Risco residual no PGR: 5 distorções que assinam acidente

Em projetos de transformação cultural acompanhados por Andreza Araujo em plantas industriais brasileiras de médio porte, o campo "risco residual" do PGR aparece preenchido com a fórmula genérica "aceitável" na larga maioria das auditorias, sem registro do cálculo que sustenta a decisão. Quem assina aceitação de risco residual sem método de cálculo no inventário do PGR não está controlando, apenas declarando, e é por essa porta silenciosa que entram os SIFs evitáveis em planta madura.

Por que aceitação no PGR raramente significa controle

A NR-01 fixa o quê (inventariar, avaliar, decidir, registrar) sem detalhar o como do cálculo do risco residual, e esse silêncio normativo é frequentemente lido como autorização para escrever "aceitável" no campo. O resultado é uma assinatura que cumpre o requisito formal da norma, embora fique aquém da função de gestão de risco que a NR-01 supõe.

Como Andreza Araujo defende em A Ilusão da Conformidade, cumprir a norma e estar seguro são posições distintas, e o risco residual é onde essa distância aparece em estado puro. A multinacional que opera sob ISO 45001 e ALARP precisa demonstrar que o risco foi reduzido até o ponto em que descer mais seria desproporcional, ao passo que a planta brasileira de médio porte costuma assinar aceitação no inventário de riscos do PGR sem qualquer referência a esse limiar.

O ponto crítico é que o risco residual não é um campo administrativo, e sim a métrica que diz se as barreiras de controle aplicadas estão funcionando. Quando o residual é declarado por hábito, o PGR vira documento de auditoria, e não ferramenta de decisão operacional, conforme observa Andreza em mais de 250 projetos de transformação cultural conduzidos em plantas industriais.

1. Risco residual declarado sem método de cálculo

A primeira distorção é a mais comum, e consiste em escrever "risco aceitável" no campo do residual sem qualquer registro de cálculo. Não aparece matriz de probabilidade pela severidade reaplicada após as barreiras, nem demonstração de que os controles inseridos rebaixaram a classe de risco, nem cota numérica derivada de método quantitativo. O campo vira opinião transcrita, ainda que o documento esteja formalmente em ordem.

O argumento da equipe é quase sempre o mesmo, no qual a NR-01 não exige número, exige declaração. A leitura é correta, embora insuficiente, porque a função do residual não é cumprir um campo normativo, e sim demonstrar que o risco bruto foi reduzido até onde os controles aplicados conseguiram reduzir. Sem cálculo registrado, o residual não é residual, é palpite assinado.

Para corrigir, a planta precisa adotar um único método consistente, qualitativo ou quantitativo, e aplicá-lo no risco bruto e no risco residual com a mesma régua. Em A Ilusão da Conformidade, Andreza Araujo descreve como essa simples disciplina derruba metade dos PGRs auditados em multinacionais brasileiras, porque a inconsistência de método entre bruto e residual torna toda a análise indefensável diante de auditor externo ou de juízo trabalhista.

2. Aceitação assinada por quem não responde pelo risco

A segunda distorção é cultural antes de técnica, e aparece quando o residual é aceito por um analista de SST ou por um técnico de segurança que não tem autoridade para parar a operação caso o risco se materialize. A assinatura de aceitação precisa ser do dono do risco, ou seja, do gerente da unidade cujo orçamento, prazo e equipe respondem operacionalmente pela decisão.

Quando o gerente operacional não assina o residual, dois efeitos aparecem em sequência. O primeiro é que ninguém verifica se o controle previsto foi de fato implementado, porque quem deveria verificar não foi vinculado à decisão. O segundo é que, em caso de SIF, a investigação encontra um documento assinado por alguém cuja escrita não tinha autoridade real, o que enfraquece a defesa empresarial em juízo trabalhista e em fiscalização do MTE.

O critério de Andreza Araujo, derivado da experiência em Unilever LatAm e Votorantim Cimentos, é direto: o residual só é aceito por quem teria que parar a operação caso o controle falhasse. Esse alinhamento entre autoridade e responsabilidade é o que separa PGR de teatro de conformidade, embora ainda apareça com pouca frequência em planta brasileira de médio porte.

3. Hierarquia de controles invertida no caminho do residual

A terceira distorção é estrutural e atinge o coração do método: a planta declara residual baixo apoiando-se primariamente em EPI e treinamento, ainda que a NR-01 e a ISO 45001 sigam a hierarquia clássica que coloca eliminação, substituição e controles de engenharia acima dos administrativos e do equipamento individual. Quando o residual baixo depende de EPI, o cálculo está estruturalmente invertido.

O sintoma de campo aparece sempre que o auditor encontra residual classificado como "tolerável" cuja única barreira mensurável é o uso correto de luva, capacete ou óculos. Em planta cuja hierarquia de controles invertida empurra a barreira final para o operador, qualquer falha de uso, fadiga, calor, urgência ou comportamento esperado vira ponto único de falha, e o residual deixa de ser residual e vira risco bruto disfarçado.

Andreza Araujo argumenta em Diagnóstico de Cultura de Segurança que toda planta cujo PGR sustenta residual baixo via EPI está, na verdade, terceirizando a gestão do risco para o trabalhador. O cálculo do residual, quando feito com método, mostra esse efeito numericamente, porque a probabilidade efetiva da barreira EPI funcionar 100% do tempo está abaixo do que a aritmética simples sugere.

4. Cenário-base usado, cenário pior caso ignorado

A quarta distorção é metodológica e aparece quando o cálculo do residual é feito apenas sobre o cenário de operação normal, ainda que a NR-01 obrigue avaliar tarefas não rotineiras e situações de exceção. O PGR cuja matriz só considera o cenário-base subestima sistematicamente o residual, porque elimina do cálculo justamente os eventos que costumam compor SIF.

O exemplo clássico vem da manutenção. A operação normal da máquina tem residual baixo porque o LOTO está implementado, a barreira do confinamento é íntegra e o operador segue procedimento. A manutenção preventiva, ao contrário, exige abertura, intervenção próxima de partes móveis e reabilitação do LOTO, condições nas quais a probabilidade de exposição a energia perigosa cresce em uma a duas ordens de grandeza em relação ao cenário normal.

O critério é objetivo: para cada risco do inventário, o cálculo do residual precisa cobrir cenário normal, cenário de manutenção, cenário de partida, cenário de parada e cenário de emergência. Cinco cenários, cinco números, cinco aceitações distintas. O PGR que entrega um único residual por risco está mascarando os cenários onde o SIF acontece, conforme observa Sorte ou Capacidade ao defender que acidente é evento sistêmico, e não falha pontual do operador.

5. Revisão do residual fora do ciclo de mudança

A quinta distorção é temporal e desfaz o trabalho das quatro anteriores. A planta cuja revisão do residual ocorre apenas no ciclo anual do PGR não percebe, dentro do ano, que mudanças de processo, de equipamento, de turno, de fornecedor ou de matéria-prima invalidaram o cálculo original. Quando o auditor chega no ciclo seguinte, o residual está há doze meses defasado.

O gatilho legítimo de revisão do residual é o evento de mudança, e não o calendário. Cada Management of Change estruturado precisa rodar o cálculo do residual antes de liberar a mudança, e cada quase-acidente reportado precisa disparar revisão dos controles e do residual no risco correlato. Sem esse acoplamento, o PGR é fotografia anual de uma planta dinâmica.

Em mais de 250 projetos de transformação cultural conduzidos pela Andreza, o sinal mais correlacionado com SIF nos doze meses seguintes é a ausência de revisão do residual fora do ciclo do PGR, embora o documento esteja formalmente em ordem no momento da auditoria interna ou da fiscalização externa.

Comparação: NR-01 brasileira versus ALARP / ISO 45001

Em multinacional auditada sob ALARP, o residual é número defensável diante de auditoria externa, ao passo que em planta brasileira média costuma ser declaração defensiva, e essa diferença é frequentemente o que separa SIF inesperado de SIF antecipado pela gestão.

Como auditar o residual do seu PGR em trinta minutos

O técnico de SST consegue rodar a auditoria abaixo em uma única sessão, sobre uma amostra de cinco riscos do inventário escolhidos por relevância e exposição efetiva. O custo é tempo de turno; o ganho é distinguir PGR vivo de PGR de papel.

• Verifique se cada residual tem registro do cálculo, e não apenas o rótulo "aceitável" ou "tolerável".
• Confirme se o método aplicado no residual é o mesmo do risco bruto, sem mistura de qualitativo com quantitativo.
• Cheque se a assinatura de aceitação é do dono do risco, isto é, do gerente da unidade, e não apenas do analista de SST.
• Pergunte se o cálculo cobre cenário normal e cenário de manutenção; se cobre apenas o normal, há gap estrutural.
• Procure no histórico se o último Management of Change disparou revisão do residual no risco afetado, ou se o documento ficou intacto.

Quando ao menos três dos cinco itens falham na amostra, o PGR não está cumprindo a função de gestão de risco da NR-01, embora cumpra a função formal de auditoria. Esse diagnóstico é a porta de entrada para reescrita estruturada do inventário, com método único e ciclo de revisão acoplado a mudança, conforme descreve a metodologia em Diagnóstico de Cultura de Segurança.

Liderança em segurança: o gerente da unidade é a barreira final

O modelo do queijo suíço de James Reason mostra que toda barreira tem buracos, e quando a aceitação do residual é assinada por quem não responde pela operação, a última camada protetora deixa de existir, ainda que o documento esteja em ordem. O gerente da unidade que assina o residual sabendo que pode parar a operação caso o controle falhe é a barreira que nenhum método quantitativo substitui.

Durante a passagem pela PepsiCo na América Latina, onde a taxa de acidentes caiu 86% sob a liderança de Andreza Araujo, esse alinhamento entre autoridade e residual foi um dos pilares menos visíveis e mais decisivos. A redução não veio de mais formulários ou de matrizes maiores, embora viesse do gerente operacional que recusava publicamente residuais incalculados, transformando a recusa em ritual cultural visível para o canteiro inteiro.

Cada PGR cujo residual foi declarado sem cálculo é um SIF aguardando a combinação certa de mudança não revisada, cenário não coberto e controle apoiado em EPI, e não a média estatística do setor.

O recorte que muda na prática

O risco residual no PGR brasileiro raramente falha por falta de norma, e sim porque a empresa repete "aceitável" no automático sem reabrir o cálculo a cada turno, mudança ou cenário fora do padrão. A primeira pergunta do gerente antes de assinar o residual não é técnica, e sim cultural, no qual o ponto está em saber o que mudou no risco em relação à última vez que a aceitação foi calculada. Quando a equipe responde que nada mudou, é provável que ninguém tenha olhado.

Conclusão

Auditar residual custa pouco quando comparado ao preço de investigar SIF, porque quatro horas sobre uma amostra de cinco riscos pesam menos do que seis a dezoito meses de processo, indenização e dano reputacional. Para diagnóstico estruturado da cultura que sustenta o PGR no canteiro, a consultoria de Andreza Araujo conduz a apuração ponta a ponta, com base na metodologia descrita em Diagnóstico de Cultura de Segurança. O escopo cobre revisão da matriz de risco que vira teatro, das barreiras independentes do Bow-Tie e das APR e AST do dia.