Todo sistema de gerenciamento da segurança operacional depende de uma matéria-prima que não se compra: a informação sobre o que quase deu errado. O incidente que não virou acidente, a aproximação que foi continuada quando devia ter sido abandonada, a peça instalada com a instrução errada e descoberta no dia seguinte. Quem sabe disso é quem estava lá. Se essa pessoa não conta, o SGSO fica com os indicadores que o sistema consegue medir sozinho, e nenhum deles mostra o que ainda não aconteceu.
A pergunta que toda operação deveria se fazer não é "temos canal de relato?". É "por que, tendo canal, quase ninguém usa?".
O que é cultura justa
O termo vem de James Reason, que nos anos 1990 descreveu a cultura de segurança como uma combinação de quatro componentes: cultura de relato, de aprendizado, flexível e justa. A definição mais usada hoje é a do Regulamento (UE) 376/2014, que trata do reporte de ocorrências na aviação civil europeia. Em tradução livre, cultura justa é aquela em que os operadores de linha de frente não são punidos por ações, omissões ou decisões compatíveis com a sua experiência e o seu treinamento, mas em que negligência grosseira, violações deliberadas e atos destrutivos não são tolerados.
A OACI, de propósito, não define o termo. O Anexo 19 e o Doc 9859 preferem estabelecer os princípios de proteção da informação de segurança e descrever uma cultura "justa e equilibrada" como um dos componentes da cultura de segurança positiva, deixando a cada Estado e a cada organização a tarefa de dizer onde fica a linha.
E a linha é o ponto. Cultura justa não é cultura sem punição. É a distinção clara, conhecida por todos e aplicada com consistência, entre três coisas:
- Erro honesto. A pessoa fez o que fez acreditando que estava certo, com a experiência e o treinamento que tinha. Resposta: entender por que o erro foi possível e corrigir o sistema.
- Comportamento de risco. A pessoa escolheu um atalho sabendo que ele existia, porque o risco parecia pequeno ou porque "todo mundo faz". Resposta: treinar, mudar o incentivo, remover a norma informal.
- Negligência grosseira ou violação deliberada. A pessoa sabia, tinha alternativa e escolheu o risco. Resposta: disciplina.
Uma operação em que o erro honesto é punido não aprende, porque ninguém conta. Uma operação em que a violação deliberada não é punida também não aprende, porque quem cumpre a regra percebe que ela não vale. As duas são injustas, e as duas secam o relato.
O que o RBAC 135 exige da política de segurança
Isso não é só boa prática. O RBAC 135, na seção 135.705, exige que o operador de táxi aéreo defina uma política de segurança operacional que, entre outras coisas, inclua uma política para relatos de segurança operacional e indique claramente quais são os tipos de comportamento considerados inaceitáveis pela organização, bem como as circunstâncias nas quais ações disciplinares não serão aplicadas. A política deve ser assinada pelo gestor responsável, comunicada com visível endosso da alta direção e revisada periodicamente.
Em outras palavras: a regra brasileira pede que a linha entre erro e violação esteja escrita e assinada. Muitas políticas de segurança cumprem o requisito com uma frase genérica sobre "não punir o erro honesto". Poucas dizem, com exemplos, o que a empresa considera inaceitável, e menos ainda são aplicadas com a consistência que faz o piloto acreditar nelas.
Para as oficinas, a seção 145.214 do RBAC 145 exige SGSO com política e objetivos de segurança e responsabilidades definidas em todos os níveis, e o mesmo raciocínio vale: o mecânico que descobriu a própria instalação errada só conta se souber o que acontece depois.
O que a lei brasileira já garante
Há uma camada que muitos operadores desconhecem. A Lei 12.970/2014 reescreveu o capítulo do Código Brasileiro de Aeronáutica sobre o SIPAER e deu base legal à proteção do relato:
- Art. 88-A. A investigação SIPAER existe "unicamente em proveito da prevenção de acidentes aeronáuticos, incidentes aeronáuticos e ocorrências de solo". Não é instrumento para apurar culpa.
- Art. 88-B. Ela se desenvolve de forma independente de qualquer outra investigação sobre o mesmo evento, e quem participa dela não pode participar das outras.
- Art. 88-I. Os dados dos sistemas de notificação voluntária de ocorrências são fontes SIPAER. Essa fonte, e as análises e conclusões da investigação, não serão utilizadas para fins probatórios nos processos judiciais e procedimentos administrativos, e só serão fornecidas mediante requisição judicial. Toda informação prestada ao SIPAER "será espontânea e baseada na garantia legal de seu exclusivo uso para fins de prevenção".
O canal nacional é o RCSV, o Relato ao CENIPA para a Segurança de Voo. A Portaria Conjunta 5.754/COMAER/ANAC, de 2021, o define como parte do sistema de reporte voluntário do Estado brasileiro, protegido pela Lei 12.970: o relato recebe tratamento primário pelo CENIPA, a informação não é disponibilizada antes de desidentificação, a finalidade principal é estatística, e a identidade do autor e das pessoas mencionadas é salvaguardada. A mesma portaria delimita a linha: o reporte voluntário não serve para relatar fatos que constituam crime ou violação intencional de regulamento.
Ou seja: para o relato que vai ao Estado, a proteção existe em lei. O que falta, na maioria das operações, é a proteção dentro da empresa, onde a pessoa que reporta está a uma sala de distância de quem decide a escala.
Por que o relato não chega
Quem pergunta a pilotos e mecânicos ouve sempre as mesmas razões:
- "Vai sobrar para mim." A política diz que não, mas o último que reportou foi chamado para conversar.
- "Não dá em nada." O relato entra, ninguém responde, a condição continua. Reportar passa a ser trabalho sem retorno.
- "Não foi nada demais." O evento foi absorvido pela rotina. Sem exemplos concretos do que a empresa quer saber, o piloto só reporta o que já virou incidente.
- "Dá trabalho." O formulário é longo, está no escritório, pede dados que o piloto não tem na mão.
- "Todo mundo vai saber que fui eu." Numa operação de oito pilotos, o relato "anônimo" sobre o voo de terça-feira não é anônimo.
Nenhuma dessas razões se resolve com um cartaz. A primeira se resolve com a política do 135.705 escrita com exemplos e aplicada sem exceção. A segunda, com resposta a cada relato e ação visível. A terceira, com a lista do que reportar. A quarta, com o canal no bolso. A quinta, com a opção de anonimato real e com a gestão tratando o relato pelo conteúdo, não pelo autor.
Onde a Alis entra
O módulo de SGSO da Alis foi desenhado para a parte que a lei não cobre: o relato dentro da empresa. O relato de perigo é feito do aparelho, no pátio ou no hangar, com foto, e pode ser identificado ou anônimo; no relato anônimo, o autor não é pedido nem gravado. O relato entra na fila de investigação de ocorrências, vai para a matriz de risco e segue para o acompanhamento das ações. O painel acompanha o indicador de eventos de reporte não obrigatório, que é a medida mais honesta de quanto a cultura de relato está viva. E a política de segurança, com a linha entre erro e violação, fica documentada no mesmo lugar em que o SGSO é auditado.
O artigo sobre SGSO na prática para RBAC 135 descreve os quatro componentes do sistema; o de viés de continuação mostra o tipo de evento que só chega ao SGSO se alguém contar.
Quer ver o relato de perigo anônimo chegando à matriz de risco? Agende uma demonstração.
Este artigo tem caráter informativo. Os requisitos citados são os do RBAC 135 (Emenda 07, seção 135.705) e do RBAC 145 (Emenda 08, seção 145.214); os dispositivos legais são os da Lei nº 12.970/2014; o RCSV é descrito conforme a Portaria Conjunta nº 5.754/COMAER/ANAC, de 2021; a definição de cultura justa é a do Regulamento (UE) nº 376/2014, em tradução livre. O texto não substitui a consulta aos atos normativos nem a orientação jurídica e do responsável pelo SGSO da organização.