Gestão de mudanças (MOC) em SST: 7 falhas que disparam SIF

Em mais de 250 projetos de transformação cultural acompanhados pela Andreza Araujo, a maior parte das fatalidades industriais investigadas no Brasil aconteceu em operações cujo PGR estava aprovado, com auditoria interna recente sem ressalva. A operação, ainda assim, carregava mudança não documentada nos noventa dias anteriores ao acidente. Este guia descreve sete falhas estruturais de Gestão de Mudanças que precedem o SIF em planta industrial brasileira, mostra como o gerente SSMA distingue MOC efetiva de MOC protocolar, e indica o checklist que cabe num único turno do supervisor de área.

Por que PGR aprovado não impede SIF em operação que muda no silêncio

O PGR é uma fotografia. Captura o risco da operação no momento em que a equipe técnica conduziu o levantamento, conforme o item 1.5.4.4 da NR-01, e fica válido enquanto a operação se mantém igual. O problema é que a operação industrial nunca se mantém igual por noventa dias seguidos, porque fornecedor troca, equipamento envelhece, supervisor migra de turno, e cada uma dessas alterações desloca o ponto exato do risco que a fotografia havia mapeado.

Como Andreza Araujo defende em A Ilusão da Conformidade, cumprir a norma e estar seguro são posições distintas, e a Gestão de Mudanças torna essa distância especialmente cruel. O documento PGR pode estar formalmente em ordem ao mesmo tempo em que a operação real opera num cenário de risco que ele já não representa. A mudança silenciosa, que ninguém classifica como mudança relevante, é exatamente o tipo de evento que Sorte ou Capacidade (Araujo) descreve como precursor sistêmico da fatalidade.

O retrato típico do SIF brasileiro em planta industrial cabe nesta sentença: PGR válido, auditoria interna sem ressalva, treinamento em dia, EPI certificado, e um pequeno detalhe que mudou na semana anterior e ninguém anotou. As sete falhas a seguir descrevem onde esse pequeno detalhe costuma se esconder.

1. Troca de fornecedor de matéria-prima sem reanálise química

O comprador encontra um fornecedor com preço quinze por cento abaixo, valida a especificação técnica em planilha, e libera o pedido conforme o procedimento de suprimentos. A FISPQ do novo fornecedor aparece no recebimento da carga, não antes. Quando o operador descarrega, a APR dele continua referenciando o solvente do fornecedor antigo, embora o ponto de fulgor do produto novo seja três graus mais baixo e a compatibilidade com a luva nitrílica padrão da operação esteja agora marginal.

Em mais de 250 projetos acompanhados pela Andreza Araujo, a substituição de fornecedor químico aparece como gatilho recorrente em incêndios de pequena escala em armazém e em dermatites ocupacionais. O SESMT raramente é avisado, porque suprimentos trata a troca como decisão comercial, ao passo que a APR é tratada como entregável de SST, e os dois mundos não conversam dentro do prazo da entrega.

O controle simples que muda o jogo é o gatilho de MOC obrigatório em troca de qualquer matéria-prima cuja FISPQ tenha mudança em qualquer um dos campos das seções 2 (perigos), 4 (primeiros socorros), 5 (combate ao incêndio), 7 (manuseio) ou 8 (controle de exposição). Sem esse gatilho, a APR do operador nunca chega à versão correta, ainda que tudo o mais esteja conforme.

2. Substituição de equipamento "equivalente" sem reanálise de LOTO

O equipamento queima, o setor de manutenção encontra um modelo "equivalente" no estoque ou no mercado, e a chefia operacional libera a substituição na sexta-feira para retomar a produção na segunda. O modelo novo tem painel de comando organizado de forma diferente, válvula de alívio em posição diferente, e a sequência de bloqueio do LOTO que servia para o equipamento antigo passa a deixar uma fonte de energia residual ativa. O procedimento padrão da empresa permanece o mesmo, porque ninguém o reescreveu.

O operador experiente ainda reconhece a diferença, porque tem memória do equipamento antigo. O operador novo, que entrou na semana seguinte, executa o LOTO conforme o procedimento e energiza um circuito que devia estar isolado. Em Sorte ou Capacidade, Andreza Araujo descreve esse padrão como falha latente clássica do modelo do queijo suíço de James Reason, na qual a barreira escrita já não corresponde à barreira física.

A regra prática é tratar toda substituição de equipamento como mudança que dispara MOC, ainda que o modelo seja descrito como equivalente pelo fabricante, porque equivalente em catálogo raramente significa equivalente em isolamento de energias.

3. Mudança de turno e perda de continuidade da APR

O terceiro turno tem composição diferente do primeiro, equipe menor, supervisor de cobertura, e a passagem de plantão acontece nos vinte minutos finais do segundo turno, no corredor, em pé. A APR do dia, que foi conduzida pelo primeiro turno na presença do supervisor titular, vira um documento que o terceiro turno copia para a folha do dia seguinte sem reabrir a discussão. O risco real do terceiro turno é diferente, porque a iluminação do galpão é parcial, a temperatura do equipamento já passou pelo ciclo completo do dia, e a equipe está em fadiga acumulada.

A NR-17 aborda fadiga como fator ergonômico, embora a operação raramente trate fadiga como entrada da APR. Em pesquisa setorial conduzida em projetos da Andreza Araujo em mineração e indústria de processo, a APR do terceiro turno foi a que mais frequentemente apareceu como cópia literal da APR do primeiro turno, sem qualquer adaptação à condição real da hora da execução.

O gatilho de MOC aqui é qualquer alteração de composição da equipe acima de dois operadores ou qualquer redução de supervisão presencial. Pequeno na aparência, esse gatilho captura a maior parte das fatalidades em manutenção noturna na operação industrial brasileira.

4. Substituição de pessoa-chave sem transferência estruturada de risco

O supervisor de turno acumula vinte anos de operação naquela planta. Conhece os pontos cegos da máquina nove, sabe qual válvula vibra quando a pressão sobe acima do setpoint, e recusa silenciosamente PT que outros supervisores aprovariam. Aposenta. O substituto chega no início do mês seguinte e recebe um treinamento padrão de duas semanas, no qual o conhecimento tácito não cabe.

Em Faça a Diferença, Seja Líder em Saúde e Segurança (Araujo, 2014), o argumento central é que o supervisor é a barreira final entre o risco e o trabalhador, na medida em que ele é quem decide recusar PT e interromper turno. Quando a substituição de pessoa-chave acontece sem MOC formal, a empresa perde uma barreira ativa cuja presença não estava documentada e cuja ausência ninguém percebe até o primeiro acidente.

O controle aqui é prático e barato. Toda substituição de supervisor, líder de equipe, técnico de segurança ou operador especialista dispara MOC com período de cobertura cruzada de pelo menos trinta dias. A transferência de risco é registrada por escrito, com lista de pontos cegos conhecidos, recusas históricas e quase-acidentes da área.

5. Modificação miúda de processo "para melhorar produtividade"

O líder de produção identifica gargalo, propõe mudança de sequência ou aumento de carga em meio ponto percentual, valida com o gerente operacional, e a planta começa a operar no novo regime na semana seguinte. Não chega ao SESMT, porque a mudança é descrita como "ajuste de produtividade" e não como modificação de processo. A matriz de risco do PGR permanece com os parâmetros antigos.

Quando a planta opera meses no novo regime sem incidente, a mudança vira norma de fato, embora nunca tenha sido reanalisada. O parâmetro do risco real se desloca, ainda que ninguém perceba, até o dia em que a combinação certa de fadiga, calor e variação miúda de matéria-prima leva o equipamento ao limite que a matriz antiga não previa. A fatalidade aparece como evento isolado, embora seja resultado de meses de operação fora do envelope.

Em A Ilusão da Conformidade, Andreza Araujo trata o tema de forma direta. Mudança miúda autorizada por gerente operacional sem passagem por SST é a forma mais comum de a empresa perder o controle do envelope de risco, porque a soma das modificações miúdas no ano costuma exceder a janela operacional projetada. O gatilho de MOC precisa cobrir alteração de qualquer parâmetro listado na ficha de processo, ainda que a alteração pareça cosmética.

6. Terceirização de atividade sem onboarding de risco

A empresa decide terceirizar a manutenção elétrica predial. A nova prestadora chega na semana seguinte com equipe própria, EPI próprio e procedimento próprio. O contrato exige certificação NR-10, embora não exija integração com o PGR da contratante. A APR da contratada é genérica, cópia da que serve a outras operações industriais que ela atende, e a supervisão do contratante se reduz a uma reunião semanal de acompanhamento.

O que a cultura de segurança em contratadas mostra é que a entrada de uma nova empresa na planta é uma das mudanças de maior risco, justamente porque o controle do contratante diminui no exato momento em que a operação ganha um conjunto novo de práticas. Em projetos da Andreza Araujo em mineração e construção, terceirização sem onboarding de risco apareceu correlacionada com SIFs de fatalidade elétrica e queda de altura.

O gatilho de MOC para terceirização exige que a APR da contratada seja revalidada in-loco antes da primeira execução, com o supervisor da contratante presente. O controle complementar é que cada novo supervisor da contratada passe por integração de risco específica da operação, embora isso atrase o início do contrato em três a cinco dias. Atraso de cinco dias é parâmetro aceitável, ao passo que SIF é parâmetro inaceitável.

7. Mudança de layout físico sem reanálise de rota de fuga

O setor industrial reorganiza o piso para acomodar uma linha nova. O equipamento desloca dois metros, a sinalização de saída de emergência permanece no lugar antigo, o EPC de combate a incêndio fica atrás de um pallet temporário que vira permanente, e a rota de fuga prevista no plano de emergência passa por uma área obstruída. Nada disso aparece no PGR, embora qualquer um desses elementos seja barreira documentada na NR-23 e no plano de atendimento a emergência.

O sinal de risco aqui é silencioso, porque a planta opera por meses sem evento, até a primeira ocasião em que a evacuação real precisa acontecer. Em Um Dia Para Não Esquecer (Araujo), o capítulo sobre incêndio em armazém narra cenário no qual o tempo de evacuação foi quatro vezes maior do que o tempo previsto no plano, justamente porque o layout havia mudado e ninguém havia atualizado a sinalização. A janela útil entre alarme e perda de consciência por inalação de fumaça é de aproximadamente três minutos em incêndio com material plástico, conforme literatura de proteção contra incêndio referenciada na NBR 9077.

O gatilho de MOC aqui cobre toda alteração de layout físico que mude trajeto de fuga, posição de EPC, sinalização ou ponto de combate a incêndio. O controle é uma simulação de evacuação cronometrada antes da reabertura formal do setor, sem aviso prévio à equipe, com registro de obstáculos encontrados.

MOC efetiva frente à MOC protocolar

A diferença entre uma Gestão de Mudanças que opera como barreira e uma que opera como teatro de conformidade não está no formulário, e sim em cinco dimensões operacionais cujo desenho separa o documento da realidade do canteiro:

A coluna da esquerda exige sete a quinze dias de prazo médio para uma mudança grande, ao passo que a da direita resolve em duas horas. O retorno dessa diferença aparece na curva de SIF de doze a dezoito meses depois, segundo a observação consolidada em mais de duzentas implementações conduzidas pela Andreza Araujo.

Como auditar seu MOC em trinta minutos

Pegue cinco mudanças aprovadas nos últimos noventa dias e rode esta auditoria curta, que cabe num único turno do gerente SSMA e dispensa software adicional:

• Lista escrita de gatilhos de MOC cuja redação é específica (alteração de fornecedor químico, substituição de equipamento, redução de equipe, modificação de processo, troca de pessoa-chave, terceirização nova, alteração de layout) e não vaga.
• Registro físico de reanálise de APR e matriz de risco para cada uma das cinco mudanças amostradas, com data anterior ao início da operação modificada e não posterior.
• Aprovação por escrito do supervisor de área da operação afetada, e não somente do gerente que autorizou a mudança no plano comercial ou operacional.
• Atualização do PGR registrada na revisão posterior à mudança, com data e responsável identificados na revisão do documento.
• Indicador leading de quase-acidente reportado na área da mudança nos noventa dias seguintes, sinal de que a equipe está olhando para o novo cenário e não tratando a operação como antes.

Quando a auditoria não encontra reanálise registrada anterior à mudança em pelo menos quatro das cinco amostras, o sinal mais provável é MOC protocolar, porque a empresa documenta o evento, embora não reanalise o risco antes de operar no novo cenário. Esse padrão correlaciona, em pesquisa de campo conduzida pela Andreza Araujo, com o aumento da probabilidade de SIF nos doze meses seguintes.

Liderança em segurança: o gerente de planta é o dono da MOC

O modelo do queijo suíço de James Reason mostra que toda barreira tem buracos, e quando a Gestão de Mudanças vira camada protocolar, a pessoa que decide na ponta passa a ser a única barreira ativa entre o risco novo e o trabalhador. Durante a passagem pela PepsiCo na América Latina, Andreza Araujo conduziu uma curva semelhante, na qual a redução de oitenta e seis por cento na taxa de acidentes não veio de mais formulários. Veio do gerente de planta que recusava publicamente toda mudança operacional sem MOC, transformando a recusa em ritual cultural visível para a operação inteira. A reanálise via HAZOP ou via Bow-Tie reverso, ou ainda via FMEA recalibrado ao equipamento modificado, é o instrumento técnico, embora a barreira cultural seja a recusa do gerente em iniciar operação sem reanálise documentada.

Quando o gerente de planta delega a decisão de MOC ao SESMT sem assinar a aprovação final, a mudança opera num cenário ambíguo no qual ninguém é dono da barreira e o EPI vira desculpa de fechamento. O dono da MOC é o gerente operacional. O SSMA é técnico de apoio. A inversão dessa cadeia é, ela própria, falha cultural que precede SIF.

Cada mudança operacional autorizada sem MOC documentada na sua planta é uma fatalidade aguardando a combinação certa de fadiga, fornecedor novo e supervisor de cobertura, e não a média estatística do mês.

Conclusão

Auditar MOC custa pouco quando comparado ao preço de investigar uma fatalidade, porque trinta minutos sobre uma amostra de cinco mudanças pesam menos do que seis a dezoito meses de processo judicial, indenização e dano reputacional pós-SIF. Para um diagnóstico estruturado da cultura que sustenta a Gestão de Mudanças no canteiro, a consultoria de Andreza Araujo conduz a apuração ponta a ponta, com base na metodologia descrita em Diagnóstico de Cultura de Segurança e em A Ilusão da Conformidade.