Matriz de risco vs ALARP vs Bow-Tie: qual usar no risco residual

Matriz de risco, ALARP e Bow-Tie são três formas de organizar decisão sobre risco, mas nenhuma delas deveria ser usada como carimbo automático de liberação. A matriz prioriza cenários, ALARP testa se a redução foi suficiente e o Bow-Tie mostra barreiras antes e depois do evento. Quando a empresa mistura essas perguntas, o risco residual passa a parecer controlado antes de estar realmente controlado.

A tese deste comparativo é direta: risco residual não deve ser aceito pela cor da matriz. Ele deve ser aceito, ou recusado, pela qualidade das barreiras que restam, pela evidência de funcionamento em campo e pela autoridade de quem assume a decisão. Em atividades com potencial de SIF, a diferença não é acadêmica. Ela decide se o PGR protege a operação ou apenas organiza a justificativa para continuar.

Em mais de 250 projetos de transformação cultural acompanhados por Andreza Araujo, uma lacuna aparece com frequência em empresas bem documentadas. O time sabe pontuar risco, mas não sabe defender por que a barreira atual basta. Essa distância conversa com A Ilusão da Conformidade, porque o documento pode estar completo enquanto a decisão crítica continua frágil.

Critérios de avaliação

Um comparativo útil precisa avaliar os três instrumentos por seis critérios: pergunta principal, melhor momento de uso, força para revelar SIF, capacidade de testar barreiras, risco de distorção e tipo de decisão que entrega. Sem essa separação, a empresa tenta resolver tudo com uma única tabela e acaba usando a ferramenta mais familiar, não a mais adequada.

O primeiro critério é a pergunta. Se a dúvida é prioridade, a matriz de risco ajuda. Se a dúvida é suficiência do controle, ALARP ajuda. Se a dúvida é caminho causal e barreira crítica, o Bow-Tie ajuda. Cada método perde força quando tenta responder a pergunta do outro.

O segundo critério é consequência. Quanto maior o potencial de fatalidade, amputação, incêndio, explosão, queda ou exposição química aguda, menos aceitável é depender de pontuação agregada. O gerente de SST precisa enxergar modo de falha, controle independente, degradação da barreira e gatilho de parada.

Quando a matriz de risco vence?

A matriz de risco vence quando a empresa precisa organizar prioridades em um inventário amplo. Ela permite comparar perigos, tarefas, áreas e grupos expostos, criando uma linguagem comum entre SST, operação, manutenção e liderança. No PGR, essa função é importante porque sem priorização o plano de ação vira lista interminável.

O problema começa quando a matriz deixa de ser triagem e passa a ser decisão final. Uma célula amarela ou verde pode esconder consequência severa com baixa frequência percebida, especialmente quando o histórico sem acidente é confundido com controle robusto. O artigo sobre matriz de risco 5x5 aprofunda essa distorção, comum em inventários que aliviam probabilidade por costume operacional.

Use matriz quando o objetivo for ordenar atenção, definir faixas de criticidade e direcionar recursos. Não use matriz sozinha para aceitar risco residual alto, porque ela raramente mostra se a barreira foi testada, se o controle depende de comportamento perfeito ou se a liderança assumiu formalmente a exposição restante.

Quando ALARP evita aceite fraco?

ALARP evita aceite fraco quando a discussão já passou da priorização e chegou à pergunta mais difícil: a organização reduziu o risco tanto quanto era razoavelmente praticável? Em outras palavras, ainda existe controle técnico proporcional que a empresa está deixando de aplicar por custo, prazo ou conveniência?

A utilidade do ALARP está em obrigar justificativa. O gerente não declara apenas que o risco ficou aceitável; ele explica quais controles foram considerados, quais foram implantados, quais foram descartados e por qual razão técnica. Essa lógica conversa diretamente com o artigo sobre risco residual no PGR, porque risco esquecido é diferente de risco aceito.

Em Sorte ou Capacidade, Andreza Araujo sustenta que desempenho sem evento não prova capacidade. ALARP reforça esse ponto ao exigir evidência antes do aceite. Se o único argumento é que a tarefa sempre foi feita assim, a empresa não demonstrou redução razoável; ela apenas herdou uma tolerância cultural.

Quando o Bow-Tie revela barreira fraca?

O Bow-Tie vence quando a decisão exige visualizar ameaças, evento central, consequências e barreiras preventivas ou mitigadoras. Ele é especialmente útil em riscos com potencial de SIF, porque tira a conversa da pontuação abstrata e coloca foco naquilo que precisa impedir a progressão do evento.

Uma análise de trabalho a quente, por exemplo, pode ter matriz moderada se a frequência percebida for baixa. O Bow-Tie obriga a perguntar quais ameaças levam ao incêndio, quais barreiras impedem ignição, quais controles limitam propagação e o que acontece se o detector, o vigia ou o isolamento falharem. Essa leitura é mais concreta do que uma cor na planilha.

James Reason ajuda a sustentar essa abordagem ao mostrar que acidentes organizacionais atravessam camadas de defesa. O Bow-Tie torna essas camadas visíveis. A limitação é que ele pode virar desenho bonito se não houver dono, teste, periodicidade e critério de degradação para cada barreira.

Matriz de decisão

A tabela abaixo separa o melhor uso de cada instrumento. Ela não cria uma hierarquia fixa, porque uma tarefa crítica pode precisar dos três. O ponto é evitar que o método errado encerre a conversa cedo demais.

Como combinar os três no PGR

A combinação mais limpa começa pela matriz, passa por Bow-Tie nos cenários críticos e usa ALARP para decidir o residual. A matriz filtra o universo do PGR. O Bow-Tie aprofunda os riscos que não podem ser tratados como média estatística. ALARP fecha a pergunta sobre suficiência, desde que a evidência esteja disponível.

Essa sequência evita duas armadilhas. A primeira é desenhar Bow-Tie para tudo, o que torna o método pesado e pouco usado. A segunda é aceitar risco residual apenas pela matriz, o que torna o processo rápido e perigoso. O equilíbrio nasce quando a empresa escolhe quais riscos merecem aprofundamento por severidade, exposição e fragilidade das barreiras.

O artigo sobre FMEA em SST para priorizar barreiras pode entrar como apoio quando a equipe precisa avaliar modos de falha de componentes, equipamentos ou etapas. FMEA detalha falhas; Bow-Tie organiza barreiras; ALARP decide se o residual pode ser defendido.

O que o gerente de SST deve exigir antes do aceite

Antes de aceitar risco residual, o gerente de SST deve exigir quatro evidências. A primeira é a descrição do perigo e da consequência sem linguagem genérica. A segunda é a identificação da barreira crítica, com responsável e critério de teste. A terceira é a justificativa de redução, explicando por que o controle atual basta. A quarta é o gatilho de parada ou escalonamento caso a barreira degrade.

Essas exigências parecem simples, mas mudam a governança. Uma área que aceita trabalhar em altura, espaço confinado, energia perigosa ou içamento sem conseguir nomear a barreira crítica não está aceitando risco residual; está aceitando incerteza. A diferença precisa aparecer no comitê de SST antes que apareça na investigação.

Em 25+ anos liderando EHS em multinacionais, Andreza Araujo observa que a cultura real aparece justamente nesse ponto. Operações maduras conseguem dizer não a uma tarefa tecnicamente incompleta. Operações conformistas procuram a assinatura que permita seguir, mesmo quando a evidência de controle ainda é fraca.

Armadilhas que distorcem o comparativo

A primeira armadilha é escolher método pela preferência do consultor ou do auditor, e não pela decisão necessária. Isso gera relatórios tecnicamente sofisticados, mas pouco úteis para o supervisor que precisa liberar ou parar uma tarefa em quinze minutos.

A segunda armadilha é tratar controle administrativo como barreira forte demais. Treinamento, procedimento e permissão ajudam, mas dependem de atenção, disciplina e liderança presente. A hierarquia de controles em SST lembra que eliminação, substituição e engenharia reduzem dependência humana antes de EPI e regra escrita.

A terceira armadilha é não revisar o aceite quando a condição muda. Contratada nova, alteração de turno, manutenção emergencial, clima, pressão de produção e mudança de equipamento podem invalidar a análise anterior. O risco residual aceito ontem pode ser risco intolerável hoje.

Quando a matriz prioriza, o Bow-Tie revela barreiras e ALARP testa suficiência, o PGR deixa de ser arquivo de risco e passa a ser sistema de decisão.

Conclusão

Matriz de risco, ALARP e Bow-Tie não competem entre si. Eles falham quando a empresa espera que um substitua o outro. A matriz organiza prioridade, ALARP força justificativa e o Bow-Tie mostra barreiras que precisam existir antes e depois do evento central.

Para decidir risco residual com rigor, comece perguntando qual decisão está pendente. Se a decisão é onde atacar primeiro, use matriz. Se a decisão é se a redução basta, use ALARP. Se a decisão é qual barreira impede o SIF, use Bow-Tie. Quando a liderança separa essas perguntas, o PGR ganha densidade técnica e a operação deixa de aceitar exposição crítica por hábito documental.

Para aprofundar essa maturidade, a consultoria de Andreza Araujo conecta cultura de segurança, gestão de riscos e governança de barreiras para que o risco residual seja defendido por evidência, não por formulário.