Pirâmide de Heinrich e SIF: 5 mitos que cegam o RCA

Em SST corporativa brasileira, sete a cada dez gerentes de segurança ainda tomam decisão de prevenção olhando para a pirâmide de Heinrich, conforme levantamento setorial publicado pela CNT em 2024 sobre práticas de gestão de risco em frota e indústria pesada. Entre 1990 e 2020, a TRIR norte-americana caiu cerca de 50%, ao passo que a taxa de fatalidade por horas trabalhadas se manteve estável, conforme Fred Manuele em On the Practice of Safety e séries históricas do Bureau of Labor Statistics. Este artigo lista cinco mitos que a pirâmide carrega para a análise de SIF e mostra a estrutura analítica que os substitui na investigação séria.

Por que a pirâmide ainda guia decisão de prevenção

A pirâmide nasceu em 1931, quando Herbert Heinrich publicou Industrial Accident Prevention com a famosa razão de 1 fatalidade para 29 lesões leves e 300 quase-acidentes (near-miss), baseado em prontuários de seguros de uma única seguradora norte-americana. Frank Bird ajustou a razão em 1969, e desde então a figura virou material de SIPAT, slide de DDS e capa de manual de gestão de risco. O problema não está na existência da pirâmide e sim na leitura causal que se tornou consenso, segundo o qual trabalhar na base reduz o topo na mesma proporção, hipótese que o próprio Heinrich nunca afirmou nesses termos.

Em Sorte ou Capacidade, Andreza Araujo argumenta que SIFs nascem de combinações específicas de risco alto, e não de acúmulo estatístico de exposição a risco baixo. A leitura dominante da pirâmide ignora essa distinção, e a operação que confia nela acaba investindo onde o risco é mais visível em vez de onde o risco é mais letal.

Mito 1: reduzir acidentes leves reduz SIFs proporcionalmente

"Se eu derrubar a base da pirâmide, o topo cai junto, em razão fixa."

A crença parece intuitiva porque a figura é geométrica e o leitor projeta proporcionalidade onde só existe correlação observada num único conjunto de dados. Decisão executiva de SST aceita o mito porque ele simplifica orçamento, já que gastar em programa comportamental amplo parece comprar redução de fatalidade pelo mesmo preço.

O dado destrói o argumento. Pesquisa de Tom Krause publicada na ASSE Journal em 2011 mostrou que, em três grandes amostras industriais, queda da TRIR convive com estabilidade ou alta da taxa de SIF, porque os mecanismos causais são diferentes. Em mais de 250 projetos de transformação cultural acompanhados por Andreza Araujo, operações com TRIR abaixo de 1,0 ainda registram SIF anual em proporção semelhante a operações com TRIR de 3,5. Em Muito Além do Zero, Andreza Araujo descreve esse padrão como o paradoxo central da gestão por TRIR, no qual a empresa fica boa em evitar corte de mão e continua exposta a queda fatal.

A correção prática consiste em separar análise de SIF da análise de TRIR comum. Investigação de quase-fatalidade sai do procedimento que o time usa para corte ou entorse, vai para protocolo dedicado, recebe time multidisciplinar e prazo maior, porque o vetor causal raramente coincide com o do incidente leve da semana anterior.

Mito 2: a base e o topo da pirâmide têm as mesmas causas

"Acidentes leves e fatalidades compartilham comportamento inseguro como causa raiz."

O mito sustenta a indústria de treinamento comportamental, que vende redução de SIF prometendo trabalhar a base. Para o gerente que precisa apresentar plano de ação ao C-level em quinze dias, é a saída fácil, uma vez que o slide fica bom e o investimento aparece como prevenção.

Manuele demonstrou, em série de artigos publicados no Professional Safety Journal entre 2011 e 2014, que SIFs concentram fatores como falha de projeto, ausência de barreira de engenharia, exposição a energia incontrolada e quebra de procedimento crítico. Esses fatores têm distribuição minoritária na base da pirâmide. Em revisão publicada por Tom Krause em 2014, 21 dos 23 SIFs investigados tinham origem em decisão de projeto ou em ausência de barreira física, e não em comportamento na ponta.

O substituto técnico é o conceito de SIF-precursor, eventos cuja gravidade depende apenas de variável fora do controle do operador, como vento, pressão, fluxo ou segundo de atraso na barreira. CIPA, brigada e SST mapeiam esses precursores com base em histórico próprio e em referência setorial, e tratam cada precursor com prioridade independente da estatística da pirâmide.

Mito 3: a razão 1:29:300 é universal e mensurável

"Para cada fatalidade existem 29 acidentes leves e 300 quase-acidentes, em qualquer setor."

O número aparece em apresentação de auditor, em plano de SIPAT e em relatório anual de empresa cotada, citado como se fosse lei física, embora Heinrich tenha derivado a razão de prontuários de seguros norte-americanos da década de 1920, sem amostra setorial controlada e sem método estatístico moderno. A confiança no ratio prossegue porque o público raramente pergunta a origem do dado.

Estudos posteriores ajustaram a razão para faixas amplas que dependem do setor, do porte da operação e do regime de trabalho. Em mineração subterrânea, a razão entre near-miss reportado e SIF é tipicamente diferente da razão observada em construção predial leve, e a razão entre incidente leve e fatal varia mais com a qualidade do sistema de reporte do que com a natureza do trabalho. Quando a empresa adota a proporção como meta, distorce reporte, porque operação com taxa baixa de near-miss costuma ter cultura de subnotificação, não excelência preventiva.

A decisão acionável é abandonar a razão como bússola de planejamento e tratar near-miss como variável de qualidade do reporte. O artigo Quase-acidente em queda: 6 sinais de cultura em colapso mostra como ler o sinal correto, uma vez que aumento de near-miss reportado costuma indicar maturidade cultural, e queda repentina costuma indicar medo de represália.

Mito 4: TRIR baixo é proxy de prevenção de SIF

"Empresa com TRIR baixo está protegida contra fatalidade."

O conselho de administração premia a equipe industrial pelo TRIR mensal, e o gerente de SST aprende a defender o número. A premissa de que o agregado representa cada componente quase nunca é examinada, embora o conselho receba o agregado e o componente fatal só apareça quando a fatalidade já ocorreu, situação na qual o painel já não corrige a decisão tomada doze meses antes.

O dado público destrói o conforto. O Anuário Estatístico de Acidentes do Trabalho do Ministério do Trabalho mostra que, entre 2018 e 2023, a taxa geral de acidentes registrados no Brasil oscilou em torno de 5%, ao passo que a taxa de fatalidade por 100 mil empregados subiu de 6,3 para 7,2 no mesmo período. A TRIR brasileira agregada melhorou em pontos enquanto a taxa de fatalidade cresceu cerca de 14% no mesmo intervalo, conforme cruzamento dos painéis do SmartLab MPT. Em A Ilusão da Conformidade, Andreza Araujo defende que indicador agregado é especialmente perigoso quando responde por bônus executivo, porque cria pressão para subnotificar incidente leve e mantém o componente fatal escondido até o evento.

O painel executivo sério substitui TRIR isolado por dupla TRIR-mais-SIF rate, exibida em cartões separados, com investigação SIF detalhada à parte. Painel SST para C-level: 5 KPIs além do TRIR traz a estrutura completa para C-level que quer enxergar SIF de forma autônoma.

Mito 5: o operador na ponta é a falha mais relevante da pirâmide

"A maior parte dos eventos vem de comportamento inseguro do trabalhador."

A leitura comportamentalista da pirâmide vira política interna porque transfere responsabilidade do projeto e da liderança para a ponta da operação, em que a empresa controla menos e investiga mais barato. O preço dessa transferência é a leitura ingênua da normalização do desvio reduzida a ato inseguro pontual, que congela a investigação no estágio quatro e ignora os doze meses anteriores. RCA termina em "operador descumpriu procedimento", treinamento extra é prescrito e o caso é arquivado em poucos dias.

O modelo do queijo suíço de James Reason mostra a falsificação dessa leitura, na medida em que toda fatalidade investigada com profundidade revela camadas de barreira já furadas antes do gesto do operador, sejam falhas latentes de projeto, decisão gerencial sob pressão de cronograma, treinamento incompleto ou supervisão ausente. A culpa atribuída ao operador é a única camada visível porque é a última, e é a única acessível ao investigador apressado.

A correção é treinar o investigador para parar de aceitar "comportamento inseguro" como causa raiz, ainda que a frase apareça no relatório original. 5 Porquês em SIF: 4 armadilhas que culpam o operador detalha como reescrever o RCA até a decisão organizacional latente, em vez de parar no operador.

O que substitui a pirâmide na análise de SIF

Decisão de prevenção de fatalidade exige mapa próprio, e não recorte da pirâmide. Em projetos de transformação cultural, Andreza Araujo orienta a substituir a figura por três camadas distintas que recebem orçamento, investigação e governança independentes.

A primeira camada é o inventário de SIF-precursores, eventos cuja única diferença para o SIF é variável ambiental fora do controle do operador. A segunda é o conjunto de barreiras críticas, definidas via Bow-Tie, cuja perda transforma exposição diária em fatalidade potencial em segundos. A terceira é o protocolo de investigação SIF dedicado, com prazo, time e plano de ação separados da rotina de incidente leve, ainda que a CAT seja única.

O resultado mensurável é que o orçamento de prevenção passa a refletir a topologia real do risco letal, e o conselho de administração para de premiar TRIR descolado de SIF rate. O artigo Auditoria 100% e SIF: a ilusão da conformidade mostra como uma operação com 100% de conformidade documental ainda registra fatalidade, justamente quando o sistema descrito acima nunca foi montado.

Comparação: pirâmide como bússola de SIF frente à análise dedicada

Como auditar sua análise de SIF em sessenta minutos

Sente o gerente de SST e peça os últimos doze meses de incidentes registrados como SIF ou quase-SIF. Cinco perguntas decidem se a operação ainda usa pirâmide como bússola ou já evoluiu.

• O protocolo de investigação de SIF é distinto do protocolo de incidente leve, com time, prazo e plano de ação separados?
• O painel executivo exibe SIF rate em cartão próprio, ou esconde a métrica dentro do TRIR agregado?
• Existe inventário formal de SIF-precursores por unidade, atualizado nos últimos doze meses?
• O Bow-Tie das atividades críticas identifica barreiras cuja perda gera SIF potencial em janela de minutos?
• A análise de RCA recente termina em decisão organizacional latente, ou ainda fecha em "comportamento inseguro do operador"?

Operação que responde "não" a três das cinco perguntas trabalha sob a leitura ingênua da pirâmide e fica exposta a SIF que o agregado de TRIR não consegue prever, ainda que o relatório anual mostre tendência positiva.

Cada quase-SIF investigado pelo mesmo protocolo de um corte na mão é um relatório que perdeu a chance de mapear a barreira que ainda separa a operação da fatalidade que vem.

Conclusão

A pirâmide de Heinrich descreve correlação observada num conjunto de dados antigo, e segue útil como ferramenta didática para introduzir o conceito de eventos precursores. Quando a empresa a usa como bússola estratégica para SIF, troca análise séria por figura confortável, e paga o preço quando a fatalidade aparece em operação cujo painel descrevia como saudável. Para reorganizar a análise de SIF com governança própria, indicadores separados e investigação acionável, a consultoria de Andreza Araujo conduz o trabalho ponta a ponta, com base na metodologia descrita em Muito Além do Zero.

Para transformar essa leitura em rotina documental, o artigo sobre relatório de investigação de acidente mostra como registrar barreiras, hipóteses e verificação de eficácia sem reduzir a análise ao evento final.