Por que os programas de Gestão da Segurança de Processos falham mesmo quando todos os requisitos da OSHA são cumpridos

Em 2005, uma explosão na refinaria da BP em Texas City matou 15 pessoas, feriu mais de 170 e gerou perdas na casa dos bilhões — danos aos ativos, produção perdida, penalidades e acordos judiciais. Os investigadores não apontaram para uma única válvula quebrada. Eles identificaram falhas em procedimentos, treinamento e controles operacionais — o mesmo território abrangido pela norma de Gerenciamento da Segurança de Processos da OSHA.

Duas décadas depois, a maioria das instalações de alto risco consegue apresentar um fichário de PSM. Eventos graves ainda acontecem, incluindo uma explosão em uma refinaria em Port Arthur, Texas, em março de 2026. O padrão desconfortável é familiar: os 14 elementos existem no papel, mas não estão conectados, atualizados nem alinhados à forma como a unidade realmente opera.

Em instalações de processos contínuos, o desempenho em segurança é definido pelo fato de os controles documentados ainda corresponderem aos equipamentos, às pessoas e aos contratados no turno — não pela aparência de completude do arquivo.

Teatro da conformidade versus um sistema em operação

O PSM é composto por 14 elementos. Ele não funciona como 14 tarefas independentes. A eficácia vem da forma como esses elementos são aplicados, vinculados e sustentados. O modo de falha mais comum é gerencial: tratar o PSM como requisitos a serem cumpridos, em vez de um sistema a ser operado.

Análises de perigos, procedimentos, treinamentos e programas de manutenção podem parecer completos. Quando não estão conectados ou não são mantidos em conjunto, as lacunas se abrem silenciosamente. Como essas atividades raramente aparecem no volume diário produzido, a pressão por produção no curto prazo prevalece. Com o tempo, o programa se torna uma documentação sobre o trabalho — não uma descrição fiel do trabalho.

A deterioração aparece primeiro em procedimentos desatualizados, desenhos que ficam para trás após mudanças nos equipamentos e auditorias ou revisões atrasadas. Nenhuma dessas lacunas parece catastrófica isoladamente. Juntas, significam que o programa “em conformidade” já não descreve as condições atuais.

As salas de controle expõem a lacuna mais rapidamente: os operadores executam o que a planta permite, não o que o procedimento do ano passado afirmava.

Investigações que param na contagem de feridos

As investigações de incidentes geralmente variam em profundidade de acordo com o resultado. Quase acidentes recebem uma abordagem superficial; eventos graves recebem uma análise aprofundada. As causas subjacentes podem ser idênticas. Classificar os eventos pela consequência potencial e pela probabilidade de recorrência oferece uma visão mais clara da exposição do que esperar sangue no chão.

O que acontece depois do relatório importa mais do que o tamanho do relatório. Se as constatações nunca reescrevem procedimentos, treinamentos ou a configuração do sistema, as mesmas condições continuam prontas para causar problemas. As plantas que tratam o aprendizado como mera papelada opcional reciclam os mesmos cenários com novas datas.

Contratados e o ponto cego fora da cerca

A gestão de contratados introduz um segundo perfil de risco. O programa corporativo de segurança de um contratado pode ser genuíno — e ainda assim estar desalinhado das expectativas de uma instalação abrangida pelo PSM. Essas incompatibilidades são fáceis de ignorar até a mobilização. Reuniões prévias à licitação, esclarecimentos da proposta e planejamento pré-mobilização são os momentos em que as expectativas de EHS precisam ser explicitadas. Sem esse alinhamento, diferenças no planejamento e na execução se tornam energia latente na estrutura de permissões de trabalho.

As camadas de hardware e software que impõem desligamentos, alarmes e lógica permissiva fazem parte da mesma história de integridade. As equipes que mantêm saudáveis as bases instaladas geralmente começam pelas plataformas já presentes no local — seja consultando hardware de controle da Honeywell para arquiteturas adjacentes a processos e segurança, seja confirmando as rotas de proteção de ativos rotativos por meio da instrumentação de proteção de máquinas quando as funções de vibração e sobrevelocidade precisam permanecer independentes da lógica comum de processos.

Instalações de alto risco raramente falham por causa de uma seção ausente no fichário; elas falham quando pequenos desalinhamentos se acumulam até que uma salvaguarda deixe de fazer o que a avaliação de riscos pressupunha.

Visibilidade: auditorias que medem o desempenho, não os fichários

Muitas organizações não conseguem responder a uma pergunta simples: qual é o desempenho do PSM neste momento? A completude dos documentos não é desempenho. Auditorias de conformidade — exigidas pelo menos a cada três anos — e avaliações estruturadas de lacunas criam uma linha de base para priorizar correções. Sem essa cadência, a “melhoria” permanece reativa: outro incidente, outra ação temporária, outro responsável esquecido.

Em todos esses modos de falha, o padrão é consistente. As falhas raramente surgem como um único elemento ausente. Elas se acumulam à medida que a planta em operação muda e o sistema escrito não acompanha. As salvaguardas então parecem intactas, enquanto sua eficácia no mundo real se deteriora.

O veredito operacional

Marcar as caixas da OSHA prova que você consegue reunir evidências. Não prova que consegue evitar o próximo evento de perda de contenção. Um programa de PSM eficaz precisa de visibilidade clara do desempenho, lacunas classificadas por prioridade e acompanhamento que reescreva a forma como o trabalho é realizado — procedimentos, treinamentos, interfaces com contratados e as camadas de controle que os impõem.

Quando esses riscos não são compreendidos nem gerenciados, pequenas desconexões se agravam. O fichário ainda parece estar em conformidade. A planta, não.