Cultura de aprendizado em SST: 6 trocas que evitam SIF

Em ambientes industriais brasileiros que operam sob lógica punitiva, a taxa mensal de quase-acidente reportado raramente passa de cinco por cem trabalhadores, embora a pirâmide de Frank Bird preveja seiscentos eventos precursores para cada lesão grave registrada. Em 250+ projetos de transformação cultural acompanhados pela Andreza Araujo, ambientes maduros chegam a mais de cinquenta near-miss reportados por cem trabalhadores ao mês — dez vezes acima do que o canteiro punitivo enxerga. Este guia mostra que a virada de cultura de culpa para cultura de aprendizado não acontece com slogan corporativo, e detalha as seis trocas estruturais que separam a primeira posição da segunda no chão de fábrica.

Por que cultura de culpa não desaparece com slogan

A frase "a empresa precisa parar de culpar o operador" virou bandeira de DDS e cartaz de SIPAT, ainda que continue convivendo, no dia seguinte, com investigação cuja primeira pergunta é "quem fez errado". Esse paradoxo se sustenta porque a estrutura que produz a investigação não mudou: a pergunta inicial é a mesma, a política de tolerância continua punitiva, o KPI do gestor de área segue só a TRIR e a comunicação pós-incidente termina em "reciclagem de treinamento".

Como Andreza Araujo defende em A Ilusão da Conformidade, dizer que se aprende com erro e operar sob lógica punitiva são posições incompatíveis, e o canteiro percebe a diferença em poucas semanas. O modelo do queijo suíço de James Reason mostra que toda fatalidade combina falhas latentes do projeto, do procedimento e da supervisão com a falha ativa do operador na ponta, de forma que parar a investigação no operador equivale a remover a última camada da pilha sem tocar nas anteriores.

A consequência operacional aparece nos seis a doze meses seguintes. O mesmo padrão de SIF retorna porque as falhas latentes nunca foram tratadas, ao passo que o reporte de near-miss continua subnotificado, já que o trabalhador aprendeu que reportar próprio quase-acidente é assumir culpa pública. Sem reporte, a liderança opera às cegas, e cegueira em SST é o ingrediente principal de fatalidade evitável.

1. Pergunta inicial da investigação: de "quem errou" para "que falhas latentes permitiram"

A primeira troca é a mais visível e a mais barata: trocar a pergunta de abertura do relatório de investigação. Em vez de "identifique o agente causador", o cabeçalho passa a perguntar "quais barreiras de defesa falharam, em que camada, e por quê". A diferença parece semântica, embora reorganize todo o restante do documento. A técnica dos cinco porquês aplicada com essa pergunta de origem deixa de parar no operador e segue até o projeto, o procedimento e a supervisão.

Em Sorte ou Capacidade, Andreza Araujo argumenta que acidente nunca é evento isolado de imprudência, porque o trabalhador imprudente sozinho não derruba três barreiras seguidas — a operação as derruba antes, e o operador apenas encontra os buracos alinhados. O recorte que muda na prática é abandonar a categoria "erro humano" como conclusão final do RCA. Erro humano é dado de entrada, não veredito, porque a investigação útil pergunta o que tornou esse erro possível e o que tornou esse erro consequente.

O gerente de SST aplica isso reescrevendo o template do relatório de investigação na próxima semana. Em uma única página, três campos obrigatórios: "falha latente no projeto/equipamento", "falha latente no procedimento ou na PT", "falha latente na supervisão ou no fluxo". Investigação cujo relatório fica com os três campos vazios e o campo "erro do operador" preenchido é investigação inacabada e volta para a equipe.

O parágrafo final desse template precisa pedir o plano de ação para cada falha latente identificada, com responsável nomeado e prazo, em vez do clássico "reciclar treinamento da equipe". Treinamento como ação isolada para SIF é placebo cultural, conforme o argumento central de Cultura de Segurança (Araujo).

2. Política de tolerância: de "zero ao erro" para a linha entre erro honesto e violação consciente

A segunda troca enfrenta a armadilha que aparece sempre que a primeira é feita. Algum gestor lê "não culpar o operador" como "tudo é tolerável" e a disciplina operacional cai no dia seguinte, especialmente em segmentos com alta rotatividade e supervisão direta esticada. James Reason resolve esse problema sem rótulo motivacional: distingue erro honesto (slip, lapse, mistake) de comportamento de risco (consciente do risco, com benefício percebido) e de violação deliberada (sabotagem ou indisciplina ativa). As três categorias têm tratamento diferente.

Erro honesto recebe análise sistêmica e plano de ação que toca o projeto, o procedimento e a supervisão, sem sanção ao trabalhador. Comportamento de risco recebe coaching presencial, devolutiva clara e ajuste de incentivo, porque o trabalhador estava ciente do risco e seguiu mesmo assim, em geral porque o sistema premiava a velocidade ou a entrega acima da regra. Violação deliberada recebe medida disciplinar, porque cultura de aprendizado não é leniência institucional e cultura sem regra clara apaga a fronteira que protege todo mundo.

Em mais de duzentos e cinquenta projetos de transformação cultural, Andreza Araujo observa que essa distinção, escrita em uma página de política e referenciada na investigação, é o que separa a empresa madura da empresa que oscila entre punitiva e leniente. A primeira evolui no modelo de Hudson rumo aos estágios proativo e generativo, ao passo que a segunda nunca consolida o nível anterior. A política precisa ser nominal, com exemplos do próprio setor, e referenciada por slug no relatório de investigação.

O gerente de planta valida a política mostrando ao supervisor de turno três cenários reais do canteiro e pedindo a classificação de cada um. Quando o time classifica de forma divergente, a política ainda não está calibrada. Sem essa calibragem, a primeira troca corre o risco de virar discurso vazio e a empresa volta para a investigação acusatória dentro de seis meses.

3. Canal de reporte: de "fale com seu líder" para reporte anônimo institucional

A terceira troca atende ao paradoxo central da subnotificação. Mesmo que a empresa adote política de não punir o erro honesto, o operador continua sem reportar enquanto o canal exclusivo de reporte for o supervisor direto, porque qualquer reporte fica vinculado ao histórico de avaliação dele. Reporte anônimo institucional, com QR code afixado em pontos de circulação e canal terceirizado tratando os dados, muda o jogo em algumas semanas.

O canal anônimo não substitui a conversa com a liderança — convive com ela. O operador escolhe a rota conforme o risco percebido. Em ambientes que adotaram canal anônimo, Andreza Araujo observa que o volume de reporte sobe entre quatro e dez vezes nos primeiros noventa dias, com pico em quase-acidente que envolve a própria liderança imediata, justamente o tipo de evento que jamais chegava à pauta.

O canal precisa de SLA de devolutiva pública. Cada reporte gera, em até quinze dias, comunicação de uma página afixada no quadro de gestão à vista, descrevendo o evento sem identificar o reportador, a análise feita e a ação tomada. Sem devolutiva, o canal anônimo morre porque o operador conclui que reportar não muda nada e o esforço cessa. A subnotificação que a meta de zero acidentes alimenta só é destravada quando o reporte recebe resposta visível.

4. KPI do gestor de área: de TRIR para taxa de quase-acidente reportado

A quarta troca é a que mais cliente resiste e a que mais resultado entrega. O KPI do gestor de planta, do gerente de manutenção e do supervisor de turno precisa deixar de ser pago só por TRIR baixa, porque TRIR baixa em ambiente punitivo significa, com altíssima frequência, que o time aprendeu a esconder. Painéis cuja métrica única é a TRIR cobrem cerca de 30% do risco fatal real, conforme leitura cruzada da pirâmide de Heinrich-Bird e da literatura de SIFs. Os outros setenta por cento moram nos eventos precursores que ninguém reporta.

Como Andreza Araujo defende em Muito Além do Zero, indicador isolado de lagging ferra a cultura porque alinha a liderança contra a transparência. A troca prática consiste em compor o KPI do gestor com pelo menos três indicadores leading: taxa mensal de quase-acidente reportado por cem trabalhadores, percentual de PT recusada nos últimos trinta dias, percentual de inspeções comportamentais executadas no plano da semana. Auditoria que cumpre 100% sem leading indicator é exatamente a ilusão de conformidade que a marca crítica há mais de uma década.

O ajuste contratual com a remuneração variável precisa ser explícito e calibrado. O gestor que zera o reporte ganha menos do que o gestor que reporta cinquenta near-miss por cem trabalhadores, porque o segundo está enxergando o canteiro e o primeiro está cego. Em mineração, em metalurgia e em supply chain pesado com frota corporativa, essa inversão de incentivo, somada à política do passo 2, mudou TRIR de fato em horizonte de doze a dezoito meses, sem teatro de números.

Durante a passagem da Andreza Araujo pela PepsiCo na América Latina, onde a taxa de acidentes caiu 86%, esse foi o movimento mais duro com a média gerência e o que mais contribuiu para a curva. Houve resistência de um grupo de gestores que vinha sendo bem avaliado por TRIR baixa em planta com forte subnotificação. A discussão executiva girou em torno de aceitar TRIR temporariamente em alta enquanto a cultura amadurecia, decisão fiduciária que cabe ao C-level e não ao gerente de SST.

5. Ritual pós-incidente: de "culpado, treinamento, fim" para análise sistêmica em RCA

A quinta troca é a mais visível para o trabalhador, porque o ritual pós-incidente é onde a cultura aparece no corpo. O ritual antigo termina em três etapas: identificar o operador, dar reciclagem de treinamento, encerrar o caso. O ritual novo começa por uma análise de RCA conduzida por equipe composta — supervisor da área, técnico de SST, representante da CIPA, engenheiro de manutenção e, idealmente, um par do operador envolvido. A composição importa porque RCA conduzido apenas pelo SST captura só a perspectiva técnica e perde a operacional.

O resultado do RCA volta para o canteiro em formato de painel afixado na área, com diagnóstico das falhas latentes, plano de ação por camada e prazo de cada item. A devolutiva pública é o que diferencia diagnóstico de cultura útil de instrumento inútil, e a mesma lógica vale aqui. Sem devolutiva, RCA vira relatório que dorme em pasta e o canteiro conclui que nada mudou.

A reunião de seis a oito semanas após a investigação revisa cada item do plano de ação, pelo gestor da área e pelo gerente de SST, com presença do C-level industrial. A reunião não revisa o evento — revisa as ações. Em Um Dia Para Não Esquecer, Andreza Araujo descreve como fatalidades emblemáticas raramente foram surpresas, porque os relatórios de eventos precursores existiam, ainda que dormindo nas pastas durante meses sem revisão estruturada.

6. Linguagem da liderança: de "falta de atenção" para "controles que falharam"

A sexta troca atua no nível semântico do dia a dia e parece pequena até ser observada por dentro de uma operação. A liderança operacional fala da segurança em frases como "o operador estava distraído", "faltou atenção", "isso é prática elementar", e cada repetição reforça a moldura de culpa que as outras cinco trocas tentam dissolver. A liderança que sustenta cultura de aprendizado fala em frases como "que controle falhou", "por que o procedimento não preveniu isso", "que sinal precursor o canteiro emitiu na semana anterior".

Essa troca exige treinamento de comunicação aplicado, e não cartilha. Em projetos conduzidos pela Andreza Araujo, sessões mensais de noventa minutos com o time de liderança, em que se assistem registros de comunicação real do canteiro, mostram à própria liderança como ela fala — e como o time recebe. A liderança costuma se surpreender, porque ninguém formaliza para si mesmo a moldura de culpa que reproduz por hábito.

O risco minimizado pelo senso comum SST é que essa troca pareça "política do bonzinho" e seja descartada na primeira pressão de meta. A defesa técnica está em Reason e em Heinrich-Bird simultaneamente. A pirâmide mostra que cada falha ativa do operador é precedida por trezentos a seiscentos eventos precursores, ao passo que o queijo suíço mostra que cada SIF combina três a cinco falhas latentes além do operador. Linguagem que insiste no operador é linguagem que cega o time para os trezentos eventos anteriores e para as três camadas anteriores, dimensão à qual nenhuma operação séria pode se dar ao luxo de ficar cega.

A devolutiva semanal do supervisor para o time, em três a cinco minutos antes do início do turno, sai do registro de "alguém errou" e entra no registro de "tal controle falhou e ajustamos assim". Esse ritual é silencioso, ainda que seja exatamente onde cultura de aprendizado se reproduz no chão de fábrica, em vez de morrer no slogan da SIPAT.

Comparação: investigação acusatória contra investigação sistêmica

Como começar pela próxima semana

O gerente de SST que ler esse texto numa segunda à tarde tem quatro ações executáveis até a sexta seguinte, em ordem de menor a maior atrito político. Primeiro, reescrever o template de investigação, trocando a pergunta de origem e os três campos obrigatórios de falha latente, e aplicar no próximo evento que entrar na fila. Segundo, redigir uma página de política distinguindo erro honesto, comportamento de risco e violação deliberada, com exemplos do próprio setor.

Terceiro, conversar com RH e área financeira sobre o canal anônimo de reporte e levantar o custo de implementação, que costuma ficar abaixo de dez mil reais para operação de até quinhentos trabalhadores. Quarto, agendar uma conversa com o C-level industrial sobre composição do KPI do gestor de planta, com proposta escrita e dado comparativo da pirâmide. Sem essa conversa em pauta, as três primeiras ações ficam sem sustentação no orçamento e morrem em três meses.

Cada mês que a investigação continua acusatória é uma fatalidade do mesmo padrão se preparando para repetir, ainda que o trabalhador envolvido vá ter um nome diferente.

Conclusão

Cultura de aprendizado em SST não nasce de slogan na parede, nasce das seis trocas estruturais descritas acima, que mudam a pergunta da investigação, a política de tolerância, o canal de reporte, o KPI do gestor de área, o ritual pós-incidente e a linguagem da liderança. Cada troca isolada não basta, embora cada uma feita pela metade ou pela retórica condene as outras à inutilidade. Para implantar essa transição com método, a consultoria de Andreza Araujo conduz o trabalho ponta a ponta, com base na metodologia descrita em Cultura de Segurança e Sorte ou Capacidade.