Bow-Tie vs LOPA vs APR: qual usar em risco crítico

Quando uma operação trata APR, Bow-Tie e LOPA como ferramentas equivalentes, ela corre o risco de escolher o método mais familiar, não o mais adequado ao risco crítico. A OIT reporta 2,93 milhões de mortes anuais relacionadas ao trabalho e 395 milhões de lesões ocupacionais não fatais; por isso, este comparativo separa 3 métodos por profundidade, evidência de barreira e decisão executiva.

A pergunta central para gerente de SSMA, dono do risco e C-level é simples: qual método ajuda a decidir se a tarefa pode continuar, se a barreira precisa de reforço ou se o risco residual exige investimento? Como Andreza Araujo defende em Sorte ou Capacidade, não se trata de assumir riscos, mas de administrá-los com método, porque sorte não sustenta uma operação de alta energia no médio prazo.

Critérios de avaliação para escolher o método

Bow-Tie, LOPA e APR devem ser comparados por 6 critérios práticos: pergunta que respondem, profundidade técnica, evidência de barreira, maturidade necessária, tempo de aplicação e decisão que entregam. Em risco crítico, o método certo não é o que gera mais páginas; é o que força a liderança a enxergar cenário, causa, consequência, independência de camadas e gatilho de não saída antes que o SIF apareça.

A ISO 31000 especifica diretrizes para identificar, analisar, avaliar, tratar, monitorar e comunicar riscos. Essa sequência ajuda a organizar a escolha: APR identifica e organiza perigos da tarefa; Bow-Tie estrutura causas, consequências e barreiras; LOPA testa se as camadas independentes reduzem o risco a um nível aceitável. Misturar os 3 sem critério cria uma pilha de documentos, não uma decisão.

Em mais de 250 projetos de transformação cultural acompanhados por Andreza Araujo, o problema raramente é falta de formulário. O problema é usar um método raso para risco profundo ou um método sofisticado para uma tarefa simples, porque ambos geram falsa segurança. O artigo sobre camadas de proteção independentes aprofunda o ponto em que a comparação deixa de ser conceitual e vira verificação de campo.

APR: boa para tarefa, fraca para decisão executiva

APR funciona melhor quando a pergunta é operacional: quais perigos existem nesta tarefa, quais controles serão usados agora e quem precisa verificar antes da execução? Em uma intervenção de manutenção, uma APR feita em 20 a 40 minutos pode orientar equipe, supervisor e contratada, embora não deva ser usada sozinha para validar risco crítico complexo, porque ela raramente quantifica independência entre barreiras.

A força da APR é sua proximidade com o trabalho real. Ela cabe no pré-serviço, conversa com a equipe, revela mudanças de escopo e pode acionar uma análise pré-tarefa mais disciplinada quando o plano não bate com o campo. A fraqueza aparece quando a organização usa a APR como prova de que o risco residual foi aceito, embora ninguém tenha testado se as barreiras são independentes, suficientes e disponíveis.

Como Andreza Araujo escreve em A Ilusão da Conformidade, cumprir a forma não prova segurança quando o sistema real opera por atalhos aceitos. A posição dela no acervo de gestão de riscos é direta: risco identificado se elimina ou controla; não fazer nada não é opção. Uma APR que apenas lista perigo e EPI, sem gatilho de parada, vira conformidade visual.

Use APR quando a tarefa é variável, de curta duração e precisa de alinhamento de campo. Não use APR como substituta de Bow-Tie ou LOPA quando há explosão, energia perigosa, queda fatal, espaço confinado, içamento crítico, exposição química aguda ou outro cenário em que 1 barreira fraca pode abrir caminho para fatalidade.

Bow-Tie: melhor para enxergar barreiras e consequências

Bow-Tie funciona melhor quando a pergunta é estrutural: quais causas levam ao evento indesejado, quais consequências podem ocorrer e quais barreiras preventivas ou mitigatórias precisam estar vivas? Em 1 diagrama, o método mostra o caminho entre ameaça, evento topo e dano, permitindo discutir prevenção e resposta sem perder a visão do sistema.

A HSE lista estudos de perigo como HAZID, HAZOP, FMEA e análise Bow-Tie ao lado de QRA e LOPA em serviços de validação de produto e processo. A leitura prática é que Bow-Tie pertence ao conjunto de métodos usados quando a organização precisa validar risco além da checklist de rotina. Ele dá linguagem comum para engenharia, operação, manutenção e SSMA.

O Bow-Tie é especialmente útil quando a empresa precisa explicar um risco crítico para liderança não técnica. Ele evidencia que uma barreira preventiva evita o evento, enquanto uma barreira mitigatória reduz consequência depois que a falha ocorreu. Esse recorte conversa com o artigo sobre barreira mitigatória, porque muitas organizações chamam de prevenção aquilo que só atua depois da perda de controle.

A limitação do Bow-Tie aparece quando o diagrama fica bonito, mas não prova independência nem eficácia. Se 4 barreiras dependem da mesma pessoa, do mesmo sensor, da mesma inspeção semanal ou do mesmo supervisor, talvez a operação tenha apenas 1 camada real repetida 4 vezes. O Bow-Tie mostra a arquitetura; ele não substitui a validação quantitativa quando o risco exige essa profundidade.

LOPA: melhor quando independência e suficiência importam

LOPA funciona melhor quando a pergunta é analítica: as camadas independentes de proteção reduzem o risco a um nível aceitável? O método exige cenário definido, frequência iniciadora, consequência, camadas independentes e critérios de redução, o que o torna mais adequado para risco crítico de processo, energia perigosa, incêndio, explosão e cenários de alta severidade.

LOPA não é uma APR com mais colunas. A organização precisa discutir se cada camada é independente, específica, auditável e disponível quando demandada. Se uma válvula, um alarme e uma resposta humana dependem do mesmo operador em uma sala sob pressão, a independência pode ser menor do que o painel sugere. O artigo sobre ALARP no PGR ajuda a conectar essa discussão com tolerabilidade de risco residual.

Em 25+ anos liderando EHS em multinacionais, Andreza Araujo observa que risco crítico raramente melhora quando a liderança aceita uma camada como verdadeira sem evidência de campo. A tese de Sorte ou Capacidade se aplica aqui: administrar risco significa separar crença de capacidade real. LOPA força essa separação porque pede números, premissas e independência.

A limitação é custo de aplicação. Uma LOPA mal conduzida consome 4 a 8 horas de especialistas e pode gerar precisão falsa se as premissas forem frágeis. Use quando a consequência justifica a profundidade. Para tarefas simples, ela pesa demais; para SIF plausível com múltiplas camadas, ela pode ser a diferença entre aceitar risco por hábito e decidir com responsabilidade.

Matriz de decisão: notas por contexto de risco

A matriz de decisão deve comparar os 3 métodos em critérios que mudam a decisão, não em preferência pessoal da equipe de SSMA. Use escala de 1 a 5 para avaliar adequação, onde 5 significa melhor ajuste ao critério. A matriz abaixo não substitui julgamento técnico; ela torna visível por que APR, Bow-Tie e LOPA têm papéis diferentes no PGR.

A OSHA define indicadores leading como medidas proativas e preventivas que revelam problemas antes de lesões, doenças e incidentes. Essa definição combina com a matriz porque o método escolhido deve gerar indicador de barreira, não apenas evidência de reunião. Se a escolha não muda o que será medido, ela ainda não chegou à gestão.

O resultado prático é direto. APR vence em velocidade e aplicação no turno. Bow-Tie vence em comunicação de barreiras e leitura sistêmica. LOPA vence quando independência, suficiência e investimento precisam ser defendidos diante de liderança, auditoria ou engenharia.

Recomendação por contexto operacional

A recomendação por contexto evita o erro de padronizar 1 método para todos os riscos. Use APR para liberar tarefa variável, Bow-Tie para desenhar e comunicar barreiras de risco crítico, e LOPA para validar suficiência de camadas quando a consequência é severa. O método deve acompanhar a pergunta de decisão, não a preferência histórica do técnico ou do consultor.

Em manutenção de rotina com escopo claro, APR bem feita costuma bastar. Em tarefa não rotineira com energia perigosa e interface entre 3 áreas, APR deve ser combinada com Bow-Tie simplificado. Em processo com incêndio, explosão, exposição química aguda ou intertravamento crítico, LOPA pode ser necessária para provar que as camadas realmente reduzem risco.

O artigo sobre gatilho de não saída mostra a decisão que precisa nascer da análise. Se o método termina sem definir quando parar, escalar ou mudar o plano, a empresa apenas documentou risco. Gestão de riscos madura transforma análise em critério de ação.

Para o C-level, a pergunta final não é qual método o SSMA prefere. A pergunta é qual método entrega segurança suficiente para autorizar orçamento, aceitar risco residual ou interromper uma operação. Quando essa pergunta entra na pauta, a discussão deixa de ser técnica isolada e vira governança de risco.

Como combinar APR, Bow-Tie e LOPA sem burocracia

A combinação mais robusta segue uma sequência simples: APR captura o trabalho real, Bow-Tie organiza cenário e barreiras, e LOPA valida camadas quando a severidade exige prova de suficiência. Em uma planta madura, os 3 métodos não competem; eles se encadeiam conforme a complexidade aumenta e conforme a decisão sai do turno para a gerência ou diretoria.

A HSE orienta que a gestão de riscos envolve identificar perigos, avaliar riscos, controlar, registrar achados e revisar controles. Essa sequência é um bom filtro contra burocracia. Se a APR identificou perigo recorrente, o Bow-Tie pode estruturar barreiras. Se o Bow-Tie revelou dependência excessiva de uma única camada, a LOPA entra para testar suficiência.

Crie uma régua de escalada com 3 gatilhos. Primeiro, qualquer tarefa crítica com mudança de escopo exige APR revisada antes da execução. Segundo, qualquer cenário com potencial de fatalidade exige Bow-Tie ou mapa equivalente de barreiras. Terceiro, qualquer risco crítico com barreiras múltiplas e investimento relevante exige avaliação de independência, na qual LOPA pode ser a melhor ferramenta.

Esse encadeamento reduz papel, porque evita usar LOPA onde APR resolve e evita usar APR onde LOPA é necessária. Também protege a liderança de uma armadilha comum: aceitar risco porque o documento existe, embora o método escolhido nunca tenha respondido à pergunta correta.

Conclusão

Bow-Tie, LOPA e APR não são versões concorrentes da mesma análise. APR decide a tarefa, Bow-Tie desenha o sistema de barreiras e LOPA testa se camadas independentes reduzem risco crítico a um nível defensável. Quando a organização entende essa diferença, o PGR deixa de ser inventário estático e passa a orientar decisão operacional, técnica e executiva.

Cada risco crítico tratado apenas com o método mais rápido deixa uma dúvida aberta: a empresa controlou o cenário ou apenas registrou que alguém olhou para ele por alguns minutos?

Para aplicar essa régua, comece por 5 cenários de SIF, escolha 1 método por pergunta de decisão e leve ao painel executivo apenas o que muda autorização, orçamento, parada ou revisão de barreira. Um diagnóstico conduzido por Andreza Araujo pode acelerar essa leitura quando a empresa já tem documentos, mas ainda não sabe quais barreiras realmente sustentam a vida.