Cultura Justa: aprender antes que a dor ensine

Lições da Aviação para Salvar Vidas – Capítulo III.

Carlos Eduardo Falconi
Coronel PM Veterano, piloto de operações policiais e aeromédicas.
Fundador da Associação Brasileira de Operações Aeromédicas (ABOA)
Ex-Comandante do Comando de Aviação da Polícia Militar de São Paulo.

Na manhã de 20 de fevereiro de 1995, Willie King entrou no centro cirúrgico do University Community Hospital, em Tampa, na Flórida, sabendo que deixaria aquele hospital sem a perna direita. O que ele jamais poderia imaginar era que despertaria da anestesia sem a perna saudável. A indicação cirúrgica decorria de complicações vasculares do diabetes, que haviam comprometido gravemente o membro direito. Tudo indicava que seria mais um procedimento corriqueiro. A equipe era experiente, os materiais estavam disponíveis e ninguém entrou naquela sala com a intenção de errar.

Horas depois, o impensável se confirmou: a perna amputada havia sido a esquerda, que estava saudável. A direita, para a qual havia indicação cirúrgica, permanecia intacta. Dias mais tarde, Willie precisou retornar ao centro cirúrgico para ser submetido à amputação que deveria ter ocorrido desde o início.

O caso percorreu o mundo porque tornou visível uma verdade difícil de aceitar: tragédias dessa natureza raramente são produzidas por um único gesto. Antes que o primeiro instrumento fosse utilizado, uma sequência de informações contraditórias, falhas de comunicação, registros inadequados e verificações insuficientes já havia preparado o caminho para o resultado.

Poucos anos antes, em 8 de janeiro de 1989, outro grupo de profissionais experientes enfrentaria uma situação crítica. Um Boeing 737-400 da British Midland voava de Londres para Belfast quando fortes vibrações e sinais de falha surgiram durante a subida. A tripulação concluiu que o problema estava no motor direito e o desligou. Na realidade, o motor avariado era o esquerdo.

O voo de cruzeiro transcorreu normalmente, sem qualquer intercorrência, apesar de um motor desligado. Quando a potência foi novamente exigida durante a aproximação para o aeroporto de East Midlands, o motor realmente danificado não conseguiu sustentá-la. A aeronave caiu pouco antes da pista, nas proximidades de Kegworth. Das 126 pessoas a bordo, 47 morreram e dezenas ficaram feridas.

Seria fácil resumir o acidente afirmando que os pilotos desligaram o motor errado. A investigação oficial, entretanto, foi muito além. Examinou as diferenças daquela nova versão da aeronave, a apresentação das informações na cabine, o treinamento recebido, a interpretação dos sintomas, a carga de trabalho, a comunicação entre cabine de comando e comissários, além das condições que reforçaram a convicção da tripulação de que havia identificado corretamente o motor afetado.

A finalidade não era apagar a responsabilidade dos envolvidos. Era compreender por que profissionais habilitados, experientes e comprometidos chegaram a uma decisão equivocada e por que as demais barreiras não conseguiram interromper a sequência antes do impacto.

Os dois episódios ocorreram em países diferentes, em atividades completamente distintas e separados por seis anos. Um aconteceu em uma sala cirúrgica. O outro, na cabine de uma aeronave. Ambos, porém, compartilham uma característica inquietante: não começaram quando o erro se tornou visível. Começaram muito antes, quando pequenas fragilidades foram sendo construídas, toleradas ou ignoradas.

Os acidentes acontecem em segundos. Suas causas, quase sempre, são construídas durante muito tempo.

Aprender pelo amor ou pela dor

A reação imediata diante de eventos tão graves costuma ser procurar quem deve ser punido. É compreensível. Houve um dano irreversível, uma vida foi profundamente modificada e alguém realizou o procedimento no membro errado. Entretanto, se a análise terminar apenas no profissional que executou a última ação, todas as falhas anteriores permanecerão no sistema, esperando outra oportunidade para se alinhar.

Casos como o de Willie King contribuíram para fortalecer práticas posteriormente consolidadas pela Joint Commission no Protocolo Universal para prevenção de cirurgia no local errado, procedimento errado ou paciente errado. Entre essas barreiras estão a verificação pré-operatória, a marcação do sítio cirúrgico e o time-out, uma pausa imediatamente antes do início do procedimento para que toda a equipe confirme, em conjunto, a identidade do paciente, a intervenção planejada e o local correto.

Existe um antigo ensinamento segundo o qual aprendemos pelo amor ou pela dor. As organizações de alto risco também fazem essa escolha.

Elas podem aprender antecipando ameaças, ouvindo quem trabalha na linha de frente, valorizando o relato de incidentes e aperfeiçoando continuamente seus processos. Ou podem aprender apenas depois que uma tragédia revela, de maneira incontestável, fragilidades que já estavam presentes havia dias, meses ou até anos.

Muitos dos avanços mais importantes da aviação foram escritos depois de acidentes. Mudanças em projetos, procedimentos, treinamentos, comunicações e regulamentos frequentemente nasceram da análise minuciosa de vidas perdidas. Na saúde, não foi diferente. Protocolos de identificação, dupla checagem, segurança cirúrgica e administração de medicamentos foram fortalecidos porque pacientes sofreram danos que jamais poderiam ser reparados.

Esse aprendizado é valioso, mas seu preço é alto demais. Por isso, organizações maduras procuram aprender também com aquilo que quase aconteceu. Um incidente sem consequências, um erro percebido a tempo, uma dúvida interrompida por alguém da equipe ou uma barreira que funcionou no último instante podem oferecer o mesmo conhecimento de uma tragédia, sem exigir que alguém pague por ele com a própria vida.

Toda organização aprende. A diferença está no preço que ela paga por esse aprendizado.

Da cultura da culpa à compreensão do sistema

Durante muito tempo, a resposta predominante diante de um acidente ou evento adverso seguiu uma lógica aparentemente simples. Primeiro, identificava-se quem havia cometido o erro. Depois, aplicava-se uma punição. Com isso, acreditava-se que o problema estaria resolvido e que os demais profissionais aprenderiam a não repetir aquela conduta.

Esse modelo oferece uma sensação imediata de ordem. Existe um responsável, uma sanção e uma conclusão. Entretanto, ele costuma produzir um efeito colateral perigoso: o medo.

Como vimos no capítulo 1, quando as pessoas acreditam que qualquer falha será tratada como prova de incompetência, descuido ou deslealdade, passam a esconder dúvidas, corrigir silenciosamente seus próprios erros e evitar relatos que possam comprometê-las. Os incidentes deixam de chegar ao conhecimento da liderança. Os quase acidentes desaparecem das estatísticas. A organização parece mais segura porque recebe menos notificações, quando, na realidade, apenas perdeu a capacidade de enxergar seus riscos.

Foi exatamente a necessidade de compreender essa segunda história, construída muito antes do gesto final, que transformou a investigação de acidentes nas últimas décadas.

Foi o psicólogo britânico James Reason quem contribuiu decisivamente para mudar essa perspectiva. Seus estudos demonstraram que acidentes complexos raramente decorrem de uma única falha individual. Eles surgem quando erros ativos, cometidos na linha de frente, encontram condições latentes já presentes na organização, como procedimentos inadequados, comunicação deficiente, treinamento insuficiente, desenho confuso de equipamentos, sobrecarga, pressão de tempo ou supervisão frágil.

Seu conhecido modelo do queijo suíço representa as barreiras de segurança como camadas imperfeitas, cada uma com vulnerabilidades próprias. Enquanto essas fragilidades permanecem desalinhadas, uma barreira compensa a deficiência da outra. Quando se alinham, entretanto, o erro encontra caminho livre até o dano.

Essa compreensão deslocou a investigação de uma pergunta limitada para outra muito mais útil. Em vez de perguntar somente quem errou, passou-se a perguntar por que fazia sentido, naquele momento e naquele contexto, agir daquela maneira. E, principalmente, o que precisa ser modificado para que outro profissional não percorra a mesma trajetória.

Isso não significa negar a participação individual. Significa reconhecer que remover uma pessoa do sistema não elimina as condições que influenciaram suas decisões. Se o processo permanecer confuso, se as informações continuarem incompletas e se as barreiras existirem apenas no papel, outro profissional poderá cometer o mesmo erro amanhã.

O equilíbrio da Cultura Justa

A evolução desse pensamento conduziu ao conceito de Cultura Justa. David Marx ajudou a estruturá-lo ao demonstrar que organizações seguras precisam equilibrar dois valores que não podem ser separados: o aprendizado e a responsabilização.

Cultura Justa não significa ausência de consequências. Também não significa proteger qualquer conduta em nome do erro humano. Seu propósito é oferecer respostas proporcionais à natureza do comportamento, distinguindo situações que, embora possam produzir resultados semelhantes, possuem origens completamente diferentes.

O erro humano é involuntário. O profissional pretende fazer a coisa certa, mas se engana, esquece, interpreta incorretamente uma informação ou executa uma ação diferente da planejada. Nesses casos, a resposta adequada deve priorizar acolhimento, análise do sistema, correção das condições que favoreceram a falha e aperfeiçoamento das barreiras.

O comportamento de risco ocorre quando alguém adota um atalho ou flexibiliza uma regra sem perceber plenamente o perigo envolvido, muitas vezes porque a prática foi normalizada, facilitada pelo próprio ambiente ou repetida diversas vezes sem consequências. A resposta precisa incluir orientação, treinamento, revisão dos incentivos e esclarecimento sobre o risco criado.

Já a conduta deliberadamente insegura ocorre quando o profissional conhece o risco relevante e, ainda assim, decide ignorá-lo de maneira consciente e injustificável. Nessa situação, a responsabilização é necessária. Não responsabilizar também seria injusto com os demais integrantes da equipe e com aqueles que dependem do sistema.

Punir quem cometeu um erro honesto destrói a confiança. Tolerar uma violação consciente destrói a credibilidade. A Cultura Justa existe exatamente entre esses dois extremos.

Ela não pergunta apenas qual foi o resultado. Pergunta quais eram as intenções, quais informações estavam disponíveis, quais escolhas foram feitas, quais condições influenciaram o comportamento e como outras pessoas agiam diante da mesma situação. O objetivo é tratar de maneira diferente aquilo que é diferente.

A verdadeira justiça organizacional não está em aplicar a mesma consequência a todos. Está em avaliar cada conduta com critérios claros, previsíveis e coerentes.

O valor do relato antes do acidente

A aviação aprendeu que uma de suas maiores fontes de conhecimento não está apenas nos destroços, mas nos relatos de situações que terminaram bem.

Uma aproximação desestabilizada interrompida a tempo, uma incursão de pista evitada, uma comunicação ambígua corrigida, um checklist reiniciado após uma distração ou uma limitação operacional identificada antes da decolagem podem revelar vulnerabilidades importantes. Nenhum desses episódios precisa causar vítimas para produzir aprendizado.

Sistemas de relatos voluntários e confidenciais surgiram justamente para captar essas informações. Quando os profissionais confiam que serão tratados com equilíbrio, oferecem à organização detalhes que dificilmente apareceriam em relatórios formais. Explicam o que viram, o que pensaram, por que decidiram daquela maneira e quais obstáculos encontraram.

Essas informações permitem reconhecer tendências, aperfeiçoar manuais, revisar treinamentos, modificar equipamentos e alertar outras equipes antes que o mesmo problema produza consequências maiores.

Essa confiança, porém, não nasce de uma norma nem se estabelece por determinação administrativa. Ela é construída pelo exemplo, sobretudo pelo exemplo de quem ocupa posições de comando.

Ao longo de meus 27 anos na Aviação da Polícia Militar do Estado de São Paulo, aprendi que a confiança precisava começar por mim. Sempre que identificava um erro cometido durante uma missão, fazia questão de relatá-lo no debriefing, logo após o pouso. Primeiro, ouvia toda a tripulação. Muitas vezes, por respeito à hierarquia, por considerarem a falha irrelevante ou simplesmente por não a terem percebido, ninguém a mencionava.

Era então que eu próprio descrevia o ocorrido. Diante de todos, preenchia de próprio punho o Relatório de Perigo, posteriormente denominado Relatório de Prevenção, e o depositava na caixa lacrada destinada aos reportes de segurança.

Não fazia isso por autopunição. Fazia porque compreendia que esconder um erro significava privar toda a organização da oportunidade de aprender com ele. Uma falha reconhecida e analisada poderia evitar que outro piloto ou tripulante enfrentasse a mesma situação em circunstâncias menos favoráveis.

Com o tempo, aquela atitude passou a ser repetida por outros pilotos e tripulantes. O exemplo mostrou que relatar uma falha não diminuía a credibilidade profissional. Ao contrário, fortalecia a confiança da equipe e contribuía para uma cultura em que aprender era mais importante do que preservar uma aparência de perfeição.

Quando um comandante reconhece o próprio erro, abre espaço para que o mais jovem também fale. O relato deixa de ser percebido como denúncia ou confissão e passa a ser compreendido como proteção. É nesse momento que a Cultura Justa deixa de ser apenas um conceito e se transforma em prática operacional.

Na assistência à saúde, o princípio é idêntico. Uma dose incorreta interceptada pela farmácia, um paciente chamado por nome semelhante, um material cirúrgico ausente durante o time-out, uma transfusão suspensa por divergência na identificação ou uma prescrição esclarecida antes da administração são oportunidades valiosas de aprendizado.

Notificar mais não significa necessariamente errar mais. Muitas vezes, significa apenas conhecer melhor os próprios riscos. Uma instituição com poucos relatos pode ser segura, mas também pode ser um ambiente onde as pessoas aprenderam que é melhor permanecer caladas.

Os números, isoladamente, não revelam toda a cultura. É necessário compreender se o silêncio decorre da ausência de eventos ou da ausência de confiança.

A Joint Commission e a segurança do paciente

A Joint Commission reconhece que a prevenção de procedimentos no paciente errado, no local errado ou pelo método incorreto exige múltiplas barreiras e participação ativa de toda a equipe. O Protocolo Universal organiza essa proteção em três pilares: verificação antes do procedimento, marcação do sítio e realização do time-out imediatamente antes do início.

Essas medidas não existem porque médicos, enfermeiros e demais profissionais desconheçam seus pacientes. Existem porque até equipes competentes podem ser expostas a documentos divergentes, mudanças de programação, interrupções, pressão, comunicação incompleta e excesso de confiança.

O time-out não é uma formalidade cerimonial. É uma barreira ativa. Sua função é criar um momento em que todos interrompam o fluxo da tarefa e comparem a realidade daquele paciente com aquilo que foi planejado. Para funcionar, cada integrante precisa participar conscientemente e sentir-se autorizado a apontar qualquer divergência.

Se a equipe pronuncia as palavras corretas sem conferir as condições reais, existe um registro, mas não existe proteção. Se alguém percebe uma inconsistência e permanece em silêncio por receio da hierarquia, a barreira também falhou.

A Cultura Justa fortalece exatamente esse ponto. Ela transforma o questionamento em responsabilidade profissional. O enfermeiro que pede uma nova conferência, o técnico que informa uma divergência, o residente que manifesta dúvida e o cirurgião que decide interromper o procedimento não estão criando dificuldades. Estão protegendo o paciente e a própria equipe.

Nenhum protocolo é suficientemente forte para compensar uma cultura na qual as pessoas tenham medo de utilizá-lo.

Sem Cultura Justa, as barreiras envelhecem

No primeiro capítulo desta série, discutimos como o medo pode produzir uma cultura do silêncio. No segundo, mostramos que sistemas seguros dependem de barreiras, redundância e disciplina operacional. Este terceiro capítulo conecta essas duas ideias.

As barreiras somente permanecem eficazes quando são continuamente testadas, questionadas e aperfeiçoadas. Cada incidente revela uma fragilidade. Cada quase acidente demonstra onde uma camada de proteção esteve próxima de falhar. Cada relato mostra como o trabalho realmente acontece, muitas vezes de maneira diferente daquela descrita nos manuais.

Se essas informações não circulam, as barreiras envelhecem. Continuam formalmente existentes, mas deixam de acompanhar mudanças de tecnologia, equipes, rotinas, equipamentos e pressões operacionais. O checklist permanece o mesmo, embora o processo tenha mudado. O protocolo continua escrito, embora os profissionais tenham criado atalhos para conseguir cumprir a tarefa. O treinamento repete cenários antigos, enquanto novos riscos surgem silenciosamente.

Uma organização pode possuir excelentes normas e, ainda assim, ser vulnerável. Segurança não depende apenas do que está escrito, mas da capacidade de perceber quando a realidade já não corresponde ao procedimento.

É por isso que relatar um erro ou uma quase falha não deve ser visto como confissão de fraqueza. É uma contribuição para a inteligência coletiva. Ao compartilhar aquilo que aconteceu, um profissional oferece aos demais a oportunidade de não repetir a mesma trajetória.

Sem confiança, não existem relatos. Sem relatos, não existe aprendizado. Sem aprendizado, as barreiras deixam de evoluir.

O segundo acidente

Depois de um acidente ou evento adverso, existe ainda outro risco. O primeiro dano atinge diretamente a vítima, o paciente, os familiares e a equipe envolvida. O segundo ocorre quando a organização responde de maneira apressada, expõe pessoas antes de compreender os fatos e encerra a análise assim que encontra alguém para responsabilizar.

Essa reação pode produzir a impressão de firmeza, mas transmite uma mensagem perigosa a todos os demais: diante de um erro, proteja-se. A partir desse momento, informações são filtradas, documentos passam a ser escritos defensivamente e conversas importantes deixam de acontecer.

A busca precipitada por culpa pode, portanto, criar as condições para o próximo acidente. A organização perde não apenas uma oportunidade de aprender, mas também a confiança necessária para receber futuros alertas.

Uma resposta justa precisa ser cuidadosa e tecnicamente fundamentada. Deve proteger as pessoas afetadas, preservar evidências, compreender o contexto, identificar falhas sistêmicas e avaliar comportamentos individuais sem antecipar conclusões.

Justiça não é lentidão nem condescendência. É precisão.

Liderança e coerência

Nenhuma Cultura Justa nasce apenas de discursos. Ela é construída pela maneira como a liderança reage quando algo realmente dá errado.

É fácil incentivar relatos enquanto os eventos são pequenos e não produzem repercussão. O teste verdadeiro acontece diante de uma ocorrência grave, sob pressão da imprensa, de familiares, de autoridades, de clientes ou da própria organização. Nesse momento, líderes precisam resistir à tentação de oferecer respostas simples para problemas complexos.

Também precisam agir com coerência. Não se pode pedir transparência e punir automaticamente quem relata. Não se pode defender segurança e premiar resultados obtidos por meio de atalhos. Não se pode exigir cumprimento de protocolos e, ao mesmo tempo, pressionar as equipes para ignorá-los quando atrasam a operação.

A cultura é definida menos pelo que está escrito nas paredes e mais pelo comportamento que a organização recompensa, tolera ou pune.

Quando a liderança reconhece um relato, protege quem agiu de boa-fé, corrige as causas sistêmicas e responsabiliza de maneira proporcional as condutas deliberadamente inseguras, transmite uma mensagem clara: aqui, falar é parte do trabalho; aprender é uma obrigação; e a segurança está acima da aparência de perfeição.

A cultura de uma organização não é definida pelos protocolos que ela publica, mas pelas atitudes que seus líderes demonstram quando ninguém esperava que algo desse errado.

Conclusão

Willie King entrou em um hospital para perder uma perna e saiu sem as duas. Quarenta e sete pessoas morreram em Kegworth depois que uma sucessão de falhas levou uma tripulação experiente a desligar o motor que ainda funcionava. Esses acontecimentos não podem ser desfeitos. O conhecimento produzido por eles, entretanto, pode impedir que a história se repita.

Há duas maneiras de escrever um protocolo. A primeira é depois que uma tragédia revela sua necessidade. A segunda é depois que alguém tem coragem de dizer: quase aconteceu.

Ela não protege o erro. Protege as futuras vítimas da repetição do mesmo erro. Não elimina a responsabilidade. Torna a responsabilização proporcional, coerente e capaz de produzir aprendizado. Não promete organizações sem falhas. Constrói organizações que reconhecem suas fragilidades antes que elas atravessem todas as barreiras.

Toda organização aprenderá.

A única escolha possível é quando e a que preço.

Algumas aprendem depois de uma tragédia.

Outras aprendem quando alguém tem coragem de dizer: “Quase aconteceu”.

A Cultura Justa existe exatamente para que o conhecimento chegue antes da dor.

Porque, quando vidas humanas estão em jogo, aprender antes da tragédia deixa de ser uma virtude. Torna-se uma obrigação.

Lições da Aviação

• O objetivo de uma investigação de segurança é compreender causas e prevenir recorrências, não apenas identificar a última pessoa que tocou o sistema.
• Acidentes complexos resultam do encontro entre erros ativos e condições latentes construídas ao longo do tempo.
• Incidentes e quase acidentes possuem enorme valor preventivo quando são relatados e analisados.
• Confiança aumenta a quantidade e a qualidade das informações disponíveis para a segurança operacional.
• Erro humano, comportamento de risco e violação deliberada exigem respostas diferentes.
• Barreiras precisam ser continuamente revisadas, pois procedimentos que não acompanham a realidade operacional envelhecem.
• A liderança demonstra seu compromisso com a segurança pela forma como reage quando algo dá errado.

Aplicação na Saúde

• Fortalecer sistemas de notificação de incidentes, eventos adversos e quase falhas, assegurando análise equilibrada e retorno às equipes.
• Aplicar integralmente o Protocolo Universal da Joint Commission, incluindo verificação pré-operatória, marcação do sítio e time-out com participação efetiva de todos.
• Investigar as condições do sistema antes de atribuir responsabilidade individual.
• Distinguir erro involuntário, comportamento de risco e conduta deliberadamente insegura, adotando respostas proporcionais.
• Autorizar qualquer integrante da equipe a interromper um procedimento diante de dúvida relevante.
• Analisar se protocolos e checklists são realmente executados ou apenas formalmente registrados.
• Transformar cada relato em melhoria visível, demonstrando aos profissionais que comunicar riscos produz mudanças concretas.

Reflexão para o leitor

• Na sua organização, as pessoas sentem segurança para relatar um erro ou preferem corrigi-lo silenciosamente?
• Quando ocorre uma falha, a primeira pergunta é quem errou ou como o sistema permitiu que aquilo acontecesse?
• As respostas disciplinares distinguem erro humano, comportamento de risco e violação consciente?
• Os profissionais recebem retorno sobre as mudanças produzidas pelos relatos que fizeram?
• Sua organização está aprendendo com os quase acidentes ou esperando que a dor revele aquilo que já poderia ter sido conhecido?

•  Quanto custa o aprendizado da sua organização