What If em SST: 5 movimentos que separam análise de palpite

Em mais de duzentos e cinquenta projetos de transformação cultural acompanhados pela Andreza Araujo, a sessão What If em mudança operacional aparece como o método mais aplicado e o menos auditado, padrão que precede SIF em ciclos recorrentes de doze a dezoito meses. Em mais de 60% das mudanças operacionais auditadas, a ata da sessão What If termina com ações genéricas, sem dono, sem prazo e sem amarração no inventário do PGR, observação consolidada em projetos industriais de médio porte na América Latina. Este guia detalha os cinco movimentos do facilitador que separam uma análise What If de uma chuva de palpite documentada, e descreve por que o problema raramente está no método e quase sempre está no processo que o sustenta.

Por que What If falha por processo, não por método

O método What If é, por construção, o mais leve da família de análises de risco regulamentadas em SST, porque bastam um facilitador, um time multidisciplinar e uma pauta estruturada de "E se?" para cobrir cenários que de outra forma exigiriam HAZOP de três dias ou Bow-Tie completo. Esse mesmo atributo é o que o torna armadilha cultural quando o gerente de planta o trata como atalho administrativo, em vez de tratá-lo como barreira preventiva. Como Andreza Araujo defende em A Ilusão da Conformidade, cumprir a NR-01 e gerenciar risco são posições distintas, e o What If aplicado a uma mudança operacional aprovada por auditoria de conformidade pode coexistir com SIF latente em barreira não levantada.

O problema começa no momento em que a sessão é convocada para validar a mudança em vez de interrogar a mudança. Validar pressupõe acordo prévio, e a sessão entra com a decisão tomada. Interrogar pressupõe abertura, e é nela que o facilitador encontra a pergunta que ainda não foi feita. Cinco movimentos, conduzidos antes da primeira pergunta E se?, fazem essa diferença prática.

Movimento 1: escopo cego, definido antes da pergunta

Toda sessão What If que abre direto na pauta de cenários parte de escopo cego, porque o time está falando de coisas diferentes ao mesmo tempo sem perceber. Definir escopo significa fixar o ponto de início (qual etapa do processo), o ponto de fim (até onde a análise vai), as fronteiras (interfaces com outros sistemas, com manutenção, com fornecedores) e a condição operacional (regime nominal, partida, parada, emergência). Sem essas quatro variáveis explícitas no quadro, a pergunta E se a bomba falhar significa coisas distintas para o operador, para o engenheiro de processo e para o técnico de SST, e a discussão se dispersa.

Em mais de 250 projetos acompanhados pela Andreza Araujo, a sessão que abre sem escopo na lousa termina com ata recorrente, em que ações são copiadas da sessão anterior, treinar a equipe vira contramedida-curinga e nenhuma barreira preventiva é nomeada. O inventário do PGR também sofre, porque os registros chegam ao GRO sem rastro do escopo discutido, condição na qual a leitura cruzada com auditoria fica impossível seis meses depois.

O contramovimento é simples na forma e disciplinado na execução. O facilitador escreve em flip-chart os quatro elementos do escopo antes da primeira pergunta e exige acordo do time antes de prosseguir. Quando o gerente de produção pede para começar logo, o facilitador defende a regra cultural, segundo a qual sem escopo na lousa a sessão não começa. Em ambiente de alta hierarquia, esse movimento exige respaldo executivo, e a ausência desse respaldo é o primeiro sinal de cultura conformista.

Movimento 2: time desbalanceado sem o supervisor de campo

What If em SST sem o supervisor que opera o processo no turno é exercício acadêmico. O engenheiro sênior, cuja autoridade técnica é alta, não substitui a familiaridade do operador com o desvio cotidiano, porque esse conhecimento vive em quem opera e não em quem desenha. O time mínimo defensável reúne facilitador, engenheiro de processo, técnico ou engenheiro de SST, supervisor de campo do turno onde a mudança será operada, mantenedor que executa a intervenção e, quando a mudança envolver fornecedor, o representante técnico do fornecedor. Faltar qualquer um desses papéis muda a natureza da análise, porque o time deixa de ser multidisciplinar e passa a ser unidirecional.

O sintoma mais comum é a sessão conduzida com supervisor representado por colega de outro turno, situação na qual o representante não consegue responder perguntas sobre o regime real de operação. No livro 80 Maneiras de Ampliar a Percepção de Risco, Andreza Araujo descreve esse padrão como percepção corporativa fragmentada. Cada elo presume que outro vê o que ele mesmo não vê, mecanismo que se aproxima do efeito espectador em ambiente decisório técnico. Em projetos de transformação cultural acompanhados pela Andreza Araujo, a presença obrigatória do supervisor de turno na sessão What If de mudança operacional reduziu o tempo médio entre quase-acidente (near-miss) reportado e contramedida implantada de cinquenta e seis dias para nove dias.

O contramovimento é endurecer a regra de quórum, segundo a qual sem supervisor de campo do turno a sessão é remarcada. Essa regra parece administrativa, embora carregue tese cultural, porque o operador da ponta é coautor da análise e não plateia. Em ambientes onde o supervisor é convocado e não comparece, o problema deixa de ser de método e passa a ser de liderança operacional, e a sessão What If não vai resolver isso sozinha.

Movimento 3: pergunta-âncora vinculada a barreira nomeada

A pergunta E se? descontrolada é a marca registrada da sessão que vira chuva de palpite. E se a válvula travar, e se o operador errar, e se faltar energia, cada cenário aberto sem âncora abre vinte respostas possíveis, e o time esgota energia em alternativas que nunca vão receber barreira preventiva. A pergunta-âncora resolve isso ao vincular cada E se? a uma barreira específica do Bow-Tie do processo, mesmo que o Bow-Tie nunca tenha sido formalizado. O facilitador pede que cada cenário seja seguido da pergunta qual barreira preventiva impede essa consequência. Em seguida, registra-se a barreira em coluna separada da ata, com identificação clara do tipo (engenharia, administrativa ou EPI).

O efeito prático é triplo. Primeiro, cenários sem barreira identificada são marcados em vermelho, sinalização que avisa o gerente de planta que aquela mudança operacional ainda não tem proteção contra a consequência discutida. Segundo, o time deixa de propor treinar a equipe como única contramedida, porque treinamento raramente é barreira preventiva e quase sempre é ressaca administrativa. Terceiro, a ata fica auditável seis meses depois, porque o auditor consegue cruzar cada cenário com a barreira existente e medir o gap entre o que foi proposto e o que foi implantado.

Movimento 4: severidade decidida antes da contramedida

O quarto erro recorrente é o time que pula da identificação do cenário direto para a proposta de contramedida, sem avaliar severidade e probabilidade primeiro. Quando isso acontece, contramedidas caras vão para cenários de baixa severidade e contramedidas cosméticas vão para cenários de alta severidade, padrão que o auditor identifica em quinze minutos cruzando a ata com a APR de tarefa da operação. A regra prática é decidir, antes de qualquer contramedida, em qual quadrante da matriz de risco aquele cenário se encaixa.

Em A Ilusão da Conformidade, Andreza Araujo argumenta que a contramedida desproporcional ao risco é a marca da SST corporativa que mede atividade em vez de medir resultado. Comprar mais EPI quando o cenário é falha de barreira de engenharia é exemplo clássico, porque a hierarquia de controles é invertida sem que a equipe perceba. O facilitador da sessão What If atua como guardião da hierarquia, uma vez que severidade alta com probabilidade alta exige eliminação ou substituição, e a sessão só fecha aquele cenário quando a contramedida proposta cabe no nível certo da hierarquia.

Esse movimento exige tempo. A sessão de quarenta minutos que pretende cobrir mudança operacional intermediária quase sempre pula essa etapa, porque o gerente quer a mudança aprovada até o fim da reunião. O contramovimento é redefinir a expectativa do gerente, segundo a qual a sessão What If para mudança operacional intermediária leva entre noventa minutos e três horas, e quando comprime para abaixo desse piso é porque o time aceitou pular avaliação de risco em nome de cronograma.

Movimento 5: ata viva com dono, prazo e referência ao PGR

A ata morta é o sintoma final da sessão What If que falhou. Reconhece-se pela ausência de três campos, sendo eles o nome do dono de cada ação, o prazo de entrega e a referência ao item correspondente no inventário do PGR. Sem o dono, a ação fica órfã e ninguém a executa. Sem o prazo, ela vive até a próxima auditoria de conformidade, momento em que o auditor pergunta por ela e o gerente de SST descobre, em tempo real, que ninguém a tocou. Sem a referência ao PGR, a ação morre quando a sessão termina, porque nenhum sistema de gestão a recupera depois.

O contramovimento é tratar a ata como artefato vivo do GRO e não como documento de auditoria. Cada ação derivada da sessão What If precisa entrar no inventário do PGR como linha rastreável, com o mesmo identificador da NR-01 e o mesmo critério de revisão periódica. Em projetos acompanhados pela Andreza Araujo, a regra ata What If que não entra no PGR em sete dias é ata morta funcionou como gatilho cultural simples. O gerente de planta passou a recusar liberar a mudança operacional sem confirmação de inclusão no inventário, e a aderência subiu de trinta e oito por cento para oitenta e nove por cento em três trimestres. Aderência ao GRO em 89% das ações What If em três trimestres, contra 38% no início do programa, número observado em planta de bens de consumo de médio porte no estado de São Paulo.

Comparação entre What If como barreira e What If como ata morta

Quando usar What If, HAZOP e Bow-Tie

What If, HAZOP e Bow-Tie cobrem espectros diferentes da gestão de risco em SST, e a confusão entre os três é causa frequente de processo deficitário. What If é o método indicado para mudança operacional intermediária, quando o desenho do processo já é conhecido e a alteração é incremental. HAZOP entra para projeto novo ou redesenho substantivo, em que o time precisa percorrer parâmetros (mais, menos, diferente, ausente, antes, depois) sobre cada nó do fluxograma. Bow-Tie é a ferramenta de visualização de barreiras preventivas e mitigatórias por evento crítico, e funciona como pano de fundo que orienta os outros dois métodos.

Pular What If em mudança intermediária para ganhar tempo é o erro mais frequente de gerente de planta sob pressão de cronograma, em particular quando a mudança envolve substituição de fornecedor de equipamento ou alteração de regime operacional. O custo é diferido, porque a falha aparece três a dezoito meses depois, em quase-acidente que escapa do reporte porque ninguém previu o cenário. Sorte ou Capacidade (Araujo) descreve esse mecanismo como acidente que parecia azar e era método pulado, e cita exemplos verificáveis de operações industriais brasileiras nas duas últimas décadas.

O recorte que muda em projetos de mudança operacional

Mudança operacional não é evento isolado, é janela de exposição. A sessão What If existe para fechar essa janela antes que a mudança entre em produção, embora só funcione quando o gerente de planta a trata como gatekeeper, e não como protocolo de aprovação. Em 25+ anos liderando EHS em multinacionais, Andreza Araujo identifica três sintomas que o gerente de SST detecta em quarenta minutos de auditoria, sendo eles ata sem dono, sessão de menos de quarenta minutos para mudança intermediária e ausência de supervisor de turno. Quando os três aparecem juntos, a operação está em ciclo de SIF latente, ainda que os indicadores lagging (TRIR, LTIFR) estejam no verde.

O recorte que separa SST classe mundial de SST conformista é cultural, não metodológico. O método What If existe há décadas, é simples, cabe no canteiro, e ainda assim falha sistematicamente nas mesmas cinco dimensões. Mudar o método não muda o resultado, e essa é a tese central que A Ilusão da Conformidade defende com dados de operação industrial.

Cada mudança operacional que entra em produção sem sessão What If com os cinco movimentos é uma janela aberta entre a decisão executiva e a próxima fatalidade. A janela mais larga é aquela em que o gerente de planta acreditava que a sessão tinha sido feita corretamente, porque o protocolo estava preenchido.

Conclusão

Auditar What If em SST é exercício de leitura cruzada que cabe em meia hora por sessão, com base em cinco critérios verificáveis, sendo eles escopo na lousa, supervisor de turno presente, barreira nomeada por cenário, severidade decidida antes da contramedida e ata viva no PGR. A leitura desses cinco campos basta para mapear se a operação está usando What If como barreira ou como ritual administrativo, e o resultado costuma surpreender o gerente de planta que confiava no número de mudanças aprovadas.

Para diagnóstico estruturado das sessões What If em mudança operacional, a consultoria de Andreza Araujo conduz a apuração ponta a ponta, com base na metodologia de transformação cultural descrita em Diagnóstico de Cultura de Segurança.