Bow-Tie em manutenção predial: 7 decisões para transformar barreiras em controle verificável

Uma tarefa de manutenção predial pode parecer simples e ainda reunir 7 barreiras frágeis, mal posicionadas ou impossíveis de verificar. Este guia mostra como aplicar o raciocínio Bow-Tie antes da liberação, transformando perigo, evento-topo, consequências e controles em decisões observáveis no campo.

O que você precisa antes de começar

Antes de desenhar o Bow-Tie, reúna o escopo da tarefa, as mudanças recentes, as pessoas expostas e as barreiras que realmente podem ser verificadas. Em manutenção predial, a qualidade da análise depende menos do software e mais de 4 informações concretas: o que será feito, em qual condição, por quem e com quais interfaces. A abordagem evita tratar a Permissão de Trabalho como assinatura automática e cria uma base para decidir se a atividade pode começar, deve ser redesenhada ou precisa ser interrompida.

Comece com uma equipe de pelo menos 3 papéis: quem executa, quem conhece o risco técnico e quem tem autoridade para liberar ou parar a tarefa. Registre a condição normal, a condição degradada e qualquer alteração dos últimos 30 dias, como troca de terceirizada, mudança de rota, equipamento provisório ou pressão de prazo.

Como Andreza Araujo defende em Sorte ou Capacidade, não se trata de assumir riscos, mas de administrá-los. O primeiro resultado da análise deve ser uma decisão operacional: liberar, adiar, redesenhar ou escalar.

Passo 1: Delimite o perigo e o evento-topo

O primeiro passo é separar o perigo do evento-topo: perigo é a fonte com potencial de dano; evento-topo é a perda de controle que inicia a sequência indesejada. Em uma manutenção de fachada, por exemplo, a energia potencial da altura é o perigo, enquanto a queda do trabalhador é o evento-topo. Essa distinção reduz frases vagas, melhora a escolha dos controles e impede que o time trate o dano final como se fosse a causa.

Escreva o perigo em uma frase verificável e o evento-topo em outra. “Trabalho em altura” descreve uma condição; “perda de sustentação durante o acesso à fachada” descreve o evento que precisa ser prevenido. Essa precisão permite que cada barreira responda a uma pergunta: o que impede a perda de controle?

Uma regra prática é testar 2 versões do evento-topo com o executor. Se a pessoa não consegue imaginar como o controle falharia, o enunciado ainda está abstrato. A manutenção predial exige atenção especial a interfaces com energia elétrica, circulação de moradores, içamento, água, fogo e acesso de terceiros.

Use a comparação entre HAZOP, Bow-Tie e FMEA para confirmar se o método escolhido responde à pergunta da tarefa, em vez de aplicar a ferramenta por hábito.

Passo 2: Mapeie as causas sem transformar a análise em lista

O segundo passo é mapear as causas que podem levar ao evento-topo e agrupá-las por mecanismo, não apenas enumerá-las. Um Bow-Tie útil mostra como falhas de equipamento, condição humana, ambiente, planejamento e interface podem produzir a mesma perda de controle. Para uma tarefa de 5 horas, uma lista de 20 perigos não substitui 5 caminhos causais bem explicados, cada um conectado a uma barreira preventiva verificável.

Organize as causas em pelo menos 5 famílias: equipamento inadequado, competência insuficiente, condição ambiental, mudança não avaliada e coordenação deficiente. A pergunta central é “o que teria de acontecer para perdermos o controle?”. Depois, confirme a causa no local, porque a planta, a cobertura ou o subsolo podem divergir do desenho e do procedimento.

Evite usar “falha humana” como ponto final. A expressão encerra a investigação cedo demais e não explica se houve seleção ruim, instrução confusa, supervisão ausente, fadiga, ferramenta incompatível ou conflito de prioridades. Em 24+ anos de EHS executivo, a experiência da Andreza reforça que método sem percepção de risco não protege a tarefa.

Quando houver dúvida sobre causalidade, compare o raciocínio com o uso de Five Whys e Ishikawa no PGR, sem misturar os diagramas nem repetir a mesma causa em 3 categorias diferentes.

Passo 3: Escolha barreiras preventivas que mudam a condição

A terceira decisão é escolher barreiras preventivas que alterem a condição de trabalho antes do evento-topo, em vez de apenas pedir atenção. Uma barreira forte elimina a exposição, separa pessoas e energia, ou impede fisicamente a progressão da falha. Na prática, priorize 3 perguntas: o controle existe, está disponível e funciona sob a condição real? Se qualquer resposta for “não”, ele deve ser tratado como lacuna, não como proteção instalada.

Comece pela eliminação ou substituição: prefira executar no solo, usar componente pré-montado ou alterar a sequência. Depois examine controles de engenharia, como isolamento físico, guarda, intertravamento, linha de vida dimensionada, bloqueio de energia e segregação de circulação. Só então complete a camada administrativa com procedimento, autorização, sinalização e supervisão.

A Andreza é direta no lastro editorial: EPI é linha de defesa secundária; ele reduz o dano, mas não evita sozinho o acidente. Por isso, conte quantas das 7 barreiras escolhidas dependem exclusivamente de comportamento. Se forem 4 ou mais, a análise está confortável demais com o risco residual sob exceção.

A revisão da hierarquia de controles ajuda a testar se a solução proposta realmente subiu na hierarquia ou apenas ganhou uma nova etiqueta.

Passo 4: Defina barreiras mitigatórias e consequências

A quarta decisão é reconhecer que prevenção não é garantia absoluta e desenhar barreiras mitigatórias para limitar o dano depois da perda de controle. Essas barreiras respondem ao que acontece após o evento-topo: retenção, detecção, alarme, resgate, primeiros socorros, isolamento secundário e comunicação. O objetivo não é justificar o início da atividade, mas evitar que uma falha se transforme em fatalidade, múltiplas vítimas ou interrupção prolongada.

Liste 3 consequências plausíveis, do dano à pessoa ao impacto operacional. Em seguida, associe a cada uma uma resposta com dono, tempo máximo e critério de sucesso. Um plano de resgate sem equipe disponível em 10 minutos é um documento, não uma barreira. Um alarme sem teste no início do turno é uma intenção, não uma detecção.

Em manutenção predial, verifique ainda a exposição de terceiros. A queda de um objeto, a liberação de fumaça ou a energização inesperada pode atingir moradores, visitantes e equipes que nem participaram da análise. A mitigação precisa considerar esses públicos, o horário da execução e a rota de evacuação.

Registre também o ponto em que a tarefa deve ser suspensa. Se a consequência possível inclui fatalidade, múltiplas pessoas expostas ou perda de contenção, a autoridade de parada precisa estar nominalmente definida antes do começo.

Passo 5: Transforme cada barreira em teste de campo

A quinta decisão é converter cada barreira em um teste observável, com evidência, responsável e frequência. “Treinar a equipe” não é teste; “cada trabalhador demonstra o bloqueio e o supervisor confere o dispositivo antes da energização” é teste. Para 7 barreiras, produza 7 critérios de verificação que possam ser respondidos com “sim”, “não” ou “não se aplica”, sem depender de interpretação posterior.

Use quatro campos mínimos: estado esperado, evidência, responsável e momento da checagem. Um isolamento pode exigir fotografia da posição, etiqueta legível, teste de ausência de energia e assinatura de quem executou. Um controle de acesso pode exigir barreira física, rota alternativa e conferência a cada 60 minutos.

A ISO especifica, na ISO 45001, a necessidade de controlar riscos e avaliar o desempenho do sistema de SST; o Bow-Tie torna essa intenção auditável ao ligar controle, evidência e resultado. O ganho não está no desenho bonito, mas na possibilidade de descobrir a falha antes da exposição.

Se uma barreira não possui evidência possível, reescreva-a. “Equipe consciente” não é mensurável; “briefing de 15 minutos com pergunta de retorno e registro dos 3 riscos críticos” é.

Passo 6: Faça a gestão da mudança antes de liberar

A sexta decisão é interromper a análise original quando uma mudança altera o perigo, a exposição, a barreira ou a consequência. Trocar a equipe, o equipamento, o horário, o acesso ou a sequência pode invalidar controles que pareciam suficientes. A liberação só deve continuar depois de revisar o Bow-Tie, comunicar a alteração e repetir os testes críticos. Gestão de mudança não é formulário adicional; é confirmação de que o controle ainda corresponde à tarefa real.

Crie um gatilho simples: qualquer mudança em 1 dos 4 elementos — pessoas, equipamento, ambiente ou método — exige uma revisão curta. Compare o cenário planejado com o cenário encontrado, registre a diferença e decida se a barreira precisa ser reforçada, substituída ou retirada.

A OIT recomenda que a prevenção seja integrada à organização do trabalho e que trabalhadores participem das decisões que afetam sua segurança. Na prática, chame o executor para validar a mudança, porque é ele quem percebe se a sequência descrita cabe nos 30 minutos disponíveis ou se o acesso real exige outro recurso.

Não aceite “a equipe já conhece o local” como justificativa. Familiaridade pode ocultar deterioração, improviso e normalização. Uma mudança pequena no prédio pode criar uma exposição nova em poucos minutos.

Passo 7: Conduza a liberação, o acompanhamento e o encerramento

A sétima decisão é definir como a tarefa será liberada, acompanhada e encerrada, porque uma barreira pode funcionar às 8h e falhar às 14h. A liberação deve confirmar os controles críticos; o acompanhamento deve procurar sinais de degradação; o encerramento deve devolver a área em condição segura. Para uma atividade de 1 turno, estabeleça pelo menos 3 pontos formais: antes do início, após qualquer mudança e no fechamento.

Na abertura, confirme pessoas, energia, isolamento, ferramentas, comunicação e área segregada. Durante a execução, observe alterações de clima, circulação, ruído, pressa, fadiga e interferência de outras equipes. Se 1 condição crítica mudar, pare a tarefa e reavalie; não tente “compensar” com uma advertência verbal.

A OSHA orienta, em sua hierarquia de controles, que soluções mais eficazes atuam na fonte e não dependem somente do trabalhador. Use essa lógica também no encerramento: retire energia, remova resíduos, restitua proteções e confirme que a condição final não criou um perigo para o próximo turno.

Depois, registre 2 aprendizados: qual barreira foi mais difícil de verificar e qual controle evitou retrabalho. O objetivo é melhorar a próxima decisão, não produzir uma coleção de formulários.

Bow-Tie no papel versus Bow-Tie no campo

A diferença entre um Bow-Tie útil e um Bow-Tie decorativo aparece na verificabilidade das barreiras. No papel, a análise pode ter 12 causas, 7 controles e 3 consequências; no campo, cada item precisa apontar para uma condição observável, um responsável e uma decisão. A tabela abaixo ajuda a identificar quando a documentação descreve segurança sem demonstrar que a operação está protegida.

Use a matriz como uma auditoria rápida de 5 minutos. Se a equipe não consegue apontar a evidência de uma barreira em menos de 30 segundos, o controle provavelmente precisa ser redesenhado, simplificado ou levado para uma camada mais forte.

Conclusão: libere apenas o risco que você consegue controlar

Bow-Tie em manutenção predial funciona quando transforma análise em decisão: delimitar o evento-topo, mapear causas, escolher barreiras fortes, preparar mitigação, testar evidências, revisar mudanças e encerrar com segurança. A técnica não elimina todos os riscos, mas revela quais controles estão ausentes, frágeis ou apenas declarados. O próximo passo é aplicar o roteiro em uma tarefa real de 1 turno e registrar as 3 barreiras que mais exigiram intervenção.

Em projetos de cultura e gestão de riscos, Andreza Araujo reforça que risco identificado precisa ser eliminado ou controlado; não fazer nada não é uma opção. Se sua operação precisa transformar Bow-Tie, PGR e Permissão de Trabalho em decisões consistentes, conheça os materiais da Andreza Araujo e escolha a próxima tarefa para revisar.

Se houver exposição crítica sem barreira testada, interrompa a liberação e escale a decisão antes do início da atividade.

Para aprofundar o controle de energia perigosa, consulte os controles de bloqueio e etiquetagem.