Oacidenteeaorganizacaomiolo e Capa-12!08!2016

O Acidente
e a Organizao
abertura_o acidente e a organizacao.indd 1 20/08/2014 10:19:28

Srie Cincia, Tecnologia e Sociedade
Gnese e Desenvolvimento de um Fato Cientfico
Ludwik Fleck
O Golem O que voc deveria saber sobre cincia (2a edio)
Harry Collins e Trevor Pinch
O Golem Solta O que voc deveria saber sobre tecnologia
Doutor Golem Como pensar a medicina
Mudando a Ordem Replicao e induo na prtica cientfica
Harry Collins
Repensando a Expertise
Harry Collins e Rob Evans
A Forma das Aes O que os humanos e as mquinas podem fazer
Harry Collins e Martin Kusch
Especialistas Artificiais Conhecimento social e mquinas inteligentes
Harry Collins
A Internet Uma crtica filosfica educao a distncia
e ao mundo virtual (2a edio)
Hubert L. Dreyfus
Expertise Intuitiva Para alm do pensamento analtico
Hubert L. Dreyfus e Stuart E. Dreyfus
Cincia, verdade e sociedade Contribuies para um dilogo entre a
sociologia e a filosofia da cincia
Michelangelo Giotto Santoro Trigueiro
Srie Trabalho e Sociedade
Trabalho e o Poder de Agir
Yves Clot
Engenheiros no Cotidiano Etnografia da atividade de projeto e de inovao
Dominique Vinck (org.)
Srie Confiabilidade Humana
O Acidente e a Organizao
Michel Llory e Ren Montmayeul

Srie
Confiabilidade Humana
Organizadores
Francisco de Paula Antunes Lima
Rodrigo Ribeiro

Conselho Editorial
EDITORES
Prof. Rodrigo Ribeiro
Universidade Federal de Minas Gerais
Prof. Francisco de Paula Antunes Lima
Universidade Federal de Minas Gerais

MEMBROS
Prof. Antonio Arellano Hernndez Dra. Maria Cristina Guimares
Universidad Autnoma del Estado de Mxico Fundao Oswaldo Cruz FIOCRUZ
Prof. David Hess Profa. Maria Elizabeth Antunes Lima
Rensselaer Polytechnic Institute Universidade Federal de Minas Gerais
Prof. Dominique Vinck Profa. Maria Lcia lvares Maciel
Universit Pierre Mends France de Grenoble Universidade Federal do Rio de Janeiro
Prof. Harry Collins Prof. Mrio Srgio Salerno
Cardiff University Universidade de So Paulo
Prof. Henrique Luiz Cukierman Prof. Michel Jean Marie Thiollent
Universidade Federal do Rio de Janeiro Universidade Federal do Rio de Janeiro
Prof. Ivan da Costa Marques Prof. Michelangelo Trigueiro
Universidade Federal do Rio de Janeiro Universidade de Braslia
Prof. Joo Porto de Albuquerque Prof. Rob Evans
Universidade de So Paulo Cardiff University
Dr. Jos Maral Jackson Filho Prof. Thales Haddad Novaes de Andrade
Fundacentro RJ Universidade Federal de So Carlos
Profa. La Maria Leme Strini Velho Prof. Wiebe Bijker
Universidade Estadual de Campinas Maastricht University
Profa. Mara Baumgarten Prof. Yves Schwartz
Universidade Federal do Rio Grande Universit de Provence

Michel Llory
Ren Montmayeul
O Acidente
e a Organizao
Edio Francesa Prventique, dezembro 2010
Belo Horizonte
2014

2010. ditions Prventique.
2014 da traduo brasileira Fabrefactum Editora Ltda.

Licenciado por ditions Prventique.
Todos os direitos da traduo e desta edio reservados Fabrefactum Editora.
Nenhuma parte desta publicao pode ser reproduzida por qualquer meio, sem a prvia
autorizao, por escrito, da Fabrefactum Editora Ltda.
Primeira edio, 2010.
Ttulo original: Laccident et lorganisation
Custeio parcial decorrente de acordo judicial firmado nos autos da Ao Civil Pblica n 0000001-05.2012.5.15.0007,
ajuizada pelo Ministrio Pblico do Trabalho em face da KSPG AUTOMOTIVE BRAZIL LTDA.
Llory, Michel
L792 O acidente e a organizao/Michel Llory e
Ren Montmayeul;
Traduo de Marlene Machado Zica Vianna
Belo Horizonte: Fabrefactum, 2014.
192p. (Srie: Confiabilidade Humana)

Ttulo original: Laccidente et lorganisation
ISBN: 978-85-63299-16-1
1. Acidente industrial Anlises. 2. Segurana

industrial, I. Montmayeul, Ren. II. Ttulo.
CDD: 614.8
CDU: 363.11
Elaborada por: Maria Aparecida Costa Duarte

CRB/6-1047
Traduo
Marlene Machado Zica Vianna
Reviso Tcnica
Flora Vezz
Reviso
Marlene Machado Zica Vianna
Projeto Grfico e Editorao
Fabrefactum Editora Ltda. Juliana M. Horie Galfo/Knowhow Editorial
Rua Miranda Ribeiro, 165 Capa
Belo Horizonte Minas Gerais Genial Box
CEP 30380660 Brasil Apoio Produo
Telefone: 0(XX)31 25152277 Eduardo Alves
http://www.fabrefactum.com.br Impresso
Email: contato@fabrefactum.com.br Prol Editora Grfica

Sumrio
Lista de siglas e abreviaes............................................ ix

Apresentao edio brasileira.................................... xi
Prefcio edio brasileira............................................. xv
Prefcio............................................................................ xxix
Introduo............................................................................. 1
1 O acidente organizacional em alguns exemplos........ 27
2 Fundamentos e princpios da anlise

organizacional............................................................... 79
3 Algumas questes no resolvidas................................ 123
Concluso.............................................................................. 135
Bibliografia............................................................................ 147
Fabrefactum
linha editorial.............................................................. 155

Advertncia
Se Michel Llory e Ren Montmayeul se encarregaram da coordenao e redao final da obra, esta resultado de
um trabalho, durante cerca de dois anos, do coletivo Chaos*, um grupo de engenheiros, ergonomistas, especialistas
em cincias humanas e sociais: Damien Cru, Nicolas Dechy, Yves Dien, Anne Flori, Henri Fanchini, Isabelle Fucks,
Myriam Merad e Marc Voirin.
*Chaos: Collectif heuristique danalyse organisationnelle de la scurit (Coletivo Heurstico de Anlise Organiza
cional da Segurana). A sigla se refere (evidentemente) ao risco do caos que constitui o acidente. E talvez, de forma
menos evidente, ao desejo de trazer um pouco de desordem a um mundo industrial demasiadamente ordenado pelas
prescries e ancorado em certezas duvidosas!

Lista de siglas e abreviaes
AECL Atomic Energy Canada Limited (Comisso de Energia Atmica

do Canad)
AIEA Agence internationale de lnergie atomique (Agncia Interna
cional da Energia Atmica)
ASN Autorit de sret nuclaire (Autoridade da Segurana Nuclear)
BEA Bureau denqutes et danalyses (Departamento de Inquritos e
Anlises)
BRMD Bureau of Radiation and Medical Devices (Departamento de Ra
diao e Equipamentos Mdicos)
CAIB Columbia Accident Investigation Board (Comit de Investigao
do Acidente da Columbia)
CEA Commissariat lnergie atomique (Comissariado da energia
atmica)
CHAOS Collectif heuristique danalyse organisationnelle de la scurit
(Coletivo Heurstico de anlise organizacional da segurana)
CRPB Canadian Radiation Protection Bureau (Departamento de Pro
teo contra a Radiao do Canad)
CSB US Chemical Safety and Hazard Investigation Board (Comit de In
vestigao de Segurana e Riscos da Indstria Qumica nos EUA)
CRAM Caisse rgionale dassurance maladie (Caixa Regional de Previ
dncia)
DGAC Direction gnrale de laviation civile (Direo Regional de Avia
o Civil)

x O acidente e a organizao
EPRI Electric Power Research Institute (Instituto de Pesquisa em Ener

gia Eltrica)
FDA Food and Drug Administration (Administrao de Alimentos e
Medicamentos)
FENOC FirstEnergy Nuclear Operating Company (Companhia de Opera
o de Usinas Nucleares FirstEnergy)
FOP Facteur organisationnel pathogne (Fator Organizacional Pato
gnico)
IGAS Inspection gnrale des affaires sociales (Inspeo geral dos servi
os sociais)
IGSN Inspection gnrale pour la sret nuclaire (Inspeo geral para a
segurana nuclear)
NASA National Aeronautics and Space Administration (Administrao
Nacional de Aeronutica Espacial)
NRC Nuclear Regulatory Commission (Comisso Regulamentadora do
Nuclear)
OMS Organisation mondiale de la sant (Organizao Mundial da Sade)
ONG Organisation non gouvernementale (Organizao No Governa
mental)
OSART Operational Safety Review Team (Equipe de Reviso de Seguran
a Operacional)
OSHA Occupational Safety and Health Administration (Administrao
de Sade e Segurana Ocupacional)
PNUD Programme des Nations unies pour le dveloppement (Programa
das Naes Unidas para o Desenvolvimento)
PSM Process Safety Management (Gerenciamento de Processos de Se
gurana)
REP Racteur eau sous pression (Reator a gua pressurizada)
REX Retour dexprience (Retorno de Experincia)
TMI Three Mile Island

Apresentao edio brasileira
com muita satisfao que apresentamos aos leitores de lngua

portuguesa a primeira edio brasileira do livro O Acidente e a Or-
ganizao de autoria de Michel Llory e Ren Montmayeul, lanado
na Frana em 2010.
A Edio Brasileira mais uma contribuio de Michel Llory e
seus colegas franceses ao pensamento inovador sobre a temtica da
anlise e da preveno dos acidentes industriais e do trabalho. Ela
d seguimento a importantes obras de Llory j editadas no Brasil,
que se tornaram referncia para aqueles que buscam abordagens
sistmicas contrapostas s vises infelizmente ainda predomi
nantes nos meios tcnicos e profissionais no Brasil e no mundo ,
que reduzem o acidente a erros humanos. Essas vises no conside
ram os acidentes como eventos socialmente construdos, mas como
simples falhas cometidas pelo operador.
A ideia de uma edio brasileira surgiu em 2012, quando Michel
Llory gentilmente atendeu ao convite de nossa equipe para partici
par de quatro conferncias realizadas em Piracicaba, So Paulo e
Rio de Janeiro, promovidas pelo Frum de Acidentes de Trabalho
por ocasio da edio do 30o Encontro Presencial. Nessa oportuni
dade, Llory nos apresentou e debateu os principais contedos desta

xii O acidente e a organizao
obra produzida pelo coletivo CHAOS, que inclui, alm de anlise

de casos concretos, uma explicao mais completa da metodologia
desenvolvida pelo grupo.
Para os autores, a anlise organizacional da segurana se baseia
nos resultados obtidos no campo do estudo e da preveno dos aci
dentes industriais, que herda trajetrias e contribuies de vrios
pesquisadores e busca entender os acidentes, a segurana e a pre
veno por meio de estudos em profundidade, detalhados, das
mais diversas ocorrncias, inclusive incidentes e crises industriais.
Esses estudos permitiram ao grupo CHAOS ir alm da noo de
erro humano e direcionar seu interesse organizao dos sistemas
sociotcnicos como fonte de falhas a serem consideradas quando
da elaborao de estratgias de preveno.
Combinando rigor cientfico com estilo e linguagem leves,
acessveis ao pblico profissional, esta obra se prope introduzir e
fundamentar a metodologia da anlise organizacional da segurana.
Trata-se de um caminho geral, um guia aberto que faz jus ideia de
Llory de aproveitar o acidente como oportunidade mpar para o
aprendizado organizacional. Essa abordagem prope um caminho
de anlise inovador, que se abre ao real dos acontecimentos e ao
singular de cada organizao, o qual se ope a modelos fechados,
diagramas ou caminhos lgicos. No se trata de algo acabado, mas
em construo, que vem sendo objeto de aprimoramento no inte
rior do grupo. Ela parte de conhecimentos advindos de vrios cam
pos como da clnica, das cincias humanas e sociais, das engenha
rias, da ergonomia, da psicologia do trabalho, da sociologia e dos
conhecimentos prprios acumulados no campo da segurana.
Como ser visto na leitura, para alcanar os nveis organizacio
nais necessria uma anlise espessa e densa da organizao, que
possibilite compreenso de trs dimenses: a transversal, que per
corre diversos segmentos internos e externos da organizao; a verti

Apresentao edio brasileira xiii
cal, que corresponde s relaes hierrquicas; a temporal-histrica,

que busca entender a segurana como fruto de um desenvolvimento
particular das organizaes ao longo da sua histria.
Ao sair do encadeamento proximal das causas do acidente, que,
via de regra, se restringem a aspectos tcnicos e imediatamente vis
veis, ou ainda a aspectos j previstos em normas e procedimentos, a
presente obra ajuda o leitor a perfazer o trajeto indicado por Llory:
anlises precisam ultrapassar o posto de trabalho, a sala de controle,
ou seja, elas devem sair de debaixo do poste para alcanar os deter
minantes escondidos por trs das barreiras opacas das organizaes.
O Acidente e a Organizao nos ajuda nesse caminho de revelar
que, para os acidentes, o buraco mais em cima, e/ou est mais
ao lado, e que os acidentes tm histria. Para compreend-los ne
cessitamos de ferramental terico-metodolgico com a qualidade e
potncia da abordagem aqui apresentada.
Importante destacar que o livro surge em momento especial,
quando o Frum completa em agosto de 2014 um ciclo virtuoso
iniciado em 2008. So seis anos de debate intenso: 42 encontros
presenciais; o 1o Seminrio Internacional; a estruturao e consoli
dao da nossa pgina na internet; a produo do roteiro de anlise
que se consolidou no Modelo de Anlise e Preveno de Acidentes
(MAPA); a oferta de cursos de capacitao e disciplinas de ps
-graduao; a estruturao e viabilizao do projeto de pesquisa
temtico financiado pela FAPESP (2012/04721-1), que inclui, entre
outros objetos, alm do diagnstico causal relacionado aos aciden
tes, o desafio da interveno formativa para a transformao da
realidade acidentria e a difuso da abordagem organizacional; a
cooperao com vrias instituies e com diversos grupos nacio
nais e internacionais; a interao com diferentes olhares e diferen
tes perspectivas.

xiv O acidente e a organizao
Todos essas atividades se interconectam com as de outros grupos

e com iniciativas de servios, centros de pesquisa e ensino, especial
mente no campo da ergonomia da atividade, desenvolvidas em di
versas outras instituies, como a UFMG e a FUNDACENTRO. Es
sas atividades confluem em um objetivo claro que o de produzir,
difundir, trocar e aprimorar conhecimentos e experincias sobre a
temtica dos acidentes e da sua preveno, numa perspectiva socio
tcnica sistmica, que supere, de vez, modelos simplistas que buscam
no comportamento das vitimas a explicao ideolgica fcil e envie
sada. O livro vem apoiar e reforar essa caminhada que, no momen
to, d especial ateno construo de rede social, mobilizando ato
res que ocupam vrios lugares.
Nossos votos so para que esta obra favorea o movimento de
sujeitos protagonistas em prol de processos de trabalho saudveis,
essenciais para uma sociedade sustentvel mais justa e mais humana.
Nosso especial agradecimento ao Procurador Dr. Silvio Beltra
melli Junior e aos seus colegas da Procuradoria do Ministrio Pbli
co do Trabalho da 15a Regio, que possibilitou o financiamento desta
edio, a sua disponibilizao em formato eletrnico e a impresso
de 8.500 exemplares, tudo isso sem custo para os interessados. Esse
apoio tem sido crucial tambm para a manuteno de outras inicia
tivas de pesquisa e extenso como as do Frum de Acidentes.
So Paulo, 11 de agosto de 2014

Rodolfo Andrade Gouveia Vilela FSP USP
Ildeberto Muniz de Almeida FMB UNESP
Maria Dionsia do Amaral Dias FMB UNESP
Francisco de Paula Antunes Lima Engenharia de Produo UFMG

Prefcio edio brasileira
outubro 2013
Levando consigo a maior parte dos sobreviventes, mais de trs anos

se passaram desde que terminamos nossa obra coletiva O acidente
e a organizao.
Depois das conferncias realizadas em Piracicaba, So Paulo e
Rio de Janeiro em junho de 2012, pareceu oportuno a Rodolfo Vi
lela e a seus colegas apresentar uma traduo em portugus desta
obra, como tinha sido feito com Acidentes industriais: o custo do
silncio, obra que apareceu em 1996 e foi traduzida em 1999.
Pareceu-lhes til e interessante completar a obra com um pref
cio especfico para esta edio brasileira. Houve novidades nesses
trs ou quatro anos? possvel acrescentar comentrios motivados
por acontecimentos posteriormente ocorridos (acidentes, catstro
fes) e como uma forma de retorno de experincia da nossa obra?
O grupo informal que constitumos e que continua se reunindo
regularmente para refletir sobre problemas e temas relacionados
segurana e preveno progrediu desde ento? Percebem-se, na
Frana, na Europa ocidental e nos Estados Unidos, evolues ca
ractersticas significativas?
Ns nos propusemos a escrever este prefcio na tentativa de res
ponder a essas questes.

xvi O acidente e a organizao
JJ As tendncias
Passados trs anos, estendeu-se a lista dos grandes acidentes tecno
lgicos em todos os setores industriais, de modo particular com
um acontecimento mundial maior o acidente da central nuclear
de Fukushima Daiichi no Japo, em maro de 2011. No setor de
transportes, pode-se citar o naufrgio espetacular do navio Costa
Concordia no mar Mediterrneo, junto costa italiana, com 4339
pessoas a bordo e que, graas proximidade do litoral, deixou to
somente 30 mortos e 2 desaparecidos. Mais recentemente, no vero
de 2013, o setor de transportes ferrovirios foi atingido pelas cats
trofes ferrovirias de Lac-Mgantic no Canad (47 desaparecidos,
42 mortos e 1,4km2 do centro da cidade pulverizados pela exploso
de vages-cisterna de hidrocarbonetos) e, na Europa, pelos descar
rilhamentos do trem Paris-Limoges em Brtigny-sur-Orge, na
Frana (7 mortos, 30 feridos) e do trem-bala Madrid-El Ferrol per
to de Santiago de Compostela, na Espanha (77 mortos, 143 feridos).
Seria possvel continuar a lista
Ainda que sejam diversas as causas diretas desses acidentes, to
dos eles tm uma dimenso organizacional, ou seja, as suas causas
profundas devem ser buscadas para alm das falhas tcnicas e hu
manas que ocasionaram o acidente. Isso no nos surpreende e con
firma, se se fizesse ainda necessrio, o bem-fundamentado do para
digma organizacional apresentado nesta obra. Eles confirmam,
tambm, o que dissemos: a no ocorrncia de um acidente grave e as
boas performances no quotidiano podem esconder uma realidade
mais inquietante. Porque a catstrofe pode estar latente... O setor
nuclear certamente aquele em que as exigncias de segurana fo
ram mais longe, e a no ocorrncia de um acidente mais grave desde
o acidente de Tchernobyl, h vinte e cinco anos, poderia levar a pen
sar que tudo estava sob controle, sobretudo num pas como o Japo,
reconhecidamente a terceira potncia industrial do mundo e dona

Prefcio edio brasileira xvii
de um alto nvel de tecnologia. No era nada disso: o gravssimo

acidente nuclear que aconteceu no dia 11 de maro de 2011 na cen
tral de Fukushima Daiichi, na costa nordeste do Japo, depois de
um terremoto de grau 9, seguido de um tsunami de grande amplitu
de (vagas de 14 metros) evidencia essa situao qual retornaremos.
O setor de transportes ferrovirios tambm tem reputao de
alto nvel de segurana, aliada a uma grande produtividade, e cada
catstrofe nos causa surpresa pelo inesperado.* preciso voltar a 25
anos atrs para se ter notcia, na Frana, de uma catstrofe compa
rvel de Brtigny-sur-Orge. E, na Espanha, seria preciso voltar a
um perodo anterior Segunda Guerra Mundial... Nos dois casos,
entretanto, a segurana deixou a desejar; incidentes precursores ou
advertncias e alertas feitos pelo prprio pessoal foram negligen
ciados pela gerncia das empresas em questo. As presses econ
micas e financeiras, no caso francs, frearam os investimentos e
deixaram envelhecer a malha ferroviria pelo adiamento de traba
lhos necessrios de manuteno. No caso espanhol, o trem-bala
no dispunha de proteo automtica contra a ultrapassagem da
velocidade autorizada, o que parece ser uma falha maior da prote
o em profundidade no caso, sempre possvel, de erro humano.
No que diz respeito ao Costa-Concordia, a responsabilidade pelo
risco de se aproximar demais da costa italiana, imputada ao co
mandante, era, parece, inicialmente, exigida pela prpria compa
nhia de navegao para satisfazer a clientela. De qualquer modo, as
medidas de segurana a bordo do navio eram insuficientes, a co
mear pelo pequeno nmero de barcos de emergncia, insuficiente
para salvar mais de 4.000 pessoas. Em alto-mar, um tal naufrgio
teria, sem dvida, feito um nmero considervel de vtimas. O ris
co parece estar relacionado corrida para aumentar o tamanho dos
* Os autores esto se referindo, evidentemente, s ferrovias europeias. (N.T.)

xviii O acidente e a organizao
navios, que se tornaram gigantes para aumentar a produtividade,

sem que as medidas de segurana tenham sido reavaliadas de ma
neira apropriada. A tendncia ao aumento daquilo que ns chama
mos nesta obra de presses produtivas e o esquecimento da segu
rana s faz se confirmar. E os organismos independentes de
controle de segurana, cumprem plenamente seu papel? Eles so
verdadeiramente independentes e esto ao abrigo de presses? Po
de-se, de modo legtimo, duvidar disso. Esse aspecto nos faz voltar
catstrofe de Fukushima.
JJ Um acidente Made in Japan

Embora as lies do acidente nuclear de Fukshima ainda no te
nham sido extradas de suas causas imediatas (porque ainda im
possvel examinar os reatores acidentados em virtude da elevada
radioatividade) e suas consequncias remotas sobre a sade huma
na e o meio ambiente, os numerosos relatrios publicados por di
versas comisses e as confisses tardias dos dirigentes da TEPCO, a
operadora da central, revelaram muitos segredos sobre o funciona
mento da organizao da segurana nuclear nessa empresa e mes
mo no Japo. Se bem que o Japo sempre tenha procurado passar
uma imagem lisonjeira do seu domnio da segurana nuclear, a re
alidade era sensivelmente outra. Soube-se, assim, que os respons
veis haviam negligenciado as exigncias comumente admitidas no
plano internacional sob a gide da AIEA1. A operadora j sabia, ha
via alguns anos, que o valor da altura da onda de tsunami que havia
sido tomado como referncia para dimensionar a cintura de prote
o do edifcio da central, quando da sua construo, era muito
baixo e que eram necessrios trabalhos de proteo suplementares.
Esses no tinham sido executados em tempo hbil, sem que as au
1
AIEA: Agncia Internacional da Energia Atmica.

Prefcio edio brasileira xix
toridades de segurana se alarmassem com isso. Da mesma forma,

ao longo do acidente, percebeu-se que o equipamento de medida da
radioatividade no ambiente, que deveria fornecer, em caso de aci
dente, as informaes dos locais de crise, estava inoperante. As su
cessivas comisses de inqurito descobriram numerosas anomalias
na organizao e no funcionamento em tempos de crise. Ainda que
a TEPCO tenha retardado a divulgao das informaes mais com
prometedoras, essas informaes acabaram sendo descobertas.
Como os primeiros relatrios internacionais s puderam denun
ciar as anomalias mais evidentes e manifestar sua perplexidade,
devido falta de informaes suficientes e dadas as garantias tran
quilizadoras dos japoneses, foi necessrio esperar o relatrio da
Comisso Independente2 nomeada pela Assembleia japonesa para
que se tivesse conhecimento da magnitude dos disfuncionamentos
organizacionais profundos da segurana em todos os nveis.
JJOs macrodeterminantes da segurana

particularmente interessante notar que os analistas, para tentar
explicar as causas profundas de um acidente, partem de um nvel
de complexidade relacionado quele adotado pelas Comisses de
Inqurito. De fato, a comisso faz aluso ao nvel de funcionamen
to do setor nuclear do Japo e s particularidades da cultura japo
nesa para explicar a catstrofe. Para ela, no h dvida de que esse
acidente no um desastre natural, mas, ao contrrio, fundamen
talmente feito pelo homem (man made) e que os seus efeitos po
deriam ter sido atenuados por meio de uma resposta humana mais
eficaz. A comisso salienta que isso resultou, em grande parte, do
estado de esprito (mindset) prevalente no Japo na indstria nu
2
Relatrio oficial da Comisso Independente de Investigao do Aci
dente Nuclear de Fukushima, The National Diet of Japan, July, 2012.

xx O acidente e a organizao
clear. Ela chega a dizer que esse acidente era Made in Japan: As
causas profundas devem ser encontradas nas convenes bem-enrai-
zadas na cultura japonesa: a obedincia como reflexo, a recusa a colo-
car em questo a autoridade, a importncia de se ater ao programa
definido, o efeito do grupo, a insularidade. E, alm disso: Outros
japoneses poderiam estar no lugar dos encarregados naquele momen-
to, mas no certo que o resultado teria sido diferente! O presidente
da Comisso fustigou a arrogncia da elite que se recusou a consi
derar, seno de muito longe, tudo o que no tinha sido inventado
no Japo; criticou tambm o fato de que o primeiro dever de todo
burocrata japons defender, antes de mais nada, os interesses de
sua organizao e no a segurana do pblico: Isso fez com que a
indstria nuclear desse um jeito de no levar em conta as lies dos
acidentes de Three Mile Island e de Tchernobyl; fez tambm com que
se considerasse uma prtica aceita por todos a resistncia s presses e
s demandas das Autoridades de segurana, assim como a camufla-
gem dos pequenos incidentes.
Desse modo, v-se aparecer uma nova categoria de causas pro
fundas de acidentes que poderiam ser chamadas de macrodetermi-
nantes da segurana. Ela cobre potencialmente um grande nme
ro de acidentes. Ns j pressentamos, nesta obra (cap.: Um mtodo
que pode esclarecer zonas obscuras), que os relatos de acidente ocul
tam uma parte obscura. Assim, ns havamos escrito: Algumas zo-
nas de obscuridade traduzem freios culturais e polticos, estimulados
por riscos comerciais ou financeiros que podem determinar correes
tcnicas insuficientes depois de quase acidentes Outros riscos po-
dem tambm ser de natureza miditica... relacionados a um cuidado
discutvel para no alarmar a opinio pblica Na gnese do aci
dente nuclear de Fukushima Daiichi, esses fatores esto inteira
mente presentes. A comisso independente mostra o descolamento
da segurana dos reatores da TEPCO em relao evoluo dos
conhecimentos tcnicos e cientficos e das exigncias internacio

Prefcio edio brasileira xxi
nais, assim como a falta de firmeza da Autoridade de segurana

nuclear japonesa. A segurana dos reatores mais antigos parece no
ter sido avaliada desde a poca de sua concepo, por volta de 1966.
Nessa poca, a zona de Fukushima era considerada pouco ssmica,
e as normas aplicadas foram menos severas. Mas, em 1981 e depois
em 2006, as regras antisssmicas foram reavaliadas pelas Autorida
des de segurana japonesas, que pediram aos operadores uma rea
valiao da segurana antisssmica de suas unidades. A resposta
provisria da TEPCO, baseada numa avaliao parcial, j mostrava
que era muito importante que se reforassem os reatores. A TEPCO
decidiu, de modo unilateral, adiar sua resposta para 2016, ao passo
que a autoridade de segurana esperava uma resposta definitiva
para 2009. Essa autoridade conhecia a necessidade do reforo dos
reatores da TEPCO, mas nada exigiu. Dessa forma, os riscos do
tsunami, subavaliados quando do projeto, foram revistos com re
comendao de elevao para um nvel superior com o desenvolvi
mento dos conhecimentos, e a TEPCO nada fez de substancial para
responder a essa situao. A falta de preparao para um desastre
nuclear foi tambm colocada em evidncia. Em 2006, a Comisso
de segurana nuclear se empenhou em uma reviso crtica para
adaptar seu guia de preveno de desastres s normas internacio
nais, mas no tomou as decises necessrias para implantar medi
das severas, por medo de inquietar a populao, que tinha sido per
suadida, durante muitos anos, de que no se corria perigo com as
centrais nucleares. A resposta ao acidente mostrou a falta de prepa
rao e o mau funcionamento das interfaces entre a TEPCO, a Au
toridade de segurana nuclear, o governo e as autoridades locais.
At onde aprofundar a anlise

JJ
organizacional da segurana?
V-se que a anlise do acidente de Fukushima feita pela Comisso
independente japonesa, colocando-se nesse nvel de explicao mui

xxii O acidente e a organizao
to mais fundamental, aprofundou a anlise organizacional em um

nvel jamais atingido, que prefigura, sem dvida, a anlise dos gran
des acidentes sistmicos do futuro que esto em gestao diante de
nossos olhos cegos. Desse ponto de vista, cada pas tem seus vieses
culturais e histricos que influenciam na segurana de suas inds
trias... A anlise organizacional, da qual ns apresentamos os fun
damentos nesta obra, permite, de modo potencial, fazer avanar a
anlise tanto quanto necessrio, com o objetivo de encontrar as cau
sas realmente determinantes e, assim, tomar as medidas corretivas
eficazes que permitam evitar outras catstrofes, diferentes nas suas
modalidades, mas que tm, fundamentalmente, as mesmas causas.
Felizmente, nem todos os acidentes exigem levar a anlise at os
seus macrodeterminantes. Sua gravidade e seus riscos no justifi
cam isso necessariamente, e a amplido dos meios atribudos
anlise no o permitiria. Mas onde se deter na pesquisa das causas
profundas? Aqui se coloca uma questo verdadeira qual no
fcil responder simplesmente. A pesquisa das causas organizacio
nais dos acidentes continua sendo um percurso semeado de embos
cadas, pois o culto do segredo, a opacidade do funcionamento das
organizaes, s vezes at mesmo a duplicidade dos dirigentes, tor
nam difcil, mesmo impossvel, a tentativa de esclarecer tudo, mes
mo em casos mais simples que o exemplo japons do acidente de
Fukushima.
Nos setores em que a segurana menos desenvolvida, podem
ser obtidas melhorias substanciais na segurana aprofundando-se
progressivamente o questionamento na procura das causas, sem,
entretanto, querer chegar aos macrodeterminantes; mas deve-se
voltar sempre pelo menos ao nvel do gerenciamento que decidiu
sobre a situao de trabalho e quele que , em ltima anlise, o
responsvel pela segurana. preciso, tambm, voltar no tempo,
poca em que as decises cruciais de concepo, de anlise e de

Prefcio edio brasileira xxiii
controle dos riscos (tcnicos ou organizacionais) foram tomadas e

identificar as mudanas ocorridas em seguida.
JJUm caso de acidente no Brasil

Tomemos um caso de um acidente mais circunscrito mas de grande
generalidade uma coliso entre um nibus e um trem numa pas
sagem de nvel no estado de So Paulo, Brasil relatado na revista
Work3 (Tragedy on grade crossing: driver failure or systemic fragili-
ty?). Os autores brasileiros mostram bem como, desde o incio, a
simples ampliao do questionamento da anlise4 do acidente, para
incluir os diferentes atores e os dispositivos tcnicos e organizacio
nais que tiveram um papel no acidente em questo, evidencia as
deficincias do dispositivo de segurana que deveria evitar as coli
ses quando da passagem de um trem, bem como o aspecto previs
vel desse tipo de acidente, que responde como a maior parte dos
acidentes famosa frmula anglo-sax: um acidente esperando
para acontecer (an accident waiting to happen). Identificam-se, as
sim, na mesma situao, as verdadeiras causas em relao s quais
convm agir para que o acidente no ocorra novamente. Seria ne
cessrio voltar s origens da situao e aos atores que tm o poder
de mud-la a fim de compreender como uma situao to notoria
mente provocadora de acidentes no objeto de preocupao. Isso
leva ento ao interesse pela organizao da segurana, pelo seu fun
cionamento e pelo papel de cada ator institucional implicado e suas
relaes, passando, portanto, a um nvel superior nas causas orga
3
Manoela Gomes Reis Lopes, Rodolfo Andrade de Gouveia Vilela, Ilde
berto Muniz de Almeida, & al. Tragedy on grade crossing: driver failure or
systemic fragility?, Work 41 (2012) 3148-3154, IOS Press.
4
Esses autores utilizaram o modelo MAPA (Modelo de Anlise e Pre
veno de Acidentes).

xxiv O acidente e a organizao
nizacionais. O leitor vai encontrar, na anlise da comisso de in

qurito do acidente ferrovirio da estao de Paddington na Ingla
terra, em 1999, relatado nesta obra, um exemplo caracterstico e
levado bem longe nas etapas de pesquisa das causas organizacionais.
JJA ampliao do campo de aplicao

da Anlise organizacional
A anlise organizacional da segurana apresentada nesta obra foi
desenvolvida a partir do exame de um grande nmero de acidentes
industriais, em funo das nossas necessidades para a anlise de
acontecimentos incidentes e acidentes e para o diagnstico pre
ditivo de segurana nas indstrias nas quais trabalhamos. O leitor
pode se perguntar se possvel aplic-la a outros domnios, como
os acidentes de trabalho. De fato, embora ns raramente a tenhamos
utilizado para analisar acidentes de trabalho, certo que ela tam
bm apresenta a toda sua legitimidade para que se evite o paradig
ma do erro humano, que ns criticamos regularmente, mas que
subsiste ainda como sistema explicativo universal dos acidentes.
O exemplo de utilizao do mtodo MAPA pelos especialistas
brasileiros mostra, por meio dos artigos5 publicados na revista
Work, todo o interesse de refazer uma leitura organizacional dos
relatos de acidentes de trabalho que chegam, na maioria das vezes,
ao erro humano dos operadores no ltimo elo da cadeia como
causa nica do acontecimento. Ampliando a anlise em relao s
5
Ildeberto Muniz de Almeida, Hildeberto Nobre Jr, & al., Safety illusion
and error trap in a collectively-operated machine accident, Work 41 (2012)
3202-3206, ISO Press.
Ildeberto Muniz de Almeida, Eduardo Buoso, & al., Circuit board accident
organisational dimension hidden by prescribed safety, Work 41 (2012)
3246-3251, ISO Press.

Prefcio edio brasileira xxv
circunstncias ergonmicas, organizacionais, temporais, habituais

e fortuitas e examinando-as, chega-se a um nvel de causas que,
quando tratadas, permite uma preveno muito mais eficaz que a
culpabilizao seguida pela exortao ritual vigilncia ou forma
o dos operadores permite esperar. A conduo da anlise em nvel
gerencial, de um lado, e o estabelecimento daquilo que, por outro
lado, chamamos de rede organizacional da segurana e do acidente,
permitem analisar os casos mais complexos, mas cada vez mais co
muns, com mltiplos participantes, subcontratantes, etc., e identifi
car o papel preponderante, no que diz respeito segurana, dos ge
rentes, dos tomadores de deciso, dos peritos. Isso requer meios de
anlise que, habitualmente, raramente so reunidos em um simples
caso de anlise de acidente de trabalho, mas que merecem s-lo
quando se constata a estagnao da segurana. O inqurito requer,
ento, que se renam competncias complementares e um mtodo
apropriado, cujos elementos so apresentados nesta obra.
JJO papel do gerenciamento: decisivo,

mas pouco transparente
Embora a experincia mostre a dificuldade geral em investigar a
maneira como so tomadas as decises no seio dos administrado
res e gerentes, sobretudo entre aqueles pertencentes alta hierar
quia, percebe-se que, quando essa investigao realizada, ela pode
levar se no a melhoras decisivas na segurana, pelo menos a uma
melhor compreenso dos erros cometidos nesses nveis. O caso da
investigao sobre a segurana industrial das usinas americanas da
British Petroleum BP, que se seguiu ao acidente de Texas City
narrado nesta obra, um exemplo disso. Mas preciso que haja
avanos, porque a transparncia das organizaes no , sem dvi
da, a sua qualidade mais evidente exceto durante curtos perodos
em que, sob o choque psicolgico e miditico de uma catstrofe,

xxvi O acidente e a organizao
sob a presso da opinio pblica e dos polticos, o vu se rompe, os

executivos aceitam falar, mesmo que com algumas reticncias.
JJO grande livro dos acidentes

Barry Turner, precursor na rea, e poca professor no Reino Uni
do, publicou em 1978 Man made disasters, que foi reeditado em
1997 com a colaborao de Nick Pidgeon. A obra foi reconhecida
somente tardiamente. Turner havia analisado ou reanalisado, de
maneira sistemtica, perto de uma centena de acidentes em diver
sos setores industriais e de transportes: minas, plataformas petro
leiras, qumica, ferrovias, incndios de grande amplitude, etc., e
tambm na rea da sade pblica. Essa abordagem parece-nos fun
damental e inovadora.
Abramos, por assim dizer, o grande livro dos acidentes. Desde a
exploso da usina qumica de Flixborough (junho 1974), o crash do
DC 10 da companhia Turkish Airlines na floresta de Ermenonville
(maro 1974) e o acidente da central nuclear de Three Mile Island,
em 1979, ns temos ao nosso dispor uma biblioteca de acidentes,
muitas vezes estudados de maneira notvel pelas comisses de in
qurito, cujas informaes so, muitas vezes, completadas no decor
rer do processo. Esse grande livro dos acidentes contm, no mni
mo, mais de uma centena de acidentes dos quais vinte podem ser
considerados como casos clssicos. Alguns exemplos desses casos
esto nesta obra. Mas preciso, evidentemente, voltar, em seguida,
s fontes documentais de base para completar seus conhecimentos.
Dispomos de uma mina de dados, de uma histria dos grandes
fracassos e acidentes na indstria de processo contnuo e nas ativi
dades de transportes.
Esse retorno s fontes, de qualquer modo, parece-nos incon
tornvel. Raciocnios e anlises em excesso esquecem esse conheci
mento fundamental e fazem projetos a partir de elementos quim
ricos. Acreditamos que a necessidade de voltar continuamente a

Prefcio edio brasileira xxvii
esse grande livro de acidentes, para question-los, tirar deles ensi

namentos, doravante vital Esse retorno s fontes pode sozinho
permitir essa mudana de paradigma, que chamamos de nossos
votos desde mais ou menos duas dcadas.
JJA necessidade crucial de uma

mudana de paradigma
Ora, essa histria dos fracassos industriais contradiz amplamente o
que ns chamamos, nesta obra, de paradigma do erro humano.
Neste prefcio e na prpria obra, insistimos sobre o fato fundamen
tal de que as causas profundas so de origem organizacional. Os
desvios e disfunes das organizaes encarregadas de gerir os ris
cos que esto na origem dos acidentes.
Ora, um paradoxo poderoso e tenaz nos parece em ao em re
lao problemtica da preveno e da segurana industrial. As
consequncias derivadas dos acidentes de gravidade moderada e
dos incidentes (o que ns, habitualmente, designamos como o Re
torno da experincia) tm como objeto as falhas tcnicas e os erros
humanos. A Tcnica, certamente, falvel, e o homem tambm, a
comear pelo operador de campo. Mas, justamente, ns sabemos
disso h muito tempo e uma organizao estruturada e ad hoc, s
vezes complexa, e meios tcnicos e organizacionais importantes so
frequentemente implantados para controlar essas falhas de base.
portanto o funcionamento ntimo das organizaes implicadas
na gesto dos riscos que deve que deveria ser objeto de anlises,
de esforos sustentados e exigentes, interrogando particularmente:
os modos de anlise e de avaliao do Retorno da experincia, as rea
tualizaes das anlises de riscos, os vieses insidiosos nos processos
de expertise, as deficincias da comunicao e da cooperao intra e
interorganizacionais, etc., a comear pelos processos de deciso, as
escolhas tcnicas efetuadas em alto nvel e as falhas gerenciais.

xxviii O acidente e a organizao
Mas as organizaes podem elas mesmas se reformar, evoluir de

maneira decisiva quando esto encapsuladas em processos antigos?
As instncias gerenciais podem praticar de modo lcido a autocr
tica antes que o acidente srio, a catstrofe se produzam? Apoian
do-nos no exemplo trgico e desolador do acidente de Fukushima,
no Japo, possvel duvidar disso. Os macrodeterminantes da se
gurana, tal como esboamos neste prefcio, no seriam razes e
argumentos para temer uma viscosidade excessiva dos centros de
deciso e de gerncia, at mesmo uma rigidificao que iria impe
dir todo progresso sensvel, especialmente em direo a uma mu
dana de paradigma, para a adoo do paradigma organizacional?
Pode-se, de maneira razovel, temer que sim.
Pode-se temer que as instncias gerenciais e as organizaes se
jam impermeveis, no momento atual, a toda forma de reconside
rao radical, que , no entanto, necessria. de se temer que as
disfunes organizacionais, e de uma maneira geral o funciona
mento das organizaes, permaneam um buraco negro em
grande parte do mundo industrial e de transportes. O grande livro
dos acidentes est disponvel para a investigao e para a reflexo,
mas permanece fechado em grande parte.
A menos que pequenos grupos de pesquisadores, de universida
des e responsveis esclarecidos, convencidos da importncia cru
cial dos aspectos organizacionais na segurana industrial e na se
gurana do trabalho, se engajem na via real que constitui, de um
lado, a anlise organizacional dos acidentes e incidentes e, de outro,
a crtica lcida do funcionamento das organizaes que gera riscos.
Talvez essa ruptura tenha se tornado possvel com maior facili
dade em pases novos como o Brasil. isso que desejamos intensa
mente. Que a leitura deste livro e o debate sobre ele possam contri
buir para este fim.
Michel Llory e Ren Montmayeul

Prefcio
Esta obra nasceu da vontade do coletivo Chaos de elaborar e promo

ver uma nova abordagem da segurana dos sistemas sociotcnicos
que criam riscos, depois de ter constatado, de um lado, a estagnao
e, por vezes, a regresso da segurana industrial na Frana, a ausn
cia de debates abertos e contraditrios sobre esses temas, o fosso que
no pode ser preenchido com as abordagens acadmicas e universi
trias e, por outro lado, as formas insatisfatrias de resoluo dos
problemas de segurana por engenheiros e tomadores de deciso.
Nossa abordagem e nossa obra se inspiram em ideias fortes, que
convm, logo de incio, precisar.
Antes de mais nada, essa abordagem pragmtica e realista teste
munha nossa ligao com a segurana. Nossa obra, que se inscreve
no quadro da gesto e da preveno de riscos, traduz os desafios
maiores da anlise organizacional da segurana e enuncia os concei
tos e os mtodos a serem mobilizados para os colocar em relevo. Ela
tambm levada a apontar com o dedo as formas de reticncia e de
resistncia sociais que esse modo de anlise pode suscitar. Essas
ltimas segregam, tanto quanto sustentam, os caminhos sombrios
e obscuros das falhas organizacionais.
Nessa hora de alerta ecolgico global do planeta, o estudo da
segurana de tal ou qual sistema especfico encontra uma nova ra

xxx O acidente e a organizao
zo. Os acidentes, na abordagem organizacional, so a consequncia

de modos de funcionamento muitas vezes banalizados por organi
zaes que aceitam fortes degradaes da segurana. Analisar os
acidentes em profundidade constitui a via real para compreender o
funcionamento das organizaes e repensar no a interrupo de
toda produo industrial ou seu banimento para regies longn
quas do globo, mas os fundamentos de uma organizao industrial
mais segura, melhorando as condies de trabalho de todo o seu
pessoal e preservando o meio ambiente.
A anlise organizacional da segurana se apresenta, nesta obra,
como uma abordagem intermediria entre os estudos universit
rios, muitas vezes especializados e dificilmente acessveis aos enge
nheiros, e as abordagens desses ltimos, quase sempre apressadas,
de utilidade imediata, demasiado reducionistas para compreender
a complexidade das falhas organizacionais. Longe de visar produ
o de conhecimentos tericos, longe de propor um prt--porter
metodolgico, os defensores da anlise organizacional da seguran
a se pretendem humildes, porque eles reconhecem esse projeto to
vertiginoso quanto apaixonante. Nossa abordagem pioneira, e tal
vez temerria, estabelece pontes entre saberes dispersos em reas
diferentes e mtodos dos quais uma parte dos dados resulta de um
material particular, pouco banal para os engenheiros de sistemas
complexos: a palavra dos atores.
A obra se dirige evidentemente a todas as pessoas que traba
lham nos ambientes industriais de risco e s pessoas interessadas
pelos riscos e perigos no espao pblico. Em razo da emergncia,
na Frana, da preocupao do pblico por setores de atividade no
industriais, especialmente a sade, a obra pode interessar tambm
ao mundo mdico. Experts mais prximos da esfera poltica, assim
como os acadmicos, podem igualmente encontrar nela matria
para reflexo. Alis, acreditamos que a anlise organizacional tem,
sem dvida, um forte potencial de utilizao em muitas outras

Prefcio xxxi
reas,sobretudo aquelas da disponibilidade dos sistemas tcnicos e

na dos riscos profissionais, na preveno de acidentes do trabalho.
Faltam-nos ainda experincias nesses campos, ou elas custam a
consolidar-se. Mas a obra vai dar matria para a reflexo de pessoas
interessadas por essas reas de atividade.
Os acidentes esto no centro da nossa obra porque eles so reve
ladores poderosos das disfunes organizacionais, motores pode
rosos de reflexo dado que eles questionam nossa capacidade de
anlise e de diagnstico. Os acidentes so, finalmente, semeadores
de inquietaes porque eles desestabilizam nossas representaes
sobre a segurana e a preveno.
Entre essas inquietaes, pensamos sobretudo no lugar do erro
humano na anlise dos acidentes. Esse conceito, que progressiva
mente se tornou um dogma, pesa sobre o futuro da segurana. A
anlise organizacional da segurana, para se desenvolver, deve, de
incio, abandonar esse quadro ideolgico. essa, alis, toda a iro
nia, todo o drama e o futuro da anlise organizacional da seguran
a. Para existir, ela deve acabar com um dos seus conceitos gerado
res: o erro humano. Porque na Frana, no ambiente dos engenheiros
e dos executivos e, sem dvida, de forma mais geral no ambiente
pblico, a explicao mais frequente para os acidentes e incidentes
industriais, graves ou rotineiros, o erro humano, a falha dos agen
tes de campo, o comportamento dos empregados no final da cadeia
organizacional. De preferncia dos indivduos, a anlise das orga
nizaes que trazem riscos industriais muito negligenciada. Ora,
sem dvida alguma, essa uma das novas e raras perspectivas ofe
recidas atualmente no mundo industrial para enfrentar o desafio
no somente dos riscos maiores de acidentes, mas tambm o desa
fio ecolgico. Para isso seria necessrio desenvolver um outro tipo
de anlise, com sua problemtica, seus conceitos, suas referncias,
seus conhecimentos, seus mtodos e suas trocas de savoir-faire: a
anlise organizacional da segurana.

xxxii O acidente e a organizao
Sempre em meio a essas inquietaes, defendemos a ideia de

que nenhum diagnstico organizacional de segurana pode ser ela
borado sem pensar continuamente nas lies dos acidentes indus
triais. Essas lies no so mobilizadas somente para alertar sobre
os riscos maiores, mas tambm para perceber o murmrio, o co
chicho das falhas em curso, antes que essas provoquem catstrofes.
Assim, a especificidade da anlise organizacional da segurana se
situa no lugar predominante atribudo aos retornos da experincia
que resultam dos acidentes. Esses conhecimentos de fundo inter
vm em todas as fases de elaborao do diagnstico. A obra reintro
duz a dimenso histrica na gesto dos riscos e lembra que, sem o
conhecimento do passado, o futuro cego. Assim fazendo, a cultu
ra de segurana dos analistas internos e externos s organizaes,
dos gerentes e engenheiros, nos parece lacunar, dada a sua ausncia
de referncia a uma forma de cultura de acidentes ou pelo fato de
que as lies aprendidas dos acidentes no tenham sido profunda
mente integradas a essa cultura de segurana.
Enfim, esta obra semeia um ltimo problema. Aquele da res
ponsabilidade moral dos experts e dos empresrios. A anlise orga
nizacional da segurana , de fato, sempre levada a voltar queles
que detm as chaves da organizao e os poderes de deciso em
matria de segurana. Como poderia ser de outra maneira?
Ns no podemos encerrar este prefcio sem expressar nosso
profundo reconhecimento s Edies Prventique e seu diretor,
Hubert Seillan. Ns lhes somos devedores pelo apoio a nosso esfor
o de reflexo sobre a anlise da segurana das organizaes a par
tir de acidentes industriais e por permitir a promoo de nossa
abordagem.
Mas isso no deve espantar o leitor, to grande o interesse que
o editor manifestou por esses domnios, e isso h muitos anos.

Introduo
Fiabilidade no quotidiano
JJ
e o espectro dos acidentes

Observando a evoluo da indstria e particularmente das organiza-
es6 que gerenciam sistemas complexos de alto risco que, muitas
vezes, so designados como sistemas sociotcnicos de alto risco , ns
constatamos o nvel elevado de desempenho atingido e a fiabilidade
dos sistemas. Avies atravessam o cu, decolam dos grandes aeropor-
tos e nele aterrissam em ritmos acelerados. Trens levam, a cada dia,
milhes de passageiros e toneladas de mercadorias. Gigantescos na-
vios-tanque e cargo boats transportam, atravs de todos os oceanos do
mundo, enormes volumes de produtos qumicos e petroleiros. As
6
No texto desta obra, a palavra organizao tem muitos sentidos possveis
dependendo do contexto. Pode-se tratar, por exemplo, de uma empresa que
gera riscos, de uma parte estruturalmente identificada dessa empresa (uma usi-
na ou um departamento de usina) ou talvez de um processo transverso como a
organizao da segurana da empresa ou de uma usina, ou ainda de uma orga-
nizao mais vasta que a empresa, como o processo geral de domnio da segu-
rana de um setor industrial, que inclui, ento, a empresa, seus subcontratados
eventuais e seus organismos de controle. Enfim, pode tratar-se, muito simples-
mente, da organizao implementada para realizar uma dada atividade.
miolo_o acidente e a organizacao.indd 1 20/08/2014 10:18:56

2 O acidente e a organizao
centrais nucleares de produo de eletricidade atingiram capacidade

de mais de 1.000 MWe e a produzem continuamente. Complexos qu-
micos e petroqumicos fabricam milhares de produtos que respon-
dem s necessidades de nosso mundo moderno. Por conseguinte, o
balano do conjunto pode ser considerado como satisfatrio. J que a
indstria desempenha suas proezas com alta fiabilidade, dia aps dia,
os experts e os cidados podem, daqui por diante, dormir tranquilos?
Por outro lado, quais so os riscos frente s pessoas e ao meio
ambiente? E segurana, segurana industrial7? Paralelamente a
esses desempenhos elevados, acontecimentos de imensa gravidade
acontecem periodicamente e, por vezes, afetam a disponibilidade
dos bens ou servios8 sem felizmente atingir a segurana, ou atin-
gem, ao mesmo tempo, a disponibilidade e a segurana: poluies
incidentais, interrupes prolongadas e dispendiosas de instala-
es defeituosas, perturbaes importantes ocasionadas por um
grande nmero de viajantes, mas tambm acidentes de trens e/ou
de avies ocasionando vtimas, exploses e/ou incndios nas em-
presas de processos contnuos, etc. Esses acontecimentos vm lem-
brar o espectro de uma possvel catstrofe. O acidente industrial
ronda porque o risco zero no existe.
7
Na Frana, no setor nuclear, fala-se da sret (segurana) (nuclear),
de sret das instalaes nucleares. {> A terminologia no est norma-
tizada. Na indstria qumica e na aeronutica, fala-se de scurit (segu-
rana) ao passo que habitualmente a sret segurana (clssica) na
indstria nuclear se vincula preveno de acidentes de trabalho, e no
preveno de acidentes industriais. Na obra original, utiliza-se o termo
sret quando se trata da rea nuclear e scurit em todos os outros
casos. Esses termos se referem a riscos de danos s pessoas ou ao meio
ambiente, mas no aos riscos de sabotagens ou violncia nas instalaes.
8
Como acusao disponibilidade, preciso compreender, de fato, a inter-
rupo, o bloqueio da produo, que pode, entretanto, ser acompanhado de
destruio de materiais, mais ou menos dispendiosos. Mas, claro, a prpria
indisponibilidade ter um custo, o no ganhar por defeito de produo.

Introduo 3
J no atingimos o risco residual9, uma parte incompressvel de

riscos caracterizados por acidentes de maior ou menor amplitude
cujas consequncias para o pessoal interno, o pblico e o meio am-
biente poderiam ser desastrosas , mas extremamente raras e talvez
somente hipotticas, porque eles, na realidade, jamais iriam aconte-
cer? Eles no existiriam seno nos relatos e nos dossis dos enge-
nheiros, dos peritos; sua utilidade seria servir de guarda-corpo, de
permitir a concepo e a implementao de protees, disposies
ltimas para se prevenir contra isso. Assim, tudo o que possvel
fazer, e mesmo mais, seria feito para evitar os acidentes. Mas o aci-
dente extremo, muito raro, no pode ser prevenido em todas as suas
variantes. Desde que o mximo de conhecimentos, de competncias
e de meios tenha sido mobilizado, poder-se-iam, por conseguinte,
admitir essas catstrofes ltimas e dizer como os experts da NASA:
Its OK to fail. normal admitir esses acidentes residuais.
JJUma srie negra de acidentes

Mas, quando se olha mais de perto, a realidade industrial , talvez,
menos rosa... A histria recente do desenvolvimento industrial depois
da Segunda Guerra Mundial e, mais particularmente, depois dos anos
70, est coberta de acidentes graves, de catstrofes. Mesmo que, por
vezes, seus prejuzos tenham sido felizmente limitados como no caso
da fuso do interior da central nuclear de Three Mile Island, os aciden-
tes impressionaram os espritos e ocasionaram revises aflitas das po-
9
Como o risco 0 no existe, chama-se classicamente de risco residual
o risco que subsiste depois do tratamento dos riscos ou aquele que subsis-
te depois que as medidas de preveno so tomadas. Ele em geral muito
fraco quando um dispositivo de gesto de riscos eficaz foi implementado
e corretamente mantido.). Ele pode, infelizmente, corresponder ocor-
rncia de acontecimentos de muito fraca probabilidade, mas com conse-
quncias particularmente catastrficas (por exemplo, a fuso do interior
de um reator nuclear, exploso de usina qumica, etc.).

lticas de segurana industrial. Esses acidentes graves e/ou espetacula-

res, que fizeram com que se falasse deles10, abriram uma brecha na
confiana tranquila do pblico e muitas vezes dos gerentes e experts.
O Quadro 1 (abaixo) lembra vrios desses acontecimentos industriais
trgicos, dos quais alguns so conhecidos do grande pblico francs.
Queda do DC-10 da Turkish Airlines na floresta de Ermenonville, 3 de maro de 1974, 346 mortos.
Vazamento de dioxina de Seveso (Itlia), 10 de julho de 1976, mais de 700 pessoas evacuadas.
Coliso de 2 Boeing 474 no aeroporto de Tenerife (Ilhas Canrias), 27 de maro de 1977, 583
mortos; nesse dia, a maior catstrofe area de todos os tempos.
Fuso do ncleo do reator da central de Three Mile Island (Estados Unidos), 28 de maro de
1979. Ela se tornou inutilizvel.
Vazamento macio de isocianato de metila na usina de Bhopal (ndia), 3 de dezembro de 1984,
mais de 5.000 mortos, de 200.000 a 500.000 pessoas feridas ou atingidas por sequelas11.
Descarrilamento de um trem e, depois, coliso com um trem que circulava em sentido contrrio em
Argenton-sur-Creuse (Departamento de Indre), 31 de agosto de 1985, 43 mortos e 38 feridos.
Exploso da nave espacial Challenger, pouco depois da decolagem, 28 de janeiro de 1986.
Os sete astronautas morreram.
Exploso do ncleo do reator n. 4 da central nuclear de Tchernobyl (Ucrnia, nessa poca
na URSS), 26 de abril de 1986, contaminao considervel. O nmero de vtimas pouco
conhecido e, ainda hoje, objeto de controvrsia12.
10
O acidente de Seveso para a qumica e o de Three Mile Island (TMI)
para o nuclear foram detonadores que levaram a importantes revises da
concepo da segurana industrial nesses setores.
11
O nmero exato de vtimas desconhecido, dada a falta de organiza-
o dos servios sanitrios indianos (Shivastava, 1992).
12
A esse respeito tambm existem incertezas notrias em relao s con-
sequncias do acidente. De acordo com as ltimas avaliaes, a catstrofe de
Tchernobyl fez, oficialmente, 31 vtimas (instantneas) e 116.000 pessoas
foram evacuadas da zona mais gravemente atingida imediatamente depois
do acidente. No final, 350.000 pessoas foram evacuadas fora das zonas atin-
gidas. Um forum composto, entre outros, pela AIEA (Agncia Internacional
da Energia Atmica), a OMS (Organizao Mundial da Sade) e do PNUD
(Programa das Naes Unidas para o Desenvolvimento) estimava, em 2006,
que seriam 4.000 as vtimas a deplorar. Um relatrio da organizao Green-
peace concluiu que 200.000 bitos poderiam ser imputados catstrofe.

Introduo 5
Naufrgio do ferry boat Herald of free Enterprise ao largo do porto de Zeebrugge (Blgica),
6 de maro de 1997, 193 mortos.
Choque entre um comboio parado numa estao e um trem de subrbio que entrava na
estao de Lyon, em Paris, no dia 27 de junho de 1988, 56 mortos e 57 feridos.
Exploses e incndios na plataforma petroleira Piper Alpha, no mar do Norte, 6 de julho de
1988, 167 mortos.
Exploso na refinaria Total de la Mde (lago de Berre), 9 de novembro de 1992, 6 mortos e
37 feridos.
Naufrgio em plena noite do ferry-boat Estonia no mar Bltico, 28 de setembro de 1994,
852 mortos ou desaparecidos.
Exploso de um silo de gros em Blaye (Gironde), 20 de agosto de 1997, 11 mortos e um
ferido grave; estragos num raio de 500m.
Incndio no tnel de Mont-Blanc, 24 de maro de 1999, 39 mortos, estragos considerveis
no tnel.
Ruptura do cabo do telefrico do pico de Bure e queda da cabine, no macio do Dvoluy
(Hautes Alpes), 1o de julho de 1999, 20 mortos.
Acidente crtico de Tokamura (Japo), 30 de setembro de 1999, 1 morto, 2 atingidos por
irradiao grave e 58 com irradiao leve.
Coliso frontal de dois trens em Paddington, na regio oeste de Londres, 5 de outubro de
1999, 31 mortos e mais de 400 feridos.
Naufrgio do petroleiro Erika, 12 de dezembro de 1989, mar negra na costa do Finisterre,
Crash de um Concorde na decolagem, em Roissy, 25 de julho de 2000, 113 mortos e 6 feridos,
destruio do hotel no qual o avio bateu.
Exploso da usina AZF em Toulouse, 21 de setembro de 2001, 30 mortos e mais de 10.000
feridos, estragos materiais estimados em 2 bilhes de euros,
Coliso do Tupolev 154 e de um Boeing 747 em berlingen, acima do lago de Constance
(Alemanha), 1o de julho de 2002, 71 mortos,
Desintegrao da nave espacial Columbia quando de sua entrada na atmosfera, no retorno de
uma misso, 1 fevereiro de 2003, os 7 astronautas morreram,
Exploso da fbrica de munies da sociedade Nitrochimie em Billy-Berclau (Pas-de-Calais),
27 de maro de 2003, 4 mortos e 10 feridos,
Exploso e incndios na refinaria BP do Texas City, nos Estados Unidos, 23 de maro de
2005, 15 mortos e 180 feridos,
Perda no oceano Atlntico do voo Air France AF 447, Rio de Janeiro-Paris, 1o de junho de
2009, 228 mortos,
Naufrgio da plataforma petroleira Deepwater Horizon no golfo do Mxico, 20 de abril de 2010,
11 mortos e 17 feridos, na origem de uma mar negra catastrfica para os Estados Unidos.
Quadro 1. Grandes acidentes industriais desde 1970.

Esses exemplos propositalmente diversificados mostram que

nenhum setor industrial de risco poupado e que as consequn-
cias, em termos de prejuzos fsicos, materiais, ambientais e finan-
ceiros, podem ser muito diferentes de um a outro acidente.
JJUma srie enfadonha?

Alguns leitores podero pensar que a srie negra listada no Quadro
1 se mostra bastante enfadonha. Vale a pena enumerar, metodica-
mente, uma lista to longa de catstrofes? Ns achamos que sim,
porque a propenso ao esquecimento grande, tanto para o pbli-
co quanto para os profissionais envolvidos. Estes, alis, tm ten-
dncia a ignorar os acontecimentos trgicos dos setores da ativida-
de industrial e de transporte que no os seus. Quais especialistas da
segurana nuclear podem evocar os fatos e os ensinamentos tirados
do fracasso da NASA em relao s naves espaciais Challenger e
Columbia ou os da plataforma petroleira offshore Piper Alpha?
Quais especialistas da segurana em qumica industrial podem,
por seu lado, evocar os acidentes de Three Mile Island, Tchernobyl
ou Tokamura de maneira suficientemente precisa? Vamos ver,
posteriormente, o interesse em considerar acontecimentos exter-
nos prpria atividade e em que isso pode fazer progredir suas pr-
prias prticas.
JJA eroso do tempo e a recorrncia

dos acidentes
Vamos prosseguir com esse tipo de interrogao: Quais especialis-
tas da segurana nuclear se preocupam ainda com Three Mile Is-
land ou Tchernobyl? Todos os ensinamentos desses acidentes in-
dustriais foram aproveitados? Alguns ensinamentos no teriam
sido esquecidos com o tempo, com [...] o incoerente, displicente,

Introduo 7
impessoal e destruidor trabalho do tempo, escreve Claude Simon,

exatamente no final de seu romance La Route des Flandres?
No relatrio da comisso de inqurito sobre o acidente da nave
espacial Columbia, est escrito que a antiga astronauta da NASA
Sally Ride, que fazia parte dessa comisso, mas que tinha igual-
mente participado dos trabalhos da comisso presidencial sobre o
acidente do Challenger, 17 anos antes, encontrava ecos do Challen-
ger em Columbia13 (CAIB, 2003). A sociloga americana Diane
Vaughan anunciava, de maneira proftica, ao final da sua volumosa
obra consagrada exploso do Challenger e que foi publicada dez
anos depois do drama, que as lies desse acidente tinham sido es-
quecidas ou perdidas pelo menos em parte (Vaughan, 1996, p. 422):
Depois do desastre de Challenger, os dois inquritos oficiais, afir-
mando que objetivos e meios devem ser coerentes, estigmatizaram as
presses de produo [competitive pressures] e as insuficincias de
oramento [economic scarcity] [...]. A NASA enfrentava de novo a
restrio econmica que prevalecia poca do desastre. Somente al-
guns gerentes e tomadores de deciso de alto nvel, que haviam sido
confrontados com as lies da tragdia da Challenger ainda esto l.
Os novos dirigentes salientam a importncia da segurana, mas se
batem pelos dlares e fazem cortes oramentrios.
Porque esse simples fato perturbador. Acidentes se repetem,
sendo que era de se esperar que, tendo sido aproveitados os ensina-
mentos, eles no se repetiriam pelos mesmos motivos ou por moti-
vos estranhamente vizinhos. H ecos do Herald of Free Entreprise
no Estonia, retomando a imagem de Sally Ride, segundo o CAIB14.
Todas as citaes foram traduzidas por ns.

13
Ver significado na lista de siglas do livro. CAIB: Columbia Accident

14
Investigation Board.

H ecos repetidos da primeira grande mar negra de Amoco Cadiz,

no dia 16 de maro de 1978, na mar negra do Exxon Valdez nas
costas do Alasca, no dia 24 de maro de 1989, no naufrgio do Eri-
ka, no dia 12 de dezembro de 1999, e depois tambm no do Prestige,
no dia 19 de novembro de 2002. H ecos para o SNCF da coliso de
Flaujac, no dia 3 de agosto de 1985, no descarrilhamento de Argen-
ton-sur-Creuse, no dia 31 de agosto de 1985, em seguida no aciden-
te da estao de Lyon, em junho de 1988. Assim, num relatrio da
Rede Ferroviria da Frana (RFF, 2008), podemos ler, na pgina 13:
Acidente de Argenton-sur-Creuse, ocorrido no dia 31 de

agosto de 1985 (43 mortos), devido ao descarrilhamento do
trem Paris-Port-Bou, em um setor de via para o qual a velo-
cidade prescrita pela sinalizao era 30 km/h. Acidente de
Novant, no dia 6 de setembro de 1985 com o descarrilha-
mento do trem Mtrolor Nancy-Metz em circunstncias
parecidas. [O sublinhado nosso].
De mesma forma, o acidente de Paddington, em 1999, aconte-

ceu depois de uma longa lista de acidentes ferrovirios entre 1988 e
1999, fazendo mais de 500 feridos e ocasionando a morte de mais
de 50 pessoas. Mas essa lista prossegue: Hatfield em 2000 (4 mor-
tos), Selby em 2001 (10 mortos)... chegando ao acidente de Pendoli-
no, um trem-bala (TGV), no dia 25 de fevereiro de 2008 (1 morto,
22 feridos). As mars negras se seguem e se parecem, assim como os
acidentes de trem e um certo nmero de quedas, e tambm um
certo nmero de exploses e incndios na indstria qumica. Ecos
mltiplos de uma a outra indstria, em incidentes e acidentes no
interior de uma mesma atividade industrial.
JJA emergncia do fator humano

Todos os setores industriais e dos transportes foram atingidos por
acontecimentos graves, como a lista do Quadro 1 afinal, til
pode atestar. Mas seria possvel objetar que cada acidente, cada in-

Introduo 9
cidente so particulares, nicos em seu gnero. Esses ecos ouvidos

de um acontecimento a outro no so enganadores? Essas repeti-
es no so seno aparentes?
O primeiro trao comum de todos esses acidentes que eles pa-
recem implicar o fator humano, retomando a expresso anglo-
-sax que se tornou popular na indstria francesa em sua forma
traduzida, desde o acidente da central nuclear de Three Mile Island.
Mas o fator humano ficou imediatamente marcado pelo sinal do
erro humano, negativo, at mesmo pejorativo, e, sobretudo, muito
redutor. O relatrio do balano anual de um sistema tcnico de ris-
co constatava, h somente alguns anos, um recrudescimento dos
erros do pessoal mais prximo do processo. Mas como poderia ser de
outra maneira se no se consideram seno as causas diretas, ime-
diatas, do incidente ou do acidente? E o que significa essa constata-
o? Que a impercia e a negligncia dos operadores vo crescendo?
Ou antes que as condies de trabalho se degradam? Errare huma-
num est, segundo a antiga sabedoria, sempre pertinente. No pos-
svel abrir mo dos homens para pilotar e manter os sistemas tcni-
cos e assegurar toda a logstica necessria, de resto complexa.
Consequentemente, todas as disposies devem ser tomadas, para
garantir as melhores condies de trabalho possveis. A investiga-
o dos peritos muitas vezes se interrompe ao constatar um erro
humano, quando deveria ser prolongada para muito alm.
H mais ou menos trs dcadas, especialmente nos setores da
aeronutica e nuclear, os peritos se dedicam a melhorar as instru-
es de comando de instalaes e sistemas e dos parmetros de in-
terveno, a melhorar e modernizar as interfaces entre os homens e
as mquinas, a tornar as informaes necessrias pilotagem dos
sistemas complexos mais fceis, mais legveis e compreensveis, a
desenvolver ajudas para a operao dos sistemas, inclusive de sua
manuteno. A aplicao dos princpios e mtodos de anlise ergo-
nmica permitiu, muito evidentemente, ganhos substanciais em
matria de segurana.

JJPerspectivas novas e tranquilizadoras...

novas inquietudes para a segurana
Entretanto, difcil fazer um balano global da segurana num pe-
rodo de algumas dcadas. Antes de mais nada, preciso distinguir,
em uma primeira abordagem, as indstrias cuja tradio na rea da
segurana a priori bem-enraizada (aeronutica, nuclear) e, na ou-
tra ponta da escala, as atividades para as quais as precaues de
segurana so mnimas, at mesmo inexistentes, a tal ponto que
ns podemos falar de grau zero de segurana (acidentes do tnel
do Mont Blanc, do telefrico do pico de Bure, etc.). No que diz res-
peito s indstrias reputadas como as mais seguras e as mais con-
troladas pelas autoridades de segurana, nem sempre possvel se
apoiar nos dados estatsticos de acidentes, porque os acidentes so
muitas vezes muito raros e o nmero de unidades de produo
relativamente inexpressivo. No caso de transportes de massa (trens,
avies), as estatsticas tendem a evidenciar de forma geral que um
limite assinttico foi alcanado, o que poderia sugerir que os riscos
dessa atividade industrial esto bem-dominados e que o risco resi-
dual foi atingido. Mas podem existir disparidades locais em termos
de vulnerabilidade, de uma companhia a outra, de um modelo de
avio a outro, por exemplo. Na qumica e na petroqumica, o n-
mero de acidentes no para de crescer, a despeito dos esforos de
normalizao e de procedimentalizao (diretiva Seveso II, imple-
mentao de Sistemas de Gerenciamento de Segurana SMS).
O que pensar, a partir disso? Qual julgamento sensato fazer a
respeito da evoluo da segurana? Propomos inverter o sentido do
exame dessa questo: no deliberar a partir de um grande nmero
de acidentes, mas examinar em detalhes, de maneira clnica, um
nmero reduzido de acidentes. O que nos ensina essa abordagem?
Contrariamente ideia recebida, propagada entre um certo n-
mero de gerentes e peritos, de que o risco residual foi atingido, a

Introduo 11
anlise minuciosa e sistemtica, sem concesso, de acidentes bem-

-documentados (cf. captulo 1) revela fraquezas caracterizadas, fa-
lhas notveis nos processos implantados pela organizao para do-
minar os riscos de acidentes maiores. Os mesmos erros humanos
parecem se reproduzir, os mesmos tipos de defeitos tcnicos costu-
mam ocorrer. Os prprios acidentes parecem se repetir com uma
semelhana perturbadora, em eco de um acidente a outro.
Alm disso, um nico incidente particular, demasiado repetiti-
vo, por exemplo, ou extico que parece escapar s caractersti-
cas habituais dos incidentes pode lanar a inquietao entre os
gerentes e peritos. As questes e dvidas em relao aos esforos em
matria de segurana e de preveno so susceptveis de reaparecer,
resumidas nessa frmula americana que se tornou clebre: How
safe is safe enough?. Faz-se o suficiente na rea da segurana? At
onde ainda se pode ir? O incidente revela vulnerabilidades que no
tinham sido salientadas? Ou ainda: Por que esse incidente se repete
desse modo? Pode-se imaginar facilmente que o quadro que garan-
te bons desempenhos no quotidiano e a ausncia de acidentes gra-
ves pode esconder ou obscurecer uma realidade mais inquietante.
Mas qual a natureza profunda dessa inquietude? Para alm dos
erros humanos, os acidentes revelam as fraquezas das organizaes
e, no mais alto grau, das organizaes da segurana.
JJO aumento inexorvel das presses

de produo
Nesta introduo, podemos propor uma primeira interpretao a
fim de esclarecer o leitor. Interpretao, alis, caracterstica da an-
lise organizacional da segurana e fundada no exame aprofundado
de um grande nmero de acidentes industriais.
Ao mesmo tempo, aproximadamente, em que a indstria se
aplicava em melhorar o fator humano e em utilizar recursos de

tecnologia para aumentar a segurana (automatizao aumentada

de processos tcnicos, controles informatizados), esforos crescen-
tes de produtividade, de rentabilidade e de lucratividade foram em-
preendidos e realizados. No h absolutamente necessidade de ex-
plicitar essa constatao, gritante em nossos dias: a globalizao, a
presso da concorrncia, a luta ferrenha pela conquista de fatias de
mercado esto na origem desses esforos. Elas se traduzem por fa-
tos objetivos, quantificveis ou mensurveis: a diminuio dos efe-
tivos e dos oramentos para o funcionamento e a manuteno em
numerosas empresas. Em consequncia disso, houve um aumento
da carga de trabalho para muitos empregados, tanto mais que a
diversificao se tornou uma palavra de ordem determinante, que
se traduz muitas vezes pela polivalncia, pelo tempo dividido entre
muitos projetos. A presso dos planejamentos, a satisfao dos
clientes ou dos usurios que podem ser colegas da mesma em-
presa pesam opressivas sobre os ombros do pessoal. As consequ-
ncias so sentidas subjetivamente pelo pessoal: estresse, medo de
no dar conta e de no estar altura dos objetivos de trabalho im-
postos, impresses de fragmentao das tarefas, muitas vezes expe-
rimentadas de maneira dolorosa pelos empregados, tanto mais que
a espada de Dmocles* do fracasso e da demisso est suspensa
sobre eles. Isso contribui, no conjunto, para um clima de relaes
tensas, de suspeio, para uma sria degradao das condies de
cooperao, de solidariedade tcnica e de comunicao entre indi-
vduos e entre grupos, que so, entretanto, necessrias.
Os empregados da NASA, submetidos ao programa de gerencia-
mento de voos espaciais implementados no incio dos anos 90
* A espada de Dmocles: Para que seu parente, Dmocles, compreendes-

se como frgil a felicidade dos reis, o tirano de Siracusa, durante um
banquete, fez suspender, sobre a cabea de Dmocles, uma pesada espada
amarrada a uma crina de cavalo. (N.T.)

Introduo 13
cujo slogan por si s significativo: Faster, Better, Cheaper, ou

seja: Mais rpido, melhor e mais barato! podem ter a impresso de
trabalhar sob a ameaa de uma arma (CAIB, 2003). Na indstria
automobilstica, feita uma impiedosa caa ao desperdcio, que
pode ser chamada de caa aos desperdiadores! Um memorando
circula no interior da companhia de balsas Towsend pedindo s
equipes encarregadas da carga e descarga dos navios atracados me-
lhores desempenhos:
Parece que h uma tendncia geral para a satisfao se o

barco deixa o porto dois ou trs minutos mais cedo. Quando
a carga completa atingida, ento todos os esforos devem ser
feitos para deixar o porto 15 minutos mais cedo [...] Eu espe-
ro ler agora que o barco se apresta 15 minutos mais cedo [...]
coloquem presso sobre o primeiro oficial se vocs pensam
que ele no se move rapidamente o bastante15.
Todos ns poderamos nos felicitar com esses ganhos de produ-

tividade, de tempo, com essas economias oramentrias e com essa
otimizao dos efetivos que os anglo-saxes batizaram com seu
senso da frmula reengenharia e que corresponde sempre a
uma reduo mais ou menos drstica dos postos de trabalho e de
empregados disponveis para efetuar o trabalho.
JJAt que qualquer coisa se quebre?

Todos ns poderamos nos felicitar por esses progressos contnuos,
por esses ganhos de desempenho. Como um dos diretores da refina-
ria da BP de Texas City, nos Estados Unidos, que, no incio de maro
15
Essa simples citao mereceria por si s uma exegese, de tal modo ela
parece ser um modelo no gnero, que exprime, de modo especial, as pres-
ses da produo e seu modo de propagao no interior de uma organiza-
o. Pode-se reportar a Llory, 1999.

de 2005, reuniu o corpo de gerentes da usina e anunciou que as taxas

de lucro de seu site para 2004 havia sido a melhor entre os cinco sites
americanos da BP. No entanto, alguns dias mais tarde aconteceu
uma grave exploso, fazendo muitas vtimas (cf. Quadro 1).
O memorando da companhia Townsend, citado no pargrafo
anterior, datado de 18 de agosto de 1986. No dia 6 de maro de
1987, a balsa Herald of Free Enterprise soltou as amarras rapidamen-
te, confirmando, em um instante, essa tendncia geral satisfa-
o; a balsa aparelhou com as portas abertas: a gua penetra rpi-
da e maciamente no navio que tomba e naufraga (cf. Quadro 1). O
programa muito exigente da NASA Faster, Better, Cheaper
no estranho desintegrao da nave Columbia em 2003 (CAIB,
2003): o administrador Daniel Goldin, que introduziu essa forma
de gerenciamento aproximadamente dez anos antes, deixou a
NASA em 2001. O balano das naves enviadas em direo ao plane-
ta Marte, nos anos 90, no absolutamente mais brilhante: seis
fracassos entre as dezesseis naves direcionadas ao planeta vermelho
foram registrados!
Pode-se, por conseguinte, ter a impresso de que muitos geren-
tes, no nvel da direo, prescrevem imperativos de desempenhos
muito altos, cada vez mais restritivos, sem que as condies de se-
gurana industrial sejam mantidas ou at mesmo revistas e aumen-
tadas. Poder-se-ia, com efeito, conceber que o crescimento das exi-
gncias de produtividade, de rentabilidade fosse acompanhado de
forma correspondente pelo aumento das exigncias de segurana,
face s exigncias crescentes da populao em matria de reduo
de riscos. Medidas compensatrias de reforo da segurana pode-
riam ser tomadas, para se opor sua eroso previsvel e muitas ve-
zes inexorvel neste contexto.
Tudo se passa como se os responsveis puxassem cada vez mais
a corda ou o elstico das potencialidades do sistema sociotcnico.
Pode-se retomar a metfora vizinha de Starbuck e Miliken (1988) a
propsito dos gerentes da NASA antes da exploso do Challenger:

Introduo 15
era como como se os responsveis procedessem a uma regulagem

dos desempenhos cada vez mais perfeita no sentido do crescimen-
to ... at que qualquer coisa se quebrasse (Fine-tuning the odds
until something breaks).
Assim, os resultados paradoxais da segurana industrial e de
alguns resultados ruins podem encontrar uma primeira explicao
que ns vamos aprofundar e enriquecer a seguir. Mas no preciso
esconder o fato de que a segurana e as disposies corresponden-
tes no so consideradas de maneira homognea em todos os seto-
res de atividade. As preocupaes da segurana se tornam respon-
sabilidade de organizaes muitas vezes disfuncionais; em alguns
casos, pode-se notar uma forte regresso dessas preocupaes e de
aes correspondentes, como vamos ver nos exemplos do captulo
que se segue. Mas, em setores de atividade ou para alguns sistemas,
a situao pode ser ainda pior: a segurana no aparece neles como
um objetivo primordial ou se encontra fora do campo de atividades
do quotidiano. No apenas as presses de produo no so jamais
contrabalanadas por um aumento de precaues, mas o nvel de
disposies e de prticas de segurana industrial muito elementar
e tais precaues inexistem. Da a denominao de grau zero de
segurana que introduzimos anteriormente.
JJ Alguma coisa teria sido esquecida?

Um dos membros do coletivo Chaos (cf. a advertncia, p. viii), con-
sultor que preparava uma interveno em uma grande empresa
francesa, ouviu do diretor tcnico o seguinte diagnstico a respeito
dos fracassos relacionados segurana do trabalho, preveno de
acidentes do trabalho, pelo fato de que acidentes muito graves con-
tinuavam a acontecer a despeito das medidas rapidamente tomadas:

Ns, entretanto, fizemos tudo: aperfeioamos os procedi-

mentos, implementamos melhorias tcnicas, reforamos os
controles hierrquicos ... Ns devemos ter esquecido algu-
ma coisa: o fator humano
de se temer que essa constatao seja bastante generalizada

hoje em dia. Um pouco paradoxalmente, o esquecimento do fa-
tor humano provm da focalizao persistente e excessiva sobre os
erros humanos isolados e individuais do pessoal de campo, dos em-
pregados, dos operadores mais prximos do processo industrial:
das bombas, vlvulas, dos painis de comando, disjuntores, etc.
Esse esquecimento decorre, alm disso, de uma concepo dema-
siado regulamentar e normativa do trabalho, fundamentada no
respeito aos procedimentos, que ignora as especificidades, as difi-
culdades do trabalho, as restries que so impostas aos operadores
e suas condies de trabalho, das quais podem emergir, mais facil-
mente, os erros. Mas ele decorre igualmente da dificuldade de a
gerncia (por vezes mesmo da impossibilidade) considerar o pro-
cesso sociotcnico no seu conjunto, de ter uma apreenso intelec-
tual ao mesmo tempo pertinente, coerente e construda, que per-
mita apresentar uma viso macroscpica depurada do nmero
vertiginoso de interaes entre os membros de uma organizao
complexa e mesmo entre as unidades, os departamentos e os gru-
pos de uma organizao. Porque o fator humano tambm isso:
um conjunto complexo de pessoas que trabalham para a produo
e a segurana, o que no ocorre sem que se coloquem mltiplos
problemas de coordenao, de cooperao, de comunicao.
A organizao da coleta e anlise dos acontecimentos de pouca
gravidade ou de gravidade moderada, que se produzem nos siste-
mas sociotcnicos deveriam permitir revelar e corrigir os pontos
fracos desses sistemas, as falhas, em relao segurana industrial,

Introduo 17
antes que eles se manifestem em incidentes mais graves ou mesmo

em acidentes. Esse retorno de experincia (REX) entretanto, a
despeito de esforos e de investimentos consequentes das empresas
de risco, tanto no plano metodolgico quanto naquele da organiza-
o, nas polticas de segurana, no apresenta os resultados espera-
dos. Ele pode mesmo ser julgado decepcionante, tendo em vista os
esforos empreendidos. Muitos gerentes e peritos compartilham
um mesmo sentimento de estagnao nos resultados (Dien, Llory,
2004). Os mesmos erros humanos parecem se reproduzir, da
mesma forma que sries de panes tcnicas similares. Acidentes e
incidentes graves continuam acontecendo. Parece, ento, que todas
as lies dos acontecimentos passados no foram aproveitadas no
sentido de melhorar de maneira significativa a preveno. A pes-
quisa isolada do erro humano como causa ltima e explicao de-
finitiva dos incidentes e acidentes no suficiente.
Como escreve James Reason na concluso de seu livro The Hu-
man Error (O erro humano. Reason, 1993 edio original: 1990):
Nas pesquisas futuras sobre o erro humano, ser necessrio cobrir
tanto as falhas organizacionais como as falhas humanas [...]. So os
fatores sociais e institucionais que, agora, representam a ameaa
maior para nossa segurana. Mas talvez tenha sido sempre assim.
[ nossa, a nfase]. H algum tempo, em um artigo seminal, ele j
havia traado o caminho mostrando como, segundo ele, ns tera-
mos entrado na era do acidente organizacional (Reason, 1987).
E, realmente, quando se trata de acidente, os inquritos vo
alm das causas imediatas (erro humano, incidente tcnico) e se
interessam, cada vez mais frequentemente, pelas causas e pelos fa-
tores de natureza organizacional; eles utilizam uma grade de anli-
se que permite uma compreenso mais ampla das razes que oca-
sionaram e/ou tiveram uma ligao com a ocorrncia do evento,
ampliando o campo do inqurito e remontando histria da orga-
nizao: em outras palavras, eles evidenciam as causas profundas e

histricas das disfunes. As investigaes mostram tambm, mui-

tas vezes, a robustez da organizao que permitiu, entre outras coi-
sas, retardar o momento do acontecimento fatal; em todo caso, elas
ensejam melhorias mais fundamentais da segurana.
Evidentemente, ocorre o mesmo para os simples incidentes, so-
bretudo quando eles parecem repetitivos. Por menos que se esteja
disposto a achar insuficiente a explicao demasiado cmoda de
erro humano ou de mau funcionamento tcnico e procurar as cau-
sas ou as circunstncias a montante16, quer dizer, no nvel organiza-
cional, pressente-se que seria possvel sair dessa espcie de estagna-
o em matria de segurana.
As demandas que se colocam

JJ
para a anlise organizacional

Quando ns comeamos a elaborar a anlise organizacional da segu-
rana, nosso objetivo era aperfeioar uma forma de abordar os as-
pectos organizacionais da segurana no quadro das investigaes das
quais participamos. por isso que a anlise organizacional se dirige
a analistas, engenheiros, consultores internos ou externos s empre-
sas, que tm de responder a uma demanda particular: a de seu clien-
te ou contratante, s vezes com uma forte demanda social subjacente.
Essa demanda diz respeito segurana e pode tomar diferentes for-
mas. Ela vai tambm fixar o quadro de sua investigao, seus objeti-
vos, seu campo de averiguao, seus meios. por isso que nossa an-
lise organizacional tem um carter pragmtico e visa eficcia.
Tambm, antes de ir adiante, necessrio se perguntar com
quais problemas o analista ser confrontado e examinar os tipos de
perguntas que provavelmente lhe sero feitas. No ser pedido ao
16
Essas causas so comumentes chamadas de causas profundas.

Introduo 19
analista iniciante, que tem pouca experincia, que participe de uma

comisso de inqurito de um acidente grave, pois isso trabalho de
especialistas experientes e de servios especializados. Qualquer que
seja o analista, provvel que a demanda de interveno pertena a
um dos trs tipos apresentados a seguir, cuja finalidade comum o
domnio da segurana e, se necessrio, sua melhoria.
De incio, a demanda pode ter como objeto a realizao de uma
anlise do evento. Alis, na verdade, uma primeira anlise desse
acontecimento j foi efetuada pelos servios responsveis da em-
presa. No se pode investigar uma instalao depois de um inci-
dente, sobretudo em uma indstria de alto risco, a no ser depois
de haverem sido identificadas as suas causas tcnicas ou humanas
imediatas, ou, pelo menos, de ter sido definido rapidamente o con-
junto das causas provveis; atribuir um incidente a uma causa
desconhecida sempre muito arriscado. Mas essa primeira anlise
pode se mostrar insuficiente e levar os responsveis a procurar sa-
ber mais sobre ela, sobretudo em caso de incidentes repetidos. Eles
podem ter a impresso de que qualquer coisa no vai bem e sai de
seu quadro habitual das anlises correntes e se perguntarem se a
abordagem organizacional no traria um esclarecimento til. O
analista, ento, levado a intervir complementando a anlise preli-
minar e, sem negligenci-la, pede-se a ele que v mais longe.
possvel tambm que os responsveis pela organizao te-
nham dvidas sobre a segurana de suas instalaes e suponham
que haja uma degradao dela, por exemplo aps uma srie de inci-
dentes graves que eles no conseguem conter apesar de seus esfor-
os. Ou talvez uma inspeo ou uma auditoria interna ou externa
tenham assinalado anomalias importantes. Nesse caso, esses res-
ponsveis vo pedir ao analista que faa um diagnstico global de
segurana, um balano da situao no que diz respeito seguran-
a. esse o segundo tipo de demanda.

Enfim, no terceiro tipo de demanda o analista pode ser requisi-

tado para fazer um diagnstico parcial de segurana sobre um
tema particular um servio, uma unidade da organizao. Por
exemplo, pode-se pedir a ele que investigue o tratamento das mo-
dificaes tcnicas da instalao, de modo a evitar incidentes
quando de sua entrada em servio, ou os processos de deciso que
conduzem a modificaes ergonmicas ou organizacionais tendo
em vista as modificaes tcnicas projetadas. Pode-se pedir tam-
bm ao analista que avalie o REX, por exemplo se alguns sinais fa-
zem supor uma ineficcia.
Nos dois ltimos tipos de demandas, trata-se, de imediato, de
uma demanda de anlise da organizao, tanto de suas vulnerabi-
lidades como de suas resilincias17. Mas preciso observar que a
diferena entre a anlise do acontecimento e a anlise da organiza-
o, parcial ou global, no to categrica como pode parecer
primeira vista. Com efeito, confrontado com um acontecimento,
um incidente, o investigador vai proceder a uma anlise do tipo
organizacional das interaes entre equipes, departamentos, dire-
o, etc., isto , entre instncias correlacionadas. As pistas para
abordar essa anlise podero ser fornecidas a ele pelo estudo que
ter sido feito previamente e pelos avisos daqueles que gravitam ou
gravitaram em torno desse acontecimento. Inversamente, quando
17
Designa-se por resilincia a capacidade das organizaes que geram
riscos de reagir em caso de degradao da segurana ou de emergncia e de
desenvolvimento de uma situao potencialmente perigosa ou acidental, a
fim de voltar a um estado de domnio dos riscos. Pode-se, ainda, conside-
rar que as resilincias participam da resistncia aos incidentes graves e aos
acidentes. Colocar em evidncia as resilincias e os fatores de resilincia
em uma organizao ainda faz parte do campo da pesquisa, tanto do pon-
to de vista conceitual como da prtica, mas, apesar disso, o analista no
est sem recursos, como se poder ver posteriormente.

Introduo 21
se trata para o investigador de efetuar um diagnstico da organiza-

o, o mais comum que ele vai comear por inquirir a respeito
dos incidentes e das disfunes que podem ter ocorrido e vai anali-
s-los18. Por exemplo, a direo de um grande servio de transporte
pede que se estude a comunicao entre condutores e reguladores
do trfego, que estaria deficitria e falha; ela julga que os incidentes
de comunicao se multiplicam. O primeiro reflexo do analista
ser pedir a lista desses incidentes e analis-los. Em seguida, ele vai
examinar a natureza das interaes no interior da organizao,
para, de um lado, ir alm do simples nvel das comunicaes e, de
outro lado, da simples constatao de erro humano.
V-se que se coloca imediatamente ao analista a questo de sa-
ber como proceder de maneira pertinente para que sua interveno
seja eficaz, tendo em vista os limites de tempo e de meios que lhe
so impostos. essa a questo que ns nos colocvamos quando
comeamos a desenvolver esse tipo de investigao. Tal questo nos
levou a desenvolver a anlise organizacional da segurana de tal
maneira que permitisse responder melhor s diferentes necessida-
des do analista, tanto para as anlises de eventos passados (inciden-
tes ou acidentes) como para diagnsticos de segurana.
Mas onde encontrar, para nutrir nossa reflexo, exemplos de
diagnsticos organizacionais de segurana, de anlises de aconteci-
Na maioria dos casos, a demanda por um diagnstico segue-se a pro-

18
blemas de segurana potenciais ou revelados, e o analista se orienta prefe-

rencialmente em direo anlise desses problemas para encontrar pistas
para melhorar a segurana. Entretanto, algumas empresas so levadas a
iniciar as demandas de diagnstico em situaes diferentes destes casos. O
analista deve permanecer equilibrado no seu planejamento e ter o cuidado
de no esquecer de analisar os fatores de resilincia que, muitas vezes, se
acredita que sejam a caracterstica de uma boa adaptabilidade da empresa
diante do imprevisto.

mentos suficientemente completas e detalhadas, acessveis a analis-

tas como ns? certo que os relatrios de diagnstico de seguran-
a, de auditoria, assim como os relatrios de anlise de incidentes,
no so, a no ser excepcionalmente, divulgados fora das empresas
e, poca, ns no havamos descoberto isso, nem, alis, havamos
encontrado algum pelo mundo afora que se interessasse por isso.
Ao contrrio, ns identificamos pessoas que estudavam os aspectos
organizacionais dos incidentes catastrficos. Na sociedade civil, es-
ses acontecimentos tm um tal impacto que sua anlise mobiliza,
muitas vezes, meios muito importantes, que do lugar a comisses
de inqurito e redao de relatrios detalhados que se tornam p-
blicos, sobretudo em pases anglo-saxes. por isso que, muito
rapidamente, por volta do final dos anos 80, ns comeamos a nos
interessar por acidentes com dois objetivos.
O primeiro era descobrir como procedem os peritos para ana-
lisar os acidentes, sob o ngulo tcnico certamente, mas sobretudo
do ponto de vista organizacional. Existiam mtodos, maneiras de
fazer, instrumentos? Quais aspectos examinar? Que amplitude dar
anlise? Onde interromp-la?
Um segundo objetivo, que no era o menor, consistia em com-
preender como acontecem os acidentes, como a segurana pode
progressivamente se degradar e como as organizaes passam a
no funcionar, ainda que os responsveis e os experts internos este-
jam, em grande parte, conscientes dos problemas de risco e que as
organizaes estejam estruturadas para oferecer segurana e dota-
das, pelo menos na aparncia, de todos os meios, mtodos e savoir-
-faire necessrios. Desse ponto de vista, numerosos acidentes nos
pareciam enigmticos. Compreender as dinmicas organizacionais
em jogo na chegada repentina de um acidente nos parecia impor-
tante, porque percebamos j, intuitivamente, que o acidente no
chega to bruscamente como parece. Parece normal que as pessoas
que se ocupam da segurana queiram conhecer esse inimigo contra

Introduo 23
o qual lutam! Principalmente porque os anos 80 tinham sido fr-

teis em acidentes marcantes: os acidentes de Three Mile Island em
1979, de Bhopal em 1984, depois o de Tchernobyl e da nave espa-
cial Challenger em 1986, o naufrgio do ferry-boat Herald of Free
Enterprise em 1987, para citar somente estes. Mas esse no o me-
nor dos paradoxos, pois as organizao que produzem riscos se
interessam muito pouco pelos acidentes e, alm do mais, termi-
nam por esquec-los.
De maneira complementar, foi-nos colocada a questo de saber
onde encontrar informaes. Procurando com tenacidade, ns
criamos, aos poucos, uma biblioteca de acidentes-tipo que nos ser-
viram de referncia, tanto para as anlises como para os ensina-
mentos provenientes dos acidentes. E foi assim que, ajudados, alis,
por um conhecimento previamente adquirido em domnios to
variados como a ergonomia, a psicopatologia do trabalho, o fun-
cionamento e as patologias de grupos restritos, etc., pudemos co-
mear a elaborar a anlise organizacional da segurana, visando
aplic-la em seguida de forma prtica em nossas investigaes.
A anlise organizacional da segurana no um simples mto-
do de anlise. Ela se assemelha mais a um paradigma19. Assim como
ser visto depois, foi preciso que ns tomssemos emprestado, em
diversos domnios, de conhecimentos em torno de acidentes, de
disfunes organizacionais; at pedimos emprestado rea mdica
19
Paradigma: conjunto de experincias, de fatos verificados, de conheci-
mentos, de conceitos, de modelos, de regras, de savoir-faire, mas tambm
de crenas e valores, que influencia a maneira como um grupo de indiv-
duos apreende a realidade em um dado momento e lhe permite delimitar
e problematizar os fatos pelos quais se interessa, especialmente no dom-
nio cientfico O paradigma constitui um fenmeno sociolgico que supe
uma comunidade de pensamento, de mtodos e de objetivos daqueles que
a ele aderem.

a noo cmoda da patologia: ela permite uma compreenso estru-

turada dos problemas de segurana.
Mas os ensinamentos dos acidentes foram determinantes. Eles,
ao mesmo tempo, assentaram o paradigma e transtornaram nossa
concepo de segurana. Eles nos mostraram, de maneira decisiva
e prtica, o que poderia ser uma anlise organizacional aplicada
segurana. Ns pudemos apreender melhor as dinmicas em ao,
bem antes do desencadear imediato da prpria catstrofe. Ns ga-
nhamos tambm uma viso mais global, macroscpica, que con-
feria uma compreenso nova dos processos que levam aos aciden-
tes. O estudo obstinado de numerosos acidentes nos convenceu de
sua realidade e nos impediu de esquec-los ou de eufemiz-los.
por isso que, antes de expor o paradigma, no captulo 2, pareceu-
-nos indispensvel ilustr-lo, apresentando, de incio, alguns casos
de acidentes e suas lies.
JJ A anlise organizacional da segurana:

o objetivo desta obra
Como conduzir, entretanto, essas anlises em nvel organizacional?
Para isso, seria necessrio desenvolver outro tipo de anlise: a an-
lise organizacional da segurana. o que alguns dos membros do
coletivo Chaos comearam a fazer a partir de meados dos anos
1990. Nada existia sobre isso, na poca, que pudesse nos satisfazer.
por isso que fomos levados a construir uma tal maneira de anli-
se, da qual ns propusemos uma primeira elaborao.
Esse o objetivo ambicioso e um pouco temerrio que ns nos
demos h muitos anos, sem dvida um pouco menos claro nos anos
90 do que o formulamos hoje. Ns, alguns dentre ns, de maneira
pioneira e muitas vezes tateante, temos tentado elaborar esse tipo de
anlise que denominamos anlise organizacional da segurana.

Introduo 25
Ns tentamos, tambm, evitar duas tentaes:

de um lado, a de fazer da anlise organizacional uma nova
teoria, at mesmo uma disciplina acadmica, da maneira ri-
gorosa como sabemos que o mundo universitrio a desen-
volve; essa no absolutamente a inteno dos membros do
coletivo Chaos que redigiram esta obra;
por outro lado, a tentao de reduzir a anlise organizacio-
nal a uma espcie de ferramenta, tipo chaves na mo. Ou-
ve-se dizer frequentemente que os engenheiros seriam de-
mandantes de tal recurso, o que ns no cremos. Como ser
visto, a anlise organizacional no , e no pode ser, um tipo
de procedimento algortmico que se desenvolveria para ob-
ter diagnstico certos, infalveis e perfeitamente objetivos!
O texto da introduo, que foi por ns concebido, compreende
trs partes principais:
a apresentao simplificada de seis casos de acidente que es-
colhemos por seu interesse e diversidade;
a exposio dos fundamentos da anlise organizacional, que
tornam esta abordagem especfica e original;
enfim, um conjunto de questes em suspenso e discusses
sintticas, que esclarecem os limites atuais e as grandes po-
tencialidades da anlise organizacional.

1
O acidente organizacional
em alguns exemplos
Colocando os acidentes no centro de nossa reflexo sobre a segu-

rana industrial, nada mais natural e lgico seno apresentar, de
incio, alguns casos tpicos, representativos das situaes acidentais
encontradas na indstria.
O leitor vai poder prever, por meio da leitura desses exemplos
ilustrativos, as dinmicas e os processos organizacionais em jogo
na gnese e no desenvolvimento dos acidentes. Mas esses exemplos
estabelecem pontes em direo compreenso das fraquezas das
organizaes e de sua articulao. Pouco a pouco se elaboram, as-
sim, o retrato tpico do acidente e o da organizao gravemente
disfuncional em matria de segurana industrial.
Os exemplos permitem, alm disso, esboar as caractersticas es-
senciais de um mtodo de investigao tpica dos eventos industriais.
JJA tradio dos estudos de casos

Desde o incio, optamos por uma abordagem pragmtica, intuitiva
dos acidentes, sem preconceito particular, caso a caso. Ns tnha-
mos duas referncias:
a tradio cientfica: construir a reflexo e a modelizao a partir
de dados elementares oriundos de constataes, de observaes;

a clnica, como na medicina: fazer dos estudos de caso um dos

fundamentos da reflexo, como faremos no captulo seguinte.
Tratava-se de arregaar as mangas e de abrir o grande canteiro
dos mltiplos casos de acidentes. E de se dizer: Vejamos um pouco
no detalhe o que nos ensinam os acidentes industriais. Abordagem
intuitiva, mas no ingnua: tratava-se, tambm, de exercer um di-
reito de crtica, de interrogao e de apontar tanto as contribui-
es dos inquritos e das investigaes efetuadas por nossos pares
como o que nos parecia serem suas faltas, os furos das anlises.
Ns retomamos, por outro lado, a rota traada por aqueles que
podemos considerar como nossos precursores. Desse modo, Char-
les Perrow na sua obra Normal Accidents (Perrow, 1984, reeditada
em 1999) e seu discpulo (Scott Sagan, com The limits of Safety (Sa-
gan, 1993)). I Eles apresentavam no somente estudos de casos, mas
tambm mostravam, graas a uma liberdade salutar de tom, uma
forma de arte e de maneira para discutir os problemas de seguran-
a. Barry Turner, cuja obra Man-Made Disarters (Turner, 1978) foi
reeditada em 1997, dava suporte nossa prtica de estudos de casos.
Partindo da anlise de uma centena de acidentes, em todas as reas
de atividade industrial e de transportes, assim como no setor sani-
trio, esse pioneiro tentava tirar disso formas recorrentes, regulari-
dades, para elaborar uma modelizao de processos acidentais. a
ele que se deve, entre outras, a noo muito esclarecedora de pero
do de incubao dos acidentes, analogia emprestada da rea mdi-
ca. Infelizmente, embora ele apresentasse uma abordagem elabora-
da das causas e dos processos de evoluo dos desastres, ele no
levava em considerao essa matria bruta, viva, que so os pr-
prios acidentes e nem seu desenvolvimento. Ele havia privilegiado a
sntese de cada caso tratado em detrimento da exposio de sua
especificidade e da profundidade da anlise.

O acidente organizacional em alguns exemplos 29
Para ilustrar nosso trabalho, escolhemos apresentar seis casos

de setores diferentes da atividade industrial ou humana. Alguns
dentre eles constituem, para muitos de ns, referncias ao mesmo
tempo pelo contedo dos ensinamentos, certos detalhes, mas tam-
bm pela sua contribuio reflexo metodolgica. Eles continuam
alimentando nossas discusses, sendo uma fonte quase inesgotvel
de reflexo qual voltamos frequentemente.
Cinco desses seis casos podem ser considerados ricos de deta-
lhes e ensinamentos e tiveram um papel revelador em relao aos
mecanismos do acidente, s causas profundas de seu aparecimento,
em relao s foras sociais em jogo, s caractersticas das disfun-
es graves das organizaes e a certos aspectos do mtodo de in-
vestigao. Numa obra como esta, no possvel apresentar esses
casos de maneira detalhada. Escolhemos, por isso, focalizar ape-
nas alguns aspectos de cada acidente, a fim de ilustrar, progressi-
vamente, questes da segurana e da preveno e os processos im-
plicados nos acidentes.
Entretanto, um caso foi escolhido para mostrar a fragilidade de
algumas anlises e a pobreza de dados disponveis. De qualquer
modo, um exemplo indireto, em negativo, que nos permite, ilustrar
a questo maior do acesso, particularmente na Frana, s informa-
es relacionadas a acidentes. Mas preciso ainda que existam essas
informaes! E, por consequncia, que sua coleta tenha sido objeto
de uma pesquisa, utilizando recursos e mtodos que, ns o veremos,
pertencem ao domnio da anlise organizacional da segurana.
Encaminhamos finalmente o leitor s fontes fundamentais des-
sas anlises de acidentes. E , ento, por mediao dos exemplos
maiores propostos que o convidamos a descobrir as facetas cruciais
da anlise organizacional da segurana e as disfunes dos siste-
mas sociotcnicos que precipitam o acidente. O quadro a seguir
apresenta os seis acontecimentos tratados neste captulo.

Tipo de acidente Lugar Data Setor de atividade

Coliso frontal de dois Paddington (oeste de 5 outubro 1999 Transporte ferrovirio
trens Londres)
Desintegrao de uma Entrada da atmosfera 1o fevereiro 2003 Espacial
nave espacial (Estados Unidos)
Exploso e incndio Cidade de Texas 23 maro 2005 Qumica petroqumica
de uma refinaria (Estados Unidos)
Corroso intensa da Davis Besse Maro 2002 Produo de
tampa de um reator (Estados-Unidos) (descoberta) eletricidade de origem
nuclear nuclear
Reao macia de Diversos centros de 1985-1987 Sade pblica
pacientes durante o tratamento (Estados
tratamento contra o Unidos)
cncer
Desmoronamento de Paris Noite de 14 a 15 de Construo, trabalhos
uma galeria destinada fevereiro de 2003 pblicos
ao metr Meteor
Quadro 1. Seis acontecimentos dramticos
Esses acidentes sero retomados vrias vezes para ilustrar al-

guns conceitos ou alguns resultados sintticos relativos ao funcio-
namento dos sistemas sociotcnicos. Esse retorno ser efetuado
conforme nosso progresso, de um lado nos segredos dos fracassos
organizacionais que tiveram consequncias graves e, de outro, nos
seus modos de anlise.
Alm desses seis casos apresentados, teremos, claro, oportuni-
dade de mencionar outros acidentes: propomos, ento, uma reviso
sucinta do acontecimento evocado e/ou encaminhamos o leitor a
fontes que tm autoridade. A referncia a esses mltiplos acidentes,
mesmo sendo muito limitada, tem por finalidade confirmar o inte-
resse fundamental em se apoiar em conhecimentos correspondentes
e convencer o leitor de que o paradigma organizacional no est fun-
damentado somente na anlise de uma amostra de acidentes-tipo.

No total, estimamos que uma centena de eventos (acidentes, inciden-

tes, crises) passou no crivo da abordagem organizacional e que uma
parte deles foi analisada diretamente pelos autores desta obra.
JJO acidente de trens de Paddington

Nesse primeiro caso de acidente, dispomos, entre muitas investiga-
es, daquela notvel realizada por Lord Cullen e sua equipe a pedi-
do do governo britnico. Ela atesta, claramente, o carter organiza-
cional do acidente de Paddington. Lord Cullen, jurista de formao,
j havia estudado a catstrofe ocorrida na plataforma de petrleo
Piper Alpha, em 6 de julho de 1988, onde morreram 165 pessoas,
aps uma srie de exploses e incndios (Cullen, 1990). Em relao
ao acidente de Paddington, o relatrio de Lord Cullen mostra a de-
gradao da segurana do sistema ferrovirio britnico e, de acordo
com suas prprias palavras, o declnio da Western Zone, a zona oci-
dental da organizao ferroviria da Gr-Bretanha. Mas esse tipo de
acidente contm tambm a maior parte das disfunes caractersti-
cas que levam aos acidentes. Ele coloca o problema do efeito da des-
regulao e da privatizao das ferrovias britnicas e das presses
produtivas que se manifestaram, de maneira mais ou menos aguda,
em numerosos sistemas h dois ou trs decnios. Como vamos ver, o
sistema organizacional da segurana a parece muito desorganizado.
Por deciso nossa, simplificamos a anlise feita pela comisso
de inqurito, de maneira a salientar, essencialmente, o mtodo de
anlise: do erro humano de um condutor do turbotrem disfun-
o generalizada da Western Zone. A apresentao procura mostrar
como a anlise organizacional se constri pouco a pouco.
JJA chegada repentina de um incidente grave ou de um

acidente e o fator humano
Da mesma maneira que em todos os casos observados, os erros hu-
manos e as falhas tcnicas precipitam o acidente. Mas ns nos

deparamos com um paradoxo aparente: numerosas disposies de

controle e de proteo so tomadas para que a engrenagem fatal
no possa se produzir. misso da segurana e de sua organizao
tomar um certo nmero de precaues, de medidas, para evitar o
acidente. Se esse acontece, poder-se-ia pensar, de maneira apressa-
da e superficial, que o elo fraco, o operador na extremidade da
cadeia, falhou, precipitando a catstrofe. Mas, ao mesmo tempo, a
histria da segurana mostra que tudo foi feito para se proteger do
erro humano do operador. Da a ideia, que pouco a pouco acabou
aparecendo, de que, para alm do erro humano ou dos erros huma-
nos e das falhas tcnicas, o prprio dispositivo tcnico, adminis-
trativo e organizacional da segurana que precisa ser questionado e
no somente o erro do operador que est na extremidade da cadeia
organizacional, ou melhor, da rede organizacional, justo na interfa-
ce com o sistema tcnico.
JJ Dos fatores humanos aos fatores organizacionais

O exemplo apresentado de maneira simplificada da coliso
frontal dos dois trens que aconteceu no dia 5 de outubro de 1999,
no subrbio oeste de Londres, em Ladbroke Grove, perto da esta-
o de Paddington (Cullen, 2000), d um primeiro exemplo dessa
abordagem. Nesse dia, o condutor do turbotrem da companhia
Thames Trains no parou como deveria no sinal SN109, que estava
vermelho. Ele, ento, se dirigiu para uma linha j ocupada por um
trem-bala que chegava em sentido contrrio. Os controladores ferro-
virios do posto de controle de Slough, que administravam o trfego
e dispunham de meios para prevenir os condutores, e at mesmo
para promover procedimentos de socorro, reagiram tardiamente
passando para vermelho o sinal diante do trem-bala para tentar, em
vo, par-lo. Os dois condutores no perceberam seno muito tarde
a iminncia da catstrofe. Apesar da sua brutal freada, a coliso no
pode ser evitada. O acidente ferrovirio fez 31 mortos, mais de 400
feridos e teve grande repercusso na Gr-Bretanha, porque ele

acontecia depois uma longa lista de acidentes desde aquele de Cla-

pham Junction em 1988 (35 mortos, perto de 500 feridos): 9 aci-
dentes em 10 anos. Mas o debate na Gr-Bretanha sobre a privati-
zao da ferrovia, o estado dos equipamentos e a ineficincia na
circulao dos trens (atrasos numerosos e importantes) estava lon-
ge de terminar.
Seria possvel, evidentemente, incriminar o erro humano fatal
do condutor do turbotrem e deplorar, uma vez mais, a distrao
de um condutor, sua negligncia condenvel ou sua falta de profis-
sionalismo. Mas a ergonomia j nos ensinou a interrogar as situa-
es de trabalho. Ela vai nos guiar aqui no interrogar os sinais e os
meios tcnicos colocados disposio do condutor e dos controla-
dores ferrovirios para que levem a termo suas tarefas. Uma anlise
aprofundada, efetuada pela equipe de investigadores de Lord Cul-
len, evidenciou, efetivamente, a falta de visibilidade e de legibilida-
de do sinal SN103. Este sinal estava em um prtico que trazia, tam-
bm, as sinalizaes de outras vias frreas paralelas. Ora, nessa
zona de trfego muito intenso, a circulao se fazia seguindo 6 vias
bidirecionais, o que significava uma sinalizao complexa para
cada prtico. Alm disso, aproximao do sinal SN109, o perfil
das vias, a existncia de pontes e postes, de junes metlicas, algu-
mas das quais provisrias, no permitiam que se vissem o prtico
e o sinal SN109 de maneira suficientemente ntida. Esse sinal no
era completamente visvel a no ser a 8 segundos dele! Enfim, o
acidente aconteceu de manh, numa hora em que, sob a incidncia
direta do sol, o sinal SN109, embora iluminado, era dificilmente
legvel. Acrescente-se que a multiplicidade de instrumentos de co-
municao, diferentes de acordo com a companhia ferroviria, no
tornava mais simples a tarefa do agulheiro para prevenir rapida-
mente o condutor do trem sobre o seu erro.
Uma tal anlise resulta de uma concepo certamente limitada do
fator humano, mas j significativa. O questionamento, tratando-se

da segurana, e, no caso, da segurana ferroviria, no pode parar

nisso. Poderia, com efeito, causar espanto o fato de que a segurana
de um transporte por trem no dependa seno do condutor e, numa
certa medida, do agulheiro o controlador ferrovirio. preciso re-
conhecer, de fato, que a segurana ferroviria depende, dentre ou-
tras, de uma organizao: ramificada e complexa. Nessa organizao
da segurana, so tomadas aes e decises que podem:
facilitar ou complicar a tarefa dos operadores (no caso, o
condutor e o agulheiro), e at precipitar seu erro ;
colocar disposio controles e meios de recuperao das aes
do operador; esse o papel dos reguladores-agulheiros, nesse
posto de Slough, de onde eles fiscalizam a circulao dos trens,
a passagem correta dos sinais e podem intervir, por exemplo,
chamando o condutor por telefone em caso de urgncia;
permitir a identificao de pontos crticos da conduo dos
trens para os condutores, as zonas de perigo e remediar estas
particularidades que podem favorecer ou precipitar acidentes;
garantir aos condutores um melhor nvel profissional e de
competncias, mediante a formao e, em particular, sinali-
zando os problemas mais graves da circulao dos trens re-
lacionados s dificuldades de sinalizao.
O condutor do turbotrem tinha sido contratado, treinado e, em
princpio, teria sido advertido das dificuldades de seu trabalho, so-
bretudo aquelas vinculadas sinalizao. Ele se achava inserido
numa organizao, uma rede organizacional qual pertenciam:
os recrutadores e os formadores; os agulheiros, os gerentes de sua
empresa, a companhia ferroviria Thames Trains, os experts e os
gerentes da companhia Railtrack, que garante a gesto das infraes-
truturas (vias frreas, sinalizao); os analistas do retorno de expe-

rincia que perseguem os pontos crticos e os incidentes signifi-

cativos de conduo, etc.
Em nenhuma indstria, a demonstrao de segurana repousa
exclusivamente na confiabilidade supostamente perfeita, sem falha,
do pessoal do campo e, especialmente, do operador que est no l-
timo elo da cadeia, como acabamos de ver. Ela deve repousar sobre
uma organizao de segurana compacta, integrada, ativa, com mui-
tas atividades que incluem: os estudos previsionais de risco, os dispo-
sitivos tcnicos e organizacionais de correo, de recuperao, de
redundncia; a formao e a reciclagem do pessoal; a anlise apro-
fundada do retorno da experincia. O acidente no , fundamental-
mente, revelador do erro do operador, no mais que da fragilidade
tcnica: ele revela a disfuno do conjunto da organizao ou pelo
menos de uma parte substancial dessa. Dito de outra maneira, o aci-
dente revela o fracasso da organizao da segurana.
Aos fatores humanos da segurana substituem-se assim, pouco a
pouco, a identificao, a anlise e a compreenso dos fatores organiza-
cionais da segurana ou, se se prefere, os fatores humanos e organiza-
cionais da segurana. Citemos, por isso, um trecho da revista Contrle
da Autoridade de Segurana Nuclear francesa (ASN, 2007, p. 46):
A segurana e a radioproteo no devem se basear somente

nos indivduos. Os atores da primeira linha raramente esto
ss em relao aos acidentes. Na verdade, esses acidentes so
reveladores, muitas vezes, de disfunes latentes e profundas
no interior das organizaes, que fragilizam os sistemas so-
ciotcnicos e tornam vulnerveis as linhas de defesa20 huma-
nas e organizacionais.
20
Chama-se linha de defesa um dispositivo tcnico ou organizacional
(quando as tarefas especficas da segurana so confiadas a uma ou muitas

JJ Uma anlise detalhada progressiva e ramificada

Neste trabalho, podem ser salientadas as qualidades do trabalho de
anlise feito em relao ao acidente de Paddington por Lord Cullen e
sua equipe de investigadores: mincia e sistematizao, profundeza
do detalhe e amplitude da anlise em relao ao plano organizacional.
interessante observar a maneira como procede Lord Cullen
no inqurito. Ele parte das aes do condutor do turbotrem,
morto no acidente, para procurar compreender por que razo ele
pde avanar o sinal vermelho (sinal de parada) e, em seguida,
no parou seu trem como o haviam feito os outros condutores que,
anteriormente, haviam avanado nesse sinal vermelho. Ele exami-
na, uma a uma, todas as hipteses.
Ele questiona a respeito das caractersticas do condutor (inclu-
sive sobre seu estado psicolgico antes do acidente) e daquelas den-
tre as suas aes que poderiam ter tido uma influncia; sua contra-
tao, sua formao, o que ele havia feito antes do acidente, o dia do
acidente; como ele conduziu (o trem) a partir do momento em que
ele o fez funcionar; se ele viu ou no os sinais; o que poderia t-lo
induzido ao erro. Cada questo se torna o objeto de pareceres de
diferentes comisses ou de experts individuais. E Lord Cullen tenta
deduzir o que , finalmente, o mais provvel. Quando a compreen-
so do acidente o exige, Lord Cullen no hesita em promover anli
ses com um nvel de detalhamento, semelhantes anlise do traba-
lho da ergonomia. Quando ele procura razes possveis e plausveis
para a passagem do sinal SN109 ao vermelho, ele examina, com uma
pessoas) que permitem detectar disfunes tcnicas ou erros humanos e

efetuar aes destinadas a neutralizar suas consequncias. Em geral, mui-
tas barreiras sucessivas so previstas a fim de que, se uma delas cede, as
seguintes intervenham. isso que chamado de defesa em profundidade.
As linhas de defesa constituem, de certa forma, linhas de resilincia.

grande profuso de detalhes, o arranjo dos sinais sobre o prtico

no qual se encontra o SN109, as questes da legibilidade e da visibi-
lidade do sinal, a influncia do sol baixo, etc.
Lorde Cullen investigou tambm os acontecimentos semelhan-
tes, mas de menor gravidade, que haviam ocorrido antes, as aes
que tinham sido tomadas depois desses incidentes precursores e
por que motivo o problema perdurava.
A propsito da formao do condutor, ele foi levado a interrogar
aqueles que o instruram, a organizao da formao e seu conte-
do, a considerao dos riscos da passagem intempestiva dos sinais
na sua instruo. A implantao da sinalizao, as razes dessa im-
plantao, o histrico das modificaes, a considerao ou no dos
avanos precedentes do sinal de parada no SN109 foram examina-
dos luz dos testemunhos, diante da comisso de inqurito, das
diversas pessoas que intervieram nesse curso de tempo sobre tal ou
tal aspecto. Ele procura, tambm, compreender a reao tardia dos
agulheiros do posto de Slough, se a sua manobra tinha sido ou no
pertinente. Ele examinou a organizao das regras do posto de
Slough e o gerenciamento da segurana desse posto, assim como o
da Railtrack em relao ao conjunto da rede ferroviria.
Progressivamente, ele se imiscuiu no corpo, na profundidade
da organizao do transporte ferrovirio em torno da companhia
Thames Trains. Ele, de maneira implcita, constituiu e permitiu que
a rede organizacional de todos os atores implicados fosse vista,
examinando o que faziam as pessoas, por que aquilo aconteceu as-
sim e o que se passava no quotidiano. Ele questionou numerosas
pessoas envolvidas por diversos motivos: os outros condutores, os
gerentes, os responsveis pela segurana, etc. Ele questionou os
modos de organizao do trabalho no interior de diferentes instn-
cias implicadas no acidente, as relaes de trabalho entre essas ins-
tncias. Ele tambm focalizou o gerenciamento e a operao das

outras companhias relacionadas ao acidente. Ele procurou com-

preender a impotncia dos grupos de trabalho que reuniam repre-
sentantes das diversas companhias para solucionar os problemas
identificados, mesmo tendo sido criados para analisar esses proble-
mas de sinalizao e tratar deles.
Identifica-se um movimento triplo no inqurito de Lord Cullen:
nas ramificaes da organizao, no corpo da organiza-
o do transporte ferrovirio britnico;
em direo aos nveis superiores da organizao, isto , a
gerncia da organizao;
no passado da organizao, pela anlise dos avanos de si-
nais vermelhos (entre os quais o SN109) anteriores, assim
como a anlise de um evento importante que marcou a rede
ferroviria britnica nos anos 90: o processo de privatizao.
Esses procedimentos adotados no inqurito ilustram o mtodo
da anlise organizacional da segurana.
JJ Um exemplo da anlise organizacional

Na Frana, at o presente momento, utilizavam-se mtodos clssi-
cos de anlise de acidentes, apoiados em mtodos causais, dos quais
o mais conhecido a rvore de causas. Eles permitem, de um lado,
reconstruir o encadeamento lgico dos fatos ou ainda a sequncia
do acidente de maneira (quase) exaustiva, por menos que se preo-
cupem em incorporar a ela todos os aspectos e detalhes; por outro
lado, permitem ressituar os fatos em um contexto local de trabalho.
Esses mtodos so pertinentes para a atualizao das causas ime-
diatas dos acontecimentos. Mas, por outro lado, eles fecham o aci-
dente num quadro estreito, conferindo-lhe a aparncia de um de-
senvolvimento mecnico. Com efeito, no intervm numa descrio
dessa natureza seno as causas contributivas do acidente. A anlise
no traz luz as diferentes possibilidades eventuais que poderiam

se manifestar e, portanto, as escolhas possveis que se apresenta-

vam aos operadores ou a dificuldade dessas escolhas, tendo em vis-
ta as mltiplas e potenciais eventualidades. Em outras palavras: a
rvore de causas no apela seno operao lgica do tipo E (in-
terseco) e negligencia as operaes lgicas do tipo OU (inclu-
so). As anlises aprofundadas tambm evidenciam uma profuso
de implicaes causais em termos de tendncia ou de influncia
assim como de causalidade estrita; os mtodos de anlise causal
aplicados estritamente no permitem descrever de forma adequada
o papel das diferentes causas do acidente. Entretanto, para a pre-
veno importante poder identificar de modo preciso aquilo que
geralmente chamado de causas profundas, quase sempre de ca-
rter organizacional e avaliar seus mltiplos efeitos no desenvolvi-
mento da situao acidental. Com efeito, a ao no nvel dessas
causas profundas do acidente por meio de aes corretivas, permite
no somente evitar a renovao de uma sequncia acidental parti-
cular, mas, de forma mais geral, evitar o desenvolvimento de uma
situao propcia ocorrncia de um certo nmero de sequncias
acidentais possveis.
Em outras palavras, os mtodos de anlise causal, fundamenta-
dos na identificao de causas diretas imediatas, embora permitam
explicar o desenvolvimento mecnico de um acidente, no per-
mitem compreender sua gnese ou o seu porqu. Eles no so sufi-
cientes para evidenciar os fatores organizacionais que esto na pr-
pria origem do desenvolvimento das situaes de acidentes.
necessrio, por isso, empregar a anlise organizacional da seguran-
a21 que o leitor vai descobrir nesta obra.
21
Pode-se dizer, tambm, que, se os mtodos causais explicam como
ocorreu o acidente, a anlise organizacional explora, alm disso, por que
isso aconteceu.

preciso, portanto, proceder, simultaneamente, anlise cau-

sal, a uma anlise do tipo organizacional que comporte:
uma reconstituio histrica do evento, remontando tanto
quanto possvel a montante, a fim de capturar os primei-
ros sinais de degradao da situao;
uma elaborao da rede organizacional do evento, isto ,
mapear as relaes, dependncias e interaes dos atores
implicados e suas entidades, a fim de situar as disfunes
organizacionais;
um recuo na organizao propriamente dita, a fim de, entre
outras coisas, localizar tomadas de deciso, de reinterro-
gar o papel dos gerentes e seus nveis de envolvimento na
ocorrncia do evento.
Mas, alm disso, a anlise aprofundada de Lord Cullen mostra
tambm que a compreenso do acidente no se limita ao arranjo
dos fatos devidamente reconhecidos e identificados. Infelizmente
existem, muitas vezes, zonas de sombra e de incertezas, da como
ser visto depois a necessidade na anlise organizacional de uma
discusso sobre os dados e sua provvel significao.
Em termos de preveno, essa abordagem, que recobre, na me-
dida do possvel, o acontecimento em todas suas dimenses, abre a
possibilidade para aes corretivas que no esto mais somente li-
mitadas supresso das possibilidades de ocorrncia de um
acontecimento similar, mas permitem esperar sufocar toda uma
classe de acontecimentos desfavorveis. Ela permite, outrossim, ti-
rar ensinamentos genricos que podero ser aproveitados por ou-
tras empresas e outros setores de atividades.
Como j havamos dito, o acidente de Paddington est includo
numa longa lista de acidentes ferrovirios na Gr-Bretanha, colo-
cando em evidncia uma certa ineficcia da organizao da segu-
rana ferroviria britnica. O governo da Inglaterra pediu tambm

a Lord Cullen que examinasse o conjunto dos problemas identifi-

cados no acidente de Paddington e que recomendasse solues de
grande amplitude22. Essa segunda parte do inqurito procurou, de
maneira especial, delimitar o efeito sobre a segurana das reorgani-
zaes efetuadas quando da privatizao da ferrovia.
Perda da nave espacial (Columbia):

JJ
um inqurito exemplar de acidente

Acabamos de ver como se passou progressivamente do erro huma-
no de um condutor de trem a uma viso de conjunto da segurana
da malha ferroviria britnica.
O caso do acidente da nave espacial Columbia vai permitir-nos
precisar o que a anlise organizacional.
JJ O acidente e a implementao da comisso de inqurito

Na manh do sbado do dia 1 de fevereiro de 2003, no dcimo s-
timo dia de voo da misso STS-107 e quinze minutos depois de sua
entrada na atmosfera terrestre, a nave Columbia se desintegrou,
matando os sete astronautas que estavam a bordo. Esse voo era a
113 misso de uma nave espacial23, e a NASA, pela segunda vez na
sua histria depois da exploso do Challenger, no dia 28 de janeiro
de 1986, perdia uma nave por ocasio de uma misso operacional.
Como foi mostrado pelo inqurito, a perda da Columbia foi
consequncia de uma brecha no sistema de proteo trmica da
nave na parte posterior de sua asa esquerda. A brecha foi causada
pelo impacto de um grande pedao de espuma isolante que se tinha
22
Constitui a segunda parte do relatrio do inqurito publicado.
23
Essa misso era a 26 da nave Columbia, a primeira nave espacial ame-
ricana (misso inaugural do dia 12 ao dia 14 de abril de 1981).

destacado do bipode24 esquerdo do reservatrio externo pouco de-

pois do lanamento da nave, no dia 16 de janeiro de 2003. No mo-
mento da decolagem, o desligamento da espuma e o dano da asa da
nave no foram percebidos pela equipe nem pelo pessoal de terra.
Mas uma equipe especializada na anlise das imagens dos lana-
mentos identificou rapidamente a existncia de restos da espuma
isolante, sem que isso tenha dado oportunidade a um diagnstico
preciso e a tentativas de recuperao, de reparao durante os 17
dias da misso, como vamos ver mais adiante.
Quando da fase da entrada da nave na atmosfera terrestre, o
calor do ar na vizinhana das asas atingiu valores extremos de mais
de 2.700oC. O buraco, criado no dispositivo de proteo trmica da
asa esquerda quando do lanamento, tornou possvel um afluxo
desse ar superaquecido at o interior da asa, o que fez fundir, pro-
gressivamente, as estruturas internas de alumnio, causando a rup-
tura dessa asa e, finalmente, a destruio da nave.
A pedido da NASA, uma comisso de inqurito, Columbia Ac-
cident Investigation Board (CAIB Comit de Investigao do Aci-
dente da Columbia) foi implementada. A CAIB se organizou para
ter uma total independncia em relao NASA 25, e para garantir a
24
O bpode um elemento que permite juntar o veculo orbital ao reser-
vatrio externo quando da fase do lanamento. Esse ltimo contm o car-
burante utilizado pelos motores do orbitador, uma vez que os foguetes de
lanamento (boosters) levaram o conjunto a uma velocidade satisfatria.
25
A comisso (CAIB) exigiu ter seu prprio pessoal administrativo e
tcnico e obter um oramento autnomo suficiente e supervisionado pelo
presidente da comisso; constituir e manter um sistema de coleta e regis-
tro de dados independente dos da NASA; autorizar o presidente da comis-
so a nomear novos membros e considerar o avano do inqurito atravs
de debates pblicos; remeter simultaneamente seu relatrio de inqurito
ao Congresso, Casa Branca, NASA, ao pblico e s famlias dos astro-
nautas mortos no acidente; permitir aos membros da comisso alegar

confidencialidade dos depoimentos das pessoas entrevistadas, a

fim de liberar a palavra e de evitar suas atitudes defensivas.
JJ A abordagem metodolgica do CAIB

O que acontece para que uma organizao to estruturada como a
NASA, que, a priori possua meios e equipamentos necessrios, os
peritos, o pessoal competente, uma organizao de segurana e
que, alm do mais, havia j perdido uma nave espacial h 17 anos e
parecia ter tirado disso todas as lies, sofresse de novo um aciden-
te como esse?
Desde o incio da misso, j havia sido identificado um risco de
dano da asa, mas no se seguiu a isso nenhuma ao. De fato, no
segundo dia da misso, a anlise das fotografias e filmes feitos na
hora da decolagem tinha permitido detectar o descolamento do
isolante e um provvel impacto de destroos contra a nave. Houve
discusses para tentar precisar a gravidade do problema e para im-
plementar solues de correo. Mas finalmente a possibilidade de
um acidente foi minimizada pelos gerentes da misso, o que levou
a uma recusa para solicitar a utilizao dos meios necessrios para
a avaliao precisa dos riscos engendrados e provocou a perda da
nave e de sua equipe. Quaisquer que fossem as medidas possveis
para tentar salvar a tripulao, era preciso antes de tudo avaliar a
degradao da asa.
No inqurito sobre o acidente da nave Columbia, como em todo
acidente, colocam-se duas questes: de um lado, se as causas eram
desacordos com as concluses do inqurito. No mesmo diapaso, para

prevenir qualquer conflito de interesse, o almirante Gehman, presidente
da comisso de inqurito, pediu e obteve, que os gerentes de alto nvel que
tinham sido encarregados da gesto da misso fatal fossem destitudos de
qualquer papel no inqurito do acidente da naveta Columbia.

detectveis antes do incidente e, em caso positivo, quais seriam

elas; por outro lado, por que nada foi feito para prevenir o acidente?
A resposta a essas questes supe um questionamento pragmti-
co, que consiste em fazer escolhas decisivas relativas aos domnios
da investigao e dos mtodos de anlise correspondentes. O que
interessante aqui o CAIB se colocar imediatamente em um posi-
cionamento organizacional. Isto , ele procura analisar todas as
interaes (trocas, debates, decises, conflitos, ordens, etc.) que
ocorreram na organizao para compreender como ela funcionou
ou no funcionou para chegar a uma catstrofe.
O CAIB anota no seu relatrio (CAIB, 2003, p. 177): [...] Um
elemento central de nosso modelo causal estendido considerar a
NASA no conjunto de seus aspectos organizacionais. Para isso, ele
vai desenvolver a anlise em vrias direes, argumentando que as
causas organizacionais desse acidente esto ancoradas na histria e
na cultura do programa das naves espaciais (p. 177). O CAIB teve,
portanto, a ideia de analisar o problema no conjunto da organiza-
o da NASA. Alm disso, ele lembra que, se no se fizesse isso,
corria-se o risco de no abordar o (ou os) verdadeiro(s) problema(s).
Pode-se, ainda, ler nesse relatrio uma declarao que tem uma im-
portncia decisiva para ns (p. 97):
Muitos inquritos de acidentes no vo suficientemente

longe. Eles identificam a causa tcnica do acidente, depois a
associam a uma variante do erro do operador o operador
que se esqueceu de inserir a cavilha, o engenheiro que avaliou
mal as restries ou o responsvel que tomou a deciso errada.
Mas isso raramente representa a totalidade da questo.
Quando as determinaes da cadeia causal so limitadas pelo
defeito tcnico ou por falha humana, de modo tpico as aes de
preveno de um acontecimento similar futuro so igualmente
limitadas: reparar o problema tcnico e substituir ou formar o
responsvel. Implementar essas aes leva a um outro erro:
crer que o problema foi resolvido [Ns que sublinhamos].

O CAIB expressa uma crtica das anlises clssicas e adota um

ponto de vista distinto em relao a essas. Ele salienta as fraquezas
de numerosas anlises do evento, que se limitam a evidenciar as
causas imediatas e diretas (tcnicas e/ou humanas), mas traz,
igualmente, uma ideia inovadora sugerindo que as medidas corre-
tivas implementadas, depois de um acontecimento analisado se-
gundo esses cnones, geralmente dando uma ateno excessiva ao
erro humano, criam uma convico de falsa segurana. Muitas
vezes, a pesquisa das causas profundas de um acontecimento no
entendida seno como a procura das razes que levaram o ator
(os atores) a agir de uma maneira que se mostra errada26. O relat-
rio do CAIB contm riquezas, e ns o consideramos como uma
etapa essencial na evoluo da anlise dos acidentes e na compreen-
so das disfunes graves nas empresas. A presena de um certo
nmero de universitrios e de experts americanos conhecidos nes-
se domnio, como Diane Vaughan que tinha analisado o acidente
da Challenger (1996, 1997), particularmente notvel.
O que nos interessa e sem dvida vai interessar o leitor ver,
concretamente, como o CAIB responde a seu objetivo de anlise
organizacional. O CAIB articula toda a sua anlise em torno de
duas questes que so derivadas de duas questes fundamentais
que focalizamos anteriormente.
Por que as misses das naves prosseguiram a despeito da cons-
tatao da possvel separao de fragmentos do isolante do re-
servatrio externo (como causa tcnica do acidente) e do risco
que isso representava? Para responder a essa pergunta, o
CAIB volta histria do programa de naves espaciais, dos
compromissos iniciais necessrios obteno da aprovao
desse programa at os anos ulteriores, de restries relacio-
26
O mtodo da rvore de causas um exemplo dessa abordagem.

nadas aos recursos humanos e financeiros, de presses em

relao aos cronogramas, de prioridades flutuantes e de m
representao da nave, considerada como operacional em-
bora ela estivesse em estgio de desenvolvimento.
Por que nenhuma medida foi tomada para avaliar os efeitos do
choque do pedao de isolante, quando da misso da Colum-
bia? Para responder a essa questo, o CAIB se interessa pelos
processos de deciso no decorrer de toda a misso. O CAIB
descreve minuciosamente, s vezes hora a hora, o desenvol-
vimento da misso, tendo o cuidado de estabelecer as inte-
raes entre os atores, como podem faz-lo os etnlogos ou
os socilogos; por causa disso, fez-se do relatrio um docu-
mento antolgico de etnografia industrial. Os atores no so
considerados annimos no relatrio. A anlise muito deta-
lhada: ela se apoia nas trocas verbais (transcries de dis-
cusses face a face, no telefone, de reunies, etc.) e em traos
escritos (relatrios, mensagens eletrnicas, etc.).
O cuidado do CAIB reconstituir a dinmica organizacional
de conjunto que levou perda da nave, com uma articulao cons-
tante entre os dados microscpicos (ex.: trocas verbais, mensa-
gens eletrnicas, reunies de pequenos grupos, etc.) e os fenme-
nos macroscpicos (por ex.: presses de produo, cultura de
segurana regras, prticas, habilidades, conhecimentos sobre a
segurana) no interior da NASA, etc.
Ele se entrega a uma impressionante anlise dos 17 dias da mis-
so espacial e a uma densa descrio das interaes (dilogos, temo-
res exteriorizados, debates tcnicos, momentos de imposio dos
gerentes, etc.) que ocorreram em torno da questo do choque do
pedao do calorfugo. O relatrio constitui um exemplo particular-
mente demonstrativo do que se pode chamar uma descrio densa,
etapa maior do mtodo de anlise organizacional. Essa descrio

faz aparecerem elementos de destaque daquilo que chamamos fato-

res organizacionais27 que permitem expressar, em seguida, de modo
mais esquemtico, a dinmica no desenvolvimento da catstrofe,
numa narrativa qual se pode dar o nome de relato depurado28,
forma sinttica, que apresenta a trama essencial do acidente.
JJ Os resultados do inqurito
No se pode, evidentemente, no quadro limitado desta obra, relatar
toda a anlise do acidente da Columbia e os elementos que o CAIB
descobriu, mas ns vamos lembrar os seguintes pontos mais im-
portantes. O defeito que afetou a espuma isolante do reservatrio
externo, que levou separao intempestiva em fragmentos, tinha
sido descoberto desde o incio dos voos e incidentes srios se ti-
nham produzido regularmente. Solues paliativas foram toma-
das, mas os incidentes continuaram. Era como se um fenmeno de
se habituar a esse risco dificultasse a vigilncia dos tomadores de
deciso. Ainda mais que nenhum estudo detalhado tinha sido feito,
antes daquele financiado pelo CAIB, que permite fortalecer a Co-
misso em relao causa tcnica do acidente.
Como tudo isso pde acontecer? O CAIB julga, como causa prin-
cipal, as presses de produo. A presso excessiva, interpretada por
Diane Vaughan como uma cultura de produo invasora e j apon-
tada como a causa principal do acidente da Challenger, tornou-se
mais forte no incio dos anos 90 com a implementao do programa
Faster, Better, Cheaper (mais rpido, melhor, mais barato), feita
pelo administrador da NASA na poca, Daniel Goldin. A aplicao
desse programa s misses em Marte j havia dado maus resultados
Confira o captulo 2.
27
As noes de descrio espessa (ou densa) e de relato depurado

28
sero explicadas no captulo seguinte.

no final dos anos 90 (seis fracassos em 16 misses, o que corresponde

a uma importante taxa de fracassos) (McCurdy, 2001, p. 5). Mas o
programa prosseguiu no incio dos anos 2000, a despeito dos alertas
lanados por muitos auditores, e o acidente da Columbia se tornou o
final trgico desse fracasso gerencial aplicado aos voos tripulados e
ostentado h doze anos. Essa presso, que vinha de decises geren-
ciais, foi evidenciada pelo CAIB de vrias maneiras: anlise dos ora-
mentos, dos efetivos da organizao e sua evoluo, etc., e, sobretudo,
graas s entrevistas do pessoal da empresa alguns dos funcion-
rios puderam dizer que a presso dos programas era tal que eles ti-
nham a impresso de trabalhar under the gun(sob a ameaa de
uma arma) (CAIB, 2003, p. 134). Na anlise organizacional da se-
gurana, claro para ns que, como complemento dos elementos
objetivos, o diagnstico de presses desfavorveis se apoia necessa-
riamente sobre a vivncia do pessoal; este o nico a colocar em
alerta os investigadores em relao ao carter excessivo ou no dessas
presses e ao seu carter nefasto para a segurana.
O CAIB mostrou, tambm, a complexidade organizacional da
NASA, seu peso, o formalismo das relaes que no permitiram que
os peritos da base da organizao fizessem uso de seus alarmes efi-
cazmente. Tudo isso est longe de retomar a riqueza do relatrio do
CAIB, cuja leitura no pode seno confirmar os analistas na sua con-
vico do poder do mtodo de anlise e na compreenso das organi-
zaes que ele traz. Mas um aspecto metodolgico do inqurito do
CAIB merece ser ressaltado. Longe de focalizar os erros supostos ou
reais dos diferentes atores desse drama, o CAIB conseguiu articular
a responsabilidade individual e a responsabilidade organizacional.
Ele demonstrou que a origem do acidente remonta longe no tempo,
mas que, simultaneamente, cada um dos atores tinha sua parte de
autonomia, de margem de manobra que teve uma influncia poten-
cial notvel na ocorrncia do evento.

JJO acidente da refinaria BP de Texas City:

um acidente anunciado e evitvel
Um certo nmero de pessoas estima que a compreenso do funcio-
namento das organizaes passa pelo estudo de seu funcionamento
normal, aquele de todos os dias, o que Diane Vaughan chama de a
banalidade da vida das organizaes (Vaughan, 1996). Acabamos
de ver uma das caractersticas da anlise organizacional da segu-
rana, que permitir uma melhor compreenso do funcionamento
das organizaes atravs de seus disfuncionamentos maiores. Alm
disso, no h melhor maneira de compreender como as organiza-
es deixam de funcionar bem a no ser seguindo, passo a passo, a
degradao da segurana ao longo dos meses, dos anos.
O acidente da refinaria de Texas City um trgico exemplo dis-
so e nos permite, tambm, introduzir outras questes, em particu-
lar aquela do papel do gerenciamento.
JJ As circunstncias do acidente e do inqurito

No dia 23 de maro de 2005, aconteceu, na refinaria de BP de Texas
City, no Texas, a mais destruidora catstrofe da histria industrial
americana recente. Exploses de vapores de hidrocarbonetos, se-
guidas de incndios, fizeram 15 mortos e 180 feridos. As perdas fi-
nanceiras se elevaram a 1,5 bilhes de dlares, 43.000 pessoas no
puderam sair de casa. As construes foram danificadas em um
permetro de cerca de 1.200m em torno da refinaria.
O acidente ocorreu durante a partida de uma unidade de isome-
rizao (ISOM), depois de uma parada programada da instalao
para operaes de manuteno. Durante essa manobra, a torre de
separao dos produtos de refino se encheu completamente, reve-
lia dos operadores, em razo, sobretudo, da pane dos indicadores de
nvel e dos alarmes. O excedente se derramou em um reservatrio
de esvaziamento, cujos dispositivos de descarga (da presso) se abri-

ram, dando lugar a um giser de lquido inflamvel ao ar livre. O

respiradouro de um balo de estouro, com uma concepo perigosa
datando dos anos 1950, no estava equipado com a tocheira ou al-
gum outro dispositivo de neutralizao. O lquido do giser se ex-
pandiu sobre o solo e evaporou. Os vapores produzidos se inflama-
ram ao contacto de uma fonte de ignio (motor diesel de um
veculo), o que produziu a exploso e incndios. Todas as pessoas
que morreram (15 no total) estavam no interior ou perto dos trail-
lers temporrios situados na proximidade da unidade ISOM.
O inqurito sobre esse acidente foi feito pelo Chemical Safety
Board (CSB)29 que, inspirando-se no mtodo de inquritos do
CAIB para o acidente da Columbia, procurou, alm das causas tc-
nicas, as organizacionais (USCSB, 2007). Seu inqurito, muito ex-
tenso, interessou-se no somente pela refinaria acidentada de Texas
City, mas tambm pelo papel determinante dos diferentes escales
de gerenciamento do grupo BP, pela direo regional de Houston e
pela de Londres, no Reino Unido, onde fica a direo geral do grupo.
Ele examinou tambm o papel, muito ineficaz, do rgo americano
oficial de controle das condies de segurana e de sade do trabalho
o Occupacional Safety and Health Administration (OSHA). Outros
incndios graves ocorreram ainda no decorrer do vero de 2005,
por isso uma comisso de peritos independentes, a comisso
Baker30, foi, em seguida, encarregada pela BP, a pedido do CSB, de
examinar o gerenciamento da segurana, a cultura da segurana
em nvel do gerenciamento do grupo BP e do conjunto de cinco
refinarias americanas (Baker, 2007). Isso mostra a necessidade de
29
O CSB, Chemical Safety Board, , nos Estados Unidos, o organismo
federal encarregado dos inquritos de acidentes na rea de qumica.
30
Essa comisso era presidida pelo antigo secretrio de Estado america-
no, James Baker III.

analisar em ltima instncia a poltica geral da empresa, que im-

pactava sobre a segurana industrial de todas as usinas.
JJA degradao progressiva da segurana industrial

na refinaria de Texas City
O acidente de Texas City nos ensina que a segurana no um esta-
do atingido de forma estvel e definitiva, mas que processos de de-
gradao podem se desenvolver, muitas vezes, revelia dos respon-
sveis, ou, por vezes, por deliberao deles. A maior parte dos
problemas de segurana que estavam na origem do acidente de 23
de maro de 2005 eram problemas recorrentes que j tinham sido
anteriormente identificados no curso de auditorias e investigaes.
Mesmo depois do acidente, como j dissemos, acontecimentos gra-
ves (incndios) continuaram a ocorrer durante o vero de 2005.
Como no caso do acidente da nave Columbia, a anlise dos
processos histricos da usina que permite levantar a gnese do aci-
dente. No final dos anos 90, muitos movimentos de concentrao
(ou de fuso estratgica) foram operados na indstria petroleira
ocidental, quando o barril se aproximava de 15 dlares e os lucros
das companhias petrolferas eram menores, sobretudo no refino.
Em 1999, o grupo petroleiro americano Amoco fundiu-se com o
grupo britnico British Petroleum (BP). A posse da refinaria de Te-
xas City pela BP se traduziu pelo desmantelamento rpido da orga-
nizao de segurana industrial da refinaria31. As funes ligadas
segurana foram descentralizadas e a responsabilidade correspon-
dente delegada unidade de negcios de Houston-Sud, a direo
31
Antes da fuso, a Amoco dispunha de uma organizao de segurana
forte e centralizada: o grupo de gerenciamento de segurana dos procedi-
mentos (PSM) tinha elaborado guias e modelos internos; a segurana era
gerenciada por um vice-presidente snior.

regional da qual ela dependia, levando certamente a economias,

mas tambm a um gerenciamento de segurana enfraquecido que
no prestava contas direo da refinaria (US CSB; 2007, p. 142), a
uma perda de competncias, de meios e de eficcia na rea.
Alm do mais, em paralelo, a estratgia do grupo era aumentar a
lucratividade (redues de oramento, etc.). Com o passar dos anos,
as presses de produo no cessaram de estar difusamente presen-
tes, ou mesmo de aumentar drasticamente. Os oramentos de inves-
timento, de funcionamento e de manuteno, j reduzidos no tempo
do Amoco, foram cortados mais intensamente e vrias vezes depois
da fuso da Amoco e da BP em 1999. Os sinais de degradao da se-
gurana se multiplicaram (degradao do material, da instrumenta-
o, numerosos incidentes) sem que as aes corretivas apropriadas
fossem tomadas. Alm disso, um acidente ocorrido numa outra refi-
naria pertencente BP, em 2000, em Grangemouth, na Esccia, teria
chamado a ateno para o agravamento dos perigos, mas a gerncia
de Texas City, que, havia sido informada32, no tirou disso as lies.
Os cortes de oramento continuaram, embora os sinais de alerta en-
viados pelos relatrios de inquritos, as auditorias internas e externas
e... pelos numerosos incidentes33, quaseacidentes e por acidentes,
certamente de menor amplitude que aquele que nos preocupa.
No incio do ano 2004, a situao das instalaes era tal que o
responsvel pela unidade de negcios da Houston-Sud encomendou
32
Os principais engenheiros americanos (seniores) da BP (entre os quais
o de Texas City) publicaram um artigo em 2004 que resumia as lies do
acidente de Grangemouth. Eles falavam, entre outras coisas, da necessida-
de de desenvolver os indicadores especficos dos riscos maiores, mais que
se referir aos indicadores tradicionais dos acidentes de trabalho. Eles reco-
nheciam, tambm, que a BP tinha um foco excessivo na reduo dos cus-
tos a curto prazo.
33
O CSB mostrou que alguns no eram analisados e que para outros os
planos de ao corretiva raramente eram implementados totalmente.

um estudo sociedade de consultores Telos para avaliar o estado

das instalaes da refinaria e salientasse os fatos brutos. O relat-
rio da Telos (2005), baseado em questionrios e entrevistas apro-
fundados, notvel e fornece um quadro particularmente alar-
mante da situao. Ele confirmou a prevalncia de presses de
produo e de presses temporais sobre quaisquer outras conside-
raes. Os pesquisadores jamais tinham visto uma situao mate-
rial to degradada, nem um tal medo dos operadores de campo,
aqueles que a enquete de Telos designa como os mais prximos das
vlvulas que intervm diretamente no material. O medo desses
operadores fazia eco ao sentimento de sobrecarga do pessoal no
acidente da Columbia. o pessoal de campo que, em ltima anli-
se, coloca o dedo no estado de degradao do sistema, porque este
marca fortemente sua vivncia de trabalho.
Um tal estado de degradao teria necessidade de aes imedia-
tas de envergadura, ao passo que, no incio de 2005, a direo geral
da BP exigia um novo esforo de reduo de 25% no oramento. No
decorrer de uma reunio, em maro do mesmo ano, o responsvel
pela unidade de negcios da Houston-Sud declarou que a refinaria
tinha obtido em 2004 a melhor lucratividade jamais ocorrida em
sua histria, com um bilho de dlares de lucro, mais que todas as
outras refinarias do sistema BP II (US CSB, 2007, p. 171). A direo
da usina se felicitou em razo desses resultados jamais atingidos,
mas, seis dias mais tarde, a unidade ISOM explodiu!
O acidente da refinaria de Texas City confirma o que j tnhamos
visto com o acidente de Columbia e que a maior parte dos acidentes
que analisamos mostram: o acidente , em grande parte, previsvel.
Com efeito, segundo os termos de Turner, ele se incuba ao longo de
um perodo bastante longo, durante o qual o processo de degrada-
o, engendrado mais particularmente pelas presses de produo,
diminui progressivamente o estado da segurana. , sem dvida, um

aspecto apontado pela anlise organizacional a que voltaremos mais

tarde (cf. captulo 2): o acidente previsvel e os sinais de degradao
so muito facilmente detectveis. E ainda mais: esses sinais se acu-
mulam com o tempo. O problema se desloca, ento, em direo
questo de saber por que os acidentes no so evitados.
As responsabilidades do gerenciamento do BP
JJ
em todos os nveis
O acidente de Texas City leva a um ponto que ns no tnhamos,
voluntariamente, desenvolvido nos dois primeiros casos de aciden-
te: a responsabilidade do gerenciamento. preciso constatar que os
acidentes sobrevm em razo das decises direta ou indiretamente
desfavorveis segurana tomadas pelos gerentes.
A reduo dos custos foi levada alm do razovel, em razo, pa-
rece, de uma dinmica complexa de competio entre a direo do
grupo BP, a direo da unidade de negcios de Houston-Sud e a da
refinaria. Assim, embora alguns diretores de outras refinarias ame-
ricanas do grupo BP tenham resistido, Texas City respondeu a to-
dos os pedidos de reduo importante de oramento da BP. Como
o inqurito mostrou, o objetivo da direo era de gerenciar custos
agressivamente e aceitar as redues de custo sem contest-las e
sem levantar objees quando a integridade operacional estava com-
prometida (US CBS, 2007, p. 154).
O leitor pode se espantar com uma postura to paradoxal dos
gerentes que preconizam lucros mximos, mas aceitam um sistema
tcnico degradado que, eventualmente, corre o risco de ocasionar
perdas financeiras substanciais. Como possvel que os gerentes te-
nham se mostrado cegos e surdos diante dos diferentes sinais prenun-
ciadores de catstrofes? Infelizmente no se est sempre em condi-
es de responder a essa questo de maneira satisfatria. Michel Llory
(1996) j havia apontado anteriormente que, muitas vezes, os gestores

so inencontrveis e, portanto, muitas vezes no se pode seno emi-

tir hipteses. Mas como explicar que eles se obstinem em estratgias
muitas vezes to desfavorveis para a segurana? Essas atitudes so
reveladas por um certo nmero de autores e por comisses de inqu-
rito como o CAIB ou CSB. Poder-se-ia resumi-las por uma das fr-
mulas: at aqui tudo vai bem ou mesmo isso passa ou isso quebra!
De maneira mais geral, coloca-se a questo da competncia, do
grau de lucidez e, eventualmente, de formas de duplicidade em face
da segurana, at mesmo de cinismo por parte de alguns gerentes.
Ns no podemos decidir com facilidade sobre essa questo. Uma
resposta imediata dizer que esses diferentes aspectos contribuem
em parte para sua atitude. A incompetncia poderia ser explicada
por um afastamento do campo j muitas vezes assinalado, uma au-
sncia de competncia sobre problemas tcnicos e os riscos34 e, sem
dvida, a ateno excessiva, ou mesmo exclusiva, dada aos proble-
mas financeiros. Quanto duplicidade, seria possvel atribu-la a
um sentimento de infalibilidade ou ainda a uma falta do sentimen-
to de responsabilidade. Esses dois aspectos, cultura e atitudes ticas
podem se reforar para formar um leque de formas variadas de
comportamento. Muitos observadores (peritos e os prprios geren-
tes) levantaram esses problemas e lhes deram significados vizinhos:
sentimento de total poder ou, segundo os anglo-saxes, can do at-
titude, que se pode traduzir por tudo possvel para ns, etc.
No caso do Texas City, preciso assinalar, em matria de incompetn-
cia, a confuso que faziam os gerentes entre segurana do trabalho e se-
gurana industrial. Em todos os nveis de organizao do grupo BP, a
34
Em 2004, a reviso de auditorias de segurana apresentada chefia do
grupo BP evidenciou, sobretudo, o fato de que unidades de negcios (como
Houston-Sud) no compreendiam os riscos maiores ou no respondiam a
eles e que a competncia em avaliao de riscos e perigos era fraca.

direo e o conselho de administrao do grupo no seguiam seno a

evoluo de uma taxa de acidentes nica, que integrava, tambm, os aci-
dentes de trabalho. Nenhum indicador especfico para a segurana in-
dustrial fazia parte dos seus quadros de bordo. O CSB apontou que, por
ocasio de um discurso alguns dias antes da exploso, um gerente da BP
notou a melhora das taxas de acidentes na refinaria Texas City, pensando
assim que tambm a segurana industrial se tornaria melhor. Pode-se
questionar sobre o carter deliberado da confuso. Tudo isso talvez expli-
que, em parte, o desmantelamento da organizao de segurana indus-
trial quando da transferncia da refinaria Amoco para a BP e sua subs-
tituio por uma outra organizao, baseada na ideia de que a segurana
negcio de todos embora se saiba, h muito tempo, que a segurana
industrial obtida com a concentrao de competncias em todos os n-
veis da organizao e com a existncia de uma organizao muito slida
dedicada segurana.
No teria fim a anlise de todos os aportes do acidente da Texas
City, que aparece como um caso particularmente ilustrativo de al-
gumas falhas organizacionais e gerenciais que conduzem a cats-
trofes industriais.
O quase-acidente descoberto
JJ
no dia 5 de maro de 2002 em Davis Besse (USA):

as hesitaes das autoridades de controle
Com o quase-acidente da central nuclear de Davis Besse (USA), ns
introduzimos uma nova problemtica, presente, entretanto, em
outros casos de acidentes, que a do papel das autoridades regula-
trias e de controle. Para esse incidente, a problemtica das autori-
dades de controle est tambm associada a um problema de avalia-
o falha do retorno de experincia.
Pode-se dizer, ainda uma vez, que preciso apelar para um his-
trico de muitos anos para chegar compreenso desse quase-aci-

dente. O fenmeno em causa um risco de craqueamento (fissura-

o) de tubos que penetravam na tampa do ncleo do reator de
gua pressurizada, ligado corroso sob tenso da liga Inconel 600,
era conhecido nos Estados Unidos h muito tempo35.
A ruptura da tampa do reator poderia ter provocado um aci-
dente nuclear por perda do refrigerante primrio (mais ou menos
difcil de ser dominado em funo do tamanho e da localizao da
brecha), potencialmente agravado por um fenmeno de ejeo de
uma ou vrias barras de controle, o que teria limitado muito a ca-
pacidade do operador de parar a reao nuclear.
Desde 1993, instrumentalizado com o REX (retorno da experin-
cia) francs, a Autoridade americana de segurana nuclear, a
NRC36, tinha encorajado os operadores nucleares americanos a de-
senvolver as tcnicas melhoradas de avaliao e de controle dos va-
zamentos nas entradas das tampas do ncleo. Na primavera de
2001, as inspees feitas nesse mbito revelaram fissuraes cir-
cunferenciais extensas sobre o reator 3 da central de Oconee. A
NRC pediu ento aos outros operadores americanos que examinas-
sem a possibilidade de que tais fissuraes existissem em suas insta-
laes. A EPRI37 se encarregou dessa anlise, classificando as centrais
35
As entradas na tampa da cuba de reatores nucleares permitem a passa-
gem das barras de controle do reator no interior da cuba. O fenmeno da
fissurao dessas entradas foi observado em uma central nuclear francesa.
O operador da central comunicou amplamente o assunto comunidade
nuclear internacional.
36
O NRC Nuclear Regulatory Commission o rgo encarregado do
controle de segurana das centrais nucleares de produo de eletricidade
nos Estados Unidos.
37
O EPRI Electric Power Research Institute (Instituto de Pesquisa em
Energia Eltrica) , nos Estados Unidos, um rgo de pesquisa na rea de
energia eltrica, principalmente dedicado produo nuclear e financiado
por industriais.

americanas em funo de sua relativa vulnerabilidade face a esse

fenmeno tendo como parmetro a central de Oconee. As conclu-
ses do estudo da EPRI foram inapelveis: as centrais construdas
pela firma Babcock & Wilcox, tais como Oconee e Davis Besse,
eram consideradas altamente vulnerveis a esse fenmeno de fissu-
rao circunferencial. A NRC recomendou, ento, que todos os rea
tores mencionados (entre os quais o Davis Besse) fossem inspecio-
nados antes de 31 de dezembro de 2001. Tais investigaes exigiam
a parada de cada reator e, portanto, uma perda momentnea de
produo. No final do novembro de 2001, todas as centrais Bab-
cook e Wilcox tinham identificado tais fissuraes, exceto a Davis
Besse, que tinha decidido no parar e modificar diferente a imple-
mentao desse programa especfico de controle.
JJ A descoberta de um quase-acidente
No dia 5 de maro de 2002, na central nuclear de Davis Besse38, no
curso de uma parada programada para recarregamento de com-
bustvel, os operadores da central, que pertencia FENOC, perce-
beram que, sem dvida, no se tinha estado longe de um acidente
nuclear de grande amplitude. Eles acabavam de descobrir uma ca-
vidade do tamanho de uma bola de futebol americano na espessura
da tampa do ncleo de seu nico reator sob presso de gua (REP)
de 900 Mwe. A corroso, sem dvida gerada ou acelerada por uma
fissurao axial de uma das entradas39 da tampa do ncleo, havia
feito sua obra. No momento de sua descoberta, a corroso havia
38
No momento do incidente, a central de Davis Besse era propriedade de
Cleveland Eletric Illuminating Company e de Toledo Edison Company. Ela
era explorada pela First Energy Nuclear Operating Company (FENOC).
39
A degradao constatada em Davis Besse estava situada na tampa do
ncleo, na regio de entrada de uma barra de controle.

atacado totalmente os 168 mm de espessura da parede da tampa: a

presso primria40 de 155 bars no era mais retida seno por uma
fina pelcula metlica em ao inoxidvel de 4,8mm de espessura,
que apresentava, na regio do buraco, oxidao e uma fissura
anunciadoras de uma ruptura prxima.
JJ O papel da autoridade de segurana nuclear americana

Nessa situao pr-acidente em Davis Besse, estava-se a dois dedos
(4,8mm para ser mais exato) de se viver um acidente nuclear signi-
ficativo, talvez mesmo mais importante do que aquele da central de
Three Mile Island em 1979, embora a maior parte das centrais rela-
cionadas tivessem procedido s correes necessrias. O que teria
acontecido para que se chegasse a uma tal situao?
No outono de 2001, a FENOC procurou, a qualquer custo, pro-
telar a inspeo de seu reator para alm da data limite do 31 de de-
zembro de 2001, porque j havia sido programada uma parada do
reator para o final de maro de 2002. Diante das reticncias do ope-
rador, a NRC preparou, ento, uma ordem oficial para uma parada
do reator no dia 31 de dezembro de 2001. Mas a FENOC apresentou
justificativas que convenceram a NRC, que no enviou a injuno.
Ela autorizou, finalmente, o prosseguimento da operao at a pr-
xima parada, que, em contrapartida, foi antecipada pela FENOC
para o dia 16 de fevereiro de 2002.
Algumas ONG (a Union Concerned Scientists, por exemplo) ti-
nham, entretanto, muito rapidamente chamado a ateno para o pe-
rigo da situao e a insuficincia das solues propostas pela central.
40
O corao do reator refrigerado com gua sob presso de 155 bars e,
em funcionamento normal, numa temperadora da ordem de 300C. O cir-
cuito construdo para resistir a essas condies. A reao nuclear regula-
da por barras de controle que se inserem atravs da tampa do ncleo.

Mas, no enviando sua injuno de parada, a NRC deu provas de

um laxismo incompreensvel, pelo menos do ponto de vista das
ONGs que seguiam esse dossi.
Pode-se perguntar, por exemplo, se a argumentao da FENOC,
visando justificar a aceitabilidade das medidas compensatrias
propostas para permitir uma transferncia da parada em maro de
2002, tinha sido examinada pena NRC no nvel requerido de ex-
pertise. Assim, a afirmao da FENOC, segundo a qual um opera-
dor (nem qualificado, nem habilitado), colocado ao lado de uma
vlvula que desempenhava um papel importante para a segurana
no caso de acidente, permitiria reduzir o risco de dano do ncleo
em 17%41 causa perplexidade. Que a NRC tenha aceitado uma tal
argumentao nos deixa sem voz, dado que a NRC estava particu-
larmente bem-informada sobre os riscos. Numa reunio pblica
acontecida em novembro de 2001, o presidente da FENOC admitiu
mesmo que existiam em Davis Besse vazamentos no local das en-
tradas do ncleo, o que constitua uma violao regulamentao.
Os inquritos feitos nos Estados Unidos depois desse aconteci-
mento mostraram que a NRC estimava ter elementos suficientes, no
incio de novembro de 2001, para exigir a parada imediata de Davis
Besse, mas que, por razes de discrio, foi tomada a deciso de au-
torizar o funcionamento at o 31 de dezembro de 2001, porque parar
imediatamente o reator teria constitudo uma sano! A ordem pre-
parada no foi, portanto, assinada e, no fim do ms de novembro, a
NRC retomou por sua conta a argumentao da central de Davis
Besse para estimar que uma parada no dia 16 de fevereiro era um
compromisso aceitvel, no colocando em perigo a segurana da ins-
talao. Depois de algumas idas e vindas, esse compromisso foi, afi-
nal, formalmente aceito pela NRC no incio de dezembro de 2001, e a
central continuou a funcionar em pleno regime.
41
Carta do vice-presidente da FENOC NRC em 30 de novembro de 2001.

Alm dessas constataes factuais, ns no sabemos grande

coisa sobre as razes que levaram a NRC a agir dessa maneira.
Tudo se passa, de fato, como se a autoridade regulamentar tivesse
aceitado o conjunto das exigncias da FENOC. Pode-se, alis,
igualmente se perguntar sobre as razes que conduziram a FE-
NOC a avanar a data da parada prevista no fim de maro de 2002
para fevereiro desse mesmo ano. Presso da NRC? Consideraes
operacionais e da logstica? Nvel de fugas? Foi como se uma nego-
ciao tivesse sido engajada entre as duas partes e tivesse levado a
um compromisso, no qual cada parte dava um prazo de um ms
e meio outra.
A NRC, muitas vezes, foi confrontada com essa crtica de laxis-
mo. de se lembrar o caso da central de Millstone42, cujos trs rea-
tores foram sucessivamente parados a partir de revelaes feitas
imprensa em 1994. Essas ocasionaram exames aprofundados da
NRC, mas a crise que a elas se seguiu durou at o fim do decnio.
As autoridades regulamentares so o ltimo baluarte na orga-
nizao da segurana; finalmente, esse caso mostra que elas podem
no fazer seu papel por diferentes razes: os conflitos de interesse; a
coluso com o construtor ou o explorador, como no caso do acidente
do DC-10 de Ermenonville43 em 1974 (Eddy et al., 1976), a falta de
42
A crise na central de Millstone, nos EUA foi desencadeada em 1994
pela entrevista, publicada no Times, de um engenheiro da central que en-
controu somente esse meio para alertar a opinio sobre o que ele conside-
rava como graves negligncias e entorses s regras de segurana. A NRC
regional, alertada, no tinha dado prosseguimento. Esse foi o incio de um
affaire que durou muitos anos.
43
{> O acidente do DC10 de Ermenonville deveu-se abertura intem-
pestiva de uma porta de carga do avio. A falha no fechamento era conhe-
cida h muito tempo, e numerosos incidentes relativos a mecanismos da
porta eram conhecidos. Alm do mais, um grave incidente precursor, de-
zoito meses antes, anunciava a catstrofe (quase-acidente de Windsor).

competncia, como ser visto mais adiante, nos acidentes de superir-

radiao provocados pelo funcionamento defeituoso da mquina de
tratamento de cncer Therac-25 ou ainda a falta de meios.
JJ O efeito revelador do incidente

Um dado que o incidente de Davis Besse esclarece e chama a aten-
o sobre as particularidades do funcionamento organizacional: o
efeito revelador do acidente.
Depois do quase-acidente de Davis Besse, a NRC ordenou cen-
tral que constitusse um grupo de trabalho interno para analisar as
causas da degradao impressionante da segurana. O relatrio
produzido pelo grupo de trabalho no teve complacncia (Myers,
2002). Ele apontou uma troca de gerenciamento desfavorvel se-
gurana44 no meio dos anos 1990 e um aumento de presses produ-
tivas a partir da implementao da nova equipe de direo.
Mas o construtor, Mac Donnell Douglas, no tinha mudado seu dispositi-

vo de fechamento e a segurana repousava finalmente na vigilncia e ha-
bilidade do bagagista, supostamente informado, o que no era o caso da-
quele que procedia ao fechamento da porta nesse 3 de maro de 1974. As
autoridades regulamentares estavam divididas em relao s restries a
impor ao construtor depois do acidente precursor. Parece certamente que
um gentlemen agrment (acordo de cavalheiros, em ingls no original) foi
feito entre a direo das autoridades regulamentares americanas e Mac
Donnell Douglas. O precursor de Windsor no servira de lio.
44
Somente as aes minimais visando respeitar as restries regulamen-
tares da segurana eram consideradas, as decises eram tomadas sem an-
lise prvia sobre sua consequncia para a segurana. A implementao do
programa de aes corretivas pedida pela NRC a todas as centrais ameri-
canas no estava de acordo, o reator funcionava com componentes essen-
ciais degradados, os problemas no eram julgados graves a priori, a menos
que essa gravidade fosse provada (uma boa poltica de segurana exata-
mente inversa: os problemas so julgados a priori graves e preciso fazer a
demonstrao do seu impacto fraco).

Erros repetidos de anlise dos problemas tcnicos (por exem-

plo, nenhuma limpeza da tampa do ncleo45, nada do programa de
inspeo em servio46), a ignorncia do retorno da experincia in-
dustrial local, nacional e internacional em relao aos problemas
ligados utilizao do cido brico, a subestimao do impacto
dos defeitos constatados, associados anlise muito superficial das
causas dos defeitos e a um processo de aes corretivas ineficaz le-
varam situao que se acaba de descrever. A FENOC tinha, pois,
pesadas responsabilidades na ocorrncia desse acontecimento, ten-
do deixado, durante anos, os objetivos de produo (e igualmente
de rentabilidade) impor-se s consideraes de segurana. Mas
como explicar que tais concluses no tenham aparecido antes da
descoberta de 2002?
A contrario, o acidente ou o quase-acidente revela os efeitos da
cegueira que a organizao gera insidiosamente ou deliberadamen-
te: pensamento de grupo, iluses coletivas, autossugesto, presses
psicolgicas, etc., aos quais convm acrescentar as tendncias ao
conformismo e autoconformidade dos gestores que os impedem
de tomar posies que os distinguiriam dos colegas, assim como
fenmenos de autocensura, etc. por isso que, como vai se ver de-
pois, fomos levados a introduzir o termo de patologia da organiza-
o quando esses tipos de disfunes so levados ao paroxismo.
Partindo da constatao de disfunes s vezes considerveis, o
analista levado a se interrogar sobre os mecanismos que condu-
zem a isso. So necessrias situaes crticas para evidenci-las.
Mas, mesmo nesse caso, o inqurito no traz sempre toda a verdade.
45
A limpeza da tampa da cuba teria permitido que se eliminasse o cido
brico acumulado na origem da corroso.
46
Entretanto, esses controles poderiam ter sido suficientes para detectar
a degradao da tampa.

Cai-se, ento, neste enigma: as organizaes geram fenmenos

contraprodutivos no plano da segurana. O investigador, face a situa
es de organizaes supostamente sadias, no deve se deixar levar
pelos discursos cheios de certezas e posies angelicais; ele deve
guardar seu esprito crtico. O caso seguinte vai nos servir tambm
de exemplo.
JJ Os ensinamentos desconhecidos dos acidentes

de radioterapia ligados mquina Therac-25
Os quatro acontecimentos graves precedentes focalizaram um cer-
to nmero de aspectos comuns que conduzem a esses acidentes:
presses de produo, organizaes demasiado complexas, geren-
ciamento deficiente, etc., e eles lembram que as organizaes so,
muitas vezes, a sede de fenmenos disfuncionais temveis.
Pareceu-nos til examinar um caso que sai das prticas indus-
triais. O caso de acidentes de superirradiao de pacientes pela m-
quina de radioterapia Therac-25, nos anos 1980, nos oferece ocasio
de confrontar os ensinamentos industriais queles da rea da sa-
de. Os recentes acidentes de radioterapia na Frana, nesses ltimos
anos, e portanto, vinte anos mais tarde, que mostraram as falhas na
radioproteo dos pacientes, reforam esse interesse.
JJ Disfunes difceis de serem identificadas

A anlise de seis acidentes graves ou mortais nos Estados Unidos e
no Canad, devidos Therac-25, por Nancy Leveson na sua obra
Safeware (Levenson, 1995) e aquela da Universidade de Paris-Dau-
phine (Cowan et al., 1999) confirmam a boa fundamentao da
anlise organizacional e de seus ensinamentos. Pode-se, tambm,
observar aqui o quanto a articulao entre o nvel organizacional
local e o nvel macroorganizacional pode ser problemtica, at
mesmo falha e prejudicial segurana, porque a anlise de aciden-
tes foi bem-detalhada nesse ponto.

A mquina de tratamento teraputico

A Therac-25 era um acelerador linear para tratamentos oncolgicos
de radioterapia. Sua caracterstica era ser inteiramente comandada
por computador. A Therac-25 era derivada da Therac-20 e reutili-
zava seus mdulos de software, mas, ao contrrio daquela, no era
dotada de comandos e de proteo eletromecnica. A Therac-25
podia liberar seja fluxos de eltrons de fraco poder, seja raios X,
graas adjuno de uma tela posicionada automaticamente diante
do feixe de eltrons, que era levado a uma potncia forte em caso de
escolha desse segundo modo. A escolha do modo de operao se
fazia digitando um simples caracter num teclado.
Nessa poca, seu construtor, a sociedade AECL 47 tinha instala-
do onze Therac-25 na Amrica do Norte (5 nos EUA e 6 no Canad,
em diferentes centros de tratamento por radioterapia. Instaladas a
partir de 1983, as mquinas aparentemente funcionaram sem pro-
blemas at 1985.
Os acidentes
Em 1985, comeou uma srie de acidentes de superirradiao de pa-
cientes em quatro dos centros de tratamento. O quadro mostra a lista.
1 Kennestone, Centro de 25 junho Superdose de Queimadura grave da

Georgia Oncologia 1985 15 a 20.000 paciente e paralisia dos
rads braos
2 Hamilton, Fundao 26 julho Superdose de Grave queimadura da
Ontario para o cncer 1985 13 a 17.000 rads paciente, que morreu
(Canad) de cncer 3 de
novembro de 1985
47
A AECL Atomic Energy Canada Limited o equivalente canadense do
Comissariado da Energia Atmica (CEA) francs.

3 Washington Hospital de Dezembro Superdose no Eritema desenvolvido

Yakima 1985 conhecida pela paciente;
tratamento continuado
e terminado 6 de
janeiro de 1986
4 Tyler, Texas ETCC 21 maro 2 superdoses Morte do paciente 5
Centro de 1986 entre 16.500 e meses mais tarde
cancerologia 25.000 rads
5 Tyler ETCC 11 abril Surdose de Morte do paciente em
(2o caso) Centro de 1986 25.000 rads 1 de maio de 1986
cancerologia
6 Washington Hospital de 17 janeiro Superdose de 8 Morte do paciente em
(2o caso) Yakima 1987 a 10.000 rads abril 1987
Quadro 2. Os acidentes de superirradiao devidos Therac-25.
Dos trs primeiros acidentes que aconteceram em trs centros

diferentes, sabe-se pouca coisa. Os tcnicos do lugar no puderam
ou nem sonharam em imput-los a um disfuncionamento da m-
quina, to grande era a confiana em seu funcionamento. O cons-
trutor colocou fora de questo sua mquina, no chegando a repro-
duzir no laboratrio o que poderia ter se passado.
No caso do quarto acidente (maro de 1986), acontecido no cen-
tro de tratamento do cncer de Tyler, Texas, teve-se uma viso preci-
sa das causas ergonmicas que explicam que a superirradiao no
tenha sido detectada e mesmo que ela tenha sido renovada uma se-
gunda vez. O alto-falante no funcionava, e o vdeo estava desligado
na sala de irradiao, isolando assim o paciente da operadora da m-
quina que, da cabine de comando, no pde ouvir suas manifesta-
es de dor. E, paradoxalmente, como ela era particularmente hbil,
foi sua destreza em corrigir um erro de digitao no teclado da m-
quina que desencadeou o disfuncionamento fatal. sua revelia, a
mquina se ps em um modo de funcionamento reputado imposs-
vel de obter (pleno poder do feixe e tela retirada) e enviou seu fluxo

at a paciente. Mas a operadora no percebeu nada (e no escutou a

paciente se manifestar). Uma mensagem de erro sibilino lhe fez pen-
sar que nada tinha acontecido, e ela renovou seu comando que teve o
mesmo efeito, provocando, ento, a irrupo do paciente fora da sala
de irradiao sob o efeito da dor sentida pela segunda vez.
O radiofsico examinou a Therac-25, mas nada encontrando de
anormal, a mquina foi recolocada em servio. No dia seguinte, os
engenheiros do construtor no puderam reproduzir o incidente e
pensaram num possvel choque eltrico sofrido pelo paciente. Eles
asseguram que a mquina no podia provocar superirradiaes e
que nenhum acidente jamais tinha sido constatado. Todo mundo
estava, portanto, persuadido de seu bom funcionamento.
Entretanto, trs semanas mais tarde, um acidente semelhante
aconteceu no mesmo centro, com outro paciente que sofreu choque
severo. Dessa vez, o radiofsico do hospital conduziu suas prprias
investigaes com a ajuda da operadora e acabou por reproduzir a
anomalia em presena dos engenheiros da AECL. Foi graas sua
obstinao que esse acidente teve um papel decisivo. O construtor
decidiu informar esse dado ao conjunto dos usurios da mquina e
lhes forneceu indicaes que permitissem continuar fazendo-a
funcionar. A autoridade de controle federal, a Food and Drug Admi-
nistration (FDA), foi advertida pelas autoridades do Texas e, em se-
guida, pelo prprio construtor. Isso desencadeou a ao, que pode
ser pensada como tardia, do FDA nesse affaire: essa ordenou ao
construtor que informasse todos os seus clientes, que estudassem o
problema e fizessem um plano de aes corretivas. Ela mesma in-
formou a todos os usurios sobre a falha em questo e os riscos as-
sociados (o que o construtor ainda no havia feito).
Em seguida ao sexto acidente (janeiro de 1987), a AECL desco-
briu um outro problema de cdigo de software completamente
diferente dos erros correspondentes aos acidentes do centro de Tyler.

So, portanto, muitos bugs de software que minaram a concepo

da mquina, colocando em destaque que os procedimentos das
mquinas no eram suficientemente exigentes. No foi seno em
agosto de 1987 que a AECL forneceu finalmente a quinta e ltima
verso do plano de aes corretivas da Therac-25. O diretor da Di-
vision of Standarts Enforcement, Center for Devices and Radiological
Health da FDA pde escrever: A FDA realizou uma reviso intensi-
va dos softwares e dos materiais da Therac-25. Ns no podemos dizer
com certeza absoluta que todos os problemas do software que pode-
riam ocasionar doses inadaptadas foram encontrados e eliminados.
Entretanto, estamos confiantes em que as caractersticas de segurana
nos softwares e nos materiais que foram recentemente acrescentados
deveriam prevenir as futuras consequncias catastrficas das falhas.
O exemplo da Thrac flagrante em dois pontos j vistos ante-
riormente: de um lado, a cegueira do construtor; do outro lado, o
papel essencial e durante muito tempo falho das autoridades
regulamentadoras da segurana.
JJA resistncia do construtor em reconhecer os defeitos

do Thrac-25 e em trazer solues
Observa-se, nessa situao, atravs do comportamento da AECL,
construtora da mquina Therac-25, a problemtica da responsabi-
lidade dos construtores e projetistas de sistemas, da sua cegueira,
da sua confiana excessiva frente aos materiais e aos sistemas que
eles conceberam e de sua propenso em colocar a culpa das disfun-
es apenas sobre os operadores, associados aqui a uma tendncia
de silenciar sobre os casos de superirradiao que tinham sido assi-
nalados. A cronologia das principais interaes com o construtor
mostra que, em um primeiro perodo, a maioria dos atores estavam
convencidos da ausncia de uma superdose (apesar dos sintomas);
o construtor negava a possibilidade de uma disfuno e mascarava

a existncia de outros incidentes. Muitas irradiaes foram classifi-

cadas como tendo causa desconhecida. Tudo isso a despeito de
prejuzos graves para os pacientes e mesmo mortes.
A AECL teve um papel muito negativo, por sua omisso em
explicitar claramente aos usurios que haviam constatado um
acidente ou uma anomalia, que outros usurios tinham igualmente
constatado problemas, ou mesmo negando que tais problemas ti-
vessem acontecido. Essa atitude retardou o reconhecimento coleti-
vo dos perigos da Therac-25. Foi necessria a constituio, com o
apoio da associao americana de mdicos, de um clube de usu-
rios e muitas reunies com o construtor das quais uma em pre-
sena de autoridades reguladoras de dois pases para permitir
uma troca de prticas e de conhecimentos sobre os incidentes dessa
mquina e para progredir na implementao de um programa de
correes eficaz. Graas ao clube de usurios, ficou-se sabendo es-
pecialmente que alguns usurios tinham eles prprios acrescenta-
do sua mquina controles mecnicos suplementares.
A impressionante resistncia da AECL em reconhecer os perigos
que a mquina apresentava, apesar dos alertas repetidos, obviamente
uma das causas que contriburam para a repetio desses acidentes.
Esses comportamentos podem ser explicados pelo menos em parte
por dois fatores. De um lado, pelas presses comerciais e o temor da
concorrncia, que foram reconhecidos por certos gerentes da AECL, j
que mquinas do mesmo tipo j entravam no mercado. Por outro lado,
pela suposio (muito provvel) de uma forma de defesa coletiva ou de
ideologia defensiva de profisso48, frequente nos projetistas e constru-
tores, que se manifesta por uma negao da realidade, malgrado, aqui,
A expresso ideologia defensiva da profisso foi utilizada pela psico-

48
dinmica do trabalho para designar os comportamentos paradoxais, mas

coerentes, que visam controlar o medo que se sente face aos perigos ine-
rentes a certas profisses, permanentemente confrontadas com riscos im-
portantes (construo, nuclear, etc.).

a indicao de prejuzos aos pacientes: o sentimento da infalibilidade

da tcnica leva recusa de admitir a existncia de problemas.
O que se revelou a posteriori como um risco novo, inerente
aos sistemas tcnicos conduzidos por computadores, foi subestima-
do dada a confiana excessiva, at mesmo irracional, do construtor
em face dos softwares, que se mostram difceis e mesmo impossveis
de serem testados sistematicamente e nos quais extremamente de-
licado efetuar anlises de riscos.
Os engenheiros da Therac-2, talvez isolados da comunidade tc-
nica da informtica industrial, parecem ter ignorado as disposies
da segurana de qualidade dos softwares, e as medidas draconianas
tomadas nessa rea por outros setores industriais49. Mas o exame das
respostas trazidas pelos engenheiros da AECL, depois de cada aci-
dente assinalado, mostra que eles tm tendncia a transferir, pronta-
mente, a responsabilidade das anomalias a uma m utilizao das
mquinas. Particularmente grave a insuficincia do comportamen-
to tico dos agentes da AECL, no dando seno informaes trunca-
das, at mesmo errneas aos usurios ou se abstendo de inform-los
sobre outros acidentes e problemas revelados ou potenciais.
JJAutoridades regulamentadoras necessrias para a

resoluo do problema da segurana?
Contrariamente NRC, que conhecia bem o risco em jogo no caso
de Davis Besse, aqui as autoridades regulamentadoras50 de segurana
49
Como, por exemplo, na aeronutica, em que sistemas de informtica
redundantes e independentes (pilotagem em 2 sobre 3, projeto separado,
linguagem e estruturas diferentes) eram implantados (trem de aterrisa-
gem do Airbus A300).
50
Entre as autoridades de controle ou autoridades regulamentadoras
de segurana, vamos citar, nos Estados Unidos, a FDA (Food and Drug

sanitrias americanas e canadenses no tinham sido jamais confron-

tadas antes com o problema dos sistemas inteiramente pilotados por
softwares e no tinham competncia suficiente em matria de segu-
rana de tais sistemas. A sua fraca reatividade se explica em parte por
sua disperso geogrfica e a dos usurios do Therac-25.
O construtor que deveria prevenir o FDA, no o usurio na
origem da constatao. Mas ele no se manifestou, ou o fez tardia-
mente, depois dos primeiros acidentes que pareciam implicar sua
mquina. Procedimentos oficiais (ou formais) de informao m-
tua sistemtica no estavam previstos, mesmo em caso de constata-
o de uma anomalia bvia e prejuzo de um paciente. Por isso, foi
preciso esperar que acontecesse o quinto acidente e a demonstrao
da periculosidade da mquina, para que, enfim, se constitusse um
clube de usurios, que permitiu o encontro de trs entidades orga-
nizacionais e institucionais fundamentais dessa tragdia: o cons-
trutor e projetista, os usurios, as autoridades de segurana.
As autoridades regulamentares sentiram a gravidade do proble-
ma e o efeito nefasto dessa disperso. Elas exigiram a declarao
obrigatria dos casos de acidentes de irradiao pelos prprios cen-
tros usurios dos materiais e no mais somente pelos construtores
ou importadores desses materiais, dando-se assim meios mais dire-
tos e independentes dos construtores para coletar um retorno de
experincia de incidentes e de seu poder regulamentar no que diz
respeito radioproteo dos pacientes.
O caso do Therac-25 ilustra, ainda uma vez, o papel absoluta-
mente decisivo das autoridades regulamentares de segurana para
Administration), encarregada dos negcios sanitrios. No Canad, o Depar-

tamento de Proteo contra a Radiao (CRPB, Canadian Radiation Protec-
tion Bureau) alis, depois de 1 abril 1986, o BRMD (Bureau of Radiation
and Medical Devices). A Autoridade da Segurana Nuclear canadense (Ato-
mic Energy Control Board) teve, tambm, um papel importante.

garantir, no final, o domnio da segurana, em particular quando

as empresas no so suficientemente diligentes. Mas ele mostra,
tambm, as dificuldades particulares ligadas disperso geogrfica
dos sistemas, que torna mais difcil a coleta de informaes sobre
incidentes e acidentes, sua circulao e seu domnio da segurana.
Com um sistema que se estendia por dois pases (Estados Unidos e
Canad), muitas autoridades regulamentares regionais e federais,
muitos centros hospitalares usurios isolados uns dos outros, os
acidentes ilustram, assim, uma problemtica pouco estudada como
tal, ligada disperso geogrfica dos sistemas organizacionais.
O inqurito depois do desmoronamento

JJ
da abbada em construo do metr Meteor

Esse sexto caso se situa parte, mas se revela tambm importante.
Os cinco primeiros casos se referem a acidentes em pases de cultu-
ra anglo-sax, nos quais a informao clara, precisa, detalhada e
disponvel uma tradio.
O caso do Meteor se situa no oposto: dados disponveis sobre a
anlise do acidente so muito incompletos a partir do momento em
que se afastam aspectos tcnicos. Trata-se de um caso muito fre-
quente na Frana; isso nos leva indagao sobre a documentao
disponvel para alimentar estudos de caso de acidentes com o obje-
tivo de reflexo, mas tambm de preveno.
A abordagem dos peritos apontados pelo ministrio no caso do
metr em construo Meteor continua fundamentalmente tcnica,
se no tecnicista. Ela deixa totalmente na sombra as bases, as razes
subjacentes, humanas ou organizacionais, dos acontecimentos tc-
nicos nesse caso, geolgicos. No entanto, muitos fatores que se
conjugavam teriam favorecido uma abordagem organizacional mais
profunda, mas os experts ficaram aqum.

JJ Misso e abordagens do inqurito

O acidente aconteceu quando dos trabalhos de prolongamento da
linha 14 do metr parisiense, chamada Meteor. Depois da estao
Olympiades, o projeto previa a perfurao em galeria, num terreno
constitudo de argila e calcreo grosseiro, de um tnel de circula-
o e de um novo hall de manuteno. Na noite de sexta-feira, 14,
para o sbado, 15 fevereiro de 2003, a abbada do hall de circulao
em construo desabou em uma das extremidades, e um buraco de
aproximadamente 25 metros de dimetro e de uma dezena de me-
tros de profundidade abriu-se na superfcie. Esse desmoronamento
aconteceu no ptio de uma escola maternal51, o que poderia ter tra-
zido consequncias dramticas se fosse em outro momento, em que
as crianas estavam presentes. Como o inqurito mostrou, as ca-
ractersticas inesperadas do calcrio atravessado, a insuficincia de
sustentao nesse lugar e, durante os trabalhos, a ausncia de rea-
o dos atores, que no tiraram as concluses de numerosos sinais
alarmantes no que diz respeito qualidade do calcrio, parecem ter
tido um papel essencial no acidente.
O ministro do equipamento, dos transportes, da habitao, do
turismo e do mar encomendou, pouco depois, ao conselho geral
das pontes e estradas, um inqurito administrativo para comple-
mentar o inqurito interno da RATP, o que comum, desde ento,
quando acontece um acidente grave. Ele deveria ter como objeto,
especialmente, as causas desse acidente, a anlise dos papis de-
sempenhados pelo chefe do canteiro52, pelo mestre de obras e pela
51
A estao Olympiades est situada no 13o distrito de Paris, e a escola
maternal onde ocorreu o desabamento fica na rua Auguste-Perret, nesse
mesmo distrito.
52
As noes de matre douvrage (contratante) e de matre duvre
(executante) provm da rea de construo, mas elas foram adotadas para a
realizao de todos tipos de obras. Classicamente, entre as diferentes pessoas

empresa encarregada dos trabalhos e de levantar as propostas de

medidas destinadas a evitar novos acidentes desse tipo.
Dois engenheiros conduziram esse inqurito e entregaram, em
junho de 2003, um relatrio final de 14 pginas, bastante sucinto e
centrado nos aspectos tcnicos (Dubois e Rat, 2003) 53. Por falta de
uma slida anlise organizacional, esse relatrio no parece eluci-
dar as causas do acidente.
JJUm relatrio de inqurito que no permite compreender

o acidente
O essencial do relatrio tem como objeto o prprio fenmeno
do desabamento e explica as razes tcnicas desse desabamento. Os
aspectos organizacionais e humanos no so seno esboados. En-
tretanto, devido ausncia de erro humano flagrante, o desaba-
mento da abbada do Meteor era especialmente adequado a uma
anlise organizacional aprofundada da segurana em um canteiro
de obras subterrneo.
O relatrio comenta os estudos geotcnicos prvios e mostra a
sua escassez, sem jamais situar claramente de onde vm esses estudos.
que intervm nos trabalhos, o matre douvrage o que manda, o propriet-

rio ou no, em proveito do qual a obra realizada; o matre duvre a pes-
soa que se encarrega de projetar a obra e, eventualmente, dirigir a contrata-
o e execuo dos trabalhos e de propor sua aceitao e seu pagamento. O
matre douvrage define claramente sua necessidade (lista de especificaes)
e se pronuncia sobre a recepo do que lhe dado. Ele define os trabalhos do
matre duvre, que podem ser mais ou menos amplos. Omatre duvre
deve ser independente em relao a qualquer empresa, mas pode preparar as
ofertas e aconselhar o matre douvrage sobre suas escolhas. Matre douvrage
e matre duvre podem ser pesoas fsicas ou jurdicas que realizam as duas
funes de matrise douvrage e matrise duvre.
53
Effondrement sur le chantier Meteor, Pascal Dubois e Marcel Rat (abril
2003), relatrio preliminar disponvel na linha: http://lesrapports.ladocu-
mentationfrancaise.fr/BRP/034000193/0000.pdf.

Os comentrios dos autores do relatrio so de uma grande impre-

ciso, e os atores que podem ter tido um papel nesse acidente em
um ou outro momento tm um carter abstrato. Por exemplo, du-
rante a perfurao ocorreram deslocamentos na superfcie mais
considerveis que os previstos, e quedas de blocos na pedra angular
da abbada se multiplicaram. A relao entre os dois fenmenos e
as caractersticas do terreno no foi feita. Mas no se sabe como
estava organizado o canteiro de obras, nem quem teria de fazer essa
relao. No se sabe tambm quem teria de alertar aqueles que po-
deriam tomar com urgncia as medidas de sustentao suplementa
res. Os investigadores mostram uma prudncia excessiva, sem d-
vida poltica, para apresentar as instncias que participavam do
canteiro de obras, o que impediu toda a compreenso do fenmeno.
Entretanto, como sua misso lhes pedia, os investigadores tenta-
ram analisar os papis e as relaes dos diferentes atores. Mas eles se
limitaram aos papis e s relaes tericas entre atores abstratos que
so o chefe de canteiro, o mestre de obras e a empresa encarregada
dos trabalhos. Eles viam no equvoco em relao s responsabilidades
de cada um deles um elemento de explicao da fraqueza das reaes
dos atores s constataes feitas no canteiro de obras, mas sem apro-
fundar mais. A organizao implementada pelo mestre de obras para
esse canteiro de obras tambm examinada. A troca do responsvel
pelo controle da obra de engenharia civil, que tinha uma grande ex-
perincia em trabalhos subterrneos, por uma pessoa mais jovem,
mencionada. Mas no saberemos em que a experincia de um e a
inexperincia do outro podem ter desempenhado um papel.
JJ A anlise organizacional ausente

Essa situao no nica nos relatrios franceses de acidentes: ne-
les raramente se encontram informaes sobre as causas humanas
ou organizacionais, seja porque a anlise no foi feita, seja porque
ela no foi relatada.

Constatando o dficit de informaes nesse relatrio e ignoran-

do, na realidade, as razes dessa prudncia excessiva dos investiga-
dores, fica a questo de saber o que eles deveriam ter examinado no
decorrer do seu inqurito. Quais so os pontos da anlise que fal-
tam para a compreenso desse acidente? Chegando a esse ponto, o
leitor j tem uma ideia que poder completar lendo o prximo ca-
ptulo, no qual ns vamos aprofundar os fundamentos da anlise
organizacional da segurana.
Mas pode-se, ainda assim, avanar: falta, com muita certeza,
aqui a descrio da rede organizacional das entidades que intervie-
ram de perto ou de longe nesse acidente, as interaes entre o pes-
soal do chefe de canteiro, do mestre de obras, das empresas contra-
tadas, o papel dos peritos de projeto, as modalidades do trabalho,
de conduo e de controle do canteiro de obras, a organizao de
sua segurana em face dos riscos e sua atualizao em caso de no-
vos riscos, etc. Trata-se de questes s quais se responde na maioria
dos relatrios que pudemos conseguir relacionadas a acidentes nos
pases anglo-saxes.
Ter sido compreendido que, de nosso ponto de vista, os fen-
menos organizacionais do acidente no canteiro de obras do Meteor
permanecem totalmente enigmticos e que no h seno hipteses
sobre as causas desse acidente (ausncia ou falta de atualizao das
anlises de riscos, falhas de comunicao, etc.). Por isso, este aci-
dente no permite verdadeiramente enriquecer os conhecimentos e
o retorno da experincia geral para a preveno desse tipo de aci-
dentes, mesmo que se possa esperar que os atores implicados tero
eles mesmos extrado deles razes de mudanas.
JJConcluso a respeito dos casos expostos

Os cinco primeiros casos que apresentamos mostram a contribui-
o determinante da anlise organizacional da segurana e do

uma ideia das condies e dos modos de abordagem necessrios no

plano metodolgico para efetuar tais anlises.
A anlise pertinente no somente a posteriori para elucidar as
catstrofes industriais ou bem antes, sobre os incidentes anuncia-
dores de um possvel desastre; ela se revela fundamental sob a tica
da preveno para prever possveis acidentes graves iminentes,
por pouco que se considerem as lies de acidentes passados acu-
muladas e sintetizadas graas a esse tipo de anlise. Os exemplos
apresentados ilustram, alis, os aspectos fundamentais dos meca-
nismos de acidente, as causas profundas dos acidentes, que sero
retomadas e desenvolvidas no captulo seguinte.
O leitor pode estar convencido, desde agora, da importncia de
estudar, de maneira lcida e crtica, relatrios anglo-saxes de aci-
dentes graves, a fim de melhorar sua compreenso dos fenmenos
de degradao da segurana que conduzem aos acidentes, mas
tambm de tomar conscincia da orientao geral das investigaes
tanto dos incidentes como dos acidentes, assim como do total de
detalhes que necessrio analisar. o caso para os cinco primeiros
exemplos examinados neste captulo, para os quais relatrios mui-
to detalhados esto disponveis e, s vezes, igualmente, outros do-
cumentos (artigos especializados, artigos de imprensa, resumos de
obras, etc.) assim como relatrios complementares. Voltaremos a
isso no prximo captulo.

2
Fundamentos e princpios da
anlise organizacional
Analisar um grande nmero de acontecimentos industriais adver-

sos uma tarefa louvvel e til para a segurana.
Seria ainda necessrio no manter uma abordagem muito emp-
rica, de caso a caso, mas construir uma metodologia de anlise sufi-
cientemente geral, que se apoie em conhecimentos emprestados no
s rea mdica e quela das cincias humanas e sociais, como tam-
bm, certamente, s cincias da engenharia e aos conhecimentos
acumulados na rea da segurana. Seria necessrio, tambm, dedu-
zir os princpios e os fundamentos de uma tal abordagem organiza-
cional. Tratar-se-ia de sistematizar os resultados obtidos, de sinteti-
zar o trabalho de anlise sria empreendido h j duas dcadas.
Os puristas exigentes vo encontrar algo a ser criticado nesse
pragmatismo esclarecido. Mas vale a pena correr o risco do ecletis-
mo quando se trata de evitar acidentes e, portanto, de tentar salvar
vidas humanas.
Ns vamos, agora, expor os elementos bsicos sobre os quais se fun-
damenta a anlise organizacional da segurana que temos desenvolvido.
Na sequncia das pginas precedentes, j havamos assinalado
alguns pontos importantes, notadamente aqueles extrados do
estudo dos acidentes. Vamos retom-los. A anlise organizacional de
segurana se baseia com efeito, de um lado, nos resultados obtidos

no domnio dos acidentes, principalmente pelos pesquisadores

anglo-saxes dos quais j citamos os nomes (B. Turner, J. Reason,
C. Perrow, S. Sagan, D. Vaughan, etc.); por outro lado como se
acabou de ver no captulo precedente , na anlise penetrante, de-
talhada de numerosos acidentes, incidentes ou crises industriais.
Todos esses trabalhos nos permitiram ir alm da noo do erro hu-
mano e nos levaram ao interesse pela organizao do sistema socio-
tcnico como fonte de falhas de segurana e, ao mesmo tempo, de
uma possvel correo, portanto, de preveno de acidentes.
Em compensao, pareceu-nos que, em relao aos mtodos de
investigao, as fontes anglo-saxs relacionadas aos acidentes eram
cheias de lacunas e, em todo caso, no nos satisfaziam. Por isso, a fim
de responder, ao mesmo tempo, a princpios de economia e de efic-
cia para os tipos de anlise de segurana que nos eram pedidos e de
levar em conta nossa prpria experincia de investigaes, ns tive-
mos que desenvolver ou pelo menos explicitar uma abordagem espe-
cfica nova. Esta, entre outras, no deveria abandonar a ligao com
as pessoas do campo e sua vivncia subjetiva do trabalho, porque, na
quase totalidade dos casos, elas esto na origem da compreenso dos
processos em curso no interior das organizaes. Alm disso, no
poderia colocar entre parnteses o interesse pelas questes tcnicas,
muito presentes nas organizaes que gerenciam sistemas tcnicos,
sobretudo quando se trata de sistemas de alto risco.
Para desenvolver nossos mtodos de investigao e esclarecer
alguns fenmenos humanos enigmticos, foi-nos necessrio utili-
zar fontes totalmente diferentes54, mais prximas da psicopatologia
54
preciso observar que os relatos de acidentes e a literatura anglo-sax
sobre os acidentes no descrevem, seno raramente, os mtodos de inqu-
rito implementados e, nesses casos raros, eles no nos pareceram total-
mente convincentes, nem utilizveis em nosso contexto.

Fundamentos e princpios da anlise organizacional 81
do trabalho ou ainda da sociologia compreensiva. Voltaremos a

essa questo posteriormente. Essas fontes vieram, ento, completar
as precedentes para constituir os elementos do que havamos esta-
belecido chamar de paradigma da anlise organizacional da segu-
rana. Um paradigma nem completo nem estabilizado, sempre em
construo, e do qual alguns aspectos so objeto de discusses en-
tre ns.
Neste captulo, ns vamos desenvolver os pontos mais funda-
mentais da anlise organizacional da segurana que o analista deve
ter sempre em mente: a necessidade de no dissociar a tcnica e a
organizao; o modo de investigao no interior da organizao; a
explorao da organizao e o retorno no tempo; a importncia do
perodo de incubao; a abordagem clnica; a abordagem compreen-
siva; a abordagem descritiva e os fatores organizacionais patogni-
cos; o diagnstico, o julgamento, a expertise. Vamos tratar deles na
ordem de acordo com a qual o analista deveria, a priori, ser levado a
consider-los no curso de sua investigao. Mas, antes, voltemos ao
que, j h muito tempo, tornou-se nosso postulado de base!
JJ Retorno ao postulado de base da anlise

Os incidentes, que envolvem a segurana, sejam eles desencadeados
por um erro humano ou por um incidente tcnico, geralmente as-
sinalam, tanto quanto os acidentes, uma situao do sistema socio-
tcnico com segurana degradada por falhas preexistentes. Estas,
embora tenham, por vezes, um aspecto tcnico, so grandemente
de natureza organizacional. De resto, as situaes so sempre vari
veis, muitas vezes revelia da maioria dos atores. Elas so constitu
das por fenmenos mltiplos e emaranhados, que se reforam ou se
neutralizam: fatos, eventos tcnicos e organizacionais, decises fa-
vorveis ou no segurana, defeitos e correes, evolues rpidas
ou lentas das vulnerabilidades e das resilincias.

Os fenmenos de eroso da segurana criam muitas condies

latentes desfavorveis (Reason, 1997), elementos de vulnerabilidade
do sistema. O processo de degradao da segurana no nem linear
nem inelutvel: ele pode ser retardado, at mesmo detido, por fen-
menos de resilincia no interior da organizao. Quando esses lti-
mos no so mais suficientemente robustos para se oporem aos fe-
nmenos de degradao, a situao se cristaliza para chegar ao
acontecimento que desencadeado por uma ou muitas falhas dire-
tas. Resumindo: numa situao dessas, todo acontecimento (inci-
dente ou acidente) iniciado por causas diretas, imediatas, tcnicas e/
ou humanas (Erros), mas sua ocorrncia e/ou seu desenvolvimento
induzido, favorecido, precipitado por causas e condies subjacentes
(fatores complexos) organizacionais (Magne e Vasseur, 2006, p. 148).
Alm disso, nessa abordagem, os incidentes e a fortiori os aci-
dentes so, portanto, vistos como os sintomas de um ou muitos
problemas organizacionais que sua anlise permite esclarecer. Se-
gundo James Reason (Reason, 1997, p. 16-17), as causas profundas
dos acidentes esto enraizadas em fatores organizacionais (escolhas
oramentrias, destinao de recursos, etc.), cujo efeito vai se di-
fundir at os postos de trabalho mais prximos da instalao tcni-
ca, tendo como consequncia uma influncia sobre o aparecimento
de aes operadoras arriscadas, degradando a segurana.
Pode-se lembrar, aqui, a declarao do CAIB j citada, mostran-
do que a definio de medidas corretivas eficazes de melhoria da
segurana passa pela deteco de causas subjacentes, profundas,
que ocasionaram a ocorrncia do evento. Com efeito, Quando os
determinantes da cadeia causal esto limitados ao defeito tcnico e
falha humana, de maneira tpica as aes de preveno de um aconte-
cimento similar futuro so igualmente limitadas (CAIB, 2003, p. 97). E
o CAIB sublinha o perigo dessa abordagem (p. 97): Implementar
essas aes (de preveno) ocasiona um outro erro: crer que o proble-
ma est resolvido.

Alis, as anlises de acidente, igualmente expostas no captulo

1, e, em particular, as investigaes aps o acidente de trens em
Paddington, a perda da nave espacial Columbia e a exploso da re-
finaria BP de Texas City ilustram a multiplicidade e a complexida-
de das causas e dos fatores subjacentes que tm um papel na degra-
dao do nvel de segurana de uma instalao. Eles demonstram
que um evento no se deve unicamente a uma combinao de co-
nexes mecnicas de causas. Tudo isso de natureza a incitar
uma anlise alm das causas imediatas quando das investigaes
sobre o acontecimento e a se interessar pelas causas profundas de na-
tureza organizacional (Magne e Vasseur, 2006, p. 148).
A deteco dessas causas profundas e dos fatores subjacentes
exige um tipo especfico de investigao. , entre outras, o que
proposto por uma investigao realizada com a anlise organiza-
cional de segurana. Em funo das demandas feitas ao analista,
essa anlise tenta esclarecer sobre o estado de segurana de um sis-
tema sociotcnico, colocando em evidncia, no interior da organi-
zao, os processos e/ou os fenmenos que influenciam positiva
ou, o que infelizmente mais comum, negativamente. Da prpria
natureza humana e social do objeto a organizao que a an-
lise organizacional de segurana procura explorar, decorre um cer-
to nmero de suas caractersticas que vamos observar agora.
JJ No dissociao dos aspectos tcnicos

e organizacionais
JJ As duas causalidades
Numa empresa que gera riscos, a segurana das instalaes depen-
de, ao mesmo tempo, dos aspectos tcnicos e dos aspectos organi-
zacionais. Mas, como mostraram os exemplos dados no captulo 1,
em matria de segurana, tcnica e organizao esto profunda-
mente imbricadas; elas se ajudam e se completam. A tcnica no se

impe por ela mesma. As escolhas tcnicas so decorrentes da es-

tratgia da organizao. Mas, uma vez feitas, essas escolhas tcni-
cas atingem igualmente a organizao que necessrio implemen-
tar. Deixemos de lado a necessidade de uma organizao da
segurana, que ns j evocamos, com pessoas que se ocupam disso
especialmente, que avaliam os riscos e as medidas de preveno,
fiscalizam sua implementao, estabelecem e exploram um retorno
de experincia, difundindo seus resultados, etc. Mas, mais prxi-
mo do processo, impe-se igualmente a necessidade de um contro-
le permanente das instalaes (com a organizao de equipes de
trabalho permanentes, capacitadas para o tratamento dos inciden-
tes e dos acidentes, etc.), de controles e verificao do bom funcio-
namento dos dispositivos tcnicos de segurana necessrios em
caso de incidentes, ou ainda do planejamento das operaes de ma-
nuteno e do controle das retomadas de produo, etc. Numerosas
operaes a cargo dos operadores apresentam razes tcnicas (por
exemplo, respeito dinmica dos fenmenos trmicos ou hidruli-
cos) e as restries que a elas se vinculam devem ser respeitadas,
sob o risco de... aceitar o risco de colocar em perigo os operadores,
a instalao e o meio ambiente.
As disposies organizacionais e seu funcionamento efetivo
tm, por natureza, um efeito sobre as instalaes tcnicas, seno,
evidentemente, elas no teriam razo de ser, e a segurana seria so-
mente do domnio da tcnica, o que no o caso. Vimos, por exem-
plo, no caso do acidente de Paddington, a importncia de dar aos
condutores, ao longo de sua formao, uma informao precisa e
atualizada a respeito dos sinais de risco, de modo a evitar os avanos
intempestivos dos sinais vermelhos, o que no era, decididamente,
sempre o caso. Essa informao, que estava em poder da empresa que
administra a rede ferroviria, era mal-explorada pelos seus detento-
res e os formadores dos condutores que pertenciam s companhias

operadoras da rede, ao que parece, tambm no a utilizaram, pelo

menos no caso do condutor do turbotrem55 incriminado.
Na anlise organizacional da segurana, no pelo fato de o
analista focalizar, prioritariamente, as questes organizacionais
que ele pode dissoci-las dos aspectos tcnicos. Na realidade, no se
pode fazer abstrao da tcnica! De imediato, isso apresenta um
problema srio, porque, epistemologicamente, os aspetos tcnicos e
os aspectos organizacionais chamam por duas ordens de conheci-
mento diferentes.
JJ A situao desconfortvel do analista

O estudo dos sistemas sociotcnicos apela para dois conjuntos de
conhecimento radicalmente diferentes. De um lado, os conheci-
mentos tcnicos relacionados s cincias da engenharia e, por outro
lado, os conhecimentos sobre o homem e a organizao que se refe-
rem s cincias humanas e sociais. A anlise organizacional se
apoia na abordagem compreensiva que distingue os fatos humanos
ou sociais dos fatos tcnicos e postula, graas a um esforo de em-
patia da parte dos investigadores, a possibilidade de penetrar a vi-
vncia e a experincia dos entrevistados (Mucchieli, 1996). Essa
anlise supe, portanto, a possibilidade de se apoderar das signifi-
caes das quais os fatos sociais so portadores e de poder dar uma
interpretao compreensiva da situao estudada.
Esse um paradoxo fundamental: preciso conservar, ao
mesmo tempo, os dois aspectos tcnicos e humanos por duas abor-
dagens diferentes do ponto de vista terico e conceitual, mas inteira-
mente complementares nas investigaes. De um lado, os aspectos
A companhia operadora do turbotrem, que foi a causadora do acidente

55
de Paddington, foi em seguida pesadamente condenada por um tribunal

em razo da m formao de seus condutores.

tcnicos so do domnio da abordagem explicativa, fundada em no-

es de causalidade e objetividade. Atravs dessa abordagem, procu-
ra-se, por exemplo, a explicao racional de um acidente, estabele-
cendo o encadeamento das causas e dos efeitos (tcnicos e humanos)
que o produziram. Na maioria dos casos, analisando os traos obje-
tivos de que dispe, o analista pode chegar, com o grau mximo de
certeza possvel, a estabelecer uma tal conexo. Por outro lado, os
aspectos organizacionais so do domnio da abordagem compreensi-
va baseada na noo de intersubjetividade (cf. pginas 101 a 103 e 122
a 125) e, alm disso, de uma causalidade diferente. Aqui muito me-
nos fcil para uma terceira parte como o analista estabelecer, com
certeza, o efeito e mesmo os efeitos combinados de acontecimentos
da vida da organizao em relao s condies de trabalho e ati-
vidade de seus membros. Nesse sentido, falar de causas profundas
em relao ao que domnio dos acontecimentos organizacionais
que influenciaram a ocorrncia de um acidente grave pode ser, com
justa razo, contestado. Alguns preferem falar de fatores de influn
cia subjacentes. Mas no menos verdade que somente os interes-
sados podem, por sua palavra, dizer o que foi para eles.
Embora se possa definir as causalidades objetivas estritas no
domnio tcnico (por exemplo, se a vazo de enchimento de um
reservatrio duas vezes mais elevada, esse reservatrio vai se en-
cher duas vezes mais rpido), o mesmo no acontece no domnio
da organizao que decorre muito mais da ordem da compreenso,
das razes e do sentido.
As cincias humanas tm a tendncia de esquecer a tcnica pe-
sada, significativa. Entretanto, o esforo a suportar deve ser pro-
porcional aos riscos tcnicos enfrentados. Graas a seus conheci-
mentos e a seus estudos (estudos de riscos, etc.), os engenheiros
podem trazer ordens de grandeza em relao aos riscos, permitin-
do assim definir os esforos em matria de segurana. No quadro
da investigao, eles permitem tambm ao analista definir sua an-

lise em reao aos riscos importantes e evitar se perder em pistas

falsas. Os analistas sados das cincias humanas tero, sem dvida,
um pouco de dificuldade para focar nos aspectos tcnicos e assimi-
lar a sua linguagem.
Os engenheiros, por sua vez, so formados tecnicamente (eletri-
cidade, mecnica), mas, bem mais raramente e em todo caso, no
no mesmo grau, em segredos organizacionais. Sem dvida, nisso
que pode estar sua principal dificuldade. Porque para os encarrega-
dos da investigao, formados tecnicamente, investigar os aspectos
tcnicos, falar sobre eles com o pessoal da organizao no apre-
senta verdadeiramente nenhum problema. Em relao aos aspectos
organizacionais, mais difcil para eles, porque no se coletam in-
formaes da mesma maneira; necessrio ter conhecimentos em
cincias humanas e sociais para poder implementar os mtodos
apropriados. Por sorte, elementos de conhecimento foram trazidos
da ergonomia, da sociologia das organizaes que geram riscos, so-
bretudo pelos anglo-saxes.
JJAtravs de um exemplo simples, a imbricao de aspectos

tcnicos, humanos e organizacionais
Um exemplo simples, extrado de um caso real de expertise, permi-
te ilustrar essa imbricao dos aspectos tcnicos, humanos e indi-
viduais, alis coletivos e organizacionais. Ele mostra, tambm, que
a anlise organizacional pode ser aplicada em diferentes nveis de
complexidade sociotcnica. Em uma empresa, uma equipe de tc-
nicos, dirigida por um contramestre e um adjunto, encarregada
de trabalhos de manuteno e de renovao de instalaes eltricas
complexas. Dois incidentes graves, tendo ocasionado perdas finan-
ceiras significativas, motivaram a realizao de uma investigao
realizada por consultores externos. O pedido foi formulado pelos
empresrios do mais alto nvel, distantes geograficamente do lugar

de base da equipe. Esses apresentaram os agentes da equipe como

aprendizes, que deviam aplicar estritamente os procedimentos.
Para as tarefas que eles deveriam cumprir, os tcnicos, de acordo
com as prprias palavras dos gerentes, deveriam agir como proco
ou militar!
A anlise tcnica dos incidentes permite compreender o enca-
deamento dos erros humanos, das falhas e as aes dos automatis-
mos tcnicos colocados em ao. Mas permanecia uma questo
central: por que o jovem operador, novo na equipe, no tinha sido
formado na prtica, informado e secundado na manobra delicada
que lhe tinha sido confiada? E como, alis, explicar o segundo inci-
dente, cujo ator principal tinha sido o contramestre-adjunto, reco-
nhecido, no entanto, por sua competncia e sua experincia?
No decorrer de uma conversa coletiva entre os investigadores e os
membros da equipe, uma discusso irrompeu entre os tcnicos pre-
sentes, revelando uma histria dramtica: uma rivalidade intensa
entre o contramestre e o primeiro-adjunto, que tinha envenenado
toda a equipe e levou a uma rixa entre os dois agentes. O clima da
equipe, desgastado, tornou-se mais exacerbado. A nica manifesta-
o e ao da gerncia, que apareceu excepcionalmente no site da
equipe, foi a de substituir o adjunto, e o novato foi a pessoa que se
tornou a causa imediata do segundo incidente. Esse ltimo tinha
acreditado agir para abrandar o clima tenso da equipe, arriscando
sua vida e substituindo um agente, de improviso e precipitadamente.
O agente, na origem do primeiro incidente, tinha, por sua vez, sido a
vtima do clima deplorvel da equipe e no havia recebido o apoio
que deveria receber, ao passo que as comunicaes no interior da
equipe estavam muito frias.
Os fatores humanos, ou melhor, os fenmenos humanos im-
plicados nesses acidentes permitem compreender, em profundidade,
a gnese desses acontecimentos. Mas esses no podem ser isolados

do modo de gerenciamento do contramestre, demasiado estreito e

autoritrio, e pela ausncia manifesta de intervenes do gerencia-
mento superior, muito afastado geograficamente e particularmen-
te tolhido por problemas humanos. Assim, na procura de uma
compreenso suficientemente completa dos incidentes, passa-se
aqui, progressivamente, de uma leitura tcnica a uma anlise dos
fenmenos humanos e das relaes humanas de trabalho no inte-
rior da equipe e, em seguida, s interaes organizacionais e aos
dficits de comunicao entre a equipe, o contramestre e, do outro
lado, o gerenciamento de mais alto nvel.
JJ Dados levados em considerao na anlise organizacional

Para fazer uma anlise da segurana, qualquer que seja a natureza
da demanda, deve-se, ento, juntar os dois tipos de fenmenos: tc-
nicos, do domnio das cincias da natureza; e organizacionais, que
so do domnio das cincias humanas e sociais. Acabamos de ver
que os dois diferem particularmente no que se refere abordagem
da causalidade. O que quer dizer isso no que se refere aos dados?
De fato, a anlise organizacional da segurana se apoia na cole-
ta e no tratamento das duas classes de dados:
dados objetivos, eventualmente quantitativos, tais como a
evoluo dos efetivos e dos oramentos, as mudanas de es-
tratgia concretizadas oficialmente por notas de servio, as
modificaes estruturais da organizao, etc. A anlise leva
em conta igualmente uma cronologia de fatos que descre-
vem os acontecimentos ocorridos quando de um incidente.
Os dados quantitativos relativos aos fatores humanos,
oriundos de investigaes atravs de questionrios, perten-
cem igualmente a essa categoria. Relatrios de anlise de
incidente, notas de servio, prescries escritas (procedi-
mentos, escalas de interveno, etc.) podem ser igualmente

considerados como dados objetivos. Geralmente, os dados

objetivos podem ser rastreados.
dados de natureza subjetiva, isto , resultantes de comen-
trios, de opinies, de asseres, de apreciaes apresenta-
das pelos membros da organizao. Na maioria dos casos,
essas observaes e comentrios so argumentados e sus-
tentados56. Eles so compartilhados por um certo nmero
de pessoas, ou trazidos por um indivduo particular (por
exemplo, o lanador de alerta, como ser visto mais adian-
te). Eles sairam, na quase totalidade dos casos, de entrevis-
tas individuais ou coletivas conduzidas pelos analistas, ou,
no caso de diagnsticos organizacionais, de balanos par-
ciais ou globais ou de anlises de eventos (crises, incidentes
ou acidentes).
Assim, por exemplo, o relatrio do CAIB traz um certo nmero
desses comentrios e apreciaes do pessoal da NASA ou de comis-
ses de peritos, que vm ilustrar, explicitar ou confirmar as anli-
ses propostas ou ainda trazer uma nova dimenso s anlises. Vi-
mos exemplos disso no captulo precedente.
de se notar, tambm, que essa separao entre dados objetivos
e subjetivos no recobre a separao tcnica/organizao que
lembramos anteriormente. Podem existir dados objetivos que di-
zem respeito vida da organizao (por exemplo, tal ou tal deciso
que se pode indicar etc.) e, inversamente, dados subjetivos que di-
zem respeito aos aspectos tcnicos (por exemplo, na falta de certe-
zas, opinies, crenas a respeito do funcionamento de tal ou tal
dispositivo, mas tambm apreciaes sobre as dificuldades de uti-
lizao ou de manobra de alguns aparelhos).
56
interessante notar que esse tipo de dados no considerado nos m-
todos como a rvore de causas porque no so fatos (CRAM, 1999).

Entretanto, na anlise organizacional da segurana, fundamen-

talmente, os dados subjetivos dizem respeito aos efeitos, vividos e
experimentados pelos atores, das disposies, fatores de influncia,
fatos e processos organizacionais de nvel mais alto. Como j disse-
mos, consideramos que, atravs de sua vivncia e de sua prpria
reflexo individual ou coletiva, os prprios atores se tornam os
mais aptos a indicar as disfunes organizacionais (mas tambm as
resilincias). No entanto, as relaes assim feitas pelos atores no
devem ser tomadas como moeda corrente pelo analista: o seu tra-
balho instru-las, verific-las, trabalh-las e, por vezes, invalid-
-las... sempre compreendendo-lhes o sentido.
Explorao na profundidade
JJ
da organizao e retorno sua histria

O investigador deve produzir um diagnstico de menor custo a res-
peito do funcionamento e das disfunes de uma organizao e,
por vezes, em caso de perigo iminente, sob a presso de tempo. As
presses oramentrias crescentes nas empresas tm, com efeito,
um impacto sobre as exigncias dos comanditrios vis--vis aos
consultores. Como, nessas condies, o investigador pode estabele-
cer, com meios limitados, um esquema de inqurito para responder
necessidade de examinar, com uma profundidade suficiente, fe-
nmenos situados na profundidade da organizao?
Existem, certamente, casos extremos como aquele das misses
OSART (auditoria internacional organizada pela AIEA) em que
uma equipe numerosa passa, pelo pente fino, um site nuclear du-
rante muitas semanas e de acordo com um cdigo preciso. Mas es-
ses casos so raros e tais inspees, em geral, pouco frequentes.
Como vimos na introduo da obra, o analista ser, de preferncia,
contratado para investigaes que exigem menos recursos. pre-
ciso, ento, fazer escolhas entre as pessoas susceptveis de serem

entrevistadas no inqurito; nem todo mundo se presta a isso, mas

somente amostras representativas dos diferentes departamentos
implicados.
Como chegar a um resultado pertinente e eficaz em um tempo
mnimo? Levantamos a hiptese, comprovada pelos fatos, de que o
pessoal implicado na segurana do sistema sociotcnico detentor
de informaes suficientemente variadas e precisas para orientar o
investigador. Em geral, encontram-se nas organizaes que geren-
ciam riscos pessoas que tm maturidade suficiente, que, h muito
tempo, muitas vezes se interrogam sobre os problemas colocados e
que so no somente capazes de descrever seu trabalho, mas tambm
de terem uma opinio em relao s razes organizacionais que lhes
criam dificuldades para realiz-lo. O analista ganha um tempo pre-
cioso procedendo assim. Ele ser capaz de, particularmente, prepa-
rar uma espcie de mapa dos servios e das pessoas desses servios
que devem ser includos na sua investigao e comear sua viagem
em todas das dimenses da organizao. Cada dimenso ser mais
ou menos vasculhada em funo da situao e das necessidades da
anlise. Assim, o analista vai descrever um percurso mais ou menos
longo, mais ou menos complexo em funo do evento ou da situao
a ser analisada, da agudeza dos problemas presentes e em funo da
elaborao e do teste de suas hipteses (cf. p. 119 a 122).
Fundamentalmente, o analista explora a organizao em trs
dimenses: uma dimenso transversal e uma dimenso vertical,
que correspondem s relaes gerenciais ou hierrquicas no inte-
rior das entidades; uma dimenso temporal histrica. Vejamos do
que se trata.
JJ A dimenso transversal
O funcionamento de um sistema sociotcnico implica interaes
entre diferentes entidades. Essas entidades podem pertencer mes-

ma empresa (departamentos de Produo, de Manuteno, de Se-

gurana, Administrativos, etc.); elas podem ter relaes contra-
tuais (com fornecedores ou empresas terceirizadas); elas podem,
igualmente, manter relaes regulamentares (como entre empre-
sas de risco e suas autoridades de controle). Para gerir o sistema
sociotcnico, todas essas entidades devem se coordenar e se comu-
nicar e cooperar. Considerando o objetivo fixado, neste caso a an-
lise e a avaliao das vulnerabilidades e resilincias do ponto de
vista da segurana, os investigadores vo estabelecer a rede orga-
nizacional: da situao (no caso de um diagnstico) ou que con-
duziu ao acidente (no caso de uma anlise de evento). Isto , eles
vo elaborar a dinmica das relaes entre as entidades. Essa rede
no corresponde a um organograma porque, de um lado, partes da
organizao podem ser legitimamente ignoradas e, por outro lado,
a rede pode extravasar para fora de uma nica empresa. A rede
organizacional no , fundamentalmente, seno um instrumen-
to, que permite visualizar as interaes entre as entidades. Para
estabelec-la, o analista pesquisa, passo a passo, todos os atores im-
plicados a ttulos diversos numa situao ou num evento, seus or-
ganismos de vinculao e, no interior desses organismos, seus ge-
rentes e, em particular, os gerentes seniores encarregados de definir
a organizao do trabalho e as situaes de trabalho. Isso o leva a
construir, empiricamente, para alm das estruturas formais, no
tempo e no espao, a verdadeira rede da situao e do evento.
Durante sua anlise, a comisso Cullen reconstituiu, assim, as
relaes entre o recrutamento e a formao dos condutores de trem,
mostrando sua inadaptao recproca, mas ela mostrou, tambm,
as deficincias, sob o ngulo da segurana, das interaes entre as
mltiplas companhias ferrovirias exploradoras e a nica compa-
nhia gestionria da rede ferroviria.
No seu inqurito sobre o acidente do Columbia, o CAIB mos-
trou como as instncias de segurana das naves eram (demasiado)

dependentes das unidades de gesto das misses espaciais. O CAIB

estendeu a rede organizacional at o poder poltico que determina
os oramentos da NASA, que, de seu lado, no adaptou seus objeti-
vos em funo da evoluo desses ltimos.
JJ A dimenso vertical
Numerosas empresas ainda seguem o modelo taylorista, o que se
traduz por uma ruptura muito forte entre aqueles que decidem e
aqueles que efetuam o trabalho. Alm disso, elas so, claro, hierar-
quizadas. Essas organizaes no desapareceram: o neotaylorismo
ou o ps-taylorismo reproduz essa ruptura, mas desloca e, sobretu-
do, esbate sua fronteira. A contratualizao do desempenho em to-
dos os nveis reproduz uma relao no igualitria entre as empresas
e, no interior de cada empresa, entre colaboradores. A comunicao
entre os diferentes atores, as formas e os critrios de avaliao do
desempenho, a organizao da coordenao se transferem s unida-
des de base e, muitas vezes, aos prprios operadores, resoluo das
contradies entre todas as normas e restries que pesam sobre ati-
vidade do trabalho e alteram os modos de cooperao entre as equi-
pes e os operadores. Ora, esses modos de cooperao tm uma im-
portncia decisiva para a segurana, notadamente as interaes
entre o que constitui os recursos humanos, isto , o pessoal de cam-
po (os operadores e o corpo gerencial), os peritos e o controle.
A existncia dessa dimenso vertical exige explorar os fenme-
nos humanos e organizacionais em toda a extenso da organiza-
o. Na anlise organizacional, no , portanto, possvel nem per-
tinente limitar-se primeira linha organizacional, a dos operadores
de campo encarregados de efetuar as aes imediatas, diretas, sobre
os processos tcnicos, nem mesmo aos gerentes de primeira linha,
pela proximidade. necessrio examinar se algumas disfunes
provm da ausncia de tomadas de deciso ou, pelo contrrio, de

instrues, de decises tomadas em um nvel mais alto, s vezes, ao

nvel mais alto de todos , que se difundiram na organizao57, e
caram como chuva fina58 (Vaughan, 1997), sem que suas conse-
quncias tenham sido bem avaliadas.
No caso do acidente de Paddington, por exemplo, Lorde Cullen,
examinando a maneira como os pedidos repetidos de modificao
da sinalizao, formulados depois de diversos incidentes por dife-
rentes comisses, jamais traziam resultado, constata que havia, na
zona de Paddington uma cultura do laisser-faire* profundamen-
te ancorada na sociedade de gesto das infraestruturas da rede fer-
roviria. Uma resistncia inegvel impedia de levar em considera-
o as solues de melhoria da segurana que pudessem afetar o
desempenho ou a capacidade da rede. O gerenciamento de alto n-
vel (snior) nada fez para mudar essa situao. De acordo com
Lord Cullen, as deficincias gerenciais ocasionavam um grande n-
mero de reunies, um grande nmero de discusses, mas no muitas
57
O CAIB (CAIB, 2003) fustiga as mudanas incessantes que o progra-
ma de gerenciamento das misses espaciais provoca: Faster, Better, Che-
aper lanado pelo administrador Daniel Goldin nos incios dos anos
90: Goldin concebeu no uma ou duas mudanas, mas uma torrente de
mudanas. Isso no foi uma evoluo, mas uma mudana radical ou des-
contnua. Como presidente da NASA, ele ocasionou um caos contnuo, con-
tra o qual o programa das navetas espaciais estava desprotegido (CAIB,
2003, p. 105).
A ser igualmente lembrado: O pessoal dos programas das naves e da estao
[espacial internacional] se reencontrava, finalmente, com instrues que um
empregado descreveu como permanentemente inconstantes, inconstantes,
inconstantes. (veja-se a repetio).
58
A expresso inglesa : trickle-down effect, de to trickle: fluir (gota a
gota), gotejar.
* Uma cultura do laisser-faire (deixar fazer) aquela que prega a no
interveno naquilo que os outros fazem. (N.T.)

aes. A ineficcia de grupos de trabalho encarregados da questo

se explicava por uma rotatividade exagerada dos membros que
compunham esses grupos e pela perda do sentido coletivo dos agu-
lheiros por exemplo, o trabalho em comum com o dos condu-
tores (Cullen, 2000).
O CAIB forneceu, tambm, numerosos exemplos de sequncias
de informaes bloqueadas numa estrutura burocrtica como a
NASA. No que se refere particularmente ao acidente da nave Co-
lumbia, ele mostrou como, a despeito de fortes suspeitas de um
choque da nave com um fragmento do isolamento, o Grupo de
Anlise de Detritos (Debris Assessment Team) no conseguiu se
fazer escutar pelo chefe da misso e no obteve autorizao para
fazer proceder a um exame das condies da nave antes de sua en-
trada na atmosfera terrestre. A Comisso mostrou, tambm, o im-
pacto desfavorvel das tomadas de deciso erradas dos gerentes,
quando essas no se apoiam em conhecimentos dos peritos e no
questionam, suficientemente, esses conhecimentos.
Muitas empresas conhecem hoje essa tendncia expressiva: o co-
mit diretor ignora o corpo gerencial de alto nvel muitas vezes expe-
riente, recorrendo a consultores externos quando das reestrutura-
es, em operaes chamadas de reengenharia.
JJ A dimenso temporal
Como mencionamos, Barry Turner (Turner e Pidgeon, 1997, p. 72-
74) postula a existncia de um perodo de incubao de um aci-
dente durante o qual os acontecimentos no so percebidos como
significativos ou no so compreendidos, em razo das falsas hip-
teses a respeito de sua origem. Da mesma forma, Michel Llory
(Llory, 1998) nos lembra que o acidente no comea com a irrupo
da sequncia acidental ltima; a anlise exige, por conseguinte, recu-
ar no tempo, [...]. A importncia da Histria , tambm, salienta-

da por Diane Vaughan (Vaughan, 2005, p. 41), que estabelece que

o problema da eroso do O-ring [junta de vedao] que causou a
perda do Challenger e o dos pedaos de isolante que levaram destrui-
o, em pleno cu, do Columbia tm os dois uma longa histria. A
necessidade de voltar no tempo foi sentida pelas duas comisses
de inqurito a propsito das perdas das naves espaciais, que intitu-
laram um captulo do relato sobre elas: Um acidente enraizado na
histria para a nave Challenger (Comisso Presidencial, 1986) e de
maneira ainda mais significativa: A histria como causa, para a
nave Columbia (CAIB, 2003).
A anlise organizacional pede, ento, que sejam examinadas as
condies e os fenmenos de degradao da segurana e que se evi-
denciem seja as disfunes significativas que no foram perce-
bidas como tal em tempo real, mas que revelam sua pertinncia
depois do acidente no caso de uma anlise de evento, seja o con-
texto histrico da situao estudada no caso de um diagnstico.
Assim, a comisso Cullen se interessou pela histria do local do
sinal transposto pelo condutor do trem na sada da estao de Pa-
ddington, para compreender a m localizao desse sinal e a sua falta
de legibilidade, uma das causas do acidente relatado no captulo 1 e
de numerosos quase acidentes. Ela volta a alguns anos antes, at
deciso da troca de sinalizao geral da entrada e sada da estao,
ocasionada pela deciso de mudar as vias para bidirecional e de au-
mentar a velocidade dos trens para enfrentar o aumento do trfego.
No que diz respeito ao CAIB, ele analisou os descolamentos do
isolante do reservatrio externo para todos os voos da nave espacial
at a misso fatal e mostrou a degradao da percepo do perigo
desse fenmeno no interior da NASA. O CAIB contextualizou essa
situao estudando os efeitos do programa de gesto dos projetos
implementado no meio dos anos 90 e, em particular, a diminuio
dos efetivos e dos recursos financeiros. Ele mostrou, igualmente,

como a direo da NASA tinha negligenciado os resultados das di-

versas auditorias antes do acidente da Columbia (CAIB, 2003).
No caso do acidente de Texas City, o CSB estudou a maneira
como a refinaria BP levava em considerao os acidentes aconteci-
dos antes da exploso de 2005 e descobriu que ela estava focalizada
nos resultados da segurana do trabalho, fazendo implicitamente
a hiptese de que esta ltima e a segurana industrial respondiam
s mesmas exigncias e tinham resultados inevitavelmente para-
lelos (US CSB, 2007).
JJA importncia do perodo de incubao para a anlise

e para a ao
Voltemos importante noo do perodo de incubao e s suas
implicaes para o analista. Uma das questes mais importantes,
que nos colocamos quando comeamos a nos interessar pela segu-
rana, : O acidente previsvel? Com efeito, levanta-se a questo
de saber se o acidente sobrevm brutalmente como poderia parecer.
De fato, em razo da brutalidade de alguns acidentes de avio, de
algumas exploses qumicas, etc., um exame superficial poderia
confirmar a subitaneidade e a imprevisibilidade do acidente. Se
fosse o caso, as organizaes que geram os riscos e os especialistas
da segurana estariam numa situao particularmente difcil, dada
a impossibilidade de prevenir os acidentes. Eles seriam condenados
a desenvolver dispositivos de segurana sem poder prever a ocor-
rncia possvel de um acidente.
Seria ento interessante, voltando aos estudos anglo-saxes
(Turner, 1978), descobrir se os acidentes so sempre precedidos de
um perodo mais ou menos longo de degradao da segurana e de
emergncia de alguns perigos. Essa uma oportunidade para toda
a comunidade de especialistas e prticos da segurana, sobretudo
para aqueles que procuram conhecer as organizaes: a chance de

antecipar um acidente muito maior. Esse perodo, que Turner

chamou de perodo de incubao de acidente, caracteriza-se pela
emergncia de sintomas ou de sinais anunciadores de um possvel
acidente e que se pode classificar de maneira simples: sinais fracos
e repetitivos, incidentes menores mas frequentes, incidentes mais
graves, indo at a quase acidentes em relao aos quais os experts
concordam em dizer que faltava pouco para que acontecesse uma
catstrofe. No se pode confundir o perodo de incubao, que
pode ser muito longo, e a sequncia acidental que desencadeada
por um iniciador e que pode ser, ao contrrio, muito curta (por
exemplo, o perodo de incubao no acidente da nave Challenger
pode ser estimado em 13 anos, sendo de 73 segundos a sequncia
acidental, entre queima dos boosters e a exploso da nave).
O exame desse perodo de incubao necessita da referncia a
estudos de riscos para julgar a gravidade dos acontecimentos sinto-
mticos que a se produzem. No caso da nave Challenger, por exem-
plo, uma probabilidade no negligencivel existia: ocorrer um va-
zamento nas junturas dos boosters e, consequentemente, um
potencial escape de gs a alta temperatura em direo nave e ao
reservatrio principal. A gravidade caracterizada em funo do
ngulo do jato e do prejuzo possvel que esse jato pode trazer a
uma parte sensvel. Uma anlise teria mostrado que no interior, de
um certo ngulo, o jato poderia muito rapidamente (em algumas
dezenas de segundos, por efeito do canio) perfurar o reservatrio
principal. De qualquer maneira, era possvel mostrar que o reserva-
trio poderia ser perfurado antes que os boosters se destacassem da
nave. V-se bem aqui a imbricao dos aspectos tcnicos e organi-
zacionais: por que esse estudo de risco, de resto bastante simples,
no foi feito? Cabe ao grupo de todas as organizaes de segurana
fazer esse trabalho.
Se a ocorrncia de um incidente grave ou de um acidente pode
ser considerada como o resultado de um processo mais ou menos

longo de degradao, acompanhada de sinais de deteriorao, o lei-

tor pode se perguntar por que esse perodo de incubao no
mais utilizado para interromper o processo, tomando-se medidas
para melhoria da segurana. Infelizmente, muitas vezes os sinais de
deteriorao que aparecem no so percebidos como tal, porque es-
to em contradio com as crenas compartilhadas no interior da
organizao a respeito dos riscos e da maneira de gerenci-los (Tur-
ner, 1978). A gravidade dos riscos se revela ignorada ou minimizada.
Seria possvel, entretanto, objetar que os sistemas sociotcnicos se
encontram quase sempre em um perodo de incubao potencial.
Panes latentes, defeitos tcnicos no dormem no sistema? A organi-
zao no apresenta dficits, fraquezas? E isso revelia do pessoal?
Algo de desfavorvel para a segurana no se mostra sempre incuba-
do? O analista e os peritos e gerentes desses sistemas sociotcnicos
correm o risco de evoluir para uma forma de paranoia, de sempre
encontrar sinais de disfunes inquietantes ou de perigos prov-
veis! aqui que o conhecimento aprofundado dos acidentes, de sua
gnese, assim como de sua dinmica de desenvolvimento, se torna
indispensvel. Do mesmo modo, necessrio contar com os poten-
ciais lanadores de alerta no interior da organizao Da a importn-
cia primordial de garantir uma expresso muito livre quando das
investigaes que visam avaliao da segurana. A experincia
mostra que os membros do pessoal, desde que eles tenham oportuni-
dade para isso, no deixam de chamar a ateno dos investigadores a
respeito dos potenciais inimigos mais ou menos iminentes, das fa-
lhas e disfunes organizacionais crticas ou patolgicas. Esses aler-
tas devem ser relacionados aos riscos reais em que se incorre, o que
pode exigir estudos de risco suplementares e, em todo caso, o exame
da resposta trazida ou no pela organizao, como ns veremos
quando tratarmos do diagnstico (cf. p. 1132 a 134).
No fundo, j se pode pressentir, o julgamento de segurana
relativo a um sistema complexo uma operao delicada na qual

intervm dados de investigao, a experincia dos analistas, os co-

nhecimentos relacionados a situaes organizacionais que redun-
daram em acidentes e o grau de inquietude e alerta do prprio pes-
soal. Assim, quanto ao diagnstico potencial do acidente, provvel,
ou mesmo iminente, vo intervir significativamente o medo do
pessoal de campo e suas recriminaes no que diz respeito ao esta-
do da instalao (por exemplo, no caso do acidente de Texas City),
os numerosos alertas formulados por um nvel hierrquico relati-
vamente elevado caso do naufrgio do Herald of Free Entreprise,
cf. p. 116 , as apreciaes do pessoal, relacionadas ao sentimento
de saturao frente s tarefas que lhes possvel cumprir (acidente
da nave Columbia), etc.
JJ Os lanadores de alerta
Durante o perodo de incubao, o reconhecimento do perigo e as
possibilidades de correo que disso decorrem so atestadas pelo
fenmeno dos lanadores de alerta. Na maioria dos casos, uma
pessoa isolada, ou um pequeno grupo que ocupa na organizao
um lugar privilegiado com acesso aos problemas de segurana, ten-
ta alertar as autoridades da organizao para que elas tomem deci-
ses. De fato, examinando um grande nmero de acidentes, confir-
mamos a existncia, quase sistemtica, desses lanadores de alerta,
que teriam permitido evitar o acidente se tivessem sido escutados.
Muitas vezes, ocupam um posto de responsabilidade, o que d um
peso particular a seu alerta. Eles podem tambm ser considerados
como fatores importantes de resistncia.
A ttulo de exemplo, ilustrando a existncia de lanadores de
alerta, vamos considerar a histria da senhora Forster, diretora de
produo e de segurana da companhia First Great Western, que
ns destacamos no relatrio sobre o acidente de Paddington (Cul-
len, 2000, p. 117 e 118).

Essa histria constitui uma verdadeira saga. A Sra. Foster es-

creveu diversas vezes aos responsveis pela companhia Railtrack a
gestora da rede ferroviria na Wester Zone, para pedir solues
eficazes para os riscos de avano de sinal vermelho nas vizinhanas
da estao de Paddington. Ns vamos resumir os episdios mais
marcantes dessa saga.
Depois de um novo avano do vermelho do sinal SN 10959,
no dia 6 de agosto de 1998, a Sra. Forster escreveu, no final
de agosto de 1998, uma carta ao Sr. Wilkinson, responsvel
pela produo, que havia recentemente constitudo um gru-
po de trabalho a respeito dos problemas de sinalizao. Ela
perguntava qual ao seria tomada por esse grupo de traba-
lho para atenuar o risco elevado apresentado por este sinal.
O Sr. Wilkinson respondeu que ele esperava concluses de
um relatrio sobre esse problema num futuro prximo e que
isso garantiria que solues eficazes poderiam ser imple-
mentadas. De fato, nenhum relatrio aconteceu, e o Sr. Wil
kinson mudou de posto em setembro de 1998.
A Sra. Forster escreveu em seguida, no dia 22 de dezembro
de 1998, ao Sr. Melanophy que deveria dirigir um novo gru-
po de trabalho a respeito do assunto ultrapassagens de si-
nal vermelho. A responsvel se referia a um srio problema
de m leitura dos sinais pelos condutores na regio de Pad
dington. Ela acrescentava lcida: Eu no creio que as escalas
de tempo desse grupo de trabalho sejam suficientes para dimi-
nuir riscos to patentes. O Sr. Melanophy lhe prometeu
uma avaliao completa dos riscos. Quando de sua reunio
com um grupo de gerenciamento da segurana, (no dedi-
59
O stimo desde a modernizao da infraestrutura ferroviria na re-
gio de Paddington em 1993.

cado especificamente aos sinais vermelhos), no dia 16 de

dezembro, esse ltimo tinha anunciado sua inteno de pe-
dir ajuda ao escritrio de consultores W. S. Atkins para estu-
do do problema.
Em uma carta do dia 23 de fevereiro de 1999, dirigida Sra.
Forster, o Sr. Melanophy escrevia: Outorguei procurao a
W. S. Atkins para que ele examine a sinalizao de Paddington
em Ladbroke Groven, e esse exame dever acontecer nos prxi-
mos meses. Mas nenhum contrato foi feito com o escritrio
de W. S. Atkins. No houve, de fato, nenhum estudo! O Sr.
Melanophy deixou a regio no dia 4 de maio de 1999.
O Sr. Mc Naughton, substituto de M. Wilkinson, que estava
presente na reunio de gerenciamento de segurana do dia
16 de dezembro de 1998 e tinha aprovado a proposta do Sr.
Melanophy, no anotou essa proposta e, mais tarde, no le-
vou em considerao a ausncia de ao. O sr. Holmes, por
sua vez, substituiu o Sr. Mc Naughton em maro de 1999.
Jamais foi informado da inteno de se fazer um contrato
com W. S. Atkins, para analisar os problemas de sinalizao
da regio de Paddington.
No dia 9 de junho de 1999, quase um ano depois da sua pri-
meira carta, a sra. Forster escreveu, de novo, ao Sr. Holmes,
dessa vez para assinalar que a Railtrack havia prometido
uma anlise maior da sinalizao. Ela escrevia particular-
mente: Eu estou seriamente preocupada porque, depois de
todo esse tempo (passado em um certo nmero de reunies du-
rante as quais eram discutidos os mtodos para diminuir os
avanos de sinais ao vermelho), pedem-me que examine uma
soluo para um problema analisado de maneira especfica de-
pois de um acontecimento singular. Se continuamos dessa ma-
neira, cada problema ter sua prpria soluo, mas essa vai

provocar um novo risco. Ela no recebeu resposta sua carta.

O Sr. Holmes, mais tarde, vai afirmar comisso de inqu-
rito que ele no estava a par da misso dada ao grupo criado
pelo Sr. Wilkinson um ano antes, mas que a maioria das
questes de sinalizao teriam sido retomadas e examinadas
pelo novo grupo de trabalho que ele mesmo havia criado em
seguida a uma iniciativa no plano nacional e que se dedicou
a esse trabalho desde junho de 1999. Para ele, no parecia que
os problemas pudessem ter sido perdidos de vista60.
O vero de 1999 se passou em reunies do novo grupo de traba-
lho sem que nenhuma deciso tivesse sido tomada, at o novo avan-
o do vermelho do sinal SN109, no dia 5 de outubro e a catstrofe
que se seguiu.
Pode-se pensar que, no caso do acidente de Texas City, o escri-
trio de consultores Telos teve um papel de lanador de alerta que,
ainda que tardiamente, teria evitado, se tivesse sido escutado, a ex-
ploso da refinaria.
No caso do naufrgio do Herald of Free Enterprise, foram os ca-
pites de balsas que tiveram o papel de lanadores de alerta junto
direo de sua companhia, a companhia de ferry-boats Townsend,
para assinalar um certo nmero de disfunes da organizao de
segurana e, muito particularmente, a ausncia do indicador lumi-
60
Uma das dificuldades da Sra. Forster era discernir o grupo de trabalho
pertinente para responder s suas questes. Com efeito, pelo menos qua-
tro grupos trabalhavam mais ou menos paralelamente sobre as questes
dos sinais de passagem ao vermelho. A esse respeito, em uma de suas car-
tas, ela pedia ao Sr. Holmes, entre outros, esclarecimentos quanto s dife-
rentes atribuies dos diversos grupos de trabalho. A comisso Cullen
nota que a proliferao de grupos que se ocupam de temas semelhantes
ocasiona confuso. Membros de um grupo pensavam, erroneamente, que
algumas questes estavam a cargo de outro grupo.

noso do fechamento da porta dianteira dos ferries, crucial no plano

da segurana e do risco de naufrgio (Llory, 1999). Da ponte de
comando dos navios, a posio da porta no era visvel. Os capites
pediam que a indicao do fechamento fosse deslocada para o nvel
da ponte de comando, o que foi recusado pelos diretores na terra.
No dia 6 de maro de 1987, o Herald of Free Enterprise soltou as
amarras e levantou ncoras com a porta dianteira aberta revelia
do comando do navio, o que ocasionou a morte de 188 pessoas e
muitos feridos. O relatrio do inqurito (Departamento de Trans-
portes, 1987) comenta sublinhando: Se a sugesto pertinente de
que indicadores luminosos fossem instalados tivesse recebido, em
1985, a considerao sria que ela merecia, seria pelo menos pos-
svel que eles tivessem sido colocados nos primeiros meses de 1986,
e esse desastre teria sido evitado.
JJAbordagem clnica e Abordagem compreensiva

Chegado a esse ponto, o leitor pode, igualmente, pressentir que os
acidentes e, portanto, tambm a segurana colocam em jogo
diferentes instncias da organizao, diferentes estratos dessa orga-
nizao e diferentes nveis de expertise. Acabamos de ver, com efei-
to, que eles implicam as pessoas encarregadas da direo das insta-
laes tcnicas, mas tambm os analistas de risco, os responsveis
pela segurana, etc. Ns vemos que a anlise organizacional exige
que a organizao seja explorada em toda sua profundidade, em
toda sua estrutura e mesmo que se recue no tempo. Mas como fazer
(isso) de maneira mais precisa? Como apropriar-se disso, ento,
para desenvolver a anlise organizacional da segurana? J evoca-
mos, diversas vezes, o recurso palavra do pessoal, em todos os
nveis da organizao (gerenciamento snior, gerenciamento de
primeira linha, pessoal de campo). Mas como suscit-la e recolh-
-la com o mximo de garantia de transparncia e autenticidade?

Tais so as questes que o analista deve se fazer agora e s quais ns

vamos trazer alguns elementos como resposta.
JJ A anlise organizacional: uma abordagem clnica

Em primeiro lugar, a anlise organizacional considera a situao es-
tudada em sua singularidade. Assim, o CAIB se inclinou, durante
longo tempo, sobre as interaes que resultaram na falta de tomada
de deciso do gerenciamento da misso da nave Columbia quanto
obteno de uma melhor imagem, de uma viso mais precisa da asa
danificada (CAIB, 2003). O CSB, por sua vez, examinou, em detalhe,
a gesto da segurana na refinaria da BP em Texas City para mostrar
que os gerentes tinham seu foco na segurana do trabalho (preven-
o dos acidentes de trabalho) e abandonavam ou ignoravam a segu-
rana industrial (segurana dos processos) (US CSB, 2007).
Em seguida, para buscar as especificidades e as singularidades
da situao a estudar, uma anlise organizacional no pode fazer
economia de uma investigao de campo ou, no mnimo, da utili-
zao de dados oriundos do campo. A esse respeito, interessante
notar que, sem a presena do prmio Nobel de fsica Richard Feyn-
man na comisso de inqurito presidencial relacionada ao acidente
da nave espacial Challenger (no dia 28 de janeiro de 1986), que in-
sistiu em encontrar o pessoal de campo nos sites da NASA, a inves-
tigao teria podido apoiar-se somente nos alvitres e opinies dos
gerentes de diferentes nveis sem contactos aprofundados com
os engenheiros de base e os tcnicos da NASA (Feynman, 1988) e
talvez passar ao largo das causas reais do acidente.
A anlise organizacional muniu-se, para a coleta de dados, so-
bretudo dados de entrevistas, de um arsenal metodolgico do qual
damos a seguir um apanhado. Alm disso, a anlise do caso singu-
lar se apoia num conjunto de conhecimentos sados, em particu-
lar, do estudo de numerosos outros casos singulares para diag-

nosticar as patologias ou vulnerabilidades e a solidez da organizao.

O diagnstico preparado ao longo da anlise por um jogo de idas
e vindas contnuas entre constataes (dados coletados), hipteses
(julgamentos frente s constataes) e procura de novos dados
(para validar ou invalidar as hipteses). Quando de uma investiga-
o, o analista deve mostrar dvida, esprito crtico e, constante-
mente, interrogar de novo sua prtica: (Meu nvel de escuta sufi-
ciente? Minha atitude apresenta um bom grau de empatia? Eu no
teria feito uma comparao demasiado rpida a uma situao j
conhecida? Etc.).
Enfim, vimos na introduo da obra que uma anlise organiza-
cional, seja para uma investigao de acidente, seja para um diag-
nstico de situao, no pode se desenvolver seno se ela se torna o
objeto de uma demanda, se possvel consensual no interior de uma
organizao. Essa exigncia um elemento primordial para reunir
as condies de uma interveno eficaz. Assim, a implementao
de uma anlise organizacional possui todas as caractersticas do
que se chama habitualmente abordagem clnica.
JJ Uma construo progressiva da anlise

Encontra-se somente o que se procura! Uma anlise organizacional
no se resume em uma aplicao rigorosa de um mtodo bem-azei-
tado. Ainda que ela se apoie num conjunto de conhecimentos, os
conhecimentos de segundo plano, na contribuio dos acidentes
industriais, nos aspectos metodolgicos, etc., a anlise sobretudo
um percurso balizado por hipteses a construir e a confirmar ou
anular e guiada, no por esquemas ou grades de anlise precon-
cebidas e fechadas, mas pelas informaes coletadas. Esse percurso
feito de idas e vindas (ver o que precede) pontuados, entre ou-
tros, por um olhar crtico a respeito dos dados coletados, que per-
mitem que o diagnstico seja elaborado e refinado medida que se
avana na anlise.

Mas esta tambm uma coconstruo do analista e do pessoal

da organizao. Com efeito, para ns, o analista no visa registrar
passivamente o que os membros da organizao lhe dizem sobre a
segurana ou sobre a organizao para, em seguida, restitu-la. In-
vestido, implcita ou explicitamente, de um objetivo de domnio
ou pelo menos de melhoria da segurana, suas interaes com os
membros da organizao, no quadro do inqurito, visam ajud-los
a construir e a dizer sua verdade sobre a segurana e sobre a orga-
nizao, verdade da qual eles no tinham necessariamente total
conscincia; verdade sem dvida parcial e diferente segundo seu
lugar na organizao. A perspectiva do analista mais aquela de
uma maiutica que a de uma fotografia.
Como proceder, por exemplo, para mergulhar na profundida-
de da organizao? necessrio, evidentemente, passar pelos
membros da organizao. impossvel ter uma viso eficaz sem
passar por eles. Esses ltimos esto frente do analista, que no
pode, num tempo limitado, descobrir tudo sozinho a partir de do-
cumentos ou no campo. Por outro lado, o analista no est desam-
parado porque, quando ele solicita s pessoas que falem do seu tra-
balho, efetua-se um deslizamento. A experincia mostra que, no
momento das entrevistas, passa-se insensivelmente de um discurso
sobre o trabalho de todos os dias e o posto de trabalho (o que inte-
ressa particularmente aos ergonomistas) a um discurso sobre os
aspectos mais macroscpicos que dizem respeito ao funcionamen-
to da organizao e o que nele se percebe. Desliza-se, muitas vezes,
sem parar; o pessoal no pode se impedir de relacionar seus proble-
mas de trabalho a problemticas mais amplas que dizem respeito
organizao e, em primeiro lugar, organizao do trabalho, dos
departamentos ou servios, das relaes entre departamentos, etc.
O analista se beneficia com essa tendncia.
No movimento entre falas sobre o trabalho pessoal e falas sobre
a organizao, o analista descobre problemas, sua natureza, sua

amplitude e sua gravidade potencial e se entrega a uma investigao

mais aprofundada. Ele procede por camadas, aprofundamentos su-
cessivos, abandonos provisrios, voltas para trs, generalizaes
prudentes. a que reside o fundamento da prtica da anlise orga-
nizacional. Graas, tambm, a comparaes entre as falas de dife-
rentes equipes entrevistadas ou a comparaes entre equipes de
departamentos diferentes, o analista constri progressivamente
uma representao, uma viso da organizao. O analista com-
pleta as entrevistas sobre o trabalho com anlises de incidente (se
que ele no comeou assim). Ele interroga as pessoas as mais diver-
sas, no somente aquelas que esto diretamente relacionadas ao
incidente, ele entrevista tambm seus pares.
Mas quais podem ser os critrios que permitem a interrupo
da investigao clnica? At onde aprofundar? Obrigado pelos
meios limitados do inqurito e com a preocupao da eficcia, o
analista faz a escolha de explorar as pistas que parecem as mais
prometedoras em matria de melhoria da segurana. No h verda-
deiramente critrio de interrupo bem-definido de anlise clni-
ca, se no a dupla convico do analista:
de que a viso da organizao qual ele chegou lhe parece
suficientemente pertinente e equilibrada;
de que os diferentes atores com os quais ele tem de se haver
encontraram a via do debate sobre as pistas para o progresso
da segurana.
Sua experincia e seus conhecimentos em matria de acidentes,
de disfunes organizacionais e de segurana lhe permitem asse-
gurar que todas as problemticas especficas foram bem-aborda-
das; que sua viso da organizao no comporta lacuna pelo
menos para o campo de estudo correspondendo demanda ; que os
sinais e os sintomas que correspondem a fatores organizacionais pa-
tognicos (tais como sero definidos posteriormente) ou a fatores

resilientes identificados esto bem-identificados e so significati-

vos; que ele considerou outros fatores importantes para a seguran-
a e justificou no os reter e no os explorar. Mas, de qualquer
modo, vo permanecer zonas de sombra que ele no pode ou no
julgou oportuno investigar!
JJ A abordagem compreensiva
Ns j mencionamos, muitas vezes, que para ns a anlise organiza-
cional deveria ser baseada numa abordagem compreensiva. Embora
ns j tenhamos revelado um pouco as razes disso (cf. p. 117 a 119),
o leitor pode ainda se perguntar em que consiste uma tal abordagem.
A necessidade de uma abordagem compreensiva na anlise or-
ganizacional acompanha o estatuto importante conferido s infor-
maes subjetivas (cf. p. 101 a 103). Assim, os empregados da NASA,
que afirmam trabalhar com o revlver sobre a tmpora (CAIB,
2003, p. 134) expressam com fora a presso existente na organiza-
o em relao aos plannings e sentida por eles, o que nenhuma
informao objetiva, at mesmo quantitativa, pode evidentemente
traduzir. Da mesma forma, quando o agulheiro declara comisso
de inqurito, depois da coliso de trens em Ladbroke Grove, que se
um condutor no para com o sinal de trnsito ele que deve ser cen-
surado (Cullen, 2000, p. 95), ele informa, ao mesmo tempo, sobre
a destruio do coletivo de trabalho entre agulheiros e condutores
e sobre a atitude isolada dos agulheiros61 que no se sentem respon-
sveis pela segurana da circulao de trens.
Para chegar a esse tipo de dados subjetivos e a outros lembrados
anteriormente sobre o trabalho como razes, opinies, crenas, o
sentido dado vivncia, etc. , preciso, evidentemente, entrevistar
61
Do ponto de vista metodolgico, coletar uma informao de um ator
permite elaborar uma hiptese que exige um trabalho de validao.

as pessoas. Somente elas podem nos dizer o que vivem no seu tra-
balho, de que maneira elas vivem esse trabalho, a que atribuem
suas dificuldades, o que elas sentem e pensam dele. A entrevista
individual ou coletiva com o pessoal o dispositivo de base para
uma aproximao compreensiva das situaes de trabalho e das si-
tuaes organizacionais. As entrevistas so compreensivas na
medida em que os investigadores se esforam para entrar na com-
preenso que os atores tm de seu trabalho e da vida comum, roti-
neira da organizao.
No entanto, no suficiente, evidentemente, propor-lhes dire-
tamente a questo. Trata-se de proceder a entrevistas ditas com-
preensivas, em um quadro e em circunstncias bem-definidas,
com protocolos precisos, prprios para liberar a fala e a garantir
sua autenticidade e fiabilidade. Os pormenores dessas tcnicas de
conversao vo alm do quadro restrito desta obra, mas o analista
que necessariamente chamado a implement-las deve conhe-
c-las (Kauffmann, 1996). Na prtica, as condies ideais so, s
vezes, difceis de serem cumpridas; elas dependem do contexto da
interveno, do tempo disponvel. O analista levar isso em consi-
derao na utilizao e interpretao dos dados assim coletados.
A competncia e o savoir-faire, a habilidade do analista62 nessa
rea e sua trajetria pessoal, sua relao com os atores confrontados
com os riscos tm um papel importante na qualidade da anlise.
Porque, nessa fase da anlise organizacional, o analista deve se im-
pedir de impor sua prpria verdade ou qualquer verdade acadmica
em relao s situaes e aos acontecimentos concretos investiga-
dos. Ele deve, de modo especial, evitar compar-los intempestiva-
A variedade de situaes de investigao encontradas seria justificati-

62
va para uma obra completa sobre esses aspectos prticos da anlise orga-
nizacional da segurana.

mente a situaes ou a acontecimentos j encontrados e dos quais

ele desvendou as causas. Atravs de todos os tipos de precauo, ele
deve evitar induzir respostas para suas questes ou levar a dizer o
que ele gostaria de ouvir. Essa uma posio tanto mais difcil de
manter quanto, muitas vezes, os solicitantes se dirigem a ele tendo
em vista o que eles sabem do seu percurso passado.
O analista vai se esforar por se manter neutro, com uma boa
dose de empatia: sua atitude deve ser, antes de tudo, totalmente aber-
ta e de escuta. Mas uma escuta ativa: se julgar til para o inqurito,
o analista vai pedir aprofundamentos, vai relevar contradies nos
relatos apresentados por diferentes entrevistados, etc. Ele vai utili-
zar tambm sua experincia e seus conhecimentos para intervir
com discernimento, para voltar ao essencial no dilogo e abordar
temas que os entrevistados no abordam espontaneamente. E,
como j se teve ocasio de dizer, isso no vai impedi-lo de manter
seu senso crtico63 sempre em alerta!
Somente depois disso, aps a passagem pelo crivo da crtica e
muitos recortes, ele vai proceder a uma anlise sobre a maneira
como as diferentes pessoas ou grupos de pessoas entrevistadas
compreendem a segurana, sua organizao (ou tal ou tal evento).
Evidentemente, o analista enfrenta riscos assim procedendo: h
uma parte de arbitrrio na sua maneira de proceder, e ele pode se
deixar manipular. Mas, para minimizar os riscos, ele implementa
as precaues necessrias (por exemplo, compor grupos de entre-
vista especficos ou adaptados situao estudada, atribuir as en-
trevistas a diversos investigadores, utilizar protocolos rigorosos,
etc.). Nessas conversas, ele ter necessidade de informaes tcnicas
63
A dificuldade para obter todas essas qualidades no decorrer da inves-
tigao convida, alis vivamente, a constituir uma equipe de analistas
com formao e caminhos profissionais diferentes.

para poder entrar novamente na lgica dos atores e, ento, preciso

tambm que lhe sejam explicados esses elementos pelos tcnicos.
Fundamentalmente, o analista levado a utilizar dois tipos de da-
dos j assinalados tcnicos, de um lado, sociolgicos e humanos
de outro. Largamente tributrio da fala humana, no lhe interdi-
tado bem ao contrrio se apoiar tambm em dados objetivos se
ele pode dispor deles (documentao, observaes, etc.) e relacio-
n-los com os dados das entrevistas.
JJA abordagem descritiva e os fatores

organizacionais patognicos
O analista, depois de ter explorado a organizao com os mtodos
que se acabou de ver, acumulou dados. Ele no pde, verdadeiramen-
te, explorar a totalidade dos aspectos organizacionais, mas somente
aqueles contidos no campo de anlise relacionada segurana, defi-
nido em unio com os atores; contudo, ele obteve elementos srios
para a compreenso das disfunes e resilincias organizacionais,
como tambm de suas origens e fatores de influncia subjacentes.
Agora ele deve colocar seus dados em ordem, em um relato coe
rente, traduzindo uma interpretao64 to clara quanto possvel da
situao na qual se encontra a organizao do ponto de vista da segu-
rana ou outro caso de demanda traduzindo uma compreenso
dos fatores organizacionais que tiveram um papel decisivo na gnese
de um evento grave. Como descrever todos esses elementos? Como
vamos ver, o analista entra, ento, em uma fase de descrio que de
uma grande importncia: a redao do relatrio de investigao.
64
A anlise, por fora do mtodo empregado e pelas necessidades do in-
qurito, j reduziu o conjunto de hipteses possveis a respeito do estado da
organizao a um subconjunto. O analista vai propor uma que lhe prpria
e a mais adaptada ao objeto de demanda de interveno que lhe foi feita.

JJ A descrio densa
A anlise de uma situao requer a elaborao de uma descrio
detalhada, no somente dos fatos, mas tambm dos elementos sub-
jetivos e culturais. O clima da organizao, a vivncia do trabalho e
suas dificuldades pedem comentrios, apreciaes dos atores (ge-
rentes, peritos, pessoal de campo) sempre impregnados de uma cer-
ta subjetividade: sob essa condio que se pode atingir o sentido
que tm para os atores as situaes organizacionais da empresa.
essa descrio detalhada, que ns chamamos aqui, segundo os ter-
mos do antroplogo Clifford Geertz (Geertz, 1998), a descrio
densa. Ela construda a partir da explorao das dimenses fun-
damentais da anlise organizacional que j vimos anteriormente.
De maneira geral, mesmo que se trate de uma anlise de evento ou
de diagnstico organizacional, necessrio articular dados objetivos
e dados subjetivos (mas integrados de maneira crtica). A descrio
densa relativa anlise de um evento grave no se limita ao estabele-
cimento de uma cronologia da sequncia incidental (ou acidental).
Ela inclui, tambm, o perodo de incubao do acontecimento (Tur-
ner, 1978) e precisa e articula as causas profundas, organizacionais, a
partir das causas diretas, imediatas do acontecimento (erros huma-
nos e/ou defeitos tcnicos). O relatrio de Lorde Cullen sobre o aci-
dente de Paddington uma perfeita ilustrao disso.
No caso de um diagnstico organizacional, trata-se da apresen-
tao detalhada das vulnerabilidades (e das resilincias) do sistema
sociotcnico e de suas causas profundas e organizacionais, numa
perspectiva dinmica, isto , em termos de evolues (agravamentos,
degradaes, melhorias, reforos positivos). O diagnstico se apoia na
histria do sistema sociotcnico (fatos marcantes, incidentes, crises,
mudanas tcnicas e gerenciais, etc.). Essa apresentao no uma
simples enumerao mais ou menos ordenada de causas, de vulnera-
bilidades ou de disfunes organizacionais ou ainda de pontos fracos

e de pontos fortes , como essas listas de causas que parecem agra-

dar particularmente aos engenheiros. Trata-se de uma descrio articu-
lada na qual a influncia recproca, mtua, os reforos ou as compen-
saes dos fatores so analisados em relao com os riscos e os efeitos
humanos e organizacionais correspondentes. a descrio densa que
permite descrever a dinmica e a complexidade das interaes entre
os diferentes atores e as diferentes entidades da organizao. As cita-
es judiciosamente tiradas das entrevistas do vida aos atores e sua
vivncia, atenuando assim o carter abstrato do relatrio.
Mas a descrio densa traa a prpria histria da investigao.
Os resultados da anlise dependem, em parte, da maneira como ela
se desenvolveu e preciso retraar seu caminho, a comear pelo ca-
minho da demanda: Quem formulou a demanda inicial? Em que
termos? A quem o analista se dirigiu sucessivamente? Quem partici-
pa da equipe de analistas, etc.? A seguir, o caminho da investigao
merece ser exposto, com suas restries, suas tentativas, as interro-
gaes dos investigadores, as diferentes hipteses e incertezas, as
zonas de sombra o que constitui uma diferena essencial em rela-
o aos mtodos habituais para compreender um evento ou uma
situao e os avanos decisivos.
JJ O relato depurado
Em uma segunda etapa, o analista deve fazer uma sntese de seu
trabalho apresentando um relato curto, uma descrio depura-
da, que extrai o sentido da anlise, em particular as articulaes
entre fenmenos e fatores de influncia e suas tendncias de evolu-
o. Ele no retm seno o essencial necessrio compreenso de
um incidente grave ou de uma situao organizacional. O relato
depurado d a interpretao mais provvel para o analista.
Essa descrio tem, sobretudo, um interesse pragmtico. Ela deve
facilitar a comunicao dos resultados e o debate final com os atores
da organizao e os comanditrios da anlise. Ela orientada pelos

objetivos da demanda inicial feita aos investigadores. Estamos aqui

numa fase de sntese. Para explicar de forma simples, trata-se de res-
ponder questo: O que se deve pensar de tudo isso? Evitando os de-
talhes65 que perturbariam a compreenso global, trabalhando a ret-
rica sobre o sentido66, ela deve tornar mais inteligvel e mais clara,
quando da restituio, a apresentao dos elementos importantes,
justificando, se necessrio, uma ao futura de melhoria da seguran-
a. Ela vai apresentar as especificidades ligadas ao incidente grave ou
situao da organizao de acordo com a demanda inicial , os
fatores importantes em ao e sua articulao e vai colocar em evi-
dncia, na medida do possvel, os aspectos dinmicos de reforo ou,
ao contrrio, de compensao entre esses fatores. E sobretudo ela in-
cluir um diagnstico e um prognstico sobre a segurana, como
veremos a seguir. Enfim, preciso chamar a ateno sobre a impor-
tncia de tornar aceitvel, por uma redao apropriada, ao comandi-
trio e mais geralmente empresa, a mensagem que o analista quer
passar. Se no, este corre o risco de ter trabalhado em vo.
JJOs fatores organizacionais patognicos: lxico do relato

ou lista de verificao?
Os fatores dos quais se trata aqui so variantes descritivas de alto
nvel, muito sintticas, que permitem representar globalmente um
65
A passagem da descrio densa ao relato depurado uma operao de-
licada, em parte no caso da investigao de acidente. Durante essa transi-
o, preciso ficar ao abrigo da acusao de fazer erros retrospectivos. Co-
nhecendo o fim da histria, preciso evitar, numa descrio simplificada
que s apresenta o cenrio retido, dar a impresso da inevitabilidade, de
desenvolvimento mecnico e fatal do acidente. Este no , e de longe, como
j se disse, o objetivo dos investigadores preciso tambm apresentar todas
as vias de recurso que no foram utilizadas pela organizao.
66
Isso remete, entre outras, a questes clssicas da tica da expertise,
cuja discusso vai alm do quadro desta obra.

certo nmero de fenmenos observados que pertencem todos a

uma mesma categoria. Esses fatores so qualificados de patogni-
cos na medida em que eles correspondem a uma degradao orga-
nizacional que ocasiona fenmenos desfavorveis para a segurana.
A noo de fator organizacional patognico (FOP) tem origem na
analogia mdica aplicada s organizaes, na linha das reflexes de
James Reason (1993) sobre os patgenos residentes nos sistemas
tcnicos. Os FOP que ns definimos so tirados empiricamente da
anlise dos acidentes, com essa constatao de que so encontrados
como fonte organizacional de falhas locais especficas que consti-
tuem seus sintomas. O FOP um conceito cmodo que resume ou
sintetiza uma categoria de fenmenos de processos mais locais. Por
exemplo, a insuficincia da cultura de segurana, a insuficincia ou
ineficcia do retorno da experincia so fatores patognicos que va-
mos encontrar na maior parte dos acidentes, mas que, em cada um,
se modulam de forma especfica. Como elaborar esses fatores?
De fato, os fatores organizacionais patognicos resultam, por
um processo de induo, de uma remontagem a partir de variveis
de nvel mais baixo os sintomas com a finalidade de lhes dar um
sentido. O que vem primeiro, evidentemente, so os sintomas que o
analista observa.
Tomemos um exemplo. No quadro de sua poltica de preven-
o, as empresas de risco colocaram em ao o que se chama de
sistemas de retorno de experincia (REX). O REX considerado
como um processo essencial no gerenciamento da segurana. En-
tretanto, seu funcionamento e a considerao efetiva de seu enfo-
que so muitas vezes criticveis. Alm disso, o retorno da experin-
cia deve ser objeto de uma verdadeira poltica, determinada e
dotada de meios suficientes para ser eficaz. A implementao de um
REX comporta muitas etapas, indo de sua organizao e sua dota-
o de meios tcnicos e humanos coleta de incidentes especficos,

difuso de informao e implantao de medidas corretivas e

preventivas. Ele interfere com outros fatores organizacionais tais
como as presses de produo (reduo de custos) e a complexida-
de organizacional (que pode ocasionar, por exemplo, perdas de in-
formao no interior da organizao). Os incidentes no tratados,
os relatos insuficientes de incidentes, as aes corretivas que no
so implementadas ou so ineficazes, a falta de acompanhamento
do avano das aes corretivas decididas pelos gestores so sinto-
mas de um mau funcionamento do REX. Os sintomas so mlti-
plos, e o leitor vai encontrar inmeros deles nos exemplos de aci-
dentes que apresentamos no captulo 1.
No caso do acidente de Paddington, por exemplo, a ineficcia
quase completa do retorno da experincia em relao ao avano
dos sinais vermelhos precursores dos acidentes e sobre os prprios
acidentes um exemplo concreto disso. O fato de que os riscos de
transposio do vermelho no eram assinalados ou o eram apenas
de maneira fraca quando das formaes dos condutores e que as
decises de aes corretivas de uma amplitude suficiente no eram
jamais tomadas so reveladores de uma disfuno do retorno da
experincia numa organizao fragmentada. A ao do lanador de
alerta que pertence ao quadro de gerentes, como a da Sra. Forster
cf. p. 114 a 116), no conseguia fazer avanar as decises. As reco-
mendaes das comisses de investigao dos acidentes preceden-
tes tambm no eram aplicadas ou o eram de maneira insuficiente.
Com base nas anlises de acidentes, colocamos em evidncia
um certo nmero de fatores organizacionais patognicos funda-
mentais que so encontrados, de maneira muito regular, nas anli-
ses sob vocbulos vizinhos. Ns vamos citar abaixo alguns particu-
larmente notveis:
presses produtivas excessivas;
falta ou ineficcia do retorno de experincia;

insuficincia ou inexistncia da cultura de segurana;

complexidade, obscuridade ou inadaptao da organizao;
fragilidade de organismos de controle;
ausncia de atualizao dos estudos de risco.
Essa lista no evidentemente limitativa e pode ser formulada
de maneiras ligeiramente diferentes (Magne e Vasseur, 2006, p. 163,
Pierlot et al, 2006). Os analistas podem tambm apelar a outros
fatores pertinentes tanto quanto necessrio.
Como utilizar esses fatores organizacionais patognicos? De
incio, na descrio de um evento ou de uma situao organizacio-
nal, para qualificar uma categoria de disfunes organizacionais.
por isso que ns escolhemos tratar desse tema com a abordagem
descritiva. Isso permite uma maior clareza de linguagem para uti-
lizar conceitos globais que falem s pessoas das empresas de riscos
e, sobretudo, no caso do nosso exemplo, isso permite retomar um
processo globalmente falho (o REX), que preciso melhorar no seu
conjunto (Dechy e Dien, 2007; Dechy et al, 2008). Nesse sentido, os
fatores organizacionais patognicos poderiam ser considerados
como os elementos de um lxico a ser usado no relato sinttico que
conclui a anlise organizacional da segurana.
Pode-se, tambm, fazer uma outra utilizao dos fatores orga-
nizacionais patognicos, durante a fase de anlise clnica. Entre-
tanto, deve-se tomar precaues! A pesquisa dos fatores organiza-
cionais patognicos durante a anlise clnica no deve ser um fim
em si mesmo e pode mesmo levar o analista a passar ao lado das
verdadeiras questes. Na abordagem que ns preconizamos, ele
deve procurar, sem a priori, os sinais ou sintomas eventuais das
disfunes organizacionais fora de qualquer lista de verificao
predefinida. O analista pode, todavia, utilizar esses fatores organi-
zacionais patognicos como proteo, para verificar que sua anlise
no se esqueceu de examinar alguns processos ou fatores organiza-
cionais essenciais.

JJO resultado do trabalho de investigao:

diagnstico, julgamento, expertise
Todo o trabalho de anlise concludo por um diagnstico organi-
zacional, seja sobre as causas profundas do evento, seja sobre a situa-
o organizacional em termos de segurana, seja sobre sua evolu-
o possvel ou provvel colocando em evidncia as insuficincias
que devem ser corrigidas.
Os diagnsticos concernentes organizao, suas falhas e dis-
funes, ou at mesmo s suas patologias notadamente quando
alguns fatores patognicos, que contribuem para degradar a segu-
rana, atingem um paroxismo, como as presses de produo nos
casos mencionados anteriormente devem ser feitos colocando em
perspectiva a variedade e a intensidade dos riscos que ameaam o
sistema sociotcnico, o pblico e o meio ambiente. O diagnstico
deve, necessariamente, considerar igualmente as resilincias das
organizaes: pontos fortes, propriedades que permitem atenuar,
at mesmo neutralizar, os riscos potenciais suplementares enfren-
tados quando, particularmente, as exigncias em matria de pro-
dutividade, de rentabilidade e de lucratividade crescem. Entre ou-
tros, todo diagnstico deve evidentemente considerar as medidas
tomadas de toda natureza, para compensar os fatores patognicos,
as precaues especficas implementadas quando a segurana ten-
de a se degradar.
O grau de conscincia do estado da organizao e de suas difi-
culdades e da cultura de segurana dos gerentes e dos peritos no
o menor fator a se integrar anlise. Os investigadores desconfia-
ro de alegaes do tipo: Tudo est sob controle. Os problemas esto
resolvidos. Tudo vai bem. Nada acontece de extraordinrio.
O diagnstico se revela ser um julgamento. Ele no pode decor-
rer de consideraes puramente lgico-dedutivas, seguindo mo-
dalidades, regras que o tornavam semelhante a uma estrutura algo-

rtmica. O diagnstico no o resultado da aplicao estrita de um

procedimento. Ele exige uma implicao, um investimento dos
analistas. Na realidade, os analistas se engajam ao emitir um julga-
mento que se apoia em argumentos e esboado pelas descries
densas e depuradas. O diagnstico igualmente o resultado das
tenses e das discusses, at mesmo das controvrsias no interior
da equipe dos analistas. Ele tende a ser to equilibrado quanto pos-
svel, mas ditado em parte pela experincia e pelos conhecimentos
da equipe. Devido a isso, todo diagnstico deve ser colocado em
debate, para avaliao e validao ao mesmo tempo pelos atores en-
contrados quando da anlise e pelo comanditrio da interveno.
Enfim, a elaborao do diagnstico coloca a questo do papel e
da posio dos analistas e de sua possibilidade de recuo e reflexi-
vidade frente situao estudada (Dien et al, 2007). Se eles esto
demasiado prximos da situao (por exemplo se so emprega-
dos pela empresa objeto da anlise) no tero sua viso limitada?
Podero eles construir a rede organizacional no seu conjunto? No
tero eles tendncia a limit-la em sua esfera de controle e isso tan-
to mais quanto eles seriam submetidos a presses ou a certas for-
mas de censura hierrquica? Alm disso, a cultura da eficcia, mui-
to presente nas empresas, no ter tendncia a interromper a
anlise nas causas para as quais medidas de melhoria imediata po-
dero ser prescritas? Enfim, os prprios interesses dos analistas
(como, por exemplo, a sua preocupao com a carreira, o temor de
melindrar os comanditrios) podem afetar a anlise se eles os im-
pedem de aprofund-la em certos setores da organizao. Porque
zonas cegas da organizao podem esconder maneiras de falha. As
organizaes tm, muitas vezes, temas tabus que no podem ser discu-
tidos, porque fazer isso seria colocar em questo o moral da organiza-
o e a imagem que ela tem de si mesma (Sagan, 1994). Sobre isso,
insistimos em que, mesmo que a anlise tenha podido se desenvol-
ver de modo satisfatrio, a maneira de apresentar os resultados,

sobretudo no texto depurado, deve ser trabalhada de modo a torn-

-los audveis e aceitveis pela empresa. Uma boa dose de diplomacia
necessria aos investigadores para terem chance de serem ouvi-
dos. Sua posio interna ou externa em relao empresa constitui
aqui uma diferena maior. Mas, a despeito das precaues e dos
savoir-faire desenvolvidos pelos investigadores, estes podem se cho-
car com uma forma de negao da realidade, de recusa dos resulta-
dos do inqurito, por parte do comanditrio ou de alguns dos
membros mais altos da hierarquia. Resta ainda aos investigadores o
dever ltimo de manter sua posio e de no ceder s injunes
de eufemizar at mesmo de apagar a agudeza e a gravidade dos re-
sultados obtidos.

3
Algumas questes
no resolvidas
O paradigma organizacional no est gravado na pedra. O mrito

da abordagem, desenvolvida e ilustrada nos dois captulos prece-
dentes, fazer emergir novas questes a respeito da segurana e da
preveno de riscos acidentais. Essas questes permanecem, na
maior parte do tempo, na sombra, na face oculta das organizaes.
A anlise organizacional leva a abrir e/ou a nutrir debates latentes
ou enterrados nos estratos complexos das organizaes... e nos se-
gredos do gerenciamento.
Uma longa marcha se apresenta. Entretanto, desde j nossos
trabalhos parecem iluminar a rota e mesmo lanar algumas luzes
sobre as zonas obscuras da segurana industrial.
JJUm mtodo que requer conhecimentos

de segundo plano
Como j se ter sido compreendido, a anlise organizacional da
segurana no um mtodo que se desenvolva de maneira linear e
quase algortmica, apoiado numa bateria de indicadores e de proce-
dimentos ou procurando caracterizar os comportamentos indivi-
duais. Partindo do fracasso que se revela pela chegada repentina
do acidente, procedendo por crculos concntricos, seu objetivo

esclarecer os diferentes nveis de conflitos que atravessam a empre-

sa: presso produtiva versus segurana, projetistas e organizadores
versus utilizadores e agentes de campo, os que decidem e os produ-
tores versus autoridades de controle. Seu mrito heurstico favore-
cer a evidncia dos diferentes interesses que esto sob tenso na
empresa, depois de avaliar de qual maneira as contradies e os
dficits de arbitragem contribuem para instaurar e perenizar as
condies de degradao da segurana propcias aos acidentes.
Enquanto mtodo emprico, seu rigor repousa, principalmente,
na competncia do analista. Coloca-se, ento, a questo de saber de
onde ele extrai sua expertise e, por consequncia, sua legitimidade.
Trs categorias de conhecimentos de segundo plano necessrios de-
vem ser consideradas. H, de um lado, aspectos ligados ao domnio
da tecnicidade da investigao e experincia nas questes peculia-
res s investigaes obstculos, vieses e limites inerentes opa-
cidade das organizaes, ambivalncia da posio dos quadros de
alto nvel em relao gesto conjunta dos imperativos de seguran-
a e de produo, aos discursos convenientes, interesses polticos e
econmicos, etc. H, de outro lado, o conhecimento aprofundado dos
acidentes, que fornece, por recorrncias e analogias, um conjunto de
hipteses iniciais quanto aos fatores contributivos que preparam ou
precipitam o acidente. Entre esses fatores, preciso considerar, de
modo particular, a eficcia ou as falhas organizacionais do disposi-
tivo da segurana. H, enfim, o conhecimento das problemticas or-
ganizacionais clssicas nas indstrias de risco: por exemplo, os con-
flitos entre segurana de um lado e disponibilidade ou produo do
outro; as tendncias de gesto que desenvolvem a vontade de tudo
controlar, a propenso que consiste em representar o que quanti-
ficvel e a ignorar os sinais no formais ou os dados puramente qua-
litativos; as presses econmicas, de produo, e as presses regula-
mentares; os aspectos ligados s evolues internas e externas: a
conduo da mudana, a pilotagem de curto prazo em ambiente
incerto, as reconfiguraes organizacionais incessantes, etc.

Algumas questes no resolvidas 125
JJUm mtodo alimentado pelos debates

Parece evidente que um tal conjunto de conhecimentos, que deve
ser permanentemente experimentado e reconstrudo para ficar
atualizado e pertinente, no poderia ser o apangio de um nico
especialista, mas somente de uma equipe multidisciplinar. A com-
posio de uma tal equipe, reagrupando formaes e percursos in-
dividuais muito diversificados, deve prever debates contraditrios
internos, a fim de que a equipe, de certa maneira, esteja altura da
complexidade da organizao estudada. sobre esta base que resi-
de, em grande parte, a robustez da anlise, mesmo que o processo
de investigao no aparea como estabelecido antecipadamente.
Alguns debates, ainda vivos e no arrematados no seio do coletivo
Chaos, merecem ser assinalados para evidenciar o fato de que o m-
todo organizacional no um mtodo fechado sobre si prprio, mas
que est sempre em processo de aprimoramento e desenvolvimento.
Um primeiro conjunto de debates gira em torno da possibilida-
de de estender o uso da anlise organizacional da segurana a ou-
tros campos, como aqueles da disponibilidade e da fiabilidade. Do
ponto de vista do mtodo de anlise organizacional, algumas pesso-
as pensam que no existe diferena fundamental quando a finali-
dade da anlise orientada para a segurana ou quando ela tem
como objeto a disponibilidade. Outras pensam que os nveis de
reflexo sobre esses dois domnios de aplicao so, em muito alto
grau, distintos e heterogneos para que a anlise organizacional da
segurana possa ser declinada como anlise organizacional de dis-
ponibilidade. Essa distino tem como objeto menos a tcnica de
coleta de dados propriamente dita que a interpretao dos resulta-
dos, a natureza das recomendaes e a receptividade dos que deci-
dem vis--vis a essas duas preocupaes geralmente contraditrias
como a segurana e a disponibilidade.
Um segundo conjunto de debates tem como objeto a qualifica-
o possvel do estado de uma organizao que comporta riscos em

termos de normalidade ou de patologia. Esse debate leva a muitas

questes. Em primeiro lugar, alguns questionam a legitimidade
que teria um mtodo que se apoia sobre a anlise a posteriori dos
acidentes, para dirigir um olhar avaliativo a respeito de uma orga-
nizao que no foi objeto de um acidente. Essa acusao , por
vezes, sustentada pelo espectro do vis da retrospeco, susceptvel
de afetar a interpretao das causas do acidente. A este respeito,
sem negar a possibilidade de um tal risco, os defensores da anlise
organizacional da segurana constatam a partir de um nmero
muito grande de acidentes que os sintomas de disfuncionamento
so geralmente macios, permanentes, que eles se acumulam e que,
nessas condies, a interpretao pode se efetuar alm de qualquer
dvida razovel. Em segundo lugar, coloca-se a questo de saber se,
a partir da anlise organizacional, possvel dizer a priori alguma
coisa sobre a previsibilidade ou no de um acidente. Se, no que se
relaciona filosofia, a diferena entre o conceito de normal e de
patolgico discutvel, no menos verdade que essa distino
apresenta um interesse heurstico (por menos se leve a analogia
mdica adiante). Estudos de origem sindical ou sociolgica, que
atestam formas graves e recorrentes de disfunes organizacionais,
podem revelar um estado patolgico da organizao, da mesma
forma que alguns ndices detectados pela anlise organizacional,
tais como uma sucesso no tratada de incidentes graves ou uma
cultura macia de recusa, ou ainda a presena de lanadores de
alerta ignorados ou mesmo perseguidos.
A anlise organizacional considera, contudo, que existe um
continuum entre as organizaes normais e as disfuncionais e pato-
lgicas, mesmo se, em ltima instncia, possvel que no exista
uma organizao totalmente normal quando se toma uma defini-
o da normalidade como um estado que estaria isento de qualquer
disfuno. A normalidade seria, ento, um estado ideal que jamais
atingido. Pode-se aceitar a ideia de que um acidente pode ocorrer

em qualquer estado, mais ou menos so ou doentio, mas que sua

possibilidade vai crescendo, quando a organizao migra gradual-
mente do normal para o disfuncional. igualmente possvel consi-
derar que o que patolgico menos o fato de estar numa situao
gravemente disfuncional em um determinado momento de sua
histria do que a permanecer. Sobre essa base, o que interessa ao
analista compreender em que uma organizao se situa mais ou
menos perto do polo normal ou do polo patolgico e em que dire-
o ela evolui no tempo.
JJ Um mtodo que pode esclarecer

zonas obscuras
Em todas as consideraes anteriores (feitas) nesta obra, admitimos,
implicitamente, que os aspectos susceptveis de comprometer o de-
sempenho das empresas no domnio dos riscos industriais so da
ordem de processos diversos (erros, inadequaes, disfunes, igno-
rncias, etc.); esses processos so, por natureza, no intencionais e
tm, como corolrio, consequncias no desejadas pela organizao.
Ora, como constatamos, os relatos de acidentes apresentados
sucintamente guardam todos uma parte obscura. Algumas zonas
de obscuridade correspondem, claro, ao resduo de inquritos e in-
vestigaes necessariamente limitados, mesmo quando bem-con-
duzidos. Faltam-nos, por exemplo, testemunhas que permitam
compreender por que, em alguns casos, as autoridades de controle
demoraram a reagir: no caso em foco, da central de David Besse, a
tibieza da NRC face s violaes pelo operador (FENOC) das regu-
lamentaes em vigor, ou ainda o caso da autoridade sanitria
americana (FDA) que interditou o emprego da Therac-25 somente
depois do quinto acidente...
Outras zonas de obscuridade traduzem freios culturais e polti-
cos, estimulados por riscos comerciais ou financeiros, ocasionando,

por exemplo, correes tcnicas insuficientes do DC-10 depois do

quase acidente de Windsor em 1972 (cf. p. 72) ou a recusa da dire-
o da companhia de ferry-boats Towsend em instalar um disposi-
tivo para melhoria da segurana que os capites das balsas (cf. p.
116). julgavam necessrio. Os riscos podem ser, tambm, de natu-
reza miditica. Assim, o cuidado discutvel para no alarmar a opi-
nio pblica provocou a no divulgao do relatrio completo so-
bre o inqurito da ASN e da IGAS com relao aos acidentes de
radioterapia de pinal (ASN, IGAS, 2007), impedindo assim deba-
tes e reflexes de peritos que sempre so proveitosos para a segu-
rana sanitria. Enfim, outras zonas de sombra so, explicitamen-
te, o fruto de uma opacidade voluntria.
No interior das empresas, um primeiro conjunto procede de
um paradoxo que afeta os gerentes: seja sob a cobertura do REX
inerente s anomalias e aos incidentes internos, seja de uma lgica
do progresso contnuo, ligada qualidade, ou ainda do desejo de
construir uma organizao autoaprendiz, o pessoal de campo
vivamente encorajado a reunir uma soma de informaes que refli-
tam a realidade, tal como ela se apresenta efetivamente, com seu
lote de desvios de todo tipo em relao ao que prescrito e suposta-
mente aplicado. Mas, por outro lado, o gerenciamento pressiona-
do pelas autoridades de segurana para garantir que ele no trans-
gride as regras, ou para justificar as infraes adotadas, em suma, a
demonstrar a conformidade com o que esperado, a fim de que no
seja questionada a atribuio que outorgada organizao em
matria de autocontrole. Presos entre duas exigncias uma de
transparncia, outra de conformidade , os gestores devem geren-
ciar essa tenso, ainda que tenha que ocultar, conscientemente, al-
gumas dificuldades do exterior. Assim, no raro observar que os
gerentes, confrontados com pessoas que, em total boa f, levantam,
de novo, problemas perturbadores, adotam uma atitude dissuasi-
va que consiste em proferir: Eu no posso deix-lo dizer isso. Di-
zendo isso, eles apontam diversos argumentos: risco de presso
suplementar da parte das autoridades de segurana em razo de

uma aplicao muito estrita, restritiva, da regulamentao; agres-

so imagem da empresa e mesmo criao de risco para ela, etc.
Um degrau alm, alguns inquritos ps-acidentes permitiram
esclarecer a sorte que, muitas vezes, tinha sido reservada, nas orga-
nizaes, s pessoas em posio de alerta: marginalizao, difama-
o, ameaas pessoais, demisso.
Mas, para alm desses dilemas que do ritmo vida das empre-
sas e que at um determinado ponto fazem parte das regras do jogo,
existe verdadeiramente todo um gradiente de zonas obscuras: al-
gumas relativas s arbitragens entre segurana e produtividade,
outras inerentes aos vnculos de dependncia entre autoridades de
segurana e estabelecimentos controlados e, outras, enfim, que
atingem a vertente da delinquncia, que vai da tolerncia banal at
o cinismo calculado.
Desde que se admite que os atores so influenciveis, instados e
interessados, submetidos a influncias diversas, preciso tambm
considerar que eles so fracos e falveis. Um certo nmero de ques-
tionamentos convergem em direo aos dirigentes, tendo por obje-
to suas competncias e sua exemplaridade. At que ponto os geren-
tes podem ainda ser capazes de bom desempenho em matria de
anlise e de deciso, submetidos que so a fortes restries: objeti-
vos inacessveis ou que procedem de uma viso de curto termo,
diktas* da gesto em detrimento da reflexo, rotatividade (turno-
ver**) desenfreada, etc.? Em que medida eles podem dar prova de
exemplaridade, sabendo que o processo organizacional nesse contexto
(ascenso rpida, paraquedismo) promove, s vezes, aqueles cuja
tica mnima?
* Diktat: termo alemo Diktat significando exigncia absoluta, im-

posta pelo mais forte, sobretudo nas relaes internacionais. (Traduzido
de Larousse, 2012). (N.T.)
** Turnover: troca ou renovao do pessoal de uma empresa (idem). (N.T.)

Algumas empresas no deveriam mais ser consideradas como

vtimas dos acidentes que a se produzem. Quando, depois dos aci-
dentes, os projetistas de equipamentos so colocados no banco dos
rus em termos de reatividade e de transparncia em relao aos
problemas identificados, nem sempre isso os coloca em vantagem.
Lembremos aqui do caso da AECL, projetista do Therac-25, cujos
engenheiros durante muito tempo rejeitaram a prpria hiptese de
um erro de concepo, omitindo assinalar os incidentes, mentindo
deliberadamente quanto aos acidentes dos quais eles tinham co-
nhecimento e recusando-se a implantar as correes necessrias. A
partir do momento em que os contextos comerciais vo alm de
um limite, a tica das empresas que pode vazar gua por todos
os lados.
Alguns autores anglo-saxes, valendo-se de muitas investiga-
es realizadas na indstria qumica e petroqumica, consideram
que preciso romper com a noo ideolgica que estabelece que os
acidentes no poderiam, por definio, ser o resultado de crimes
cometidos pelas corporaes (Corporate crime). O acidente de Bho-
pal ilustra perfeitamente essa problemtica. Da o conceito de cri-
me ecolgico, entre outros.
Pressente-se que as reorganizaes (fuses, aquisies, cesses,
externalizaes, etc.) exacerbam as lgicas exclusivamente finan-
ceiras, instauram rivalidades entre estabelecimentos, induzem os
grupos de competidores, estimulam as ideologias carreiristas, favo-
recem a rotatividade, dissuadindo os tomadores de deciso de um
engajamento de longa durao, fixam objetivos e preconizam dis-
positivos de motivao (objetivos fixados), que conduzem a com-
promissos que so ou podem se tornar contrrios s exigncias da
segurana a mdio ou longo prazo. Em um mundo em que, de um
lado, os controles e as responsabilidades podem ser perfeitamente
frustrados pelos deslocamentos das empresas, por sociedades de
fachada e etc., e que mostra, por outro lado, um tropismo em dire-

o judicializao, bem provvel que, aps a noo de acidente

organizacional, a noo de crime (crimes contra a segurana, safety
crimes, crimes contra o meio ambiente, environmental crimes) po-
deria se impor de uma maneira ou de outra (Pearce e Tombs, 1998).
Um mtodo que no saberia

JJ
ser o apangio somente dos peritos

porque estuda os acidentes que a anlise organizacional da segu-
rana se permite elaborar um julgamento sobre as organizaes
analisadas. Mas o ponto de vista dos acidentes no o nico pos-
svel. Outros pontos de partida existem para conduzir uma anlise
das organizaes. Os analistas que praticam a anlise organizacio-
nal da segurana tm, ento, um permetro restrito no interior do
qual eles procuram sustentar e assumir um julgamento sobre as
condies que conduziram a um acidente que poderia se repetir.
Esse julgamento tanto mais consistente quanto a interveno efe-
tuada, a coleta de dados, as hipteses, as interrogaes e os questio-
namentos so estabelecidos em comum entre analistas e seus inter-
locutores. Alm desse permetro operacional, o ponto de vista
dos analistas ainda legtimo, mas ele no poderia, sozinho, chegar
a um julgamento sobre a organizao estudada na sua globalidade,
no sem compartilhar, de outros pontos de vista, outras aborda-
gens e outras lgicas.
Estamos convencidos de que a anlise organizacional da segu-
rana traz conhecimentos sobre a vida das organizaes como ne-
nhuma outra anlise poderia faz-lo. Isso decorre de muitos aspec-
tos. H, de um lado, a capacidade de essse tipo de anlise vincular-se
metodologicamente ao ponto de vista da tcnica e, ao mesmo tempo,
ao ponto de vista humano, sem diluir um no outro. Por outro lado,
e diferentemente das auditorias e dos estudos de fiabilidade que
produzem resultados expressos em termos de desvios em relao a

um referencial* ou a resultados quantitativos, a anlise organiza-

cional da segurana produz diagnsticos elaborados, articulados e
comentados, com suas riquezas e certamente suas insuficincias.
Os ensinamentos tirados dos acidentes autorizam um julgamento,
por parte dos peritos, ao mesmo tempo objetivo e subjetivo. em
parte graas a esse componente subjetivo que se pode abrir o cami-
nho interpretao e, em seguida, as anlises que, podendo ser dis-
cutidas, podem se tornar pblicas. O debate que se abre no deveria
ser uma confrontao de posies ideolgicas ou de lgicas antago-
nistas, mas um debate real em que cada um se dispe a aprender com
o outro. Contrariamente a outros mtodos advogados por vrios dis-
cursos que deixam pensar que a figura do perito coincide com a do
depositrio do saber, as pessoas que, no interior da anlise organiza-
cional, emitem dvidas no so pouco qualificadas nem colocadas
em posio incerta. O verdadeiro perito aquele que se permite in-
terrogar-se e se mostra aberto ao debate (Merad, 2010, p. 53 e 54).
JJUm debate a partir do funcionamento

real das organizaes
Estamos conscientes de que a anlise organizacional est em com-
pleta discordncia com a tendncia dominante nos meios indus-
triais de atribuir interesse somente a mtodos e processos muito
formalizados e instrumentalizados, e at mesmo informatizados.
Sob esse ngulo, a anlise organizacional no poder ser acolhida
como um mtodo suplementar, mais ou menos comprobatrio, e
suas disposies dificilmente podem se estruturar em forma de lis-
tas de verificao para coleta de dados, em tratamentos informati-
zados dos elementos coletados ou na implementao semiautom-
tica dos resultados.
* Um padro ou procedimento estabelecido. (N.T.)

Mas, quando se d adeus a essa instrumentalizao da anlise

organizacional, seria possvel ver, ento, que sua mais valia real re-
side no fato de que ela esclarece o funcionamento real da organiza-
o, em tudo o que esse funcionamento pode ter de incongruente,
de surpreendente, de ajustes dos desvios entre o que prescrito e a
maneira como as coisas acontecem na realidade. A anlise organi-
zacional escapa dos efeitos colaterais engendrados por todas as
abordagens que buscam qualificar a conformidade, mais ou menos
completa, da organizao frente a um dado de referncia, suposta-
mente ideal. Os analistas da anlise organizacional no so igno-
rantes das prticas industriais que substituem a realidade por for-
mulaes errneas, edulcoradas ou travestidas. Nossa anlise no
mobiliza os controladores de processos, mas requer competncias
peritas que sabem farejar o essencial, que sabem opinar, em caso
de necessidade, independentemente dos nmeros, e interpretar a
fala e os comportamentos em seu lugar adequado.
Essa abordagem nos parece tanto mais indispensvel porquanto
uma tendncia marcada das organizaes que frequentamos nesses
ltimos anos consiste em privilegiar a forma em detrimento do
contedo, a aparncia em detrimento da realidade, o politicamente
correto em detrimento da verdade crua. Essa tendncia acentuada
pelos instrumentos informatizados, as possibilidades de modeliza-
o e de maquetagem que levam vrios projetistas e organizadores
a pensar que o mapa seria o territrio e que o real poderia ser simu-
lado em todas as suas dimenses.
Essa desmaterializao progressiva do real repele o trabalho hu-
mano para os bastidores da organizao, edulcora as relaes inter-
pessoais, reduz as controvrsias a conflitos ou a disfunes, que
exigem solues bvias e reduz os antagonismos temporariamente.
Fazendo assim, ela aumenta a distncia, virtualiza as demoras, fa-
vorece a gesto abstrata e desencarnada e, sobretudo, acaba por ti-
rar dos indivduos a prpria noo de sua responsabilidade.

A vocao poltica da anlise organizacional , sua maneira,

lutar contra a ignorncia da realidade do trabalho a fim de que os
problemas concretos possam ser considerados por aquilo que eles
valem e no como pontos aberrantes nas nuvens de dados dirigidas
alta hierarquia, para que eles sejam identificados antecipadamente
e que os circuitos de deciso possam funcionar at o final, isto , at
a implementao de decises e o retorno de experincia sobre as es-
colhas efetuadas. Nisso a anlise organizacional, de uma certa ma-
neira, retoma a discusso sobre a responsabilidade dos indivduos.

Concluso
A anlise organizacional da segurana, tal como a desenvolve-

mos h vinte anos, oriunda de uma dupla influncia: trabalhos
anglo-saxes no quadro da teoria da organizaes (Organizational
Theory), particularmente desenvolvidos em torno da questo dos
riscos e dos acidentes industriais, e trabalhos, principalmente fran-
ceses, relacionados s cincias humanas e sociais do trabalho (ergo-
nomia, psicologia e sociologia do trabalho, psicodinmica do tra-
balho, etc.).
Insistimos sobre este aspecto: a anlise organizacional no tem
a vocao de ser uma disciplina universitria com pretenses ao
reconhecimento acadmico. Ela no tem, tambm, a vocao para
ser uma ferramenta, uma espcie de mtodo algortmico que per-
mitiria passar em revista todos os problemas da segurana segundo
um procedimento estrito e da deduzir um diagnstico, a partir de
uma espcie de contabilizao quase matemtica dos dficits e das
anomalias da segurana industrial e de sua organizao.
O corao da anlise organizacional o mtodo clnico: um
tipo de abordagem passo a passo, metdica, sistemtica, de pesqui-
sa de anomalias e de disfunes, com o objetivo de estabelecer uma
descrio espessa (ou densa) dos fenmenos organizacionais. A
abordagem se fundamenta em processos humanos e organizacionais

em torno da segurana, mas esses so analisados e avaliados em fun-

o de riscos tcnicos. A articulao dos processos sob uma forma
sinttica, o relato depurado, permite dar a conhecer processos de de-
gradao na sua evoluo dinmica e nos seus mecanismos de reforo
mtuo. O esforo da anlise , alm disso, proporcional aos perigos e
complexidade tecnolgica que a organizao gerencia. Tcnica e or-
ganizao so inseparveis no estudo, em razo das interaes mlti-
plas e contnuas entre esses dois mundos. O princpio da economia
preside os estudos, porque os meios concedidos s investigaes so
sempre limitados e os plannings impostos, drsticos.
A descrio densa e depois o relato depurado so elaborados
para o diagnstico: o estado dos locais, uma espcie de fotogra-
fia em um momento dado do sistema sociotcnico, colocando em
evidncia, entretanto, as dinmicas da evoluo da degradao ou
das resistncias degradao e as correes, os esforos eventuais
para o restabelecimento da segurana. O diagnstico , com efeito,
essencial nas indstrias de risco. Ele , ao mesmo tempo, um ponto
de passagem obrigatrio, at mesmo regulamentar, para permitir o
dilogo dos peritos da segurana com as instncias dirigentes. O
diagnstico acompanhado, necessariamente, de um prognstico
de evoluo: de fato, importante colocar o diagnstico em uma
perspectiva futura de evoluo (de melhoria).
O objeto desta anlise organizacional , em outros termos, co-
locar em evidncia e depois sintetizar as interaes mtuas de-
gradaes e reforos entre a organizao e o sistema tcnico, e
aquelas no interior mesmo da organizao (entre entidades, gru-
pos, servios, departamentos, etc.). Para esse fim, a anlise privile-
gia as grandes tendncias, os fenmenos maiores em detrimento do
detalhe do trabalho, de maneira a permitir uma apreenso global
macroscpica da vida organizacional: suas vulnerabilidades,
suas disfunes e suas resilincias. Entretanto, a opo de oferecer
uma viso de conjunto, uma compreenso global dos processos

Concluso 137
que afetam a segurana (ou qualquer outra questo organizacional,

como a disponibilidade) ou que contribuem para refor-la no
um obstculo para focalizaes mais particulares, mais detalha-
das e, por consequncia, para a articulao com as disciplinas cuja
vocao , sobretudo, a anlise local, por exemplo a anlise delica-
da do trabalho real, em suas particularidades, em uma abordagem
que seria, sobretudo, da ergonomia.
A importncia da palavra dos trabalhadores determinante na
abordagem organizacional. Ns postulamos o que se verifica nas
nossas experincias de campo que os trabalhadores, vivendo no
interior de um sistema sociotcnico, so os mais aptos a analisar
(pelo menos em parte) as anomalias, os dficits, as incoerncias e os
perigos e, em todo caso, a alertar sobre eles. Se eles dispem de uma
experincia suficiente, de uma vivncia de longa durao na organi-
zao, eles esto aptos a oferecer um ponto de vista histrico indis-
pensvel da evoluo do sistema sociotcnico devido sua familia-
ridade com ele e devido capacidade dos coletivos de trabalho de se
interrogarem sobre os modos de funcionamento organizacional e
de procurarem elementos de causalidade (de explicao) das dis-
funes constatadas e, muitas vezes, vivenciadas no quotidiano.
As condies de investigao e de anlise decorrem da prtica
da anlise organizacional da segurana (notadamente no que con-
cerne tica e deontologia da interveno, escolha e conduta
das entrevistas, aos conselhos para superar algumas dificuldades,
alguns obstculos investigao, etc.) cuja exposio ultrapassa o
quadro desta obra.
JJ Um novo paradigma ancorado na tradio

A anlise organizacional da segurana, tal como a desenvolvemos,
tem, igualmente, a propriedade de se apoiar numa tradio da se-
gurana tal como ela foi concebida pelos engenheiros, muitas vezes

s suas custas, atravs de uma srie de fracassos e de catstrofes.

Essa tradio incorpora as avaliaes de segurana, s vezes de tipo
probabilstico, o retorno da experincia, uma organizao das ati-
vidades de segurana, anlises e testes tcnicos que garantem a ges-
to dos materiais, uma ausculta sob a forma de auditorias e de ins-
pees dos sistemas tcnicos e das organizaes que as gerenciam.
Para ns, no possvel ignorar ou minimizar essa construo
social da segurana ao longo das dcadas, que se apoia numa hist-
ria de estudos e experincias. De nossa parte, a ancoragem na tra-
dio dos engenheiros, o que supe um conhecimento em profun-
didade dos interesses e mritos de seus estudos e prticas, no
impede a crtica das insuficincias e limites do paradigma da enge-
nharia da segurana, excessivamente centrado no erro humano,
especialmente do pessoal de operaes.
Uma das caractersticas da anlise organizacional, sobre a qual
no h consenso completo no prprio interior do coletivo Chaos, diz
respeito ao campo de aplicao dessa abordagem. Inicialmente de-
senvolvido para a segurana industrial, revelou-se que o paradigma
organizacional que subentende nossas intervenes e reflexes pode
ser aplicado a outras questes gerais, em particular para a melhoria
da disponibilidade e, por consequncia, da produtividade dos siste-
mas tcnicos. Esse campo de aplicaes , contudo, menos desenvol-
vido atualmente que o da segurana. No se dispe, alis, de uma
biblioteca de casos detalhada, densa e muito diversificada como a
que se possui da segurana, constituda pelos relatrios oficiais dos
grandes acidentes, em alguns casos pelas minutas dos processos cor-
respondentes, pelo retorno da experincia de incidentes diversos e
por diversas intervenes efetuadas por ns mesmos ou por consul-
tores nos sistemas sociotcnicos de risco. O campo de aplicaes re-
lativas disponibilidade e produtividade ainda limitado. neces-
sria uma grande prudncia, alis, em virtude do conflito profundo
e, s vezes, insidioso entre a segurana e as presses de produo.

Concluso 139
Na anlise organizacional, a metodologia inseparvel da refle-

xo que se constri ao longo da elaborao do diagnstico. A refle-
xo em torno da demanda inicial, a progresso da investigao que
conduz ao diagnstico, a revelao que alguns testemunhos de
membros ou de grupos da organizao estudada podem represen-
tar, a presena e a ausncia de algumas temticas da segurana no
interior da organizao, os silncios e os tabus, as distores e as
modalidades de expresso das pessoas entrevistadas a propsito de
alguns fatos (em especial os incidentes), as resistncias evocao
de alguns temas, as presses que podem incidir sobre aqueles que
intervm so realidades com as quais necessrio lidar no curso da
construo do diagnstico que, como uma anlise clnica, tudo
menos linear ou de progresso regular. Ela pode ser salpicada de
conflitos, de incertezas, de obscuridades e de perplexidades.
Ora, a metodologia no praticamente jamais evocada nos do-
cumentos que ns consideraramos, entretanto, essenciais, emble-
mticos e, em primeiro lugar, nos relatrios dos grandes acidentes
(tais como, por exemplo, aquelas das naves espaciais Challenger e
Columbia, da coliso dos trens de Paddington ou do naufrgio da
balsa Herald of Free Enteprise). como se a metodologia fosse natu-
ral e evidente. por isso que seria preciso consagrar uma obra es-
pecfica aos mtodos e prtica dessa forma de anlise e de inter-
veno. Seria necessrio mostrar a, em particular, que algumas
concluses ou alguns modelos (de disfuno, de acidente) discu-
tveis decorrem inevitavelmente de insuficincias e de vises da
metodologia e da ausncia de questionamento dela.
JJPor uma cultura dos acidentes

Os acidentes industriais fornecem assunto para as crnicas. Eles
provocam geralmente uma grande ebulio de estudos, de decises
e de declaraes que consistem, em resumo, em afirmar que a ca-

tstrofe no vai se reproduzir. Mas os acidentes industriais se re-

petem. Regularidades, esquemas comuns podem se evidenciados
pela anlise organizacional. A histria industrial, em vrios dec-
nios, mostra que a capitalizao dos ensinamentos de acidentes no
ocorre, pelo menos completamente. Pior, as lies so esquecidas.
Uma forma fascinante de corrida frente e de urgncia parece,
muitas vezes, caracterizar o gerenciamento das indstrias de risco.
Os responsveis pelas organizaes de segurana industrial e a
fortiori os tomadores de deciso de alto nvel, cujas preocupaes so
muito centradas na produo, na rentabilidade e na lucratividade o
que em si mesmo no condenvel , no manifestam um cuidado
equivalente, constante, no detalhe e no longo prazo, frente segu-
rana. Seus conhecimentos sobre os acidentes so muito sucintos, at
mesmo inexistentes! Que nos seja permitido, aqui, um ltimo retor-
no analogia mdica. O interesse no uso de metforas mdicas
(perodos de incubao do acidente, fatores ou residentes patogni-
cos na organizao) no seno um aspecto disso. De modo mais
profundo, a analogia entre o diagnstico organizacional e o diagns-
tico mdico reside na anlise clnica, como ns j explicitamos. Na
rea mdica, o diagnstico se apoia num conhecimento extenso das
patologias e da etiologia das doenas. Quantos esforos coletivos, fei-
tos durante um longo tempo, de acmulo de observaes dos sinais
de patologia, seu repertoriamento e suas classificaes, foram neces-
srios? Ora, no campo dos acidentes industriais, o equivalente ou
no existe ou muito pequeno: nosso grupo no pode evidenciar o
que ousamos chamar de uma forma de cultura dos acidentes,
como parte integrante da cultura de segurana (Dechy et al., 2010).
Essa cultura de acidentes implica o recenseamento dos acidentes e
incidentes graves significativos, a coleta de documentos correspon-
dentes, sua anlise crtica, a pesquisa de elementos de repetio entre
diferentes acontecimentos, a evidncia de regularidades, repeties e
a sntese (isto , no uma lista heterclita de causas possveis, mas os

Concluso 141
ensinamentos genricos, tendncias qualitativas, a deduo da essn-

cia na floresta de detalhes e nas singularidades) e a articulao das
causas entre si, isto , os processos maiores de gnese e de desenvol-
vimento dos acidentes.
Infelizmente, na Frana, excetuando-se algumas tentativas iso-
ladas (Llory, 1986, 1999), no existe um conjunto estruturado, or-
ganizado, que apresente, com um detalhe suficiente, os erros dos
sistemas sociotcnicos, suas disfunes graves, suas patologias. O
exame das condies de trabalho aqui e agora, presentes, imedia-
tas, no suficiente, pois preciso poder coloc-las em perspectiva
e compar-las com fenmenos similares vividos no passado. A an-
lise organizacional se apoia em consideraes de carter histrico,
mais precisamente sobre os modos de investigao e interrogao
do passado. O passado das catstrofes e das organizaes que as
engendraram esclarece o presente e qualquer julgamento que deva
ser feito sobre um sistema sociotcnico e seu futuro.
Embora a anlise dos acidentes, e sua sntese, a elaborao dos
ensinamentos de alcance prtico geral no sejam sem dvida sufi-
cientes, elas so necessrias, incontornveis. Esses conhecimentos
prticos e empricos, mas sistematizados, servem de referncia no
pano de fundo das investigaes de campo e do trabalho de elabo-
rao que preside os diagnsticos organizacionais de segurana.
por isso que, entre outras coisas, chamamos a ateno do pblico
esclarecido da Frana sobre a necessidade de uma evoluo radical
na apreenso dos acidentes e na difuso dos documentos corres-
pondentes. No somente as anlises de acidentes na Frana so di-
ficilmente acessveis em geral elas no esto acessveis, como no
caso do relatrio conjunto da Autoridade de Segurana Nuclear
(ASN) e da Inspeo Geral dos Negcios Sanitrios (IGAS) referen-
te aos acidentes de radioterapia na Frana nos anos 2000. Quando
so acessveis, elas apresentam, em vrios casos, lacunas profundas,
insuficincias maiores quanto ao relato dos fenmenos humanos e

organizacionais envolvidos nesses acidentes (cf. o caso do desmo-

ronamento da galeria do metr Meteor, p. 84 e seguintes).
Relatrios inacessveis de acidentes, contrariamente ao que se
passa nos pases anglo-saxes. Relatrios muitas vezes vazios no que
diz respeito vida organizacional. Os debates sobre a segurana no
podem, nessas condies, se engajar e florescer para o progresso dela.
Face a esse vazio, o coletivo Chaos expressa o seu desejo ser ele
atendido? de que as informaes sobre os acidentes graves sejam
no somente detalhadas e enriquecidas, mas que elas se tornem facil-
mente acessveis aos peritos e aos analistas da segurana e tambm s
pessoas esclarecidas, cidados que so mantidos, at aqui, na igno-
rncia sobre a conjuno, por vezes explosiva, dos fenmenos orga-
nizacionais, de decises gerenciais e de degradaes tcnicas.
Por vezes, ns ouvimos dizer que o desenvolvimento de proce-
dimentos judicirios era um obstculo insupervel para a difuso
de informaes sobre os acidentes, o que no o caso nos pases
anglo-saxes. Ns temos conhecimento igualmente na Frana de
casos em que o desenrolar de procedimentos judicirios e a elabo-
rao da instruo no impediram investigaes mais tcnicas,
orientadas essencialmente para a compreenso das dinmicas aci-
dentais e para a superposio das causalidades tcnicas, ergonmi-
cas e organizacionais (por exemplo no acidente da estao de Lyon
de 198867), sem consideraes sobre a responsabilidade judiciria.
JJA estagnao da segurana

A leitura desta obra sugere mltiplas pistas para a compreenso,
para a apreenso do estado da segurana, particularmente na Frana.
Depois desse acidente, aconteceram diversas investigaes ditas admi-

67
nistrativas sobre as condies do acidente e at um estudo ergonmico de

F. Daniellou a respeito das condies da retomada dos freios aps uma
parada de urgncia do trem.

Concluso 143
A despeito dos esforos sustentados e dos meios empregados, em

termos de recursos humanos e financeiros, subsistem dvidas so-
bre esse estado de segurana, permanece uma perplexidade, reavi-
vadas por acidentes ou por incidentes graves.
Todas as atividades industriais ou sociais e sanitrias no esto
certamente alojadas no mesmo barco. Ns at falamos, a propsito
de alguns acidentes a queda do telefrico de Bure, em 1999; o incn-
dio no tnel do Mont Blanc em 1999; a morte de uma menina numa
esteira rolante de Val-Cenis em 2004 em um grau zero de segu-
rana. Mas como explicar essas incertezas e essas perplexidades a
propsito das indstrias as mais atentas, aparentemente, em relao
segurana (nuclear, aeronutica, qumica)? que o bom resultado
global no deve mascarar as fraquezas locais, a acumulao de dis-
funes numa situao ou uma instalao particular. O acidente
atinge o cisne negro da ninhada. A problemtica da segurana no
tanto julgar o conjunto de uma atividade, globalmente, mas de bus-
car suas vulnerabilidades locais (uma instalao industrial, um voo
particular, etc.). A ausncia de acidente tampouco um critrio ab-
soluto longe disso quando os objetivos de segurana so muito
ambiciosos e se conta com a possibilidade de um acidente a cada
10.000 ou 100.000 anos! O julgamento sobre a segurana no pode
mais se apoiar nos bons resultados recentes do sistema tcnico.
Quinze minutos antes de morrer ele ainda estava com vida, lembra
o ditado popular. Uma semana antes da exploso da refinaria de Te-
xas City, o diretor do site se felicitava pelas taxas de lucratividade re-
corde atingida por sua usina, em relao s quatro outras usinas
americanas do grupo BP (cf. captulo 1, p. 60 e seguintes).
Vamos insistir aqui a respeito de algumas pistas suplementares para
reflexo, que tendem a explicar a estagnao da segurana na Frana.
A ausncia de debates abertos, autnticos, relacionados se-
gurana e aos fatores que criam obstculos para ela. A segu-

rana uma atividade fundamentalmente especulativa, que

deve afrontar os tabus, os fenmenos estranhos e inconceb-
veis (para retomar o qualificativo de Gustav stberg, 1984),
as contradies e as bizarrices e procurar esclarecer essa
face escondida das organizaes (Vaugham, 1999; Llory,
2007), onde se elaboram e se desenvolvem as disfunes.
A fora do paradigma do erro humano do pessoal operacional e a
ausncia quase generalizada das gerncias, dos engenheiros,
nas anlises de acidentes, em uma perspectiva organizacional.
A resistncia muito forte dessas gerncias, dos tomadores de de-
ciso, a investigaes que remontariam at os nveis mais
elevados do gerenciamento e s anlises que tentariam revelar
fenmenos, processos cuja origem se situa nas decises maio-
res de estratgia, que giram em torno do aumento da produ-
tividade e da rentabilidade, sem consideraes cuidadosas sobre
os efeitos dessas decises sobre o pessoal e sobre a organizao.
As presses por produo se tornaram dominantes nas orga-
nizaes, em um clima geral de competividade nacional e
mesmo internacional de desregulamentao, de introver-
so das organizaes e a fortes resistncias face aos controles
externos. A implementao de polticas drsticas de produ-
o e de lucratividade levou a situaes de perigo caracters-
ticas, que so encontradas na origem de numerosos aciden-
tes, da nave Columbia (do famoso programa mais rpido,
melhor, mais barato da NASA) refinaria do Texas City, do
naufrgio da balsa Herald of Free Enterprise ao quase aciden-
te de corroso da tampa do ncleo da central nuclear Davis
Besse, at o naufrgio recente (de 20 de abril de 2010) da
plataforma petroleira Deepwater Horizon no golfo do Mxi-
co. As notcias dos ltimos anos so, infelizmente, cheias de
acidentes trgicos que vm, alis, corroborar o interesse e o

Concluso 145
potencial de elucidao da anlise organizacional. Os fato-

res de acidente se repetem tambm de maneira lancinante;
entretanto, para a maior parte dos peritos, essa repetitivida-
de no traz reflexes prolongadas.
Uma cultura de engenheiros muito bem orientada para a tec-
nologia, para a Tcnica, que ignora os fenmenos huma-
nos e organizacionais, submetida presso quase perma-
nente dos cronogramas, da urgncia, da obsesso cronom-
trica do nmero, do quantitativo, submetida ao mito da
eficcia e do imediatismo, que acompanhado por uma
profunda desconfiana sobre a reflexo coletiva e autocrti-
ca. A presso financeira, econmica, com efeito, se sobreps
s preocupaes tcnicas, at fazer com que fossem esqueci-
das momentaneamente at que essa realidade tcnica
acabasse por se manifestar tragicamente.
Este poderia ser nosso ltimo voto: que esta obra permita pelo
menos a alguns reconsiderar certezas e evidncias que, com o
tempo, podem produzir efeitos temveis para a segurana.

Bibliografia
Esta bibliografia inclui os documentos citados neste livro e outras refe-

rncias que nos parecem importantes para tratar dos aspectos organi-
zacionais da segurana.
ASN, 2007. Rapport de lAutorit de sret nuclaire La sret et la
radioprotection en France en 2006, revue Contrle, n. 175,
avril, ASN Publications, Paris.
ASN, IGAS, 2007. Rsum du rapport ASN n. 2006ENSTR019
IGAS n. RM2007-015P sur laccident de radiothrapie dpinal,
Guillaume Wack (ASN), docteur Franoise Lalande (IGAS), f-
vrier 2007.
Baker J. et al., 2007. The Report of the BP U.S. Refineries Indepen-
dent Safety Review Panel. Consultable sur le site http://www.
csb.gov
Bignell V., Fortune J., 1984. Understanding Systems Failures, Man-
chester University Press.
Bourrier M., 1999. Le nuclaire lpreuve de lorganisation, PUF.
BEA, 2002. Accident survenu le 25 juillet 2000 au lieu-dit La Patte-
-doie de Gonesse (95) au Concorde immatricul F-BTSC exploit
par Air-France, rapport final, Bureau denqutes et danalyses,
consultable sur internet. http://www.bea.aero/docspa/2000/f-
sc000725/pdf/f-sc000725.pdf.

CAIB, 2003. Columbia Accident Investigation Board, Report Volume

1, National Aeronautics and Space Administration and the Go-
vernment Printing Office, Washington DC.
Casey S., 1998. Set Phasers on Stun and Other True Tales of Design,
Technology and Human Errors, Aegean Publishing Company,
Santa Barbara, deuxime dition.
Catino M., 2002. Da Chernobyl a Linate Incidenti tecnologici o errori
organizzativi?, ditions Carocci.
Cowan R., Fauchart E., Foray D., Gungy P., 1999. Dfaillances de
logiciels, crise technologique et apprentissage: une approche par
lconomie des connaissances, Working Papers IMRI WP99/06,
Institut pour le management de la recherche et de linnovation,
Universit Paris-Dauphine, Paris.
Cullen W. D. [Lord], 1990. The Public Inquiry into the Piper Alpha
Disaster, UK Government Publication.
Cullen W. D. [Lord], 2000. The Ladbroke Grove Rail Inquiry, Part 1
Report, HSE Books, Her Majestys Stationery Office, Norwich.
Cullen W. D. [Lord], 2001. The Ladbroke Grove Rail Inquiry, Part 2
Report, HSE Books, Her Majestys Stationery Office, Norwich.
CRAM, 1999. Mthode en prvention: arbre des causes, http://www.
carsat-bfc.fr/documents/document_74.pdf.
Dechy N., Dien Y., 2007. Les checs du retour dexprience dans
lindustrie: problmes de verticalit et/ou de transversalit ?,
Les entretiens du risque, Matrise des malveillances et concep-
tion des systmes dinformation face aux risques, IMdR, Paris,
13-14 dcembre.
Dechy N., Dien Y., Llory M., 2008. Les checs du retour
dexprience: problmatiques de la formalisation et de la com-
munication des enseignements tirs. Congrs Lambda Mu 16,
IMdR, Avignon, octobre 2008.
Dechy N., Dien Y., Llory M., 2010. Pour une culture des accidents
au service de la scurit industrielle. Congrs Lamda Mu 17,
IMdR, La Rochelle, octobre 2010.

Bibliografia 149
Dejours C., 2003. Lvaluation du travail lpreuve du rel, INRA,

collection Sciences en questions.
Dejours C., 1987. Approches du risque par la pathologie du tra-
vail. In: Fabiani J.-L., Theys J. (Eds), 1987. La socit vulnrable,
Presses de lcole normale suprieure, Paris, p. 225-230.
Department of Transport, 1987. The roll on/roll off passenger and fri-
ght ferry Herald of Free Enterprise, Report of Court n. 8074 formal
investigation, Her Majestys Stationery Office, Norwich.
Dien Y., 2006. Retour dexprience, lanceurs dalerte et facteurs
organisationnels. In: Llory M. (Ed), 2007. Proceedings du smi-
naire de Saint-Andr: Risques industriels et scurit: les organi-
sations en question, 26-27 septembre 2006, Bompas.
Dien Y., Dechy N., Guillaume E., 2007. Accident Investigation: from
Searching Direct Causes to Finding In-Depth Causes. Problem of
Analysis or/and of Analyst? 33rd ESReDA Seminar, Future Chal-
lenges of Accident Investigations, Ispra, 13-14 November.
Dien Y., Llory M., 2004. Effects of the Columbia Space Shuttle Acci-
dent on High Risk Industries or: Can We Learn Lessons from
Other Industries?, Keynote Paper of the conference Hazards
XVIII, Manchester, 23-25 November.
Dien Y., Pierlot S., 2006. Cassandre au pays des risques modernes,
29e congrs national de mdecine et sant au travail, Lyon, 30
mai-2 juin.
Dubois P., Rat M., 2003. Effondrement sur le chantier Meteor, Mis-
sion n. 2003-0054-01, rapport final, Conseil gnral des ponts et
chausses, juin 2003.
Duclos D., 1989. La peur et le savoir La socit face la science, la
technique et leurs dangers, Ed. La Dcouverte, collection Scien-
ces et socit, (voir: Lidal techniciste au risque de la folie, p.
132-134).
Eddy P., Potter E., Page B., 1976. Destination dsastre, ditions B.
Grasset, Paris (traduit par F. Dupuis) ; dition originale: Desti-
nation Disaster, 1976, Hart-Davis, MacGibbon Ltd.

Fagot-Largeault A., 1989. Les causes de la mort, Histoire naturelle et

facteurs de risque, Librairie philosophique J. Vrin, Paris.
Feynman R., 1988. What Do You Care What Other People Think?
Further Adventures of a Curious Character, W.W. Norton & Co.
Geertz C., 1998. La description dense. In: La description, tome
1, revue Enqute, n. 6, ditions Parenthses, p. 73-105.
Hollnagel E., Woods D. D., Leveson N., 2006. Resilience Enginee-
ring: Concepts and Precepts, Ashgate Publishing Ltd, Aldershot.
Hollnagel E., Nemeth C., Dekker S., 2008. Resilience Engineering
Perspectives, Vol 1: Remaining Sensitive to the Possibility of Failu-
res, Ashgate Publishing Ltd, Aldershot.
Hopkins A., 2000. Lessons from Longford. The Esso gas plant explo-
sion, CCH Australia Ltd, Sydney. Septime dition, 2003.
Hopkins A., 2005. Safety, Culture and Risk: The Organisational
Causes of Disasters, CCH Australia Ltd, Sydney.
Hopkins A., 2008. Failure to learn: the BP Texas City refinery disas-
ter, CCH Australia Ltd, Sydney.
Kaufmann J.-C., 1996. Lentretien comprhensif, ditions Nathan,
Paris.
Kemeny J. G., Babbitt B., Haggerty P. E., Lewis C. D., Marrett C. B.,
Mc Bride L., Mc Pherson Jr. H., Peterson R., Pigford T. H.,
Trunk A., 1979. The Need For Change The legacy of TMI. Re-
port of the Presidents Commission on The Accident at Three Mile
Island, Government Printing Office, Washington DC.
Kraft et al., 1995. Report of the Space Shuttle Management Indepen-
dent Review Team. Government Printing Office, Washington, DC.
Leveson N., 1995. Safeware, System Safety and Computers A Guide
to Preventing Accidents and Losses Caused by Technology, Addi-
son-Wesley, Boston.
Llory M., 1996. Accidents Industriels: le cot du silence. Oprateurs pri-
vs de parole et cadres introuvables, ditions LHarmattan, Paris.
Llory M., 1998. Ce que nous apprennent les accidents industriels.
Revue Gnrale Nuclaire, vol. 1, janvier fvrier, Paris, p. 63-68.

Bibliografia 151
Llory M., 1999. Laccident de la centrale nuclaire de Three Mile Is-

land, ditions LHarmattan, Paris.
Llory M., 2006. Introduction Prvention des crises, 29e congrs
national de mdecine et sant au travail, Lyon, 30 mai-2 juin.
Llory M. (Ed), 2007. Proceedings du sminaire de Saint-Andr: Ris-
ques industriels et scurit: les organisations en question, 26-27
septembre 2006, Bompas.
Llory M., 2008. Le jugement sur la scurit dun systme sociote-
chnique, revue Prventique Scurit, sept.-oct. 2008, p. 42-48,
d. Prventique.
Llory M., 2010. Catastrophes industrielles et scurit Les leons
de lhistoire 1re partie: Les difficults de la dmarche, revue
Prventique Scurit, mai-juin 2010, p. 35-38, d. Prventique.
Llory M., 2010. Catastrophes industrielles et scurit Les leons
de lhistoire 2e partie: Lapport de la dmarche historique
lanalyse organisationnelle de la scurit, revue Prventique S-
curit, juillet-aot 2010, p. 36-39, d. Prventique.
McCurdy, 2001. Faster Better Cheaper, Low cost innovation in The
US Space Program, The Johns Hopkins University Press,
Baltimore.
Magne L., Vasseur D. (Eds), 2006. Risques industriels Complexit,
incertitude et dcision: une approche interdisciplinaire, ditons
Tec & Doc, Lavoisier.
Merad M., 2010. Aide la dcision et expertise en gestion des risques,
ditions Tec & Doc, Lavoisier.
Mucchielli A. (Ed), 1996. Dictionnaire des mthodes qualitatives en
sciences humaines et sociales, ditions Armand Colin.
Myers L., 2002. Management and Human root causes, Davis Besse
Nuclear Power Station, FENOC.
NRC Issues, 2002. Lessons Learned Task force report on Agencys
handling of Davis Besse reactor vessel head damage, NRC news,
US Nuclear Regulatory Commission.
stberg G., 1984. Evaluation of a design for inconceivable event oc-
currence. In Material and design, vol. 5, p. 88-93.

Pat-Cornell E., Fischbeck P., 1990. Safety of the Thermal Protec-

tion System of the Space Shuttle Orbiter: Quantitative Analysis
and Organizational Factors. Report to the National Aeronautics
and Space Administration, Contract NCC 10-0001.
Pearce F., Tombs S., 1998. Toxic Capitalism: Corporate Crime and
the Chemical Industry, Ashgate Publishing Ltd, Aldershot.
Perrow C., 1984. Normal Accidents Living with High-Risk Techno-
logy, Basic Books, New York. Seconde dition, Princeton Univer-
sity Press, Princeton, 1999.
Pierlot S., Dien Y., Llory M., 2006. Risks management between safe-
ty requests and production pressures. Confrence ESREL 2006,
18-22 septembre, Estoril, Portugal.
Pierlot S., 2006. Les enseignements des accidents Limportance
de ltude des accidents. In: Llory M. (Ed), 2007. Proceedings du
sminaire de Saint-Andr: Risques industriels et scurit: les or-
ganisations en question, 26-27 septembre 2006, Bompas.
Presidential Commission on the Space Shuttle Challenger Accident,
1986. Report to the President by the Presidential Commission on
the Space Shuttle Challenger Accident, Government Printing
Office, Washington DC.
Prost A., 1996. Douze leons sur lhistoire, ditions Point Seuil.
Reason J., 1987. The Age of Organizational Accident, Nuclear Engi-
neering International, n. 35, p. 18-19.
Reason J., 1993. Lerreur humaine, Presses universitaires de France
(traduit par J. M. Hoc), dition originale: Human Error, 1990,
Cambridge University Press.
Reason J., 1997. Managing the Risks of Organizational Accidents,
Ashgate Publishing Ltd, Aldershot.
Reason J., Hollnagel E., Paries J., 2006. Revisiting the Swiss Cheese
Model of Accidents. Eurocontrol Experimental Centre, EEC Note
n. 13/06.
Rseau ferr de France (RFF), 2008. Bilan LOTI du contrle de vites-
se par balises (KVB), rapport.

Bibliografia 153
Roberts K., Ed., 1993. New challenges to Understanding Organiza-

tions, Macmillan Publishing Company.
Rogers K., et al., 1986. Presidential Commission on the Space Shuttle
Challenger Accident, Report to the President by the Presidential
Commission on the Space Shuttle Challenger Accident, Govern-
ment Printing Office, Washington DC.
Rosenthal U., Kouzmin A., 1996. Crisis Management and Institu-
tional Resilience: An Editorial Statement. Journal of Contingen-
cies and Crisis Management, vol. 4, n. 3, p. 119-124.
Sagan S., 1993. The Limits of Safety: Organizations, Accidents and
Nuclear Weapons, Princeton University Press, Princeton.
Sagan S., 1994. Toward a Political Theory of Organizational Relia-
bility. Journal of Contingencies and Crisis Management, vol. 2,
n. 4, p. 228-240.
Shrivastava P., 1992. Bhopal: Anatomy of a Crisis, Paul Chapman
Publishing, 2e dition.
Starbuck W., Milliken F., 1988. Challenger: Fine Tuning the Odds
until Something Breaks. Journal of Management Studies, vol. 25,
p. 319-340.
Telos, 2005. BP Texas City Site Report of Findings: Texas Citys Pro-
tection Performance, Behaviors, Culture, Management and Lea-
dership, BPISOM00122318.
Turner B., 1978. Man-Made Disasters, premire dition: Wykeham
Publications, seconde dition: Turner, B., Pidgeon, N., 1997.
Butterworth Heinemann, Oxford.
U.S. CSB, 2007. Investigation Report, Refinery Explosion and Fire,
BP Texas City, Texas, March 23, 2005, Report n. 2005-04-I-TX.
U.S. CSB, 2008. Anatomy of a Disaster, U.S. CSB Safety Videos.
Vaughan D., 1996. The Challenger Launch Decision. Risky Technolo-
gy, Culture, and Deviance at NASA, The Chicago University
Press, Chicago.
Vaughan D., 1997. The Trickle-Down Effect: Policy Decisions, Risky
Work, and the Challenger Tragedy, California Management Re-
view, vol. 39, n. 2, p. 80-102, Berkeley.

Vaughan D., 1999. The Dark Side of Organisations: Mistake, Mis-

conduct, and Disaster. Annual Review of Sociology, vol. 25, p.
271-305, Palo-Alto.
Vaughan D., 2005. System Effects: On Slippery Slopes, Repeating
Negative Patterns, and Learning from Mistake. In: Starbuck W.,
Farjoun M. (Eds), Organization at the Limit: Lessons from the
Columbia Disaster, Blackwell Publishing Ltd, Oxford.
Weick K., 1993. The Vulnerable System: An Analysis of the Tenerife
Air Disaster. In: K. Roberts (Ed), New challenges to Understan-
ding Organizations, p. 173-198, Macmillan Publishing Company.
Weick K., 2001. Making Sense of the Organization, Blackwell.
Woods D., 2005. Creating Foresight: Lessons for Enhancing Resilien-
ce from Columbia. In: Starbuck W. H., Farjoun M., (Eds) Orga-
nization at the Limit. Lessons from the Columbia Disaster, Bla-
ckwell Publishing Ltd.

Fabrefactum
linha editorial
A Fabrefactum publica obras que revelam como fatores sociais con-

tribuem para a produo de fatos cientficos e artefatos tecnolgi-
cos. Multidisciplinar em sua proposta, a Fabrefactum acolhe traba-
lhos de uma ampla gama de disciplinas, tais como sociologia,
filosofia, histria, antropologia, cincias polticas, economia, psi-
cologia e educao.
Estudos de controvrsias cientficas e da construo social da
tecnologia descrevem o trabalho cotidiano da cincia e tecnologia
em laboratrios e empresas. Eles evidenciam, tambm, as habilida-
des e os saberes de cientistas, tcnicos e usurios, que constroem e
sustentam os fatos cientficos e os artefatos. Os estudos sociais de
cincia e tecnologia se contrapem aos modelos cannicos de cin-
cia e tecnologia, que desconsideram o saber emprico e as habilida-
des prticas dos atores sociais, as intuies baseadas na experincia,
o conhecimento tcito e os juzos de valor implcitos em qualquer
fazer humano.
Verdades cientficas e timos tecnolgicos so sempre cria-
dos dentro de um contexto social: o que funciona sempre julgado
em relao s necessidades de uma comunidade particular e pode
parecer bem diferente quando julgado por outra perspectiva. O
fechamento de uma controvrsia cientfica ou tecnolgica s

ocorre quando o grupo vitorioso capaz de estabilizar os mundos

sociais e naturais e impor um paradigma dominante. O estudo de
como as controvrsias so fechadas ilustra de que modo conheci-
mentos e prticas, antes contingenciais, so reificadas como resul-
tado inevitvel do progresso cientfico e tecnolgico. Pelo menos a
esse respeito, no existem diferenas essenciais entre a produo de
fatos cientficos nas cincias sociais e nas cincias da natureza.
As obras publicadas pela Fabrefactum examinam como o co-
nhecimento acordado, disputado, modificado e transmitido. A
produo de novos conhecimentos a produo de novos acordos
sociais sobre o que se deve considerar como sendo certo ou erra-
do. Isso implica reconhecer as dimenses cognitiva e subjetiva da
prtica cientfica e o saber tcito dos agentes sociais envolvidos, se-
jam eles cientistas, tecnlogos ou cidados que detenham saberes
especficos. Pretendese questionar os mitos da cincia e tecnologia,
sem com isso negar a importncia do conhecimento especializado.
As obras da Fabrefactum tambm aprofundam a compreenso
da recorrente questo da natureza do trabalho humano e sua substi-
tuio por mquinas, focando, em especial, os limites e possibilida-
des do uso da inteligncia artificial e de sistemas especialistas. Em
termos prticos, contribuem para o projeto de tecnologias orientadas
para a atividade, ao mostrar o papel das pessoas em fazer possvel o
uso rotineiro, a manuteno e atualizao de qualquer tecnologia. A
socializao e a imerso em formas de vida se tornam centrais na
transferncia de tecnologia e gesto do conhecimento tcito.
A compreenso da natureza social do conhecimento cientfico e
tecnolgico tem implicaes em outras esferas da vida. A desmiti-
ficao da cincia lhe retira a autoridade e o poder advindos de uma
posio supostamente privilegiada de acesso realidade absoluta.
Abrese, assim, um espao onde indivduos que detm uma exper-
tise baseada na experincia, mas no necessariamente titulaes
acadmicas, possam contribuir para o desenvolvimento de polticas

Linha editorial 157
pblicas. A participao popular em questes cientficas e tecnol-

gicas passa a ter valor tanto epistmico como poltico. Essas mu-
danas trazem um novo desafio: como definir critrios de incluso,
excluso e de contribuio de cada grupo social problema que se
mostra ainda mais agudo quando se tem uma controvrsia que ain-
da no foi fechada.
Por fim, as obras publicadas pela Fabrefactum pretendem con-
tribuir para a educao em cincias e a compreenso destas pelo
pblico. O modelo cannico de cincia se sustenta no mito da infa-
libilidade do mtodo cientfico, ao ensinar que a verdade cientfi-
ca o resultado de um mtodo impessoal e objetivo que iniciantes
tm de aprender a valorizar e aplicar. Ao mesmo tempo em que no
se nega a importncia desse modelo como uma aspirao, os estu-
dos sociais da cincia mostram que ele no uma descrio fidedig-
na de como cincia e tecnologia so produzidas. O ensino de cin-
cias s pode melhorar se as ideias tradicionais forem complementadas
por uma compreenso das maneiras pelas quais controvrsias cien-
tficas e tecnolgicas emergem, so fechadas e reabertas.
Compreender a cincia e tecnologia como instituies sociais
e assim abrir a possibilidade de propostas alternativas um pr
requisito essencial para o desenvolvimento de um dilogo efetivo
e crtico entre cincia, tecnologia e sociedade. A Fabrefactum espe-
ra, com suas publicaes, contribuir para esse movimento.

Sobre o livro
Formato: 12,5x18 cm
Mancha: 9,5x14,4 cm
Tipologia: Texto Minion Regular (corpo 10 pt)
Ttulos Minion Regular (corpo 20 pt)
Subttulo 1 Ottawa Bold (corpo 10 pt)
Subttulo 2 Ottawa Bold (corpo 10 pt)
Papel: Miolo Offset 90 g/m2
Capa Carto Supremo 250 g/m2
1 Edio: 2014
Impresso: Prol Editora Grfica

Oacidenteeaorganizacaomiolo e Capa-12!08!2016

Uploaded by

Document Information

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

Oacidenteeaorganizacaomiolo e Capa-12!08!2016

Uploaded by

Copyright:

Available Formats

O Acidente

abertura_o acidente e a organizacao.indd 1 20/08/2014 10:19:28

abertura_o acidente e a organizacao.indd 2 20/08/2014 10:19:29

abertura_o acidente e a organizacao.indd 3 20/08/2014 10:19:29

abertura_o acidente e a organizacao.indd 4 20/08/2014 10:19:29

Edio Francesa Prventique, dezembro 2010

abertura_o acidente e a organizacao.indd 5 20/08/2014 10:19:29

2014 da traduo brasileira Fabrefactum Editora Ltda.

192p. (Srie: Confiabilidade Humana)

1. Acidente industrial Anlises. 2. Segurana

Elaborada por: Maria Aparecida Costa Duarte

abertura_o acidente e a organizacao.indd 6 20/08/2014 10:19:30

Lista de siglas e abreviaes............................................ ix

1 O acidente organizacional em alguns exemplos........ 27

2 Fundamentos e princpios da anlise

3 Algumas questes no resolvidas................................ 123

abertura_o acidente e a organizacao.indd 7 20/08/2014 10:19:30

abertura_o acidente e a organizacao.indd 8 20/08/2014 10:19:30

AECL Atomic Energy Canada Limited (Comisso de Energia Atmica

abertura_o acidente e a organizacao.indd 9 20/08/2014 10:19:30

EPRI Electric Power Research Institute (Instituto de Pesquisa em Ener

abertura_o acidente e a organizacao.indd 10 20/08/2014 10:19:30

com muita satisfao que apresentamos aos leitores de lngua

abertura_o acidente e a organizacao.indd 11 20/08/2014 10:19:30

obra produzida pelo coletivo CHAOS, que inclui, alm de anlise

abertura_o acidente e a organizacao.indd 12 20/08/2014 10:19:30

cal, que corresponde s relaes hierrquicas; a temporal-histrica,

abertura_o acidente e a organizacao.indd 13 20/08/2014 10:19:30

Todos essas atividades se interconectam com as de outros grupos

So Paulo, 11 de agosto de 2014

abertura_o acidente e a organizacao.indd 14 20/08/2014 10:19:30

Levando consigo a maior parte dos sobreviventes, mais de trs anos

abertura_o acidente e a organizacao.indd 15 20/08/2014 10:19:31

abertura_o acidente e a organizacao.indd 16 20/08/2014 10:19:31

de um alto nvel de tecnologia. No era nada disso: o gravssimo

* Os autores esto se referindo, evidentemente, s ferrovias europeias. (N.T.)

abertura_o acidente e a organizacao.indd 17 20/08/2014 10:19:31

navios, que se tornaram gigantes para aumentar a produtividade,

JJ Um acidente Made in Japan

abertura_o acidente e a organizacao.indd 18 20/08/2014 10:19:31

toridades de segurana se alarmassem com isso. Da mesma forma,

JJOs macrodeterminantes da segurana

abertura_o acidente e a organizacao.indd 19 20/08/2014 10:19:31

abertura_o acidente e a organizacao.indd 20 20/08/2014 10:19:31

nais, assim como a falta de firmeza da Autoridade de segurana

At onde aprofundar a anlise

abertura_o acidente e a organizacao.indd 21 20/08/2014 10:19:31

to mais fundamental, aprofundou a anlise organizacional em um

abertura_o acidente e a organizacao.indd 22 20/08/2014 10:19:31

controle dos riscos (tcnicos ou organizacionais) foram tomadas e

JJUm caso de acidente no Brasil

abertura_o acidente e a organizacao.indd 23 20/08/2014 10:19:31

nizacionais. O leitor vai encontrar, na anlise da comisso de in

JJA ampliao do campo de aplicao

abertura_o acidente e a organizacao.indd 24 20/08/2014 10:19:31

circunstncias ergonmicas, organizacionais, temporais, habituais

JJO papel do gerenciamento: decisivo,

abertura_o acidente e a organizacao.indd 25 20/08/2014 10:19:32

sob a presso da opinio pblica e dos polticos, o vu se rompe, os

JJO grande livro dos acidentes

abertura_o acidente e a organizacao.indd 26 20/08/2014 10:19:32

esse grande livro de acidentes, para question-los, tirar deles ensi

JJA necessidade crucial de uma

abertura_o acidente e a organizacao.indd 27 20/08/2014 10:19:32

2 Fundamentos e princpios da anlise