A permissão impecável e a linha ativa

Os conselhos veem o controle de trabalho como um sistema maduro e auditado: permissões emitidas, bloqueios registrados, taxas de conclusão no verde. Olin e PBF são os casos que deveriam levar um conselho a perguntar o que esses números no verde realmente certificam. Em ambos, a documentação estava em ordem. Em ambos, um trabalhador abriu uma linha ativa. O registro e a realidade haviam divergido — e o registro era o que se mostrava ao conselho.

Não é uma história de um sistema de permissões quebrado. O sistema funcionou. O que ele não pôde fazer foi garantir que a linha física correspondesse ao papel — e essa garantia é a única coisa que importa no instante da abertura. Um conselho que lê «conformidade de permissões: na meta» e ouve «o trabalho era seguro» cometeu o mesmo erro que a papelada: confundiu um registro de intenção com um estado do mundo.

A garantia tem um modo de falha confortável: medir o processo em vez do resultado. Uma permissão emitida, um bloqueio registrado, uma etiqueta aplicada — cada um é real, auditável e tranquilizador. Nenhum equivale às válvulas certas fechadas na linha certa, provado por um teste positivo. O registro certifica que passos foram dados. Não certifica que a energia armazenada se foi. A distância entre essas duas afirmações é exatamente onde estava o cloro.

Na Olin o registro estava impecável e a linha ativa, porque o bloqueio havia sido feito — corretamente — em um sistema quase idêntico. Cada caixa estava marcada. As caixas estavam na linha errada. Um conselho apoiado em indicadores de conclusão não teria visto nada anormal até o instante do vazamento, porque segundo cada medida que acompanhava, o trabalho estava sendo bem feito.

O mecanismo da linha errada não produz resultados pequenos. Na PBF Martinez produziu uma perda estimada em 924 milhões de dólares. Na Olin, cerca de 8.000 libras de cloro liberadas e uma comunidade obrigada a se abrigar. Não são estatísticas de acidentes com afastamento; são eventos de balanço, eventos regulatórios e eventos de confiança da comunidade — as categorias das quais um conselho é unicamente responsável. O ato é banal: um trabalhador, um flange, uma suposição errada. A exposição é existencial.

Na PBF o remédio do CSB foi ter uma pessoa competente presente para garantir que trabalhadores pouco familiarizados abrissem o equipamento correto. Leia isso como uma declaração de governança: a empresa havia organizado que o trabalho em equipamento perigoso fosse feito por pessoas que não o conheciam, sem uma pessoa competente verificando. Esse arranjo não é uma escolha de campo. É um produto da estratégia de contratação, dos modelos de pessoal e do planejamento de paradas — todas decisões visíveis ao conselho. A falta de familiaridade no flange é projetada a montante, em salas onde o trabalhador nunca entra.

E a exposição do conselho aqui é direta. Quando contratados abrem a linha errada, a estrutura de contratação que parecia eficiência se torna a causa imediata nomeada na investigação — e o dever não se transfere com a tarefa. «Quem conhecia este equipamento, e estava presente quando foi aberto?» é uma pergunta que um conselho pode fazer sem conhecer uma única válvula, e a resposta remete diretamente a decisões que o próprio conselho aprovou.

"O número mais perigoso em uma sala de conselho é um verdadeiro que mede a coisa errada."

Você não pode verificar o bloqueio. Você pode verificar se sua garantia mede a verificação, afinal. Três perguntas estabelecem isso.

1. Nosso reporte de controle de trabalho mede a verificação física, ou a conclusão documental? — Se o conselho só vê taxas de conformidade e fechamento de permissões, mostra-se que o processo ocorreu — não que alguma linha foi confirmada sem energia. Sinal de alerta: nenhum indicador distingue «bloqueio registrado» de «bloqueio verificado independentemente no ponto de trabalho».
2. Quando trabalhadores pouco familiarizados abrem equipamento perigoso, exige-se uma pessoa competente na abertura — e é auditado? — Sinal de alerta: isso depende de um julgamento informal, ou o modelo de contratação põe rotineiramente equipes pouco familiarizadas em aberturas perigosas sem uma pessoa competente presente — o arranjo exato que o CSB criticou na PBF.
3. Mapeamos onde existem sistemas quase idênticos — e os tratamos como um perigo nomeado? — Sinal de alerta: a organização não tem inventário de linhas sósias, e a verificação de bloqueio não protege especificamente contra o erro do gêmeo errado que causou Olin. Um perigo que você não nomeou é um perigo que você não está gerenciando.

Essas três perguntas levam o conselho de auditar se a papelada existe a auditar se a papelada corresponde à realidade. Depois de Olin, PBF e PEMEX, essa distinção não é um refinamento da supervisão — é a totalidade dela. O conselho que as faz não se apoia mais em um registro para lhe dizer algo que um registro não pode saber.

A garantia mais perigosa é a que é verdadeira e irrelevante. «A permissão foi emitida» é verdade. «O bloqueio foi registrado» é verdade. Nenhum diz ao conselho se a linha que um trabalhador vai abrir está sem energia. A tarefa do conselho é insistir que sua garantia meça o que mantém o cloro na tubulação — a verificação física no ponto de trabalho — e tratar um registro impecável apresentado como prova de uma linha segura como exatamente o erro que os destroços continuam ensinando. No registro não é na tubulação.

"Uma permissão diz ao conselho que o processo ocorreu. Só a verificação diz ao conselho que a linha está sem energia. Nunca confunda o recibo com o resultado."