Modelo Bradley: por que sua empresa trava no calculativo

Em mais de 250 projetos de transformação cultural acompanhados pela Andreza Araújo, cerca de sete em cada dez empresas brasileiras de médio e grande porte travam no mesmo estágio do Modelo Bradley, conhecido como calculativo, marcado por excesso de procedimento e cultura empoçada. Esse padrão de estagnação aparece em aproximadamente 70% das operações industriais auditadas em cultura nos últimos sete anos, conforme observação consolidada da consultoria de Andreza Araújo no setor. Este guia descreve os quatro sinais que confirmam o travamento e mostra por que adicionar mais auditoria, mais campanha e mais checklist regride a maturidade da operação em vez de avançá-la.

Por que o calculativo é o estágio mais perigoso

O Modelo Bradley, desenvolvido pela DuPont, descreve quatro estágios de maturidade cultural em segurança, do reativo ao interdependente, e o estágio calculativo, terceiro no caminho, costuma ser celebrado como conquista interna. A operação tem PGR estruturado, auditorias regulares, painel de indicadores no salão da fábrica e taxa de acidentes em queda. Tudo parece bem.

Como Andreza Araújo defende em Cultura de Segurança, esse é justamente o estágio em que o programa para de evoluir, porque confunde sofisticação documental com cuidado real. O TRIR cai por dezoito ou vinte e quatro meses e atinge um piso visível. A operação passa a celebrar o platô como se fosse conquista permanente, ainda que, ao mesmo tempo, o número de quase-acidentes (near-miss) reportados comece a diminuir e o time da ponta tenha parado de falar.

O calculativo não é o fim do caminho, embora muitas operações o tratem como se fosse. Sair dele exige uma decisão da liderança que não tem proceduralização possível, e é por isso que tantas empresas travam ali por anos.

1. Os 4 estágios do Modelo Bradley em SST

O Modelo Bradley organiza a maturidade em quatro estágios. Cada estágio descreve como a operação trata o risco. No reativo, segurança é responsabilidade do trabalhador, e acidente é tratado como azar ou descuido. No dependente, a empresa assume a responsabilidade via norma, supervisão e EPI. No independente, cada trabalhador internaliza o cuidado e olha pelo próprio risco antes de receber ordem. No interdependente, o time olha pelo risco do colega, e a recusa de tarefa insegura é prática viva no canteiro.

O salto cultural que importa não está entre o reativo e o dependente, embora seja o mais visível em auditoria externa. O salto está entre o dependente e o independente, porque é quando a operação para de funcionar por imposição e passa a funcionar por escolha. O calculativo é o estágio terminal do dependente, no qual o procedimento atinge seu limite explicativo e a operação começa a precisar de outra coisa para crescer.

Reconhecer o estágio real da própria operação exige três perguntas honestas. O operador da ponta recusa tarefa insegura sem precisar de autorização do supervisor. O supervisor recusa Permissão de Trabalho mal preenchida sem checar com o engenheiro residente. O gerente trata um quase-acidente reportado como informação preciosa, e não como problema a ser explicado para o C-level.

2. Sinal 1: a curva do TRIR estagnou e ninguém entende

O primeiro sinal de travamento no calculativo aparece no indicador que a operação mais ama: a taxa de acidentes registráveis empoça num platô. Depois de uma queda forte e visível durante os primeiros dezoito a trinta meses do programa, o TRIR para de cair, e nenhuma das alavancas conhecidas o move adiante. Auditoria nova, campanha nova, treinamento renovado — o número não cede.

O que parece fracasso de execução é, na verdade, sinal técnico claro de que o ganho mecânico se esgotou. EPI bem dimensionado, sinalização visível, procedimento escrito e auditoria regular conseguem resolver os acidentes que dependem de barreira física e de barreira documental. O que sobra depois desse ciclo são os acidentes que dependem de barreira humana ativa, e essa última camada não responde a procedimento, ainda que responda a cultura.

O TRIR estagnado costuma esconder uma realidade pior, na qual SIFs continuam acontecendo ou ameaçando acontecer e o indicador deixou de capturar a parte do problema que ainda existe. Quando a curva do TRIR vira platô, a operação precisa olhar para indicadores leading que não vinham sendo medidos, e não para procedimentos novos.

3. Sinal 2: a auditoria interna virou liturgia

O segundo sinal aparece no comportamento da própria auditoria. O auditor entra na fábrica com check-list pré-preenchido, percorre o trajeto previsível, conversa com o engenheiro residente e com o gerente de SSMA, registra as não-conformidades formais (sinalização desbotada, EPI fora do prazo, ausência de assinatura no documento) e sai com relatório padronizado. Em mais de 250 projetos conduzidos pela Andreza Araújo, o operador da ponta foi entrevistado em campo por menos de 9% das auditorias internas avaliadas, e a auditoria que não ouve o operador deixou de auditar cultura — passou a auditar paperwork.

A liturgia da auditoria nasce porque o calculativo precisa demonstrar progresso à diretoria, e demonstrar progresso a partir do platô do TRIR é caro, ao passo que cumprir o ciclo formal de auditoria é barato e visível. O ritual substitui o conteúdo, ainda que o nome do entregável continue idêntico no organograma.

Na prática, a auditoria de cultura que vale entra pelo turno da noite, escuta o operador antes do supervisor, registra o tempo médio de preenchimento da Permissão de Trabalho cronometrado em campo e mede quantas vezes alguém recusou liberação no último mês. O resultado quase nunca cabe em check-list pré-impresso.

4. Sinal 3: o quase-acidente sumiu (e o time festeja)

O terceiro sinal é o mais traiçoeiro porque vem disfarçado de boa notícia. A taxa de quase-acidente reportado começa a cair, o gerente de SST apresenta o gráfico em reunião mensal e o C-level interpreta a queda como evidência de que o programa funciona. Ocorre o oposto.

Quase-acidente reportado é indicador leading, e ele só existe quando o operador acredita que reportar tem retorno e que a liderança vai usar a informação para alterar o sistema, em vez de usá-la para investigar quem foi o culpado. Quando o número cai sem que nada estrutural tenha mudado, o que diminuiu não foi o evento, e sim a disposição de relatar o evento. James Reason mostra no modelo do queijo suíço que os near-miss são os furos visíveis das camadas anteriores ao acidente, e perder visibilidade dessas camadas é o oposto de prevenir.

Em A Ilusão da Conformidade (Araujo), o argumento central conecta esse fenômeno ao gap entre cultura declarada e cultura operada: a operação que premia o silêncio acaba comprando subnotificação ao preço de uma reunião confortável, ao passo que o risco real continua circulando, agora invisível.

5. Sinal 4: a liderança fala em conformidade, não em cuidado

O quarto sinal aparece no vocabulário da própria liderança. Em reunião de resultados, o diretor industrial relata avanços usando frases como estamos cem por cento aderentes à NR-12, a auditoria externa não trouxe não-conformidades graves e o índice de fechamento de ações corretivas está em noventa e oito por cento. Nada disso é falso, ainda que nenhuma dessas frases descreva cultura.

Cultura, no contexto interdependente, descreve-se com frases que olham para o operador, e não para o documento. Quantas pessoas recusaram tarefa insegura na última semana. Qual foi o último quase-acidente reportado e o que mudou no sistema por causa dele. Se o supervisor do turno B levou uma decisão dele para o engenheiro contestar uma especificação. Como argumentamos em conformidade não é cultura, o vocabulário da liderança é o melhor indicador antecedente da maturidade real, porque a fala da liderança molda a fala do supervisor, cuja fala molda a fala do operador da ponta.

Em mais de 250 projetos acompanhados pela Andreza Araújo, a transição do vocabulário de conformidade para o vocabulário de cuidado precede em cerca de doze meses qualquer melhora cultural mensurável.

6. Comparação: cultura calculativa estagnada x cultura em maturação

A diferença entre permanecer no calculativo e iniciar a transição para o independente cabe em poucos indicadores comportamentais. A tabela abaixo compara o que se vê na auditoria de cada lado:

7. Por que mais procedimento, agora, regride a cultura

A intuição executiva diante do platô do TRIR costuma ser somar mais procedimento, mais campanha e mais auditoria, porque foi exatamente essa combinação que produziu a queda inicial. A combinação que funcionou no estágio dependente, paradoxalmente, regride a maturidade no calculativo, porque a partir desse ponto qualquer procedimento adicional substitui responsabilidade pessoal por checklist e empurra o operador da ponta para baixo na curva de maturidade. Cada nova auditoria comunica ao operador que a empresa não confia nele, cada nova assinatura na PT comunica ao supervisor que a decisão dele precisa ser referendada, e cada nova campanha visual comunica que cultura é gerenciada por departamento de comunicação interna.

O modelo de maturidade de Patrick Hudson, complementar ao Bradley, descreve esse movimento de retrocesso. A operação calculativa pode regredir para reativa quando o excesso de procedimento esgota a responsabilidade individual, ainda que o painel de indicadores continue mostrando aderência. O operador passa a reagir só quando o auditor está olhando, e o restante do tempo opera no modo de mínimo esforço documentado.

O caminho contrário é desconfortável e exige decisões que doem nos KPIs de curto prazo. Trocar o painel mensal do conselho de um conjunto dominado por indicadores lagging para um conjunto que destaca leading e qualidade da fala da liderança é o tipo de movimento que o gerente de SST não consegue executar sozinho. Precisa de patrocínio do C-level e disposição para perder uma reunião com auditor externo, no curto prazo, em troca de ganho cultural genuíno.

8. Como destravar: três decisões que valem mais que cem auditorias

Sair do calculativo não é projeto de doze meses com plano de ação detalhado, ainda que seja exatamente assim que tantas operações tentam. As três decisões que mais movem a maturidade não são técnicas e exigem coragem política da liderança, porque cada uma delas ganha pouco no curto prazo e desconforta a estrutura existente.

A primeira decisão é trocar o KPI principal do gerente de SST de TRIR para qualidade do quase-acidente reportado, medida pelo número absoluto e pela proporção de reportes que viraram alteração mensurável no sistema. Cuja consequência prática é deslocar o time de SST do papel de bombeiro reativo para o papel de curador de informação preventiva, no qual a métrica deixa de premiar invisibilidade e passa a premiar escuta.

A segunda decisão é tornar a recusa pública a peça central do ritual de turno, exigindo que cada supervisor relate ao engenheiro residente, no início do dia, ao menos uma situação na qual recusou liberação na semana anterior. Quando ninguém recusa nada por mais de duas semanas, o ritual se quebra, e o ritual quebrado é informação valiosa, ainda que pareça falha. Em Cultura de Segurança (Araujo), esse mecanismo aparece como o instrumento mais barato e mais subutilizado da liderança operacional.

A terceira decisão é a mais cara: mudar o vocabulário do C-level. Reuniões de resultado precisam abrir com a pergunta sobre o último quase-acidente, sobre quem recusou o quê na semana, sobre o que o operador da ponta disse na última auditoria de campo, antes de qualquer slide sobre TRIR ou ações corretivas fechadas. Foi essa transição que sustentou, durante a passagem da Andreza Araújo pela PepsiCo na América Latina, a redução de 86% na taxa de acidentes por horas trabalhadas — não a auditoria nova nem a campanha nova, mas a mudança da pergunta inicial.

Cada trimestre adicional no platô do TRIR é uma operação inteira aprendendo a tratar conformidade como prova de cultura, e essa aprendizagem é difícil de desfazer depois de instalada na linguagem da liderança.

Conclusão

O Modelo Bradley não é troféu, ainda que muitas empresas tratem o estágio calculativo como ponto de chegada. Ele é diagnóstico, e diagnóstico mostra para onde o trabalho ainda precisa ir. Para empresas que reconhecem os quatro sinais descritos aqui, o trabalho seguinte é específico e exige presença executiva, e não procedimento adicional. A consultoria de Andreza Araújo conduz esse diagnóstico com base na metodologia descrita em Diagnóstico de Cultura de Segurança, com devolutiva ao C-level e plano de transição calibrado ao estágio real da operação.