Existe uma frase que resume décadas de prática em SSMA: “o que não é medido não é gerenciado”. A frase é atribuída a Peter Drucker, frequentemente citada em treinamentos, afixada em painéis de gestão, repetida em reuniões de análise de indicadores. Ela captura algo verdadeiro — e ao mesmo tempo esconde um problema estrutural que a ciência da segurança passou noventa anos tentando nomear.
O problema não é medir. É o que o sistema de medição, por sua própria natureza, não alcança.
A origem — o que Heinrich realmente disse
Em 1931, Herbert William Heinrich publicou Industrial Accident Prevention: A Scientific Approach. Baseado na análise de 550 mil acidentes industriais nos Estados Unidos, Heinrich estabeleceu uma proporção que se tornaria um dos modelos mais influentes da história da segurança ocupacional: para cada acidente grave, havia 29 menores e 300 ocorrências sem lesão. O triângulo estava nascendo.
A contribuição foi real. Heinrich trouxe pensamento estatístico para um campo que até então operava majoritariamente por intuição e reação imediata. A ideia central — de que acidentes graves são precedidos por um volume muito maior de ocorrências menos severas — abriu caminho para o conceito de prevenção baseada em padrões, não apenas em resposta ao evento.
O que aconteceu nas décadas seguintes foi uma interpretação que simplificou o modelo além do que os dados sustentavam. A pirâmide virou receita: reduza o volume na base e você reduz automaticamente o topo. Controle os quase-acidentes e o acidente grave não acontece. A relação causal que Heinrich nunca afirmou com essa linearidade tornou-se doutrina operacional.
Frank Bird expandiu o modelo nos anos 1960, com dados de mais de 1,7 milhão de acidentes industriais, ajustando as proporções e aprofundando a estrutura. A base ficou maior. A lógica permaneceu a mesma.
O que a pesquisa foi descobrindo
A partir dos anos 1990, estudos começaram a questionar sistematicamente as premissas que sustentavam o modelo piramidal. A crítica não era ideológica — era empírica.
James Reason, professor de psicologia da Universidade de Manchester, publicou em 1990 o livro Human Error, introduzindo uma distinção que mudaria a forma como se pensa sobre acidentes em sistemas complexos: a diferença entre falhas ativas e falhas latentes. As falhas ativas são visíveis, imediatas, atribuídas a pessoas. As falhas latentes residem na organização — em decisões, processos, pressões estruturais — por meses ou anos antes de se materializarem. Em 2000, um artigo de Reason no British Medical Journal consolidou o argumento: incidentes graves frequentemente têm causas estruturais distintas das ocorrências cotidianas de baixa severidade. A pirâmide assumia continuidade causal onde havia descontinuidade real.
A pesquisa publicada pelo CDC nos Estados Unidos, examinando dados de mais de 25 mil estabelecimentos industriais, encontrou que near misses foram associados a uma probabilidade até 6,63 vezes maior de evento fatal no ano seguinte — mas também confirmou que a relação não é linear nem universal. Acidentes graves em determinados contextos ocorrem sem ser precedidos pelos menores previstos pelo modelo. As causas operam em camadas diferentes.
O próprio Heinrich, segundo Sidney Dekker — professor de ciência da segurança da Griffith University e um dos pesquisadores mais influentes do campo contemporâneo — trabalhou com dados que hoje não podem ser verificados ou replicados. Em Foundations of Safety Science (2019), Dekker examina o legado histórico do campo e documenta como o triângulo de Heinrich foi adotado globalmente sem que suas premissas metodológicas fossem questionadas. A influência foi desproporcional à robustez da evidência.
A virada conceitual — Safety-I e Safety-II
Em 2014, Erik Hollnagel — professor da Universidade do Sul da Dinamarca e um dos fundadores da engenharia de resiliência — publicou Safety-I and Safety-II: The Past and Future of Safety Management, formalizando uma distinção que reorganizou o campo.
Safety-I é o paradigma dominante. Define segurança como a ausência de eventos negativos. Mede a segurança contando falhas. Gerencia encontrando o que deu errado e corrigindo. É, por definição estrutural, reativo — mesmo quando se chama de preventivo, porque sua base de informação são as ocorrências registradas.
Safety-II inverte a pergunta. Em vez de perguntar por que as coisas falham, pergunta por que elas funcionam na maior parte do tempo — e o que sustenta esse funcionamento em condições variáveis. Hollnagel introduz o conceito de work-as-imagined versus work-as-done: o que o procedimento prevê raramente corresponde exatamente ao que acontece no campo. A diferença entre os dois não é desvio — é adaptação. E é exatamente nessa adaptação que reside parte da inteligência operacional que o sistema convencional não registra.
O ponto não é abandonar Safety-I. É reconhecer que Safety-I sozinho é insuficiente para ler sistemas operacionais complexos. O indicador lagging — taxa de acidentes, frequência de afastamentos, número de near misses registrados — captura o que já aconteceu. O risco que ainda não gerou evento permanece invisível ao sistema.
O dado brasileiro como evidência
A NR-1, atualizada pela Portaria MTE nº 1.419/2024 e com vigência plena a partir de maio de 2026, introduziu algo que o modelo piramidal de Heinrich estruturalmente não alcançava: a obrigatoriedade de incluir fatores de risco psicossociais no Gerenciamento de Riscos Ocupacionais.
Sobrecarga de trabalho, pressão por resultados, ausência de autonomia, assédio organizacional — esses fatores passam a integrar o inventário de riscos ao lado dos físicos, químicos, biológicos e ergonômicos. A mudança normativa reconhece algo que a ciência da segurança já documentava há décadas: risco não é apenas mecânico, químico ou físico. É também organizacional. É também estrutural. É também o produto de decisões tomadas nos andares de cima que chegam ao campo como condição de trabalho.
Os dados do INSS confirmam a escala do problema que ficava fora do campo do indicador convencional: em 2024, mais de 472 mil brasileiros precisaram se afastar do trabalho por transtornos mentais — crescimento de 68% nos benefícios por incapacidade temporária ligados à saúde mental em relação ao ano anterior. Esses afastamentos raramente aparecem nos relatórios de acidente. Não têm CAT. Não entram na pirâmide. Mas representam falha sistêmica com custo humano, operacional e jurídico real.
O indicador mede o que o sistema foi desenhado para registrar. O risco opera além desse desenho.
O que essa evolução exige do gestor de SSMA
A trajetória de noventa anos — de Heinrich a Hollnagel, da pirâmide à engenharia de resiliência — não é uma história de erros sendo substituídos por acertos. É uma história de modelos sendo expandidos à medida que a complexidade dos sistemas operacionais aumentava e a pesquisa ganhava profundidade.
O gestor de SSMA que opera hoje herda todas essas camadas. Precisa dos indicadores de ocorrência — eles ainda têm valor diagnóstico. Precisa da investigação de near misses — ela ainda revela padrões. Mas precisa também de algo que os modelos históricos não ofereciam: método para ler o que não gerou evento. Método para identificar a pressão acumulada antes da ruptura. Método para conectar sinais dispersos em leitura estrutural.
A diferença entre um sistema de SSMA que reage e um que antecipa não está no volume de dados coletados. Está no método de interpretação. Dados sem arquitetura de leitura são ruído com aparência de controle.
O triângulo de Heinrich descreveu o visível. O que a ciência da segurança passou as últimas décadas construindo é a capacidade de ler o invisível — antes que ele se torne estatística.
Gestão de risco que opera apenas sobre o evento registrado não lê o sistema. Lê o sintoma.
O próximo artigo desta série examina o que opera abaixo da superfície operacional — microdesvios, variabilidade e pressão acumulada como precursores estruturais de falha.
Referências e Leituras Complementares
Dados e fontes institucionais
- Ministério do Trabalho e Emprego — Portaria MTE nº 1.419/2024 — Inclusão de fatores de risco psicossociais no GRO/NR-1
- Ministério do Trabalho e Emprego / CANPAT 2025 — gov.br/trabalho-e-emprego
- INSS — dados de benefícios por incapacidade temporária por transtornos mentais, 2024
- CDC / NIOSH — Examining Factors that Influence the Existence of Heinrich’s Safety Triangle, PMC 2018
Normas técnicas
- NR-1 — Disposições Gerais e Gerenciamento de Riscos Ocupacionais (atualização 2024, vigência 2026)
- NR-17 — Ergonomia (referência conjunta para gestão de riscos psicossociais)
Referências científicas e técnicas
- Heinrich, H.W. (1931). Industrial Accident Prevention: A Scientific Approach. McGraw-Hill
- Reason, J. (1990). Human Error. Cambridge University Press
- Reason, J. (2000). Human error: models and management. British Medical Journal, 320, 768–770
- Hollnagel, E. (2014). Safety-I and Safety-II: The Past and Future of Safety Management. Ashgate
- Hollnagel, E., Wears, R.L., Braithwaite, J. (2015). From Safety-I to Safety-II: A White Paper. University of Southern Denmark
- Dekker, S. (2019). Foundations of Safety Science: A Century of Understanding Accidents and Disasters. Routledge / Griffith University