O Modelo Do Queijo Suíço Foi Proposto Por James

Um guia prático sobre análise de falhas em camadas

Todo mundo que já trabalhou com segurança em sistemas complexos acabou esbarrando no modelo do queijo suíço foi proposto por james. A maioria das pessoas resume isso como "furos que se alinham e pronto". Na prática, é bem mais chato do que isso. James Reason publicou essa ideia nos anos 90, mas o conceito ganhou força quando ele aplicou em segurança aeronáutica e hospitalar. A premissa básica é simples de entender: acidentes não vêm de uma única falha. Eles vêm do alinhamento de falhas em múltiplas barreiras que deveriam impedir o problema. Pensa em fatias de queijo suíço empilhadas. Cada fatia é uma camada de defesa. Os buracos são falhas potenciais naquela camada. Quando os buracos se alinham de repente, algo cruza todas as barreiras. O resultado é o acidente ou evento adverso.

O que a maioria dos tutoriais na internet não explica é que os buracos se movem. Eles abrem e fecham. Uma barreira que hoje parece sólida pode ter um furo que só aparece sob pressão. Essa dinâmica é o que torna o modelo útil, mas também o que faz as pessoas desistirem de aplicar. Eu já tentei mapear todas as camadas de um processo logístico usando essa estrutura. O problema real não é o conceito. É conseguir dados concretos sobre onde estão os furos existentes antes que algo aconteça. Em qualquer operação séria, você vai descobrir que muitas camadas são documentadas no papel mas nunca foram testadas na prática. Uma coisa que eu aprendi na marra foi que o modelo original trata as camadas como independentes. Na vida real, falhas numa camada afetam outras. Se a camada de inspeção tem um furo porque o técnico foi retirado para outra função, isso não afeta apenas a inspeção. A camada de treinamento também entra em colapso porque ninguém substituiu o conhecimento que aquele técnico levava embora.

Para aplicar de forma útil, eu comecei a fazer o seguinte: primeiro listei todas as barreiras existentes num processo. Não as que deveriam existir. As que realmente existem. Depois, para cada barreira, identifiquei condições latentes que poderiam abrir furos. Condições latentes são coisas como falta de treinamento, pressão por produção, equipamentos com manutenção atrasada. Finalmente, mapeei como uma condição latente numa barreira poderia ativar um furo noutra barreira simultaneamente. Isso é basicamente uma análise de cenários de falha em cascata. Leva tempo. Num processo com cinco camadas de defesa bem documentadas, eu gastava cerca de duas semanas para um mapeamento inicial decente. Mas depois que o modelo estava montado, conseguir prever eventos adversos antes que ocorresse era questão de consultar o mapa quando alguma condição latente mudava. O ponto mais importante que ninguém enfatiza o suficiente é que o modelo não serve para culpar pessoas. Focos em falhas humanas isoladas ignoram completamente como o alinhamento de furos acontece. Um erro operacional quase nunca é o primeiro furo da cadeia. Geralmente é o último, quando todos os outros já estavam abertos.

Se você está começando agora, não tente mapear todas as camadas de uma operação inteira de uma vez. Escolha um processo específico, algo como um fluxo de aprovação de compras ou um procedimento de liberação de lote farmacêutico. Aplique o modelo ali. Veja onde os furos se alinham naturalmente. Aí é que você entende o conceito. O resto é só repetição.

Limitações que todo mundo ignora

O modelo do queijo suíço foi proposto por james como ferramenta analítica, não como sistema preditivo perfeito. Ele tem limitações sérias que precisam ser conhecidas antes de aplicar em qualquer projeto real. A principal limitação é que o modelo pressupõe que as camadas são discretas e bem definidas. Em organizações reais, as fronteiras entre camadas são borradas. Quem é responsável pela barreira X? Departamento de compliance? Operações? Qualidade? Às vezes, três departamentos compartilha responsabilidade e ninguém assume a manutenção efetiva da camada. Outro problema é que o modelo mostra o que aconteceu após o incidente. Prever onde os próximos furos podem aparecer com precisão é muito mais difícil. Eu já vi equipes gastarem meses tentando prever cenários que nunca se materializaram, enquanto eventos reais aconteciam por alinhamentos que ninguém mapeou porque pareciam improváveis.

Se o seu objetivo é apenas identificar causas raiz após um acidente, o modelo funciona bem. Se você quer usá-lo para prevenção ativa contínua, precisa combinar com outras ferramentas, como análise de modo de falha e efeito ou monitoramento de indicadores de segurança em tempo real. Sozinho, o modelo é descritivo, não prescritivo. Há também o viés de confirmação. Quando você já sabe que um evento ocorreu, fica fácil olhar para trás e ver todos os furos alinhados. Parece óbvio. Antes do evento, nada parecia óbvio. Esse viés é perigoso porque cria uma falsa sensação de domínio sobre o risco. O trabalho mais honesto que já fiz com esse modelo foi num hospital onde tínhamos um evento adverso grave por mês. O mapeamento das camadas mostrou que pelo menos quatro barreiras tinham furos ativos simultaneamente há semanas antes de cada incidente. O problema nunca foi falta de barreiras. Era falta de inspeção regular das barreiras existentes.

A solução que funcionou não foi criar novas camadas. Foi instituir auditorias quinzenais focalizadas nas condições latentes de cada barreira, com responsáveis designados e prazos fechados. Reduziu eventos adversos em cerca de sessenta por cento em oito meses. Sem esse acompanhamento contínuo, o modelo no papel não serve para nada.