Análise de causa raiz que para no operador: 4 distorções

Em investigações de acidentes graves, a conclusão erro humano ou falha do operador aparece como causa-raiz na maioria dos relatórios, ainda que o operador seja a última pessoa de uma cadeia que começou meses antes, em decisões de projeto, dimensionamento e manutenção. Este diagnóstico mostra por que a análise de causa raiz costuma parar cedo demais, quais são as 4 distorções que travam a apuração no comportamento da ponta, e o que o gestor de SST precisa exigir para que a RCA alcance as falhas latentes do sistema. A mesma disciplina vale para saúde mental, porque viés retrospectivo no RCA só funciona quando a empresa trata limitação funcional como dado do sistema, não como falha individual.

1. Por que parar no operador não é causa-raiz

A análise de causa raiz (Root Cause Analysis) só cumpre sua função quando atravessa a causa imediata e chega às falhas latentes que tornaram o erro provável. Parar no operador identifica o sintoma e deixa intacta a doença, porque a NR-01 trata a investigação como parte do gerenciamento de riscos, e não como busca de responsável. O Ministério do Trabalho e Emprego determina na NR-01 a investigação e a análise de acidentes e doenças relacionadas ao trabalho, justamente para que a empresa aja sobre o processo que falhou, e não sobre a pessoa que estava na ponta quando o processo falhou.

O modelo do queijo suíço de James Reason descreve o acidente como o alinhamento de buracos em camadas sucessivas de barreira, nas quais o erro ativo do operador é apenas a última fatia. A HSE britânica distingue causas imediatas, causas subjacentes e causas de raiz exatamente para impedir que a apuração se contente com a primeira explicação visível. Como Andreza Araujo escreve em Sorte ou Capacidade, o acidente não é acaso nem azar, é construção tardia de camadas que falharam em silêncio.

O custo de errar aqui não é teórico. O ILO estima cerca de 2,78 milhões de mortes relacionadas ao trabalho por ano no mundo, e cada uma dessas mortes foi precedida por uma cadeia de sinais que uma RCA honesta teria lido. Quando a investigação para no operador, a empresa repete a mesma falha latente até que o azar se alinhe de novo.

2. Distorção 1: confundir causa imediata com causa-raiz

A primeira distorção troca a causa imediata pela causa-raiz e encerra a investigação no comportamento observável. O operador não travou a máquina, não usou o cinto, pulou a etapa do procedimento, e a apuração registra esse ato como a origem do evento. A pirâmide de Heinrich e Bird já mostrava que para cada lesão grave existem cerca de 29 lesões leves e 300 quase-acidentes na base, sinais que descrevem um sistema doente muito antes do ato final.

O que a maioria dos relatórios não registra é que o comportamento da ponta é sintoma, não raiz. Em 100 Objeções de Segurança (Araujo), o argumento central é que parar no comportamento inseguro trata a manifestação e mantém viva a doença nos processos, nos sistemas e na liderança. O ato inseguro quase sempre foi tornado provável por pressão de prazo, por procedimento impraticável ou por uma categoria de fator contribuinte que ninguém mapeou.

Na prática, o teste é simples e desconfortável. Se a ação corretiva final cabe inteira dentro da figura do operador, sem tocar projeto, manutenção ou supervisão, a RCA parou na causa imediata. Em mais de 250 projetos de transformação cultural acompanhados pela Andreza Araujo, o relatório que culpa o indivíduo costuma ser o mais rápido de fechar e o menos eficaz para evitar a repetição.

A distorção seguinte explica como esse atalho se disfarça de ação corretiva legítima.

3. Distorção 2: aceitar treinamento e advertência como ação final

A segunda distorção encerra a RCA na ação que recai sobre o operador, normalmente reciclagem de treinamento, advertência ou reforço de procedimento. Essas medidas dão a sensação de resposta porque são baratas e imediatas, mas não removem a falha latente que produziu o evento. Treinar de novo quem já sabia o procedimento é tratar memória, quando o problema estava na barreira física, no dimensionamento da equipe ou na decisão de manter um equipamento sem o intertravamento previsto na NR-12.

O recorte que muda na prática é distinguir ação que corrige a pessoa de ação que corrige o sistema. A OSHA publicou orientação alertando que investigações que terminam em retraining e disciplina ignoram as causas sistêmicas e por isso falham em prevenir a recorrência. Como Andreza Araujo defende em A Ilusão da Conformidade, cumprir a norma e estar seguro são posições distintas, e fechar o relatório com uma advertência cumpre o protocolo sem mudar nada estrutural.

Para o gestor de SST, a verificação é direta. Conte, nos últimos 12 meses, quantas ações corretivas de acidentes graves foram engenharia, mudança de processo ou redesenho de barreira, e quantas foram treinamento ou advertência. Quando a balança pende para a pessoa, a operação está investindo em sensação de controle e não em redução de risco.

O terceiro desvio aprofunda o problema, porque sequer pergunta por que as barreiras existentes não seguraram o evento.

4. Distorção 3: não perguntar por que as barreiras falharam

A terceira distorção mapeia o ato do operador, mas não interroga as barreiras que deveriam ter impedido o dano. Toda tarefa crítica deveria ter camadas de proteção, e o acidente acontece quando todas falham ao mesmo tempo, no alinhamento que James Reason chamou de queijo suíço. Uma RCA que não lista cada barreira prevista e pergunta por que ela estava ausente, degradada ou contornada deixa de fora a parte mais acionável da apuração.

Diferente do que a literatura de conformidade sugere, a falha latente raramente aparece no momento do acidente. Ela foi instalada antes, quando alguém decidiu adiar a manutenção do sensor, aceitar a Permissão de Trabalho preenchida em 90 segundos, ou operar com dois turnos a menos. Em 25+ anos liderando EHS em multinacionais, Andreza Araujo observa que a barreira que falha no dia do acidente costuma estar quebrada há semanas, com sinais visíveis nos registros de evidências físicas e dados digitais que ninguém cruzou.

O método aqui é mapear a linha de barreiras antes de discutir comportamento. Para cada controle previsto, a investigação pergunta se ele existia, se estava funcional, se estava sendo usado e por que não conteve o evento. Esse caminho é o que separa a apuração que aprende da apuração que apenas aceita o erro humano como ponto final.

A quarta distorção é a mais política, porque define até onde a investigação tem permissão de chegar.

5. Distorção 4: investigar só até onde a hierarquia permite

A quarta distorção interrompe a RCA no exato ponto em que ela começaria a apontar para decisões gerenciais, de orçamento ou de projeto. A investigação desce com firmeza até o operador e o supervisor de turno, então perde força quando o próximo elo é a diretoria que cortou o efetivo ou aprovou a planta com layout inseguro. Essa parada não é técnica, é organizacional, e nenhum método de RCA a corrige sozinho.

O que sustenta essa distorção é o viés de proteção da hierarquia, somado ao viés retrospectivo que faz a decisão gerencial parecer razoável depois do fato. Em Sorte ou Capacidade, Andreza Araujo descreve que não se trata de assumir risco, e sim de administrá-lo com método, o que inclui investigar as decisões de cima com o mesmo rigor aplicado às ações de baixo. Investigação que só pune a ponta ensina a operação inteira a esconder problema, porque todos entendem rápido onde a apuração costuma parar.

Para destravar, a RCA precisa de patrocínio explícito do nível mais alto e de um facilitador com mandato para seguir a cadeia causal até onde os dados levarem, inclusive até a sala da diretoria. Sem esse mandato, o relatório vira documento defensivo, e a falha latente permanece protegida pela posição de quem a criou.

Mapeadas as quatro distorções, falta o instrumento prático para medir a profundidade real da sua apuração.

6. Como auditar a profundidade da sua RCA

Auditar a profundidade da RCA significa medir se as ações corretivas tocam o sistema ou apenas o indivíduo. Pegue os últimos 5 relatórios de acidente grave ou de SIF e rode esta verificação curta, que cabe num turno do gestor de SST e dispensa software especializado. O objetivo é separar a apuração que aprende da que apenas encerra o caso.

• Conte quantas ações corretivas finais recaem sobre a pessoa (treinar, advertir) e quantas mudam projeto, barreira ou processo; a proporção saudável pende para o sistema.
• Verifique se cada relatório lista as barreiras previstas para a tarefa e explica por que cada uma falhou, em vez de citar apenas o ato inseguro.
• Procure pelo menos uma decisão gerencial, de orçamento ou de manutenção na cadeia causal; a ausência total dela em casos graves é sinal de RCA travada na hierarquia.
• Cheque se a investigação cruzou os quase-acidentes anteriores do mesmo equipamento ou tarefa, já que a base da pirâmide quase sempre avisou antes.
• Confirme que a pergunta condutora foi por que, e não quem, porque a troca dessas duas palavras muda toda a qualidade da apuração.

Quando a auditoria encontra cinco relatórios terminando em treinamento e advertência, o sinal mais provável não é azar repetido, é uma RCA desenhada para parar no operador. Esse padrão é o que a investigação madura precisa quebrar antes de comprar qualquer ferramenta nova.

7. RCA declarada vs RCA estrutural

A diferença entre a RCA que a empresa declara e a que ela de fato executa aparece quando se compara o método dimensão a dimensão. A RCA estrutural não é mais cara, é mais corajosa, porque aceita olhar para decisões que a versão declarada protege. A tabela abaixo resume os cinco pontos em que as duas se separam na prática.

A coluna da direita é o que transforma investigação em prevenção. Sem ela, a empresa coleciona relatórios que descrevem fatalidades sem nunca tocar a engenharia que as produziu.

Cada acidente grave fechado com advertência ao operador deixa a falha latente intacta e disponível para o próximo alinhamento de barreiras, enquanto a operação acredita que o caso foi resolvido.

8. Conclusão

A análise de causa raiz que termina em erro humano não é apenas incompleta, é perigosa, porque devolve à operação a sensação de controle sem remover o risco que matou. Trocar a pergunta quem pela pergunta por que, mapear as barreiras que falharam e investigar a cadeia até as decisões gerenciais é o que separa a RCA que aprende da RCA que apenas encerra o caso. Para um diagnóstico estruturado da sua apuração de acidentes, a consultoria de Andreza Araujo conduz a revisão dos relatórios e capacita os investigadores na metodologia descrita em Sorte ou Capacidade.

Quando a análise de causa raiz começa a parar no operador, a composição do grupo investigador passa a ser parte do controle. Um comitê de investigação com mandato, independência e voz do trabalho real reduz a chance de conclusão defensiva.