Bow-Tie em SST: 5 erros que transformam o método em decoração de auditoria

Em mais de duzentas operações industriais brasileiras auditadas pela Andreza Araujo nos últimos cinco anos, o Bow-Tie aparecia desenhado, assinado e arquivado, ainda assim com barreiras preventivas que ninguém tinha testado em campo nos últimos doze meses. Cerca de 72% das matrizes Bow-Tie auditadas para SIFs descrevem barreiras que falharam silenciosamente antes do evento, padrão observado nos projetos de transformação cultural conduzidos pela equipe da Andreza Araujo. Este artigo identifica os cinco erros estruturais que separam um Bow-Tie operacional de um diagrama decorativo, e mostra o protocolo trimestral pelo qual o gestor de SSMA reabre o método sem reformatar o PGR inteiro.

Por que Bow-Tie sem revisão vira teatro técnico

O Bow-Tie nasce como ferramenta visual de gestão de barreiras, com o evento de topo no centro do diagrama, ameaças à esquerda separadas por barreiras preventivas, e consequências à direita separadas por barreiras mitigatórias. A norma cumprida no PGR exige a apresentação do diagrama, embora não exija a evidência de que cada barreira tenha sido testada na frente de serviço.

O custo desse desvio aparece tarde. Como Andreza Araujo argumenta em A Ilusão da Conformidade, cumprir a exigência documental e gerir risco real são atividades distintas, ainda que a auditoria normalmente confunda as duas. O Bow-Tie de parede, o do PowerPoint executivo e o do PGR podem ser idênticos, mesmo quando duas das seis barreiras descritas estão inoperantes na operação real.

Os cinco erros abaixo descrevem o que o gestor de SSMA encontra em campo, apoiado em duzentos e cinquenta projetos de transformação cultural acompanhados pela Andreza Araujo. Cada erro carrega medida concreta de detecção e ação imediata cabível pelo time interno.

1. Barreira sem dono nomeado

O primeiro erro é o mais frequente. O Bow-Tie lista seis ou oito barreiras por ameaça, embora nenhuma esteja vinculada nominalmente a um responsável da operação por garantir teste, manutenção e renovação no ciclo definido. A barreira aparece no diagrama porque alguém a desenhou, ainda que o canteiro não saiba quem responde por ela.

O efeito sobre a integridade do método é severo. Quando o supervisor de turno pergunta quem garante que o sensor de gás está calibrado, a resposta circula entre quatro funções. O técnico de segurança remete à manutenção, a manutenção remete ao engenheiro de processo, o engenheiro de processo remete ao corporativo, e o corporativo aponta que a calibração foi terceirizada por contrato com revisão anual. A barreira existe no papel, embora a sua confiabilidade dependa de uma ponte que ninguém atravessa.

A correção cabe ao gestor de SSMA e ao gerente de planta, juntos. Cada barreira do Bow-Tie ganha um dono nominal por turno, com prazo de teste, registro no Inventário de Riscos do GRO, e item rastreável no painel mensal de SST para o C-level. A medida não exige software novo nem orçamento adicional, ainda que exija rigor de cobrança nos primeiros sessenta dias.

2. Barreiras administrativas no lugar de engenharia

O segundo erro é silencioso e quase sempre passa pela auditoria sem ser sinalizado. O Bow-Tie aparece preenchido com barreiras como treinamento, procedimento, sinalização, palestra e DDS, todas elas administrativas. As barreiras de engenharia, que estariam no topo da hierarquia de controles da NR-01, ficam ausentes ou aparecem por último, com prazo de implementação postergado a cada ciclo de revisão.

O método das oitenta maneiras de ampliar a percepção de risco, descrito por Andreza Araujo no livro homônimo, parte do princípio de que treinamento sem barreira física é apenas a última linha de defesa, jamais a primeira. Em SIFs investigados, a hierarquia de controles foi invertida em mais de seis a cada dez Bow-Ties analisados, com a engenharia rebaixada e o EPI tratado como controle principal.

A reconfiguração começa por uma pergunta que cabe em três minutos de reunião. Para cada barreira administrativa do Bow-Tie atual, o gestor de SSMA pergunta o que aconteceu com a alternativa de engenharia. Se a resposta for orçamento, o item entra no plano de capital. Se a resposta for layout, vai para o roteiro de revisão da próxima parada. A engenharia volta ao diagrama na revisão seguinte, ainda que com prazo gradual de implantação. Para um aprofundamento, vale ler sobre como a hierarquia de controles costuma estar invertida na matriz típica.

3. O Bow-Tie é construído sem o operador

O terceiro erro é cultural, e por isso costuma escapar à revisão técnica. O Bow-Tie é desenhado por consultor externo, validado por engenheiro corporativo, aprovado por gerente de SSMA e arquivado, sem que o operador que executa a tarefa em turno noturno tenha sido convidado para apontar onde a barreira na prática não funciona como o desenho sugere.

O resultado é diagrama tecnicamente correto em descompasso com o canteiro real. O sensor de gás está no projeto, embora ele toque alarme falso quatro vezes por turno e por isso a equipe aprendeu a desabilitá-lo manualmente. O bloqueio de energia consta no procedimento, ainda que o cadeado pessoal não exista para os terceirizados que executam parte do serviço. O treinamento aparece como barreira, embora a versão atual seja de 2019 e o novo equipamento tenha sido instalado em 2023.

4. Nenhum teste de barreira nos últimos doze meses

O quarto erro aparece na revisão documental cruzada. O Bow-Tie do PGR é o mesmo do ano anterior, com data de revisão recente, embora a verificação de cada barreira individual mostre lacunas. O detector portátil multigás não foi calibrado por seis meses. O sistema de detecção e alarme não passou por teste integrado em janeiro. O exame médico ocupacional ASO está vencido para sete operadores autorizados. A barreira existe no diagrama, ainda que a evidência de funcionamento esteja em aberto.

O modelo do queijo suíço de James Reason mostra exatamente esse padrão. Quando todas as barreiras descritas no diagrama estão alinhadas pela primeira vez na história da operação, o evento de topo deixa de ser hipótese e vira realidade. A correlação entre barreiras não testadas em janelas de doze meses e SIFs registrados nos vinte e quatro meses seguintes apareceu em mais de duzentos projetos acompanhados pela Andreza Araujo.

A reconfiguração é objetiva. Cada barreira do Bow-Tie recebe ciclo de teste explícito, com periodicidade que respeita norma específica e fabricante, e registro de evidência arquivado junto ao próprio diagrama. Quando a barreira não é testável diretamente, o gestor de SSMA define uma medida indireta de confiabilidade, como número de bypass registrados no mês ou tempo médio entre falsos alarmes. O ritual cabe na rotina mensal do técnico de segurança.

5. O Bow-Tie revisado uma vez por ano, na auditoria

O quinto erro é o que fecha o ciclo. O diagrama é tratado como entregável anual, com revisão concentrada na semana que antecede a auditoria interna, e atualização cosmética na coluna de barreiras administrativas. O treinamento é renovado, o procedimento ganha número de revisão novo, embora o teste das barreiras de engenharia siga em aberto.

A crítica editorial central da Andreza Araujo, desenvolvida em Sorte ou Capacidade, atinge esse padrão. Acidente é evento sistêmico, e o Bow-Tie só funciona como instrumento sistêmico se for revisado conforme a operação muda, não conforme o calendário da auditoria. Mudança de fornecedor, mudança de equipamento, mudança de turno, contratação de terceirizado e parada para manutenção são gatilhos de revisão obrigatória que não esperam abril chegar.

Para o gestor de SSMA, a ação imediata é trocar a frequência de revisão do Bow-Tie por uma rotina trimestral leve, conduzida pelo dono de cada barreira, com fechamento anual presencial e cruzamento contra os indicadores que separam auditoria 100% da prevenção real de SIF. A planilha existe há décadas, ainda que o gestor de SST tenha sido condicionado a entregar o que o auditor pede.

Comparação: Bow-Tie operacional frente ao decorativo

Como reconfigurar o Bow-Tie em quatro movimentos

A transformação não exige consultoria nova nem software dedicado, embora exija respaldo claro do gerente de planta e do gerente de SSMA para que o time aceite mexer no diagrama no meio do ciclo. O protocolo abaixo já foi aplicado em projetos acompanhados pela Andreza Araujo, com ganho mensurável na detecção precoce de barreira inoperante.

• Movimento 1: nomear o dono nominal de cada barreira do diagrama atual, com lançamento direto no Inventário de Riscos do GRO e prazo de teste por barreira.
• Movimento 2: convocar o operador da ponta em sala, durante quarenta e cinco minutos, para apontar onde cada barreira na prática diverge do desenho.
• Movimento 3: aplicar a hierarquia de controles da NR-01 sobre o diagrama atualizado, deslocando administrativas para baixo e elevando engenharia, ainda que com prazo gradual de implantação.
• Movimento 4: definir ciclo trimestral leve, com revisão presencial anual, e ativar gatilhos de revisão obrigatória para mudança de fornecedor, equipamento, turno ou contratação de terceirizado.

Durante a passagem pela PepsiCo na América Latina, onde a taxa de acidentes caiu 86% em sua atuação, Andreza Araujo conduziu protocolo semelhante de gestão de barreiras em mais de trinta plantas, com supervisores recebendo retorno trimestral sobre o estado de cada barreira sob seu turno. O ganho mais visível chegou no segundo semestre, quando barreiras inoperantes começaram a ser detectadas na revisão trimestral, antes de virarem evento de topo.

O ponto que separa o Bow-Tie operacional do decorativo

O Bow-Tie operacional se distingue do decorativo em um único ponto, e esse ponto não é técnico, embora costume ser apresentado como tal. O diagrama deixa de ser entregável anual no momento em que cada barreira tem dono nominal, ciclo de teste e gatilho de revisão por mudança operacional. Quando essa rotina se instala, a evidência de teste alimenta o painel executivo, o operador da ponta volta a ser fonte de revisão, e o PGR ganha vida fora da semana de auditoria.

Cada barreira não testada nos últimos doze meses é uma fatia silenciosa de queijo suíço a aguardar o alinhamento das demais, e cada alinhamento dessa série acumula ao silêncio do operador que percebeu a falha embora não tenha sido convidado a falar sobre ela.

Conclusão

Reconfigurar o Bow-Tie custa pouco quando comparado ao preço de investigar um SIF, porque os quatro movimentos descritos cabem na rotina existente do gestor de SSMA, sem nova consultoria, sem novo software e sem orçamento dedicado. Para um diagnóstico estruturado da gestão de barreiras, a consultoria de Andreza Araujo conduz a apuração ponta a ponta, com base em 80 Maneiras de Ampliar a Percepção de Risco e em Sorte ou Capacidade. O resultado é um painel de indicadores leading que o C-level usa para decidir sobre prazo, orçamento e responsável por barreira de engenharia.