Matriz de risco em SST: 5 erros que falsificam a priorização

Em mais de 250 projetos de transformação cultural acompanhados por Andreza Araújo, a matriz de risco aparece em praticamente toda empresa auditada e, na maioria dos casos, falha em cumprir a função para a qual foi desenhada, que é priorizar risco real para alocar recurso preventivo. Em 7 de cada 10 investigações de fatalidade revistas em consultoria, o evento já estava previsto no inventário de riscos do PGR e classificado no quadrante "tolerável" da matriz vigente. A observação é consistente com o que descreve o Anuário Estatístico de Acidentes do Trabalho do Ministério do Trabalho, ao apontar reincidência setorial de SIFs em atividades já mapeadas. Este texto descreve por que a matriz típica vira teatro de priorização, identifica os cinco erros estruturais que sustentam a distorção e apresenta uma rotina de auditoria de sessenta minutos que separa matriz operativa de matriz simbólica.

Por que matriz de risco vira teatro de priorização

A matriz de risco foi desenhada para responder duas perguntas operacionais distintas, que são qual perigo merece intervenção primeiro e em qual ordem o recurso preventivo deve fluir. Quando a equipe trata o instrumento como entregável de auditoria, e não como decisão recorrente sobre alocação de capital, a matriz responde a uma terceira pergunta, distinta das duas operacionais e que consiste em justificar perante o fiscal o que a liderança já decidiu fazer. Como Andreza Araújo defende em A Ilusão da Conformidade, cumprir a NR-01 e gerenciar risco real são práticas distintas. A matriz é o ponto em que essa distância aparece com mais clareza, porque o documento sobrevive a auditoria mesmo quando o quadrante "intolerável" está vazio numa operação que registrou quase-acidentes nos doze meses anteriores.

O mecanismo cultural que sustenta a distorção tem nome técnico no domínio, conhecido como viés de normalização do desvio. À medida que a operação convive com risco rotineiro sem incidente grave, o grupo passa a classificar esse risco como "tolerável" porque a memória recente não traz fatalidade. Em mais de duzentos e cinquenta projetos acompanhados por Andreza Araújo, esse padrão aparece de forma sistemática em operações que cumprem 100% das auditorias internas e ainda assim mantêm SIFs recorrentes no mesmo perfil de tarefa. A pirâmide de Heinrich e Bird descreve essa configuração ao tratar eventos precursores como sinais que precedem fatalidade em proporção previsível.

1. Matriz copiada do modelo padrão, sem calibração setorial

O primeiro erro estrutural acontece antes da primeira reunião sobre risco, porque a matriz já vem pronta. Consultoria anterior entregou um modelo 5×5 com critérios de severidade e probabilidade pensados para um setor que pode não ser o seu, e a operação adota o documento sem reescrever os critérios em linguagem do próprio chão de fábrica.

O dado que o mercado raramente nomeia é que matriz não calibrada por setor produz priorização homogeneizada e cega ao perfil real de risco. Uma matriz 5×5 padrão que coloca "afastamento superior a quinze dias" no nível 4 de severidade subdimensiona drasticamente o risco em mineração subterrânea, em que o pior caso plausível é múltipla fatalidade. A mesma matriz superdimensiona o risco em escritório, em que afastamento de quinze dias por LER já é cenário extremo. Aproximadamente 40% das matrizes auditadas em consultoria pela Andreza Araújo na última safra de projetos foram herdadas de avaliação anterior sem calibração setorial documentada, conforme registro interno do escritório de consultoria.

A aplicação prática começa pela reescrita dos cinco níveis de severidade em linguagem do próprio setor, com referência ao pior caso plausível verificado em fontes nomeadas, como o Anuário do MTE para o CNAE da operação ou o painel SmartLab do MPT. O nível 5, rotulado em geral como catastrófico, precisa descrever cenário concreto da própria atividade, e não fórmula genérica como "múltiplas fatalidades", porque a fórmula genérica não dialoga com o supervisor que vai usar a matriz no turno seguinte.

2. Severidade definida pelo "pior caso já visto na empresa"

O segundo erro é silencioso e mata mais do que o primeiro porque a equipe define severidade pelo pior incidente já registrado na empresa, e não pelo pior caso plausível da atividade. A consequência operacional é direta. Operações que nunca tiveram fatalidade classificam o nível 5 como "afastamento superior a trinta dias", uma vez que o histórico não traz pior, e o quadrante de fatalidade fica vazio, embora a atividade comporte fatalidade plausível em condições facilmente reproduzíveis.

Andreza Araújo argumenta em Muito Além do Zero que ausência de fatalidade no histórico não prova ausência de risco, e sim apenas que a combinação fatal ainda não aconteceu na janela observada. A pirâmide de Heinrich e Bird sustenta a tese de forma quantitativa, ao mostrar que a fatalidade é o evento de topo de uma distribuição que tem milhares de quase-acidentes na base. A distribuição opera em cada operação industrial mesmo na ausência de evento grave nos últimos doze ou vinte e quatro meses.

A correção exige inverter o critério. Severidade passa a ser definida pelo pior caso plausível, com inclusão obrigatória de cenário fatal sempre que a atividade comporte energia mecânica acima de dez quilojoules, queda livre superior a dois metros, exposição a substância classe IDLH ou interação humano-máquina sem interlock duplo. O critério precisa ser escrito, anexado à matriz e disponível ao supervisor, em vez de ficar restrito ao engenheiro de segurança que assina o PGR.

3. Probabilidade definida por consenso, sem cruzamento com near-miss

O terceiro erro acontece na sala de reunião e raramente é detectado em auditoria. A liderança da planta se reúne, debate cada risco do inventário e atribui probabilidade por consenso, como se a percepção do grupo fosse instrumento de medida confiável. O risco metodológico aqui é severo, uma vez que a percepção da liderança sofre dos vieses cognitivos que Andreza Araújo cataloga em 80 Maneiras de Ampliar a Percepção de Risco, entre os quais viés de otimismo, heurística da disponibilidade, normalização do desvio e pressão da conformidade dentro do próprio grupo.

O dado que muda a conversa é o registro de quase-acidente reportado nos últimos doze meses, conhecido pelo termo internacional near-miss. Operação madura mantém esse registro estruturado por atividade, e a matriz precisa cruzar a probabilidade estimada com a frequência observada antes de aprovar qualquer classificação. Quando a liderança classifica como "improvável" um risco cuja base de quase-acidente mostra três a sete eventos por trimestre, o que aparece em planilha não é probabilidade e sim viés de otimismo formalizado em documento.

A correção é procedimental. Antes de cada reunião de matriz, o engenheiro de segurança consolida o histórico de near-miss por atividade e apresenta o número como insumo, e não como ilustração. A liderança ainda decide, embora decida com referência objetiva, e qualquer divergência entre percepção e registro precisa ser justificada por escrito na ata, prática que reduz materialmente o efeito do consenso enviesado.

4. Quadrante "tolerável" virou refúgio de SIF previsto

O quarto erro é o mais consequente do bloco, porque opera dentro do próprio sistema de classificação. Em planta industrial típica auditada por Andreza Araújo, o quadrante intermediário da matriz, rotulado em geral como "tolerável" ou "moderado", concentra a maioria dos riscos do inventário, e essa concentração esconde decisão técnica não declarada. Quando o quadrante "tolerável" recebe risco cuja consequência plausível é fatalidade, o instrumento autoriza a operação a não tratar o risco com prioridade máxima, ainda que o desfecho previsto seja SIF.

A regra que separa matriz operativa de matriz simbólica é simples e raramente aplicada, na medida em que nenhum risco com consequência plausível de fatalidade pode ficar em quadrante diferente de "intolerável", independentemente da probabilidade estimada. A justificativa é matemática e ética ao mesmo tempo. Matemática porque a multiplicação de severidade por probabilidade na matriz tradicional pune incorretamente eventos raros e de altíssima severidade, conhecidos como cisnes negros aplicados ao domínio de SST. Ética porque a sociedade não tolera ausência de tratamento prioritário a risco que, quando se materializa, mata.

A aplicação no canteiro exige separar o tratamento do risco em duas decisões distintas. A primeira decisão é a classificação do quadrante, que segue a regra acima. A segunda decisão é a alocação de capital preventivo, que pode considerar probabilidade para sequenciar quais "intoleráveis" entram no plano deste ano e quais entram no plano de dois anos. Misturar as duas decisões em uma única classificação produz a matriz típica, na qual SIF previsto convive com risco trivial no mesmo quadrante.

5. Sem ciclo obrigatório de revisão pós-quase-acidente

O quinto erro é cultural antes de ser metodológico. A matriz é tratada como documento estático que cumpre requisito da NR-01, e nenhum quase-acidente registrado dispara revisão obrigatória. O resultado é matriz cujo retrato envelhece à medida que a operação muda, com novas máquinas, novos turnos, nova rotação de pessoal e novos serviços terceirizados, sem que esses fatos novos rebalanceiem o inventário e os quadrantes.

Em mais de duzentos e cinquenta projetos conduzidos por Andreza Araújo, o ciclo de revisão obrigatório aparece como o indicador isolado mais correlacionado com matriz operativa. Operações que revisam a matriz após cada quase-acidente investigado, ainda que a revisão dure quinze minutos e não altere nenhum quadrante, mantêm o instrumento vivo no dia a dia da liderança e do supervisor. Operações que revisam apenas no ciclo anual produzem matriz que serve à auditoria documental e desaparece do radar operacional nos onze meses restantes.

A correção exige decisão da gerência de SST e respaldo da diretoria industrial. Cada quase-acidente investigado precisa gerar revisita formal à matriz, registrada em ata, com decisão explícita sobre alteração ou manutenção do quadrante, e com envolvimento do supervisor da área. Sem esse ritual, a matriz volta ao status de documento de auditoria nos primeiros sessenta dias após a publicação.

Como auditar sua matriz em sessenta minutos

A auditoria curta cabe em um único turno do gerente de SST e dispensa software especializado. O método cruza a matriz vigente com cinco indicadores objetivos derivados do dia a dia da operação, e devolve veredicto claro sobre se o instrumento prioriza risco real ou apenas legitima a decisão prévia da liderança.

• Calibração setorial documentada, com critério escrito que descreva o nível 5 de severidade em linguagem da própria atividade da empresa, e não em fórmula genérica copiada do modelo padrão.
• Cruzamento entre probabilidade estimada e quase-acidente reportado nos últimos doze meses por atividade, registrado em ata, com justificativa por escrito sempre que a percepção contradiga o registro.
• Quadrante "intolerável" não vazio, contendo todo risco cuja consequência plausível seja fatalidade, independentemente da probabilidade estimada pela liderança.
• Ciclo de revisão obrigatório após cada quase-acidente investigado, com ata curta de quinze minutos que registre a decisão de alterar ou manter o quadrante.
• Verificação da diretoria industrial sobre as três principais classificações do quadrante "intolerável", lembrança de cabeça que separa liderança engajada de liderança que assina o PGR sem ler.

Quando a auditoria não encontra nenhum dos cinco indicadores em padrão operativo, o sinal mais provável é cultura conformista, padrão que indica problema cultural mais profundo, e que costuma ser confirmado pela divergência entre indicadores leading e lagging na operação.

Comparação: matriz operativa frente a matriz simbólica

Liderança e priorização: o que muda na prática

O modelo do queijo suíço de James Reason mostra que toda barreira tem buracos, e a matriz de risco é a barreira que decide quais buracos vão ser priorizados pelo plano preventivo. Quando a barreira está descalibrada, o operador na ponta vira a única defesa ativa entre o risco e o trabalhador, condição estrutural que Andreza Araújo descreve em Sorte ou Capacidade como o ponto em que acidente deixa de ser azar e passa a ser previsão estatística com data ainda indefinida. A diretoria industrial que aprova matriz com quadrante "intolerável" vazio aprova, no plano operacional, a hipótese de que a operação não comporta SIF, hipótese que a história do setor consistentemente refuta.

O movimento de liderança que separa matriz operativa de matriz simbólica é simples e raramente praticado, embora dispense investimento técnico. O diretor industrial ou o gerente de planta cita de cabeça, em qualquer reunião, os três principais riscos do quadrante "intolerável" da operação que comanda. Quando o líder não consegue citar, o sinal é claro de que a matriz não está viva no processo decisório, e o documento serve à auditoria sem servir à priorização real. Painel executivo de SST sólido inclui a matriz como artefato vivo, atualizado mensalmente, e não como anexo do PGR que ninguém abriu desde a auditoria do ano anterior.

Cada mês em que o quadrante "intolerável" continua vazio numa operação com histórico de quase-acidente recente é mês em que SIF previsto acumula probabilidade no relógio estatístico, e não a média anual com que o gestor está acostumado a trabalhar.

Conclusão

Auditar a matriz custa pouco quando comparado ao preço de investigar uma fatalidade prevista, e o protocolo de sessenta minutos descrito acima dispensa investimento em ferramenta especializada. Para revisão estruturada da gestão de riscos com cruzamento entre matriz, inventário e histórico de near-miss, a consultoria conduzida por Andreza Araújo aplica o diagnóstico em planta industrial e devolve plano de recalibração em até quinze dias, com base no protocolo descrito em Diagnóstico de Cultura de Segurança.