Divergences entre les niveaux et unités d’analyse

L’opposition entre NAT et HRO porte principalement sur trois éléments (voir Tableau 7). Tout d’abord, les niveaux et les unités d’analyse divergent et rendent la comparaison difficile. Le deuxième élément est le rôle de l’apprentissage dans les organisations. Si pour la NAT il joue un rôle limité et ne peut pas empêcher tous les accidents, pour le courant HRO l’apprentissage permet d’assurer la fiabilité. Enfin, le dernier élément de divergence concerne la redondance. Vue comme un danger pour la NAT qui complexifie et augmente le risque d’erreur pour la NAT, la redondance permet d’assurer la fiabilité pour la HRO.

Tableau 7 – Divergences d’approche entre NAT et HRO

Normal Accidents Theory High Reliability Organizations Niveaux d’analyse Organisationnel, institutionnel Intra-organisationnel, acteurs Unités d’analyse Structure, caractéristiques Processus

Apprentissage Insuffisant pour éviter une _défaillance Processus clé dans le maintien de _{la fiabilité} Redondance Augmente le risque de défaillance Permet le maintien de la fiabilité

3.1.1. Divergences entre les niveaux et unités d’analyse

Une première analyse de la littérature et la comparaison entre NAT et HRO révèle des arguments assez arrêtés les uns envers les autres et semblent difficilement conciliables. D’un côté la NAT considère les défenseurs des HROs comme des optimistes face au danger imminent de ces organisations. De l’autre, les défenseurs des HROs voient la NAT comme une vision pessimiste et fataliste des organisations, qui jusqu’ici fonctionnent sans erreurs.

Pour les défenseurs de la NAT, nous sommes chanceux qu’il y ait si peu d’accidents dans ces organisations alors que justement pour les défenseurs des HROs cela démontre bien la robustesse du système (Leveson et al., 2009). Au fil des débats, l’opposition scientifique s’est parfois muée en une divergence d’opinion et des joutes rhétoriques ne faisant que peu avancer l’analyse de ces organisations (Hopkins, 2001).

Vaughan (1999) considère que la divergence entre NAT et HRO provient du fait qu’ils ne s’intéressent pas aux mêmes éléments dans l’organisation. La NAT se focalise sur la structure des organisations, structure complexe avec des composants fortement couplés qui va entraîner inévitablement des accidents. Le cadre HRO quant à lui s’intéresse aux processus, les initiatives dans l’organisation pour atténuer les défaillances. Une même organisation, selon la façon dont elle sera étudiée, sera présentée comme hautement fiable ou défaillante (Vaughan, 1999, p. 296) :

Normal Accident Theory (NAT) studies failures, emphasizes structure, and argues that complex systems will inevitably fail; High Reliability Theory (HRT) studies safe systems, emphasizes process, and argues for effective prevention. These different orientations show in detail how the same aspects of organizations that contribute to the bright side also contribute to the dark side.

En termes de niveaux d’analyse, les deux écoles de pensée divergent également. La NAT s’intéresse aux structures organisationnelles et au contexte social, qui influencent les choix individuels, plutôt qu’aux choix des individus en eux-mêmes (Sagan, 1994). Ainsi Perrow (1994b) remet en cause l’impératif de fiabilité, qui est parasité par l’environnement institutionnel. Si la NAT tend à étudier les organisations aux niveaux organisationnel et institutionnel, le courant HRO s’intéresse plus au niveau intra-organisationnel et aux acteurs eux-mêmes.

3.1.2. Le rôle de l’apprentissage

Comme nous l’avons vu précédemment, le désaccord entre les deux courants ne porte pas sur le potentiel catastrophique de ces organisations mais de savoir si le risque encouru est légitimé par la mission que l’organisation effectue. Cette légitimation passe par la capacité des organisations à apprendre et ainsi améliorer leur sûreté. Mais, là où le courant HRO voit

dans l’apprentissage une des clés du maintien de la fiabilité – avec pour preuve que certaines organisations fonctionnent sans faillir depuis 30 ans – la NAT considère que la complexité des systèmes est telle qu’il n’est pas possible d’apprendre pour supprimer toutes les erreurs conduisant à un accident voire une catastrophe (Sagan, 1993; Perrow, 2009). Selon Bierly et Spender (1995), la complexité de ces systèmes créé une ambiguïté causale qui rend l’interprétation des résultats difficiles. De plus, la complexité nécessite d’approcher le système comme un tout et empêche de tester le système de manière désagrégée.

Outre la complexité des systèmes, les jeux politiques liés à ces systèmes et à l’environnement limitent encore l’impact de l’apprentissage sur la fiabilité (Lagadec, 1997). Ces jeux politiques limitent la portée de l’apprentissage à trois niveaux (Sagan, 1994) : individuel, organisationnel, sectoriel.

Au niveau individuel, l’amélioration de la fiabilité est confrontée à une protection des intérêts personnels des individus où chacun cherche à se positionner de manière avantageuse par rapport à l’autre. De plus, l’individualisation des récompenses en lien avec l’amélioration de la sûreté tend à créer artificiellement de nouvelles mesures sans les intégrer dans une vision d’ensemble de la sûreté de l’organisation. Il y a donc des conflits d’intérêts entre les individus mais également des conflits d’intérêts entre les individus et l’organisation.

Au niveau organisationnel, l’apprentissage et l’amélioration de la fiabilité peuvent être considérés comme un avantage concurrentiel par rapport aux autres organisations. Élément stratégique, les informations en lien avec la fiabilité et la sûreté ne sont donc pas diffusées afin de conserver un avantage par rapport aux organisations concurrentes.

Enfin, au niveau sectoriel, le mythe de l’infaillibilité, notamment dans les industries sensibles tels que le nucléaire civil, rend l’apprentissage plus difficile car il remet en cause cette fiabilité à toute épreuve. En effet, dans ces industries sensibles – où les conséquences en cas de défaillance sont les plus importantes – il a fallu convaincre les instances politiques et le grand public que la fiabilité était à toute épreuve. Or, d’un secteur promis comme déjà sans faille, l’apprentissage vient justement souligner qu’un travail d’amélioration est à faire.

La valeur de l’erreur dans l’apprentissage est également un élément d’opposition entre les deux courants de pensée. À l’erreur s’associe la recherche d’un coupable plus qu’une analyse des causes (Perrow, 1994b, 2011). À terme, les erreurs sont donc cachées afin d’éviter d’être mis en cause. L’Exxon Valdez – qui s’échoua en 1989 sur la côte de l’Alaska – illustre cette idée (Sagan, 1994). Alors qu’un autre pétrolier – le Stuyvesant – avait connu des problèmes

d’intégrité de coque deux ans auparavant – liés à la taille du pétrolier, l’absence de double coque, et les conditions climatiques de navigation du navire, aucune modification structurelle de ce type de pétroliers n’avait été faite. À la découverte de la catastrophe, le capitaine de l’Exxon Valdez a assumé seul la responsabilité des erreurs commises sans plus d’investigation de la part du groupe pétrolier ExxonMobil ou de l’armateur. Or, outre les problèmes structurels du pétrolier, l’enquête a révélé qu’ExxonMobil avait connaissance des problèmes d’alcoolisme du capitaine et l’a pourtant laissé prendre le commandement du navire. De plus, l’analyse de l’accident a révélé d’autres éléments défaillants : le plan de secours des gardes- côtes américains en cas de catastrophe n’était pas adapté, les officiers de pont étaient tous fatigués et aucun n’avait eu de période de repos avant la manœuvre, l’erreur de manœuvre n’a pas été détectée par le centre de contrôle du trafic maritime, etc.

Wildasvky (1988, p. 2) défend l’idée selon laquelle l’apprentissage par essai-erreur est la meilleure façon de gérer les risques potentiels : « Because safety must be discovered, and cannot be merely chosen, I shall argue that trial-and-error risk taking , rather than risk aversion, is the preferable strategy for securing safety ». Or, pour le courant HRO, l’apprentissage par essai-erreur est limité dans ces organisations du fait du risque inhérent à toute erreur (Weick et al., 1999, p. 83) : « the first error is the last trial ». Si cette méthode d’apprentissage est limitée, elle ne doit pas pour autant être interdite mais encadrée (La Porte & Rochlin, 1994). Mais, comparé au gain apporté par ces essai-erreur, le coût des erreurs est trop souvent supérieur limitant l’utilisation de cette méthode d’apprentissage (Boin & Schulman, 2008), ce qui rend son usage quasiment impossible en pratique compte tenu de l’environnement à haut risque (Bierly & Spender, 1995). Par contre, si l’apprentissage par essai-erreur est limité, la valeur de l’erreur pour le courant HRO est importante. À la différence de la NAT, l’erreur est un élément central dans le maintien de la fiabilité (Weick & Sutcliffe, 2007). L’intérêt porté aux erreurs va intervenir non seulement pour les erreurs commises et leurs conséquences, mais également pour les erreurs qui ont été évitées de justesse – les presqu’erreurs, near misses – et les erreurs commises mais dont les conséquences ont été limitées.

3.1.3. La redondance : un dilemme entre fiabilité et complexité

Le dernier thème d’opposition entre les courants HRO et NAT concerne le rôle de la redondance dans les organisations pour assurer la fiabilité. Si pour la NAT, la redondance

complexifie et augmente le risque d’erreurs, pour le courant HRO, au contraire, la redondance permet une meilleure fiabilité en cas de dysfonctionnent d’un composant (Shrivastava et al., 2009). La redondance des éléments permet une fiabilité globale avec des éléments moins fiables individuellement. Mais augmenter le nombre d’éléments c’est augmenter également la part naturelle d’erreurs des éléments ajoutés (Sagan, 1994). De plus, la redondance ajoute de la complexité et de la difficulté à comprendre le fonctionnement global du système.

Mais ce n’est pas parce que le courant HRO évalue de manière positive le rôle de la redondance sur la fiabilité qu’il en ignore les conséquences négatives en termes d’augmentation de la complexité (Bain, 1999).

L’autre élément d’opposition concerne ce à quoi renvoie le terme de redondance pour chacun des deux courants. Le débat semble se centraliser sur la redondance en dupliquant un même composant. Outre un accroissement de la complexité liée à la multiplication des composants, l’ajout d’un composant identique fait également peser le risque que la défaillance se produise dans les mêmes circonstances (Rijpma, 1997, p. 17) :

The design of the Challenger space shuttle’s Solid Rocket Booster’s sealing, for instance, was redundant. Two O-rings were designed-in, so that if one would be eroded and, therefore, not seal properly, it would be backed up. However, both rings were dependent on weather conditions. If one would fail, the probability of the other one failing as well, increased.

Mais, la redondance n’est pas seulement ajouter un composant identique. Non seulement, la redondance peut consister à ajouter un composant différent capable d’effectuer la même opération, mais, comme le précise Rochlin et al. (1987), il existe une redondance par double emploi, où un composant est capable d’effectuer deux tâches différentes. Ce que recouvre le terme de redondance varie selon les études, et rend difficile un rapprochement entre les deux courants de pensée.

Selon Rijpma (1997), la redondance augmente et diminue à la fois la complexité et par conséquent la fiabilité. D’un côté la redondance augmente le nombre d’éléments et l’ambiguïté mais de l’autre la redondance permet une plus grande chance d’avoir l’information adéquate au bon moment et clarifie donc le système qui devient moins complexe. La redondance diminue la probabilité d’avoir une mauvaise information mais augmente la probabilité d’ambiguïté de l’information. L’impact positif ou négatif de la

redondance sur la fiabilité n’est donc pas formellement établi et varie d’une organisation à une autre, selon le type et la quantité de redondance en action.

Enfin, une approche socio-politique de la redondance insiste sur le contexte institutionnel de l’organisation étudiée et de ne pas s’arrêter à une analyse désincarnée du système mais l’intégrer dans son environnement socio-politique (Sagan, 1994). En abordant la redondance sous l’angle de l’ingénierie – des composants inertes, des objets – le débat considère la redondance des acteurs comme identique. Or, les acteurs, eux, ont conscience de l’existence de la redondance, qu’elle soit humaine ou technique, et agiront différemment. Par exemple, Schwartz et Gottlieb (1976, cité dans Sagan, 1994) observent que des témoins d’un accident tendent à faire moins de déclaration s’ils ont conscience qu’il y a d’autres témoins que s’ils pensent être les seuls témoins.

Sous l’angle politique, la redondance renvoie à attribuer plus de pouvoir à certains éléments du système. L’augmentation de la fiabilité en ajoutant des éléments au système est donc utilisée comme prétexte à une lutte de pouvoir. Sagan (1993) illustre ce phénomène par la présence d’un bombardier B-52 en permanence dans les airs au-dessus de la base aérienne de Thulé au Groenland dans les années 1960 et qui faillit causer un conflit thermonucléaire mondial (voir Encadré 5). Ce bombardier était en redondance avec le système de détection du NORAD10 présent sur la base aérienne de Thulé. Mais la raison de cette redondance est politique : le général en charge du Strategic Air Command – dont dépendait le bombardier – voulait avoir son propre appareil pour la surveillance afin de ne pas dépendre du NORAD pour la détection en cas d’attaque.

Encadré 5 – Accident de Thulé

En 1968, le crash d’un B-52 se produisit à proximité de la base aérienne de Thulé entraînant la rupture des communications avec la base et le bombardier. Outre la contamination radioactive importantea _que cet accident a générée, la rupture simultanée des communications avec le B-52 et la base de Thulé représentait à l’époque un scénario d’attaque surprise par l’Union Soviétique des États-Unis et aurait pu déclencher une riposte nucléaire des États-Unis envers l’URSS.

a _{: un B-52 porte dans ses soutes un potentiel explosif plus de dix fois supérieur à l’ensemble des bombes} utilisées durant la Seconde Guerre Mondiale (Source : Spanier, 1984, cité dans Lagadec, 1991).

Sagan (1994) précise enfin que l’obligation politique d’agir après une catastrophe peut engendrer des redondances inutiles n’ayant pour but que de montrer une action plus que de résoudre une défaillance.

Si la redondance est un débat entre les deux courants de pensée, les raisons de cette redondance sont finalement peu explorées que ce soit par la NAT ou par le courant HRO. Ainsi, il peut être intéressant de s’intéresser à la raison de la mise en place de la redondance autant que du fonctionnement de la redondance en elle-même (Bain, 1999). Par exemple, la mise en place d’une alarme supplémentaire plus puissante sans se poser la question de la raison pour laquelle les opérateurs ignorent la première alarme pose un problème de fiabilité. Ce n’est donc pas tant la redondance qui met en péril la fiabilité que de ne pas s’intéresser aux raisons de la mise en place de cette redondance. La NAT ou le courant des HROs ne sont pas des recettes à appliquer mais des cadres d’analyse à mettre en perspective avec les spécificités de chaque organisation étudiée (Tamuz & Thomas, 2006).

Le débat entre les courants de pensée de la NAT et des HROs semblent se cristalliser autour des trois thèmes que nous venons de développer, où chaque courant semble rester sur ses positions. Les deux courants ont des approches différentes de la sûreté et du risque (Roux- Dufort, 2003b, p. 144) : « la théorie des accidents normaux suppose que la notion de fiabilité est incompatible avec les propriétés complexes des technologies avancées qui soumettent les systèmes à une dynamique inattendue ». D’un côté la NAT conceptualise la défaillance et de l’autre le courant des HROs conceptualise la fiabilité organisationnelle. Faute de cadre intégrateur établi, il apparaît donc difficile de faire converger les deux courants de pensée. Mais, à défaut de pouvoir les unifier, les deux courants de pensée offrent néanmoins certaines perspectives communes.