Quando avalio um projeto público de risco elevado, tento sempre fazer duas perguntas antes de olhar para orçamento ou prazo: quantas coisas mudam ao mesmo tempo, e quanta folga existe entre elas para um erro não se propagar ao resto do sistema. Na ciência da segurança organizacional chama-se a isto um “acidente normal”: muitas peças a interagir de forma imprevista, zero margem entre elas, uma falha que contamina de imediato as vizinhas. Deixa de ser azar. Passa a ser matemática.

Não é preciso ir longe para ver isto em ação. Em outubro de 2025, quando entrou em vigor, ao mesmo tempo em 29 países, o novo sistema europeu de controlo biométrico de fronteiras, o Aeroporto de Lisboa ficou com filas de quatro horas e o assunto continua por resolver, meses depois. Ninguém testou se a infraestrutura aguentava o volume real de passageiros antes de desligar, de um dia para o outro, o controlo manual em todo o continente.

Traduzido para quem passou semanas sem saber se o filho ia entrar na faculdade que queria: isto não foi azar individual, foi a consequência previsível de um desenho que a ciência do risco já sabia ser perigoso. E há uma diferença que agrava o caso português: o aeroporto, ao fim de horas, deixa entrar os passageiros. Uma nota corrigida depois de o prazo de candidatura já ter fechado não tem esse “entra mais tarde”, é irreversível de uma forma que uma fila de aeroporto nunca é. O acoplamento apertado, aqui, não perdoa.

Apliquem este teste à digitalização dos exames e o resultado sai praticamente de manual. Mudou-se a plataforma de classificação. Mudou-se, em simultâneo, a digitalização de dezenas de milhões de folhas. Mudou-se a afetação de corretores. Comprimiu-se o calendário três vezes. Quando a rastreabilidade de quem corrigia o quê se perdeu na plataforma, o problema propagou-se de imediato aos prazos e à confiança das escolas. Meteram o carro à frente dos bois com trezentos mil alunos lá dentro.

Há uma segunda leitura, organizacional: porque é que ninguém travou a tempo? As organizações que lidam bem com risco extremo têm um hábito simples de tratar qualquer alarme como informação séria, nunca como ruído. Chamar aos erros de classificação “situações pontuais” é o oposto disso. Basta olhar para a extinção do SEF e a criação da AIMA, em 2023: sabia-se, havia anos, que o sistema informático herdado estava sobrecarregado, e mesmo assim fez-se a transição sem resolver o problema de raiz. Resultado, mais de 270 mil processos por decidir. O aviso já lá estava. Só nunca foi tratado como aviso.

Fico com uma pergunta concreta para o IAVE e o Ministério: existe uma prática simples, o pré-mortem, que reúne a equipa antes do lançamento para perguntar “imaginem que isto foi um desastre daqui a três meses, escrevam a história de como aconteceu”. Fez-se isto antes do arranque? Existe um registo de risco? São estas as perguntas que a auditoria externa que a oposição já pediu esta semana, prazo até setembro, sob pena de comissão de inquérito, tem de fazer primeiro. Mais do que explicações, interessam os documentos: ou existem e mostram o que foi ignorado, ou não existem e essa ausência já é resposta.

É tentador pedir contas só a quem escreveu o código. A Ordem dos Engenheiros já disse que não é aceitável, num país com engenheiros competentes, continuarmos a ver falhas recorrentes em serviços críticos. Mas a própria empresa que construiu a plataforma respondeu por escrito que se limitou a seguir as especificações do IAVE, sem responsabilidade pela digitalização ou pelo controlo de qualidade. O erro não esteve ali. Esteve na gestão. Pura e dura.

O problema nunca foi a ambição digital — continua a ser a decisão certa. Foi a arquitetura da mudança. Bent Flyvbjerg, o maior especialista mundial em megaprojetos, mostra numa base de dezasseis mil projetos que 92% ultrapassam orçamento ou prazo, ou ambos e que a diferença está no que chama “plan slow, act fast”, planear e testar mais para a execução ser rápida, não o inverso. Aplicado aos exames seria lançar numa região ou grupo limitado de disciplinas no primeiro ano, em paralelo com o papel, com um limiar definido antecipadamente para travar a expansão.

Há ainda uma consequência que não pode esperar pela próxima reforma. Se isto era previsível, já não pode ser tratado como imprevisto de força maior. Previsibilidade tecnicamente demonstrável eleva a fasquia do que é devido às famílias já afetadas: não se esgota em “ninguém vai reprovar” e “há uma época especial em setembro”. Quem decidiu não saber deve explicação e reparação, a quem já pagou o preço.

Deixo uma última pergunta, institucional: Portugal tem centros de investigação de excelência, muitos deles, incluindo o ISCTE, com anos de trabalho sobre risco em megaprojetos e transformação digital do Estado. Porque é que esse conhecimento só é chamado depois do acidente, e quase nunca antes? Não falta competência a este país. Falta o hábito de a convocar a tempo, falta pensar na mudança e nos impactos da mesma antes e não só após.

O maior drama desta falta de gestão de risco não é apenas a angústia irreversível causada aos alunos. É o facto de este desastre ter entregado a arma perfeita aos que sempre quiseram travar a digitalização. Ao falhar na testagem, o Governo permitiu que a velha máquina do papel usasse a incompetência técnica para justificar que o melhor, afinal, era não ter mudado nada.