Por Antonio Neves Santana*
Quando uma barragem de rejeitos falha, investigamos a geotecnia. Quando um mineroduto rompe, investigamos a integridade estrutural. Quando uma composição descarrila, investigamos a logística. Quando uma usina sofre um evento de processo, investigamos a operação. Cada disciplina analisa seu segmento. Poucas organizações investigam o sistema.
Essa fragmentação não é descuido. É estrutural. E é exatamente o que separa as operações que convivem com risco sistêmico não gerenciado daquelas que operam com consistência real.
Uma cadeia, um sistema, um risco
Uma operação mine-to-market (da lavra ao porto, passando por beneficiamento, rejeitos, infraestrutura e logística) não é uma sequência de instalações independentes. Contém subsistemas e interfaces fortemente acoplados com energia perigosa: gravitacional em barragens e taludes, de pressão em minerodutos e plantas de processo, cinética em composições ferroviárias e terminais portuários, química em reagentes, explosivos e combustíveis industriais.
Essas energias coexistem, interagem e se amplificam. Uma perturbação mal controlada em um segmento pode propagar consequências a jusante, em geral longe do ponto de origem, quando interfaces críticas compartilham instrumentação, energia ou decisões. Perrow (1984) chamou isso de acoplamento forte. Sistemas fortemente acoplados não admitem gestão fragmentada. Quando se gerencia o risco por segmento, gerencia-se apenas o risco visível. É o risco sistêmico, aquele que emerge das interações entre segmentos, o responsável pelos eventos de maior consequência.
Segurança de Processos responde a essa classe de risco de forma distinta da Segurança e Saúde do Trabalho. Bons indicadores ocupacionais (baixas taxas de frequência, ausência de afastamentos) não comprovam a integridade dos sistemas de processo. Uma operação pode acumular anos sem acidente registrável e, simultaneamente, acumular os precursores de um evento catastrófico. A SST atua sobre o trabalhador exposto; a Segurança de Processos trata da integridade do sistema industrial, da prevenção da perda de controle de massa ou energia perigosa em escala capaz de gerar consequências catastróficas e irreversíveis, eventos de baixa frequência, mas alta consequência, que raramente figuram nas métricas convencionais e determinam os maiores impactos sobre vidas, ativos e licença social para operar.
O mecanismo que ninguém nomeia
Há um mecanismo que raramente aparece nas discussões técnicas sobre Segurança de Processos na mineração: a variabilidade do ROM (Run of Mine) como gatilho de risco de processo. quando as características mineralógicas, físicas e químicas do ROM mudam, as cargas sobre equipamentos mudam, a reologia das polpas muda, as taxas de corrosão e abrasão mudam. As premissas de projeto sobre as quais as barreiras foram dimensionadas podem perder validade diante das novas condições.
Variações dentro do envelope aprovado seguem procedimentos normais. Alterações que invalidam premissas de segurança exigem avaliação formal pelo MoC (Gestão de Mudanças): reavaliação de barreiras, revisão dos envelopes e aprovação técnica antes da mudança. A variabilidade do ROM é tratada como dado operacional normal: ajusta-se a britagem, reduz-se a velocidade do moinho, aumenta-se a dosagem de reagente. Raramente se verifica se as barreiras ainda são válidas para as novas condições. Esse é um mecanismo subestimado de erosão de barreiras críticas na mineração integrada.
Associado a ele está o que Vaughan (1996) identificou como normalização do desvio: não o ato de operar dentro de limites tecnicamente aceitáveis, mas o processo pelo qual os próprios limites são redefinidos para incorporar anomalias que deveriam ser tratadas. Um alarme persistente ignorado, um bypass temporário que permanece, uma deterioração que a operação absorve dentro dos limites redefinidos. Coletivamente redefinem silenciosamente o que a organização considera normal, aproximando-a cada vez mais do limite de falha. Quando o evento catastrófico ocorre, sempre parece súbito. Para quem conhece o histórico operacional, os sinais estavam lá.
A lacuna de governança
Pergunte em qualquer operação mineral quem é responsável pela Segurança de Processos da cadeia integrada, não por segmento, mas pelo sistema. A resposta, na maioria dos casos, vem com hesitação. Governar Segurança de Processos significa definir os cenários de alta consequência, estabelecer padrões de desempenho para barreiras críticas e garantir autoridade real para escalonamento quando a integridade se deteriora.
O RBPS (Segurança de Processos baseada em Risco) do CCPS (Center for Chemical Process Safety) e o gerenciamento de controles críticos do ICMM (International Council on Mining and Metals) podem ser articulados ao Modelo das Três Linhas do IIA (Institute of Internal Auditors): operações como proprietárias dos controles e responsáveis pelos riscos; a função técnica de Segurança de Processos como coordenadora de padrões e responsável pela supervisão técnica; e auditoria como avaliadora periódica da eficácia sistêmica.
O que raramente existe nas operações minerais é uma função técnica de Segurança de Processos com escopo integrado de cadeia, autoridade real e independência funcional em relação às pressões de produção. Sem essa função, o modelo de três linhas de defesa é estrutura teórica. As barreiras existem no papel. O risco sistêmico permanece não gerenciado.
O outro patamar
Operações que decidem governar o sistema inteiro mudam de forma simultânea em quatro dimensões. Uma função com escopo de cadeia passa a existir com responsabilidade pelo estado integrado das barreiras. Mudanças que afetem premissas de segurança passam pelo MoC antes da implementação. Indicadores de integridade de barreiras entram nos dashboards com a mesma visibilidade dos indicadores de produção. E desvios que tocam barreiras críticas passam a ser investigados com a mesma profundidade de eventos com consequência real.
A API RP 754, norma publicada pelo American Petroleum Institute (API), organiza indicadores de segurança de processos em quatro níveis. Os indicadores de nível 4 cobrem os sinais antecedentes: backlog de manutenção em ativos críticos, testes vencidos de controles de segurança e alterações relevantes de ROM sem revisão técnica das barreiras. Cada sinal exige criticidade, prazo e responsável. Organizações que monitoram esses sinais com seriedade e respondem a eles corrigem a degradação enquanto ainda há tempo.
Produção sustentável não é o oposto de Segurança de Processos, mas sua decorrência. O que está em jogo não é apenas a prevenção de eventos catastróficos, mas a capacidade de manter consistência produtiva, proteger ativos de longo prazo e preservar a licença social para operar ao longo de décadas. A transição exige uma decisão organizacional prévia: nomear alguém responsável pelo sistema como um todo, com autoridade para isso. A pergunta que revela o estado real da governança de qualquer operação é: quando um controle crítico perde eficácia, quem decide e o que muda na operação?
