O controle que você contabilizou e que não estava lá

A maioria dos conselhos contabiliza a autoridade de parada entre seus controles de segurança. Ela aparece no dossiê de segurança, nas pré-qualificações de contratados, no relatório anual de segurança ao conselho — uma marca na coluna que diz que a força de trabalho pode interromper um trabalho inseguro. Geismar é o caso que deveria levar cada conselheiro a perguntar o que essa marca realmente compra. Um contratado a usou. O trabalho continuou. O controle estava presente em cada documento e inerte no único momento em que foi exercido.

Não é uma história de comportamento de campo. O contratado fez precisamente o que o programa pede: viu uma válvula degradada e a levantou. O que falhou foi o sistema que a organização construiu em torno do momento em que ele falou. E um conselho é responsável pelo projeto do sistema — não pelo comportamento da pessoa na válvula.

A categoria de risco mais perigosa para um conselho não é o perigo que você não soube identificar. É o controle que você contabilizou e que não funciona. O perigo não identificado ao menos o deixa alerta. O controle contabilizado mas inerte faz o oposto: você lhe atribuiu confiança, inscreveu-o em sua garantia, e parou de olhar — precisamente porque acredita que está resolvido.

A autoridade de parada é singularmente propensa a essa falha, porque é invisível até ser usada e quase nunca é testada. Em Geismar existia em cada documento e falhou no único momento em que foi exercida. A pergunta no nível do conselho nunca foi «temos autoridade de parada?» Era «já testamos o que nosso sistema faz quando alguém a usa de verdade?» — e ninguém a havia feito.

Cada sistema de parada tem um padrão: o que acontece, por inércia, enquanto a resposta ainda está sendo buscada. Em Geismar, o padrão era «continuar». Esse padrão não é escolhido pelo trabalhador ou pelo supervisor no momento — é definido, de antemão, pelo sistema que a organização projetou. Ou seja, pela governança. Quando a ambiguidade se resolve sistematicamente para «seguir trabalhando», essa é uma decisão no nível do conselho tomada implicitamente, muito antes de uma válvula começar a vazar — e decide o desfecho de cada momento incerto que se segue.

A parada se dissolveu em uma interface precisa: um contratado levantando uma preocupação ao funcionário de um cliente. Essa fronteira contratado–cliente é onde a autoridade é mais ambígua, o poder mais assimétrico e a responsabilidade mais difusa — e é exatamente onde os conselhos aplicam menos atenção de projeto, porque o contratado é «a gente de outra pessoa». A costura entre duas organizações é o ponto mais fraco de quase todo controle de segurança, e a parada não é exceção.

E a exposição não é transferida com o trabalho. Quando um incidente ocorre nessa costura, a estrutura de contratação que parecia transferência de risco no papel se torna exposição compartilhada em público e nos tribunais. Um conselho que terceirizou a tarefa não terceirizou o dever — apenas terceirizou sua própria visibilidade sobre se o controle funciona. Você continua responsável por um controle que não pode mais ver.

"O lugar mais perigoso de uma operação é a linha onde termina a autoridade de uma empresa e começa a de outra. Essa linha está escrita no contrato — não na planta."

Você não precisa conhecer a válvula. Precisa saber se o controle que contabilizou funciona de fato. Três perguntas estabelecem isso.

1. Qual é o padrão quando uma parada é invocada e a resposta é incerta — e quem o decidiu? — Se a gestão não consegue enunciar o padrão na hora, é «continuar» — e ninguém o escolheu deliberadamente. Sinal de alerta: a resposta descreve a política de parada em vez do comportamento do sistema enquanto a decisão está pendente.
2. Alguém pode anular a parada de um trabalhador — ou de um contratado — sem uma decisão de reinício positiva e registrada? — Se uma parada pode se extinguir por falha de comunicação ou deferência, é uma sugestão, não um controle. Sinal de alerta: a autoridade de reinício é informal ou verbal, ou está com a parte que tem um cronograma a proteger.
3. Quando testamos pela última vez o que acontece quando alguém usa a parada — na interface com contratados em particular? — Sinal de alerta: a única evidência de que o controle funciona é que ele existe no papel e que «as pessoas sabem que podem parar». Uma parada não testada na costura com contratados é exatamente a lacuna que produziu Geismar.

Essas três perguntas convertem a autoridade de parada de uma linha que o conselho aceita em um controle que o conselho verificou. Essa diferença — entre aceitar e verificar — é a diferença entre Geismar e o quase-acidente do qual ninguém fora do site jamais ouve falar.

O trabalho de um conselho não é lembrar as pessoas de que podem parar. É garantir que, quando alguém o faz, o sistema para — por padrão, sem discussão, e não importa quem a invocou ou em qual folha de pagamento está. Uma parada que precisa sobreviver a um repasse para surtir efeito é um controle de nome e uma esperança na prática. Geismar é o que custa a distância entre os dois, medida em uma internação e mais três válvulas corroídas que ninguém havia encontrado ainda.

"Um controle que você contabilizou mas nunca testou não é proteção — é um passivo que você já registrou como um ativo."