Como aplicar bow-tie reverso em SIF potencial em 8 etapas

Bow-tie reverso é uma forma de investigar SIF potencial começando pelo evento que quase gerou morte ou lesão grave e voltando para as barreiras que deveriam ter impedido, controlado ou mitigado o dano. Ele ajuda o comitê a sair da pergunta "quem errou" e entrar na pergunta que muda o sistema, porque a decisão relevante passa a ser quais defesas falharam antes, durante e depois da perda de controle.

Este guia F2 foi escrito para técnicos de SST, engenheiros de SSMA, supervisores e comitês de investigação que precisam transformar quase-acidente grave em aprendizado prático. O método funciona melhor quando aplicado nas primeiras 72 horas, desde que haja evidência preservada, linha do tempo preliminar e liderança disposta a testar hipóteses rivais antes de fechar causa.

Como Andreza Araujo defende em Sorte ou Capacidade, acidente não é azar isolado, mas construção sistêmica. Em 25+ anos liderando EHS em multinacionais e acompanhando projetos em 47 países, Andreza Araujo observa que o SIF potencial costuma avisar antes; o problema é que a empresa trata o aviso como susto superado, embora ele funcione como ensaio geral da fatalidade.

O que você precisa antes de começar

Antes de aplicar bow-tie reverso, reúna uma linha do tempo preliminar, evidências preservadas, descrição do SIF potencial, lista de barreiras previstas e pessoas que conhecem o trabalho real. Sem esse pacote mínimo, o diagrama vira desenho bonito, porque a equipe debate opinião em vez de testar o que estava disponível, ausente, degradado ou ignorado no momento do quase-dano.

A OSHA orienta que investigações eficazes foquem causas-raiz e correções, não culpa. Use essa lógica como regra de abertura, já que o diagrama só melhora o RCA quando nasce de fatos. Se o comitê ainda não tem hora zero, cena registrada e separação entre fato e hipótese, volte ao artigo sobre linha do tempo de acidente antes de desenhar o bow-tie.

Etapa 1: defina o evento central sem suavizar o dano possível

A primeira etapa é escrever o evento central como perda de controle com potencial real de SIF, e não como ocorrência leve que terminou bem. A frase precisa conter energia, alvo exposto e consequência plausível, uma vez que o comitê precisa enxergar o dano possível antes de avaliar o dano ocorrido. Em vez de registrar "queda de objeto sem lesão", escreva "peça de 18 kg caiu de 4 metros a 60 cm do trabalhador".

Essa precisão muda a investigação porque obriga a equipe a enxergar gravidade potencial, não apenas dano ocorrido. Use 1 frase, 1 verbo e 1 consequência plausível. Quando o evento central é fraco, todo o diagrama fica fraco; quando ele mostra massa, altura, velocidade, energia elétrica, produto químico ou aprisionamento, a liderança entende por que o quase-acidente merece tratamento de SIF.

Etapa 2: reconstrua ameaças à esquerda do evento

A segunda etapa identifica as ameaças que poderiam empurrar a operação para o evento central. Ameaça não é causa final; é condição ou decisão anterior que aumenta a chance da perda de controle. Liste de 3 a 7 ameaças, conforme a evidência disponível, como pressão de prazo, manutenção incompleta, ferramenta inadequada, interface com contratada, mudança de turno ou condição climática.

A HSE descreve o HSG245 como guia passo a passo para entender o que deu errado e evitar riscos repetidos. No bow-tie reverso, essa disciplina impede que a equipe salte do evento para treinamento genérico, porque as ameaças precisam nascer da cena e da linha do tempo. O artigo sobre evidências perecíveis no acidente ajuda a capturar ameaças que somem cedo, como posição de equipamento, ruído anormal e configuração de painel.

Etapa 3: localize barreiras preventivas que deveriam ter segurado a ameaça

A terceira etapa pergunta quais barreiras preventivas deveriam ter impedido cada ameaça de chegar ao evento central. Barreira preventiva é controle antes da perda de controle: projeto, proteção física, LOTO, PT, APR, inspeção, intertravamento, autorização, supervisão ou gatilho de parada. Para cada ameaça, registre pelo menos 2 barreiras esperadas, embora a equipe ainda não saiba se elas funcionaram.

O ponto crítico é separar barreira existente de barreira eficaz. Uma APR assinada, um procedimento de 12 páginas ou um treinamento vencido há 18 meses não seguram risco por existir no arquivo. Como Andreza Araujo argumenta em A Ilusão da Conformidade, cumprir o papel e estar seguro são posições diferentes. No diagrama, onde cada controle precisa ser testável, marque cada barreira como íntegra, degradada, ausente ou desconhecida.

Etapa 4: mapeie consequências à direita sem esperar a lesão acontecer

A quarta etapa descreve as consequências que poderiam ter ocorrido se a energia tivesse alcançado a pessoa, o ambiente ou o processo. O SIF potencial exige imaginar o dano plausível com sobriedade técnica, porque a ausência de lesão não prova ausência de gravidade. Liste de 2 a 5 consequências, como amputação, queda fatal, queimadura grave, intoxicação, soterramento, esmagamento ou múltiplas vítimas.

A ILO publicou guia de investigação para apoiar identificação de fatores causais e ações preventivas em acidentes, doenças ocupacionais e eventos indesejados que poderiam causar lesão. Essa formulação sustenta o tratamento de quase-acidente grave como investigação séria. O dano não precisa ter acontecido para a barreira precisar ser revista.

Etapa 5: teste barreiras mitigatórias depois da falha

A quinta etapa olha para o lado direito do bow-tie e verifica o que reduziria o dano depois que o evento central ocorresse. Barreira mitigatória não evita a perda de controle; ela limita consequência. Exemplos incluem plano de resgate, botão de emergência, contenção secundária, atendimento inicial, isolamento, rota de fuga, brigada e comunicação externa.

Use uma escala simples de 0 a 3: 0 para inexistente, 1 para existente no papel, 2 para testada em simulado e 3 para comprovada em campo nos últimos 90 dias. Essa nota evita o autoengano de chamar plano de barreira, uma vez que plano sem teste não protege trabalhador. Se o quase-acidente envolveu altura, energia perigosa ou espaço confinado, compare a resposta com comitê de investigação bem definido para não confundir socorro, apuração e retomada.

Etapa 6: teste hipóteses rivais antes de fechar causa

A sexta etapa exige que cada explicação enfrente pelo menos 2 hipóteses rivais. Se a primeira leitura aponta comportamento inseguro, teste também falha de barreira física, pressão de produção, instrução ambígua, supervis��o ausente e desenho ruim da tarefa. O bow-tie reverso perde valor quando apenas ilustra a conclusão que a liderança já queria, porque deixa de investigar e passa a decorar uma tese.

A OSHA e a EPA recomendam análise de causa-raiz após incidente ou quase-acidente, com foco em falhas corrigíveis do sistema. Essa recomendação conversa com a posição de Andreza Araujo em Sorte ou Capacidade: parar no último ato humano trata sintoma, não construção. Para aprofundar, use o roteiro de investigação de comportamento inseguro.

Etapa 7: converta cada buraco de barreira em ação verificável

A sétima etapa transforma o diagrama em plano de ação com dono, prazo e evidência. Cada barreira ausente ou degradada precisa gerar uma ação que mude a condição real de controle. Não basta escrever "reciclar treinamento" se o problema foi intertravamento burlado, autorização automática, ferramenta improvisada ou ausência de gatilho formal de parada, já que a ação precisa corrigir a barreira que falhou.

Use 3 horizontes: contenção em 24 horas, correção estrutural em 30 dias e verifica��ão de eficácia em 60 ou 90 dias. Durante a passagem pela PepsiCo LatAm, onde a taxa de acidentes caiu 86%, Andreza Araujo consolidou uma lição útil para SIF: dado só muda cultura quando altera rotina de decisão. Ação sem verificação volta a ser esperança organizada.

Etapa 8: apresente o bow-tie reverso como decisão de liderança

A oitava etapa leva o bow-tie reverso para a liderança como mapa de decisão, não como anexo técnico. O gerente precisa ver quais barreiras críticas falharam, quais estão sem dono, qual prazo protege a próxima tarefa e qual risco residual permanece aceito. A apresentação deve caber em 1 página e fechar com decisão explícita, porque liderança precisa escolher recurso, prazo e tolerância ao risco.

A ISO define a ISO 45001 como norma que especifica requisitos para sistema de gestão de SST e apoia organizações a gerenciar riscos e melhorar desempenho. Essa lógica aparece quando o bow-tie reverso deixa de ser ferramenta do SSMA e vira conversa de gestão. Andreza Araujo defende em Diagnóstico de Cultura de Segurança que medir é o primeiro passo; decidir a partir da medição é o segundo.

Matriz rápida para auditar o bow-tie reverso

A matriz de auditoria verifica se o bow-tie reverso ficou útil o bastante para sustentar RCA, plano de ação e conversa executiva. Antes de publicar o relatório, confira se o diagrama tem evento central específico, ameaças reais, barreiras preventivas, consequências plausíveis, barreiras mitigatórias, hipóteses rivais e ações verificáveis, ao passo que qualquer campo vazio deve virar lacuna assumida.

Quando a matriz aponta lacunas, não maquie o relatório. Uma lacuna explícita é mais honesta do que um RCA fechado com certeza falsa. Em SIF potencial, o custo de admitir que uma barreira é desconhecida é menor do que descobrir, no próximo evento, que ela nunca existiu.

Conclusão

Aplicar bow-tie reverso em SIF potencial força a empresa a olhar barreiras antes de olhar culpados. O ganho não está no desenho, mas na disciplina de transformar quase-acidente grave em mapa de ameaças, controles, consequências, hipóteses e decisões. Quando a liderança usa esse mapa em até 72 horas, o evento deixa de ser susto e vira prevenção, desde que as ações mudem barreiras reais.

Cada SIF potencial tratado como ocorrência sem lesão ensina a organização a esperar o dano antes de corrigir a barreira.

Para aprofundar essa abordagem, os livros Sorte ou Capacidade e Um Dia Para Não Esquecer sustentam a posição editorial da Andreza Araujo: acidente é construção, e construção pode ser interrompida quando a empresa aprende com os sinais certos. A Escola da Segurança e a consultoria da Andreza Araujo ajudam equipes que precisam transformar RCA em barreira viva, cuja eficácia precisa aparecer no campo, não em arquivo.