O que um queijo tem em comum com a sua organização?

Uma organização pode ter profissionais altamente qualificados, processos definidos, tecnologia, indicadores e lideranças experientes e, ainda assim, permanecer vulnerável a um erro que ninguém percebeu estar sendo construído. Quando a consequência finalmente aparece, quase sempre existe alguém suficientemente próximo dela para receber a responsabilidade. O nome aparece, a falha é identificada, o procedimento é corrigido, o colaborador é orientado e o problema parece resolvido. Mas aquilo que chamamos de erro pode ser apenas o último evento visível de uma sequência que começou muito antes. Foi estudando Fatores Humanos e segurança operacional na aviação que aprendi a desconfiar de explicações simples para problemas complexos. Um evento adverso raramente começa exatamente onde conseguimos enxergá-lo, e essa forma de compreender o erro mudou profundamente a maneira como passei a analisar processos e organizações. Imagine que um colaborador deixe de executar uma etapa importante de um processo. Saber que ele não seguiu o procedimento identifica uma ação, mas ainda informa muito pouco sobre o que aconteceu. É necessário compreender se o procedimento estava adequadamente definido, se havia conhecimento suficiente para executá-lo e se o processo possuía mecanismos capazes de detectar aquela falha antes que ela avançasse. Isso não elimina a responsabilidade de quem executou a ação. Impede que a responsabilidade individual encerre prematuramente a investigação. Na análise de Fatores Humanos, o comportamento precisa ser compreendido em relação às circunstâncias em que o trabalho acontece. Tarefa, condições de execução e fatores organizacionais também participam da probabilidade de ocorrência de falhas. Na abordagem sistêmica do erro, a falibilidade humana é considerada uma característica esperada do funcionamento de sistemas complexos. Em vez de concentrar a análise exclusivamente sobre quem praticou a ação imediatamente anterior ao evento, investigam-se também as condições em que o trabalho ocorreu e as defesas existentes para evitar ou reduzir as consequências de uma falha. (REASON, 2000)

Na aviação, essa lógica foi ampliada por modelos de análise de Fatores Humanos, como o HFACS, que organiza a investigação em diferentes níveis, incluindo atos inseguros, precondições para esses atos, supervisão e influências organizacionais. (SHAPPELL; WIEGMANN, 2000)

Identificar quem errou pode ser necessário. Acreditar que isso explica o erro é outra coisa.

Antes de uma falha chegar à linha de frente, decisões, condições e vulnerabilidades anteriores podem ter criado oportunidades para que ela acontecesse. Um processo mal desenhado ou um controle inexistente pode permanecer discreto durante muito tempo e tornar-se evidente apenas quando alguma consequência exige resposta. Por isso, incidentes e desvios também oferecem informações importantes. Uma consequência mais grave não ter ocorrido não significa necessariamente que o sistema funcionou. Pode significar apenas que, naquela ocasião, as vulnerabilidades existentes não encontraram condições suficientes para atravessar todas as barreiras. Essa diferença importa porque aquilo que não produziu uma consequência grave hoje pode estar revelando uma vulnerabilidade que continuará presente amanhã.

O erro raramente começa onde aparece.

Foi durante minha pesquisa sobre Burnout, Fatores Humanos, tomada de decisão e segurança de voo, em 2016, que James Reason entrou no meu referencial teórico. Na discussão sobre Fatores Humanos, seu modelo ajudava a compreender o erro para além da ação imediatamente anterior ao evento. Reason diferencia falhas ativas, associadas a ações ou omissões cujos efeitos tendem a aparecer de maneira mais imediata e que frequentemente envolvem profissionais da linha de frente, de condições latentes, que podem permanecer incorporadas ao sistema durante longos períodos até encontrarem circunstâncias capazes de revelar seu potencial de dano. (REASON, 1997; REASON, 2000)

Para representar essa dinâmica, Reason utilizou a imagem do queijo suíço: diferentes camadas representam as defesas de um sistema e seus “buracos”, as vulnerabilidades existentes em cada uma delas. Quando fragilidades presentes em diferentes camadas encontram condições para se alinhar, falhas ativas e condições latentes podem formar uma trajetória capaz de atravessar sucessivamente as defesas do sistema. Na aviação, a ICAO utiliza esse modelo para demonstrar que sistemas complexos possuem múltiplas camadas defensivas e que decisões tomadas em níveis organizacionais podem permanecer latentes até que determinadas condições operacionais permitam que seus efeitos se combinem com falhas ativas na linha de frente. (ICAO, 2018) Dez anos depois, continuo utilizando essa lógica para olhar processos muito além da aviação.

Profissionais competentes continuam sujeitos à falibilidade humana. Pessoas esquecem, podem se distrair, interpretar informações de maneiras diferentes, perder sinais relevantes ou tomar decisões inadequadas. Reconhecer essa condição não significa normalizar negligência nem retirar responsabilidade individual. Significa compreender que segurança não pode depender exclusivamente da expectativa de desempenho humano perfeito. (REASON, 1990; REASON, 2000). Essa premissa muda a maneira de estruturar operações. Atendidos os requisitos de competência necessários à função, o processo precisa oferecer condições para que a pessoa compreenda o que fazer, como fazer e qual risco determinada etapa ajuda a controlar. É aqui que o exemplo mais simples continua sendo útil: apertar um botão. Ensinar alguém a apertar determinado botão é relativamente fácil. O problema é construir um sistema cuja segurança dependa exclusivamente de essa pessoa lembrar de apertá-lo. Um processo bem estruturado considera o que antecede a ação, como o trabalhador reconhece o momento de executá-la e quais controles podem identificar o desvio caso ela não aconteça. O trabalhador executa a tarefa. O processo sustenta a segurança da execução. Isso não retira responsabilidade individual. Distribui adequadamente a responsabilidade entre pessoa, procedimento, controles e sistema. É justamente essa ampliação do campo de análise que impede que uma investigação pare no último comportamento observável e permite procurar fatores que permaneceriam no sistema mesmo depois da substituição da pessoa que cometeu o erro. (SHAPPELL; WIEGMANN, 2000)

Uma correspondência judicial e um problema iminente evitado por uma fatia de “queijo”.

Durante minha atuação na gestão de um condomínio de grande porte, identifiquei que correspondências judiciais representavam um risco que não terminava quando uma funcionária assinava o recebimento. Naquele momento, o risco apenas mudava de lugar. A assinatura comprovava que o condomínio havia recebido a correspondência, mas ainda existiam vulnerabilidades relacionadas à identificação do destinatário, à comunicação e ao cumprimento de prazos. O processo precisava sobreviver a essas possibilidades. Por isso, foram estabelecidas barreiras sucessivas, incluindo conferência de dados, procedimentos de devolução, registros e rastreabilidade. Quase dois anos depois, um antigo morador compareceu à administração alegando ter sofrido prejuízos porque uma correspondência judicial, cujo aviso de recebimento continha a assinatura de uma funcionária, não teria sido entregue nem comunicada. Naquele momento, a funcionária que havia recebido a correspondência já não fazia parte da organização. Se a alegação estivesse correta, não estaríamos diante de uma simples falha administrativa. Uma correspondência judicial recebida e não destinada corretamente poderia gerar prejuízo financeiro ao condomínio e repercutir sobre uma coletividade de mais de 840 unidades. E, se as etapas previstas no procedimento não tivessem sido executadas ou não houvesse evidências capazes de demonstrá-las, a organização teria pouca capacidade de reconstruir o ocorrido e sustentar tecnicamente sua atuação. Era exatamente o tipo de situação para a qual as barreiras haviam sido construídas. Naquele momento, uma das evidências utilizadas para comunicação já não estava disponível. A funcionária não estava mais na organização. Mas o processo não dependia da memória dela nem da minha. Com a data e o código de rastreamento apresentados pelo próprio ex-morador, foi possível consultar os registros e reconstruir o ocorrido: já na primeira tentativa de entrega ao destinatário, verificou-se que não havia dados suficientes para identificá-lo e, conforme o procedimento estabelecido, a correspondência foi devolvida aos Correios. A barreira havia funcionado exatamente no ponto para o qual fora criada. O problema potencial não precisou chegar à consequência para ser interrompido. Um bom processo não depende de alguém lembrar do que aconteceu. Ele produz evidências suficientes para que a organização consiga reconstruir o que aconteceu.

Segurança operacional não é ausência de erro.

Uma das principais lições que trouxe da aviação para minha forma de compreender organizações foi não esperar a consequência para começar a investigar o risco. Segurança operacional não significa construir um ambiente no qual ninguém erra. Eliminar completamente o erro é incompatível com as limitações naturais do desempenho humano. Algumas falhas podem ser interrompidas imediatamente. Outras podem permanecer latentes durante muito tempo. O fato de uma vulnerabilidade não ter produzido uma consequência grave ainda não demonstra que ela deixou de existir. (REASON, 1997; ICAO, 2018). Um sistema mais seguro reconhece essa condição e cria mecanismos capazes de identificar vulnerabilidades, interromper sua progressão e verificar se as barreiras construídas realmente funcionam. Por isso, diante de um evento, saber quem fez o quê continua sendo importante, mas não é suficiente. A análise precisa alcançar também as condições anteriores, os sinais que já estavam presentes e as barreiras que deveriam ter funcionado, falharam ou sequer foram construídas. Pessoas são uma das barreiras, mas não podem ser a única. O erro que enxergamos no final pode ser apenas o momento em que uma vulnerabilidade antiga finalmente se tornou visível.