Hierarquia de controles: 5 sinais que sua matriz inverteu

Em mais de seis em cada dez matrizes de risco que passam pela auditoria de PGR em planta industrial brasileira, o EPI aparece como controle principal de pelo menos uma rota de risco que ainda admite tratamento por engenharia. Em mais de 250 projetos de transformação cultural acompanhados por Andreza Araujo, esse padrão se repete em 62% das operações de pequeno e médio porte. Este guia mostra cinco sinais concretos de que a sua matriz inverteu a hierarquia de controles, explica por que a inversão sobrevive à auditoria conforme e descreve como reconstruir a análise em noventa dias sem refazer o PGR do zero.

Por que a matriz inverte na prática brasileira

A NR-01 e a NR-09 obrigam a aplicação da hierarquia de controles na ordem clássica formulada pelo NIOSH: eliminação, substituição, controles de engenharia, controles administrativos e, em último lugar, equipamento de proteção individual. A norma é clara, e ainda assim a matriz que chega à mesa do gerente de SST costuma listar EPI no campo "controle adotado" em situações em que a engenharia teria solução possível.

Andreza Araujo argumenta em A Ilusão da Conformidade que cumprir a norma e estar seguro são posições distintas, e a inversão da hierarquia ilustra essa distância de forma rotineira. A matriz invertida passa em auditoria interna, atende ao item documental do PGR e aparece como conformidade plena no painel do auditor — embora, no nível operacional, deixe a barreira principal apoiada na adesão do trabalhador, e não na engenharia do processo.

A inversão acontece porque o EPI é o controle mais barato no curto prazo, o mais rápido de implantar e o mais visível na auditoria, ao passo que a substituição de matéria-prima ou a alteração de layout exige investimento, paralisação parcial e decisão executiva. Quando o orçamento do PGR é tratado como custo, e não como redução de passivo, a hierarquia inverte por inércia.

1. EPI listado como controle principal sem análise prévia de engenharia

O primeiro sinal aparece no próprio campo "controle adotado" da matriz. Quando a célula traz "uso obrigatório de luva nitrílica" sem que tenha havido antes uma linha argumentando por que a substituição do solvente foi descartada ou por que o sistema de exaustão localizada foi considerado inviável, a hierarquia já caiu no segundo ato.

Esse sinal é o mais comum em rota de risco químico, em ruído ocupacional acima de 85 dB e em ergonomia de movimentação manual de carga. A justificativa que o time de SST registra costuma ser "controle de engenharia inviável por questões operacionais", frase que descreve uma decisão financeira e a apresenta como restrição técnica.

O recorte que muda na prática é separar duas perguntas distintas no formulário da matriz. A primeira pergunta é se a engenharia é tecnicamente possível, ainda que cara. A segunda é se ela cabe no orçamento do ano. Quando as duas perguntas viram uma só, o engenheiro de SST escreve "inviável" e o gestor industrial assina sem precisar tomar a decisão de investir.

Em 80 Maneiras de Ampliar a Percepção de Risco, Andreza Araujo descreve esse fenômeno como o erro do controle prematuro: o time decide pelo EPI antes de ter feito a análise honesta do que a engenharia poderia entregar.

2. Risco residual idêntico ao risco bruto, mesmo com controle aplicado

Pegue cinco linhas da sua matriz e compare a coluna "risco bruto" com a coluna "risco residual". Se a redução é de uma faixa apenas (de "alto" para "médio") ou se as duas colunas trazem o mesmo valor, o controle adotado não está cumprindo a função que a matriz declara cumprir, embora apareça como aplicado.

A explicação mais frequente é justamente o uso do EPI como controle único. A luva, o protetor auricular e o respirador têm eficácia teórica entre 60% e 75%, condicionada ao estado de conservação do equipamento, ao uso correto e à disciplina do trabalhador no turno. Engenharia bem feita reduz risco de forma passiva, sem depender de comportamento. Uma exaustão localizada bem dimensionada reduz exposição a vapor orgânico em mais de 90% sem nenhuma intervenção do operador, conforme literatura técnica de higiene ocupacional aplicada por décadas pelos higienistas brasileiros.

Quando o time de SST registra a mesma faixa de risco antes e depois do controle, a matriz está honesta sobre o que o controle entrega. Quando registra uma redução irreal, a matriz acomoda o EPI numa categoria que ele não ocupa. O segundo caso é o que Andreza Araujo chama de teatro de conformidade em A Ilusão da Conformidade.

3. Substituição de processo não aparece em nenhuma linha da matriz

A hierarquia de controles tem cinco níveis, e dois deles costumam sumir da matriz brasileira. O primeiro é a eliminação, que a maioria das operações considera fora do alcance porque envolve revisão de processo. O segundo é a substituição, que dependeria de troca de matéria-prima, alteração de fornecedor ou redesenho do layout, e que raramente entra na conversa porque ninguém colocou a pergunta na pauta.

Faça o teste no seu PGR atual. Conte quantas linhas da matriz mencionam "substituição" como controle aplicado ou avaliado. Se o número for zero, a matriz está rodando com três dos cinco níveis da hierarquia, e os dois níveis ausentes são exatamente os de maior eficácia teórica.

O caso emblemático é o do solvente orgânico utilizado em pintura industrial. Substituir solvente à base de tolueno por um análogo à base de água troca a categoria do risco em vez de mitigá-lo. A mudança custa mais no curto prazo, e ainda assim em operações de manutenção industrial em que a Andreza Araujo conduziu o redesenho, a economia em afastamento, retrabalho e perda de turno apareceu já no segundo ano fiscal.

4. Controles administrativos sustentando o que a engenharia deveria resolver

O quarto sinal é o crescimento desproporcional da coluna de procedimentos. Quando a matriz lista "treinamento periódico", "permissão de trabalho", "DDS específico" e "auditoria comportamental" como controles principais para um risco que admitiria engenharia, a operação está pedindo ao trabalhador, ao supervisor e ao auditor que façam, todos os dias, aquilo que uma reforma física resolveria de uma vez.

O modelo do queijo suíço de James Reason explica por que esse arranjo é frágil. Cada controle administrativo tem buracos: o treinamento esquece, o procedimento cansa, a permissão é assinada no automático, o auditor falha. Quando a engenharia está ausente, todas as fatias de queijo são feitas de comportamento, e basta a fadiga, a pressa ou a substituição de turno para os buracos se alinharem. Em cultura organizacional fraca, o alinhamento ocorre antes do esperado.

Em mais de 250 projetos acompanhados pela Andreza Araujo, a inflação de controles administrativos foi o indicador mais correlacionado com SIFs nos doze meses seguintes ao PGR. A operação que escreve seis controles administrativos para um único risco está, na verdade, declarando que não tem barreira de engenharia, ainda que o painel da auditoria mostre seis camadas.

5. EPC esquecido em troca do EPI

O quinto sinal é o mais sutil porque exige comparar duas alternativas tecnicamente próximas. O equipamento de proteção coletiva, ou EPC, é controle de engenharia: protetor de máquina, exaustão geral, cabine acústica, guarda-corpo. O EPI é a última barreira. Quando a matriz registra EPI como controle principal em situação em que o EPC seria viável, o time inverteu a hierarquia, ainda que tecnicamente o controle escolhido seja válido.

O caso mais frequente está em ruído ocupacional. A operação que coloca protetor auricular como controle principal em prensa hidráulica, sem antes avaliar cabine acústica ou substituição por modelo de menor ruído, protege apenas o operador da prensa. Outros trabalhadores que circulam pela área e terceiros eventuais ficam sem controle, ainda que a auditoria conte essa rota como conformidade plena.

O EPC, cuja função é proteger o coletivo no ponto da exposição, opera independentemente do uso correto e do estado de conservação que o EPI exige a cada turno. O EPI protege quem está usando, e somente enquanto está usando, e somente com o equipamento em estado de uso. A hierarquia íntegra esgota o EPC antes de migrar para o EPI, ao passo que a matriz invertida pula essa etapa. Como Andreza Araujo argumenta em A Ilusão da Conformidade, o gestor que pula o EPC não economiza recurso, e sim transfere o custo para o passivo de afastamento, indenização e absenteísmo.

Comparação: hierarquia íntegra frente à hierarquia invertida

Como reconstruir a matriz em noventa dias

A reconstrução não exige refazer o PGR inteiro, ainda que muitos consultores vendam dessa forma. Pegue cinco rotas de risco que aparecem com risco residual idêntico ao bruto e reabra a análise apenas dessas cinco. Para cada uma, faça três perguntas separadas, na ordem dura: a eliminação é tecnicamente possível, ainda que cara? A substituição é tecnicamente possível? A engenharia é tecnicamente possível?

Cada resposta "não" precisa vir acompanhada de uma justificativa que o gerente industrial possa defender publicamente, e não de uma fórmula genérica. "Inviável por restrição operacional" não é justificativa, é fórmula de auditoria. Já "substituição rejeitada porque o fornecedor alternativo está em ruptura há doze meses" é justificativa que sobrevive ao escrutínio do conselho de administração depois de um SIF.

Concluída a reabertura das cinco linhas, projete o orçamento por nível de controle. Quando a barreira primária migra de EPI para engenharia, o capex sobe entre 15% e 40% no primeiro ano, ainda que o opex anual caia, em geral, entre 8% e 20% a partir do segundo ano. A redução de absenteísmo por exposição ocupacional, mensurada por indicadores leading bem montados, costuma pagar a engenharia em 18 a 24 meses, conforme observado por Andreza Araujo em projetos industriais conduzidos em mineração, alimentos e cimento.

O recorte que muda na prática

A NR-01 não falha por falta de norma. Ela falha porque a matriz é tratada como entregável documental, e não como decisão de engenharia. O técnico de segurança preenche o que a planilha pede, o gestor industrial assina o que o orçamento permite e o auditor valida o que a norma cobra. No final da rotina, ninguém precisou tomar, em nome próprio, a decisão de não investir em engenharia.

Cada matriz com EPI como controle principal em rota que admite engenharia é um SIF aguardando a combinação certa de fadiga, pressa de turno e equipamento mal conservado, e não a média estatística da auditoria interna.

Conclusão

Reconstruir a matriz custa pouco frente ao preço de investigar uma fatalidade, cujo custo direto e indireto na indústria brasileira costuma variar entre R$ 2,5 milhões e R$ 8 milhões em projetos acompanhados pela Andreza Araujo, considerando indenização, processo, afastamento de equipe e perda de produtividade. Cinco rotas reabertas em noventa dias devolvem ao gerente de SST argumento técnico para defender a engenharia frente ao orçamento, e devolvem ao conselho a tranquilidade de saber que a barreira primária da operação não depende da disposição do trabalhador num turno cansado. Para conduzir essa reconstrução com método, a consultoria de Andreza Araujo aplica o protocolo descrito em Diagnóstico de Cultura de Segurança e devolve a matriz revisada com plano de ação por horizonte de investimento.