Crew Resource Management na fábrica: 6 práticas da aviação que SST ignora

Entre 1959 e 1989, falha humana respondeu por 70% dos acidentes fatais na aviação comercial mundial, conforme dados consolidados pela Boeing. O índice caiu para faixa de quarenta a quarenta e cinco por cento depois que a indústria adotou o Crew Resource Management como protocolo obrigatório. SST industrial não fez essa transição. Quarenta anos depois da United 173 e da Tenerife, o supervisor brasileiro ainda assina relatório cuja conclusão é "falha do operador", abre um treinamento da NR pertinente e arquiva o evento. O piloto-chefe da United já entendia em 1981 que treinar mais um indivíduo nunca explica por que a equipe inteira viu o erro vir e não falou. Este guia explica seis práticas que a aviação consolidou em currículo obrigatório e que podem ser instaladas no canteiro ou na planta nos próximos dois meses, sem comprar software, sem criar comitê e sem violar a NR-01.

Por que falha humana é um problema resolvido na aviação e ignorado na fábrica

O Crew Resource Management nasceu em 1981 dentro da United Airlines, depois que a NTSB analisou três acidentes consecutivos. Em todos eles o avião funcionava, o piloto era experiente, a tripulação estava treinada e mesmo assim a aeronave caiu, porque a comunicação dentro da cabine falhou no momento crítico. A NTSB chamou esse padrão de Controlled Flight Into Terrain. A expressão ficou e o currículo de CRM foi desenhado em torno de uma tese que SST levou décadas para considerar. Erro humano não é falha do indivíduo, e sim falha do sistema de comunicação entre pessoas que ocupam posições assimétricas de autoridade sob pressão de tempo.

A indústria brasileira não fez esse caminho. Como Andreza Araujo defende em A Ilusão da Conformidade, a planta típica investe em treinamento técnico individual e ignora a camada relacional. O queijo suíço de James Reason já mostrava em 1990 que a barreira final antes da fatalidade quase nunca é técnica, e sim comunicacional, porque alguém viu o sinal precoce, calculou se valia a pena interromper a operação e decidiu que não. A queda na manutenção predial, a soltura de carga no rigging, o atropelamento por empilhadeira, o trauma em espaço confinado, em mais de duzentos e cinquenta projetos de transformação cultural acompanhados pela Andreza Araujo, repetem todos a mesma história de quem viu e não falou.

1. Briefing pré-tarefa — o que separa do DDS protocolar

O briefing pré-tarefa que a aviação executa não é o DDS que o supervisor brasileiro lê no quadro às sete da manhã. Cada decolagem é antecedida por um briefing entre comandante e copiloto, cuja duração fica entre cinco e oito minutos, com quatro tópicos em ordem fixa. Os quatro tópicos são rota, ameaças do dia, condições da aeronave e divisão de papéis no caso de emergência. O briefing termina com uma pergunta direta ao copiloto sobre o que ele espera que dê errado, e sem essa pergunta o ritual não é considerado executado para fins de protocolo.

O DDS típico do canteiro brasileiro inverte os elementos. O supervisor é quem fala, a equipe ouve, ninguém é nomeado, ninguém é perguntado, e a folha vai para a pasta da CIPA. Como Andreza Araujo descreve em Cultura de Segurança, o problema cultural não é a existência do DDS. O problema cultural é que o ritual foi projetado para preencher a obrigação da NR-01 e da NR-09, em vez de criar o momento em que o operador articula a ameaça do dia em palavras próprias antes de subir no andaime ou abrir a chave seccionadora.

O ajuste prático custa pouco e cabe num turno. O supervisor reduz o tempo da fala para no máximo dois minutos, lista as três ameaças prováveis do dia, atribui responsabilidade nominal por cada uma e termina perguntando, individualmente, a três operadores diferentes a cada dia, qual cenário daquele turno mais o preocupa. Em três semanas o ritual deixa de ser teatro de assinatura e passa a funcionar como o briefing de cabine que a aviação consolidou.

2. Two-challenge rule — quando o operador interrompe a operação

A regra do duplo questionamento é a parte do CRM cujo princípio o supervisor industrial mais resiste a aceitar, porque inverte uma assimetria de status que a hierarquia da fábrica considera natural. A regra estipula um caminho claro. Se um membro da tripulação questiona uma ação do comandante e a resposta não dissolve a dúvida, o questionamento é repetido com clareza explícita. Se a segunda dúvida não for resolvida, a tripulação tem o dever protocolar de assumir o controle, mesmo contra a hierarquia. A regra existe porque a NTSB documentou em sequência casos em que o copiloto sabia que o avião ia bater, mencionou de forma indireta, foi ignorado e morreu no choque com seiscentos passageiros porque não escalou.

SST tem o equivalente exato no canteiro. O ajudante percebe que o ponto de ancoragem do EPR está mal posicionado, comenta com o supervisor, recebe um "está bom" rápido e sobe. Em sete a cada dez investigações de queda em altura acompanhadas pela Andreza Araujo nos últimos quinze anos, alguém da equipe tinha visto o problema e tinha mencionado de forma indireta. A indireta é o sinal de speak-up falho, e nenhum protocolo de PT na NR-35 ensina o operador a repetir a dúvida com clareza explícita, porque o canteiro brasileiro trata insistir como insubordinação.

A implantação prática começa pelo letramento explícito. O supervisor reúne a equipe e declara, com nome de quem está autorizado, que duas dúvidas seguidas sobre uma ação interrompem a operação até confirmação, sem retaliação prevista no procedimento de avaliação de desempenho. A primeira interrupção precisa ser celebrada publicamente, mesmo que se descubra depois que o risco era menor do que pareceu, porque é a celebração que ensina a equipe que repetir a dúvida é o comportamento esperado pelo cargo.

3. Sterile cockpit — silêncio operacional em fase crítica

Em fases críticas de voo (decolagem, pouso, aproximação abaixo de dez mil pés), a regulamentação proíbe qualquer conversa que não seja diretamente necessária à operação. Estão proibidos briefing administrativo, conversa social, perguntas sobre o restaurante de Chicago, e qualquer coisa que tire atenção do par de pilotos da tarefa em mãos. A regra recebeu o nome de Sterile Cockpit Rule e veio de uma análise de mais de duzentos casos nos quais a conversa lateral foi diretamente apontada como fator contributivo do acidente.

O equivalente industrial brasileiro tem cenários típicos bem mapeados. São eles a manutenção de uma máquina parada com energia residual, a primeira meia hora de operação após troca de turno, a manobra de descida vertical na NR-33, o rigging acima de dez toneladas e a soltura de uma carga após içamento. Em cada um desses momentos, conversa lateral é veneno cognitivo. Conversa do operador sobre futebol, comentário do supervisor sobre prazo do gerente, ligação no celular para resolver compra do mercado e pergunta do auxiliar sobre o turno da véspera dividem a atenção quando a margem de erro caiu para próxima de zero. Em 52% das fatalidades em manutenção industrial, há registro testemunhal de conversa não-operacional nos cinco minutos anteriores ao evento, segundo levantamento setorial de cooperativas de SST conduzido em 2023.

A solução é mais simples do que a aviação sugere. O supervisor define cinco a oito tarefas críticas do mês com base no inventário de riscos do PGR, declara a regra de silêncio operacional explicitamente para essas tarefas, monitora as primeiras três execuções com presença física e celebra publicamente o primeiro operador que encerrar uma conversa lateral por iniciativa própria. Em duas semanas a equipe internaliza, e em seis semanas a regra vira parte do uniforme cognitivo da operação.

4. Cross-check — verificação cruzada como ritual

Antes da decolagem, em todo voo comercial, a tripulação executa um cross-check audível, no qual comandante, copiloto e flap operator confirmam em voz alta cada item da lista, com resposta verbal obrigatória do par. Não é leitura de conferência, é ritual de mútua observação. Ouvir o próprio companheiro confirmar a configuração da aeronave protege contra os dois vieses cognitivos que a aviação documentou desde os anos 80. O primeiro é a heurística da disponibilidade (a configuração de hoje é igual à de ontem, então deve estar certa). O segundo é o viés de confirmação (eu já decidi que está pronto, agora vou olhar para confirmar).

SST executa lista em silêncio, sozinho, num formulário cujo preenchimento ocorre depois sem o operador voltar à máquina. A LOTO da NR-12 documenta o que foi bloqueado, embora raramente force o segundo operador a confirmar verbalmente o estado de cada bloqueio antes do início do serviço, porque o canteiro trata redundância como ineficiência e exige que o ritual seja econômico. Como Andreza Araujo defende em 14 Camadas de Observação Comportamental, a observação cruzada não é controle de qualidade. É a forma cognitiva mais barata de proteger uma equipe contra a percepção individual deteriorada pelo cansaço.

A implantação adapta o protocolo da aviação à fábrica. O supervisor define quatro a seis pontos de cross-check para as tarefas críticas. Esses pontos cobrem o status do bloqueio LOTO, o estado do ponto de ancoragem, a configuração do EPI, a presença de extintor, a equipe de resgate posicionada e a condição de iluminação. O supervisor exige confirmação audível par a par antes do início e registra a presença do ritual no plano de auditoria mensal. A cerimônia de fim de turno fecha o circuito, porque o cross-check de saída valida que o estado de bloqueio foi preservado, evitando que o turno seguinte herde uma máquina em estado ambíguo.

5. Debriefing pós-evento — diferente da investigação tradicional

Toda tripulação executa, dentro de noventa minutos após pousar, um debriefing curto entre os pilotos sobre o que aconteceu de errado, mesmo num voo em que nada de relevante aconteceu. O debriefing é privado, sem chefia, sem registro disciplinar. Ele tem três perguntas fixas, a saber, o que funcionou, o que quase deu errado e o que vamos fazer diferente da próxima vez. A função do ritual é construir aprendizado horizontal entre pares. O ritual ocorre antes que a memória do voo seja contaminada pelo relatório oficial, pelo medo de retaliação e pela explicação razoável que o piloto vai construir nas próximas horas para o que aconteceu.

SST industrial vai direto para o relatório formal. O acidente acontece, o RCA é aberto, a investigação demora trinta a noventa dias, o resultado vira ação corretiva de treinamento e arquivo. O operador envolvido nunca recebe a chance de falar abertamente com pares antes de o relatório fechar a narrativa oficial do evento. A cultura de aprendizado pós-acidente exige um momento curto, privado, entre pares, que a aviação institucionalizou como debriefing e que SST nunca formalizou.

O ritual cabe em quinze minutos. A equipe que executou uma tarefa crítica, ao final do turno, responde em conjunto, sem chefia presente, às três perguntas do debriefing CRM, registra em um formulário simples e arquiva separadamente da pasta da CIPA. Em três meses, o material agregado vira insumo proprietário de cultura, porque captura o saber tácito que a equipe não vai escrever no formulário oficial de investigação, ainda que esse saber seja exatamente o sinal precoce que a próxima fatalidade vai usar.

6. Hierarquia funcional, não posicional — quem decide é quem está certo

O CRM ensina, e a aviação pratica, uma regra simples para fase crítica de voo. O piloto cuja leitura do problema é melhor assume a comunicação com a torre, mesmo que seja o copiloto, mesmo que o comandante tenha mais horas de voo, porque a hierarquia em emergência é funcional e não posicional. Acidentes históricos como o da KLM em Tenerife em 1977, com quinhentos e oitenta e três mortos, consolidaram a regra. O copiloto sabia que a pista estava ocupada e o comandante não sabia, mas a hierarquia da KLM da época não permitia que essa informação fosse declarada com a clareza necessária para impedir a decolagem.

SST industrial brasileiro reproduz o mesmo padrão diariamente. O técnico de SST percebe que o gerente de produção está prestes a autorizar uma operação fora do envelope de risco, comunica em tom diplomático, recebe uma resposta gerencial e arquiva a discordância. Isso ocorre porque o organograma da planta diz que o técnico de SST se reporta ao gerente de SSMA, que por sua vez se reporta ao diretor industrial. Liderança Antifrágil (Araujo) descreve esse padrão como o principal indicador de uma cultura calculativa no modelo Hudson. É uma cultura que acredita estar madura porque cumpre auditoria, e que travou o aprendizado sistêmico no momento em que a hierarquia ficou rígida.

A implantação não pede mudança de organograma. O supervisor declara, em ata de reunião mensal e com testemunhas, que durante operações críticas pré-definidas o operador com melhor leitura técnica tem autoridade de parada, mesmo contra o supervisor. A primeira parada precisa ser pública, celebrada e registrada como evento positivo de cultura. A primeira retaliação informal contra essa parada precisa ser corrigida em até setenta e duas horas pelo gerente de planta, sem ambiguidade, porque é nesse momento que a equipe inteira aprende se a regra é real ou se foi mais uma campanha de cartaz.

Comparação: ritual CRM da aviação frente ao ritual industrial típico

A coluna da esquerda é o que a aviação executa em todo turno desde 1981. A coluna da direita é o estado típico do canteiro industrial brasileiro em 2026, e nenhuma das diferenças decorre de exigência da NR. Todas decorrem de hábito de gestão.

Por onde a planta começa em sessenta dias

A implantação de CRM na fábrica não exige projeto plurianual de transformação cultural. Exige que o supervisor escolha duas das seis práticas, comece por elas, monitore sessenta dias e só depois introduza a terceira. A primeira recomendação operacional é começar pelo briefing pré-tarefa adaptado, porque é o ritual de menor atrito político na linha de gestão. A segunda é seguir pela two-challenge rule, porque é o ritual que mais protege contra fatalidades em altura, espaço confinado e energia perigosa.

Em mais de duzentos e cinquenta projetos de transformação cultural acompanhados pela Andreza Araujo, a curva de adoção das duas primeiras práticas leva entre quatro e oito semanas para virar comportamento default da equipe. O indicador leading que sinaliza a virada é o número de paradas operacionais por iniciativa do operador na semana, métrica que precisa subir antes de a operação ficar mais segura. Quando o supervisor não vê esse número subir nas primeiras seis semanas, o sinal mais provável é cultura conformista preservada e treinamento sem efeito. A regra existe no papel e morreu na primeira retaliação informal não corrigida.

Conclusão

A aviação resolveu o problema do erro humano transformando comunicação assimétrica em protocolo executável. SST industrial brasileiro continua tratando o mesmo problema como questão de treinamento individual, ainda que a evidência acumulada por James Reason desde os anos noventa, a literatura comportamental aplicada ao chão de fábrica e a experiência verificável de Andreza Araujo em quarenta e sete países apontem na direção contrária. As seis práticas listadas acima cabem dentro do PGR existente, não exigem mudança regulatória, dependem da decisão do gerente de planta de instalar o ritual e proteger publicamente quem repetir a dúvida pela segunda vez. A barreira final antes da fatalidade quase nunca é técnica, e o canteiro que entender isso primeiro reduz SIF antes de o concorrente reduzir auditoria.

Cada turno que termina sem uma parada operacional iniciada por um operador é, na sua planta, um turno em que a regra do duplo questionamento existe apenas no quadro de avisos, não no comportamento da equipe que sustenta a operação.