Matriz de risco que esconde SIF: 4 falhas estruturais

Em sete de cada dez auditorias internas de PGR no Brasil, a matriz de risco probabilidade x severidade exibe maioria absoluta de células verdes e amarelas. O mesmo setor que abriga essa matriz, no entanto, registrou fatalidade nos últimos trinta e seis meses. Sete em cada dez matrizes auditadas em campo pintam de "risco aceitável" frentes que matam pessoas com regularidade conhecida, conforme levantamento cruzado de relatórios públicos de fatalidade da SmartLab MPT e amostragem de PGRs revisados pela equipe de consultoria de Andreza Araújo. Este artigo explica por que a matriz, embora pareça uma ferramenta técnica imparcial, falha de forma sistemática para SIF. O texto também mostra quatro armadilhas estruturais que devem ser corrigidas antes de o gerente SST aprovar o próximo ciclo de revisão.

Por que a matriz pintada de verde não captura SIF

A matriz de risco mede probabilidade vezes severidade dentro de uma faixa supostamente uniforme. SIF e risco crônico ocupam regimes estatísticos completamente distintos. O risco crônico é frequente e tem severidade baixa-média, ao passo que o evento fatal é raro o suficiente para parecer improvável e severo o suficiente para destruir o ranking quando ocorre. A multiplicação entre as duas variáveis costuma jogar o evento fatal numa célula intermediária do mapa, onde a leitura cultural traduz a cor para "sob monitoramento".

Como Andreza Araújo argumenta em 80 Maneiras de ampliar a percepção de risco, a maior parte dos profissionais de SST confia numa percepção que o instrumento já enviesou antes do dado entrar. A célula central da matriz parece técnica, embora carregue um deslocamento estrutural contra o evento de baixa frequência.

O resultado prático é que auditorias chegam a 100% de conformidade enquanto SIF acontece, porque a matriz dá ao auditor um vocabulário pintado de verde para descrever um cenário que merecia barreira preventiva, plano de resposta e revisão executiva mensal. O instrumento foi calibrado para gestão de risco crônico, mas é aplicado como se fosse universal. O gerente SST que aprova o PGR sem desafiar a matriz adota um viés que vem embutido na ferramenta.

1. Probabilidade tratada como frequência histórica

A primeira armadilha aparece quando a probabilidade da matriz é estimada por frequência histórica de ocorrências dentro da própria operação. O histórico de uma planta industrial é amostra pequena demais para distinguir entre evento improvável e evento ainda-não-ocorrido. Uma planta com cinco anos de operação e zero fatalidade no setor X tem probabilidade aparente "raríssima", e a matriz devolve uma célula amarela. A mesma operação, sem trocar nada do projeto, da supervisão ou do procedimento, registra fatalidade no sexto ano e ninguém entende como o ranking errou.

Em mais de duzentas e cinquenta avaliações de risco acompanhadas pela Andreza Araújo, o erro de tratar probabilidade como frequência interna apareceu em oito de cada dez PGRs revisados. A equipe técnica preferiu o dado da própria casa em vez de aceitar a frequência setorial publicada em anuários, como o Anuário Estatístico de Acidentes do Trabalho do Ministério do Trabalho. O ajuste correto pede que a probabilidade do evento fatal seja calibrada na frequência setorial multiplicada pelo fator de proteção da operação, e não no histórico interno, cujo intervalo de observação é curto demais para sustentar inferência.

O técnico de SST que revisa a matriz precisa ter autoridade para levantar a probabilidade de um evento mesmo quando o histórico da casa não o registra. Essa autoridade depende do gerente apoiar a leitura setorial em reunião com o C-level. Nesse momento, a frequência baixa do evento começa a ser tratada como sinal de proteção em construção, e não como prova de que o risco já foi resolvido.

2. Severidade truncada na pior consequência esperada

A matriz convencional pede que o avaliador classifique severidade entre cinco categorias. A categoria mais alta costuma ser definida como "fatalidade ou invalidez permanente", como se acima dela não houvesse mais nada a registrar. Isso trunca o ranking justamente onde o instrumento precisaria expandir. A fatalidade múltipla, a fatalidade combinada com paralisação prolongada e a fatalidade com impacto reputacional para o conselho ocupam o mesmo nível 5 de uma simples invalidez parcial irreversível, ainda que as consequências financeiras e estratégicas sejam ordens de grandeza distintas.

Em Sorte ou Capacidade, Andreza Araújo descreve esse achatamento como uma das razões por que o C-level recebe o PGR e responde com pergunta protocolar, em vez de tratar o item como tema de governança. A matriz oferece ao conselho um número que já vem comprimido. Quando o gerente de SST apresenta um risco "nível 5" ao diretor industrial, a percepção fiduciária colapsa numa única classe sem resolução interna. O intervalo entre o pior e o menos pior, dentro daquela classe, chega facilmente a fator dez em impacto financeiro.

A correção operacional é dividir o nível 5 em três sub-níveis: 5a para fatalidade isolada, 5b para fatalidade múltipla e 5c para fatalidade com paralisação setorial ou impacto material no balanço. Sem essa estratificação, o painel executivo nunca prioriza o evento fatal frente a um conjunto de eventos crônicos somados. A operação continua otimizando o que mede em vez do que importa.

3. Ausência de Bow-Tie em risco severidade 4 ou 5

A terceira falha é metodológica e separa operações maduras das que ainda confiam só na matriz. O Bow-Tie complementa a matriz porque expõe explicitamente as barreiras preventivas (controles antes do evento) e mitigatórias (controles depois do evento). O método obriga a equipe a discutir cada barreira individualmente, em vez de aceitar a célula final do ranking como veredicto. Em investigação de SIF, o que aparece com frequência é um Bow-Tie inexistente ou desenhado uma única vez no início do projeto e nunca atualizado.

A matriz isolada gera o que James Reason descreve em Human Error como ilusão de barreira agregada. O gestor enxerga a célula laranja e infere que existe um conjunto adequado de proteções, embora cada barreira individual possa estar deteriorada. O Bow-Tie obriga o avaliador a percorrer barreira por barreira. Cabe ao instrumento identificar a degradação observável de cada uma e atribuir responsável e prazo para reforço, num movimento que a matriz sozinha não exige.

A regra prática a adotar diz que todo risco com severidade 4 ou 5 na matriz precisa receber Bow-Tie complementar antes da aprovação do PGR pelo gerente de SSMA. Sem isso, o risco fatal entra no plano com a mesma profundidade analítica de um risco ergonômico crônico. A fatalidade exige arquitetura de barreiras explicitamente diferente, no qual a falha de uma proteção isolada não pode bastar para o evento se concretizar.

4. Risco fatal pintado de amarelo virou risco "sob controle"

A quarta armadilha é a mais cara e aparece quando o gerente apresenta o painel de risco ao C-level com risco fatal classificado em célula amarela. A pintura amarela carrega no imaginário corporativo a leitura de "em monitoramento", e o conselho responde com aprovação tácita. Monitorar uma fatalidade significa apenas observar o evento que ainda não aconteceu, sem intervir nas camadas que o produzem. Em nove de cada dez auditorias pós-SIF revisadas pela equipe de consultoria de Andreza Araújo, o risco fatal estava pintado de amarelo nos doze meses anteriores ao evento, conforme amostra cruzada entre relatórios de RCA e PGRs vigentes na data da fatalidade.

A pirâmide de Heinrich-Bird ajuda a entender por que isso acontece. A base da pirâmide (atos inseguros e quase-acidentes) gera dado abundante e enche a matriz, ao passo que o topo (fatalidade) gera dado raro e some no ranking. O instrumento, sem ajuste deliberado, valoriza o que é mensurado com frequência e ignora o que aparece raramente, ainda que a hierarquia de gravidade seja inversa.

A correção pede que o painel executivo separe o tratamento do risco fatal em uma seção dedicada do PGR, com revisão executiva mensal e indicador específico (Bow-Tie auditado, barreiras testadas, treinamento de turno em barreira crítica). Sem essa separação, a matriz volta a diluir o evento fatal entre os crônicos. A operação repete o mesmo padrão que faz o diagnóstico cultural perder relevância quando vira ritual em vez de instrumento.

Comparação: matriz isolada frente à matriz com Bow-Tie

O que o gerente SST e o C-level fazem segunda-feira

O gerente de SSMA que recebe este texto e ainda mantém matriz pintada com risco fatal em amarelo precisa aplicar quatro movimentos antes do próximo ciclo de revisão. O primeiro é levantar todas as células severidade 4 ou 5 do PGR vigente e listar a frequência setorial daquela ocorrência conforme anuário oficial, em paralelo à frequência interna. Quando os dois valores divergem, a probabilidade do evento sobe automaticamente.

O segundo movimento é estratificar o nível 5 de severidade em três sub-níveis (5a, 5b, 5c) e reclassificar cada risco fatal dentro da nova escala. O terceiro é exigir Bow-Tie de toda célula classificada em severidade 4 ou 5 e nomear responsável por cada barreira, com prazo de auditoria.

O quarto movimento depende do C-level e ainda é o que mais resiste em planta brasileira. Cabe ao conselho separar a apresentação do risco fatal do restante do PGR e tratar a seção em reunião executiva mensal específica, com indicadores de barreira que não cabem no painel agregado. Em mais de duzentos e cinquenta projetos de transformação cultural acompanhados pela Andreza Araújo, a separação dessa seção foi um dos quatro movimentos que mais aceleraram a redução de SIF em janelas de doze a vinte e quatro meses. Os outros três foram o tratamento do supervisor como barreira viva, a auditoria de PT em campo e a recusa pública da PT mal preenchida.

Por que a matriz sobreviveu mesmo cega ao SIF

A matriz continua viva no PGR brasileiro porque oferece ao conselho um número simples e ao auditor um vocabulário comum, embora a simplicidade da ferramenta cobre o preço de invisibilizar o evento fatal. Substituir a matriz não é a saída. A operação ainda precisa de um instrumento agregado para discutir risco crônico, e o C-level continuará pedindo o mapa colorido na reunião trimestral.

O que muda é o status epistêmico que se atribui à matriz. Ela passa a ser leitura de risco crônico e perde a pretensão de cobrir o risco fatal, cuja análise ganha tratamento autônomo dentro do mesmo PGR. Esse rebaixamento da matriz a uma das ferramentas, e não à ferramenta, é coerente com o que a tradição crítica do indicador único já estabeleceu para TRIR e zero acidentes. O instrumento isolado vira teatro, e a saída é compor instrumentos que vejam o que cada um cega isoladamente, num arranjo de leituras onde o crônico e o fatal recebem tratamento próprio.

Cada ciclo trimestral em que o C-level aprova um PGR com risco fatal pintado de amarelo é um trimestre em que a operação caminha sem barreira testada para evitar o evento que destrói reputação, paralisa unidade e impacta o balanço material.

Conclusão

Auditar a própria matriz de risco custa pouco frente ao preço de descobrir que ela escondia SIF depois do evento ocorrer. A pergunta operacional do gerente SST nesta semana não é se a matriz está preenchida, e sim se a matriz está cega ao risco fatal. A resposta vem de quatro movimentos concretos que não dependem de software novo. Para um diagnóstico estruturado da matriz e do PGR vigente, com base na metodologia descrita por Andreza Araújo em Sorte ou Capacidade, a consultoria conduz a apuração ponta a ponta. Conheça o trabalho em andrezaaraujo.com.