7 controles do Bow-Tie para revisar barreiras críticas

A HSE recomenda identificar, avaliar e controlar riscos antes que eles virem perda, e o Bow-Tie só entrega valor quando as barreiras são testadas no turno real. Este guia mostra como usar 7 controles do Bow-Tie para revisar barreiras críticas sem transformar o método em diagrama de auditoria.

Por que o Bow-Tie ajuda quando a APR não basta

Bow-Tie funciona porque mostra, no mesmo quadro, as ameaças que empurram o evento topo e as consequências que aparecem se a barreira falhar. A HSE recomenda uma avaliação de risco em 5 passos, e isso ajuda a entender por que o Bow-Tie fica fraco quando a equipe desenha caixas bonitas sem testar o que realmente segura a operação. Em 25+ anos de EHS executivo, Andreza Araujo observa que o erro quase nunca está no desenho e sim na disciplina de verificação, experiência acumulada em 47 países e mais de 250 projetos.

Como Andreza Araujo defende em Cultura de Segurança: Da Teoria à Prática, risco identificado se elimina ou controla, e não fazer nada não é uma opção. O recorte que muda na prática é tratar o Bow-Tie como linguagem de decisão, não como ilustração para reunião, porque uma matriz sozinha tende a esconder onde a barreira quebra. Se você já leu o comparativo entre APR, Bow-Tie e matriz de risco, sabe que o valor do método aparece quando o time nomeia o evento topo, as ameaças e as barreiras com a mesma precisão.

1. Defina o evento topo em uma frase

O evento topo é a perda que você quer evitar, e ele precisa caber em uma frase que qualquer supervisor leia sem perguntar qual é o risco principal. Quanto mais amplo o evento, mais o Bow-Tie vira um mural de intenções, não um instrumento de controle.

Em 25+ anos de trabalho de campo, Andreza Araujo identifica que o time costuma errar por excesso de abrangência, porque tenta colocar no mesmo desenho vazamento, choque, atropelamento e exposição química. O recorte útil tem um evento topo por vez, 2 lados bem definidos e 3 classes de ameaça que de fato empurram a operação para o mesmo desfecho.

Na prática, escreva a perda como se fosse uma sentença curta de investigação, por exemplo, ruptura de linha pressurizada, perda de contenção em tanque ou partida inesperada de equipamento. Esse nível de precisão facilita o diálogo com o PGR e com o HAZOP, FMEA e What If, porque cada método responde melhor a uma pergunta diferente. Quando o evento topo fica vago, o resto do diagrama também fica.

2. Separe ameaças de falhas de controle

A ameaça empurra o risco para cima, enquanto a falha de controle abre o buraco por onde a perda passa. Misturar essas duas coisas faz o Bow-Tie perder a função principal, que é mostrar onde agir antes do evento topo acontecer.

A ISO 31000 especifica diretrizes para tratar risco de forma sistemática, e isso ajuda a evitar o erro de colocar no mesmo quadrante o gatilho, o controle e a consequência. Diferente do que muita equipe faz, o método não começa pelo desenho estético, e sim pela disciplina de separar causa, barreira e dano. Esse corte analítico reduz ruído e melhora a conversa com engenharia, operação e SST.

Um teste simples é perguntar se o item ainda existiria caso a barreira estivesse perfeita. Se a resposta for não, você está olhando para a ameaça; se a resposta for sim, você está olhando para a falha de barreira. Essa distinção vale muito em mudanças operacionais pequenas, porque um detalhe de turno, sequência ou fornecedor pode deslocar o risco sem alterar a aparência do processo.

3. Desenhe barreiras preventivas e mitigadoras

O Bow-Tie só fica útil quando cada barreira tem dono, condição de acionamento e falha conhecida. Se a equipe não consegue dizer quem verifica, quando verifica e o que acontece quando a barreira falha, o método virou decoração de parede.

Como Andreza Araujo escreve em 100 Objeções de Segurança, "EPI é a linha de defesa secundária, só reduz o dano, não evita o acidente". A posição do acervo reforça a tese central deste artigo: risco identificado se elimina ou controla, porque deixar a decisão para o último nível só mascara o problema. Em Bow-Tie bem feito, a barreira preventiva evita a entrada do desvio e a mitigadora reduz a gravidade quando o desvio já passou.

Na prática, rotule cada barreira com verbo de ação e critério verificável, como isolar energia, travar acesso, testar intertravamento, validar APR e confirmar resgate. Se a barreira depende apenas de boa intenção, ela não merece ocupar o desenho. A disciplina que Andreza Araujo leva para cultura de segurança serve aqui da mesma forma: nome, dono e verificação importam mais que frase bonita.

4. Teste a barreira no turno real

Barreira que só existe no papel não é barreira, é intenção registrada. O teste precisa responder ao que o turno realmente encontra, porque o campo muda com clima, equipe, fornecedor, hora e pressão de produção.

Use 4 perguntas antes de aceitar a barreira como válida: ela existe na frente de serviço, tem responsável nominal, resiste à troca de turno e é verificada em campo? A OSHA publica o requisito de hazard assessment em safety management, com referência a 29 CFR 1910.132(d), e isso reforça que a verificação não pode ficar no PowerPoint. Se o teste não alcança o trabalho real, a barreira fica imaginária.

Em operações com manutenção, carregamento ou isolação, a checagem precisa sair da sala e ir até o ponto onde a perda pode acontecer. O valor do Bow-Tie está justamente em forçar essa ida ao campo, porque a mesma operação que parece estável na reunião pode estar frágil na frente de serviço.

5. Decida quando a mudança pede MOC

Se a mudança altera equipamento, sequência, produto, jornada ou fornecedor, o Bow-Tie deixa de ser opcional e passa a ser parte do MOC. Essa decisão evita o erro clássico de mudar algo pequeno no papel e grande no risco real, sobretudo quando o time precisa responder a 3 perguntas simples: o que mudou na energia, o que mudou na barreira e o que mudou em quem executa.

O comparativo com o MOC em 7 etapas fica claro quando você pergunta se a barreira continua válida depois da mudança. Em 25+ anos de EHS executivo, Andreza Araujo observa que a operação costuma confundir rotina com estabilidade, embora uma troca de turno, uma peça nova ou um contratista diferente já mude o nível de exposição.

A ILO define segurança e saúde no trabalho como agenda central de proteção à vida e à saúde, e o recado prático é simples: se a mudança cria novo risco, ela precisa de controle formal. Faça 3 perguntas antes de liberar a alteração. O que mudou na energia, o que mudou na barreira e o que mudou na pessoa que executa?

6. Leve o Bow-Tie ao PSSR antes da partida

PSSR é o momento em que você confirma se a nova condição operacional bate com o risco que o Bow-Tie descreveu. Se a checagem final falhar, a partida começa com uma premissa falsa e a operação paga a conta depois.

O link com PSSR em 7 etapas existe porque o Bow-Tie mostra o mapa, mas o PSSR confirma se o mapa ainda coincide com o terreno. Em mais de 250 projetos de transformação cultural, Andreza Araujo observa que o melhor diagrama perde valor quando ninguém fecha a última verificação antes de energizar o sistema.

Antes da partida, valide 4 pontos: energia isolada, intertravamento testado, procedimento ajustado e resposta de emergência disponível. Esses 4 pontos parecem óbvios, mas são exatamente os que somem quando a pressão de prazo cresce. O Bow-Tie, nesse momento, deixa de ser análise e vira critério de liberação.

7. Compare Bow-Tie, APR e matriz de risco

Bow-Tie não substitui APR nem matriz de risco, mas responde a uma pergunta que os dois formatos tratam pior, que é onde a barreira quebra e o que acontece depois. A diferença entre os três instrumentos aparece quando a operação precisa decidir, não apenas classificar.

Como Andreza Araujo defende em Cultura de Segurança: Da Teoria à Prática, a verdadeira medida de um sistema de segurança aparece quando ninguém está olhando. Essa posição explica por que o Bow-Tie tem valor superior em risco crítico, porque ele obriga a pensar no comportamento real da barreira, não só no rótulo da tarefa. Se quiser aprofundar o contraste, vale cruzar este guia com barreira degradada no PGR.

Cada semana sem revisão de barreira deixa a operação rodando com uma premissa que ninguém testou no campo.

Conclusão

Bow-Tie só muda resultado quando o desenho vira rotina de verificação, porque risco crítico não se controla com caixa bonita, e sim com 7 decisões repetidas no campo. O que separa método útil de diagrama morto é a capacidade de ligar evento topo, ameaça, barreira, MOC e PSSR em uma única conversa de gestão.

Durante a passagem pela PepsiCo LatAm, onde a taxa de acidentes caiu 86%, Andreza Araujo aprendeu que o sistema melhora quando liderança e campo tratam o controle como decisão e não como papel. Se você quer fazer essa virada na sua operação, solicite um diagnóstico de cultura de segurança e use o Bow-Tie como instrumento de gestão, não de decoração.