FMEA na segurança do trabalho (SST): como priorizar quando a falha machuca

Depois do acidente na prensa, a empresa faz tudo o que se espera. Instala a proteção fixa, treina a equipe, registra a ocorrência. Oito meses depois, um operador remove a proteção para desatolar uma peça — porque desatolar com a proteção no lugar leva quatro minutos e sem ela leva quarenta segundos — e o quase-acidente se repete quase idêntico ao primeiro.

O detalhe que incomoda vem depois, quando alguém abre a planilha de FMEA herdada de uma consultoria três anos antes. O modo de falha estava lá: “operador acessa a zona de prensagem com a máquina em ciclo”. Estava listado, avaliado, pontuado. E nunca entrou no plano de ação, porque a planilha estava ordenada por NPR — e o NPR dele era 60.

Na mesma planilha, “etiqueta de identificação ilegível” tinha NPR 162.

Por que o NPR falha quando o efeito é uma lesão

A conta é a de sempre: severidade × ocorrência × detecção. A mecânica do FMEA, os tipos, o preenchimento campo a campo e o cálculo do NPR ficam no FMEA — aqui interessa só o que muda quando o efeito da falha deixa de ser um cliente insatisfeito e passa a ser um corpo.

Na prensa, a avaliação tinha sido severidade 10, ocorrência 2, detecção 3. Dez porque o efeito é amputação; dois porque o desvio é raro; três porque quem está do lado percebe. Multiplicando: 60. Na etiqueta ilegível, severidade 3, ocorrência 9, detecção 6 — o erro acontece toda semana e passa despercebido. Multiplicando: 162.

Os dois números estão corretos e a ordenação está errada. A multiplicação trata os três fatores como intercambiáveis, e eles não são: nenhuma frequência de etiqueta ilegível produz uma amputação, enquanto uma única ocorrência na prensa produz. O NPR mede quanto o problema incomoda o processo. Em segurança do trabalho, a pergunta é outra — quanto o problema pode custar a uma pessoa.

Daí a única regra de priorização que sustenta um FMEA de SST: severidade 9 ou 10 entra no plano de ação independentemente do NPR. A multiplicação continua útil para ordenar tudo o que sobrou, e sobra muita coisa. Ela só não decide o que entra.

A escala de severidade precisa ser reescrita

Herdar a escala de severidade de um FMEA de produto é o erro silencioso mais comum. Uma escala calibrada em insatisfação do cliente e custo de garantia não tem onde encaixar “afastamento de 30 dias”. A escala precisa falar de dano ao corpo, e o descritor precisa ser concreto o bastante para que duas pessoas diferentes pontuem igual.

Com a escala refeita, um efeito muda de lugar. E aqui está a propriedade que quase todo FMEA de segurança ignora: a severidade não cai com plano de ação. Instalar intertravamento na prensa derrubou a ocorrência de 2 para 1 e a detecção de 3 para 1 — o NPR foi de 60 para 10. A severidade continuou 10, porque a energia continua lá. Só muda a severidade quem muda o projeto: eliminar a operação, trocar por um processo que não exija acesso, reduzir a energia envolvida. É a hierarquia de controles aparecendo dentro da planilha — eliminação e substituição mexem no primeiro fator, proteções de engenharia mexem no segundo e no terceiro, procedimento e EPI mexem quase só no terceiro.

Quem não entende isso comemora a queda do NPR e conclui que o risco acabou. O risco não acabou; ficou mais difícil de acontecer. É uma diferença que aparece no dia em que o intertravamento é burlado.

Calibre a escala para a sua operação

A escala acima é referência, não gabarito. Uma metalúrgica com prensas e um centro de distribuição com empilhadeiras descrevem “lesão grave reversível” de formas diferentes, e é a descrição concreta que faz duas pessoas pontuarem igual. Preencha a coluna da direita com a linguagem do seu processo e leve a folha para a reunião.

Onde o FMEA se encaixa entre as ferramentas de risco ocupacional

O FMEA não é a única técnica disponível, e não é a melhor para tudo. A escolha depende do que você precisa responder.

Na prática, o FMEA rende mais em equipamento com funções bem definidas e modos de falha discretos — prensa, esteira, sistema de exaustão, empilhadeira. Rende menos em tarefa manual variável, onde a análise de segurança da tarefa descreve melhor o que de fato acontece. E quando o resultado da análise aponta para uma causa que ninguém consegue nomear, o trabalho volta para o diagrama de Ishikawa e para os cinco porquês antes de virar linha de planilha.

Vale a fronteira com a matriz de risco, que costuma conviver com o FMEA no mesmo programa: a matriz classifica o risco em duas dimensões para decidir se ele é tolerável; o FMEA desmonta a falha em modo, efeito, causa e controle para decidir o que fazer com ela. Uma responde “isto é aceitável?”, a outra responde “por onde eu ataco?”.

O FMEA não é o documento — é uma das técnicas dentro dele

O gerenciamento de riscos ocupacionais exige inventário de perigos, avaliação dos riscos e plano de ação com prazos e responsáveis. O FMEA é uma das técnicas que alimentam a etapa de avaliação: ele produz linhas qualificadas para o inventário e ações rastreáveis para o plano. Não substitui o programa, não é entregável por si só, e um FMEA que existe fora do plano de ação da empresa é apenas um arquivo.

Em organizações certificadas em ISO 45001 a lógica é a mesma sob outro nome: a norma exige identificação de perigos, avaliação de riscos e determinação de controles, e o FMEA é uma das técnicas aceitas para a segunda etapa. Ele gera evidência para o sistema de gestão; não é o sistema.

O teste é simples de aplicar: pegue as cinco linhas de maior severidade da sua planilha e procure cada uma no plano de ação vigente, com responsável e data. Se elas não estiverem lá, o FMEA não está funcionando como avaliação de risco — está funcionando como registro de que a avaliação foi feita.

Quando não usar FMEA em segurança

Há três situações em que a ferramenta cobra mais do que devolve. A primeira é quando a hierarquia de controles já respondeu: se o perigo pode ser eliminado por mudança de projeto, mapear seus modos de falha é gastar reunião para justificar o que já se sabe. A segunda é risco de baixa frequência e consequência catastrófica em sistemas complexos — incêndio, explosão, colapso estrutural —, onde a análise por modos de falha individuais perde as combinações e técnicas de árvore respondem melhor. A terceira é a mais comum: quando o FMEA está sendo montado para uma auditoria com data marcada. O prazo determina o resultado, e o resultado é sempre uma planilha completa.

A planilha é fácil; o método é que não é

Preencher um FMEA de segurança do trabalho é trabalho de duas tardes com a equipe certa na sala — operador que faz a tarefa, manutenção que conhece o equipamento, segurança que conhece a norma. O que separa o FMEA que evita acidente do FMEA que decora a parede não é a qualidade do preenchimento. É o que acontece depois: a ação implementada é uma hipótese de que o risco vai cair, e hipótese se testa. Quantos quase-acidentes naquele posto nos três meses seguintes? A proteção continua instalada e não burlada na auditoria de campo? O ciclo PDSA existe exatamente para essa pergunta, e é ele que transforma a linha da planilha em risco de fato reduzido.

Foi isso que faltou na prensa. A planilha estava certa, a pontuação estava certa, e o modo de falha que amputaria um dedo perdeu para uma etiqueta ilegível porque ninguém tinha decidido, antes de ordenar, que severidade alta não negocia. Esse tipo de decisão — o que a ferramenta pode e não pode decidir sozinha — é o que a formação em Lean Six Sigma trata como método, e não como preenchimento: quem quer testar esse raciocínio antes de investir tempo pode começar pelo White Belt gratuito, e quem já conduz análises de risco na empresa encontra a estrutura completa de projeto no Green Belt.

Conteúdo revisado pelo Master Black Belt Marcelo Petenate, estatístico, formado pela Unicamp, mestre pela USP e especialista em Lean Six Sigma e melhoria contínua. Nesta revisão, o foco foi a diferença entre priorizar por NPR e priorizar por severidade quando o efeito da falha é uma lesão.

Perguntas frequentes

Qual a diferença entre FMEA e análise preliminar de riscos?

A análise preliminar de riscos varre uma instalação inteira à procura de perigos, normalmente cedo, quando ainda há pouco detalhe disponível. O FMEA entra depois e mais fundo: parte de uma função ou etapa específica e desmonta os modos pelos quais ela pode falhar, com efeito, causa e controle atual para cada um.

Posso usar a mesma escala de severidade do FMEA de produto?

Não sem reescrever os descritores. Uma escala calibrada em insatisfação do cliente e custo de garantia não tem onde encaixar afastamento, sequela ou óbito, e o resultado é um FMEA em que a lesão grave recebe nota média. A escala precisa descrever dano ao corpo, com referências concretas o bastante para que duas pessoas pontuem igual.

O FMEA substitui o programa de gerenciamento de riscos?

Não. O programa exige inventário de perigos, avaliação e plano de ação; o FMEA é uma das técnicas que alimentam a avaliação e produzem ações para o plano. Ele entrega insumo qualificado, não o documento.

Dá para reduzir a severidade de um modo de falha?

Só mudando o projeto — eliminando a operação, substituindo por um processo que não exija exposição ou reduzindo a energia envolvida. Proteções, procedimentos e EPI atuam sobre ocorrência e detecção, e por isso derrubam o NPR sem tocar na severidade. Confundir as duas coisas é a origem da falsa sensação de risco resolvido.

Com que frequência o FMEA de segurança deve ser revisado?

Sempre que houver mudança no equipamento, no método de trabalho ou no layout, e sempre depois de um acidente ou quase-acidente naquele posto. Revisão por calendário, sem gatilho, tende a virar conferência de datas; o quase-acidente é a informação mais barata que a empresa recebe, e é ele que deve reabrir a planilha.

Quem precisa estar na sala?

O operador que executa a tarefa, alguém da manutenção que conheça o modo real de falha do equipamento e alguém da segurança que conheça a exigência normativa. Sem o operador, a planilha descreve a tarefa como ela deveria ser feita — e é justamente o desvio entre o prescrito e o executado que produz a maior parte dos acidentes. Onde há CIPA constituída, ela é o fórum natural para conduzir e revisar a análise: é por esse canal que o quase-acidente costuma chegar, e é ele que deve reabrir a planilha.

Preciso de software para fazer FMEA de SST?

Uma planilha resolve, inclusive com o NPR calculado automaticamente. Software ajuda quando há muitas linhas, várias plantas e necessidade de rastrear revisões, mas nenhuma ferramenta corrige uma escala de severidade mal construída ou um plano de ação que não recebeu as linhas críticas.

FMEA serve para quem não trabalha com qualidade?

Serve, e em segurança do trabalho serve especialmente bem — a lógica de antecipar modos de falha nasceu na engenharia de confiabilidade, não na qualidade. O que costuma faltar ao técnico de segurança não é a ferramenta, é o método que decide quando ela se aplica, como testar se a ação funcionou e como ler os dados no tempo em vez de reagir a cada ocorrência isolada. É esse raciocínio que a formação Lean Six Sigma da Escola EDTI organiza, com o FMEA como uma peça entre várias.