26 mars a Paris

26 MARS A PARIS

ANALYSE DE LA CONFERENCE DE FONCSI (LA FONDATION POUR UNE CULTURE DE SECURITE INDUSTRIELLE)

« REX ET SECURITE INDUSTRIELLE »

L’expérience (individuelle) est le chemin le plus court et le plus efficace pour l’apprentissage (individuel). Pourquoi ne pas utiliser cette méthode pour un apprentissage plus global ? La pratique du REX est aujourd’hui bien installée au cœur des entreprises souhaitant un progrès en termes de sécurité industrielle pour leurs établissements. Reste à voir les caractéristiques de ce dispositif et les problématiques liées à sa mise en œuvre…

Organisé par la Fondation pour une Culture de Sécurité Industrielle (FONCSI), la conférence consacrée au retour d’expérience et à la sécurité industrielle vise à éclaircir tous les aspects de la notion de retour d’expérience, et opte pour une réflexion critique sur le sens et sur les marges de progrès de cette démarche fondamentale en sécurité industrielle. A cet égard, la journée aborde un large éventail de problématiques du domaine : le dispositif de REX, le rôle de l’organisation en tant que cause des accidents, les controverses des signaux faibles, l’explication sociocognitive des risques et des accidents, l’importance de l’information pour la résilience, etc. Pour voir le programme complet : http://www.foncsi.org/fr/media/Programme_journeeREX_26mars.pdf

Pour notre analyse, nous allons aborder dans un premier temps le rôle du REX dans le domaine de la sécurité industrielle et dans l’analyse des accidents (I). Dans un deuxième temps, nous allons chercher à aller au-delà du REX pour accentuer davantage son effectivité dans la gestion de la sécurité industrielle (II).

I – L’analyse des accidents et le rôle du REX dans la sécurité industrielle

Le rôle du REX dans l’analyse des accidents est primordial. Son apport porte également sur la garantie de la sécurité industrielle. De ce fait, il faut se poser les bonnes questions pour comprendre le REX. Eric MARSDEN (FONCSI) (http://www.foncsi.org/fr/recherche/axes/facteurs-reussite-REX/quelques-bonnes-questions-a-se-poser-sur-son-dispositif-de-rex), à la lumière d’un « recueil d’aide à la réflexion sur ses propres pratiques de REX », intitulé « Quelques bonnes questions à se poser sur son dispositif de REX » (http://www.foncsi.org/fr/publications/collections/cahiers-securite-industrielle/bonnes-questions-REX/CSI-REX-bonnes-questions.pdf), décrit la culture de REX.

Comment définir une notion aussi large que le REX tout en étant exhaustif ? Découle-t-il uniquement de l’expérience ? La définition presque parfaite présente le REX comme « toutes les pratiques, démarches et outils qui permettent l’apprentissage à partir de l’expérience acquise par le traitement des événements (incidents, accidents, anomalies, presqu’accidents, crises) ; par les pratiques formelles de « reporting » sécurité comme la diffusion de lettres d’information sécurité (comme « le REX » dans les industries à risque d’accident majeur) ; par les moments de partage informel d’expérience (échanges sur la sécurité lors des réunions d’équipe, pré-job briefings, etc.) ; par l’analyse de l’accidentologie dans sa propre entreprise, dans son industrie, voire provenant d’autres secteurs industriels ; par les pratiques de REX positif, qui visent à favoriser la reproduction d’une performance ou à diffuser une bonne pratique ; enfin, par les démarches d’amélioration continue (dans la mesure où elles ont un impact sur la sécurité) » (Quelques bonnes questions à se poser sur son dispositif de REX, p. 2).

Il est également nécessaire de comprendre la finalité d’un dispositif de REX. L’adoption d’une culture incitative à la déclaration d’incident devient essentielle pour conduire une bonne politique de REX. Cela étant, l’objectif doit être de comprendre l’incident pour prévenir et pour sensibiliser les acteurs concernés. Selon Eric MARSDEN, le REX ne vise ni à sanctionner ni à mettre en place une quelconque répression aux fins de responsabiliser quiconque. En effet, la tendance générale est plutôt à la recherche des responsables et à culpabiliser ceux-ci. Cependant, la finalité du dispositif de REX n’emporte pas une action corrective. Elle devrait se fonder avant tout sur la compréhension.

Le REX est en même temps un mode d’organisation, un mode de management participatif. Il s’agit également d’un système de management dans lequel il faut savoir quand (tôt-tard) impliquer les responsables, et où (front stage-back stage) les mettre dans la boucle d’analyse. Le REX ne fonctionne pas indépendamment de la culture d’une organisation, d’un organisme. De ce fait, plus la diversité des acteurs impliqués dans le REX est grande, plus on peut considérer que le REX est ancré dans la culture de cet organisme. Il est donc aussi important de pouvoir faire une analyse des interactions sociales (Goffman, 1974). Toutefois, les modèles fondés sur l’erreur humaine, comme modèle d’accident des « pommes pourries » (Dekker, 2002) sont utilisés dans l’analyse des incidents. Ce type d’analyse n’englobe pas en profondeur la totalité de l’organisation. Il est donc regrettable que les analyses en profondeur ne soient limitées qu’aux accidents de gravité élevée.

Enfin, comment mener à bien le dispositif de REX ? Il faut d’abord noter que le REX a deux fonctions : celle de pilotage et celle d’apprentissage (Reason, 1997). La culture de sécurité ne peut pas être envisagée en l’absence de l’une de ces deux fonctions. Pourtant, la question de sa réussite n’est pas toujours posée. La mise en place du dispositif de REX ne suffit pas pour réaliser une politique complète et satisfaisante de prévention des risques et de maintien de sécurité industrielle. Il faut aussi envisager la suite de ce dispositif, la réussite de son analyse pour instruire les causes des accidents.

Nicolas DECHY (IRSN) met l’accent sur les échecs de l’analyse des causes des accidents (http://www.foncsi.org/fr/recherche/axes/facteurs-reussite-REX/les-echecs-de-lanalyse-des-causes-organisationnelles-des-accidents). Pour que le dispositif de REX soit réussi, il faut analyser correctement les causes principales, organisationnelles des accidents (accidentologie). Dans un diagnostic médical, les connaissances du passé sont utilisées pour inférer des signes. De la même manière, le REX doit servir à prévenir les accidents similaires. La défaillance du REX peut être constatée à partir du moment où des accidents similaires se répètent. L’échec provient dans ce cas d’une mauvaise analyse des causes : « lorsque les déterminations de la chaîne causale sont limitées au défaut technique et à la défaillance humaine, typiquement les actions de prévention d’un événement similaire futur sont également limitées […]. Mettre en œuvre ces actions entraîne une autre erreur : croire que le problème est résolu » (Rapport CAIB, p.97). Deux idées devraient sous-tendre une analyse complète des causes principales des accidents : prendre appui sur les accidents passés (« Voie royale », (Michel Llory, 1996) et effectuer un « réajustement culturel » après accident (Turner, 1978).

« An accident waiting to happen » ; pour que cela ne se réalise point il est indispensable de pouvoir interpréter les messages issus du REX, ainsi de prendre également en considération les signaux faibles. La question présentée par Yves DIEN (EDF, R&D) (http://www.foncsi.org/fr/recherche/axes/facteurs-reussite-REX/la-difficile-interpretation-des-signaux-faibles) témoigne du poids considérable des signaux faibles pour le dispositif de REX et pour la sécurité industrielle. Comment réussir à intégrer les signaux faibles dans l’analyse du REX ?Les « signaux faibles » s’expriment par des informations informelles, ambigües et peu concluantes, avertissant pourtant d’un éventuel incident ou accident à venir. D’après la définition de Diane Vaughan (1996), un signal faible s’identifie comme une « information informelle et/ou ambigüe dont la menace vis-à-vis de la sécurité n’est pas claire ». Faire un REX est non seulement essentiel pour les incidents majeurs, mais aussi mineurs qui pourraient jouer un rôle avertissant. En intégrant déjà les enseignements tirés des accidents, des incidents et des presqu’accidents dans son système REX, il est possible d’aller plus loin en recherchant les “signaux faibles”. Ils peuvent signaler la dégradation dans un système ou une organisation, bien qu’ils n’aient pas forcément une certitude scientifique. Les raisons de l’ignorance des signaux faibles sont multiples. Le modèle d’occurrence des accidents de Barry Turner (1978) explique aussi pourquoi les signaux faibles sont méconnus. Une des raisons serait les croyances : « croire que tout va bien ». Ce sentiment de croyance, de confiance se fonde sur ce type de comportement : l’incident est connu, mais non perçu comme un risque. On peut faire référence à l’accident de la navette spatiale Challenger (28/01/86) -désintégration de la navette Challenger lors de son décollage- comme exemple de cet effet « croyance ».Yves DIEN, en s’interrogeant sur la difficile interprétation des signaux faibles dans le REX pour la sécurité industrielle, souligne notamment l’idée que l’accident est la fin d’une histoire de dégradation. Tout peut donc commencer par les signaux faibles. Le REX « proactif » devient de ce fait indispensable. Le rôle des lanceurs d’alertes est aussi crucial pour le bon fonctionnement de la gestion de la sécurité industrielle.

Enfin, serait-il réalisable de transformer le REX en données statistiques ? Un tableau de bord de REX (un tableau de bord de suivi des incidents), pourrait-il être utile pour le fonctionnement de la culture de sécurité industrielle ? Un tableau de bord de REX présente l’analyse, et les statistiques de l’historique des événements réalisés. Par son intervention, Bastien BROCARD (EDF, R&D) (http://www.foncsi.org/fr/recherche/axes/facteurs-reussite-REX/quels-enjeux-pour-un-tableau-de-bord-de-rex) essaie de mettre en lumière les avantages et les enjeux du tableau de bord de REX pour la sécurité industrielle. L’intérêt d’un tableau de bord réside évidemment dans son rôle de pilotage de la sécurité – c’est l’un des moyens pour faire en sorte que le REX permette d’améliorer la sécurité industrielle. Son apport direct ou indirect pour le REX prouvera son utilité. Au final un rapport coût-utilité décidera son adoption ou non.

Il n’y a pas de limites au perfectionnement du REX. Le REX est un dispositif ouvert aux réformes, aux améliorations. L’effectivité du dispositif de REX dépend d’une approche exploratrice cherchant toujours à aller plus loin dans les raisonnements théorique et pratique.

II – Aller au-delà du REX pour une gestion effective de la sécurité

Aller au-delà du REX consiste à réfléchir aux autres aspects de la culture de sécurité industrielle. D’après Dongo Rémi KOUABENAN (Université de Grenoble), aller au-delà du REX c’est aussi étudier les facteurs externes aux accidents, aux incidents (http://www.foncsi.org/fr/recherche/axes/facteurs-reussite-REX/processus-sociocognitifs-et-pratiques-du-rex). Il s’agit des facteurs de risques qui agissent indépendamment du dispositif de REX et des pratiques. Ce sont des croyances, des processus sociocognitifs qui influent sur la perception des risques et par conséquent qui jouent un rôle dans la mise en place du dispositif de REX pour les politiques de sécurité industrielle. Les témoignages, les réactions défensives des personnes impliquées, les médias, les réactions émotionnelles de la victime influent sur la phase d’analyse de la démarche du dispositif de REX. Il arrive même que pour certains domaines d’activité, à l’instar du secteur nucléaire, le niveau de perception des risques courants et ceux qui sont liés à un métier soient différents. Le REX doit donc être adapté à chaque secteur, à chaque type d’organisation en prenant en considération tous ces aspects sociocognitifs.

Aller au-delà du REX, c’est aussi penser au-delà des standards, des indicateurs utilisés jusqu’aujourd’hui pour l’analyse des causes des accidents dans le dispositif de REX. Les indicateurs relatifs aux incidents ou accidents ne sont ni stables ni exhaustifs. L’évolution de ceux-ci est nécessaire. L’importance réside donc dans la mise à jour du REX. Le REX fait certes partie des politiques s’inspirant du principe de prévention. Pourtant, il doit être également à l’écoute des politiques découlant du principe de précaution. En effet, à tout moment une part d’imprévu, d’inattendu peut s’imposer. Christine FASSERT (IRSN) aborde cette problématique de révision des indicateurs utilisés pour le pilotage de la sécurité avec une parfaite illustration provenant du secteur aérien et relative au système de « perte de séparation » (http://www.foncsi.org/fr/recherche/axes/facteurs-reussite-REX/reinterroger-les-indicateurs-utilises-pour-le-pilotage-de-la-securite). Il s’agit d’un cas non réalisé auparavant et non prévu, non traité par les autorités responsables. L’accident aérien d’Uberlingen du 1^er juillet 2002 consiste en la collision en plein ciel de deux avions en raison d’informations contradictoires du contrôleur du trafic aérien et du TCAS (Traffic alert and Collision Avoidance System, en français, « système d’alerte de trafic et d’évitement de collision »). Cet accident a donc conduit à la création d’une sous-catégorie « Uberlingen style » pour la catégorie d’incident « perte de séparation », et a servi de ce fait à réinterroger les indicateurs utilisés pour le pilotage de la sécurité. L’exemple montre également la nécessité d’aller au-delà des indicateurs présents du dispositif de REX afin de prendre en compte de nouvelles menaces.

Enfin, le REX doit favoriser la résilience, en combinant les données non seulement du passé, mais aussi celles du présent et du futur. Le REX ne se résume pas à l’analyse des expériences vécues. Certes, les expériences passées sont les clés pour instruire le présent. Mais, il est irréel d’agir, de fonctionner sans prendre en compte les données du moment présent. La gestion de sécurité nécessite une vision plus globale et multidimensionnelle. Jean PARIES (Dédale) pose à ce sujet la bonne question « Dans quelle mesure un regard dans le rétroviseur nous informe-il des menaces futures? »(http://www.foncsi.org/fr/recherche/axes/facteurs-reussite-REX/depasser-une-vision-retrospective-de-la-gestion-de-la-securite). D’après lui, le REX doit s’adapter continuellement au moment présent. La prévention dans les limites optimales ne donne pas toujours la résilience (exemple des ours polaires). Il est possible de prévenir le prévu, mais l’imprévu arrive aussi assez souvent : « il arrive tous les jours des choses qui ne sont jamais produites auparavant ». A l’heure actuelle, certaines organisations sont composées de systèmes complexes dans lesquels la notion de « cause » perd son sens. Il ne s’agit plus de proportionnalité cause-effet, mais de complexité des systèmes. Bien que le présent détermine le futur, le présent approximatif ne détermine pas le futur. Alors, quel est le dispositif de REX à mettre en place ? Le REX que l’on pourrait qualifier de « réactif », se fondant sur les expériences passées, ne répond plus aux besoins du système actuel. Il faut alors être à la recherche du REX proactif qui se caractérise par les connaissances du référentiel (la structure, les règles, la procédure et le processus) et par l’adaptation (la résilience, la flexibilité et la compétence collective). Le REX, en gardant une approche réactive par rapport aux expériences vécues, doit s’adapter à l’usage du présent de façon proactive.

En guise de conclusion…

Le REX n’est pas linéaire, mais plutôt circulaire. Un cercle qui s’enrichit davantage à chaque tour. L’idéal est d’agrandir le cercle afin qu’il propose une réponse pour chaque question. Le REX n’est cependant pas le monopole du secteur industriel. Il s’agit d’une culture d’apprentissage à tout niveau que chaque secteur doit adopter pour le bon fonctionnement de son réseau organisationnel.