Texas City: como indicadores de segurança pessoal esconderam o risco de explosão

O acidente da BP em Texas City mostra que uma organização pode acompanhar lesões pessoais e, ainda assim, deixar um risco de explosão crescer fora do painel executivo. O problema não foi apenas a falha de uma tarefa. Foi a distância entre o que os indicadores mediam e o que poderia matar muitas pessoas ao mesmo tempo.

Em 23 de março de 2005, uma explosão na refinaria da BP em Texas City, no Texas, matou 15 trabalhadores e feriu 180 pessoas, segundo o relatório final do U.S. Chemical Safety and Hazard Investigation Board, conhecido como CSB. O órgão publicou a investigação final em 20 de março de 2007 e concluiu que deficiências organizacionais e de segurança existiam em vários níveis da empresa.

Este caso interessa a diretores industriais, gerentes de SSMA e responsáveis por indicadores porque expõe uma contradição operacional. Um painel pode parecer estável quando registra apenas ocorrências de menor consequência, enquanto a integridade das barreiras que impedem incêndios, explosões e liberações perigosas permanece sem dono. A pergunta correta não é se a empresa tem muitos indicadores. É se os indicadores ajudam alguém a decidir antes que a energia perigosa encontre uma pessoa.

Cenário inicial: quando o painel parecia olhar para o risco errado

A unidade de Texas City operava processos com hidrocarbonetos e energia suficiente para produzir consequências catastróficas. O CSB descreveu uma combinação de falhas técnicas, organizacionais e de gestão que permitiu que uma operação de partida evoluísse para uma explosão. O evento não pode ser reduzido à última ação observada no campo, porque decisões anteriores haviam deixado a instalação exposta.

Uma das lições mais importantes do relatório é a diferença entre indicadores de segurança pessoal e indicadores de segurança de processo. Lesões por escorregões, tropeços ou pequenas ocorrências podem ser relevantes para a proteção cotidiana, mas não substituem a medição de alarmes críticos, dispositivos de alívio, intertravamentos, procedimentos de partida, manutenção de equipamentos e autoridade para interromper a operação.

James Reason ajuda a interpretar essa distância ao mostrar que acidentes graves surgem quando falhas latentes atravessam várias camadas de proteção. O indicador que registra apenas o dano final da pessoa pode chegar tarde demais. A organização precisa enxergar a condição que torna o dano possível, ainda que nenhum trabalhador tenha se ferido naquele turno.

Decisão: trocar o foco da contagem para a integridade das barreiras

A decisão central não é abandonar indicadores de lesões. É impedir que eles ocupem sozinhos o lugar de medida de risco. A liderança deve estabelecer quais cenários de alta consequência existem, quais barreiras precisam funcionar para impedir cada cenário e quais evidências demonstram que essas barreiras continuam disponíveis.

Essa mudança exige uma pergunta incômoda em cada reunião de desempenho. Se o indicador está verde, qual condição perigosa ele realmente exclui? Se a resposta for nenhuma, o número pode descrever atividade administrativa, mas não segurança operacional. Um índice baixo de lesões não prova que a partida de uma unidade foi preparada, que um alarme foi testado ou que a manutenção eliminou uma perda de contenção.

Em Muito Além do Zero, Andreza Araujo critica a transformação do zero acidentes em um número que encerra a conversa. A posição é útil neste caso porque o painel precisa abrir perguntas sobre exposição, e não oferecer uma sensação de encerramento. Em Um Dia Para Não Esquecer, a fatalidade aparece como uma construção que deve ser interrompida antes do último evento, não como azar inevitável.

Execução: como transformar indicador em decisão operacional

A execução começa com um inventário dos cenários de maior consequência. Para cada cenário, a equipe descreve a energia envolvida, as pessoas potencialmente expostas, a sequência de evolução e as barreiras que deveriam impedir ou limitar o evento. O objetivo não é produzir uma matriz bonita. É definir a evidência que permite dizer se o controle está funcionando.

Uma refinaria, por exemplo, pode acompanhar a execução de testes de alarmes críticos no prazo, o número de dispositivos indisponíveis, o tempo de recuperação de uma proteção, os desvios de procedimento em partidas, as falhas de comunicação entre turnos e as intervenções realizadas com equipamento fora da condição esperada. Cada medida precisa ter limite, responsável e resposta prevista.

A qualidade do indicador depende da qualidade da decisão associada a ele. Se uma barreira fica indisponível, o painel deve mostrar quem avaliou o risco residual, qual compensação foi adotada, até quando a condição pode permanecer aberta e quem tem autoridade para reduzir ou interromper a operação. Sem essa cadeia, o indicador vira registro histórico, não controle.

A execução também precisa separar atividade de efetividade. Treinar uma equipe é atividade. Demonstrar que a equipe reconhece a condição de parada durante uma simulação é evidência mais próxima da efetividade. Emitir uma ordem de manutenção é atividade. Confirmar o retorno da barreira, com teste documentado e aceito pelo responsável da operação, é evidência de controle.

Resultado mensurado: o que o caso permite afirmar

O resultado mensurado mais importante de Texas City é a dimensão humana do evento. O CSB registrou 15 mortes e 180 pessoas feridas. O relatório final, com 335 páginas, tratou o desastre como consequência de deficiências organizacionais e de segurança em diferentes níveis da BP. Esses números não são apenas um balanço posterior. Eles mostram a escala que um risco de processo pode alcançar quando o sistema perde suas barreiras.

Também é possível afirmar que o caso revelou uma insuficiência de foco. O resumo de investigação do CSB observa que empresas costumavam depender de indicadores de segurança pessoal, como lesões por escorregões, tropeços e quedas, em vez de acompanhar sinais capazes de prevenir falhas catastróficas. Essa conclusão não autoriza dizer que um único indicador causou a explosão. Ela mostra que a medição dominante não cobria o risco que mais precisava de atenção.

A tabela mostra uma mudança de gestão recomendada pelo aprendizado do caso, não uma promessa de que a organização se tornou segura apenas por publicar um relatório. Uma melhoria só pode ser declarada quando há evidência de implementação, desempenho e sustentação no tempo.

Lições generalizáveis: cinco perguntas que o painel precisa responder

A primeira pergunta é qual evento de alta consequência o indicador pretende evitar. Se o painel não explicita o cenário, fica difícil distinguir uma medida de rotina de uma barreira relevante.

A segunda é qual condição pode tornar a barreira indisponível. Falta de teste, manutenção atrasada, bypass, alarme inibido, alteração de processo e procedimento desatualizado precisam aparecer como sinais de degradação, não apenas em relatórios separados.

A terceira é quem decide quando o risco residual deixa de ser aceitável. A responsabilidade não pode terminar no profissional que registrou a anomalia. O sistema precisa indicar a autoridade que pode adiar a partida, reduzir a carga ou interromper a operação.

A quarta é quanto tempo a organização tolera uma proteção degradada. Prazo sem dono é apenas intenção. O indicador deve mostrar a idade da indisponibilidade e a decisão tomada quando o prazo é ultrapassado.

A quinta é que tipo de conversa o número provoca. Um indicador útil amplia a investigação quando piora e também quando melhora de maneira inesperada. Uma queda repentina de registros pode significar melhoria, mas também pode indicar dificuldade de notificação, medo ou mudança no critério de classificação.

O que aplicar na sua operação: um painel mínimo para risco crítico

Uma equipe que queira aplicar a lição de Texas City pode começar com um painel pequeno, desde que cada linha esteja vinculada a uma barreira e a uma decisão. O conjunto não precisa substituir o sistema corporativo de indicadores. Ele deve criar uma visão executiva dos riscos que podem produzir fatalidade, incêndio, explosão ou perda de contenção.

• Cenários críticos abertos, com exposição, dono e prazo de tratamento.
• Barreiras indisponíveis, bypassadas ou sem teste válido.
• Testes críticos executados no prazo e testes reprovados.
• Partidas, mudanças e intervenções realizadas fora da condição prevista.
• Tempo de recuperação das proteções e decisões tomadas durante a indisponibilidade.
• Interrupções voluntárias da operação por perda de evidência ou condição insegura.

O gerente de SSMA pode apresentar esse painel ao comitê executivo em uma página, mas deve levar a análise completa para a rotina de campo. O diretor industrial precisa conseguir perguntar qual barreira falhou, o que foi feito para compensar a exposição e quando a condição será restabelecida. Se a resposta depender de procurar dados em quatro sistemas, o painel ainda não está conectado à decisão.

A leitura de Diagnóstico de Cultura de Segurança reforça que maturidade não é apenas declarar valores ou acumular procedimentos. É criar coerência entre o que a organização afirma, o que mede e o que aceita quando produção e segurança entram em tensão.

Conclusão: um indicador só protege quando muda uma decisão

Texas City não ensina que indicadores de lesões pessoais são inúteis. Ensina que eles são insuficientes para representar riscos de processo. Uma gestão madura mantém a medição das ocorrências, mas acrescenta evidências de barreiras, indisponibilidade, recuperação, desvios de partida e autoridade para parar.

O teste final é direto. Quando um indicador muda, alguém muda a prioridade, libera um recurso, adia uma partida, corrige uma barreira ou interrompe a atividade? Se nada muda, o painel descreve o passado. Quando a medida está ligada a um cenário crítico, a um responsável e a uma resposta verificável, ela começa a proteger o futuro.

Para aprofundar essa abordagem, conheça os livros técnicos da Andreza Araujo, especialmente Muito Além do Zero, Um Dia Para Não Esquecer e Diagnóstico de Cultura de Segurança. A liderança que mede o risco certo cria condições para que a operação descubra a degradação antes que a energia perigosa encontre pessoas.