Capítulo 10 — Infraestrutura crítica e segurança setorial: qualidade e resolução de problemas

Mapa da aula

Aula 10 publicada. Mapa, exemplo, EX046.

flowchart TD
  N0["10.1 Como os programas falham"]
  N1["10.2 Resolvendo uma falha de coordenação"]
  N2["10.3 Qualidade das decisões"]
  N3["10.5 Encerrando ações corretivas"]
  N4["10.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX046"]

Desenho lógico

flowchart LR
  N0["10.1 Como os programas falham"]
  N1["10.2 Resolvendo uma falha de coordenação"]
  N2["10.3 Qualidade das decisões"]
  N3["10.5 Encerrando ações corretivas"]
  N4["10.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX046"]

[10.1 Como os programas falham]
    |
    v
[10.2 Resolvendo uma falha de coordenação]
    |
    v
[10.3 Qualidade das decisões]
    |
    v
[10.5 Encerrando ações corretivas]
    |
    v
[10.6 Atividade prática]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX046]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você deverá ser capaz de:

• reconhecer os padrões comuns de falha dos programas de coordenação de segurança;
• resolver uma falha de coordenação com método — sintoma, hipóteses, evidências, causa, correção — em vez de culpar pessoas;
• medir a qualidade das decisões num exercício ou incidente, e não apenas a sua rapidez;
• conduzir um processo de ações corretivas que de fato encerre as ações.

O Capítulo 9 expôs falhas reais de coordenação. Este capítulo trata o próprio programa como um sistema que pode ser diagnosticado e melhorado.

10.1 Como os programas falham

A maioria das falhas de coordenação cai em poucos padrões:

• Lacunas de titularidade — atividades ou riscos sem uma pessoa que responda por eles (Capítulos 4 e 6).
• Responsabilidade duplicada — duas pessoas acham, cada uma, que a outra agiu.
• Informação desatualizada — contatos, mapas de dependências, listas de fornecedores ou registros que estavam certos no ano passado.
• Controles de papel — documentados, mas nunca observados nem testados (Capítulo 7).
• Gargalos — uma única pessoa em todos os caminhos críticos.
• Deterioração das ações — lições identificadas depois de cada exercício e nunca implementadas.
• Rapidez sem qualidade — decisões tomadas a tempo, mas sem justificativa, com informações erradas ou sem as pessoas certas.

10.2 Resolvendo uma falha de coordenação

Use a mesma disciplina que os engenheiros usam para falhas técnicas:

1. Declare o sintoma com precisão ("o hospital recebeu a ligação 15 minutos depois das 2 horas contratuais").
2. Liste as hipóteses ("ninguém era dono da ligação"; "o número de contato estava errado"; "o relógio de 2 horas começou em momentos diferentes para pessoas diferentes").
3. Reúna evidências — logs de decisão, registros de chamadas, entrevistas — sem culpa.
4. Elimine as hipóteses que as evidências contradizem.
5. Corrija a causa, e não o sintoma, e decida como você vai verificar a correção.

Um hábito útil: pergunte "o que fez disso a coisa razoável a fazer naquele momento?". As pessoas raramente agem com descuido numa crise; agem com as informações e os papéis que tinham.

10.3 Qualidade das decisões

A tempestividade é fácil de medir; a qualidade é mais difícil, porém mais importante. Para cada decisão-chave num exercício ou incidente, verifique: ela tinha um dono? Foi tomada dentro do tempo-alvo? A justificativa foi registrada? As pessoas que precisavam ser consultadas foram consultadas? Ela se baseou em informações verificadas, com os pressupostos rotulados? O guia do NIST para programas de teste, treinamento e exercícios descreve a avaliação de exercícios em relação aos objetivos e o registro das lições (NIST SP 800-84).

10.4 Exemplo resolvido: o log do exercício de mesa de maio (sintético)

No exercício de mesa DRY CREEK, de maio (o seu desenho é o exemplo resolvido do Capítulo 11), um avaliador manteve um log de decisões. O Laboratório 10 o verifica.

Laboratório 10 (salve como lab10.py e execute com python3 lab10.py):

# Lab 10 - tabletop decision-log quality check (offline, standard library only; synthetic exercise log)
import csv, io
LOG = """minute,inject,decision,owner,target_min,taken_min,recorded_rationale
0,I1 HMI shows unexpected setpoint change,convene incident team,Coordinator,15,9,yes
20,I2 vendor reports stolen laptop,suspend vendor remote access,Ops manager,30,52,yes
35,I3 station KW-04 dosing alarm,switch KW-04 to manual,Ops manager,10,6,no
50,I4 journalist calls,holding statement,,30,41,yes
65,I5 hospital asks about water safety,brief hospital,Coordinator,20,,no
80,I6 regulator early-warning clock,send early warning,Coordinator,60,44,yes
"""
rows = list(csv.DictReader(io.StringIO(LOG)))
met = 0
for r in rows:
    f = []
    if not r["owner"]: f.append("no owner")
    if not r["taken_min"]: f.append("no decision taken")
    elif int(r["taken_min"]) > int(r["target_min"]): f.append(f"late {int(r['taken_min'])-int(r['target_min'])} min")
    else: met += 1
    if r["recorded_rationale"] != "yes": f.append("no rationale recorded")
    print(f"{r['inject'][:2]} {r['decision']:30s} {'ok' if not f else '; '.join(f)}")
print(f"decisions within target: {met}/{len(rows)}")

Saída esperada (Python 3.13.5):

I1 convene incident team          ok
I2 suspend vendor remote access   late 22 min
I3 switch KW-04 to manual         no rationale recorded
I4 holding statement              no owner; late 11 min
I5 brief hospital                 no decision taken; no rationale recorded
I6 send early warning             ok
decisions within target: 3/6

A manchete "3/6 dentro do alvo" esconde mais do que mostra:

• A decisão do I3, de passar a KW-04 para o manual, foi rápida (6 minutos contra 10) e contada como no prazo, mas nenhuma justificativa foi registrada. Para uma decisão relacionada à segurança, isso importa: num incidente real, a revisão não saberia se ela foi tomada por causa dos dados de dosagem, por precaução ou por palpite.
• A declaração provisória do I4 não tinha dono — de novo o defeito de comunicação do Capítulo 6 — e atrasou.
• O I5, o informe ao hospital, nunca foi decidido. No hot wash, os participantes disseram que "acharam que a comunicação estava cuidando disso".
• O I2, a suspensão do acesso do fornecedor, atrasou 22 minutos. Os participantes explicaram que ninguém sabia se suspender o acesso da HydroLogic interromperia o suporte a um problema de dosagem então em andamento. Essa é uma causa de informação ausente, não de lentidão.

A tabela de resolução de problemas da coordenadora:

Tabela da aula; deslize para ver todas as colunas →

10.5 Encerrando ações corretivas

As lições não melhoram nada até se tornarem ações com donos, datas e verificação — e serem encerradas. Acompanhe-as num único lugar, revise-as no comitê de riscos e verifique cada encerramento com evidências (o próximo exercício, um teste, um documento). Uma métrica útil do programa é o percentual de ações de exercícios encerradas e verificadas dentro do prazo.

Na revisão do DRY CREEK, cada correção tem uma verificação correspondente: a próxima injeção do exercício sobre o hospital, um registro de fornecedores com coluna de dependência conferido na próxima revisão de acesso e uma nova execução do Laboratório 10 mostrando as justificativas registradas.

10.6 Atividade prática

Pegue uma falha recente de qualquer equipe que você conheça (um prazo perdido, uma tarefa duplicada). Preencha a tabela de resolução de problemas sem nomear pessoas e proponha uma correção com um método de verificação.

Escreva o sintoma como um fato preciso, com horários ou contagens, como no exemplo do hospital, e não como um julgamento. Liste pelo menos três hipóteses antes de procurar evidências e anote qual evidência descartou cada uma. Pergunte o que tornou a ação razoável para as pessoas envolvidas naquele momento. Depois escolha uma correção que mude um papel, uma ferramenta ou uma informação, e não uma que peça às pessoas que se esforcem mais, e diga como você saberá que ela funcionou, por exemplo no próximo exercício ou revisão.

10.7 Erros comuns e limites

• Concluir "erro humano" e parar por aí.
• Ações sem verificação, encerradas pela palavra do dono.

• Corrigir em excesso com processos pesados que atrasam as respostas reais; mantenha as correções proporcionais.

• Corrigir o sintoma com uma exortação ("comunicar melhor"), como lembrar a equipe de ligar para o hospital, enquanto a RACI ainda lista duas pessoas responsáveis.

• Relatar o sucesso de um exercício apenas pela rapidez, contando uma decisão rápida como boa quando nenhuma justificativa foi registrada, como na passagem da KW-04 para o manual no DRY CREEK.
• Acompanhar as ações em vários lugares, de modo que ninguém consegue ver quais estão atrasadas.

Exercícios — capítulo 10

EX046 — Leia o Laboratório 10. Objetivo: interpretar a qualidade das decisões. Insumos: a saída do Laboratório 10. Passos: explicar por que "3/6 dentro do alvo" superestima o desempenho e nomear o defeito mais grave. Evidência esperada: explicação. Rubrica: 3 = o I3 foi contado no prazo sem justificativa; o I5 nem foi tomado (risco para um cliente crítico); o I4 sem dono; o mais grave é o I5 ou o I3, com raciocínio; 2 = lista os defeitos sem julgamento; 1 = aceita 3/6; 0 = nada.

EX047 — Acrescente uma regra de qualidade. Objetivo: codificar outra verificação. Insumos: Laboratório 10. Passos: acrescentar as colunas safety e consulted; sinalizar qualquer decisão relacionada à segurança cujo dono não seja o gerente de operações e em que o gerente de operações não tenha sido consultado; testar com as seis linhas originais mais uma linha inventada em que o líder de segurança decide isolar uma estação sem consultar as operações; mostrar a saída. Evidência esperada: código e saída. Rubrica: 3 = colunas preenchidas em todas as linhas, regra restrita às decisões de segurança, a linha inventada sinalizada e o I3 (de dono das operações) não sinalizado, com esse resultado explicado; 2 = a regra sinaliza toda linha sem entrada de consultado; 1 = apenas a regra; 0 = nada.

EX048 — Resolva o I4. Objetivo: aplicar a seção 10.2. Insumos: a linha do I4 e a RACI do Capítulo 6. Passos: preencher a tabela de resolução de problemas para a declaração provisória. Evidência esperada: uma linha da tabela, com hipóteses. Rubrica: 3 = pelo menos duas hipóteses, evidência (a RACI não tinha A para a declaração pública), causa, correção (diretor-presidente A, comunicação R, modelo), verificação (próximo exercício); 2 = sem verificação; 1 = "a comunicação foi lenta"; 0 = nada.

EX049 — Diagnostique a informação desatualizada. Objetivo: reconhecer a deterioração. Insumos: num incidente, o número do hospital para fora do horário caiu numa linha desligada. Passos: propor uma análise de causa e uma correção duradoura. Evidência esperada: análise e correção. Rubrica: 3 = causa: nenhum dono nem calendário para a verificação dos contatos; correção: ligações de teste trimestrais com dono, atualização nas reorganizações do hospital, segunda via de contato; métrica de verificação; 2 = atualização pontual; 1 = culpa; 0 = nada.

EX050 — Encerre as ações. Objetivo: desenhar o acompanhamento das ações corretivas. Insumos: as três correções da seção 10.4. Passos: escrever um log de ações com dono, prazo, evidência de encerramento e método de verificação. Evidência esperada: log. Rubrica: 3 = cada uma tem um dono com autoridade, data realista, evidência de encerramento distinta da declaração do dono e verificação num exercício ou revisão posterior; 2 = sem verificação; 1 = apenas a lista; 0 = nada.

Síntese do capítulo

Os programas de coordenação falham de maneiras reconhecíveis — lacunas de titularidade, responsabilidade duplicada, informação desatualizada, controles de papel, gargalos, deterioração das ações e rapidez sem qualidade. Resolva-as como falhas, do sintoma às hipóteses e evidências até a causa, sem culpa. Meça a qualidade das decisões, não só a rapidez, e encerre as ações corretivas apenas com evidências verificadas.