Modelo do queijo suíço explicado: 4 barreiras na investigação

O modelo do queijo suíço, proposto por James Reason, explica acidentes como alinhamento de falhas em várias barreiras de proteção. Ele importa na investigação porque desloca a pergunta de “quem errou?” para “quais defesas permitiram que o evento atravessasse o sistema?”.

Este artigo resume o conceito em quatro barreiras que o técnico, o engenheiro de SST e o líder operacional conseguem testar depois de um acidente, especialmente quando a empresa já abriu uma RCA, mas ainda corre o risco de encerrar a análise no comportamento do executante.

Definição

O modelo do queijo suíço é uma forma de visualizar defesas organizacionais como camadas imperfeitas. Cada fatia representa uma barreira, e cada furo representa uma falha ativa ou latente. O acidente ocorre quando os furos se alinham o suficiente para permitir que a energia perigosa chegue à pessoa, ao equipamento ou ao processo.

James Reason, em Human Error e Managing the Risks of Organizational Accidents, separa falhas ativas, próximas do evento, de falhas latentes, criadas por projeto, manutenção, liderança, compras, treinamento, pressão de produção ou supervisão. Andreza Araujo usa essa leitura em Sorte ou Capacidade para reforçar que acidente grave raramente é azar isolado, porque ele revela uma arquitetura de decisões que já vinha acumulando fragilidade.

4 barreiras que a investigação precisa testar

1. Barreira de projeto

A barreira de projeto responde se a condição perigosa poderia ter sido eliminada ou reduzida antes da operação. Proteção de máquina, layout, acesso, enclausuramento, automação, ventilação e distância segura entram nessa camada, cuja falha costuma aparecer quando a investigação pergunta apenas se o operador seguiu o procedimento.

Em 25+ anos liderando EHS em multinacionais, Andreza Araujo observa que muitas empresas chamam de desvio aquilo que nasceu como concessão de engenharia. Quando a proteção depende de atenção constante, e não de projeto robusto, o primeiro furo já estava aberto antes do turno começar, embora o relatório costume enxergar só a última ação da pessoa exposta.

2. Barreira de procedimento

A barreira de procedimento mostra se APR, AST, PT, LOTO e instruções de trabalho descreviam o risco real da tarefa. O documento pode existir e ainda assim falhar quando copia uma condição anterior, ignora mudança temporária ou transforma decisão crítica em assinatura automática.

Esse ponto se conecta ao plano de ação pós-acidente, porque a resposta “reciclar treinamento” não corrige procedimento que nasceu genérico. A investigação precisa comparar o texto com a tarefa executada no horário real, por pessoas reais, sob pressão real, conforme a evidência de campo permitir.

3. Barreira de supervisão

A barreira de supervisão testa se alguém com autoridade viu, entendeu e interveio antes do evento. A pergunta não é apenas se havia supervisor na área, mas se ele tinha tempo, repertório e autorização cultural para parar a tarefa quando a condição mudou.

Como Andreza Araujo defende em Cultura de Segurança, cultura aparece na repetição das decisões. Se o líder que pausa a produção é tratado como problema, a supervisão vira presença física sem poder preventivo. A reconstituição de acidente deve capturar esse detalhe antes que o relatório confunda ausência de intervenção com concordância técnica.

4. Barreira de aprendizado

A barreira de aprendizado verifica se quase-acidentes, desvios, auditorias e acidentes anteriores geraram mudança concreta. Quando a organização já tinha sinais precursores e não alterou barreira, prioridade ou recurso, o acidente novo costuma ser repetição administrada, não surpresa.

Em mais de 250 projetos de transformação cultural acompanhados por Andreza Araujo, um padrão recorrente é a empresa registrar lição aprendida sem mudar a condição que produziu a lição. O artigo sobre cultura de aprendizado aprofunda essa diferença entre aprender no slide e aprender no sistema, onde a barreira precisa mudar para que o aprendizado exista fora da apresentação.

Como diferenciar na prática

Use o modelo como roteiro de perguntas, não como desenho decorativo no relatório. A investigação ganha qualidade quando cada barreira recebe uma evidência observável, uma falha provável e uma ação de fechamento cujo efeito reduza a chance de repetição.

Quando usar o queijo suíço versus Bow-Tie reverso

O queijo suíço ajuda a explicar o alinhamento de falhas no sistema. O Bow-Tie reverso ajuda a reconstruir barreiras preventivas e mitigatórias a partir de um evento que já ocorreu. Na prática, use Reason para organizar a lógica causal e Bow-Tie reverso para mapear quais barreiras deveriam ter interrompido a sequência.

Os dois métodos se complementam quando a investigação evita culpar o operador e também evita cair em abstração. A saída técnica precisa dizer qual furo será fechado, quem decide recurso, qual evidência provará o fechamento e como a liderança verificará a barreira em campo.

Conclusão

O modelo do queijo suíço é útil porque obriga a investigação a enxergar camadas, não personagens. Uma ação corretiva madura não pergunta apenas qual pessoa estava mais perto do evento; ela pergunta por que projeto, procedimento, supervisão e aprendizado deixaram a energia atravessar o sistema.

Para aprofundar essa leitura em acidentes graves, SIFs e RCA, os livros Sorte ou Capacidade e Um Dia Para Não Esquecer, disponíveis na loja da Andreza Araujo, ajudam a transformar investigação em mudança verificável de barreiras.