Como impedir que a exceção vire regra no PGR: 7 controles de escalada

Uma exceção operacional só é segura quando tem motivo documentado, dono definido, prazo de validade e condição objetiva de encerramento. Este guia mostra como escalar uma exceção no PGR em 7 decisões, sem transformar urgência de produção em autorização permanente para trabalhar com barreiras degradadas.

Uma equipe pode cumprir 100% do formulário e ainda liberar uma tarefa cujo controle crítico está indisponível. A diferença entre administrar e assumir o risco aparece no momento em que alguém pergunta quem decide, com quais evidências e até quando a exceção pode existir.

1. Defina a exceção antes de discutir a solução

Uma exceção no PGR é um desvio temporário entre o controle previsto e a condição real da tarefa, e não qualquer dificuldade de execução. Para classificá-la, registre em até 3 linhas o controle ausente ou degradado, a atividade afetada, as pessoas expostas e o motivo pelo qual o trabalho foi considerado urgente. Se a condição não puder ser descrita de forma observável, a equipe ainda não tem um problema pronto para escalar; tem apenas uma percepção que precisa ser convertida em evidência.

Comece pelo fato: proteção removida, ventilação indisponível, equipe incompleta, ferramenta incompatível, isolamento que não foi confirmado ou mudança de escopo. Evite frases como “o risco aumentou” sem dizer qual energia, qual exposição e qual barreira mudaram.

A HSE recomenda que a avaliação de risco identifique perigos, pessoas expostas e controles necessários. Na prática, a primeira decisão do supervisor é separar a exceção real de um pedido genérico para “dar um jeito”.

Como Andreza Araujo defende em Sorte ou Capacidade, não se trata de assumir riscos, mas de administrá-los com método. A pergunta útil não é “podemos continuar?”, e sim “qual condição precisa ser restabelecida para que continuar seja uma decisão controlada?”.

2. Separe urgência de criticidade

Urgência é o tempo disponível para decidir; criticidade é o potencial de dano caso uma barreira falhe. Uma manutenção que precisa começar em 30 minutos pode ser urgente, mas não se torna aceitável apenas porque o cronograma está pressionado. Classifique separadamente o prazo, a energia envolvida, a consequência plausível e a capacidade de detecção antes do dano. Se a exceção envolve queda, eletricidade, prensamento, atmosfera perigosa ou incêndio, a decisão deve subir de nível antes da liberação.

Use 4 perguntas rápidas: o que pode atingir alguém, quem está exposto, qual barreira deveria impedir o evento e quanto tempo existe para interromper a consequência. Esse filtro evita que “parar a produção” seja tratado como o pior resultado possível.

Um risco de baixa consequência pode ser resolvido pelo responsável da área com registro simples. Um risco de consequência grave, mesmo com probabilidade incerta, precisa de validação técnica e autoridade compatível. A matriz não substitui essa conversa; ela organiza o que já foi observado.

Em 25+ anos de EHS executivo, Andreza Araujo identifica que o risco crítico não deve ser assumido sozinho. No campo, isso significa que o supervisor não deve transformar sua experiência pessoal em autorização informal para toda a equipe.

3. Nomeie o dono da decisão

O dono da decisão é a pessoa que tem autoridade para aceitar, rejeitar ou suspender a exceção e que responderá pela verificação dos controles combinados. O SESMT pode fornecer análise técnica, mas não deve ser usado como substituto da liderança operacional. Registre 1 responsável nominal, 1 aprovador compatível com a criticidade e 1 profissional autorizado a interromper a tarefa sem pedir nova permissão.

Uma boa ficha de escalada contém: descrição da exceção, risco residual, controles temporários, prazo, responsável, aprovador e gatilho de parada. Se qualquer campo estiver vazio, a exceção ainda não está madura para decisão.

O ISO 31000 descreve a gestão de riscos como um processo que apoia decisões e considera contexto, responsabilidades e tratamento. A aplicação prática é simples: quem registra o risco precisa saber quem pode mudar o plano e quem pode dizer não.

Andreza Araujo resume essa lógica ao afirmar que risco identificado deve ser eliminado ou controlado; não fazer nada não é uma opção. Portanto, “aguardar orientação” não pode ser o controle final quando a equipe permanece exposta.

4. Construa controles temporários verificáveis

Controle temporário é uma medida adicional, específica e verificável que reduz a exposição enquanto o controle definitivo não está disponível. Ele precisa responder a 3 perguntas: o que será feito, quem fará e como será confirmado antes do início. Um DDS genérico, um aviso verbal ou a promessa de atenção não são controles suficientes para uma exceção de risco crítico.

Prefira camadas independentes: reduzir a quantidade de pessoas expostas, instalar uma barreira física provisória, alterar a sequência da tarefa, criar vigia dedicado, limitar energia, aumentar distância ou mudar o método. O objetivo é não depender de uma única pessoa lembrar do combinado sob pressão.

Para cada controle, defina evidência: foto da barreira, teste de ausência de energia, medição registrada, lista de presença, inspeção assinada ou simulação curta. Uma condição que não pode ser observada antes da liberação não deve ser tratada como controle concluído.

Se o controle temporário depende de EPI, registre também seleção, ajuste, validade, compatibilidade e supervisão. Como Andreza escreve em 100 Objeções de Segurança, o EPI é linha de defesa secundária; colocá-lo como primeira resposta inverte a hierarquia de controles.

5. Defina gatilhos de parada e escalada

Gatilho de parada é uma condição objetiva que encerra a autorização temporária sem depender de debate no momento da exposição. Defina pelo menos 4 gatilhos: mudança de escopo, perda de comunicação, falha do controle temporário e alteração ambiental ou operacional. Inclua também o responsável por interromper e o canal de escalada, para que a equipe saiba qual ação executar nos primeiros 60 segundos.

Exemplos de gatilho: leitura fora do limite, chuva ou vento acima do critério definido, ausência do vigia, mudança de equipe, alarme do equipamento, ferramenta danificada, indisponibilidade do resgate ou qualquer trabalhador declarar que o controle combinado não está presente.

O MTE mantém as Normas Regulamentadoras como referência oficial para requisitos de segurança e saúde no trabalho; consulte a fonte oficial das NRs quando a exceção tocar uma obrigação regulatória específica. A regra interna não pode reduzir o requisito mínimo aplicável.

O supervisor deve treinar a frase de parada antes do início: “controle ausente, tarefa suspensa”. A repetição cria uma resposta comum e evita que a pessoa precise negociar sua própria segurança diante da pressão.

6. Coloque prazo de validade na autorização

Toda exceção deve expirar em prazo definido, mesmo quando a tarefa parece curta. Use uma validade ligada à condição real: fim do turno, conclusão da etapa, troca de equipe ou no máximo 24 horas para uma autorização que ainda dependa de revisão. Sem prazo, o controle temporário vira procedimento informal e a organização passa a chamar de “temporário” algo que já se tornou rotina.

Registre o horário de início, o horário limite, a condição de renovação e a pessoa que precisa revalidar. Renovar não é carimbar novamente; é verificar se a causa da exceção permanece, se os controles continuam disponíveis e se a atividade ainda tem o mesmo escopo.

Uma revisão em 7 dias deve verificar se o controle definitivo foi comprado, projetado, instalado ou incorporado ao procedimento. Se a exceção atravessa 2 ciclos de revisão sem plano concluído, trate-a como falha de gestão e escale para a gerência responsável.

Na visão de Andreza Araujo, cultura não se decreta nem se implanta; cultiva-se com presença e constância. Uma rotina de exceções vencidas mostra que a organização está cultivando tolerância ao desvio, não capacidade de controle.

7. Feche a exceção com evidência e aprendizado

Fechar uma exceção significa demonstrar que o controle definitivo foi restabelecido ou que a tarefa foi cancelada, não apenas arquivar o formulário. Em até 30 dias, reúna a autorização, evidências dos controles, desvios ocorridos, decisões tomadas e ação definitiva. Compare o previsto com o executado em 5 perguntas: o risco foi descrito corretamente, o controle funcionou, alguém precisou improvisar, o prazo foi respeitado e a barreira definitiva foi incorporada?

Se houve parada, reporte ou alteração de método, preserve esses dados como informação de prevenção. Não transforme a revisão em caça ao culpado; investigue por que o sistema permitiu que o controle ficasse degradado e por que a exceção pareceu a opção mais fácil.

James Reason é uma referência para compreender acidentes organizacionais como resultado de falhas alinhadas em camadas, e não como um único ato isolado. O mesmo raciocínio vale para a exceção: o fechamento precisa corrigir projeto, manutenção, planejamento, competência ou decisão de liderança.

Uma exceção bem fechada produz pelo menos 1 mudança verificável no sistema: revisão de APR, atualização do PGR, compra de recurso, alteração de sequência, treinamento aplicado ao cenário ou reforço de autoridade de parada.

Comparação: exceção administrada versus risco normalizado

A diferença entre administrar uma exceção e normalizar o risco está na qualidade da decisão, não na existência de um formulário. Na exceção administrada, há motivo, dono, controles, prazo, gatilhos e evidência de fechamento. Na normalização, a equipe repete o desvio, reduz a linguagem do risco e passa a considerar a condição degradada como “o jeito que funciona”. A tabela abaixo permite testar os dois padrões em menos de 10 minutos.

Use a aceitação de risco crítico para aprofundar a responsabilidade decisória, consulte a matriz de escalada de risco quando precisar estruturar níveis de autoridade, e compare o tratamento de barreira degradada no PGR antes de liberar uma tarefa.

Conclusão: escalar cedo é controlar melhor

Escalar uma exceção cedo reduz a chance de que uma condição temporária se transforme em padrão operacional. O protocolo mínimo é registrar o desvio, separar urgência de criticidade, nomear o dono, instalar controles verificáveis, definir 4 gatilhos de parada, limitar a validade e fechar com evidência em até 30 dias. Se a liderança não consegue responder quem decide e quando a exceção termina, a tarefa ainda não está pronta para começar.

A gestão de riscos madura não promete uma operação sem desvios; ela impede que o desvio desapareça da conversa. Como Andreza Araujo defende em A Ilusão da Conformidade, a verdadeira medida do sistema aparece no que acontece quando ninguém está olhando. Se sua operação precisa transformar esse protocolo em rotina de campo, a equipe da Andreza Araujo pode apoiar o diagnóstico, o plano e a implementação.