Na receção da máquina, o fabricante abre o manual e aponta para três frases: «Limpar apenas depois de desligar todas as fontes de energia. A manutenção só pode ser efetuada por pessoal com formação. O utilizador deve elaborar um procedimento adequado.» Três frases, três quadrículas assinaladas.
Na fábrica, a realidade é menos arrumada. A máquina tem duas alimentações elétricas, um circuito pneumático e um acumulador capaz de provocar movimento mesmo depois de desligado o interruptor geral. O procedimento ainda não existe e «pessoal com formação» significa, na prática, a pessoa que trabalha ali há mais tempo.
A segurança ficou dependente do futuro.
A Etapa 3 da ISO 12100 não consiste em colocar no manual tudo o que não foi resolvido no projeto. As informações para utilização são o último elemento da estratégia de redução do risco. Surgem depois das medidas de conceção inerentemente segura e das medidas técnicas de proteção — nunca em substituição delas.
Se era possível eliminar o perigo, reduzir a energia, impedir o acesso ou implementar uma função de segurança adequada, o fabricante não pode trocar essas soluções por formação, um pictograma ou uma recomendação para «ter especial cuidado». O manual deve explicar o risco que efetivamente permaneceu, não guardar problemas adiados.
Isso não torna a terceira etapa um simples anexo documental. É aqui que o trabalho do fabricante encontra a organização do utilizador. O primeiro identifica o risco residual, as tarefas em que aparece e as condições assumidas na avaliação. O segundo converte essa informação em procedimentos, formação, supervisão, consignação de energias, autorizações de trabalho, proteções adicionais ou equipamentos de proteção individual.
Não se trata de transferir responsabilidade. Trata-se de transmitir informação sem a qual o utilizador não consegue organizar trabalho seguro — e cuja mera presença no manual não produz qualquer resultado.
1. A terceira etapa não é uma versão mais barata das duas primeiras
As três etapas de redução do risco não são opções equivalentes. O projetista não escolhe entre alterar a conceção, instalar uma proteção ou acrescentar um aviso conforme o que encaixa melhor no prazo e no orçamento. A ordem importa.
Primeiro, verifica-se se o perigo pode ser eliminado ou reduzido por conceção. Se isso não bastar, aplicam-se medidas técnicas e complementares de proteção, confirmando também que as próprias medidas de proteção não introduzem novos perigos. Só depois se preparam informações para o risco que permaneceu.
Imagine que uma afinação exige colocar a mão na zona de movimento de um mecanismo. O fabricante pode deslocar o ponto de regulação, alterar a geometria, limitar a energia, instalar uma proteção com encravamento ou criar um modo seguro de afinação. Se escrever imediatamente «operação reservada a pessoal com formação», não avançou para a terceira etapa. Saltou duas estações e ficou surpreendido por o comboio continuar na plataforma.
Que medidas concretas foram aplicadas na conceção e nas proteções antes de se concluir que a ação seguinte caberia ao utilizador?
Se a resposta incluir a análise da solução, a medida adotada, o resultado da verificação e uma descrição do risco remanescente, o processo pode avançar. Se for apenas «acrescentámos um ponto ao manual», o documento está a decorar a ausência das duas primeiras etapas.
A primeira etapa assenta em soluções de conceção inerentemente seguras. A segunda recorre a medidas técnicas de proteção em máquinas. Apenas depois desse trabalho a informação para utilização se torna o resultado de um processo de engenharia, em vez do seu substituto literário.
2. O fabricante deve descrever o risco, não tranquilizar a consciência
A informação fornecida deve permitir uma ação concreta. Se, depois de a ler, ninguém souber o que pode acontecer, durante que tarefa e como evitar o evento, o fabricante entregou texto — não necessariamente informação útil.
«Antes da manutenção, desligar a máquina de todas as fontes de energia» parece razoável. Porém, o interruptor geral não despressuriza um circuito hidráulico, não esvazia um reservatório pneumático, não suporta um conjunto elevado nem elimina a energia acumulada numa mola. A física não assina o auto de receção.
Uma informação útil deve indicar:
- a tarefa e a fase de vida da máquina em que existe exposição;
- a localização da zona perigosa;
- as pessoas que podem ficar expostas;
- o evento perigoso e as consequências previsíveis;
- as medidas aplicadas pelo fabricante;
- o risco que permaneceu depois dessas medidas;
- a ação exata exigida ao utilizador;
- as competências, ferramentas, procedimentos e proteções necessários.
Em vez de uma ordem genérica para desligar a energia, pode ser necessário especificar que, antes de substituir um componente, se deve cortar determinada alimentação, fechar e bloquear uma válvula, descarregar a pressão, confirmar a ausência de energia e suportar mecanicamente o conjunto elevado. Só esse nível de detalhe permite preparar um procedimento de consignação e bloqueio de energias, uma instrução de manutenção e formação coerente.
O local onde a informação aparece também conta. Um risco que exige reação imediata não pode ficar escondido apenas na página 143. Conforme a situação, podem ser necessários avisos na máquina, sinais, dispositivos de alerta ou mensagens junto do ponto de intervenção. O operador não deve iniciar uma investigação bibliográfica enquanto o circuito perde pressão.
Nem tudo tem de assumir a forma de aviso. As informações para utilização devem também definir materiais autorizados, limites do processo, condições de instalação, periodicidade das inspeções, competências exigidas e operações proibidas devido a um risco específico. Estes requisitos devem resultar das premissas da avaliação, não da necessidade tardia de preencher o capítulo «Segurança».
Dizer apenas que existe risco residual na máquina serve de pouco. O utilizador não gere um conceito abstrato. Gere tarefas, pessoas, energias e condições reais de trabalho.
Uma boa informação transforma «permanece um risco» em «por esse motivo, é obrigatório fazer exatamente isto». As ambiguidades entre uma frase e a outra costumam sobreviver até ao dia em que alguém tem de as explicar depois de um acidente.
3. O fabricante termina o projeto; o utilizador organiza o trabalho
A Figura 2 da ISO 12100 é desconfortável para ambos. O fabricante não pode terminar a avaliação com «as restantes medidas serão asseguradas pelo utilizador». E o utilizador não pode presumir que a marcação CE elaborou procedimentos, formou a manutenção e verificou como são eliminados os encravamentos no turno da noite.
A norma apresenta dois níveis distintos de risco residual. O primeiro permanece após as medidas previstas pelo projetista: conceção inerentemente segura, medidas técnicas e complementares de proteção e informações para utilização. O fabricante deve reconhecer, avaliar e descrever esse nível.
O segundo considera também as medidas implementadas pelo utilizador: organização do trabalho, procedimentos, supervisão, autorizações, proteções técnicas adicionais, equipamentos de proteção individual e formação. Entre os dois níveis existe uma palavra decisiva: implementação.
| O fabricante transmite | O utilizador implementa |
|---|---|
| Descrição do risco residual e do cenário | Procedimento para executar a tarefa |
| Condições de utilização segura | Organização do trabalho compatível com essas condições |
| Competências exigidas | Seleção das pessoas e confirmação da competência |
| Requisitos de isolamento das energias | Consignação, bloqueio e sistema de autorizações |
| Necessidade de proteções adicionais | Seleção, instalação e manutenção dessas proteções |
| Requisitos relativos a equipamentos de proteção individual | Disponibilização, utilização e controlo dos equipamentos |
| Regras de inspeção e manutenção | Planeamento e registo da execução |
«Utilizador» também não significa apenas o operador que prime o botão de arranque. Inclui a entidade empregadora que organiza a atividade, a chefia, a manutenção, o técnico que intervém e o operador que aplica as medidas e comunica anomalias.
Cada função precisa de informação diferente. A manutenção deve conhecer os pontos de corte e os métodos de verificação. A chefia deve saber quem está autorizado a executar cada tarefa. O operador precisa de regras claras para produção, afinação, limpeza e anomalias. Colocar tudo num capítulo intitulado «Observações gerais» não cria um sistema de segurança. Cria um capítulo que ninguém quer ler.
É também aqui que se encontram dois processos: a avaliação de riscos da máquina realizada pelo fabricante e a avaliação de riscos profissionais efetuada pela entidade empregadora. Estão relacionadas, mas uma não substitui a outra. O fabricante analisa a máquina dentro da utilização prevista e da má utilização razoavelmente previsível. A entidade empregadora considera o posto real, o ambiente, as pessoas, a organização e o processo em que a máquina foi integrada.
Cooperação não significa dividir a responsabilidade ao meio e resolver o assunto com duas assinaturas. Significa que cada parte executa o seu trabalho e que a informação do fabricante permite ao utilizador agir conscientemente.
4. Um procedimento só funciona quando alguém o utiliza de verdade
A informação mais rigorosa do fabricante não fecha uma válvula, não aplica um bloqueio, não verifica a ausência de energia e não impede um rearranque. Essa parte tem de ser organizada pelo utilizador.
Se for exigido o isolamento antes de remover um encravamento, o estabelecimento deve definir, no mínimo:
- quem pode parar a máquina;
- que fontes de energia devem ser isoladas;
- onde ficam os pontos de corte;
- como se impede a religação;
- como se confirma a ausência de energia;
- quem pode remover os bloqueios;
- em que condições a máquina regressa ao serviço.
Sem estas respostas, «aplicar consignação» é apenas o nome de um procedimento.
O documento também tem de caber na tarefa real. Se um encravamento ocorrer várias vezes por turno e o procedimento exigir vinte minutos de paragem de toda a linha, o desfecho é previsível. Primeiro surge um atalho. Depois, uma «boa prática» conhecida apenas pelos mais experientes. Por fim, alguém prende um dispositivo com fita adesiva para que «não incomode».
Isto não justifica simplificar o procedimento sacrificando a segurança. Uma necessidade frequente de intervenção pode revelar problemas de conceção, fiabilidade do processo ou adequação das proteções. Uma terceira etapa bem construída devolve essa informação à avaliação de riscos.
Com a formação acontece o mesmo. Uma folha de presenças prova que várias pessoas estiveram na mesma sala durante algum tempo. Não prova que sabem afinar, limpar ou reparar a máquina em segurança.
A formação deve tratar tarefas reais, perigos existentes, utilização das proteções e resposta a situações anormais. A competência deve ser verificada na prática e reavaliada após alterações relevantes na máquina, no processo, no procedimento ou nas responsabilidades.
A supervisão também não pode limitar-se a conferir assinaturas. Deve observar o trabalho, verificar o cumprimento dos procedimentos, reagir à neutralização de proteções e investigar por que razão surgem atalhos. Um encravamento anulado pode resultar de uma decisão errada do operador. Cinco dispositivos anulados na mesma linha dizem bastante sobre a conceção e a organização da produção.
Os equipamentos de proteção individual exigem igual precisão. «Usar luvas» não explica contra que agente devem proteger, que desempenho é necessário ou se podem criar um perigo de arrastamento junto de partes móveis. O equipamento tem de ser selecionado para a tarefa e para as condições reais.
A eficácia não resulta da existência de uma frase num procedimento. Resulta de a medida ser executável, compreendida, compatível com o tempo disponibilizado e efetivamente supervisionada. Uma folha plastificada pode manter-se impecável durante anos — sobretudo se ninguém lhe tocar.
5. Uma boa terceira etapa deixa rasto
Durante a receção, o projetista recorda por que motivo o manual exige o suporte mecânico de um conjunto. Seis meses depois, a documentação está com outra pessoa, a máquina foi transferida e o autor da avaliação trabalha noutro projeto.
Resta a frase: «A manutenção só pode começar depois de o conjunto estar mecanicamente imobilizado.» Mas que movimento pode ocorrer? Que elemento deve ser suportado? Em que posição? Que outras medidas foram aplicadas? As respostas talvez estejam no ficheiro FINAL_avaliacao_v8_revisto_2.
A informação para utilização deve estar ligada a um cenário concreto da avaliação. Tem de ser possível seguir o percurso desde o perigo identificado, passando pelas medidas de conceção e técnicas, até ao risco residual e à ação exigida ao utilizador.
Esse rasto pode incluir:
- a tarefa e a fase de vida da máquina;
- a origem do perigo e o evento previsível;
- as pessoas expostas e as consequências;
- as medidas de redução do risco aplicadas;
- os resultados da respetiva verificação;
- a descrição do risco residual;
- a informação colocada no manual ou na máquina;
- a ação exigida ao utilizador;
- a pessoa responsável pela implementação;
- a evidência de execução e de eficácia.
A evidência não tem de ser mais um relatório extenso. Pode ser um procedimento aprovado, um ensaio de função, um resultado de medição, a confirmação de competência, um registo de inspeção, uma fotografia da sinalização ou uma decisão técnica fundamentada. O importante é responder ao requisito concreto, em vez de declarar vagamente que «o tema da segurança foi abordado».
Uma pasta cheia de documentos não garante rastreabilidade. Cem ficheiros lado a lado podem continuar sem explicar por que razão foi tomada determinada decisão. O valor está na ligação entre cenário, medida, verificação, informação para utilização e ação posterior.
Esse encadeamento também deve sobreviver à mudança. Um novo material, outra ferramenta, um aumento de velocidade, a transferência da máquina ou um método diferente de limpeza podem invalidar as premissas iniciais. O utilizador precisa de identificar os cenários que exigem nova avaliação. Rever tudo desde a primeira página é um método — tal como esperar que a pressão desapareça para encontrar uma fuga.
No Safety Software, esta cadeia não deve terminar quando o relatório é gerado. O cenário de risco, a medida aplicada, a verificação, o risco residual e as evidências permanecem ligados no mesmo processo. Assim, é possível reconstruir não apenas o que foi escrito, mas também quem decidiu, com que fundamento e o que foi feito depois.
Uma pessoa que não participou no projeto consegue determinar, através da documentação, que risco permaneceu e que ação tem de ser executada?
Se consegue, o fabricante transmitiu informação. Se não consegue, entregou ao utilizador um enigma técnico com anexos.