Equipe editorial da RISKOPILOT, 16 de setembro de 2026, 5 min de leitura

    Verificar não é proteger: a hierarquia de controles para o conselho

    Verificações, treinamentos e procedimentos mantêm as barreiras saudáveis. Só a eliminação e a engenharia afastam a energia letal das pessoas.

    O plano de ação confortável

    Muitas análises de incidentes graves terminam com as mesmas ações: retreinar a equipe, atualizar o procedimento, acrescentar uma verificação. São rápidas de aprovar e fáceis de auditar. Raramente mudam o risco de fatalidade, porque cada uma ainda depende de uma pessoa fazer a coisa certa na hora certa.

    Os pontos de proteção tornam a hierarquia visível

    O CCHI pontua cada barreira conforme o quanto ela depende das pessoas. Uma barreira de engenharia passiva recebe 2,0 pontos; uma automatizada, 1,0; uma barreira que uma pessoa precisa acionar, 0,5; uma barreira humana ativa, 0,3; e a proteção individual, 0,2. Um ponto equivale a dividir o risco por cerca de dez. Treinamentos, procedimentos, permissões e sinalização mantêm as barreiras saudáveis, mas não passam no teste de controle direto e, sozinhos, não somam nada.

    Barreiras independentes se somam; as que compartilham uma causa, como a mesma equipe, contam uma única vez. Cada trajetória de energia letal tem um teto de 3,0 pontos, e uma tarefa é tão protegida quanto sua trajetória mais fraca. Os pontos são convenções de planejamento, não probabilidades de falha medidas.

    O que duas investigações mostram

    No terminal de combustíveis de Buncefield, em 2005, um tanque tinha um medidor de nível e uma chave independente de nível muito alto. O medidor travava de forma intermitente desde a manutenção do tanque, meses antes, e a chave estava inoperante porque o cadeado necessário para manter sua alavanca de teste não havia sido instalado, embora a chave fosse testada periodicamente. O tanque transbordou, e a nuvem de vapor explodiu.

    No mesmo ano, na refinaria de Texas City, uma torre de destilação foi enchida além do limite durante a partida enquanto o transmissor de nível indicava um nível seguro e em queda. O alívio foi para uma chaminé de purga sem tocha, perto de trailers temporários ocupados. Quinze pessoas morreram e 180 ficaram feridas. O Chemical Safety Board concluiu que muitos dos problemas eram recorrentes e já tinham sido identificados em auditorias e investigações internas.

    Nos dois casos havia atividade de verificação. A engenharia que teria mantido a energia longe das pessoas estava ausente ou não funcionava.

    Testando a ordem de prioridades

    O laboratório CCHI aplica a mesma lógica a uma organização de exemplo ao longo de 24 meses. Medidas de garantia e de cultura, sozinhas, reduziram os eventos simulados de alta energia de 83 para 68. Um plano que prioriza a engenharia os reduziu para 16. São resultados ilustrativos de um modelo que pressupõe o mecanismo, não uma previsão. Eles mostram a ordem de prioridades: eliminar a energia, instalar barreiras de engenharia e, depois, mantê-las funcionando e verificá-las.

    A pergunta para o conselho

    A pergunta útil para um conselho não é se as verificações estão sendo feitas, mas quanto da exposição da organização à energia letal ainda depende das pessoas.

    Fontes

    Explore o método no laboratório CCHI

    Solicitar acesso antecipadoO método