo e mitigatório vira ginástica retórica.

Como Andreza Araújo defende em Cultura de Segurança, método não corrige descrição imprecisa — apenas sofistica a confusão. Em mais de duzentos e cinquenta projetos de transformação cultural acompanhados por Andreza Araújo, esse padrão aparece como o sinal mais barato de Bow-Tie sem campo: o engenheiro do PGR conseguiu desenhar o diagrama dentro do escritório, sem entrevistar o operador da linha.

A correção é trocar o evento topo por descrição operacional testável. "Perda de controle de manutenção" vira "abertura indevida de válvula durante serviço com energia residual"; "perda de controle em altura" vira "queda do trabalhador acima de dois metros após falha do ponto de ancoragem". O teste é simples: o supervisor de turno consegue identificar o evento na tarefa que ele acabou de aprovar?

Evento topo bem descrito é pré-condição para o segundo erro estrutural deixar de ocorrer, ligado à mistura de barreiras preventivas e mitigatórias do mesmo lado do diagrama.

2. Barreiras preventivas e mitigatórias misturadas

O segundo erro é tratar como preventiva uma barreira que, na cadeia causal, age depois do evento topo. Plano de resgate em altura é mitigatório, embora apareça à esquerda do diagrama em parte expressiva dos PGRs revisados, com efeito direto na priorização do investimento, porque planta com barreira mitigatória do lado preventivo subestima o lado mitigatório real.

Como descrito em 80 Maneiras de Ampliar a Percepção de Risco, classificar barreira pelo lado errado do diagrama equivale a confundir freio com airbag. Em projetos acompanhados pela Andreza Araújo, a frequência desse erro é alta justamente em PGR de planta com matriz 5x5 já consolidada, porque o time importa o conteúdo da matriz para o Bow-Tie sem revisar o sequenciamento causal.

A correção operacional é aplicar o teste do antes-depois: a barreira impede a ocorrência do evento topo, ou apenas reduz a consequência depois que ele acontece? Permissão de Trabalho, LOTO e isolamento físico operam à esquerda; resgate, contenção e neutralização operam à direita. Esse teste, descrito em a leitura crítica da matriz 5x5, é o mesmo que separa controle preventivo real de controle mitigatório de fachada.

Quando o sequenciamento está correto, o time costuma descobrir que a planta tem mais barreira mitigatória do que preventiva, e é nesse ponto que o terceiro erro aparece.

3. Controle administrativo disfarçado de barreira de engenharia

O terceiro erro é classificar como barreira de engenharia o que, na hierarquia de controles, é controle administrativo. Procedimento operacional, treinamento e supervisão são controles administrativos; barreira de engenharia exige dispositivo físico que continue presente quando o operador não está ali. A confusão decora o Bow-Tie com camadas que, na prática, dependem todas do comportamento humano.

A consequência é estatística: barreira administrativa tem efetividade observável em campo entre 30% e 60% inferior à de barreira de engenharia equivalente, porque depende de adesão consistente em três turnos. Como Andreza Araújo argumenta em Cultura de Segurança, o Bow-Tie que confunde os dois níveis declara controles que, em auditoria de campo, simplesmente não estão lá. A hierarquia de controles aplicada ao orçamento mostra esse padrão com dado financeiro.

A correção operacional é etiquetar cada barreira do diagrama com a camada da hierarquia: eliminação, substituição, engenharia, administrativo e EPI. Quando a planta concentra barreiras nos dois últimos níveis, o Bow-Tie está mostrando, de forma involuntária, que a operação financia EPI e procedimento em vez de financiar engenharia, e essa leitura sozinha justifica a discussão orçamentária na próxima reunião do C-level.

Etiquetar a hierarquia expõe o quarto erro estrutural, ligado ao que costuma ser o ponto cego mais caro do Bow-Tie em planta brasileira.

4. Sem fator de degradação (escalation factor) nas barreiras

O quarto erro é desenhar o Bow-Tie sem fator de degradação, isto é, sem nomear as condições nas quais cada barreira perde efetividade. Toda barreira degrada (válvula trava, EPI vence, treinamento perde aderência, supervisão muda no turno), e o Bow-Tie sem fator de degradação trata barreiras como infalíveis, hipótese que o canteiro contradiz semanalmente.

O modelo do queijo suíço de James Reason é a referência teórica direta para o fator de degradação: cada barreira tem buracos, e a degradação descreve como esses buracos crescem ao longo do tempo. Como Andreza Araújo argumenta em Sorte ou Capacidade, ignorar a degradação é a forma mais comum de transformar acidente sistêmico em "azar do operador" no relatório de investigação.

A correção operacional é registrar, ao lado de cada barreira, ao menos uma condição de degradação observável: o ponto de ancoragem em corrosão, o LOTO sem etiqueta visível na válvula, o treinamento de NR vencido em mais de doze meses. Esse registro vira indicador leading no painel de planta e vira campo de auditoria interna que o supervisor consegue executar em meia hora durante a caminhada de segurança.

O fator de degradação só funciona quando alguém é responsável por verificá-lo, e aqui aparece o quinto erro.

5. Sem responsável nomeado para verificação de barreira

O quinto erro é deixar a barreira do diagrama sem responsável nomeado pela verificação operacional. Verificação periódica sem dono concreto é responsabilidade difusa, e responsabilidade difusa, em SST, equivale a responsabilidade ausente.

Como Andreza Araújo defende em Faça a Diferença, Seja Líder em Saúde e Segurança, o supervisor de turno é o único nível organizacional cuja proximidade física diária com a barreira no canteiro permite verificação consistente. Por isso, é o responsável natural pela verificação da maioria das barreiras de engenharia e administrativas. Quando o Bow-Tie não nomeia esse supervisor, a barreira passa a depender exclusivamente da inspeção mensal do técnico de SST, frequência incompatível com a degradação real do canteiro.

A correção operacional é preencher, em cada barreira, três campos mínimos: nome da função responsável (não da pessoa, para resistir a turnover), frequência mínima de verificação e gatilho extraordinário de verificação (após chuva, após troca de turno, após manutenção corretiva). A coluna de responsável é o que separa Bow-Tie operacionável de Bow-Tie informativo.

O sexto erro fecha o ciclo de degradação, porque tem a ver com o momento em que o Bow-Tie deveria mudar e não muda.

6. Diagrama estático sem revisão pós-incidente

O sexto erro é tratar o Bow-Tie como artefato pronto após a primeira elaboração, com ciclo de revisão sincronizado com a auditoria documental — anual ou bienal, no melhor cenário. Quase-acidente (near-miss) é dado novo de calibração, e ignorá-lo significa rodar a operação por mais doze meses com diagrama parcialmente refutado por evento real.

Como Andreza Araújo descreve em Sorte ou Capacidade, o evento precursor é o sinal mais barato que a operação recebe antes da fatalidade. Em mais de duzentos e cinquenta projetos acompanhados por Andreza Araújo, plantas que revisam o Bow-Tie a cada near-miss reduziram a taxa de SIF de forma mais consistente do que plantas que revisaram apenas após a fatalidade. O ciclo de aprendizagem ficou ancorado em sinal precursor, e não em evento consumado.

A correção é definir o gatilho de revisão por evento, e não por calendário. Todo near-miss e todo incidente classificado como SIF potencial dispara reavaliação da linha correspondente do Bow-Tie, com prazo definido entre sete e quinze dias e responsável nomeado. Esse mesmo gatilho aparece em 5 Porquês aplicado a SIF como condição para que a investigação alimente a gestão de risco em vez de morrer no relatório.

O sétimo erro estrutural fecha o circuito do Bow-Tie, e tem a ver com o lugar onde o diagrama vive na arquitetura documental do PGR.

7. Bow-Tie isolado da matriz de risco e do PGR

O sétimo erro é manter o Bow-Tie como artefato isolado, fora da matriz de risco e da estrutura documental do PGR, em arquivo apartado que circula apenas entre engenheiros de risco. O efeito é que o supervisor da planta nunca lê o diagrama, e a barreira preventiva nomeada em arquivo distante deixa de virar verificação na PT do dia.

Como descrito em os cinco sinais de NR cumprida que escondem risco real, o instrumento técnico que vive isolado da rotina operacional é, na prática, instrumento decorativo. Em mais de duzentos e cinquenta projetos, Andreza Araújo identifica que o Bow-Tie começa a operar como gestão real apenas quando a coluna "barreira" do diagrama coincide, item por item, com a coluna "controle existente" da matriz 5x5 e com o conteúdo da APR e da AST do canteiro.

A correção é integração documental — o evento topo do Bow-Tie aparece como linha da matriz; cada barreira preventiva aparece como controle proposto na matriz; cada barreira mitigatória aparece como item do plano de resgate ou de contingência. Sem essa integração, o Bow-Tie é palestra técnica do gerente de risco para o gerente de risco.

As sete falhas vistas até aqui têm padrão visual quando o Bow-Tie é confrontado com sua versão operacionável, e a tabela seguinte sintetiza essa comparação.

Comparação: Bow-Tie vivo e Bow-Tie decorativo

Como auditar seu Bow-Tie em quarenta minutos

Pegue um Bow-Tie do PGR da sua planta e rode esta auditoria curta, que cabe em quarenta minutos do gerente SST e dispensa software:

• Leia o evento topo em voz alta para o supervisor de turno; quando ele não consegue identificar a tarefa correspondente, a descrição é abstrata.
• Aplique o teste do antes-depois a cada barreira: a barreira impede o evento topo ou apenas reduz a consequência? Toda barreira na coluna errada conta como erro estrutural.
• Etiquete cada barreira pela camada da hierarquia de controles; quando o diagrama concentra barreiras em administrativo e EPI, a engenharia foi pulada.
• Verifique se cada barreira tem fator de degradação registrado; ausência total significa que a planta trata barreiras como infalíveis.
• Confira o nome da função responsável pela verificação de cada barreira, frequência mínima e gatilho extraordinário; "verificação periódica" genérica conta como ausente.
• Localize o último near-miss reportado na linha do Bow-Tie correspondente; sem revisão associada, o gatilho de aprendizagem está quebrado.
• Confronte a coluna de barreira do diagrama com a coluna de controle da matriz de risco; quando os dois não conversam, o Bow-Tie vive em ilha documental.

A auditoria não substitui a revisão completa do PGR, ainda que identifique em quarenta minutos o que a fiscalização documental do MTE costuma deixar passar, porque a fiscalização confirma a existência do diagrama e a auditoria interna confirma a qualidade dele.

O que muda quando o Bow-Tie vira ferramenta de campo

O modelo do queijo suíço de James Reason ensina que toda barreira tem buracos, e a função do gestor de risco é desalinhar esses buracos para que o risco não passe pelas camadas de controle. O Bow-Tie é o modelo do queijo suíço desenhado em forma operacional: cada barreira é uma fatia, e o fator de degradação é a equação que mostra como o buraco da fatia cresce. Quando o diagrama vive na rotina do canteiro, o desalinhamento dos buracos vira atividade diária do supervisor, e não seminário trimestral do gerente de risco.

Durante a passagem pela PepsiCo na América Latina, na qual a taxa de acidentes caiu 86% em horas trabalhadas, Andreza Araújo conduziu integração semelhante. O Bow-Tie deixou de viver no escritório e passou a aparecer impresso na sala de comando, com fator de degradação visível e responsável nomeado por barreira. O resultado não veio de mais formulários, e sim de um diagrama que recusou o consenso operacional sobre o que conta como barreira real.

Cada ciclo de doze meses com Bow-Tie decorativo é um ciclo no qual o canteiro acredita ter mais barreiras do que tem, e nenhuma fiscalização documental do MTE vai contestar a existência das barreiras antes do evento que prove a ausência delas.

Conclusão

O Bow-Tie não é o problema; o problema é a calibração que o transforma em palestra técnica. Refazer o diagrama com sequenciamento causal, fator de degradação e responsável nomeado custa menos do que o pior cenário compatível com a tarefa atual da planta.

Para um diagnóstico estruturado da cultura que sustenta o Bow-Tie no canteiro e na planta, a consultoria de Andreza Araújo conduz a apuração ponta a ponta, com base na metodologia descrita em Diagnóstico de Cultura de Segurança.