Bow-Tie reverso em SIF: 6 perguntas de RCA

Uma investigação de SIF pode produzir trinta ações corretivas e, ainda assim, não explicar qual barreira deveria ter interrompido a energia perigosa antes do dano. Este artigo mostra como usar Bow-Tie reverso em RCA para reconstruir o caminho do evento a partir da consequência, sem reduzir a análise ao erro do operador.

O texto é para gerente de SSMA, investigador de acidente e líder operacional que precisam sair do relatório bonito e chegar a decisões de campo. Como Andreza Araujo defende em Sorte ou Capacidade, acidente grave raramente nasce de azar isolado; ele nasce quando sinais fracos, barreiras frágeis e decisões normalizadas se alinham ao longo do tempo.

Por que investigar de trás para frente muda o RCA

O Bow-Tie tradicional costuma começar pelo perigo, passa pelo evento topo e organiza barreiras preventivas e mitigatórias. Na investigação de um SIF, porém, a equipe já conhece a consequência. O trabalho passa a ser voltar do dano para a barreira que não funcionou, perguntando onde a energia atravessou controles que pareciam suficientes no papel.

Esse recorte evita um erro frequente do RCA: escolher uma causa administrativamente confortável antes de entender o mecanismo técnico do acidente. O artigo sobre relatório de investigação de acidente trata desse risco no formulário; aqui, o foco é o raciocínio visual que obriga a equipe a separar ameaça, barreira, degradação e consequência.

1. Qual energia perigosa chegou ao trabalhador?

A primeira pergunta não é quem errou. É qual energia chegou ao trabalhador, em que intensidade e por qual caminho físico. Em SIFs, a energia pode vir de queda, eletricidade, pressão, movimento mecânico, carga suspensa, atmosfera perigosa, veículo, calor, produto químico ou confinamento. Se a investigação não nomeia a energia, qualquer plano de ação vira comportamento genérico.

O modelo do queijo suíço de James Reason ajuda porque descreve acidente como atravessamento de camadas, não como ato isolado. Em 25+ anos liderando EHS em multinacionais, Andreza Araujo observa que investigações fracas pulam essa pergunta e entram direto em treinamento, ainda que o treinamento não tenha relação com a energia que causou o dano.

2. Qual barreira preventiva deveria ter parado a ameaça?

A segunda pergunta localiza a barreira anterior ao evento topo. Se a ameaça era energização inesperada, a barreira poderia ser LOTO, teste de ausência de tensão ou bloqueio físico. Se a ameaça era queda, poderia ser ancoragem, linha de vida, guarda-corpo ou PT com inspeção real. Se a ameaça era atropelamento, poderia ser segregação física entre pedestre e empilhadeira.

O ponto crítico é diferenciar barreira de recomendação. Procedimento, DDS e placa de advertência raramente seguram energia sozinhos quando a exposição é material. O guia sobre Bow-Tie que virou diagrama morto mostra o mesmo problema antes do acidente; no Bow-Tie reverso, a pergunta aparece depois do dano e com custo humano já materializado.

3. A barreira existia, estava degradada ou nunca foi barreira?

A terceira pergunta separa três cenários que costumam ser tratados como iguais. A barreira podia existir e falhar por degradação, podia existir no documento e não existir em campo, ou podia nunca ter sido uma barreira real porque dependia apenas de atenção contínua do operador. Cada cenário exige ação diferente.

Em A Ilusão da Conformidade, Andreza Araujo argumenta que cumprir requisito formal não equivale a controlar risco. Essa distinção é decisiva no Bow-Tie reverso porque muitas investigações encontram procedimento assinado, treinamento válido e auditoria aprovada, embora nenhum desses itens tenha interrompido a energia perigosa no dia do acidente.

4. Qual sinal precursor foi normalizado antes do SIF?

A quarta pergunta traz a investigação para antes do dia do acidente. Quase-acidentes, pequenas falhas, desvios repetidos, PT recusada que depois foi liberada, manutenção adiada e operadores que improvisaram para manter produção são sinais precursores. Quando esses sinais aparecem em semanas anteriores, o SIF deixa de parecer surpresa e passa a revelar tolerância operacional.

A Pirâmide de Heinrich aplicada a SIF não deve ser lida como matemática rígida, mas ainda ajuda a procurar eventos precursores que o sistema ignorou. Andreza Araujo reforça esse raciocínio em Um Dia Para Não Esquecer, obra na qual fatalidades são tratadas como eventos que exigem memória organizacional, não apenas encerramento documental.

5. Quem era dono da barreira no turno real?

A quinta pergunta tira a investigação do organograma genérico. Toda barreira crítica precisa ter dono operacional no turno real, com autoridade, tempo e recurso para agir. Quando o relatório diz que a empresa deveria verificar uma barreira, mas não aponta quem poderia interromper a tarefa às duas da manhã, a ação corretiva nasce sem perna.

Essa pergunta costuma incomodar porque revela que algumas barreiras foram atribuídas a funções que não estavam presentes no momento crítico. O engenheiro assinou o procedimento, o gerente aprovou o plano e o técnico de SST treinou a equipe, embora o único profissional diante da ameaça fosse o supervisor de turno, cuja autoridade para parar a operação talvez nunca tenha sido testada.

6. A ação corretiva muda a barreira ou apenas muda o texto?

A sexta pergunta é o teste final do plano de ação. Se a recomendação principal é retreinar, comunicar, reforçar procedimento ou orientar comportamento, a investigação precisa provar por que a barreira física, técnica ou administrativa continua adequada. Sem essa prova, a ação corrige linguagem e preserva a exposição.

O artigo sobre 5 Porquês em SIF mostra como a cadeia causal pode encolher até caber no operador. O Bow-Tie reverso funciona como antídoto parcial, porque obriga a equipe a desenhar qual controle mudou, qual dono passou a responder por ele, qual indicador vai mostrar degradação e qual prazo comprovará eficácia.

Como montar o Bow-Tie reverso em 60 minutos

Uma oficina curta resolve a primeira leitura quando o time tem disciplina. Comece pela consequência, escreva o evento topo em linguagem técnica e liste as ameaças plausíveis que permitiram a chegada da energia ao trabalhador. Depois, para cada ameaça, registre a barreira preventiva esperada, a condição real encontrada e a evidência disponível no campo.

• Descreva a consequência em termos de dano humano e energia perigosa.
• Defina o evento topo sem culpabilizar pessoa, cargo ou área.
• Liste três a cinco ameaças que poderiam ter levado ao evento topo.
• Associe cada ameaça à barreira preventiva que deveria ter funcionado.
• Registre evidência de campo, documento, entrevista e fotografia para cada barreira.
• Transforme apenas barreiras alteradas em ações corretivas rastreáveis.

O cuidado está em não transformar a oficina em desenho estético. O produto útil é uma lista curta de barreiras críticas que precisam de alteração, teste ou dono novo, e não uma página colorida que todos assinam sem mudar a exposição.

O que não entra no Bow-Tie reverso

Três elementos costumam contaminar a análise. O primeiro é opinião sem evidência, que aparece como frase do tipo o operador sabia do risco. O segundo é causa moral, na qual pressa, descuido ou excesso de confiança entram como explicação final. O terceiro é ação corretiva simbólica, cujo efeito principal é mostrar resposta rápida para auditoria e não reduzir a energia perigosa.

Como Andreza Araujo escreve em Sorte ou Capacidade, a investigação madura troca julgamento por mecanismo. Isso não elimina responsabilidade individual quando há violação deliberada e comprovada, mas impede que a empresa use essa exceção para encerrar análise sistêmica. O Bow-Tie reverso deve proteger a qualidade da pergunta, não blindar qualquer pessoa de consequência.

Indicadores que mostram se a investigação funcionou

O RCA não termina quando o relatório é aprovado. Termina quando a barreira alterada sustenta desempenho melhor no campo. Por isso, a investigação precisa produzir indicadores leading específicos: percentual de barreiras críticas testadas no prazo, tempo entre desvio e correção, número de quase-acidentes de alto potencial reportados após a comunicação do caso e taxa de ações que mudaram engenharia, isolamento, intertravamento ou autoridade de parada.

A subnotificação em SST entra nessa leitura porque queda de quase-acidente depois de SIF pode significar medo, e não melhora. Durante a passagem pela PepsiCo LatAm, onde a taxa de acidentes caiu 86%, Andreza Araujo consolidou uma convicção prática: indicador só vale quando muda conversa de liderança e alocação de recurso.

Conclusão: Bow-Tie reverso em SIF não é mais uma ferramenta visual para anexar ao relatório. É um modo disciplinado de perguntar por que a energia perigosa atravessou barreiras que a organização dizia controlar. Quando a equipe responde a essa pergunta com evidência, dono e indicador, o RCA deixa de procurar encerramento e passa a produzir prevenção.

Toda investigação que termina com treinamento obrigatório e sem alteração de barreira crítica está dizendo, em linguagem administrativa, que o sistema aceita reencontrar a mesma energia perigosa no próximo turno.