O documento descreve como organizações de alta confiabilidade como o sistema de controle de tráfego aéreo dos EUA e porta-aviões da Marinha operam sistemas complexos e perigosos com segurança notável. Pesquisadores da Universidade da Califórnia em Berkeley estudaram essas organizações e concluíram que seu sucesso se deve a estruturas organizacionais flexíveis, comunicação aberta e constante aprendizagem.

2. .'
SUCESSO é muito mais dificil de analisar do que FALHA. Quando as coisas saem erradas em uma Plan
Química ou no Programa Espacial., é ~sualmente possível encontrar as causas e resolvê-las para evitar qw
ocorram novamente no futuro.
Porém, quando tudo vai bem, é dificil saber porque. Quais fatores foram importantes para
sucesso e quais não foram? Foi o sucesso devido à habilidade ou somente· por sorte? Se nosso propósit
for o de aprendermos a lidar com tecnologia perigosa) o melhor que devemos fazer é olhar pat
organizações que manejam riscos com sucesso e ver como elas fazem isto.
Esta é a meta do projeto de Organização de Alta Confiabilidade em andamento na Universidade d
Califórnia, Berkeley. Por mais de uma década, Todd La Porte, Karlene Roberts e Gene Rochlin estã
estudando grupos de pessoas que parecem fazer o impossível: operar essencialmente sem engan~
sistemas altamente complexos e tecnologicamente perigosos.
O sistema de controle de tráfego aéreo dos EUA maneja dezenas de milhares de vôos por dia er
todo o país. Os controladores de tráfego aéreo não são responsáveis somente pela coreografia dos pouso
e decolagens de dúzias ou centenas de vôos por hora nos aeroportos, mas também pelo direcionament
dos corredores de vôo das aeronaves, de maneira que cada uma mantenha uma distância segura cor
relação às outras. O sucesso é incontestável: por mais de uma década, nenhuma das aeronaves monitorada
nas telas dos radares dos controladores de vôo colidiu com outras, mesmo que a intrincada dança d
aeronaves, chegando e deixando os aeroportos, cruzando umas com as outras à velocidade de centenas d
quilômetros por hora, criem enormes oportunida~es para erros.
Este recorde de segurança não é devido somente à extrema boa sorte - os três pesquisadores d
Bekerley concluíram - mas devido ao fato de que 11 instituição aprendeu a lidar efetivamente com um
tecnologia complexa e perigosa.
Talvez as mais impressionantes organizações que eles estudaram foram os porta-aviões de propulsã<
nuclear da Marinha dos EUA. Como é impossivel para qualquer um que não tenha trabalhado em urr
destes navios entender a complexidade, desgaste e perigos de sua operação, a descrição a seguir, feita po1
um oficial de carreira aos pesquisadores de Bekerley, pode dar uma idéia desta tarefa:
Quer dizer que vocês querem entender a operação de um porta-aviões?
Muiro bem; imaginem que é um dia de grande movimento no aeroporto de São Francisco.
Então, reduza-o a somente uma pista, uma rampa e um portão de embarque e desembarque.
Façam os aviões decolarem e pousarem ao mesmo tempo, na metade do intervalo de tempo,
enquanto movendo a pista de um lado para outro, fazendo o pessoal que saiu no turno da
manhã retornar na parte da tarde. Então desliguem os radares para evitar detecção pelos
inimigos, imponham controle absoluto nas comunicações por rádio, abasteçam as aeronaves de
combustível no local e com as turbinas em funcionamento, coloquem um inimigo no ar e
corram ao redor de bombas e foguetes armados. Agora, molhem todo o piso ao redor com óleo
eãgua salgada e coloquem para operar tudo isto rapazes com 20 anos de idade, metade dos
quais nunca viu um avião de perto. Enquanto isto, tratem de não matar ninguém.
Um porta-aviões da classe do Nimitz carrega noventa aviões de sete categorias diferentes. Estes
aviões dispõem de somente poucas centenas de metros de pista para decolar e pousar, em lugar de pistas
com até mil metros existentes nos aeroportos comerciais. Na decolagem, os aviões são impulsionados por
tirantes-açiooados por pistões a vapor, que os acelera da condição de parados até a 290 kmlh, em cerca de
pouco mais de 2 segundos. Assim que cada avião é colocado no lugar na catapulta, uma equipe faz as
verificações mais uma vez, para assegurar que os controles de superficie estão funcionando a contento e
que não ocorreu vazamento de combustível ou qualquer outro problema visível. O oficial da catapulta
02

3. ajusta a pressão do vapor para cada lançamento, dependendo do peso do avião e das condições do vento.
O intervalo de tempo entre os lançamentos - 50 segundos - não deixa tempo para erros.
Entretanto, é o pouso dos aviões que é realmente impressionante. Eles se aproximam do convés de
pouso com uma velocidade de 250 a 270 krn/h, com um gancho dependurado na traseira para agarrar um
dos quatro cabos de retenção esticados através do convés. Assim que o avião se aproxima, o piloto
comunica através do rádio qual é a quantidade de combustível do avião. Com esta informação, o pessoal
encarregado do equipamento de tensionamento dos cabos de retenção calcula o peso do avião, para
determinar o ajuste adequado do mecanismo de freio do equipamento de tensionarnento. Se o ajuste for
muito baixo, o avião pode não parar em tempo hábil e passar do fim do convés de pouso, caindo no mar.
Se o ajuste for excessivo, pode arrancar o gancho da cauda ou fazer alguma coisa se desprender, podendo
causar ferimentos ou mortes em sua passagem pelo convés. O ajuste nos quatro cabos de retenção é feito
individualmente por somente um marinheiro. Neste meio tempo, os oficiais sinalizadores de pouso ficam
observando a aproximação do avião, orientando o piloto e então, se tudo estiver aparentando estar de
acordo, autorizam o pouso. No instante que o avião toca o piso, o piloto acelera a turbina totalmente,
porque caso o resgate pelos cabos de retenção não ocorra, o avião estará com velocidade bastante para
arremeter, decolando novamente sem cair no mar, fazendo o retorno para uma nova tentativa de pouso.
Caso o gancho agarre um dos cabos de retenção, o avião é bruscamente parado em apenas 2 segundos e
em uma distâr1cia de 100 metros. Tão logo o avião esteja parado, o pessoal de "camisa amarela" corre para
ele para verificar as condições do gancho e para tirar o avião do caminho para permitir o pouso do
próximo. Assim que os cabos de retenção são retomados para seus lugares, outra equipe se encarrega de
inspecioná-los para verificar a existência de eventuais danos nos mesmos. Então, tudo recomeça. Todo o
ciclo durou cerca de 60 segundos. O lançamento e resgate são somente part~de um processo muito maior,
incluindo manutenção, abastecimento e municiamento, bem corno manobrar e estacionar as aeronaves em
um convés congestionado. O que faz o processo tão fascinante é que ele não é executado por pessoas que
trabalham juntas por muitos anos, mas sim por ·uma equipe de pessoal de rotatividade relativamente
elevada. Como o escritor John Pfeiffer observou: "O Capitão estará a bordo por apenas 3 anos, os 20
oficiais sen.iors por apenas 4 anos e a metade - a maioria dos 5.000 homens ou mulheres engajados •
deixarão a Marinha ou serão transferidos assim que encerrar seus 3 anos de serviço militar. Mais ainda,
eles são predominantementes adolescentes, de maneira que é de meros 20 anos a média de idade a bordo
do porta-aviões".
Que outro tipo de organização pode operar tão eficientemente sob condições tão adversas? La
Porte, Roberts e Rochlin passaram grande parte do tempo a bordo de porta-aviões no porto e no mar,
durante treinamento e em atividade, e eles encontraram pelo menos parte da resposta. Superficialmente,
um porta-aviões parece estar organizado sob uma linha tradicional de hierarquia, com a autoridade sendo
exercida do capitão de cima para baixo, através dos varios niveis em um mosaico claramente definido. E
certamente, a maior parte das operações do dia-a-dia do navio acontece desta maneira, com a disciplina
sendo obedecida estritamente. Manuais espessos de procedimentos padrão de operação governam este
processo, sendo que grande parte do treinamento da Marinha é devotado em fazer deles a segunda
natureza. Estes procedimentos codificam lições aprendidas de anos de experiência. Porém, como os
pesquisadores de Bekerley descobriram, a vida íntima do porta-aviões é muito mais complicada do que
isto.
Quando as coisas esquentam, como durante o lançamento ou recuperação de aviões, a estrutura da
organização muda para outra marcha. Neste caso, os membros das equipes interagem muito mais como
colegas e menos como superiores e subordinados. Cooperação e comunicação se tomam mais importantes
do que a~ ordens transmitidas para baixo na linha de comando e informações enviadas de volta. Com urn
avião decolando ou pousando a cada minuto, eventos podem ocorrer muito rapidamente para aguardar
instruções ou autorizações superiores. Os membros de uma equipe agem corno um ~me, cada um
observando o que o outro está fazendo e todos se comunicando continuamente através de telefones,
rádios, sinais manuais e detalhes escritos. Este fluxo constante de informações ajuda a sinalizar os erros
03

4. antes que eles causem algum estrago. Pessoal mais experiente morutora as ações continuamente, atentos
para quaJquer coisa que não esteja de acordo e corrigindo os erros antes que causem problemas.
Um terceiro nível da estrutura organizacional é reservado para emergências, tais como incêndios no
convés de vôo. As equipes do navio produziram procedimentos para serem seguidos cuidadosamente em
tais casos, com cada membro assumindo uma função pré definida. Caso ocorra uma emergência, a equipe
pode reagir imediatamente e efetivamente sem necessitar comando. Esta estnJtura organizacional multi-
camadas exige muito mais das equipes do que da hierarquia tradicional, onde seguir ordens é o caminho
mais seguro e os subordinados não são encorajados a pensar por si próprios. Aqui, as atividades do navio e
das equipes é responsabilidade de todo mundo. Como os pesquisadores de Bekerley notararn: "Mesmo a
pessoa de nível mais baixo no convés não tem somente autoridade, mas também obrigação de interromper
uma operação de vôo imediatamente, sob circunstâncias apropriadas e sem primeiro pedir autorização
superior. Apesar desta atitude poder ser julgada ou mesmo criticada posteriormente, ele não será
penalizado se estiver errado e muitas das vezes será congratulado publicamente se estiver certo".
O envolvimento de todo mundo, combinado com uma rotatividade estável entre os oficiais e as
equipes, também ajudam a Marinha a prevenir que tais operações de se tornem rotineiras e tediosas.
Devido às idas e vindas regulares, o pessoal no navio está aprendendo constantemente novas lições e
ensinando a outros o que eles aprenderam.
E, mesmo que alguma aprendizagem seja simplesmente memorização de roteiros de procedimentos
de operação padrão, os pesquisadores de Bekerley encontraram uma busca constante por melhores
maneiras de fazer as coisas.
Oficiais jovens trazem a bordo idéias novas e eles mesmos debatem com os oficiais seniors não
comissionados, que estão no navio há longo tempo e já sabem o que funciona. A colisão de abordagens
frescas e algumas das vezes singelas, com uma memória institucional conservativa, produz uma tensão
criativa que evita que a segurança e a confiabilidade se degenerem no sentido de seguir as normas
mecanicamente.
A Marinha conseguiu baJancear a:> lições do passado com uma abertura para mudanças e criar uma
organização que tem a estabilidade e a pre~visibílidade de uma hierarquia rígida, rnas que consegue ser
flexível quando necessário. O resultado é uma habilidade de operar próximo ao máximo. empurrando o
pessoa] e o equipamento para os seus limites, mantendo ainda assim uma segurança admirável.
Não Há Falhas na Comunicação
É lógico que um porta-aviões é urna situação especiaJ, sendo que não há razão para pensar que as
coisas que funcionam lá serão efetivas em uma instalação comercial com empregados civis. Porém, quando
o projeto Bekerley examinou uma organização completamente diferente mas com o mesmo njvel de alta
confiabilidade, os pesquisadores atribuiram ao seu sucesso um conjunto similar de princípios.
A usina nuclear de Diablo Canyon, operada pela Pacific Gas & Electric, está situada logo a oeste
de San Luis Obíspo, CaJifórnia, na costa do Pacifico. Apesar de sua construção ter sido objeto de
controvérsias e ter sido tenninada após 17 anos de iniciada, ao custo de US$5,8 bilhões, a usina provou
por todas a maneiras ser aquela com um dos melhores históricos operacional e de segurança de todo o
pais, desde sua entrada em operação em 1985.
A~sim como o porta-aviões; Diablo Canyon parece à primeira vista obedecer a uma hierarquia
rígida, com uma cadeia de comando formal, comandada pelo Chefe da Usina, que vern a ser também o
Vice-Presidente da Pacific Gas & Electric. E realmente ela tem uma pilha imensa ~ realmente uma
verdadeira torre - de regulamentos dizendo a seus empregados com executar seus trabalhos. Isto é como o
04

5. Órgão Regulador quer as coisas. Desde Three MiJe lsland, a Comissão Reguladora Nuclear (NRC) tem
tentado garantir a segurança insistindo que as usinas nucleares sigam um cada vez mais detalhado conjunto
de normas. As usinas são classificadas de acordo com quantas vezes violaram os regulamentos, e um
mosaico de violações levarão a ·uma supervisão mais apertada pela NRC e multas que, em casos mais
sérios, poderão atingir centenas de milhares de dólares.
Porém Paul Schulman, um cientista político do MiUs College em Oakland, que colaborou com La
Porte, Roberts e Roclín, descobriu que Diablo Canyon tem outra face - mais ativa, indagadora e aberta
para a aprendizagem. Apesar da hierarquia e regulamentos, a organização está constantemente mudando,
questionando práticas aceitas e procurando por maneiras de fazer melhor as coisas. Não é o mesmo tipo de
mudanças encontradas nos porta-aviões, onde a rotatividade estável do pessoal cria um ciclo continuo de
aprendizagem para as mesmas coisas, além de um melhoramento gradual das técnicas.
Diablo Canyon mantém um grupo de empregados relativamente estável que sabem seu trabalho
bastante bem. Entretanto, esta usina nuclear é tão dinâmica quanto um porta-aviões.
A razão, diz Schulman, é que a usina nuclear cultivou uma cultura institucional enraizada na
convicção de que usinas nucleares sempre causarão surpresas. O resultado foram dois conjuntos de
procedimentos de tomada de decisão na usina. O primeiro, e mais visível, consiste em normas bem
estabelecidas para o que fazer em uma situação particular. Algumas são executadas por computador e
outras pelo pessoal. Em geral, diz Schulman, este conjunto de nom1as é designado para prevenir erros de
omissão - pessoas não fazendo aquilo que deveriam fazer. Mas os empregados em Diablo Canyon também
trabalham duro para evitar erros de cornissã,o - ações que têm conseqüências inesperadas. Devido ao fato
de uma usina nuclear ser muito complexa, os empregados devem pensar constantemente sobre o que eles
estão fazendo, afim de evitar que o sistema faça alguma coisa inesperada e possivelmente perigosa. Isto
significa que, apesar da usina estar constantemente melhorando seus procedimentos padrões assim que o
pessoal aprende mais sobre abordagens corretas e descobrem diferentes maneiras de como as coisas podem
sair erradas, ninguém acredita que a organização será capaz de algum dia escrever tudo em um livro.
Portanto, a gerência da usina escolhe os empregados parcialmente na base de quão bem eles se encaixarão
nesta cultura flexível e orientada para o aprendizado. O empregado menos desejado, diz Schullman, é
aquele muito confiante ou obstinado.
Esta espécie de aprendizagem e melhoramento contínuos não seria possível se a
organização de Diablo Canyon fosse estritamente hierárquica. Hierarquias podem funcionar para sistemas
que i'podem ser decompostos" - isto é, que podem ser quebrados em unidades autônomas - porém urna
usina nuclear é, por sua natureza, fortemente acoplada. Uma modificação dos geradores de vapor pode ter
implicações para o reator ou uma mudança nos procedimentos de manutenção pode afetar como o sistema
responde aos operadores humanos. Devido a esta interdependência, os vários departamentos da usma
devem se comunicar e cooperar uns com os outros diretamente e não através de canais burocráticos.
Aprendizado Constante :
Os membros do projeto Bekerley estudaram não somente porta-aviões e usinas nucleares) mas
também sistemas de controle de tráfego aéreo e a operação de enormes sistemas de transmissão de energia
elétrica, tendo com isto determinado um modelo.
Uma estrutura organizacional em camadas é a que parece ser adequada para a efetividade destas
instituiçõ;s. Dependendo da demanda da situação, o pessoal organiza a si próprio em diferentes mosaicos.
Isto causa muita surpresa aos teoristas organizacionais, que geralmente acreditam que as organizações
assumem somente uma estrutura. Alguns grupos são burocratas e hierárquicos~ outros são profissionais e
colegiais e outros com aptidão para responder à emergências, porém, teorias de gerenciamento não têm
vez em uma organização em que ocorre alternância entre estes perfis com a necessidade da situação.
05

6. ·.
O reconhecimento de que estas organizações existem abre um leque de novos questionamentos:
Como foi feito o estabelecimento inicial destas organizações de múltiplas camadas? Como seus membros
sabem qual é o momento de muda't de um modo de comportamento para outro? Mas a descoberta destas
organizações pode ter implicaçÕes práticas. Apesar de La Porte prevenir de que o trabalho de seu grupo é
"descritivo e não prescritívo", a pesquisa pode ainda oferecer alguns critérios para se evitar acidentes em
outras tecnologias complexas e perigosas.
Em particular, organizações altamente confiáveis parecem apresentar um contra exemplo para o
sociologista Charles Perrow's, de Yale, que argumenta que algumas tecnologias, pela sua própria natureza.
impõem contradições inerentes para as organizações que as utilizam.
Em se tratando de tecnologias tais como as plantas de energia nuclear e químjcas, Perrot escreve:
"Devido à sua complexidade, elas são melhores quando descentralizadas~ devido ao seu acoplamento
apertado, elas são melhores quando centralizadas. Enquanto alguma mistura possa ser possível e algumas
vezes tentadas (manejar pequenas tarefas por si próprio, mas executar ordens superiores para coisas mais
importantes), isto parece ser difícil para sistemas que são razoavelmente complexos e com acopJamento
apertado". Porém, se Diablo Canyon e os porta-aviões são para ser acreditados, tal proposição não é de
tudo impossível. Aquelas organizações demonstram que a operação pode ser centralizada e
descentralizada; ruerárquica e colegial (e centrada na aprendizagem).
À parte de sua estrutura em camadas, as organizações altamente confiáveis enfatizam a
comunicação muito além daquilo que seria suficiente em organizações normais. A finalidade é simpJes:
evitar erros. Em um convés de vôo. cada um anuncia o que está acontecendo a cada instante na crença de
que alguém tomará conhecimento - e reagirá - no caso de alguma coisa começar a sair errado. Em um
centro de controle de tráfego aéreo, apesar de um operador ser o responsável pelo controle e comunicação
com uma dada aeronave, ele ou ela recebem ajuda de um assistente e, no caso de muito movimento, ajuda
de outros controladores.
Os controladores observam um ao outro constantemente, atentos para qualquer sinal de problema,
trocando comentários e oferecendo sugestões para a melhor maneira de orientar o tráfego.
Comunicação inadequada e desentendimentos, normalmente no contesto estrito da cadeia de
comando, tiveram influência predominante em muitos desastres tecnológicos. O acidente com a
Challenger foi um deles, com os vários níveis de gerenciamento do programa espacial se comunjcando
através de canais formais, de maneira que as apreensões dos engenheiros nunca atingiram os niveis
superiores de decisão.
O queda de um Boeing 737 durante a decolagem no Aeroporto Nacional de Washington, que
matou 78 pessoas, foi outro. O co-piloto advertiu várias vezes o capitão de possíveis problemas- condição
de congelamento estava causando leitura errônea em um indicador de pressão de empuxo da turbina -
porém, como o co-piloto não foi enfático o bastante, o piloto não lhe deu a devida atenção. O avião caiu
sobre uma ponte do rio Potomac.
Quando um 747 da KLM colidiu com um 747 da Pan Am, em uma pista de decolagem no
aeroporto das Ilhas Canárias em 1977, matando 583 pessoas, uma investigação após o acidente descobriu
que o co-piloto jovem teve conhecimento de que o piloto não entendeu direito a posição do avião para a
decolagem, porém, assumiu que o piloto sabia o que estava fazendo e nâQ questionou a situação.
Q acidente de Bbopal, no qual milhares de pessoas morreram quando uma explosão em uma planta
de inseticTda liberou uma nuvem mortal de gás methyl isocyanale, nunca teria acontecido se tivesse havido
comunicação adequada entre os operadores da planta, que iniciaram a lavagem de tubulações com água, e
a turma de manutenção, que não colocou flange cego em uma válvula, afim de evitar que a água entrasse
em contato com o methyl isocyanate em outro lugar na planta.
06

7. Além da comunicação, organizações altamente confiáveis também enfatizam um aprendizado ativo:
os empregados não só sabem porque os procedimentos são escritos da maneira· que são~ mas podem
também questioná·los e indicar maneiras de torná·los melhores. A finalidade por trás deste aprendizado
não é somente para melhorar a segurança - apesar disto ocorrer freqüentemente - mas para evitar que a
organização regrida. Uma vez que o pessoal começa a fazer as coisas somente pelo manual, a operação
começa a despencar rapidamente. Os trabalhadores perdem o interesse e começam a ficar entediados: eles
esquecem ou nunca aprendem porque a organização executa as coisas de certas maneiras~ e eles começam
a se sentir como mais uma peça de uma máquina, do que parte integral de uma instituição vibrante.
Organizações efetivas têm a necessidade de encontrar meios de manter seus membros ativos e focalizando
o trabalho que estão fazendo.
Qualquer organização que enfatiza aprendizagem constante terá que tolerar uma certa dose de
ambigüidade, nota Schulman. Haverá sempre ocasiões quando o pessoal demonstrará insegurança sobre
qual é a melhor abordagem ou discordará até em quanto importante são as questões. Isto pode ser
saudável, diz Schulman, mas isto pode ser perturbador para os gerentes e os empregados que pensam que
uma organização que funciona bem tem que saber sempre o que fazer. Ele fala de uma reunião com os
supervisores em Diablo Canyon, onde descreve algumas de suas descobertas: "O que está errado conosco
por termos tanta ambigüidade?" perguntou um dos supervisores. O supervisor havia perdido
completamente o ponto com relação à pesquisa de Schulman. Um pouco de ambigüidade não era nada que
devesse se preocupar a respeito. Ao contrário, os gerentes da planta deveriam ter em mente que, se assim
não fosse, eles teriam as respostas para tudo.
Schulman apresenta mais uma observação sobre organizações altamente confiáveis: elas não punem
os empregados por fazerem alguma coisa errada quando tentaram fazer a coisa certa. Punição pode
funcionar - ou pelo menos não ser muito prejudiciAl - em uma organização burocrática onde todo mundo
age pelo manual, porém, desencoraja empregados de aprenderem alguma coisa a mais do que
absolutamente aquilo que têm que saber, sendo que isto mata a comunicação.
Se uma organização tem sucesso em manejar uma tecnologia de maneira que não ocorram
acidentes e nem ameaças para a segurança do público, ela pode encarar uma ameaça insidiosa: o preço do
sucesso. A resposta natural do mundo exterior - seja dos gerentes superiores, do órgão regulador ou do
público em geral - é a de começar a pensar este desempenho exemplar está garantido. E assim que a
possibilidade de um acidente passa a parecer menos e menos real, o custo da vigilância eterna passa a ser
cada vez mais dificil de justificar.
Portanto a confiabilidade da organização, apesar de onerosa, é tão crucial para a segurança de uma
tecnologia como é a confiabilidade dos equipamentos. Se for nossa intenção impedir a regressão do nosso
progresso tecnológico, devemos cuidar tanto de nossa organização como de nossas máquinas.
07