Fondation pour une Culture de Sécurité Industrielle

Fondation de recherche, reconnue d’utilité publique

http://www.foncsi.org/

6 allée Émile Monso – BP 34038

31029 Toulouse cedex 4

France

Téléphone:

+33 (0) 534 32 32 00

Twitter:

@LaFonCSI

Courriel:

contact@foncsi.org

Abstract

Society is confronted with technological risk: what is at stake; which strategies and techniques for management and governance; how should we arbitrate between threats and opportunities? Achieving socio-economic progress implies risk taking (new technologies, products, organizations, policies, etc.). These risks are only acceptable – or tolerable – if they are under control, seen to be under control and consented to.

Industrial safety is a transverse subject that concerns numerous scientific domains: communication, economics, engineering, law, sociology, etc. The objective of the International Forum on Industrial Safety (IFIS), organized by the Fondation for an Industrial Safety Culture (FonCSI), is to provide an understanding of the methods and approaches used in different disciplines, and how they can be brought together to produce solutions that are effective, efficient and durable.

Whereas the development of efficient solutions leads to the specialization of the professionals (engineers, operators, decision-makers, researchers, academics, etc.) working in their areas of competence, numerous societal questions relating to safety require an overall view and the cooperation of people from multiple scientific sectors. To handle such cross-cutting concerns, these specialists must speak together, starting by developing an understanding of the questions addressed by other disciplines. The International Forum on Industrial Safety aims at facilitating this discovery, by introducing the main issues and approaches offered by various disciplines and by questioning the proposed solutions.

For the first edition of the Forum, from July 8th to July 10th in Toulouse, experts from the areas of communication, law, economics, engineering and the social and human sciences presented the issues and approaches used in their respective disciplines, and debated these subjects that are essential to the future of our society.

This Forum does not aim at going into details of a particular discipline related to the management of specific risks. It shall rather provide a broad scientific culture on industrial safety. The event is of interest to engineers involved in industrial activities, who wish to obtain an introduction to the multiple facets to be treated and the generic solutions that can be used to handle them; members of the public, governement officials and industrial decision-makers in order to develop their understanding of the manner in which tradeoffs between different criteria are achieved; researchers, in particular those planning of participating in multidisciplinary programs on risk management; academics wishing to create a multidisciplinary lecture or to place their disciplinary lecture in the global context of industrial safety, and more generally, anyone interested by any of the various aspects encompassed by industrial safety science.

The present document aims to provide an overview of some of the presentations and debates of the first edition of the Forum:

- “Which balance between constrained safety and managed safety?”, chaired by René Amalberti, MD, PhD in Cognitive Psychology, Haute Autorité de Santé, Saint-Denis, France;

- “Forum on uncertainty”, chaired by Laurent Magne, coordinator of the Nuclear Production Division at EDF and vice-president of FonCSI’s Scientific Advisory Board;

- “Risk through fairy tales”, chaired by Gilles Motet, Professor at INSA Toulouse and Scientific Director of FonCSI.

The full programme of the IFIS 2008 as well as the slides corresponding to the different presentations are available online at www.FonCSI.org.

Avant-propos

Notre société est confrontée aux risques industriels et technologiques:

- Quels en sont les enjeux?

- Quelles sont les stratégies et techniques pour leur gestion et leur gouvernance?

- Comment arbitrer entre les menaces et les opportunités?

Le progrès socio-économique implique la prise de risques (nouvelles technologies, nouveaux produits, nouvelles organisations, nouvelles politiques, etc.). Ces risques ne sont acceptables – ou tolérables – que s’ils sont contrôlés, perçus comme étant sous contrôle et consentis.

La sécurité industrielle est un sujet riche pouvant être abordé sous l’angle de domaines scientifiques variés: communication, économie, sciences de l’ingénieur, droit, sociologie, etc. L’objectif du Forum International sur la Sécurité Industrielle (IFIS) organisé par la FonCSI, est de fournir des éléments de compréhension des questions mais aussi des méthodes et approches utilisées dans différentes disciplines, et de montrer comment celles-ci peuvent conjointement mener à des solutions efficaces, performantes et durables.

En effet, bien que le développement de solutions efficaces conduise à la spécialisation de professionnels (ingénieurs, opérateurs, décideurs, élus, législateurs, communicants, chercheurs, universitaires, etc.) travaillant dans leurs domaines de compétences, de nombreuses questions sociétales relatives à la sécurité exigent une vision globale et la coopération de personnes originaires de secteurs scientifiques variés. Afin de débattre de préocupations si transverses, ces spécialistes doivent discuter ensemble, et en premier lieu développer une compréhension des questions adressées par les autres disciplines. L’IFIS vise à faciliter cette découverte, en présentant les questions principales et en interrogeant les solutions proposées.

Pour cette première édition de l’IFIS, du 8 au 10 juillet 2008 à Toulouse, des experts en communication, droit, économie, ingénierie et sciences humaines et sociales ont présenté les interrogations et les approches mises en œuvre dans leurs domaines respectifs et ont débattu de ces questions essentielles pour l’avenir de notre société.

Ce Forum n’a pas pour but d’aller dans les détails d’une discipline particulière relative à la gestion de risques spécifiques. De nombreuses autres manifestations existent pour cela (séminaires, formations, conférences, etc.). Au contraire, l’IFIS s’attache à procurer une large culture scientifique sur la sécurité industrielle.

Ce Forum s’adresse:

- aux ingénieurs impliqués dans des activités industrielles qui souhaitent bénéficier d’une introduction aux multiples facettes à traiter et aux solutions génériques qui peuvent être utilisées à cette fin;

- aux membres du public, élus et décideurs industriels en vue de développer leur compréhension des multiples paramètres qui peuvent intervenir dans leurs arbitrages;

- aux chercheurs, en particulier ceux qui envisagent de participer à des programmes multidisciplinaires sur la gestion du risque;

- aux universitaires souhaitant développer une lecture pluridisciplinaire ou positionner leur enseignement dans le contexte global de la sécurité industrielle;

- plus généralement, à toute personne intéressée par n’importe lequel des aspects variés qu’embrasse la science de la sécurité industrielle.

Le document présent s’attache à retranscrire les grandes lignes de trois des interventions suivies de tables rondes organisées lors de la première édition du Forum:

- « Quel équilibre entre sécurité contrainte et sécurité gérée? », animée par René Amalberti, Docteur en Médecine, Docteur en Psychologie Cognitive, Chargé de Mission à la Haute Autorité de Santé;

- « Introduction à l’incertitude », animée par Laurent Magne, Attaché de Coordination à la Direction Production Nucléaire, EDF, et vice-président du Conseil Scientifique de la FonCSI;

- « Introduction aux notions de risque au travers d’un conte de fées », animée par Gilles Motet, Professeur à l’INSA de Toulouse et Directeur Scientifique de la FonCSI.

L’intégralité du programme de l’IFIS 2008, ainsi que les présentations correspondant aux différentes interventions sont disponibles sur le site internet de l’ICSI.

Toulouse, le 15 mai 2009

Gilles Motet

Professeur à l’INSA Toulouse et Directeur Scientifique de la FonCSI

Votre avis nous intéresse! Pour tout commentaire ou remarque permettant d’améliorer ce document, merci d’envoyer un courriel à cahiers@FonCSI.org.

Table des matières

- Avant-propos

- Chapitre 1  Quel équilibre entre sécurité contrainte et sécurité gérée?

- 1.1  Grandes lignes de l’intervention de René Amalberti

- 1.2  Discussion

- Chapitre 2  Introduction à l’incertitude

- 2.1  Grandes lignes de l’intervention de Laurent Magne

- 2.2  Discussion

- Chapitre 3  Introduction aux notions de risque au travers d’un conte de fées: La Belle au Bois Dormant

- 3.1  Première partie: objectif et activité

- 3.2  Deuxième partie: risque

- 3.3  Troisième partie: Management des risques

- 3.4  Quatrième partie: occurrence de l’événement

- 3.5  Cinquième partie: réactions à l’événement

- 3.6  Sixième partie: résolution du problème

- 3.7  Septième partie: épilogue

Chapitre 1  Quel équilibre entre sécurité contrainte et sécurité gérée?

Conférence d’introduction au débat donnée le 9 juillet 2008 par René Amalberti, Docteur en Médecine, Docteur en Psychologie Cognitive, Chargé de mission à la Haute Autorité de Santé, Saint-Denis, France.

L’intégralité des diapositives de cette présentation est disponible sur le site web de l’ICSI.

1.1  Grandes lignes de l’intervention de René Amalberti

Il existe quatre familles de modèles pour sécuriser un système quel qu’il soit (juridique, technique, de service…). Ces quatre familles, nous les faisons toujours intervenir dans le même ordre.

1.1.1  Première famille: la famille sécurité, ou fiabilité…

… Par laquelle il faut toujours commencer pour engager une action de sécurité. Il s’agit d’une famille technique, qui évalue les risques potentiels et construit le modèle idéal de défense qu’il faut mettre en place.

L’estimation des risques s’appuie sur des outils formels d’évaluation du risque a priori ou a posteriori combinant l’analyse du retour d’expérience avec une analyse du système (AMDEC[1], APR[2], HAZOP[3], etc.). Cette évaluation est plus ou moins sérieuse. Elle est encadrée réglementairement et bien conduite dans les domaines très techniques comme les transports publics, l’industrie chimique ou le nucléaire, etc.; elle reste plus intuitive dans des activités comme la médecine. Mais cette étape est toujours franchie, parfois mal, mais franchie quand même…

À partir de cette estimation, on construit un modèle idéal de sécurité, une sorte de château fort, qui est toujours le même, combinaison de trois types de barrières: prévention (éviter le problème, parfois en interdisant carrément l’activité dans certaines conditions), récupération (corriger le problème qui existe, avant que ses conséquences soient dommageables), et atténuation (réduire les dommages quand l’accident est arrivé).

Le cas des accidents routiers

- prévention: limitation de vitesse;

- récupération: système électronique à bord de la voiture qui contrôle les dérapages lors de freinages;

- atténuation: ceinture de sécurité, airbag qui limitent la blessure.

Ceci s’applique à tous les processus. Cependant, plus un processus est naïf, plus il croit qu’il peut toujours éviter l’accident et mise essentiellement sur les barrières de prévention en délaissant les deux autres barrières du modèle (récupération et atténuation); c’est typiquement le cas de la médecine. Inversement, plus un processus entre dans sa phase de maturité, plus il développe les barrières de récupération et d’atténuation (c’est le cas du nucléaire et de l’aviation).

Pour créer un modèle idéal de sécurité, on conviendra qu’il faut prescrire des recommandations, règles, lois. Ceci implique par suite un contrôle sur les établissements, sur le système et sur les personnes.

Quels sont les biais de cette première phase de la construction de la sécurité qui prétend construire un modèle idéal de défense?

- la cartographie exacte des risques reste en fait une tâche approximative quelle que soit la méthode employée;

- un système trop sensible au retour d’expérience accumule les données et tend à ne plus les analyser. Un système pas assez sensible sous-estime le risque.

Illustrations dans l’aviation et le domaine médical

La mise en place de l’Aviation Safety Reporting System (ASRS) aux USA, où l’on peut rapporter avec une totale protection juridique tous les problèmes aériens même mineurs, a entraîné une inflation de descripteurs de risques: 60 000 rapports annuels. L’analyse n’est pas au rendez-vous… et le système est maintenant très peu utilisé pour une vision objective de l’analyse des risques; le dispositif sert surtout d’exutoire juridique.

Le système médical du NHS[4] anglais ramène aussi 60 000 rapports par mois! À nouveau l’analyse n’est pas vraiment au rendez-vous; les deux directeurs ont même été licenciés en début 2008 pour efficacité insuffisante…

Il est donc difficile d’établir une granulométrie précise du niveau d’information à privilégier dans le recueil des risques, et surtout, si ramener de l’information est relativement aisé, la traiter ensuite pour prendre des mesures demeure très compliqué.

1.1.2  Deuxième famille de modèles et deuxième étape, axée sur le comportement

Cette étape consiste à se poser la question de la réalité sur le terrain du modèle idéal développé avant. Quatre mécanismes de base expliquent que l’on dévie et induisent cette deuxième famille:

Le paradigme du conflit

Il s’agit de conflits entre des logiques de sécurité développées par des « silos » séparés de professionnels qui traitent un problème local de façon parfaite sans se synchroniser avec les actions d’autres spécialistes de la sécurité, qui traitent d’un autre problème de façon parfaite également.

Illustration en anesthésie

Le syndrome de Mendelssohn est dû à une remontée du repas dans les bronches chez le patient inconscient lors d’une anesthésie. Souvent, cela se produit lorsque l’on irrite la gorge des patients pour les intuber. Les anesthésistes ont trouvé une réponse: il faut curariser[5]. Cependant, il y a un risque d’allergie, avec les curares… le « cas Chevènement » en fut un exemple marquant. Un autre silo de spécialistes (les allergologues) a donc recommandé de ne plus utiliser les curares en anesthésie et rien n’a été arbitré entre les deux visions. Il y a ainsi conflit entre ces préconisations contradictoires… certains anesthésistes utilisent les curares, d’autres non, tout le monde a raison et il y a toujours des morts.

Plus on est dans un domaine complexe, plus on a de silos.

La théorie du réverbère

Ceci consiste à ne construire la défense que là où l’on voit le risque.

Illustration en médecine

L’OMS[6], dans le cadre de la prévention contre les risques infectieux, a instauré une police du lavage de mains dans les hôpitaux. Les personnels ont obligation de se laver fréquemment les mains avec une solution hydro-alcoolique. Pour surveiller cette police, on compte les flacons afin de savoir ce qui a été consommé.

Depuis 5 ans, de nombreuses études dans le monde s’inquiètent, sur la base de cet indicateur, de l’hygiène en gériatrie; ces services consomment peu d’alcool, 100 fois moins qu’en réanimation. Il a fallu attendre une étude récente pour que quelqu’un ose dire que cette différence était liée à un artefact relatif à l’usage respectif des flacons en réanimation et en gériatrie. Ces services de gériatrie utilisent leurs flacons jusqu’à la dernière goutte alors qu’en réanimation, beaucoup plus riche, on affecte les flacons nominativement aux patients, et on les jette quelle que soit leur utilisation passée dès que le patient est sorti (d’où l’apparente surconsommation).

On ne tient pas compte des contextes, dans cet exemple du contexte financier. On a un regard décalé sur le monde: on met en place des logiques de sécurité générales, alors qu’il n’y a dans la réalité que des contextes particuliers, à l’hôpital comme dans l’industrie!

La transfusion sanguine

Après la catastrophe du sang contaminé, on a mis le projecteur sur le processus de transfusion. En cumulant tout, il y a maintenant 10 fois moins d’erreurs qu’en 1980. Cependant, la procédure de commande de sang est tellement pénible et comporte dans certains cas tellement de comptes à rendre au directeur d’établissement et à la banque du sang, que les médecins en prescrivent beaucoup moins. Le risque se déplace hors du « réverbère » observé sur des stratégies latérales de non-transfusion. Par contre, ceux qui sont transfusés le sont de manière très sûre et bénéficient d’un sang « parfait ».

Le paradigme du mardi matin

À l’hôpital, le mardi matin est souvent le jour de grand staff, où tout le monde se réunit avec le patron pour discuter de la semaine et des cas de patients. Quand il y a eu un problème dans la semaine, on staffe et on prend une décision. Et, plus il y a de monde, plus la décision est complexe. On met alors souvent en place une solution de sécurité idéale … qui marche jusqu’à mardi 12h30. Souvent à 14h00 il n’y a déjà plus que 50% de la solution qui peut être appliquée (il manque des professionnels par rapport au matin, des services sont inaccessibles l’après-midi, etc.); plus tard vers 18h00, il n’est pas rare que plus rien ne marche, la solution peut même être devenue dangereuse parce qu’elle empêche de faire ce qui est minimaliste. La logique du parfait est totalement déconnectée de la variété des contextes de la semaine. Ce paradigme se retrouve dans tous les domaines de l’industrie.

La politique des petits pas

Il est toujours tentant de l’appliquer: « A little is better than nothing [7] ».

On préfère faire de petites choses plutôt que rien du tout. Mais ceci a fondamentalement pour conséquences une complexification accrue du système avec des solutions peu performantes dont l’agrégation finit même par être négative (temps perdu) et très faussement rassurante.

Erreur d’identité à l’hôpital

Une fois sur 100 000, on se trompe de patient à l’hôpital. On ne sait pas vraiment gérer ce risque, on a tout essayé. Cependant, il faut faire quelque chose. On prend donc une décision purement rassurante: « La surveillante vérifiera et contresignera les autorisations ». Bien entendu, ce type de solution ne fonctionne pas. C’est prouvé, mais c’est quand même ce que l’on fera à chaque fois. Quand le même problème resurgit, on recommence: on refait une directive en oubliant qu’elle existe déjà! Dans certains hôpitaux, des directives ont été écrites 4 fois sur 4 problèmes récurrents!

Au bilan, quand on construit la politique idéale de sécurité dans la première famille, il est nécessaire de tester ses principes. Si plusieurs d’entre eux ne résistent pas, il ne faut pas mettre en place cette politique de sécurité car elle ne fonctionnera pas.

Une fois les déviances repérées, et que l’on s’est convaincu que l’on n’arrivera pas à toutes les réduire (pour des raisons de conflits économiques, techniques, humains), une autre voie s’ouvre à la sécurité, pour contrôler la déviance collectivement, plutôt que vouloir la supprimer totalement. Fondamentalement l’idée de culture lutte contre l’indifférence ambiante des employés (chacun pour soi) et veut ré-instaurer des objets d’intérêts et de buts solidaires dans l’entreprise.

L’idée est de s’appuyer sur la « culture » des employés, de la direction et du site, pour maintenir le système dans une logique coordonnée, positive pour la sécurité, tout en acceptant sa variabilité et son « ajustabilité » quotidienne.

On parle de culture d’apprentissage, d’information, de culture juste, flexible, parce que si les gens étaient mieux éduqués, ils comprendraient l’intérêt de la première famille, dériveraient moins sur la seconde et se coordonneraient mieux entre eux. L’idée est généreuse… le résultat plus difficile.

1.1.3  Troisième famille de modèles, la famille systémique

Les deux étapes précédentes permettent d’améliorer la sécurité, mais ne résument pas toute la sécurité. On connaît tous le modèle de Reason, le fromage suisse (cf. figure 1.1): tout le monde fera des erreurs, on construira des défenses pour qu’il n’y ait pas d’accident, on redoutera toute la partie d’organisation verticale qui peut provoquer une accélération des erreurs par le climat social qu’elle induit, etc.

Figure 1.1: Le modèle systémique (d’après Reason)

Or, ce modèle a déjà 28 ans! Les accidents de demain n’en sont plus là… Quand on dit que ce modèle est systémique, en fait, il ne l’est pas tant que ça… Les vrais modèles systémiques postulent que c’est le mauvais assemblage de composants qui n’ont pas de panne et pas d’erreur, qui créera le risque de demain.

L’accident d’avion d’Überlingen

Deux avions sont entrés en collision après que les pilotes ont reçu des instructions contradictoires des contrôleurs aériens au sol et de leurs systèmes anti-collision, les TCAS[8]. En effet, si les avions sont un peu trop proches avant la réaction du contrôleur, les TCAS s’auto-déclenchent et donnent également une direction d’évitement. On a donc ici deux systèmes corrects, qui ont fonctionné correctement, cependant, la complexité du système et le couplage étaient mauvais, d’où l’accident.

C’est le futur systémique: des systèmes sans erreur, mais dont « l’erreur » se trouve dans l’assemblage erroné des parties, la mauvaise coordination des systèmes distribués.

Une autre façon de voir la partie systémique est de reprendre le problème avec une logique de benchmark, rapportée sur un graphique (cf. figure 1.2). Certaines activités sont très risquées (aller dans l’Himalaya: probabilité de 1/3 de mourir), d’autres beaucoup moins et d’autres encore sont très sûres (10−7: 1 chance de catastrophe sur 10 000 000 mises en œuvre du système).

Figure 1.2: Notions générales sur le risque selon l’industrie ou l’activité humaine

Quelles leçons peut-on peut retirer de ce graphique[9]?

Première leçon: bien que les industries s’étalent en niveau de sécurité sur un grand intervalle qui va de 10−2 à 10−6, leurs dirigeants possèdent les mêmes savoirs, utilisent les mêmes outils, les mêmes spécialistes des risques car ils ont été formés dans les mêmes écoles (surtout en France). Aucune absence de connaissances ne peut expliquer ces différences spectaculaires de sécurité.

Deuxième leçon: où sont les meilleurs professionnels? À droite ou bien à gauche du schéma? À gauche, les alpinistes sont de super-professionnels. Plus on va vers la gauche, plus il s’agit de professionnels avec un savoir exceptionnel de l’ordre de l’artisanat.

Un certain nombre de barrières peuvent expliquer ces différences:

- Première barrière: sur la gauche du graphique, prévaut l’absence de limite de performance, personne ne vient leur dire « N’y vas pas ». À droite, par contre s’exercent de très fortes contraintes sur la performance.
Illustration à l’hôpital

Arrivée, dans une soirée, de 200 enfants avec des signes de bronchiolite dans un service d’urgence. Sur les 10 premiers patients, le taux d’erreur est voisin de zéro. Pour les enfants entre les rangs 100 et 110, le taux est d’erreur est multiplié par plus de 10 par le fait de la saturation des équipes médicales.

N’importe quelle industrie sûre qui se trouve avec ce type de risques aurait fermé ses portes. L’aéronautique par exemple aurait laissé les avions au sol quand le risque aurait augmenté de façon significative. Les 50 premiers avions auraient été mis en service, puis, après atteinte du taux plafond de risques acceptables, on aurait fermé la plate-forme, pour la rouvrir plus tard. La médecine ne ferme jamais, mais elle « tue » un patient sur 1000. Il s’agit du prix à payer inéluctable à cette logique de « pas de fermeture ». Évidemment, si on fermait, les malades suivants s’exposeraient aussi à un risque considérable: ne pas être soignés à temps. La sécurité est toujours un échange de risques entre l’action et la non-action.

- Deuxième barrière: l’autonomie des acteurs.
Dans les systèmes très sûrs, il y a des priorités: on enlève une très grosse partie de leur autonomie aux acteurs. Dès qu’ils récupèrent l’autonomie, cela devient plus dangereux. À titre d’exemple, la route n’est pas très sûre, mais on est autonome, alors que dans l’aviation qui est très sûre, on ne décide pas individuellement.

- Troisième barrière: celle qui nous projette vers la sécurité.
A priori, on ne se dit pas qu’un pilote, un biologiste, puisse être meilleur qu’un autre. On considère que dans ces professions de service, les personnes sont équivalentes du point de vue de leurs compétences. Par contre, l’identité du chirurgien qui va nous opérer est importante. Si l’on considère qu’il y a des différences, alors on est dans une logique d’artisan. Les artisans se vendent sur leurs différences, pourtant, aucun artisan n’a une sécurité prouvée supérieure à 10−4. C’est donc une étonnante barrière à devenir sûr, tout simplement parce que l’on maximise les différences. On crée l’entropie qui nous tue. Si l’on accepte des opérateurs exceptionnels, on doit aussi accepter qu’il existe par définition des moins bons que ces personnes exceptionnelles. Cela donne parfois des miracles: on peut tomber sur l’artisan qui a le coup de génie. On peut également tomber sur celui qui nous tue…

En aviation, l’obsession depuis 30 ans a été d’éliminer les artisans, les « cowboys » qui étaient capables de faire des choses exceptionnelles. C’est le cas par exemple pour deux accidents au cours desquels les pilotes n’ont pas su récupérer les avions dans des conditions extrêmes d’inclinaison, alors qu’il y a encore quelques années, ils auraient su le faire. Suite à ces accidents, il y a eu une grande réunion au niveau international pour prendre des décisions. On aurait pu choisir de re-entraîner les pilotes à ce genre de situations exceptionnelles, mais on n’a pas voulu le faire, ça coûte cher et c’est risqué: ils pourraient faire les cowboys même quand cela n’est pas nécessaire. On ne veut surtout plus d’artisans dans l’aviation.

- Enfin, dans les dernières barrières, dans les systèmes ultra-sûrs, on arrive à une perte de visibilité et on est davantage piloté par ce qui est surveillé par les tutelles et par ce qui est médiatisé.
L’accident du Tunnel du Mont-Blanc (34 morts)

On a investit des sommes colossales pour sécuriser trois tunnels sous les Alpes alors que cela couvre un risque marginal par rapport au risque routier!

Au bilan, la sécurité se construit avec la vie d’un système, et on n’a jamais de problèmes de sécurité quand on est au début du système. On entend ici par système, une solution industrialisée pour parvenir à fournir un service. La photographie argentique est un système; l’aviation pilotée par des équipages et guidée par le contrôle aérien dans les couches de l’atmosphère est un autre système… et la transfusion sanguine reposant sur des produits issus de donneurs humains encore un autre. Pour chacun d’entre eux, on doit distinguer le but (acquérir une image du réel, se déplacer loin, remplir l’organisme avec des propriétés biologiques particulières) du moyen. Le but reste, et les moyens changent au fil de cycles plus ou moins longs, finalement assez proches de la durée d’une vie humaine.

Au début, au temps de réglage du système, on tolère un risque élevé.

On parle toujours de qualité avant de parler de sécurité. On passe toujours dans toutes les histoires des entreprises par:

- une phase initiale sans direction, ni de qualité ni de sécurité;

- puis, une direction de la qualité qui optimise surtout la performance et règle le système en modèle idéal;

- et pour finir, dans la dernière phase d’existence du système, par la création d’une direction de la sécurité qui remplace la direction de la qualité.

Le jour où Qualité, commence à s’appeler Qualité-Sécurité puis Sécurité, on peut affirmer que l’on est entré dans la dernière phase de vie du système… Bien sûr, il y a tout de même un futur: les systèmes durent 100 à 150 ans, mais il y a toujours aussi une fin, et une nouvelle technologie et organisation qui vient remplacer la précédente.

1.1.4  Quatrième étape du modèle: la résilience

Cette dernière étape de sécurisation d’un système industriel est vraiment très différente des précédentes. Pour résumer:

- la première étape a construit un modèle idéal;

- dans la deuxième étape, on a progressivement compris les déviances et réduit la variance des comportements;

- avec la troisième, on n’est pas resté sur les acteurs, on a fait du systémique pour régler les problèmes d’assemblage.

On a donc maintenant un système particulièrement sûr, mais est-on toujours adaptable, robuste aux conditions exceptionnelles, en bref « résilient »?

Le travail réalisé avec Gaël Morel sur la pêche[10], est très intéressant pour illustrer ces problèmes de résilience. La pêche est un système très dangereux, pas sûr du tout. Un pêcheur sur 100 meurt chaque année. À part la réglementation générale de la navigation, il n’y pas de règlement sur la sécurité propre sur le bateau; par contre, il existe une réglementation sur les quantités de poisson pêchées, etc. La pêche rapporte bien aux professionnels à condition de capturer du poisson noble… et de le vendre au bon moment. Pour assurer de hauts revenus, il faut parfois aller pêcher quand les autres n’osent pas, dans les endroits les plus dangereux, les conditions les plus extrêmes. Ainsi, les pêcheurs prennent de gros risques, et ils deviennent aussi immensément experts dans ces conditions de pêches extrêmes… pour ceux qui survivent. Leur sécurité, c’est leur savoir: leur expertise, leur stratégie de pêche.

Pour aider à améliorer la sécurité des pêcheurs, l’ergonomie leur a fourni un outil anti-collision. On s’aperçoit qu’ils s’en servent pour repérer les autres et, arrivés à l’endroit le plus dangereux, ils le coupent pour ne pas se faire repérer. L’aide de l’ergonomie n’a pas ici les effets escomptés.

Pour essayer de comprendre les différences de sécurité, on a mesuré les résultats sécurité entre gros armateurs et petits patrons pêcheurs. On s’attendait à voir un sur-risque considérable chez les petits et moins d’accidents chez les gros (qui ont une représentation sociale en matière de sécurité: syndicats, CHSCT[11], etc.) En fait, on a obtenu un résultat surprenant… Si les petits ont davantage d’accidents de collision, les accidents de pont sont beaucoup plus fréquents chez les gros armateurs. Pourquoi? Parce que les syndicats ont signé des accords « travailler plus pour gagner plus »; ils travaillent ainsi à des volumes de travail et dans des zones de risque considérables, avec un adoubement syndical. Ceci entraîne beaucoup d’accidents du travail. Par contre, les petits patrons ont moins d’accidents parce qu’ils ont une petite équipe et tiennent à leurs marins.

Dans la logique d’artisan, il y a les losers et les winners[12]. Le patron qui survit, c’est un bon; celui qui est mort, c’est un mauvais artisan et en plus c’est de sa faute, il ne savait pas y faire, c’est une sanction normale.

Plus on renforce les trois premières étapes de la sécurisation (plus de protocoles, plus de contrôles, plus d’interdictions, plus de supervision, etc.), plus on réduit l’exposition des professionnels aux situations exceptionnelles; et on perd la capacité à gérer ces situations. Plus on cultive les trois premières familles, plus on va mourir d’un manque de la quatrième.

Évidemment, tout dépend de son niveau de maîtrise des trois premières phases… En médecine ou chez les pêcheurs par exemple, où aucune des trois premières phases n’est maîtrisée, on ne va pas commencer à se poser des questions sur la résilience. Paradoxalement, on constatera que la résilience est même spontanée, native dans ces systèmes pas encore très sûrs qui misent beaucoup sur l’expertise de leurs professionnels. Et dans ce cas, la sécurisation efficace consisterait plutôt à investir dans le réglage intensif du système (règles, protocoles, encadrement) et à réduire la résilience.

Au bilan, le manque de résilience est comme une fatalité liée aux succès des phases précédentes. Si on est très sûr, on va mourir d’un manque de résilience, mais il faut bien voir que ce manque ne s’exprimera que pour des situations exceptionnelles, par définition extrêmement rares, et par conséquent le système peut se conforter dans sa stratégie de sur-sécurité pendant très longtemps.

Malheureusement, il n’existe aucune solution aujourd’hui pour à la fois sur-sécuriser un système et continuer à entretenir une résilience importante chez les professionnels.

On a deux philosophies résultantes de ce constat:

- un modèle sûr mais peu performant et pas adaptable;

- ou un modèle économiquement compétitif et très performant, mais risqué.

Toutefois, on perçoit quelques macro évolutions pour traiter ce problème de résilience dans les entreprises. Une solution que l’on voit de plus en plus, consiste à réduire l’autonomie des professionnels en imposant des règles de sécurité, mais à déplacer les capacités d’adaptation de l’entreprise au niveau de son comité stratégique et de ce qu’on appelle la résilience organisationnelle.

Il ne s’agit plus au sens propre d’éviter les accidents, mais de les gérer dans l’entreprise et dans l’image de l’entreprise qui est véhiculée…

Illustration dans l’aviation

Par exemple, alors que la plupart des compagnies aériennes meurent après un accident grave (TWA, Swissair, etc.), une compagnie a montré de remarquables capacités résilientes au niveau de sa direction. L’accident qu’elle a vécu est une belle illustration de cette stratégie de résilience: par le fait d’une conduite facteurs humains de l’équipage très discutable, l’avion a raté la piste et s’est cassé à l’atterrissage de nuit, mais heureusement les passagers ont été évacués. La stratégie de résilience, préparée de façon générique par la direction a merveilleusement fonctionné: elle consiste à réagir très vite en moins d’une heure après l’accident, à capturer immédiatement le point positif que l’on peut mettre en valeur dans l’événement, et à passer l’information à toutes les agences de presse: passer une dépêche dans le monde entier annonçant que cette compagnie est la plus performante pour évacuer les gens. Le bénéfice net a été inimaginable: alors qu’une autre compagnie serait morte d’un accident équivalent, celle-ci a gagné des clients.

1.2  Discussion

Cette intervention de René Amalberti a soulevé de nombreuses questions et discussions. Le débat qui a suivi est en partie retranscrit ci-dessous.

On pourrait donc conclure qu’il faut faire des formations de cowboys?

Non, les formations ne suffisent pas; il n’y a pas de formation aux situations exceptionnelles, il n’y a que l’exposition.

Mais cela, il faut le vouloir…

Oui, il faut générer des situations exceptionnelles dans un créneau particulier… Imaginons le cas du nucléaire qui aurait une usine dédiée à entraîner les gens sur des situations exceptionnelles, avec un équivalent de combustible (qui n’a pas les propriétés de danger de la radioactivité), mais qui a les mêmes propriétés en termes de processus. Dans cette usine, on ferait « jouer » les cowboys sur l’entretien de stratégies totalement différentes de ce qui est très réglé dans les autres usines. On peut imaginer également que l’on entretienne des pilotes d’essais qui font des choses que tous les autres pilotes ne font pas. Ce n’est pas simple…

Quand on dit, les pilotes ne sont pas entraînés… ils sont tout de même entraînés, non?

Dans le « tube », oui, mais pas à l’exceptionnel. L’exceptionnel, quand on a réglé les familles 1, 2 et 3, c’est 1 risque sur 1 million…

Oui, mais en même temps, dans les crashs d’avion, ce n’est pas l’exceptionnel qui est en cause, c’est la routine…

Oui et non. Les accidents résiduels ne sont pas vraiment des accidents de routine; Ils dénotent presque tous maintenant d’une histoire complexe où la sécurité mise en place est paradoxalement une des causes, voire parfois la principale, qui a participé au risque réalisé. Par exemple l’accident du MD11 de Swissair qui s’est écrasé dans la fin des années 1990 à la suite d’un feu à bord a vu son équipage appliquer parfaitement les procédures… procédures qui ont retardé une prise de décision de déroutement qui aurait sauvé l’avion. La communauté aéronautique reconnaît qu’un accident de ce type ne serait pas survenu si on avait à bord des pilotes moins procéduriers et plus autonomes.

Et la « financiarisation » des grands systèmes?

Cela augmente l’importance de la résilience.

Les cowboys sont maintenant plus des financiers que des techniciens, et des financiers qui jouent gros.

Dans la finance, il y a de vrais cowboys, qui sont très entraînés, qui vont de temps en temps en prison, mais pas souvent. Ils ont une résilience assez forte. Il s’agit d’un modèle très artisanal, très peu réglé. Plus on étudie les professionnels de la finance, plus on prend conscience qu’ils n’ont pas fait le parcours des modèles 1, 2 et 3. En général, leur niveau 1 est à peine un peu réglé, ils montrent des déviances terribles dans le 2 et ne font rien en systémique.

Un exemple à la bourse suédoise

Il a été décidé de coupler le modèle de bourse suédois qui était manuel, « à la corbeille », à la bourse de manière informatique dans les années 1980. Résultat, 50% des finances de la Suède ont été perdues dans la nuit. Les financiers n’avaient aucune prédiction, aucune règle de sécurité…

Quelle acceptation publique et politique y-a-t-il à l’égard des cowboys dans les nouvelles technologies?

Une fois que vous avez réalisé le parcours 1-2-3, le risque résiduel est si petit dans les nouvelles technologies que vous ne pouvez pas justifier de ré augmenter le risque avec le prétexte d’avoir une solution pour faire face à des risques tout à fait hypothétiques et exceptionnels. Ce n’est pas accepté par la société. Mais vous pouvez quand même le faire, avec une stratégie impliquant un sous-ensemble de personnes en interne. Vous pourriez avoir quelques cowboys au sein d’usines équivalentes sans le risque, ou bien au sein de sections particulières, testant de nouvelles procédures sans les contraintes imposées par les familles 1-2-3. Considérons la médecine par exemple. On devrait avoir dans le futur une médecine standardisée pour 90% des médecins et on gardera 10% de cowboys qui seront des chirurgiens exceptionnels, qui feront des actes exceptionnels sur des patients exceptionnels en demande de soins exceptionnels. Si vous ne pouvez pas être soigné par le « tube » des médecins standards, vous pourriez être en mesure de demander des médecins exceptionnels capables de faire des choses que la plupart des médecins ne feront pas. Il est possible d’organiser un système comme cela, à 90% robuste et conservant 10% pour les cas exceptionnels. Dans un système trop codifié, le patient qui demanderait à prendre des risques pour traiter son cas particulier, à être le premier ou l’unique pour tester un nouveau protocole, verrait sa demande refusée. Le système a probablement capacité à manager ces quelques pourcentages de cowboys, mais le vrai problème sera de l’expliquer à la société, d’expliquer la résilience aux gens, de donner des exemples de risques pour le futur.

La résilience est de premier intérêt pour l’industrie, mais pas tant pour les consommateurs. Une compagnie aérienne très résiliente survivra à un crash, mais ce qui importe au consommateur, ça n’est pas la survie de la compagnie. La résilience est très égoïste en termes de concept. Pour être vraiment sûr, il faut développer les familles 1-2-3 et diminuer l’expertise exceptionnelle; mais pour vivre longtemps, il faut développer la quatrième famille.

Cela veut-il dire que dans une vision à moyen terme, il faut adopter une limite à la sécurité de nos installations? Peut-on accepter de se mettre, non pas dans le rouge, mais dans le jaune sur une matrice de criticité? Est-ce que les dirigeants de nos grandes entreprises sont prêts à cela, s’agit-il d’une question de survie?

Tout dépend du niveau de maturité de l’industrie! La résilience, c’est la survie de toute entreprise qui a fait le parcours des trois premiers modèles. C’est le cas d’EDF par exemple. Pour la chimie, il y a encore de la marge, tout n’a pas été fait dans le parcours 1, 2, 3! Les industries très matures niveau sécurité comme le nucléaire et l’aviation européenne sont extrêmement exposées aux problèmes de résilience car elles vont mourir du premier événement vraiment exceptionnel qu’elles rencontrent. La chimie est à un niveau de sécurité entre 10−4 et 10−6 dans le meilleur des cas. Ces industries chimiques sont nécessairement hostiles à devenir trop sûres car une partie de la survie économique est liée à l’innovation. En aviation, depuis 1980, on a sécurisé 10 fois le système (même nombre d’accidents, même nombre de morts, mais trafic plus dense), mais cela coûte 10 fois plus cher de rembourser les victimes de nos jours qu’en 1980. Cette logique est commune à tous les processus industriels et de services. On ne gagne jamais, jamais d’argent en sécurisant le système. Il faut prendre en compte assurance et réparation en plus du coût direct de la sécurité. Le coût de la réparation de la victime de l’accident résiduel est toujours en proportion du risque encouru. Une victime d’un accident de probabilité 10−7 touche 100 fois plus d’argent qu’une victime d’un accident à 10−5. Du coup, beaucoup de professions ne se précipitent pas pour sécuriser. Surtout si elles n’ont pas de pression sociale à sécuriser, ce qui est le cas des marins. Il y a trop de bateaux et pas assez de poisson. Il est même moins cher de perdre un bateau en mer plutôt que de le laisser au port et de l’entretenir.

Quand il n’y a pas de réglementation, les entreprises ont alors libre choix?

Oui, elles ont d’autres intérêts. La réglementation va venir avec la contrainte publique. En effet, certains risques sociétaux sont considérés comme inacceptables (nucléaire, aviation, énergie en général, transports en général, etc.). Une fois que l’on est entré dans la réglementation, on ne fait plus machine arrière, on décline la sécurité sur les familles 1, 2, 3 jusqu’au bout du bout, jusqu’au moment où l’on se dit que l’on n’est plus du tout résilient. Mais on ne sait pas comment s’en sortir, à part peut-être par le maintien de cowboys. Mais on voit aussi qu’il n’est pas simple de réintroduire les cowboys surtout quand on a une culture qui les a tous « tués » pendant 20 ans. Plusieurs questions se posent alors. Qu’est ce qu’un cowboy? Où le met-on dans l’entreprise? Qu’est qu’il a le droit de faire? Comment va-t-on le gérer? etc.

En termes de gestion de crise, un modèle consiste à savoir positiver et à tout de suite communiquer dessus.

Il est étonnant qu’il n’y ait pas de compagnie aérienne qui communique sur sa sécurité performante?

Il est interdit de le faire, c’est le privilège de la famille 3 poussée au bout, quand on a décliné toutes les familles dans un modèle ultra sûr. À ce niveau là, on interdit toute valorisation compétitive commerciale de la sécurité car la sécurité n’est plus un objet commercial, c’est un objet devenu obligatoire. La déclinaison absolue de ce concept, dans les systèmes ultra sûrs, c’est l’interdiction de remettre des primes au mérite pour distinguer des opérateurs de même niveau avec la même qualification car sinon, on recrée des artisans.

La résilience est un système égoïste… La résilience qui m’intéresse, est celle qui évitera l’accident majeur, pas celle qui permettra à l’entreprise de résister…

Il faut considérer la résilience de l’entreprise, la résilience face à l’accident, la résilience de l’opérateur. Toutes les résiliences portent sur des cas devenus rares quand on a développé les 3 premières familles, mais qui restent fréquents quand on n’est encore pas sûr. Ceci est vrai pour toutes les résiliences. Il n’y a pas de modèle de prédiction aujourd’hui pour anticiper l’accident rare et exceptionnel. Les modèles 1, 2, 3 ne savent pas imaginer l’impossible. De toute façon, l’impossible se décline à l’infini. Ce qu’il faut, c’est un type de savoir-faire qui caractérise les artisans sans arrêt exposés à des situations très variées. Si l’on prenait dans les entreprises très sûres un comportement d’artisan que l’on sache maintenir, on aurait une meilleure adaptabilité face aux accidents futurs exceptionnels.

Très bien, la résilience, c’est le modèle du cowboy, de l’artisan. Et la préparation de crise ça ne marche pas. Or voici un exemple:

La préparation au bug de l’an 2000 chez EDF

Cela a représenté des mois de travail, la crise, le bug n’a pas eu lieu, par contre, il y a eu une tempête. Cette préparation a servi à régler les problèmes liés à la tempête. C’était un modèle de préparation de crise intelligent. Même s’il y a eu quelques cowboys, cela relevait plutôt des familles 1, 2 et 3. Mais tout de même, en interne chez EDF, il y a encore des artisans.

Je n’ai pas dit qu’on ne pouvait pas se préparer; on peut se préparer de différentes façons, les modèles de cowboys en sont une. Cependant, il me semble que la population qui a géré la tempête n’est pas parmi les plus réglées chez EDF. Il s’agit d’une population avec un degré d’autonomie assez important, et qui a bien réagi en improvisant beaucoup. Ils étaient plus artisanaux que ne le sont les gens du nucléaire…

Oui, ils ont improvisé, mais ils étaient aussi préparés. Il faut peut-être imaginer des modèles qui aligneraient 4 avec 1, 2, 3.

Parler résilience, ce n’est pas un problème de riche? Il ne faut pas faire 4 sans être auparavant passé par 1, 2 et 3. J’aimerais déjà que tout le monde face 1, 2, 3, il y aurait moins de morts. La chimie peut encore progresser, les marins aussi. Il ne faut surtout pas aller vers 4 avant de faire 1, 2, 3.

La question de résilience est à la mode. Les marins peuvent progresser, mais il y aura un directeur de sécurité et il n’y aura plus de marins!

Dans la chimie il reste des cowboys… des micro-cowboys pour des micro-sorties du tube…

Oui, mais est-ce qu’on les laisse faire?

Ce sont plutôt les petites unités qui ont des cowboys, il n’y en a pas trop sur les vapocraqueurs par exemple. Même dans le montage, même dans le contrôle aérien, il y a encore des cowboys. Ils se cachent, se reconnaissent entre eux…

Oui, mais ils sont surveillés, il y a des régulations.

C’est le niveau de l’équipe qui régule.

Doit-on enseigner la résilience? On doit former des relais sur le terrain qui auront à essayer de progresser dans les familles 1, 2, 3, parfois les préserver si on y est bien engagé comme dans le nucléaire, parfois essayer d’y emmener un peu tous les autres qui viennent de la chimie, etc. Dans le nucléaire, on n’acceptera pas que ces gens disent qu’il faut mettre des cowboys. Quand bien même on veut faire le saut vers la résilience, on se rend compte que l’on est plutôt face à un constat, et qu’il y a peu de pistes. Faut-il d’abord s’assurer que cette stratégie est « acceptée » au niveau des décideurs avant de faire passer le message de façon prioritaire?

On ne peut pas axer tout l’enseignement sur la résilience, mais on est obligé d’en parler, il faut lui laisser une place mais pas la place centrale de la sécurité.

Le niveau 3 sur les approches systémiques par assemblage n’a déjà pas une couverture théorique très forte. Il y a autour de l’assemblage qui va résister, une importation de l’idée de résilience qui est déjà applicable. C’est un univers dans lequel même les grandes entreprises ont beaucoup de mal à avoir une anticipation et une compréhension des problèmes. Les modèles d’assemblage de réseaux complexes de risques sont mathématiquement faiblement modélisés parce qu’en fait, ce sont des modèles d’échange de risque assez compliqués, ces échanges n’étant pas stables dans le temps. Il faut non seulement modéliser le flux d’échanges de risques avec un résultat, mais il faut aussi avoir une prédiction sur le vieillissement du modèle et la façon dont il va se structurer. Et sur ces points, si on les analyse uniquement avec des concepts formels, sans introduire des regards alternatifs de type résilience, on fait des erreurs sur les prédictions. Donc, il y a déjà un intérêt au niveau des modèles de niveau 3. Mais, une fois de plus, au niveau de l’enseignement en sécurité, il faut que le jeune comprenne les phases 1, 2, 3 et leurs insuffisances avant de comprendre la nécessité de quelque chose de plus et la valeur de la résilience.

Il y a aussi un niveau de relativité… L’ancien Marine de la banque d’affaires Morgan Stanley du World Trade Center: c’est lui qui a entraîné les employés à la gestion de crise à partir de 1993. Sur les 2000 employés de la banque, seulement 7 morts. C’est un marine, pas un cowboy qui a forcé les ordres: il n’a pas voulu respecter la consigne de rester dans la tour et il a ainsi sauvé les employés. C’est de la résilience au regard de la procédure de la tour.

1

Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité

2

Analyse Préliminaire des Risques

3

HAZard OPerability

4

National Health Service, Service national de santé

5

L’utilisation de curares permet de faciliter l’intubation, d’assurer la relaxation musculaire et de faciliter la ventilation mécanique.

6

Organisation Mondiale de la Santé

7

Peu est mieux que rien.

8

Traffic Collision Avoidance System

9

Figure issue de: Amalberti, Auroy, Berwick, Barach, Five System Barriers to Achieving Ultrasafe Health Care, Ann Intern Med. 2005; 142, 9:756-764

10

Articulating the differences between safety and resilience: the decision-making process of professional sea fishing skippers; Morel G. Amalberti R. and Chauvin C.; Human Factors, 2008, Feb.(50)1:1-16

11

Comité d’Hygiène, Sécurité et Conditions de Travail

12

Les perdants et les gagnants

Chapitre 2  Introduction à l’incertitude

2.1  Grandes lignes de l’intervention de Laurent Magne

Pour ouvrir aux questions sur l’incertitude, le choix de Laurent Magne, Attaché de Coordination à la Direction Production Nucléaire, EDF, et vice-président du Conseil Scientifique de la FonCSI, s’est porté sur la description de deux exemples de prise de décision en situation d’incertitude. Pour illustrer le propos, une entreprise industrielle est évoquée: elle s’appelle « Incerco », et elle exploite des installations à risque.

2.1.1  Premier exemple: la hauteur d’une digue

L’histoire se situe dans les années 1970, Incerco doit installer une digue pour protéger une installation contre les crues. La décision à prendre concerne la hauteur de la digue à construire pour éviter les inondations. Il s’agit d’une décision en situation d’incertitude à plusieurs niveaux:

- le débit de la crue, sa fréquence (aléa météorologique);

- l’état de la rivière: frottements, état de la sédimentation, érosion, état du sol, profondeur, etc. (il s’agit là surtout de méconnaissance);

- les conditions d’écoulement, ou comment représenter le réel sur le plan hydraulique: état de la rivière, remous, houle, vent, etc.?

- sur un autre registre, si jamais la protection était insuffisante lors d’une crue, quels seraient les dommages sur les gens, sur les installations?

Au vu de toutes ces incertitudes, comment prendre la décision?

Tout d’abord, ce problème paraît technique, il s’agit a priori d’un problème d’ingénieur. On va donc construire un modèle physique pour prévoir la hauteur de crue. Pour cela, on connaît les lois physiques qui permettent de décrire la hauteur en fonction du débit et d’un certain nombre de paramètres, et on a des données, portant sur les principaux paramètres de description de la rivière, et sur l’historique des crues, du débit; on dispose, par exemple ici, de 150 valeurs issues des sources d’information locales et de la météo.

À partir de tout cela, comment procède-t-on? Deux approches peuvent être envisagées (il y en a d’autres, mais on simplifie):

1. Une approche « simpliste » consiste à prendre l’historique des crues, à relever la crue la plus haute, assortie des paramètres les plus pessimistes (les plus conservatifs), puis à faire un calcul grâce aux lois physiques: on trouve alors une certaine hauteur. On ajoute ensuite une « marge » à cette hauteur, par exemple 15%. On se dit alors que l’on a évacué l’incertitude puisque l’on a pris des marges à tous les niveaux: la crue la plus importante, les paramètres les plus pessimistes et en plus une marge sur la hauteur! C’est sans doute un peu comme cela que les Romains construisaient les ponts ou les aqueducs. Ils imaginaient le pire, et dimensionnaient en prenant des marges. Seulement, certains de leurs ponts, de leurs aqueducs tenaient, d’autres non, et cela dépendait sans doute du « métier » des constructeurs. Mais que vaut réellement la marge que l’on a prise? Si on ré-interroge le problème, comment peut-on vraiment mesurer l’incertitude? On a voulu l’évacuer: cela voulait dire implicitement que le « risque résiduel » était pratiquement éliminé. Mais finalement, on n’en sait absolument rien, car on ne sait pas le mesurer.

2. Une approche un peu moins simpliste (plus proche des exigences réglementaires) consiste également à prendre les valeurs historiques, mais à construire à partir d’elles un modèle statistique. On modélise la crue centennale (ou millénale, selon les exigences réglementaires), c’est-à-dire la crue qui a une chance sur 100 – ou sur 1000 – de se produire dans l’année (ou qui devrait se produire en moyenne une fois tous les 100 – ou 1000 – ans). Là encore, on prend les paramètres les plus pessimistes et on fait les calculs. Mais ici, on s’est prémuni contre un risque plus précis: selon que l’on a pris la crue centennale ou millénale, on peut affirmer que le risque « résiduel » est inférieur à 1/100 ou 1/1000 par an, en considérant que le modèle physique est correct. De cette manière, on tient un peu mieux compte de l’incertitude, on sait un peu mieux contre quel risque on se prémunit.

Incerco a choisi de construire une digue pour se prémunir contre une crue millénale. Cependant, a-t-on répondu à toutes les questions?

- Tout d’abord, sur le plan technique, la validité du calcul est-elle indiscutable? Cela suppose que le modèle physique et le choix des paramètres soient pertinents, que les données soient fiables, etc. Ne devrait-on pas réinterroger tous ces aspects? Par exemple, même en 2008, on publie encore sur l’évaluation de la crue centennale/millénale, qui est un problème physico-statistique loin d’être évident.

- De plus des problèmes de légitimité se posent: qui a choisi 1/1000? Qui a défini le critère d’acceptabilité du risque? L’industriel? Le régulateur? Le public? Quels moyens a le public de choisir? En fonction de quelles connaissances sur les conséquences réelles ?

Mais la validité du calcul est ce qu’elle est, on est en 1975. De plus, à cette époque, on ne discutait pas trop les critères d’acceptabilité: « c’est 1/1000 et c’est comme ça ». Bref, la décision est prise. Nous voilà en 1999… on assiste à une importante tempête et la digue est submergée. Les calculs ont été refaits, on a rehaussé la digue… et on espère que cela va tenir jusqu’à la prochaine.

Cet exemple peut déjà amener à se poser de nombreuses questions sur la pratique de la décision en situation d’incertitude. Retenons simplement deux enseignements portant sur « la mesure de l’incertitude ».

L’incertitude est un mélange d’aléas et de méconnaissance

Comment bien distinguer aléa et méconnaissance? L’aléatoire, c’est le hasard intrinsèque au phénomène lui-même, irréductible. Dans le monde réel, l’archétype de l’aléatoire, ce sont les tirages du loto, ou les jeux de dés. Ces cas sont aléatoires, parce qu’une infime variation de conditions initiales amène des variations très importantes sur la position finale. Ce phénomène de « sensibilité aux conditions initiales » est tel que même avec les modèles physiques les plus sophistiqués et les mesures les plus précises, on ne pourra jamais prévoir les résultats.

Les jeux de dés

Pour mesurer l’aléatoire, l’outil le plus adapté est le calcul des probabilités. Ainsi, la probabilité d’obtenir quatre 6 en jetant quatre dés est de 1 chance sur 1000 (1/64 = 1296: arrondissons à environ 1/1000). Que signifie 1/1000 dans le cas d’un phénomène aléatoire? À chaque tirage, les quatre 6 peuvent être obtenus, avec une probabilité d’occurrence de 1/1000. Sur deux tirages successifs, rien n’empêche qu’on obtienne quatre 6 ces deux fois! Mais ce que nous dit seulement la théorie (la loi dite des grands nombres), c’est que sur une infinité de tirages (ou sur un très grand nombre, pour rester réel), on aura en moyenne la réalisation une fois sur 1000.

Or, la plupart des phénomènes avec incertitude ne sont pas des phénomènes totalement aléatoires. Ils comportent parfois une part aléatoire (par exemple, liée à la « sensibilité aux conditions initiales ») mais surtout une part de méconnaissance: on n’a pas tout mesuré, les mesures effectuées sont toujours « à quelque chose près », on n’est pas tout à fait sûr d’avoir bien décrit le phénomène, les données sont incomplètes, etc. Malheureusement, il n’y a pas vraiment d’outil adapté pour « mesurer la méconnaissance » (comment connaître ce que l’on ne connaît pas?). Alors on fait « comme si » c’était aléatoire, et on utilise des calculs de probabilités.

Dans le cas de la digue, il y avait bien sûr nombre de méconnaissances. On avait prévu la digue pour une crue en moyenne tous les 1000 ans et finalement, au bout de 25 ans seulement elle a débordé! Si c’était réellement un phénomène aléatoire, on se dirait qu’on n’a pas eu de chance… mais ici, on n’y croit pas: on se dit que le problème vient plutôt de la méconnaissance. On refait alors les calculs de physique et de statistique… et on rehausse la digue. La difficulté, c’est que l’on utilise les mêmes méthodes pour mesurer la méconnaissance et pour mesurer l’aléa, et qu’en plus il reste toujours des incertitudes que l’on n’arrive pas à mesurer. Cependant, à un moment, il faut trancher. On pense que l’on a fait au mieux, mais si un événement vient contredire nos calculs, on est prêt à les refaire. Alors que si l’on tirait quatre 6 au bout de vingt-cinq tirages, on ne serait pas prêt à refaire le calcul: c’est la différence entre aléa et méconnaissance.

Le cadre méthodologique de la mesure de l’incertitude

Pour mesurer une incertitude, il faut réunir plusieurs conditions, on a besoin de se donner un cadre méthodologique. Précisons ce cadre rapidement. Chaque fois qu’on a une mesure d’incertitude à réaliser, il faut:

- spécifier le problème, et notamment définir le critère de décision;

- collecter les données, identifier les sources d’incertitude;

- propager les incertitudes, et évaluer l’impact de chaque source d’incertitude sur l’incertitude globale du résultat;

- … et finalement présenter le résultat aux décideurs.

Ce cadre méthodologique mériterait de longues explications. Il fait l’objet de nombreuses réflexions au sein de sociétés savantes (IMdR[1], ESReDA[2] …). Je ne le développe pas. Soulignons seulement deux points-clés.

Premier point-clé: les critères de décision

Cela paraît assez loin de la question de la mesure de l’incertitude, mais en fait, on cherche bien à mesurer une incertitude pour prendre une décision, et cette décision se prend elle-même en fonction d’enjeux, de risque globaux, etc.

Voici un exemple illustrant l’importance de préciser les critères de décisions: supposons que l’on cherche à évaluer l’incertitude de mesure de la masse d’un objet.

Incertitude de mesure de la masse d’un objet

Plusieurs méthodes sont possibles. Par exemple:

1. On peut proposer une « incertitude absolue à x kg près ». C’est une forme classique « d’erreur de mesure »; malheureusement cette méthode ne fait que déplacer le problème: quelle est l’incertitude sur l’erreur?

2. On peut aussi proposer une « distribution de probabilité autour d’une valeur moyenne »;

3. On peut encore proposer « la probabilité que la masse ne dépasse pas une certaine valeur ».

Les méthodes (2) et (3) représentent bien des évaluations d’incertitudes. La méthode (2) peut être adaptée à des questions où l’on souhaite maîtriser la précision d’une mesure (par exemple lorsqu’on souhaite maîtriser la quantité d’additif à mettre dans un béton); la méthode (3) est adaptée lorsqu’on veut maîtriser un risque de dépassement d’un seuil (par exemple pour respecter un règlement de rejet). Bien d’autres méthodes sont possibles (voir notamment l’exemple suivant sur l’entretien d’une installation à risque). On voit qu’elles sont liées au type de décision qu’on sera amené à prendre. Choisissons la méthode adaptée et faisons les calculs… Mais réfléchissons aussi à l’enjeu. Supposons que vous vouliez évaluer l’incertitude sur la trajectoire d’une voiture. Si vous roulez en plein désert sans aucun obstacle, à quoi ça sert? Si vous roulez juste au bord d’un précipice, en revanche on sent qu’il vaut mieux être précis.

Bref, la question des critères et des enjeux est fondamentale pour préciser le critère de décision. Une incertitude s’évalue toujours face à un enjeu.

Deuxième point-clé: les données incluant au sens large les connaissances, les modèles physiques dont on dispose, etc.

Je ne développe pas ce point, qui est plus intuitif: l’incertitude globale provient de sources d’incertitudes qu’il faut arriver à cerner, et tout dépend de la qualité des connaissances dont on dispose pour faire l’évaluation.

Malheureusement, l’expérience montre qu’en général, lorsqu’on fait des mesures d’incertitude, on passe un temps très important sur les calculs de propagation de l’incertitude, pas assez sur la qualité des données, et presque rien sur les critères de décision, qui ne sont quasiment jamais discutés, car ils sont implicitement ou tacitement acceptés.

2.1.2  Deuxième exemple: l’entretien d’une installation à risque

Cette seconde histoire se déroule en 2001. Incerco dispose d’une installation ancienne dans laquelle des matériels de protection contre les inondations vieillissent et se dégradent. On s’interroge sur « que faire au plus juste coût ». Il s’agit ainsi à la fois d’une question de sécurité, de maintien de la production et de coût de maintenance. Incerco possède un centre d’ingénierie. C’est ce centre qui se charge de réaliser une évaluation technico-économique (ACB[3] par exemple). Les ingénieurs évaluent de nombreux scénarios de maintenance, représentant des coûts différents: il est en effet possible de réparer tout ou partie. Chaque scénario est étudié, avec des analyses de fiabilité des matériels et structures (elles-mêmes évaluées avec des incertitudes), et confronté à des enjeux de sécurité (atteinte des personnes et de l’environnement en cas de rupture par exemple).

Nous avons ainsi trois éléments combinés: enjeux économiques + vulnérabilité physique + enjeux de sécurité, qui représentent trois dimensions différentes du risque (coûts, probabilité, conséquences) que l’on associe à chaque scénario de maintenance.

Ce n’est pas tout: lorsqu’on dispose de toutes ces informations, comment choisir? L’ingénierie propose de travailler avec les différentes parties prenantes (management, personnel de maintenance, d’exploitation, financiers, externes, etc.), en organisant des débats autour de leurs préférences, en tenant compte de leur « aversion au risque ». Ces analyses et ces débats, par itération, aboutissent à converger vers une solution. Le centre d’ingénierie élabore alors une recommandation: on propose de changer certaines vannes, de réparer certaines tuyauteries, et de laisser le reste en l’état. Il s’agit d’un compromis entre les enjeux de risques/coûts/conséquences, choisi par les différents acteurs. Tous les acteurs ont été associés à la proposition. En particulier, on note un consensus indiscutable sur la vanne n°4: tout le monde est d’accord, il faut la changer.

Incerco prend finalement la décision en acceptant la proposition de l’ingénierie, et lance un projet industriel de travaux.

Cependant, au cours de l’avant-projet, on s’aperçoit d’une petite erreur sur des hypothèses économiques du calcul (on avait légèrement sous-évalué les coûts relatifs à l’outillage). Cette erreur remet-elle en cause le calcul? Est-ce que la proposition du centre d’ingénierie serait la même si on la prenait en compte? Un comité se réunit mais n’arrive pas à trancher. Les uns disent que l’erreur est négligeable et que sa correction ne changerait rien, les autres ne sont pas convaincus par le manque de rigueur. Un deuxième comité indique qu’il faudrait peut-être reprendre l’étude rapidement, il suffirait peut-être de changer les paramètres… le temps passe… et le 12 février 2006 à 3h du matin—5 ans après!—la vanne n°4 rompt, entraînant une inondation. Heureusement, c’était la nuit, en hiver, et il n’y avait personne dans le parc de loisir situé en aval de l’installation.

Qui est responsable? Le centre d’ingénierie brandit son étude: ils avaient vu juste. Ils avaient indiqué que la petite erreur économique ne remettait pas en cause les calculs, ne changeait pas les ordres de grandeurs. Est-ce la faute des décideurs? Mais pourtant la décision avait été prise à temps! Sans doute la complexité du système industriel est-elle une des causes de ce retard? Cependant, revenons un instant vers le centre d’ingénierie. Son alerte: « Il faut changer la vanne n°4 rapidement! » avait-elle été lancée suffisamment clairement et distinctement? Le centre d’ingénierie croyait-il vraiment à ses calculs, ou au fond ne considérait-il pas que les études de fiabilité étaient un peu « conservatives »? Quoiqu’il en soit, l’ensemble des acteurs a laissé faire.

Cette deuxième anecdote est un peu gênante car elle semblait être « la » réponse à la première, notamment sur les critères de décision: dans le premier cas, on avait affaire à une décision technique, qui ne tenait pas explicitement compte des enjeux économiques ni des avis des parties prenantes. Dans le deuxième cas, on reconnaît que « la sûreté n’a pas de prix, mais elle a un coût », et on en tient compte, de façon intelligente. De plus, on peut souligner un autre bon point: les parties prenantes ont coopéré, elles ont travaillé ensemble. Les études et les conclusions étaient pertinentes. Bref, tout était fait pour prendre une bonne décision, mais le fait est qu’on ne l’a pas prise… Pourquoi? Disons seulement que tout système de management des risques, le plus global et le mieux organisé soit-il, n’est qu’un « dispositif »: le réel, le fonctionnement effectif du dispositif, sur le terrain, jusqu’au bout, c’est autre chose.

Ces deux anecdotes industrielles peuvent vous permettre de commencer à méditer sur les questions pratiques de décision en situation d’incertitude. Avant de conclure, je voudrais donner deux exemples, sur notre quotidien: des décisions dans l’incertain, on en prend tous les jours…

Décisions dans l’incertain au quotidien

- La pression des pneus par exemple; contrôle-t-on suffisamment la pression avant de prendre la rocade à 90 ou 110 km/h? On a les moyens de réduire l’incertitude à peu de frais, alors que les conséquences potentielles sont graves… mais prend-on la décision qui semble s’imposer? Ici, on sait, mais on ne fait pas (mais peut-être le faites-vous?).

- Les téléphones portables: on sait qu’il y a des controverses à ce propos, mais cela ne nous empêche pas de téléphoner… Ici, on ne sait pas, mais on fait (mais peut-être êtes-vous plus précautionneux?).

2.2  Discussion

Cette intervention de Laurent Magne a soulevé de nombreuses questions, et a engagé le débat sur l’incertitude dont quelques parties sont succinctement rapportées ci-dessous.

Dans la deuxième histoire, c’est le temps que l’on a mis qui a été fatal. À vouloir faire trop d’études pour prendre la décision, finalement, on n’en a pas pris, ou du moins on n’a pas eu le temps d’en prendre… Devrait-on se donner une limite à laquelle il faut prendre une décision même si ça n’est pas la meilleure?

Il y a le temps, mais aussi l’intentionnalité. Si on a remis en cause le processus et que ça a pris du temps, l’objectif, l’intentionnalité des acteurs était peut-être de trouver une solution au moindre coût, de respecter les budgets plutôt que de sécuriser ou faire la maintenance.

Reprenons l’exemple de la digue et imaginons qu’il y ait deux entreprises, dans des situations identiques à part que pour l’une d’elles il y a très peu d’habitants à proximité et beaucoup plus pour l’autre. Cela a-t-il du sens de renforcer la hauteur de la digue dans la situation où il y a plus d’habitants dans la zone?

Oui, bien sûr, cela a du sens. Cela interroge le critère de décision. Le fait de se prémunir contre une crue centennale ou millénale, même si c’est une chose rarement réinterrogée ou discutée, tient compte implicitement des enjeux de sécurité et d’environnement. Par ailleurs, dans les nouvelles réglementations concernant la prévention des risques technologiques notamment suite à la catastrophe d’AZF, il faut prendre en considération de plus en plus explicitement l’environnement et les habitants.

On se rend compte historiquement que par rapport au risque naturel, les modèles étaient auparavant basés sur les aléas. Mais il y a seulement une dizaine d’années que l’on intègre dans les modèles la vulnérabilité de la population, des bâtiments.

Il est intéressant de souligner les différences culturelles. Aux USA, l’ACB est pratiquée depuis 30 ans. En France l’ACB est embryonnaire. On fait un peu d’ACB dans le domaine des transports et chez EDF, mais de façon partielle.

A-t-on fait une ACB pour les digues de la Nouvelle-Orléans? En plus de l’ACB, il y a de la politique, des choix nationaux.

On voit l’importance de l’incertitude. En effet, s’il y avait des modèles absolument indiscutables sur le risque, on ne se poserait pas ces questions, et les dépenses seraient faites.

Cela n’est pas si sûr. Un philosophe a dit « La douleur des autres ne fait pas mal ». Faut-il croire à la compassion des personnes qui n’habitent pas la Nouvelle Orléans?

Ce n’est pas une question de compassion, mais de débat public. Si on est d’accord à la fois sur le risque et sur la vulnérabilité, la pression de l’ensemble des parties prenantes est telle qu’on engage les dépenses nécessaires. Je pense que c’est le cas pour ce qui concerne la sûreté nucléaire. Au-delà des incertitudes et de la complexité, tout le monde est d’accord pour reconnaître les enjeux, et de faire les dépenses nécessaires pour la maîtrise de la sûreté.

Le problème, ce qui met mal à l’aise, c’est que l’on évalue très souvent la qualité de la décision qui a été prise (donc avant la réalisation du risque), au vu de l’information que la catastrophe s’est passée ou pas. On évalue toujours a posteriori, parce que l’on a une connaissance rétrospective. Or les décideurs sont confrontés à des situations particulièrement difficiles. En effet, même s’ils avaient peut-être pris la bonne décision compte-tenu des données de l’époque, s’il y a catastrophe, on va juger et condamner, pas toujours à bon escient parce que l’on intègre les informations connues a posteriori. Prendre une décision est particulièrement difficile parce qu’il y a deux types « d’erreurs ». La première, c’est de prendre une décision trop optimiste et sous-estimer le risque. La deuxième, au contraire, consiste à faire de trop gros efforts de prévention pour un risque surestimé. On sera toujours très sévère avec celui qui aura sous-estimé la prévention et qu’une catastrophe se produit, alors que l’on passera sous silence le fait d’avoir fait des efforts trop importants et que le risque ne s’est pas réalisé. Par exemple la grippe aviaire: l’État s’est massivement prémuni contre ce risque, il a acheté des vaccins très chers qui sont allés à la poubelle… Était-ce une mauvaise décision? On passe totalement sous silence les dommages sociétaux d’avoir dépensé inutilement beaucoup d’argent qu’on n’a pas utilisé ailleurs.

Vous avez raison, d’une part de souligner ces deux types d’erreur, d’autre part de souligner le biais important de l’analyse rétrospective. Dans les deux histoires d’Incerco, il n’est pas question de juger qui que ce soit: il s’agissait seulement de donner des exemples de décision en situation d’incertitude, et d’en tirer expérience. L’analyse d’événement est indispensable, non pas pour juger les acteurs, mais pour tirer des enseignements. Ce qui compte, c’est bien comment nous prenons les décisions aujourd’hui pour le futur.

D’importantes décisions sont prises (ou pas) après des accidents dont l’impact est fort, par exemple après l’accident de Challenger en 86…

Oui, en particulier l’industrie nucléaire a fait des efforts considérables pour tirer expérience des accidents passés. Ainsi, après les accidents de Three Mile Island (1979) et de Tchernobyl (1986), la réglementation, et la sûreté en général ont fait des progrès fondamentaux: modifications matérielles, procédures accidentelles, systématisation de la détection et de l’analyse des anomalies et des incidents, développement de la « culture de sûreté ».

Un modèle est toujours limité. Il y a de l’incertitude liée au modèle. Est-ce qu’il capture tout ce qu’il est censé capturer? On ne valide pas les résultats, mais les méthodes.

Peut-être peut-on appliquer l’image du réverbère « on ne cherche que là où c’est éclairé » à notre approche de l’incertitude… Comme on ne dispose que de peu d’outils, on peine à se poser les problèmes en termes d’incertitude parce que de toute façon, on ne saurait ni les exprimer, ni les traiter ensuite.

Quoiqu’on fasse, on est sujet à la critique parce que nous n’avons pas de méthodes communes. Si on avait un renforcement du consensus sur les outils méthodologiques, le processus de prise de décision serait facilité. La construction d’une culture de la décision permettrait de structurer le débat et d’arriver à des décisions partagées.

Voici un exemple: aux USA, on fait des « études probabilistes de sureté » (Probabilistic Risk Assessment) depuis les années 1980. Dans les années 1990, la NRC[4] a publié un ouvrage critique sur la démarche probabiliste[5], où l’on compare les études et les méthodes. En particulier sur les études de fiabilité humaine, on constate un facteur 1000 entre deux résultats produits par deux équipes différentes, bien que l’on utilise la même méthode sur la même installation industrielle! On a progressé depuis, mais finalement, dans certaines études complexes, la méthode n’est qu’un cadre, et c’est l’interprétation des données, l’utilisation de la méthode qui fait beaucoup de différences. En cas de désaccord, ce n’est pas la méthode qui est en cause, mais les questions de fond et la perception que l’on a du risque. Ainsi, utiliser la même méthode donne un cadre qui permet d’initier le débat. Par exemple, EDF et l’IRSN[6] utilisent à peu près les mêmes méthodes probabilistes, et ils arrivent à débattre entre eux, à cerner les points de désaccord, les points d’accord… Cela amène les décideurs, en particulier l’Autorité de Sûreté Nucléaire française, à prendre des décisions plus éclairées.

Ce qui est aussi très intéressant dans les méthodes, c’est de fournir une façon d’apprendre l’étendue de ce que nous ne savons pas.

Il est très important de savoir que l’on ne sait pas, mais cela peut ne pas suffire… Prenons un exemple. Supposons que l’on fasse une étude globale de fiabilité d’une installation industrielle, en choisissant de ne pas tenir compte des questions liées au risque incendie, pour lesquelles on agit par ailleurs. On sait bien qu’il s’agit d’une limitation. Mais les études complètes de systèmes attirent l’attention. Les gens peuvent être focalisés uniquement sur leurs résultats. De ce fait, le risque incendie n’est plus sous les projecteurs, et on risque finalement de le sous-estimer et de prendre des mesures de prévention insuffisantes… alors qu’on savait explicitement qu’il devait être traité par ailleurs.

Malgré les méthodes, les calculs etc., on en revient toujours à l’homme au final. On a parfois les mêmes méthodes, mais on discute quand même. Or, on n’a pas de modèle pour les hommes, les systèmes sociaux sont imprévisibles et on sait que le consensus ne fait pas une vérité. On fait des groupes de travail. Mais un groupe de travail peut-être une catastrophe. Il peut être amené à sous estimer la morale, à la prise de pouvoir d’un individu… Il faut absolument constituer des groupes de travail, avec toutes les parties prenantes, mais s’en méfier aussi. D’où l’intérêt des sciences humaines et sociales.

1

Institut pour la Maîtrise des Risques

2

European Safety, Reliability & Data Association

3

Analyse Coût-Bénéfices

4

Nuclear Regulatory Commission, Commission de régulation nucléaire

5

J.H.C. KOUTS et al., NRC, États-Unis, Rapport NUREG-1420, août 1990.

6

Institut de Radioprotection et de Sûreté Nucléaire

Chapitre 3  Introduction aux notions de risque au travers d’un conte de fées: La Belle au Bois Dormant

Pour aborder plusieurs dimensions du risque de manière originale et interactive, Gilles Motet, Professeur à l’INSA de Toulouse et Directeur Scientifique de la FonCSI, a proposé une lecture particulière du conte « La Belle au Bois Dormant », de Charles Perrault. Des extraits de ce conte sont ponctués de discussions avec le public mettant en exergue et interrogeant les aspects liés à la notion de risque qui s’en détachent. Les grandes lignes des échanges ayant eu lieu lors de ce forum sont retranscrites ci-dessous.

L’intégralité des diapositives de cette présentation est disponible sur le site web de l’ICSI.

3.1  Première partie: objectif et activité

[La Belle au Bois Dormant] Il était une fois un Roi et une Reine qui étaient si fâchés de n’avoir point d’enfants, si fâchés qu’on ne saurait dire. Ils allèrent à toutes les eaux du monde, vœux, pèlerinages, menues dévotions; tout fut mis en œuvre, et rien n’y faisait.

Enfin pourtant la Reine devint grosse, et accoucha d’une fille: on fit un beau Baptême; on donna pour Marraines à la petite Princesse toutes les Fées qu’on pût trouver dans le Pays (il s’en trouva sept), afin que chacune d’elles lui faisant un don, comme c’était la coutume des Fées en ce temps-là, la Princesse eût par ce moyen toutes les perfections imaginables.

3.1.1  Discussion

Cette première partie du conte insiste sur la volonté du roi et de la reine d’avoir une descendance. La compréhension de la suite de l’histoire nécessite de répondre à la question: pourquoi? Il ne s’agit pas d’assurer leurs vieux jours puisque leur statut leur garantit des revenus confortables; ni d’espérer un bonheur personnel car Perrault précise qu’ils étaient très fâchés et non très malheureux; espérer un bonheur personnel aurait d’ailleurs pu concerner un couple de paysans; cependant, la suite de l’histoire aurait été toute différente. La détermination du roi et de la reine vient du fait que leur fonction est d’atteindre un objectif: assurer la pérennité du trône. Maintenir sa pérennité est souvent le premier objectif d’une organisation.

Pour atteindre cet objectif, le roi et la reine conçoivent la princesse. La vie de cette dernière aura la même raison d’être. L’activité planifiée (la vie de la princesse) est initiée à l’accouchement. Les fées lui donnent des attributs constituant toutes les perfections imaginables qui seront énumérées par la suite: la beauté, l’esprit, la grâce, la danse, le chant et la musique. Ils n’ont qu’un seul but: favoriser l’atteinte de l’objectif en attirant le futur prince charmant.

Quelles leçons tirer de cette première partie? Les organismes (ici le roi et la reine) se fixent des objectifs (assurer la lignée). Ils planifient des moyens (avoir une descendance) et les mettent en œuvre (je ne détaillerai pas la recette). Un processus Qualité (fourni par les fées) y est ajouté pour augmenter l’assurance de l’atteinte des objectifs (par toutes les perfections imaginables) et satisfaire les attentes des clients (le roi et la reine).

Pourquoi l’histoire ne se conclut-elle pas là par vingt ans plus tard, un prince charmant arriva au palais, fit promptement sa cour, puis ils se marièrent et eurent beaucoup d’enfants.

3.2  Deuxième partie: risque

[La Belle au Bois Dormant] Après les cérémonies du Baptême toute la compagnie revint au Palais du Roi, où il y avait un grand festin pour les Fées. On mit devant chacune d’elles un couvert magnifique, avec un étui d’or massif […]. Mais comme chacun prenait sa place à table, on vit entrer une vieille Fée qu’on n’avait point priée parce qu’il y avait plus de cinquante ans qu’elle n’était sortie d’une Tour et qu’on la croyait morte, ou enchantée. Le Roi lui fit donner un couvert, mais il n’y eut pas moyen de lui donner un étui d’or massif, comme aux autres, parce que l’on n’en avait fait faire que sept pour les sept Fées. La vieille crut qu’on la méprisait, et grommela quelques menaces entre ses dents.

Une des jeunes Fées qui se trouva auprès d’elle l’entendit, et jugeant qu’elle pourrait donner quelque fâcheux don à la petite Princesse, alla, dès qu’on fut sorti de table, se cacher derrière la tapisserie, afin de parler la dernière, et de pouvoir réparer autant qu’il lui serait possible le mal que la vieille aurait fait. Cependant les Fées commencèrent à faire leurs dons à la Princesse. La plus jeune lui donna pour don qu’elle serait la plus belle du monde, celle d’après qu’elle aurait de l’esprit comme un Ange, la troisième qu’elle aurait une grâce admirable à tout ce qu’elle ferait, la quatrième qu’elle danserait parfaitement bien, la cinquième qu’elle chanterait comme un Rossignol, et la sixième qu’elle jouerait de toutes sortes d’instruments à la perfection.

Le rang de la vieille Fée étant venu, elle dit en branlant la tête, encore plus de dépit que de vieillesse, que la princesse se percerait la main d’un fuseau, et qu’elle en mourrait. Ce terrible don fit frémir toute la compagnie, et il n’y eut personne qui ne pleurât.

3.2.1  Discussion

Attardons-nous tout d’abord quelques instants sur le rôle des fées. La conception de la princesse est le seul acte fonctionnel nécessaire à l’atteinte de l’objectif, à savoir de pérenniser la lignée. Les bonnes fées ont pour but d’optimiser les chances d’atteinte de cet objectif dans un contexte certain (par exemple, elles supposent qu’il y aura toujours des princes charmants). Ces fées, invitées à grands frais (un étui d’or), doivent apporter des qualités non fonctionnelles utiles à la princesse. En d’autres termes, leurs dons permettront d’augmenter les performances de la princesse. C’est le Département Qualité qui coûte cher mais dont on espère un retour sur investissement avec une meilleure chance d’atteindre notre objectif.

Les ressources que nous engageons pour planifier et mettre en œuvre des activités pour atteindre nos objectifs, ainsi que celles dépensées pour favoriser cette atteinte, sont assurément efficaces dans un monde implicitement certain. Par exemple, le roi, la reine et les bonnes fées supposent comme acquis que la princesse sera vivante à l’âge de se marier. Or, nous ne maîtrisons pas tous les paramètres du contexte dans lequel se déroulent les activités et qui pourront impacter ces dernières. En particulier, créer la vie suppose la possibilité d’un décès à tout moment, et inviter les bonnes fées suppose d’accepter la potentialité d’apparition de fées maléfiques.

Quelles sont les fées actuelles que nous invitons? Le progrès scientifique en fait assurément partie. Pour améliorer notre qualité de vie, nous inventons des technologies, des produits, des services, des organisations, etc., nouveaux. Ainsi, de nouvelles molécules créées pour développer des médicaments plus efficaces répondent à notre objectif d’avoir une vie plus longue et en bonne santé. Intrinsèquement, cette perspective d’innovation porte également en elle des sources de dangers entravant potentiellement et pour certains d’entre nous, l’atteinte de cet objectif (effets inopérants, contre-indications, effets secondaires, surdosages, etc.). Inviter les fées suppose d’accepter l’incertitude sur l’arrivée potentielle d’une fée maléfique (ici 1 sur 8). Mais il en est de même du simple fait d’avoir conçu la princesse (création de l’activité).

Cette partie du conte souligne également que les origines du danger sont souvent difficiles à identifier et/ou leurs traces sont difficiles à conserver et à transmettre. Perrault précise qu’il y avait plus de cinquante ans que la vielle fée n’était pas sortie de sa tour et qu’on la croyait morte ou enchantée. Cinquante années représentaient à l’époque 3 générations. Cette origine du danger avait été identifiée mais ignorée avec le temps. De plus l’efficacité des barrières mises en place pour la maîtriser (la tour) n’a pas été requestionnée au fil du temps.

Dans la fin de cette partie, la fée maléfique fournit une identification des risques: la source du danger, c’est le fuseau, l’événement dommageable, le fait que la princesse se perce la main. La conséquence, c’est la mort. Pourquoi est-ce un problème de risque? À l’époque, les gens avaient beaucoup d’enfants dont une grande partie décédait. Pourquoi est-ce un risque inacceptable pour les parents?

Il s’agit d’une princesse… Cela implique une succession, un héritage. Tout le mécanisme de la royauté repose sur l’héritage. Comme mentionné, le roi et la reine ont un objectif essentiel, et c’est pour cela qu’il y a risque. Sans cet objectif fondamental de perpétration de la royauté, il n’y aurait pas de problème de risque. Le risque n’est pas uniquement constitué de l’occurrence et des conséquences d’un événement. Le risque est dû au fait de pouvoir ne pas atteindre les objectifs.

Remarquons que la vieille fée n’a pas daté la survenance de l’accident ni donc le décès de la princesse, ce qui préserve l’espoir qu’ils surviennent à un âge avancé qui laisserait le temps de perpétuer la descendance. Cependant, l’incertitude existe: un décès précoce impliquerait l’arrêt de la lignée.

Dans les discussions sur la mise en place de la nouvelle norme ISO 31000[1], la définition du concept de risque a été remise en question et formulée comme l’effet de l’incertitude sur l’atteinte des objectifs. La plupart des désaccords autour du risque viennent du fait que les parties prenantes ne définissent pas explicitement les objectifs. Pas d’objectifs, pas de risques. À l’époque, le décès d’un enfant était considéré comme un événement normal; alors si le roi et la reine n’avaient pas eu l’objectif de pérenniser la lignée, la mort de la princesse ne serait pas apparue comme une catastrophe. Tout ce que l’on met ensuite en place pour gérer les risques dépend des objectifs fixés.

Un exemple sur un site industriel

La DRIRE n’acceptait pas une installation industrielle telle qu’elle était. L’industriel a évoqué une des solutions possibles: fermer le site. Pour le maire, il s’agissait d’une décision inacceptable. Parce qu’il désire préserver la santé des citoyens, mais aussi l’emploi…

Quels sont les objectifs? Santé? Emploi? Sans doute les deux. Le Management du risque dépend des objectifs. Il y a des objectifs économiques en plus des objectifs tels que « préserver la santé des concitoyens ». Parler de risque, c’est avant tout parler d’objectifs. Si on ne travaille que sur les problèmes d’événement, de danger, de fréquence, de conséquences… on est hors sujet et surtout, on n’arrive jamais à conclure car on ne s’est pas posé la question en termes d’objectifs.

Ne pas définir les objectifs a deux conséquences:

- on peine à mener le processus de gestion des risques. Par exemple, il est impossible d’arriver à un consensus sur le risque acceptable si on a en vis-à-vis des personnes qui n’ont pas les mêmes objectifs; il faut se mettre d’accord sur des objectifs avant de se mettre d’accord sur des moyens;

- cela a également pour conséquence de déplacer une partie des activités sur le risque. Jusqu’alors, le risque était pris au sens de danger. Les gestionnaires du risque étaient donc des techniciens qui maîtrisaient les technologies dangereuses. En introduisant ensuite le risque comme événement/conséquences, on passe du déterminisme au probabilisme, et du technicien à l’ingénieur. On passe de la technologie à la modélisation et à l’analyse de notions abstraites. En déplaçant le problème du risque vers les objectifs, on transfère une grosse partie du problème vers les décideurs. On se déplace de la technologie à la modélisation (sciences de l’ingénieur) puis aux sciences humaines, ces trois domaines restant couplés.

Pour conclure cette partie, notons qu’à la joie de la naissance, les parents ont perdu de vue leur objectif. En effet, l’assurance d’une descendance suppose que la princesse soit encore en vie à l’âge de procréer. Or aucune fée ne lui promet une bonne santé et une longue vie. La sécurité ne fait pas partie des préoccupations des premières fées qui ne s’attachent qu’à fournir des attributs qualitatifs à la princesse supposant qu’un accident de la vie ne peut pas arriver à une si charmante personne. Qu’en est-il dans de nombreuses organisations? Ne parons-nous pas nos projets de tous les attributs permettant d’atteindre nos objectifs sans penser aux aléas pouvant survenir?

3.3  Troisième partie: Management des risques

Dans ce moment la jeune Fée sortit de derrière la tapisserie, et dit tout haut ces paroles:

« Rassurez-vous, Roi et Reine, votre fille n’en mourra pas: il est vrai que je n’ai pas assez de puissance pour défaire entièrement ce que mon ancienne a fait. La Princesse se percera la main d’un fuseau; mais au lieu d’en mourir, elle tombera seulement dans un profond sommeil qui durera cent ans, au bout desquels le fils d’un Roi viendra la réveiller. »

Le Roi, pour tâcher d’éviter le malheur annoncé par la vieille, fit publier aussitôt un Édit, par lequel il défendait à tous de filer au fuseau, ni d’avoir des fuseaux chez soi sous peine de mort.

3.3.1  Discussion

Le Département Qualité composé des 7 premières fées est complété par un Département Sécurité bien réduit (une seule fée) qui, en plus, est obligé de se faire discret (en se cachant derrière une tapisserie). Après l’identification des risques, la dernière fée met en place des activités de Management.

Nous sommes dans un contexte fataliste (je n’ai pas assez de puissance pour défaire entièrement ce que mon ancienne a fait), et déterministe (la Princesse se percera la main d’un fuseau). Admettre une part d’aléa dans le déroulement de l’existence remet en cause le rôle des fées et même celui du roi et de la reine (de droit divin). Si Pascal et Fermat ont abordé l’analyse du hasard au XVIIème siècle, sa formalisation par Bernouilli, de Moivre, Liebniz, Bayes et Laplace au siècle de la révolution (XVIIIème) n’est pas anodin.

De nos jours, cette fatalité reste souvent de mise: ce qui devrait arriver arrivera, il ne faut pas tenter le diable, etc. Il est assurément plus simple de fournir des assurances que des « peut-être ». Or le concept de risque implique d’accepter celui d’incertitude et de potentialité de ses effets sur l’atteinte des objectifs.

Dans ce conte, deux types de traitement du risque sont proposés:

- la prévention: interdiction d’utiliser les quenouilles par l’introduction de réglementation (l’Édit);

- la fée (qui devait avoir des doutes sur l’effet des réglementations) propose une protection supplémentaire. Il s’agit d’une approche dite fail-safe[2]. Il y a bien occurrence d’un événement dommageable, la princesse se piquera, mais il y a atténuation des conséquences; elles deviennent acceptables pour le roi et la reine.

Des solutions alternatives pourraient être proposées:

- couper la main de la princesse, c’est une façon radicale de refus du risque. Cependant, cela a d’autres conséquences négatives en particulier pour séduire le prince charmant afin qu’il lui demande sa main;

- introduire de nouvelles technologies de filage automatique (prévention); mais il faudra attendre quelques années pour cette invention et son acceptation sociale par les tisserands;

- donner à la princesse des gants de sécurité spéciaux en cote de maille (protection); cela risquerait cependant d’éloigner de nouveau les princes charmants.

Pour les deux propositions de traitement du risque formulées dans ce conte, il n’y a pas de concertation. Le roi décide et impose les règles. Il n’y a pas non plus d’étude économique sur les effets de la nouvelle réglementation, pas de mouvement social des fileuses qui auraient pu menacer le trône suite à cette décision royale. Mais nous sommes dans un conte.

L’analyse du risque et la proposition de traitements sont mises en place par la fée au début de la vie de la princesse. Il s’agit de l’activité de management des risques. Son effet opérationnel n’aura lieu que beaucoup plus tard.

3.4  Quatrième partie: occurrence de l’événement

Au bout de quinze ou seize ans, le Roi et la Reine étant allés à une de leurs Maisons de plaisance, il arriva que la jeune Princesse courant un jour dans le Château, et montant de chambre en chambre, alla jusqu’au haut d’un donjon dans un petit galetas, où une bonne Vieille était seule à filer sa quenouille. Cette bonne femme n’avait point entendu parler des défenses que le Roi avait faites de filer au fuseau.

« Que faites-vous là, ma bonne femme? dit la Princesse.

Je file, ma belle enfant, lui répondit la vieille qui ne la connaissait pas.

Ha! Que cela est joli, reprit la Princesse, comment faites-vous? Donnez-moi que je voie si j’en ferais bien autant. »

Elle n’eut pas plus tôt pris le fuseau, que comme elle était fort vive, un peu étourdie, et que d’ailleurs l’Arrêt des Fées l’ordonnait ainsi, elle s’en perça la main, et tomba évanouie.

La bonne vieille, bien embarrassée, crie au secours: on vient de tous côtés, on jette de l’eau au visage de la Princesse, on la délace, on lui frappe dans les mains, on lui frotte les tempes avec de l’eau de la Reine de Hongrie; mais rien ne la faisait revenir.

lors le Roi, qui était monté au bruit, se souvint de la prédiction des fées, et jugeant bien qu’il fallait que cela arrivât, puisque les fées l’avaient dit, fit mettre la Princesse dans le plus bel appartement du Palais, sur un lit en broderie d’or et d’argent. […] Le Roi ordonna qu’on la laissât dormir, jusqu’à ce que son heure de se réveiller fût venue.

3.4.1  Discussion

Au bout de quinze ou seize ans, le Roi et la Reine étant allés à une de leurs Maisons de plaisance… Au fil du temps, l’engagement du roi et de la reine pour maîtriser le risque de blessure de la princesse s’effiloche. Voilà quinze ou seize ans que ces parents la surveillent sans répit. Pensant qu’elle avait atteint l’âge de raison, et en l’absence d’accident leur donnant raison, le roi et la reine prirent un week-end bien mérité. Dans les organisations, l’absence d’incidents ou d’accidents ne justifie-t-elle pas souvent de relâcher la surveillance et de réduire l’investissement dans la mise en œuvre des moyens de maîtrise des risques qui deviennent de plus en plus difficiles à justifier puisqu’il ne se passe rien? Qui ne s’est pas interrogé sur l’intérêt de la présence de pompiers professionnels dans une installation qui n’a subit aucun incendie?

Visitant le château, la princesse arriva en haut du donjon où se trouvait une vieille femme qui filait sa quenouille. La vieille femme n’a pas entendu la proclamation, il y a eu problème de communication. Au-delà de la production de la réglementation ou de bonnes pratiques, il faut s’assurer qu’elles sont perçues par les parties prenantes, les personnes concernées. Dans une autre version du même conte, la vieille femme est sourde. Quels autres moyens envisager? Afficher les édits suppose que les gens savent lire…

ISO 31000: Établir le contexte

Dans la norme ISO 31000, on reprend une idée de la norme australienne: une tâche supplémentaire appelée « establishing the context », c’est-à-dire s’assurer d’un diagnostic partagé des éléments importants du contexte tant interne qu’externe à l’organisation, dans lequel vont être gérés les risques.

En effet, les moyens de Management des risques que nous mettons en œuvre doivent dépendre de ce contexte.

La princesse se perce la main car elle est un peu étourdie; voici poindre le facteur humain. Mais surtout car l’arrêt des fées l’ordonnait ainsi. Cette seconde raison est de nouveau fataliste: toute cause crée un effet. Il n’y a pas d’aléa mais des relations déterministes sur lesquelles l’humain n’a pas de pouvoir. Le concept de risque remet en question ce principe sur lequel est basé l’essentiel, voire l’essence, de nos sciences: A ⇒ B. Certes, A (source de risque) peut induire B mais l’intelligence humaine a un pouvoir pour maîtriser cette relation de cause à effet et atténuer l’occurrence de B (vraisemblance et conséquence).

De même, le roi accepte les conséquences, il ne punit pas la vieille femme après l’accident puisque c’est la fatalité. Le roi ne remet en cause ni la prédiction de la méchante fée, ni celle de la bonne. Il a confiance en l’avenir, non du fait de sa propre action sur le futur et la maîtrise des risques associés mais par les prédictions faites.

Au contraire, la mise en œuvre d’activités de management des risques considère le futur comme une source de progrès dont les menaces peuvent être maîtrisées.

Actuellement, on a de moins en moins d’espoir dans le progrès; on veut une garantie, une assurance immédiate sur le futur. Même dans le cas contraire, on considère que si on n’est pas capable de maîtriser un risque à l’heure actuelle, on n’en sera pas capable demain. On a actuellement assez peu confiance en l’avenir, en particulier en ce qui concerne les risques émergents. La situation est très différente de ce que l’on a observé dans le passé, l’acceptation des risques pris pour les premières vaccinations de Pasteur par exemple. Or, le Management du risque devrait être considéré comme une activité dynamique qui doit s’améliorer.

Dans l’aviation, à l’introduction de chaque nouvelle génération d’appareils, on a perçu une dégradation des niveaux de sécurité. Cependant, la nouvelle génération se corrige et fait rapidement mieux que la précédente.

Cette idée de boucle de progrès appliquée au processus de Management des risques a, par exemple, été introduite par le Cadre organisationnel proposé par l’ISO 31000.

3.5  Cinquième partie: réactions à l’événement

La bonne Fée qui lui avait sauvé la vie, en la condamnant à dormir cent ans, […] approuva tout ce qu’il avait fait; mais comme elle était grandement prévoyante, elle pensa que quand la Princesse viendrait à se réveiller, elle serait bien embarrassée toute seule dans ce vieux Château.

Voici ce qu’elle fit: elle toucha de sa baguette tout ce qui était dans ce Château (hors le Roi et la Reine), Gouvernantes, Filles d’Honneur, Femmes de Chambre, Gentilshommes, Officiers, Maîtres d’Hôtel, Cuisiniers, Marmitons, Galopins, Gardes, Suisses, Pages, Valets de pied; elle toucha aussi tous les chevaux qui étaient dans les Écuries, avec les Palefreniers, les gros mâtins de basse-cour, et Pouffe, la petite chienne de la Princesse, qui était auprès d’elle sur son lit. Dès qu’elle les eut touchés, ils s’endormirent tous, pour ne se réveiller qu’en même temps que leur Maîtresse, afin d’être tout prêts à la servir quand elle en aurait besoin: les broches mêmes qui étaient au feu toutes pleines de perdrix et de faisans s’endormirent, et le feu aussi. Tout cela se fit en un moment; les Fées n’étaient pas longues à leur besogne.

Alors le Roi et la Reine, après avoir embrassé leur chère enfant sans qu’elle s’éveillât, sortirent du Château, et firent publier des défenses à qui que ce soit d’en approcher. Ces défenses n’étaient pas nécessaires, car il crût dans un quart d’heure tout autour du parc une si grande quantité de grands arbres et de petits, de ronces et d’épines entrelacées les unes dans les autres, que bête ni homme n’y aurait pu passer: en sorte qu’on ne voyait plus que le haut des Tours du Château, encore n’était-ce que de bien loin. On ne douta point que la fée n’eût encore fait là un tour de son métier, afin que la princesse, pendant qu’elle dormirait, n’eût rien à craindre des Curieux.

3.5.1  Discussion

L’occurrence de l’événement dangereux est survenue. Les dispositifs de protection mis en place semblent être efficaces même si le service est passé en mode dégradé (la bonne Fée qui lui avait sauvé la vie, en la condamnant à dormir cent ans). Ils sont complétés en assoupissant tout le château. Dans ce conte, face à l’accident, la réaction n’a pas été de corriger la situation, mais de « geler » tout l’environnement. On ne cherche pas à retourner à l’état normal en réveillant la princesse. Ce n’est pas l’événement qui est traité, c’est l’environnement qui est contraint.

Nous sommes là dans un conte de fées car, dans la vraie vie, la dynamique des activités génératrices de risque ne peut généralement pas être gelée.

3.6  Sixième partie: résolution du problème

Au bout de cent ans, le Fils du Roi qui régnait alors, et qui était d’une autre famille que la Princesse endormie, étant allé à la chasse de ce côté-là, demanda ce que c’était que ces Tours qu’il voyait au-dessus d’un grand bois fort épais; chacun lui répondit selon qu’il en avait ouï parler.

Les uns disaient que c’était un vieux Château où il revenait des Esprits; les autres que tous les Sorciers de la contrée y faisaient leur sabbat. La plus commune opinion était qu’un Ogre y demeurait, et que là il emportait tous les enfants qu’il pouvait attraper, pour pouvoir les manger à son aise, et sans qu’on le pût suivre, ayant seul le pouvoir de se faire un passage au travers du bois.

Le Prince ne savait qu’en croire, lorsqu’un vieux Paysan prit la parole, et lui dit:

« Mon Prince, il y a plus de cinquante ans que j’ai entendu dire de mon père qu’il y avait dans ce Château une Princesse, la plus belle du monde; qu’elle devait y dormir cent ans, et qu’elle serait réveillée par le fils d’un Roi, à qui elle était réservée. »

Le jeune Prince à ce discours se sentit tout de feu; il crut sans hésiter qu’il mettrait fin à une si belle aventure; et poussé par l’amour et par la gloire, il résolut de voir sur-le-champ ce qu’il en était.

À peine s’avança-t-il vers le bois, que tous ces grands arbres, ces ronces et ces épines s’écartèrent d’eux-mêmes pour le laisser passer: il marcha vers le Château qu’il voyait au bout d’une grande avenue où il entra, et ce qui le surprit un peu, il vit que personne de ses gens ne l’avait pu suivre, parce que les arbres s’étaient rapprochés dès qu’il avait été passé.

Il continua donc son chemin: un Prince jeune et amoureux est toujours vaillant. Il entra dans une grande avant-cour où tout ce qu’il vit d’abord était capable de le glacer de crainte: c’était un silence affreux, l’image de la mort s’y présentait partout, et ce n’était que des corps étendus d’hommes et d’animaux, qui paraissaient morts. Il reconnut pourtant bien au nez bourgeonné et à la face vermeille des Suisses qu’ils n’étaient qu’endormis, et leurs tasses, où il y avait encore quelques gouttes de vin, montraient assez qu’ils s’étaient endormis en buvant.

[…] Le prince entre dans une chambre toute dorée, et il vit sur un lit, dont les rideaux étaient ouverts de tous côtés, le plus beau spectacle qu’il eût jamais vu: une Princesse qui paraissait avoir quinze ou seize ans, et dont l’éclat resplendissant avait quelque chose de lumineux et de divin. Il s’approcha en tremblant et en admirant, et se mit à genoux auprès d’elle.

Alors comme la fin de l’enchantement était venue, la Princesse s’éveilla […]

3.6.1  Discussion

Le prince se trouve dans une situation idéale pour un gestionnaire de risque! Il n’a rien à faire, le système est complètement déterministe; c’est du time-driven[3]. Le prince n’est pour rien dans la reprise du fonctionnement normal (de la princesse). Il est simplement arrivé au bon moment; trop tôt ou trop tard, cela n’aurait pas fonctionné mais cela ne pouvait pas arriver. Il n’y a aucune incertitude sur le déroulement des choses. Le prince est juste un système de reprise classique, déterministe.

Peut-on imaginer d’autres traitements de la situation? Le prince aurait-il pu agir autrement? L’histoire de Walt Disney est différente: d’autres princes essayent avant « le bon » et doivent faire face à de nombreuses difficultés que ne connaît pas le prince charmant de cette version. Dans la version de Walt Disney, le prince passe par des épreuves avant d’arriver à ses fins. Il obtient les bénéfices, mais cela lui a coûté.

De nouveau, nous sommes bien dans un conte et non dans la vraie vie où les moyens opérationnels de traitement demandent plus de ressources pour être efficaces.

3.7  Septième partie: épilogue

La Princesse s’éveilla; et le regardant avec des yeux plus tendres qu’une première vue ne semblait le permettre:

« Est-ce vous, mon Prince? Lui dit-elle, vous vous êtes bien fait attendre. »

Le Prince aida la Princesse à se lever; elle était tout habillée et fort magnifiquement; mais il se garda bien de lui dire qu’elle était habillée comme ma grand-mère, et qu’elle avait un collet monté: elle n’en était pas moins belle. […]

3.7.1  Discussion

L’épilogue est superbe et toute personne impliquée dans la sécurité doit s’y reconnaître.

Les premiers mots de la princesse sont: « Vous vous êtes bien fait attendre. » Quels que soient les efforts que vous fassiez pour gérer les risques, vous ne serez jamais apprécié. Vous arrivez toujours trop tard.

La réplique est toute aussi actuelle. « Le prince aida la princesse à se lever […] mais il se garda bien de lui dire qu’elle était habillée comme ma grand-mère. » La princesse est habillée à la mode d’il y a cent ans… Les moyens pour gérer le risque sont toujours jugés à l’instant présent sans considérer ce qui était disponible par le passé lorsque ces moyens ont été utilisés. Suite à un accident, on juge les dispositifs qui auraient pu être mis en place aujourd’hui. Ce qui est adéquat à un moment ne le sera peut-être plus dans le futur, et pourtant le Manager du risque sera jugé là-dessus.

Au final, ils se marièrent et eurent beaucoup d’enfants… Les objectifs ont été atteints: la Monarchie est sauvée car le risque a été bien géré!

Reproduction de ce document

Ce document est diffusé selon les termes de la license BY-NC-ND du Creative Commons. Vous êtes libres de reproduire, distribuer et communiquer cette création au public selon les conditions suivantes:

- Paternité. Vous devez citer le nom de l’auteur original de la manière indiquée par l’auteur de l’œuvre ou le titulaire des droits qui vous confère cette autorisation (mais pas d’une manière qui suggérerait qu’ils vous soutiennent ou approuvent votre utilisation de l’œuvre).

- Pas d’utilisation commerciale. Vous n’avez pas le droit d’utiliser cette création à des fins commerciales.

- Pas de modification. Vous n’avez pas le droit de modifier, de transformer ou d’adapter cette création.

Vous pouvez télécharger ce document, ainsi que d’autres dans la collection des Cahiers de la Sécurité Industrielle, aux formats PDF, EPUB (pour liseuses électroniques et tablettes numériques) et MOBI (pour liseuses Kindle), depuis le site web de la FonCSI. Des exemplaires papier peuvent être commandés auprès d’un service d’impression à la demande.

Fondation pour une Culture de Sécurité Industrielle

Fondation de recherche reconnue d’utilité publique

http://www.FonCSI.org/

6 allée Émile Monso – BP 34038

31029 Toulouse cedex 4

France

Téléphone:

+33 534 32 32 00

Twitter:

@LaFonCSI

Courriel:

contact@FonCSI.org

1

Voir La norme ISO 31000 en 10 questions, Cahier de la Sécurité Industrielle n° 2009-05

2

Fail-safe system: un système qui est conçu de façon à se mettre dans un état sûr lorsqu’il défaille (dont les défaillances ne sont pas dangereuses).

3

Déterminé par le temps

Table of Contents

Avant-propos

Table des matières

Chapitre 1  Quel équilibre entre sécurité contrainte et sécurité gérée?

Chapitre 2  Introduction à l’incertitude

Chapitre 3  Introduction aux notions de risque au travers d’un conte de fées: La Belle au Bois Dormant

1.1  Grandes lignes de l’intervention de René Amalberti

1.2  Discussion

2.1  Grandes lignes de l’intervention de Laurent Magne

2.2  Discussion

3.1  Première partie: objectif et activité

3.2  Deuxième partie: risque

3.3  Troisième partie: Management des risques

3.4  Quatrième partie: occurrence de l’événement

3.5  Cinquième partie: réactions à l’événement

3.6  Sixième partie: résolution du problème

3.7  Septième partie: épilogue

1

2

3

4

5

6

7

1.1

8

1.2

9

10

11

12