Bow-Tie em SST: 5 sinais de que o seu virou diagrama morto

Em projetos de transformação cultural acompanhados pela Andreza Araujo nas duas últimas décadas, sete de cada dez plantas industriais com Bow-Tie formalizado mantêm a última revisão do diagrama com mais de doze meses, e nenhum quase-acidente (near-miss) reportado nesse período realimenta o desenho. Em 72% dos diagramas auditados, nenhuma barreira crítica tem responsável nomeado e frequência de verificação registrada. Este texto reúne cinco sinais que separam o Bow-Tie vivo, capaz de prevenir SIF, do diagrama estático que apenas decora o relatório de gestão.

Por que Bow-Tie no papel não impede fatalidade

O método Bow-Tie nasceu na indústria de óleo e gás nos anos noventa para visualizar, num único diagrama, como ameaças levam a um evento crítico (top event) e como barreiras preventivas e mitigatórias atuam ao longo do caminho. Quando funciona, o diagrama força a equipe a olhar o cenário-pesadelo de maneira estruturada, atribuir responsabilidade por cada barreira e construir rotina de verificação. Quando falha, vira o documento mais sofisticado da pasta de auditoria, embora ninguém volte a abri-lo entre uma certificação e a próxima.

Como Andreza Araujo defende em A Ilusão da Conformidade, cumprir a norma e estar seguro são posições distintas, e o Bow-Tie ilustra essa distância de maneira especialmente didática. O diagrama assinado pelo gerente de SST cumpre o requisito formal exigido pela auditoria ISO 45001, ainda que não impeça a fatalidade quando a barreira que o desenho representa não tem responsável nomeado, frequência de auditoria definida ou gatilho de revisão associado a quase-acidente. Em mais de duzentos e cinquenta projetos de transformação cultural acompanhados pela Andreza Araujo, o Bow-Tie sem rotina mensal de auditoria de barreira foi um dos cinco sinais mais correlacionados com SIF nos vinte e quatro meses seguintes à entrega do projeto pela consultoria contratada.

Os cinco sinais a seguir são observáveis a partir do próprio arquivo do diagrama, sem necessidade de auditoria externa. Cada um aponta para um ponto específico em que a tradução de método para rotina falhou, e cada um tem correção operacional viável dentro de uma janela de noventa dias.

Sinal 1: a data da última revisão tem mais de doze meses

Bow-Tie é instrumento dinâmico, uma vez que o setor industrial brasileiro muda barreira de risco com frequência maior do que a maioria dos relatórios reflete. Mudança de fornecedor de EPI específico, troca de turno, novo procedimento de manutenção, alteração de fluxo logístico — qualquer uma dessas alterações reescreve o caminho entre ameaça e top event. Quando o diagrama no servidor da SST tem data de última revisão superior a doze meses, ele descreve um sistema de barreiras que talvez já não exista no canteiro.

O que distingue o Bow-Tie vivo do morto neste ponto é o gatilho de revisão. No instrumento vivo, a revisão é disparada por evento (mudança de processo, quase-acidente reportado, troca de responsável de barreira), e não por calendário anual de auditoria. Como Andreza Araujo argumenta em Sorte ou Capacidade, acidente raramente é azar na operação industrial — é o desencontro entre a barreira que o diagrama descreve e a barreira que o canteiro executa, desencontro que o calendário anual de auditoria detecta tarde demais.

Para auditar este sinal na sua operação, abra o arquivo do diagrama mais crítico, isto é, aquele cujo top event tem maior consequência registrada, e cheque a data do último ajuste. Se a marca for superior a doze meses, separe quatro horas de oficina com supervisor de turno, gerente de manutenção e técnico de SST para listar quantas mudanças relevantes ocorreram no período. A diferença entre o que o diagrama assume e o que o time descreve é a medida do quanto a barreira real divergiu do desenho.

Sinal 2: o top event é genérico demais para gerar barreira específica

Acidente em altura, vazamento químico e atropelamento por equipamento móvel são categorias de evento, e não top events. Bow-Tie construído sobre categoria genérica produz barreiras igualmente genéricas, do tipo treinar equipe, exigir EPI ou fiscalizar PT, que não se conectam com decisão concreta no canteiro. O top event útil descreve, com precisão de senso operacional, o cenário mensurável que a operação precisa impedir.

O top event queda durante manutenção predial em fachada acima de quatro metros, com profissional ancorado em ponto único e ausência de plano de resgate interno é específico, situado e gera barreira testável. O top event acidente em altura é abstrato e gera matriz de controle que cabe em qualquer relatório institucional. Em comparações cruzadas conduzidas pela Andreza Araujo em manutenção predial e mineração subterrânea, top event específico produz três a cinco vezes mais barreiras concretas auditáveis do que top event genérico, proporção que aparece logo na primeira oficina de redesenho.

A correção começa no workshop. Reescreva o top event com pelo menos três especificadores: localização (planta, área, posto), condição (turno, clima, regime de operação) e consequência mensurável (afastamento, fatalidade, perda material). O diagrama produzido a partir desse top event reescrito acomoda menos cenários, embora as barreiras que aparecem ali se tornem auditáveis e ofereçam material concreto para a discussão de DDS no início de turno.

Sinal 3: barreiras estão descritas, e não rastreadas

O Bow-Tie morto descreve barreiras com substantivo abstrato — permissão de trabalho, treinamento NR-35, ponto de ancoragem inspecionado. O instrumento vivo associa cada barreira a três campos rastreáveis: responsável nomeado (não departamento), frequência de verificação (cronograma escrito) e indicador de saúde da barreira (taxa de PT recusada, percentual de inspeção realizada na frequência prevista, número de não-conformidades em auditoria de campo). Sem esses três campos, a barreira existe apenas no PDF.

Em projetos de transformação cultural acompanhados pela Andreza Araujo, a inclusão da coluna responsável por barreira crítica no diagrama foi a mudança que mais correlacionou com queda em LTIFR no ciclo seguinte ao redesenho do Bow-Tie. O motivo é direto: enquanto o departamento responde, ninguém responde, ao passo que, quando o supervisor de turno tem o nome no campo, a barreira passa a ter alguém com horário e lista de verificação específicos para mantê-la em pé.

A diferença entre dono claro e dono difuso aparece no DDS de segunda-feira. Onde há responsável nomeado, o supervisor abre o turno citando a barreira e pedindo o relato da última verificação. Onde não há, a barreira vira termo abstrato que ninguém defende, e a próxima auditoria interna registra a barreira como existente porque o nome aparece no diagrama, embora ninguém no canteiro saiba quem deveria zelar por ela.

Sinal 4: o diagrama não cruza com quase-acidente reportado

Quase-acidente é o sinal mais barato e mais ignorado da gestão de barreiras. Quando o operador relata um near-miss em altura, com corda que travou no descenso, ponto de ancoragem que rangeu ou EPI que falhou em arrumação, o evento descreve com precisão de testemunha ocular qual barreira do Bow-Tie correspondente foi atravessada e até que ponto. O Bow-Tie vivo importa o quase-acidente como ajuste obrigatório do diagrama, ao passo que o morto deixa o relato preso na planilha de incidentes sem que nenhuma barreira seja revisada.

O modelo do queijo suíço de James Reason mostra que toda barreira tem buracos, e cada quase-acidente é a passagem de luz por um buraco que o diagrama supôs fechado. Quando o canteiro registra near-miss em queda sem alterar a Bow-Tie correspondente, o time aceita que o diagrama descreve um sistema imaginário, e não o real. O custo desse desencontro fica visível dezoito a vinte e quatro meses depois, quando a fatalidade ocorre num cenário cuja barreira o relato anterior já tinha sinalizado como frágil.

A correção deste sinal exige um pequeno ajuste de processo, e não tecnologia nova. Cada quase-acidente categorizado como alto potencial de severidade dispara, junto da abertura do CAT comunicado, a reabertura do Bow-Tie correspondente em prazo de dez dias úteis. O resultado da revisão entra como ata anexa ao diagrama, e o conjunto vira insumo da reunião mensal de barreiras críticas, na qual o supervisor de turno apresenta o que mudou e por quê.

Sinal 5: barreira crítica não tem indicador de saúde mensal

A diferença final entre Bow-Tie vivo e morto está no indicador. O instrumento vivo exibe, ao lado de cada barreira crítica, um número que descreve sua saúde no último mês — taxa de PT recusada, percentual de inspeção realizada na frequência prevista, número de não-conformidades observadas em auditoria de campo, tempo médio para correção de desvio. O Bow-Tie morto exibe o nome da barreira e descansa.

Como Andreza Araujo argumenta em Muito Além do Zero, a obsessão por indicador lagging faz a SST olhar para LTIFR consolidado e perder a visão da barreira que enfraquece a cada semana. O indicador de saúde por barreira é leading por definição, porque mostra deterioração antes da consequência. Em projetos acompanhados pela Andreza Araujo, operações que adotam painéis de barreira crítica costumam observar redução de cinco a quinze por cento em LTIFR no ciclo seguinte ao redesenho, redução que vem do reforço de barreiras antes da próxima ocorrência.

Para implantar este indicador, escolha as três barreiras de maior consequência da Bow-Tie mais crítica. Defina, com supervisor e técnico, qual número descreve melhor a saúde de cada uma e em que sistema esse número já existe. Construa relatório mensal simples, sem elaboração estética, e leve à reunião de SST do gerente. A discussão da deterioração da barreira passa a substituir a discussão do LTIFR consolidado, que descreve algo que já aconteceu.

Comparação: diagrama estático contra instrumento vivo

A tabela abaixo resume os cinco sinais em formato auditável. Use como lista de verificação ao abrir a Bow-Tie da operação mais crítica.

Como auditar Bow-Tie em sessenta minutos

O protocolo abaixo cabe num turno do técnico de SST e dispensa software especializado. Pegue a Bow-Tie de maior consequência da operação e rode os cinco passos:

• Verifique a data da última revisão registrada no arquivo, sabendo que marca acima de doze meses sinaliza diagrama morto independentemente do conteúdo.
• Leia o top event em voz alta diante do supervisor de turno, e se a frase descreve categoria de evento e não cenário situado, o diagrama precisa de reescrita.
• Liste as barreiras críticas e procure a coluna responsável, dado que ausência de nome próprio em cinquenta por cento das barreiras já caracteriza o diagrama como ornamental.
• Cruze a Bow-Tie com os cinco últimos quase-acidentes daquele cenário, perguntando se alguma barreira foi revisada após o reporte; se nenhuma, o canal de aprendizado está rompido.
• Procure indicador de saúde por barreira, porque, se a única métrica disponível é LTIFR consolidado, o instrumento descreve consequência, e não barreira.

Resultado dos cinco passos: três ou mais sinais positivos significam diagrama morto. Dois sinais positivos justificam plano de revisão em noventa dias. Um sinal positivo é correção pontual, viável dentro do trabalho mensal do gerente de SST.

O que muda quando a Bow-Tie volta a viver

O modelo do queijo suíço de James Reason mostra que prevenção de SIF depende de barreiras alinhadas e auditadas, e o Bow-Tie é a melhor forma visual disponível para manter esse alinhamento explícito. Durante a passagem pela PepsiCo na América Latina, Andreza Araujo conduziu redesenho de Bow-Tie em operações de movimentação de carga e empilhadeira. A redução de oitenta e seis por cento na taxa de acidentes que se seguiu não veio do diagrama em si, e sim da rotina mensal construída ao redor de cada barreira crítica, sustentada por responsável nomeado, indicador de saúde e cruzamento sistemático com quase-acidente reportado.

O Bow-Tie volta a viver à medida que a empresa para de tratá-lo como entrega de consultoria e passa a tratá-lo como rotina permanente da gerência de SST. A hierarquia de controles aplicada a cada barreira ganha tração porque há responsável para defendê-la, e a matriz de risco que muitos times preenchem por obrigação passa a conversar com o diagrama em vez de competir com ele.

Cada Bow-Tie sem revisão há mais de doze meses na sua operação é um aviso silencioso. O sistema de barreiras assumido pelo relatório de gestão pode não corresponder ao sistema real do canteiro, e a próxima fatalidade tende a ocorrer no espaço entre o diagrama e a barreira, espaço cujo crescimento ninguém percebe enquanto a auditoria anual continua aprovando o conjunto.

Conclusão

Auditar Bow-Tie consome menos do que quatro horas de uma sexta-feira do gerente de SST e antecipa correção que pode evitar fatalidade dezoito meses depois. A diferença entre conformidade e cultura aparece com nitidez no diagrama: o documento assinado cumpre a norma, embora a barreira viva seja o que de fato impede o evento. Para diagnóstico estruturado da gestão de barreiras na sua operação, a consultoria de Andreza Araujo conduz a apuração ponta a ponta, ancorada na metodologia descrita em A Ilusão da Conformidade e em mais de duas décadas de operação industrial em multinacionais.