Toda ruptura operacional tem uma história. O problema é que essa história só costuma ser contada depois — quando o evento já aconteceu, quando a investigação começa, quando os documentos são revisados à luz do que se sabe agora. Retrospectivamente, os sinais parecem óbvios. A pressão que estava acumulando. O desvio que havia normalizado. A fragilidade que todos conheciam mas ninguém havia formalizado como risco.
O desafio da gestão de SSMA não é ler a história depois de escrita. É desenvolver a capacidade de lê-la enquanto ainda está sendo construída.
Como sistemas complexos acumulam antes de romper
James Reason, ao desenvolver o conceito de falhas latentes, identificou um padrão que se repete em acidentes de grande escala ao redor do mundo: a ruptura não é instantânea. É o resultado de um processo de acúmulo que pode durar meses ou anos — degradação gradual de barreiras, normalização de desvios, pressões sistêmicas que vão estreitando a margem de segurança operacional até que a margem desaparece.
Reason chamou esse processo de migração para o limite. A organização se move, gradualmente e quase imperceptivelmente, de uma zona de operação segura para uma zona de operação no limite — e continua operando, porque nada explode. O sistema funciona. Os indicadores estão verdes. A auditoria passa. E a condição de risco real continua se aprofundando, invisível ao sistema de monitoramento que só registra o que já falhou.
A anatomia da falha silenciosa — três casos documentados
Bhopal, 1984. O acidente na planta da Union Carbide na Índia matou mais de 3.700 pessoas na noite de 2 para 3 de dezembro de 1984 — o maior desastre industrial da história. A investigação revelou que a condição de risco não surgiu naquela noite. Estava sendo construída há anos: sistemas de segurança desativados por corte de custos, manutenção postergada, pessoal treinado substituído por trabalhadores sem qualificação equivalente, procedimentos de emergência desconhecidos pela maioria dos operadores. Cada decisão, isoladamente, foi tomada com alguma justificativa operacional ou financeira. O conjunto produziu uma condição de vulnerabilidade sistêmica que o evento de dezembro apenas revelou.
Challenger, 1986. Como detalhado no artigo anterior desta série, a falha do O-ring foi a causa técnica imediata. A causa raiz era organizacional: um sistema de tomada de decisão onde a pressão de prosseguir era estruturalmente mais forte que a capacidade de parar. Engenheiros alertaram. A evidência técnica estava disponível. A decisão foi tomada contra ela. A condição que tornou essa decisão possível havia sido construída ao longo de anos de cultura organizacional que normalizava o risco aceitável em função do prazo.
Brasil, 2021–2025. O dado é menos dramático em termos de evento único, mas igualmente revelador como padrão. Entre 2021 e 2025, os dias de trabalho perdidos por acidentes no Brasil saltaram de 7,5 milhões para mais de 17 milhões — crescimento de 127% em quatro anos, muito superior ao crescimento no volume de acidentes registrados no mesmo período. O que esse dado revela não é aumento de descuido. É aumento de gravidade. Os acidentes que estão acontecendo são mais graves. O sistema está acumulando antes de romper — e rompendo com mais impacto quando rompe.
A normalização do desvio — quando o anormal vira padrão
A socióloga Diane Vaughan, em sua análise do acidente do Challenger publicada em 1996, introduziu o conceito de normalização do desvio: o processo pelo qual comportamentos que inicialmente são reconhecidos como fora do padrão são gradualmente aceitos como normais quando não produzem consequências imediatas.
Na prática operacional, isso se manifesta de forma familiar para qualquer gestor de SSMA com experiência de campo. O procedimento que foi simplificado porque o original era impraticável. A EPI que não é usada em determinada etapa porque “sempre foi assim”. O turno que começa quinze minutos antes do horário oficial porque a demanda exige. O registro que é feito depois da atividade, não durante, porque parar para registrar atrasa a produção.
Cada um desses desvios, isoladamente, parece menor. Nenhum gerou acidente. Nenhum aparece no indicador. Mas todos redefinem, silenciosamente, o padrão operacional real — e cada desvio normalizado aumenta a tolerância organizacional para o próximo. A margem de segurança vai sendo consumida sem que nenhum alarme dispare, porque o sistema de alarme só dispara para eventos, não para condições.
O sinal tardio que o sistema captura
O absenteísmo é um dos sinais tardios mais documentados de pressão sistêmica acumulada. Quando os dados do INSS mostram 472 mil afastamentos por transtornos mentais em 2024 — crescimento de 68% em relação ao ano anterior — eles não estão descrevendo o que aconteceu em 2024. Estão descrevendo o resultado de condições que vinham se construindo muito antes: pressão operacional crônica, sobrecarga acumulada, variabilidade não gerenciada, ausência de suporte organizacional que a NR-1 atualizada agora exige que seja identificada e tratada como risco.
O afastamento é o evento. A condição que o produziu é a falha silenciosa. E a falha silenciosa, por definição, não aparece no relatório de acidente — ela aparece nos padrões, nas correlações, na leitura cruzada de dados que habitualmente vivem em sistemas separados.
A HSE britânica — Health and Safety Executive — documenta em seu guia de gestão de saúde e segurança (HSG65) que sistemas eficazes de gestão de SST precisam incluir não apenas monitoramento reativo (o que deu errado) mas também monitoramento proativo (o que está prestes a dar errado). A distinção parece simples. A execução exige método que a maioria dos sistemas convencionais não tem.
O que separa a organização que acumula da que antecipa
A diferença não é tecnológica. Não é o software mais sofisticado nem o maior volume de dados coletados. É metodológica — e começa com uma pergunta diferente.
A pergunta da gestão reativa é: o que aconteceu? A pergunta da gestão preventiva convencional é: o que pode acontecer? A pergunta da gestão que lê sistemas complexos é: o que está acumulando?
Responder a terceira pergunta exige fontes de informação que não são eventos. Exige leitura de padrões em dados operacionais — correlações entre absenteísmo e pressão de produção, entre rotatividade e índice de near misses, entre o que o PGR descreve e o que a equipe de campo faz. Exige conversas estruturadas com quem executa o trabalho, porque o work-as-done de Hollnagel raramente está nos documentos. Exige método para transformar sinais dispersos em leitura de tendência.
Método não é intuição gerencial apurada. É estrutura replicável, auditável, independente de quem está na cadeira. É o que permite que a organização leia o acúmulo antes que o acúmulo se torne ruptura.
O evento crítico é sempre o último sinal — nunca o primeiro. A questão é se o sistema foi desenhado para ler os anteriores.
O próximo e último artigo desta série examina como correlação transforma dispersão em inteligência operacional — e o que separa dado de decisão em sistemas de SSMA que precisam antecipar.
Referências e Leituras Complementares
Dados e fontes institucionais
- Ministério do Trabalho e Emprego / CANPAT 2025 — dados de dias de trabalho perdidos 2021–2025
- INSS — afastamentos por transtornos mentais, 2024
- HSE UK — Managing for Health and Safety (HSG65). Health and Safety Executive
- Union Carbide Corporation — relatórios de investigação do acidente de Bhopal, 1984
- NASA / Rogers Commission Report (1986) — investigação do acidente Challenger
Normas técnicas
- NR-1 (atualização 2024) — Gerenciamento de Riscos Ocupacionais e fatores psicossociais
- ABNT/ISO 45001:2018 — Sistemas de gestão de saúde e segurança ocupacional
Referências científicas e técnicas
- Reason, J. (1997). Managing the Risks of Organizational Accidents. Ashgate
- Vaughan, D. (1996). The Challenger Launch Decision: Risky Technology, Culture, and Deviance at NASA. University of Chicago Press
- Hollnagel, E. (2014). Safety-I and Safety-II: The Past and Future of Safety Management. Ashgate
- Perrow, C. (1984). Normal Accidents: Living with High-Risk Technologies. Basic Books
- Dekker, S. (2014). Safety Differently: Human Factors for a New Era. CRC Press