Pré-mortem de segurança: 9 perguntas antes da tarefa

Quando uma tarefa crítica começa sem imaginar como ela poderia dar errado, a equipe perde a última chance barata de corrigir o plano. Este guia mostra como conduzir um pré-mortem de segurança em 45 minutos, usando 9 perguntas que revelam falhas de barreira antes da liberação da tarefa.

O texto foi escrito para técnicos de SST, supervisores e líderes de frente que precisam transformar percepção de risco em decisão objetiva. A tese é prática: o pré-mortem não substitui APR, AST, PT ou PGR, mas obriga a equipe a ensaiar o acidente antes que ele aconteça, enquanto ainda há tempo de mudar escopo, recurso, sequência ou autoridade de parada.

Antes de começar: um pré-mortem de segurança precisa de tarefa definida, cenário crítico, pessoas certas e tempo protegido. Em tarefas de alto potencial, 30 a 45 minutos antes da liberação valem mais do que uma reunião longa depois do incidente, porque a decisão ainda pode alterar barreiras, sequência, isolamento, equipe e prazo.

Comece com uma tarefa concreta, como manutenção elétrica, içamento, abertura de linha, escavação, entrada em espaço confinado ou intervenção em máquina, e use HAZID antes da matriz de risco quando os perigos ainda estiverem mal descritos. Evite aplicar a dinâmica em tema amplo, porque “melhorar segurança” não gera decisão. A pergunta de abertura deve ser específica: “a tarefa falhou gravemente nas próximas 24 horas; o que provavelmente aconteceu?”.

O método conversa bem com a análise pré-tarefa, com AST e com gestão de mudanças, desde que o supervisor trate as respostas como evidência de controle, não como opinião solta. Como Andreza Araujo defende em Sorte ou Capacidade, risco não se assume por bravata; risco se administra com método, porque contar com a sorte deixa a operação refém do dia ruim.

1. Qual é a perda grave que estamos tentando impedir?

A primeira pergunta força a equipe a nomear a consequência, não apenas a atividade. Em vez de dizer “vamos trocar a válvula”, o grupo precisa dizer se o cenário que preocupa é queda, choque, aprisionamento, liberação química, incêndio, tombamento, atropelamento ou outro SIF, porque cada consequência exige barreiras diferentes.

Esse recorte evita um erro comum no PGR, que é tratar todos os desvios com a mesma linguagem. Se a perda grave é queda de altura, o debate passa por ancoragem, acesso, resgate e supervisão. Se é liberação de energia, a conversa muda para isolamento, bloqueio, teste de energia zero, purga, drenagem e impedimento de religamento.

A OIT reporta que 2,93 milhões de trabalhadores morrem a cada ano por fatores relacionados ao trabalho, e que doenças relacionadas ao trabalho respondem por cerca de 89% dessas mortes. O número é global, mas a lição é local: consequência mal nomeada costuma gerar controle genérico, e controle genérico raramente segura evento grave.

2. O que precisaria falhar para essa perda acontecer?

A segunda pergunta transforma medo em cadeia causal verificável. A equipe lista de 5 a 9 falhas necessárias para que a perda grave aconteça, incluindo falhas de planejamento, liberação, equipamento, comunicação, competência, condição climática, interferência entre equipes e pressão de prazo.

Não basta escrever “erro humano”. Essa expressão interrompe a análise cedo demais e empurra a culpa para a ponta. Em 25+ anos liderando EHS em multinacionais, Andreza Araujo observa que a pergunta útil não é quem falharia, mas quais condições tornariam a falha provável, repetível ou invisível para a supervisão.

O pré-mortem deve produzir frases testáveis. “O andaime pode não estar travado” é verificável em campo; “a equipe pode não estar atenta” é fraco demais. O artigo sobre What If em SST aprofunda essa diferença, porque pergunta boa separa análise de palpite quando obriga o grupo a apontar evidência.

3. Qual barreira impede cada falha listada?

A terceira pergunta conecta cada falha a uma barreira concreta. Para cada item levantado, a equipe registra se há eliminação, substituição, controle de engenharia, controle administrativo, EPI, supervisão, alarme, intertravamento, isolamento físico, permissivo operacional ou verificação independente.

Esse passo expõe a fragilidade que muitas APRs escondem. Quando 7 falhas diferentes dependem da mesma pessoa lembrando de fazer a coisa certa, a matriz pode até parecer controlada, embora o sistema esteja apoiado em comportamento perfeito. Andreza Araujo argumenta em A Ilusão da Conformidade que conformidade documental não prova segurança real, e o pré-mortem torna essa distância visível.

A ISO especifica na ISO 45001:2018 requisitos para sistema de gestão de saúde e segurança ocupacional, incluindo identificação de perigos, avaliação de riscos, participação dos trabalhadores, investigação de incidentes e melhoria contínua; a versão foi confirmada em 2024. Use essa lógica como disciplina: barreira sem dono, sem critério e sem verificação não deve ser aceita como controle principal.

4. Quem confirma que a barreira está pronta hoje?

A quarta pergunta troca confiança verbal por confirmação em campo. Antes da tarefa, cada barreira crítica precisa ter um responsável nominal, um critério de aceitação e uma forma de verificação, porque “foi checado” não significa nada se ninguém consegue dizer quem checou, quando checou e contra qual padrão.

Em mais de 250 empresas atendidas, Andreza Araujo identifica um padrão recorrente: a operação raramente sofre por falta de lista; sofre porque a lista não muda a autoridade de quem libera. O supervisor precisa ter permissão explícita para atrasar a tarefa quando a barreira não está pronta, mesmo que a produção esteja cobrando início imediato.

A OSHA define indicadores leading como medidas proativas e preventivas capazes de revelar a efetividade das atividades de segurança antes do acidente. No pré-mortem, um indicador leading simples é o percentual de barreiras críticas confirmadas antes da liberação, medido por amostra semanal de 10 tarefas críticas.

5. Que mudança de última hora tornou o plano antigo insuficiente?

A quinta pergunta procura a mudança pequena que derruba o plano grande. Troca de turno, chuva, equipamento reserva, contratado novo, peça diferente, frente simultânea, liberação atrasada, improviso de ferramenta ou alteração de rota podem invalidar uma análise feita 48 horas antes.

Esse ponto aproxima pré-mortem e gestão de mudanças em SST. Se a tarefa mudou, o risco mudou; se o risco mudou, a liberação antiga perdeu validade parcial. O erro é tratar mudança operacional como detalhe administrativo, porque muitos SIFs nascem justamente da diferença entre o trabalho planejado e o trabalho real.

Durante a passagem pela PepsiCo LatAm, onde a taxa de acidentes caiu 86%, Andreza Araujo consolidou uma lição aplicável aqui: a curva muda quando a liderança aceita parar para revisar o sistema de trabalho, e não apenas cobrar disciplina da equipe. Um pré-mortem que não pode cancelar, reduzir ou redesenhar a tarefa vira teatro de participação.

6. Qual sinal fraco já apareceu antes desta tarefa?

A sexta pergunta obriga a equipe a usar histórico recente, e não memória seletiva. Quase-acidente, primeiro socorro, retrabalho, reclamação de operador, falha de bloqueio, improviso aceito, inspeção sem desvio e PT recusada são sinais fracos que costumam aparecer semanas antes de um evento grave.

O pré-mortem deve perguntar o que os últimos 30 dias já disseram sobre aquela tarefa, área ou equipe. Se houve 3 quase-acidentes parecidos, 2 desvios de isolamento e 1 troca emergencial de equipamento, a liberação não pode continuar como se fosse primeira ocorrência. O problema não está apenas na tarefa de hoje, mas no padrão que ela repete.

A HSE reporta 680.000 lesões não fatais autorreferidas no trabalho em 2024/25 na Grã-Bretanha, enquanto os empregadores reportaram 59.219 lesões não fatais pelo RIDDOR; a própria HSE observa que o levantamento com trabalhadores não sofre a subnotificação substancial que afeta reportes formais. Para o supervisor, a mensagem é direta: sinal fraco ignorado pelo sistema formal ainda é sinal.

7. O que faremos se a resposta for “não sei”?

A sétima pergunta protege a equipe contra a falsa segurança da resposta improvisada. Quando alguém não sabe se a barreira está pronta, se a energia foi isolada, se o resgate está disponível ou se o equipamento foi inspecionado, a regra deve ser pausar, verificar e só então decidir.

O pré-mortem perde valor quando “não sei” vira constrangimento. Em cultura madura, a dúvida é informação operacional, não fraqueza. Como Andreza Araujo escreve em Cultura de Segurança, segurança é valor inegociável; portanto, a dúvida precisa ter mais autoridade que a pressa quando o cenário envolve risco crítico.

Defina a regra antes do início: qualquer “não sei” em barreira crítica suspende a liberação por 15 minutos, ou pelo tempo necessário para verificar a condição. Se a verificação exigir engenharia, manutenção ou gestor de contrato, a tarefa deve subir de nível decisório. O supervisor não deve resolver sozinho uma incerteza que pertence ao sistema.

8. Como registrar as 9 perguntas sem criar burocracia?

O registro do pré-mortem deve caber em 1 página, 9 perguntas e 3 decisões possíveis: liberar, liberar com controle adicional ou não liberar. O objetivo não é criar outro formulário pesado, mas deixar rastreável por que a equipe considerou a tarefa pronta naquele dia.

Use uma ficha curta com campos objetivos: tarefa, data, líder, participantes, perda grave, falhas prováveis, barreiras críticas, mudanças de última hora, sinais fracos, dúvidas abertas, decisão final e responsável por cada ação. Se o registro leva mais tempo que a conversa, ele já virou obstáculo.

O melhor uso está em tarefas críticas, não em toda atividade rotineira. Escolha inicialmente 5 tipos de tarefa, rode o método por 4 semanas e compare o resultado com medição de controles críticos, PT recusada, quase-acidente e ações abertas. Se o pré-mortem não gera decisão diferente, ele precisa ser refeito, não expandido.

9. Comparação: pré-mortem vivo vs. checklist protocolar

A comparação mostra se a prática está reduzindo risco ou apenas adicionando uma etapa ao fluxo. Um pré-mortem vivo muda decisão, prazo, barreira ou autoridade; um checklist protocolar confirma o plano que a equipe já queria executar, mesmo quando surgem dúvidas relevantes.

A diferença decisiva está no poder de alterar o trabalho. Se a conversa só documenta o que já estava decidido, ela consome tempo e cria confiança falsa. Se a conversa identifica uma barreira ausente, aciona dono e muda a liberação, ela atua como controle preventivo real.

Conclusão

O pré-mortem de segurança funciona quando obriga a equipe a imaginar a perda grave, listar as falhas necessárias, confirmar barreiras e transformar dúvida em decisão antes da tarefa. A HSE registrou taxa estimada de 2.070 lesões não fatais por 100.000 trabalhadores em 2024/25 pela pesquisa com trabalhadores, contra 209 lesões reportadas por 100.000 empregados pelo RIDDOR; essa diferença reforça por que a prevenção não pode depender apenas do que já virou registro formal.

Para aplicar amanhã, escolha 1 tarefa crítica, reúna 4 pessoas que conhecem o trabalho real, rode as 9 perguntas em 45 minutos e registre apenas a decisão que muda a liberação. Para estruturar esse ritual dentro do PGR, o diagnóstico de cultura de segurança da Andreza Araujo ajuda a separar barreira viva de formulário confortável. Solicite uma conversa com a equipe da Andreza Araujo.

Cada tarefa crítica liberada sem pré-mortem transfere para o turno a descoberta de falhas que poderiam ter sido vistas em 45 minutos, antes da exposição.