Severidade potencial em SST: 6 erros que escondem SIF

Severidade potencial é um dos indicadores mais incômodos de SST porque obriga a empresa a olhar para o que quase aconteceu, não apenas para o dano que entrou na estatística. Um quase-acidente sem lesão pode revelar fragilidade maior que um corte registrado, desde que a organização tenha método para avaliar o pior desfecho plausível.

A tese deste artigo é prática: empresas que classificam eventos apenas pelo dano real enxergam tarde demais os sinais de SIF. O painel fica limpo, a taxa de frequência melhora, a reunião executiva segue tranquila, embora barreiras críticas estejam falhando em tarefas de alto potencial.

Por que dano real não basta para priorizar risco

O dano real mostra o que aconteceu no evento observado. A severidade potencial mostra o que poderia ter acontecido em condições plausíveis, considerando energia presente, proximidade de pessoas, barreiras disponíveis, falhas latentes e tempo de exposição. Essa diferença muda a decisão de liderança, porque um evento pequeno pode exigir ação urgente quando expõe uma rota real para fatalidade.

James Reason ajuda a explicar esse raciocínio ao tratar acidentes organizacionais como alinhamento de falhas latentes e erros ativos. Sem transformar o operador em culpado, a análise de severidade potencial pergunta quais defesas estavam degradadas e por que o dano não foi maior. Às vezes, a resposta é desconfortável: o resultado foi leve por sorte, não por capacidade do sistema.

Como Andreza Araujo defende em Muito Além do Zero, medir segurança apenas pela ausência de acidente grave cria uma ilusão perigosa de controle. Em 25+ anos liderando EHS em multinacionais, Andreza observa que organizações maduras discutem potencial antes de discutir estatística bonita, porque sabem que o evento sem lesão pode ser o aviso mais caro que a empresa recebeu de graça.

1. Classificar pelo ferimento, não pela energia envolvida

O primeiro erro é olhar para o ferimento e ignorar a energia que estava presente. Uma queda de objeto que não atinge ninguém pode entrar como quase-acidente simples; se o objeto caiu de altura sobre uma área de circulação, a energia gravitacional e a exposição de pessoas mudam completamente a leitura.

Essa falha aparece em manutenção, logística, içamento, eletricidade, espaço confinado e intervenção em máquina. O evento real pode terminar sem lesão porque a pessoa deu um passo para trás, porque o turno estava vazio ou porque a peça desviou poucos centímetros. O sistema, porém, revelou uma trajetória plausível para SIF.

A classificação deve começar pela fonte de energia. Altura, pressão, eletricidade, movimento, temperatura, produto químico, carga suspensa e tráfego interno precisam pesar mais que o desfecho clínico. Quando a empresa usa apenas lesão como critério, ela prioriza cortes e torções enquanto deixa escapar eventos com capacidade de matar.

2. Confundir sorte com controle operacional

O segundo erro é registrar “sem consequência” como se isso significasse “sem gravidade”. A expressão parece neutra, mas muitas vezes apaga a pergunta essencial: qual barreira impediu o pior desfecho, e essa barreira estava prevista ou apareceu por acaso?

Em Sorte ou Capacidade, Andreza Araujo separa resultado favorável de competência operacional. Essa distinção é decisiva para indicadores de potencial, porque o painel precisa diferenciar evento leve por controle robusto de evento leve por coincidência. Os dois têm aparência parecida no registro, mas exigem respostas muito diferentes.

Um exemplo simples é o quase-atropelamento por empilhadeira. Se o pedestre parou porque ouviu o alerta sonoro, havia uma barreira em funcionamento. Se parou porque outro trabalhador gritou, talvez a empresa tenha sobrevivido ao evento por improviso. A severidade potencial força essa conversa antes que o mesmo padrão se repita com menos margem.

3. Usar matriz de risco genérica para evento crítico

A matriz de risco comum costuma combinar probabilidade e consequência, mas ela fica fraca quando é usada para todo tipo de evento com a mesma escala. Eventos de alto potencial exigem uma camada própria de análise, cuja pergunta central não é “qual nota deu?”, mas quais condições teriam transformado o evento em fatalidade ou incapacidade permanente.

O artigo sobre matriz de risco em SST mostra como a pontuação pode falsificar prioridade quando a escala é aplicada de modo mecânico. Na severidade potencial, o risco é ainda maior, porque o avaliador tende a reduzir a nota quando não houve lesão.

Um critério mais defensável separa três campos: dano real, pior desfecho plausível e barreiras cujo funcionamento precisa ser demonstrado. Essa divisão obriga a empresa a justificar a classificação. Também impede que o evento seja rebaixado apenas porque ninguém se machucou naquele dia.

4. Não calibrar avaliadores entre áreas

O quarto erro é permitir que cada área interprete severidade potencial do seu jeito. Manutenção pode classificar arco elétrico quase ocorrido como crítico, enquanto logística registra quase-atropelamento como médio; a diferença nem sempre vem do risco, mas da maturidade de quem avalia.

Calibração não significa burocratizar a análise. Significa reunir exemplos reais, discutir critérios e criar uma biblioteca curta de eventos de referência. Um quase-contato com energia elétrica, uma carga suspensa que oscilou sobre pessoa, uma entrada em espaço confinado com falha de medição e uma intervenção sem bloqueio devem ter tratamento coerente em toda a empresa.

Em mais de 250 projetos de transformação cultural acompanhados pela Andreza Araujo, a variação entre áreas aparece como um dos sinais de cultura fragmentada. O mesmo risco recebe nomes diferentes, prioridades diferentes e prazos diferentes, conforme o gerente local. Severidade potencial só vira indicador executivo quando essa variação é reduzida por método.

5. Tratar quase-acidente como volume, não como qualidade

O quinto erro é comemorar aumento ou queda de quase-acidentes sem olhar qualidade. Um grande volume de reportes simples pode ser positivo para engajamento, mas não substitui análise dos eventos com potencial grave. Da mesma forma, queda no número total pode esconder medo de reportar ou fadiga do processo.

O artigo sobre quase-acidente escondido na planta aprofunda esse problema. Para severidade potencial, a pergunta útil é outra: quantos reportes apontaram energia crítica, barreira degradada, exposição recorrente ou decisão de liderança que aceitou concessão?

O indicador deve separar reportes por tipo. Uma condição de housekeeping não pode competir no mesmo bloco decisório com quase-contato elétrico, perda de contenção química ou falha de bloqueio em máquina. Quando tudo entra no mesmo gráfico, o volume vence a gravidade e a liderança perde foco.

6. Fechar ação corretiva sem testar a barreira

O sexto erro é encerrar plano de ação por evidência documental, sem testar se a barreira voltou a funcionar. Um treinamento realizado, uma placa instalada ou um procedimento revisado pode fechar o item no sistema, embora a tarefa continue exposta quando a operação volta ao ritmo normal.

Como discutido no artigo sobre indicador de barreira crítica, a pergunta de eficácia precisa ir ao campo. A barreira existe? Está acessível? É usada sem depender de fiscal? Funciona no turno noturno, com terceirizado, sob atraso de produção e durante manutenção não planejada?

A severidade potencial deve gerar ação proporcional ao pior desfecho plausível. Se o evento poderia ter causado morte ou incapacidade permanente, a ação não pode terminar em assinatura de lista. Ela precisa de teste, observação, verificação independente e retorno para quem reportou, porque esse ciclo mantém o canal vivo e mostra que reportar risco crítico muda decisão.

Como montar uma regra simples de severidade potencial

Uma regra útil precisa caber na rotina, mas não pode ser rasa. O comitê deve definir critérios mínimos para energia, exposição, barreira, recorrência e pior desfecho plausível. Quando dois desses critérios indicam gravidade alta, o evento deve subir para análise de liderança, mesmo que o dano real tenha sido nulo.

A empresa também precisa registrar a razão da classificação. “Potencial alto” sem justificativa vira etiqueta; “potencial alto por carga suspensa sobre rota de pedestre, ausência de isolamento e dependência de alerta verbal” vira decisão auditável. Essa diferença protege a qualidade do indicador e educa avaliadores novos.

Toda empresa que espera lesão grave para reconhecer potencial está usando o trabalhador como sensor tardio do sistema.

Conclusão

Severidade potencial é a ponte entre indicador e prevenção real. Ela impede que a organização trate quase-acidente crítico como ruído estatístico e ajuda a liderança a enxergar SIF antes que o dano apareça no prontuário, na CAT ou no relatório executivo.

O painel maduro não pergunta apenas quantos eventos ocorreram. Ele pergunta quais eventos poderiam ter matado, quais barreiras falharam, quais ações foram testadas e que decisão de liderança precisa mudar. Para estruturar essa leitura com método, cultura e governança, conheça o trabalho de Andreza Araujo em indicadores e transformação de segurança.