Opinião: A ANAC foi enganada pela Voepass — mas quem fiscaliza não pode apenas confiar em documentos

Assisti atentamente à entrevista concedida pelo diretor-presidente da Agência Nacional de Aviação Civil (ANAC) ao Fantástico, exibida em 26 de julho de 2026, sobre o acidente com o voo 2283 da Voepass. Entre todas as declarações, uma delas merece reflexão profunda: segundo o dirigente, a empresa encaminhava informações falsas à agência e declarava documentalmente a realização de serviços que, na prática, não teriam sido executados.

O presidente chegou a reconhecer que o corpo técnico da ANAC foi enganado porque analisou documentos que não correspondiam à realidade. A afirmação é gravíssima. Ela não envolve apenas uma possível irregularidade administrativa. Coloca em discussão a confiabilidade de todo um sistema de vigilância baseado, em parte, nas informações fornecidas pelo próprio operador fiscalizado.

Mas essa explicação também produz uma pergunta inevitável: diante de não conformidades recorrentes, de registros problemáticos e de sinais que apontavam para uma cultura organizacional fragilizada, por que o sistema de fiscalização não elevou o nível de controle antes do acidente?

Infelizmente, as respostas apresentadas pelo presidente da ANAC na entrevista não satisfazem a quem conhece desse riscado. Elas explicam que a agência teria sido enganada por documentos incompatíveis com a realidade, mas não esclarecem por que a recorrência das não conformidades não levou, em tempo oportuno, ao aumento das inspeções presenciais, à verificação física dos serviços declarados e à adoção de medidas operacionais mais rigorosas.

A empresa pode ter enganado a agência, mas isso não encerra a discussão

É necessário manter a prudência jurídica. A declaração do presidente da ANAC permite afirmar que, segundo a própria agência, a Voepass apresentou informações e documentos que não refletiam os serviços efetivamente realizados. Entretanto, a caracterização jurídica de fraude, falsidade documental ou responsabilidade criminal dependerá das investigações conduzidas pelas autoridades competentes.

Também não seria correto afirmar que a ANAC nada fez. O Relatório Final do Centro de Investigação e Prevenção de Acidentes Aeronáuticos (CENIPA) reconheceu a existência de fiscalizações, notificações e medidas sancionatórias. Posteriormente, a agência suspendeu cautelarmente as operações da Voepass em 11 de março de 2025 e cassou, em 24 de junho daquele ano, o Certificado de Operador Aéreo da Passaredo Transportes Aéreos, principal empresa do grupo.

O problema está na linha do tempo. Essas medidas mais severas foram adotadas depois do acidente de 9 de agosto de 2024. A questão que permanece não é se a ANAC agiu em algum momento, mas se reagiu com a intensidade e a antecedência exigidas pelos sinais que já estavam disponíveis.

Fiscalização eletrônica não pode ser confundida com confiança eletrônica

A digitalização é indispensável para a aviação moderna. Relatórios eletrônicos, sistemas de gerenciamento, bancos de dados e auditorias remotas permitem acompanhar uma quantidade enorme de informações com rapidez. O erro começa quando o documento digital deixa de ser uma fonte de informação e passa a ser tratado como prova suficiente de que o serviço foi realizado.

Fiscalizar não significa apenas receber uma declaração de conformidade. Significa verificar se a realidade operacional corresponde ao que foi declarado.

Se um operador informa que uma peça foi substituída, a supervisão precisa ser capaz de confirmar, por amostragem ou diante de fatores de risco, a existência da peça instalada, sua rastreabilidade, o número de série, a ordem de serviço, a liberação para retorno ao serviço e a coerência entre os registros de manutenção.

Quando aparecem reincidências, divergências ou uma concentração anormal de falhas, a resposta regulatória precisa mudar. O controle meramente documental deve dar lugar a inspeções presenciais mais frequentes, verificações não anunciadas, cruzamento de dados e acompanhamento direto das atividades de manutenção e operação.

Uma fiscalização baseada em risco não pode apenas acumular não conformidades. Ela precisa interpretar o padrão formado por elas.

Os sinais não surgiram de uma única vez

O Relatório Final do CENIPA descreveu uma cultura de informalidade e de normalização de desvios na Voepass. Problemas técnicos nem sempre eram devidamente registrados, práticas informais alcançavam diferentes setores e a supervisão gerencial não conseguiu impedir a degradação progressiva das barreiras de segurança.

O CENIPA também apontou deficiência na supervisão exercida pela autoridade reguladora. Segundo a investigação, condições latentes já identificadas não foram adequadamente aproveitadas no processo de gerenciamento de risco, e houve insuficiência de supervisão sobre as práticas informais existentes no operador.

Esse aspecto é fundamental. Um documento falso pode enganar um fiscal em uma verificação isolada. Entretanto, sucessivas não conformidades, falhas repetidas, registros incoerentes e desempenho muito diferente do observado em empresas equivalentes deveriam produzir um alerta sistêmico.

Segundo dados apresentados na reportagem do Fantástico e reproduzidos por outros veículos, em 2023 a Voepass teria concentrado 82% das falhas apontadas pela ANAC, embora representasse somente 0,6% dos voos realizados no país. A reportagem também informou que a empresa teria recebido dez notificações relacionadas ao sistema de degelo entre 2022 e 2024. Esses números precisam ser lidos dentro de sua metodologia e contexto, mas, se confirmados dessa forma, constituíam um sinal estatístico extraordinariamente desproporcional.

Não se tratava apenas de perguntar se cada formulário estava preenchido. Era necessário perguntar por que uma empresa com participação operacional tão pequena concentrava parcela tão elevada das ocorrências identificadas pela fiscalização.

O regulador não pode depender exclusivamente da boa-fé do regulado

Todo sistema regulatório pressupõe algum grau de declaração por parte das empresas. Seria impraticável manter um fiscal ao lado de cada mecânico, em cada inspeção e durante cada voo. Isso não significa, contudo, que o Estado possa transferir ao operador a responsabilidade de validar sozinho a própria conformidade.

Quanto maior a recorrência das irregularidades, menor deve ser o grau de confiança automática e maior deve ser a intensidade da verificação independente.

Esse é o princípio básico da fiscalização baseada em risco: empresas com histórico consistente de conformidade podem ser acompanhadas dentro de determinado nível de supervisão; empresas que apresentam reincidências, inconsistências ou indicadores anormais precisam ser submetidas a um regime de vigilância mais rigoroso.

A afirmação de que a ANAC foi enganada explica como determinadas análises podem ter sido comprometidas. Não explica, por si só, por que os mecanismos de detecção não identificaram mais cedo que os documentos apresentados não correspondiam à condição real das aeronaves.

Na prática, a declaração do presidente não reduz a gravidade da deficiência regulatória. Ela demonstra que o modelo utilizado não possuía barreiras suficientes para detectar a quebra de confiança documental.

A pergunta que precisa ser respondida

Depois da entrevista, algumas questões permanecem abertas:

• Em que momento a ANAC percebeu que havia documentos incompatíveis com os serviços efetivamente realizados?

• Quantos registros com informações falsas foram identificados?

• Quais providências administrativas e legais foram adotadas após essa constatação?

• Houve comunicação dos fatos à Polícia Federal, ao Ministério Público ou a outros órgãos competentes?

• Por que a reincidência das não conformidades não provocou, antes do acidente, uma escalada mais rápida das restrições operacionais?

• Os sistemas eletrônicos utilizados pela agência permitiam cruzar os dados de manutenção, operação, falhas recorrentes e desempenho do operador?

Responder a essas perguntas não significa antecipar culpa nem transformar uma investigação de segurança em julgamento. Significa avaliar se o sistema regulatório brasileiro possui capacidade de reconhecer a degradação de uma organização antes que suas últimas barreiras sejam ultrapassadas.

A suspensão posterior não substitui a prevenção anterior

A suspensão cautelar das operações e a posterior cassação do certificado foram medidas severas. Elas demonstram que a ANAC possui instrumentos para intervir quando identifica a perda da capacidade do operador de manter os padrões exigidos.

O desafio é fazer com que esses instrumentos funcionem preventivamente. Em segurança de voo, agir depois de uma tragédia pode impedir a repetição imediata, mas não recupera a oportunidade de interromper a cadeia de eventos anteriormente.

O objetivo da fiscalização não é produzir relatórios, acumular autos de infração ou demonstrar conformidade burocrática. Sua finalidade é garantir que a empresa tenha capacidade real e contínua de operar dentro de níveis aceitáveis de segurança.

Conclusão: documento eletrônico não mantém aeronavegabilidade

Se a empresa apresentou informações falsas, como declarou o presidente da ANAC, estamos diante de uma ruptura gravíssima da confiança regulatória. Mas a segurança da aviação não pode depender apenas da honestidade documental de quem está sendo fiscalizado.

Um sistema robusto trabalha com confiança, mas também com verificação. Recebe dados, mas cruza informações. Analisa documentos, mas inspeciona a realidade. E, diante da recorrência, deixa de tratar cada desvio como um fato isolado para reconhecer o padrão organizacional que está se formando.

A empresa precisa responder pelas informações que forneceu e por suas práticas de operação e manutenção. A autoridade reguladora, por sua vez, precisa explicar por que os sinais acumulados não produziram uma intervenção suficientemente eficaz antes do acidente.

Ser enganado pode explicar uma falha pontual. Não pode se transformar em resposta definitiva quando a própria recorrência das não conformidades indicava que já não era prudente apenas confiar.

---

Marcuss Silva Reis
Piloto Comercial de asas fixas | Instrutor de escolas de aviação civil | Professor universitário de Ciências Aeronáuticas | Perito em aviação | Economista | Pós-graduado em Ciências Aeronáuticas, Segurança da Aviação Civil e Docência do Ensino Superior | Técnico em Óptica
Fundador do Instituto do Ar

Fontes consultadas

• UOL/Estadão — “Voepass nos enviava informações falsas”, diz diretor-presidente da ANAC

• ANAC — recebimento e análise do Relatório Final do CENIPA

• ANAC — suspensão cautelar das operações da Voepass

• ANAC — cassação do Certificado de Operador Aéreo da Passaredo

• Reuters — relatório cita gelo, ações da tripulação, cultura de segurança e supervisão regulatória

• Sindicato Nacional dos Aeronautas — análise do Relatório Final e fiscalização das operações

Opinião: o fim das estruturas dos aeroclubes e o empobrecimento da formação aeronáutica no Brasil

 

Durante grande parte do século XX, o caminho de entrada na aviação brasileira passava quase obrigatoriamente por um aeroclube. Era ali que o jovem conhecia o avião de perto, conversava com pilotos experientes, acompanhava a manutenção, aprendia a respeitar a meteorologia e começava a compreender que voar não era apenas movimentar comandos. Era ingressar em uma cultura.

Essa estrutura foi sendo desmontada silenciosamente.

Os aeroclubes não desapareceram por força de uma única decisão, nem todos encerraram suas atividades. Instituições tradicionais continuam formando pilotos e algumas conseguiram modernizar sua gestão. O que praticamente chegou ao fim foi o antigo sistema nacional de aeroclubes: uma rede capilarizada, associativa e relativamente acessível, presente em diferentes regiões e capaz de formar pilotos, instrutores, mecânicos e lideranças para toda a aviação brasileira.

O país preservou parte dos nomes, mas perdeu grande parte da estrutura que dava sentido a eles.

O aeroclube era muito mais que uma escola

O próprio Código Brasileiro de Aeronáutica define o aeroclube como uma sociedade civil com patrimônio e administração próprios, destinada principalmente ao ensino e à prática da aviação civil, além de atividades aeronáuticas de caráter desportivo e social.

Na prática, o aeroclube cumpria uma função ainda maior. Ele reunia escola, hangar, oficina, aeronaves, instrutores, pilotos veteranos, alunos e comunidade. O estudante não comprava apenas uma hora de voo. Permanecia no ambiente, observava outras operações, ouvia relatos, participava de palestras e aprendia com os erros e acertos de diferentes gerações.

Foi nesse ambiente que muitos comandantes da aviação comercial, executiva e agrícola começaram suas carreiras. Também foi nele que inúmeros instrutores conquistaram experiência e que cidades do interior mantiveram algum vínculo permanente com a aviação.

Como piloto e antigo instrutor de escola de aviação civil, vivi parte dessa realidade. A formação não acontecia somente dentro da cabine. Ela continuava no pátio, no hangar, na sala de operações e nas conversas após o voo.

Havia falhas, improvisações e práticas que hoje não devem ser romantizadas. Entretanto, existia uma comunidade aeronáutica que ajudava a formar julgamento, disciplina e identidade profissional.

Como essa estrutura foi enfraquecida

Não existe uma causa isolada. O enfraquecimento dos aeroclubes brasileiros resultou da combinação de fatores econômicos, patrimoniais, regulatórios e administrativos.

Custos incompatíveis com a função social

A instrução de voo tornou-se progressivamente mais cara. Combustível, peças importadas, motores, seguros, manutenção, hangaragem e taxas pressionam uma operação que já possui margens estreitas.

Uma associação sem fins lucrativos dificilmente consegue formar reservas suficientes para renovar sua frota ou absorver uma grande manutenção não programada.

Quando uma aeronave para, o aeroclube perde receita justamente no momento em que mais precisa de recursos. Se a frota é pequena, a indisponibilidade de um único avião compromete horários, alunos, instrutores e fluxo de caixa.

Forma-se um ciclo conhecido: aeronaves antigas exigem mais manutenção; a menor disponibilidade reduz a receita; a falta de receita adia investimentos; e a estrutura se deteriora ainda mais.

Envelhecimento da frota

Durante décadas, muitos aeroclubes operaram aeronaves robustas, porém progressivamente envelhecidas. Antiguidade, por si só, não torna uma aeronave insegura quando ela é corretamente mantida.

O problema aparece quando a idade da frota se encontra com a dificuldade de obter componentes, oficinas, motores, mão de obra especializada e recursos para grandes revisões.

O Brasil não estruturou uma política contínua de financiamento para renovação das aeronaves de instrução. Um relatório produzido pelo Senado em 2013 já recomendava a criação de programas de fomento, bolsas de formação e financiamento para aeronaves e equipamentos. O diagnóstico envelheceu; grande parte da frota também. Senado Federal — relatório sobre a aviação civil.

Perda de espaço nos aeroportos

Muitos aeroclubes nasceram quando os terrenos aeroportuários estavam afastados das áreas urbanizadas. As cidades cresceram, os imóveis se valorizaram e o espaço ocupado pela aviação de instrução passou a ser visto principalmente sob uma lógica comercial.

Concessões aeroportuárias, mudanças administrativas, disputas patrimoniais, reajustes de ocupação e diferentes prioridades deixaram entidades historicamente instaladas em posições frágeis.

Um aeroclube sem segurança de permanência dificilmente investe em hangares, salas de aula, oficinas ou aeronaves. Sem horizonte, administra apenas a sobrevivência do mês seguinte.

Regulação mais profissional, porém onerosa

Atualmente, uma pessoa jurídica que pretenda oferecer os cursos previstos nos RBAC nº 61, 63 ou 65 deve, ressalvadas as exceções regulamentares, ser certificada como Centro de Instrução de Aviação Civil — CIAC.

O RBAC nº 141 estabelece requisitos relacionados a programas de instrução, manuais, registros, instalações, aeronaves, pessoal qualificado, garantia da qualidade e gerenciamento da segurança operacional. ANAC — RBAC nº 141.

Essas exigências possuem fundamento legítimo. Formação de pilotos requer padronização, rastreabilidade e controle de segurança. Seria errado defender um retorno à informalidade.

O problema está em exigir modernização organizacional sem criar mecanismos para que entidades históricas, descapitalizadas e com patrimônio deteriorado consigam realizar essa transição.

Regulação de segurança não deveria significar abandono institucional. O Estado pode fiscalizar com rigor e, simultaneamente, formular políticas que preservem a capacidade nacional de formação.

A ausência de uma política continuada

Talvez este seja o ponto mais grave: o Brasil deixou de tratar os aeroclubes como parte estratégica da formação de mão de obra aeronáutica.

Durante anos, discutimos uma possível escassez de pilotos, mecânicos e instrutores sem proteger adequadamente a base em que muitos desses profissionais eram preparados.

Em audiência realizada no Senado em 8 de abril de 2025, o ministro de Portos e Aeroportos afirmou que o governo trabalhava em um programa de fortalecimento dos aeroclubes brasileiros. O reconhecimento foi positivo, mas precisa resultar em metas, orçamento, critérios transparentes e continuidade. Senado Federal — audiência de 8 de abril de 2025.

O setor já recebeu diagnósticos suficientes. O que falta é uma política de Estado capaz de sobreviver às mudanças de governo.

A escola privada ocupou espaço, mas não substituiu o ecossistema

As escolas privadas passaram a desempenhar papel indispensável na formação aeronáutica. Muitas operam com boa gestão, frota disponível, processos padronizados e foco profissional.

A crítica ao desaparecimento da antiga rede de aeroclubes não deve ser confundida com uma crítica à iniciativa privada.

O ponto é outro: uma empresa vende um serviço de instrução. Um aeroclube, quando corretamente administrado, pode oferecer também associativismo, convivência entre gerações, iniciação aeronáutica, atividades desportivas, preservação histórica e ligação com a comunidade.

Quando o aluno chega minutos antes da missão e vai embora imediatamente depois do corte do motor, ele pode receber treinamento tecnicamente adequado, mas perde parte da vivência que anteriormente acontecia de maneira espontânea.

A formação torna-se uma sequência de horas contratadas. Aprende-se a cumprir o programa, mas nem sempre há tempo ou ambiente para construir pertencimento à aviação.

Essa diferença não é meramente romântica. Ela pode ter reflexos na cultura de segurança. Julgamento aeronáutico também se desenvolve pela observação, pela troca de experiências e pela convivência com profissionais que se encontram em diferentes fases da carreira.

O prejuízo vai além do preço da hora de voo

O enfraquecimento dos aeroclubes reduz as portas de entrada para jovens do interior e concentra a formação em determinados centros. Aumenta a distância entre o sonho de voar e a possibilidade econômica de realizá-lo.

Também reduz espaços destinados à formação inicial de instrutores e à preservação de modalidades como voo a vela, paraquedismo, aeromodelismo e aviação desportiva.

Existe ainda uma perda de infraestrutura estratégica. Um aeródromo ativo, com hangares, abastecimento, manutenção e movimento de instrução, pode servir à aviação geral, às operações médicas, aos órgãos públicos e ao desenvolvimento regional.

Quando a atividade desaparece, a pista pode continuar fisicamente existente, mas o ecossistema que a tornava útil começa a morrer.

Não se trata de reconstruir o passado

Salvar os aeroclubes não significa devolver aeronaves antigas, tolerar improvisações ou reproduzir modelos administrativos que já demonstraram limitações. A recuperação precisa olhar para o futuro.

Uma política séria deveria incluir:

• segurança jurídica para ocupação das áreas aeroportuárias;
• financiamento condicionado à boa governança;
• renovação e padronização das aeronaves;
• estímulo ao emprego de simuladores;
• formação de gestores e instrutores;
• estruturas compartilhadas de manutenção;
• bolsas com critérios técnicos e sociais;
• integração com escolas técnicas e universidades;
• fiscalização proporcional ao risco, sem flexibilizar requisitos essenciais de segurança.

O apoio público não pode funcionar como cheque em branco. Aeroclubes beneficiados precisam apresentar contas, indicadores de disponibilidade, resultados de formação, conformidade regulatória e desempenho de segurança.

Preservar uma instituição histórica não significa protegê-la da responsabilidade administrativa.

Também seria possível desenvolver redes regionais. Nem todo aeroclube precisa possuir isoladamente todos os equipamentos, cursos e oficinas. Consórcios poderiam compartilhar simuladores, manutenção, compras, treinamento de instrutores e programas de segurança, reduzindo custos sem eliminar a identidade local.

Conclusão

O fim das estruturas dos aeroclubes brasileiros não aconteceu em uma data determinada. Foi um processo lento, produzido por custos crescentes, envelhecimento da frota, insegurança patrimonial, mudanças regulatórias e ausência de uma política pública duradoura.

Alguns aeroclubes sobreviveram e demonstram que o modelo ainda pode funcionar. Entretanto, sobrevivência isolada não equivale à existência de um sistema nacional. O Brasil possui instituições resistentes, mas já não conta com a rede ampla e acessível que sustentou grande parte de sua formação aeronáutica.

O prejuízo não pertence apenas aos saudosistas. Ele alcança a segurança operacional, a formação profissional, a aviação regional e a própria capacidade do país de renovar seus quadros.

Um país que deseja ampliar sua aviação precisa cuidar do lugar onde os aviadores começam. Sem uma base forte, toda expansão será mais cara, mais concentrada e mais dependente de soluções improvisadas.

O aeroclube do futuro não deve ser um museu do passado. Deve ser uma instituição moderna, fiscalizada, sustentável e novamente reconhecida como parte estratégica da aviação brasileira.

Marcuss Silva Reis
Piloto Comercial de asas fixas | Instrutor de escolas de aviação civil | Professor universitário de Ciências Aeronáuticas | Perito judicial em aviação | Economista | Pós-graduado em Ciências Aeronáuticas, Segurança da Aviação Civil e Docência do Ensino Superior | Técnico em Óptica
Fundador do Instituto do Ar

5年を隔てた二つの事故――LAPA 3142便とVOEPASS 2283便が示す「破られた安全防護」

 

1999年のLAPA 3142便事故と、2024年のVOEPASS 2283便事故の間には、ほぼ25年の歳月がある。

この間、航空機の技術、乗員訓練、安全管理システム（SMS）、運航監視、整備管理、規制当局の監督手法は大きく進歩した。それでも二つの事故は、重要な警告を航空安全の世界に突きつけている。

技術や規則が存在していても、手順が形骸化し、警報が軽視され、組織の中で逸脱が許容されるようになれば、安全防護は機能しなくなる。

二つの事故の直接的なメカニズムは異なる。しかし、安全を守るはずだった複数の防護層が徐々に破られていったという点では、驚くほど共通している。

技術的には異なる二つの事故

LAPA 3142便：フラップを展開しないまま離陸を開始

1999年8月31日、アルゼンチンの航空会社LAPAが運航する3142便は、ブエノスアイレスからコルドバへ向かう予定だった。

使用機はボーイング737-204C、登録記号LV-WRZだった。乗員は離陸前にフラップを所定の位置へ設定しないまま、離陸推力を投入した。

その際、離陸形態警報装置（Takeoff Warning System：TOWS）が作動し、機体が正しい離陸形態になっていないことを知らせた。しかし、乗員は離陸を継続した。

アルゼンチン民間航空事故調査委員会（JIAAC）は、フラップの展開を失念したことと、離陸形態警報を適切に扱わなかったことを事故の直接的原因としている。この事故では、地上の2人を含む65人が死亡した。JIAAC最終報告書

VOEPASS 2283便：着氷、性能低下、制御喪失

2024年8月9日、ブラジルの航空会社VOEPASSが運航する2283便は、カスカヴェルからサンパウロ・グアルーリョスへ向かっていた。

使用機はATR 72-500、登録記号PS-VPBだった。同機は高度約17,000フィートで、強い着氷が予想される気象条件に遭遇した。

ブラジル航空事故調査・防止センター（CENIPA）の最終報告書は、機体除氷システムの不具合、整備上の問題、飛行計画、意思決定、CRM、組織文化、管理監督など、複数の要因を指摘している。

乗員は速度低下や性能劣化を示す複数の警報を受けたが、必要な手順は十分に実行されなかった。機体は失速し、制御を喪失した。搭乗していた62人全員が死亡した。CENIPA英語版最終報告書

航空機は警告していた

LAPA 3142便では、離陸推力を投入した時点でTOWSが作動した。まだ離陸中止が可能な段階で、乗員には操作を止め、機体の状態を確認する機会があった。

VOEPASS 2283便でも、航空機性能監視システム（APM）が低速や性能劣化に関する警報を繰り返し発していた。

つまり、両事故とも航空機の警報システムは危険の存在を示していた。

しかし、警報装置は、それだけで事故を防ぐことはできない。警報が認識され、正確に解釈され、訓練された行動へ直ちに結びついて初めて安全防護として機能する。

過去に同じ警報を経験しても重大な結果が起きなかった場合、乗員や組織は警報に慣れてしまうことがある。異常が日常化し、警戒心が低下するのである。

手順は存在していたが、運航を支配できなかった

LAPAにはチェックリストと離陸中止手順が存在していた。しかし、私的な会話がチェックリストの実施と重なり、操縦室の注意が分散していた。

不要な会話を排除する「ステライル・コックピット」の原則が守られず、フラップ設定の確認が完了しないまま離陸が開始された。

VOEPASSにも、機体除氷システムの不具合やAPM警報に対応するためのクイック・リファレンス・ハンドブック（QRH）があった。CENIPAは、それらの手順が適切に実行されなかったと判断している。

ここに共通するのは、手順の不在ではない。

問題は、承認された手順が実際の運航行動をコントロールする力を失っていたことにある。

航空会社は、完全なマニュアル、最新の訓練記録、承認されたSMSを備えていても、日常の運航がそれらから離れていれば、安全な組織とは言えない。

事故前から重要な情報は存在していた

LAPAの調査では、機長の過去の評価記録に、操縦室内の連携、飛行形態の設定、緊急時の反応、手順の理解などに関する指摘が繰り返し記録されていた。

しかし、それらの情報は、事故便に至る前に十分な是正措置へ結びつかなかった。

VOEPASSでは、機体除氷システムの不具合が事故以前の飛行でも発生していたが、テクニカルログに正式に記録されていなかった。

記録がなければ、整備部門や運航部門は、修理、機材変更、運用許容基準（MEL）の適用、飛行経路の変更といった対策を正式に検討できない。

両事故では、危険を示す情報が事故便以前から存在していた。問題は、その情報を組織として収集し、共有し、評価し、運航上の決定へ変換できなかったことである。

正式な経路を通らない情報は、安全防護として機能しない。

インフォーマルな慣行が安全管理に入り込んだ

LAPAの操縦室音声記録には、飛行と無関係な会話がチェックリストの実施と混在していたことが記録されている。

VOEPASSの報告書は、操縦士、整備士、管理部門など、複数の階層に広がるインフォーマルな組織文化を指摘した。この文化は、柔軟な人間関係を生む一方で、即興的な判断、規則の緩和、正式な記録を避ける行動を許容していた。

良好な人間関係そのものが危険なのではない。

危険なのは、口頭の連絡が正式な整備記録を代替し、個人的な了解がMELや承認手順より優先されることである。

航空安全には信頼が必要だが、同時に追跡可能性も必要である。

逸脱の常態化

CENIPAはVOEPASSについて、「逸脱の常態化（normalization of deviation）」に相当する組織的問題を明確に指摘している。

不適切な行動や警報の軽視が過去に重大な結果を生まなかったため、それらが徐々に許容され、通常の行動として受け入れられていった。

LAPAの報告書は同じ現代的表現を使用していない。しかし、繰り返されていた操縦上の問題、規律の低下、十分でなかったフォローアップは、同様の問いを投げかける。

逸脱の常態化は、一般的に次のように進む。

1. 例外的に規則が省略される
2. 重大な結果が起きない
3. 同じ省略が繰り返される
4. 異常が慣行になる
5. 慣行が安全だと誤認される
6. 最後に残った防護層が破られる

昨日事故が起きなかったことは、今日の運航が安全である証明にはならない。

CRM訓練と実際の操縦室行動

LAPAはCrew Resource Management（CRM）訓練を実施していた。それでも事故便では、注意の分散、不適切なコミュニケーション、クロスチェックの失敗、警報に対する共同対応の欠如が見られた。

VOEPASSでも、CENIPAはタスク管理、乗員間コミュニケーション、脅威への共同対応に問題があったとしている。

CRMは、講習を修了しただけでは成立しない。

その成果は、実際の操縦室で確認されなければならない。

• PFとPMの役割分担が明確か
• モニタリングが継続されているか
• 副操縦士が危険な判断に異議を述べられるか
• 機長が反対意見を受け入れられるか
• どちらかの乗員が不安全な運航を止められるか

訓練記録は資格を証明する。安全文化は、その訓練が実際の行動を変えたかどうかを示す。

管理監督は運航の実態を把握していたか

LAPAでは、過去の評価に複数の問題が記録されていたが、それらが十分な介入へつながらなかった。訓練や審査記録にも不完全な部分があった。

VOEPASSでは、管理監督の不十分さが事故への寄与要因として分類された。運航部門と整備部門のインフォーマルな慣行を抑制できず、逸脱が受け入れられる環境が形成されていた。

管理監督とは、書類がそろっているか確認することだけではない。

重要なのは、実際の運航がどのように行われているかを把握することである。

• シミュレーター外でも手順は守られているか
• 不具合は正式に記録されているか
• 繰り返される警報は調査されているか
• MELは適切に適用されているか
• 訓練で発見された問題は再評価されているか
• 安全上の懸念を報告しやすい環境があるか

書類上の適合性と、実運航上の安全性は必ずしも同じではない。

規制当局に関する重要な違い

二つの報告書は、規制当局の監督について同一の結論を出していない。

VOEPASSの事故では、CENIPAはブラジル国家民間航空庁（ANAC）の対応を寄与要因として分類した。事故前の検査で複数の不適合が確認されていたものの、危険な慣行の継続を防ぐには不十分だったと評価している。

一方、LAPAの報告書は、当時存在していた会社と国家監督機関の規則・手順が遵守されていれば、事故を防止できたとしている。

したがって、規制当局が両事故で同じ役割を果たしたと断定することはできない。

共通しているのは、警報、手順、訓練、記録、監督という複数の防護層が、適切な行動へ結びつかなかったことである。

日本の航空安全コミュニティへの示唆

日本の航空界は、手順遵守、整備品質、報告制度、組織的な安全管理を重視してきた。それでも、LAPAとVOEPASSの教訓は日本と無関係ではない。

高度に規律化された組織でも、次のような兆候には注意が必要である。

• 「以前も問題なかった」という説明
• 同じ警報や不具合への慣れ
• 正式記録より口頭連絡を優先する慣行
• 訓練上の指摘が組織横断的に共有されない状態
• 現場が運航停止を提案しにくい雰囲気
• SMSが書類管理中心になる傾向

安全報告制度、フライトデータモニタリング、整備記録、CRM評価、内部監査は、それぞれを独立させるだけでは不十分である。

複数の情報を結びつけ、事故になる前の「弱い兆候」を発見する能力が求められる。

結論

25年という時間、航空機技術の進歩、規則の強化だけでは、似た組織的失敗を完全に防ぐことはできなかった。

LAPA 3142便では、離陸形態警報が作動した。VOEPASS 2283便では、性能低下を示す警報が繰り返された。どちらの航空機も危険を知らせていた。

しかし、その警告に至る前から、別の警告が組織内部に存在していた。

不完全な記録、繰り返される問題、手順からの逸脱、弱い監督、CRMと実際の行動の乖離である。

最終的な操作上の誤りだけを「原因」として終わらせれば、その誤りを可能にした組織条件は残り続ける。

航空安全の進歩は、新しい技術を導入することだけではない。弱い兆候を見逃さず、不都合な情報を正式に記録し、必要であれば運航を止めることのできる組織をつくることである。

二つの航空機は警告を発していた。より深い問いは、組織がその警告を聞く能力をすでに失っていなかったか、ということである。

---

マーカス・シルバ・レイス（Marcuss Silva Reis）
固定翼事業用操縦士｜民間航空学校教官｜航空科学大学教員｜航空分野の司法鑑定人｜経済学士｜航空科学・民間航空安全・高等教育学の大学院課程修了｜眼鏡光学技術者
Instituto do Ar 創設者

Twenty-Five Years Apart: What LAPA 3142 and Voepass 2283 Reveal About Broken Safety Barriers

 

Nearly 25 years separate the accident involving LAPA Flight 3142 in Argentina from the crash of Voepass Flight 2283 in Brazil. During that period, commercial aviation advanced significantly in aircraft technology, crew training, safety management, data monitoring and regulatory oversight.

Yet both accidents reveal a disturbing reality: technology and regulations cannot prevent an accident when warnings are underestimated, procedures lose their authority and organizational defenses are gradually weakened.

The two events were technically very different. LAPA 3142 involved a Boeing 737-200 attempting to take off without its flaps properly configured. Voepass 2283 involved an ATR 72 operating in severe icing conditions while experiencing problems with its airframe de-icing system.

The similarity is not in the aircraft or the immediate technical mechanism. It is found in the progressive failure of the barriers that should have stopped each accident sequence.

LAPA Flight 3142: a takeoff without flaps

On August 31, 1999, LAPA Flight 3142 was scheduled to operate from Buenos Aires to Córdoba. The aircraft was a Boeing 737-204C, registration LV-WRZ.

During the preparation for departure, the flight crew failed to extend the flaps to the required takeoff position. When takeoff thrust was applied, the Takeoff Warning System — TOWS — generated an aural warning indicating that the aircraft was not correctly configured.

The crew continued the takeoff.

Without the flaps in the planned position, the aircraft could not achieve the expected takeoff performance. The official investigation conducted by Argentina’s Junta de Investigaciones de Accidentes de Aviación Civil — JIAAC — identified the failure to extend the flaps and the crew’s disregard of the configuration warning as the immediate cause of the accident. The event resulted in 65 fatalities, including two people on the ground. JIAAC final report.

The investigation also found that non-operational conversations had been mixed with checklist execution. It described poor cockpit discipline, distraction and the loss of a sterile cockpit environment during a critical phase of flight.

Voepass Flight 2283: icing, degraded performance and loss of control

On August 9, 2024, Voepass Flight 2283 was operating from Cascavel to São Paulo–Guarulhos. The aircraft was an ATR 72-500, registration PS-VPB.

The aircraft encountered atmospheric conditions favorable to severe icing while cruising at Flight Level 170, approximately 17,000 feet. According to Brazil’s Center for Investigation and Prevention of Aeronautical Accidents — CENIPA — the aircraft had experienced problems with its Airframe De-Icing system.

The flight crew received multiple warnings related to low speed and degraded aircraft performance. The required procedures were not adequately carried out, performance continued to deteriorate and the aircraft eventually stalled and entered an unrecoverable loss-of-control sequence.

All 62 occupants were killed.

CENIPA’s final report identified contributing factors involving aircraft maintenance, weather, flight planning, decision-making, cockpit coordination, organizational processes, management supervision, safety culture and the actions of Brazil’s civil aviation regulator, ANAC. CENIPA English-language final report.

Different technical failures, similar organizational patterns

It would be technically incorrect to compare a flap configuration error with an icing-related loss of performance as if they were the same event.

They were not.

The meaningful comparison begins when we examine how each safety system responded before the aircraft reached an irreversible condition.

In both cases:

• relevant warning systems operated;
• established procedures were available;
• trained and licensed crews were in control;
• information existed before the final loss of safety margins;
• organizational oversight should have detected important risks;
• the expected response did not occur;
• successive barriers failed to stop the accident sequence.

This is why describing either event only as “pilot error” produces an incomplete safety analysis.

The aircraft warned the crews

On LAPA 3142, the takeoff configuration warning sounded when thrust was applied. The crew had an opportunity to reject the takeoff, identify the configuration problem and return to the checklist.

On Voepass 2283, the crew received repeated Aircraft Performance Monitoring — APM — warnings related to low speed and degraded performance. CENIPA concluded that the corresponding procedures were not properly followed.

In both events, the aircraft provided information that something was wrong.

Warning systems, however, do not protect an aircraft independently. A warning must be recognized, understood and connected to a trained response.

If recurring alerts are routinely experienced without serious consequences, crews may gradually become less sensitive to them. What was initially recognized as abnormal can begin to feel familiar. Familiarity can then be mistaken for safety.

Procedures existed but no longer controlled the operation

LAPA’s crew had checklists and rejected-takeoff procedures. The checklist was nevertheless conducted amid personal conversations and divided attention. The flap item was not properly completed, and the warning did not produce an immediate rejected takeoff.

Voepass also had procedures for an Airframe De-Icing system fault and for warnings generated by the APM. According to the final report, the applicable Quick Reference Handbook — QRH — procedures were not adequately carried out.

This reveals a common gap between formal compliance and operational reality.

An airline may have complete manuals, approved procedures and current training records while daily operations gradually move away from those standards.

When that happens, the organization described in official documents is no longer the same organization operating the aircraft.

Informality can weaken formal safety defenses

The LAPA cockpit voice recorder revealed personal conversations during preparation, engine start and taxi. Those conversations interfered with checklist discipline and concentration.

In the Voepass investigation, CENIPA described a broader culture of informality affecting different levels and departments. According to the report, this environment created opportunities for improvisation, permissiveness and the relaxation of safety rules.

Informality is not automatically unsafe. Good professional relationships can improve communication and cooperation.

The risk appears when informal practices replace formal safety processes.

A mechanical problem mentioned verbally is not equivalent to a properly documented technical discrepancy. An informal understanding between pilots and maintenance personnel cannot replace an aircraft logbook entry. A friendly organizational environment cannot justify bypassing the Minimum Equipment List — MEL — or an approved operating procedure.

Aviation requires trust, but it also requires traceability.

Critical information existed before both flights

The LAPA investigation reviewed the captain’s professional history and identified previous observations involving cockpit coordination, maneuver configuration, memory items and responses to critical situations.

Those warning signs did not produce a sufficiently effective organizational intervention before Flight 3142.

In the Voepass case, problems involving the Airframe De-Icing system had reportedly appeared on previous flights but were not formally entered in the Technical Logbook. Without that record, the operator lost the opportunity to apply preventive measures such as corrective maintenance, dispatch under MEL restrictions, aircraft substitution or route replanning.

In both cases, safety-relevant information existed before the accident flight.

The central failure was not simply the absence of information. It was the organization’s inability to collect, connect, evaluate and convert that information into preventive action.

Information that does not move through the proper channels cannot function as a safety barrier.

The normalization of deviation

CENIPA’s Voepass report explicitly addressed the normalization of deviations. Repeated warnings and irregular practices that had not previously produced an accident contributed to complacency and reduced risk perception.

The LAPA report did not use that modern safety-management concept in exactly the same way. Nevertheless, the documented repetition of performance concerns, procedural indiscipline and ineffective follow-up supports a similar analytical question: had abnormal behavior gradually become tolerated because earlier occurrences had not resulted in disaster?

Normalization typically develops through a predictable sequence:

1. A rule is bypassed under exceptional circumstances.
2. Nothing serious happens.
3. The shortcut is repeated.
4. The deviation becomes familiar.
5. Familiarity reduces concern.
6. The exception becomes an informal operating standard.

The absence of a previous accident does not prove that the practice was safe. It only means that the remaining defenses had continued to compensate for the deviation.

Until they no longer could.

CRM training did not guarantee effective coordination

LAPA conducted Crew Resource Management — CRM — training. Yet Flight 3142 displayed many of the problems CRM is intended to prevent: distraction, inadequate communication, weak cross-checking and failure to respond collectively to a critical warning.

In the Voepass case, CENIPA identified inadequate task management, communication problems and ineffective cockpit coordination as performance progressively deteriorated.

A completed CRM course does not necessarily mean CRM principles are present in daily operations.

The real test appears in the cockpit:

• whether tasks are clearly divided;
• whether the monitoring pilot remains effective;
• whether a first officer can challenge an unsafe decision;
• whether the captain remains open to contrary information;
• whether abnormal indications are discussed accurately;
• whether either pilot can stop an unsafe operation.

Training records measure attendance and qualification. Organizational behavior determines whether that training has real authority.

Management supervision failed to stop the drift

In the LAPA case, previous evaluations contained repeated concerns, yet the organization’s follow-up did not prevent similar weaknesses from appearing during the accident flight. The report also identified gaps in training and inspection records.

In the Voepass investigation, ineffective management supervision was classified as a contributing factor. Informal practices in both flight operations and maintenance created conditions in which deviations became increasingly accepted.

Effective supervision is more than verifying paperwork. It must determine how the operation is actually being conducted.

Management should be able to answer:

• Are crews following procedures outside the simulator?
• Are maintenance discrepancies being formally recorded?
• Are recurring warnings being investigated?
• Is the MEL being properly applied?
• Are training deficiencies being corrected and rechecked?
• Are operational, maintenance and safety departments sharing information?
• Can employees report a risk without pressure to keep the aircraft flying?

A company may appear compliant during a document review while its daily safety margins continue to deteriorate.

Technology cannot compensate for a weak safety culture

Between 1999 and 2024, aircraft systems became more capable, flight data monitoring expanded and Safety Management Systems became central to airline operations.

Yet technology only provides information and additional defenses. It cannot force an organization to respect a warning, document a discrepancy or stop an unsafe operation.

Regulations face a similar limitation.

A regulation can define the required standard. It cannot guarantee that the standard remains influential during daily operational decisions. That depends on supervision, accountability, reporting culture and management priorities.

Both accidents demonstrate that safety is not measured by the number of manuals, software systems or training certificates an airline possesses. It is measured by what happens when continuing the flight becomes easier than stopping it.

An important difference in regulatory oversight

The two reports did not reach the same conclusion regarding government oversight.

In the Voepass investigation, CENIPA classified ANAC’s actions as a contributing factor. Previous inspections had identified technical and procedural nonconformities, but the measures adopted were considered insufficient to prevent unsafe practices from continuing.

In the LAPA report, JIAAC stated that the regulations and procedures established by both the operator and the state oversight system would have been sufficient to prevent the accident if they had been followed.

It would therefore be inaccurate to claim that the aviation authorities played an identical role in both cases.

The valid comparison lies in the organizational and operational barriers: procedures existed, warning systems operated and relevant information was available, yet the system did not convert those defenses into timely action.

The lasting lesson from LAPA and Voepass

Twenty-five years, new technology and more extensive regulation were not enough to eliminate similar patterns of procedural drift.

The accidents show how safety can deteriorate when:

• warnings become routine;
• procedures lose operational authority;
• discrepancies are not formally recorded;
• known performance concerns are not effectively addressed;
• CRM exists in training but not in cockpit behavior;
• informal practices replace traceable decisions;
• supervision verifies documents without understanding daily operations.

The final error may occur in the cockpit, but the conditions that make it possible are often created much earlier.

LAPA 3142 and Voepass 2283 remind us that aviation safety cannot be preserved by technology and regulation alone. It depends on an organization’s willingness to detect weak signals, document uncomfortable facts and stop an operation before the remaining barriers are exhausted.

The aircraft involved in both accidents issued warnings. The deeper question is whether their organizations had already stopped listening.

---

By Marcuss Silva Reis
Commercial Pilot | Civil Aviation School Instructor | University Professor of Aeronautical Sciences | Aviation Expert Witness | Economist | Postgraduate in Aeronautical Sciences, Civil Aviation Safety and Higher Education | Optical Technician
Founder of Instituto do Ar

Sources

• CENIPA Final Report A-116/CENIPA/2024 — English version
• JIAAC Final Report — LAPA Flight 3142
• Public transcription of the JIAAC report

Cultura de responsabilização na aviação: segurança não combina com impunidade nem com caça aos culpados

 

A segurança de voo depende de tecnologia, treinamento, procedimentos e fiscalização. Mas nenhum desses elementos funciona adequadamente quando pessoas e organizações não assumem as consequências de suas próprias decisões.

É nesse ponto que surge a cultura de responsabilização: um ambiente no qual pilotos, gestores, instrutores, mecânicos, operadores e autoridades conhecem suas responsabilidades, prestam contas por suas ações e corrigem as condições que colocam a operação em risco.

Responsabilizar, entretanto, não significa procurar um culpado para cada erro. Significa distinguir o erro humano honesto da negligência, da violação deliberada e da fraude.

Responsabilização não é punição automática

A aviação é operada por seres humanos e, portanto, erros ocorrerão. Um piloto pode interpretar incorretamente uma instrução, um mecânico pode deixar de perceber uma anormalidade e um controlador pode enfrentar uma situação de elevada carga de trabalho.

Se todo erro resultar automaticamente em punição, os profissionais aprenderão rapidamente a esconder ocorrências. A organização perderá informações importantes e os riscos permanecerão desconhecidos.

Por outro lado, se qualquer comportamento for justificado como “erro humano”, a organização poderá normalizar violações, improvisações e descumprimentos conscientes.

A cultura de responsabilização procura exatamente o equilíbrio entre esses extremos.

Cultura justa não significa ausência de consequências

A cultura justa protege o relato de boa-fé e permite que erros não intencionais sejam analisados sem uma reação exclusivamente punitiva. A própria FAA afirma que esse modelo deve considerar honestamente os erros cometidos em um ambiente complexo, mas também garantir que o problema de segurança identificado seja corrigido. FAA — Compliance Program

Isso significa que um piloto que comunica espontaneamente um erro operacional, coopera com a análise e demonstra disposição para corrigir sua conduta não deve ser tratado da mesma maneira que alguém que falsifica registros, omite deliberadamente informações ou repete uma violação consciente.

A cultura justa não elimina a responsabilidade. Ela estabelece critérios mais inteligentes para aplicá-la.

Onde deve ser traçada a linha?

Uma organização madura precisa diferenciar quatro situações.

1. Erro não intencional

O profissional pretendia cumprir o procedimento, mas cometeu uma falha. Nesse caso, devem ser investigados treinamento, ergonomia, comunicação, supervisão, carga de trabalho e desenho do sistema.

A resposta pode envolver orientação, treinamento adicional ou melhoria do procedimento.

2. Comportamento de risco

A pessoa aceita um risco que talvez não tenha sido plenamente compreendido. Pode acreditar que determinado atalho é normal porque ele já foi tolerado repetidas vezes pela organização.

Aqui, além da orientação individual, é necessário examinar a cultura interna que normalizou aquela prática.

3. Violação deliberada

O profissional conhece a regra e decide descumpri-la, mesmo compreendendo o risco. Dependendo das circunstâncias, medidas administrativas ou disciplinares podem ser necessárias.

Não se trata de punir o erro, mas de responder a uma escolha consciente.

4. Fraude ou falsificação

A falsificação de treinamentos, inspeções, registros de manutenção, avaliações ou declarações de conformidade rompe a relação de confiança que sustenta todo o sistema aeronáutico.

Nesse caso, não estamos diante de um simples erro operacional. Existe uma tentativa deliberada de fazer a autoridade, a empresa ou outro profissional acreditar que determinada obrigação foi cumprida.

A fraude precisa produzir consequências proporcionais e efetivas.

A responsabilidade começa na direção da empresa

É comum que a responsabilização se concentre apenas no profissional que estava na linha de frente. O piloto, o mecânico, o despachante ou o instrutor aparece como a parte visível do problema.

Entretanto, muitas decisões operacionais são influenciadas pela administração.

Uma empresa não pode exigir produtividade excessiva, reduzir recursos, tolerar desvios e, depois de uma ocorrência, atribuir toda a responsabilidade ao último profissional que tocou na aeronave.

Os gestores devem responder por decisões relacionadas a:

• recursos humanos e materiais;
• dimensionamento das equipes;
• qualidade do treinamento;
• controle da fadiga;
• cumprimento dos programas de manutenção;
• tratamento dos relatos de segurança;
• acompanhamento das ações corretivas;
• pressão comercial sobre a operação.

A cultura de responsabilização precisa funcionar verticalmente. Ela não pode ser rigorosa com o subordinado e tolerante com quem toma as decisões organizacionais.

Relatar não encerra a responsabilidade

Um equívoco frequente consiste em imaginar que o relato voluntário elimina qualquer responsabilidade do profissional. Não é assim.

Relatar representa apenas o início do processo. Quem reconhece um erro deve colaborar com a investigação, compreender os fatores envolvidos e participar da correção.

Responsabilização significa:

• reconhecer o que aconteceu;
• explicar as circunstâncias com honestidade;
• aceitar a análise técnica;
• cumprir as medidas corretivas;
• modificar o comportamento quando necessário;
• impedir a repetição do problema.

Um sistema de relatos que acumula informações, mas não gera mudanças, transforma-se em arquivo de riscos conhecidos.

Também é preciso responsabilizar a organização

Quando diferentes profissionais repetem o mesmo erro, provavelmente não estamos mais diante de falhas exclusivamente individuais.

Pode haver um problema sistêmico: procedimento confuso, treinamento deficiente, supervisão fraca, equipamento inadequado ou tolerância organizacional ao descumprimento.

Punir sucessivamente os profissionais sem corrigir o sistema apenas substitui pessoas e preserva o perigo.

A Organização da Aviação Civil Internacional considera a cultura de segurança uma expressão de como a segurança é percebida, valorizada e priorizada pela administração e pelos empregados. ICAO — Safety Culture

Portanto, a direção também precisa responder quando:

• ignora relatos recorrentes;
• deixa ações corretivas sem acompanhamento;
• aceita treinamentos meramente formais;
• não disponibiliza recursos suficientes;
• conhece uma condição de risco e permite sua continuidade;
• cria metas incompatíveis com uma operação segura.

O papel da autoridade reguladora

A autoridade aeronáutica também participa dessa cadeia de responsabilidade.

Não basta publicar regulamentos e criar plataformas digitais. É necessário verificar se aquilo que foi declarado corresponde à realidade operacional.

Uma fiscalização baseada em risco depende de dados confiáveis, auditorias direcionadas, inspeções presenciais quando necessárias e capacidade de identificar inconsistências.

Quando uma empresa declara que cumpriu determinada exigência, a autoridade pode inicialmente aceitar essa informação. Mas precisa conservar a capacidade de verificar:

• quem prestou a declaração;
• quais evidências a sustentam;
• quando a atividade foi executada;
• quem supervisionou o processo;
• se os registros são coerentes com outras bases de dados;
• quais consequências serão aplicadas se houver fraude.

Sem verificação e responsabilização, a autodeclaração deixa de ser instrumento de eficiência e passa a representar uma vulnerabilidade.

O desafio brasileiro

O Brasil possui regulamentos, sistemas de gerenciamento da segurança operacional e referências à cultura justa. A ANAC, por exemplo, prevê em seus documentos a necessidade de diferenciar comportamentos aceitáveis e inaceitáveis e fortalecer o relato de ocorrências. ANAC — IS 153.37-001B

O desafio está em transformar esses princípios em prática cotidiana.

Uma cultura de responsabilização não pode depender da repercussão pública de um acidente. Ela precisa atuar antes, quando os primeiros desvios aparecem, quando uma auditoria identifica inconsistências ou quando os empregados começam a relatar que determinadas barreiras estão enfraquecendo.

A prevenção exige que a resposta seja proporcional, previsível e aplicada em todos os níveis.

Conclusão

A aviação segura não pode operar sob uma cultura de medo, porque o medo esconde informações. Também não pode funcionar em um ambiente de tolerância ilimitada, porque a ausência de consequências normaliza comportamentos perigosos.

A cultura de responsabilização ocupa o espaço entre esses extremos.

O erro honesto precisa ser relatado, compreendido e corrigido. O comportamento de risco precisa ser orientado. A violação deliberada deve receber resposta proporcional. A fraude, a falsificação e o encobrimento consciente não podem ser tratados como simples falhas administrativas.

Uma organização demonstra maturidade não quando afirma que valoriza a segurança, mas quando protege quem relata de boa-fé, corrige suas próprias deficiências e responsabiliza, inclusive nos níveis mais elevados, quem decide ultrapassar conscientemente os limites estabelecidos.

---

Marcuss Silva Reis
Piloto Comercial de asas fixas | Instrutor de escolas de aviação civil | Professor universitário de Ciências Aeronáuticas | Perito judicial em aviação | Economista | Pós-graduado em Ciências Aeronáuticas, Segurança da Aviação Civil e Docência do Ensino Superior | Técnico em Óptica
Fundador do Instituto do Ar

Fontes consultadas

1. INTERNATIONAL CIVIL AVIATION ORGANIZATION — ICAO. Safety Culture and Safety Information Protection. Material sobre cultura de segurança, proteção das informações e cultura justa. Disponível em: ICAO — Safety Culture. Acesso em: 25 jul. 2026.
2. FEDERAL AVIATION ADMINISTRATION — FAA. Compliance Program. Explica a aplicação da cultura justa, o tratamento dos erros honestos e a necessidade de corrigir riscos identificados. Disponível em: FAA — Compliance Program. Acesso em: 25 jul. 2026.
3. FEDERAL AVIATION ADMINISTRATION — FAA. Safety Management System: Components. Apresenta os componentes do SMS, incluindo prestação de contas da administração e dos empregados. Disponível em: FAA — SMS Components. Acesso em: 25 jul. 2026.
4. AGÊNCIA NACIONAL DE AVIAÇÃO CIVIL — ANAC. Instrução Suplementar IS nº 153.37-001, Revisão B. Aborda cultura de segurança, medidas disciplinares, comportamentos aceitáveis e inaceitáveis e cultura justa. Disponível em: ANAC — IS 153.37-001B. Acesso em: 25 jul. 2026.

LAPA 1999 e Voepass 2024: 25 anos depois, as mesmas barreiras continuam falhando

 O acidente do voo LAPA 3142 aconteceu em 31 de agosto de 1999. O voo Voepass 2283 caiu em 9 de agosto de 2024. Entre os dois eventos, a aviação evoluiu em tecnologia, regulamentação, treinamento, monitoramento e sistemas de gerenciamento da segurança operacional.

Mesmo assim, a comparação entre os relatórios revela um problema persistente: uma organização pode possuir manuais, alarmes, profissionais habilitados e estruturas formais de supervisão, mas ainda operar com barreiras de segurança enfraquecidas.

Os mecanismos técnicos foram completamente diferentes. Na LAPA, um Boeing 737-200 iniciou a decolagem sem os flaps configurados. Na Voepass, um ATR 72 encontrou condições favoráveis à formação severa de gelo, com degradação de performance e falha no sistema de degelo da estrutura.

A semelhança não está, portanto, no tipo de aeronave ou na fase do voo. Está na forma como os riscos foram progressivamente aceitos, os alertas perderam importância e os procedimentos deixaram de funcionar como defesas efetivas.

Dois acidentes tecnicamente diferentes

O voo LAPA 3142 deveria ligar Buenos Aires a Córdoba. O Boeing 737-204C, matrícula LV-WRZ, iniciou a corrida de decolagem com os flaps recolhidos.

Quando as manetes foram avançadas, o sistema de advertência de configuração de decolagem — Takeoff Warning System, ou TOWS — começou a emitir um alarme. A advertência indicava que a aeronave não estava corretamente configurada para sair do solo.

A tripulação não interrompeu a manobra. O avião não obteve o desempenho necessário e ultrapassou os limites do aeroporto. A Junta de Investigaciones de Accidentes de Aviación Civil — JIAAC — estabeleceu como causa imediata o esquecimento da extensão dos flaps e a desconsideração do alarme de configuração. O acidente deixou 65 mortos, incluindo duas pessoas em solo. Relatório final da JIAAC.

No caso Voepass, o ATR 72-500, matrícula PS-VPB, realizava o voo entre Cascavel e Guarulhos quando encontrou condições meteorológicas propícias ao acúmulo severo de gelo.

O relatório final do Centro de Investigação e Prevenção de Acidentes Aeronáuticos — CENIPA — apontou, entre outros fatores, falha no sistema Airframe De-Icing, manutenção inadequadamente tratada, alertas de degradação de performance, falhas de coordenação, deficiências no processo decisório e fragilidades organizacionais. A aeronave perdeu performance, entrou em estol e ocorreu a perda de controle. As 62 pessoas a bordo morreram. Relatório final do CENIPA.

Não se pode comparar diretamente uma decolagem sem flaps com uma perda de controle associada à formação de gelo. Mas é possível — e necessário — comparar as defesas que deveriam ter impedido os dois acidentes.

Os alertas funcionaram, mas não interromperam a cadeia

No voo da LAPA, o sistema de advertência identificou que o Boeing 737 não estava corretamente configurado. O alarme começou quando ainda existia a possibilidade de rejeitar a decolagem e permaneceu ativo durante a aceleração.

Na Voepass, a tripulação recebeu sucessivos alertas relacionados à baixa velocidade e à degradação da performance. O CENIPA concluiu que os procedimentos correspondentes não foram adequadamente executados.

Nos dois casos, a tecnologia percebeu que algo estava errado.

Isso elimina uma explicação simplista baseada apenas na ausência de recursos técnicos. Os aviões possuíam sistemas destinados a advertir as tripulações. O problema foi a incapacidade de converter as informações apresentadas em uma resposta operacional proporcional à gravidade da situação.

Um alarme não protege a aeronave sozinho. Ele precisa ser reconhecido, corretamente interpretado e associado a uma ação previamente treinada.

Os procedimentos existiam, mas perderam sua autoridade

A tripulação da LAPA possuía listas de verificação e procedimentos para rejeição da decolagem. Entretanto, as listas foram executadas em um ambiente de atenção dispersa, no qual assuntos particulares foram intercalados com as tarefas operacionais.

A configuração dos flaps não foi concluída e o alarme não provocou a interrupção imediata da manobra.

Na Voepass, existiam procedimentos no Quick Reference Handbook — QRH — para falhas no sistema de degelo e para os alertas emitidos pelo Aircraft Performance Monitoring — APM. O relatório apontou que esses procedimentos não foram devidamente executados.

Essa é uma das semelhanças mais preocupantes: as empresas possuíam a resposta formal para as ameaças enfrentadas, mas os procedimentos já não exerciam autoridade suficiente sobre o comportamento real.

Quando um manual passa a ser tratado apenas como exigência documental, cria-se uma diferença perigosa entre a empresa descrita nos papéis e a empresa que realmente opera.

A informalidade alcançou a segurança operacional

No acidente da LAPA, o gravador de voz registrou conversas alheias ao voo durante a preparação, partida e táxi. O relatório descreveu falta de disciplina e perda do ambiente de cabine estéril.

Na Voepass, o CENIPA identificou uma cultura de informalidade que atravessava diferentes setores da organização. Essa proximidade, embora pudesse produzir um ambiente aparentemente amistoso, também abria espaço para improvisações, permissividade e flexibilização das regras.

Não há problema em existir proximidade entre pilotos, mecânicos, despachantes e gestores. A dificuldade surge quando os relacionamentos pessoais substituem os canais formais de segurança.

Uma pane comentada verbalmente não equivale a uma pane registrada. Uma autorização informal não substitui a aplicação da Lista de Equipamentos Mínimos — MEL. Uma conversa entre colegas não possui a mesma rastreabilidade de um registro técnico.

A aviação precisa de confiança, mas também precisa de formalidade onde a formalidade protege vidas.

Informações importantes existiam antes dos voos

A investigação da LAPA encontrou nos antecedentes profissionais do comandante observações recorrentes relacionadas à coordenação de cabine, à configuração de manobras, ao conhecimento de procedimentos e à reação diante de situações críticas.

Apesar disso, essas informações não produziram uma intervenção suficientemente eficaz para impedir que características semelhantes voltassem a aparecer na operação real.

Na Voepass, havia conhecimento anterior sobre problemas no sistema Airframe De-Icing. Entretanto, as falhas manifestadas em voos anteriores não foram adequadamente registradas no Technical Logbook — TLB.

A ausência do registro impediu que a informação percorresse o caminho formal que poderia resultar em manutenção corretiva, despacho conforme a MEL, substituição da aeronave ou mudança no planejamento.

Nos dois acidentes, havia sinais anteriores. O problema não foi apenas obter a informação, mas transformá-la em conhecimento organizacional e, depois, em decisão preventiva.

A informação que não circula adequadamente deixa de funcionar como barreira.

A repetição do desvio produziu uma falsa sensação de segurança

No caso Voepass, o CENIPA foi direto ao identificar a normalização dos desvios. A repetição de alertas sem consequências graves anteriores teria reduzido a vigilância do grupo de pilotos e contribuído para que os avisos fossem subestimados.

No acidente da LAPA, o relatório não utilizou a mesma expressão com a força empregada pelo CENIPA. Ainda assim, os elementos documentados permitem uma análise semelhante: comportamentos inadequados, deficiências recorrentes e perda de disciplina não foram suficientemente contidos antes do voo.

A lógica da normalização é simples e perigosa:

1. Uma regra é flexibilizada excepcionalmente.
2. Nada acontece.
3. A flexibilização volta a ocorrer.
4. O comportamento deixa de causar preocupação.
5. A exceção transforma-se em prática.
6. A prática passa a ser percebida como segura.

A inexistência de um acidente anterior não demonstra que o procedimento era aceitável. Mostra apenas que, até aquele momento, as outras barreiras ainda conseguiram compensar o desvio.

O CRM formal não garantiu coordenação efetiva

A LAPA realizava treinamentos de Crew Resource Management — CRM. Mesmo assim, a cabine do voo 3142 apresentou atenção dispersa, comunicação inadequada, conferência cruzada deficiente e incapacidade de reagir corretamente a uma advertência crítica.

No caso Voepass, o CENIPA identificou falhas na comunicação e no gerenciamento das tarefas. A tripulação não construiu uma resposta coordenada diante do acúmulo de gelo, da redução de velocidade e dos sucessivos alertas de performance.

Isso mostra que o CRM não pode ser medido apenas pela presença dos tripulantes em um curso.

O verdadeiro resultado aparece na cabine:

• na divisão clara de tarefas;
• na assertividade do copiloto;
• na capacidade do comandante de ouvir;
• na conferência cruzada;
• na interrupção de uma ação insegura;
• na identificação conjunta de uma ameaça;
• na execução disciplinada dos procedimentos.

Uma organização pode manter todos os treinamentos atualizados e ainda apresentar uma cultura incompatível com aquilo que ensina.

A supervisão gerencial não conseguiu interromper a degradação

No caso LAPA, avaliações e observações anteriores não foram transformadas em uma barreira suficientemente robusta. Os registros também apresentavam lacunas que dificultavam o acompanhamento das inspeções e do treinamento recorrente.

Na Voepass, o CENIPA classificou a supervisão gerencial como fator contribuinte. Práticas informais na operação e na manutenção não foram adequadamente controladas, permitindo que a aceitação dos desvios se normalizasse.

Supervisão não é apenas verificar se documentos foram preenchidos. É compreender como a operação realmente acontece.

Uma supervisão efetiva deve perguntar:

• Os procedimentos são executados no voo da mesma forma que no simulador?
• As panes estão sendo registradas?
• Alertas recorrentes estão sendo investigados?
• A MEL está sendo aplicada corretamente?
• Deficiências encontradas nas avaliações estão sendo corrigidas?
• Os setores compartilham informações relevantes?
• Os tripulantes sentem-se seguros para interromper uma operação?

Quando a supervisão se limita ao cumprimento formal, a organização pode parecer segura nos relatórios administrativos e, ao mesmo tempo, operar de forma degradada.

A diferença entre erro individual e falha do sistema

Os pilotos da LAPA esqueceram os flaps e prosseguiram diante do alarme. A tripulação da Voepass não respondeu adequadamente à falha do sistema de degelo e aos alertas de perda de performance.

Esses atos fazem parte das respectivas cadeias de eventos. Entretanto, encerrar a análise no comportamento dos pilotos significa ignorar por que as outras defesas não funcionaram.

A pergunta preventiva não pode ser somente “quem errou?”. É necessário perguntar:

• Por que o erro não foi identificado?
• Por que o alerta não provocou a resposta prevista?
• Por que informações anteriores não produziram intervenção?
• Por que procedimentos passaram a ser flexibilizados?
• Por que a supervisão não reconheceu o padrão?
• Por que a organização continuou operando diante dos sinais?

A investigação de segurança não elimina o papel dos operadores. Ela amplia a análise para descobrir por que o sistema permitiu que uma falha chegasse à última linha de defesa.

Uma diferença importante sobre a atuação regulatória

Apesar das semelhanças organizacionais, os relatórios não chegaram à mesma conclusão sobre a fiscalização estatal.

No caso Voepass, o CENIPA classificou a atuação da ANAC como fator contribuinte. O relatório considerou que inspeções anteriores haviam revelado não conformidades relacionadas à manutenção, à rastreabilidade, à aplicação da MEL e aos registros de panes, sem que as providências adotadas fossem suficientes para impedir a continuidade das práticas inseguras.

No caso LAPA, a JIAAC declarou que as normas e os procedimentos do operador e do controle estatal existentes na época seriam suficientes para evitar o acidente caso tivessem sido cumpridos.

Isso impede afirmar que a fiscalização tenha exercido exatamente o mesmo papel nos dois casos. A comparação juridicamente prudente deve se concentrar nos pontos efetivamente documentados e preservar as diferenças entre as conclusões oficiais.

Por que problemas semelhantes reaparecem depois de 25 anos?

A tecnologia aeronáutica evolui de maneira visível. Novos sistemas são instalados, procedimentos são revisados e aeronaves passam a produzir quantidades cada vez maiores de informações.

A cultura organizacional, entretanto, não evolui automaticamente.

Uma empresa pode adquirir aviões mais modernos sem modernizar seus processos. Pode implantar um Sistema de Gerenciamento da Segurança Operacional — SGSO — sem criar um ambiente real de reporte. Pode oferecer CRM sem permitir que um copiloto seja assertivo. Pode possuir uma MEL sem respeitar a lógica preventiva do documento.

A segurança não está apenas no equipamento. Ela está no modo como a organização recebe uma informação, interpreta um alerta, registra uma anormalidade e decide interromper uma operação.

Conclusão

Os acidentes da LAPA e da Voepass mostram que a degradação da segurança raramente começa no momento em que a aeronave perde o controle.

Ela começa antes:

• quando um procedimento é flexibilizado;
• quando uma pane deixa de ser registrada;
• quando uma deficiência recorrente não provoca intervenção;
• quando um alerta frequente perde sua capacidade de preocupar;
• quando o CRM existe no certificado, mas não na cabine;
• quando a supervisão conhece o manual, mas não conhece a operação real.

Vinte e cinco anos separam os dois acidentes. Ainda assim, os relatórios apresentam uma advertência comum: sistemas de segurança não são eficazes apenas porque existem. Eles precisam conservar autoridade sobre as decisões diárias.

Na LAPA, o alarme de configuração não interrompeu a decolagem. Na Voepass, os alertas de degradação não produziram a resposta necessária. Nos dois casos, o último aviso foi ouvido depois que outras advertências organizacionais já haviam sido toleradas.

Enquanto a aviação continuar tratando o erro humano como explicação final, deixará de enxergar as condições que tornaram esse erro possível. O verdadeiro avanço começa quando a organização aprende a interromper o desvio antes que ele seja incorporado à rotina.

---

Marcuss Silva Reis
Piloto Comercial de asas fixas | Instrutor de escolas de aviação civil | Professor universitário de Ciências Aeronáuticas | Perito judicial em aviação | Economista | Pós-graduado em Ciências Aeronáuticas, Segurança da Aviação Civil e Docência do Ensino Superior | Técnico em Óptica
Fundador do Instituto do Ar