Vale Brumadinho transformou declarações de estabilidade de barragens de rejeitos em um teste de responsabilidade de garantia independente

Resumo

• Em 25 de janeiro de 2019, a Barragem B1 da Vale no mina do Córrego do Feijão rompeu por volta das 12h28, horário local. O painel técnico contratado por meio do consultor jurídico da Vale estimou que aproximadamente 9,7 milhões de metros cúbicos, cerca de três quartos dos rejeitos armazenados, deixaram o reservatório em menos de cinco minutos. Duzentas e setenta pessoas morreram. O modo físico mais consistentemente apoiado pelo registro técnico é a liquefação por fluxo estático de rejeitos soltos, saturados e frágeis em uma barragem cujas elevações a montante deixaram a construção posterior assentada sobre material mais fraco.
• Uma declaração de estabilidade não representava uma constatação completa de segurança. A declaração assinada comunicava um resultado binário enquanto as análises subjacentes continham fatores de segurança marginais, suposições dependentes do método, preocupações com drenagem e compromissos com trabalhos futuros. O Comitê Extraordinário de Consultoria Independente para Investigação encomendado pelo conselho da Vale concluiu que o suporte à declaração não foi carregado na íntegra no sistema federal e que os relatórios sêniores enfatizavam a porcentagem de declarações positivas em vez da incerteza específica na Barragem B1.
• O controle prático era distribuído, mas não igual. A Vale controlava a instalação, os dados operacionais, a contratação de especialistas, os orçamentos, o uso do solo abaixo da barragem, o planejamento de emergência e a decisão de parar, drenar, reforçar ou realocar. A TUV SUD Bureau de Projetos e Consultoria forneceu as declarações de março e setembro de 2018 e tinha deveres profissionais sobre seu próprio trabalho. A Agência Nacional de Mineração, ou ANM, estabelecia e aplicava o regime de barragens de mineração, mas dependia fortemente de informações fornecidas pelo proprietário e tinha capacidade de campo limitada. Os respondentes municipais, estaduais e federais não podiam substituir decisões que pertenciam a montante no ciclo de vida.
• O evento iniciador exato permanece contestado. O painel técnico dirigido pela empresa atribuiu o início à fluência interna contínua combinada com uma redução na sucção da estação chuvosa e não encontrou um gatilho global suficiente das perfurações realizadas naquele dia. Uma teoria posterior da Polícia Federal tratou a perfuração com injeção de água como determinante. Em junho de 2026, o Superior Tribunal de Justiça do Brasil afirmou que esta disputa técnica deve ser testada no julgamento criminal; não decidiu o mérito. O desacordo não apaga o antecedente comum: uma estrutura já suscetível à liquefação frágil e um processo de garantia que não forçou uma ação conservadora.
• Os resultados da aplicação da lei devem ser separados. Medidas cíveis e administrativas produziram um acordo judicial de reparação de R$ 37,69 bilhões, uma multa anticorrupção de R$ 86,3 milhões contra a Vale que sobreviveu à revisão no Superior Tribunal de Justiça, e uma sanção administrativa federal contra a TUV SUD. Reivindicações de valores mobiliários nos Estados Unidos foram resolvidas sem que a Vale admitisse ou negasse as alegações resolvidas. Processos criminais contra pessoas físicas e jurídicas permaneceram ativos em 2026, sem julgamento final de mérito criminal estabelecendo culpa até a data de acesso.
• A reparação é material, mas ainda não redutível a uma porcentagem de conclusão. A Vale informou em dezembro de 2025 que havia concluído o trabalho de descaracterização em 19 das 30 estruturas a montante e disse ter implementado o Padrão Global da Indústria para Gestão de Rejeitos em todo o seu portfólio. Essas são divulgações da empresa, não substitutos para a aceitação do regulador, evidências de conformidade independentes, resultados de água e saúde de longo prazo, ou prova de que a compensação e projetos coletivos restauraram vidas afetadas. Páginas oficiais de Minas Gerais ainda descreviam estudos de risco à saúde e ecológicos, monitoramento de água e obrigações do acordo como contínuos em julho de 2026.

A declaração era um produto de controle, não a condição da barragem

Brumadinho é frequentemente narrado como um conflito entre um papel assinado e uma estrutura colapsada. Esse enquadramento é muito estreito. Uma Declaração de Condição de Estabilidade, conhecida no Brasil como DCE, era o produto visível de um sistema de controle maior. O sistema incluía o histórico de construção da barragem, modelos geotécnicos, suposições de laboratório, instrumentação, inspeções visuais, desempenho de drenagem, julgamentos do contratante, processos internos de risco da Vale, escalonamento do conselho, dados regulatórios e consequências de emergência. Uma assinatura válida só poderia ser tão confiável quanto essa cadeia.

Se a incerteza fosse filtrada antes de chegar ao signatário, ou se um signatário pago pudesse declarar estabilidade enquanto fazia de medidas futuras uma condição de conforto, a declaração deixava de funcionar como um desafio independente.

A nota pública inicial da ANM registra que a Barragem B1 tinha declarações associadas a março, junho e setembro de 2018, com a declaração de setembro atribuída a uma auditoria independente, e que a entrada de inspeção de dezembro de 2018 da Vale não relatou nenhum problema de segurança. A ANM classificou a barragem como de baixo risco, mas com alto potencial de dano associado. Essa combinação é importante: um rótulo de baixa probabilidade não significava baixa consequência, e uma declaração positiva não significava que todos os caminhos de falha críveis haviam sido eliminados. O registro inicial está disponível em source: gov.br.

A falha de responsabilidade foi, portanto, tanto semântica quanto técnica. “Estável” poderia ser lido por um executivo, regulador ou investidor como uma ampla garantia de segurança. No trabalho de engenharia por trás da declaração, significava que análises selecionadas atendiam a um mínimo aceito sob suposições selecionadas. A investigação encomendada pelo conselho da Vale posteriormente descreveu fatores de segurança próximos ao limite, divergências sobre o mínimo aplicável e medidas planejadas que ainda não haviam alterado a estrutura. A reportagem binária escondia a distância entre “cálculo passa” e “risco controlado”.

Um controle robusto comunicaria a margem, sensibilidade, qualidade dos dados, anomalias não resolvidas, exposição a consequências e ações ainda em aberto. Também afirmaria quem tinha autoridade para parar as operações ou remover pessoas enquanto essas ações permanecessem em aberto.

Essa distinção é importante além da mineração. Agências públicas, plataformas empresariais e prestadores de serviços menores consomem produtos de garantia. Um resultado assinado pode se propagar automaticamente através de compras, seguros, financiamento, licenciamento e planos de continuidade. Se os usuários a jusante veem apenas um status de aprovação, a automação aumenta a velocidade e a escala da confiança mal colocada. Brumadinho demonstra que os dados de garantia precisam de proveniência, evidências de suporte e estados de escalonamento. Nunca deve permitir que um único campo booleano apague uma exceção de alta consequência.

O controle prático seguiu a evidência, o dinheiro e a autoridade

A Vale detinha os controles práticos dominantes. Ela possuía e operava a mina; herdou e gerenciou a Barragem B1; encomendou estudos geotécnicos; forneceu dados de instrumentação e operacionais; selecionou e pagou contratantes; decidiu onde funcionários e contratantes trabalhavam; manteve o plano de emergência; controlou os edifícios administrativos a jusante e a área de refeições; e podia financiar drenagem, reforço, descaracterização, realocação ou fechamento. Ela também controlava o que viajava dos especialistas do local para a reportagem de risco corporativo e divulgação pública.

Nada disso significa que todo funcionário da Vale tinha o mesmo conhecimento ou responsabilidade legal. Significa que a corporação podia combinar informações e recursos de uma forma que nenhum participante externo podia.

O contratante de garantia detinha um controle mais restrito, mas ainda consequente. A unidade brasileira da TUV SUD realizou trabalhos de suporte às declarações de estabilidade. Uma empresa profissional controla sua metodologia, limite de aceitação, qualificações, documentação, reservas e disposição para assinar. Pode recusar um compromisso, qualificar uma opinião ou retirar-se quando as evidências são insuficientes. No entanto, sua decisão operava dentro de uma relação comercial.

O comitê da Vale concluiu que as empresas que realizam revisões de barragens também podiam buscar outras atribuições geotécnicas da mesma área de negócios, e descreveu comunicações em que a pressão comercial era percebida. A TUV SUD contestou publicamente as alegações e disse após o desastre que o quadro de declarações brasileiro envolvia incerteza; sua posição está registrada em source: tuvsud.com.

A existência e o efeito legal de qualquer pressão são questões para os processos competentes, mas o conflito estrutural é independentemente visível: a parte que precisava da declaração escolheu e pagou a parte cuja recusa poderia atrapalhar seus planos.

A ANM controlava a regulamentação, os requisitos de registro, a inspeção, a aplicação e a interdição. Não controlava a condição diária da barragem nem gerava os dados brutos do proprietário. Seu relatório técnico pós-falha disse que o sistema federal dependia substancialmente de informações submetidas pelos operadores e identificou discrepâncias entre os registros da Vale e as entradas no Sistema Integrado de Gestão de Segurança de Barragens de Mineração, ou SIGBM.

A ANM também informou que sua equipe regional tinha oito técnicos responsáveis por 425 barragens cobertas pela política nacional na época relevante, e que a última inspeção de campo da agência na Barragem B1 havia sido em 2016. O relato da agência está em source: gov.br. Limitações de recursos explicam parte da lacuna de vigilância; não transferem o dever do operador de conhecer e relatar sua instalação.

Outras instituições controlaram estágios posteriores. Órgãos ambientais estaduais e de defesa civil tinham funções de licenciamento, emergência e resposta. Promotores podiam buscar injunções e reparação. Inspetores do trabalho podiam investigar a proteção no local de trabalho. Tribunais podiam impor ou revisar remédios. Investidores e credores podiam exigir divulgação ou alterar o acesso a capital. Comunidades possuíam conhecimento local e direitos, mas não tinham o mesmo acesso a instrumentos, modelos, contratos ou documentos do conselho. Chamar todos os atores de “partes interessadas” pode obscurecer essa assimetria.

A responsabilidade deve seguir a capacidade real do ator de ver o risco, mudar a condição física, prevenir a exposição ou compelir outro ator a agir.

O mapa de controle correto é, portanto, temporal. Antes da falha, a Vale e sua cadeia de garantia tinham os controles de prevenção mais fortes; a ANM tinha controles de supervisão e compulsão; as autoridades de emergência tinham controles de preparação; e trabalhadores e residentes tinham pouco mais do que confiança e a capacidade de relatar preocupações visíveis. Após a falha, promotores, reguladores, tribunais e governos ganharam controles de aplicação e reparação mais fortes. Um pagamento pós-desastre não pode retroativamente igualar um veto de engenharia pré-desastre.

Da mesma forma, um regulador externo não pode inspecionar continuamente o suficiente para se tornar o operador. Cada controle deve ser avaliado no momento em que poderia ter mudado o resultado.

Um longo histórico de construção criou uma condição que instantâneos poderiam perder

A Barragem B1 começou a operar na década de 1970 e foi elevada a montante ao longo de décadas. O relatório do painel técnico descreve dez elevações ao longo de aproximadamente 37 anos, com a deposição terminando em julho de 2016 e nenhuma elevação após 2013. Na construção a montante, estágios posteriores de aterro avançam sobre rejeitos previamente depositados, em vez de permanecer inteiramente em uma fundação convencional a jusante. Esse método pode ser gerenciado apenas se o estado do material, água, drenagem, geometria e carregamento permanecerem compreendidos e controlados.

É inerentemente sensível à resistência e saturação dos rejeitos abaixo das elevações posteriores.

O painel concluiu que os rejeitos armazenados eram excepcionalmente pesados devido ao seu teor de ferro, e que porções eram soltas, saturadas, coesas e frágeis. Sob pequena deformação, esse material pode parecer suportar carga; após sua estrutura se romper, pode contrair e perder resistência rapidamente. As elevações superiores também moveram o talude para fora sobre rejeitos finos mais fracos, enquanto a drenagem interna não controlava o regime de água como pretendido. O painel concluiu que um mecanismo de liquefação por fluxo era possível sem um choque externo convencional.

Seu relatório completo está disponível em source: bdrb1investigationstacc.z15.web.core.windows.net.

Esse relatório tem alto valor técnico, mas um limite de independência definido. A Vale divulgou que o painel foi contratado pela Skadden, sob orientação da Vale, para fornecer aconselhamento jurídico, que nem a Skadden nem o painel realizaram trabalho independente da empresa, e que o painel não foi contratado pelo comitê extraordinário de investigação do conselho. O próprio aviso de contratação da Vale declara esses limites em source: vale.com. Isso não invalida as medições ou cálculos.

Significa que os leitores devem comparar as conclusões do painel com registros regulatórios, policiais, trabalhistas, legislativos e judiciais, em vez de tratar o relatório como uma adjudicação neutra de responsabilidade.

O histórico da barragem também derrota um erro comum de instantâneo. Um instrumento pode permanecer dentro do seu limite de alerta na manhã final, mesmo quando a estrutura se aproximou de um limite frágil ao longo de anos. Uma inspeção visual pode não encontrar nova fissura, mesmo que o modelo seja sensível a suposições sobre resistência não drenada. Os níveis de água podem parecer estáveis enquanto a sucção do material muda durante a chuva. Estabilidade não é uma fotografia; é uma afirmação sobre como a estrutura responderá a estados plausíveis.

Para uma barragem a montante de alta consequência, o processo de garantia precisava integrar legado de construção, variabilidade de material, desempenho de drenagem, mudança sazonal e incerteza, não apenas perguntar se as últimas leituras cruzaram uma linha pré-selecionada.

É por isso que a evidência retrospectiva não deve ser simplificada para “os instrumentos alertaram” ou “não houve alerta”. A ANM posteriormente identificou anomalias relatáveis e discrepâncias de dados. O painel técnico não encontrou um precursor claro e acelerador nas séries de monitoramento específicas que avaliou. Ambos podem ser verdadeiros. Um sistema de controle pode ter evidências suficientes para exigir cautela sem produzir um sinal final nítido que preveja o minuto do colapso. A garantia independente ganha seu valor precisamente quando a evidência é ambígua, mas as consequências são extremas.

De 2016 a 2018, evidência marginal foi convertida em aprovação

O Comitê Extraordinário de Consultoria Independente para Investigação da Vale, abreviado como CIAEA no registro de origem, foi nomeado pelo conselho após a falha. Seu relatório executivo de fevereiro de 2020 reconstrói uma sequência em que preocupações de estabilidade existiam antes das declarações de 2018. Diz que análises de 2016 produziram resultados desfavoráveis e que trabalhos posteriores permaneceram marginais. Em uma análise central, o fator de segurança pico não drenado era cerca de 1,09.

O relatório diz que um mínimo de 1,05 foi usado, embora a publicação referenciada não tenha estabelecido esse valor como mínimo geral para esta aplicação. Contrasta essa abordagem com outras práticas de barragens da Vale e uma recomendação de engenharia brasileira de 1,3.

Um fator de segurança é um resultado de modelo, não uma barreira física. Seu significado depende da geometria, resistências do material, poropressões, suposições de drenagem, casos de carregamento e a superfície de falha analisada. Uma diferença entre 1,09 e 1,05 não é uma reserva de segurança de quatro pontos percentuais que pode ser entendida como uma proporção financeira. A incerteza nos parâmetros de entrada pode ser maior que a margem numérica. Para um material frágil e uma zona de consequência contendo um local de trabalho, um resultado marginal deve intensificar o desafio, os testes de sensibilidade e a redução da exposição.

O comitê diz que a TUV SUD inicialmente indicou que não poderia emitir uma declaração quando o resultado estivesse abaixo de 1,3, depois emitiu a declaração de março de 2018 usando o limite inferior após discussões e com compromissos para ações futuras. O relatório também descreve a saída de um consultor anterior do trabalho em meio a uma divergência sobre critérios e comunicações posteriores em torno da declaração de setembro. Essas são conclusões de um comitê encomendado pelo conselho da Vale, não conclusões judiciais finais contra qualquer indivíduo ou empresa.

O comitê afirmou explicitamente que não estava determinando responsabilidade legal e não podia garantir que havia encontrado todos os fatos relevantes. Seu relatório executivo, incluindo essas limitações, está em source: vale.com.

O defeito crítico de controle é visível sem resolver cada mensagem contestada. Uma declaração de estabilidade representava condição presente, enquanto parte do conforto que a sustentava dependia de trabalhos ainda a serem realizados. Onde uma barragem passa apenas se drenagem planejada, investigações ou controles operacionais melhorarem a confiança posteriormente, o sistema não deve exibir uma aprovação atual incondicional. Deve exibir um estado restrito, prazo de conclusão, proprietário nomeado e escalonamento automático se a evidência estiver atrasada ou adversa.

Caso contrário, uma lista de ações se torna uma condição invisível anexada a uma garantia pública.

A declaração também viajou sem seu contexto analítico completo. A CIAEA relatou que a DCE era um documento curto e que a análise detalhada do fator de segurança não foi colocada no SIGBM. Esse design deu ao regulador um resultado sem a mesma capacidade de testar as suposições por trás dele. Também permitiu que a reportagem corporativa agregasse declarações positivas em muitas barragens. Um portfólio mostrando 100% de DCEs positivas parece reconfortante, mas não revela se uma estrutura de alta consequência passou por um método estreito e contestado.

O comitê da Vale também concluiu que a informação de risco mudava à medida que subia. Descreveu o aparecimento da Barragem B1 em um painel de risco técnico mais detalhado e sua ausência, por nome, das visões empresariais de nível superior. Também não encontrou evidências de que o conselho discutiu o baixo fator de segurança ou a remoção das instalações administrativas a jusante. Isso não prova que todo executivo conhecia todos os fatos técnicos. Mostra que a arquitetura de governança não preservava de forma confiável a gravidade específica da instalação à medida que a informação era resumida.

A responsabilidade se prende a essa arquitetura porque a agregação era uma escolha de design.

Dados de monitoramento não se tornaram uma decisão conservadora

O relatório de segurança de barragens de mineração de 2019 da ANM lista um conjunto substancial de monitoramento na Barragem B1: piezômetros, instrumentos de nível de água, inclinômetros, pontos de levantamento, medições de fluxo e radar. A contagem de instrumentos sozinha não produziu controle. A agência encontrou inconsistências entre as informações internas da Vale e a reportagem regulatória, incluindo um evento relacionado à drenagem, leituras e comportamento de radar que não foram representados no SIGBM com a gravidade que a ANM posteriormente considerou apropriada.

Também descreveu uma ocorrência de emergência de piezômetro em 10 de janeiro de 2019 que não foi relatada à agência da forma exigida. O relatório anual detalhado pode ser revisado em source: gov.br.

A lição não é que toda leitura anômala prova falha iminente. Falsos positivos, instrumentos defeituosos e efeitos locais são realidades normais da engenharia. A lição é que um sistema de garantia de alta consequência deve preservar anomalias até que uma revisão autorizada e documentada as explique. Uma pontuação local não deve se tornar uma pontuação nacional inferior através de mapeamento não explicado. Um instrumento classificado como emergência deve criar um registro de caso durável, revisão independente e evidência de encerramento. O movimento do radar deve ser reconciliado com levantamento e modelos geotécnicos.

O proprietário não deve ser a única parte capaz de ver as séries brutas ou alterar a interpretação fornecida ao regulador.

A ANM concluiu que informações corretas e pontuais poderiam ter mudado sua resposta, incluindo possíveis medidas de precaução ou interdição. Essa é a avaliação contrafactual da agência, não prova de que uma inspeção específica teria certamente prevenido a falha. Permanece relevante porque identifica o controle perdido através de reportagens incompletas. Um regulador não pode classificar riscos que não pode ver. Por outro lado, a existência de um registro não torna o regulador o autor dos dados da empresa.

A agência interditou o complexo do Córrego do Feijão no dia da falha, conforme registrado em source: gov.br. A interdição após o colapso protegeu contra perigos adicionais, mas ilustra o problema de tempo. Um poder de parar o trabalho é mais importante quando a evidência cruza um limiar de decisão pré-falha. O sistema futuro, portanto, precisa de estados graduados antes que uma declaração expire: normal, vigilância intensificada, operação restrita, pessoas removidas da zona de auto-resgate e emergência. Esses estados devem ser impulsionados por incerteza e consequência, bem como por movimento medido.

Em 25 de janeiro, a falha superou a arquitetura de emergência

O vídeo e a reconstrução técnica colocam o colapso inicial por volta das 12:28. O painel relatou que o movimento principal se desenrolou em segundos e a maior parte do material liberado saiu em minutos. As instalações administrativas e de refeições ficavam diretamente a jusante. O comitê da Vale disse que estudos de inundação indicavam que algumas áreas ocupadas poderiam ser alcançadas em aproximadamente um minuto. Um sistema de alerta projetado em torno da ativação de sirenes após a confirmação da falha não poderia fornecer um intervalo de evacuação significativo para pessoas localizadas tão próximas.

As sirenes não soaram efetivamente antes da onda atingir as instalações da mina. Essa falha foi importante, especialmente para entender a prontidão de emergência e o possível alerta mais adiante no caminho. Mas não deve ser usada para esconder a decisão anterior de uso do solo. O primeiro controle de segurança de vida era manter edifícios ocupados rotineiramente fora da zona de auto-resgate. A análise oficial da inspeção do trabalho trata a localização do local de trabalho, o planejamento de emergência e a condição física da barragem como controles ocupacionais conectados, não sistemas isolados. O relatório está em source: gov.br.

Essa separação é importante para a responsabilidade. Prevenção de estabilidade, redução de exposição e alerta são camadas independentes. Uma declaração de estabilidade positiva nunca deve renunciar ao posicionamento seguro. O posicionamento seguro nunca deve renunciar ao monitoramento. Uma sirene nunca deve ser o único plano para uma zona ocupada com um minuto de tempo de chegada modelado. Quando uma camada é fraca, outra deve permanecer eficaz. Em Brumadinho, a mesma organização controlava a estrutura, o local de trabalho abaixo dela e os arranjos de emergência, ainda assim os controles não se compensavam mutuamente.

O número exato usado na linguagem memorial pública também requer cuidado. Duzentas e setenta pessoas foram mortas, incluindo duas mulheres que estavam grávidas; as comemorações em Minas Gerais frequentemente se referem a 272 vidas ou “joias” para incluir as duas crianças não nascidas. A distinção explica por que fontes oficiais podem exibir 270 e 272 sem descrever desastres diferentes. Um relato memorial da Polícia Civil de Minas Gerais explica a convenção em source: agenciaminas.mg.gov.br. Este artigo usa 270 pessoas para a contagem de fatalidades, respeitando o total memorial.

O modo de falha física é mais claro que o gatilho iniciador

A conclusão técnica comum mais forte é que a Barragem B1 sofreu liquefação por fluxo estático. Uma vez que a deformação rompeu a estrutura solta e frágil dos rejeitos saturados, sua resistência disponível caiu e uma falha de propagação rápida se seguiu. O painel identificou vários contribuintes de longo prazo: rejeitos finos fracos sob partes do aterro elevado, condições de água elevadas, drenagem interna inadequada, a geometria das elevações a montante, ligação de material que encorajava resposta frágil e fluência contínua. Nenhuma evidência de terremoto ou explosão de mina antes do colapso forneceu um gatilho externo convencional.

Este é um relato de causa raiz no nível do sistema físico. É mais forte do que dizer “a chuva fez a barragem falhar” ou “um furo fez a barragem falhar”. A chuva sazonal pode alterar a sucção e as condições de água nos poros, mas uma estrutura de alta consequência adequadamente controlada deve tolerar o clima esperado. A perfuração pode alterar localmente as condições de tensão ou água, mas seu efeito depende do estado já marginal do material. Um gatilho não é o mesmo que a suscetibilidade acumulada que permite que uma perturbação minúscula ou mudança interna produza perda catastrófica.

O trabalho numérico do painel dirigido pela empresa apoiou a iniciação por fluência interna e perda de sucção durante a estação chuvosa. Examinou a perfuração ocorrendo em 25 de janeiro e concluiu que a perturbação modelada não era suficiente para causar falha global. Essa conclusão não encerrou o assunto. Um relatório posterior da Polícia Federal avançou a teoria de que a perfuração com injeção de água foi um evento iniciador determinante. Os réus contestaram a relação entre essa teoria e o relato do painel.

Em junho de 2026, o Superior Tribunal de Justiça manteve os processos criminais contra engenheiros da Vale e da TUV SUD e disse que as interpretações técnicas concorrentes requerem teste probatório no julgamento. O relatório do tribunal observa que omissões e um gatilho ativo não precisam ser teorias legais mutuamente exclusivas. Não concluiu que a perfuração causou o colapso, validou todas as alegações da acusação ou determinou culpa. A decisão e seu escopo processual estão descritos em source: stj.jus.br.

A conclusão disciplinada é, portanto, em camadas.Fato confirmado:a barragem era suscetível a uma falha de liquefação frágil e falhou por fluxo rápido.Inferência apoiada, mas contestada:fluência de longo prazo e perda de sucção da estação chuvosa iniciaram a falha sem um grande evento externo.Questão adjudicativa em aberto:se a perfuração do mesmo dia com injeção de água foi um gatilho determinante e como qualquer ato ou omissão se mapeia para responsabilidade criminal individual. Um relato responsável não espera a disputa do gatilho para reconhecer a falha de controle antecedente, e não trata o modelo do painel como um veredito criminal.

Garantia paga precisava de independência institucional, não de um adjetivo

A palavra “independente” pode descrever um contratante que é legalmente separado do operador enquanto diz pouco sobre os incentivos do compromisso. A independência funcional faz perguntas mais difíceis. Quem nomeia e remove o revisor? Quem negocia honorários? O revisor pode vender outro trabalho para a mesma unidade operacional? A recusa ameaça negócios futuros? O revisor tem acesso direto a dados brutos e pessoal? Pode reportar ao conselho e ao regulador sem edição da administração? Os critérios de revisão são fixados antes que os resultados sejam conhecidos? Há um período de reflexão obrigatório? Quem registra divergências?

A CIAEA descobriu que a área geotécnica da Vale engajava revisores e outros especialistas, às vezes dentro de relações comerciais mais amplas. Descreveu pressão percebida pelos revisores e uma cultura em que o desafio podia ser estreitado por hierarquia e silos. O comitê não afirmou que toda opinião de garantia era corrupta, e o registro não suporta essa generalização. Mostrou um design de aquisição incapaz de demonstrar independência onde mais importava: no ponto em que um resultado negativo ou qualificado podia fechar uma instalação, impor grande custo e contradizer a confiança corporativa.

O remédio mínimo não é simplesmente rotacionar nomes de empresas. O mandato de revisão deve ser controlado por um órgão fora do negócio operacional, com orçamento protegido e autoridade para se comunicar diretamente com o executivo responsável, comitê do conselho e regulador. Receitas de outros serviços devem ser divulgadas e restritas. Critérios de seleção, mudanças de escopo, suposições de modelo e divergências técnicas devem fazer parte do registro de garantia. Um revisor deve ser pago por trabalho competente, não por um resultado positivo, e a renovação do contrato não deve depender de a declaração ser conveniente.

A arquitetura regulatória também deve evitar terceirizar o julgamento público para a opinião privada. Uma revisão financiada pelo proprietário pode fornecer expertise, mas o regulador precisa de acesso ao pacote de suporte completo, séries temporais brutas, arquivos de modelo, base de laboratório, resultados de sensibilidade e exceções não resolvidas. Deve ser capaz de encomendar uma segunda revisão às custas do operador sem permitir que o operador selecione esse revisor. Estruturas a montante de alta consequência, marginais ou legadas devem receber mais escrutínio externo mesmo quando uma declaração é positiva.

A Vale posteriormente publicou um relatório de responsabilidade sobre sua resposta às recomendações da CIAEA, dizendo que adotou mudanças de governança e risco. Isso é evidência relevante de ação gerencial, não prova independente de eficácia. O relato da empresa está em source: vale.com. A eficácia requer evidências de que descobertas adversas agora chegam aos tomadores de decisão inalteradas, que revisores emitiram resultados qualificados ou negativos sem retaliação comercial, e que tais resultados causam controles físicos ou de exposição. Políticas e gráficos de comitês não podem estabelecer esses resultados por si só.

A garantia do conselho falhou quando a reportagem de portfólio apagou a gravidade da instalação

Um conselho não pode operar uma rede de piezômetros, mas pode decidir que informações devem chegar até ele e qual consequência se seguirá. Brumadinho mostra por que medidas de conformidade agregadas são perigosas. Um relatório de que todas as declarações são positivas responde se os formulários existem; não responde se a barragem mais consequente é marginal, se os revisores discordam, se as ações estão atrasadas ou se as pessoas permanecem na zona de inundação.

A CIAEA descreveu sistemas de compensação e desempenho em que medidas de segurança existiam, mas os componentes financeiros permaneciam maiores, e onde a reportagem de segurança se concentrava significativamente em auditorias e declarações. Também descobriu que os orçamentos não eram facilmente rastreáveis no nível necessário para identificar gastos em uma estrutura individual. Essas conclusões não estabelecem que um pagamento de compensação específico causou uma decisão técnica.

Apoiam uma inferência de governança: o sistema corporativo tornava a conclusão formal e o desempenho financeiro mais fáceis de ver do que o risco residual da Barragem B1.

A garantia no nível do conselho deve, portanto, operar por exceção, não por médias. Cada instalação de alta consequência deve ter um executivo responsável nomeado e um registro conciso do fator mínimo, faixa de sensibilidade, principais observações não resolvidas, ações atrasadas, ocupação a jusante e conflitos de garantia. O conselho deve receber a dissidência do revisor diretamente. Uma mudança de um consultor para outro após uma divergência de critérios deve surgir automaticamente. O mesmo deve acontecer com qualquer uso de um limite de aceitação inferior ao que o operador aplica em outros lugares.

A divulgação pública precisa da mesma disciplina. Em abril de 2022, a Comissão de Valores Mobiliários dos EUA alegou que a Vale fez declarações falsas e enganosas sobre segurança de barragens e sustentabilidade antes da falha. A queixa é um documento de alegação, não um julgamento, e está disponível em SEC source. Em 2023, a Vale concordou em pagar US$ 55,9 milhões para resolver as reivindicações declaradas sem admiti-las ou negá-las; a Vale também informou que a SEC não se oporia à rejeição de reivindicações enquadradas como intencionais ou temerárias. O arquivamento da empresa está em SEC source.

A distinção impede que um acordo de execução seja reformulado como admissão, preservando a lição de responsabilidade: declarações amplas de segurança precisam de suporte rastreável no nível da instalação.

O dano se estendeu além de uma contagem de fatalidades

A liberação matou 270 pessoas, predominantemente trabalhadores e contratantes nas ou perto das instalações da Vale, bem como moradores e visitantes a jusante. Destruiu as estruturas de renda e cuidado das famílias, deslocou pessoas, interrompeu estradas e serviços, sobrecarregou os respondedores de emergência e gerou anos de buscas. A velocidade e densidade do fluxo fizeram do layout do local de trabalho um multiplicador de impacto. A perda não pode ser representada apenas por totais de compensação.

Os rejeitos se moveram pelo corredor do córrego Ferro-Carvão e afetaram a bacia hidrográfica do Paraopeba. Autoridades federais e estaduais documentaram preocupações com terra, vegetação, resgate de animais, qualidade da água e saúde pública. O IBAMA emitiu medidas de fiscalização ambiental, incluindo uma multa diária relacionada ao resgate de animais, e descreveu centenas de hectares afetados; a nota de fiscalização está em source: gov.br. Uma multa estabelece uma resposta administrativa a uma conduta especificada; não é um inventário completo de danos ecológicos.

O monitoramento oficial atual mostra por que a linguagem causal deve permanecer precisa. Minas Gerais continua monitorando poços e cisternas no território afetado e relata resultados microbiológicos, sensoriais e químicos não conformes em pontos monitorados. As autoridades continuam aconselhando os usuários a seguir as restrições oficiais. Esses resultados não significam que cada excedência foi causada unicamente pela liberação de rejeitos; condições de base, saneamento local e caminhos de contaminantes requerem estudo específico do local. O registro atual de monitoramento de água está em source: mg.gov.br.

O estado também descreve avaliações contínuas de risco à saúde humana e ecológica em áreas-alvo. Em julho de 2026, esse trabalho não havia sido reduzido a uma declaração final e universal de condição restaurada. A página do programa está em source: mg.gov.br. Isso é evidência de medição e intervenção contínuas, não evidência de que nenhuma reparação ocorreu. Estabelece o ônus correto: uma empresa que afirma conclusão deve ser capaz de mostrar caminhos de exposição fechados, usos de água restaurados com segurança, achados de saúde abordados e funções ecológicas se recuperando ao longo de um período apropriado.

Os efeitos econômicos foram distribuídos. A Vale arcou com custos de remediação, legais, operacionais e de financiamento; órgãos públicos arcaram com demandas de resposta e supervisão; fornecedores e pequenas empresas enfrentaram demanda e acesso interrompidos; as famílias enfrentaram consequências de saúde, transporte e emprego. Comunidades ribeirinhas e indígenas necessitavam de evidências adaptadas ao seu uso de água, terra e recursos culturais. Uma porcentagem genérica de entrega de projetos não pode demonstrar restauração para cada grupo.

A aplicação da lei produziu vários tipos de responsabilidade, não um veredito final

O principal marco cível é o acordo judicial de reparação assinado em fevereiro de 2021 pela Vale, instituições de Minas Gerais e órgãos de justiça. O valor econômico declarado foi de R$ 37.689.767.329,00. Abrange danos coletivos e difusos especificados, programas, transferência de renda, mobilidade e obrigações ambientais. O estado explica o acordo e seus anexos em source: mg.gov.br. O acordo não extinguiu reivindicações individuais ou processos criminais. Seu valor principal não é equivalente a dinheiro já pago, e o gasto em um projeto governamental não é automaticamente prova de que toda pessoa afetada foi reparada.

O arquivamento anual de 2025 da Vale disse que, até 31 de dezembro de 2025, 81% do valor do compromisso atualizado havia sido desembolsado, com progresso variando entre obrigações de pagamento e obrigações de realizar. Esses números são divulgação corporativa auditada dentro de um arquivamento de valores mobiliários, mas a definição de desembolso ainda precisa ser combinada com os resultados. O arquivamento está em SEC source. Um relatório integrado posterior disse que quase todos os processos individuais extrajudiciais elegíveis haviam sido finalizados e forneceu números de moradia e pagamento.

Esses permanecem resultados relatados pela empresa. Devem ser reconciliados com o acesso do reclamante, elegibilidade contestada, qualidade da entrega e monitoramento governamental.

A aplicação administrativa abordou a integridade dos dados e a conduta de garantia. A Controladoria-Geral da União impôs uma multa de cerca de R$ 86,3 milhões à Vale sob a Lei Anticorrupção por obstruir a fiscalização da agência de mineração através de informações falsas ou incompletas no SIGBM. Em abril de 2025, o Superior Tribunal de Justiça manteve essa multa. O relato do tribunal está em source: stj.jus.br. Este é um resultado final de responsabilidade administrativa conforme descrito pelo tribunal, distinto de decidir o gatilho físico ou a responsabilidade por homicídio individual.

A Controladoria-Geral também sancionou a entidade brasileira da TUV SUD e, em janeiro de 2025, indeferiu a reconsideração no processo administrativo de responsabilização. A agência disse que o caso dizia respeito a declarações de estabilidade falsas e impôs as sanções declaradas em sua decisão. Seu aviso está em source: gov.br. A TUV SUD manteve defesas em fóruns públicos e judiciais. Uma constatação administrativa não deve ser expandida além de seu escopo legal, mas testa diretamente a responsabilidade da garantia paga.

Os processos criminais avançam sob um ônus de prova diferente. As audiências do tribunal federal começaram em fevereiro de 2026 em casos envolvendo réus corporativos e individuais. O Tribunal Regional Federal da 6ª Região descreveu a fase de audiências em source: portal.trf6.jus.br. Em abril de 2026, o Superior Tribunal de Justiça restaurou o ex-presidente da Vale como réu, considerando que a acusação tinha suporte liminar suficiente para que os processos continuassem. Essa decisão processual, em source: stj.jus.br, não decidiu culpa.

Até 15 de julho de 2026, os méritos criminais permaneciam não resolvidos. Todo réu mantém a presunção de inocência. Seria impreciso usar o acordo cível, a resolução da SEC, as multas administrativas ou a decisão de receber acusações como substituto de um julgamento criminal. Seria igualmente impreciso dizer que a responsabilidade está ausente meramente porque os julgamentos criminais não são finais. O registro contém obrigações cíveis executáveis, sanções administrativas, mudanças de governança corporativa e adjudicação criminal ativa. Cada um deve ser medido por sua própria questão legal.

A lei e a regulamentação mudaram o padrão para barragens a montante

As autoridades brasileiras passaram da aplicação caso a caso para regras estruturais. A Resolução ANM nº 13 de agosto de 2019 proibiu o uso do método de construção a montante para barragens de mineração em seu escopo e estabeleceu requisitos para descaracterização e medidas de segurança. A resolução está em source: gov.br. A Lei Federal nº 14.066 de setembro de 2020 alterou a Política Nacional de Segurança de Barragens, proibiu a construção ou elevação de barragens de mineração pelo método a montante, fortaleceu responsabilidades, abordou zonas de auto-resgate e revisou requisitos de emergência e inspeção.

O estatuto está em source: planalto.gov.br.

Essas reformas mudam os padrões legais, mas uma proibição não é o mesmo que eliminação do risco herdado. As estruturas existentes devem ser descaracterizadas ou trazidas para o regime legal através de trabalho tecnicamente faseado. A descaracterização é em si um processo de construção de alto risco: a água pode precisar de controle, os rejeitos podem precisar de estabilização, contrafortes e drenagem podem ser instalados, e as obras de terra devem evitar desestabilizar a instalação que está sendo removida das funções de barragem. Os prazos podem mudar por razões técnicas ou de licenciamento.

A responsabilidade, portanto, requer marcos estrutura por estrutura, razões para atraso, controles de risco intermediários e aceitação do regulador.

A lei mais forte também não resolve o problema de dados por si só. Um regulador ainda precisa de submissões precisas, pessoas qualificadas, métodos de priorização, capacidade de inspeção e acompanhamento de aplicação. Os proprietários precisam preservar dados de origem e relatar exceções. O planejamento de emergência deve refletir os tempos reais de chegada. O teste de eficácia é se uma estrutura marginal agora produz restrição mais precoce e redução de exposição, não se o estatuto contém mais deveres.

No nível internacional, o Padrão Global da Indústria para Gestão de Rejeitos foi lançado em 2020 com 15 princípios e 77 requisitos auditáveis abrangendo comunidades afetadas, conhecimento integrado, design, governança, resposta a emergências e divulgação pública. Ele atribui responsabilidade ao mais alto nível organizacional e exige revisão independente. A descrição oficial do UNEP está em source: unep.org. O padrão é uma referência substancial, mas a adoção voluntária e a implementação autodeclarada exigem avaliação de conformidade crível. O histórico de Brumadinho adverte contra permitir que um novo rótulo se torne outra declaração binária.

O programa de reparação da Vale é mensurável, mas suas alegações precisam de evidências externas de encerramento

A Vale diz que estabeleceu nova governança de rejeitos, conselhos de revisão técnica independentes, monitoramento 24 horas e um programa para eliminar estruturas a montante. Em dezembro de 2025, informou a conclusão do trabalho de descaracterização em 19 das 30 estruturas, ou 63% de seu programa, com cerca de R$ 12,7 bilhões gastos desde 2019. Para pelo menos a estrutura recém-concluída discutida nesse comunicado, a Vale disse que as evidências foram submetidas à autoridade para validação e que o monitoramento continuaria. A divulgação está em source: vale.com.

A redação é importante. “Trabalho concluído” pelo operador, “descaracterizado” sob critérios de engenharia e “aceito pelo regulador” são estados relacionados, mas não idênticos. O desempenho de longo prazo após obras de terra é outro estado. Um registro transparente deve mostrar todos os quatro: trabalho físico, registro do engenheiro responsável, decisão do regulador e monitoramento pós-trabalho. Também deve mostrar as estruturas restantes por nível de emergência, controles provisórios e previsão de conclusão.

A Vale também informou em agosto de 2025 que havia implementado o Padrão Global em todas as suas barragens de rejeitos. O relato da empresa está em source: vale.com. A afirmação indica um esforço de gestão em todo o portfólio. Não é, por si só, evidência de que cada instalação recebeu certificação independente do Global Tailings Management Institute ou de que todos os requisitos são eficazes na prática. A distinção probatória deve ser explícita na reportagem para investidores, reguladores e comunidades: implementação reivindicada pelo operador; conformidade revisada por um avaliador nomeado; certificação, se houver, sob um esquema definido;

e conclusões não resolvidas.

A mesma distinção se aplica às recomendações da CIAEA. A Vale pode documentar políticas revisadas, mudanças organizacionais, comitês e sistemas. A responsabilidade independente pede testes operacionais: exemplos em que revisores foram selecionados fora da linha de negócios; descobertas adversas chegaram ao conselho; pessoas foram removidas de uma zona de consequência antes de uma falha; arquivos de modelo chegaram ao regulador; e uma declaração foi retida até que o trabalho físico fechasse o risco.

Publicar esses casos em formato editado, mas auditável, forneceria evidências mais fortes do que uma porcentagem de recomendações marcadas como concluídas.

A reparação tem camadas semelhantes. Dinheiro comprometido, dinheiro transferido, ativos construídos, serviços operacionais e resultados humanos restaurados são medidas diferentes. Minas Gerais publicou reportagens de projetos e acordos, incluindo projetos governamentais concluídos, em source: mg.gov.br. Essa reportagem melhora a rastreabilidade. Não encerra questões de saúde, ecológicas, individuais ou criminais que estão fora de uma lista de projetos concluídos.

O que está estabelecido, o que é inferido e o que permanece desconhecido

Fatos estabelecidos.A Barragem B1 usou construção a montante e teve um longo histórico de elevações. A deposição de rejeitos havia cessado antes da falha, mas a estrutura permanecia portadora de água e suscetível. A Vale controlava a instalação e encomendou as declarações. A unidade brasileira da TUV SUD emitiu declarações de estabilidade em 2018. O registro detalhado incluía cálculos de estabilidade marginais e preocupações não resolvidas. O sistema da ANM não continha todas as informações na mesma forma posteriormente identificada nos registros da Vale.

A barragem falhou rapidamente em 25 de janeiro de 2019, o sistema de alerta não forneceu um intervalo de evacuação eficaz e 270 pessoas morreram. A falha envolveu liquefação por fluxo. Um grande acordo de reparação cível e sanções administrativas se seguiram. Os méritos criminais não foram decididos definitivamente até a data de acesso.

Inferências apoiadas.O processo de declaração deu mais confiança aos tomadores de decisão do que as margens subjacentes justificavam. As relações comerciais enfraqueceram a independência demonstrável, mesmo que engenheiros individuais possam ter acreditado que seu trabalho atendia à prática aceita. A reportagem corporativa agregada tornou mais difícil para uma exceção específica da instalação chegar ao conselho. A reportagem completa e pontual de anomalias teria aumentado a chance de escrutínio regulatório ou restrição de precaução.

A remoção de edifícios ocupados da zona de inundação imediata teria reduzido a exposição mesmo que o tempo de falha permanecesse imprevisível. Essas inferências são apoiadas por registros técnicos, regulatórios e de governança convergentes, mas permanecem julgamentos causais em vez de observações diretas.

Assuntos desconhecidos ou contestados.A contribuição iniciadora precisa da perfuração do mesmo dia permanece disputada em processos criminais ativos. Registros públicos não estabelecem o que cada réu individual sabia em cada ponto de decisão, e a culpa é para os tribunais. O efeito contrafactual de qualquer medida de drenagem, inspeção, ação de sirene ou relatório não pode ser conhecido com certeza. O resultado completo de saúde e ecológico de longo prazo permanece em estudo. Dados públicos ainda não provam que cada estrutura a montante no programa da Vale passou por revisão final de fechamento externo e desempenho pós-trabalho.

A implementação do GISTM relatada pela empresa não responde a todas as questões de conformidade independente.

Esta taxonomia previne dois erros opostos. Um é o maximalismo: tratar toda alegação como provada e atribuir conhecimento idêntico a cada ator. O outro é o minimalismo: usar incerteza sobre o último gatilho para negar uma falha de ciclo de vida e garantia bem apoiada. Um registro de responsabilidade de alta qualidade pode conter fatos estabelecidos, inferências apoiadas e questões em aberto ao mesmo tempo.

Evidência faltante é em si uma conclusão de governança

Vários registros melhorariam materialmente a responsabilidade se publicados em formato utilizável. Primeiro, uma cadeia completa e com carimbo de data/hora de cada instrumento bruto e observação de inspeção até a pontuação inserida no SIGBM, incluindo cada substituição, autor e justificativa. Segundo, o registro completo do compromisso de garantia: seleção, honorários, outros serviços, mudanças de escopo, critérios de aceitação, versões de modelo, dissidência e comunicações com o operador.

Terceiro, a cadeia de escalonamento mostrando exatamente o que os níveis do local, negócio, executivo, conselho e regulador receberam sobre a Barragem B1 e quando.

Quarto, um registro de reparação no nível da instalação. Para cada estrutura a montante remanescente, deve declarar condição atual, controles de exposição provisórios, revisor independente, marco regulatório, progresso físico, previsão, atrasos e monitoramento pós-descaracterização. Quinto, um livro-razão de resultados de reparação conectando gastos a beneficiários, serviços prestados e resultados humanos ou ecológicos medidos independentemente. A confidencialidade comercial e a privacidade pessoal podem justificar a edição, mas não a ausência de campos auditáveis.

Sexto, evidência independente sobre a eficácia do novo modelo de garantia. Quantas declarações foram qualificadas ou recusadas? Com que frequência um conselho de revisão técnica independente alterou uma decisão de design ou operação? O executivo responsável ou o conselho recebeu cada exceção de alta gravidade? As pessoas foram realocadas porque a incerteza excedeu a tolerância mesmo sem movimento visível? Um sistema que produz apenas resultados positivos pode ser excepcionalmente seguro, ou ainda pode estar filtrando dissidência. A distribuição de saída sozinha não pode distinguir os dois.

Finalmente, a evidência técnica testada em tribunal ainda está em desenvolvimento. Os processos ativos podem esclarecer a sequência de perfuração, comunicações individuais, diferenças de especialistas e deveres legais. Até lá, uma análise responsável não deve preencher a lacuna com certeza. Ainda pode concluir que o sistema pré-falha carecia de um mecanismo suficientemente independente para converter estabilidade marginal e consequência extrema em controle conservador.

Um teste durável de responsabilidade de garantia independente

O teste duradouro começa com controle em vez de culpa. Para cada instalação de rejeitos de alta consequência, identifique quem pode alterar design, deposição, água, drenagem, monitoramento, revisão, uso do solo, alerta, fechamento e divulgação. Atribua um executivo responsável, mas preserve deveres nomeados para engenheiros, revisores e reguladores. Torne o conselho responsável por garantir que exceções específicas da instalação cheguem a ele sem serem diluídas por médias.

Segundo, separe a governança de garantia da unidade operacional. O revisor deve ser selecionado e supervisionado fora do negócio que precisa da declaração. Outro trabalho comercial deve ser proibido ou estritamente limitado e divulgado. Os critérios devem ser fixados antecipadamente. Uma recusa ou qualificação deve desencadear um escalonamento protegido, não uma busca por um método mais acomodatício. O regulador deve receber o pacote de suporte e ter poder para encomendar uma segunda opinião.

Terceiro, substitua a aprovação binária por um status rico em evidências. Publique o fator de segurança controlante e método, faixa de sensibilidade, incertezas de material, exceções de instrumento, ações atrasadas, exposição a jusante e reservas do revisor. Sistemas legíveis por máquina devem preservar a proveniência e impedir o rebaixamento silencioso da gravidade da anomalia. A automação deve carregar exceções para a frente até que exista um registro de encerramento autorizado.

Quarto, torne o controle de consequência independente da previsão de falha. Nenhuma instalação ocupada rotineiramente deve permanecer onde o tempo de chegada modelado torna a evacuação irrealista. Sistemas de alerta devem ser testados, mas sirenes não podem justificar exposição dentro da zona de auto-resgate. Critérios de restrição, realocação e evacuação devem responder à incerteza e consequência, não apenas a uma previsão de movimento iminente.

Quinto, prove a reparação através de estados externos. Conclusão da empresa, aprovação do engenheiro, aceitação do regulador, conformidade independente e desempenho ambiental sustentado devem ser relatados separadamente. A compensação deve conectar dinheiro a acesso e resultado. Restrições de saúde e água devem permanecer visíveis até que autoridades competentes as encerrem. Alegações criminais devem permanecer identificadas como alegações até serem adjudicadas.

Brumadinho tornou esses controles concretos a um custo catastrófico. O aviso para outras instituições não é que a garantia é inútil. É que a garantia se torna perigosa quando uma conclusão paga é separada de sua evidência, contexto comercial, incerteza e consequência. Uma declaração deve ser o início do escrutínio responsável, não o fim dele.