La sécurité est définie par opposition aux risques

2.1.1 La notion de « sécurité »

Littéralement, le mot « sécurité » désigne « une situation [ou un] état tranquille qui résulte de l’absence réelle de danger » (Dictionnaire Le petit Robert, 1995). Par extension ce terme caractérise aussi toutes les « organisations, conditions matérielles, économiques, politiques, propres à créer un tel état » (Op. Cit.). Toute l’ambigüité réside en fait dans cette « réalité de l’absence », qui d’une part pose la question de l’évaluation d’une « réalité » et d’autre part définit la notion de sécurité par la négative (Noulin, 2002). Ainsi Weick parle de « non évènement dynamique » dans le sens ou la sécurité est « une absence de faits » qui reste « invisible » (Weick, 1987, p. 118). Malgré cette ambigüité, la notion de sécurité a été très peu discutée au fil du temps (Hollnagel, 2008e). Elle désigne de façon générale une aptitude du système à accomplir une mission particulière : celle d’éviter tant que possible l’occurrence d’évènements indésirables (Hollnagel, 2010b; Neboit, Cuny, Fadier, & Ho, 1990). Selon les différentes définitions, ces « évènements indésirables » regroupent les « évènements critiques », les « dommages inacceptables », les « évènements aux conséquences potentielles inacceptables », les « dangers », les « accidents » ou les « incidents ». (Daniellou, Simard, & Boissières, 2009; Garrigou, Peeters, Jackson, Sagory, & Carballera, 2004; Kouabenan, Cadet, Hermand, & Munoz Sastre, 2006; Leplat, 1985; Marsden & Promé-Visinoni, 2010; Nascimento, 2009; Neboit et al., 1990; Rasmussen, 1997b).

Les premières études de sécurité se sont focalisées sur les accidents : elles visaient notamment à mesurer leur fréquence (Leplat, 2006b). En 1967, Faverge note par exemple que « l’accidentabilité » constitue « la part la plus volumineuse des travaux psychologiques sur la sécurité » (p. 126). Mais par la suite, c’est la notion de « risque » qui a émergé, avec pour objectif de « rechercher d’autres indicateurs de dysfonctionnement du système qui puissent permettre de caractériser et donc d’améliorer la sécurité avant l’occurrence de l’accident » (Leplat, 2006b, p. 25). Aujourd’hui, la sécurité est communément définie à l’opposé du risque : « sécurité = 1-risque » (Epstein, 2006; Hollnagel, 2008e; Marc & Rogalski, 2009b). Etant admis que l’absence absolue de risque est impossible à atteindre, les définitions se sont orientées vers des approches probabilistes, permettant de fixer des seuils d’acceptabilité (Neboit et al., 1990; Sheridan, 2008). Ainsi, si la notion de sécurité a été peu discutée, celle de risque, à l’inverse, fait l’objet de nombreux modèles et théories.

2.1.2 La notion de « risque »

Classiquement, le risque désigne la « possibilité qu’un danger s’actualise ». Autrement dit, le risque est l’exposition à un danger susceptible d’entrainer des dommages (Leplat, 1995,

2006b). Il est généralement caractérisé à travers deux composantes : la probabilité d’occurrence de l’évènement risqué (ou fréquence) et les impacts négatifs que celui-ci peut engendrer (ou gravité des dommages) : « Risque = Fréquence ⁵ Gravité » (Epstein, 2006; Hollnagel, 2008a; Leplat, 2006b; Marc & Rogalski, 2009b; Pariès, 2003). Cette caractérisation conduit à définir des « matrices de criticité », avec des niveaux d’acceptabilité des risques. L’objectif ultime étant de hiérarchiser les risques et de prioriser les actions de prévention. En pratique, chaque domaine, chaque entreprise possède son propre système de métrique (échelles de gravité, échelles de fréquence ou de probabilité) et son propre vocabulaire (risque acceptable, risque mineur, etc.). Les démarches d’évaluation des risques sont donc fondamentalement comparatives. Et le niveau de risque acceptable reste toujours le reflet de choix sociaux en un lieu et un moment donné (Cadet, 2006; Daniellou et al., 2009; Pariès, 2003).

Les modèles expliquant les mécanismes à l’origine des risques sont très nombreux (Hollnagel, 2004, 2006; Lundberg, Rollenhagen, & Hollnagel, 2009; G. Morel, 2007). Trois grands types de représentation sont fréquemment utilisés pour expliquer l’occurrence d’évènements indésirables. Les modèles les plus « simples », désignés par Hollnagel (2004) sous le terme de « modèles séquentiels », décrivent l’accident comme le résultat d’une propagation linéaire de causes et d’effets entre des évènements. L’enchaînement de ces liens de causes à effets peut être plus ou moins complexe : dans le modèle le plus simple (modèle dit « des dominos ») les évènements se succèdent de façon linéaire les uns à la suite des autres, tandis que dans les représentations plus complexes (par exemple celle de « l’arbre des causes ») c’est l’enchainement et la combinaison de plusieurs évènements et conditions qui expliquent l’accident. Quoiqu’il en soit, ces représentations sont fondées sur le postulat que’un accident est le résultat d’une séquence de causes, et qu’une fois ces causes et ces relations causales identifiées, il est possible de les supprimer ou de les dissocier de manière à éliminer cet accident (Chesnais, 1993; Garrigou et al., 2004; Hollnagel, 2004, 2006).

Le second type de modèle est dit « épidémiologique » (Hollnagel, 2004; Lundberg et al., 2009). Il est le plus souvent représenté par le schéma du « Swiss Cheese », développé par Reason (1990) (cf. Figure 3, à droite). Dans ce modèle, l’accident n’est pas seulement le résultat d’un enchainement de causes spécifiques et directes (« erreurs ou défaillances actives ») mais il résulte aussi de failles plus « profondes », présentes depuis longtemps dans le système (« erreurs ou défaillances latentes »). L’auteur compare ces « défaillances latentes » à des « résidents pathogènes » du système, tel des microbes dans un corps humain ou un marécage dans un champ. Ces « failles latentes ne demandent qu’à se manifester » (apparition d’une maladie, présence de moustiques). Pour être efficace, les efforts de prévention ne doivent donc plus seulement porter sur les symptômes (traiter la maladie, chasser les moustiques) mais ils doivent surtout s’attaquer aux « conditions latentes » de leur occurrence (vaccination, assèchement du marécage). Dans les systèmes socio-organisationnels, ces « résidents pathogènes » sont introduits par les concepteurs, les

5 L’opérateur de combinaison entre ces deux composantes est très souvent de type multiplicatif, bien que ceci ne soit pas forcement justifié (Leplat, 2006b; Pariès, 2003).

organisateurs et le management de haut niveau qui définissent le système de travail « à la base » (conception des équipements, barrières inadéquates, organisation inappropriée, etc.) (Reason, 1993, 2000, 2005). Malgré sa plus grande complexité, ce modèle est tout à fait comparable aux modèles « séquentiels » : l’accident est toujours le résultat d’une combinaison d’évènements, les « trous » représentant la défaillance plus lointaines de certains composants (Hollnagel, 2006).

A _B

A _B

A _B

Figure 3 : Deux modèles explicatifs de l’occurrence d’évènements indésirables

A gauche (A) le modèle des migrations des pratiques développé par Rasmussen (1997b) [Illustration adaptée de (Cook & Rasmussen, 2005)] A droite (B) le modèle du « gruyère » (« swiss chesse ») développé par Reason (1990). [Illustration adaptée de (Reason, Carthey, & de Leval, 2001, p. ii21)]. Sur les deux schémas, les « étoiles » rouges représentent les accidents locaux, en bout de chaines, et les dommages qui en résultent

Les modèles « migratoires » constituent un troisième type de représentation conceptuelle pour expliquer les risques (Amalberti, 2001b; Rasmussen, 1997b; Rasmussen et al., 1994) (cf. Figure 3, à gauche). Dans ces approches, les évènements indésirables sont le résultat d’une migration plus ou moins lente du système vers un espace de fonctionnement « illégal-légal » (Amalberti, 2009c). Cette zone de fonctionnement n’a pas fait l’objet des analyses de risques initiales, lors de la conception du système (Daniellou et al., 2009). Elle est proche de la frontière acceptable de fonctionnement sûr : « au delà de cette frontière, le contrôle du processus de production du système de travail est perdu, le travail est inefficace [et] si le passage de la frontière est irréversible, un accident plus ou moins important se produit » (Rasmussen et al., 1994, p. 149). Cette frontière de fonctionnement acceptable est virtuelle : tout le monde sait qu’elle existe mais la position exacte du système par rapport à elle n’est vraiment connue que si elle est franchie (Cook & Rasmussen, 2005; Daniellou et al., 2009). En pratique, le plus souvent, ce n’est pas tout le système, mais uniquement « certains individus, seuls ou en équipe, qui mig[rent] sans contrôle, et finissent pas provoquer la survenue d’accident ou d’incident » (Amalberti, 2009c, p. 654). L’origine de ces migrations est expliquée par l’existence de « gradients » ou de « pressions » de différents types (commerciales, économiques, sociales, recherche de bénéfices individuels, etc.) qui « poussent » le système à fonctionner de façon plus performante et moins couteuse pour les individus, au détriment de la sécurité (Amalberti, 2001b; Rasmussen, 1997b). A partir de cette représentation des risques, les enjeux de sécurité s’orientent vers plusieurs axes (Cook & Rasmussen, 2005; Rasmussen, 1997b; Rasmussen et al., 1994) :

réduire les pressions économiques et la charge de travail qui alimentent le processus migratoire,

rendre visible le positionnement du système et les frontières des opérations sûres, accroître la zone « tampon » avant l’accident en repoussant par exemple la limite du

fonctionnement sûr via par exemple des « campagnes de sécurité »,

rendre réversible le franchissement de la frontière des opérations sûres en formant les opérateurs à y faire face.

La spécificité de ces modèles migratoires est de présenter les accidents comme issus « de décisions prises par plusieurs acteurs dans leur contexte de travail normal, tous ces acteurs étant très probablement soumis à la même charge compétitive » (Rasmussen, 1997b, p. 189). Autrement dit, l’occurrence des évènements indésirables est cette fois rapprochée de « la nécessaire capacité d’adaptation » dont doivent faire preuve les opérateurs pour gérer les conditions changeantes et les contraintes de leur travail (Rasmussen et al., 1994). Néanmoins, les évènements indésirables restent expliqués par l’existence de « causes » représentées comme des « forces externes » qui orientent les décisions des acteurs dans des sens prédéterminés. « Ces migration ne sont donc rien d’autre que l’effet résultant de conséquences latentes » (Hollnagel & Woods, 2006, p. 335). Ainsi, par exemple, Fadier, De la Garza et Didelot (2003) listent différents types de facteurs⁶ (environnementaux, matériels, humains, etc.) dont l’existence et les interactions créent les circonstances favorables à la migration du système dans des zones dangereuses.