Uma empresa aérea pode possuir certificado válido, manuais aprovados, treinamentos registrados, auditorias realizadas e uma estrutura formal de segurança operacional. Ainda assim, pode permitir que riscos importantes permaneçam sem tratamento efetivo.
Essa aparente contradição ajuda a entender por que organizações consideradas regulares continuam expostas a acidentes. A existência de documentos demonstra que determinadas exigências formais foram atendidas. Não comprova, isoladamente, que a segurança esteja incorporada às decisões diárias.
O Sistema de Gerenciamento da Segurança Operacional (SGSO) não foi concebido como uma coleção de formulários. Ele deve funcionar como um processo vivo de identificação de perigos, avaliação de riscos, implantação de defesas e verificação contínua dos resultados.
Quando esse processo perde contato com a realidade da operação, surge o que podemos chamar de SGSO de papel: o sistema existe administrativamente, mas sua capacidade de interromper a deterioração da segurança é limitada.
O que realmente caracteriza um SGSO
A Agência Nacional de Aviação Civil define o SGSO como um método sistemático e integrado que envolve estrutura organizacional, responsabilidades, políticas e procedimentos destinados à manutenção da segurança operacional em nível aceitável.
A Organização da Aviação Civil Internacional estrutura o sistema em quatro componentes:
política e objetivos de segurança;
gerenciamento dos riscos;
garantia da segurança;
promoção da segurança.
Esses componentes dependem uns dos outros. Não basta declarar uma política de segurança se os riscos identificados não recebem recursos. Não basta receber reportes se eles são arquivados sem análise. Também não basta promover cursos se o ambiente operacional recompensa justamente os comportamentos que o treinamento procura evitar.
O SGSO começa a funcionar de verdade quando a organização transforma informação em decisão. Se uma anomalia é registrada repetidamente, alguém precisa investigar sua recorrência, avaliar sua gravidade e acompanhar a eficácia das medidas adotadas.
Conformidade não é sinônimo de segurança
Uma auditoria normalmente verifica documentos, processos, amostras e evidências disponíveis em determinado período. Isso é indispensável, mas possui limites.
Uma empresa pode demonstrar que existe um procedimento e, ao mesmo tempo, conviver com sua aplicação irregular. Pode apresentar registros de treinamento sem verificar se o conteúdo produziu competência prática. Pode possuir um canal de reporte que os empregados evitam usar por medo, descrença ou receio de consequências profissionais.
Por isso, conformidade e desempenho precisam ser avaliados conjuntamente.
A conformidade pergunta: o procedimento existe?
A segurança operacional pergunta: o procedimento funciona, é respeitado e controla o risco para o qual foi criado?
Essa diferença é fundamental. Um manual impecável não compensa uma cultura que normaliza atalhos. Uma matriz de risco bem elaborada não protege a operação quando perigos conhecidos recebem classificações convenientes apenas para evitar custos, atrasos ou mudanças de planejamento.
A lenta normalização do desvio
Organizações raramente abandonam seus padrões de uma só vez. A deterioração costuma ocorrer gradualmente.
Primeiro aparece uma exceção considerada justificável. Depois, a mesma exceção é repetida. Como nada grave acontece imediatamente, o desvio passa a ser interpretado como aceitável. Com o tempo, aquilo que era excepcional transforma-se em prática informal.
Esse processo pode aparecer de várias maneiras:
falhas que voltam a ocorrer sem solução definitiva;
manutenção adiada repetidamente dentro de interpretações cada vez mais permissivas;
treinamentos tratados como obrigação burocrática;
pressão para cumprir a programação apesar de sinais de risco;
reportes que não produzem retorno aos profissionais;
escalas legalmente possíveis, mas operacionalmente desgastantes;
gestores avaliados apenas por regularidade, produtividade ou custo;
diferenças crescentes entre o procedimento escrito e o trabalho real.
O problema não está apenas no desvio individual. Está na capacidade da organização de detectá-lo, compreender suas causas e impedir que ele se torne parte do sistema.
A fadiga do tripulante como teste de realidade do SGSO
A fadiga é um dos exemplos mais claros da distância que pode existir entre regularidade formal e segurança efetiva.
Uma escala pode respeitar limites prescritivos e, ainda assim, produzir elevado desgaste quando se consideram madrugadas sucessivas, mudanças de horário, jornadas irregulares, múltiplas etapas, tempo de deslocamento, sono insuficiente, carga de trabalho e perturbação do ritmo circadiano.
O Sindicato Nacional dos Aeronautas (SNA) tem produzido documentos e levantamentos sobre o tema. No Relatório de Fadiga, a entidade disponibiliza resultados gerais e recortes referentes a pilotos, comissários e empresas. Em manifestação apresentada no debate sobre o RBAC 117, o sindicato informou ter reunido uma amostra superior a quatro mil aeronautas e defendeu que a regulação da fadiga considere princípios científicos e a experiência operacional dos tripulantes.
Em publicação de 2023 baseada nessa pesquisa, o SNA informou que 87,32% dos participantes disseram sentir fadiga durante as operações. Desse conjunto, 16,27% relataram a percepção uma vez por semana, 27,97% duas vezes e 43,08% três ou mais vezes por semana. Esses resultados representam a pesquisa da entidade sindical e não devem ser confundidos com estatística oficial de acidentes ou com conclusão de investigação aeronáutica. Ainda assim, constituem um importante sinal de exposição operacional que merece análise.
O Guia de Reporte de Fadiga, também publicado pelo SNA, destaca que a ausência de reportes dificulta a identificação de tendências e reduz a eficácia do gerenciamento do risco. O documento apresenta o reporte como parte de uma responsabilidade compartilhada: o tripulante precisa comunicar sua condição, enquanto a organização precisa possuir um ambiente confiável para receber, analisar e responder à informação.
O Relatório FRMS dos Aeronautas — Parte II, elaborado com participação do SNA, associações de tripulantes e pesquisador ligado à Universidade de São Paulo, propõe uma abordagem científica para o gerenciamento do risco da fadiga. O documento trata de fatores como jornadas, trabalho em horários biologicamente desfavoráveis, deslocamentos e necessidade de medidas de mitigação.
Esses materiais ajudam a demonstrar um ponto central: a fadiga não pode ser reduzida à resistência pessoal do piloto ou do comissário. Ela é um risco sistêmico. Precisa ser tratada por meio de dados, reportes, desenho de escalas, análise de tendências, participação dos trabalhadores e verificação da eficácia das medidas adotadas.
Se os reportes se acumulam, mas as escalas permanecem inalteradas, o sistema não está aprendendo. Se o profissional teme declarar fadiga, o canal formal existe, mas sua utilidade operacional está comprometida. Se a empresa observa apenas se a jornada está dentro do limite máximo, deixa de analisar a exposição real ao risco.
Indicadores que aparecem antes do acidente
Um SGSO eficaz não espera a ocorrência grave para reconhecer a deterioração. Ele trabalha principalmente com sinais antecedentes.
Entre os indicadores que merecem acompanhamento estão:
aumento de reportes de fadiga;
afastamentos e dificuldades recorrentes de composição de escala;
repetição de panes ou anotações técnicas semelhantes;
crescimento de itens diferidos de manutenção;
resultados insatisfatórios em treinamento e verificações;
instabilidade no quadro de pilotos, mecânicos e gestores;
ocorrências operacionais de baixa gravidade com características repetidas;
aumento de extensões de jornada;
concentração de eventos em determinadas bases, rotas, horários ou tipos de operação;
demora na implantação de ações corretivas;
recorrência de não conformidades já consideradas encerradas.
Esses elementos não provam, isoladamente, que uma empresa esteja insegura. Funcionam como sinais que precisam ser cruzados, contextualizados e investigados.
Uma organização madura não procura apenas confirmar que continua regular. Ela procura descobrir onde suas defesas estão ficando mais fracas.
O silêncio também produz informação
Um número reduzido de reportes não significa necessariamente uma operação sem perigos. Pode indicar que os profissionais não confiam no sistema.
Quando um empregado relata um problema e não recebe retorno, aprende que reportar não produz mudança. Quando se sente exposto ou ameaçado, aprende que o silêncio é mais seguro para sua carreira. Quando a chefia interpreta todo relato como falta de comprometimento, a organização perde uma de suas principais fontes de informação preventiva.
A cultura justa não significa ausência de responsabilização. Erros involuntários, decisões tomadas sob condições complexas, negligência e violações deliberadas não são situações equivalentes. O sistema deve distingui-las com critérios claros.
Sem essa distinção, surgem dois extremos igualmente perigosos: a punição automática, que destrói a confiança, e a tolerância indiscriminada, que normaliza o descumprimento.
Segurança exige independência e recursos
O setor responsável pelo SGSO precisa possuir acesso à direção, competência técnica, proteção institucional e recursos compatíveis com a complexidade da operação.
Quando a área de segurança depende da aprovação daqueles cujas decisões precisa questionar, sua independência pode tornar-se apenas nominal. Quando não possui pessoal suficiente para analisar dados, acompanhar ações corretivas e observar a operação, transforma-se em produtora de relatórios.
O gestor responsável também precisa compreender que segurança operacional não é uma atribuição exclusiva do departamento de safety. Decisões comerciais, financeiras, operacionais, trabalhistas e de manutenção alteram o nível de risco.
Se a organização reduz efetivos, amplia utilização de aeronaves, modifica escalas ou adia investimentos, o SGSO deve avaliar as consequências dessas mudanças antes que elas sejam absorvidas silenciosamente pela rotina.
O papel da fiscalização
A autoridade reguladora não deve limitar sua atuação à confirmação de que os documentos exigidos foram apresentados. A supervisão precisa avaliar se o sistema demonstra capacidade real de identificar perigos e controlar riscos.
Isso exige fiscalização baseada em risco, análise de tendências, cruzamento de informações e acompanhamento das ações corretivas. Também exige inspetores qualificados, continuidade institucional e recursos tecnológicos e humanos.
Uma não conformidade não está verdadeiramente encerrada porque recebeu uma resposta administrativa. Ela somente pode ser considerada controlada quando a solução foi implantada, verificada e demonstrou eficácia.
Na fadiga, por exemplo, a fiscalização precisa observar mais do que os limites máximos de jornada. Deve considerar a qualidade do sistema de reportes, o funcionamento do gerenciamento do risco, a participação dos tripulantes, a análise científica das escalas e as medidas adotadas diante das tendências identificadas.
Como reconhecer um SGSO vivo
Um SGSO funcional deixa marcas perceptíveis na organização:
reportes produzem investigação e retorno;
perigos recorrentes recebem prioridade;
decisões de segurança possuem responsáveis e prazos;
ações corretivas são verificadas depois de implantadas;
trabalhadores conseguem comunicar riscos sem medo;
a direção aceita interromper ou modificar uma operação;
indicadores são analisados por tendência, e não isoladamente;
alterações operacionais passam por gerenciamento de mudança;
produtividade nunca é utilizada para neutralizar evidências de risco.
O sistema funciona quando tem autoridade para contrariar a conveniência do momento.
Conclusão
Empresas aparentemente regulares podem caminhar para o acidente quando confundem documentação com controle de risco. O certificado, o manual e a auditoria são necessários, mas não substituem a observação crítica da operação real.
A fadiga dos tripulantes mostra com clareza essa diferença. Não basta cumprir limites numéricos ou disponibilizar um formulário. É necessário estimular reportes, proteger quem comunica, analisar tendências, rever escalas e comprovar que as medidas de mitigação funcionam.
O acidente não começa necessariamente no último voo. Muitas vezes, começa meses ou anos antes, quando sinais conhecidos deixam de incomodar, os desvios passam a parecer normais e o SGSO perde a capacidade de transformar informação em ação.
Um sistema de segurança só é verdadeiro quando consegue interferir na operação antes que a realidade imponha a sua própria auditoria.
Marcuss Silva Reis
Piloto Comercial de asas fixas | Instrutor de escolas de aviação civil | Professor universitário de Ciências Aeronáuticas | Perito judicial em aviação | Economista | Pós-graduado em Ciências Aeronáuticas, Segurança da Aviação Civil e Docência do Ensino Superior | Técnico em Óptica
Fundador do Instituto do Ar
