SciELO - Scientific Electronic Library Online

 
vol.43Função pulmonar e depuração mucociliar nasal de cortadores de cana-de-açúcar brasileiros expostos à queima de biomassaErrata: A atuação do SUS na vigilância de ambientes de trabalho: a experiência do Centro de Estadual de Referência em Saúde do Trabalhador (Cesat) na Bahia índice de autoresíndice de assuntospesquisa de artigos
Home Pagelista alfabética de periódicos  

Serviços Personalizados

Journal

Artigo

Indicadores

Links relacionados

Compartilhar


Revista Brasileira de Saúde Ocupacional

versão impressa ISSN 0303-7657versão On-line ISSN 2317-6369

Rev. bras. saúde ocup. vol.43  São Paulo  2018  Epub 30-Ago-2018

http://dx.doi.org/10.1590/2317-6369000021118 

Nota

Gestão de segurança em sistemas complexos e perigosos - teorias e práticas: uma entrevista com René Amalberti

René Amalbertia 
http://orcid.org/0000-0002-5770-2391

Raoni Rochab 
http://orcid.org/0000-0003-1181-0132

Rodolfo Andrade de Gouvea Vilelac 
http://orcid.org/0000-0002-8556-2189

Ildeberto Muniz de Almeidad 
http://orcid.org/0000-0002-8475-3805

a Fondation pour une Culture de Sécurité Industrielle (FONCSI), Toulouse, França.

b Universidade Federal de Itajubá, Campus Avançado de Itabira, Curso de Engenharia em Saúde e Segurança. Itabira, MG, Brasil.

c Universidade de São Paulo, Faculdade de Saúde Pública, Departamento de Saúde Ambiental. São Paulo, SP, Brasil.

d Universidade Estadual Paulista “Júlio de Mesquita Filho”, Faculdade de Medicina de Botucatu, Departamento de Saúde Pública. Botucatu, SP, Brasil.


Resumo

René Amalberti é médico, mestre e doutor em medicina. Após uma residência em psiquiatria, integrou a Força Aérea francesa em 1977. Foi pesquisador e médico permanente em 1982, tornando-se professor titular de medicina em 1995. Ele se aposentou em 2007 no posto de general e divide seu tempo entre a Haute Autorité de Santé (Agência de Acreditação Francesa), como conselheiro sênior em segurança do paciente, e a Fundação para uma Cultura de Segurança Industrial (FonCSI, na sigla em francês), como diretor voluntário. Publicou mais de 150 artigos internacionais, é autor e coautor de 12 livros sobre erro humano e sistema de segurança. Durante sua carreira, ocupou várias posições de destaque trabalhando como chefe de fatores humanos e segurança na aviação no Joint Aviation Authorities (JAA, entre 1993-1999), chefiou ainda o Programa de Pesquisa Nacional sobre qualidade e segurança no transporte terrestre (2001-2006), também foi coordenador de vários comitês científicos nacionais e internacionais, que tratam de riscos ambientais. Esteve no Brasil em 2016 no 57º Encontro Presencial do Fórum Acidentes do Trabalho (Fórum AT) para ministrar palestras e publicar o livro Gestão da segurança: teorias e práticas sobre as decisões e soluções de compromisso necessárias.

Palavras-chave: segurança industrial; gestão de segurança; riscos tecnológicos; cultura de segurança; sistemas ultrasseguros

Abstract

René Amalberti is a Professor, MD, and PhD in Medicine. After a residency in Psychiatry, he integrated the Airforce in 1977, got a permanent Medical Research position in 1982, and became Full Professor of Medicine in 1995. He retired in 2007 with the rank of General, dividing his time between the HAS - Haute Autorité de Santé (French Accreditation Agency - senior advisor patient safety), and a position of volunteer director of Foundation for an Industrial Safety Culture (FONCSI). He has published over 150 international papers, and authored or coauthored 12 books on human error and system safety. During his carrier, he occupied several detached positions working as Head Human factors and Flight Safety at the European Joint Aviation Administration, 1993-99, Head of National Research Program Quality Safety in Ground Transportation, 2001-2006; he was also chair of several national and international scientific boards dealing with environmental risk. In 2016 he came to Brazil to lecture at the 57th Work Accident Forum Meeting. On the occasion he launched the Brazilian translation of his book La sécurité: théorie et pratiques sur les compromis et les arbitrages.

Keywords: industrial safety; safety management; technological risks; safety culture; ultra-safe systems

Entrevistadores (E): Gostaríamos que o senhor fizesse uma breve apresentação da sua trajetória profissional e das principais ideias e abordagens da segurança que tem desenvolvido.

Amalberti: Comecei com uma formação em medicina. Fiz o internato em psiquiatria e queria pesquisar os riscos de pessoas que não estão doentes, mas que ocupam postos de grande responsabilidade e que encontram dificuldades psicológicas nas suas demandas. Não encontrei nessa época nenhum professor que estivesse interessado nesse assunto, então procurei os militares, que me ofereceram uma vaga de pesquisador. Mas eles também não tiveram interesse, por isso decidi procurar a área de aviação para aprender sobre segurança, na época um tema não discutido pela área médica. Na aviação, rapidamente me interessei por aviões de combate e pelo trabalho dos pilotos nessa área, como também o dos pilotos da aviação civil. Naquele momento havia ocorrido a chegada dos aviões automatizados (Airbus). Tive a sorte de permanecer durante um ano na Airbus onde aprendi quais eram as dificuldades desses profissionais, provenientes de diversos países e com culturas diferentes, para pilotarem esses aviões complexos. Após esse período, de forma muito natural, eu acabei indo parar em um serviço ministerial encarregado da aviação civil para gerir este problema no âmbito europeu - a questão da segurança de voo. Em paralelo, durante todo o período de 1986, eu estava muito próximo de J. Rasmussen e James Reason - passei uma semana por mês com eles durante quatro anos. Isso foi antes de Reason publicar seu livro sobre o erro humano1. Era, portanto, um período extraordinário de aprendizagem, mesmo sendo muito jovem. Depois da psiquiatria, fiz alguns cursos na Universidade de Paris 8 sobre psicologia cognitiva e foi um bom complemento para compreender o homem normal e não somente o homem patológico. Trabalhei durante dez anos na aviação, permanecendo afastado dos assuntos médicos, orientando teses em diferentes áreas, em particular na pesca e no setor nuclear. Depois desse tempo, deixei a aviação e retornei para a área da saúde no final dos anos 1990, momento em que se começou a falar sobre segurança na área da saúde. Isso foi impulsionado pelos americanos. Eu era próximo de Reason, que mantinha contato com eles, o que me apresentou a esse grupo. Na França ainda não se discutia sobre o assunto, mas rapidamente esse movimento se expandiu por lá.

Em paralelo, o Ministério dos Transportes francês me convidou para assumir a direção do Programa Nacional de Segurança nos Transportes Terrestres, que eu comandei por dez anos. Portanto, são esses diferentes universos que construíram meu conhecimento, minha visão da segurança - compreender por que homens que estão em diferentes setores têm gestões da segurança tão diferentes. No início eu estava muito centrado nos indivíduos, pouco a pouco passei a me interessar nos gerentes e, finalmente, me interessei cada vez mais em governança de sistemas de risco e na política de gestão desses sistemas. Esses casos são todos ligados uns aos outros.

E: O seu livro Piloter la Sécurité 2, recentemente traduzido ao português pelo grupo do Fórum AT como Gestão da segurança: teorias e práticas sobre as decisões e soluções de compromisso necessárias 3, apresenta sua experiência, sobretudo, na aviação civil e traz alguns conceitos que gostaríamos de compreender um pouco mais. O primeiro é a gestão individual de riscos nos postos de trabalho; o segundo, a questão da gestão sistêmica e, finalmente, o conceito de governança dos sistemas de gestão.

Amalberti: No nível individual, nosso cérebro é possante, mas ele não pode fazer nem compreender tudo imediatamente, naquele momento, e nem mais tarde, de forma contínua. Ele apresenta limitações, o que faz todos os seres humanos serem limitados. Para gerenciar situações complexas, os seres humanos desenvolveram um estado de equilíbrio. Esse equilíbrio é necessário para o controle do ambiente externo, isto é, o que é preciso fazer minimamente para atingir o objetivo que procuramos; e a realização disso gastando poucos recursos [mentais]e para não se esgotar o nível cognitivo. É esse mecanismo de ajuste que explica o porquê os seres humanos não buscam evitar todos os erros. Evitar os erros obsessivamente seria uma condenação a não fazer o trabalho. Estaríamos tão mobilizados em termos de engajamento mental, tão saturados, lentos - pois é preciso ir devagar para evitar os erros - que não seríamos rentáveis e nenhuma fábrica nos contrataria já que não poderíamos fazer o trabalho, isso não corresponde absolutamente a um uso inteligente do cérebro.

Assim, por causa dessas limitações, a aposta é fazer o trabalho correndo riscos, aceitando o erro, olhando para frente, e pensar no próximo passo. A antecipação permite controlar a situação e saber onde vamos nos expor ao risco, evitando as zonas de grandes riscos. Quanto aos erros, tentamos muito mais detectá-los do que evitá-los. O ser humano é um detector extraordinário dos seus próprios erros. E ele não apenas os detecta e os recupera - de 9 a cada 10 casos -, mas também recebe como retorno dos erros cometidos um indicador do nível de atenção necessário. Ao tomarmos consciência dos erros, tomamos consciência também do controle das situações. É um sistema maravilhoso que não evita o erro, mas usa os erros para trabalhar rápido, em modo automáticof, e que tem uma capacidade de segurança bastante eficaz. Se aceitamos isso, fica claro que não é necessário contar os erros, é preciso contar as correções se quisermos compreender a qualidade do saber humano.

E: Isso que o senhor diz está presente no conceito de “compromisso cognitivo”g, desenvolvido no seu livro.

Amalberti: No compromisso cognitivo tenho duas fontes de restriçõesh: a exterior - por exemplo, dirijo meu carro, devo permanecer na via, lidando com restrições, como semáforos que preciso respeitar, outros veículos etc., nessa situação eu tenho um exterior, um mundo, com uma tarefa a realizar. Mas, ao mesmo tempo, tenho um cérebro com suas próprias limitações, então eu tenho um mundo interior como outra fonte de restrição. O compromisso cognitivo é o ajuste entre o que eu poderia ver no exterior - seja os detalhes dos painéis publicitários, as pessoas que conduzem os veículos ao meu redor -, e a pergunta “tenho necessidade de fazer isso?” porque cada vez que faço isso consumo energia no meu cérebro. Portanto o ajuste é observar apenas aquilo que é necessário, se alguém cometeu algum erro, e recuperá-lo para economizar meu cérebro e trabalhar em modo automático. Trabalhar assim me permite pensar não necessariamente em dirigir: simultaneamente eu posso pensar na reunião que terei. É esta espécie de regulagem que faço focando e priorizando a restrição, que vem do exterior, e o fato de utilizar bem meu cérebro que é o compromisso cognitivo.

E: Poderíamos dizer que tudo isso faz parte da gestão individual do risco?

Amalberti: Sim, isso está na esfera do indivíduo.

E: Esse é o assunto do seu primeiro livro, La conduite des systèmes à risques 4) (“A condução dos sistemas de risco”). Além disso, no livro3o senhor desenvolve outras ideias relacionadas à gestão sistêmica e à governança dos sistemas de risco. Poderia desenvolver um pouco mais esse assunto?

Amalberti: Sobre a gestão sistêmica temos um modelo que Reason1 ajudou a popularizar, o das placas ou do queijo suíço, que diz: todos os seres humanos cometerão erros; para tentar fazer com que esses erros não evoluam para um acidente, colocamos barreiras. Mas em um terceiro momento temos gerentes que não cometem erros diretos, e sim erros latentes. Essas pessoas, pela maneira como organizam o sistema, pela forma como colocam uma pressão econômica, um modelo econômico que aloca ou não os recursos, que libera ou não o dinheiro, vão induzir sobre o sistema um estilo, uma pressão, uma organização dos riscos. E é isso a visão sistêmica, retornar aos gerentes e compreender como eles organizam a pressão sobre os operadores com os quais trabalham. Há bons modelos para fazer isso, que são igualmente formas de compromisso, mas também os modelos ruins, que são denunciados por causar mais acidentes.

E: O senhor desenvolveu no seu livro a ideia de compromisso cognitivo, mas também outros conceitos que no Brasil não são muito compreendidos, como os de “modelo ecológico de gestão do risco”, “suficiência de desempenho” e a sua relação com o compromisso cognitivo.

Amalberti: Isso é fácil de compreender. Se tomarmos o exemplo das ruas na tarefa de condução de veículos, podemos trafegar por uma rua de dois metros de largura. Seria muito difícil dirigir em uma rua de dois metros de largura, para isso teríamos que dirigir a 20 quilômetros por hora para não sair do trajeto e colidir. Podemos também entrar em uma rua onde o asfalto esteja coberto de cascalho, o que é muito perigoso, ou escolhemos não entrar nela, pois deixamos criar margens. O mundo cria margens. Por isso fazemos ruas de oito metros, com calçadas de quatro metros ou mais em cada lado, e isso vai permitir que corrijamos os erros cometidos, pois construímos um mundo que é suficientemente tolerante. É o mesmo no trabalho. Não se deve pedir ao operário, mesmo que ele seja capaz, que trabalhe dezesseis horas por dia. Nós pedimos que trabalhe oito horas. Ele até pode fazer mais, mas não por muito tempo. Se queremos que o trabalho dure bastante tempo, nosso interesse é não exigir excessivamente das pessoas, é deixar margens. Isso é a suficiência - o mundo do trabalho é organizado em margens. Para ser um bom operário, ou gerente, não podemos estar no máximo da nossa capacidade de desempenho. Não é necessário, pois o que é considerado um operário, ou um gerente, muito bom é a possibilidade de ter uma melhor capacidade de desempenho sem utilizar todas as suas margens. Ele não conseguiria manter o desempenho por muito tempo neste caso, é o limite do sistema. É por isso que precisamos da suficiência, porque a suficiência permite ter margens, que preservam a duração. É preciso duração, não se pode ser bom apenas um dia, mas todos os dias. A ideia de preservar uma espécie de visão ecológica do trabalho, com margens de suficiência, é o que torna o mundo tão eficaz. Se tomarmos a metáfora de que na segunda-feira de manhã, ao voltar do fim de semana, trabalharmos até o esgotamento, teremos utilizado toda a capacidade da empresa: isso não é uma boa solução se queremos durar até a sexta-feira. Nosso interesse é contar com um regime suficiente, economicamente rentável, e que preserve o homem. No fundo, não estamos muito longe da ideia de Taylor, mas é uma ideia revista sob o prisma da modernidade.

E: Dentro disso está toda a discussão dos conceitos sobre prevenção, recuperação e mitigaçãoidos riscos. O senhor pode desenvolver um pouco mais e nos dar exemplos?

Amalberti: É bastante simples. Se estamos no hospital com o risco de infecção - todo mundo conhece esses riscos - vão ser organizadas barreiras para impedir que a infecção aconteça, as barreiras de prevenção: pede-se que as pessoas lavem as mãos, passem álcool antes de proceder a uma incisão na pele, utilizem antibióticos, entre outras medidas. Portanto há muitas barreiras que previnem o risco. Mas seria inocente acreditar que é possível impedir o risco de ocorrer, por isso utilizam-se também barreiras que admitem o aparecimento do risco. No caso de infecções em um hospital, essas não são barreiras que previnem, e sim que combatem a infecção. Tenta-se ao máximo preveni-las, mas quando não é possível, é preciso também combatê-las. Isso quer dizer que serão implantados protocolos de detecção, por exemplo, verificar a temperatura do paciente todas as noites e manhãs, e se a temperatura subir, será iniciado um tratamento, adicionando um antibiótico considerado adequado. Tudo isso é a recuperação [da concretização do risco]. O paciente passará alguns dias a mais no hospital para se recuperar. Mas, para aqueles que pegaram uma infecção que não se consegue controlá-la, admite-se também que a infecção vai piorar e aparecerá o risco de morte. Nesse caso, para além da recuperação, estamos na atenuação: tentaremos evitar que o paciente morra. O paciente estará provavelmente muito cansado. Mas a barreira de recuperação ocorrerá, por exemplo, em um hospital [mais complexo]. Eu estive em um grande hospital de Cuiabá, onde foi decidido que um paciente com uma infecção grave seria transferido para um hospital de São Paulo. Isso é a atenuação, pois em São Paulo há meios de reanimação mais modernos, assim tentarão controlar o risco de morte. Isso se aplica a tudo. Há sempre essas três barreiras, e fundamentalmente, quando vemos um risco, é preciso desenvolver todas elas e nunca acreditar que apenas a prevenção seja suficiente. É preciso também considerar a piora, a necessidade de recuperação e a preparação para eventos extremos, sendo necessário aplicar barreiras de atenuação. Outro exemplo, a segurança no trânsito: reduz-se a velocidade, coloca-se radares e informa-se os condutores - essas são medidas de prevenção. Além disso, construímos estradas largas que permitem recuperar os erros de direção, mesmo assim os erros acontecem, se há milhares de pessoas que dirigem, haverá erros. Para isso realizamos uma ergonomia que permite tolerar os erros, recorremos a dispositivos tecnológicos, como o freio ABS, ou os sistemas de frenagem para corrigir os erros, isso é a recuperação. Depois aceitaremos a ideia de que ocasionalmente sairemos da estrada, isso faz parte do modelo de segurança, faremos então a atenuação: colocaremos cintos de segurança e conjuntos de airbags para limitar a gravidade das lesões da vítima.

E: Não podemos escapar da discussão sobre cultura de segurança quando discutimos essas questões. Mas sobre esse conceito há várias ideias e abordagens diferentes. O que tem a dizer sobre cultura de segurança?

Amalberti: Há duas formas. A primeira está relacionada a um termo que se tornou popular nas empresas, que gera muita discussão, o cavalo de Troia. É como a carga de trabalho: não se sabe medi-la, mas é uma boa entrada para a discussão entre os gerentes, os sindicatos, os trabalhadores e os ergonomistas. É uma ferramenta de entrada na empresa para discutir sobre a cultura de segurança. Mas o significado dela varia segundo as diferentes indústrias. A outra forma são os valores. Há valores que são responsáveis por comportamentos. Há valores, como a exemplaridade, a tolerância, a não punição, o respeito, o engajamento para com a empresa, que compõem um sistema de valores que deve ser compartilhado por todos, isso é cultura de segurança quando o sistema é compartilhado por todos, estimulando comportamentos. Há valores profundos, que as pessoas têm em si, depois temos um sistema de valores que são aqueles que a empresa quer verdadeiramente promover e depois os comportamentais, as atitudes. Conhecemos alguns modelos sobre esse sistema de valores. A questão verdadeiramente importante é que não há empresa sem cultura de segurança, mas não é necessariamente aquela que queremos. Não há empresas sem valores, sempre há valores, crenças, seres humanos que trabalham e que constroem uma visão sobre sua empresa mais ou menos compartilhada. Portanto vamos trabalhar sobre dois eixos: as ideias que os outros têm espontaneamente são aquelas que queremos que eles tenham? Em que grau todos compartilham - ou não - dessas ideias? São as ideias que queremos compartilhar? O ideal para os gerentes é que eles compartilhem apenas o que querem. Evidentemente este nem sempre é o caso: pode haver grandes diferenças entre os valores compartilhados pelos operários e os valores compartilhados pela alta gerência. Nesse caso, o problema é o alinhamento, e é todo o trabalho que tem influência sobre a cultura de segurança. O alinhamento não é um que vem se colocar acima do outro, é um caminho dos dois, da alta gerência com aquilo que deseja, e da base - das pessoas que trabalham - com o que esperam da empresa. Portanto, é esse trabalho que tentamos acompanhar quando estamos fazendo uma intervenção na empresa.

E: É a ideia do modelo de “segurança normatizada” e “segurança em ação” a articulação entre os dois?

Amalberti: É verdade que há uma ligação, há dois componentes que constroem a segurança: tudo que se refere às restrições, constrangimentos, normas, a direção que solicitamos para as pessoas seguirem. E, por outro lado, essa capacidade individual de expertise que as pessoas possuem e que é a parte “em ação”. A empresa é responsável, através de seus gerentes, da parte “normatizada”, pois, é ela que vai progressivamente regulamentar o sistema, se ela quiser. Claro que ela vai precisar usar a expertise e normatizar em um nível que permita ainda haver bastante expertise para fazer o trabalho. Essa ideia é bastante simples, pois se tudo for totalmente normatizado, perde-se a [capacidade de] adaptação. Se é que queremos adaptação - e por que não? Certas empresas ou ofícios enfrentam muito mais imprevistos do que outros. Por exemplo, se estamos nas profissões da área médica, na qual o inesperado é o padrão, não se pode normatizar demais, portanto deixamos bastante espaço para os operadores se adaptarem e teremos, no fim, um nível de segurança modesto. Se estamos na aviação, pode-se normatizar bastante, porque se não estivermos de acordo com o que foi previsto, o avião é proibido de voar. Então as ações dos operadores serão repletas de restrições e muito pouco adaptativas. São escolhas de sistemas, e novamente eu digo que é o trabalho da alta direção, mas também de conselheiros em ergonomia, que levam a empresa a fazer uma boa regulagem. Evidentemente, também pode haver períodos em que a regulagem é mais difícil de atingir, por exemplo em períodos em que há mudança na equipe de funcionários - os operários antigos são substituídos por novatos recém-diplomados. Neste momento há um desequilíbrio do sistema, com a tendência de se aumentar a normatização, e depois o problema é a adaptação do sistema aos novos funcionários.

E: Em seguida, nos sistemas chamados “ultrasseguros”, o senhor sustenta que a relação entre o risco e a aprendizagem é uma curva em U, o que quer dizer que os novatos, à medida que aprendem, gradualmente aumentam a segurança, depois há um breve momento de estabilização e, posteriormente, a curva se inverte, então os mais experientes podem trazer mais risco ao sistema do que os novatos. Então, a questão é a seguinte: não seria pertinente pensar que os experientes neste caso parecem trazer mais risco ao sistema do que os novatos porque enfrentam os riscos todos os dias e os reduzem, pois são especialistas, mas quando ocorre um acidente, a culpa será colocada sobre eles?

Amalberti: Essa curva em U descreve três fases: uma fase em que os aprendizes aumentam sua expertise e diminuem seu nível de risco; uma fase de profissionalismo seguro que otimiza a segurança em relação ao nível de expertise e, finalmente, uma fase de escape na qual certos especialistas se tornam ainda mais especialistas. Tomemos o modelo da aviação ou das indústrias nucleares, que são modelos ultrasseguros, eles levam as pessoas a uma janela de conhecimento na qual tudo está protocolado, do normal ao anormal, sempre há um procedimento. Por exemplo, na aviação existem procedimentos para conduzir o avião em condições normais e para serem empregados em todos os tipos de pane e de incidentes, isso é uma fase de profissionalismo seguro. Não há improvisação fora dos procedimentos. Portanto, estamos em um ambiente conhecido, pois há procedimentos mesmo na presença de situações anormais. Nesse domínio muito amplo, os pilotos, é claro, possuem um grande conhecimento para também solucionar muitos problemas. É ofício dos pilotos saber detectar os incidentes. Mas há procedimentos por trás. Se escapamos, a diferença é que escapamos para áreas que não são balizadas por procedimentos. A perícia excessiva é escapar dos procedimentos e abrir novos domínios, é fazer coisas que não foram balizadas pelo sistema com verificações de que isso funciona bem e, portanto, se encontra em domínios menos protocolados, com menos procedimentos. Evidentemente, quando chegamos nesse ponto, corremos riscos, pois é menos organizado. Portanto, quando saímos dessa fase corremos riscos. Podemos às vezes fazer coisas extraordinárias, pois a fase é limitada. Ao sair dela, podemos fazer coisas excepcionais, mas com risco excepcional. Por exemplo, há rodovias, no Brasil como em outros países, que têm a velocidade limitada - 80, 100, 110, 120 [km/h] - é o que chamamos de janela segura. Se conduzimos na velocidade permitida, o risco de acidente é muito baixo, pois o sistema é projetado para estar dentro desta janela. Mas se temos Fangio ou Airton Sena, eles vão dirigir a 200, 220 por hora. Se dirigirmos nessa velocidade, poderemos morrer. Portanto, a diferença é que esses especialistas podem fazer coisas que as pessoas comuns não conseguem fazer, mas eles correm riscos incríveis e sua competência vai fazer com que sejam mais bem-sucedidos. Mas isso não é possível fazer sempre, eles poderão também ser as vítimas na próxima tentativa. Outro exemplo: eu não sou capaz de escalar o monte Everest, nem o Annapurna. Mas as pessoas que vão escalar o Everest são alpinistas muito experientes, não são alpinistas comuns, são experts. E o risco de morte é de 1/10 no Everest e de 4/10 no Annapurna, isso quer dizer que há 40% de chance de morte ao escalar o Annapurna, mesmo sendo um dos melhores alpinistas do mundo. É claro que eles são os maiores experts. Mas não é muito seguro. Se, mais modestamente, nos limitamos a escalar La Quebrada de Yucatán, uma montanha mais fácil, não será tão arriscado.

E: E como determinar o limite desta janela de segurança entre o que é pouca e muita competência?

Amalberti: É o sistema que determina o limite. No que diz respeito aos pilotos de avião, eles são proibidos de sair de uma zona protocolada. Se não há procedimento, não se vai além, está proibido porque o sistema é autoritário. Mas há muitos sistemas que não são impositivos. Na área médica, por exemplo, é preciso ter procedimentos, mas há um paradoxo: os especialistas precisam ganhar conhecimento que lhes permitirão ampliar a janela de segurança. Mas não imediatamente. Inicialmente teremos mortos, e mais tarde teremos uma janela de segurança melhor. Há professores que tentaram coisas totalmente fora da janela de segurança. Evidentemente haverá alguns pacientes que vão morrer, haverá recuperações de grande sucesso e um tempo depois algumas coisas excepcionais. Agora, é verdade que não haveria cirurgia cardíaca ou coração artificial se as pessoas tivessem ficado confinadas a essa zona protocolada. Por isso é importante haver pessoas que saem dessa zona determinada e vão buscar novas improvisações. Mas para atingir a taxa de sobrevida atual, quantos pacientes morreram? Quanto é preciso regular o sistema para permitir isso? É toda a questão de autorizar ou não sair dessa janela. A aviação diz “não quero correr nenhum risco, tanto faz se não aprender nada, mas nessa janela estou segura, é este serviço que devo aos passageiros: não quero oferecer-lhes pilotos que improvisam”.

E: A esse respeito, o acidente da Air France na rota Rio-Paris parece exatamente um exemplo de pilotos que não saíam da janela de segurança, pois eles não sabiam sair.

Amalberti: Eles não sabiam sair, e não se deve sair.

E: E é por causa disso que eles morreram?

Amalberti: É uma forma de resumir um pouco exagerada, mas que abrange parte do real. Os pilotos enfrentaram condições raras: o congelamento da sonda que capta as informações de fora e informações inexatas sobre o estado externo da aeronave, que não foram suprimidas, tornando-se totalmente imprecisas. E eles não compreenderam, acreditaram realizar um procedimento, embora o sistema estivesse falando absurdos, eles seguiram os absurdos. Depois, para recuperar o avião que estava com perda de sustentação, eles não tinham formação necessária. E se houvesse um piloto excepcional, talvez fosse possível recuperar o voo. Mas a aeronáutica não quer isso. A janela de segurança garante 10-6 acidentes - menos de um acidente por milhão. Se fosse autorizado aos pilotos improvisarem, como se fazia antes, estaríamos em 10-4. Para impedir um acidente, teríamos 100 acidentes. É por isso também que aquele acidente no qual o piloto pousou o avião no rio Hudson não é considerado absolutamente como algo que se deve ensinar aos pilotos: isso está fora dessa janela. No modelo estável temos 10-6 nessa janela, eles não aprendem mais, não progridem, mas ter 10-6 é excepcional. E é um benefício para os passageiros. Nem o setor nuclear, nem a aviação estão prontos para devolver a autonomia aos operadores, pois no passado, quando eles tinham autonomia, o sistema estava em 10-4.

E: Então esse tipo de acidente, como o da Air France Rio-Paris, seria um pouco o preço a se pagar.

Amalberti: É um acidente que estava em um risco 10-7 ou 10-8 em um modelo 10-6. É dramático para as pessoas que estavam no voo, mas a prova disso é que nada foi feito após o acidente. Não se ensinará aos pilotos a sair da janela de segurança, treiná-los [para fazer isso] é proibido. A única coisa que se faz - e que funciona muito bem - é o que chamamos de “vacinação cognitiva”. A aeronáutica difunde, entre todos os pilotos desse modelo de avião, os detalhes do acidente, especialmente a abordagem aos primeiros sinais, quando ainda era bastante fácil reagir. E isso funciona muito bem, pois tanto faz ser um piloto no Brasil ou no Afeganistão, a partir do momento em que se voa com esse avião, imediatamente se tem conhecimento desse acidente - o que é uma força para essa indústria. Os pilotos falam disso, tornando-se um celebrated casej. Isso é como uma vacina, eles sabem que se passarem por uma situação semelhante, será preciso muita atenção pois houve um colega que teve um acidente assim. Portanto eles não se comportam mais expondo-se ao risco, mas o evitam. Por exemplo, esse avião tomou uma rota através das nuvens, agora cada vez mais elas são contornadas. Mas não é uma solução radical do tipo “vamos formar pilotos para recuperar o avião quando estiver com perda de sustentação”.

E: A antecipação pode mudar uma situação como essa, por exemplo, antes de entrar na tempestade?

Amalberti: Sim. Mas a antecipação que funciona melhor não é a deles. Essa nuvem tinha cristais muito particulares, que se conheciam pouco, mas que eram muito agressivos. Desde então muitas universidades internacionais começaram a trabalhar na compreensão e modelização desses cristais de gelo, de forma que agora os controladores de voo e a meteorologia internacional sabem rastreá-lo. Agora a previsão do tempo para os pilotos está mais bem informada sobre a localização dessas nuvens, e evidentemente o procedimento na janela de segurança é evitá-las. Então, progredimos nessa questão, de certa maneira a antecipação não vem dos pilotos, mas dos supervisores, que, na aeronáutica, têm capacidades extraordinárias na meteorologia, nos controles etc.. Em relação aos pilotos, a antecipação é evitar a nuvem, pois dentro dela não há antecipação, em 15 segundos pode se estar dentro do problema e não há como pensar que amanhã será diferente.

E: Isso muda um pouco a ideia dos sistemas de retorno da experiência das indústrias, os quais normalmente defendem, pelo menos na literatura, que os operadores identifiquem os sinais fracos para integrá-los no sistema de gestão. Portanto, em sistemas ultrasseguros, como na aviação e na indústria nuclear.

Amalberti: Nesse caso, há ainda sistemas de sinais fracos para os pilotos. Antes desse acidente ocorrer, houve 15 incidentes similares no mundo. Nesses 15 incidentes os pilotos não fizeram nada, não deram nenhum comando, e os aviões atravessaram - pois é uma zona curta - e continuaram. O retorno da experiência desses sinais fracos, na época, não foi o que os construtores esperavam pois, para eles, a ideia é que os pilotos devem diagnosticar o mau funcionamento da máquina e fazer um procedimento um pouco delicado sem tocar nos comandos. Nos 15 casos ocorridos nada foi feito, portanto, os construtores e as autoridades acreditaram que, finalmente, não havia riscos catastróficos se nenhum procedimento fosse aplicado, tudo corria bem. Mas no voo Rio-Paris, os pilotos fizeram algo. Essa é a grande diferença. Todos os pilotos nos incidentes anteriores não fizeram nada, mas essa tripulação fez. Talvez porque tivessem menos experiência com esse tipo de problema, mas a partir do momento em que eles mexeram nos comandos do avião para a correção, foi possível perder o controle em poucos segundos! É um tempo muito curto, não há como voltar atrás. É isso que eles fizeram. Portanto, hoje, perante esses sinais fracos, ensina-se aos pilotos que, quando eles não entendem o que está acontecendo, não devem tocar em nada. É uma forma de aprendizagem, não muito sólida.

E: Há a questão também da “normalização do desvio” que o senhor explora há muito tempo. Gostaríamos que o senhor desenvolvesse um pouco.

Amalberti: Todos os sistemas são concebidos com uma segurança de papel. O que é isso? É uma segurança que busca antes de tudo demonstrar, através de análises de risco formais e por um documento, que o trabalho da segurança foi bem feito. E essa segurança de papel, que responde muitas vezes às lideranças, às autoridades, que mostra que sabemos fazer, é sempre excessiva. No papel temos uma segurança perfeita, a que queremos. Fazer análises de risco, colocar barreiras, descrever tudo, esquematizar, é esse o papel que enviamos às autoridades que supervisionam o que fizemos. Mas é tão limitador - segurança não anda junto com desempenho. Por isso, se não houve inteligência [em sua elaboração] (já aconteceu quando houve inteligência), e se o documento em papel contém excessos, no dia seguinte a empresa tem necessidade de um nível de desempenho que não é compatível com o que foi descrito. Portanto o sistema começa a desviar para atingir o nível econômico necessário à empresa. Por exemplo, nos hospitais determina-se que as pessoas devem lavar as mãos com sabão cada vez que tocam um paciente. Isso fica bem no papel, mas o tempo necessário à lavagem das mãos representa o dobro do tempo de trabalho no fim da jornada. Se cronometramos esse tempo, é duas vezes o tempo passado ao lado do paciente. Evidentemente isso não funciona.

Quando as pessoas são contratadas, são orientadas a lavar as mãos após o atendimento dos pacientes, mas depois não há tempo para isso. Portanto elas desviam, lavam as mãos a cada dois pacientes ou apenas depois do atendimento a pacientes sujos. Isso não é bem o planejado, mas o desvio rapidamente é quase que tolerado pela direção. Se não for, a enfermeira dirá: “Eu posso lavar as mãos toda vez depois de um atendimento, mas só poderei atender dois pacientes”. A resposta será: “Não, você pode atender vinte e lavar as mãos por cima, mas isso a gente não vai olhar muito de perto”. Portanto ela atenderá os vinte pacientes e se desviará [do comportamento prescrito], talvez, depois de certa tolerância da direção, a enfermeira vai dizer: “Então, no final me falaram para fazer tudo isso e depois me dizem para fazer o contrário”. A partir desse momento, o sistema se instala em uma zona “ilegal normal”, uma zona tolerada por todos, que se torna a norma e que continua a migrar até atingir um ponto em que algumas enfermeiras nunca lavem as mãos após o atendimento.

Há sempre um ponto além. Depois voltam-se aos métodos BBSk, pois como todo mundo tolera o fato de que não é possível lavar as mãos depois de atender cada paciente, qual é o limite? Será o grupo que vai definir o limite. É, portanto, o gerente de linha, com métodos BBS - não é o método STOPl que usamos no hospital, mas são métodos parecidos -, que vai tentar controlar o grupo para que faça o suficiente, de maneira a não correr riscos muito grandes. Esse é o problema da migração [do sistema para o acidente]. Foi Jens Rasmussen5 que deu origem a esse conceito de migração. Todos os sistemas migram, não há sistema estável. E quero destacar que é o excesso de regulamentos de papel no início que cria a migração, pois há uma troca dos pés pelas mãos (hand-feet) entre o que é o modelo teórico e o que é necessário ao desempenho real; e o que não anda junto. E como não é realista, é sempre o desempenho que ganha, nunca a segurança.

E: Portanto a normalização do desvio é a tolerância dos gestores quanto ao desrespeito às regras - algumas das quais são regras de ouro - pelos operadores. Assim há a tolerância e, posteriormente, a integração na gestão.

Amalberti: Eles toleram o desvio e depois o integram, sendo também vantajoso para os operadores. Essa tolerância ocorre porque há vantagens para todos, tanto para a direção como para os operadores.

E: E para os desvios que a gerência necessariamente não conhece, isso entraria também no sistema, não haveria migração?

Amalberti: A gerência não quer saber muito. Ela quer ver desempenho. Então, se você fala com a direção-geral, eles não conhecem e não querem conhecer os desvios. Os únicos que conhecem os desvios são os gerentes de linha e, é claro, os trabalhadores. É, portanto, uma questão bem local. É um problema para a ergonomia. É preciso estar em campo por um longo tempo, e com confiança, para poder ver esse desvio. As pessoas o escondem. A gente acha que elas trabalham de um jeito, mas, na realidade, é de outro. É trabalho do ergonomista conhecer o que é real sem, talvez de forma estúpida, dizer “é proibido fazer assim” quando todo mundo está de acordo em fazer assim. É preciso conhecer o que é real e depois, com inteligência, fazer a sua gestão, algumas vezes autorizando-o, em outras dizendo “mas as regras são estúpidas! Vocês têm normas impossíveis de seguir! É preciso ajustar as regras, e não perseguir os operadores”.

E: Sobre a origem dos erros, em seu livro inicialmente falava-se muito da sobrecarga no trabalho como origem dos erros, mas, hoje, estamos também diante da complexidade. O senhor acredita que as duas coisas estão juntas?

Amalberti: A solução da complexidade na maior parte dos sistemas é a tecnologia. É tentar escapar do controle humano para uma tecnologia que substitua esse controle. Isso está presente na aviação de forma muito importante. É claro que se condena o fato de que o operador humano não pode retomar a situação quando o autômato ou a tecnologia não consegue resolver. Não é possível retomar o controle se houve a opção de automatizar um sistema muito complexo porque é muito complicado para o ser humano. Assim, coloca-se os seres humanos em uma posição na qual fazem a gestão de um sistema pela tecnologia, mas eles próprios não são capazes de geri-lo por ser tão complexo. É uma aposta atual da sociedade. É claro que vai além, chegará a domínios muito mais complexos, com maiores desempenhos. Será que é sábio ir nessa direção? A tecnologia, como é inteiramente cartesiana, é muito segura. Mas 10-6 não é zero risco, 10-10 não é zero risco, portanto haverá acidentes. E nesse momento não se deverá acusar os seres humanos que estão na linha de frente, pois eles não podem simplesmente retomar o sistema. Mas é uma aposta: fazer progressivamente uma transferência de competências para sistemas de alta tecnologia, colocando algumas pessoas na posição de supervisoras e a maioria dos operadores em posição de executores inteligentes. É uma aposta da sociedade também. Claro que se tornar progressivamente prisioneiro da tecnologia ao ponto de não poder interrompê-la, ou controlá-la, é um fato que a sociedade pouco a pouco está aceitando. Também se diz que a tecnologia é boa para o ser humano por economizar tempo e melhorar o trabalho duro. O trabalho menos cansativo é mais curto, oferecendo mais descanso, mais tempo livre e pagamento mais ou menos equivalente aos trabalhadores, mas o aspecto “eu sei fazer, eu controlo” está sendo perdido pouco a pouco. E é preciso aceitar.

Além disso, será que se perde trabalho de uma forma global, será que essa transferência para a tecnologia se traduz em desemprego? Fala-se muito disso, mas não é tão certo. Porque, quando se toma como exemplo a chegada da impressão na época de Gutenberg, centenas de monges copistas perderam seus empregos, pois seu único ofício era copiar os livros. Era preciso milhares de monges para copiar o mesmo livro. Chegou Gutenberg com as impressoras e isso acabou com o trabalho dos copistas, em menos de cem anos, o trabalho deles já não era mais necessário. A máquina de impressão criou mais empregos que o trabalho dos copistas que havia sido eliminado. Assim, a cada nova tecnologia são suprimidos empregos, mas criados outros, o problema é que ela não cria oportunidades na mesma profissão, por isso há perdas. Gerenciar isso na sociedade é bem complicado, pois, quem perde, torna-se vítima. Mesmo que novos trabalhos sejam criados, não serão destinados para quem os perdeu, mas para outros trabalhadores, portanto, como ergonomistas, temos também que gerenciar essa transição em que há profissões que desaparecem, trazendo desemprego e a necessidade de requalificação desses trabalhadores. Não serão esses os ganhadores do novo sistema, mas podem ser os jovens com novas profissões que vão assumir em um novo contexto. É bem difícil isso.

Agradecimentos

À Flora Vezzá pelo cuidadoso trabalho de transcrição e tradução do áudio, revisão e edição da entrevista; ao Ministério Público do Trabalho da 15ª Região de Campinas pelo apoio financeiro para viabilizar a publicação do livro em português e pelo apoio à vinda do prof. René Amalberti ao Brasil; e também aos apoiadores do Fórum AT.

Referências

1. Reason J. Human error. New York: Cambridge University Press; 1990. [ Links ]

2. Amalberti R. Piloter la sécurité. Paris: Springer; 2013. [ Links ]

3. Amalberti R. Gestão da segurança: teorias e práticas sobre as decisões e soluções de compromisso necessárias. [S.l]: Forum AT; 2016. [ Links ]

4. Amalberti R. La conduite des systèmes à risques. Paris: PUF; 1996. [ Links ]

5. Rasmussen J. Risk management in a dynamic society: a modeling problem. Saf Sci. 1997;27(2/3):183-213. [ Links ]

e Palavras colocadas entre colchetes não foram ditas, mas são sugeridas pela tradutora como forma de contribuir para a clareza e compreensão do texto.

f Modo automático: forma de funcionamento do ser humano na qual se realiza uma ação muito conhecida e praticada e que requer um nível mínimo de atenção. Para maiores esclarecimentos, conferir Amalberti R. A gestão da segurança: teorias e práticas sobre as decisões e soluções de compromisso necessárias, p. 46. N. da T.

g Compromisso cognitivo ou intelectual é aquele estado contínuo em que o trabalhador deve gerenciar a demanda externa, seu próprio savoir-faire, as tarefas e motivações que competem entre si, seu estado psicológico de fadiga e de estresse (cf. Amalberti, R. op. cit., p. 20). N. da T.

hContraintes” no original (francês).

iMitigation” no inglês; “atténuation” no francês.

j Em inglês no original. N. da T.

kBehavior-Based Safety.

l Programa de Segurança Comportamental da DuPont.

Os autores informam que o conteúdo não é baseado em tese ou dissertação.

Esta entrevista recebeu apoio financeiro da Fapesp (Processo 04721-1/2012).

Áudio original da entrevista em francês, traduzido e transcrito para o português por Flora Vezzá.

Recebido: 02 de Abril de 2018; Aceito: 11 de Abril de 2018

Contato: Rodolfo Andrade de Gouvea Vilela E-mail: ravusp@gmail.com

Os autores declaram não haver conflitos de interesses.

Contribuições de autoria Amalberti R foi o entrevistado. Raoni R, Vilela RAG, Almeida IM foram os entrevistadores.

Creative Commons License Este é um artigo publicado em acesso aberto sob uma licença Creative Commons