FMEA em SST: 4 distorções que viciam o método em planilha

O FMEA, sigla de Failure Mode and Effects Analysis, chegou em segurança do trabalho trazido pela engenharia de produto e pela qualidade industrial, com a promessa de quantificar risco antes da falha. Em mais de 250 projetos de transformação cultural acompanhados por Andreza Araujo na América Latina, o padrão é recorrente: planilha de FMEA atualizada, RPN calculado, dono de cada linha designado, e SIFs aparecendo justamente nos modos de falha que não couberam na aba de cálculo. Este texto explica por que o método, embora rigoroso na origem, perde poder analítico quando aplicado a operação contínua, e descreve quatro distorções estruturais que transformam o FMEA em planilha cerimonial.

Por que o FMEA importado da indústria trava em SST

O FMEA nasceu para componente discreto, em projeto de produto cujo modo de falha tem fronteira física clara: o rolamento gripa, a solda trinca, o circuito abre. A planilha original cruza modo de falha, efeito, causa e severidade, com revisão de engenharia ao longo do ciclo de desenvolvimento. Quando essa estrutura migra para SST de operação contínua, a fronteira do componente desaparece, porque o sistema sociotécnico não tem peça única — tem função executada por operador, com manutenção, supervisão e cultura interagindo a cada turno.

Como Andreza Araujo defende em A Ilusão da Conformidade, cumprir o ritual da planilha não é o mesmo que controlar o risco que a planilha pretende capturar. O FMEA, transposto sem ajuste, herda a estética rigorosa da engenharia, ainda que perca a capacidade de discriminar onde o sistema vai falhar de fato.

Distorção 1: o RPN como número que parece científico

O Risk Priority Number, calculado como produto de severidade, ocorrência e detecção em escalas de 1 a 10, é tratado pela equipe como se fosse medida quantitativa. Não é. As três escalas são ordinais, não cardinais, e multiplicar valores ordinais produz número sem sentido aritmético definido — um RPN de 120 não é cinco vezes mais grave do que um RPN de 24, embora a planilha sugira essa leitura ao ordenar as linhas por valor decrescente.

Em artigo recente sobre matriz de risco, esse mesmo problema aparece: a multiplicação de probabilidade por severidade em escala 1-5 produz a falsa precisão que conforta o auditor e cega o gestor. RPN 120 não é cinco vezes pior do que RPN 24, e a equipe que ordena ações por RPN aceita a aparência de objetividade no lugar da decisão técnica. A consequência prática é o desvio de orçamento para itens com RPN alto frequente e baixa severidade, ao passo que SIFs com baixa frequência e severidade catastrófica caem para o meio da lista e perdem a fila do plano de ação.

Distorção 2: modos de falha apenas físicos

O FMEA herdado da indústria mecânica enumera modos de falha do componente: vazar, romper, travar, sobreaquecer, soltar. A operação real envolve, além disso, modos de falha humano-organizacionais cuja taxonomia o FMEA não traz por padrão — supervisor que assina permissão de trabalho sem ler, treinamento que vence sem renovação, mudança de turno que perde transferência de informação crítica, manutenção postergada por pressão de produção. Como descrito em Sorte ou Capacidade (Araujo), o acidente é evento sistêmico cuja origem raramente está num único componente físico, mas na cadeia onde decisão humana, projeto e cultura de cumprimento se cruzam.

O resultado é um documento que parece exaustivo no plano da peça e fica cego no plano do operador. Times mais maduros complementam a planilha com sessões de What If multidisciplinares, embora a sessão coletiva também perca rigor quando vira checklist sem iniciador concreto. Em projetos acompanhados por Andreza Araujo em mineração subterrânea e em metalurgia pesada, é comum encontrar FMEA de equipamento com 180 linhas, dos quais menos de cinco contemplam modos de falha humanos, e nenhum captura interação entre falha de manutenção e fadiga do turno noturno.

Distorção 3: severidade fixada na pior consequência única

A escala de severidade do FMEA tradicional convida a equipe a registrar a pior consequência imaginável de cada modo de falha, e essa lógica funciona em projeto de produto, no qual o evento extremo define o pior caso a controlar. Em SST de operação contínua, a pior consequência única raramente é o cenário mais provável, e fixá-la como referência distorce a priorização — o time tende a marcar severidade 10 em quase tudo, porque qualquer modo de falha em operação industrial pode, em condição de borda, escalar para fatalidade.

O efeito colateral está em artigo sobre hierarquia de controles: quando a severidade está saturada em 10, a única variável que ainda discrimina é a ocorrência, o que empurra a fila para eventos frequentes de baixa gravidade. SIFs de baixa frequência saem da prioridade. Como descrito por Andreza Araujo em 80 Maneiras de Ampliar a Percepção de Risco, esse padrão se chama saturação ordinal, fenômeno no qual a escala perde poder de informação à medida que a equipe converge para o teto numérico por receio de subestimar o evento raro.

Distorção 4: planilha estática em operação que muda toda semana

O FMEA de produto é desenhado para ser revisado em ciclos longos do projeto, conforme o produto evolui da prancheta para a linha de produção. Em SST de operação contínua, a planta muda a cada turno: novo terceirizado na frente de manutenção, layout alterado para acomodar lote diferente, equipamento substituído por unidade de outro fabricante, supervisor de férias substituído por encarregado em treinamento. A planilha de FMEA estática, assinada na última auditoria de matriz e arquivada no servidor, perde validade analítica em semanas.

Em mais de 250 projetos acompanhados pela Andreza Araujo, FMEAs com mais de 36 meses sem revisão estrutural tinham, por amostragem, três quartos dos modos de falha não previstos no documento original — riscos emergentes da operação que nunca voltaram para a aba de cálculo. FMEAs com idade acima de 36 meses sem revisão pós-mudança chegam a perder três quartos da capacidade descritiva, conforme amostragem em projetos industriais conduzidos pela consultoria. A planilha vira documento de auditoria, ao passo que o risco vivo migra para conversa informal entre operador e supervisor que ninguém registra.

Comparação: FMEA estático frente ao FMEA recalibrado para SST

Como recuperar um FMEA de SST que virou planilha morta

O caminho de recuperação não exige refazer o documento do zero, ainda que o instinto do gestor sugira o contrário. Em projetos acompanhados pela Andreza Araujo, a sequência que funciona segue três movimentos curtos, executáveis em 90 dias.

• Auditoria de cobertura, na qual o time conta quantos modos de falha humano-organizacionais a planilha contempla. Se ficar abaixo de 20%, a planilha está descrevendo equipamento, não SST.
• Recalibração de severidade com histórico setorial. O cruzamento com dados do Anuário Estatístico de Acidentes do Trabalho e do Painel SmartLab do MPT permite ancorar severidade em fatalidades reais do setor, no lugar de saturar em 10 por receio.
• Vínculo do FMEA ao processo de gestão de mudanças. Toda alteração de layout, fornecedor, supervisor de turno ou regime de operação dispara revisão pontual da linha correspondente, em vez de esperar a auditoria anual.

Os três movimentos, embora simples no plano da descrição, exigem que o gerente de SST estabeleça ritual visível de revisão pós-mudança, no qual a planilha de FMEA seja reaberta na frente da equipe operacional. Como Andreza Araujo descreve em Liderança Antifrágil, a planilha que se reabre após cada mudança ganha capacidade descritiva ao longo do tempo, ao passo que a planilha arquivada perde poder semana após semana.

Liderança em segurança: quem mantém o FMEA vivo na operação

O modelo do queijo suíço de James Reason mostra que toda barreira tem buracos, e a planilha de FMEA, na forma estática, é uma barreira cujos furos ninguém olha entre uma auditoria e outra. Durante a passagem pela PepsiCo na América Latina, onde a taxa de acidentes caiu 86%, Andreza Araujo conduziu uma curva semelhante de método. O FMEA passou de documento auditável a instrumento de decisão semanal, na qual cada modo de falha emergente da operação retornava para a aba de cálculo dentro de 30 dias após o incidente.

O recorte que muda na prática

O FMEA não é, por origem, instrumento equivocado, e sim instrumento aplicado fora de seu escopo de eficácia. Em SST de operação contínua, ele cumpre função de triagem inicial, ainda que perca utilidade quando ocupa o lugar de decisão técnica final. A pergunta de borda, antes de assinar a planilha de FMEA da próxima auditoria, é se a equipe consegue apontar três incidentes recentes cujos modos de falha já estão na planilha. Quando a resposta é não, o documento descreve um sistema que não existe mais.

Cada mês com FMEA estático em operação que muda toda semana é mês em que o risco vivo migra para conversa informal não registrada, e essa conversa, ao contrário da planilha, não tem ata, não tem revisor, e não responde por SIF.

Conclusão

Recalibrar o FMEA custa pouco quando comparado ao preço de investigar uma fatalidade cuja origem nunca constou na planilha. Para diagnóstico estruturado dos métodos de análise de risco em uso na sua planta, com base na metodologia descrita por Andreza Araujo em Diagnóstico de Cultura de Segurança e em artigo complementar sobre Bow-Tie, a consultoria conduz a apuração e desenha o plano de recuperação em 90 dias.