O paciente recebeu a dose errada às 3h15, um evento adverso como tantos outros. A investigação levou quarenta minutos e chegou ao nome da técnica que administrou o medicamento. Ela foi afastada, o hospital fez um treinamento de reciclagem sobre dupla checagem, e o caso foi encerrado.
Sete meses depois aconteceu de novo, com outra pessoa, no mesmo turno, com uma medicação parecida. O que a primeira investigação não perguntou foi por que dois frascos de aparência quase idêntica ficavam na mesma gaveta, por que a prescrição eletrônica não alertava para a dose fora de faixa, por que o plantão da madrugada opera com uma pessoa a menos e por que a dupla checagem não era possível naquele horário.
Essas quatro perguntas são exatamente o que o modelo do queijo suíço organiza. Ele não é uma ferramenta de preencher: é uma forma de enxergar por que sistemas bem construídos falham, e por que o último a tocar no processo quase nunca é a explicação.
O que é o modelo do queijo suíço
O modelo foi proposto pelo psicólogo britânico James Reason, no início dos anos 1990, a partir do estudo de acidentes em sistemas complexos como aviação, energia nuclear e saúde. A imagem é simples: as defesas de um sistema são fatias de queijo suíço empilhadas, uma atrás da outra. Cada fatia é uma barreira, e cada buraco é uma falha nessa barreira.
Os buracos não são fixos. Eles abrem, fecham e mudam de posição conforme as condições do dia: falta de gente, pressa, equipamento novo, procedimento alterado. A maior parte do tempo, um buraco numa fatia é bloqueado pela fatia seguinte, e nada acontece.
O acidente ocorre quando os buracos de todas as fatias se alinham no mesmo instante, abrindo uma trajetória livre do perigo até o dano. É por isso que acidentes graves são raros e, quando acontecem, parecem improváveis: eles exigem coincidência de várias falhas, não uma só.
Daí sai a primeira consequência prática, e ela contraria o instinto de toda investigação apressada. Se são necessárias várias falhas alinhadas, encontrar uma delas e parar por ali significa deixar as outras no lugar, prontas para se alinharem de novo com outra pessoa no comando.
Falhas ativas e condições latentes
Reason separa os buracos em dois tipos, e essa é a parte do modelo que mais muda a prática de investigação.
Falhas ativas são os atos inseguros de quem está na ponta: o clique errado, o frasco trocado, o passo pulado. Têm efeito imediato, são visíveis e são quase sempre o que a investigação encontra primeiro, porque estão perto no tempo e no espaço.
Condições latentes são decisões tomadas antes, longe da ponta, que ficam adormecidas no sistema até que alguma circunstância as ative. Dimensionamento de equipe, projeto de embalagem, escolha de software, meta de produtividade, layout de estoque, procedimento escrito por quem não executa. Elas podem ficar anos sem produzir dano nenhum.
A analogia que Reason usa é a de patógenos residentes: estão presentes no organismo sem causar doença, e se manifestam quando outros fatores se combinam.
A diferença prática entre atacar um tipo ou outro é grande. Corrigir a falha ativa protege contra aquela repetição específica, com aquela pessoa. Corrigir a condição latente fecha o buraco para todo mundo que passar ali depois. No caso da abertura, treinar a técnica age sobre a falha ativa; separar os frascos parecidos e configurar o alerta de dose age sobre as condições latentes.
O erro de leitura mais comum
O modelo é frequentemente usado como um desenho bonito para ilustrar um relatório que, no fundo, continua apontando para a pessoa. Três leituras erradas aparecem com frequência.
Tratar as fatias como independentes. Elas não são. A mesma condição, como um corte de pessoal, abre buraco em várias barreiras ao mesmo tempo: reduz a dupla checagem, aumenta a pressa e diminui a supervisão. Contar quantas barreiras existem no papel dá uma sensação falsa de proteção quando uma única decisão perfura várias.
Achar que mais fatias significa mais segurança. Acrescentar uma conferência, um formulário e uma assinatura parece reforçar o sistema, e frequentemente faz o contrário: barreiras que dependem de atenção humana competem entre si pelo tempo de quem executa. É aqui que o modelo se cruza com a hierarquia de controles, que mostra por que barreiras baseadas em eliminação e em projeto seguram mais do que as baseadas em procedimento e treinamento.
Usar o modelo para absolver. O outro extremo é concluir que, como o sistema falhou, ninguém responde por nada. Não é o que o modelo diz. Existem comportamentos de risco e violações deliberadas que exigem resposta individual, e o critério para distinguir isso da falha honesta é o tema da cultura justa.
Um evento lido com as duas lentes (situação-tipo construída para este texto)
Uma indústria química registra um derramamento de produto durante transferência entre tanques. Ninguém se feriu, e o registro poderia ter virado uma linha no relatório mensal.
A leitura curta: o operador abriu a válvula errada. Ação: advertência e reciclagem do procedimento.
A leitura pelo modelo, olhando cada barreira que deveria ter impedido o evento e por que não impediu. Identificação das válvulas: as etiquetas estavam desbotadas havia meses, com chamado aberto na manutenção sem prazo. Projeto do painel: as válvulas de dois produtos diferentes ficam lado a lado, com acionamento idêntico. Procedimento: prevê conferência dupla, que não acontece no turno da noite porque há uma pessoa a menos. Alarme de nível: configurado para disparar em um valor que só é atingido depois do transbordo. Supervisão: o supervisor cobre três áreas e estava em outra no momento.
Cinco buracos, e o operador é apenas o ponto onde a trajetória terminou. Quatro deles são condições latentes, criadas em decisões de manutenção, projeto, dimensionamento e configuração, tomadas em momentos diferentes, nenhuma delas por quem estava no painel às 2h da manhã.
A equipe atacou duas: trocou o acionamento de uma das válvulas por um modelo fisicamente diferente, que não permite confundir pelo tato, e reconfigurou o alarme para disparar antes do nível crítico. Nos oito meses seguintes, os quase-acidentes registrados nessa transferência foram de uma média de 2,4 por mês para 1,1, depois 0,8, 1,2, 0,6, 0,9, 0,5 e 0,7.
Note o indicador escolhido: quase-acidentes, não acidentes. Acidente grave é raro demais para ser acompanhado no tempo, e esperar por ele para saber se a barreira funciona é péssima estratégia. Quem quer medir segurança precisa medir o evento frequente que antecede o raro, lógica que vale também para os indicadores de segurança do paciente.
Como usar o modelo numa investigação
Quatro passos, e nenhum deles exige software.
Primeiro, liste as barreiras que deveriam ter impedido o evento, incluindo as que ninguém pensou como barreira: projeto do equipamento, identificação visual, alarme, procedimento, conferência, supervisão, software.
Segundo, para cada uma, pergunte se ela estava presente, se estava funcionando e por que não impediu. É essa segunda pergunta que produz as condições latentes, e a técnica dos cinco porquês ajuda aqui, desde que não pare na primeira resposta que aponta para uma pessoa, como explica o uso combinado de Ishikawa e 5 Porquês.
Terceiro, classifique cada buraco encontrado em ativo ou latente. Se a lista final só tiver falhas ativas, a investigação parou cedo: sistemas com uma barreira só não costumam existir, e se existirem esse é o achado principal.
Quarto, escolha o que corrigir pela hierarquia de controles, e não pela facilidade. Reciclagem de treinamento é sempre a ação mais rápida de escrever no relatório e a mais frágil de todas.
Antes de tudo isso, vale uma verificação que evita investigação desnecessária: o evento é isolado ou faz parte do comportamento normal do processo? Se erros desse tipo acontecem toda semana em número parecido, investigar o evento de ontem é investigar variação de rotina, e o caminho é outro, mudando o processo em vez de analisar o caso.
Onde o modelo encosta em outras ferramentas
O queijo suíço é um modelo de explicação, não um método de análise. Ele diz onde olhar e não fornece procedimento, e por isso costuma trabalhar acompanhado.
Para investigar o que já aconteceu, ele orienta a análise de causa raiz e impede que ela termine na primeira explicação plausível. Para antecipar o que ainda não aconteceu, a lógica se inverte e o instrumento é o FMEA, que mapeia modos de falha antes do evento. Para eventos graves com combinação de fatores, a árvore de falhas formaliza o que o queijo descreve de modo visual. E o exame barreira a barreira tem nome próprio, a análise de barreiras.
Quando a conclusão é que a barreira precisa deixar de depender de atenção, o caminho é o poka-yoke: tornar o erro fisicamente impossível, como no caso do acionamento de válvula diferente.
O pré-requisito que ninguém compra com dinheiro
Há uma condição sem a qual todo esse aparato não funciona, e ela não é técnica.
Condições latentes só aparecem se as pessoas contarem o que realmente aconteceu. Quase-acidente não tem vítima, não gera registro automático e depende inteiramente de alguém decidir reportar. Onde reportar custa caro em constrangimento ou em consequência, o número de registros cai, a direção comemora a queda e o sistema fica cego exatamente sobre os eventos que antecedem o acidente grave.
Por isso um programa de investigação baseado no modelo do queijo suíço depende da cultura da qualidade da organização e da segurança psicológica das equipes. Não é tema paralelo: é a condição de entrada dos dados.
E há uma competência técnica junto: distinguir o evento que é sinal do que é oscilação do processo, ler indicadores no tempo e escolher a correção pelo efeito, não pela facilidade. É o tipo de análise que uma formação como o Green Belt desenvolve, e é o que separa uma investigação que muda o sistema de um relatório que fecha o caso.
Volte às 3h15 da abertura. A investigação de quarenta minutos encontrou um nome e fechou. A investigação pelo modelo teria encontrado quatro buracos e fechado pelo menos dois deles. Sete meses depois, não haveria um segundo caso esperando a próxima coincidência.
Conteúdo revisado pelo Master Black Belt Marcelo Petenate, estatístico, formado pela Unicamp, mestre pela USP e especialista em Lean Six Sigma e melhoria contínua. Nesta revisão, o foco foi a distinção entre falhas ativas e condições latentes e a escolha de quase-acidentes como indicador acompanhado no tempo.
Investigar bem depende de duas coisas: saber onde olhar, que é o que o modelo oferece, e saber ler o que os dados mostram, que é método. O White Belt gratuito da EDTI cobre essa segunda parte, com variação, indicadores no tempo e teste de mudança, e é o ponto de partida para quem investiga eventos e quer parar de encontrar sempre o mesmo tipo de causa.
Perguntas frequentes
O que é o modelo do queijo suíço?
É um modelo proposto por James Reason para explicar acidentes em sistemas complexos. As defesas da organização são representadas como fatias de queijo empilhadas, e os buracos são falhas nessas defesas. O acidente acontece quando os buracos de todas as fatias se alinham, criando uma trajetória livre do perigo até o dano.
Qual a diferença entre falha ativa e condição latente?
Falha ativa é o ato inseguro de quem está na ponta, com efeito imediato e visível. Condição latente é uma decisão anterior, tomada longe da execução, que fica adormecida no sistema até que as circunstâncias a ativem, como dimensionamento de equipe, projeto de embalagem ou configuração de alarme.
O modelo serve para culpar o sistema e não as pessoas?
Ele desloca a investigação da pessoa para as condições, mas não elimina a responsabilidade individual. Existem violações deliberadas e comportamentos de risco que exigem resposta, e o critério para separá-los da falha honesta é o que a cultura justa define.
Como aplicar o modelo numa investigação?
Liste todas as barreiras que deveriam ter impedido o evento, verifique para cada uma se estava presente, se funcionava e por que não impediu, classifique os buracos em ativos e latentes, e escolha o que corrigir pela hierarquia de controles. Investigação que só encontra falhas ativas parou cedo demais.
O modelo do queijo suíço vale fora da saúde?
Vale em qualquer sistema com múltiplas defesas: aviação, energia, indústria química, logística, segurança do trabalho e processos administrativos com risco financeiro. A saúde é onde ele ficou mais conhecido, mas a origem está no estudo de acidentes industriais e aéreos.
Quais indicadores acompanhar em segurança com base nesse modelo?
Preferencialmente eventos frequentes que antecedem o raro, como quase-acidentes e desvios de barreira detectados, acompanhados no tempo. Acidentes graves são raros demais para indicar se uma barreira está funcionando, e esperar por eles para avaliar o sistema é chegar tarde.
Mais barreiras significa mais segurança?
Nem sempre. Barreiras que dependem de atenção e disciplina competem pelo tempo de quem executa, e empilhá-las pode reduzir a eficácia do conjunto. Uma barreira de projeto, que torna o erro fisicamente impossível, costuma valer mais que três conferências adicionais.