Cultura de segurança

Erro de diluição de medicação em um leito de enfermaria. O paciente foi monitorado e está bem. Na reunião da manhã, a primeira pergunta feita em voz alta é quem preparou a medicação.

A partir dessa pergunta, a reunião muda de natureza. As pessoas passam a explicar por que não foi culpa delas, ninguém menciona que o mesmo frasco tem duas apresentações com rótulos parecidos, e ninguém diz que a bancada de preparo fica no corredor, sem espaço, ao lado do telefone que toca.

Duas semanas depois o mesmo erro acontece com outra pessoa. Ninguém aprendeu nada, porque a pergunta que foi feita não era capaz de produzir aprendizado — ela era capaz apenas de produzir um responsável.

Existem dois modos de olhar para o erro humano, e a escolha entre eles determina tudo o que vem depois — inclusive se o próximo erro acontecerá. A abordagem centrada na pessoa foca os atos inseguros de indivíduos e os atribui a esquecimento, desatenção, má motivação, descuido, negligência e imprudência. Suas contramedidas são dirigidas a reduzir a variabilidade humana: campanhas de cartaz, redação de procedimentos, medidas disciplinares, ameaça de litígio, retreinamento e nomear, culpar e envergonhar.

Essa abordagem é emocionalmente satisfatória, administrativamente conveniente e legalmente cômoda — e é justamente por isso que ela é a padrão em quase todo serviço. Isolar um responsável desvincula o problema da instituição.

Seu limite é que ela trata os erros como falhas morais, e não como problemas sistêmicos, ignorando que a esmagadora maioria dos atos inseguros é isenta de culpa. Quem procura o culpado encontra alguém; o que não encontra é a causa.

A abordagem centrada no sistema parte de outra premissa: seres humanos são falíveis e erros são esperados, mesmo nas melhores organizações. Ela olha para os fatores sistêmicos a montante e para as condições de trabalho, e não para as falhas individuais.

Sua fórmula é a frase mais citada da área e resume o capítulo inteiro: não podemos mudar a condição humana, mas podemos mudar as condições sob as quais os humanos trabalham.

O modelo que organiza esse raciocínio é o do queijo suíço. As defesas de um sistema funcionam como fatias de queijo suíço, cheias de buracos que mudam continuamente de posição. Um acidente acontece quando os buracos de várias camadas se alinham, deixando passar a trajetória do dano.

Os buracos surgem de duas fontes, e distingui-las é o conteúdo prático mais útil deste capítulo. As falhas ativas são atos inseguros de quem está na ponta — deslizes, lapsos, enganos e violações —, com impacto imediato. As condições latentes são patógenos residentes no sistema, decorrentes de decisões de projeto e de gestão, que criam condições propensas ao erro e defesas frágeis.

A diferença decisiva entre as duas está em quando podem ser tratadas. Falhas ativas são difíceis de prever e só aparecem depois de acontecerem. Condições latentes podem ser identificadas e corrigidas de forma proativa, antes que qualquer incidente ocorra.

Traduzindo para a cena que abre este capítulo: quem preparou a medicação é uma falha ativa; dois frascos com rótulos parecidos e uma bancada de preparo em corredor com telefone tocando são condições latentes. A primeira produz um culpado; as segundas produzem os próximos erros, e continuam produzindo depois que o culpado for demitido.

Há um complemento importante para não deixar o argumento virar caricatura. Organizações de alta confiabilidade tratam a variabilidade humana como um ativo, e não apenas como um risco a suprimir — é a capacidade humana de perceber o inesperado e improvisar que salva situações que nenhum procedimento previu —, mantendo ao mesmo tempo vigilância constante sobre a possibilidade de falha.

E há um limite explícito na própria formulação da abordagem sistêmica: a afirmação é que a esmagadora maioria dos atos inseguros é isenta de culpa. A esmagadora maioria — não a totalidade. Sistema não é sinônimo de ausência de responsabilidade, e este material já dedicou um capítulo inteiro à responsabilidade pessoal e não presumível. As duas coisas convivem: a regra é olhar o sistema, e a exceção — imprudência deliberada, violação consciente e repetida — continua existindo.

Passando à magnitude no Brasil, existe medida nacional. Um estudo revisou prontuários de 1.103 pacientes adultos, selecionados de 27.350 internações ocorridas em 2003 em três hospitais de ensino do Rio de Janeiro.

A incidência de eventos adversos foi de 7,6% dos pacientes — 84 dos 1.103. A densidade foi de 0,8 evento por 100 pacientes-dia, com 103 eventos em 13.563 pacientes-dia. As enfermarias concentraram 48,5% das ocorrências, e os eventos cirúrgicos foram o tipo mais frequente, com 35,2%.

O número que importa para este capítulo, porém, é outro: 66,7% dos eventos adversos foram considerados evitáveis — 56 dos 84 pacientes. Dois em cada três. E a conclusão dos autores contém a parte mais desconfortável. A incidência encontrada estava alinhada com padrões internacionais; foi a proporção de eventos evitáveis que excedeu significativamente os padrões globais. Ou seja: o Brasil não tinha mais eventos adversos que os outros países — tinha mais eventos que poderiam ter sido evitados.

Essa distinção transforma o dado em argumento. Se a incidência fosse alta e a evitabilidade baixa, o problema seria de complexidade dos casos. Sendo a incidência comparável e a evitabilidade maior, o problema é de processo — exatamente o território das condições latentes.

As ressalvas metodológicas precisam ser ditas. Trata-se de revisão retrospectiva de prontuários, método que depende da qualidade do registro e do julgamento de revisores sobre evitabilidade — que é uma avaliação com margem de subjetividade. São três hospitais de ensino de uma cidade, com dados de 2003. O estudo não descreve o Brasil inteiro nem o Brasil de hoje.

Ainda assim, a direção é robusta e o achado sobre evitabilidade é o tipo de resultado que não se explica por complexidade de casos. Ele aponta para processo, e processo é o que a notificação de incidentes existe para revelar.

Daí a função da notificação, que é o ato prático que este capítulo pede. Ela não serve para punir, não é denúncia e não estabelece culpa. Serve para tornar visíveis as condições latentes — os dois rótulos parecidos, a bancada no corredor, a bomba com interface confusa — antes que os buracos se alinhem de novo.

E daí também a razão de a notificação precisar ser não punitiva. Em um serviço que responde ao incidente procurando o responsável, as pessoas param de notificar; e um sistema que não recebe notificações não fica mais seguro, apenas fica cego. A ausência de notificações é o sinal mais confiável de que a cultura está errada, e é regularmente confundida com prova de que está tudo bem.

Para quem está começando, há uma conclusão concreta que fecha esta apostila e o conjunto delas. Você vai errar. Isso não é pessimismo: é a premissa explícita da abordagem que funciona — seres humanos são falíveis e erros são esperados, mesmo nas melhores organizações. O que se pode escolher não é errar ou não errar; é o que se faz depois, e se a informação sobre o erro vira aprendizado do serviço ou some junto com o medo de quem a viveu.

Substituir 'quem fez isso?' por estas perguntas é o que transforma um incidente em aprendizado.

• “O que aconteceu, em ordem, do início ao fim?”

  Reconstruir a sequência antes de julgar é o que permite ver as camadas de defesa que falharam, em vez de apenas a última.

• “Quais defesas existiam, e por que cada uma delas não impediu o dano?”

  É a leitura do modelo do queijo suíço: o acidente ocorre quando os buracos de várias camadas se alinham, e não por falha de uma só.

• “O que no ambiente tornou esse erro mais provável?”

  Procura condições latentes — rótulos parecidos, interrupções, iluminação, interface confusa, sobrecarga — que são o que pode ser corrigido antes do próximo caso.

• “Outra pessoa, nas mesmas condições, teria errado igual?”

  Se a resposta é provavelmente sim, o problema não é a pessoa. É o teste mental mais rápido para distinguir falha ativa de condição latente.

• “Isso já aconteceu antes aqui?”

  Repetição é a assinatura de condição latente não corrigida — e é a informação que só existe se houver notificações anteriores registradas.

• “O que precisa mudar para que isso não dependa de alguém lembrar?”

  Solução que depende de atenção individual falha na próxima noite cansada. Mudança de processo é o que persiste.

Saber onde e como se notifica no serviço

Núcleo de segurança do paciente, sistema eletrônico, formulário. Descobrir o canal na hora do incidente é o que faz a notificação não acontecer.

Saber que se notifica também o que não causou dano

Incidente sem dano e quase-erro são os mais informativos, porque revelam a condição latente sem custo para o paciente.

Conhecer a diferença entre notificar e denunciar

Notificação de incidente não é denúncia, não atribui culpa e não substitui a comunicação ao paciente, que tem regra própria.

Reparar nas condições latentes do próprio serviço

Rótulos parecidos, bancada em corredor, bombas com interfaces diferentes na mesma unidade, prescrição ilegível. Elas são visíveis antes do incidente.

Preparar-se para não perguntar quem fez

É a pergunta reflexa e a que encerra o aprendizado. Substituí-la exige tê-la substituído antes, e não no calor da reunião.

Cuidar de quem esteve envolvido

O profissional envolvido em um erro grave fica abalado a ponto de errar de novo — tema tratado na apostila de comunicação, e parte do manejo do evento.

Do incidente à mudança de processo.

1. 1

   Cuidar do paciente primeiro

   Estabilizar, mitigar o dano possível e monitorar. Análise, notificação e conversa vêm depois disso, nunca no lugar.

   Erro comum: Iniciar a discussão sobre o que houve com o paciente ainda instável.

2. 2

   Comunicar o supervisor imediatamente

   É o passo que aciona tanto o cuidado quanto o rito institucional, e não depende de ter certeza sobre o que ocorreu.

   Erro comum: Aguardar clareza total antes de avisar, o que costuma significar avisar tarde.

3. 3

   Notificar o incidente pelo canal do serviço

   A notificação torna visíveis as condições latentes. Ela não é punitiva, não é denúncia e não estabelece culpa.

   Erro comum: Deixar de notificar por medo, ou por achar que só se notifica o que causou dano.

4. 4

   Notificar também quase-erros e incidentes sem dano

   São os mais informativos: revelam a condição latente sem que ninguém tenha sido lesado.

   Erro comum: Reservar a notificação para os casos graves, perdendo a informação mais barata que o sistema pode receber.

5. 5

   Reconstruir a sequência antes de julgar

   O que aconteceu, em ordem, com quais defesas em cada etapa. É o que permite ver as camadas que falharam, e não só a última.

   Erro comum: Começar pela pergunta sobre quem fez, que encerra a investigação no primeiro nome.

6. 6

   Separar falha ativa de condição latente

   Falha ativa é o ato inseguro na ponta, com impacto imediato. Condição latente é o patógeno residente do sistema, que pode ser identificado e corrigido de forma proativa.

   Erro comum: Parar na falha ativa — que produz um responsável e deixa intactas as causas dos próximos casos.

7. 7

   Aplicar o teste da substituição

   Outra pessoa, nas mesmas condições, teria errado igual? Se a resposta é provavelmente sim, o alvo da correção não é o indivíduo.

   Erro comum: Presumir que o profissional envolvido é menos cuidadoso que a média.

8. 8

   Procurar repetições

   Incidente que já ocorreu antes é assinatura de condição latente não corrigida — e essa informação só existe se as notificações anteriores foram registradas.

   Erro comum: Tratar cada evento como isolado, o que garante que o padrão nunca apareça.

9. 9

   Propor mudanças que não dependam de atenção individual

   Alterar rótulo, separar apresentações parecidas, mudar o local de preparo, padronizar equipamento. Soluções que dependem de lembrar falham na próxima noite cansada.

   Erro comum: Concluir com 'reforçar a atenção da equipe', que é a solução que não muda condição nenhuma.

10. 10

    Preservar a variabilidade humana como recurso

    Organizações de alta confiabilidade tratam a variabilidade humana como ativo, e não apenas como risco. É ela que resolve o que nenhum procedimento previu.

    Erro comum: Responder a todo incidente criando mais um procedimento, até que ninguém consiga cumprir todos.

11. 11

    Manter a responsabilidade onde ela cabe

    A esmagadora maioria dos atos inseguros é isenta de culpa — a esmagadora maioria, não a totalidade. Imprudência deliberada e violação consciente e repetida seguem tendo consequência.

    Erro comum: Usar a abordagem sistêmica para dissolver toda responsabilidade individual, o que desacredita a própria abordagem.

12. 12

    Cuidar de quem esteve envolvido

    Quem passou por um erro grave fica abalado a ponto de errar de novo, e isso é parte do manejo do evento — não cortesia.

    Erro comum: Isolar ou ironizar, o que empurra a próxima omissão e o próximo erro.

A primeira pergunta da reunião é quem fez

Encerra o aprendizado no primeiro nome. Produz um responsável e deixa intactas as condições que geram os próximos casos.

Análise conclui com 'reforçar a atenção da equipe'

Solução que depende de lembrar falha na próxima noite cansada. Não altera condição latente nenhuma.

Serviço com pouquíssimas notificações

Sinal mais confiável de cultura punitiva — e o mais frequentemente confundido com prova de que está tudo bem. Sistema sem notificação não é seguro, é cego.

Quase-erros não são notificados

Perde-se a informação mais barata disponível: a condição latente revelada sem que ninguém tenha sido lesado.

Mesmo incidente ocorre pela segunda vez

Assinatura de condição latente não corrigida. A primeira análise parou na falha ativa.

Cada incidente gera mais um procedimento novo

Acúmulo que torna o conjunto incumprível, e desperdiça a variabilidade humana que organizações de alta confiabilidade tratam como ativo.

Abordagem sistêmica usada para dissolver toda responsabilidade

A formulação original afirma que a esmagadora maioria dos atos inseguros é isenta de culpa — não a totalidade. O exagero desacredita a abordagem.

Profissional envolvido isolado ou ironizado pela equipe

Quem está abalado erra mais, e o isolamento empurra a próxima omissão. Cuidar dele é parte do manejo do evento.

A distinção que organiza este capítulo separa dois modos de olhar para o erro humano, e a escolha entre eles determina se o próximo erro será evitado. A abordagem centrada na pessoa foca os atos inseguros de indivíduos e os atribui a esquecimento, desatenção, má motivação, descuido, negligência e imprudência. Suas contramedidas visam reduzir a variabilidade humana: campanhas de cartaz, redação de procedimentos, medidas disciplinares, ameaça de litígio, retreinamento, e nomear, culpar e envergonhar.

É a abordagem padrão da maioria dos serviços, e por razões compreensíveis: ela é emocionalmente satisfatória, administrativamente simples e legalmente conveniente, porque desvincula o problema da instituição ao ancorá-lo em uma pessoa.

Seu limite é decisivo: ela trata os erros como falhas morais em vez de problemas sistêmicos, ignorando que a esmagadora maioria dos atos inseguros é isenta de culpa. Procurar culpado sempre encontra alguém — o que não se encontra, por esse caminho, é a causa.

A abordagem centrada no sistema parte da premissa oposta: seres humanos são falíveis e erros são esperados, mesmo nas melhores organizações. Ela examina os fatores sistêmicos a montante e as condições de trabalho, e sua fórmula resume o capítulo: não podemos mudar a condição humana, mas podemos mudar as condições sob as quais os humanos trabalham.

O modelo do queijo suíço dá forma a esse raciocínio. As defesas de um sistema funcionam como fatias de queijo suíço, com muitos buracos que mudam continuamente de posição; um acidente ocorre quando os buracos de várias camadas se alinham e abrem uma trajetória para o dano.

Os buracos têm duas origens. As falhas ativas são atos inseguros cometidos por quem está na ponta — deslizes, lapsos, enganos e violações — e têm impacto imediato. As condições latentes são patógenos residentes no sistema, decorrentes de decisões de projeto e de gestão, que criam condições propensas ao erro e defesas frágeis.

A propriedade que torna essa distinção acionável é o tempo. Falhas ativas são difíceis de antecipar e se revelam ao acontecer. Condições latentes podem ser identificadas e corrigidas de forma proativa, antes que qualquer incidente ocorra — o que significa que elas estão visíveis agora, no serviço em que você trabalha, esperando o alinhamento.

Vale acrescentar o contraponto que impede a caricatura. Organizações de alta confiabilidade tratam a variabilidade humana como um ativo, e não apenas como risco a suprimir, mantendo ao mesmo tempo vigilância constante sobre a possibilidade de falha. A mesma capacidade humana de improvisar que às vezes produz o erro é a que salva situações que nenhum procedimento previu — e serviços que respondem a cada incidente criando mais um procedimento acabam com um conjunto que ninguém consegue cumprir.

E vale marcar o limite explícito da própria formulação: a afirmação é que a esmagadora maioria dos atos inseguros é isenta de culpa. A esmagadora maioria, não a totalidade. Abordagem sistêmica não é abolição de responsabilidade — este material já dedicou um capítulo à responsabilidade pessoal e não presumível —, e usar o argumento do sistema para dissolver toda accountability é o modo mais eficiente de desacreditá-lo.

Sobre a magnitude do problema no Brasil, há medida nacional. Um estudo revisou retrospectivamente prontuários de 1.103 pacientes adultos, selecionados de 27.350 internações ocorridas em 2003 em três hospitais de ensino do Rio de Janeiro.

A incidência de eventos adversos foi de 7,6% dos pacientes, ou 84 dos 1.103. A densidade foi de 0,8 evento por 100 pacientes-dia, com 103 eventos em 13.563 pacientes-dia. As enfermarias concentraram 48,5% das ocorrências e os eventos cirúrgicos foram o tipo mais frequente, com 35,2%.

O achado central, porém, é a evitabilidade: 66,7% dos eventos adversos foram considerados evitáveis, ou 56 dos 84 pacientes. Dois em cada três. A conclusão dos autores contém a parte que dói. A incidência encontrada estava alinhada com padrões internacionais — o Brasil não tinha mais eventos adversos do que outros países. Foi a proporção de eventos evitáveis que excedeu significativamente os padrões globais.

Essa combinação é o que converte o dado em argumento. Incidência comparável com evitabilidade maior não se explica por casos mais complexos nem por pacientes mais graves; aponta para processo. E processo é exatamente o território das condições latentes — o que significa que a maior parte desse excesso é, em princípio, corrigível sem tecnologia nova.

As ressalvas são necessárias. Trata-se de revisão retrospectiva de prontuários, método que depende da qualidade do registro e cujo julgamento de evitabilidade carrega margem de subjetividade dos revisores. São três hospitais de ensino de uma única cidade, com dados de 2003, de modo que o estudo não descreve o Brasil inteiro nem o Brasil de hoje. A direção do achado, contudo, é consistente e o excesso de evitabilidade é do tipo que não se explica por complexidade de casos.

Daí a função da notificação de incidentes, que é o ato prático deste capítulo. Ela existe para tornar visíveis as condições latentes — os dois rótulos parecidos, a bancada de preparo em corredor com telefone tocando, as bombas de infusão com interfaces diferentes na mesma unidade — antes que os buracos voltem a se alinhar. Não é punição, não é denúncia e não estabelece culpa.

Por isso a notificação precisa ser não punitiva, e isso não é sentimentalismo administrativo. Em serviço que responde ao incidente procurando responsável, as pessoas deixam de notificar; e um sistema que não recebe notificações não se torna mais seguro, apenas se torna cego. A escassez de notificações é o indicador mais confiável de cultura punitiva — e é regularmente exibida como prova de que está tudo bem.

Encerrando esta apostila e o conjunto delas, há uma conclusão dirigida a quem está começando, e ela é mais libertadora do que parece. Você vai errar. Não é pessimismo: é a premissa explícita da abordagem que funciona, segundo a qual seres humanos são falíveis e erros são esperados mesmo nas melhores organizações.

O que está sob sua escolha não é errar ou não errar. É o que acontece depois: se a informação sobre o que houve vira aprendizado do serviço, ou se desaparece junto com o medo de quem a viveu. E é por isso que a pergunta feita na reunião da manhã importa tanto quanto qualquer conhecimento técnico deste material.

Cultura justa não significa ausência de responsabilização nem punição automática. Incidentes e quase falhas devem produzir aprendizado sistêmico, enquanto escolhas intencionais de risco recebem resposta proporcional. Segurança depende de liderança, ambiente para falar, retorno a quem notifica, análise de fatores contribuintes e medição da efetividade das mudanças.

A escolha entre elas decide se o serviço encontra um responsável ou uma causa.

• Falhas ativas têm impacto imediato e aparecem ao acontecer; condições latentes podem ser identificadas e corrigidas proativamente.
• Serviço com pouquíssimas notificações não é serviço seguro — é serviço cego.

Começar perguntando quem fez

Encerra a investigação no primeiro nome. Produz um responsável e deixa intactas as condições latentes que geram os próximos casos.

Concluir com 'reforçar a atenção da equipe'

Solução que depende de lembrar falha na próxima noite cansada. Não muda condição nenhuma, e é a conclusão mais comum de análise malfeita.

Notificar só o que causou dano

Quase-erros e incidentes sem dano são os mais informativos: revelam a condição latente sem que ninguém tenha sido lesado.

Exibir poucas notificações como bom indicador

É o sinal mais confiável de cultura punitiva. Sistema que não recebe notificação não fica mais seguro, fica cego.

Parar a análise na falha ativa

O ato inseguro na ponta é o último buraco a se alinhar. As condições latentes continuam lá depois que o responsável for punido.

Tratar cada evento como isolado

Repetição é a assinatura de condição latente não corrigida — e ela só aparece se as notificações anteriores tiverem sido registradas.

Responder a cada incidente com um procedimento novo

O acúmulo torna o conjunto incumprível e desperdiça a variabilidade humana, que organizações de alta confiabilidade tratam como ativo.

Usar o argumento do sistema para dissolver toda responsabilidade

A formulação original diz que a esmagadora maioria dos atos inseguros é isenta de culpa — não a totalidade. O exagero desacredita a abordagem.

Confundir notificação com denúncia

A notificação de incidente não atribui culpa e não substitui a comunicação do erro ao paciente, que tem rito próprio.

Ler o dado brasileiro apenas como incidência alta

A incidência estava alinhada com padrões internacionais; o que excedeu os padrões globais foi a proporção de eventos evitáveis — 66,7%.

Tomar os percentuais como retrato do Brasil de hoje

São três hospitais de ensino de uma cidade, com dados de 2003, por revisão retrospectiva de prontuários com julgamento de evitabilidade subjetivo.

Isolar quem esteve envolvido no incidente

Quem está abalado erra mais. Cuidar do profissional envolvido é parte do manejo do evento, e não gentileza opcional.

Do incidente à mudança que persiste.

1. 01Cuidar do paciente e mitigar o dano possível
2. 02Comunicar o supervisor imediatamente
3. 03Notificar pelo canal do serviço, inclusive sem dano
4. 04Reconstruir a sequência antes de qualquer julgamento
5. 05Identificar quais defesas falharam em cada camada
6. 06Separar falhas ativas de condições latentes
7. 07Aplicar o teste da substituição: outra pessoa teria errado igual?
8. 08Verificar se já houve ocorrência semelhante antes
9. 09Propor mudança de processo que não dependa de atenção individual
10. 10Evitar responder criando mais um procedimento incumprível
11. 11Manter a responsabilidade individual onde ela de fato cabe
12. 12Cuidar de quem esteve envolvido