A percepção de riscos num caso prático - Boeing

O que podemos aprender com o documentário "Downfall", que conta a história dos acidentes com o Boeing 737-Max?

Recentemente publicamos um artigo falando sobre a gestão de riscos. No artigo, falamos da importância de identificar os riscos da sua atividade, incluir barreiras e posicionar-se da melhor forma possível.

A Netflix acaba de lançar o documentário “Downfall - The Case against Boeing”, da diretora Rory Kennedy, que é uma excelente oportunidade para discutir como isso pode ocorrer na prática. O documentário ilustra também um ponto interessante: a forma como os desastres são interpretados interferem no que podemos aprender com eles.

A aviação é um dos domínios em que a gestão de risco é mais avançada, o que faz deste meio de transporte o mais seguro, se deixarmos de lado os elevadores. A taxa de letalidade no transporte aéreo caiu de 6,35 mortes por milhão de decolagens, em 1970, para uma taxa de 0,51 em 2019, de acordo com dados da Aviation Safety Network. Talvez a principal razão desta melhoria impressionante seja a prática disciplinada de estudar em detalhes cada acidente e implementar modificações que reduzam a probabilidade de novas ocorrências originadas pela mesma causa raiz. Um exemplo é o risco de sequestros, de que o mais dramático exemplo é o ataque às Torres Gêmeas em 2001. Nos dez anos anteriores ao ataque, ocorriam em média 18 sequestros por ano. Nos últimos tempos, após todas as modificações de segurança implementadas nos aviões e nos aeroportos, ocorreram 17 sequestros - na década - com apenas 1 morte.

Um princípio básico usado na aviação e em outros domínios é a avaliação da consequência da falha de um sistema (por exemplo, o sinal de um instrumento de medição). Se a consequência for catastrófica, o sistema é multiplicado (o que é chamado de redundância) para garantir que o sistema esteja sempre em funcionamento correto (se um instrumento falha, há outro garantindo a leitura correta).

Quando ocorreram dois acidentes seguidos com o Boeing 737-MAX, causando a morte de 346 pessoas entre Outubro de 2018 e Março de 2019, testemunhamos uma das maiores crises empresariais da história. Além de um acordo para o pagamento de 2,5 Bilhão de dólares como penalidade, a Boeing viu todas as 387 aeronaves do modelo sendo proibidas de voar entre março de 2019 e dezembro de 2020, além do impacto na produção e nas encomendas do seu principal modelo.

Eu estudei à época o relatório de investigação do primeiro acidente, e o relatório inicial do segundo. Como normalmente ocorre nos acidentes aéreos catastróficos, foram encontradas diversas causas que levaram à queda. Nove causas-raiz que não poderiam ser separadas, segundo a autoridade responsável pela investigação.

O documentário reconta esta história em detalhes, e a Boeing faz o papel de vilã. O problema é que as causas foram encadeadas de uma maneira particular, e alguns outros fatos colocados em evidência comprometem o que é possível aprender com este caso. Segundo o filme, a busca pelos lucros e a fusão com a McDonnell-Douglas, anos antes, fizeram a Boeing assumir riscos que levaram ao acidente. Wall Street é mencionada quase como uma co autora dos fatos. A presença de materiais estranhos nos tanques de combustível (um fato observado nas aeronaves proibidas de voar, mas que não está entre as causas-raiz identificadas pela investigação) é usado como evidência da perda da cultura de excelência que a Boeing teria antes da fusão com a Douglas. A impossibilidade de que os funcionários falassem sobre problemas na produção, confirmada por ex-empregados, seria outra consequência da fusão, ainda que os problemas do 737-MAX não fossem de produção, e sim de projeto.

Como interessado em segurança, minha leitura dos relatórios dos acidentes permite encontrar uma história diferente:

A Boeing decidiu fazer um projeto baseado no seu clássico 737, em vez de partir de um projeto novo, como fez seu principal concorrente.

As especificações de economia de combustível do novo projeto exigiram o uso de motores mais eficientes porém maiores, o que causou a modificação da geometria da aeronave.

A nova geometria fez com que a estabilidade de vôo fosse afetada em certas situações, o que foi contornado pela adição de um novo sistema de controle de estabilidade, o MCAS (Maneuvering Characteristics Augmentation System). Este sistema interfere na posição da cauda para estabilizar o avião.

O MCAS utiliza um sensor que mede o ângulo do nariz do avião. Uma leitura falsa deste instrumento poderia provocar uma situação de perda da aeronave, se outras condições estivessem presentes. Então sua criticidade passou a exigir redundância, o que não foi implementado.

Uma das várias vantagens da utilização de um projeto antigo era um processo de treinamento dos pilotos muito mais simples, um fator importante para as companhias aéreas. O MCAS foi então omitido dos materiais de treinamento, e o primeiro acidente ocorreu sem que os pilotos sequer soubessem de sua existência.

Nos acidentes, entre outros problemas, houve a falha do sensor de inclinação do nariz, a atuação indevida do MCAS e a impossibilidade de correção a tempo pelas tripulações.

As três primeiras decisões estão no domínio dos riscos normais de qualquer projeto, seja ele de um avião, de um novo serviço ou de uma nova empresa. Esta é a base da inovação disruptiva: buscar soluções diferentes que podem criar uma vantagem competitiva. Os dois fatos seguintes é onde podemos buscar ensinamentos. Na minha opinião, aprendizados mais importantes do que os sugeridos pelo documentário.

Não acredito que a necessidade de redundância do sensor no nariz tenha sido ignorada para economizar o custo do instrumento, absolutamente marginal: ou a nova criticidade não foi identificada nas análises de segurança, ou se perdeu entre as recomendações a implementar. De qualquer forma, eu consideraria isso um erro de engenharia que ilustra a necessidade de um processo robusto de análise de riscos. Incluindo a revisão, por times independentes, dos cenários de risco, das barreiras e de sua efetiva implantação.

Já a omissão do MCAS nos manuais da aeronave é muito mais grave, do ponto de vista empresarial. É muito difícil defender que não tenha sido deliberada, principalmente porque havia uma vantagem competitiva (insustentável). A questão aqui é que um risco deste tamanho se mostrou inaceitável, e isso provavelmente está na origem das punições graves recebidas pela Boeing.

As três primeiras decisões, que eram legítimas, tinham como pressuposto que a organização teria estrutura e organização suficientemente fortes para garantir que as devidas barreiras ou correções de rota fossem introduzidas. Este é o ponto chave aqui, que o documentário não cobre, ao dividir a responsabilidade da Boeing com seus investidores. Que também foram punidos, aliás: a empresa perdeu mais da metade de seu valor de mercado desde os dois acidentes.

Renovamos nosso convite: Se você precisa identificar e gerenciar seus riscos e oportunidades, fale com a Zinneke. Nós vamos encontrar o consultor ideal para ajudá-lo com a metodologia adequada aos aspectos mais relevantes para o seu negócio, identificando as ações para otimizar seu resultado: mitigação de riscos e captura de oportunidades.

___

Eduardo Rocha acredita que aprender com os erros cometidos por outros é a forma mais segura de evitar que eles se repitam. É fundador da Zinneke.

Photo by Nicholas Susilo on Unsplash. Thanks!

< Post mais antigo

Post mais novo >

A Suspensão de um Jogo da Copa (e a Gestão de Riscos da sua Cadeia de Suprimentos)

Por Eduardo Valença • 23 de junho de 2026

Durante o intervalo do jogo entre França e Iraque, ontem, foi disparado o protocolo de ação em caso de tempestades com descargas elétricas. O jogo foi interrompido e o público foi removido. Duas horas mais tarde o jogo foi retomado, quando o monitoramento indicou a ausência de descargas atmosféricas dentro de um raio de 13 km por pelo menos 30 min. Este protocolo não foi definido pela FIFA, o organizador do evento. Foi a aplicação da regulamentação existente nos Estados Unidos para eventos em espaços abertos. O protocolo é diferente do que ocorreria no Brasil, em situação similar. O que mais me chamou atenção não foi a interrupção do jogo em si, mas o fato de que diferentes países podem olhar para exatamente o mesmo risco e chegar a decisões diferentes. Isso acontece porque riscos não são apenas avaliados, eles também são descritos de formas diferentes. O caso ilustra três conceitos importantes de gestão de riscos, e como eles são aplicados na prática. Eles podem ser usados para gerenciar sua Cadeia de Suprimentos, mas você verá que eles se aplicam a virtualmente qualquer domínio. Antes dos três conceitos, vale observar que o próprio limiar de aceitação de riscos varia entre geografias e setores O limiar de aceitação de riscos é variável para diferentes indústrias e geografias Esta é talvez a observação mais evidente. Enquanto matavam o tempo, os narradores da transmissão mal podiam esconder o estranhamento com a prática, que é diferente do que se adota em outros países. Inclusive no Brasil, um dos países com maior incidência de descargas atmosféricas. Há um forte aspecto cultural envolvido. Uma série de acidentes com atletas, árbitros, treinadores e espectadores gerou nos anos 2000 a mudança do protocolo. Não foi a alta frequência de acidentes que motivou o debate, foi o reconhecimento de que os acidentes eram perfeitamente evitáveis. Uma leitura apressada poderia concluir que o Brasil, por não ter um protocolo tão rígido, teria um nível de aceitação de riscos menos rigoroso, em geral. Mas isso não é necessariamente verdadeiro: em outros aspectos, como a segurança bancária ou a defesa do consumidor, são as práticas brasileiras que soariam muito mais rígidas para um observador dos Estados Unidos. Estas diferenças aparecem o tempo todo na gestão de riscos: o mesmo tipo de desvio seria considerado de forma muito diferente na Aviação Comercial ou na Construção Civil. Por isso, é importante observar estas diferenças quando um negócio vai servir clientes em um novo país ou em um novo segmento. E agir de forma adequada, deixando de lado o estranhamento que pode tratar essas diferenças como “exageros”. Conceito 1: Ter um protocolo de ação bem definido reduz incertezas O protocolo adotado ontem é bastante claro. Há uma regra explícita (sem descargas elétricas num raio de 13 km por no mínimo 30 min). O risco subjacente não está mais em discussão: o que se discute é se houve ou não houve um raio no perímetro definido. A pergunta passa a ser “O indicador foi acionado?”. Não algo como “Será arriscado continuar com o jogo?”. Esse é um elemento chave da gestão de riscos: o gatilho e a ação são definidos previamente, e então aplicados com rigor. Não existe o “na hora, eu decido”. Isso reduz a variabilidade das decisões e a incerteza. Na gestão das cadeias de suprimentos, protocolos claros de gestão de risco são fundamentais. Há uma pressão quase irresistível por exceções e alguma tolerância. “O estoque já está abaixo do mínimo, mas a nova entrega deve chegar em alguns dias”. Ou “O fornecedor descumpriu a cláusula contratual crítica, mas é complicado substituí-lo”. Situações assim criam pelo menos dois riscos novos. O primeiro é a organização achar que o risco original está mitigado, quando não está. E o segundo é cultural: o que deveria ser uma regra vira uma sugestão. Conceito 2: As decisões e as escolhas devem ser feitas previamente Além de reduzir a variabilidade em comparação com decisões feitas no momento, as decisões tomadas de antemão definem o campo de atuação segura. Para operar de forma segura e operacional, um jato comercial depende de conhecimentos sofisticados de aerodinâmica, ciência dos materiais e termodinâmica. O conjunto dos parâmetros que devem ser mantidos constitui o que é conhecido como envelope de operação. Um piloto não precisa fazer os cálculos para saber se uma condição de voo é segura ou não: ele é treinado para entender como os sistemas do avião o mantém dentro do envelope, e o que fazer se um limite de segurança é atingido. A definição do envelope e das ações de contingência é uma atividade que deve ser feita previamente, considerando o peso das escolhas. Um evento da copa do mundo que dura o dobro do tempo certamente tem impactos negativos, que foram aceitos quando se definiu o protocolo. Posso imaginar que a definição dos 13 km e dos 30 min tenha sido alvo de muito debate, quando o protocolo foi definido. Eu me lembro da discussão que eu tive com um diretor comercial uma vez, em relação a riscos de atrasos de um navio. Ele dizia que aceitava o risco, mas na verdade ele acreditava que o atraso não aconteceria. São coisas muito diferentes. O que estava em discussão não era a existência do risco, mas o tamanho do risco residual que a empresa estava disposta a absorver. Aceitar um risco significa aceitar também suas consequências residuais, caso ele ocorra. Conceito 3: A forma como um risco é descrito afeta o critério de aceitação Talvez o conceito mais interessante que este caso ilustra seja o nível de aceitação de um risco como função do modo como o risco é descrito e enquadrado. Um evento durante uma tempestade pode ser definido de mais de uma forma. Uma forma é considerar o risco em termos de probabilidade e gravidade da ocorrência em si, o que talvez justifique os países que não interromperiam a partida. Mas nos Estados Unidos, um país com uma cultura muito mais agressiva de responsabilização civil e altas indenizações, o enquadramento pode ser diferente, algo como “Se houver um acidente, como justificar não ter parado a partida, se eu poderia detectar a tempestade chegando?”. Diferentes enquadramentos podem provocar decisões diferentes. Por exemplo, considere uma situação sistêmica como uma greve geral, um fator externo que impactasse as entregas para um cliente. É possível descrever o risco como “Força maior que impediu a entrega”. Mas também “Parada de um cliente causada por falha na nossa entrega”. Ou “Estrutura logística do concorrente seria menos afetada do que a nossa durante uma greve geral”. Ou ainda “Oportunidades de ganhar participação de mercado durante uma crise logística". Cada enquadramento define grau de aceitação e ações adequadas, diferentes em cada caso. E até tratar o evento como uma oportunidade potencial. Gestão de Riscos é uma questão estratégica Este caso ilustra um ponto frequentemente subestimado na gestão de fornecedores e na gestão de supply chain, e talvez até em outros temas como ESG e segurança do trabalho. A gestão de riscos tem um componente fortemente estratégico: como os riscos são definidos e como a organização se prepara e se posiciona em relação a eles. É uma atividade preventiva, que tem a enorme vantagem de poder ser feita sem a pressão de agir em reação a algo que já aconteceu e já causou consequências negativas. Você conhece os seus riscos e sabe o que faria sentido para mitigá-los, mas talvez ache que falta tempo para organizar tudo isso. Podemos ajudá-lo, e você vai ver que a confiança de ter uma gestão de riscos robusta vai liberar tempo para você cuidar dos imprevistos (sim, eles continuarão aparecendo). Comece baixando os nossos guias e estudos de caso gratuitos e fale conosco.

Compradores: Precisamos dar uma resposta melhor para a Fernanda

Por Eduardo Valença • 16 de junho de 2026

Numa tarde fria de maio em Porto Alegre, eu assistia a um seminário sobre o Futuro da Segurança do Trabalho. Naquela manhã, eu havia apresentado minhas ideias sobre integração de segurança e ESG nas decisões estratégicas e operacionais dos negócios. Talvez eu fosse o único profissional com background em compras na plateia, o que me colocaria em uma posição de observador privilegiado daquela tarde. No palco, uma mesa redonda em que gestores de segurança de várias empresas debatiam conceitos, metodologias e dificuldades de suas trajetórias de melhoria contínua da segurança do trabalho. Após os aplausos, quem levantou a mão para a primeira pergunta foi a Fernanda Mello, CEO de uma empresa gaúcha de serviços de manutenção, construção e projetos. Com um tom amigável e polido, Fernanda perguntou aos painelistas como eles viam um fato que ela observava: prestadores de serviços que colocam grande ênfase nos cuidados com segurança e qualidade acabam, muitas vezes, perdendo contratos para empresas com foco unicamente no preço. Segundo ela, isso acontece até mesmo em clientes para os quais já trabalham: novos entrantes de baixo preço são preferidos para projetos muito desejados, deixando de considerar a experiência de fornecedores que já atuam na organização. Nas respostas, os gestores de segurança reforçaram a importância que estes atributos qualitativos têm, para a segurança e para suas empresas, e em seguida falaram de vários problemas: compradores que acabam focando no preço “ por ser o que se espera deles ”, experiências boas ou ruins com um fornecedor que não são levadas em conta para outras partes da organização, falta de alinhamento entre compradores e responsáveis internos pelo serviço. São temas chave para compras, todos eles. Compradores bem formados sabem que a estratégia para serviços críticos não pode se resumir a uma mera comparação de uma tabela de preços. Esse é o caso de construção e manutenção industrial, mas há muitas categorias assim. As respostas dos gestores, precisas ou não, indicam que as organizações de compras estão falhando em endereçar corretamente estes desafios. Há três possibilidades, e nenhuma delas é positiva para compras. As áreas de compras não levam em conta nada além do preço ? Embora essa seja uma afirmação muito comum, isso não deveria acontecer. Se ainda acontece, é porque algo não está bem alinhado: seja na formação dos profissionais, seja no que a organização comunica como prioridade. Aspectos qualitativos podem ter alguma subjetividade em sua avaliação, mas estão diretamente relacionados ao valor do serviço, que precisa ser comparado junto com o preço. Não fazer essa avaliação é tão absurdo quanto considerar apenas o preço total, deixando de lado o preço unitário. A qualidade do serviço, por exemplo, impacta em outros custos internos como retrabalhos, atrasos e consumo adicional de materiais e outros serviços. E é até mais importante que o preço, em muitas situações. Há aspectos mais subjetivos, como a avaliação de riscos de um fornecedor. Aprovar um fornecedor envolve comparar aspectos presentes e concretos (como o preço) com questões futuras e incertas (como os riscos trabalhistas). É por isso que a avaliação de aspectos qualitativos e a experiência prática com o fornecedor são tão importantes, e fornecedores atuais devem passar por uma boa avaliação regular de desempenho. As outras áreas da empresa não conhecem os critérios que a área de compras adota? Se os compradores estão levando em conta critérios qualitativos, mas as áreas que usam os serviços não sabem quais são esses critérios, a situação talvez seja até mais grave . Pode haver algum desalinhamento nesses critérios, o que é esperado porque profissionais de compras tendem a ter um perfil mais generalista e menos técnico do que as áreas que efetivamente utilizam o que os fornecedores entregam. Mas o desconhecimento revela, principalmente, falta de diálogo entre compras e as diferentes áreas da empresa. Isso indica uma abordagem extremamente processual e operacional de compras, com baixo conteúdo estratégico e baixa aderência às necessidades do negócio. Ter compradores com formação suficiente para compreender bem essas necessidades, com perímetros em um tamanho que permita o adequado aprofundamento, e uma rotina de diálogo com os diferentes usuários internos são boas práticas sem as quais não existe bom desempenho em compras. Os fornecedores (principalmente os parceiros) recebem retorno sobre suas ofertas? A terceira e última possibilidade da situação levantada pela Fernanda é a ausência de clareza sobre as concorrências e seus resultados. Em um mundo em que RFP’s e RFQ’s vêm sendo progressivamente automatizadas, o processo de contratação de um fornecedor pode se tornar algo mais frio e distante, restrito ao que estiver escrito. Sem um processo de clarificação sobre os objetivos do contratante, um fornecedor não escolhido tem poucos elementos para identificar diferenças entre seu posicionamento e o que aquele cliente esperava. Afinal, cada fornecedor decide sua estratégia e suas ofertas com base em premissas distintas, que podem não estar alinhadas às prioridades do cliente para a categoria. Quando o fornecedor já atua na organização , o problema é ainda mais grave. Se você não dá a seu fornecedor os elementos para compreender os eixos de evolução dos serviços que ele presta, não pode esperar que os resultados da parceria avancem. Manter um diálogo produtivo com os fornecedores atuais assegura que as expectativas para o futuro estejam claras. Num cenário assim, o resultado de uma nova concorrência não deveria ser uma surpresa para ninguém. E agora? Que resposta podemos dar para a Fernanda? Eu não conhecia a Fernanda até ouvir a pergunta que ela fez naquela tarde fria. O que eu aprendi sobre a LES, sua empresa, em uma reportagem do Sebrae/RS, mostra que sua CEO participando de um Seminário sobre Segurança não é algo isolado. A empresa se posiciona com um foco em segurança e qualidade, tem iniciativas interessantes em inclusão e gestão de pessoas, e parece ser o tipo de fornecedor que o segmento precisa. Existem muitas outras empresas como a LES, em outros segmentos e outras regiões do Brasil. Eu conheço várias, e elas não deveriam ter dúvidas quanto à sua estratégia. Se sua área de compras ainda olha só para preço, não alinha objetivos e critérios de contratação com as outras áreas da empresa ou não se relaciona de forma estratégica com seus fornecedores, pode estar perdendo as oportunidades que estas empresas podem trazer para seu negócio. Descubra como fazer essa mudança. O relacionamento com fornecedores é um dos temas mais importantes na estratégia de compras, e você pode baixar no link do post, gratuitamente, o Mapa Zinneke da Gestão Estratégica de Fornecedores. E se você quiser aprofundar a conversa, podemos ajudá-lo a conquistar seu próximo sucesso.