HAZOP em SST: 5 erros que transformam o método em ritual

Em planta de processo brasileira, três em cada quatro estudos de HAZOP arquivados na sala da engenharia foram conduzidos uma única vez, na partida da unidade, e jamais foram revisitados depois de qualquer modificação significativa. A modificação não revisada concentra cerca de 60% dos eventos de processo investigados como SIF, conforme leitura cruzada de relatórios da CETESB, Anuário Estatístico de Acidentes do Trabalho do Ministério do Trabalho e estudos do CCPS sobre Management of Change. Este guia explica por que o método, ainda que cumpra o requisito formal de gerenciamento de risco, falha como barreira preventiva quando a planta o trata como conformidade de auditoria, e mostra cinco erros recorrentes que transformam HAZOP em ritual.

Por que HAZOP em ordem não impede SIF de processo

O HAZOP, sigla de Hazard and Operability Study, é uma análise sistemática de cenários desviados do projeto, conduzida em sala por um time multidisciplinar com palavras-guia clássicas como No, More, Less, As Well As, Part Of, Reverse e Other Than. Funciona como barreira preventiva enquanto força engenharia, operação e manutenção a parar, ler o P&ID e imaginar o que aconteceria se a vazão dobrasse, se a temperatura caísse, se a corrente fluísse no sentido inverso. Vira ritual de conformidade no momento em que o engenheiro residente assina o relatório por hábito, repetindo a aprovação da revisão anterior sem reabrir a leitura técnica do nó analisado.

Como Andreza Araujo defende em A Ilusão da Conformidade, cumprir o requisito de gerenciamento de risco e estar protegido contra eventos de processo são posições distintas. O HAZOP em planta brasileira média mostra essa distância de forma especialmente clara, porque o erro de leitura aqui não rende multa, custa explosão, vazamento ou fatalidade.

1. HAZOP feito na partida e nunca revisitado depois de mudança

O risco real numa planta de processo muda a cada modificação significativa, porque substituir uma bomba centrífuga por uma de deslocamento positivo, trocar o catalisador, mudar o setpoint da PSV ou alterar a sequência de partida cria combinações que o HAZOP do projeto original já não cobre. Quando o time arquiva o relatório original como prova documental e segue operando a planta modificada sem reabrir o estudo, perde o único momento em que ainda haveria oportunidade de questionar o cenário desviado antes de o desvio acontecer no campo. Para aprofundar, veja compras de SST.

Em mais de duzentos e cinquenta projetos de transformação cultural acompanhados pela Andreza Araujo, plantas que sustentavam um Management of Change ativo e indexado ao HAZOP apresentavam recorrência de eventos de processo entre quatro e seis vezes menor do que plantas que arquivaram o HAZOP original sem revisão posterior. O sintoma mais comum aparece num lugar simples: a data da última revisão do estudo, comparada com a data da última modificação na P&ID atualizada.

2. Recomendação registrada que vira documento sem dono

O segundo erro fica visível na planilha de ações pós-HAZOP. Quando o relatório fecha o ciclo, costuma trazer entre quarenta e cento e vinte recomendações, distribuídas entre engenharia, operação, manutenção e SST. Boa parte vai para o repositório do SGI sem responsável nominal, sem prazo realista e sem indicação de quem fecha a verificação técnica. O tempo médio entre recomendação registrada e ação implantada na planta brasileira média passa de dezoito meses, faixa em que três quartos dos itens se tornam obsoletos por modificação posterior na unidade.

O efeito espectador descrito por Latané, citado em Cultura de Segurança (Araujo), reaparece aqui em formato corporativo, na medida em que cada elo da cadeia presume que outro fechou e ninguém na cadeia chega a fechar de fato. A recomendação, que deveria virar OS de manutenção indexada à modificação no projeto, vira documento que coleta atualizações de status sem chegar ao campo.

3. Sessão sem operador real e sem manutentor de campo

O terceiro erro é cultural e se desenha quando o time da sala é composto apenas por engenharia de processo, engenharia de SST e o consultor externo, ainda que o operador da unidade e o manutentor mecânico fiquem fora da rodada por agenda apertada ou por hierarquia. O time perde o conhecimento tácito cuja origem está em quem opera a planta de fato, conhecimento diferente de como a planta foi projetada para operar, e o cenário desviado que aparece no campo pelo menos uma vez por semana costuma nunca chegar à mesa.

Como o método das 14 Camadas de Observação Comportamental (Araujo) descreve em outro contexto, a leitura técnica do risco se beneficia da fricção entre a vista do projeto e a vista da operação real, porque é nessa fricção que o desvio crônico aparece para quem só leu o P&ID. Em planta brasileira média, a ausência do operador veterano em sessão de HAZOP é o indicador isolado mais correlacionado com cenários relevantes não identificados nos doze meses seguintes ao estudo.

4. Palavras-guia puladas para encurtar a sessão

O quarto erro aparece nos cronogramas apertados de empresa que contratou a sessão como entrega contratada por hora. As palavras-guia clássicas, sete no protocolo original (No, More, Less, As Well As, Part Of, Reverse, Other Than), são aplicadas com rigor sobre as três primeiras, More, Less e No, embora as quatro restantes sejam atravessadas em ritmo acelerado para encerrar o nó dentro do tempo combinado.

O problema é que Reverse e Other Than capturam, justamente, os cenários menos óbvios e mais letais, que envolvem fluxo invertido por falha de retenção, contaminação por substância adjacente em linha compartilhada e composição diferente do declarado em ordem de produção. Pular essas palavras-guia parece ganho de produtividade na sala e gera, no campo, exatamente o tipo de cenário que Bow-Tie em SST elenca como ramificação sem barreira preventiva e sem barreira mitigatória.

5. Recomendação que cai em controle administrativo no lugar de engenharia

O quinto erro é talvez o mais caro. Quando o estudo identifica cenário com severidade catastrófica e recomenda, como tratamento, treinamento adicional, alarme novo no painel ou procedimento operacional revisado, a planta acumula camadas administrativas baratas em vez de modificar o projeto. A redução real de risco de cenário catastrófico via controle administrativo é estimada em um décimo da redução obtida por mudança de engenharia ou eliminação na fonte, conforme parâmetros consolidados de Layer of Protection Analysis no CCPS.

O viés é compreensível, na medida em que controle administrativo sai mais barato no orçamento do ano, embora vire passivo de SIF nos cinco anos seguintes. A hierarquia de controles existe para impedir essa inversão, e o HAZOP que recomenda treinamento como tratamento de severidade catastrófica documenta, na prática, a renúncia da empresa em mexer no projeto.

HAZOP como barreira frente a HAZOP como ritual de auditoria

Como auditar a saúde do seu HAZOP em 30 minutos

Pegue o último HAZOP arquivado na engenharia da planta e rode esta auditoria curta, que cabe na primeira hora do gerente de SSMA antes da reunião semanal e dispensa software:

• Idade do último estudo, comparada com a data da última modificação significativa na P&ID, lembrando que diferença superior a doze meses sem revisão indica HAZOP defasado em relação à unidade real.
• Percentual de ações fechadas com verificação técnica documentada, calculado sobre o total de recomendações daquele estudo, com piso aceitável de oitenta por cento em estudos com mais de três anos.
• Distribuição das ações entre eliminação, substituição, controles de engenharia, controles administrativos e EPI, sinalizando inversão de hierarquia quando administrativos somados a EPI passam de cinquenta por cento das recomendações de severidade alta ou catastrófica.
• Lista de presença na sessão original, conferindo se houve operador veterano da unidade e manutentor mecânico, dois papéis cuja ausência tende a ocultar cenários crônicos de campo.
• Cobertura das sete palavras-guia em pelo menos três nós críticos da unidade, conferida no relatório com leitura linha a linha, na medida em que ausência sistemática de Reverse e Other Than indica sessão acelerada por contrato.

Quando a auditoria não encontra nenhuma revisão pós-modificação nos últimos doze meses em planta que sofreu modificação significativa no período, o sinal mais provável é cultura conformista, porque ou a planta congelou totalmente o projeto (cenário improvável) ou a engenharia parou de olhar para o estudo como ferramenta viva.

HAZOP, What If e FMEA: quando cada método entrega resultado

O HAZOP perde força em planta cuja operação não é dominada por variáveis contínuas de processo, contexto em que What If costuma entregar mais valor por hora de sala, porque o método aceita perguntas abertas, sem prender o time a palavras-guia. O FMEA aplicado a SST, por sua vez, cobre o componente como unidade de análise e responde melhor em modificação localizada de equipamento crítico, em vez de cobrir o nó de processo inteiro. Em planta de cimento, mineração subterrânea ou indústria de alimentos com receita variável, a combinação típica colocada em prática nas operações que Andreza Araujo acompanhou inclui HAZOP por unidade de processo, FMEA para o equipamento crítico recém-modificado e What If como apoio rápido em pré-partida, depois de parada longa.

Liderança em SST de processo: o engenheiro de SSMA é a barreira final

O modelo do queijo suíço de James Reason mostra que toda barreira tem buracos, e quando o HAZOP se torna apenas uma camada protocolar, o engenheiro de processo na ponta passa a ser a única barreira ativa entre o cenário desviado e a explosão. Durante a passagem pela PepsiCo na América Latina, Andreza Araujo conduziu uma curva semelhante em planta de bebidas. A redução de 86% na taxa de acidentes não veio de mais relatórios, e sim do gerente que recusava publicamente toda partida de modificação significativa sem novo HAZOP indexado, transformando a recusa em ritual cultural visível para a planta inteira.

Cada modificação significativa partida sem novo HAZOP no seu site é um cenário catastrófico aguardando a combinação certa de operador novo, alarme silenciado e supervisor cansado, e não a média estatística do anuário do setor.

O recorte que muda na prática

HAZOP em planta de processo raramente falha por falta de método. Falha porque a engenharia repete o método no automático, sem reabrir a leitura do cenário a cada modificação significativa. A primeira pergunta do líder antes de liberar a partida não é técnica e sim cultural, e diz respeito ao que mudou no projeto desde o último estudo. Quando o time responde que nada mudou, o HAZOP atual ainda serve como barreira, embora um indicador leading mensal continue indispensável para confirmar que a engenharia segue olhando para o estudo como ferramenta viva. Quando o time não consegue responder a pergunta, a planta não está pronta para partir, ainda que o relatório esteja arquivado e a auditoria interna o aprove.

Conclusão

Auditar HAZOP custa pouco quando comparado ao preço de investigar uma explosão, porque uma hora do gerente de SSMA sobre o último estudo pesa menos do que o ciclo de seis a dezoito meses de processo judicial, indenização e dano reputacional. Para um diagnóstico estruturado da cultura que sustenta o HAZOP na sua planta, a consultoria de Andreza Araujo conduz a apuração ponta a ponta, com base na metodologia descrita em Diagnóstico de Cultura de Segurança.