Queijo suíço de Reason: 4 falhas latentes em SIF

Em 8 de cada 10 relatórios de fatalidade que Andreza Araújo revisou em duas décadas e meia liderando EHS em multinacionais, a causa raiz registrada foi uma única falha ativa atribuída ao operador da ponta. O modelo do queijo suíço de James Reason mostra há mais de trinta anos que SIF é resultado do alinhamento simultâneo de buracos abertos por decisões da liderança, tomadas semanas ou meses antes do acidente. Este guia descreve as quatro falhas latentes que aparecem com maior frequência nesses buracos, e mostra como reabrir uma investigação encerrada antes que outro evento as combine de novo.

Por que investigação que para na falha ativa é investigação inacabada

O modelo do queijo suíço, descrito por James Reason em Managing the Risks of Organizational Accidents, separa o erro do operador (falha ativa) das condições que tornaram o erro possível (falha latente). Cada barreira do sistema, embora pareça sólida no diagrama, tem buracos invisíveis na rotina, porque decisões de produção, projeto, contratação e supervisão criam esses buracos muito antes de o operador chegar à tarefa. Quando os buracos das diferentes barreiras se alinham, o evento atravessa o sistema inteiro e vira fatalidade.

Como Andreza Araújo defende em Sorte ou Capacidade, a investigação que para no "o operador não usou EPI" cumpre o protocolo do CAT, ainda que deixe intactos os buracos latentes que vão receber o próximo trabalhador na semana seguinte. O time de SST entrega o relatório, o jurídico arquiva o caso, e a próxima fatalidade já está em curso, mesmo com a planta inteira tendo cumprido a NR aplicável.

1. Falha latente que vem da decisão de produção

O primeiro buraco do queijo suíço quase sempre nasce numa decisão de produção. O gerente de operações aperta o cronograma da parada de manutenção em vinte por cento sem rever o procedimento de bloqueio de energia, ainda que a NR-12 e a APR original tenham sido escritas para o cronograma anterior. O operador, que recebe o turno mais curto, executa o LOTO em ritmo incompatível com a checagem ponto a ponto, porque o sistema agora pune quem cumpre integralmente o procedimento.

Em mais de duzentos e cinquenta projetos de transformação cultural acompanhados pela Andreza Araújo, esse buraco aparece com regularidade nos meses imediatamente anteriores ao SIF, e raramente entra no relatório final. Em 62% das investigações revisadas, a decisão de produção que comprimiu o tempo da tarefa não foi sequer mencionada no item de causa raiz, embora a equipe operacional consiga apontá-la em conversa informal nas primeiras quarenta e oito horas após o acidente.

O investigador que aplica o queijo suíço pergunta o que mudou no cronograma, na escala, no orçamento ou no escopo nos noventa dias anteriores ao evento, e cruza essa resposta com o procedimento que estava na PT do dia. Quando o procedimento foi escrito para um cenário que a operação real não respeita, a falha ativa do operador é apenas o sintoma da decisão executiva que abriu o buraco da primeira fatia do queijo. Esse mesmo padrão aparece nos casos analisados em Five Whys em SIF, em que a parada na quinta pergunta deixa a decisão original intacta.

2. Falha latente que vem da cultura de não recusar tarefa

O segundo buraco aparece na liderança operacional, que sinaliza, com gestos pequenos e repetidos, que recusar tarefa insegura é movimento de carreira ruim. Não há ordem escrita determinando que o operador suba ao telhado úmido, e ainda assim a equipe sobe, porque a planilha de produtividade do supervisor mede liberação de PT por turno e penaliza recusas, embora a NR-35 garanta o direito de recusa.

O modelo do queijo suíço descreve esse buraco como cultura tolerante ao desvio, e o investigador o detecta cruzando dois indicadores leading que a planta normalmente já tem em mãos. O primeiro é o índice de PT recusada nos últimos noventa dias na frente de serviço onde o SIF aconteceu, e o segundo é o tempo médio entre a chegada do operador à tarefa e a assinatura do supervisor. Quando o índice de recusa fica em zero por cento e o tempo médio cai abaixo de noventa segundos, o buraco da segunda fatia está aberto, e a próxima vítima é uma questão estatística.

Andreza Araújo argumenta em A Ilusão da Conformidade que conformidade documental e cultura segura são posições distintas, porque o sistema que aprova a PT em noventa segundos cumpre a NR no papel, ao passo que envia ao operador a mensagem oposta no campo. Reabrir o relatório significa investigar não apenas a tarefa do dia da fatalidade, mas a sequência de tarefas anteriores em que o time aprendeu que recusar custa caro.

3. Falha latente que vem do turnover e da rotação

O terceiro buraco se forma quando a empresa rotaciona supervisão e operação em ritmo superior à curva de aprendizado da tarefa crítica, prática que se intensificou em ciclos recentes de redução de custo na indústria brasileira. O supervisor cuja experiência prévia foi em manutenção programada assume a frente de paradas emergenciais sem o repertório de leitura de risco que o cargo exige, embora seu cargo, certificado e treinamento estejam formalmente em ordem.

O queijo suíço descreve isso como buraco da capacitação efetiva, em oposição à capacitação formal. O treinamento de oito horas exigido pela NR registra carga horária no eSocial, ainda que não substitua a vivência repetida em situações reais. Essa lacuna só aparece quando o supervisor precisa decidir, no escuro do turno noturno, se libera a tarefa com vento acima da janela operacional ou interrompe a operação. Em frentes de SIF analisadas pela Andreza Araújo, o supervisor estava no posto havia menos de seis meses em mais de metade dos casos, indicador leading que a média de mercado raramente acompanha.

Reabrir a investigação a partir desse buraco significa olhar a curva de turnover dos doze meses anteriores ao evento, e cruzá-la com a complexidade da tarefa em que a fatalidade aconteceu. Quando a planta opera tarefa de alta complexidade com supervisão recém-promovida, a fatalidade não é evento aleatório, e o relatório que ignora esse fator deixa o buraco aberto para o próximo plantão.

4. Falha latente que vem dos indicadores executivos cegos

O quarto buraco vive na sala do C-level, e nasce do painel mensal de SST que mostra TRIR e LTIFR caindo enquanto eventos precursores de SIF crescem por baixo. Como Andreza Araújo defende em Muito Além do Zero, a obsessão com a métrica de incidência total cria incentivo para reclassificar lesão registrável e diluir a categoria Serious Injuries and Fatalities dentro do indicador agregado. Essa prática mantém a curva agradável ao conselho e cega a gestão para o próximo evento grave. Esse padrão é detalhado em TRIR esconde SIF.

O queijo suíço chama esse buraco de cegueira sistêmica do nível decisor, e ele não aparece na cena do acidente, embora seja o que sustenta os outros três. O diretor industrial aprova o cronograma comprimido da fatia 1, contrata a estrutura que pune a recusa da fatia 2 e autoriza o turnover da fatia 3. Tudo isso acontece porque o painel que ele lê não distingue near-miss de SIF, ao passo que a curva agregada segue dentro da meta corporativa.

O investigador sistêmico pega o painel executivo dos últimos doze meses e separa o indicador SIF do indicador TRIR, então cruza a tendência do SIF com cada decisão estratégica registrada em ata de comitê executivo no mesmo período. A correlação raramente é casual.

Investigação de superfície frente à investigação sistêmica

Como reabrir uma investigação encerrada em quatro perguntas

Pegue o relatório de SIF mais recente da sua planta, idealmente um caso considerado encerrado pela área jurídica, e aplique este protocolo curto, que cabe num único turno do investigador sênior:

• Pergunta 1 — qual decisão de produção, escopo ou cronograma mudou nos noventa dias anteriores ao evento, e a APR foi revista em consequência?
• Pergunta 2 — qual era o índice de PT recusada na frente onde a fatalidade aconteceu, e o supervisor recusou alguma tarefa publicamente nos últimos trinta dias?
• Pergunta 3 — há quanto tempo o supervisor da frente estava no posto, e qual era a complexidade típica das tarefas que ele liberou no semestre anterior?
• Pergunta 4 — o painel executivo separa SIF de TRIR, e o conselho recebeu alerta documentado quando a curva de near-miss subiu antes do evento?

Quando três das quatro respostas apontam para buraco aberto, o relatório original está incompleto, embora juridicamente encerrado, e o plano de ação precisa ser refeito a partir das camadas latentes. O comparativo detalhado com outros métodos está em Plano de ação pós-acidente, que mostra como o erro mais comum é trocar treinamento por mudança no projeto.

O que muda no plano de ação quando o queijo suíço aparece

O plano de ação que sai da investigação sistêmica raramente é "treinar a equipe novamente", porque o treinamento mora na última camada da hierarquia de controles e atua sobre falha ativa, ao passo que os buracos latentes vivem no projeto, no cronograma e no painel executivo. A aplicação correta do queijo suíço empurra o plano para eliminação, substituição e engenharia, cuja efetividade é multiplicativa em comparação com EPI e procedimento. Esse padrão de migração é o que distingue plantas com curva de SIF descendente das que mantêm TRIR baixo enquanto SIF estagna.

Em mais de duzentos e cinquenta projetos acompanhados pela Andreza Araújo, a reabertura de investigações encerradas com base no queijo suíço produziu, em média, três ações novas por relatório revisitado, das quais ao menos uma reorganiza decisão executiva (cronograma, headcount, painel) e bloqueia a recorrência sistêmica do tipo de evento. Esse trabalho está descrito em Um Dia Para Não Esquecer, que reúne casos reais e o protocolo aplicado.

Liderança que enxerga as fatias do queijo

O modelo de Reason exige da liderança operacional e executiva uma posição que parece desconfortável no primeiro momento, porque obriga o gerente, o diretor e o conselho a reconhecerem que cada um deles assina, todo mês, decisões cujos efeitos só se materializam quando os buracos se alinham. Durante a passagem pela PepsiCo na América Latina, em que a taxa de acidentes caiu 86%, Andreza Araújo conduziu o painel executivo para separar SIF de TRIR. A regra adicional exigia que toda decisão de cronograma compactador trouxesse APR revisada como anexo da ata, prática que removeu, em poucos ciclos, o buraco da primeira fatia em mais de quarenta plantas simultaneamente. Leading vs lagging em SST aprofunda como apresentar essa separação ao conselho.

Cada relatório encerrado com causa raiz registrada como "falha do operador" é um buraco do queijo suíço deixado aberto à espera de o próximo turno alinhar as outras três fatias. O tempo médio entre buracos alinhados e nova fatalidade no mesmo cluster operacional fica em torno de catorze meses, conforme padrão observado em revisões internas de portfólio industrial.

Conclusão

A investigação sistêmica baseada no queijo suíço de James Reason exige tempo de investigador, leitura cruzada de indicadores e disposição da liderança para enxergar a própria assinatura nos buracos latentes, o que custa pouco quando comparado ao preço de uma segunda fatalidade no mesmo cluster operacional. Para conduzir o trabalho ponta a ponta, com diagnóstico, plano e implementação acompanhados, a consultoria de Andreza Araújo aplica o protocolo descrito em Sorte ou Capacidade em projetos reais de mineração, indústria de alimentos, construção e supply chain.