JOO AREOSA

O contributo das cincias sociais para a anlise de acidentes maiores: dois modelos em confronto

Anlise Social, 204, xlvii (3.), 2012 issn online2182-2999

edio e propriedade Instituto de Cincias Sociais da Universidade de Lisboa. Av. Professor Anbal de Bettencourt, 9 1600-189 Lisboa Portugal analise.social@ics.ul.pt

Anlise Social, 204, xlvii (3.), 2012, 558-584

O contributo das cincias sociais para a anlise de acidentes maiores: dois modelos em confronto. Os acidentes maiores so um problema social relevante, dado que podem afetar alguns pilares importantes das sociedades contemporneas, como as populaes, as infraestruturas ou as prprias organizaes onde estes eventos ocorrerem. Este tipo de acidentes surge em organizaes de alto-risco, onde interagem, entre outros, aspetos de natureza tcnica, tecnolgica, social e organizacional. Neste artigo confrontamos a perspetiva das organizaes de alta fiabilidade e a teoria dos acidentes normais, explorando as principais virtudes e limites de cada um destes modelos. Iremos verificar que o seu modo de compreender os acidentes, bem como as formas de preveno propostas so parcialmente antagnicos. Palavras-chave: acidentes maiores; preveno de acidentes; organizaes de alta fiabilidade; teoria dos acidentes normais. The contribution of social sciences to analysis of major accidents: two models in comparison. Major accidents are a relevant social problem, because they can affect certain important pillars of contemporary societies such as population, infrastructures, and the very organizations in which the events occurred. Major accidents arise in high-risk organizations, where technical, technological, social, and organizational factors interact. In this paper we confront the theory of High Reliability Organizations (hro) and the Normal Accidents Theory (nat), exploring the virtues and limitations of each model. Keywords: major accidents; accident prevention; high-reliability organizations; normal accident theory. Joo Areosajoao.s.areosa@gmail.comcics, Universidade do Minho.

JOO AREOSA

O contributo das cincias sociais para a anlise de acidentes maiores: dois modelos em confronto

ORG A N I Z A E S DE A LTA F IA B I L I DA DE : SU C E S S O O U I N SU C E S S O P E R A N T E O S AC I DE N T E S ?

As organizaes existem, essencialmente, para desempenhar uma funo social til. Este o seu lado positivo e benfico. Porm, se observarmos a perspetiva de Max Weber (1947), torna-se claro que as organizaes representam o arqutipo da racionalizao ou o tipo ideal da burocracia (caractersticas que as tornam eficientes), mas, simultaneamente, podem tambm produzir resultados inesperados (o designado paradoxo das consequncias), cujos efeitos podem ainda transformar-se num verdadeiro colete-de-foras, passvel de oprimir e aprisionar a humanidade. A viso pessimista do autor resulta, em parte, do seguinte entendimento: a disciplina imposta pela burocracia limita fortemente a liberdade individual, o que acaba por originar uma massa de subordinados e uma despersonalizao das relaes sociais. Para Weber, difcil conceber a modernidade sem a infiltrao da racionalizao e da burocratizao nas organizaes contemporneas, mas este fenmeno gera no autor um sentimento de desencantamento do mundo. Na mesma linha de pensamento, Merton (1936) refere que as organizaes produzem, inevitavelmente, consequncias secundrias que vo contra os seus objetivos pr-estabelecidos ou, por outras palavras, so suscetveis de produzir efeitos no desejados. Segundo Vaughan (1999) este pensamento constitui o pilar de qualquer tipo de consideraes sobre o lado negro das organizaes. Parece relativamente consensual que o mundo moderno se encontra repleto de perigos e de riscos, nomeadamente os decorrentes das atuais tecnologias complexas, tal como referem alguns cientistas sociais (Douglas e Wildavsky, 1982; Beck, 1992; Renn, 1992; Giddens, 1998). Segundo LaPorte e Consolini (1991) a partir de meados do sculo xx emergiram determinadas tecnologias

560

JOO AREOSA

que possibilitaram o aumento dos nveis produtivos, mas cujo poder destrutivo, em caso de acidente, catastrfico. importante referir que o funcionamento das organizaes que utilizam este tipo de tecnologias influenciado por mltiplos fatores (internos e externos) que podem afetar a sua resilincia.1 A ocorrncia de acidentes maiores a prova cabal da existncia de erros, falhas, ou de circunstncias dificilmente antecipveis. Esta ideia inscreve-se e d sequncia s abordagens de Weber e Merton referidas anteriormente. Os sistemas de alto-risco revelam sempre algumas vulnerabilidades e imperfeies, por isso, como que poderemos tentar contrariar a ocorrncia de situaes inesperadas e ameaadoras nas organizaes? Um grupo de investigadores, designado como tericos da alta fiabilidade organizacional, acredita que possvel manusear tecnologias complexas e perigosas sem originar grandes acidentes.2 Considerando ento a existncia e utilizao de tecnologias de alto-risco pela humanidade, quais sero os principais argumentos, utilizados pelos tericos das organizaes de alta fiabilidade (High Reliability Organizations hro), para afastar os medos pblicos e privados acerca dos eventuais cenrios de acidentes maiores ou desastres de larga escala? Contrariar estes receios parece, partida, uma tarefa difcil.3 Sagan (1993) interroga-se se
1

Os sistemas ou organizaes resilientes envolvem uma interao entre os diversos componentes do sistema e o seu ambiente circundante (Nemeth, 2008). Regra geral, entende-se por resilincia a capacidade que as organizaes detm para absorver ou incorporar mudanas sem que estas alteraes originem efeitos adversos ou falhas catastrficas (Foster, 1993, p. 36). uma capacidade sistmica de ajustamento funcional que permite enfrentar situaes novas, perturbaes, presses ou percalos. A resilincia tambm pode ser definida como as propriedades intrnsecas de uma organizao, suscetveis de a tornar mais resistente para lidar com certas operaes perigosas (Reason e Hobbs, 2003). Isto significa que as organizaes podem eventualmente sofrer determinadas presses ou choques, nomeadamente falhas, distrbios ou disfunes, sem que estes eventos conduzam necessariamente a acidentes graves ou a efeitos indesejados. Porm, pertinente referir que esta elasticidade ou flexibilidade (capacidade para voltar forma original ou para recuperar foras depois de sofrer determinadas presses) no infinita, mas pode, no entanto, acomodar determinadas situaes sem provocar danos ou perdas, pelo menos at um dado limite. 2 Segundo Rochlin (2001), este grupo foi fundado em Berkeley (Califrnia), inicialmente apenas por trs membros (Todd LaPorte, Karlene Roberts e Gene Rochlin), mas rapidamente alargado para um nmero muito superior de colaboradores. Esta equipa comeou por estudar quatro tipos de atividades: controlo de trfego areo, gesto da rede de energia eltrica, centrais nucleares e porta-avies militares da marinha americana. As organizaes que geriam estas atividades/infraestruturas tinham em comum o facto de laborarem em ambientes de alto-risco, mas com bons desempenhos ao nvel da segurana. 3 Alis, a perspetiva terica das hro diferencia-se, em parte, de outras perspetivas, que preconizam que as organizaes so elas prprias produtoras de erros e acidentes (Turner, 1978; Reason, 1990; 1997; Vaughan, 1996; 1999; Rasmussen, 1997; Perrow, 1999; Dwyer, 2000).

O CONTRIBUTO DAS CINCIAS SOCIAIS PARA A ANLISE DE ACIDENTES MAIORES

561

sero este tipo de acidentes prevenveis? Ou se sero eles uma inevitvel consequncia das tecnologias perigosas do mundo moderno? Se tivermos em conta a complexidade de algumas organizaes, em que podem ocorrer, em certos casos, interaes no-lineares, parece mera utopia colocar a hiptese de que possvel prever e prevenir todos os tipos de acidentes. Apesar de raros, os acidentes maiores parecem inevitveis; este um dos motivos pelo qual se considera este tipo de eventos como algo normal (Perrow, 1999 [1984]). No entanto, Roberts (1990, p. 173) afirma que as hro encontraram diversas estratgias para evitar os efeitos negativos provocados por algumas caractersticas estruturais destes sistemas, nomeadamente, as interaes complexas e as ligaes apertadas. O debate sobre as designadas organizaes de alta fiabilidade emerge a partir da longa discusso acerca do acidente de Three Mile Island (tmi).4 Segundo os tericos das hro, a fiabilidade pode ser entendida (em sentido metafrico) como a capacidade para produzir repetidamente um resultado particular (neste caso a no ocorrncia de acidentes). Algumas pesquisas no mbito das hro pretendem demonstrar que possvel e vivel recorrer u tilizao de tecnologias complexas de alto-risco sem dar origem a acidentes maiores. A capacidade para lidar com este tipo de tecnologias depende, em larga medida, de alguns preceitos organizacionais, tais como designs organizacionais adequados, tcnicas de gesto designadas inteligentes, ampla promoo de atividades livres de falhas, forte adaptao a situaes limite ou de pico nas atividades
4

No dia 28 de maro de 1979 esteve muito perto de ocorrer a fuso da central nuclear tmi, situada na Pensilvnia (Estados Unidos). Os problemas na tmi comearam no polisher (algo similar a um filtro de gua de grandes dimenses), o qual aparentemente bloqueou e deixou passar alguma humidade para o sistema de ar da central, que, por sua vez, fez disparar as vlvulas que permitiam a entrada de gua fria para o sistema de arrefecimento, fechando-as inesperadamente. Sem arrefecimento, o reator nuclear pode aquecer rpida e perigosamente. para prevenir situaes deste tipo que os sistemas complexos como a tmi so desenhados com imensas redundncias e o sistema de arrefecimento era um desses exemplos. Porm, sem se saber bem porqu, as vlvulas do sistema redundante de refrigerao tambm estavam fechadas. Por coincidncia, o mostrador da sala de comando que deveria indicar aos operadores que estas vlvulas estavam fechadas encontrava-se naquele dia tapado por um sinalizador de manuteno pendurado no interruptor acima, logo, no se encontrava visvel. Contudo, a central tmi ainda dispunha de mais outro mecanismo de segurana, designado por vlvula de descarga, mas infelizmente este mecanismo tambm no funcionou e o seu sinalizador na sala de comando estava avariado. Quando todas estas pequenas falhas foram detetadas o reator da central estava perto de derreter. importante referir que estes acontecimentos, se tivessem ocorrido isoladamente, seriam considerados eventos quase triviais e sem grande importncia para o funcionamento normal da tmi. Todavia, estas pequenas falhas interagiram entre si de forma to rpida, inesperada e incompreensvel que estiveram muito perto de provocar uma catstrofe. Regra geral, os acidentes maiores resultam de interaes deste tipo.

562

JOO AREOSA

e troca de informao entre pares. LaPorte e Consolini (1991) afirmam que as hro no podem cometer erros graves, dado que os seus efeitos podem dar origem a consequncias desastrosas como um elevado nmero de mortos, catstrofes ambientais suscetveis de afetar vrias geraes, ou ampla destruio de infraestruturas (fundamentais para o funcionamento das sociedades). A discusso sobre os nveis de segurana em sistemas tecnolgicos complexos um dos temas centrais da teoria das organizaes de alta fiabilidade. Alis, este debate surge como um dos aspetos mais polmicos e controversos entre o modelo da alta fiabilidade organizacional e a perspetiva dos acidentes normais. Tendo ainda como pano de fundo as mltiplas divergncias entre ambas as correntes, se, por um lado, a abordagem terica dos acidentes normais poderia ser acusada de transmitir um discurso pessimista perante o controlo dos nveis de segurana organizacional na utilizao de tecnologias complexas, por outro lado, a teoria hro pode ser rotulada de preconizar um excessivo otimismo acerca desta mesma questo. Outra das grandes diferenas entre as duas correntes est na forma como explicam os acidentes; isto , enquanto a perspetiva dos acidentes normais aprofunda as causas dos acidentes (explicaes para estes eventos), a teoria hro no explica o porqu destes acidentes ocorrerem, mas antes, por que motivo ocorrem com to pouca frequncia. No mbito deste debate, LaPorte e Consolini (1991) publicaram um artigo com um ttulo bastante sugestivo (Working in practice but not in theory), onde so apresentados alguns dos principais argumentos sobre como possvel lidar com tecnologias perigosas muito complexas e, simultaneamente, manter nveis elevados de performance (incluindo a rea da segurana organizacional). Os mentores tericos das hro defendem que determinados sistemas complexos a aviao (comercial ou militar), a marinha, os sistemas ferrovirios, os controladores areos, as centrais nucleares, entre outros apenas representariam um benefcio para as sociedades caso a sua performance estivesse prxima de um nvel livre de falhas. As hro dedicam particular ateno partilha de erros5, visto que as suas consequncias podem ser to grandes que eles tm de ser evitados a qualquer preo. Existe uma forte aposta no recrutamento, na socializao e na misso das hro, tentando evitar que os lapsos ou contingncias individuais possam originar problemas. Os autores das hro sabem que os relatrios sobre a anlise de acidentes maiores apontam normalmente a interveno humana como o catalisador de luxo para desencadear o acidente (DOliveira, 2006), embora ns corroboremos a perspetiva de que o erro
5

Embora, no seja frequente os tericos das hro dedicarem-se pesquisa de como e por que motivo as organizaes produzem erros. Segundo Rochlin (2001) encontramos apenas duas excees a este princpio.

O CONTRIBUTO DAS CINCIAS SOCIAIS PARA A ANLISE DE ACIDENTES MAIORES

563

humano deve ser, cada vez mais, entendido como uma consequncia da atividade organizacional e no tanto como a principal causa dos acidentes (Reason, 1990; 1997). Para alm disso, as hro deparam-se, por vezes, com a necessidade imperiosa de ir at ao limite das suas capacidades (devido s necessidades sociais a que tentam responder), e este cenrio constitui-se, partida, como um acrscimo para os nveis de risco da organizao, tornando-se num teste (perigoso) sua resilincia. Todavia, LaPorte e Consolini (1991, p. 29) reiteram que existe uma fictcia contradio no desempenho das organizaes de alta fiabilidade, em que o limite das suas capacidades e/ou o reforo da produo (atingindo o seu pico durante um determinado perodo) pode at coincidir como uma reduo dos erros na atividade, devido aos excelentes padres de tomada de deciso organizacional permitirem suportar este aparente paradoxo (aumento da produo versus reduo de erros ou falhas).6
F IA B I L I DA DE NAS H RO

A tecnologia normalmente indisciplinada e as suas caixas negras so, por vezes, difceis de decifrar (Wynne, 1988). Segundo a perspetiva de Paul Virilio (1983), toda e qualquer tecnologia suscetvel de produzir acidentes especficos. O autor refere os seguintes exemplos: A inveno dos navios deu origem aos naufrgios; a criao da locomotiva possibilitou os descarrilamentos; e a inveno dos avies permitiu os desastres areos. Por este motivo, a continuidade do desenvolvimento tecnolgico implica que teremos de pensar mais nas suas consequncias, incluindo o tipo de acidentes que podem provocar. Contudo, nas hro a fiabilidade passa por articular de forma meticulosa os seguintes quatro aspetos: 1. Consenso entre a performance das tarefas e os objetivos de segurana; 2. Promoo de uma forte cultura de responsabilidade na organizao, onde os trabalhadores so socializados e treinados para responder s situaes de crise e emergncia (controlo hierrquico centralizado perante situaes normais e descentralizado em momentos de crise);
6

These organizations share the goal of avoiding altogether serious operational failures. This goal rivals short-term efficiency as a primary operational objective. Indeed, failure-free performance is a condition of providing benefits. The operating challenges are twofold: (1) to manage complex, demanding technologies, making sure to avoid major failures that could cripple, perhaps destroy, the organization; at the same time, (2) to maintain the capacity for meeting periods of very high, peak demand and production whenever these occur (LaPorte e Consolini, 1991, p. 21).

564

JOO AREOSA

3. Utilizao de formas sofisticadas de aprendizagem organizacional (incluindo o relato imediato de erros, falhas ou lapsos) e sensibilidade nos julgamentos e na gesto da organizao; 4. Recurso extensivo a formas redundantes nos mltiplos componentes sistmicos, bem como nas diversas atividades da organizao. Um dos grandes desafios que se coloca a quem tem de construir sistemas fiveis (em particular quando esto envolvidas tecnologias complexas perigosas) precisamente a sua idealizao/construo, a qual ocorre, por vezes, a partir de componentes ou partes com menor fiabilidade. Ou seja, ser possvel construir sistemas fiveis a partir de subsistemas menos fiveis? Segundo os tericos das hro a resposta indubitavelmente afirmativa. Esta dificuldade (tentar criar a perfeio atravs de partes imperfeitas) normalmente ultrapassada atravs da redundncia (sistemas paralelos), isto , mediante a duplicao sistmica para a mesma funo (em caso de falha da primeira unidade atua a segunda). Deste modo, a redundncia pode ser vista como um mecanismo protetor perante a ocorrncia de falhas. Porm, segundo Sagan (1993, p. 251) temos algumas evidncias histricas que demonstram a inadequao de tentar assegurar a fiabilidade a partir da criao de mais e mais partes redundantes nos sistemas. Alis, Sagan (2004) refere ainda trs aspetos em que a redundncia pode produzir menos (e no mais) fiabilidade dentro das organizaes: 1. Os dispositivos (de segurana) redundantes tornam os sistemas mais complexos e podem produzir novos erros e falhas. 2. A colocao de novos dispositivos redundantes leva, tendencialmente, a que exista uma menor ateno, vigilncia, e responsabilidade por parte dos membros da organizao, dado que esta situao gera a sensao de que o sistema se tornou mais seguro. 3. Por ltimo, a redundncia pode tambm ampliar a confiana das hierarquias sobre a fiabilidade do sistema, e isto pode gerar maiores presses sobre os trabalhadores para aumentarem a produo; mas esta situao reduz, por vezes, as condies de segurana. Tal como j foi afirmado anteriormente, a redundncia organizacional7 uma das principais caractersticas das hro. Na perspetiva de LaPorte e Consolini (1991) as hro encontraram nos princpios da redundncia um dos
Segundo Rosness et al. (2000), a redundncia organizacional refere-se a padres de cooperao que permitem organizao (no seu todo) obter nveis de desempenho mais fiveis, comparativamente com as suas partes, vistas individualmente.
7

O CONTRIBUTO DAS CINCIAS SOCIAIS PARA A ANLISE DE ACIDENTES MAIORES

565

seus melhores trunfos para obter desempenhos fiveis (mesmo sendo operadas por seres humanos suscetveis de cometerem erros e/ou falhas ou contendo componentes menos fiveis). Estas organizaes promovem a partilha dos seus erros e desvios, mas ao contrrio de outras organizaes conseguem corrigir esses mesmos erros quase de imediato. Isto s se torna possvel, por exemplo, devido a uma vigilncia rigorosa e a uma sobreposio de tarefas e competncias dos seus trabalhadores. Eles so capazes de detetar e corrigir os erros dos seus pares, visto que a cultura organizacional est assente na deteo de falhas, pois os mais pequenos erros podem dar origem a acidentes de larga escala. Para alm disso, os trabalhadores mantm um contacto direto (olhos-nos-olhos) uns com os outros (visto que existe uma forte aposta, por parte da organizao, no contacto informal8 e aberto entre trabalhadores), permitindo uma fcil comunicao entre todos os membros da organizao. As hro procuram que o conhecimento tcnico dos seus membros seja o mais completo possvel.9 por isso que dedicam particular ateno s subtilezas comportamentais dos seus sistemas sociotcnicos, e exercem uma forte vigilncia sobre as armadilhas que podem estar por detrs de algumas tomadas de deciso, visto que uma pequena falha ou uma ligeira dose de indeciso (por exemplo, fruto de alguma incerteza10) podem causar efeitos adversos. Naturalmente
8

Uma das excees a esta regra pode ser encontrada na comunicao entre pilotos e controladores areos, devido necessidade de prevenir eventuais interpretaes dbias durante o processo comunicativo (troca de informao). Porm, um exemplo de como a comunicao entre pilotos e controladores de trfego areo falhou redondamente ficou patente no desastre do voo 52 Avianca. Neste caso, o avio despenhou-se por falta de combustvel, depois de permanecer nas imediaes do aeroporto durante mais de uma hora a aguardar autorizao para aterrar (Gladwell, 2008). 9 O conhecimento especializado de alguns trabalhadores (experts) por vezes confrontado com a diferena entre o trabalho prescrito (como ele deve ser efetuado) e o trabalho real (como ele executado na prtica). Esta questo remete-nos para o facto de que no existe nenhuma organizao onde no exista trabalho informal podemos verificar esta situao, por exemplo, em contexto hospitalar (cf. Areosa e Carapinheiro, 2008) e isto pode ser um fator contraditrio com os princpios das hro. Seen from the outside, a defining characteristic of such informal work systems would be routine violations of procedures (which, in aviation, is commonly thought to be unsafe). But from the inside, the same behaviour is a mark of expertise, fuelled by professional and interpeer pride. And of course, informal work systems emerge and thrive in the first place because procedures are inadequate to cope with local challenges and surprises, and because procedures (and managements) conception of work collides with the scarcity, pressure and multiple goals of real work (Dekker, 2006, p. 86). 10 A ttulo de exemplo, Martins (1998) defende que o mundo contemporneo poderia ser apelidado de sociedades de incerteza ou sociedades aleatrias, por oposio ao termo sociedades de risco preconizado por Beck (1992). O risco e a incerteza so, por vezes, tomados como sinnimos (embora, do nosso ponto de vista, erradamente), visto que os dois conceitos

566

JOO AREOSA

que os elevados nveis de segurana e fiabilidade nestas organizaes no se enquadram dentro de padres econmicos baratos, mas a aceitabilidade social destas organizaes depende, em parte, destas caractersticas.
AS DI M E N S E S DA R E D U N D N C IA ORG A N I Z AC I ONA L

Rosness et al. (2000) preconizam que a rpida recuperao nas situaes de erro ou falha se deve redundncia organizacional, que, por sua vez, tal como demonstra a figura 1, depende de duas dimenses essenciais: as pr-condies estruturais/instrumentais e as pr-condies culturais. A dimenso estrutural est relacionada com a possibilidade de os trabalhadores observarem o trabalho uns dos outros, corrigindo eventuais erros (mas sem que isto possa originar atritos ou a perda de confiana mtua); est tambm assente na sobreposio de tarefas, competncias e responsabilidades. Algumas organizaes constroem a sua robustez estrutural e resilincia a partir da distribuio do poder de veto por alguns dos seus membros, particularmente em situaes onde a inao pode ser mais segura do que a ao (Schulman, 1993). Outro aspeto relevante a qualidade e diversidade dos canais de comunicao neste tipo de organizaes, embora tambm exista uma forte aposta na comunicao informal entre os diversos membros da organizao (tal como demonstrado na dimenso seguinte). A dimenso cultural da redundncia organizacional est em grande parte dependente da vontade e capacidade para a troca de informao entre todos os colaboradores. Uma das formas de obter a informao pode passar por dedicar uma ateno especial avaliao dos feedbacks emitidos pelo prprio sistema. As hro promovem a troca de informao organizacional porque isso permite aos seus trabalhadores reconsiderarem as suas prprias decises ou ajudarem
resultam de uma ausncia de garantias absolutas acerca do futuro. verdade que ambas as noes esto muito ligadas, pois no existe risco sem incerteza (Van Loon, 2000, p. 166). A incerteza vista como uma forma de conhecimento incompleto, insuficiente ou inexistente. Parece tambm aproximar-se a situaes aleatrias, ambguas e indeterminadas ou, como refere Wynne (1992), pode significar ignorncia. A incerteza suscetvel de provocar dvidas e desconfiana, dado que se afasta da ideia de segurana e isso torna-a, normalmente, inquietante. Diversos autores (Keynes, 1921; Knigth, 1933; Lupton, 2003) distinguem conceptualmente o risco da incerteza, afirmando que apenas ao primeiro possvel indexar probabilidades. Helena Jernimo (2006, p. 1156) preconiza que a ideia de risco est tendencialmente associada preveno, enquanto a incerteza est mais prxima da precauo. Isto porque, acrescenta a autora, o risco passvel de mitigao, negociao e aceitao, mas a incerteza (no sentido de ignorncia e indeterminao ambos os aspetos designados por Wynne (1987) como riscos de segunda ordem) remete-nos para a prudncia.

O CONTRIBUTO DAS CINCIAS SOCIAIS PARA A ANLISE DE ACIDENTES MAIORES

567

FIGURA 1

As duas dimenses da redundncia organizacional

Organizaes de alta abilidade

Fonte: Adaptado de Rosness et al. (2000).

os seus pares a reconsider-las, ou seja, isto possibilita uma rpida interveno na recuperao de falhas ou aes erradas. Normalmente os trabalhadores tm iniciativa para identificar e melhorar as eventuais deficincias nos procedimentos utilizados quer nas operaes regulares, quer nas situaes de trabalho raras ou excecionais. Nas hro, a dimenso cultural da redundncia organizacional promove tambm uma atitude responsvel (no laxista) dos seus colaboradores relativamente ao relato de erros, falhas ou outros sinais anmalos encontrados no funcionamento do sistema, sem, no entanto, que isto se torne contra-produtivo ao nvel da autonomia individual e da necessria confiana entre pares. Por ltimo, as hro conseguem, segundo os seus principais tericos, alterar e flexibilizar a sua estrutura hierrquica formal, em situaes de crise, transferindo a responsabilidade das decises para quem tem um verdadeiro conhecimento emprico dentro da organizao. Autores como LaPorte e Consolini (1991) acusam Perrow (1999 [1984]) de no ter dado ateno a este aspeto quando concebeu o seu modelo dos acidentes normais.

so

Po s br sibi Di ep lid m os ad en s i e ou o d de o es re e c obs tru sp om er va tur on sa pet al bi n es lid ci d ad as ire e. , ta tas re , fa s

Organizaes de baixa abilidade

Po b

re

Ex ce l

en

te

Vulnerabilidade estrutural

Vulnerabilidade cultural

e br Po s, e a s e m or s l nf eci d s. ra e i ltu a d as ga cu roc rar ole c o a t de e ns ar nsi s ou nt e le m de p eco rio ce r p Di Ex da e ci ck s pr a o pa ca edb pel e e e r f as ad ce ad nt ne om t Vo for

568

JOO AREOSA

A N O O DE M I N DF U L N E S S

O debate sobre as caractersticas das hro no ficou confinado aos anos subsequentes ao acidente de Three Mile Island, visto que ainda nos dias de hoje esta discusso se mantm viva.11 Recentemente foi introduzida a noo de mindfulness12 para identificar uma das caractersticas mais proeminentes das hro. Os tericos das hro sabem que impossvel eliminar todas as falhas dentro destas organizaes, por isso existe uma profunda necessidade de gerar saberes e conhecimentos para detetar atempadamente os erros e falhas (preferencialmente logo aps a sua ocorrncia, ou sempre que possvel antecipando-os antes da sua efetivao). por este motivo que Weick e Sutcliffe (2001) apresentaram a ideia de mindfulness como algo equivalente a uma constante vigilncia sobre o funcionamento das organizaes, de modo a que os seus membros possam intervir rapidamente caso isso seja necessrio. Assim, a noo de mindfulness est relacionada com a deteo e conteno de eventos inesperados e/ou sem precedentes, passveis de surgirem em qualquer lugar da organizao e suscetveis de causar efeitos no desejados (particularmente acidentes). Vejamos, atravs da tabela 1, quais os principais elementos da noo de mindfulness preconizados pelos autores. Segundo Weick e Sutcliffe (2001) a ideia de mindfulness pode ser vista como uma das caractersticas universais das hro, dado que esta conceo tem subjacente o reforo da sensibilizao para antecipar e detetar situaes no previstas. Porm, uma das crticas apontadas a esta noo relaciona-se com a reduzida importncia que os seus autores atriburam s caractersticas especficas da tecnologia utilizada por cada organizao, tendo em conta que este um aspeto decisivo para se poder alcanar a fiabilidade organizacional, tal como sugerido por Perrow (1999 [1984]) na teoria dos acidentes normais. Para alm
11 Um resumo das principais caractersticas das hro pode tambm ser encontrado na obra de

Sagan: High reliability theorists believe that hazardous technologies can be safely controlled by complex organizations if wise design and management techniques are followed. This optimistic conclusion is based on the argument that effective organizations can meet the following four specific conditions, which are necessary to create and maintain adequate safety: 1 political elites and organization leaders place a high priority on safety and reliability; 2 significant levels of redundancy exist, permitting backup or overlapping units to compensate for failures; 3 error rates are reduced through decentralization of authority, strong organizational culture, and continuous operations and training; and 4 organizational learning takes place through a trial-and-error process, supplemented by anticipation and simulation. These conditions have been witnessed in a number of high reliability organizations, and if these conditions exist in other organizations, then the theory would predict that serious accidents and catastrophes can be prevented (Sagan, 1993, p. 27). 12 Poderemos traduzir este conceito como algo que requer ateno ou cuidado.

O CONTRIBUTO DAS CINCIAS SOCIAIS PARA A ANLISE DE ACIDENTES MAIORES

569

TABELA 1

Descrio dos principais elementos da noo de mindfulness

Descrio As pessoas nas HRO sabem que todos os potenciais modos de falhas podem no ter sido experienciados ou exaustivamente deduzidos. Devido ao custo das falhas ser to elevado os membros das HRO analisam os sintomas do sistema e incentivam a denncia de erros.

Sensibilizao e antecipao perante o inesperado

Preocupao com as falhas

Simplique menos e observe mais. As simplicaes podem Relutncia produzir pontos cegos; as HRO utilizam as pessoas que tm em simplicar diferentes experincias funcionais para alargar os mecanismos as interpretaes de deteo da organizao. Sensibilidade para as operaes As operaes normais podem revelar decincias lies espontneas podem ser aprendidas. Isto permite a deteo precoce de problemas antes de eles se tornarem substanciais. As HRO no esto livres errar, mas os erros no desativam o sistema. As pessoas com variadas experincias nas HRO veem em conjunto as exigncias das situaes; isto aumenta o conhecimento e permite desencadear aes para resolver os problemas. As decises so tomadas na linha da frente. As decises migram para as pessoas com experincia e competncia para resolverem os problemas.

Conteno do inesperado

Compromisso com a resilincia

Defesa do conhecimento especializado

Fonte: Adaptado de Weick e Sutclie (2001).

disso, dado pouco destaque ao facto de os trabalhadores poderem ter vises e comportamentos distintos perante os perigos, os riscos e as ameaas, tal como observou Granjo (2004) na sua pesquisa sobre Sines. Assim, a perspetiva de Weick e Sutcliffe (2001), parece esquecer estes pressupostos, como se pode ver pela esquematizao da figura 2 sobre a fiabilidade organizacional. Por mais fivel que um sistema se apresente, isto no significa a total ausncia de falhas. Mas segundo Weick, Stucliffe e Obstfeld (1999) o processo de mindfulness tenta suprimir uma certa tendncia para a inrcia, tendo em conta que esta infraestrutura cognitiva permite, simultaneamente, uma aprendizagem adaptativa e uma performance fivel. Este processo permite reduzir os pontos cegos dentro da organizao, que por sua vez iriam possibilitar a acumulao de falhas (passveis de resultar em catstrofe). Subjacente conceo de mindfulness est o intercmbio de informao entre os membros da organizao, onde a troca de ideias um aspeto valorizado, ou, recorrendo

570

JOO AREOSA

s palavras de Westrum (1993, p. 405) os trabalhadores tm licena para pensar.13 Em resumo, a capacidade de mindfulness permite, alegadamente, a projeo, a descoberta e a correo de eventos inesperados passveis de originar acidentes maiores.
FIGURA 2

Infraestrutura da alta abilidade organizacional

Preocupao com as falhas Relutncia em simplicar as interpretaes Sensibilidade para as operaes Compromisso com a resilincia Defesa do conhecimento especializado Mindfulness Capacidade para descobrir e gerir eventos Fiabilidade

Fonte: Adaptado de Weick, Stuclie e Obstfeld (1999, p. 87).

A T E OR IA D O S AC I DE N T E S NOR M A I S

Na perspetiva de Charles Perrow (1991), as organizaes atuais dominam uma parte significativa do funcionamento das sociedades contemporneas, visto que absorveram diversos campos importantes das interaes sociais. Para o autor vivemos numa era em que reina o imperialismo organizacional. Entre muitos outros aspetos, a teoria social sobre as organizaes ajuda-nos a compreender como que as estratgias organizacionais podem contribuir ou influenciar a ocorrncia de acidentes, particularmente dos acidentes de grandes dimenses. Os acidentes maiores, designados na teoria de Perrow como acidentes sistmicos ou acidentes normais,14 converteram-se num problema de difcil resoluo para as sociedades atuais. A espetacularidade de alguns acidentes com estas caractersticas transformaram-nos em eventos fortemente
13 No entanto, pertinente ter em conta que at mesmo os melhores trabalhadores podem

cometer os piores erros, visto que, por exemplo, as percees de riscos podem formular julgamentos enviesados sobre a realidade organizacional (Areosa, 2009a, 2011 e 2012). 14 O autor considera ambas as noes como sinnimas.

O CONTRIBUTO DAS CINCIAS SOCIAIS PARA A ANLISE DE ACIDENTES MAIORES

571

mediatizados, dando origem a uma amplificao social dos riscos tecnolgicos produzidos pelo homem. Segundo Perrow (1999 [1984]), alguns sistemas ou organizaes, designados de alto-risco (por incorporarem, por exemplo, sistemas tecnolgicos complexos), possuem determinadas propriedades estruturais que tornam certos tipos de acidentes virtualmente impossveis de prever e evitar. Assim, no mbito dos sistemas de interaes complexas15 os acidentes constituem-se como eventos normais. Um dos aspetos que caracteriza os acidentes normais a sua incompreensibilidade, devido interao inesperada de mltiplas falhas. A teoria dos acidentes normais16 pode ser vista como uma viso contrria ou concorrente ao modelo apresentado anteriormente. Porm, ambas as perspetivas emergem do amplo debate que se seguiu ao acidente de Three Mile Island. Segundo Perrow, as organizaes que possuem sistemas tecnolgicos complexos j provaram que no dispem de condies para eliminar todos os acidentes maiores. A ocorrncia de alguns acidentes de grandes dimenses e com forte impacto social, tais como Flixborough (Inglaterra, 1974), Seveso (Itlia, 1976), Three Mile Island (Estados Unidos, 1979), Bhopal (ndia, 1984), C hernobyl (Ucrnia, 1986), Piper Alfa (Reino Unido, 1988) ou Avianca ( Estados Unidos, 1990), vieram suscitar uma certa desconfiana pblica em relao a estes sistemas. com alguma dose de ironia que Perrow profetiza boas e ms notcias sobre a questo dos acidentes. As boas notcias so as seguintes: se ns conseguirmos conhecer melhor a ampla natureza dos riscos organizacionais, por exemplo, atravs da investigao de acidentes, possvel que se consigam reduzir ou eliminar alguns tipos de perigos; embora o autor revele bastante cepticismo acerca da efetiva aprendizagem organizacional perante este tipo de acidentes.17 As ms notcias vaticinam que acidentes com estas caractersticas iro voltar a acontecer no futuro.
15 As interaes complexas (no lineares) podem ser definidas como sequncias de eventos

invulgares, no planeados e imprevistos. Na maioria das vezes as interaes complexas podem no ser imediatamente visveis dentro da organizao (Perrow, 1999, p. 78). 16 Sagan (1993) sugere que a perspetiva de Perrow sobre os acidentes normais pode ter sido influenciada por um modelo designado por garbage can model (Cohen, March, Olsen, 1972). Este modelo pode ser includo no mbito das teorias comportamentais organizacionais e nas teorias das decises organizacionais. Um dos seus principais preceitos preconiza que algumas organizaes so entidades anarquicamente organizadas. Paralelamente Hollnagel (2004) considera que o modelo sistmico dos acidentes pode ter tido as suas origens nas teorias do controlo ou mesmo nas famosas teorias do caos da autoria de Lorenz. 17 Estima-se que apenas dos futuros acidentes seriam possveis de prevenir, caso se recorresse experincia e ao conhecimento obtidos atravs da investigao de acidentes anteriores (cf. Granjo, 2006). Contudo, esta estimativa est longe de ser consensual entre os especialistas desta temtica.

572

JOO AREOSA

Na tica de Perrow (1999 [1984], p. 19), os acidentes sistmicos envolvem, por vezes, alguns mistrios. A conceo estrutural das organizaes de alto-risco foram geradas a partir de designs to complicados que se torna impossvel antecipar todas as interaes entre possveis falhas. Os dois fatores mais importantes para a produo de acidentes normais so a high complexity e o tight coupling. O primeiro fator est relacionado com a elevada complexidade do sistema, o qual gera potencial suficiente para ocorrerem interaes imprevisveis, enquanto o segundo est relacionado com as ligaes apertadas (malha estreita ou acoplamento forte) entre os diversos componentes do sistema. Esta apertada interconetividade estrutural do prprio sistema permite ou facilita a rpida e incontrolada propagao de eventos indesejados, em que os componentes que falharam dificilmente podem ser desligados ou isolados dos restantes, devido s caractersticas internas do prprio sistema. No entanto, a observao quer do tipo de propriedades internas (interaes e ligaes), quer da estrutura organizacional de controlo (centralizado versus descentralizado), podem fornecer dados relevantes para as anlises de acidentes. Para Perrow (1999 [1984]), as organizaes que simultaneamente apresentam interaes complexas e ligaes apertadas podem tornar-se um forte dilema para os seus gestores (v. tabela 2), devido necessidade de utilizar estruturas centralizadas para umas situaes e descentralizadas para outras.
TABELA 2

Sistemas de gesto e controlo organizacional

Interao Ligao Apertada (tight) Solta (loose) Linear Centralizado para manusear com ligaes apertadas Centralizado ou descentralizado (ambos so possveis) Complexa Centralizado para manusear com ligaes apertadas e descentralizado para manusear interaes inesperadas Descentralizado para manusear interaes inesperadas

Fonte: Adaptado de Perrow (1999 [1984], p. 332).

referido por Perrow (1999 [1984]) que os sistemas com interaes complexas apenas podem ser efetivamente controlados atravs de uma estrutura organizacional descentralizada. A elevada interatividade dentro dos sistemas complexos d origem a diversas tarefas no rotineiras, dificilmente programveis ou estandardizveis. Pelo contrrio, os sistemas com ligaes apertadas devem ser controlados internamente a partir de uma estrutura organizacional centralizada. Uma falha ou perturbao numa organizao com estas

O CONTRIBUTO DAS CINCIAS SOCIAIS PARA A ANLISE DE ACIDENTES MAIORES

573

aractersticas pode propagar-se rapidamente por todo o sistema. Assim, c necessrio ter uma estrutura de controlo organizacional centralizada para que, em caso de falha, se possa atuar de forma rpida, visto que as estruturas de controlo descentralizado so passveis de gerar alguns conflitos de o pinio (por sua vez incompatveis com a necessidade de uma atuao rpida). Em resumo, um dos grandes dilemas na gesto das organizaes que apresentam conjuntamente as caractersticas de interaes complexas e de ligaes apertadas no poderem ter, em simultneo, processos decisrios centralizados e descentralizados. Este um dos motivos pelo qual o autor indica que os sistemas com estas caractersticas deveriam ser modificados ou, em certos casos, abandonados. A obra de Perrow (1999 [1984]) sugere a distino entre os acidentes sistmicos e os eventos menores ou pequenos acidentes. Numa perspetiva com alguns aspetos semelhantes, Reason (1997) tambm distingue os acidentes individuais dos acidentes organizacionais.18 Os eventos menores, preceituados por Perrow, no so mais do que as designadas falhas nos componentes que possibilitam a ocorrncia de acidentes ligeiros. Quando os eventos menores so provocados pela falha de um dos componentes do sistema19 eles no traduzem, normalmente, nenhuma interao inesperada e, regra geral, podem at ser detetados antecipadamente, como por exemplo, atravs das metodologias de anlise de riscos. Estas falhas, incidentes ou pequenos acidentes no constituem geralmente motivo de grande preocupao para os diversos agentes sociais da organizao, pois so facilmente ultrapassveis e no costumam provocar grandes leses, danos ou prejuzos. Porm, o grande enigma destes eventos menores que eles podem significar que algo no est bem dentro da organizao. Podemos considerar estes eventos menores como pequenos sinais de alerta para ameaas potencialmente maiores, mas o maior perigo de todos a rpida interao entre falhas aparentemente desconectadas, sem ligao visvel, mas que acabam por interagir surpreendentemente em determinadas circunstncias excecionais.20 Estas interaes de falhas podem assumir um
18 Porm, outros autores preconizam que os acidentes maiores e os acidentes menores podem

ter mais semelhanas do que aquilo que seria expectvel primeira vista (Areosa e Dwyer, 2010). 19 Segundo Perrow (1999, p. 70) os sistemas podem ser divididos em quatro nveis: unidades, partes, subsistemas e sistema. 20 No estudo de Granjo (2006) sobre a refinaria de Sines relatada a eletrocusso de um gato, num posto de transformao, do qual resultou um curto-circuito e a consequente quebra de energia em toda a fbrica. Este evento inesperado deu origem quer a elevados prejuzos econmicos (devido paragem da laborao), quer a dois quase-acidentes que se seguiram, apenas travados nos ltimos instantes.

574

JOO AREOSA

efeito de cascata ou efeito domin, sem possibilidade de controlo, devido ao seu rpido desenvolvimento e proximidade dos diversos componentes do sistema (partes, unidades ou subsistemas). Estes efeitos so difceis de controlar no apenas porque so constitudos por diversos componentes, mas principalmente porque as interaes entre componentes so no-lineares. Vejamos, agora, qual a definio que o autor preconiza para distinguir os dois tipos de acidentes atrs referenciados:
Component failure accidents and system accidents are distinguished on the basis of whether any interaction of two or more failures is anticipated, expected or comprehensible to the persons who designed the system, and those who are adequately trained to operate it. A system accident, in our definition, must have multiple failures, and they are likely to be in reasonably independent units or subsystems. But system accidents, as with all accidents, start with a component failure, most commonly the failure of a part, say a valve or an operator error. It is not the source of the accident that distinguishes the two types, since both start with component failures; it is the presence or not of multiple failures that interact in unanticipated ways [Perrow, 1999 (1984), pp. 70-71].

J afirmmos anteriormente que para os autores das hro a redundncia um fator-chave na preveno de acidentes. Porm, na tica de Perrow, os sistemas redundantes e os dispositivos de segurana que supostamente deveriam proteger estes sistemas podem acrescentar ainda maior complexidade ao prprio sistema, tornando-o mais opaco. A opacidade dos sistemas complexos revela dois aspetos essenciais: o desconhecimento sobre aquilo que pode vir a acontecer, e a incompreenso sobre aquilo que o sistema pode fazer (Reason, 1990, p. 179). Esta situao pode confundir os trabalhadores que operam o sistema, tornando algumas falhas intratveis. A maior preocupao relacionada com os acidentes normais acaba por estar situada nos danos ou prejuzos causados e no tanto na frequncia da sua ocorrncia. Todavia, considerando algumas caractersticas aleatrias, desconhecidas e/ou disfuncionais dos sistemas hiper-complexos, aliada fraca experincia histrica em lidar com estas novas realidades, Perrow (1999 [1984]) interroga-se sobre o motivo pelo qual no ocorrem mais acidentes deste tipo. recorrendo um certo tom proftico em que o autor acaba por vaticinar que acidentes como o de Three Mile Island iro voltar a acontecer no futuro. Na sua opinio, a probabilidade de acontecer um novo acidente sistmico no de um para um milho de anos, mas antes, de um durante a prxima dcada. O prognstico de Perrow no foi nada tranquilizador, mas se considerarmos a data da publicao original do seu livro (1984) e a data do desastre de Chernobyl (1986) verificamos que a sua intuio estava correta.

O CONTRIBUTO DAS CINCIAS SOCIAIS PARA A ANLISE DE ACIDENTES MAIORES

575

D UAS P E R SP E T I VAS E M C ON F RON TO : P OT E N C IA L I DA DE S E L I M I T E S DE C A DA M ODE L O

Ironicamente, Sagan (1993) interroga-se sobre como que as hro podem ter tanto sucesso, dado que incorporam homens imperfeitos, que trabalham em organizaes imperfeitas, onde so manuseadas mquinas imperfeitas? Ser que a humanidade conseguiu realmente construir organizaes suficientemente fiveis ao nvel da segurana, ou, pelo contrrio, temos tido muita sorte por no haver mais acidentes de grandes dimenses? O autor tenta responder a estas e outras questes recorrendo ao confronto entre a teoria dos acidentes normais e a teoria das organizaes de alta fiabilidade. De facto, parece indiscutvel que a obra de Sagan (1993) apresentou de forma extraordinria as virtudes e limites de ambos os modelos, tornando-os bastante mais maduros do ponto de vista cientfico. A tabela 3 apresenta as principais diferenas entre ambas as teorias.
TABELA 3

Diferenas na abordagem aos sistemas de alto-risco

Teoria da alta abilidade Os acidentes podem ser prevenidos atravs de uma boa gesto e de um bom design organizacional. A segurana um objetivo prioritrio na organizao. Teoria dos acidentes normais Os acidentes so inevitveis em sistemas complexos e fortemente acoplados. A segurana um objetivo entre uma srie de objetivos concorrentes.

A redundncia refora a segurana: a duplica- A redundncia por vezes provoca acidentes: o e a sobreposio podem fazer um sistema ela aumenta a opacidade, a complexidade vel a partir de partes no veis. interativa e encoraja a assuno de riscos. A descentralizao nas tomadas de deciso necessria para permitir um rpido e exvel nvel resposta perante as surpresas. A cultura da abilidade ir reforar a segurana, incentivando respostas uniformes e adequadas ao nvel dos operadores. Operaes contnuas, treino e simulaes podem criar e manter a alta abilidade das operaes. A aprendizagem de ensaio e erro com os acidentes pode ser ecaz e pode ser aprofundada por simulaes e antecipaes.
Fonte: Adaptado de Sagan (1993, p. 46).

Existe uma contradio organizacional: a descentralizao necessria para a complexidade, mas a centralizao necessria para sistemas fortemente acoplados. Um modelo militar de intensa disciplina, socializao e isolamento incompatvel com os valores democrticos. As organizaes no podem treinar o inimaginvel, o altamente perigoso ou operaes politicamente intragveis. Negao de responsabilidade, reportes decientes e a reconstruo da histria invalida os esforos de aprendizagem.

576

JOO AREOSA

A partir da tabela anterior podemos verificar que muitas das condies que os mentores das hro preconizam como elementos fundamentais para promover a segurana organizacional so vistas por parte dos tericos dos acidentes normais como fatores que podem reduzir essa mesma segurana. Esta oposio valorativa notria em diversos aspetos. Existe ainda um outro contraste entre a teoria das organizaes de alta fiabilidade e a teoria dos acidentes normais, ou seja, postulado pelos tericos das hro que um determinado conjunto de preceitos ou mecanismos (j apresentados anteriormente) conseguem por si s assegurar a fiabilidade organizacional, independentemente do tipo de tecnologia utilizada e do ambiente externo da organizao. Pelo contrrio, a teoria dos acidentes sistmicos afirma que uma determinada performance fivel ao nvel da segurana organizacional estar sempre dependente das propriedades intrnsecas do sistema sociotcnico, logo no existem frmulas universais de preveno. Da comparao efetuada por Sagan (1993) entre ambas as teorias ainda sugerido que a teoria dos acidentes normais mais sustentada do ponto de vista estrutural e poltico, posio que corroboramos em absoluto.21 Segundo Rasmussen (1994), a teoria das organizaes de alta fiabilidade e a teoria dos acidentes normais podem ser mais compatveis do que a anlise de Sagan (1993) sugere. O autor assegura que nem Perrow afirma que a redundncia deve ser evitada nos sistemas de alto-risco, nem os mentores das hro preconizam que estas organizaes nunca falham.22 Paralelamente a esta
21 Compared to the high reliability approach, the normal accidents theory is both more

structural and more political. It is more structural because Perrow identifies two specific structural characteristics of many organizations operating dangerous technologies interactive complexity and tight-coupling which make them highly accident prone regardless of the intent of their leaders or operators. The theory is also more political because it focuses attention on the interaction of conflicting interests both within these organizations and between the organizations and the broader political community. Such conflicting interests can exert a strong influence on the frequency of catastrophic accidents, on their interpretation and therefore who receives the blame for failures, and, finally, on the degree to which the organizational structures that make normal accidents inevitable are modified or abandoned (Sagan, 1993, p. 32). 22 Segundo Roberts (1990) dentro do conjunto das organizaes consideradas perigosas existe um subconjunto que apresenta bons registos nos seus nveis de segurana, durante longos perodos de tempo. Esta ser uma das caractersticas que permite distinguir as hro das outras organizaes. Na perspetiva da autora poderemos identificar o subconjunto das hro respondendo seguinte questo: How many times could this organization have failed resulting in catastrophic consequences that it did not? If the answer is on the order of tens of thousands of times the organization is high reliability (Roberts, 1990, p. 160). Um exemplo contraditrio sobre quais as organizaes que devem ser consideradas hro pode ser encontrado na literatura; no final dos anos 80, Roberts e Rousseau (1989) consideravam a nasa como uma hro. No entanto, alguns anos depois, Roberts e Bea (2001) e Boin e Schulman (2008) vieram afirmar que a nasa no exibia as caractersticas de uma hro.

O CONTRIBUTO DAS CINCIAS SOCIAIS PARA A ANLISE DE ACIDENTES MAIORES

577

discusso, Rasmussen afirma que a redundncia pode ser algo difcil de gerir nas organizaes e a vontade para mant-la pode baixar drasticamente em perodos de elevada competitividade. No entanto, a utilizao da redundncia em organizaes de alto-risco essencial para o seu funcionamento e para a manuteno de padres elevados de segurana (Rasmussen, 1994). Uma das crticas feita teoria das hro relaciona-se com o facto de estes autores considerarem, por exemplo, que os nveis elevados de redundncia organizacional so a causa da excelente performance de segurana na organizao. Segundo os tericos do modelo dos acidentes normais, a crena de que uma gesto e um design organizacional inteligentes so fatores suficientemente fortes para operar com tecnologias de alto-risco de forma segura uma mera iluso (Sagan, 1993, p. 28). O seu otimismo tambm apontado como algo exagerado, devido existncia de determinadas condies impossveis de antecipar e que podem assumir um efeito domin e originar acidentes. A incerteza incorporada no funcionamento das hro algo transversal s suas dimenses tcnicas, tecnolgicas, organizacionais e sociais, e isto tambm uma condio que no joga a favor da segurana e fiabilidade deste tipo de organizaes. Segundo Perrow (1999 [1984]), o sucesso da improvisao em situaes de crise e de emergncia ser sempre limitado, ao contrrio daquilo que afirmado pelos tericos das hro. So tambm utilizadas por LaPorte e Consolini (1991, p. 23) as noes de alto-perigo e baixo-risco para definir e caracterizar as hro; quanto a ns, estas noes so contraditrias e no podem ser utilizadas em simultneo para caracterizar a mesma realidade, visto que os riscos decorrem dos perigos, logo quando um perigo alto, o risco tambm o ser. Na melhor das hipteses, ser aceitvel a subdiviso do risco em baixa-probabilidade versus altas-consequncias e alta-probabilidade versus baixas-consequncias (Kasperson et al., 2000, p. 232). Para alm disso, tal como Weick (1990) d a entender, a interao de dois riscos23 tende a ser um fator multiplicativo em vez de aditivo. A ttulo de exemplo, outra das crticas que pode ser apontada s hro diz respeito ligao entre a estrutura fortemente autoritria e hierarquizada de certas organizaes e a possvel ocorrncia de acidentes (Sagan, 1993, p. 254). O autor afirma que a disciplina extrema de certas instituies pode originar um excessivo sigilo e lealdade para com as hierarquias superiores (desdenhando eventualmente outras formas de conhecimentos especializados exteriores
23 Neste caso o autor fala na interao entre a falta de visibilidade e as falhas na comunicao

como as principais explicaes (fatores de risco) para o desastre de Tenerife. Outros desenvolvimentos sobre a noo de risco podem ser encontrados nos trabalhos de Beck (1992), Renn (1992), Martins (1998), Granjo (2004; 2006) e Areosa (2005; 2009b; 2009c; 2010).

578

JOO AREOSA

organizao) e isto pode, em certas situaes, obscurecer determinados problemas de segurana, com o objetivo de proteger a reputao da organizao (esta questo pode ser particularmente visvel em organizaes militarizadas ou influenciadas por uma cultura militarizada). Centremo-nos agora nas crticas teoria dos acidentes normais. Segundo Roberts (1989), no absolutamente claro que todas as tecnologias de alto-risco iro falhar. Foi tambm preconizado que as noes de interaes complexas e de ligaes apertadas so conceitos muito vagos e difceis de transformar de objeto terico em objeto emprico, ou seja, a operacionalizao destas noes torna-se problemtica. Assim, parece difcil conceber um mtodo para a anlise ou avaliao de acidentes sistmicos devido a limitaes empricas dos conceitos. Para Weick (1990) os sistemas com ligaes soltas e interaes lineares no estaro absolutamente imunes a sofrer grandes acidentes, at porque estas condies podem alterar-se transformando as ligaes soltas em ligaes apertadas e as interaes lineares em interaes complexas , tornando os sistemas mais vulnerveis (tal como aconteceu no desastre areo de Tenerife). Esta transformao sistmica pode ocorrer, por exemplo, devido a elevados picos de stress dos trabalhadores, sobrecarga de trabalho, ao facto de se terem ignorado alguns dados importantes ou a fatores externos extraordinrios.24 Alguns crticos de Perrow (Weick, 1990; Hopkins, 1999) afirmam que a teoria dos acidentes normais apenas relevante e aplicvel para os sistemas que apresentem simultaneamente interaes muito complexas (high complexity) e ligaes apertadas (tight coupling). Um dos preceitos-chave, apresentado por Perrow (1999 [1984]) na teoria dos acidentes normais, est relacionado com o dilema (irresolvel na sua tica) que as organizaes tm de tentar gerir quando incorporam, simultaneamente, interaes complexas e ligaes apertadas no seu funcionamento, visto que a primeira caracterstica necessita da uma estrutura organizacional centralizada, e a segunda de uma estrutura organizacional descentralizada. Ou seja, Perrow preconiza que a estrutura das organizaes no pode ser centralizada e descentralizada ao mesmo tempo. Weick (1987) critica este pressuposto e afirma que os aspetos culturais das organizaes podem conseguir ultrapassar a necessidade de uma estrutura organizacional centralizada no caso de sistemas de funcionamento
24 The point of these details is that normal accidents may not be confined to obvious sites of

technical complexity such as nuclear power plants. Instead, they may occur in any system that is capable of changing from loose to tight and from linear to complex. As we have suggested, any system, no matter how loose and linear it may seem, can become tighter and more complex when it is subjected to overload, misperception, regression, and individualized response (Weick, 1990, p. 587).

O CONTRIBUTO DAS CINCIAS SOCIAIS PARA A ANLISE DE ACIDENTES MAIORES

579

com ligaes apertadas. Outros autores partidrios das hro afirmam que este preceito de Perrow meramente tautolgico. Por fim, ainda referido que algumas dimenses externas ao sistema (naturalmente mutveis em determinadas circunstncias), mas passveis de influenciar o seu funcionamento, so pouco consideradas pelo autor. Assim, referido que a teoria do acidente normal deveria passar de uma estrutura esttica (centrada no interior do sistema) para uma conceo mais dinmica, visto que os fatores externos ou ambientais podem influenciar falhas e recombinar novas interaes complexas. Das diversas crticas apontadas teoria dos acidentes normais poucas so aquelas que nos parecem fazer sentido (exceto, por exemplo, a ltima referida no pargrafo anterior, em que destacada a fraca relevncia atribuda aos fatores externos). Entendemos, por isso, que este modelo terico apresenta um forte contributo para a compreenso dos acidentes maiores, independentemente de algumas fragilidades ou limitaes que possa revelar. A sua conceo foi sem dvida um avano epistemolgico para um assunto que ainda revela bastante terreno por desbravar, quer por se tratar de uma temtica relativamente recente, quer pelas dificuldades tericas e empricas que suscita.
N OTAS F I NA I S S OB R E A P R E V E N O DE AC I DE N T E S

As tecnologias complexas incorporam determinadas incertezas mal compreen didas que no conseguimos controlar, nomeadamente as suas interaes com o sistema social. Parece que ainda estamos longe de aceitar esta condio. As indefinies dos sistemas sociotcnicos transformam as sociedades atuais em verdadeiros laboratrios experimentais, cujas consequncias podem ser imprevisveis (Beck, 1992). Os riscos organizacionais so, em grande medida, as antecmaras para os acidentes (Areosa, 2009a; 2009b). No existem organizaes isentas de risco, logo, os acidentes so eventos que podem ocorrer a qualquer momento. Porm, isto no significa que a preveno no seja til, mas pertinente considerar que at a melhor estratgia de preveno tem os seus limites. Para alm disso, tal como referiu Rasmussen (1997), existem diversas condicionantes internas e externas s organizaes que podem conduzir a que se ultrapassem as fronteiras de segurana consideradas aceitveis (naturalmente que este aspeto sempre algo que implica juzos de valor). importante referir que as organizaes, particularmente as de alto-risco, visam cumprir diversos objetivos (por vezes incompatveis entre si) e isso torna-as mais vulnerveis a imprevistos na sua atividade. Devemos ainda ter em conta que incorporam muitos outros fatores de risco, de incerteza e de aleatoriedade, aos quais no conseguem escapar. Afinal, o mundo um local cuja imprevisibilidade muito maior do que ns, a priori, conseguimos imaginar (Taleb, 2008).

580

JOO AREOSA

Na perspetiva de Sagan (1993), quer os mentores da teoria dos acidentes normais, quer os tericos das hro, recorrem, por vezes, a uma linguagem imprecisa; os primeiros afirmam que os acidentes maiores, apesar de serem eventos raros, so inevitveis, enquanto os segundos preconizam que existem boas hipteses de os acidentes poderem ser prevenidos ou que as organizaes de alto-risco podem trabalhar num cenrio prximo de operaes livres de falhas. Todavia, a discusso polarizada entre as duas escolas teve o mrito de consolidar nas cincias sociais o debate sobre os grandes acidentes, dando continuidade ao trabalho iniciado por Turner (1978). Talvez a divergncia de fundo entre ambas as perspetivas nos remeta para a resposta questo primitiva do risco: How safe is safe enough? (Douglas, 1992, p. 41). verdade que esta uma pergunta sonante, mas a sua resposta pouco satisfatria, dado que nunca poderemos afirmar que a segurana suficientemente segura. A incerteza algo que caracteriza a modernidade (incluindo as suas organizaes), embora, tal como referido por Granjo (2004), esta condio extravase largamente o atual perodo em que vivemos, tendo em conta que a incerteza acaba por estar imiscuda em toda histria da humanidade; exemplos disto mesmo so os mltiplos sistemas de adivinhao e de previso do futuro. A perspetiva das hro concebe a preveno de acidentes do seguinte modo: possvel efetuar operaes/atividades extremamente seguras, mesmo estando perante tecnologias altamente perigosas, desde que exista um design organizacional apropriado e se sigam determinadas tcnicas de gesto inteligentes. A criao de sistemas organizacionais redundantes, a utilizao de formas sofisticadas de aprendizagem organizacional, a socializao e treino dos trabalhadores para responder a determinadas situaes (controlo centralizado em situaes normais e descentralizado em situaes de crise), um consenso alargado entre a performance organizacional e os objetivos de segurana, so alguns dos mecanismos mais adequados para a preveno de acidentes. A produo de uma cultura organizacional que aposte num desempenho livre de falhas, conjugado com a idealizao de determinados cenrios em que se perceba que os erros podem sempre ocorrer, so tambm dois aspetos essenciais que, segundo esta perspetiva, permitem consolidar uma estratgia adequada para a preveno de acidentes. Do ponto de vista terico, julgamos que os pressupostos das hro esto bem fundamentados, porm a sua aplicabilidade emprica suscita-nos inmeras reservas. Entre outros aspetos parece-nos que os mentores das hro deixam transparecer um otimismo exagerado sobre a forma segura e eficaz de como os indivduos podem funcionar em contexto organizacional, esquecendo, por exemplo, os inevitveis conflitos interrelacionais, bem como os interesses pessoais e organizacionais (nem sempre coincidentes).

O CONTRIBUTO DAS CINCIAS SOCIAIS PARA A ANLISE DE ACIDENTES MAIORES

581

Segundo Perrow (1999 [1984]), as organizaes que possuem sistemas tecnolgicos ultra-complexos j provaram que no dispem de condies para eliminar todos os acidentes. No entanto, isto no significa que estejamos perante organizaes incompetentes, ou incapazes de controlar os riscos das suas atividades, significa que a segurana das organizaes revela limites inerentes sua prpria condio (Sagan, 1993, p. 279). De certo modo, os acidentes so produzidos socialmente e tornaram-se um acontecimento normal, devido elevada complexidade de alguns sistemas, s suas interaes no-lineares, bem como s suas ligaes muito prximas. Isto denota que seria irrealista pensarmos que seria possvel prevenir todos os acidentes no contexto das organizaes. Toda a teoria de Perrow (1999 [1984]) refora a ideia de que os acidentes so acontecimentos inevitveis, e a sua preveno, em certos contextos, virtualmente impossvel de realizar. Mesmo a experincia de acidentes anteriores pouco pode acrescentar preveno de futuros acidentes, visto que o alinhamento das suas causas e circunstncias normalmente singular e quase irrepetvel. No estando esta apreciao isenta de subjetividade, tendemos a corroborar a perspetiva de Perrow, em detrimento dos alicerces que sustentam as hro (quanto a ns bastante mais frgeis). Apesar das mltiplas diferenas relatadas ao longo do texto, os dois modelos estimam quase em unssono que a possibilidade de ocorrer um grande acidente baixa. Talvez a grande diferena entre estas duas perspetivas se possa resumir ao seguinte: Perrow may look at a glass of safety and find it 1 percent empty; high reliability theorists may see the same glass of safety as 99 percent full (Sagan, 1993, p. 48).

B I B L I O G R A F IA

areosa, J. (2005), A hegemonia contempornea dos novos riscos. In C. Guedes Soares et al. (eds.), Anlise e Gesto de Riscos, Segurana e Fiabilidade, Lisboa, Edies Salamandra, pp. 203-218. areosa, J. (2009a), Riscos de uma actividade de risco: um estudo de caso em contexto hospitalar. Configuraes, 5/6, pp. 225-239. areosa, J. (2009b), Do risco ao acidente: que possibilidades para a preveno?. Revista Angolana de Sociologia, 4, pp. 39-65. areosa, J. (2009c), O risco no mbito da teoria social: quatro perspectivas em debate. Revista Brasileira de Informao Bibliogrfica em Cincias Sociais (bib), 68, pp. 59-76. areosa, J. (2010), O risco nas cincias sociais: uma viso crtica ao paradigma dominante. Revista Angolana de Sociologia, 5/6, pp. 11-33. areosa, J. (2011), Riscos ocupacionais da imagiologia: estudo de caso num hospital portugus. Tempo Social, 23 (2), pp. 297-318.

582

JOO AREOSA

areosa, J. (2012), As percees de riscos dos trabalhadores: qual a sua importncia para a preveno de acidentes de trabalho?. In H. Neto, J. Areosa e P. Arezes (eds.), Impacto Social dos Acidentes de Trabalho, Vila do Conde, Civeri Publishing, pp. 65-97. areosa, J. e carapinheiro, G. (2008), Quando a imagem profisso: profisses da imagiologia em contexto hospitalar. Sociologia Problemas e Prticas, 57, pp. 83-108. areosa, J. e dwyer, T. (2010), Acidentes de trabalho: uma abordagem sociolgica. Configuraes, 7, pp. 107-128. beck, U. (1992), Risk Society. Towards a New Modernity, Londres, Sage. boin, A. e schulman, P. (2008), Assessing nasas Safety Culture: The limits and possibilities of high-reliability theory. Public Administration Review, 68, pp. 1050-1062. cohen, M., march, J. e olsen, J. (1972), A garbage can model of organizational choice. Administrative Science Quarterley, 17, pp. 1-25. dekker, S. (2006), Resilience engineering: Chronicling the emergence of confused consensus. In E. Hollnagel, D. Woods e N. Leveson (eds.), Resilience Engineering: Concepts and Precepts, Aldershot, uk, Ashgate Publishing. pp. 77-92. doliveira, T. (2006), Acidentes organizacionais e factores humanos. In J. Gomes, M. Cunha, e A. Rego (orgs.), Comportamento Organizacional e Gesto, Lisboa, Editora rh, pp. 61-76. douglas, M. e wildavsky, A. (1982), Risk and Culture: An Essay on the Selection of Technological and Environmental Dangers, Berkeley, ca, University of California Press. douglas, M. (1992), Risk and Blame: Essays in Cultural Theory, Londres, Routledge. dwyer, T. (2000), A produo social do erro O caso dos acidentes ampliados. In C. Freitas, M. Porto e J. Machado (orgs), Acidentes Industriais Ampliados: Desafios e Perspectivas para o Controle e a Preveno, Rio de Janeiro, Editora Fiocruz, pp.107-126. foster, H.D. (1993), Resilience theory and system evaluation. In J.A. Wise, V.D. Hopkin e P. Stager (eds.), Verification and Validation of Complex Systems: Human Factors Issues. Berlim, Springer. giddens, A. (1998), As Consequncias da Modernidade, Oeiras, Celta Editora. gladwell, M. (2008), Outliers, Amadora, Dom Quixote. granjo, P. (2004), Trabalhamos sobre um Barril de Plvora: Homens e Perigo na Refinaria de Sines, Lisboa, Imprensa de Cincias Sociais. granjo, P. (2006), Quando o conceito de risco se torna perigoso. Anlise Social, 181, xli (4.), pp. 1167-1179. hollnagel, E. (2004), Barriers and Accident Prevention, Hampshire, Ashgate. hopkins, A. (1999), The limits of normal accident theory. Safety Science, 32, pp. 93-102. jernimo, H. (2006), A peritagem cientfica perante o risco e as incertezas. Anlise Social, 181, xli (4.), pp. 1143-1165. kasperson, R. et al. (2000), The social amplification of risk: A conceptual framework. In P. Slovic, The Perception of Risk, Londres, Earthscan Publications, pp. 232-245. keynes, J. (1921), A Treatise on Probability, Londres, Macmillan. knight, F. (1933), Risk, Uncertainty and Profit, Boston, Houghton-Mifflin. laporte, T. e consolini, P. (1991), Working in practice but not in theory: Theoretical challenges of high-reliability organizations. Journal of Public Administration Research and Theory, 1, pp. 19-48. lupton, D. (2003), Risk, Londres, Routledge. martins, H. (1998), Risco, incerteza e escatologia reflexes sobre o experimentum mundi em curso. Episteme Revista da Universidade Tcnica de Lisboa, 1 e 2, pp. 99-121 e 41-75.

O CONTRIBUTO DAS CINCIAS SOCIAIS PARA A ANLISE DE ACIDENTES MAIORES

583

nemeth, C. (2008), Resilience engineering: the birth of a notion. In E. Hollnagel, C. Nemeth e S. Dekker (eds.), Resilience Engineering Perspectives: Remaining Sensitive to the Possibility of Failure, Aldershot, uk, Ashgate Publishing. merton, R. (1936), The unanticipated consequences of purposive social action. American Sociological Review, 1 (6), pp. 894-904. perrow, C. (1991), A society of organizations. Theory and Society, 20, pp. 725-762. perrow, C. (1999 [1984]), Normal Accidents: Living with High-Risk Technologies, New Jersey, Princeton University Press. rasmussen, J. (1994), High reliability organizations, normal accidents, and other dimensions of a risk management problem. Paper nato Advanced Research Workshop on Nuclear Arms Safety, Oxford, uk. rasmussen, J. (1997), Risk management in a dynamic society: A modeling problem. Safety Science, 27, pp. 183-213. reason, J. (1990), Human Error, Cambridge, Cambridge University Press. reason, J. (1997), Managing the Risks of Organizational Accidents, Aldershot, Ashgate. reason, J. e hobbs, A. (2003), Managing Maintenance Error: A Practical Guide, Hampshire, Ashgate. renn, O. (1992), Concepts of risk: a classification. In S. Krimsky e D. Golding (eds.), Social Theories of Risk, Westport, ct, Praeger. roberts, K. e rousseau, D. (1989), Research in nearly failure-free, high-reliability organisations: having the bubble. ieee Transactions of Engineering Management, 2, pp. 132-139. roberts, K. (1990), Some characteristics of one type of high reliability organization. Organization Science, 1, pp. 160-176. roberts, K. e bea, R. (2001), When systems fail. Organisational Dynamics, 3, pp. 179-191. rochlin, G. (2001), Les organisations haute fiabilit: bilan et perspectives de recherch. In M. Bourrier, Organizer la Fiabilit, Paris, LHarmattan. rosness, R. et al. (2000), The vulnerable robustness of high reliability organisations: A case study report from an offshore oil production platform. Paper presented at the 18th esreda seminar Risk Management and Human Reliability in Social Context, Karlstad, Sweden. sagan, S. (1993), The Limits of Safety: Organizations, Accidents, and Nuclear Weapons, Princeton, nj, Princeton University Press. sagan, S. (2004), Learning from normal accidents. Organization & Environment, 17 (1), pp. 15-19. schulman, P. (1993), The negotiated order of organizational reliability. Administration & Society, 25, pp. 353-372. taleb, N. (2008), O Cisne Negro O Impacto do Altamente Improvvel, Amadora, Dom Quixote. turner, B. (1978), Man Made Disasters, Londres, Wykeham Press. van loon, J. (2000), Virtual risks in an age of cybernetic reproduction. In B. Adam, U. Beck e J. Van Loon (eds.), The Risk Society and Beyond. Critical Issues for Social Theory, Londres, Sage, pp. 165-182. vaughan, D. (1996), The Challenger Launch Decision: Risky Technology, Culture and Deviance at nasa, Chicago, University of Chicago Press. vaughan, D. (1999), The dark side of organizations: Mistake, misconduct, and disaster. Annual Review of Sociology, 25, pp. 271-305. virilio, P. (1983), Pure War, Nova Iorque, Semiotext(e).

584

JOO AREOSA

weber, M. (1947), The Theory of Social and Economic Organization, Londres, Collier Macmillan Publishers. weick, K. (1987), Organizational culture as a source of high reliability. California Management Review, 29, pp. 112-127. weick, K. (1990), The vulnerable system: An analysis of the Tenerife air disaster. Journal of Management, 16, pp. 571-593. weick, K., stucliffe, K. e obstfeld, D. (1999), Organising for high reliability: processes of collective mindfulness. Research in Organisational Behaviour, 21, pp. 81-123. weick, K. e stucliffe, K. (2001), Managing the Unexpected: Assuring High Performance in an Age of Complexity, So Francisco, Jossey-Bass. westrum, R. (1993), Cultures with requisite imagination. In J. A. Wise, V. D. Hopkin e P. Stager (eds.), Verification and Validation of Complex Systems: Human Factors Issues, Berlim, Springer, pp. 401-416. wynne, B. (1987), Risk Management and Hazardous Waste. Implementation and the Dialectics of Credibility, Berlim, Springer-Verlag. wynne, B. (1988), Unruly technology: Practical rules, impractical discourses and public understanding. Social Studies of Science, 18 (1), pp. 147-167. wynne, B. (1992), Uncertainty and environmental learning: Reconceiving science and policy in the preventive paradigm. Global Environmental Change, 2 (2), pp. 111-127.

Recebido a 13-09-2010. Aceite para publicao a 03-04-2012. areosa, J. (2012), O contributo das cincias sociais para a anlise de acidentes maiores: dois modelos em confronto. Anlise Social, 204, xlviii (3.), pp. 558-584.