Bow-Tie reverso: 6 perguntas que revelam barreiras que falharam

O Bow-Tie em SST costuma ser usado antes do acidente, quando a empresa quer mapear causas, evento central, barreiras preventivas e barreiras mitigatórias. Depois de um SIF, porém, a pergunta muda. O investigador já sabe que a perda aconteceu, e por isso precisa voltar pelo caminho inverso para descobrir qual barreira existia de fato, qual existia só no procedimento e qual nunca teve dono claro.

Esse uso reverso evita uma armadilha comum em investigação de acidentes graves: reconstruir a narrativa até encontrar um erro visível do operador e encerrar a análise com treinamento, reciclagem ou reforço de procedimento. Como Andreza Araujo argumenta em Sorte ou Capacidade, acidente raramente nasce de azar isolado. Ele aparece quando decisões anteriores atravessam a operação até o momento em que uma pessoa fica exposta sem proteção suficiente.

A tese deste artigo é direta: o Bow-Tie reverso não serve para desenhar um diagrama bonito no relatório. Ele serve para testar, barreira por barreira, se a organização tinha capacidade real de impedir ou limitar o dano antes que o SIF acontecesse.

Por que investigar de trás para frente muda a qualidade da análise

A investigação tradicional começa pela sequência temporal, descrevendo o que aconteceu primeiro, depois e por último. Essa ordem ajuda a preservar fatos, mas pode induzir leitura rasa quando a equipe confunde proximidade temporal com causa. O último ato antes da lesão parece mais importante apenas porque está perto do dano.

O Bow-Tie reverso começa pelo dano e retorna às barreiras que deveriam ter impedido o evento. A equipe pergunta quais controles preventivos falharam antes do evento central e quais controles mitigatórios falharam depois dele. Essa inversão força a análise a sair da conduta individual e entrar no sistema de gestão, porque uma barreira não falha sozinha. Ela falha por desenho fraco, manutenção ausente, treinamento insuficiente, supervisão simbólica ou pressão de prazo.

O modelo do queijo suíço de James Reason ajuda a sustentar essa leitura. Falhas ativas aparecem perto do trabalhador; falhas latentes nascem antes, em decisões de projeto, orçamento, meta, contrato e liderança. O Bow-Tie reverso transforma essa distinção em perguntas de campo.

1. Qual era o evento central real?

A primeira pergunta parece óbvia, mas costuma ser mal respondida. Evento central não é a lesão nem a causa inicial. É o momento em que o controle sobre a energia perigosa se perdeu: queda iniciada, carga suspensa fora de controle, energia elétrica liberada, atmosfera perigosa acessada, máquina energizada durante intervenção ou veículo invadindo zona de pedestre.

Quando a equipe define o evento central como “trabalhador caiu”, perde a chance de investigar o que deveria ter impedido a perda de controle antes da queda. Em trabalho em altura, por exemplo, o evento central pode ser deslocamento sem ancoragem contínua, colapso do ponto de apoio ou entrada em área sem proteção coletiva. Cada formulação puxa barreiras diferentes e muda o plano de ação.

Em mais de 250 projetos de transformação cultural acompanhados pela Andreza Araujo, relatórios fracos costumam errar nesse ponto. Eles descrevem a consequência, não a perda de controle. Como resultado, recomendam cuidado adicional, embora a barreira que falhou estivesse no planejamento, no projeto ou na supervisão.

2. Quais barreiras preventivas deveriam ter atuado antes do evento?

Depois de definir o evento central, liste as barreiras preventivas que deveriam ter impedido a perda de controle. Em SIFs industriais, elas costumam incluir bloqueio de energia, intertravamento, segregação física, plano de içamento, PT, APR, inspeção pré-uso, controle de acesso, competência comprovada e autorização de tarefa crítica.

A investigação precisa separar barreira nominal de barreira operacional. Barreira nominal é aquela que aparece no procedimento. Barreira operacional é aquela que alguém verificou em campo, com evidência de funcionamento no dia do evento. Essa diferença é decisiva porque muitos relatórios tratam a existência documental da barreira como prova de controle, embora o acidente já tenha demonstrado o contrário.

Em A Ilusão da Conformidade, Andreza Araujo defende que cumprir a norma e estar seguro são estados diferentes. O Bow-Tie reverso materializa essa tese quando pergunta se a barreira estava viva no turno, não se estava descrita no sistema.

3. Qual barreira mitigatória falhou depois da perda de controle?

Nem todo SIF decorre apenas de falha preventiva. Em muitos eventos, a perda de controle ocorreu, mas o dano grave poderia ter sido reduzido por barreiras mitigatórias: resgate, contenção, parada de emergência, atendimento pré-hospitalar, isolamento da área, comunicação de emergência, redundância de sistema ou dispositivo que limita energia remanescente.

Essa etapa costuma ser negligenciada porque a empresa concentra energia em descobrir quem iniciou o evento. O problema é que a lesão grave, muitas vezes, resulta da combinação entre perda de controle e resposta lenta. Um plano de resgate que depende exclusivamente de equipe externa, uma botoeira inacessível ou uma brigada que não conhece o cenário real não são detalhes de emergência. São barreiras mitigatórias degradadas.

O livro Um Dia Para Não Esquecer ajuda a manter essa disciplina emocional. Fatalidades exigem respeito às pessoas envolvidas, mas também exigem precisão técnica, porque o luto não substitui análise de barreira.

4. Quem era dono de cada barreira?

Barreira sem dono tende a morrer em silêncio. A investigação deve identificar quem desenhou, instalou, manteve, verificou e autorizou cada controle. Se a mesma barreira depende de manutenção, operação, SST e contratada, o dono não pode ser uma função genérica. Precisa haver responsabilidade explícita por integridade, frequência de teste e critério de retirada de serviço.

Essa pergunta muda a conversa com a liderança. Em vez de perguntar por que o trabalhador não seguiu o procedimento, a equipe pergunta por que a organização permitiu que a barreira chegasse ao turno sem dono verificável. A resposta pode apontar para compra, engenharia, manutenção, supervisão ou gestão de contrato, o que amplia o campo de ação corretiva.

Como Andreza Araujo descreve em Cultura de Segurança, maturidade aparece quando discurso, recurso e comportamento se alinham. Uma barreira crítica sem dono revela desalinhamento entre os três: a empresa declara que o risco é grave, mas não aloca responsabilidade proporcional.

5. Qual evidência prova que a barreira funcionava antes do evento?

O relatório não deve aceitar frases como “havia procedimento”, “a equipe era treinada” ou “a inspeção estava em dia” sem evidência. A pergunta correta é qual prova demonstra que a barreira funcionava antes do evento: teste de intertravamento, inspeção assinada em campo, simulado de resgate, recusa de PT registrada, auditoria de bloqueio, foto georreferenciada, ordem de manutenção concluída ou verificação independente.

Essa exigência protege a investigação contra a aparência de controle. Um treinamento vencido há seis meses não é barreira. Uma PT assinada em menos de dois minutos pode ser registro, mas dificilmente é análise. Uma inspeção sem achado durante meses em área de risco alto talvez indique maturidade, embora também possa indicar olhar anestesiado.

Durante a passagem na PepsiCo LatAm, onde a taxa de acidentes caiu 86%, Andreza Araujo consolidou uma lição que se repete em operações maduras: evidência boa não é a que defende o sistema depois do acidente, e sim a que teria permitido parar a tarefa antes dele.

6. Que decisão de gestão degradou a barreira antes do SIF?

A pergunta final leva a investigação para o nível que muitos relatórios evitam. Barreiras degradam por decisão. Às vezes a decisão é explícita, como adiar manutenção de proteção, liberar contratada sem competência comprovada ou operar com equipe reduzida. Em outros casos, a decisão é indireta, como manter meta incompatível com tempo de verificação ou premiar supervisor que nunca recusa tarefa.

Em Sorte ou Capacidade, Andreza Araujo trata o acidente como evento sistêmico, não como surpresa moral. Essa leitura não absolve escolhas individuais, mas impede que a organização transforme a pessoa mais próxima do dano no único ponto de correção. Se a barreira degradou por orçamento, prazo, contrato ou alçada, o plano de ação precisa subir para quem controla essas variáveis.

James Reason chamaria esse campo de falhas latentes. Para a investigação prática, basta uma pergunta operacional: qual decisão tomada antes do turno tornou normal trabalhar com aquela barreira fraca?

Matriz do Bow-Tie reverso para o relatório

A matriz abaixo ajuda a equipe a transformar a análise em plano de ação verificável, sem depender de narrativa longa ou culpa individual.

Erros que enfraquecem o Bow-Tie reverso

O primeiro erro é preencher o diagrama depois que a conclusão já foi escolhida. Nesse caso, o Bow-Tie vira decoração de relatório, não método de investigação. A equipe desenha barreiras apenas para confirmar a causa escolhida, e o plano de ação termina previsível: treinar, orientar e reforçar procedimento.

O segundo erro é tratar toda barreira com o mesmo peso. Uma placa de advertência, uma PT e um intertravamento não têm a mesma robustez. Quando o relatório coloca tudo na mesma linha, a gestão perde prioridade e investe energia em controles frágeis porque eles são mais baratos.

O terceiro erro é investigar apenas barreiras técnicas e ignorar barreiras de decisão. Alçada, meta, compra, gestão de contratada e manutenção planejada também controlam risco. Quando ficam fora do Bow-Tie reverso, a empresa corrige o campo e preserva a decisão que gerou a exposição.

Como aplicar em uma reunião de investigação

Leve a equipe para uma sala com a linha do tempo do acidente validada e reserve noventa minutos apenas para barreiras. Comece pelo dano, defina o evento central em uma frase e desenhe duas colunas: preventivas antes do evento e mitigatórias depois do evento. Para cada barreira, exija dono, evidência de funcionamento e decisão que pode tê-la degradado.

Depois classifique o plano de ação pós-acidente por nível. Ação de campo corrige execução. Ação de manutenção corrige integridade. Ação de engenharia corrige desenho. Ação de liderança corrige alçada, meta, contrato ou recurso. Se todas as ações ficam na primeira coluna, a investigação provavelmente parou perto demais do operador.

Para quem quer aprofundar, Diagnóstico de Cultura de Segurança oferece uma forma estruturada de avaliar maturidade investigativa. A ferramenta é especialmente útil quando relatórios se repetem, acidentes mudam de cenário e causas continuam parecidas.

Todo SIF investigado sem reconstrução de barreiras deixa uma pergunta crítica sem resposta: qual controle continuará fraco amanhã porque o relatório preferiu uma causa simples hoje?

A qualidade desse exercício depende da conversa inicial. Quando a reunião pós-acidente começa com julgamento, barreiras frágeis deixam de aparecer e o Bow-Tie reverso perde força investigativa.

Conclusão

O Bow-Tie reverso melhora a investigação porque obriga a empresa a olhar para o sistema antes de olhar apenas para o comportamento visível. Ele define o evento central com precisão, separa barreiras preventivas e mitigatórias, exige dono, pede evidência e leva a análise até a decisão que degradou o controle.

Quando a organização aplica esse método com rigor, o relatório deixa de ser peça defensiva e vira instrumento de maturidade cultural. A consultoria de Andreza Araujo apoia empresas que precisam transformar investigação de SIF em plano de ação executivo, com base nos princípios trabalhados em Sorte ou Capacidade, A Ilusão da Conformidade e Diagnóstico de Cultura de Segurança.