Five Whys em SIF: 4 erros que travam a causa raiz

Em sete de cada dez fatalidades industriais investigadas no Brasil entre 2019 e 2024, o relatório final consolidado pela área de SST conclui que a causa raiz foi falha humana ou ato inseguro do operador. A mesma operação, contudo, tinha registrado quase-acidentes idênticos nos doze meses anteriores sem que ninguém tocasse no projeto da tarefa. Em 70% dos relatórios de SIF, a investigação para na ação do operador como causa raiz, conforme cruzamento de documentos compilados em projetos de auditoria pós-evento conduzidos por Andreza Araújo entre 2020 e 2024. Este texto explica por que o Five Whys aplicado isoladamente quase sempre encerra a investigação na pessoa errada. Na sequência, descreve quatro erros estruturais que aparecem quando o método migra do problema industrial linear para o evento sistêmico. Ao final, apresenta um protocolo de noventa minutos que cruza Five Whys com o queijo suíço de James Reason e devolve a investigação à dimensão que importa.

Por que Five Whys raso vira teatro de investigação em SIF

O Five Whys nasceu na Toyota como ferramenta de raiz para problemas de processo industrial linear, nos quais um defeito repetitivo na linha de montagem tinha causa única e mecânica, e a sucessão de cinco perguntas levava do sintoma à modificação no parâmetro do equipamento. O método cumpre essa função com precisão suficiente quando o evento é repetitivo, observável e tem causa única, embora SIF não preencha nenhuma dessas três condições. A fatalidade industrial é evento raro, multicausal e tipicamente envolvendo barreira que falhou silenciosamente meses antes do desfecho.

Como Andreza Araújo defende em Sorte ou Capacidade, acidente grave é evento sistêmico, e tratar o relatório de SIF como exercício de buscar uma única causa raiz é confundir convergência narrativa com rigor investigativo. A pirâmide de Heinrich aplicada a SIF mostra o mesmo fenômeno em outro recorte, no qual o evento grave nasce da combinação de eventos precursores que a operação tolerou por meses, e nenhum desses precursores teria respondido à pergunta única do Five Whys clássico.

O argumento aqui é menos sobre a técnica e mais sobre o ritual em torno dela. A maioria das equipes de SST aplica Five Whys porque o método cabe em uma manhã, fecha em um diagrama legível para o gerente de planta e gera plano de ação que o departamento jurídico aceita arquivar. Onde o método falha como barreira preventiva é no momento em que o investigador toma o terceiro porquê confortável como destino, em vez de seguir até a falha latente que ainda está viva na operação.

1. Erro: parar no terceiro porquê quando a resposta cabe na ação do operador

O primeiro erro é cultural antes de ser técnico. O investigador tipicamente faz a primeira pergunta, recebe uma resposta operacional, faz a segunda pergunta, recebe uma resposta comportamental, faz a terceira pergunta e chega em algo como o operador não estava prestando atenção. A árvore para ali porque a sala fica desconfortável quando o quarto porquê precisa apontar para a supervisão, para o projeto da tarefa ou para a política de RH que premia ritmo acima de cuidado.

Em mais de 250 projetos de transformação cultural acompanhados por Andreza Araújo, o terceiro porquê é o ponto de fuga mais frequente do método, porque é exatamente o nível em que a falha começa a tocar elementos que a empresa não quer redesenhar. O operador desatento sai barato. O quarto porquê, no qual aparecem supervisão sobrecarregada, projeto da tarefa que não previu o cenário de chuva e gestão de mudança que terceirizou o turno sem reavaliar o risco, exige investimento e mudança de processo.

O encaminhamento exige duas mudanças de postura do investigador. A primeira, definir antes da entrevista que a árvore só fecha quando atinge nível em que a empresa pode efetivamente intervir, e ação do operador raramente preenche esse critério. A segunda, conduzir a sessão com alguém cuja autoridade hierárquica não force fechamento prematuro da árvore, papel descrito no livro Diagnóstico de Cultura de Segurança (Araújo) como o investigador independente, ainda que a operação interna possa preencher essa função quando a função é declarada antes da sessão.

O sinal de saúde da investigação não é a profundidade da árvore em si, e sim a quantidade de vezes em que o investigador recusou parar no terceiro porquê apesar de a resposta caber bem no relatório.

2. Erro: aplicar Five Whys linear em evento que tem múltiplas linhas de falha

O segundo erro é estrutural. O Five Whys clássico é linear, no formato em que cada porquê responde a um único antecedente, e o resultado é uma árvore de cinco níveis em uma única linha. SIF típico tem três a sete linhas de falha simultâneas, porque toda barreira ativa do queijo suíço de James Reason precisava falhar de forma alinhada para que o evento atravessasse o sistema, e cada uma dessas barreiras tem sua própria árvore de causalidade.

Considere uma queda em altura durante manutenção predial. A linha 1 da falha é a Permissão de Trabalho preenchida em noventa segundos, e a árvore dessa linha vai para supervisor sobrecarregado, métrica que premia PT aprovada no prazo, ausência de PT recusada nos últimos doze meses. A linha 2 é a inspeção do ponto de ancoragem, e a árvore vai para terceirização da manutenção predial, ausência de inspeção independente, controle de fornecedor por preço. A linha 3 é o plano de resgate, e a árvore vai para tempo de chegada do SAMU, ausência de equipe interna treinada, decisão de orçamento que preferiu o seguro à brigada interna. Em manutenção industrial, o padrão se repete em camadas, com cada barreira pedindo árvore própria, e o Five Whys linear comprime essas três árvores em uma única narrativa que perde duas das três falhas.

O encaminhamento operacional é desenhar uma árvore por barreira que falhou, e não uma árvore para o evento como um todo. O investigador parte do esqueleto do queijo suíço, identifica de cinco a oito barreiras que estavam previstas no projeto da tarefa, marca quais delas falharam no dia, e faz Five Whys em cada uma. O relatório final é um conjunto de três a sete diagramas, e não um único, porque a multicausalidade do SIF exige multiplicidade na árvore.

O dado proprietário aqui é direto: quando a árvore desenha multicausalidade, a investigação identifica em média de três a quatro falhas latentes por SIF; quando aplicada em modo linear, identifica uma, e a falha quase sempre é humana.

3. Erro: terminar a árvore na ação do operador em vez de na falha latente do sistema

O terceiro erro é o desfecho mais comum do Five Whys mal conduzido em SIF, e tem nome técnico em James Reason: confundir falha ativa com falha latente. A falha ativa é o gesto do operador no momento do evento, geralmente alguém que executou um movimento errado, omitiu uma checagem, ignorou um sinal. A falha latente é o desenho do sistema que tornou o gesto possível, viável e até provável, e que estava presente meses antes do evento, dormente no projeto da tarefa, na escala da supervisão, na política de RH, na cultura do canteiro.

Reason argumenta no livro Managing the Risks of Organizational Accidents que a falha ativa é necessária mas não suficiente para que o evento aconteça, ao passo que a falha latente é o terreno que permite a falha ativa virar evento. Investigar SIF parando na falha ativa é equivalente a investigar incêndio florestal pelo fósforo aceso, ainda que ninguém pareça pensar nisso quando o relatório de fatalidade chega no terceiro porquê e fecha em desatenção.

O encaminhamento da árvore precisa cumprir um critério explícito de saída. A árvore só fecha quando atinge nível em que a falha estava presente antes do evento, sobreviveria à substituição do operador específico, e exige decisão de gestão para ser corrigida. Quando o relatório fecha em conformidade com a NR cumprida, a operação está olhando para o sistema da forma errada, porque cumprir a norma e estar preparado para o cenário grave são posições distintas, como argumentado em A Ilusão da Conformidade (Araújo).

4. Erro: fechar plano de ação em treinamento e reciclagem do operador envolvido

O quarto erro é o desfecho administrativo do Five Whys raso, e talvez o mais pernicioso do ponto de vista preventivo. Quando a árvore fecha em ação do operador, o plano de ação fecha em treinamento, reciclagem ou DDS específico sobre o tema. A resposta cabe na agenda do RH, é fácil registrar no eSocial, gera evidência para a próxima fiscalização e custa pouco. Em mais de 250 investigações revisadas pela consultoria de Andreza Araújo, mais de oito em cada dez planos de ação pós-SIF tinham treinamento como ação principal, e o mesmo cenário voltou a acontecer em três a dezoito meses na mesma planta ou em planta-irmã da empresa.

O argumento crítico está no livro Um Dia Para Não Esquecer (Araújo), no qual fatalidades emblemáticas mostram em sequência que treinamento como ação principal pós-evento é praticamente sinônimo de repetição do evento, porque a ação não tocou no que tornou o gesto possível. Treinar o operador morto não previne nada, e treinar os operadores vivos sobre o cenário específico não muda o projeto da tarefa que produziu o cenário em primeiro lugar.

O encaminhamento exige rejeitar plano de ação cuja peça principal seja treinamento, reciclagem, palestra ou DDS, e devolver a investigação à mesa quando o plano chegar nesse formato. Plano de ação saudável tem ao menos 60% das ações em mudança estrutural: redesenho da tarefa, mudança no procedimento operacional, alteração na escala de supervisão, mudança na política de fornecedor, redesenho do indicador que premiava o ritmo. Treinamento entra como ação complementar, e não como ação principal.

O sinal de saúde do plano não é a quantidade de itens, e sim o tipo de decisão que cada item exige. Itens que cabem no orçamento da agenda do RH são baratos e raramente preventivos; itens que pedem decisão do gerente de planta, do diretor industrial ou do conselho são caros e tipicamente onde a prevenção real acontece.

Comparação: Five Whys raso frente a Five Whys cruzado com camadas de barreira

Como conduzir Five Whys cruzado com queijo suíço em noventa minutos

O protocolo abaixo cabe em uma sessão de noventa minutos quando a equipe já tem o esqueleto de barreiras mapeado em matriz de risco que discrimina cenário, embora a primeira aplicação demande cerca de duzentos minutos enquanto o time aprende o desenho. A peça crítica é a presença de alguém que recuse fechar árvore na ação do operador, papel descrito em Sorte ou Capacidade como o investigador que protege a integridade do método contra a pressa institucional.

O passo um é desenhar o queijo suíço do cenário em três a sete fatias, no qual cada fatia é uma barreira que o projeto da tarefa previa. As barreiras típicas em altura incluem PT preenchida com tempo adequado, inspeção do ponto de ancoragem, plano de resgate executável, supervisão presente em campo, treinamento atual da equipe, equipamento certificado e política de recusa explícita. O passo dois é marcar quais fatias falharam no evento, com base em entrevista com o time da operação e revisão do registro físico do dia. O passo três é aplicar Five Whys em cada fatia que falhou, em paralelo, e não em série.

O passo quatro é o teste de saída para cada árvore. A pergunta é direta: a falha encontrada estava presente antes do evento, sobrevive à substituição do operador específico do dia e exige decisão de gestão para ser corrigida? Se a resposta a qualquer uma das três condições for não, a árvore não fechou ainda, e o investigador volta dois porquês acima até atingir o nível que cumpre as três condições simultaneamente. O passo cinco é construir o plano de ação a partir das árvores cruzadas, e não a partir de cada árvore isolada, porque algumas falhas latentes aparecem em duas ou três árvores ao mesmo tempo, e essas são tipicamente as ações de maior alavanca.

O sinal de saúde do protocolo é o relatório final ter um conjunto de árvores em vez de uma só, e o plano de ação ter ao menos uma decisão estrutural por árvore identificada.

O que o investigador faz diferente já na próxima ocorrência

A mudança operacional começa antes da próxima fatalidade, no quase-acidente. O investigador que adota Five Whys cruzado aplica o método também em near-miss de alta severidade potencial, porque o quase-acidente carrega a mesma estrutura multicausal do SIF e oferece a janela rara em que a investigação acontece sem o ruído emocional e jurídico do evento consumado. Em 25 anos de EHS executivo em multinacionais, Andreza Araújo identifica que a curva de aprendizado de uma equipe investigadora cresce muito mais rápido em near-miss bem investigado do que em SIF investigado sob pressão.

A segunda mudança é o desenho do plano de ação a partir de uma matriz cruzada das árvores. Quando duas árvores apontam para a mesma falha latente, a falha vira ação de alta alavanca. Imagine, por exemplo, política de fornecedor que premia preço acima de qualidade técnica e aparece tanto na árvore da inspeção quanto na árvore do treinamento do terceirizado. Nesse cenário, o plano prioriza a decisão sobre a política antes das ações específicas de cada árvore. Faça a Diferença, Seja Líder em Saúde e Segurança (Araújo) traz trinta e nove ações imediatas, e várias delas atacam exatamente o tipo de falha latente que aparece em múltiplas árvores.

A terceira mudança é a apresentação do relatório ao C-level. O investigador que cruzou Five Whys com queijo suíço chega na sala executiva com o conjunto de árvores e a matriz cruzada, e não com a frase única falha humana. A conversa muda de natureza porque o C-level passa a enxergar decisões de capital, governança e política que o relatório linear esconderia, e a investigação volta a ser ferramenta de gestão de risco material em vez de exercício de fechamento administrativo.

Cada SIF investigado este trimestre cuja árvore fecha em desatenção do operador é a próxima fatalidade dessa mesma planta sendo desenhada em silêncio nos próximos dezoito meses, e não a média estatística do setor.

Conclusão

Five Whys não está errado como técnica, está mal aplicado como ritual. O método cumpre a função para a qual foi desenhado quando o problema é industrial linear, embora SIF não seja problema industrial linear, e sim evento sistêmico com falhas latentes em camadas que pedem árvore por barreira em vez de árvore pelo evento. O investigador que adota essa correção encontra de três a quatro falhas latentes por SIF onde antes encontrava uma falha humana, e o plano de ação resultante toca o projeto da tarefa em vez de tocar a agenda do RH.

Para um diagnóstico estruturado da maturidade investigativa da operação, a consultoria de Andreza Araújo conduz a revisão dos últimos seis relatórios de SIF da empresa. O trabalho desenha o protocolo cruzado adaptado ao porte e ao setor, com base na metodologia descrita em Sorte ou Capacidade e em Diagnóstico de Cultura de Segurança.