Viés de confirmação em RCA: 5 padrões que culpam o operador

Em sete de cada dez investigações de SIF cuja causa raiz documentada termina em falha humana, a leitura independente do dossiê revela que a conclusão estava fechada antes da segunda evidência ser coletada. O motivo não é má-fé do investigador, e sim viés de confirmação operando dentro de um RCA tecnicamente correto. Setenta por cento das causas raiz registradas como ato inseguro do operador não sobrevivem a uma revisão independente conduzida por equipe externa. Andreza Araujo observa esse padrão em mais de duzentos e cinquenta projetos de transformação cultural acompanhados em mineração, indústria de alimentos e construção. Este guia descreve os cinco padrões pelos quais o viés contamina a investigação e oferece o protocolo de cinco movimentos que neutraliza o efeito antes da causa raiz ser fechada.

Por que RCA tecnicamente correto produz causa raiz errada

O RCA é um método, e o método não decide a causa raiz porque o método não vê. Quem vê é o investigador. Daniel Kahneman descreve no livro Rápido e Devagar que toda análise humana opera com hipótese inicial em segundo plano, e o cérebro confirma essa hipótese antes de testá-la. Em ambiente de SST industrial brasileiro, a hipótese inicial do investigador é quase sempre a mesma: o operador errou. Como Andreza Araujo argumenta em Sorte ou Capacidade, acidente é evento sistêmico, e a leitura ingênua do RCA confunde o último elo visível com a causa real.

O efeito quantificável aparece em revisão independente. Quando uma equipe externa reabre os dossiês de SIF concluídos por falha humana nos últimos dois anos, a reclassificação para causa estrutural (projeto, hierarquia de controles invertida, supervisão ausente, manutenção atrasada) alcança índices entre cinquenta e setenta por cento. O investigador interno não mentiu, embora tenha visto apenas o que a hipótese inicial permitiu ver. O modelo do queijo suíço de James Reason oferece a explicação técnica, na medida em que o último buraco alinhado é sempre o mais visível, ainda que os anteriores sejam mais determinantes.

A consequência cultural ultrapassa o caso individual. A empresa cujo padrão de RCA termina em falha humana mais de oitenta por cento das vezes constrói, sem perceber, uma cultura de culpa cujos sinais são descritos no artigo sobre cultura de culpa em SST. A investigação confirma o que a empresa já queria ouvir, e o ciclo do aprendizado fecha antes que o sistema mude.

Padrão 1: Hipótese pré-formada antes da inspeção física

O primeiro padrão começa antes do investigador chegar ao local do evento. A pergunta cuja resposta determina a investigação inteira é o que aconteceu, e essa pergunta admite duas leituras radicalmente distintas. A leitura sistêmica pergunta por barreiras quebradas e camadas que falharam; a leitura comportamental pergunta por ato inseguro do operador. O investigador que sai do escritório já sabendo qual leitura vai aplicar volta com causa raiz consistente com a hipótese inicial, mesmo quando o local físico mostra evidência contrária.

A tese contrária ao senso comum SST é direta: o investigador não é observador neutro do sistema. Em mais de duzentos e cinquenta projetos acompanhados pela Andreza Araujo, a hipótese inicial do investigador interno foi previsível em quatro de cada cinco casos antes mesmo da inspeção. A explicação é cultural, porque a empresa já desenhou o roteiro narrativo do operador desatento, e o investigador se ajusta ao roteiro para evitar atrito com a hierarquia. O viés não é traço pessoal, embora apareça como se fosse, na medida em que reproduz uma estrutura cultural visível em qualquer organização calculativa.

Para detectar a presença deste padrão na sua operação, peça ao investigador, antes da inspeção física, que registre por escrito quatro hipóteses distintas para a causa raiz: falha de projeto, falha de supervisão ou processo, falha de equipamento ou manutenção, ato direto do operador. O exercício força o cérebro a sair da hipótese única e abrir o leque investigativo. Investigadores que conseguem listar apenas a quarta, ou listam as quatro com profundidade desigual, estão demonstrando o viés de confirmação em ação antes mesmo da coleta de dado.

A correção exige rotação obrigatória do investigador líder em qualquer SIF, conforme o protocolo descrito em Sorte ou Capacidade (Araujo). O investigador interno do dia a dia continua participando da equipe técnica, embora não conduza a investigação, porque a familiaridade com o operador e com o supervisor é o gatilho mais poderoso do viés. Empresas de classe mundial usam revezamento entre plantas ou contratam revisão externa para SIFs, e essa decisão custa entre quinze e quarenta horas-investigador a mais por evento, valor desprezível quando comparado ao custo cultural de fechar um SIF na causa raiz errada.

Padrão 2: Pergunta enviesada na entrevista do operador

A entrevista do operador envolvido é o segundo ponto de contaminação. Pergunta enviesada não é só você não estava prestando atenção; esse padrão grosseiro virou rara exceção. A pergunta sutil é a aparentemente neutra: me explique o que você estava fazendo no momento do acidente. O verbo estava fazendo presume agência exclusiva do operador e exclui as condições estruturais (equipamento, supervisão, sequência de atividades, jornada acumulada) que modelaram o ato. Em Sorte ou Capacidade, Andreza Araujo descreve esse padrão como inversão investigativa, na medida em que a pergunta inicial define qual evidência vai parecer relevante.

A tese específica que separa este artigo da literatura clássica de RCA é direta: o problema não é o roteiro de perguntas, é o ângulo da primeira pergunta. Investigadores treinados nas técnicas de pirâmide de Heinrich e Bird, e nas falhas latentes descritas por James Reason, sabem perguntar pelo evento precursor, e não pelo desfecho. As perguntas certas são o que mudou no turno, qual era a condição da máquina, quem assinou a permissão de trabalho, qual instrução o supervisor passou. Essas perguntas abrem o leque sistêmico antes de fechar no operador, ainda que o investigador menos experiente prefira começar pelo ato visível.

O sinal observável de viés na entrevista é o tempo médio dedicado a cada hipótese. Um RCA limpo distribui o tempo proporcionalmente entre as quatro hipóteses do Padrão 1, ao passo que um RCA contaminado dedica mais de oitenta por cento do tempo da entrevista à reconstituição do ato do operador. A medida é simples e custa nada: o supervisor de SST ou um observador externo cronometra a entrevista e classifica cada bloco de cinco minutos por hipótese investigada, conforme o procedimento que Andreza Araujo descreve em Diagnóstico de Cultura de Segurança.

A correção opera em dois níveis. No nível técnico, padronize roteiro de entrevista que comece sempre pela cronologia do dia, do início do turno ao evento, e pela inspeção da permissão de trabalho, antes de qualquer pergunta sobre o operador. No nível cultural, treine investigadores em escuta ativa pelo método das catorze camadas de observação comportamental, protocolo descrito por Andreza Araujo em livro próprio que ensina como reformular pergunta enviesada antes de enunciá-la, embora exija prática deliberada por seis a dezoito meses para incorporar.

Padrão 3: Descarte seletivo de evidência contraditória

O terceiro padrão é o mais sutil porque opera no momento da análise, depois que toda a evidência já foi coletada. Quando a hipótese inicial é operador errou, evidência contraditória é classificada como ruído. Testemunha que cita supervisor ausente vira memória imprecisa, registro de manutenção atrasada vira questão administrativa, instrução verbal divergente do procedimento escrito vira fofoca de turno. O método é técnico no formato, ainda que o filtro seja cognitivo no funcionamento. Em A Ilusão da Conformidade, Andreza Araujo argumenta que a conformidade da investigação com a hipótese inicial é mais perigosa que a violação direta, porque é invisível e autocongratulatória.

A tese que diferencia o artigo é a seguinte: cada SIF investigado deveria ter uma seção formal chamada evidências contraditórias à causa raiz proposta, obrigatória no relatório, com mínimo de três itens registrados. Sem essa seção formal, o cérebro do investigador descarta automaticamente o que não cabe, conforme o efeito documentado por Daniel Kahneman como o que vejo é tudo o que existe. O simples ato de criar a seção obriga a confrontar a evidência negada, na medida em que a página em branco do relatório não pode ser fechada sem preenchimento.

O controle objetivo desta trava é quantitativo. Pegue os últimos dez relatórios de SIF investigados internamente e calcule a razão entre evidências citadas a favor da causa raiz proposta e evidências citadas contra. Em RCA limpo, a razão típica fica entre três para um e cinco para um; em RCA contaminado, ultrapassa quinze para um. O segundo número não significa que a causa raiz está errada, embora indique que o investigador não procurou o suficiente por evidência contrária, e a investigação fica frágil sob revisão externa.

A correção exige peer review interno antes do fechamento. Toda causa raiz falha humana deve passar por revisão de um técnico SSMA de outra planta ou de outro turno, com tempo mínimo de quatro horas dedicadas, conforme o procedimento descrito em artigos sobre cinco porquês em SIF. O revisor não tem acesso à conclusão da equipe original, recebe os dados brutos e é instruído a propor causa raiz alternativa antes de ler o relatório principal, ainda que a sobrecarga operacional crie resistência cultural à prática.

Padrão 4: Ancoragem na narrativa do supervisor

O quarto padrão é o efeito de ancoragem aplicado à investigação. A primeira versão dos fatos que o investigador recebe (quase sempre do supervisor de turno, porque é quem chama a SSMA) vira o eixo cognitivo de toda a interpretação posterior. Detalhes coletados depois ajustam a narrativa inicial em vez de reescrevê-la, ainda que evidência posterior justifique reescrita completa. O efeito é descrito em Rápido e Devagar, de Daniel Kahneman, como ancoragem narrativa, e Andreza Araujo observa em projetos industriais que o supervisor de turno tem incentivo natural para minimizar falha de supervisão na primeira versão.

A tese forte aqui contraria o senso comum SST: o supervisor tem interesse direto no desfecho da investigação, embora a empresa o trate como testemunha neutra. Uma causa raiz que aponta falha humana do operador protege o supervisor de implicação na falha de supervisão, ao passo que uma causa raiz sistêmica frequentemente coloca em discussão a permissão de trabalho assinada, o briefing de turno, a verificação da hierarquia de controles. O supervisor não mente, embora narre a sequência cuja moldura o protege, e o investigador ancora nessa moldura sem perceber.

O sinal diagnóstico aparece quando se lê a primeira página do relatório original e a página de causa raiz lado a lado. A narrativa da causa raiz é, em RCA contaminado, expansão direta da narrativa de abertura do supervisor, com adendos que confirmam o eixo inicial. Em RCA limpo, há divergência observável entre as duas narrativas: a investigação reescreveu o que a primeira versão omitiu, sem se sentir obrigada a manter o eixo inicial.

A correção combina três decisões. Primeiro, o investigador entrevista o operador e pelo menos uma testemunha não-supervisora antes de ouvir o supervisor de turno, conforme o protocolo descrito por Andreza Araujo em Diagnóstico de Cultura de Segurança. Segundo, a primeira versão escrita pelo supervisor é arquivada como narrativa inicial sem peso evidencial superior às demais. Terceiro, a peer review do Padrão 3 inclui obrigatoriamente a comparação narrativa entre primeira versão e causa raiz final, na medida em que a sobreposição literal é o sintoma mais limpo de ancoragem.

Padrão 5: Conclusão que protege o sistema acima do operador

O quinto padrão fecha o ciclo de contaminação. Quando a causa raiz é falha humana, o plano de ação resultante é estreito por construção: treinamento adicional do operador envolvido, advertência formal, reforço de procedimento, checklist novo. Cada uma dessas saídas atua sobre o último elo do sistema e deixa intactas as camadas anteriores cuja falha condicionou o evento. O investigador não está consciente do efeito protetor, embora a hierarquia o premie pela velocidade de fechamento, e o ciclo se autorrealiza no SIF seguinte.

A tese central é a que A Ilusão da Conformidade documenta com profundidade: o RCA não é instrumento neutro de aprendizado organizacional. É instrumento que, dependendo de quem o conduz e com qual hipótese inicial, ou expõe falha estrutural ou protege a estrutura existente. Empresas que sustentam taxa elevada de falha humana como causa raiz não estão necessariamente errando a investigação caso a caso, embora estejam confirmando o desenho cultural calculativo que o ciclo de normalização do desvio descreve em detalhe.

O sinal estrutural deste padrão aparece no plano de ação. Plano cuja saída predominante (mais de sessenta por cento) é treinamento, advertência ou reforço de procedimento revela viés na investigação anterior, na medida em que a hierarquia de controles real exige que eliminação, substituição, controles de engenharia e administrativos sejam sempre considerados antes de ações sobre o operador. Andreza Araujo argumenta que esse perfil de plano é o termômetro mais sensível da maturidade cultural, porque mostra onde a empresa decidiu intervir e, simbolicamente, onde decidiu não mexer.

A correção exige mudança da métrica do investigador-líder. Substitua tempo de fechamento do RCA por três indicadores combinados: percentual de causas raiz na metade superior da hierarquia de controles, percentual de planos de ação com investimento em projeto ou engenharia, e número de revisões independentes em SIFs nos últimos doze meses. Quando o investigador é avaliado por esses três, o viés de confirmação enfrenta resistência sistêmica que a boa intenção isolada não consegue produzir, ainda que mudar bônus exija decisão da diretoria industrial.

Comparação: RCA contaminado e RCA limpo

Protocolo anti-viés em cinco movimentos

O protocolo cabe em cinco decisões procedimentais publicadas no manual de investigação da empresa, e o gerente SSMA pode implementar sozinho, embora exija aval da diretoria industrial para sustentar a métrica do investigador. O primeiro movimento é o registro pré-inspeção das quatro hipóteses (Padrão 1), com tempo mínimo de trinta minutos dedicados antes da chegada ao local. O segundo é o roteiro de entrevista que começa por cronologia e permissão de trabalho, jamais pelo ato do operador (Padrão 2).

O terceiro movimento é a seção formal de evidências contraditórias no relatório, com mínimo de três itens documentados (Padrão 3). O quarto é a sequência obrigatória de entrevistas, na qual o supervisor é o último a ser ouvido entre os atores diretos (Padrão 4). O quinto, o mais difícil em operação industrial brasileira, é a peer review por técnico SSMA externo à célula, com instrução escrita para propor causa raiz alternativa antes de ler o relatório original (Padrão 5).

O conjunto dos cinco custa entre vinte e quarenta horas-técnico adicionais por SIF investigado, conforme o levantamento que Andreza Araujo apresenta no curso de Liderança pela Segurança da Escola da Segurança. O custo é desprezível diante do retorno cultural. Em projetos acompanhados, a aplicação consistente do protocolo durante doze meses reduz a taxa de SIF reincidente entre vinte e cinco e quarenta por cento, porque a empresa passa a corrigir a camada certa do sistema. Os eventos precursores deixam de se acumular silenciosamente nos andares inferiores da pirâmide de Heinrich e Bird, conforme o quadro que artigos sobre auditoria 100% e SIF descrevem.

Cada SIF investigado nos últimos noventa dias com causa raiz falha humana sem peer review independente é um precedente cultural que tornará o próximo SIF previsível, porque o sistema continuou a funcionar exatamente como funcionou antes do evento.

Conclusão

O viés de confirmação não é falha de caráter do investigador, e sim estrutura cognitiva universal cuja interferência pode ser medida e neutralizada. A diferença entre RCA limpo e RCA contaminado não está no método, e sim no protocolo que disciplina o método. As cinco travas e o protocolo de cinco movimentos são auditáveis em três sprints de trabalho gerencial e expõem a fragilidade da investigação antes que o próximo SIF aconteça.

Para um diagnóstico estruturado da maturidade da prática de RCA na sua operação, a consultoria de Andreza Araujo conduz a auditoria ponta a ponta, com base no protocolo descrito em Diagnóstico de Cultura de Segurança.

Um antídoto prático contra esse viés é redesenhar o relatório de investigação de acidente com campos obrigatórios de evidência, falha latente e barreira ausente.