Management of Change em SST: 5 falhas que viram SIF

Em mais de oito de cada dez fatalidades investigadas em operações industriais maduras acompanhadas por Andreza Araujo, a equipe identifica uma mudança técnica, organizacional ou de processo liberada nas doze semanas anteriores ao evento. O PGR segue em ordem no mesmo período, e a auditoria interna costuma ter sido aprovada antes do acidente. 8 em cada 10 SIFs em planta madura são precedidos por uma mudança liberada sem revisão SST cruzada, conforme observação consolidada em mais de duzentos e cinquenta projetos de transformação cultural. Este artigo descreve cinco falhas estruturais que transformam o Management of Change (gestão de mudanças, na nomenclatura da NR-01) em ritual de assinatura, e mostra como auditar o seu MoC nos próximos sessenta minutos.

Por que mudança é a maior fonte de risco da gestão de SST hoje

O risco em planta industrial não está distribuído uniformemente no tempo. Concentra-se em janelas curtas que se abrem após qualquer alteração técnica, de pessoas ou de processo, porque toda análise preliminar de risco descreve o sistema antes da mudança, e o sistema depois da mudança raramente é o mesmo. Quando o engenheiro de processo aprova uma troca de fornecedor de válvula sem reabrir a APR da unidade, ou quando o RH aprova uma reorganização que muda o supervisor responsável pela liberação de PT, a fotografia regulatória vira retrato de uma operação que não existe mais.

A literatura de segurança de processo do CCPS (Center for Chemical Process Safety, AIChE) reconhece o Management of Change como uma das catorze etapas centrais do PSM, e a NR-01 brasileira incorpora a obrigação ao exigir que a Gestão de Riscos Ocupacionais (GRO) seja revisada sempre que houver alteração relevante. A Ilusão da Conformidade (Araujo) descreve esse padrão como o "buraco em movimento": a empresa segue cumprindo o documento que descreve a operação antiga, ainda que a operação real já tenha andado.

1. Mudança aprovada pela engenharia sem revisão SST cruzada

A primeira falha estrutural aparece no fluxo de aprovação. Em fábrica madura, a engenharia avalia a mudança pelo critério técnico (capacidade, qualidade, custo) e o gerente de SST recebe o aviso depois da implantação, na forma de comunicado interno ou de eSocial S-2240 corrigido. O gate de SST, que deveria ser pré-aprovação, vira pós-fato, e a APR original permanece arquivada como se ainda descrevesse a tarefa.

Como Andreza Araujo defende em A Ilusão da Conformidade, conformidade documental e gestão de risco real são posições distintas: o documento mostra que houve mudança, ao passo que a barreira preventiva exige que a mudança tenha passado por análise antes de ser liberada. Em vinte e cinco anos liderando EHS em multinacionais como PepsiCo, Unilever e Votorantim, Andreza Araujo observa que essa inversão de gate é o sinal mais correlacionado a SIF inesperado em planta com NR-01 cumprida no papel.

O que fazer no lugar é trivial em redação e custoso em política interna: a engenharia não libera nenhuma mudança técnica, organizacional ou de processo sem que o gerente de SST tenha assinado o formulário de MoC com revisão da APR e da matriz de risco da unidade afetada. O custo da política aparece quando a engenharia precisa esperar três dias úteis para liberar uma mudança que rendia produtividade imediata, e a única forma de sustentar o gate é fazer com que a diretoria industrial trate o MoC como decisão fiduciária, não como burocracia da segurança.

O segundo erro recorrente, descrito a seguir, agrava esse primeiro porque o documento que deveria capturar a nova operação raramente é atualizado.

2. PGR e inventário de riscos não atualizados após a mudança

A segunda falha é a versão documental da primeira. Mesmo quando o gate de SST funciona e a mudança recebe revisão prévia, o inventário de riscos do PGR raramente é atualizado no mesmo ciclo, porque a equipe de SST trata a atualização do documento como tarefa separada, com prazo próprio e com prioridade abaixo da próxima auditoria externa. O resultado é que a planta opera com uma matriz de risco que descreve a configuração anterior, e qualquer auditor que cruzar campo com documento encontra divergência.

A NR-01 obriga que a GRO seja "permanente e contínua", expressão regulatória cuja tradução prática é direta. Não existe versão final do PGR enquanto houver mudança em curso. Em mais de duzentos e cinquenta projetos de transformação cultural acompanhados por Andreza Araujo, a planta com PGR atualizado mensalmente apresenta cobertura efetiva de risco quatro vezes superior à planta com PGR atualizado anualmente, ainda que ambas exibam o mesmo TRIR no relatório do trimestre.

Para o gerente de SST, a recomendação prática se desdobra em três passos. O primeiro integra o fluxo de MoC ao fluxo de manutenção do PGR. O segundo estabelece prazo máximo de cinco dias úteis entre liberação da mudança e atualização do inventário. O terceiro audita mensalmente quantas mudanças do mês entraram no inventário, porque o indicador leading "delay médio de atualização do PGR" prediz SIF melhor que TRIR ou LTIFR isolados.

3. Treinamento da equipe operacional substituído por registro

A terceira falha estrutural aparece na ponta. Após uma mudança técnica relevante (nova válvula, novo procedimento, novo turno, novo software de SCADA), a empresa precisa retreinar a equipe que opera o sistema. Na maior parte das plantas, o treinamento é substituído por registro. O operador assina lista de presença declarando que tomou ciência da mudança, sem demonstrar capacidade prática de operar a nova configuração em condição não rotineira.

Como Andreza Araujo argumenta em Sorte ou Capacidade, o que distingue uma operação resiliente de uma operação sortuda é a competência demonstrada do operador em situação não prevista. Nenhum registro de presença atesta competência. 14 Camadas de Observação Comportamental (Araujo) descreve o protocolo prático. Depois de cada mudança técnica, o supervisor conduz observação comportamental dirigida da nova tarefa por pelo menos três turnos consecutivos, com retorno estruturado ao operador, antes que o registro de treinamento seja arquivado.

O caso mais frequente desse erro está nas tarefas não rotineiras liberadas com um treinamento de dez minutos seguido de assinatura, situação na qual o operador entra na atividade sem ter visto o gesto correto e sem ter testado o novo arranjo do equipamento. A janela de incidência de SIF nesse cenário é mensurável: trinta a noventa dias após a mudança, com pico forte na primeira semana de operação real.

A correção exige que o gerente de SST trate o treinamento pós-mudança como entrega obrigatória do MoC, não como item posterior, e o supervisor que assinou a observação responde solidariamente pelo retorno ao trabalho normal.

4. Indicador de mudanças por semana que ninguém acompanha

A quarta falha é métrica. Plantas com MoC formal raramente medem "número de mudanças aprovadas por semana", e quase nenhuma cruza esse contador com o "número de SIFs ou near-miss reportados nas doze semanas seguintes". O painel de SST rastreia TRIR, LTIFR e DART, indicadores lagging cuja capacidade preditiva é baixa, ao passo que o indicador leading que melhor prediz SIF em ambiente maduro (taxa de mudança recente) fica fora do radar do C-level.

Andreza Araujo defende em Muito Além do Zero que indicador útil para gestão executiva precisa ter três propriedades. Precisa ser influenciável pela ação do gestor, precisa antecipar o evento adverso e precisa resistir a manipulação tática. Taxa semanal de mudança aprovada cumpre as três, porque o gerente industrial pode adiar uma mudança técnica que ainda não foi treinada, o indicador antecipa a janela de risco em trinta a noventa dias e o número não é manipulável por subnotificação, ao contrário do que ocorre com TRIR.

O painel ideal cruza taxa semanal de mudança aprovada com taxa de quase-acidente reportado na mesma janela. Quando a primeira sobe e a segunda não sobe junto, é provável que a equipe operacional tenha parado de reportar pequenas anomalias, sintoma cuja consequência típica é o SIF dentro do trimestre, conforme padrão observado em auditoria 100% que ainda gera SIF.

A recomendação ao gerente de SST é construir o painel de mudanças em planilha simples antes de comprar software dedicado, porque o problema raramente é ferramenta e quase sempre é cultura de medição inexistente.

5. Liderança operacional sem poder de barrar a entrega da mudança

A quinta falha estrutural está na cadeia de comando. O supervisor da unidade, que conhece a operação real, costuma ser o último a saber da mudança e raramente tem autoridade de barrar a entrega quando percebe risco. Em fábrica madura, o gerente de operações reporta ao diretor industrial, cuja meta de produção pesa mais que a meta de SST, e o supervisor que tenta segurar a partida da nova linha por questão de risco encontra resistência hierárquica imediata.

Durante a passagem na PepsiCo LatAm, onde a taxa de acidentes caiu oitenta e seis por cento ao longo de seis anos, Andreza Araujo conduziu uma transformação cuja peça central foi o supervisor com poder de recusa formal. Qualquer mudança técnica nova só entrava em produção depois de o supervisor da unidade assinar a liberação após observação comportamental. Faça a Diferença, Seja Líder em Saúde e Segurança (Araujo, 2014) descreve trinta e nove movimentos do líder de turno, dos quais o décimo nono trata especificamente da recusa pública de operação não validada.

O que diferencia a liderança operacional efetiva da liderança decorativa é a previsibilidade da recusa: a empresa precisa saber que o supervisor recusará uma partida tecnicamente possível mas operacionalmente não validada, e a engenharia precisa planejar a janela de validação antes de liberar a mudança. Quando a recusa é imprevisível, a engenharia ignora; quando a recusa é certa, a engenharia se antecipa.

O sintoma da falha é simples de auditar: pergunte ao supervisor da unidade quando foi a última vez que ele recusou uma mudança técnica e quanto tempo levou para a engenharia respeitar a recusa. Se a resposta for "nunca recusei" ou "a engenharia desautorizou em duas horas", o quinto erro está instalado, e o próximo SIF é apenas questão de qual mudança será a gatilho.

Comparação: MoC formalístico frente ao MoC operativo

A diferença prática entre um Management of Change que cumpre função e outro que apenas cumpre auditoria aparece em cinco dimensões mensuráveis dentro de qualquer planta industrial:

Como auditar seu MoC em 60 minutos

O diagnóstico rápido do MoC cabe em uma hora do gerente de SST e dispensa software dedicado. Pegue cinco mudanças aprovadas nos últimos noventa dias (técnica, organizacional, de processo, de pessoas e de software) e cruze cada uma com este conjunto de critérios:

• Existe formulário de MoC assinado pelo SST antes da implantação, em vez de aviso posterior?
• O inventário de riscos do PGR foi atualizado em até cinco dias úteis após a liberação, com referência explícita à mudança?
• O treinamento pós-mudança incluiu observação comportamental por pelo menos três turnos consecutivos, registrada e arquivada?
• O painel mensal de SST mostra a taxa semanal de mudanças aprovadas cruzada com a taxa de quase-acidente reportado na mesma janela?
• O supervisor da unidade exerceu o direito de recusa pelo menos uma vez nos últimos doze meses, e a engenharia respeitou a recusa?

Quando o cruzamento mostra que mais de duas das cinco mudanças não atendem ao menos quatro critérios, o MoC da planta é formalístico e a janela de SIF está aberta. Diferente do que sugere a leitura otimista da auditoria interna, ausência de TRIR alto não significa MoC saudável, sentido em que o blog já discutiu na investigação que culpa o operador sem reabrir a cadeia da mudança.

Cada mudança liberada esta semana sem reabertura formal da APR é uma janela de trinta a noventa dias em que o SIF passa a depender apenas da combinação certa de operador novo, turno cansado e procedimento desatualizado, e não da média estatística do trimestre.

Conclusão

Auditar MoC custa pouco frente ao preço de investigar uma fatalidade derivada de mudança não controlada, porque sessenta minutos sobre cinco mudanças pesam menos do que seis a dezoito meses de processo judicial, indenização e dano reputacional pós-SIF. A gestão de risco que ignora a janela da mudança não é gestão preventiva, é arquivamento de NR cumprida. Para um diagnóstico estruturado da cultura que sustenta o MoC na sua planta, a consultoria de Andreza Araujo conduz a apuração ponta a ponta com base na metodologia descrita em Diagnóstico de Cultura de Segurança.

Em instalações com inflamáveis, mudança pequena de leiaute, ventilação ou ponto de transferência altera o cenário de risco; por isso a análise de NR-20 em inflamáveis deve entrar no gatilho de mudança operacional antes da liberação.