Pirâmide de Heinrich aplicada a SIF: três erros de leitura

A pirâmide de Heinrich completa quase um século desde a publicação original em 1931, e segue como o modelo gráfico mais reconhecido do vocabulário SST mundial. Em treinamentos corporativos brasileiros, ela aparece em mais de noventa por cento dos slides introdutórios sobre prevenção de acidentes, em geral acompanhada da frase para cada uma fatalidade existem trezentos quase-acidentes. Em 68% das investigações brasileiras de SIF nos últimos dez anos, o relatório técnico cita a pirâmide como referência teórica, embora apenas uma minoria dos relatórios reconheça que a pirâmide original foi construída sobre dados de seguros industriais dos anos vinte e que a generalização tem limites técnicos que a maioria das equipes esquece.

Este guia separa o que a pirâmide ensina, o que ela não ensina e os três erros de leitura que tornam o modelo prejudicial quando aplicado a Serious Injuries and Fatalities sem reconfiguração técnica. O objetivo é entregar ao investigador, ao gerente de SSMA e ao diretor industrial um quadro de referência que conecte evento precursor à prevenção real de fatalidade.

O que a pirâmide de Heinrich efetivamente provou e o que não provou

Herbert Heinrich, engenheiro da Travelers Insurance, publicou em Industrial Accident Prevention a ratio 1 fatalidade : 29 acidentes com afastamento : 300 quase-acidentes, baseada na análise estatística de 75 mil sinistros segurados. Frank Bird Jr., quarenta anos depois, ampliou a amostra para 1,7 milhão de eventos e propôs ratio 1 : 10 : 30 : 600. As duas pirâmides ensinam o mesmo princípio operacional. A base é quantitativamente maior do que o topo, e cada evento grave é precedido por número grande de eventos menores e quase-eventos.

O princípio é correto e útil. O problema técnico aparece em duas leituras adicionais que a pirâmide não autoriza. A primeira leitura indevida é a inversão causal direta. Reduzir o quase-acidente em x por cento não produz, automaticamente, redução proporcional da fatalidade, porque a relação entre os níveis não é determinística e nem todos os quase-acidentes têm potencial de escalada para topo. A segunda leitura indevida é a homogeneidade dos eventos. Os trezentos quase-acidentes da base nem sempre pertencem à mesma família causal da fatalidade do topo, e tratar a base como conjunto único leva a investimento difuso em prevenção de pequenas lesões enquanto SIF continua se acumulando.

Como Andreza Araújo argumenta em Sorte ou Capacidade, acidente grave é evento de cauda longa, com cadeia causal específica, e a literatura técnica recente em segurança de processos químicos distingue claramente o evento comum do evento de baixa frequência e alta severidade. A métrica TRIR que esconde SIF herda a mesma confusão, porque mistura na mesma taxa eventos com cadeias causais distintas.

Erro 1: Tratar SIF como topo da mesma pirâmide

O primeiro erro é o mais comum e o mais danoso. A empresa monta painel executivo com pirâmide única, em que SIF figura no topo e quase-acidentes na base, e investe em campanhas de redução da base esperando redução proporcional do topo. A literatura recente, e a casuística brasileira de fatalidades industriais, mostra que SIF tem cadeia causal distinta. Em mais de duzentos e cinquenta projetos de transformação cultural, Andreza Araújo observa que cerca de vinte por cento dos quase-acidentes concentram potencial real de escalada para SIF, e o restante pertence a famílias causais diferentes.

O ajuste técnico é reconhecer duas pirâmides. A pirâmide comum, com base ampla de quase-acidentes e topo de lesões com afastamento, opera sobre eventos de processo recorrente. A pirâmide SIF, com base mais estreita de eventos precursores específicos e topo de fatalidade, opera sobre eventos de processo crítico. Os dois sistemas exigem investigação separada e estratégia de prevenção separada, embora compartilhem o mesmo sistema de gestão de risco. A matriz de risco 5x5 padrão que esconde SIF piora esse erro quando classifica eventos de cadeia distinta na mesma planilha sem campos separados.

Erro 2: Usar a base da pirâmide para culpar o operador

O segundo erro é cultural e tem consequência política duradoura. A leitura popular da pirâmide afirma que a base, descrita por Heinrich como atos inseguros, é responsabilidade do trabalhador, e que a redução do erro humano via treinamento e disciplina elimina o topo da pirâmide. Essa leitura ignora que Heinrich operava num quadro mental dos anos vinte, anterior à literatura sistêmica de James Reason, e que a base da pirâmide moderna corresponde a falhas latentes do sistema, não apenas a comportamento individual.

O modelo do queijo suíço de James Reason corrige a leitura. As barreiras do sistema são as fatias do queijo, e os buracos são falhas latentes que o trabalho cotidiano cria e o trabalho cotidiano fecha. O operador na ponta atravessa todos os buracos alinhados num momento improvável, e responsabilizar o operador pelo evento é responsabilizar a última fatia pela falha das anteriores. Como Andreza Araújo descreve em Sorte ou Capacidade, investigação que termina em culpou o operador, treinamento, fim é investigação inacabada, e o sistema repete a falha em circunstâncias semelhantes em prazo médio de seis a dezoito meses.

A conformidade que não é cultura mostra a mesma armadilha em escala maior, porque a empresa cumpre a NR ao registrar treinamento como ação corretiva, embora não toque na falha latente que produziu o evento.

Erro 3: Investir só em reduzir incidentes leves

O terceiro erro segue do primeiro como consequência operacional. A empresa convencida de que a base previne o topo concentra investimento em pequenas lesões, ergonomia, primeiros socorros e medidas de baixo custo, e termina o ano com TRIR caindo até o platô do estágio calculativo enquanto SIF continua estável ou crescendo. O painel executivo mostra resultado positivo, e a diretoria recompensa a área de SSMA por desempenho que não corresponde à exposição material real da empresa.

Em Um Dia para Não Esquecer, Andreza Araújo descreve casos brasileiros em que a empresa apresentava TRIR melhor do que a média do setor no momento da fatalidade, e a investigação posterior identificou que o orçamento de SSMA estava direcionado quase integralmente para redução da base, sem investimento estruturante em barreiras de processo crítico. Empresas que separam orçamento SIF do orçamento geral de SST conseguem reduzir fatalidade em três a cinco anos, mesmo com TRIR estável, conforme acompanhamento de programas plurianuais conduzidos em multinacionais.

A pirâmide SIF separada: cadeia causal distinta

A pirâmide SIF é construída a partir de eventos que carregam potencial real de escalada para fatalidade, identificados por critério técnico explícito, e não pela severidade efetiva do evento ocorrido. Um evento que terminou em lesão leve pode pertencer à pirâmide SIF, desde que a investigação demonstre que a única coisa que separou o evento da fatalidade foi sorte ou variação aleatória das circunstâncias. Esse critério, descrito em detalhe na literatura técnica de SIF Prevention, exige investigação preliminar mais profunda em todos os quase-acidentes, antes da classificação.

Em mais de duzentos e cinquenta projetos de transformação cultural, Andreza Araújo identifica três sinais técnicos que classificam um evento como precursor SIF. Primeiro, presença de barreira crítica frágil ou ausente no momento do evento. Segundo, exposição ativa do trabalhador a energia perigosa não controlada. Terceiro, repetibilidade da combinação causal em outras frentes da operação. Quando os três sinais aparecem, o evento entra na pirâmide SIF, e o tratamento exige RCA aprofundado, Bow-Tie e plano de barreira de engenharia, não treinamento como ação corretiva. O programa de observação comportamental bem desenhado alimenta esse critério, porque captura precursor antes do evento.

Bow-Tie como ponte entre pirâmide e prevenção real

O Bow-Tie é a ferramenta que costura pirâmide SIF a plano de ação concreto. À esquerda do nó central (evento topo), o método dispõe as barreiras preventivas, e à direita, as barreiras mitigatórias. Cada precursor identificado entra na ferramenta como teste vivo de uma barreira específica. Quando um precursor atravessa três barreiras consecutivas sem ser detectado, a investigação aponta lacuna estrutural; quando é detectado em barreira específica, o sistema valida a barreira e ajusta o controle.

Esse método de leitura cruzada entre pirâmide SIF e Bow-Tie é o que separa investigação que aprende de investigação que registra. Em Um Dia para Não Esquecer, Andreza Araújo descreve cases em que a primeira aplicação rigorosa do Bow-Tie revelou que três barreiras supostamente independentes compartilhavam a mesma fonte de inspeção e o mesmo dia de teste, configurando dependência oculta que a pirâmide isolada nunca capturou.

Comparação: pirâmide única frente a pirâmide SIF separada

Como conectar quase-acidente à prevenção de SIF

A integração técnica exige quatro movimentos consecutivos no sistema de gestão de risco da empresa, e cada um pode ser implementado em ciclo trimestral. O primeiro movimento é classificar quase-acidentes em duas pilhas, com critério técnico explícito de pertencimento à pirâmide SIF. O segundo movimento é direcionar precursor SIF para investigação aprofundada, com Bow-Tie e RCA de Reason, em vez de relatório padrão de quase-acidente. O terceiro movimento é separar orçamento SIF do orçamento geral de SST, com aprovação direta do diretor industrial e governança específica. O quarto movimento é monitorar dois conjuntos de indicadores, em cadência separada.

• Indicadores comuns: TRIR, LTIFR, DART e taxa de quase-acidente reportado, em cadência mensal e em painel operacional.
• Indicadores SIF: número de precursores SIF tratados, percentual de barreiras críticas auditadas no trimestre, tempo médio entre detecção do precursor e ação estrutural, em cadência trimestral e em painel executivo.
• Indicadores cruzados: percentual de precursores capturados via observação comportamental, percentual capturado via DDS, percentual via investigação de quase-acidente.
• Indicadores de validade: aderência entre cenário precursor classificado pela equipe SSMA e cenário que efetivamente apareceu em SIF nos cinco anos anteriores.
• Indicador cultural: percentual de SIF com plano de ação que NÃO termina em treinamento como única ação corretiva.

Esse último indicador é o mais simples e o mais revelador. Empresa que ainda fecha plano de ação de SIF com treinamento como única ação corretiva ainda opera no quadro mental dos anos trinta, antes da literatura sistêmica de Reason, e a probabilidade de repetição do evento em circunstâncias parecidas continua alta. O DDS efetivo conduzido pelo supervisor alimenta naturalmente o canal de captura de precursor, sem custo adicional de software.

A pirâmide é mapa, não território

O ponto de chegada é epistemológico. A pirâmide de Heinrich é mapa, e mapa não é território. Quando a empresa confunde os dois, age sobre o mapa e ignora o território, e o território cobra preço inteiro pela confusão. A pirâmide funciona quando o investigador usa a estrutura como organizador de evidência, separa pirâmide SIF de pirâmide comum, ancora a leitura no queijo suíço de James Reason e operacionaliza a prevenção via Bow-Tie e barreira de engenharia.

Cada investigação de SIF que termina com treinamento como única ação corretiva é uma janela aberta para a repetição do mesmo evento em frente operacional vizinha, em prazo médio de seis a dezoito meses, e nenhum painel executivo positivo compensa essa janela aberta.

Conclusão

A pirâmide de Heinrich segue útil, embora exija reconfiguração para o mundo SIF, com pirâmide separada, RCA aprofundado e Bow-Tie como ferramenta de operacionalização. Para reformulação assistida da governança de SIF, a consultoria de Andreza Araújo aplica metodologia descrita em Sorte ou Capacidade e em Um Dia para Não Esquecer, com diagnóstico inicial e acompanhamento de doze meses.