HAZOP explicado: 8 decisões para transformar desvios em barreiras de segurança

HAZOP é uma conversa estruturada para perguntar o que acontece quando a intenção de um processo não se realiza. Em vez de esperar o incidente, a equipe examina parâmetros, desvios, causas, consequências e salvaguardas em uma sequência verificável. O método fica mais útil quando termina em decisão operacional: qual barreira será implementada, quem responde por ela, até quando e como sua eficácia será comprovada.

1. Defina o que o HAZOP precisa proteger

O HAZOP começa com uma intenção de processo claramente definida, porque não é possível reconhecer um desvio sem saber qual resultado era esperado. A intenção deve explicar o que flui, para onde, em qual condição, com quais limites e qual função o sistema precisa cumprir, porque esse enunciado será a referência para testar cada desvio. Essa definição evita que a equipe transforme a reunião em uma lista genérica de perigos sem relação com a operação.

O primeiro passo é separar sistema, nó e objetivo. Um nó pode ser uma linha, um tanque, uma etapa de transferência ou uma interface entre operação e manutenção. Registre pelo menos 4 campos: função, entrada, saída e condição normal. Se a descrição não permitir que um operador identifique o trecho em até 30 segundos, o nó ainda está amplo demais.

A HSE orienta que uma avaliação de risco deve identificar perigos, decidir quem pode ser prejudicado, avaliar os riscos e registrar as medidas de controle. O HAZOP aprofunda essa lógica ao testar a intenção contra desvios sistemáticos: a orientação da HSE sobre avaliação de riscos ajuda a conectar a análise técnica à responsabilidade prática de controlar a exposição. Para comparar o HAZOP com uma leitura prospectiva do PGR, consulte também as perguntas antes de aceitar o risco.

2. Monte uma equipe que conheça o trabalho real

Uma análise HAZOP confiável depende menos do tamanho da planilha e mais da diversidade de conhecimento presente na sala. A equipe precisa enxergar o projeto, a rotina, as falhas de manutenção, os atalhos operacionais e as consequências humanas que um desenho isolado não revela, embora o desenho pareça tecnicamente completo. O facilitador deve proteger o método, mas não pode substituir a experiência de quem executa a tarefa.

Para um nó de complexidade média, trabalhe com 5 a 8 pessoas: facilitador, especialista de processo, operador experiente, manutenção, engenharia, segurança e, quando necessário, automação ou fornecedor. Registre o papel de cada participante e marque ausências críticas. Se ninguém conhece a partida, a parada ou a intervenção não rotineira, a análise está incompleta mesmo que o projeto esteja bem documentado.

Como Andreza Araujo defende em 80 Maneiras de ampliar a percepção de risco, a percepção de risco é uma capacidade humana que não aparece automaticamente porque uma metodologia foi aplicada. Por isso, inclua quem percebe o risco no campo e peça exemplos de pelo menos 3 condições que mudam a exposição sem alterar o fluxograma.

3. Escolha parâmetros e palavras-guia

As palavras-guia dão disciplina à criatividade do grupo, uma vez que obrigam a equipe a testar combinações que a experiência individual pode ignorar. Elas combinam um parâmetro do processo, como fluxo, pressão, temperatura, nível, composição ou tempo, com uma variação que pode revelar o desvio. Sem essa combinação, a equipe tende a repetir riscos conhecidos e deixar de explorar situações menos intuitivas.

Comece com um conjunto de 7 parâmetros relevantes e selecione palavras-guia adequadas ao nó: nenhum, mais, menos, parte de, além de, reverso e outro que não. O objetivo não é usar todas em todos os casos, mas justificar por que uma combinação foi aplicada ou descartada. Em uma transferência, “menos fluxo” pode apontar para entupimento; “mais pressão” pode revelar bloqueio a jusante.

A ISO descreve a gestão de riscos como uma abordagem que precisa ser integrada à governança, à decisão e à melhoria contínua. O HAZOP cumpre esse papel quando cada combinação gera uma decisão rastreável, não apenas uma frase na ata. Consulte a referência oficial da ISO 31000 sobre princípios e diretrizes de gestão de riscos para manter a análise conectada ao sistema de decisão.

4. Transforme cada desvio em cenário verificável

Um desvio só é útil quando pode ser explicado por uma cadeia concreta: o que saiu da intenção, por que isso pode acontecer, o que aconteceria em seguida e quais barreiras deveriam impedir a progressão. A fórmula evita registros vagos como “risco de acidente” e força a equipe a narrar o cenário com linguagem que operação, manutenção e liderança consigam testar.

Registre cada linha com 6 elementos: nó, parâmetro, palavra-guia, desvio, causa e consequência. Depois acrescente salvaguardas existentes e recomendações. Um cenário como “mais pressão por bloqueio fechado durante transferência” é mais acionável que “pressão alta”, porque indica condição, mecanismo e ponto de verificação. O nó no qual esse desvio ocorre deve aparecer no registro com sua fronteira operacional. Use verbos observáveis: bloquear, aliviar, detectar, isolar, interromper, conter.

Evite confundir causa com consequência. Falha de instrumento é causa; perda de contenção é consequência. Procedimento desatualizado é causa; operação fora do limite é consequência intermediária. Essa distinção permite escolher barreiras no lugar certo e evita que a equipe responda a toda linha com treinamento, advertência ou EPI.

5. Separe salvaguarda existente de recomendação

Uma salvaguarda é uma barreira que já existe e deveria interromper ou limitar o cenário; uma recomendação é uma ação ainda necessária para reduzir a exposição. Misturar as duas cria uma falsa sensação de controle, porque o relatório parece completo antes que alguém confirme se a barreira funciona, está disponível e é independente da condição que gerou o desvio.

Classifique as salvaguardas em 3 grupos: prevenção, detecção e mitigação. Para cada uma, registre modo de falha, teste requerido, responsável e evidência de funcionamento. Uma alarme sem resposta definida não é equivalente a uma barreira completa. Um procedimento sem treinamento, supervisão e revisão também não deve ser contado como controle efetivo. A barreira cuja eficácia depende de três pessoas diferentes precisa ter essa dependência explicitada.

A OSHA recomenda priorizar controles pela hierarquia, começando por eliminação e substituição, seguindo para engenharia, controles administrativos e EPI. Aplique essa ordem ao plano de ação: a orientação da OSHA sobre prevenção de perigos ajuda a impedir que uma recomendação administrativa encerre prematuramente a busca por uma solução de engenharia.

6. Decida quais barreiras merecem prioridade

Nem todo achado tem a mesma urgência, e nem todo risco alto se resolve com a mesma intervenção. A prioridade deve considerar severidade, frequência ou exposição, detectabilidade, independência da barreira e possibilidade de escalada, conforme a combinação de cenários observada no nó. O resultado precisa orientar recursos e sequência, não apenas preencher uma matriz colorida depois que a reunião termina.

Use uma escala transparente, por exemplo de 1 a 5 para severidade e de 1 a 5 para frequência, mas não trate o produto como verdade automática. Acrescente uma pergunta qualitativa: se a primeira barreira falhar, quantas camadas independentes ainda impedem o evento? Cenários com potencial de fatalidade, perda de contenção ou falha comum devem subir para decisão gerencial mesmo quando a frequência estimada parece baixa.

Em Sorte ou Capacidade, Andreza Araujo reforça que não se trata de assumir riscos, mas de administrá-los com método. Traduza essa posição em uma regra de governança: nenhum risco crítico deve ser aceito por uma pessoa isolada. Exija revisão por pelo menos 2 funções, prazo definido e critério de encerramento antes de chamar a recomendação de concluída.

7. Teste o risco residual no campo

Risco residual é o risco que permanece depois da implementação das salvaguardas, não o valor que aparece na planilha antes de a equipe testar a realidade. A verificação precisa responder se a barreira está instalada, acessível, disponível, compreendida e capaz de cumprir sua função nas condições de partida, operação normal, parada e emergência.

Faça uma verificação em 4 momentos: antes da mudança, na primeira execução, após 30 dias e depois de qualquer evento ou quase-acidente relevante. Observe o equipamento, converse com o operador e procure evidência objetiva. Se o controle depende de uma ação humana, pergunte quem age, em quanto tempo, com qual autoridade e o que ocorre quando a resposta não acontece.

A ILO trata sistemas de gestão de segurança e saúde como processos contínuos de identificação, avaliação, prevenção e melhoria. Use essa lógica para não arquivar o HAZOP como documento estático: a página da ILO sobre segurança e saúde no trabalho oferece o enquadramento internacional para conectar análise, implementação e revisão. Para complementar a verificação do risco residual, veja como estruturar uma matriz de risco residual com prazo, responsável e evidência.

8. Feche o ciclo com governança e aprendizagem

O HAZOP gera valor quando suas decisões sobrevivem ao calendário da reunião. Para isso, cada recomendação precisa de dono, prazo, custo estimado, dependência, critério de eficácia e status. A governança também deve mostrar quais desvios se repetem, quais barreiras falham por causas comuns e quais mudanças exigem reabrir a análise antes de liberar a operação.

Crie um painel com 8 indicadores: recomendações abertas, vencidas, críticas, tempo médio de fechamento, barreiras testadas, falhas encontradas, mudanças sem revisão e quase-acidentes relacionados. Faça uma revisão mensal com operação, engenharia, manutenção e SST. Se uma recomendação está “concluída” há 90 dias sem evidência de teste, ela deve voltar ao status de verificação.

Como Andreza Araujo sintetiza em Cultura de Segurança: Da Teoria à Prática, risco identificado se elimina ou controla; não fazer nada não é uma opção. Um HAZOP maduro transforma essa tese em rotina: decisão registrada, barreira implementada, eficácia observada e aprendizado incorporado ao PGR, ao treinamento e à gestão de mudanças.

Quando o desvio exige uma rotina de decisão no turno, use também as 8 etapas de decisão segura como apoio operacional.

Conclusão: HAZOP é método para decidir antes do evento

HAZOP não substitui competência operacional, PGR ou gestão de mudanças. Ele cria uma estrutura para que diferentes especialistas testem a intenção do processo, revelem desvios, comparem barreiras e assumam decisões com rastreabilidade. Quando a análise termina com responsáveis, prazos e critérios de eficácia, o documento deixa de ser arquivo de auditoria e passa a funcionar como instrumento de prevenção.

Para aplicar amanhã, escolha um nó de alto impacto, reúna 6 pessoas, limite a sessão inicial a 120 minutos, registre 10 cenários prioritários e marque a primeira verificação de campo antes de encerrar. O resultado não é uma promessa de risco zero; é uma decisão melhor, tomada antes que o desvio precise ensinar pelo acidente.