La maîtrise des risques
Les discours entendus dénotent souvent d'une confusion entre l'analyse des risques et la maîtrise des risques. Il y a pourtant une différence essentielle entre ces deux activités. L'analyse des risques est un domaine d'activité pour lequel la motivation principale est la recherche, alors que la maîtrise des risques a pour objectif de gérer le risque pour le maîtriser. L'analyse des risques est donc une activité tactique, alors que la gestion des risques est une activité stratégique. La nécessité d'avoir à identifier et à évaluer le risque avant de le maîtriser conduit à la confusion des genres; de même qu'on confond souvent tactique et stratégie. Il faut considérer que l'analyse et la gestion des risques sont les deux processus essentiels répondant à une volonté qui est la maîtrise des risques. La Maîtrise des Risques est une activité de décisions, motivées par des objectifs. Ce sont ces objectifs qui déterminent les moyens et les stratégies. La Maîtrise des Risques est un système opérationnel. L'analyse des risques est le processus de détection des éléments caractéristiques du risque. Ce processus peut être conduit suivant différentes méthodes répondant à un objectif unique, détecter les éléments correspondant à une situation de danger. La gestion des risques est l'outil de traitement de l'information générée par l'analyse.
La Maîtrise des Risques est un système défensif qui par le nombre réduit et la simplicité de ses objectifs, s'apparente à un système de défense militaire. En effet, nous retrouvons les trois principales activités d'un système de combat : détection, évaluation de la menace (classification) et décision. De même que dans tout système équivalent, des seuils sont déterminés de façon à filtrer les informations en sortie de l'analyse
La Maîtrise des Risques repose sur un équilibre judicieux entre la satisfaction des objectifs du système et l‟acceptation du risque encouru dans sa mise en œuvre. C'est une activité relevant d'un système de décision complexe (choix des finalités et des moyens de les satisfaire), qui est déterminé par le gestionnaire des risques de façon autonome ou solidaire à l‟organisation dont il est membre. Il existe deux politiques dans le management des risques :
la politique du systématique qui est applicable dans les milieux scientifiques ou l‟industrie à haut risque,
une démarche allégée utilisant beaucoup les principes du GAME dont les analyses souvent empiriques aboutissent parfois à une couverture des risques abandonnée à la régulation. Il faut noter que le principe du GAME, globalement au moins équivalent, ne s'appuie pas sur une analyse mais sur le retour d'expérience; en effet, ce principe admet qu'un retour d'expérience suffisant permet de lever (et non de couvrir) un risque potentiel.
Cependant ces deux politiques ne constituent pas les différences essentielles entre les techniques et méthodes de la maîtrise des risques, elles sont simplement révélatrices des moyens disponibles ou consentis pour gérer les risques d'un système. Les différences essentielles entres les approches dépendent surtout de ce qu'elles s'intéressent au composants du système ou au système dans sa globalité.
D‟après C. Lievens [LIEVENS 1976] l‟intérêt de l‟approche système est que dans l‟approche classique la réduction de la complexité par décomposition en éléments simples suppose que les interactions entre les éléments sont nulles. Cette définition revient à ramener la notion de système à un ensemble technique. Or, un système est un ensemble organisé et articulé dont les éléments fonctionnent en synergie pour accomplir une ou plusieurs missions et dont le niveau de complexité technique est d‟un ordre de grandeur nettement supérieur à celui de chacun des
constituants. Néanmoins, la réunion de sous systèmes optimaux ne constitue pas un système optimal (Théorème de Bellman qui décrit surtout le principe d‟optimalité : « une suite de décision optimale n‟entraîne pas globalement une décision optimale »). Ceci est d‟autant plus vrai et critique lorsque l‟intégrité de la sécurité peut être remise en cause.
Le processus de maîtrise des risques relève d‟une approche systématique et documentée basée sur la démonstration que l‟ensemble des risques engendrés par le système et par ses ensembles techniques ont été identifiés, évalués et couverts par des foncions de sécurité. Cette démarche est assurée par des concepts d‟ingénierie, des méthodes, des outils et des techniques reconnus et appliqués tout au long du cycle de vie du système. Ce processus est souvent confondu avec la démarche dite de FMD (Fiabilité, Maintenabilité et Disponibilité) car les méthodes et outils sont identiques et la sécurité et la disponibilité sont interdépendantes. En effet, une mauvaise gestion des conflits entre leurs exigences propres peut s‟opposer à l‟obtention d‟un système sûr, ou a contrario à l‟obtention d‟un système tellement sûr qu‟il n‟est jamais disponible. De plus, les objectifs de sécurité et de disponibilité ne peuvent être atteints qu‟en satisfaisant aux exigences de fiabilité et de maintenabilité du système et en contrôlant dans la durée de manière permanente les activités de maintenance, d‟exploitation ainsi que l‟environnement du système.
Si nous reprenons la définition de la norme MIL-STD-882 [MIL 2002] : "la sécurité d'un système est égale au degré de sécurité optimale compatible avec les contraintes d'efficacité opérationnelle, les coûts et les délais, et qui doit être obtenu par application systématique des principes de sécurité (conception et conduite) au cours des phases successives de la vie du système". Cette définition implique :
la détermination d‟un objectif de sécurité à partir d‟une étude d‟optimisation coût - efficacité - délai,
des méthodes rigoureuses de la conception à l‟utilisation.
Le processus de maîtrise des risques s‟appuie sur la mise en place d'un programme sécurité débutant en phase de définition système et se poursuivant tout au long du développement du système. Ce processus de construction de la sécurité est itératif (analyse, édition de critères, validation) et permet de garantir que la sécurité et son maintien en opération, se traduit par la mise en place d‟actions. Ces actions permettent de classifier les risques et d‟en identifier les causes puis de définir les principes de mise en sécurité. Ces principes de sécurité son ensuite traduits en critères qui appliqués garantissent l'atteinte des objectifs de sécurité fixés ou qu'au moins les scenarii résiduels restent compatibles avec ces objectifs. Par scenarii résiduels il faut comprendre toutes les combinaisons conduisant à une situation redoutée pour lesquelles aucune parade technique n'a été trouvée.
Pour des systèmes à niveau d'intégrité de la sécurité élevé, et pour éviter les conflits d'objectifs entre respect d'un budget coûts – délais, et respect d'in objectif de sécurité, ce processus est normalement conduit par une équipe indépendante du développement du système qui effectue l'ensemble des analyses de risques et de défaillances et qui réalise l'ensemble des vérifications permettant de vérifier la couverture des exigences de sécurité. Pour les systèmes de transports urbains guidés, le travail de cette équipe est lui-même évalué par un "second regard" indépendant qui valide les aspects méthodologiques et de couverture dans le processus de maîtrise des risques.
L'ingénierie du risque : un processus parallèle
L'ingénierie du risque est une véritable activité avec un objectif, une méthodologie et des outils adaptés. L‟ensemble des normes relatives à la sécurité des systèmes définit la démonstration de la sécurité comme une démarche cohérente de gestion de la sécurité qui intervient depuis la spécification des besoins d‟un système jusqu‟à son retrait du service. Pourtant la difficulté
principale réside dans le fait que les travaux de l'ingénierie du risque sont effectués en co-activité avec le développement ou l'exploitation du système. Il est donc nécessaire que le phasage et les objectifs intermédiaires des deux activités fonctionnent sur un schéma commun, ce schéma commun est le cycle de vie du système.
Déterminer l'origine du danger revient à identifier ce que l'on cherche. En effet, la perception du danger est surtout liée à la connaissance que nous avons de certaines conséquences et des situations qui y conduisent. Les analyses de risques utilisent la connaissance générale ou retour d'expérience pour identifier les cas de danger. Le principe consiste donc à affiner la connaissance du système analysé pour détecter les conditions pouvant conduire à des situations connues par avance. Le processus a la même nature qu'un filtre et comme tout filtre il déforme l'objet observé en en fournissant une image réductrice.
Figure 17 : Processus global d'identification de situations redoutées
Le danger fait partie intégrante du système, sa détection ou visibilité relève plus de l'acuité de l'observateur, autrement dit de sa capacité à observer le système. Le fait de signaliser certains évènements ou d'identifier des précurseurs de dangers sont une parfaite illustration de l'impact des connaissances sur le système. La détection du danger ne peut se faire qu'à partir :
de la reconnaissance de certains signaux, de la reconnaissance de certains objets de la reconnaissance de certaines relations.
Dans ce cas, l'analyse cherche à épuiser le modèle en explorant toutes les combinaisons, soit cherche à reconnaître les signaux. Se retrouvent là les principes de management des risques : la connaissance des dangers puis la connaissance du système observé, ou, l'observation d'un système donné à travers son propre système de connaissance. Ce processus :
fourni une vision orientée du système,
requiert une exhaustivité de la collection obtenue,
implique un processus itératif du système modifié jusqu'à épuisement des cas sources de situations dangereuses,
surtout, implique un système défini, bordé et stable.
Connaissances et retour d'expérience Système à analyser Collection de situations redoutées
Processus consistant à affiner la connaissance du système pour identifier les cas conduisant à une situation prédéterminée
Etant donné que la conception d'un système a pour vocation de fournir certains services, l'analyse des risques ne peut être qu'une démarche complémentaire et itérative d'étude du système.
Figure 18 : Processus de conception et dangers
Les dangers sont alors un sous produit du système, ils sont simplement indésirables, d'où l'intérêt d'un modèle pour tenter d'anticiper leur occurrence. Cependant comme le danger est par nature inconnu et inattendu (ou plutôt on espère son absence) il serait donc impossible a priori de le décrire avec le même processus que la modélisation du fonctionnement système d'où l'obligation d'itération du processus.
Les méthodologies choisies ont alors pour vocation de faire converger rapidement les deux démarches sans pour autant les dégrader.
Le cycle de vie du système
L‟intérêt de la définition d‟un cycle de vie est qu‟il fournit un cadre pour la programmation, le management, le contrôle et la surveillance du système sous tous ses aspects, en particulier la sécurité, en définissant une succession de phases ainsi que les tâches relatives à chaque phase et à la transition entre chaque phase.
L'objectif lié à l'application de ce processus méthodologique est d'obtenir la collaboration entre les activités générales du projet et les activités relatives à la sécurité afin d‟établir un équilibre entre les performances de sécurité du système et les contraintes de développement (coûts, délais, complexité…).
Le processus de démonstration de la sécurité
Une rapide analyse des tâches décrites dans ce tableau montre que le processus est essentiellement documentaire, c'est-à-dire que la démonstration de sécurité se construit par la documentation de preuves soit de vérification soit de conformité. Ce point est justifié par le fait que le processus est itératif, c'est-à-dire que la démarche est reconduite et précisée à chaque phase du cycle de vie. On verra par la suite que l'application de simples parades technologiques est insuffisante pour garantir la sécurité globale d'un système.
En dehors du fait que le processus est élargi à la notion de système, celui-ci est toujours articulé autour des phases de définition des objectifs, d'identification des risques, d'allocation des objectifs de sécurité, et de couverture de ces risques.
Connaissances + Retour d'expérience Définition des besoins Démarche de conception Système Services Dangers
R e g is tr e d e s S it u a tion s D a n g e re u s e s R E S T Recommandations EF EC APD AMDE Exigences composant SD Maîtrise des recommandations
Maîtrise des Exigences Fonctionnelles
Maîtrise des Exigences composants Maîtrise des Situations Dangereuses Démonstration de la
sécurité
APD : Analyse Préliminaire des Dangers AMDE : Analyse des Modes de Défaillance SD : Situations Dangereuses
EF :Exigences Fonctionnelles EC : Exigences Composants
REST : Recueil des Exigences Sécurité sur le Système tramway
Figure 19 : Processus de maîtrise des risques
L'analyse des risques
Dans les méthodologies de maîtrise des risques, l‟analyse des risques est le processus qui va permettre l‟allocation des niveaux d‟intégrité de la sécurité aux différentes fonctions des équipements, des sous systèmes et du système. Ce processus passe par une démarche systématique et l‟application des outils abordés précédemment (§ 0) prenant en compte à la fois l‟environnement du système et son modèle architectural. Le résultat est une liste de situations dangereuses et de taux maximum d‟occurrence de danger.
L‟analyse de risque doit être effectuée à diverses phases du cycle de vie du système. Pour être complète celle-ci ne doit pas se contenter de la production d‟une liste plus ou moins exhaustive de situations dangereuses mais être bâtie sur une méthodologie qui identifie clairement les hypothèses, les limites et les justifications de l‟étude. L‟étude doit fournir une justification des estimations de risques à partir des données connues (en fonction de la pertinence et du niveau de confiance de leurs sources) en recherchant un compromis entre la recherche d‟un état sûr à tout prix et les contraintes de disponibilité ou de coût du système.
La parade méthodologique
L'application des méthodes de conception et de réalisation en sécurité va donc conduire à un comportement déterministe de l'équipement, dont un des états sera considéré comme l'état de sécurité. En ferroviaire, une défaillance va se traduire par l'arrêt du train ou par le maintien fermé d‟une barrière de passage à niveau. Il faut tout de même considérer l‟aspect système de la sécurité
ferroviaire, car il y a une certaine corrélation entre le nombre d‟arrêts intempestifs de trains et le nombre de collisions. En effet, l‟arrêt intempestif de trains devant un signal fermé a pour effet de condenser ceux-ci sur la ligne et d‟augmenter la probabilité de rattrapage. De plus, l‟impossibilité de maintenir les trains à l‟arrêt en ligne jusqu‟à réparation implique la mise en œuvre d‟une procédure spéciale pour leur remise en route, ce qui augmente le risque. De même, la fermeture prolongée sans passage de train d‟une barrière de passage à niveau conduit les usagers de la route à passer à leur seule initiative et augmente considérablement le risque de collision.
Le processus de maîtrise des risques s‟appuie sur la mise en place d'un programme de sécurité débutant en phase de définition système et se poursuivant tout au long du développement du système et de ses constituants. Comme il a été dit précédemment, ce processus de construction de la sécurité est itératif (analyse, édition de critères, validation) et permet de garantir que la sécurité et son maintien en opération, se traduit par la mise en place d‟actions afin de :
répertorier et de classifier les risques et d‟en identifier les causes,
définir les principes de mise en sécurité au niveau fonctionnel et au niveau des moyens et des techniques associés,
gérer la mise en application de ces critères, de vérifier leur prise en compte et d‟identifier les points sécurité ouverts,
valider la conception en vérifiant l‟obtention des critères par une analyse des solutions techniques.
Cette validation permet aussi de démontrer le respect des objectifs de sécurité, en particulier les scénarii résiduels devant être compatibles avec les objectifs définis par les obligations vis-à-vis de la sécurité.
Le dossier de sécurité, document unique comme preuve de la sécurité
Le dossier de sécurité est l‟élément essentiel dans la démonstration de la sécurité d‟un système par l‟application de ces deux principes. Ce document apporte la démonstration que la preuve de la sécurité d‟un système a été faite par une approche systématique et documentée, basée sur des preuves qualitatives (assurance qualité ou assurance sécurité), des preuves techniques ou des preuves de contrôle par un regard extérieur. Il n‟est pas nécessaire d‟inclure beaucoup de preuves et de documents détaillés dans le dossier de sécurité et ses différentes parties, pourvu que les références précises soient données à de tels documents et que les concepts de base et les démarches utilisées soient clairement spécifiés.
Gestion de la qualité
La preuve de la gestion de la qualité doit démontrer qu‟un système de gestion de la qualité efficace tout au long du cycle de vie du composant, sous système ou système a été mis en place. L‟objectif de ce système qualité est de minimiser l‟incidence de l‟erreur humaine à chaque phase du cycle de vie. Parmi ces points qui doivent être couverts par le système qualité on trouve :
La structure et l‟organisation,
Le planning et les procédures qualité,
Le traitement des non conformités et des actions correctives, La gestion de configuration et le contrôle des évolutions.
Gestion de la sécurité
La preuve de la gestion de la sécurité doit démontrer qu‟un système de gestion de la sécurité efficace tout au long du cycle de vie du composant a été mis en place. De la même façon, l‟objectif de ce processus est de minimiser l‟incidence de l‟erreur humaine. Le processus de gestion de la sécurité s‟appuie sur une organisation et une documentation spécifique.telle qu'un
plan d‟assurance sécurité, lequel identifie la structure et les activités et les points d‟approbation et un registre des situations dangereuses, répertoriant les situations dangereuses identifiées.
Démonstration de la sécurité fonctionnelle et technique
La démonstration de la sécurité fonctionnelle et technique est apportée par un rapport qui doit expliquer les principes techniques garantissant la sécurité de la conception, incluant toutes les preuves de soutien : principes de conception et calculs, spécifications et résultats d‟essais, analyses de sécurité. Lorsque les niveaux de sécurité ont été fixés, et que les critères de réduction des risques ont été déterminés, il est possible de décliner les exigences de sécurité sur les fonctions, composants, sous-systèmes et système.