A hierarquia de controles é um modelo que ordena as medidas de controle de risco ocupacional da mais eficaz para a menos eficaz, em cinco níveis: eliminação, substituição, controles de engenharia, controles administrativos e equipamento de proteção individual (EPI). Quanto mais alto o controle na hierarquia, menos ele depende do comportamento humano e mais ele reduz o risco na fonte.
A hierarquia de controles, também chamada hierarquia de medidas de controle ou hierarchy of controls, é um método sistemático para decidir como controlar a exposição a um perigo ocupacional. Em vez de tratar todas as medidas de proteção como equivalentes, ela as organiza por eficácia real: no topo estão as ações que eliminam ou reduzem o perigo na fonte, e na base estão as que apenas reduzem a exposição do trabalhador ao perigo que continua presente.
O modelo mais utilizado no mundo é o do NIOSH (National Institute for Occupational Safety and Health), dos Estados Unidos, que define cinco níveis, do mais eficaz para o menos eficaz: eliminação, substituição, controles de engenharia, controles administrativos e equipamento de proteção individual (EPI). Segundo o NIOSH, eliminação, substituição e controles de engenharia são mais eficazes porque controlam a exposição sem depender de ação humana significativa; controles administrativos e EPI dependem de esforço contínuo do trabalhador e do supervisor.
No Brasil, a lógica da hierarquia está consolidada no arcabouço regulatório. A NR-1 (Disposições Gerais e Gerenciamento de Riscos Ocupacionais) determina que, no Programa de Gerenciamento de Riscos (PGR), as medidas de prevenção sejam adotadas priorizando a eliminação dos fatores de risco e, na sua impossibilidade, medidas de proteção coletiva, medidas administrativas ou de organização do trabalho e, por último, medidas de proteção individual. A NR-6 regula especificamente o EPI e reforça que ele é indicado quando não for possível eliminar o risco por outros meios ou como complemento a medidas de proteção coletiva. A ISO 45001:2018, na cláusula 8.1.2, formaliza a mesma sequência para os sistemas de gestão de SST.
A hierarquia não é uma lista de opções entre as quais se escolhe livremente. É uma ordem de prioridade. A pergunta correta nunca é apenas "que EPI o trabalhador deve usar?", mas sim "é possível eliminar este perigo? Se não, é possível substituí-lo? Se não, é possível isolá-lo com engenharia?". O EPI só entra quando as opções superiores foram esgotadas ou enquanto elas estão sendo implementadas.
A hierarquia dá um critério objetivo para justificar investimentos em controle de risco e defender decisões perante auditorias. Um plano de ação que salta direto para o EPI, sem demonstrar que os níveis superiores foram avaliados, é uma fragilidade clássica em auditorias de ISO 45001 e em fiscalizações. Documentar o raciocínio hierárquico é tão importante quanto implementar o controle.
Controles no topo da hierarquia costumam ter custo inicial maior, mas custo operacional menor ao longo do tempo, especialmente quando protegem vários trabalhadores de uma vez. O NIOSH observa que controles de engenharia, apesar do investimento inicial, tendem a gerar custos operacionais mais baixos do que soluções que dependem de reposição contínua e treinamento recorrente, como o EPI. Para a decisão financeira, a hierarquia é uma ferramenta de gestão de risco de longo prazo, não um custo de conformidade.
Medidas nos níveis inferiores, como controles administrativos e EPI, exigem esforço permanente de quem está na operação: treinamento, rodízio, supervisão, inspeção e reposição de equipamento. Entender a hierarquia ajuda RH e operações a dimensionar corretamente a carga de gestão que cada tipo de controle impõe e a priorizar soluções que reduzam a dependência do comportamento individual.
Cada nível responde a uma pergunta diferente sobre o perigo. Percorrê-los de cima para baixo é a forma correta de construir um plano de controle robusto.
A eliminação remove fisicamente o perigo. É a solução preferencial, porque, sem perigo, não há exposição possível. Exemplos: descontinuar o uso de uma substância tóxica alterando o processo, automatizar uma tarefa perigosa para que ninguém precise executá-la, ou remover a necessidade de trabalho em altura projetando a manutenção ao nível do solo. Eliminação é mais fácil e barata na fase de projeto do que depois de o processo estar em operação.
A substituição troca a fonte do perigo por uma alternativa mais segura. O exemplo clássico do NIOSH é substituir tintas à base de solvente por tintas à base de água ou de origem vegetal. Ao substituir, é essencial comparar os riscos da alternativa com os riscos originais, para não introduzir novos perigos. Assim como a eliminação, a substituição é mais eficaz e barata quando aplicada na fase de projeto ou na escolha de novos equipamentos e insumos.
Os controles de engenharia isolam as pessoas do perigo por meio de modificações físicas no equipamento ou no ambiente: barreiras de proteção, enclausuramento, ventilação por exaustão local, sistemas de intertravamento, guardas de máquina. Segundo o NIOSH, os controles de engenharia mais eficazes fazem parte do projeto original do equipamento, bloqueiam o perigo na fonte antes que ele atinja o trabalhador, não podem ser facilmente burlados e exigem pouca ação do usuário para funcionar.
Os controles administrativos alteram a forma como as pessoas trabalham, reduzindo a duração, a frequência ou a intensidade da exposição. Incluem procedimentos operacionais, treinamento, rodízio de tarefas, sinalização, pausas adequadas, limitação de acesso a áreas perigosas e ajuste do ritmo das operações. Não eliminam o perigo: gerenciam a exposição a ele, e por isso dependem de disciplina e supervisão contínuas.
O EPI é o equipamento usado pelo trabalhador para minimizar a exposição: luvas, óculos de segurança, protetores auriculares, capacetes, respiradores. É o último nível da hierarquia. O NIOSH é explícito: os empregadores não devem confiar apenas no EPI para controlar perigos quando existem outras opções de controle eficazes. O EPI pode ser eficaz, mas somente quando o trabalhador o usa de forma correta e consistente.
O EPI ocupa a base da hierarquia por uma razão estrutural: ele não elimina o perigo, apenas coloca uma barreira entre o trabalhador e um perigo que continua totalmente presente. Se essa barreira falhar, ou se não for usada corretamente, a exposição acontece de imediato. Ao contrário de um controle de engenharia, que protege de forma passiva e contínua, o EPI depende de três fatores frágeis simultâneos: o equipamento certo estar disponível, estar em bom estado e ser usado de forma correta o tempo todo, por cada trabalhador exposto.
Isso transfere a responsabilidade do controle do sistema para o indivíduo. Um respirador mal vedado, um protetor auricular usado de forma intermitente ou uma luva com furo invisível anulam a proteção sem qualquer aviso. Por isso o NIOSH determina que, quando o EPI é necessário, o empregador deve implementar um programa completo de EPI, que inclui avaliação dos perigos do local, seleção e uso corretos, inspeção e substituição do equipamento danificado, treinamento e monitoramento contínuo da eficácia.
O EPI também pode parecer mais barato à primeira vista, mas torna-se caro ao longo do tempo, sobretudo quando usado diariamente por muitos trabalhadores. Nada disto significa que o EPI é dispensável: ele é obrigatório quando os outros controles ainda estão em desenvolvimento, quando não conseguem reduzir suficientemente a exposição, ou quando é a única opção disponível. O erro não é usar EPI; o erro é usá-lo como primeira e única resposta a um risco que poderia ser controlado na fonte.
A hierarquia de controles é frequentemente confundida com a avaliação de risco, mas as duas cumprem funções distintas e complementares. A avaliação de risco identifica os perigos e estima a probabilidade e a severidade do dano: responde "o que pode dar errado e qual o tamanho do problema?". A hierarquia de controles entra depois: responde "o que fazer a respeito, e em que ordem de prioridade?". Uma boa avaliação de risco sem hierarquia de controles gera diagnósticos sem tratamento; uma hierarquia aplicada sem avaliação de risco gera controles sem foco.
Na prática, o fluxo correto é identificar o perigo, avaliar o risco associado e, então, percorrer a hierarquia de cima para baixo para definir o controle. Depois de implementado, o controle deve ser reavaliado: reduziu o risco a um nível aceitável? Se não, é preciso subir na hierarquia ou combinar controles. É por isso que a ISO 45001 trata a hierarquia dentro do ciclo de melhoria contínua, e não como uma decisão única.
Aplicar a hierarquia de forma consistente é menos uma questão de conhecimento técnico e mais uma questão de disciplina de processo. A sequência abaixo funciona para praticamente qualquer perigo ocupacional.
1. Identifique o perigo com precisão. Antes de pensar em controle, descreva o perigo em termos concretos: o que é, onde ocorre, quem é exposto e em que condições.
2. Pergunte se é possível eliminar. Existe uma forma de remover completamente o perigo, redesenhando o processo, a tarefa ou o espaço? Esta pergunta deve ser feita primeiro, sempre.
3. Se não, avalie a substituição. É possível trocar a substância, o material, o equipamento ou o método por uma alternativa comprovadamente mais segura, sem introduzir novos riscos?
4. Se não, projete controles de engenharia. Como isolar fisicamente as pessoas do perigo? Barreiras, enclausuramento, ventilação, intertravamento e guardas devem ser considerados antes de qualquer procedimento.
5. Adicione controles administrativos. Procedimentos, treinamento, sinalização e limitação de acesso reduzem a exposição residual, mas nunca substituem os níveis superiores.
6. Especifique o EPI necessário. Defina o EPI adequado ao risco residual, com programa de seleção, inspeção, treinamento e reposição.
7. Reavalie e documente. Verifique se o conjunto de controles reduziu o risco a um nível aceitável, registre a decisão e reveja periodicamente.
Na maioria dos casos reais, a proteção robusta não vem de um único nível, mas da combinação de vários: um controle de engenharia que reduz a maior parte da exposição, reforçado por procedimentos administrativos e complementado por EPI para o risco residual. A hierarquia orienta a prioridade do investimento, não exige a escolha de um único controle.
Numa linha de estamparia metálica, o perigo de esmagamento em prensas pode ser eliminado automatizando a alimentação de peças, de forma que o operador não precise inserir a mão na zona de trabalho. Onde a automação não é viável, controles de engenharia como guardas fixas, sensores de cortina de luz e dispositivos de intertravamento isolam a zona perigosa. Procedimentos de bloqueio e etiquetagem (LOTO) durante a manutenção e o EPI, como luvas anticorte, completam o conjunto para o risco residual.
Em manutenção de redes elétricas, o risco de choque pode ser eliminado projetando intervenções que não exijam contato com partes energizadas, ou substituído pela desenergização completa do circuito antes do trabalho. Quando a intervenção em tensão é inevitável, controles de engenharia (barreiras isolantes, aterramento temporário) e controles administrativos (permissão de trabalho, ou PTW, e procedimentos de linha viva) governam a exposição. O EPI dielétrico é a última camada. Em espaços confinados de estações de tratamento de água, a ventilação forçada (engenharia) precede sempre o uso de respiradores.
Na manipulação de solventes voláteis, a substituição por alternativas de menor toxicidade ou menor volatilidade é o controle preferencial. Onde a substância perigosa é indispensável, a ventilação por exaustão local captura o contaminante na fonte, antes que atinja a zona de respiração do trabalhador. Procedimentos de manuseio e o uso de respiradores adequados cobrem o risco residual, mas nunca substituem a exaustão bem projetada.
Em plantas de celulose, a exposição a agentes de branqueamento, como o dióxido de cloro, é controlada primariamente por enclausuramento e sistemas fechados de dosagem (engenharia), com monitoramento contínuo de atmosfera. O ruído elevado de picadores e caldeiras é atacado primeiro por controles de engenharia (enclausuramento acústico, manutenção que reduz a fonte de ruído) e só depois por rodízio de exposição e protetores auriculares.
Na produção de ingredientes farmacêuticos ativos (APIs) de alta potência, a contenção é o princípio dominante: isoladores, sistemas fechados de transferência e salas com pressão diferencial (engenharia) mantêm o composto contido antes de qualquer confiança em EPI. Procedimentos de limpeza validados e controle de acesso complementam a contenção. Respiradores e vestuário de proteção entram apenas para o risco residual de tarefas específicas.
Em sistemas de refrigeração industrial que usam amônia, o risco de vazamento é controlado primeiro por engenharia: detecção de gás, ventilação de emergência, válvulas de alívio e salas de máquinas isoladas. Procedimentos de resposta a emergência e treinamento cobrem o cenário de falha, e o EPI respiratório de emergência é a última camada. O mesmo raciocínio se aplica a espaços confinados de tanques e à higienização com produtos químicos agressivos.
A hierarquia é simples de enunciar e difícil de aplicar com disciplina. Os erros abaixo são os que mais comprometem programas de segurança.
A qualidade da aplicação da hierarquia reflete-se diretamente nos indicadores de segurança. Programas que dependem excessivamente de EPI e controles administrativos tendem a apresentar maior variabilidade de resultados, porque o desempenho depende do comportamento humano no dia a dia. Já a migração para controles no topo da hierarquia reduz a exposição de forma estrutural e, com o tempo, pressiona para baixo indicadores como a taxa de frequência de acidentes registráveis (TRIR).
A TRIR mede o número de casos registráveis por 200.000 horas trabalhadas e é um indicador reativo: mostra o que já aconteceu. A força da hierarquia de controles é atuar antes, sobre a causa. Ao acompanhar quantos controles de risco estão nos níveis superiores da hierarquia, versus quantos dependem de EPI e procedimentos, a organização obtém um indicador proativo (leading indicator) da robustez do seu sistema de prevenção.
Para entender como a taxa de frequência de acidentes registráveis é calculada e interpretada, consulte a página completa: [TRIR — Total Recordable Incident Rate].
Durante décadas, a hierarquia de controles viveu em planilhas, procedimentos em papel e avaliações de risco arquivadas em pastas. O problema não era o conceito, mas a rastreabilidade: era difícil saber, a qualquer momento, quais controles estavam ativos, quais tinham sido reavaliados e quantos dependiam apenas de EPI. A decisão hierárquica ficava registrada uma vez e raramente era revisitada.
A digitalização muda isso. Um software de EHSQ permite ligar cada perigo identificado à avaliação de risco, ao controle escolhido e ao seu nível na hierarquia, criando um registro vivo e auditável. Controles administrativos, como permissões de trabalho e procedimentos, passam a ter dono, prazo e evidência de execução. Ações corretivas e preventivas (CAPA) originadas de incidentes ou auditorias ficam vinculadas ao controle que falhou, fechando o ciclo entre o evento e a melhoria do sistema.
Mais importante, a captura digital de dados no ponto de operação, feita pelo próprio operador de campo, alimenta indicadores proativos. Em vez de descobrir a fragilidade de um controle apenas depois do acidente, a organização passa a correlacionar quase-acidentes, inspeções e desvios com os controles que dependem de comportamento humano, antecipando onde a hierarquia precisa ser reforçada. É a diferença entre gerir a segurança pelo retrovisor e geri-la olhando para a frente.
.webp)
É um modelo que ordena as medidas de controle de risco ocupacional da mais eficaz para a menos eficaz, em cinco níveis: eliminação, substituição, controles de engenharia, controles administrativos e EPI. A lógica é priorizar sempre o controle que atua mais perto da fonte do perigo..
Segundo o NIOSH: eliminação (remover o perigo), substituição (trocar por alternativa mais segura), controles de engenharia (isolar as pessoas do perigo), controles administrativos (mudar a forma de trabalhar) e equipamento de proteção individual (EPI).
Porque o EPI não elimina o perigo: apenas cria uma barreira entre o trabalhador e um perigo que continua presente. Sua eficácia depende totalmente do uso correto e consistente, o que o torna o controle mais frágil e sujeito a falha humana.
Não. O EPI é obrigatório quando os outros controles ainda estão em desenvolvimento, quando não reduzem suficientemente a exposição, ou quando é a única opção disponível. O erro não é usar EPI, mas usá-lo como primeira e única resposta a um risco controlável na fonte.
O controle de engenharia modifica o ambiente físico ou o equipamento para isolar o perigo (por exemplo, uma barreira ou ventilação) e funciona de forma passiva. O controle administrativo muda a forma como as pessoas trabalham (procedimentos, treinamento, rodízio) e depende de esforço humano contínuo.
A NR-1 estabelece que as medidas de prevenção devem ser adotadas priorizando a eliminação dos riscos e, na sua impossibilidade, medidas de proteção coletiva, depois administrativas e, por último, medidas de proteção individual. A NR-6 regula o uso do EPI. A lógica hierárquica é, portanto, um requisito regulatório.
O modelo do NIOSH usa cinco níveis. Algumas representações adicionam um sexto elemento, como "prevenção pelo projeto" (prevention through design), colocado no topo. A essência é a mesma: priorizar o controle mais próximo da fonte. A ISO 45001, na cláusula 8.1.2, adota a mesma sequência de prioridade.
Sim, e na prática a proteção robusta quase sempre combina vários níveis: um controle de engenharia que reduz a maior parte da exposição, reforçado por procedimentos e complementado por EPI para o risco residual. A hierarquia orienta a prioridade, não obriga a escolher um único controle.
A avaliação de risco identifica e dimensiona o perigo; a hierarquia define o que fazer a respeito e em que ordem. Primeiro se avalia o risco, depois se percorre a hierarquia de cima para baixo, e por fim se reavalia se o controle reduziu o risco a um nível aceitável.
Um software de EHSQ liga cada perigo ao seu controle e ao respectivo nível na hierarquia, torna procedimentos e permissões rastreáveis com dono e prazo, vincula ações corretivas ao controle que falhou e alimenta indicadores proativos. O Glartek foi desenhado para isso: conectar a captura de dados do operador de campo à gestão do risco, tornando a hierarquia de controles um registro vivo e auditável, e não um documento esquecido.
Solicite uma demonstração
Inicie sua jornada em EHSQ (SSMA) com a Glartek e torne-se um líder no seu setor.
Agende uma demonstração.webp)
Descubra o poder da única Solução EHSQ (SSMA) nativa em IA desenvolvida para a linha de frente
.webp){kind=small}
