Evento de alto potencial: 7 critérios de investigação

Evento de alto potencial é o quase-acidente que não feriu ninguém por margem estreita, não por controle maduro. Uma carga suspensa que passa sobre pedestre, uma energia não bloqueada durante manutenção, uma queda de objeto a centímetros da equipe ou uma empilhadeira que freia tarde demais não deveriam esperar lesão grave para ganhar investigação completa, porque a operação teve sorte e o sistema já mostrou o buraco.

Este artigo é para gerentes de SSMA, investigadores de acidentes e líderes de planta que precisam decidir quando um evento sem lesão merece RCA, reunião executiva e plano de ação robusto. A tese é direta: se a energia liberada poderia produzir SIF, a ausência de dano não reduz a gravidade do aprendizado. Como Andreza Araujo defende em Sorte ou Capacidade, acidente não é azar isolado; é combinação de barreiras frágeis que às vezes encontra uma pessoa no caminho e às vezes não encontra.

Em 25+ anos liderando EHS em multinacionais, Andreza Araujo observa que empresas imaturas classificam pela consequência visível, enquanto empresas maduras classificam pelo potencial de perda. Essa diferença muda orçamento, prioridade e velocidade de resposta, porque um evento sem afastamento pode carregar mais risco material do que uma lesão leve registrada no TRIR.

Quando o potencial de perda inclui morte ou incapacidade permanente, o protocolo de 72 horas pós-SIF deve estar previsto antes do evento, porque a resposta inicial precisa proteger evidência, família e confiança ao mesmo tempo.

Por que consequência baixa não significa risco baixo

A consequência real depende de coincidências que a empresa não controla. A peça caiu quando o corredor estava vazio; o arco elétrico não atingiu o rosto porque o trabalhador recuou um segundo antes; a empilhadeira parou porque o piso estava seco. Quando a classificação considera apenas o dano ocorrido, ela transforma acaso em evidência de controle.

O artigo sobre Pirâmide de Heinrich e SIF mostra que volume de eventos menores não explica sozinho a próxima fatalidade. O evento de alto potencial exige outra leitura, centrada em energia, barreira crítica e proximidade com lesão grave. Sem essa leitura, a empresa investiga o que machucou ontem e ignora o que poderia matar amanhã, embora o sinal preventivo já esteja disponível.

1. Energia perigosa estava presente e sem barreira confiável

O primeiro critério é a energia. Altura, eletricidade, pressão, movimento mecânico, produto químico, calor, carga suspensa, tráfego interno e atmosfera perigosa mudam a natureza do evento. Se havia energia suficiente para causar fatalidade ou incapacidade permanente, o caso não pode ser tratado como desvio menor, mesmo que ninguém tenha se ferido.

A pergunta do investigador é concreta: qual energia foi liberada, qual barreira deveria contê-la e por que essa barreira não atuou no momento certo? James Reason ajuda nessa leitura ao separar falhas ativas de falhas latentes. A ação visível da pessoa importa, mas a investigação só fica completa quando encontra desenho, manutenção, supervisão, permissão, treinamento e pressão operacional por trás da cena, cuja combinação costuma anteceder o evento muito antes do susto.

2. A diferença entre lesão grave e nada foi distância ou tempo

Eventos de alto potencial costumam depender de centímetros e segundos. Uma ferramenta cai a trinta centímetros da cabeça; um veículo cruza a frente do trabalhador; uma proteção abre quando a máquina ainda não parou; um trabalhador entra em área isolada logo depois da movimentação de carga. A distância pequena entre perda e alívio é evidência de gravidade, não detalhe narrativo.

Em Um Dia Para Não Esquecer, Andreza Araujo trata fatalidades como eventos que exigem memória operacional. O mesmo raciocínio vale antes da perda, já que o relatório que registra apenas que ninguém se machucou, mas omite a margem real entre o evento e a lesão, apaga a principal informação preventiva disponível.

3. A barreira crítica falhou mais de uma vez

Recorrência transforma quase-acidente em aviso formal. Se a mesma rota de pedestres recebe invasão de empilhadeira, se o mesmo bloqueio LOTO aparece incompleto, se a mesma PT é liberada com APR genérica ou se a mesma proteção de máquina é burlada, a empresa já não está diante de acaso. Está diante de uma barreira que falha em padrão reconhecível.

Esse ponto conversa com controles críticos em SST, porque barreira crítica não pode ser medida apenas por existência documental. Ela precisa ser verificada em campo, sob a condição real de uso, com responsável, frequência e critério de falha. Andreza Araujo argumenta em A Ilusão da Conformidade que controle escrito não equivale a controle vivo, sobretudo quando a verificação ignora a forma como a tarefa acontece no turno.

4. O trabalhador percebeu o risco antes do sistema

Quando o primeiro alerta vem de susto, improviso ou relato informal, o sistema de gestão já chegou tarde. O operador que diz que quase foi atingido, o terceiro que comenta que a carga passou perto demais e o manutentor que percebeu energia residual estão entregando informação que o inventário, a inspeção ou a supervisão deveriam ter capturado antes.

A metodologia Vamos Falar? propõe transformar percepção desconfortável em conversa estruturada, justamente para que a informação não morra no corredor. Em mais de 250 projetos de transformação cultural acompanhados pela Andreza Araujo, o quase-acidente de alto potencial quase sempre tinha sinais anteriores: reclamação repetida, desvio aceito, manutenção postergada ou liderança que normalizou a exposição à medida que a rotina continuou funcionando sem perda visível.

5. A classificação foi reduzida para proteger indicador

Um sinal perigoso aparece quando a discussão sobre classificação começa pela pergunta sobre impacto no painel. Se o time quer saber se o evento entra no indicador antes de entender a barreira que falhou, a métrica está conduzindo a investigação. O caso pode virar quase-acidente simples, ocorrência operacional ou desvio comportamental porque a organização teme o peso político de reconhecer alto potencial.

Como Andreza Araujo defende em Muito Além do Zero, indicador mal desenhado educa a empresa a esconder risco. Evento de alto potencial precisa ter governança própria, fora da lógica de bônus baseada apenas em TRIR ou LTIFR, porque a ausência de lesão não pode ser recompensada quando a exposição foi crítica.

6. O plano de ação corrige pessoa, mas não corrige barreira

Treinar novamente o executante pode ser necessário, mas raramente basta. Se o evento envolveu energia alta, proximidade com SIF e barreira falha, o plano de ação precisa mexer em engenharia, isolamento, método de trabalho, supervisão, manutenção, sinalização, permissões ou critérios de parada. Quando a ação fecha em palestra, reciclagem ou orientação verbal, a empresa está tratando sinal forte com controle fraco.

O artigo sobre plano de ação pós-acidente aprofunda essa armadilha. A correção precisa ser verificável, pois a ação que não muda a probabilidade de repetição em campo apenas fecha pendência administrativa e deixa a barreira degradada para o próximo turno.

7. O evento revela lacuna no inventário de riscos

Todo evento de alto potencial deveria voltar ao PGR. A pergunta não é apenas por que a tarefa falhou, mas por que o inventário não antecipou aquela combinação de energia, exposição e barreira. Às vezes o risco estava listado de forma genérica; às vezes o controle estava superestimado; às vezes a tarefa mudou e ninguém revisou a análise.

Essa revisão evita que a investigação fique isolada do sistema de gestão. O evento alimenta atualização de cenário, critério de aceitabilidade, hierarquia de controles e rotina de verificação. Sem essa volta ao inventário, a organização aprende no relatório, mas continua planejando o trabalho como se nada tivesse acontecido, ainda que o próprio evento tenha provado que o desenho anterior era insuficiente.

Comparação: classificar por lesão frente a classificar por potencial

Como decidir em 15 minutos se o caso merece RCA completo

A triagem inicial precisa ser simples o bastante para acontecer ainda no turno. O líder reúne SSMA, supervisor da área e responsável pela tarefa, identifica a energia envolvida, estima a lesão plausível, verifica a barreira crítica que falhou, mede a margem entre evento e dano e checa recorrência nos últimos noventa dias. Se dois desses critérios apontam alto potencial, o caso sobe para RCA completo.

O relatório de investigação de acidente deve registrar essa decisão de forma explícita, porque a memória se perde rápido quando ninguém se feriu. O campo mais importante não é a descrição do susto, mas a hipótese de perda cuja severidade teria sido plausível se a distância, o tempo ou a posição da pessoa fossem diferentes.

Conclusão. Evento de alto potencial é uma oportunidade rara: a empresa recebe o aviso sem carregar o dano humano. Desperdiçar esse aviso porque não houve afastamento é uma decisão cultural, não técnica. A investigação madura pergunta que perda poderia ter ocorrido, por que as barreiras não seguraram a energia e que mudança impedirá a repetição sob condições menos favoráveis.

Cada evento sem lesão que dependeu de sorte para não virar SIF deveria incomodar mais que uma estatística bonita, porque a sorte não é barreira de controle e não aparece duas vezes sob o mesmo contrato.