O turno que revelou 8 lacunas na matriz de risco antes de liberar a tarefa

Uma matriz de risco não falha porque a multiplicação entre probabilidade e severidade está errada; ela falha quando a nota ocupa o lugar da decisão. Neste caso ilustrativo, uma equipe quase liberou uma manutenção com 8 lacunas: cenário incompleto, exposição subestimada, barreira sem dono, evidência ausente, mudança ignorada, condição humana omitida, critério de parada indefinido e prazo sem verificação. A correção exigiu 30 minutos de campo, 5 perguntas de controle e uma nova aprovação antes do início. Este material também pode ser usado junto de uma decisão controlada de risco antes da liberação.

O objetivo não é ensinar uma fórmula universal. É mostrar como uma matriz pode parecer organizada e ainda deixar um risco crítico sem resposta. A NR-01, publicada pelo Ministério do Trabalho e Emprego, conecta o gerenciamento de riscos ocupacionais à identificação de perigos, avaliação de riscos e adoção de medidas de prevenção. O caso usa essa lógica para deslocar a conversa da pontuação para a barreira que precisa funcionar.

1. O cenário parecia controlado antes do primeiro corte

O caso começa com uma manutenção de 4 horas em uma área produtiva, planejada para substituir uma válvula e testar a linha antes da retomada. A matriz classificava o risco como médio porque considerava a tarefa conhecida, a equipe experiente e o equipamento parado. A falha estava no cenário: havia energia residual, circulação de 2 empilhadeiras e uma mudança de turno prevista para 14h. Uma classificação aparentemente moderada não descrevia a exposição real nem definia o controle que deveria impedir a liberação.

A autorização tinha 1 página, 3 assinaturas e nenhum campo para registrar a energia residual. O documento citava bloqueio, isolamento e teste, mas não dizia quem confirmaria cada etapa. Também não havia uma pergunta sobre interferência com a logística interna, embora a rota das empilhadeiras cruzasse a área de trabalho.

O primeiro ângulo próprio do caso é este: experiência da equipe pode reduzir tempo de execução, mas não substitui a descrição do cenário. Quando o histórico de tarefas semelhantes vira argumento para diminuir a exposição, a matriz deixa de ser instrumento de prevenção e vira memória seletiva.

O supervisor corrigiu o documento sem reescrever a nota de risco. Ele pediu que a equipe desenhasse o cenário, marcasse fontes de energia e apontasse as interfaces com outras operações. Conforme o desenho avançou, a classificação deixou de ser uma opinião isolada e passou a refletir uma decisão compartilhada.

2. A primeira lacuna estava entre o perigo e o evento

A primeira lacuna é registrar o perigo sem descrever o evento indesejado que pode ocorrer. “Energia mecânica” é um perigo; “liberação inesperada durante o teste, atingindo quem está na linha de fogo” é um cenário de acidente que orienta barreiras. A diferença importa porque a matriz deve responder a uma pergunta concreta: o que pode acontecer, com quem, em qual etapa e com qual consequência? Sem esse encadeamento, a nota não ajuda a escolher controle.

A equipe reescreveu 4 linhas genéricas em 4 cenários: abertura prematura, energia residual, circulação de veículo e falha de comunicação no retorno. Cada cenário recebeu consequência, exposto e etapa. O registro ficou maior, mas a decisão ficou mais rápida, porque o grupo passou a discutir controles observáveis.

O HSE orienta que a avaliação de risco considere perigos, pessoas expostas e medidas para controlar o risco. A recomendação não transforma a matriz em burocracia; ela impede que o formulário pare no nome do perigo. A pergunta útil é qual barreira reduz a probabilidade ou limita a consequência.

Esse ajuste também protege a comunicação. Um trabalhador que entra no turno às 14h consegue entender o risco sem depender da memória de quem participou da reunião às 9h. O cenário cuja descrição é clara permite que outra pessoa reconheça a mesma condição e interrompa a tarefa.

3. A nota escondia uma exposição que mudou no meio do turno

A segunda lacuna é tratar a exposição como fixa quando ela muda durante a tarefa. Neste caso, a equipe começou com 2 trabalhadores isolados, mas passou a ter 5 pessoas no raio de interação quando a logística foi retomada. A probabilidade não deveria permanecer igual apenas porque o perigo original não mudou. A exposição precisa ser revisada quando entram pessoas, equipamentos, turnos, produtos, pressão de prazo ou condições ambientais diferentes.

O grupo criou uma regra simples: toda mudança de exposição exigiria uma pausa de 10 minutos para revisar o cenário e as barreiras. A regra não pretendia prever todas as variações; ela criava um gatilho claro para não deixar a decisão presa ao documento inicial.

A terceira dimensão proprietária é a interface. A matriz tradicional costuma olhar para a tarefa como se ela ocupasse o espaço inteiro. No campo, porém, a tarefa divide espaço com produção, transporte, manutenção, visitantes e outras equipes. O risco nasce também do encontro entre atividades que foram planejadas separadamente.

Se a exposição mudou, a assinatura anterior não basta. Embora o formulário ainda esteja válido como registro, ele precisa receber uma atualização que mostre a nova condição, a decisão tomada e a autoridade que autorizou a continuidade.

4. A barreira existia no papel, mas não tinha dono

A terceira lacuna é listar uma barreira sem indicar quem garante sua implantação e sua verificação. “Bloquear a energia” não é um controle completo quando ninguém aparece como responsável pelo bloqueio, pelo teste de ausência de energia e pela liberação final. No caso, a barreira tinha nome, mas não tinha dono, prazo nem evidência. Por isso, ela parecia presente na matriz e permanecia incerta no campo.

A equipe separou 5 responsabilidades: preparar o bloqueio, aplicar o dispositivo, testar a ausência de energia, inspecionar a área e autorizar o retorno. Cada etapa passou a ter nome, horário e evidência mínima. A decisão não ficou mais lenta; ficou auditável.

Andreza Araujo sustenta, em Cultura de Segurança: Da Teoria à Prática, que “não fazer nada não é uma opção”. A posição reforça a tese do caso: identificar um risco sem atribuir ação é uma forma elegante de não agir. A matriz precisa conduzir a uma escolha que alguém possa executar e provar.

O dono do risco não é necessariamente quem preenche a planilha. É quem pode mobilizar recurso, interromper a tarefa e exigir correção. Quando a decisão cuja consequência afeta várias áreas fica sem autoridade definida, o risco circula entre departamentos até voltar para o trabalhador.

5. O controle crítico não tinha evidência de eficácia

A quarta lacuna é confundir a existência de um procedimento com a eficácia do controle. O procedimento de bloqueio estava disponível, mas a equipe não tinha evidência recente de teste, inspeção ou simulação. Uma barreira só merece reduzir o risco quando funciona nas condições reais de uso. No caso, a verificação exigiu 3 provas: identificação do ponto, teste de ausência de energia e confirmação independente antes do corte.

Esse critério evitou uma aprovação baseada em presença documental. A equipe fotografou o dispositivo aplicado, registrou o teste e anotou a condição da válvula. A imagem não substituiu a inspeção, mas ajudou a preservar a evidência da decisão.

A ISO 45003 especifica a necessidade de integrar perigos e controles ao sistema de saúde e segurança ocupacional. Para uma matriz de risco, isso significa acompanhar o controle depois da identificação. A avaliação não termina quando a planilha recebe uma cor; termina quando a barreira foi verificada.

O caso também mostrou que controles administrativos precisam de teste. Treinamento, instrução e autorização podem ser adequados, mas falham quando a operação muda, o prazo aperta ou o responsável não está presente. A evidência deve mostrar o que foi verificado, não apenas o que foi prometido.

6. A mudança de turno expôs o risco de comunicação

A quinta lacuna é tratar comunicação como repasse informal, mesmo quando a tarefa atravessa 2 turnos. A troca de equipe ocorreu com a válvula aberta, o bloqueio instalado e o teste pendente. Sem uma passagem estruturada, o segundo grupo poderia interpretar a área como pronta para retomada ou remover a barreira por desconhecer a etapa incompleta. A comunicação precisava registrar estado, proibição, próximo passo e autoridade de retorno.

O supervisor adotou um cartão de passagem com 4 campos: condição atual, controle instalado, teste pendente e nome de quem autoriza a retomada. A equipe que recebia repetia os 4 pontos antes de assumir a tarefa. O método levou 5 minutos e eliminou a ambiguidade que a assinatura anterior não resolvia.

O HSE descreve a passagem de turno como uma interface crítica, na qual informação incompleta pode degradar a segurança. A fonte é útil porque desloca a comunicação do campo comportamental para o desenho da operação.

Uma passagem não é um ritual de cordialidade. É uma barreira que precisa de conteúdo, tempo e confirmação. Se o processo cuja execução depende da continuidade entre turnos não define o que deve ser repetido, a organização delega a segurança à memória individual.

7. A condição humana ficou fora da classificação

A sexta lacuna é ignorar condições humanas que alteram atenção, decisão e capacidade de interromper a tarefa. O caso incluía uma equipe com 11 horas acumuladas de jornada e pressão para liberar a linha antes da produção da tarde. Isso não prova que ocorreria um acidente, mas muda a qualidade da decisão. Fadiga, pressa, baixa autonomia e dúvida sobre autoridade precisam aparecer como fatores que exigem controle, não como defeitos pessoais.

A correção foi operacional: reduzir a equipe exposta, retirar a pressão de horário da meta de liberação e estabelecer que qualquer trabalhador poderia parar o corte sem punição. O supervisor também inseriu uma pergunta na conversa: “o que está dificultando fazer esta tarefa com segurança agora?”.

Essa etapa evita um erro recorrente: tratar condição humana como justificativa para culpar o último elo. A segurança depende de um sistema que ofereça tempo, recurso, informação e autoridade compatíveis com a decisão esperada. Quando o controle exige heroísmo, ele já nasceu frágil.

Para aprofundar a relação entre experiência e percepção, consulte os 9 sintomas de confiança que desarma controles e compare a confiança operacional com a evidência da barreira.

O resultado foi uma mudança de leitura. O risco não estava apenas na válvula; estava na combinação entre energia, circulação, troca de turno e pressão de produção. A matriz que registra o contexto consegue indicar controles que uma lista de perigos não alcança.

8. O risco residual só baixou depois da verificação

A sétima e a oitava lacunas apareceram juntas: aceitar o risco residual sem definir critério de parada e encerrar a análise sem verificar a execução. Depois das correções, o risco foi reclassificado apenas quando as 5 barreiras estavam confirmadas. O grupo definiu 3 condições de interrupção: energia não isolada, rota de veículo sem segregação e responsável ausente. Sem essas condições atendidas, a nota não autorizava o início.

A tabela abaixo resume a diferença entre uma matriz que apenas classifica e uma matriz que conduz uma decisão:

A última correção foi programar verificações em 24 horas, 7 dias e 30 dias. A primeira confirmou a execução; a segunda avaliou se a barreira continuava disponível; a terceira verificou se o aprendizado entrou no processo. Um controle que só funciona no dia da reunião ainda não é um controle confiável.

Essa lógica também se aplica a outros instrumentos. Para comparar a análise de tarefa com a priorização do risco, consulte APR x AST na prática; para avaliar a responsabilidade da mudança, veja MOC em SST; e, quando o controle crítico precisar de priorização, leia FMEA em SST.

Conclusão: a matriz deve liberar a decisão, não apenas a tarefa

Uma matriz de risco é útil quando transforma perigo, exposição e consequência em barreiras verificáveis, responsáveis nomeados e critérios claros de interrupção. O caso mostrou 8 lacunas corrigidas antes da liberação, com 5 barreiras, 3 condições de parada e revisões em 24 horas, 7 dias e 30 dias. A tese é simples: a qualidade da matriz aparece na decisão que ela impede, adia ou condiciona, não na aparência organizada da planilha.

O próximo uso prático é escolher uma tarefa crítica e fazer 5 perguntas: qual evento queremos evitar, quem está exposto, qual barreira precisa funcionar, qual evidência prova isso e quem pode parar? Se a equipe não responder em 10 minutos, a matriz está sinalizando uma lacuna de gestão, não uma falta de atenção do trabalhador.

Andreza Araujo resume a atitude necessária em uma posição que atravessa sua obra: risco identificado precisa ser eliminado ou controlado. A matriz não existe para dar conforto à liderança; existe para tornar visível o que ainda precisa ser decidido. Use estas 9 perguntas sobre Permissão de Trabalho na próxima liberação e transforme a assinatura em evidência de controle.

Perguntas frequentes sobre matriz de risco

A matriz de risco não substitui a decisão técnica nem a verificação de campo; ela organiza os critérios para que a decisão seja coerente, rastreável e revisável. As 5 respostas abaixo ajudam a separar classificação, controle, responsabilidade e evidência, porque esses elementos costumam ser misturados em formulários que parecem completos, mas não orientam a operação.

O que torna uma matriz de risco fraca?

Uma matriz de risco fica fraca quando transforma perigo em nota sem registrar cenário, exposição, barreiras, responsável, evidência e prazo. A pontuação pode parecer precisa, mas não orienta uma decisão operacional. O teste é perguntar se o supervisor consegue explicar qual evento está sendo evitado, qual controle precisa funcionar e o que será feito se a barreira estiver indisponível.

A matriz de risco substitui a APR ou a AST?

Não. A matriz ajuda a classificar e priorizar o risco, enquanto APR e AST detalham a tarefa, as condições presentes e os controles necessários. A matriz organiza a decisão em nível de processo; a análise da tarefa verifica se o controle continua adequado no campo. Os instrumentos se complementam quando usam o mesmo cenário e os mesmos responsáveis.

Quem deve ser o dono do risco?

O dono do risco é a pessoa ou função com autoridade e recursos para manter o controle funcionando, não apenas quem preenche o formulário. Em uma atividade de manutenção, pode ser o gerente da área, o supervisor responsável pela liberação ou o gestor do contrato, conforme a governança definida. O nome precisa aparecer junto do prazo e da evidência.

Quantas vezes a matriz de risco deve ser revisada?

A frequência depende da criticidade, da mudança e da qualidade das evidências. Uma revisão anual pode ser um mínimo administrativo, mas não substitui a revisão antes de uma mudança de layout, equipamento, equipe, produto ou método. Para controles críticos, a verificação deve ocorrer antes da tarefa e depois de qualquer desvio que altere o cenário.

Como saber se o risco residual é aceitável?

O risco residual só pode ser considerado aceitável quando as barreiras previstas estão implantadas, disponíveis e verificadas. A organização deve definir critérios de aceitação, autoridade para aprovar exceções e ação quando o controle falhar. Uma nota baixa sem evidência não prova controle; apenas registra uma expectativa.