Culture de sécurité et procédures de conduite accidentelle

Cet article propose une synthèse des résultats obtenus par le groupe de travail "culture de sûreté" de l'IEC qui s'est réuni de mars 1996 à mai 1997, approximativement une fois par mois. La finalité du groupe était de faire le point sur les dernières évolutions dans les procédures (et notamment les procédures accidentelles) mises en place par les exploitants de secteurs industriels différents : nucléaire, chimie, transports aériens et ferroviaires et de contribuer à l'élaboration d'une approche pro-active de la sûreté qui intègre les aspects sociaux, techniques, humains et culturels liés aux activités à hauts risques.

La notion de procédure

Les procédures ne "tombent pas du ciel" ; la conception, l'application, l'évaluation et la transformation des procédures de conduite normale et accidentelle se trouvent au carrefour d'activités relevant, dans une même entreprise, de la technique, de la formation, du retour d'expérience, du management et de la communication. Les procédures ne sont donc pas comprises uniquement comme des consignes d'utilisation mais comme le résultat et l'initiateur d'un processus d'interactions complexes dont les enjeux concernent la culture même de l'entreprise et son évolution. Elles semblent ainsi catalyser la démarche dialectique de sûreté. Quelques passages extraits du site Web de "Ontario Hydro" daté du 21 juillet 1997 contribuent à préciser le sens donné par le groupe de travail à la notion de procédure : "ProcEdures and established processes are the primary mechanism for maintaining the corporate memory of the workforce" ; "the loss of corporate memory can be devastating without comprehensive and accurate procedures and mature processes".

Les procédures sont la mémoire écrite (les "règles de l'art", mélange de connaissances théoriques et pratiques acquises par l'expérience, ne sont pas considérées ici comme des procédures) des méthodes de modélisation de la conduite normale et accidentelle, de la segmentation du process, de l'équipement, une trace de la nature des interfaces entre les acteurs de la sûreté et aussi un outil de prospective.

La notion d'"état"

A l'origine du groupe de travail se trouve la publication du "Mémento de la sûreté nucléaire en exploitation" (EDF, 1994). Dans cet ouvrage est décrite l'approche par états (APE) conçue et mise en oeuvre par EDF suite à l'accident de Three Mile Island, en 1979. Cette approche est différente de celle, traditionnelle, connue comme approche "événementielle". La différence que nous retiendrons ici entre les deux approches réside dans le fait que, dans l'APE, les actions requises des opérateurs lors d'un accident peuvent être déduites par eux de la connaissance de l'état physique sans nécessairement avoir identifié l'enchaînement des événements antérieurs y ayant conduit. L'objectif et la stratégie de conduite peuvent être redéfinis à chaque instant, compte tenu de l'évolution de la situation (état physique, défaillances matérielles, erreurs humaines, ...). C'est une approche "en boucle" et non pas linéaire où la recherche des causes n'est pas la priorité pour l'action en situation accidentelle. C'est une approche qui permet à l'opérateur d'agir "au fur et à mesure" sans être prisonnier d'un schéma totalement pré-défini sur la base d'expériences passées, forcément incomplètes. Dans ce sens et pour le propos qui nous intéresse dans cet article, l'APE peut être considérée comme une démarche tournée vers l'ouverture et tenant compte de l'incertain.

D'après G. Devereux (1981) "une connaissance raisonnablement complète de l'état d'un système physique au temps t nous permet ordinairement d'en prévoir le comportement au temps t + Æt, tandis que, pour prévoir le comportement d'un homme au temps t + Æt, il faut connaître son état non seulement au temps précédent t, mais encore tout au long de sa vie, puisque l'homme est un système chronoholistique". Les procédures événementielles n'utilisent-elles pas pour les machines le même modèle chronoholistique de diagnostic sur les états du moment ?

Les secteurs d'activité industrielle

Les procédures sont différentes par leur contenu technique mais aussi par leur caractère plus ou moins précis, par l'importance accordée à la communication orale ou écrite, par la nature plus ou moins importante des "gisements de sécurité" existants, selon qu'il s'agisse d'installations fixes ou mobiles... Cette différence se manifeste au niveau de chaque secteur d'activité, voire au niveau d'un même secteur dans différents pays ou de deux entreprises d'un même secteur. Par exemple, en Allemagne, les procédures de conduite accidentelle définissent les objectifs à atteindre et mentionnent les différents moyens de les atteindre ; le choix de ces moyens est laissé au responsable de la conduite en fonction de leur efficacité et de leurs limitations. En France, ce choix est préétabli dans les procédures.

Malgré ces différences, les secteurs représentés composent les procédures de deux outils : l'un "stable" ou référentiel (stable en ce sens qu'il énonce des constats et des directives globales) et l'autre "adaptable" ou documents opératoires (adaptable en ce sens que les sites ou les véhicules peuvent en faire des lectures spécifiques). Il existe un danger à cette adaptabilité : "operating memos are being used in place of procedure revisions because of the excessive time required to process revisions". Un aspect signalé comme déterminant dans la conception et la mise en oeuvre des procédures concerne la granulométrie des documents : celle-ci reflètera aussi bien la nature de l'industrie que son mode de fonctionnement, ses perceptions des risques, voire le désir de l'entreprise de créer des réflexes chez les opérateurs (ce qui aura des répercussions au niveau des recrutements et des formations) ou bien d'éveiller leur agilité, leur capacité de décision et leur autonomie. La granulométrie reflètera aussi le poids accordé aux systèmes automatiques et la stratégie de déclenchement des systèmes d'alarme plus ou moins proches du seuil déclencheur d'un accident.

En ce qui concerne le "transfert" des enseignements de l'APE à d'autres secteurs industriels que le nucléaire, il dépend entre autres de la cinétique de l'accident, de la possibilité d'atteindre ou pas une situation stable de repli, du degré d'automatisation de l'installation, de la possibilité de modéliser ou pas le système. En tout état de cause, si le transfert "tel quel" n'est bien entendu pas possible, le questionnement issu de la tentative de transfert permet de porter un regard nouveau sur le retour d'expérinece, le temps requis pour modifier et transformer les procédures, la capacité à innover en matière de procédures, la place des agents dans le système de sûreté ou encore les tensions économiques ou sociales qui peuvent influencer l'évolution des procédures et leur mise en application.

Les constats globaux du groupe de travail

Les participants du groupe de travail ainsi que les modalités de mise en commun des expériences dans le groupe, ont permis de mettre en lumière des aspects multiples qui révèlent l'étendue de sujets évoqués quand les procédures et leur système de conception sont analysés. Ci-dessous sont cités quelques réflexions qui témoigent de la complexité du sujet :

Sûreté

Quand des systèmes deviennent "ultra-sûrs", les possibilités d'augmenter la sûreté se réduisent. Il faut donc innover pour mobiliser les opérateurs et l'ensemble des personnes directement en charge du maintien de la sûreté autour d'autres arguments que celui, classique désormais, de l'amélioration du niveau de sûreté.

Le risque, pour la sûreté, de devenir un enjeu politique trop fort est celui d'entraîner l'augmentation des accidents à cause de pressions accrues. L'utilisation d'un modèle de sûreté idéalisé, en tant qu'étalon diagnostique est un obstacle à l'établissement d'un disgnostic exact.

On constate l'existence d'un antagonisme entre la notion d'unité locale (site, train, installation, avion...) et l'idée que la sûreté reposerait sur la suppression des particularismes et sur l'adhésion à une cause "institutionnelle" au niveau de tout le système : compagnie aérienne, entreprise, marque...

Méthode

Comprendre l'arbre des causes n'est pas indispensable pour agir en cas de conduite accidentelle. Les documents opératoires n'ont pas pour vocation d'aider à comprendre mais d'aider à agir, le référentiel répondant au besoin de compréhension.

Aucune discipline n'est à même de proposer un modèle explicatif global des risques ; c'est donc le croisement de perspectives et la succession de synthèses provisoires (type APE) qui peuvent apporter une solution aux enjeux de plus en plus complexes qui font de la sûreté un terrain à risques économiques et politiques ainsi que, parfois, un enjeu compétitif.

Angoisse

Face à l'angoisse de prévenir un accident, la tentation est grande de répondre par l'ajout d'une nouvelle procédure aux précédentes. Ceci est une source potentielle de risque car il est impossible d'envisager une croissance sans fin des procédures. A ce sujet et dans le domaine de l'ethnologie, les propos de G. Devereux portent un éclairage intéressant : "quand je sais que je vais traverser un pont, je déclenche en moi, par avance et délibérément, une crise d'angoisse parce que je sais que cela diminuera l'angoisse qure j'éprouverai en traversant le pont. L'absence de cette angoise anticipatoire me rend encore plus angoissé qu'à l'ordinaire lorsque je traverse un pont". Il faut veiller à l'économie des procédures et à celle des scénarios en tenant présent le caractère obsessionnel que ces méthodes peuvent avoir.

Agents

L'équipe de conduite garantit la "culture de sûreté" et aucun automatisme ne saurait la remplacer "there cannot be a procedure for everything, and the time will come in wich the operators of a complex system will face a situation for wich there is no written procedure. It is at this point that we recognize the reason for keeping humans in the system". Néanmoins, les procédures doivent veiller à ne pas emmener l'opérateur "hors zone" de ses compétences, au risque de le voir provoquer une catastrophe.

Dans le domaine de l'aviation, la conduite de nouveaux avions est de plus en plus prescrite par le concepteur et ce, au niveau mondial. Les exploitants, de leur côté, souhaitent avoir la possibilité de choisir les prescriptions en fonction de leur politique propre. Le domaine de la chimie, se situe presque à l'opposé : les procédures sont écrites par l'exploitant et enrichies au cours des phases d'essai et de mise en service des installations spécifiques.

Les procédures peuvent freiner ou faciliter la prise en charge collective (plus que l'individuelle) de la sûreté. Un rôle important des procédures est celui de rendre efficaces les interfaces entre les agents du système sûreté.

Les constats en "milieu élargi"

Au mois de septembre 1997, les adhérents de l'IEC ont reçu, avec La Lettre des Cindyniques, le questionnaire formulé à partir des interrogations et des constatations faites par le groupe de travail. Ce questionnaire est en lui-même un outil de travail pour les entreprises qui souhaiteraient renouveler leur questionnement au sujet des préocédures pour faire de celles-ci une source de création de valeur.

Ci-dessous sont repris les éléments saillants des réponses obtenues qui, du point de vue de l'anthropologie du risque, peuvent contribuer à faire progresser la "culture de sûreté".

Les procédures relèvent surtout du domaine technique et opérationnel des entreprises. Pour cela, elles "articulent" l'organisation des équipes sur le terrain dont dépendent la sûreté des installations et les interfaces avec les autres acteurs. Une mauvaise adaptation des procédures à l'organisation existante des équipes est citée comme un facteur clé d'inefficacité. Dans ce contexte, il est possible soit de changer la procédure mal adaptée soit de partir de la procédure pour encourager un changement dans l'organisation. Le comportement collectif dans l'entreprise, suivi des contraintes financières (moins de 10% du budget destiné globalement à la sûreté reviendrait à la conception, amélioration et adaptation des procédures) sont perçus comme étant les obstacles majeurs qui empêchent les entreprises d'atteindre leurs ambitions en matière de sûreté. La communication de ces ambitions auprès du personnel ne semble pas avoir suffisamment évoluée : le discours classique sur l'amélioration de la sûreté permettrait de garder à un niveau stable l'adhésion des opérateurs à la finalité d'amélioration. En revanche, pour accroître cette adhésion, de nouveaux thèmes -comme la compétitivité et la rentabilité- pourraient y contribuer. A titre d'hypothèse, on peut envisager de "cibler" la communication sur la sûreté de manière plus précise et plus proche des fonctions spécifiques du personnel. S'il est vrai que certains secteurs industriels ont des "gisements de sûreté" moins importants que d'autres, un discours qui fixerait comme objectif le maintien du statu quo pourrait être risqué compte tenu de l'idée répandue que "motivation" et "faire mieux" vont de pair, d'où l'intérêt d'élargie le discours sur la sûreté à d'autres terrains que "plus de sûreté"...

Pour les industriels ayant répondu au questionnaire, la quête de la sûreté absolue apparaît encore comme primordiale ; néanmoins certains secteurs comme le nucléaire ou l'aviation semblent intégrer davantage l'idée que le risque zéro n'existe pas. Une question reste ouverte : comment mettre en place des indicateurs de sûreté qui ne soient pas l'addition des indicateurs segmentés qualité, sécurité, environnement...

Les procédures -et le système de conception et d'organisation qui les entoure- sont perçues comme un facteur de progrès, notamment en ce sens qu'elles permettent de maintenir la dimension prospective de système. Néanmoins, le risque qui existe est celui de leur multiplication abusive, soit pour répondre aux accidents qui surviennent, soit à cause du nombre excessif de scénarios envisagés, soit encore pour satisfaire les futurs règlements européens, voire l'intégration d'opérateurs étrangers.

Le contrôle interne et externe est également cité comme une source d'augmentation du nombre de procédures. Cette augmentation n'aurait toutefois pas, à ce stade, d'incidence sur le nombre de jours de formation mais cela pourrait devenir le cas.

Un autre aspect externe à la conception des procédures qui prend de plus en plus d'importance est le fait que ces documents sont considérés par la justice comme un "prolongement" de la loi et qu'elles contribuent donc à déterminer les responsabilités juridiques. Dans ce contexte, ne serait-il pas intéressant d'associer des magistrats à la réflexion sur la "granulométrie" des procédures, sur l'intérêt à les centraliser ou à les décentraliser, voire pour donner une nouvelle dimension aux relations entre concepteurs, exploitants et autorités de tutelle ?

La participation des opérateurs aux différents stades de l'élaboration des procédures est mentionnée comme un élément clé ; néanmoins, une fois que celles-ci sont "fixées", les opérateurs ne sont jamais autorisés à déroger aux procédures sur leur propre initiative. Si dans la conception des procédures, une certaine collaboration se met en place, dans leur application, les procédures concrétisent la relation à l'autorité et à la soumission et ce pour les acteurs industriels aussi bien que pour les tutelles. A titre d'exemple on peut citer l'étude de Lautman et Gallimore (1987) dans le domaine aéronautique qui constate que le 33% d'accidents avaient pour cause le non respect des procédures. Pour prévenir le non respect des procédures, la formation (de préférence celle qui se donne sur le lieu de travail) est indiquée comme une bonne solution. Encore faudra-t-il préciser s'il s'agira d'une formation technique, sur le comportement, économique ou juridique et le mode de fonctionnement de cette formation (intra-hiérarchie ou transversale). Un contrôle accru semble être considéré aussi comme un moyen de prévention ; encore faudra-t-il spécifier de quel contrôle s'agit-il, sur quoi portera-t-il et quelles seront les modalités de son fonctionnement...

Dans l'ensemble, il y a un désir de trouver de nouvelles façons de produire les procédures, de ne pas les multiplier ni d'en faire une solution à chaque fois qu'un accident survient ou qu'une nouvelle réglementation voit le jour.

La réalisation de procédures de conduite accidentelle est une pratique acquise dans tous les secteurs industriels. Celles-ci représentent un fort potentiel prospectif et de transformation de l'existant. A ce titre elles participent à la création de valeur d'une entreprise et peuvent constituer un élément important de progrès.

Angela Minzoni-Deroche