HAZOP em SST: 5 falhas que transformam o método em ata de palpite

Em uma amostra de quarenta e dois HAZOPs revisados em plantas químicas e de processos brasileiras entre 2021 e 2024, 67% aceitaram controles puramente administrativos como barreira suficiente para cenários classificados como catastróficos, conforme apuração técnica conduzida pela Andreza Araujo em projetos de auditoria de gestão de riscos. O HAZOP, no papel, é a técnica de análise de risco mais detalhista que o engenheiro de processo aprende na faculdade. Na prática, o método chega à reunião com vícios de condução que esvaziam a função de barreira preventiva e transformam o entregável em ata de palpite com carimbo de auditoria.

Por que HAZOP no Brasil raramente entrega o que promete

O HAZOP nasceu na ICI britânica nos anos 1960 como exercício estruturado de imaginação técnica, no qual um time multidisciplinar percorre nó a nó o desenho de processo. As palavras-guia (mais, menos, nenhum, reverso, parte de, outro que) forçam o sistema a explicitar cada cenário de desvio possível e cada barreira que realmente o contém. O método pressupõe três pré-condições que a literatura raramente destaca: pré-leitura individual do P&ID por todos os participantes, presença do operador de turno na sala e fechamento de cada nó com plano de ação rastreável.

Quando essas três pré-condições caem, o HAZOP vira ritual técnico. A reunião continua acontecendo, a planilha continua sendo preenchida, o auditor continua assinando. Mas o exercício não opera mais como barreira preventiva, e os SIFs que deveriam ter sido antecipados aparecem semanas ou meses depois, com a planilha do HAZOP guardada na pasta de qualidade do projeto. Como Andreza Araujo defende em A Ilusão da Conformidade, cumprir a metodologia e estar protegido são posições distintas, e o HAZOP brasileiro mostra essa distância de forma especialmente cara, porque o erro de condução aqui não custa multa, custa explosão.

Falha 1: O time chega sem pré-leitura do P&ID

O primeiro vício é o mais difundido e o mais subestimado. O facilitador convoca a reunião por agenda corporativa, manda o P&ID anexo, e parte da hipótese de que o time vai ler o desenho antes de chegar. Em mais de 80% das sessões observadas em projetos acompanhados pela Andreza Araujo, os participantes abriram o desenho pela primeira vez na sala, durante a apresentação do facilitador.

O problema é estrutural. Sem pré-leitura, o HAZOP deixa de ser exercício de imaginação técnica e vira leitura coletiva contaminada por viés de confirmação. O engenheiro de processo defende a operação como ela é, o operador endossa porque está em desvantagem técnica, e o representante de SST se cala porque não dominou o fluxo a tempo. O método foi desenhado para questionar premissas, mas só consegue questionar quando os participantes já internalizaram o que a planta está supostamente fazendo. Em mais de duzentos e cinquenta projetos de transformação cultural, Andreza Araujo identifica essa ausência de pré-leitura como o indicador isolado mais correlacionado com nós aprovados de forma superficial.

O remédio é exigir pré-leitura cronometrada e formalizada, com check-list assinado pelo participante até quarenta e oito horas antes da sessão. Quando alguém aparece sem ter feito a leitura, a sessão é remarcada. Essa decisão custa caro nas primeiras vezes, embora o custo evitado em SIF justifique o desconforto político.

Falha 2: O nó é fechado com controle administrativo no nível mais baixo

O segundo vício é cultural e se manifesta no momento de validação do nó. O facilitador pergunta qual barreira protege o cenário, alguém da operação responde "o procedimento operacional padrão exige que o operador feche a válvula manualmente", e a planilha registra esse procedimento como controle suficiente. O HAZOP fechou o nó. O grupo segue para o próximo.

O método, ainda assim, deveria ter recusado. A hierarquia de controles é hierárquica justamente porque controle administrativo (procedimento, treinamento, supervisão) ocupa o segundo nível mais frágil da escala, acima apenas do EPI. Aceitar procedimento como barreira para cenário catastrófico equivale a confiar no operador no pior dia dele, com pressa, ruído e troca de turno simultâneos. Como argumenta o modelo do queijo suíço de James Reason, barreiras administrativas têm buracos largos por construção, porque dependem de comportamento humano em cadeia.

O HAZOP útil força a discussão até a engenharia, e quando ela é inviável tecnicamente ou economicamente, registra a inviabilidade explicitamente com decisão assumida pela liderança. O HAZOP teatro fecha o nó com "o operador segue o procedimento" e desacopla a decisão de risco do nível executivo que deveria assumi-la.

Falha 3: Operador de turno fica fora da sala

O terceiro vício é político e drena a maior parte da inteligência preventiva do método. A sessão típica reúne engenheiro de processo, engenheiro de segurança, gerente de operações e facilitador externo. O operador de turno, que conhece os desvios reais que a planta vive na madrugada, fica fora da sala porque o agendamento conflita com a escala, ou porque "o supervisor já representa".

O resultado, conforme observado durante a passagem da Andreza Araujo pela PepsiCo na América Latina (onde a taxa de acidentes caiu 86% em ciclo de cinco anos), é um HAZOP que enxerga a planta no estado declarado, e não no estado operado. As palavras-guia (mais, menos, reverso, parte de) só ganham profundidade quando alguém na sala já viu o desvio acontecer no campo. Sem essa voz, o exercício se limita aos cenários que o engenheiro de processo já antecipa em projeto, deixando justamente a zona de SIF (a operação real, com bypass, instrumento dessensibilizado e válvula travada) fora do registro.

A correção é simples e politicamente cara: bloquear escala, pagar hora extra, trazer o operador. Quando o orçamento de HAZOP não comporta isso, o orçamento foi mal dimensionado em projeto, e a engenharia não pode terceirizar a decisão para o departamento de SST.

Falha 4: A planilha vira o entregável, em vez de plano de ação rastreável

O quarto vício materializa-se no fechamento da sessão. O facilitador externo entrega o relatório consolidado em formato Excel ou PDF, com nós percorridos, palavras-guia aplicadas e barreiras registradas. A liderança recebe, arquiva, paga a fatura. Encerrou-se o ciclo.

O HAZOP útil, ao contrário, não termina na planilha. Cada recomendação aberta vira ação com responsável, prazo e critério de fechamento, integrada ao sistema de gestão da empresa, com alçada de aprovação compatível com o nível de risco do cenário. Quando uma recomendação aponta para mudança de engenharia, a alçada de aprovação é executiva. Quando aponta para revisão de procedimento, a alçada é gerencial. Quando aponta para treinamento, a alçada é local. Sem essa integração, recomendações de HAZOP morrem na planilha junto com o orçamento que financiou a sessão.

Em projetos de auditoria conduzidos pela Andreza Araujo, ações de HAZOP envelhecidas por mais de dezoito meses sem fechamento aparecem em mais de quarenta por cento das plantas avaliadas, e elas são o tipo de pendência que vira primeira pergunta do procurador do trabalho depois de uma fatalidade.

Falha 5: HAZOP não é repetido após mudança operacional ou de processo

O quinto vício é regulatório e contratual. A NR-01 e a NR-12 obrigam atualização da análise de risco quando há mudança significativa, embora a definição de "significativa" fique à interpretação da empresa. O HAZOP original do projeto fica congelado na FEL3, com a planta operando dois, cinco, dez anos depois sob regime totalmente distinto, com modificações em instrumentação, capacidade, mistura de produto e jornada de turno que nunca dispararam revisão estruturada.

O programa de gerenciamento de mudanças (MOC, Management of Change) é o mecanismo formal que deveria capturar isso. Em mais de duzentos e cinquenta projetos de transformação cultural acompanhados pela Andreza Araujo, o MOC opera com qualidade técnica em menos de um terço das plantas, e em metade dessas o disparo de HAZOP novo só acontece quando o auditor externo questiona. O resto do tempo, o HAZOP é tratado como entregável de projeto, e não como instrumento vivo de gestão de risco.

O remédio é integrar HAZOP à governança de mudança com gatilho objetivo, e não com critério subjetivo. Mudança em variável crítica de processo, em alarme classificado SIL, em produto manuseado ou em modo de operação dispara revisão completa do nó afetado dentro de prazo definido por procedimento, sem espaço para interpretação caso a caso.

Comparação: HAZOP útil frente ao HAZOP teatro

Como auditar seu HAZOP em uma reunião

Pegue três HAZOPs assinados nos últimos dois anos e rode esta auditoria curta, que cabe em um único turno do gerente de SSMA e dispensa software. O exercício revela com precisão se o método está operando como barreira ou como decoração.

• Cronometre quanto tempo, em média, cada participante dedicou à pré-leitura do P&ID antes da sessão, com base em registros de check-list ou em entrevista direta.
• Conte quantos nós foram fechados com controle exclusivamente administrativo (procedimento, treinamento, supervisão) e cruze com a classificação de severidade declarada na matriz de risco do PGR.
• Verifique se há ata formal com presença do operador de turno, ou apenas representação por supervisor, gerente e engenheiro.
• Liste as recomendações abertas e calcule a idade média em meses, separando aquelas que apontam para mudança de engenharia das que apontam para procedimento ou treinamento.
• Compare a data do último HAZOP com a data da última mudança operacional ou de processo registrada no sistema de MOC, conforme exigência da NR-01 e da NR-12.

Quando a auditoria não encontra recomendação aberta há mais de doze meses na lista de SIF, o sinal mais provável é não que a planta esteja madura, e sim que a pendência foi fechada administrativamente sem mudança real. Como mostra o argumento central de A Ilusão da Conformidade, fechamento de pendência sem evidência técnica é o tipo de conformidade que protege o relatório e expõe o operador.

O recorte que muda na prática

O HAZOP brasileiro raramente falha por desconhecimento técnico. Falha porque a empresa contrata o método como entregável de auditoria, e não como exercício de gestão de risco com pré-condições não-negociáveis. A primeira pergunta do gerente de operações antes de aprovar a próxima sessão não é de cronograma e sim cultural. Ela diz respeito a três disposições: remarcar a reunião quando a pré-leitura não foi feita, pagar o operador para participar, e tratar o plano de ação como decisão executiva, não como anexo do relatório de qualidade. Quando a resposta é não, o HAZOP segue acontecendo, embora deixe de operar como barreira contra SIF, conforme a discussão de eventos precursores que aparece tanto na pirâmide de Heinrich quanto no modelo do queijo suíço de Reason.

Cada nó fechado com procedimento operacional padrão como única barreira em cenário catastrófico é um SIF aguardando a combinação certa de turno noturno, instrumento dessensibilizado e supervisor cansado, e não a média estatística do trimestre.

Conclusão

Auditar HAZOP custa pouco quando comparado ao preço de investigar uma fatalidade decorrente de cenário previamente analisado, porque algumas horas sobre três sessões pesam menos do que dezoito a trinta e seis meses de processo, indenização e dano reputacional cumulativos. Para um diagnóstico estruturado da gestão de riscos que sustenta o HAZOP no projeto, a consultoria de Andreza Araujo conduz a apuração ponta a ponta, com base na metodologia descrita em Diagnóstico de Cultura de Segurança e nos princípios de análise sistêmica de Sorte ou Capacidade. Para complementar o método em barreiras mitigatórias, a leitura cruzada com Bow-Tie aplicado a SST ajuda a fechar o ciclo entre prevenção e mitigação no mesmo cenário.