Bow-Tie em SST: 7 falhas que engavetam o método

Em planta industrial brasileira, o diagrama de Bow-Tie costuma aparecer duas vezes em cinco anos. A primeira na auditoria externa que exige o documento; a segunda no relatório pós-acidente que descobre que o desenho estava correto no PowerPoint e ausente no canteiro. Em mais de 250 projetos de transformação cultural conduzidos por Andreza Araujo, o padrão recorrente é Bow-Tie de top event grave sem evidência de teste de barreira nos últimos doze meses, ainda que o diagrama esteja arquivado e formalmente revisado. Este guia explica por que o método engaveta justamente nas plantas que melhor o desenharam, e mostra sete falhas estruturais que transformam barreiras teóricas em complacência cultural.

Por que o Bow-Tie engaveta antes do próximo SIF

O Bow-Tie nasceu nos anos noventa na indústria petroquímica para visualizar, em um único quadro, o caminho entre causas e consequências de um evento crítico. Centro do diagrama é o top event, flanqueado à esquerda pelas threats que podem dispará-lo e à direita pelas consequências que dele decorrem. Cada barreira preventiva à esquerda interrompe a progressão da threat para o top event, ao passo que cada barreira mitigatória à direita reduz a severidade depois que o evento ocorre.

O método é elegante no quadro branco, e essa elegância é parte do problema, porque o documento parece exaustivo demais para falhar. Como Andreza Araujo defende em A Ilusão da Conformidade, ter o diagrama produzido com rigor não é o mesmo que ter as barreiras ativas no chão de fábrica. O gestor que confunde uma coisa com a outra constrói o cenário em que uma fatalidade ocorre com Bow-Tie atualizado, auditoria 100% e conformidade documental imaculada.

1. Top event escolhido pelo último incidente, não pelo risco material

A escolha do top event determina toda a arquitetura do Bow-Tie. Quando ela é feita por hábito ou por reação ao último incidente registrado, o diagrama protege a planta contra um cenário que provavelmente não voltará a ocorrer da mesma forma, e deixa descobertos os cenários de risco material que a alta liderança deveria estar olhando.

Em mais de duzentos e cinquenta projetos de transformação cultural acompanhados por Andreza Araujo, o sintoma é consistente. A empresa que sofreu uma queda no andaime monta Bow-Tie minucioso para queda em altura, ao passo que mantém zero diagramas para liberação de energia perigosa em manutenção, embora o histórico setorial mostre que esta segunda família concentra parte expressiva dos SIFs em química e metalurgia no Brasil. O problema não está no tema escolhido; está na ausência de critério público para a escolha.

A correção começa por acoplar a seleção do top event à matriz de risco do PGR. Cada cenário classificado como crítico no inventário de riscos da NR-01 precisa de Bow-Tie próprio, e cada Bow-Tie precisa carregar, no cabeçalho, o número do cenário do PGR a que corresponde. Assim o sistema de gestão deixa de tratar Bow-Tie e PGR como artefatos separados, e o auditor que abre o PGR encontra o caminho direto para o diagrama.

2. Threats listadas sem hierarquia de probabilidade

O segundo erro é igualar threats que não são iguais. O time lista dezesseis caminhos pelos quais o top event pode ocorrer, e a planilha trata todos com o mesmo peso. Quando chega o momento de testar barreiras, a equipe distribui esforço uniformemente e termina o ano tendo verificado a barreira da threat menos provável e ignorado a barreira da threat mais provável.

Hierarquizar threats exige dado. Histórico de near-miss da planta, registro setorial de fatalidade do SmartLab do MPT, dados de auditoria interna e percepção do operador da ponta entram juntos na priorização. A regra prática manda que o diagrama mantenha as três a cinco threats responsáveis por cerca de oitenta por cento da probabilidade do top event, e empurre as demais para um anexo de baixa prioridade. Em 80 Maneiras de Ampliar a Percepção de Risco, Andreza Araujo descreve métodos de triangulação de informação que evitam a armadilha da threat genérica copiada de modelo internacional.

3. Barreiras preventivas confundidas com barreiras mitigatórias

Barreira preventiva atua antes do top event, e seu sucesso é medido pela ausência do evento. Barreira mitigatória atua depois, e seu sucesso é medido pela redução da severidade. A confusão entre as duas é frequente e custosa, porque o gestor que classifica plano de resgate em altura como barreira preventiva pensa estar protegido contra a queda, quando na verdade está protegido apenas contra o agravamento da queda.

O modelo do queijo suíço de James Reason, descrito em Managing the Risks of Organizational Accidents, ajuda a separar as duas faces do diagrama. No lado esquerdo, ficam as fatias que precisam estar íntegras para que o evento não ocorra, como projeto de engenharia, manutenção preventiva, permissão de trabalho legível e supervisão presente. Do lado direito, ficam as fatias que reduzem dano após o evento, como sistema de detecção, alarme, plano de evacuação, equipe de resgate treinada e rede de assistência médica. Confundir as duas faces equivale a contar a mesma fatia de proteção duas vezes.

4. Barreira humana sem dono nominal

Toda barreira viva tem um dono e um teste, e barreira humana é a categoria onde essa regra falha primeiro. O diagrama lista "supervisão presente em PT crítica" como barreira preventiva, sem registrar quem é o supervisor responsável por cada turno, qual é o critério para considerar a presença efetiva e qual evidência se arquiva quando a barreira é ativada. O resultado é uma barreira que existe em três planos do edifício e em nenhum cargo da operação.

A correção é nominal e administrativa, porque cada barreira humana precisa ganhar um cargo responsável, um critério de execução e um registro mínimo de ativação. Em projetos onde Andreza Araujo conduziu transformação cultural na PepsiCo LatAm, a taxa de acidentes caiu 86% ao longo de quatro anos. O supervisor que recusava publicamente uma PT mal preenchida virou marco do ritual cultural, porque a recusa pública evidencia, na frente de toda a equipe, que a barreira humana é viva.

5. Plano de teste de barreira inexistente

Bow-Tie sem plano de teste é declaração de fé, não método de gestão. O diagrama descreve a barreira "intertravamento de pressão alta", mas a planta não registra quando o intertravamento foi testado pela última vez, qual foi o resultado, quem assinou o teste e quando o próximo está agendado. Quando a auditoria pergunta, o engenheiro responde que "o sistema é confiável", expressão que substitui dado por convicção.

Em projetos acompanhados pela Andreza Araujo, ainda que a auditoria interna ateste 100% de conformidade documental, cerca de doze a dezoito meses é o intervalo médio entre o desenho do Bow-Tie e a primeira não-conformidade encontrada por uma auditoria que olha barreira em campo, e não barreira em planilha. Cada barreira do diagrama precisa carregar, ao lado do nome, três campos sem ambiguidade, que são o intervalo máximo entre testes, o critério de aprovação e o último resultado registrado. Barreira engenheirada como intertravamento e válvula de alívio passa por teste técnico periódico. Barreira humana como inspeção pré-uso passa por verificação documental e ronda de campo. Barreira procedimental como APR passa por amostragem mensal. Sem essa disciplina, o Bow-Tie é mapa de tesouro com X que ninguém escava.

6. Diagrama isolado do ritual operacional do canteiro

O sexto erro é o mais cultural, e por isso o mais difícil de corrigir. O Bow-Tie vive na pasta do gerente de SSMA e nunca aparece na reunião diária, no DDS de início de turno, na revisão semanal do supervisor e no painel mensal do C-level. Quando o documento não vira ritual, perde a função de manter a operação atenta ao cenário crítico que o método representa.

A operação que tira o Bow-Tie da prateleira insere o diagrama em três rituais distintos. No turno, o supervisor abre a reunião com a pergunta "qual barreira do nosso top event mexemos hoje?" e exige resposta concreta. Na semana, a liderança operacional revisa o status de teste das barreiras críticas e reporta gaps. No mês, o painel executivo dedica espaço fixo ao status do Bow-Tie do top event mais grave, junto aos indicadores leading e lagging do C-level.

7. Conexão perdida entre Bow-Tie e investigação de acidente

Quando o evento ocorre, o Bow-Tie deveria ser a primeira página aberta na investigação. A maioria dos times faz o oposto, monta o relatório RCA com base em entrevistas e cronologia, identifica "ato inseguro do operador" como causa raiz e arquiva o documento sem reabrir o diagrama. O Bow-Tie é desenhado uma vez para a auditoria, esquecido na operação e ignorado quando a operação falha, sequência completa de obsolescência.

A integração correta inverte a ordem, porque a investigação parte do Bow-Tie do cenário, identifica qual barreira não funcionou e por quê, e atualiza o diagrama com a aprendizagem. Em Sorte ou Capacidade, Andreza Araujo argumenta que acidente é evento sistêmico cuja explicação está nas fatias do queijo suíço que cederam, e não no operador da ponta. A investigação que para no operador economiza tempo no curto prazo e pavimenta a próxima fatalidade no médio prazo.

Comparação: Bow-Tie, HAZOP e FMEA na prática

O recorte que muda na prática

Bow-Tie é um diagnóstico cultural disfarçado de método técnico. A planta que mantém o diagrama vivo, com barreiras testadas e ritual mensal de revisão, costuma ser a mesma que não persegue zero acidentes como meta e que aceita a tese, defendida por Muito Além do Zero, de que indicador leading vale mais do que TRIR baixo construído sobre subnotificação. As duas escolhas vêm da mesma maturidade, e por isso reforçam-se uma à outra.

A cada mês sem teste de barreira em top event crítico, a planta acumula vulnerabilidade silenciosa que aparece, em média, no relatório do próximo SIF, e não no painel mensal do C-level.

Conclusão

Sete falhas, e nenhuma delas técnica. Bow-Tie engaveta porque a empresa o trata como artefato regulatório quando deveria tratá-lo como ritual cultural integrado ao PGR, à investigação de acidente e ao painel executivo. Para diagnóstico estruturado e implantação do diagrama como prática viva, a consultoria de Andreza Araujo conduz o processo desde a seleção do top event crítico até a auditoria mensal de barreira.