Apport de la modélisation et de la simulation à l’analyse des risques

L’ère des facteurs techniques

Dans les années 30 (Guarnieri et al., 2008), on fournissait une interprétation empirique de l’accident tout en envisageant la fiabilité et la sécurité technique appelées aussi sûreté de fonctionnement. Après la Seconde Guerre mondiale, la fiabilité des éléments techniques commence à être valorisée à travers un mode de gestion de la sécurité proactive. En effet, le principe de concevoir des équipements fiables est recherché, plutôt que d’attendre les défaillances et ensuite les réparer. C’est dans les années 50 et 60 que les premières méthodes de sûreté de fonctionnement (AMDEC, APR, analyse quantitative des risques, etc.) apparaissent, notamment dans le domaine de l’aéronautique, du nucléaire et de l’électronique et contribuent à accroître la fiabilité 21 des systèmes (Fadier, et al., 1990; Villemeur et al., 1988). Au cours de cette première « ère », l’accident est ainsi vu comme un problème technique. Le management de la sécurité repose donc sur l’amélioration de la fiabilité des systèmes techniques. Bien que l’hypothèse d’équivalence entre la sécurité et la fiabilité ait accompagné toutes les perspectives historiques de l’accident sans pour autant démontrer sa consistance, les premières études scientifiques montrent cependant qu’à partir des années 60, en plus des défaillances techniques, les interprétations des accidents doivent s’expliquer aussi à travers des erreurs commises par l’homme. 

L’ère du facteur humain

A travers une pensée linéaire transposée de l’ère technique et pour interpréter l’accident comme la conséquence d’une erreur humaine, on attribue des causes équivalentes comme l’écart par rapport à une procédure, à une norme, ou à un cadre prescrit de référence. L’accident a lieu dès lors que la procédure prescrite n’est pas strictement respectée par les opérateurs, assimilés à des « composants humains » (Abramovici et al., 1990). On responsabilise les opérateurs tout en ignorant qu’ils ne détiennent pas des moyens, des compétences et de l’autorité. Les psychologues quant à eux définissent le concept d’erreur humaine comme une déviation par rapport à l’intention de l’individu. Elle résulte selon eux des défaillances dans les processus mentaux intrinsèques de l’individu. Ces défaillances cognitives peuvent être accentuées par certains facteurs de contexte qui influencent son état interne (stress, fatigue, température, pression temporelle). Les approches fiabilistes et psychologiques de l’erreur humaine considèrent dès lors le facteur humain comme une source de défaillance susceptible de mener à l’accident. Cependant force est de constater, malgré l’occurrence répétée de ces erreurs, que les accidents demeurent rares et que l’acteur, capable d’erreur humaine, est aussi capable de les récupérer et de rattraper celles du système. Ces modèles simples et séduisants, transposant les aspects techniques aux aspects humains, se révèlent finalement trop simplistes (Bieder, 2006). De nouvelles hypothèses seront introduites par les ergonomes : l’accident ne s’explique pas par la seule occurrence d’une erreur humaine ni celle d’une seule panne technique, mais d’un mauvais couplage entre 22 l’opérateur et son environnement direct de travail (poste de travail, pupitre de commande, etc.). Les ergonomes reconnaissent la robustesse des systèmes sociotechniques et la variabilité de la performance humaine qu’ils considèrent comme inévitables mais aussi essentiels pour le système (Fadier et Mazeau, 1996). On s’intéresse dès lors à l’amélioration du couplage de l’opérateur et de son environnement direct de travail. Cette approche se traduit sur le terrain par diverses pratiques comme par exemple le développement d’une meilleure visibilité du risque (affichage, signalétiques, etc.), d’une meilleure perception et appréhension du risque par l’opérateur (formation), la mise en place de protection collective et individuelle, la préconception ergonomique des postes de travail, la révision des procédures. Le milieu des années 80 et les catastrophes industrielles emblématiques qui les marquent (Three Miles Island, Bhopal, Tchernobyl, Challenger) laissent perplexes les spécialistes du facteur humain (Guarnieri et al., 2008). Les analyses à posteriori de ces accidents parviennent toutes à la conclusion selon laquelle leur apparition reste inexplicable sur la seule base des erreurs humaines individuelles déconnectées du contexte organisationnel dans lequel elles se sont produites (Cullen, 1993; Llory, 1996; Perrow, 1984; Reason, 1990, 2013; Vaughn, 1996). Un changement de paradigme se produit progressivement : celui du passage de l’erreur humaine aux facteurs organisationnels.

L’ère du facteur organisationnel

Sans qu’elle ne soit complètement mise à l’écart, la notion d’erreur humaine se comprend à partir des années 80-90 comme la résultante de causes organisationnelles en amont, c’est-à-dire comme la conséquence d’un environnement organisationnel de travail contraignant l’individu à l’erreur. Les erreurs de l’opérateur sont toujours sources de risque mais c’est l’organisation qui est considérée ici comme l’élément fondamental de sa performance. Le contexte organisationnel, mis en avant par les approches ergonomiques, devient désormais une donnée d’entrée pour comprendre la performance humaine. L’heure est alors à l’identification des facteurs organisationnels de risque favorisant l’erreur de l’opérateur (Desmorat et al., 2013).  L’objectif de la démarche réside dans l’étude de l’organisation dans laquelle évolue l’opérateur et dans l’identification des facteurs organisationnels qui influencent ses actes. Comme le précisent (Bird and Loftus, 1976), le terme d’« Error Forcing Context », utilisé aux États-Unis, traduit particulièrement bien cette idée selon laquelle l’opérateur est contraint à l’erreur par les forces et les contraintes exercées sur lui par le contexte organisationnel de travail. L’opérateur peut être comparé à une marionnette dont les mouvements sont influencés par l’organisation qui en actionnerait les fils. Il convient désormais d’étudier sous cette perspective en amont les caractéristiques organisationnelles qui vont influencer, sur le terrain, la performance de l’opérateur, comme par exemple le rythme de travail, la formation, la communication, etc. Cette évolution dans la manière d’appréhender l’erreur humaine marque au final une double évolution par rapport aux approches prudentes du facteur humain. C’est tout d’abord une évolution dans le temps puisque ce sont les décisions qui ont été prises en amont, dans le passé, qui sont désormais analysées. C’est aussi une évolution géographique puisque, seules les erreurs commises par les opérateurs de première ligne étaient précédemment pointées du doigt. Ce sont désormais les mauvaises décisions d’autres acteurs (managers, supérieurs et ingénieurs) en matière de gestion, conception, maintenance, formation, etc. qui sont sous le feu des projecteurs. Reason est l’auteur qui a largement inspiré cette perspective et qui a contribué à son développement. Il introduit, avec son célèbre modèle gruyère, les notions d’erreurs actives qui ne peuvent se comprendre qu’en référence aux conditions latentes qui demeurent cachées dans le système (Reason, 2016; Reason, 1995). L’approche de management de la sécurité proposée par cette perspective repose sur l’identification des conditions latentes de défaillances cachées dans le système, sur l’élimination ou la diminution de leur influence, sur la fiabilisation des processus organisationnels, l’analyse de la qualité de la gestion de la sécurité et la mise en place de systèmes de management de la sécurité. 24 

L’ère des facteurs inter-organisationnels

De nouveaux fondements scientifiques, actuellement en cours de développement et de formalisation, viennent depuis peu compléter cette approche organisationnelle de la sécurité, qualifiée par certains de linéaire (Bieder, 2006) ou encore d’épidémiologique (Hollnagel, 2004). Ils partent des principes proposés par les perspectives précédentes mais reconnaissent en outre le fait que l’organisation puisse récupérer ses propres erreurs tout comme le fait qu’elle évolue dans un environnement complexe évoluant sans cesse. Ainsi des approches systémiques ou interorganisationnelle (Fahlbruch and Wilpert, 2001; Hollnagel, 2006; Wilpert and Fahlbruch, 1998), proposent de nouvelles façons d’appréhender la sécurité. Ces approches tentent de dépasser les frontières structurelles de l’organisation en la modélisant sous la forme d’un système complexe ouvert, imbriqué dans un environnement en constante évolution qui exerce des contraintes sur elle : contraintes politiques, économiques, sociales, concurrence, pression de l’autorité de tutelle, etc. Ces contraintes peuvent être prévues, lentes, durables mais peuvent également constituer un choc soudain ou une agression surprise pour l’organisation sans que celleci n’ait vraiment les moyens de les contrôler ou de les contourner. Les agressions que l’organisation subit peuvent également provenir de son propre environnement interne : pression des salariés, mouvements de grève, jeux stratégiques des acteurs, etc. Alors que dans la perspective organisationnelle précédente, l’accent était mis sur la maîtrise de l’environnement organisationnel de travail de l’opérateur, l’enjeu est davantage ici celui de construire, entretenir, maintenir la capacité de l’organisation à faire face ou à anticiper toutes les évolutions et agressions potentielles de son environnement (interne et externe) afin qu’elle soit capable de continuer à fonctionner. L’approche se focalise ainsi sur les conditions de dégradation de la sécurité de l’organisation et sur les mécanismes d’adaptation, de résilience de l’organisation face aux chocs provenant de son environnement.