Cet article a été écrit avant la parution du livre “The ETTO Principle” d’Erik Hollnagel, mais il aborde déjà la problématique d’une trop grande procéduralisation.

Au risque de paraître un peu provocateur, j’aimerais inviter les lecteurs à une petite réflexion sur le rapport entre procédure et sécurité, et plus généralement entre variance et sécurité. Dans les statistiques d’accidents et beaucoup d’experts vous le diront : l’ennemi c’est l’instabilité, la variabilité et l’imprévisibilité des comportements humains. Inspirées de ce constat, deux grandes stratégies dominent la sécurité : l’automatisation, pour remplacer l’opérateur humain ou le surveiller, et la procédure, pour cadrer son action. Les progrès considérables de la sécurité aérienne et plus largement, industrielle sur le demi siècle passé marquent indéniablement le triomphe de la formalisation, de la mise en règle et en procédure de l’activité. Dans les ateliers de maintenance, les chaînes d’assemblage, les opérations aériennes, les services les plus divers, et bien sûr dans les cockpits, on écrit ce qu’on doit faire, on fait ce qu’on écrit, et on écrit ce qu’on a fait. L’activité est standardisée, formalisée, tracée. L’écart est devenu la figure de base du risque, il est anormal et il a nécessairement des causes qu’il faut découvrir et réduire.

Le modèle de sécurité dominant, totalement normatif, cherche une double réduction de la variété : en sélectionnant les bonnes pratiques, donc en éliminant les variantes ; puis en chassant les variations autour des variantes retenues. On peut noter au passage que ceci va globalement dans le sens d’une déqualification et d’une limitation de l’autonomie et de la liberté des opérateurs. Chassé par la porte, Taylor nous reviendrait –il déguisé en Monsieur sécurité ? Mais le propos n’est pas de discuter ici d’éthique, mais d’efficacité. Quel que soient les succès passés ou actuels de ce modèle de sécurité, on peut douter en effet qu’il permette d’aller beaucoup plus loin. Déjà certains effets secondaires négatifs atteignent le même ordre de grandeur que les effets directs. L’incompréhension de certaines procédures, de la logique des automatismes, les pertes d’attention liées à des activités de surveillance ennuyeuses, les pertes de compétence résultant de l’absence ou de la diminution de pratique des habilités de base, la violation récurrente de procédures inapplicables au quotidien, le stress associé à la perception de la perte de contrôle de la situation, prennent le relais des défaillances antérieures dans les scénarios d’accident.

C’est qu’il y a problème sur le fond. Une sorte de contradiction intrinsèque à la démarche.

On demande à des pilotes de savoir traiter l’exceptionnel, alors qu’on ne vérifie que très rarement leur compétence du normal.

On leur demande de suivre des procédures sans réfléchir, mais en même temps d’être de plus en plus attentifs, de gérer des aléas, des interactions et des contraintes ignorées des procédures. Soyons francs, aucun système industriel actuel ne résisterait longtemps à l’application absolue de l’ensemble de ses règles.
On nourrit l’illusion que ça marche parce qu’on les respecte ; et que si ça ne marche pas, c’est qu’on ne les respecte pas. On ne (re)connaît pas les vraies raisons du succès, et notamment, toutes les compétences informelles misent en œuvre par les acteurs humains dans l’ensemble du système.
Une entreprise pharmaceutique fière de ses 100% de qualité depuis plusieurs années s’est récemment inquiétée d’un petit incident. Soupçonnant un écart au protocole de fabrication, elle a commandité une observation fine de l’activité des opérateurs concernés. Résultat : dans la réalité quotidienne, 75% des opérateurs ne respectaient vraiment pas la procédure. Panique à bord… Panique à tort : il est intéressant de comprendre pourquoi d’habitude ça marche quand même. Alors seulement on peut prétendre expliquer l’incident.

La vérité, c’est qu’on ne chasse pas la variété comme on veut.

Dans l’entreprise, c’est en utilisant cette variété qu’on obtient la souplesse interne nécessaire au système pour s’adapter aux aléas externes et internes. Certes, on introduit alors un facteur supplémentaire d’erreurs, mais on ne peut pas avoir le beurre et l’argent du beurre, la flexibilité humaine et l’invariance humaine. On ne peut pas dire selon le cas : il faut appliquer les procédures sans réfléchir et de temps en temps : ils auraient quand même pu réfléchir un peu !

Comment alors reconnaître la variété sans légaliser la déviance, bénéficier de la procédure sans éradiquer l’intelligence ? Résumée aux dimensions de cet article, la réponse tient en deux idées : conserver la compétence des opérateurs, développer leur compréhension de ce qu’ils font et leur conscience du risque. La fiabilité humaine repose non sur la perfection, mais sur l’anticipation des problèmes, l’adaptation des comportements, la gestion des marges, la détection et le contrôle des embardées. Ce qui suppose avant tout une bonne perception du risque, des marges et des limites. Dans ce fonctionnement là, les erreurs et les déviations ne sont pas nécessairement négatives : elles sont autant d’explorations qui permettent de « sentir » les limites, de les baliser, pour paradoxalement mieux les respecter.

Ce n’est pas parce qu’on fait moins d’erreurs qu’on a moins de chance de faire une grosse bêtise.

Il ne s’agit évidemment pas d’en conclure que l’on peut faire n’importe quoi. La fiabilité d’une organisation, repose aussi sur la flexibilité individuelle (les pilotes) et organisationnelle (le club), les mécanismes d’apprentissage permanent, d’essais et d’erreurs, d’adaptation, d’amélioration des savoir faire, mais aussi de méfiance et de surveillance réciproque, développés et entretenus par la récurrence des incidents, où mieux encore par le retour d’expérience. Ceci ressemble fort à notre système immunitaire qui met en jeu deux processus : l’immunité naturelle qui se traduit par la présence a priori dans l’organisme d’anticorps dirigés contre un certain spectre de menace et l’immunité acquise qui se développe suite à la reconnaissance spécifique d’une substance étrangère. L’immunité acquise n’existe que si la menace a été subie et ne perdure pas nécessairement si la menace disparaît (longue période sans accident). C’est elle aussi qu’on excite par la vaccination (retour d’expérience). C’est elle encore qui s’affaiblit avec la stérilisation de l’environnement (excès de procédure).

En conclusion, quand on diminue la variété d’un système, on le rend plus robuste dans les conditions nominales et moins résistant face aux aléas. Mais il existe aussi un rapport complexe entre variété et niveau de contrainte.

Introduire de l’ordre, c’est aussi diminuer l’autonomie des acteurs.

En caricaturant, il y a deux formes extrêmes de coopération : la galère romaine et l’orchestre de free jazz. La coopération entre les rameurs est entièrement construite via un référentiel extérieur (le tambour) et largement imposée. La coopération entre les jazzmen est auto organisée. Elle se construit en temps réel par décodage permanent de ce que font les autres et l’adaptation de sa propre action. Il n’y a pas de chef d’orchestre, pas de partition, ni même de leader. Plus on se rapproche du free jazz, plus la compétence est nécessaire. Plus on se rapproche de la galère, plus l’autonomie des acteurs diminue, et plus le besoin de contrainte augmente. Bien sûr le fouet n’est plus trop pratiqué. La forme moderne de la contrainte est la responsabilité pénale. Or on assiste à une dérive des exigences de sécurité, à des rêves de risque zéro, à des invocations de la précaution à toutes les sauces et à une multiplication des procès. La priorité de chacun, lorsqu’elle existe, n’est pas toujours compatible avec la priorité collective. Et comment le faire mieux qu’en donnant l’illusion du contrôle total ? Alors on formalise, on normalise. Est-ce qu’au moins la peur de la sanction peut avoir des effets vertueux pour la sécurité ? Elle augmente l’obéissance au référentiel, mais pas la qualité des référentiels. Les postures auto protectrices ne sont pas bonnes pour la sécurité du système.

La sécurité des vols devient alors un mélange subtil entre la galère et son tambour (les procédures, les normes et les règles) et l’orchestre de jazz (la compétence, le bon sens et l’adaptation). Reste à intégrer harmonieusement le tambour au sein de l’orchestre de jazz sans qu’il génère de fausses notes. Pas simple !

Bons vols

Christophe BRUNELIÈRE

Article précédemment publié en 2011.