A imagem do iceberg é uma das mais usadas em SSMA. Aparece em treinamentos, apresentações de diretoria, relatórios de auditoria. O acidente no topo, visível. Tudo o que não se vê embaixo. A metáfora existe há décadas porque captura algo verdadeiro sobre a natureza do risco.
O problema não é a metáfora. É o que costuma ser colocado abaixo da linha d’água.
Na versão mais comum, a parte submersa do iceberg é preenchida com “mais do mesmo em menor escala” — near misses, quase-acidentes, desvios observados, não conformidades de menor severidade. A lógica implícita é de continuidade: o que está embaixo é da mesma natureza do que está em cima, apenas em escala menor. Gerencie o volume abaixo e você protege o topo.
Essa leitura está incompleta. O que opera abaixo da superfície operacional frequentemente pertence a categorias distintas de fenômeno — e é exatamente por isso que não aparece no registro convencional.
O que a superfície mostra — e o que ela estruturalmente não capta
Sistemas de registro de SSMA foram desenhados para capturar eventos. Um acidente ocorre, gera CAT, entra nos indicadores. Um near miss é relatado, registrado, analisado. Uma não conformidade é identificada em auditoria, documentada, tratada. O ciclo funciona bem para o que foi desenhado para capturar.
O que não foi desenhado para capturar é diferente por natureza. Não é evento — é condição. Não ocorre em um momento identificável — opera continuamente. Não tem causa única — é produto de interações entre múltiplos fatores que, isolados, parecem normais.
Erik Hollnagel, em sua distinção entre work-as-imagined e work-as-done, nomeia um desses fenômenos com precisão: a diferença entre como o trabalho foi prescrito e como ele realmente acontece no campo. Essa diferença não é desvio. É adaptação — a resposta natural de pessoas competentes a condições reais que o procedimento não antecipou. A adaptação funciona a maior parte do tempo. Quando para de funcionar, o evento acontece. E o sistema de registro captura o evento, não a adaptação que o precedeu por meses.
As camadas que operam em profundidade
James Reason identificou, no Modelo do Queijo Suíço, que falhas latentes residem nas camadas organizacionais — decisões gerenciais, desenho de processos, pressões de sistema — e não nas ações individuais que aparecem nos relatórios de acidente. Cada camada de defesa tem furos. Quando os furos se alinham, o acidente ocorre. Mas os furos existiam muito antes do alinhamento. Estavam lá, silenciosos, em estruturas que pareciam funcionais.
O que compõe essas camadas invisíveis em ambientes operacionais reais? A NR-1, atualizada pela Portaria MTE nº 1.419/2024 e com vigência plena a partir de maio de 2026, oferece uma resposta normativa que até pouco tempo atrás não existia no ordenamento brasileiro: os fatores de risco psicossociais — sobrecarga de trabalho, pressão por resultados, ausência de autonomia, condições de gestão que deterioram a saúde mental e a capacidade de atenção dos trabalhadores — passam a integrar obrigatoriamente o inventário de riscos ocupacionais.
Essa mudança normativa não é apenas compliance. É o reconhecimento formal de que o que opera abaixo da superfície operacional inclui:
Microdesvios acumulados. Pequenas adaptações cotidianas que individualmente parecem irrelevantes — um passo do procedimento simplificado aqui, uma verificação pulada ali, uma comunicação informal substituindo o protocolo formal. Nenhum deles gera ocorrência registrável. Todos eles, acumulados, redefinem silenciosamente o padrão operacional real.
Variabilidade não registrada. Condições que mudam sem que o sistema de controle acompanhe — rotatividade de pessoal que altera o nível de experiência da equipe, sazonalidade que modifica a pressão operacional, mudanças no fluxo de trabalho que nunca foram formalizadas. A operação que o PGR descreve não é a operação que está acontecendo.
Pressão operacional crônica. A distância entre o que é exigido e o que os recursos disponíveis permitem executar com segurança. Quando essa distância é persistente, as pessoas adaptam — e as adaptações tornam-se o padrão. O sistema aprende a operar no limite sem registrar que opera no limite.
Fragilidade sistêmica estrutural. Processos com dependências não documentadas, interfaces entre equipes com responsabilidades ambíguas, lacunas de comunicação que existem há tanto tempo que foram normalizadas. Ninguém as vê como risco porque nunca geraram evento. Ainda.
O caso que ilustra o padrão
Em janeiro de 1986, o ônibus espacial Challenger explodiu 73 segundos após o lançamento, matando os sete tripulantes. A falha técnica imediata foi o O-ring — uma vedação que não suportou a temperatura do dia do lançamento. A investigação que se seguiu revelou algo estruturalmente mais importante: engenheiros da Morton Thiokol haviam alertado sobre o risco do O-ring em temperaturas baixas na noite anterior ao lançamento. A decisão de prosseguir foi tomada por gestores, sob pressão de prazo e de imagem institucional, ignorando a evidência técnica disponível.
A falha não nasceu no O-ring. Nasceu em um sistema organizacional onde a pressão de prosseguir era estruturalmente mais forte que a capacidade de parar. Essa condição existia antes do lançamento. Existia há meses. Não tinha registro. Não tinha indicador. Não estava no painel de monitoramento de nenhuma sala de controle.
O evento foi instantâneo. A condição era crônica.
Por que essas camadas não aparecem no registro convencional
A resposta é técnica, não política. Sistemas de registro foram construídos para capturar eventos discretos — ocorrências com início, meio e fim identificáveis, atribuíveis a causas verificáveis. Condições crônicas, variabilidades acumuladas e pressões sistêmicas não têm essa estrutura. Não acontecem em um momento. Não têm responsável único. Não geram Comunicação de Acidente de Trabalho.
Isso não significa que sejam imensuráveis. Significa que exigem método diferente de captura e interpretação. Exigem leitura que atravesse camadas — que conecte o dado do indicador com o dado do campo, o registro formal com o padrão informal, a conformidade documentada com a adaptação real.
O dado do INSS sobre afastamentos por transtornos mentais é um sinal tardio dessas camadas invisíveis. Mais de 472 mil afastamentos por saúde mental em 2024, crescimento de 68% em relação ao ano anterior. Esses números não aparecem no relatório de acidente. Não têm CAT. Mas representam a materialização, em escala, de condições que estavam operando muito antes do afastamento — na pressão acumulada, na sobrecarga crônica, na variabilidade não gerenciada que o sistema convencional não registrou.
Falhas latentes não geram CAT. Microdesvios acumulados não aparecem no painel de indicadores. Pressão operacional crônica não tem código CID.
O que isso exige da leitura operacional
Ler o que está abaixo da superfície operacional não é intuição gerencial. É método. Exige fontes de informação que não são eventos — conversas estruturadas com equipes operacionais, análise de variabilidade em processos críticos, cruzamento entre dados de saúde ocupacional e dados de exposição, leitura de padrões em indicadores que individualmente parecem normais.
A NR-1 atualizada aponta nessa direção ao exigir que os fatores psicossociais sejam identificados a partir da análise das condições de trabalho — não apenas dos registros de ocorrência. A norma instrui que as intervenções priorizem modificar causas, não tratar consequências. É uma instrução metodológica, não apenas regulatória.
O risco que a organização não consegue nomear é o risco que ela não consegue gerenciar. E o risco que opera em profundidade — silencioso, estrutural, crônico — raramente tem nome nos sistemas que foram desenhados apenas para registrar o que já explodiu.
O sistema mede o que é visível. O que corrói opera em outra camada.
O próximo artigo desta série examina por que sistemas complexos raramente operam em um único nível — e o que a leitura entre camadas exige metodologicamente da gestão de risco.
Referências e Leituras Complementares
Dados e fontes institucionais
- Ministério do Trabalho e Emprego — Portaria MTE nº 1.419/2024 — Fatores de Risco Psicossociais no GRO/NR-1
- INSS — dados de afastamentos por transtornos mentais, 2024
- NASA / Rogers Commission Report (1986) — Investigação do acidente Challenger
Normas técnicas
- NR-1 (atualização 2024) — Gerenciamento de Riscos Ocupacionais e fatores psicossociais
- ABNT/ISO 31000:2018 — Gestão de riscos: diretrizes
Referências científicas e técnicas
- Reason, J. (1990). Human Error. Cambridge University Press
- Hollnagel, E. (2014). Safety-I and Safety-II: The Past and Future of Safety Management. Ashgate
- Perrow, C. (1984). Normal Accidents: Living with High-Risk Technologies. Basic Books
- Dekker, S. (2014). Safety Differently: Human Factors for a New Era. CRC Press
- Vaughan, D. (1996). The Challenger Launch Decision: Risky Technology, Culture, and Deviance at NASA. University of Chicago Press