8 bannière

 

57. Audits, inspections et enquêtes

Éditeur de chapitre : Jorma Saari


Table des matières

Tableaux et figures

Audits de sécurité et audits de gestion
Johan Van de Kerckhove

Analyse des risques : le modèle de causalité des accidents
Jop Groeneweg

Risques matériels
Carsten D. Groenberg

Analyse des risques : facteurs organisationnels
Urban Kjellen

Inspection du lieu de travail et application de la réglementation
Antoine Linehan

Analyse et rapport : enquête sur les accidents
Michel Monteau

Déclaration et compilation de statistiques sur les accidents
Kirsten Jorgensen

Tables

Cliquez sur un lien ci-dessous pour afficher le tableau dans le contexte de l'article.

1. Strates dans la politique de qualité et de sécurité
2. Éléments d'audit de sécurité PAS
3. Évaluation des méthodes de contrôle du comportement
4. Types de défaillances générales et définitions
5. Concepts du phénomène accidentel
6. Variables caractérisant un accident

Figures

Pointez sur une vignette pour voir la légende de la figure, cliquez pour voir la figure dans le contexte de l'article.

 

DIS010F2 DIS010F1 DIS010T2 DIS020F1 DIS080F1 DIS080F2 DIS080F3 DIS080F4  DIS080F5DIS080F6 DIS080F7 DIS095F1  DIS095F1

 

Au cours des années 1990, les facteurs organisationnels de la politique de sécurité prennent de plus en plus d'importance. Dans le même temps, les points de vue des organisations concernant la sécurité ont radicalement changé. Les experts en sécurité, dont la plupart ont une formation technique, sont ainsi confrontés à une double tâche. D'une part, ils doivent apprendre à comprendre les aspects organisationnels et à les prendre en compte dans la construction des programmes de sécurité. D'autre part, il est important qu'ils soient conscients du fait que la vision des organisations s'éloigne de plus en plus du concept de machine et met clairement l'accent sur des facteurs moins tangibles et mesurables tels que la culture organisationnelle, la modification des comportements, la responsabilité -la mobilisation ou l'engagement. La première partie de cet article revient succinctement sur l'évolution des avis relatifs aux organisations, au management, à la qualité et à la sécurité. La deuxième partie de l'article définit les implications de ces évolutions pour les systèmes d'audit. Ceci est ensuite très brièvement replacé dans un contexte concret à l'aide de l'exemple d'un véritable système d'audit de sécurité basé sur les normes 9001 de l'Organisation internationale de normalisation (ISO).

Nouveaux avis concernant l'organisation et la sécurité

Changements dans les circonstances socio-économiques

La crise économique qui a commencé à frapper le monde occidental en 1973 a eu une influence significative sur la pensée et l'action dans le domaine de la gestion, de la qualité et de la sécurité au travail. Dans le passé, l'accent du développement économique était mis sur l'expansion du marché, l'augmentation des exportations et l'amélioration de la productivité. Cependant, l'accent s'est progressivement déplacé vers la réduction des pertes et l'amélioration de la qualité. Afin de fidéliser et d'acquérir des clients, une réponse plus directe a été apportée à leurs besoins et attentes. Il en résultait un besoin de plus grande différenciation des produits, avec pour conséquence directe une plus grande flexibilité au sein des organisations afin de pouvoir toujours répondre aux fluctuations du marché en « juste à temps ». L'accent a été mis sur l'engagement et la créativité des salariés comme avantage concurrentiel majeur dans la lutte concurrentielle économique. Outre l'amélioration de la qualité, la limitation des activités déficitaires est devenue un moyen important d'améliorer les résultats d'exploitation.

Les experts de la sécurité se sont inscrits dans cette stratégie en développant et en mettant en place des programmes de « total loss control ». Non seulement les coûts directs des accidents ou l'augmentation des primes d'assurance sont importants dans ces programmes, mais également tous les coûts et pertes inutiles directs ou indirects. Une étude de l'augmentation de la production en termes réels pour compenser ces pertes révèle immédiatement que la réduction des coûts est aujourd'hui souvent plus efficace et rentable que l'augmentation de la production.

Dans ce contexte d'amélioration de la productivité, il a été récemment fait référence aux bénéfices majeurs de la réduction de l'absentéisme pour cause de maladie et de la stimulation de la motivation des salariés. Dans le contexte de ces évolutions, la politique de sécurité prend de plus en plus clairement une forme nouvelle avec des accents différents. Dans le passé, la plupart des chefs d'entreprise considéraient la sécurité au travail comme une simple obligation légale, comme une charge qu'ils délégueraient rapidement à des spécialistes techniques. Aujourd'hui, la politique de sécurité est de plus en plus perçue comme un moyen d'atteindre les deux objectifs de réduction des pertes et d'optimisation de la politique de l'entreprise. La politique de sécurité évolue donc de plus en plus vers un baromètre fiable de la solidité de la réussite de l'entreprise par rapport à ces objectifs. Afin de mesurer les progrès, une attention accrue est portée aux audits de gestion et de sécurité.

Théorie organisationnelle 

Ce ne sont pas seulement les circonstances économiques qui ont donné aux chefs d'entreprise de nouvelles perspectives. Les nouvelles visions relatives au management, à la théorie organisationnelle, à la qualité totale des soins et, dans le même ordre d'idées, à la sécurité des soins, entraînent des changements importants. Un tournant important dans les conceptions de l'organisation a été élaboré dans l'ouvrage renommé publié par Peters et Waterman (1982), En quête d'excellence. Ce travail épousait déjà les idées que Pascale et Athos (1980) ont découvertes au Japon et décrites dans L'art du management japonais. Ce nouveau développement peut être symbolisé en un sens par le cadre « 7-S » de McKinsey (dans Peters et Waterman 1982). En plus des trois aspects traditionnels de la gestion (Stratégie, Structure et Systèmes), les entreprises mettent désormais également l'accent sur trois aspects supplémentaires (Personnel, Compétences et Style). Tous les six interagissent pour fournir les données d'entrée au 7e « S », objectifs supérieurs (figure 1). Avec cette approche, un accent très net est mis sur les aspects humains de l'organisation.

Figuer 1.Les valeurs, la mission et la culture organisationnelle d'une entreprise selon le cadre 7-S de McKinsey

 SAF020F1

Les changements fondamentaux peuvent être mieux démontrés sur la base du modèle présenté par Scott (1978), qui a également été utilisé par Peters et Waterman (1982). Ce modèle utilise deux approches :

  1. Les approches de système fermé nient l'influence des développements extérieurs à l'organisation. Avec les approches fermées mécanistes, les objectifs d'une organisation sont clairement définis et peuvent être déterminés de manière logique et rationnelle.
  2. Les approches de système ouvert tiennent pleinement compte des influences extérieures et les objectifs sont davantage le résultat de processus divers, dans lesquels des facteurs clairement irrationnels contribuent à la prise de décision. Ces approches organiquement ouvertes reflètent plus fidèlement l'évolution d'une organisation, qui n'est pas déterminée mathématiquement ou sur la base d'une logique déductive, mais se développe organiquement sur la base de personnes réelles, de leurs interactions et de leurs valeurs (figure 2).

 

Figure 2. Théories organisationnelles

SAF045F1

Quatre champs sont ainsi créés dans la figure 2 . Deux d'entre eux (le taylorisme et l'approche de la contingence) sont mécaniquement fermés, et les deux autres (les relations humaines et le développement organisationnel) sont organiquement ouverts. La théorie de la gestion a connu un énorme développement, passant du modèle traditionnel de la machine rationnelle et autoritaire (taylorisme) au modèle organique de gestion des ressources humaines (GRH) axé sur l'humain.

L'efficacité et l'efficience organisationnelles sont plus clairement liées à une gestion stratégique optimale, à une structure organisationnelle plate et à des systèmes de qualité solides. De plus, l'attention est désormais portée sur des objectifs supérieurs et des valeurs importantes qui ont un effet de liaison au sein de l'organisation, telles que les compétences (sur la base desquelles l'organisation se démarque de ses concurrents) et un personnel motivé à un maximum de créativité et de flexibilité par mettant l'accent sur l'engagement et la responsabilisation. Avec ces approches ouvertes, un audit de gestion ne peut se limiter à un certain nombre de caractéristiques formelles ou structurelles de l'organisation. L'audit doit également inclure une recherche de méthodes pour cartographier les aspects culturels moins tangibles et mesurables.

Du contrôle du produit à la gestion de la qualité totale

Dans les années 1950, la qualité se limitait à un contrôle post-factum du produit final, le contrôle total de la qualité (TQC). Dans les années 1970, en partie stimulée par l'OTAN et le géant automobile Ford, l'accent s'est déplacé vers la réalisation de l'objectif d'assurance qualité totale (TQA) au cours du processus de production. Ce n'est qu'au cours des années 1980 que, stimulé par les techniques japonaises, l'attention s'est portée sur la qualité du système de management total et la gestion de la qualité totale (TQM) est née. Ce changement fondamental du système de soins de qualité s'est produit de manière cumulative en ce sens que chaque étape précédente a été intégrée à la suivante. Il est également clair que si le contrôle des produits et l'inspection de la sécurité sont des facettes plus étroitement liées à un concept organisationnel tayloriste, l'assurance qualité est davantage associée à une approche socio-technique du système où le but n'est pas de trahir la confiance du client (externe). La TQM, enfin, relève d'une approche GRH par l'organisation car ce n'est plus seulement l'amélioration du produit qui est en cause, mais l'amélioration continue des aspects organisationnels dans laquelle une attention explicite est également portée aux salariés.

Dans l'approche de leadership de la qualité totale (TQL) de la Fondation européenne pour la gestion de la qualité (EFQM), l'accent est très fortement mis sur l'impact égal de l'organisation sur le client, les employés et la société dans son ensemble, avec l'environnement comme élément clé. point d'attention. Ces objectifs peuvent être atteints en incluant des concepts tels que « leadership » et « gestion des personnes ».

Il est clair qu'il existe également une différence d'accent très importante entre l'assurance qualité telle que décrite dans les normes ISO et l'approche TQL de l'EFQM. L'assurance qualité ISO est une forme étendue et améliorée d'inspection de la qualité, qui se concentre non seulement sur les produits et les clients internes, mais aussi sur l'efficacité des processus techniques. L'objectif de l'inspection est d'examiner la conformité avec les procédures définies dans l'ISO. TQM, quant à elle, s'efforce de répondre aux attentes de tous les clients internes et externes ainsi qu'à tous les processus au sein de l'organisation, y compris les plus doux et les plus humains. L'implication, l'engagement et la créativité des employés sont clairement des aspects importants de TQM.

De l'erreur humaine à la sécurité intégrée

La politique de sécurité a évolué de la même manière que les soins de qualité. L'attention s'est déplacée d'une analyse post-factum des accidents, mettant l'accent sur la prévention des blessures, vers une approche plus globale. La sécurité est davantage vue dans le contexte du « contrôle total des pertes » - une politique visant à éviter les pertes grâce à une gestion de la sécurité impliquant l'interaction des personnes, des processus, des matériaux, des équipements, des installations et de l'environnement. La sécurité se concentre donc sur la gestion des processus pouvant entraîner des pertes. Au cours de la période initiale de développement de la politique de sécurité, l'accent a été mis sur une l'erreur humaine approche. En conséquence, les salariés se voient confier une lourde responsabilité dans la prévention des accidents du travail. Suivant une philosophie tayloriste, des conditions et des procédures ont été établies et un système de contrôle a été mis en place pour maintenir les normes de comportement prescrites. Cette philosophie peut s'infiltrer dans la politique de sécurité moderne via les concepts ISO 9000, entraînant l'imposition d'une sorte de sentiment implicite et indirect de culpabilité aux employés, avec toutes les conséquences néfastes que cela entraîne pour la culture d'entreprise - par exemple, une tendance peut développer que la performance sera entravée plutôt qu'améliorée.

À un stade ultérieur de l'évolution de la politique de sécurité, il a été reconnu que les employés effectuent leur travail dans un environnement particulier avec des ressources de travail bien définies. Les accidents industriels ont été considérés comme un événement multicausal dans un système homme/machine/environnement dans lequel l'accent s'est déplacé dans un approche technico-système. On retrouve là encore l'analogie avec l'assurance qualité, où l'accent est mis sur la maîtrise des processus techniques par des moyens tels que la maîtrise statistique des processus.

Ce n'est que récemment, et en partie stimulé par la philosophie TQM, que l'accent mis sur les systèmes de politique de sécurité s'est déplacé vers une approche du système social, ce qui est une étape logique dans l'amélioration du système de prévention. Afin d'optimiser le système homme/machine/environnement, il ne suffit pas d'assurer la sécurité des machines et des outils au moyen d'une politique de prévention bien développée, mais il faut aussi un système de maintenance préventive et l'assurance de la sécurité entre tous les techniciens. processus. De plus, il est d'une importance cruciale que les employés soient suffisamment formés, compétents et motivés par rapport aux objectifs de santé et de sécurité. Dans la société d'aujourd'hui, ce dernier objectif ne peut plus être atteint par l'approche autoritaire taylorienne, car la rétroaction positive est beaucoup plus stimulante qu'un système de contrôle répressif qui n'a souvent que des effets négatifs. La gestion moderne implique une culture d'entreprise ouverte et motivante, dans laquelle il existe un engagement commun à atteindre les objectifs clés de l'entreprise dans une approche participative et basée sur l'équipe. Dans le approche culture sécurité, la sécurité fait partie intégrante des objectifs des organisations et donc une part essentielle de la tâche de chacun, depuis le top management jusqu'à toute la ligne hiérarchique jusqu'aux salariés de l'atelier.

Sécurité intégrée

Le concept de sécurité intégrée présente immédiatement un certain nombre de facteurs centraux dans un système de sécurité intégré, dont les plus importants peuvent être résumés comme suit :

Un engagement clairement visible du top management. Cet engagement n'est pas seulement écrit sur le papier, mais se traduit jusque dans l'atelier par des réalisations concrètes.

Implication active de la ligne hiérarchique et des services supports centraux. Le souci de la sécurité, de la santé et du bien-être fait non seulement partie intégrante de la tâche de chacun dans le processus de production, mais est également intégré dans la politique du personnel, dans la maintenance préventive, dans la phase de conception et dans la collaboration avec des tiers.

Pleine participation des employés. Les collaborateurs sont des interlocuteurs à part entière avec lesquels une communication ouverte et constructive est possible, leur contribution étant pleinement prise en compte. En effet, la participation est d'une importance cruciale pour mener à bien la politique d'entreprise et de sécurité de manière efficace et motivante.

Un profil adapté pour un expert en sécurité. L'expert en sécurité n'est plus le technicien ou le touche-à-tout, mais un conseiller qualifié de la direction générale, avec une attention particulière portée à l'optimisation des processus politiques et du système de sécurité. Il n'est donc pas quelqu'un qui n'a qu'une formation technique, mais aussi une personne qui, en bon organisateur, peut traiter les gens de façon inspirante et collaborer de façon synergique avec d'autres experts en prévention.

Une culture sécurité proactive. L'aspect clé d'une politique de sécurité intégrée est une culture de sécurité proactive, qui comprend, entre autres, les éléments suivants :

  • La sécurité, la santé et le bien-être sont les ingrédients clés du système de valeurs d'une organisation et des objectifs qu'elle cherche à atteindre.
  • Une atmosphère d'ouverture règne, basée sur la confiance et le respect mutuels.
  • Il existe un niveau élevé de coopération avec une circulation fluide des informations et un niveau de coordination approprié.
  • Une politique volontariste est mise en place avec un système dynamique d'amélioration continue en parfaite adéquation avec le concept de prévention.
  • La promotion de la sécurité, de la santé et du bien-être est un élément clé de toute prise de décision, consultation et travail d'équipe.
  • Lorsque des accidents industriels se produisent, des mesures préventives appropriées sont recherchées, pas un bouc émissaire.
  • Les membres du personnel sont encouragés à agir de leur propre initiative afin qu'ils disposent de la plus grande autorité, des connaissances et de l'expérience possibles leur permettant d'intervenir de manière appropriée dans des situations inattendues.
  • Des processus sont enclenchés en vue de favoriser au maximum la formation individuelle et collective.
  • Des discussions concernant des objectifs ambitieux et réalisables en matière de santé, de sécurité et de bien-être ont lieu régulièrement.

 

Audits de sécurité et de gestion

Description générale

Les audits de sécurité sont une forme d'analyse et d'évaluation des risques dans laquelle une enquête systématique est effectuée afin de déterminer dans quelle mesure les conditions sont réunies pour permettre le développement et la mise en œuvre d'une politique de sécurité efficace et efficiente. Chaque audit envisage donc simultanément les objectifs à atteindre et les meilleures circonstances organisationnelles pour les mettre en pratique.

Chaque système d'audit devrait, en principe, déterminer ce qui suit :

  • Qu'est-ce que la direction cherche à atteindre, par quels moyens et par quelle stratégie ?
  • Quelles sont les dispositions nécessaires en termes de ressources, de structures, de processus, de normes et de procédures qui sont nécessaires pour atteindre les objectifs proposés, et qu'est-ce qui a été fourni ? Quel programme minimum peut-on proposer ?
  • Quels sont les critères opérationnels et mesurables auxquels doivent répondre les éléments choisis pour permettre au système de fonctionner de manière optimale ?

 

Les informations sont ensuite analysées en profondeur pour examiner dans quelle mesure la situation actuelle et le degré de réalisation répondent aux critères souhaités, suivi d'un rapport avec des commentaires positifs qui soulignent les points forts, et des commentaires correctifs qui font référence aux aspects nécessitant une amélioration supplémentaire.

Audit et stratégies de changement

Chaque système d'audit contient explicitement ou implicitement une vision à la fois de la conception et de la conceptualisation d'une organisation idéale, et de la meilleure façon de mettre en œuvre les améliorations.

Bennis, Benne et Chin (1985) distinguent trois stratégies pour des changements planifiés, chacun reposant sur une vision différente des personnes et des moyens d'influer sur les comportements :

  • Stratégies de puissance reposent sur l'idée que le comportement des salariés peut être modifié par l'exercice de sanctions.
  • Stratégies rationnelles-empiriques reposent sur l'axiome selon lequel les gens font des choix rationnels en fonction de la maximisation de leurs propres avantages.
  • Stratégies normatives-rééducatives reposent sur la prémisse que les gens sont des êtres irrationnels et émotifs et que pour réaliser un véritable changement, une attention doit également être accordée à leur perception des valeurs, de la culture, des attitudes et des compétences sociales.

 

La stratégie d'influence la plus appropriée dans une situation spécifique dépend non seulement de la vision de départ, mais également de la situation réelle et de la culture organisationnelle existante. À cet égard, il est très important de savoir quel type de comportement influencer. Le célèbre modèle imaginé par le spécialiste danois du risque Rasmussen (1988) distingue les trois types de comportement suivants :

  • Actions courantes (comportement basé sur les compétences) suivent automatiquement le signal associé. De telles actions sont effectuées sans que l'on y prête consciemment attention - par exemple, taper au clavier ou changer de vitesse manuellement lors de la conduite.
  • Actions conformément aux instructions (basé sur des règles) nécessitent une attention plus consciente car aucune réponse automatique au signal n'est présente et un choix doit être fait entre différentes instructions et règles possibles. Ce sont souvent des actions qui peuvent être placées dans une séquence "sialors", comme dans "Si le compteur monte à 50, alors cette vanne doit être fermée".
  • Actions basées sur la connaissance et la perspicacité (basé sur la connaissance) sont effectuées après une interprétation et une évaluation conscientes des différents signaux du problème et des solutions alternatives possibles. Ces actions supposent donc un degré assez élevé de connaissance et d'appréhension du processus concerné, ainsi que la capacité d'interpréter des signaux inhabituels.

 

Strates dans le changement comportemental et culturel

Sur la base de ce qui précède, la plupart des systèmes d'audit (y compris ceux basés sur la série de normes ISO) s'écartent implicitement des stratégies de force de puissance ou des stratégies rationnelles-empiriques, en mettant l'accent sur le comportement routinier ou procédural. Cela signifie qu'une attention insuffisante est accordée dans ces systèmes d'audit aux «comportements fondés sur la connaissance» qui peuvent être influencés principalement par des stratégies normatives et rééducatives. Dans la typologie utilisée par Schein (1989), l'attention est portée uniquement sur les phénomènes de surface tangibles et conscients de la culture organisationnelle et non sur les strates profondes invisibles et subconscientes qui renvoient davantage à des valeurs et à des présupposés fondamentaux.

De nombreux systèmes d'audit se limitent à la question de savoir si une disposition ou une procédure particulière est présente. Il est donc implicitement supposé que l'existence même de cette disposition ou procédure est une garantie suffisante pour le bon fonctionnement du système. Outre l'existence de certaines mesures, il existe toujours différentes autres « strates » (ou niveaux de réponse probable) qui doivent être abordées dans un système d'audit pour fournir suffisamment d'informations et de garanties pour le fonctionnement optimal du système.

Plus concrètement, l'exemple suivant concerne la réponse à une urgence incendie :

  • Une disposition, une instruction ou une procédure donnée est présente (« sonner l'alarme et utiliser l'extincteur »).
  • Une instruction ou une procédure donnée est également familièrement connue des parties concernées (les travailleurs savent où se trouvent les alarmes et les extincteurs et comment les activer et les utiliser).
  • Les parties concernées connaissent également autant que possible le « pourquoi et le pourquoi » d'une mesure particulière (les employés ont été formés ou sensibilisés à l'utilisation des extincteurs et aux types d'incendies typiques).
  • L'employé est également motivé à appliquer les mesures nécessaires (se préserver, sauver l'emploi, etc.).
  • Il y a suffisamment de motivation, de compétence et de capacité pour agir dans des circonstances imprévues (les employés savent quoi faire en cas d'incendie qui devient incontrôlable, nécessitant une intervention professionnelle des pompiers).
  • Il y a de bonnes relations humaines et une atmosphère de communication ouverte (les superviseurs, les gestionnaires et les employés ont discuté et convenu des procédures d'intervention d'urgence en cas d'incendie).
  • Les processus créatifs spontanés trouvent leur origine dans une organisation apprenante (les changements de procédures sont mis en œuvre en fonction des « leçons apprises » dans des situations réelles d'incendie).

 

Tableau 1  énonce certaines strates de la politique de sécurité audio de qualité.

Tableau 1. Strates dans la politique de qualité et de sécurité

Stratégies

COMPORTEMENT

 

Compétences

Règles

Connaissances

Puissance-force

Approche de l'erreur humaine
Taylorisme TQC

   

Rationnel-empirique

 

Approche système technique
PAS TQA ISO 9000

 

Normatif-rééducatif

 

Approche du système social TQM

Démarche culture sécurité PAS EFQM

 

Le système d'audit Pelenberg

Le nom du blog Système d'audit Pelenberg (PAS) provient du lieu où les concepteurs se sont réunis à plusieurs reprises pour développer le système (le Château Maurissens à Pellenberg, un bâtiment de l'Université Catholique de Louvain). PAS est le résultat d'une intense collaboration d'une équipe interdisciplinaire d'experts avec des années d'expérience pratique, tant dans le domaine de la gestion de la qualité que dans le domaine des problèmes de sécurité et d'environnement, dans laquelle une variété d'approches et d'expériences ont été réunies. L'équipe a également reçu le soutien des départements scientifiques et de recherche universitaires et a ainsi bénéficié des connaissances les plus récentes dans les domaines de la gestion et de la culture organisationnelle.

Le PAS englobe tout un ensemble de critères qu'un système de prévention d'entreprise supérieur doit respecter (voir tableau 2). Ces critères sont classés conformément au système de normes ISO (assurance qualité dans la conception, le développement, la production, l'installation et l'entretien). Cependant, PAS n'est pas une simple traduction du système ISO en sécurité, santé et bien-être. Une nouvelle philosophie est développé, en partant du produit spécifique qui est atteint dans la politique de sécurité : des emplois significatifs et sûrs. Le contrat du système ISO est remplacé par les dispositions de la loi et par les attentes évolutives qui existent entre les acteurs du domaine social en matière de santé, de sécurité et de bien-être. La création d'emplois sûrs et valorisants est perçue comme un objectif essentiel de chaque organisation dans le cadre de sa responsabilité sociale. L'entreprise est le fournisseur et les clients sont les employés.

Tableau 2. Éléments d'audit de sécurité PAS

 

Éléments d'audit de sécurité PAS

Correspondance avec ISO 9001

1.

Responsabilité de la direction

 

1.1.

La politique de sécurité

4.1.1.

1.2.

Organisation

 

1.2.1.

responsabilité et autorité

4.1.2.1.

1.2.2.

Ressources et personnel de vérification

4.1.2.2.

1.2.3.

Service de santé et de sécurité

4.1.2.3.

1.3.

Examen du système de gestion de la sécurité

4.1.3.

2.

Système de gestion de la sécurité

4.2.

3.

Obligations

4.3.

4.

Contrôle de conception

 

4.1.

Général

4.4.1.

4.2.

Planification de la conception et du développement

4.4.2.

4.3.

Entrée de conception

4.4.3.

4.4.

Sortie de conception

4.4.4.

4.5.

Vérification de la conception

4.4.5.

4.6.

Changement de design

4.4.6.

5.

Contrôle des documents

 

5.1.

Approbation et émission des documents

4.5.1.

5.2.

Changements/modifications de documents

4.5.2.

6.

Achats et contractualisation

 

6.1.

Général

4.6.1.

6.2.

Évaluation des fournisseurs et sous-traitants

4.6.2.

6.3.

Données d'achat

4.6.3.

6.4.

Produits tiers

4.7.

7.

Identification

4.8.

8.

Contrôle de processus

 

8.1.

Général

4.9.1.

8.2.

Contrôle de la sécurité des processus

4.11.

9.

Inspection

 

9.1.

Inspection de réception et de pré-démarrage

4.10.1.
4.10.3.

9.2.

Inspections périodiques

4.10.2.

9.3.

Dossiers d'inspection

4.10.4.

9.4.

Matériel d'inspection

4.11.

9.5.

Statut d'inspection

4.12.

10.

Accidents et incidents

4.13.

11.

Action corrective et préventive

4.13.
4.14.

12.

Dossiers de sécurité

4.16.

13.

Audits internes de sécurité

4.17.

14.

Formation

4.18.

15.

Entretien

4.19.

16.

Techniques de statistique

4.20.

 

Plusieurs autres systèmes sont intégrés au système PAS :

  • Au niveau stratégique, les idées et les exigences de l'ISO revêtent une importance particulière. Dans la mesure du possible, ceux-ci sont complétés par la vision de la gestion telle qu'elle a été développée à l'origine par la Fondation européenne pour la gestion de la qualité.
  • Au niveau tactique, la systématique de « l'arbre de contrôle et des risques de la direction » incite à rechercher quelles sont les conditions nécessaires et suffisantes pour atteindre le résultat de sécurité souhaité.
  • Au niveau opérationnel une multitude de sources pourraient être exploitées, y compris la législation existante, la réglementation et d'autres critères tels que le système international d'évaluation de la sécurité (ISRS), dans lequel l'accent est mis sur certaines conditions concrètes qui devraient garantir le résultat de sécurité.

 

Le PAS fait constamment référence à la politique générale de l'entreprise dans laquelle s'inscrit la politique de sécurité. Après tout, une politique de sécurité optimale est à la fois le produit et le producteur d'une politique d'entreprise volontariste. Partant du principe qu'une entreprise sûre est à la fois une organisation efficace et efficiente et inversement, une attention particulière est donc portée à l'intégration de la politique de sécurité dans la politique globale. Les ingrédients essentiels d'une politique d'entreprise tournée vers l'avenir comprennent une forte culture d'entreprise, un engagement de grande envergure, la participation des employés, une attention particulière à la qualité du travail et un système dynamique d'amélioration continue. Bien que ces idées forment également en partie le contexte du PAS, elles ne sont pas toujours très faciles à concilier avec l'approche plus formelle et procédurale de la philosophie ISO.

Les procédures formelles et les résultats directement identifiables sont incontestablement importants dans la politique de sécurité. Cependant, il ne suffit pas de fonder le système de sécurité sur cette seule approche. Les résultats futurs d'une politique de sécurité dépendent de la politique actuelle, des efforts systématiques, de la recherche constante d'améliorations, et surtout de l'optimisation fondamentale des processus qui garantissent des résultats durables. Cette vision est intégrée dans le système PAS, avec un fort accent entre autres sur une amélioration systématique de la culture de sécurité.

L'un des principaux avantages du PAS est la possibilité de synergie. En s'éloignant de la systématique de l'ISO, les diverses lignes d'approche deviennent immédiatement reconnaissables pour tous ceux qui sont concernés par la gestion de la qualité totale. Il existe clairement plusieurs opportunités de synergie entre ces différents domaines politiques car dans tous ces domaines l'amélioration des processus de gestion est l'aspect clé. Une politique d'achat prudente, un bon système d'entretien préventif, un bon entretien, une gestion participative et la stimulation d'une approche entreprenante par les employés sont d'une importance primordiale pour tous ces domaines politiques.

Les différents systèmes de soins sont organisés de manière analogue, sur la base de principes tels que l'engagement du top management, l'implication de la ligne hiérarchique, la participation active des salariés, et une contribution valorisée des experts spécifiques. Les différents systèmes contiennent également des instruments politiques analogues tels que la déclaration de politique générale, les plans d'action annuels, les systèmes de mesure et de contrôle, les audits internes et externes, etc. Le système PAS invite donc clairement à poursuivre une coopération efficace, économique et synergique entre tous ces systèmes de soins.

Le PAS n'offre pas la voie la plus facile vers la réalisation à court terme. Peu de chefs d'entreprise se laissent séduire par un système qui promet de gros bénéfices à court terme avec peu d'efforts. Toute bonne politique nécessite une approche approfondie, en jetant des bases solides pour la politique future. Plus importante que les résultats à court terme est la garantie de la mise en place d'un système qui générera des résultats durables à l'avenir, non seulement dans le domaine de la sécurité, mais aussi au niveau d'une politique d'entreprise généralement efficace et efficiente. A cet égard, travailler pour la santé, la sécurité et le bien-être signifie également travailler pour des emplois sûrs et valorisants, des collaborateurs motivés, des clients satisfaits et un résultat d'exploitation optimal. Le tout dans une ambiance dynamique et pro-active.

Résumé

Amélioration continue est une condition préalable essentielle pour tout système d'audit de sécurité qui cherche à obtenir un succès durable dans la société actuelle en rapide évolution. La meilleure garantie d'un système dynamique d'amélioration continue et d'une flexibilité constante est l'engagement total d'employés compétents qui évoluent avec l'ensemble de l'organisation parce que leurs efforts sont systématiquement valorisés et parce qu'ils ont la possibilité de développer et d'actualiser régulièrement leurs compétences. Dans le processus d'audit de sécurité, la meilleure garantie de résultats durables est le développement d'une organisation apprenante dans laquelle les employés et l'organisation continuent d'apprendre et d'évoluer.

 

Retour

Cet article examine le rôle des facteurs humains dans le processus de causalité des accidents et passe en revue les diverses mesures préventives (et leur efficacité) par lesquelles l'erreur humaine peut être contrôlée, et leur application au modèle de causalité des accidents. L'erreur humaine est une cause contributive importante dans au moins 90% de tous les accidents industriels. Alors que des erreurs purement techniques et des circonstances physiques incontrôlables peuvent également contribuer à la causalité des accidents, l'erreur humaine est la principale source d'échec. La sophistication et la fiabilité accrues des machines signifient que la proportion des causes d'accidents attribuées à l'erreur humaine augmente à mesure que le nombre absolu d'accidents diminue. L'erreur humaine est également la cause de bon nombre de ces incidents qui, bien qu'ils n'entraînent pas de blessures ou de décès, entraînent néanmoins des dommages économiques considérables pour une entreprise. A ce titre, il représente une cible majeure de prévention, et il prendra de plus en plus d'importance. Pour des systèmes de gestion de la sécurité et des programmes d'identification des risques efficaces, il est important de pouvoir identifier efficacement la composante humaine grâce à l'utilisation d'une analyse générale des types de défaillance.

La nature de l'erreur humaine

L'erreur humaine peut être considérée comme l'incapacité d'atteindre un objectif de la manière prévue, que ce soit d'un point de vue local ou plus large, en raison d'un comportement involontaire ou intentionnel. Ces actions planifiées peuvent ne pas atteindre les résultats souhaités pour les quatre raisons suivantes :

1. Comportement involontaire :

    • Les actions ne se sont pas déroulées comme prévu (glissades).
    • L'action n'a pas été exécutée (déchéance).

     

    2. Comportement intentionnel :

      • Le plan lui-même était inadéquat (erreurs).
      • Il y a eu des écarts par rapport au plan initial (violations).

       

      Les déviations peuvent être divisées en trois classes : les erreurs basées sur les compétences, les règles et les connaissances.

        1. Au niveau des compétences, le comportement est guidé par des schémas d'action préprogrammés. Les tâches sont routinières et continues, et la rétroaction fait généralement défaut.
        2. Au niveau basé sur des règles, le comportement est guidé par des règles générales. Ils sont simples et peuvent être appliqués plusieurs fois dans des situations spécifiques. Les tâches consistent en des séquences d'actions relativement fréquentes qui commencent après qu'un choix ait été fait parmi des règles ou des procédures. L'utilisateur a le choix : les règles ne sont pas activées automatiquement, mais sont activement choisies.
        3. Le comportement basé sur la connaissance se manifeste dans des situations complètement nouvelles où aucune règle n'est disponible et où une réflexion créative et analytique est requise.

             

            Dans certaines situations, le terme limite humaine serait plus approprié que l'erreur humaine. Il y a aussi des limites à la capacité de prévoir le comportement futur des systèmes complexes (Gleick 1987 ; Casti 1990).

            Le modèle de Reason et Embrey, le système générique de modélisation des erreurs (GEMS) (Reason 1990), prend en compte les mécanismes de correction des erreurs aux niveaux des compétences, des règles et des connaissances. Une hypothèse de base de GEMS est que le comportement au jour le jour implique un comportement de routine. Le comportement de routine est vérifié régulièrement, mais entre ces boucles de rétroaction, le comportement est complètement automatique. Étant donné que le comportement est basé sur les compétences, les erreurs sont des glissades. Lorsque les commentaires montrent un écart par rapport à l'objectif souhaité, une correction basée sur des règles est appliquée. Le problème est diagnostiqué sur la base des symptômes disponibles et une règle de correction est automatiquement appliquée lorsque la situation est diagnostiquée. Lorsque la mauvaise règle est appliquée, il y a erreur.

            Lorsque la situation est totalement inconnue, des règles basées sur la connaissance sont appliquées. Les symptômes sont examinés à la lumière des connaissances sur le système et ses composants. Cette analyse peut conduire à une solution possible dont la mise en œuvre constitue un cas de comportement basé sur la connaissance. (Il est également possible que le problème ne puisse pas être résolu d'une manière donnée et que d'autres règles basées sur la connaissance doivent être appliquées.) Toutes les erreurs à ce niveau sont des erreurs. Des violations sont commises lorsqu'une certaine règle est appliquée et que l'on sait qu'elle est inappropriée : la pensée du travailleur peut être que l'application d'une règle alternative prendra moins de temps ou est peut-être plus adaptée à la situation actuelle, probablement exceptionnelle. La classe de violations la plus malveillante implique le sabotage, un sujet qui n'entre pas dans le cadre de cet article. Lorsque les organisations tentent d'éliminer l'erreur humaine, elles doivent tenir compte du fait que les erreurs se situent au niveau des compétences, des règles ou des connaissances, car chaque niveau nécessite ses propres techniques (Groeneweg 1996).

            Influencer le comportement humain : un aperçu

            Un commentaire souvent fait à propos d'un accident particulier est : « Peut-être que la personne ne s'en est pas rendu compte à ce moment-là, mais si elle n'avait pas agi d'une certaine manière, l'accident ne se serait pas produit. Une grande partie de la prévention des accidents vise à influencer la partie cruciale du comportement humain à laquelle fait allusion cette remarque. Dans de nombreux systèmes de gestion de la sécurité, les solutions et les politiques proposées visent à influencer directement le comportement humain. Cependant, il est très rare que les organisations évaluent l'efficacité réelle de ces méthodes. Les psychologues ont beaucoup réfléchi à la meilleure façon d'influencer le comportement humain. À cet égard, les six façons suivantes d'exercer un contrôle sur l'erreur humaine seront présentées et une évaluation sera effectuée de l'efficacité relative de ces méthodes dans le contrôle du comportement humain à long terme (Wagenaar 1992). (Voir tableau 1.)

            Tableau 1. Six moyens d'induire un comportement sûr et évaluation de leur rapport coût-efficacité

            No.

            Façon d'influencer

            Prix

            Effet à long terme

            Évaluation

            1

            N'incitez pas à un comportement sécuritaire,
            mais rendre le système « infaillible ».

            Haute

            Faible

            Mauvais

            2

            Dites aux personnes concernées quoi faire.

            Faible

            Faible

            Moyenne

            3

            Récompenser et punir.

            Moyenne

            Moyenne

            Moyenne

            4

            Augmenter la motivation et la sensibilisation.

            Moyenne

            Faible

            Mauvais

            5

            Sélectionner du personnel formé.

            Haute

            Moyenne

            Moyenne

            6

            Changez l'environnement.

            Haute

            Haute

            Bon

             

            N'essayez pas d'induire un comportement sûr, mais rendez le système "infaillible"

            La première option est de ne rien faire pour influencer le comportement des gens, mais de concevoir le lieu de travail de telle manière que quoi que fasse l'employé, cela n'entraînera aucun résultat indésirable. Force est de constater que grâce à l'influence de la robotique et de l'ergonomie, les concepteurs ont considérablement amélioré la convivialité des équipements de travail. Cependant, il est presque impossible d'anticiper tous les différents types de comportement que les gens peuvent manifester. En outre, les travailleurs considèrent souvent les conceptions dites infaillibles comme un défi pour « battre le système ». Enfin, comme les concepteurs sont eux-mêmes des êtres humains, même un équipement conçu avec le plus grand soin peut présenter des défauts (par exemple, Petroski 1992). L'avantage supplémentaire de cette approche par rapport aux niveaux de danger existants est marginal et, dans tous les cas, les coûts initiaux de conception et d'installation peuvent augmenter de façon exponentielle.

            Dire aux personnes concernées quoi faire

            Une autre option consiste à instruire tous les travailleurs sur chaque activité afin de placer leur comportement entièrement sous le contrôle de la direction. Cela nécessitera un inventaire des tâches et un système de contrôle des instructions étendus et peu pratiques. Comme tous les comportements sont désautomatisés, cela éliminera dans une large mesure les dérapages et les défaillances jusqu'à ce que les instructions fassent partie de la routine et que l'effet s'estompe.

            Cela n'aide pas beaucoup de dire aux gens que ce qu'ils font est dangereux - la plupart des gens le savent très bien - parce qu'ils feront leurs propres choix concernant le risque, quelles que soient les tentatives pour les persuader du contraire. Leur motivation à le faire sera de faciliter leur travail, de gagner du temps, de défier l'autorité et peut-être d'améliorer leurs propres perspectives de carrière ou de réclamer une récompense financière. La formation des personnes est relativement bon marché et la plupart des organisations organisent des sessions de formation avant le début d'un travail. Mais au-delà d'un tel système d'instruction, l'efficacité de cette approche est jugée faible.

            Récompenser et punir

            Bien que les programmes de récompenses et de punitions soient des moyens puissants et très populaires pour contrôler le comportement humain, ils ne sont pas sans problèmes. La récompense ne fonctionne mieux que si le destinataire perçoit la récompense comme ayant de la valeur au moment de la réception. Punir un comportement qui échappe au contrôle d'un employé (un lapsus) ne sera pas efficace. Par exemple, il est plus rentable d'améliorer la sécurité routière en modifiant les conditions sous-jacentes au comportement routier que par des campagnes publiques ou des programmes de sanctions et de récompenses. Même une augmentation des chances d'être « attrapé » ne changera pas nécessairement le comportement d'une personne, car les occasions de violer une règle sont toujours là, tout comme le défi d'une violation réussie. Si les situations dans lesquelles les gens travaillent invitent à ce type de violation, les gens choisiront automatiquement le comportement indésirable, quelle que soit la manière dont ils sont punis ou récompensés. L'efficacité de cette approche est jugée de qualité moyenne, car elle est généralement d'efficacité à court terme.

            Augmenter la motivation et la sensibilisation

            Parfois, on croit que les gens causent des accidents parce qu'ils manquent de motivation ou qu'ils ne sont pas conscients du danger. Cette hypothèse est fausse, comme l'ont montré des études (par exemple, Wagenaar et Groeneweg 1987). De plus, même si les travailleurs sont capables de bien juger du danger, ils n'agissent pas nécessairement en conséquence (Kruysse 1993). Les accidents arrivent même aux personnes les plus motivées et les plus sensibilisées à la sécurité. Il existe des méthodes efficaces pour améliorer la motivation et la prise de conscience qui sont discutées ci-dessous sous « Changer l'environnement ». Cette option est délicate : contrairement à la difficulté de motiver davantage les gens, il est presque trop facile de démotiver les employés dans la mesure où même le sabotage est envisagé.

            Les effets des programmes d'amélioration de la motivation ne sont positifs que lorsqu'ils sont associés à des techniques de modification du comportement telles que la participation des employés.

            Sélectionner du personnel formé

            La première réaction à un accident est souvent que les personnes impliquées doivent avoir été incompétentes. Avec le recul, les scénarios d'accidents apparaissent simples et facilement évitables à une personne suffisamment intelligente et correctement formée, mais cette apparence est trompeuse : en réalité, les employés impliqués ne pouvaient pas prévoir l'accident. Par conséquent, une meilleure formation et une meilleure sélection n'auront pas l'effet souhaitable. Un niveau de formation de base est cependant une condition préalable à la sécurité des opérations. La tendance dans certaines industries à remplacer le personnel expérimenté par des personnes inexpérimentées et insuffisamment formées doit être découragée, car des situations de plus en plus complexes nécessitent une réflexion fondée sur des règles et des connaissances qui nécessite un niveau d'expérience que ce personnel à moindre coût ne possède souvent pas.

            Un effet secondaire négatif d'instruire très bien les gens et de ne sélectionner que les personnes les mieux classées est que le comportement peut devenir automatique et que des dérapages se produisent. La sélection est chère, alors que l'effet n'est pas plus que moyen.

            Changer d'environnement

            La plupart des comportements surviennent en réaction à des facteurs de l'environnement de travail : horaires de travail, plans et attentes et exigences de la direction. Un changement dans l'environnement entraîne un comportement différent. Avant de pouvoir modifier efficacement l'environnement de travail, plusieurs problèmes doivent être résolus. Tout d'abord, les facteurs environnementaux qui causent le comportement indésirable doivent être identifiés. Deuxièmement, ces facteurs doivent être contrôlés. Troisièmement, la direction doit autoriser la discussion sur son rôle dans la création d'un environnement de travail défavorable.

            Il est plus pratique d'influencer le comportement en créant un environnement de travail approprié. Les problèmes qui doivent être résolus avant que cette solution puisse être mise en pratique sont (1) qu'il faut savoir quels facteurs environnementaux provoquent le comportement indésirable, (2) que ces facteurs doivent être contrôlés et (3) que les décisions de gestion antérieures doivent être considéré (Wagenaar 1992; Groeneweg 1996). Toutes ces conditions peuvent en effet être remplies, comme on le verra dans la suite de cet article. L'efficacité de la modification du comportement peut être élevée, même si un changement d'environnement peut être assez coûteux.

            Le modèle de causalité des accidents

            Afin de mieux comprendre les parties contrôlables du processus de causalité des accidents, il est nécessaire de comprendre les boucles de rétroaction possibles dans un système d'information sur la sécurité. La figure 1 présente la structure complète d'un système d'information sur la sécurité qui peut constituer la base du contrôle managérial de l'erreur humaine. Il s'agit d'une version adaptée du système présenté par Reason et al. (1989).

            Figure 1. Un système d'information sur la sécurité 

            SAF050F1

            Investigation d'accident

            Lorsque des accidents font l'objet d'une enquête, des rapports substantiels sont produits et les décideurs reçoivent des informations sur la composante d'erreur humaine de l'accident. Heureusement, cela devient de plus en plus obsolète dans de nombreuses entreprises. Il est plus efficace d'analyser les « perturbations opérationnelles » qui précèdent les accidents et incidents. Si un accident est décrit comme une perturbation opérationnelle suivie de ses conséquences, alors glisser de la route est une perturbation opérationnelle et être tué parce que le conducteur n'a pas porté sa ceinture de sécurité est un accident. Des barrières peuvent avoir été placées entre la perturbation opérationnelle et l'accident, mais elles ont échoué ou ont été franchies ou contournées.

            Audit des actes dangereux

            Un acte fautif commis par un salarié est appelé dans cet article un « acte anormal » et non un « acte dangereux » : la notion de « dangereux » semble limiter l'applicabilité du terme à la sécurité, alors qu'elle peut aussi s'appliquer, par exemple, aux problèmes environnementaux. Des actes non conformes aux normes sont parfois enregistrés, mais des informations détaillées sur les dérapages, les erreurs et les violations commis et sur les raisons pour lesquelles ils ont été commis ne sont presque jamais transmises aux niveaux supérieurs de gestion.

            Enquêter sur l'état d'esprit de l'employé

            Avant qu'un acte indigne ne soit commis, la personne impliquée était dans un certain état d'esprit. Si ces précurseurs psychologiques, comme être dans un état de hâte ou se sentir triste, pouvaient être contrôlés de manière adéquate, les gens ne se retrouveraient pas dans un état d'esprit dans lequel ils commettraient un acte non conforme aux normes. Étant donné que ces états d'esprit ne peuvent pas être contrôlés efficacement, ces précurseurs sont considérés comme des matériaux « boîte noire » (figure 1).

            Types de pannes générales

            La case GFT (General Failure Type) de la figure 1 représente les mécanismes générateurs d'un accident, c'est-à-dire les causes des actes et situations anormaux. Parce que ces actes inadmissibles ne peuvent pas être contrôlés directement, il est nécessaire de changer l'environnement de travail. L'environnement de travail est déterminé par 11 de ces mécanismes (tableau 2). (Aux Pays-Bas, l'abréviation GFT existe déjà dans un contexte complètement différent et concerne l'élimination écologiquement rationnelle des déchets, et pour éviter toute confusion, un autre terme est utilisé : facteurs de risque de base (BRF) (Roggeveen 1994).)

            Tableau 2. Types de défaillance généraux et leurs définitions

            Défaillances générales

            Définitions

            1. Conception (DE)

            Défaillances dues à une mauvaise conception de l'ensemble de l'usine ainsi qu'à des
            éléments d'équipement

            2. Matériel (HW)

            Défaillances dues au mauvais état ou à l'indisponibilité des équipements et outillages

            3. Procédures (RP)

            Les défaillances dues à la mauvaise qualité des modes opératoires avec
            en ce qui concerne l'utilité, la disponibilité et l'exhaustivité

            4. Application des erreurs
            conditions (CE)

            Les défaillances dues à la mauvaise qualité de l'environnement de travail, avec
            respect des circonstances qui augmentent la probabilité d'erreurs

            5. Entretien ménager (HK)

            Les pannes dues à un mauvais entretien

            6. Formation (TR)

            Échecs dus à une formation inadéquate ou à une expérience insuffisante

            7. Objectifs incompatibles (IG)

            Les défaillances dues à la mauvaise sécurité et au bien-être interne sont
            défendu contre une variété d'autres objectifs comme la pression du temps
            et un budget limité

            8. Communication (OC)

            Échecs dus à une mauvaise qualité ou à l'absence de lignes de communication
            entre les différentes divisions, départements ou employés

            9. Organisation (OU)

            Échecs dus à la manière dont le projet est géré
            et la société est exploitée

            10. Entretien
            gestion (MM)

            Défaillances dues à la mauvaise qualité des procédures de maintenance
            concernant la qualité, l'utilité, la disponibilité et l'exhaustivité

            11. Défenses (DF)

            Défaillances dues à la mauvaise qualité de la protection contre les
            situations

             

            La case GFT est précédée d'une case « décideur », car ces personnes déterminent en grande partie la bonne gestion d'une GFT. Il incombe à la direction de contrôler l'environnement de travail en gérant les 11 GFT, contrôlant ainsi indirectement l'apparition d'erreurs humaines.

            Tous ces GFT peuvent contribuer aux accidents de manière subtile en permettant des combinaisons indésirables de situations et d'actions, en augmentant le risque que certaines personnes commettent des actes anormaux et en ne fournissant pas les moyens d'interrompre des séquences accidentelles déjà en cours.

            Deux GFT nécessitent des explications supplémentaires : la gestion de la maintenance et les défenses.

            Gestion de la maintenance (MM)

            La gestion de la maintenance étant une combinaison de facteurs que l'on retrouve dans d'autres GFT, il ne s'agit pas à proprement parler d'une GFT distincte : ce type de gestion n'est pas fondamentalement différent des autres fonctions de gestion. Il peut être traité comme une question distincte parce que la maintenance joue un rôle important dans de nombreux scénarios d'accident et parce que la plupart des organisations ont une fonction de maintenance distincte.

            Défenses (DF)

            La catégorie des défenses n'est pas non plus une véritable GFT, car elle n'est pas liée au processus de causalité de l'accident lui-même. Ce GFT est lié à ce qui se passe après une perturbation opérationnelle. Il ne génère pas d'états d'esprit psychologiques ni d'actes inférieurs aux normes par lui-même. C'est une réaction qui fait suite à une défaillance due à l'action d'un ou plusieurs GFT. S'il est vrai qu'un système de gestion de la sécurité devrait se concentrer sur les parties contrôlables de la chaîne de causalité des accidents avant ne le comptant pas après l'incident indésirable, néanmoins la notion de défenses peut être utilisée pour décrire l'efficacité perçue des barrières de sécurité après qu'une perturbation s'est produite et pour montrer comment elles n'ont pas réussi à prévenir l'accident réel.

            Les managers ont besoin d'une structure qui leur permette de relier les problèmes identifiés aux actions préventives. Des mesures prises au niveau des barrières de sécurité ou des actes dérogatoires sont encore nécessaires, bien que ces mesures ne puissent jamais être complètement couronnées de succès. Faire confiance aux obstacles de « dernière ligne », c'est faire confiance à des facteurs qui échappent dans une large mesure au contrôle de la direction. La direction ne doit pas tenter de gérer de tels périphériques externes incontrôlables, mais doit plutôt essayer de rendre leurs organisations intrinsèquement plus sûres à tous les niveaux.

            Mesurer le niveau de contrôle sur l'erreur humaine

            S'assurer de la présence des GFT dans une organisation permettra aux enquêteurs d'accidents d'identifier les points faibles et les points forts de l'organisation. Compte tenu de ces connaissances, on peut analyser les accidents et éliminer ou atténuer leurs causes et identifier les faiblesses structurelles au sein d'une entreprise et les corriger avant qu'elles ne contribuent en fait à un accident.

            Investigation d'accident

            La tâche d'un analyste d'accident est d'identifier les facteurs contributifs et de les catégoriser. Le nombre de fois qu'un facteur contributif est identifié et catégorisé en termes de GFT indique dans quelle mesure ce GFT est présent. Cela se fait souvent au moyen d'une liste de contrôle ou d'un programme d'analyse informatique.

            Il est possible et souhaitable de combiner des profils de types d'accidents différents mais similaires. Les conclusions fondées sur une accumulation d'enquêtes sur les accidents dans un laps de temps relativement court sont beaucoup plus fiables que celles tirées d'une étude dans laquelle le profil d'accident est fondé sur un seul événement. Un exemple d'un tel profil combiné est présenté à la figure 2, qui montre des données relatives à quatre occurrences d'un type d'accident.

            Figure 2. Profil d'un type d'accident

            SAF050F2

            Certains des GFT - conception, procédures et objectifs incompatibles - obtiennent constamment des scores élevés dans les quatre accidents particuliers. Cela signifie que dans chaque accident, des facteurs liés à ces GFT ont été identifiés. En ce qui concerne le profil de l'accident 1, la conception pose problème. L'entretien ménager, bien qu'un problème majeur dans l'accident 1, n'est qu'un problème mineur si plus que le premier accident est analysé. Il est suggéré qu'une dizaine de types d'accidents similaires soient investigués et regroupés dans un profil avant que des mesures correctives d'envergure et éventuellement coûteuses ne soient prises. De cette façon, l'identification des facteurs contributifs et la catégorisation ultérieure de ces facteurs peuvent être effectuées de manière très fiable (Van der Schrier, Groeneweg et van Amerongen 1994).

             

            Identifier les GFT au sein d'une organisation de manière proactive

            Il est possible de quantifier la présence de GFT de manière proactive, indépendamment de la survenance d'accidents ou d'incidents. Cela se fait en recherchant des indicateurs de la présence de ce GFT. L'indicateur utilisé à cette fin est la réponse à une simple question oui ou non. Si la réponse n'est pas souhaitée, cela indique que quelque chose ne fonctionne pas correctement. Un exemple de question indicatrice est : "Au cours des trois derniers mois, êtes-vous allé à une réunion qui s'est avérée annulée ?" Si l'employé répond à la question par l'affirmative, cela ne signifie pas nécessairement un danger, mais cela indique une déficience dans l'un des GFT, la communication. Cependant, si suffisamment de questions qui testent un GFT donné reçoivent une réponse d'une manière qui indique une tendance indésirable, cela signale à la direction qu'elle n'a pas un contrôle suffisant sur ce GFT.

            Pour construire un profil de sécurité du système (SSP), il faut répondre à 20 questions pour chacun des 11 GFT. Chaque GFT se voit attribuer un score allant de 0 (faible niveau de contrôle) à 100 (niveau élevé de contrôle). Le score est calculé par rapport à la moyenne de l'industrie dans une certaine zone géographique. Un exemple de cette procédure de notation est présenté dans l'encadré. 

            Les indicateurs sont tirés pseudo-aléatoirement d'une base de données de quelques centaines de questions. Aucune des deux listes de contrôle suivantes n'a de questions en commun, et les questions sont rédigées de manière à couvrir chaque aspect de la GFT. Un matériel défaillant peut, par exemple, résulter soit d'un équipement absent, soit d'un équipement défectueux. Les deux aspects doivent être couverts dans la liste de contrôle. Les distributions de réponses de toutes les questions sont connues et les listes de contrôle sont équilibrées pour une difficulté égale.

            Il est possible de comparer les scores obtenus avec différentes listes de contrôle, ainsi que ceux obtenus pour différentes organisations ou départements ou les mêmes unités sur une période de temps. Des tests de validation approfondis ont été effectués pour s'assurer que toutes les questions de la base de données sont valides et qu'elles sont toutes indicatives du GFT à mesurer. Des scores plus élevés indiquent un niveau de contrôle plus élevé - c'est-à-dire que plus de questions ont été répondues de la manière « souhaitée ». Un score de 70 indique que cette organisation est classée parmi les 30 meilleures (c'est-à-dire 100 moins 70) d'organisations comparables dans ce type d'industrie. Bien qu'un score de 100 ne signifie pas nécessairement que cette organisation a un contrôle total sur un GFT, cela signifie qu'en ce qui concerne ce GFT, l'organisation est la meilleure de l'industrie.

            Un exemple de SSP est illustré à la figure 3. Les points faibles de l'organisation 1, illustrés par les barres du graphique, sont les procédures, les objectifs incompatibles et les conditions d'application des erreurs, car ils obtiennent un score inférieur à la moyenne de l'industrie, comme l'indique le noir. zone grise. Les notes sur l'entretien ménager, le matériel et les défenses sont très bonnes dans l'organisation 1. En surface, cette organisation bien équipée et bien rangée avec tous les dispositifs de sécurité en place semble être un lieu de travail sûr. L'organisation 2 obtient un score exactement à la moyenne de l'industrie. Il n'y a pas de lacunes majeures, et bien que les scores sur le matériel, l'entretien ménager et les défenses soient inférieurs, cette entreprise gère (en moyenne) la composante d'erreur humaine dans les accidents mieux que l'organisation 1. Selon le modèle de causalité des accidents, l'organisation 2 est plus sûre que Organisation 1, bien que cela ne ressorte pas nécessairement en comparant les organisations dans les audits "traditionnels".

            Figure 3. Exemple de profil de sécurité du système

            SAF050F3

            Si ces organisations devaient décider où allouer leurs ressources limitées, les quatre domaines avec des GFT inférieurs à la moyenne auraient la priorité. Cependant, on ne peut pas conclure que, puisque les autres scores GFT sont si favorables, des ressources peuvent être retirées en toute sécurité de leur entretien, puisque ce sont ces ressources qui les ont très probablement maintenues à un niveau aussi élevé en premier lieu.

             

             

             

             

             

             

             

             

            Conclusions

            Cet article a abordé le sujet de l'erreur humaine et de la prévention des accidents. L'aperçu de la littérature concernant le contrôle de la composante d'erreur humaine dans les accidents a fourni un ensemble de six façons par lesquelles on peut essayer d'influencer le comportement. Une seule, restructurer l'environnement ou modifier les comportements afin de réduire le nombre de situations dans lesquelles les personnes sont susceptibles de commettre une erreur, a un effet raisonnablement favorable dans une organisation industrielle bien développée où de nombreuses autres tentatives ont déjà été faites. Il faudra du courage de la part de la direction pour reconnaître que ces situations défavorables existent et mobiliser les ressources nécessaires pour opérer un changement dans l'entreprise. Les cinq autres options ne représentent pas des alternatives utiles, car elles auront peu ou pas d'effet et seront assez coûteuses.

            « Maîtriser le contrôlable » est le principe clé qui sous-tend l'approche présentée dans cet article. Les GFT doivent être découverts, attaqués et éliminés. Les 11 GFT sont des mécanismes qui se sont avérés faire partie du processus de causalité des accidents. Dix d'entre eux visent à prévenir les perturbations de fonctionnement et un (les défenses) vise à empêcher que la perturbation de fonctionnement ne se transforme en accident. L'élimination de l'impact des GFT a une incidence directe sur la réduction des causes contributives d'accidents. Les questions des check-lists visent à mesurer « l'état de santé » d'un GFT donné, tant d'un point de vue général que sécuritaire. La sécurité est considérée comme faisant partie intégrante des opérations normales : faire le travail comme il se doit. Ce point de vue est conforme aux récentes approches de gestion « axées sur la qualité ». La disponibilité des politiques, procédures et outils de gestion n'est pas la préoccupation première de la gestion de la sécurité : la question est plutôt de savoir si ces méthodes sont effectivement utilisées, comprises et respectées.

            L'approche décrite dans cet article se concentre sur les facteurs systémiques et la manière dont les décisions de gestion peuvent se traduire par des conditions dangereuses sur le lieu de travail, contrairement à la croyance conventionnelle selon laquelle l'attention devrait être dirigée vers les travailleurs individuels qui accomplissent des actes dangereux, leurs attitudes, motivations et perceptions du risque.


            Une indication du niveau de contrôle de votre organisation sur la « communication » GFT

            Dans cet encadré, une liste de 20 questions est présentée. Les questions de cette liste ont été répondues par les employés de plus de 250 organisations en Europe occidentale. Ces organisations opéraient dans différents domaines, allant des entreprises chimiques aux raffineries et aux entreprises de construction. Normalement, ces questions seraient faites sur mesure pour chaque branche. Cette liste sert d'exemple uniquement pour montrer comment l'outil fonctionne pour l'un des GFT. Seules ont été sélectionnées les questions qui se sont avérées si « générales » qu'elles sont applicables dans au moins 80 % des industries.

            Dans la « vraie vie », les employés n'auraient pas seulement à répondre aux questions (de manière anonyme), ils devraient également motiver leurs réponses. Il ne suffit pas de répondre « Oui » sur, par exemple, l'indicateur « Avez-vous dû travailler au cours des 4 dernières semaines avec une procédure obsolète ? L'employé devra indiquer de quelle procédure il s'agit et dans quelles conditions elle doit être appliquée. Cette motivation sert deux objectifs : elle augmente la fiabilité des réponses et elle fournit à la direction des informations sur lesquelles elle peut agir.

            La prudence est également de mise lors de l'interprétation du score centile : dans une mesure réelle, chaque organisation serait comparée à un échantillon représentatif d'organisations liées à la branche pour chacun des 11 GFT. La distribution des centiles date de mai 1995 et cette distribution change légèrement avec le temps.

            Comment mesurer le "niveau de contrôle"

            Répondez aux 20 indicateurs en tenant compte de votre propre situation et faites attention aux limites de temps dans les questions. Certaines des questions pourraient ne pas s'appliquer à votre situation; répondez-y par « na » Il vous sera peut-être impossible de répondre à certaines questions ; répondez-y avec un point d'interrogation "?".

            Après avoir répondu à toutes les questions, comparez vos réponses avec les réponses de référence. Vous obtenez un point pour chaque question à réponse "correcte".

            Additionnez le nombre de points ensemble. Calculez le pourcentage de questions correctement répondues en divisant le nombre de points par le nombre de questions auxquelles vous avez répondu par « Oui » ou « Non ». Le "na" et le "?" les réponses ne sont pas prises en compte. Le résultat est un pourcentage compris entre 0 et 100.

            La mesure peut être rendue plus fiable en ayant plus de personnes répondant aux questions et en faisant la moyenne de leurs scores sur les niveaux ou les fonctions de l'organisation ou de départements comparables.

            Vingt questions sur la « Communication » GFT

            Réponses possibles aux questions : O = Oui ; N = Non ; na = non applicable ; ? = ne sais pas.

              1. Au cours des 4 dernières semaines, l'annuaire téléphonique vous a-t-il fourni des informations incorrectes ou insuffisantes ?
              2. Au cours des 2 dernières semaines, votre conversation téléphonique a-t-elle été interrompue en raison d'un dysfonctionnement du système téléphonique ?
              3. Au cours de la semaine dernière, avez-vous reçu du courrier qui ne vous concernait pas ?
              4. Y a-t-il eu un audit interne ou externe au cours des 9 derniers mois de la trace écrite de votre bureau ?
              5. Plus de 20 % des informations que vous avez reçues au cours des 4 dernières semaines ont-elles été qualifiées d'"urgentes" ?
              6. Avez-vous dû travailler au cours des 4 dernières semaines avec une procédure difficile à lire (par exemple, des problèmes de phrasé ou de langage) ?
              7. Avez-vous assisté à une réunion au cours des 4 dernières semaines qui s'est avérée ne pas avoir eu lieu du tout ?
              8. Y a-t-il eu un jour au cours des 4 dernières semaines où vous avez eu cinq réunions ou plus ?
              9. Existe-t-il une "boîte à suggestions" dans votre organisation ?
              10. Vous a-t-on demandé de discuter d'une question au cours des 3 derniers mois qui s'est avérée plus tard déjà décidée ?
              11. Au cours des 4 dernières semaines, avez-vous envoyé des informations qui n'ont jamais été reçues ?
              12. Au cours des 6 derniers mois, avez-vous reçu des informations sur des changements de politiques ou de procédures plus d'un mois après leur entrée en vigueur ?
              13. Les procès-verbaux des trois dernières réunions de sécurité ont-ils été transmis à votre direction ?
              14. La direction du « bureau » est-elle restée au moins 4 heures sur place lors de la dernière visite du site ?
              15. Avez-vous dû travailler au cours des 4 dernières semaines avec des procédures contenant des informations contradictoires ?
              16. Avez-vous reçu dans les 3 jours des commentaires sur les demandes d'informations au cours des 4 dernières semaines ?
              17. Les membres de votre organisation parlent-ils des langues ou des dialectes différents (langue maternelle différente) ?
              18. Plus de 80 % des commentaires que vous avez reçus (ou donnés) de la part de la direction au cours des 6 derniers mois étaient-ils de « nature négative » ?
              19. Y a-t-il des parties du lieu/du lieu de travail où il est difficile de se comprendre en raison des niveaux de bruit extrêmes ?
              20. Au cours des 4 dernières semaines, des outils et/ou équipements ont-ils été livrés qui n'avaient pas été commandés ?

                       

                      Réponses de référence :

                      1 = N ; 2 = N ; 3 = N ; 4 = Oui ; 5 = N ; 6 = N ; 7 = N ; 8 = N ; 9 = N ; 10 = N ; 11 = N ; 12 = N ; 13 = Oui ; 14 = N ; 15 = N ; 16 = Oui ; 17 = N; 18 = N ; 19 = Oui ; 20 = N.

                      Notation GFT « Communication »

                      Note en pourcentage = (a/b) x 100

                      De a = non. de questions répondues correctement

                      De b = non. des questions ont répondu « O » ou « N ».

                      Ton score %

                      Centile

                      %

                      Égal ou meilleur

                      0-10

                      0-1

                      100

                      99

                      11-20

                      2-6

                      98

                      94

                      21-30

                      7-14

                      93

                      86

                      31-40

                      15-22

                      85

                      78

                      41-50

                      23-50

                      79

                      50

                      51-60

                      51-69

                      49

                      31

                      61-70

                      70-85

                      30

                      15

                      71-80

                      86-97

                      14

                      3

                      81-90

                      98-99

                      2

                      1

                      91-100

                      99-100

                       

                       

                      Retour

                      Vendredi, Avril 01 2011 00: 48

                      Risques matériels

                      Cet article traite des risques "machines", ceux qui sont spécifiques aux équipements et matériels utilisés dans les processus industriels associés aux appareils sous pression, aux équipements de traitement, aux machines puissantes et autres opérations intrinsèquement risquées. Cet article ne traite pas des risques pour les travailleurs, qui impliquent les actions et le comportement des individus, tels que les glissades sur les surfaces de travail, les chutes d'élévations et les risques liés à l'utilisation d'outils ordinaires. Cet article porte sur les risques liés aux machines, caractéristiques d'un environnement de travail industriel. Ces dangers menaçant toutes les personnes présentes et pouvant même constituer une menace pour le voisinage et l'environnement extérieur, les méthodes d'analyse et les moyens de prévention et de contrôle sont similaires aux méthodes utilisées pour faire face aux risques pour l'environnement liés aux activités industrielles.

                      Risques liés aux machines

                      Un matériel de bonne qualité est très fiable et la plupart des pannes sont causées par des effets secondaires comme le feu, la corrosion, une mauvaise utilisation, etc. Néanmoins, le matériel peut être mis en évidence dans certains accidents, car un composant matériel défaillant est souvent le maillon le plus visible ou le plus visible de la chaîne d'événements. Bien que le terme matériel est utilisé au sens large, des exemples illustratifs de défaillances matérielles et de leur « environnement » immédiat dans la cause des accidents ont été tirés de lieux de travail industriels. Les candidats typiques pour l'investigation des dangers de la "machine" incluent, mais sans s'y limiter, les éléments suivants :

                      • récipients sous pression et tuyaux
                      • moteurs, moteurs, turbines et autres machines tournantes
                      • réacteurs chimiques et nucléaires
                      • échafaudages, ponts, etc.
                      • lasers et autres radiateurs d'énergie
                      • machines de coupe et de forage, etc.
                      • poste à souder.

                       

                      Effets de l'énergie

                      Les risques matériels peuvent inclure une mauvaise utilisation, des erreurs de construction ou une surcharge fréquente, et par conséquent leur analyse et leur atténuation ou leur prévention peuvent suivre des directions assez différentes. Cependant, les formes d'énergie physiques et chimiques qui échappent au contrôle humain existent souvent au cœur des risques matériels. Par conséquent, une méthode très générale pour identifier les risques matériels consiste à rechercher les énergies qui sont normalement contrôlées avec l'équipement ou la machine, comme un récipient sous pression contenant de l'ammoniac ou du chlore. D'autres méthodes utilisent l'objectif ou la fonction prévue du matériel réel comme point de départ, puis recherchent les effets probables des dysfonctionnements et des pannes. Par exemple, un pont ne remplissant pas sa fonction première exposera les sujets se trouvant sur le pont au risque de tomber ; les autres effets de l'effondrement d'un pont seront les effets secondaires de la chute d'éléments, soit des parties structurelles du pont, soit des objets situés sur le pont. Plus loin dans la chaîne des conséquences, il peut y avoir des effets dérivés liés aux fonctions dans d'autres parties du système qui dépendaient du bon fonctionnement du pont, comme l'interruption de la circulation des véhicules d'intervention d'urgence à un autre incident.

                      Outre les concepts d'"énergie contrôlée" et de "fonction prévue", les substances dangereuses doivent être abordées en posant des questions telles que : "Comment l'agent X pourrait-il être libéré des navires, des réservoirs ou des systèmes de canalisations et comment l'agent Y pourrait-il être produit ?" (l'un ou l'autre ou les deux peuvent être dangereux). L'agent X peut être un gaz sous pression ou un solvant, et l'agent Y peut être une dioxine extrêmement toxique dont la formation est favorisée par les "bonnes" températures de certains processus chimiques, ou il peut être produit par une oxydation rapide, à la suite d'un incendie. . Cependant, les dangers possibles représentent bien plus que les risques liés aux substances dangereuses. Des conditions ou des influences peuvent exister qui permettent à la présence d'un élément matériel particulier d'avoir des conséquences néfastes pour l'homme.

                      Environnement de travail industriel

                      Les risques liés aux machines impliquent également des facteurs de charge ou de stress qui peuvent être dangereux à long terme, tels que :

                      • températures de travail extrêmes
                      • intensités élevées de lumière, de bruit ou d'autres stimuli
                      • qualité de l'air inférieure
                      • exigences ou charges de travail extrêmes.

                       

                      Ces dangers peuvent être reconnus et des précautions prises parce que les conditions dangereuses sont déjà là. Ils ne dépendent pas d'un changement structurel dans le matériel pour se produire et produire un résultat nuisible, ou d'un événement spécial pour causer des dommages ou des blessures. Les dangers à long terme ont également des sources spécifiques dans l'environnement de travail, mais ils doivent être identifiés et évalués en observant les travailleurs et les emplois, au lieu de simplement analyser la construction et les fonctions du matériel.

                      Matériel dangereux ou risques liés aux machines sont généralement exceptionnels et plutôt rares dans un environnement de travail sain, mais ne peuvent être complètement évités. Plusieurs types d'énergie non contrôlée, tels que les agents de risque suivants, peut être la conséquence immédiate d'un dysfonctionnement matériel :

                      • rejets nocifs de gaz, liquides, poussières ou autres substances dangereuses
                      • incendie et explosion
                      • hautes tensions
                      • chutes d'objets, missiles, etc.
                      • champs électriques et magnétiques
                      • coupe, piégeage, etc.
                      • déplacement d'oxygène
                      • rayonnement nucléaire, rayons X et lumière laser
                      • inondation ou noyade
                      • jets de liquide chaud ou de vapeur.

                       

                      Agents de risque

                      Objets en mouvement. Les chutes et les vols d'objets, les écoulements de liquide et les jets de liquide ou de vapeur, tels que répertoriés, sont souvent les premières conséquences externes d'une défaillance matérielle ou d'équipement, et ils représentent une grande partie des accidents.

                      Substances chimiques. Les risques chimiques contribuent également aux accidents du travail et affectent l'environnement et le public. Les accidents de Seveso et de Bhopal ont entraîné des rejets de produits chimiques qui ont touché de nombreux membres du public, et de nombreux incendies et explosions industriels libèrent des produits chimiques et des fumées dans l'atmosphère. Les accidents de la circulation impliquant des camions de livraison d'essence ou de produits chimiques ou d'autres transports de marchandises dangereuses associent deux agents de risque - les objets en mouvement et les substances chimiques.

                      L'énergie électromagnétique. Les champs électriques et magnétiques, les rayons X et les rayons gamma sont tous des manifestations de l'électromagnétisme, mais sont souvent traités séparément car ils se produisent dans des circonstances assez différentes. Cependant, les dangers de l'électromagnétisme présentent certains traits généraux : les champs et les rayonnements pénètrent dans le corps humain au lieu de simplement entrer en contact avec la zone d'application, et ils ne peuvent pas être détectés directement, bien que de très grandes intensités provoquent un échauffement des parties du corps affectées. Les champs magnétiques sont créés par la circulation du courant électrique et des champs magnétiques intenses se trouvent à proximité de gros moteurs électriques, d'équipements de soudage à l'arc électrique, d'appareils d'électrolyse, de métallurgie, etc. Les champs électriques accompagnent la tension électrique, et même les tensions de secteur ordinaires de 200 à 300 volts provoquent l'accumulation de saleté pendant plusieurs années, signe visible de l'existence du champ, effet également connu en relation avec les lignes électriques à haute tension, les tubes image TV , écrans d'ordinateur et ainsi de suite.

                      Les champs électromagnétiques se trouvent généralement assez près de leurs sources, mais les champs électromagnétiques radiation est un voyageur au long cours, comme en témoignent les radars et les ondes radio. Le rayonnement électromagnétique est diffusé, réfléchi et amorti lorsqu'il traverse l'espace et rencontre des objets intermédiaires, des surfaces, différentes substances et atmosphères, etc. son intensité est donc réduite de plusieurs manières.

                      Le caractère général des sources de danger électromagnétique (EM) est :

                      • Des instruments sont nécessaires pour détecter la présence de champs EM ou de rayonnement EM.
                      • EM ne laisse pas de traces primaires sous forme de « contamination ».
                      • Les effets dangereux sont généralement retardés ou à long terme, mais des brûlures immédiates sont causées dans les cas graves.
                      • Les rayons X et les rayons gamma sont atténués, mais pas arrêtés, par le plomb et d'autres éléments lourds.
                      • Les champs magnétiques et les rayons X sont arrêtés immédiatement lorsque la source est mise hors tension ou que l'équipement est éteint.
                      • Les champs électriques peuvent survivre pendant de longues périodes après l'arrêt des systèmes de production.
                      • Les rayons gamma proviennent de processus nucléaires et ces sources de rayonnement ne peuvent pas être désactivées comme le peuvent de nombreuses sources électromagnétiques.

                       

                      Radiation nucléaire. Les risques associés aux rayonnements nucléaires préoccupent particulièrement les travailleurs des centrales nucléaires et des usines travaillant avec des matières nucléaires telles que la fabrication de combustible et le retraitement, le transport et le stockage de matières radioactives. Les sources de rayonnement nucléaire sont également utilisées en médecine et par certaines industries pour la mesure et le contrôle. L'une des utilisations les plus courantes concerne les alarmes incendie/détecteurs de fumée, qui utilisent un émetteur de particules alpha comme l'américium pour surveiller l'atmosphère.

                      Les risques nucléaires sont principalement centrés sur cinq facteurs :

                      • rayons gamma
                      • les neutrons
                      • particules bêta (électrons)
                      • particules alpha (noyaux d'hélium)
                      • contamination.

                       

                      Les dangers proviennent de la radioactif processus de fission nucléaire et de désintégration de matières radioactives. Ce type de rayonnement est émis par les processus du réacteur, le combustible du réacteur, les matériaux du modérateur du réacteur, les produits de fission gazeux qui peuvent être développés et certains matériaux de construction qui deviennent activés par l'exposition aux émissions radioactives résultant du fonctionnement du réacteur.

                      Autres agents de risque. Les autres classes d'agents de risque qui libèrent ou émettent de l'énergie comprennent :

                      • Rayonnement UV et lumière laser
                      • infrason
                      • son à haute intensité
                      • vibration.

                       

                      Déclenchement des aléas matériels

                      Les deux soudain et graduel le passage d'un état contrôlé - ou « sûr » à un état présentant un danger accru peut se produire dans les circonstances suivantes, qui peuvent être contrôlées par des moyens organisationnels appropriés tels que l'expérience de l'utilisateur, l'éducation, les compétences, la surveillance et les tests d'équipement :

                      • usure et surcharge
                      • impact externe (incendie ou choc)
                      • vieillissement et échec
                      • mauvais approvisionnement (énergie, matières premières)
                      • entretien et réparation insuffisants
                      • erreur de commande ou de processus
                      • mauvaise utilisation ou mauvaise application
                      • panne matérielle
                      • dysfonctionnement de la barrière.

                       

                      Étant donné que des opérations appropriées ne peuvent pas compenser de manière fiable une conception et une installation incorrectes, il est important de considérer l'ensemble du processus, de la sélection et de la conception à l'installation, l'utilisation, la maintenance et les tests, afin d'évaluer l'état et les conditions réels de l'élément matériel.

                      Cas de danger : le réservoir de gaz sous pression

                      Le gaz peut être contenu dans des récipients appropriés pour le stockage ou le transport, comme les bouteilles de gaz et d'oxygène utilisées par les soudeurs. Souvent, le gaz est manipulé à haute pression, ce qui permet une forte augmentation de la capacité de stockage, mais avec un risque d'accident plus élevé. Le phénomène accidentel clé dans le stockage de gaz sous pression est la création brutale d'un trou dans le réservoir, avec ces résultats :

                      • la fonction de confinement du réservoir cesse
                      • le gaz confiné obtient un accès immédiat à l'atmosphère environnante.

                       

                      Le développement d'un tel accident dépend de ces facteurs:

                      • le type et la quantité de gaz dans le réservoir
                      • la situation du trou par rapport au contenu de la cuve
                      • la taille initiale et le taux de croissance ultérieur du trou
                      • la température et la pression du gaz et de l'équipement
                      • les conditions de l'environnement immédiat (sources d'inflammation, personnes, etc.).

                       

                      Le contenu du réservoir peut être libéré presque immédiatement ou sur une période de temps, et entraîner différents scénarios, de l'éclatement de gaz libre d'un réservoir rompu à des rejets modérés et plutôt lents à partir de petites perforations.

                      Le comportement de divers gaz en cas de fuite

                      Lors du développement de modèles de calcul des rejets, il est très important de déterminer les conditions suivantes affectant le comportement potentiel du système :

                      • la phase gazeuse derrière le trou (gazeuse ou liquide ?)
                      • conditions de température et de vent
                      • l'éventuelle entrée d'autres substances dans le système ou leur éventuelle présence dans son environnement
                      • barrières et autres obstacles.

                       

                      Les calculs exacts relatifs à un processus de libération où le gaz liquéfié s'échappe d'un trou sous forme de jet puis s'évapore (ou alternativement, devient d'abord un brouillard de gouttelettes) sont difficiles. La spécification de la dispersion ultérieure des nuages ​​résultants est également un problème difficile. Il faut tenir compte des mouvements et de la dispersion des rejets de gaz, si le gaz forme des nuages ​​visibles ou invisibles et si le gaz monte ou reste au niveau du sol.

                      Alors que l'hydrogène est un gaz léger par rapport à n'importe quelle atmosphère, le gaz ammoniac (NH3, avec un poids moléculaire de 17.0) s'élèvera dans une atmosphère ordinaire d'oxygène et d'azote, semblable à l'air, à la même température et à la même pression. Chlore (Cl2, avec un poids moléculaire de 70.9) et le butane (C4H10, mol. wt.58) sont des exemples de produits chimiques dont les phases gazeuses sont plus denses que l'air, même à température ambiante. Acétylène (C2H2, mol. poids 26.0) a une densité d'environ 0.90 g/l, se rapprochant de celle de l'air (1.0 g/l), ce qui signifie que dans un environnement de travail, le gaz de soudage qui fuit n'aura pas une tendance prononcée à flotter vers le haut ou à couler vers le bas ; il peut donc se mélanger facilement à l'atmosphère.

                      Mais l'ammoniac libéré d'un récipient sous pression sous forme liquide va d'abord se refroidir du fait de son évaporation, et peut ensuite s'échapper en plusieurs étapes :

                      • L'ammoniac liquide sous pression émane du trou dans le réservoir sous forme de jet ou de nuage.
                      • Des mers d'ammoniac liquide peuvent se former sur les surfaces les plus proches.
                      • L'ammoniac s'évapore, se refroidissant ainsi lui-même et l'environnement proche.
                      • Le gaz ammoniac échange progressivement de la chaleur avec l'environnement et s'équilibre avec les températures ambiantes.

                       

                      Même un nuage de gaz léger peut ne pas s'élever immédiatement à partir d'un dégagement de gaz liquide ; il peut d'abord former un brouillard - un nuage de gouttelettes - et rester près du sol. Le mouvement du nuage de gaz et son mélange/dilution progressif avec l'atmosphère environnante dépendent des paramètres météorologiques et du milieu environnant : zone fermée, zone ouverte, habitations, circulation, présence du public, des travailleurs, etc.

                      Échec du réservoir

                      Les conséquences d'une panne de réservoir peuvent entraîner un incendie et une explosion, une asphyxie, un empoisonnement et un étouffement, comme le montre l'expérience avec les systèmes de production et de traitement de gaz (propane, méthane, azote, hydrogène, etc.), avec les réservoirs d'ammoniac ou de chlore et avec le soudage au gaz ( utilisant de l'acétylène et de l'oxygène). Ce qui déclenche réellement la formation d'un trou dans un réservoir a une forte influence sur le « comportement » du trou - qui à son tour influence la sortie de gaz - et est crucial pour l'efficacité des efforts de prévention. Un récipient sous pression est conçu et construit pour résister à certaines conditions d'utilisation et à l'impact environnemental, et pour manipuler un certain gaz, ou peut-être un choix de gaz. Les capacités réelles d'un réservoir dépendent de sa forme, de ses matériaux, de ses soudures, de sa protection, de son utilisation et de son climat ; par conséquent, l'évaluation de son adéquation en tant que conteneur pour gaz dangereux doit tenir compte des spécifications du concepteur, de l'historique du réservoir, des inspections et des tests. Les zones critiques comprennent les cordons de soudure utilisés sur la plupart des récipients sous pression ; les points où les accessoires tels que les entrées, les sorties, les supports et les instruments sont connectés au navire ; les fonds plats des réservoirs cylindriques comme les réservoirs de chemin de fer ; et d'autres aspects de formes géométriques encore moins optimales.

                      Les cordons de soudure sont examinés visuellement, par rayons X ou par test destructif d'échantillons, car ceux-ci peuvent révéler des défauts locaux, par exemple, sous la forme d'une résistance réduite qui pourrait mettre en danger la résistance globale du navire, ou même être un point de déclenchement pour réservoir aigu échec.

                      La résistance du réservoir est affectée par l'historique d'utilisation du réservoir - tout d'abord par les processus d'usure normaux et les attaques de rayures et de corrosion typiques de l'industrie particulière et de l'application. D'autres paramètres historiques d'intérêt particulier comprennent :

                      • surpression occasionnelle
                      • chauffage ou refroidissement extrême (interne ou externe)
                      • impacts mécaniques
                      • vibration et stress
                      • substances qui ont été stockées ou qui ont traversé la citerne
                      • substances utilisées lors du nettoyage, de l'entretien et de la réparation.

                       

                      Le matériau de construction - tôle d'acier, tôle d'aluminium, béton pour les applications non pressurisées, etc. - peut subir une détérioration sous l'effet de ces influences qu'il n'est pas toujours possible de vérifier sans surcharger ou détruire l'équipement pendant les essais.

                      Cas d'accident : Flixborough

                      L'explosion d'un grand nuage de cyclohexane à Flixborough (Royaume-Uni) en 1974, qui a tué 28 personnes et causé d'importants dégâts aux plantes, est un cas très instructif. L'événement déclencheur est la rupture d'une canalisation temporaire servant de substitut dans un bloc réacteur. L'accident a été "causé" par la panne d'une pièce de quincaillerie, mais une enquête plus approfondie a révélé que la panne résultait d'une surcharge et que la construction temporaire était en fait inadéquate pour l'usage auquel elle était destinée. Après deux mois de service, la conduite a été exposée à des efforts de flexion dus à une légère montée en pression de 10 bars (106 Pa) teneur en cyclohexane à environ 150°C. Les deux soufflets entre la conduite et les réacteurs voisins se sont rompus et 30 à 50 tonnes de cyclohexane ont été libérées et bientôt enflammées, probablement par un four à une certaine distance de la fuite. (Voir figure 1.) Un compte rendu très lisible du cas se trouve dans Kletz (1988).

                      Figure 1. Connexion temporaire entre les réservoirs à Flixborough

                      SAF030F1

                      Analyse des dangers

                      Les méthodes qui ont été développées pour trouver les risques qui peuvent être pertinents pour un équipement, un procédé chimique ou une certaine opération sont appelées « analyse des dangers ». Ces méthodes posent des questions telles que : « Qu'est-ce qui peut mal tourner ? » "Est-ce que ça pourrait être grave ?" et "Que peut-on faire à ce sujet?" Différentes méthodes d'exécution des analyses sont souvent combinées pour obtenir une couverture raisonnable, mais aucune de ces méthodes ne peut faire plus que guider ou assister une équipe d'analystes avisés dans leurs déterminations. Les principales difficultés de l'analyse des dangers sont les suivantes :

                      • disponibilité des données pertinentes
                      • limites des modèles et des calculs
                      • matériaux, constructions et processus nouveaux et inconnus
                      • complexité du système
                      • les limites de l'imagination humaine
                      • limitations des tests pratiques.

                       

                      Pour produire des évaluations de risques utilisables dans ces circonstances, il est important de définir rigoureusement la portée et le niveau « d'ambition » appropriés à l'analyse en cours ; par exemple, il est clair que l'on n'a pas besoin du même type d'informations à des fins d'assurance qu'à des fins de conception, ou pour la planification de systèmes de protection et la construction de dispositifs d'urgence. D'une manière générale, l'image du risque doit être complétée en mélangeant des techniques empiriques (c'est-à-dire des statistiques) avec un raisonnement déductif et une imagination créatrice.

                      Différents outils d'évaluation des risques - même des programmes informatiques pour l'analyse des risques - peuvent être très utiles. L'étude des dangers et de l'opérabilité (HAZOP) et l'analyse des modes de défaillance et de leurs effets (FMEA) sont des méthodes couramment utilisées pour étudier les dangers, en particulier dans l'industrie chimique. Le point de départ de la méthode HAZOP est le traçage des scénarios de risques possibles sur la base d'un ensemble de mots guides ; pour chaque scénario, il faut identifier les causes et les conséquences probables. Dans une deuxième étape, on cherche à trouver des moyens pour réduire les probabilités ou atténuer les conséquences de ces scénarios jugés inacceptables. Une revue de la méthode HAZOP peut être trouvée dans Charsley (1995). La méthode AMDE pose une série de questions « et si » pour chaque composant de risque possible afin de déterminer de manière approfondie les modes de défaillance pouvant exister, puis d'identifier les effets qu'ils peuvent avoir sur les performances du système ; une telle analyse sera illustrée dans l'exemple de démonstration (pour un système à gaz) présenté plus loin dans cet article.

                      Arbres de défaillances et les arbres d'événements et les modes d'analyse logique propres aux structures de causalité des accidents et au raisonnement probabiliste ne sont en rien spécifiques à l'analyse des aléas matériels, car ce sont des outils généraux d'évaluation des risques système.

                      Traçage des dangers matériels dans une installation industrielle

                      Pour identifier les dangers possibles, des informations sur la construction et la fonction peuvent être recherchées auprès de :

                      • équipement et usine réels
                      • substituts et modèles
                      • dessins, schémas électriques, schémas tuyauterie et instrumentation (P/I), etc.
                      • descriptions de processus
                      • schémas de contrôle
                      • modes et phases de fonctionnement
                      • ordres de travail, ordres de modification, rapports de maintenance, etc.

                       

                      En sélectionnant et en assimilant ces informations, les analystes se forment une image de l'objet à risque lui-même, de ses fonctions et de son utilisation réelle. Là où les choses ne sont pas encore construites - ou indisponibles pour inspection - des observations importantes ne peuvent pas être faites et l'évaluation doit être entièrement basée sur des descriptions, des intentions et des plans. Une telle évaluation peut sembler plutôt médiocre, mais en fait, la plupart des évaluations pratiques des risques sont faites de cette façon, soit afin d'obtenir une approbation faisant autorité pour les demandes d'entreprendre une nouvelle construction, soit pour comparer la sécurité relative des solutions de conception alternatives. Les processus de la vie réelle seront consultés pour les informations qui ne figurent pas sur les diagrammes formels ou qui ne sont pas décrites verbalement lors d'un entretien, et pour vérifier que les informations recueillies à partir de ces sources sont factuelles et représentent les conditions réelles. Il s'agit notamment des éléments suivants :

                      • pratique et culture réelles
                      • mécanismes de défaillance supplémentaires/détails de construction
                      • "chemins furtifs" (voir ci-dessous)
                      • causes d'erreur courantes
                      • risques provenant de sources externes/missiles
                      • expositions ou conséquences particulières
                      • incidents passés, accidents et accidents évités de justesse.

                       

                      La plupart de ces informations supplémentaires, en particulier les chemins sournois, ne sont détectables que par des observateurs créatifs et compétents possédant une expérience considérable, et certaines informations seraient presque impossibles à retracer avec des cartes et des diagrammes. Chemins furtifs désignent des interactions involontaires et imprévues entre les systèmes, où le fonctionnement d'un système affecte l'état ou le fonctionnement d'un autre système par d'autres moyens que les fonctionnels. Cela se produit généralement lorsque des pièces fonctionnellement différentes sont situées les unes à côté des autres ou (par exemple) lorsqu'une substance qui fuit s'écoule sur l'équipement situé en dessous et provoque une panne. Un autre mode d'action d'un chemin sournois peut impliquer l'introduction de mauvaises substances ou pièces dans un système au moyen d'instruments ou d'outils pendant le fonctionnement ou la maintenance: les structures prévues et leurs fonctions prévues sont modifiées par les chemins sournois. Par pannes de mode commun l'une signifie que certaines conditions - comme une inondation, la foudre ou une panne de courant - peuvent perturber plusieurs systèmes à la fois, entraînant peut-être des pannes ou des accidents d'une ampleur inattendue. Généralement, on essaie d'éviter les effets de chemin sournois et les défaillances de mode commun grâce à des dispositions appropriées et en introduisant la distance, l'isolation et la diversité dans les opérations de travail.

                      Un cas d'analyse des risques : livraison de gaz d'un navire à un réservoir

                      La figure 2 montre un système de livraison de gaz d'un navire de transport à un réservoir de stockage. Une fuite peut apparaître n'importe où dans ce système : navire, ligne de transmission, réservoir ou ligne de sortie ; étant donné les deux réservoirs du réservoir, une fuite quelque part sur la ligne pourrait rester active pendant des heures.

                      Figure 2. Ligne de transmission pour la livraison de gaz liquide du navire au réservoir de stockage

                      SAF030F2

                      Les composants les plus critiques du système sont les suivants :

                      • le réservoir de stockage
                      • le pipeline ou le tuyau entre le réservoir et le navire
                      • autres tuyaux, conduites, vannes et raccords
                      • la soupape de sécurité sur le réservoir de stockage
                      • les vannes d'arrêt d'urgence ESD 1 et 2.

                       

                      Un réservoir de stockage avec un stock important de gaz liquide est mis en tête de cette liste, car il est difficile d'arrêter une fuite d'un réservoir à court terme. Le deuxième élément de la liste - la connexion au navire - est essentiel car des fuites dans le tuyau ou le tuyau et des connexions ou raccords desserrés avec des joints usés, et des variations entre différents navires, pourraient libérer du produit. Les pièces flexibles comme les tuyaux et les soufflets sont plus critiques que les pièces rigides et nécessitent un entretien et une inspection réguliers. Les dispositifs de sécurité comme la soupape de surpression sur le dessus du réservoir et les deux vannes d'arrêt d'urgence sont essentiels, car ils doivent être utilisés pour révéler des défaillances latentes ou en développement.

                      Jusqu'à présent, le classement des composants du système quant à leur importance par rapport à la fiabilité n'a été que de nature générale. Maintenant, à des fins d'analyse, l'attention sera attirée sur les fonctions particulières du système, la principale étant bien sûr le mouvement du gaz liquéfié du navire vers le réservoir de stockage jusqu'à ce que le réservoir du navire connecté soit vide. Le danger primordial est une fuite de gaz, les mécanismes contributifs possibles étant l'un ou plusieurs des suivants :

                      • raccords ou vannes qui fuient
                      • rupture de réservoir
                      • rupture de tuyau ou de flexible
                      • panne de réservoir.

                       

                      Application de la méthode AMDE

                      L'idée centrale de l'approche AMDE, ou analyse "et si", est d'enregistrer explicitement, pour chaque composant du système, ses modes de défaillance, et pour chaque défaillance de trouver les conséquences possibles sur le système et sur l'environnement. Pour les composants standard tels qu'un réservoir, un tuyau, une vanne, une pompe, un débitmètre, etc., les modes de défaillance suivent des schémas généraux. Dans le cas d'une vanne, par exemple, les modes de défaillance peuvent inclure les conditions suivantes :

                      • La vanne ne peut pas se fermer sur demande (le débit est réduit à travers une vanne « ouverte »).
                      • La vanne fuit (il y a un débit résiduel à travers une vanne « fermée »).
                      • La vanne ne peut pas s'ouvrir sur demande (la position de la vanne oscille).

                       

                      Pour un pipeline, les modes de défaillance prendraient en compte des éléments tels que :

                      • un débit réduit
                      • une fuite
                      • un débit arrêté en raison d'un blocage
                      • une rupture de ligne.

                       

                      Les effets des fuites semblent évidents, mais parfois les effets les plus importants peuvent ne pas être les premiers effets : que se passe-t-il par exemple, si une vanne est bloquée en position semi-ouverte ? Une vanne tout ou rien dans la conduite de refoulement qui ne s'ouvre pas complètement à la demande retardera le processus de remplissage du réservoir, une conséquence non dangereuse. Mais si la condition "bloqué à moitié ouvert" survient en même temps qu'une demande de fermeture est faite, à un moment où le réservoir est presque plein, un remplissage excessif peut en résulter (à moins que la vanne d'arrêt d'urgence ne soit activée avec succès). Dans un système correctement conçu et exploité, la probabilité que ces deux vannes soient bloquées simultanément sera maintenu assez bas.

                      De toute évidence, une soupape de sécurité ne fonctionnant pas à la demande pourrait signifier un désastre ; en fait, on pourrait affirmer à juste titre que des défaillances latentes menacent en permanence tous les dispositifs de sécurité. Les soupapes de surpression, par exemple, peuvent être défectueuses en raison de la corrosion, de la saleté ou de la peinture (généralement en raison d'un mauvais entretien), et dans le cas du gaz liquide, de tels défauts, combinés à la baisse de température lors d'une fuite de gaz, pourraient produire de la glace et ainsi réduire ou peut-être arrêter le flux de matière à travers une soupape de sécurité. Si une soupape de surpression ne fonctionne pas à la demande, la pression peut s'accumuler dans un réservoir ou dans des systèmes de réservoirs connectés, provoquant éventuellement d'autres fuites ou la rupture du réservoir.

                      Pour simplifier, les instruments ne sont pas représentés sur la figure 2 ; il y aura bien sûr des instruments liés à la pression, au débit et à la température, qui sont des paramètres essentiels pour surveiller l'état du système, les signaux pertinents étant transmis aux pupitres opérateurs ou à une salle de contrôle à des fins de contrôle et de surveillance. En outre, il y aura des lignes d'alimentation autres que celles destinées au transport de matériaux - pour l'électricité, l'hydraulique, etc. - et des dispositifs de sécurité supplémentaires. Une analyse complète doit également passer par ces systèmes et rechercher les modes de défaillance et les effets de ces composants également. En particulier, le travail de détective sur les effets de mode commun et les chemins sournois nécessite de construire l'image intégrale des principaux composants du système, des commandes, des instruments, des fournitures, des opérateurs, des horaires de travail, de la maintenance, etc.

                      Des exemples d'effets de mode commun à prendre en compte dans le cadre des systèmes de gaz sont abordés par des questions telles que :

                      • Les signaux d'activation des vannes de refoulement et des vannes d'arrêt d'urgence sont-ils transmis sur une ligne commune (câble, voies de câblage) ?
                      • Deux vannes données partagent-elles la même ligne électrique ?
                      • L'entretien est-il effectué par la même personne selon un calendrier donné ?

                       

                      Même un système parfaitement conçu avec une redondance et des lignes électriques indépendantes peut souffrir d'un entretien inférieur, où, par exemple, une vanne et sa vanne de secours (la vanne d'arrêt d'urgence dans notre cas) ont été laissées dans un mauvais état après un test. Un effet de mode commun prédominant avec un système de traitement de l'ammoniac est la situation de fuite elle-même : une fuite modérée peut rendre toutes les opérations manuelles sur les composants de l'usine plutôt gênantes - et retardées - en raison du déploiement de la protection d'urgence requise.

                      Résumé

                      Les composants matériels sont très rarement les coupables du développement d'accidents ; il y a plutôt causes profondes se retrouvent dans d'autres maillons de la chaîne : faux concepts, mauvaises conceptions, erreurs de maintenance, erreurs d'opérateur, erreurs de gestion, etc. Plusieurs exemples de conditions et d'actes spécifiques pouvant conduire au développement d'un échec ont déjà été donnés ; un large éventail de ces agents tiendrait compte des éléments suivants :

                      • collision
                      • corrosion, gravure
                      • charges excessives
                      • support défaillant et pièces vieillies ou usées
                      • travaux de soudure de mauvaise qualité
                      • missiles
                      • parties manquantes
                      • surchauffe ou refroidissement
                      • vibration
                      • mauvais matériau de construction utilisé.

                       

                      Le contrôle des risques matériels dans un environnement de travail nécessite l'examen de toutes les causes possibles et le respect des conditions jugées critiques avec les systèmes réels. Les implications de ceci pour l'organisation des programmes de gestion des risques sont traitées dans d'autres articles, mais, comme la liste précédente l'indique clairement, la surveillance et le contrôle des conditions matérielles peuvent être nécessaires jusqu'au choix des concepts et des conceptions pour le systèmes et processus sélectionnés.

                       

                      Retour

                      Grâce à l'industrialisation, les travailleurs se sont organisés en usines à mesure que l'utilisation de sources d'énergie telles que la machine à vapeur devenait possible. Par rapport à l'artisanat traditionnel, la production mécanisée, disposant de sources d'énergie plus élevées, présentait de nouveaux risques d'accidents. Au fur et à mesure que la quantité d'énergie augmentait, les travailleurs étaient soustraits au contrôle direct de ces énergies. Les décisions affectant la sécurité étaient souvent prises au niveau de la direction plutôt que par les personnes directement exposées à ces risques. A ce stade de l'industrialisation, la nécessité d'une gestion de la sécurité est devenue évidente.

                      À la fin des années 1920, Heinrich a formulé le premier cadre théorique complet pour la gestion de la sécurité, selon lequel la sécurité devrait être recherchée par des décisions de gestion fondées sur l'identification et l'analyse des causes d'accident. À ce stade du développement de la gestion de la sécurité, les accidents étaient attribués à des défaillances au niveau du système travailleur-machine, c'est-à-dire à des actes dangereux et à des conditions dangereuses.

                      Par la suite, diverses méthodologies ont été développées pour l'identification et l'évaluation des risques d'accident. Avec MORT (Management Oversight and Risk Tree), l'accent s'est déplacé vers les ordres supérieurs de contrôle des risques d'accident, c'est-à-dire vers le contrôle des conditions au niveau de la direction. L'initiative de développer le MORT a été prise à la fin des années 1960 par l'US Energy Research and Development Administration, qui souhaitait améliorer ses programmes de sécurité afin de réduire ses pertes dues aux accidents.

                      Le diagramme MORT et les principes sous-jacents

                      L'intention du MORT était de formuler un système de gestion de la sécurité idéal basé sur une synthèse des meilleurs éléments du programme de sécurité et des techniques de gestion de la sécurité alors disponibles. Comme les principes qui sous-tendent l'initiative MORT ont été appliqués à l'état actuel de l'art en matière de gestion de la sécurité, la littérature et l'expertise en matière de sécurité, en grande partie non structurées, ont pris la forme d'un arbre analytique. La première version de l'arbre a été publiée en 1971. La figure 1 montre les éléments de base de la version de l'arbre publiée par Johnson en 1980. L'arbre apparaît également sous une forme modifiée dans des publications ultérieures au sujet du concept MORT ( voir, par exemple, Knox et Eicher 1992).

                      Figure 1. Une version de l'arbre analytique MORT

                      SAF040F1

                      Le diagramme MORT

                      MORT est utilisé comme un outil pratique dans les enquêtes sur les accidents et dans les évaluations des programmes de sécurité existants. L'événement du haut de l'arbre de la figure 1 (Johnson 1980) représente les pertes (expérimentées ou potentielles) dues à un accident. En dessous de cet événement principal se trouvent trois branches principales : omissions et omissions spécifiques (S), omissions et omissions de la direction (M) et risques assumés (R). Le branche R se compose de risques supposés, qui sont des événements et des conditions connus de la direction et qui ont été évalués et acceptés au niveau de direction approprié. D'autres événements et conditions qui sont révélés par les évaluations suivant les branches S et M sont notés "moins qu'adéquats" (LTA).

                      Les branche en S se concentre sur les événements et les conditions de l'événement réel ou potentiel. (En général, le temps est indiqué de gauche à droite et la séquence des causes est indiquée de bas en haut.) Les stratégies de Haddon (1980) pour la prévention des accidents sont des éléments clés dans cette branche. Un événement est qualifié d'accident lorsqu'une cible (une personne ou un objet) est exposée à un transfert d'énergie incontrôlé et subit des dommages. Dans la branche S du MORT, les accidents sont évités grâce à des barrières. Il existe trois types de barrières de base : (1) les barrières qui entourent et confinent la source d'énergie (le danger), (2) les barrières qui protègent la cible et (3) les barrières qui séparent le danger et la cible physiquement ou dans le temps ou l'espace. . Ces différents types de barrières se retrouvent dans le développement des branches en dessous de l'événement accidentel. L'amélioration concerne les actions entreprises après l'accident pour limiter les pertes.

                      Au niveau suivant de la branche S, sont reconnus les facteurs liés aux différentes phases du cycle de vie d'un système industriel. Il s'agit de la phase projet (conception et planification), du démarrage (préparation opérationnelle) et de l'exploitation (supervision et maintenance).

                      Les Branche M soutient un processus dans lequel les conclusions spécifiques d'une enquête sur un accident ou d'une évaluation d'un programme de sécurité sont rendues plus générales. Les événements et les conditions de la branche S ont donc souvent leurs homologues dans la branche M. Lorsqu'il est engagé avec le système au niveau de la branche M, la réflexion de l'analyste est étendue au système de gestion total. Ainsi, toute recommandation affectera également de nombreux autres scénarios d'accidents possibles. Les fonctions de gestion de la sécurité les plus importantes se trouvent dans la branche M : la définition de la politique, la mise en œuvre et le suivi. Ce sont les mêmes éléments de base que l'on retrouve dans les principes d'assurance qualité de la série ISO 9000 publiés par l'Organisation internationale de normalisation (ISO).

                      Lorsque les branches du diagramme MORT sont élaborées en détail, il y a des éléments provenant de domaines aussi différents que l'analyse des risques, l'analyse des facteurs humains, les systèmes d'information sur la sécurité et l'analyse organisationnelle. Au total, environ 1,500 XNUMX événements de base sont couverts par le diagramme MORT.

                      Application du diagramme MORT

                      Comme indiqué, le diagramme MORT a deux utilisations immédiates (Knox et Eicher 1992) : (1) analyser les facteurs de gestion et d'organisation relatifs à un accident survenu et (2) évaluer ou auditer un programme de sécurité en relation avec un accident significatif qui a le potentiel de se produire. Le diagramme MORT fonctionne comme un outil de sélection dans la planification des analyses et des évaluations. Il est également utilisé comme liste de contrôle pour la comparaison des conditions réelles avec le système idéalisé. Dans cette application, MORT facilite la vérification de l'exhaustivité de l'analyse et évite les préjugés personnels.

                      Au fond, MORT est composé d'un ensemble de questions. Les critères qui guident les jugements quant à savoir si des événements et des conditions spécifiques sont satisfaisants ou moins qu'adéquats sont dérivés de ces questions. Malgré la conception directive des questions, les jugements portés par l'analyste sont en partie subjectifs. Il est donc devenu important d'assurer une qualité et un degré d'intersubjectivité adéquats entre les analyses MORT faites par différents analystes. Par exemple, aux États-Unis, un programme de formation est disponible pour la certification des analystes MORT.

                      Expériences avec MORT

                      La littérature sur les évaluations de MORT est rare. Johnson signale des améliorations significatives dans l'exhaustivité des enquêtes sur les accidents après l'introduction du MORT (Johnson 1980). Des carences au niveau de la supervision et de la gestion ont été révélées plus systématiquement. L'expérience a également été acquise à partir des évaluations des applications MORT au sein de l'industrie finlandaise (Ruuhilehto 1993). Certaines limites ont été identifiées dans les études finlandaises. Le MORT ne prend pas en charge l'identification des risques immédiats dus aux pannes et aux perturbations. De plus, aucune capacité d'établir des priorités n'est intégrée au concept MORT. Par conséquent, les résultats des analyses MORT nécessitent une évaluation plus approfondie pour les traduire en actions correctives. Enfin, l'expérience montre que le MORT prend du temps et nécessite la participation d'experts.

                      Outre sa capacité à se concentrer sur les facteurs d'organisation et de gestion, MORT présente l'avantage supplémentaire de relier la sécurité aux activités normales de production et à la direction générale. L'application de MORT soutiendra ainsi la planification et le contrôle généraux et contribuera également à réduire la fréquence des perturbations de la production.

                      Méthodes et techniques de gestion de la sécurité associées

                      Avec l'introduction du concept MORT au début des années 1970, un programme de développement a démarré aux États-Unis. Le point focal de ce programme a été le Centre de développement de la sécurité du système à Idaho Falls. Différentes méthodes et techniques associées au MORT dans des domaines tels que l'analyse des facteurs humains, les systèmes d'information sur la sécurité et l'analyse de la sécurité ont résulté de ce programme. L'Operational Readiness Program (Nertney 1975) est un des premiers exemples d'une méthode issue du programme de développement MORT. Ce programme est introduit lors du développement de nouveaux systèmes industriels et des modifications de ceux existants. L'objectif est de s'assurer que, du point de vue de la gestion de la sécurité, le système nouveau ou modifié est prêt au moment du démarrage. Une condition de préparation opérationnelle présuppose que les barrières et contrôles nécessaires ont été installés dans le matériel, le personnel et les procédures du nouveau système. Un autre exemple d'élément de programme MORT est l'analyse des causes profondes basée sur MORT (Cornelison 1989). Il est utilisé pour identifier les problèmes fondamentaux de gestion de la sécurité d'une organisation. Cela se fait en reliant les résultats spécifiques des analyses MORT à 27 problèmes génériques différents de gestion de la sécurité.

                      Bien que MORT ne soit pas destiné à être utilisé directement dans la collecte d'informations lors d'enquêtes sur les accidents et d'audits de sécurité, en Scandinavie, les questions MORT ont servi de base au développement d'un outil de diagnostic utilisé à cette fin. C'est ce qu'on appelle la technique d'examen de la gestion de la sécurité et de l'organisation, ou SMORT (Kjellen et Tinmannsvik 1989). Une analyse SMORT avance par étapes, en partant de la situation spécifique et en terminant au niveau de la direction générale. Le point de départ (niveau 1) est une séquence accidentelle ou une situation à risque. Au niveau 2, l'organisation, la planification du système et les facteurs techniques liés au fonctionnement quotidien sont passés au crible. Les niveaux suivants comprennent la conception de nouveaux systèmes (niveau 3) et des fonctions de gestion supérieures (niveau 4). Les constatations à un niveau sont étendues aux niveaux supérieurs. Par exemple, les résultats liés à la séquence accidentelle et aux opérations quotidiennes sont utilisés dans l'analyse de l'organisation et des routines de travail de l'entreprise (niveau 3). Les résultats au niveau 3 n'affecteront pas la sécurité des opérations existantes mais pourront être appliqués à la planification de nouveaux systèmes et de modifications. SMORT diffère également de MORT dans la manière dont les résultats sont identifiés. Au niveau 1, ce sont des événements et des conditions observables qui s'écartent des normes généralement acceptées. Lorsque les facteurs d'organisation et de gestion sont intégrés à l'analyse aux niveaux 2 à 4, les résultats sont identifiés par des jugements de valeur portés par un groupe d'analyse et vérifiés par une procédure de contrôle qualité. L'objectif est d'assurer une compréhension mutuelle des problèmes d'organisation.

                      Résumé

                      MORT a joué un rôle déterminant dans les développements au sein de la gestion de la sécurité depuis les années 1970. Il est possible de suivre l'influence du MORT dans des domaines tels que la littérature de recherche sur la sécurité, la littérature sur la gestion de la sécurité et les outils d'audit, et la législation sur l'autoréglementation et le contrôle interne. Malgré cet impact, ses limites doivent être soigneusement prises en compte. Le MORT et les méthodes associées sont normatifs en ce sens qu'ils prescrivent comment les programmes de gestion de la sécurité doivent être organisés et exécutés. L'idéal est une organisation bien structurée avec des objectifs clairs et réalistes et des lignes de responsabilité et d'autorité bien définies. MORT convient donc mieux aux grandes organisations bureaucratiques.

                       

                      Retour

                      Systèmes d'inspection

                      L'audit a été défini comme "le processus structuré de collecte d'informations indépendantes sur l'efficience, l'efficacité et la fiabilité du système de gestion de la sécurité dans son ensemble et l'élaboration de plans d'action corrective" (Successful Health & Safety Management 1991).

                      L'inspection du lieu de travail n'est donc pas seulement l'étape finale de la mise en place d'un programme de gestion de la sécurité, mais aussi un processus continu de son maintien. Elle ne peut être menée que lorsqu'un système de gestion de la sécurité correctement conçu a été mis en place. Un tel système envisage d'abord une déclaration de politique formelle de la direction énonçant ses principes pour créer un environnement de travail sain et sûr, puis établissant les mécanismes et les structures au sein de l'organisation par lesquels ces principes seront effectivement mis en œuvre. La direction doit en outre s'engager à fournir des ressources adéquates, tant humaines que financières, pour soutenir les mécanismes et les structures du système. Par la suite, il doit y avoir une planification détaillée de la sécurité et de la santé et la définition d'objectifs mesurables. Des systèmes doivent être conçus pour garantir que les performances en matière de sécurité et de santé dans la pratique puissent être mesurées par rapport aux normes établies et aux réalisations antérieures. Ce n'est que lorsque cette structure est en place et fonctionne qu'un système d'audit de gestion efficace peut être appliqué.

                      Des systèmes complets de gestion de la sécurité et de la santé peuvent être conçus, produits et mis en œuvre à partir des ressources des grandes entreprises. De plus, il existe un certain nombre de systèmes de contrôle de la gestion de la sécurité qui sont disponibles auprès de consultants, de compagnies d'assurance, d'organismes gouvernementaux, d'associations et d'entreprises spécialisées. C'est à l'entreprise de décider si elle doit produire son propre système ou faire appel à des services extérieurs. Les deux alternatives sont capables de produire d'excellents résultats si la direction s'engage véritablement à les appliquer avec diligence et à les faire fonctionner. Mais leur succès dépend fortement de la qualité du système d'audit.

                      Contrôles de gestion

                      La procédure d'inspection doit être aussi minutieuse et objective que l'inspection financière de l'entreprise. L'inspection doit d'abord déterminer si l'énoncé de politique de l'entreprise en matière de sécurité et de santé est correctement reflété dans les structures et mécanismes créés pour sa mise en œuvre; dans le cas contraire, l'inspection peut recommander une réévaluation de la politique fondamentale ou suggérer des ajustements ou des modifications aux structures et mécanismes existants. Un processus similaire doit être appliqué à la planification de la sécurité et de la santé, à la validité des normes d'établissement des objectifs et à la mesure de la performance. Les résultats de toute inspection doivent être pris en compte par la direction de l'entreprise, et tout correctif doit être approuvé et mis en œuvre par l'intermédiaire de cette autorité.

                      En pratique, il n'est pas souhaitable, et souvent peu pratique, d'entreprendre une inspection complète de toutes les fonctionnalités d'un système et de leur application dans tous les départements de l'entreprise en une seule fois. Plus généralement, la procédure d'inspection se concentre sur une caractéristique du système total de gestion de la sécurité dans l'ensemble de la centrale, ou alternativement sur l'application de toutes les caractéristiques dans un service ou même un sous-service. Mais l'objectif est de couvrir toutes les fonctionnalités de tous les départements sur une période convenue afin de valider les résultats.

                      Dans cette mesure, le contrôle de gestion doit être considéré comme un processus continu de vigilance. Le besoin d'objectivité est évidemment d'une importance considérable. Si les inspections sont menées en interne, il doit y avoir une procédure d'inspection standardisée ; les inspections doivent être effectuées par du personnel dûment formé à cet effet; et ceux qui sont sélectionnés comme inspecteurs ne doivent pas évaluer les services dans lesquels ils travaillent normalement, ni évaluer tout autre travail dans lequel ils ont une implication personnelle. Lorsque l'on se fie à des consultants, ce problème est minimisé.

                      De nombreuses grandes entreprises ont adopté ce type de système, soit conçu en interne, soit obtenu en tant que système propriétaire. Lorsque les systèmes ont été soigneusement suivis de la déclaration de politique à l'inspection, au retour d'information et aux actions correctives, une réduction substantielle des taux d'accidents, qui est la principale justification de la procédure, et une rentabilité accrue, qui est un résultat secondaire bienvenu, devraient en résulter.

                      Inspections par les Inspections

                      Le cadre juridique qui vise à protéger les personnes au travail doit être correctement administré et appliqué efficacement si l'on veut atteindre l'objectif de la législation réglementaire. La plupart des pays ont donc adopté le modèle général d'un service d'inspection chargé de veiller à l'application de la législation sur la sécurité et la santé. De nombreux pays considèrent les questions de sécurité et de santé comme faisant partie d'un ensemble complet de relations de travail couvrant les relations professionnelles, les accords sur les salaires et les congés et les avantages sociaux. Dans ce modèle, les inspections de sécurité et de santé sont un élément des fonctions de l'inspecteur du travail. Il existe également un modèle différent dans lequel l'inspection nationale s'occupe exclusivement de la législation en matière de sécurité et de santé, de sorte que les inspections du lieu de travail se concentrent uniquement sur cet aspect. D'autres variations sont évidentes dans la division des fonctions d'inspection entre une inspection nationale ou une inspection régionale/provinciale, ou bien, comme en Italie et au Royaume-Uni, par exemple, comme une combinaison fonctionnelle d'inspections nationales et régionales. Mais quel que soit le modèle adopté, la fonction essentielle de l'inspection est de vérifier le respect de la législation par un programme d'inspections et d'enquêtes planifiées sur le lieu de travail.

                      Il ne peut y avoir de système d'inspection efficace que si ceux qui entreprennent ce travail sont dotés de pouvoirs suffisants pour le mener à bien. Il existe de nombreux points communs entre les inspections en ce qui concerne les pouvoirs qui leur sont conférés par leurs législateurs. Il doit toujours y avoir un droit d'entrée dans les locaux, ce qui est clairement fondamental pour l'inspection. Par la suite, il existe le droit légal d'examiner les documents, registres et rapports pertinents, d'interroger les membres du personnel individuellement ou collectivement, d'avoir un accès illimité aux représentants syndicaux sur le lieu de travail, de prélever des échantillons de substances ou de matériaux utilisés sur le lieu de travail , de prendre des photographies et, le cas échéant, de recueillir les déclarations écrites des personnes travaillant sur les lieux.

                      Des pouvoirs supplémentaires sont souvent accordés pour permettre aux inspecteurs de rectifier les conditions qui pourraient être une source immédiate de danger ou de mauvaise santé pour la main-d'œuvre. Là encore, il existe une grande variété de pratiques. Lorsque les normes sont si mauvaises qu'il existe un risque imminent de danger pour la main-d'œuvre, un inspecteur peut être autorisé à signifier sur-le-champ un document légal interdisant l'utilisation de la machine ou de l'installation, ou interrompant le processus jusqu'à ce que le risque ait été effectivement éliminé. contrôlée. Pour un ordre de risque inférieur, les inspecteurs peuvent émettre un avis légal exigeant formellement que des mesures soient prises dans un délai donné pour améliorer les normes. Ce sont des moyens efficaces d'améliorer rapidement les conditions de travail et constituent souvent une forme d'application préférable aux procédures judiciaires formelles, qui peuvent être lourdes et lentes à obtenir une réparation.

                      Les poursuites judiciaires occupent une place importante dans la hiérarchie de l'exécution. Il existe un argument selon lequel les procédures judiciaires étant simplement punitives et n'entraînant pas nécessairement un changement d'attitude à l'égard de la sécurité et de la santé au travail, elles ne devraient donc être invoquées qu'en dernier recours lorsque toutes les autres tentatives visant à obtenir des améliorations ont échoué. Mais ce point de vue doit être mis en regard du fait que lorsque les exigences légales ont été ignorées ou ignorées, et lorsque la sécurité et la santé des personnes ont été considérablement menacées, la loi doit être appliquée et les tribunaux doivent trancher la question. Il y a un autre argument selon lequel les entreprises qui ne respectent pas la législation en matière de sécurité et de santé peuvent ainsi bénéficier d'un avantage économique par rapport à leurs concurrents, qui fournissent des ressources adéquates pour se conformer à leurs obligations légales. La poursuite de ceux qui négligent constamment leurs devoirs est donc un moyen de dissuasion pour les sans scrupules et un encouragement pour ceux qui essaient d'observer la loi.

                      Chaque service d'inspection doit déterminer le juste équilibre entre la fourniture de conseils et l'application de la loi dans le cadre du travail d'inspection. Une difficulté particulière apparaît à propos de l'inspection des petites entreprises. Les économies locales, voire nationales, reposent souvent sur des sites industriels employant chacun moins de 20 personnes ; dans le cas de l'agriculture, le chiffre de l'emploi par unité est très inférieur. La fonction de l'inspection dans ces cas est d'utiliser l'inspection du lieu de travail pour fournir des informations et des conseils non seulement sur les exigences légales, mais aussi sur les normes pratiques et les moyens efficaces de respecter ces normes. La technique doit être d'encourager et de stimuler, plutôt que d'appliquer immédiatement la loi par des mesures punitives. Mais même ici, l'équilibre est difficile. Les personnes au travail ont droit à des normes de sécurité et de santé quelle que soit la taille de l'entreprise, et il serait donc tout à fait erroné qu'un service d'inspection ignore ou minimise les risques et limite ou même renonce à l'application simplement pour favoriser l'existence de personnes économiquement fragiles petite entreprise.

                      Cohérence des inspections

                      Compte tenu de la nature complexe de leur travail - avec ses besoins combinés de compétences juridiques, prudentielles, techniques et scientifiques, les inspecteurs n'adoptent pas - en fait ne devraient pas - adopter une approche mécaniste de l'inspection. Cette contrainte, combinée à un équilibre difficile entre les fonctions de conseil et de contrôle, crée encore une autre préoccupation, celle de la cohérence des services d'inspection. Les industriels et les syndicats sont en droit d'attendre une application cohérente des normes, qu'elles soient techniques ou juridiques, par les inspecteurs à travers le pays. Dans la pratique, cela n'est pas toujours facile à réaliser, mais c'est quelque chose pour lequel les autorités chargées de l'application doivent toujours s'efforcer.

                      Il existe des moyens d'atteindre une cohérence acceptable. Premièrement, l'inspection doit être aussi ouverte que possible dans la publication de ses normes techniques et dans la présentation publique de ses politiques d'application. Deuxièmement, grâce à la formation, à l'application d'exercices d'évaluation par les pairs et à des instructions internes, il devrait être capable à la fois de reconnaître un problème et de fournir des systèmes pour y faire face. Enfin, il devrait veiller à ce qu'il existe des procédures permettant à l'industrie, aux travailleurs, au public et aux partenaires sociaux d'obtenir réparation s'ils ont un grief légitime concernant une incohérence ou d'autres formes de mauvaise administration associées à l'inspection.

                      Fréquence des inspections

                      À quelle fréquence les inspections doivent-elles procéder à des inspections du lieu de travail? Là encore, il existe des variations considérables dans la manière dont cette question peut être répondue. L'Organisation internationale du travail (OIT) estime que l'exigence minimale devrait être que chaque lieu de travail fasse l'objet d'une inspection des autorités chargées de l'application au moins une fois par an. Dans la pratique, peu de pays parviennent à produire un programme d'inspection du travail répondant à cet objectif. En effet, depuis la grande dépression économique de la fin des années 1980, certains gouvernements ont réduit les services d'inspection par des restrictions budgétaires qui se traduisent par une réduction du nombre d'inspecteurs ou par des restrictions sur le recrutement de nouveaux employés pour remplacer ceux qui partent à la retraite.

                      Il existe différentes approches pour déterminer la fréquence à laquelle les inspections doivent être effectuées. Une approche a été purement cyclique. Des ressources sont déployées pour assurer l'inspection de tous les locaux tous les 2 ans, ou plus probablement tous les 4 ans. Mais cette approche, bien qu'ayant peut-être l'apparence de l'équité, traite tous les locaux de la même manière, indépendamment de la taille ou du risque. Pourtant, les entreprises sont manifestement diverses en ce qui concerne les conditions de sécurité et de santé, et dans la mesure où elles diffèrent, ce système peut être considéré comme mécaniste et défectueux.

                      Une approche différente, adoptée par certains services d'inspection, a consisté à tenter d'établir un programme de travail basé sur les risques ; plus le danger pour la sécurité ou la santé est grand, plus l'inspection est fréquente. Par conséquent, les ressources sont appliquées par l'inspection aux endroits où le potentiel de préjudice pour la main-d'œuvre est le plus grand. Bien que cette approche ait des mérites, des problèmes considérables y sont encore associés. Premièrement, il est difficile d'évaluer précisément et objectivement les dangers et les risques. Deuxièmement, elle allonge très considérablement les intervalles entre les inspections des locaux où les dangers et les risques sont considérés comme faibles. Par conséquent, de longues périodes peuvent s'écouler pendant lesquelles une grande partie de la main-d'œuvre peut devoir renoncer au sentiment de sécurité et d'assurance que peut procurer l'inspection. De plus, le système a tendance à présumer que les dangers et les risques, une fois évalués, ne changent pas radicalement. C'est loin d'être le cas, et il existe un risque qu'une entreprise mal notée modifie ou développe sa production de manière à augmenter les dangers et les risques sans que l'inspection n'en soit consciente.

                      D'autres approches incluent des inspections basées sur des taux de blessures dans les installations qui sont plus élevés que les moyennes nationales pour l'industrie en question, ou immédiatement après une blessure mortelle ou une catastrophe majeure. Il n'y a pas de réponses courtes et faciles au problème de la détermination de la fréquence des inspections, mais ce qui semble se produire, c'est que les services d'inspection de nombreux pays manquent trop souvent de ressources, de sorte que la véritable protection de la main-d'œuvre offerte par le service s'érode progressivement.

                      Objectifs d'inspection

                      Les techniques d'inspection en milieu de travail varient selon la taille et la complexité de l'entreprise. Dans les petites entreprises, l'inspection sera complète et évaluera tous les dangers et la mesure dans laquelle les risques découlant des dangers ont été minimisés. L'inspection garantira donc que l'employeur est pleinement conscient des problèmes de sécurité et de santé et qu'il reçoit des conseils pratiques sur la manière de les résoudre. Mais même dans la plus petite entreprise, l'inspection ne devrait pas donner l'impression que la recherche des fautes et l'application des remèdes appropriés relèvent de la fonction de l'inspection et non de l'employeur. Les employeurs doivent être encouragés par l'inspection à contrôler et à gérer efficacement les problèmes de sécurité et de santé, et ils ne doivent pas abdiquer leurs responsabilités en attendant une inspection des autorités chargées de l'application avant de prendre les mesures nécessaires.

                      Dans les grandes entreprises, l'accent mis sur l'inspection est assez différent. Ces entreprises disposent des moyens techniques et financiers pour faire face aux problèmes de sécurité et de santé. Ils doivent concevoir à la fois des systèmes de gestion efficaces pour résoudre les problèmes, ainsi que des procédures de gestion pour vérifier que les systèmes fonctionnent. Dans ces circonstances, l'accent de l'inspection doit donc être mis sur la vérification et la validation des systèmes de contrôle de gestion présents sur le lieu de travail. L'inspection ne devrait donc pas consister en un examen exhaustif de tous les éléments de l'usine et de l'équipement pour déterminer leur sécurité, mais plutôt à l'aide d'exemples choisis pour tester l'efficacité ou non des systèmes de gestion pour assurer la sécurité et la santé au travail.

                      Participation des travailleurs aux inspections

                      Quels que soient les locaux, un élément critique de tout type d'inspection est le contact avec la main-d'œuvre. Dans de nombreux petits locaux, il se peut qu'il n'y ait pas de structure syndicale formelle ou même d'organisation de la main-d'œuvre. Cependant, pour assurer l'objectivité et l'acceptation du service d'inspection, le contact avec les travailleurs individuels devrait faire partie intégrante de l'inspection. Dans les grandes entreprises, le contact doit toujours être établi avec les syndicats ou d'autres représentants reconnus des travailleurs. La législation de certains pays (la Suède et le Royaume-Uni, par exemple) accorde une reconnaissance officielle et des pouvoirs aux délégués syndicaux à la sécurité, notamment le droit d'inspecter les lieux de travail, d'enquêter sur les accidents et les événements dangereux et, dans certains pays (bien que cela soit exceptionnel), de arrêter les machines de l'usine ou le processus de production s'il présente un danger imminent. Beaucoup d'informations utiles peuvent être tirées de ces contacts avec les travailleurs, qui devraient figurer dans chaque inspection, et certainement chaque fois que l'inspection procède à une inspection à la suite d'un accident ou d'une plainte.

                      Constatations d'inspection

                      L'élément final d'une inspection consiste à examiner les conclusions de l'inspection avec le membre le plus haut placé de la direction sur le site. La direction a la responsabilité première de se conformer aux exigences légales en matière de sécurité et de santé, et par conséquent, aucune inspection ne devrait être complète sans que la direction soit pleinement consciente de la mesure dans laquelle elle a rempli ces obligations et de ce qui doit être fait pour garantir et maintenir des normes appropriées. . Certes, si des avis juridiques sont publiés à la suite d'une inspection, ou si des poursuites judiciaires sont probables, la haute direction doit être informée de cet état de fait le plus tôt possible.

                      Inspections de l'entreprise

                      Les inspections d'entreprise sont un élément important du maintien de normes rigoureuses de sécurité et de santé au travail. Elles conviennent à toutes les entreprises et, dans les grandes entreprises, peuvent être un élément de la procédure de contrôle de gestion. Pour les petites entreprises, il est essentiel d'adopter une forme d'inspection régulière de l'entreprise. Il ne faut pas se fier aux services d'inspection fournis par les services d'inspection des autorités chargées de l'application. Celles-ci sont généralement beaucoup trop peu fréquentes et devraient largement servir de stimulant pour améliorer ou maintenir les normes, plutôt que d'être la principale source d'évaluation des normes. Les inspections d'entreprise peuvent être effectuées par des consultants ou par des sociétés spécialisées dans ce travail, mais la discussion actuelle se concentrera sur l'inspection par le personnel de l'entreprise.

                      À quelle fréquence les inspections de l'entreprise doivent-elles être effectuées ? Dans une certaine mesure, la réponse dépend des dangers associés au travail et de la complexité de l'usine. Mais même dans les locaux à faible risque, il devrait y avoir une certaine forme d'inspection sur une base régulière (mensuelle, trimestrielle, etc.). Si l'entreprise emploie un professionnel de la sécurité, il est clair que l'organisation et la conduite de l'inspection doivent être une partie importante de cette fonction. L'inspection doit généralement être un effort d'équipe impliquant le professionnel de la sécurité, le chef de service ou le contremaître, et soit un représentant syndical, soit un travailleur qualifié, tel qu'un membre du comité de sécurité. L'inspection doit être complète; c'est-à-dire qu'il convient d'examiner de près à la fois le logiciel de sécurité (par exemple, les systèmes, les procédures et les permis de travail) et le matériel (par exemple, la protection des machines, l'équipement de lutte contre l'incendie, la ventilation par aspiration et l'équipement de protection individuelle). Une attention particulière doit être accordée aux "quasi-accidents" - ces incidents qui n'entraînent pas de dommages ou de blessures corporelles mais qui ont un potentiel imminent de blessures accidentelles graves. On s'attend à ce qu'après un accident entraînant une absence du travail, l'équipe d'inspection se réunisse immédiatement pour enquêter sur les circonstances, en dehors du cycle normal d'inspection. Mais même lors de l'inspection de routine de l'atelier, l'équipe doit également tenir compte de l'étendue des blessures accidentelles mineures survenues dans le service depuis l'inspection précédente.

                      Il est important que les inspections des entreprises ne semblent pas systématiquement négatives. Là où des défauts existent, il est important qu'ils soient identifiés et rectifiés, mais il est tout aussi important de recommander le maintien de bonnes normes, de commenter positivement la propreté et le bon entretien, et de renforcer par des encouragements ceux qui utilisent l'équipement de protection individuelle prévu pour leur sécurité . Pour terminer l'inspection, un rapport écrit officiel doit être rédigé sur les lacunes importantes constatées. Une attention particulière doit être portée à toute lacune qui a été identifiée lors d'inspections précédentes mais qui n'a pas encore été corrigée. Lorsqu'il existe un comité de sécurité d'entreprise ou un comité de sécurité mixte direction-travailleurs, le rapport d'inspection doit figurer en tant que point permanent à l'ordre du jour du comité. Le rapport d'inspection doit être transmis et discuté avec la haute direction de l'entreprise, qui doit alors déterminer si une action est requise et, le cas échéant, autoriser et soutenir une telle action.

                      Même les plus petites entreprises, où il n'y a pas de professionnel de la sécurité et où les syndicats peuvent ne pas exister, devraient envisager des inspections d'entreprise. De nombreux services d'inspection ont produit des directives très simples illustrant les concepts de base de la sécurité et de la santé, leur application à une gamme d'industries et les moyens pratiques de les appliquer même dans les plus petites entreprises. De nombreuses associations de sécurité ciblent spécifiquement les petites entreprises avec des publications (souvent gratuites) qui fournissent les informations de base pour établir des conditions de travail sûres et saines. Armé de ce genre d'informations et en y consacrant très peu de temps, le propriétaire d'une petite entreprise peut établir des normes raisonnables, et peut ainsi peut-être éviter le genre d'accidents qui peuvent arriver à la main-d'œuvre même dans la plus petite entreprise.

                       

                      Retour

                      C'est un paradoxe que la prévention des accidents du travail ne soit pas apparue très tôt comme une nécessité absolue, la santé et la sécurité étant fondamentales au travail lui-même. En fait, ce n'est qu'au début du XXe siècle que les accidents du travail ont cessé d'être considérés comme inévitables et que leur causalité est devenue un sujet à étudier et à utiliser comme base de prévention. Cependant, l'enquête sur les accidents est restée longtemps superficielle et empirique. Historiquement, les accidents ont d'abord été conçus comme des phénomènes simples, c'est-à-dire comme résultant d'une cause unique (ou principale) et d'un petit nombre de causes subsidiaires. Il est désormais reconnu que l'enquête sur les accidents, qui vise à identifier les causes du phénomène afin d'éviter qu'il ne se reproduise, dépend à la fois du concept qui sous-tend le processus d'enquête et de la complexité de la situation à laquelle il s'applique.

                      Causes d'accident

                      Il est en effet vrai que dans les situations les plus précaires, les accidents résultent souvent d'un enchaînement assez simple de quelques causes pouvant être rapidement rattachées à des problèmes techniques élémentaires qu'une analyse même sommaire peut révéler (matériel mal conçu, méthodes de travail non définies, etc.). D'autre part, plus les éléments matériels du travail (machines, installations, aménagement du lieu de travail, etc.) sont conformes aux exigences des procédures, normes et règlements de travail sécuritaires, plus la situation de travail devient sécuritaire. Il en résulte qu'un accident ne peut alors survenir que lorsqu'un ensemble de conditions exceptionnelles sont présentes simultanément, conditions de plus en plus nombreuses. Dans de tels cas, la blessure ou le dommage apparaît comme le résultat final d'un réseau de causes souvent complexe. Cette complexité témoigne en effet des progrès de la prévention et nécessite des méthodes d'investigation adaptées. Le tableau 1 liste les principaux concepts du phénomène accidentel, leurs caractéristiques et leurs implications pour la prévention.

                      Tableau 1. Principaux concepts du phénomène accidentel, leurs caractéristiques et leurs implications pour la prévention

                      Concept ou "phénomène accidentel"

                      Les éléments significatifs (objectifs, procédures, limites, etc.)

                      Principales conséquences pour la prévention

                      Concept de base (accident comme
                      phénomène avec peu de causes ou même une seule cause)

                      L'objectif est d'identifier "la" cause unique ou principale
                      Pas de méthode particulière
                      Peu de temps consacré à l'enquête
                      Rôle du hasard et du destin souvent évoqué

                      Mesures de prévention simples concernant l'antécédent immédiat de la blessure (protection individuelle, consignes de prudence, protection des machines dangereuses)

                      Concept axé sur les mesures réglementaires

                      Concentrez-vous sur la recherche de qui est responsable ; l'« enquête » relève essentiellement les manquements et les fautes Peu préoccupé par les conditions génératrices des situations examinées

                      La prévention se limite généralement à des rappels sur les exigences réglementaires existantes ou à des instructions formelles

                      Concept linéaire (ou quasi-linéaire) (modèle « domino »)

                      Identification d'une succession chronologique de "conditions dangereuses" et d'"actes dangereux"
                      Utilisation fréquente des listes de contrôle
                      L'enquête dépend beaucoup de l'expérience de l'enquêteur
                      Faible composante préventive (caractère dangereux des actes déterminé a posteriori)

                      Conclusions portant généralement sur les actes dangereux

                      Concept multifactoriel

                      Une recherche exhaustive pour recueillir les faits (circonstances, causes, facteurs, etc.)
                      Accent mis sur le caractère contingent de chaque situation accidentelle
                      Aucun critère de pertinence dans les faits recueillis
                      Nécessité d'un traitement statistique complexe

                      Concept peu propice à la recherche de solutions au cas par cas (analyse clinique) et mieux adapté à l'identification d'aspects statistiques (tendances, tableaux, graphiques, etc.)

                      Concept systématique
                      (arbre des causes, STEP)

                      Identification du réseau de facteurs de chaque accident
                      Utilisation de relations logiques
                      Besoin de formation des enquêteurs

                      Méthodes centrées sur l'analyse clinique
                      (réalisé de manière participative)
                      Possibilité d'utilisation pour tous événements indésirables
                      (incidents, pannes)

                       

                      De nos jours, un accident du travail est généralement considéré comme un indice (ou un symptôme) de dysfonctionnement dans un système constitué d'une seule unité de production, telle qu'une usine, un atelier, une équipe ou un poste de travail. C'est la nature d'un système que son analyse demande à l'enquêteur d'examiner non seulement les éléments qui le composent, mais aussi leurs relations entre eux et avec l'environnement de travail. Dans le cadre d'un système, l'enquête accidentelle cherche à remonter jusqu'à ses origines l'enchaînement des dysfonctionnements élémentaires ayant conduit à l'accident et, plus généralement, le réseau des antécédents de l'événement indésirable (accident, quasi-accident ou incident).

                      L'application de méthodes de ce type, telles que la méthode STEP (procédures de traçage d'événements séquentiels temporels) et la méthode "arbre des causes" (semblable aux analyses d'arbres de défaillances ou d'événements), permet de visualiser le processus accidentel sous la forme d'un graphique ajusté qui illustre la multicausalité du phénomène. Étant donné que ces deux méthodes sont si similaires, il serait inutile de les décrire toutes les deux ; en conséquence, cet article se concentre sur la méthode de l'arbre des causes et, le cas échéant, note ses principales différences par rapport à la méthode STEP.

                      Informations utiles à l'enquête

                      La phase initiale de l'enquête, la collecte d'informations, doit permettre de décrire le déroulement de l'accident en termes concrets, précis et objectifs. L'enquête s'attache donc à constater les faits tangibles, en se gardant bien de les interpréter ou d'exprimer une opinion à leur sujet. Ce sont les antécédents de l'accident, dont il existe deux types:

                      1. ceux de nature inhabituelle (changements ou variations) par rapport au déroulement « normal » ou attendu du travail
                      2. celles à caractère permanent qui ont joué un rôle actif dans la survenance de l'accident par l'intermédiaire ou en combinaison avec des antécédents inhabituels.

                       

                      Par exemple, une protection insuffisante d'une machine (antécédent permanent) peut s'avérer un facteur d'accident si elle permet à l'opérateur de prendre position dans une zone dangereuse pour faire face à un incident particulier (antécédent inhabituel).

                      La collecte d'informations est effectuée sur le lieu même de l'accident dès que possible après sa survenance. Elle est réalisée de préférence par des personnes qui connaissent l'opération ou le procédé et qui tentent d'obtenir une description précise des travaux sans se limiter aux circonstances immédiates du dommage ou de la blessure. L'enquête s'effectue dans un premier temps principalement au moyen d'entretiens, si possible avec le travailleur ou l'opérateur, les victimes et témoins oculaires, les autres membres de l'équipe de travail et les supérieurs hiérarchiques. Le cas échéant, elle est complétée par une enquête technique et le recours à une expertise extérieure.

                      L'enquête cherche à identifier, par ordre de priorité, les antécédents inhabituels et à déterminer leurs liens logiques. On s'efforce en même temps de révéler les antécédents permanents qui ont permis à l'accident de se produire. L'enquête peut ainsi remonter à une étape plus lointaine que les antécédents immédiats de l'accident. Ces antécédents plus lointains peuvent concerner les individus, leurs tâches, les équipements qu'ils utilisent, l'environnement dans lequel ils évoluent et la culture de sécurité. En procédant de la manière qui vient d'être décrite, il est généralement possible de dresser une longue liste d'antécédents, mais il sera généralement difficile d'exploiter immédiatement les données. L'interprétation des données est rendue possible grâce à une représentation graphique de tous les antécédents impliqués dans la genèse de l'accident, c'est-à-dire un arbre des causes.

                      Construire un arbre des causes

                      L'arbre des causes présente tous les antécédents recueillis qui ont donné lieu à l'accident, ainsi que les liens logiques et chronologiques qui les relient ; c'est une représentation du réseau d'antécédents qui ont causé directement ou indirectement la blessure. L'arbre des causes est construit à partir du point final de l'événement - c'est-à-dire la blessure ou le dommage - et remonte vers la cause en posant systématiquement les questions suivantes pour chaque antécédent recueilli :

                      • Par quel antécédent X l'antécédent Y a-t-il été directement causé ?
                      • L'antécédent X était-il suffisant à lui seul pour donner naissance à l'antécédent Y ?
                      • Sinon, y a-t-il eu d'autres antécédents (X1, X2  Xn) également nécessaires pour donner directement naissance à l'antécédent Y ?

                       

                      Cet ensemble de questions peut révéler trois types de liens logiques, résumés dans la figure 1, entre les antécédents.

                      Figure 1. Liens logiques utilisés dans la méthode "arbre des causes"

                      SAF230T2

                      La cohérence logique de l'arbre est vérifiée en posant les questions suivantes pour chaque antécédent :

                      • Si X n'avait pas eu lieu, Y aurait-il quand même eu lieu ?
                      • Pour que Y se produise, X, et seulement X, était-il nécessaire ?

                       

                      De plus, la construction de l'arbre des causes en elle-même incite les enquêteurs à poursuivre la collecte d'informations, et donc l'enquête, bien avant que l'accident ne se produise. Une fois rempli, l'arbre représente le réseau d'antécédents ayant donné lieu à la blessure, ce sont en fait les facteurs d'accident. A titre d'exemple, l'accident résumé ci-dessous a produit l'arbre des causes présenté à la figure 2.

                      Figure 2. Arbre des causes d'un accident subi par un apprenti mécanicien lors du remontage d'un moteur dans une voiture

                      SAF230F1

                      Rapport sommaire d'accident : Un apprenti mécanicien, récemment recruté, a dû travailler seul en cas d'urgence. Une élingue usée était utilisée pour suspendre un moteur qui devait être remonté, et lors de cette opération l'élingue s'est cassée et le moteur est tombé et a blessé le bras du mécanicien.

                      Analyse par la méthode STEP

                      Selon la méthode STEP (figure 3), chaque événement est présenté graphiquement de façon à montrer l'ordre chronologique de son apparition, en gardant une ligne par « agent » concerné (un agent est la personne ou la chose qui détermine le cours des événements constituant le processus accidentel). Chaque événement est décrit avec précision en indiquant son début, sa durée, son lieu de début et de fin, etc. Lorsqu'il existe plusieurs hypothèses plausibles, l'investigateur peut les faire apparaître dans le réseau des événements en utilisant la relation logique « ou ».

                      Figure 3. Exemple de représentation possible par la méthode STEP

                      SAF230F2

                      Analyse par la méthode de l'arbre des causes

                      L'utilisation de l'arbre des causes pour les besoins de l'analyse des accidents a deux objectifs :

                      • rendant impossible la répétition du même accident
                      • éviter la survenance d'accidents plus ou moins similaires, c'est-à-dire des accidents dont l'enquête révélerait des points communs avec les accidents déjà survenus.

                       

                      Compte tenu de la structure logique de l'arbre, l'absence d'un seul antécédent aurait empêché la survenance de l'accident. Une mesure de prévention judicieuse suffirait donc, en principe, à satisfaire le premier objectif en empêchant la répétition du même accident. Le deuxième objectif exigerait que tous les facteurs découverts soient éliminés, mais en pratique les antécédents n'ont pas tous la même importance aux fins de la prévention. Il est donc nécessaire d'établir une liste d'antécédents nécessitant une action préventive raisonnable et réaliste. Si cette liste est longue, il faut faire un choix. Ce choix a plus de chance d'être opportun s'il est fait dans le cadre d'un débat entre les partenaires concernés par l'accident. De plus, le débat gagnera en clarté dans la mesure où il sera possible d'évaluer le rapport coût-efficacité de chaque mesure proposée.

                      Efficacité des mesures préventives

                      L'efficacité d'une mesure préventive peut être jugée à l'aide des critères suivants :

                      La stabilité de la mesure. Les effets d'une mesure de prévention ne doivent pas disparaître avec le temps : informer les opérateurs (en particulier, leur rappeler des consignes) n'est pas une mesure très stable car ses effets sont souvent transitoires. Il en est d'ailleurs de même de certains dispositifs de protection lorsqu'ils sont facilement démontables.

                      La possibilité d'intégrer la sécurité. Lorsqu'une mesure de sécurité est ajoutée, c'est-à-dire lorsqu'elle ne contribue pas directement à la production, on dit que la sécurité n'est pas intégrée. Chaque fois qu'il en est ainsi, on constate que la mesure tend à disparaître. D'une manière générale, toute mesure de prévention entraînant un surcoût pour l'opérateur doit être évitée, qu'il s'agisse d'un coût physiologique (augmentation de la charge physique ou nerveuse), d'un coût psychologique, d'un coût financier (en cas de salaire ou de rendement) ou encore une simple perte de temps.

                      Le non déplacement du risque. Certaines mesures préventives peuvent avoir des effets indirects préjudiciables à la sécurité. Il faut donc toujours prévoir les éventuelles répercussions d'une mesure préventive sur le système (métier, équipe ou atelier) dans lequel elle s'insère.

                      La possibilité d'application générale (notion de facteur d'accident potentiel). Ce critère traduit la crainte que la même action préventive puisse s'appliquer à d'autres emplois que celui affecté par l'accident faisant l'objet de l'enquête. Dans la mesure du possible, il faut s'efforcer d'aller au-delà du cas particulier qui a donné lieu à l'enquête, effort qui nécessite souvent une reformulation des problèmes découverts. L'information issue d'un accident peut ainsi conduire à une action préventive relative à des facteurs inconnus mais présents dans d'autres situations de travail où ils n'ont pas encore donné lieu à des accidents. C'est pourquoi ils sont appelés « facteurs d'accidents potentiels ». Cette notion ouvre la voie à la détection précoce des risques, évoquée plus loin.

                      L'effet sur les « causes » profondes. En règle générale, la prévention des facteurs d'accident proches du lieu de la blessure élimine certains effets des situations dangereuses, tandis que la prévention agissant bien en amont de la blessure tend à éliminer les situations dangereuses elles-mêmes. Une enquête approfondie sur les accidents se justifie dans la mesure où l'action de prévention concerne également les facteurs en amont.

                      Le délai de candidature. La nécessité d'agir le plus rapidement possible après la survenance d'un accident pour éviter qu'il ne se reproduise se traduit souvent par l'application d'une mesure préventive simple (une consigne par exemple), mais cela n'élimine pas la nécessité d'autres mesures plus durables. et une action plus efficace. Chaque accident doit donc donner lieu à une série de propositions dont la mise en œuvre fait l'objet d'un suivi.

                      Les critères ci-dessus sont destinés à mieux apprécier la qualité des actions de prévention proposées après chaque enquête accidentelle. Cependant, le choix final ne se fait pas uniquement sur cette base, car d'autres considérations, telles qu'économiques, culturelles ou sociales, doivent également être prises en compte. Enfin, les mesures décidées doivent évidemment respecter la réglementation en vigueur.

                      Facteurs d'accident

                      Les enseignements tirés de chaque analyse d'accident méritent d'être consignés systématiquement afin de faciliter le passage de la connaissance à l'action. Ainsi la figure 4 se compose de trois colonnes. Dans la colonne de gauche sont notés les facteurs d'accident nécessitant des mesures préventives. Les actions préventives possibles sont décrites dans la colonne du milieu pour chaque facteur décidé. Après la discussion mentionnée ci-dessus, l'action sélectionnée est enregistrée dans cette partie du document.

                      Figure 4. Leçons tirées des accidents et utilisation de ces leçons

                      SAF230T3

                      La colonne de droite reprend les facteurs d'accident potentiels suggérés par les facteurs répertoriés dans la colonne de gauche : on considère que chaque facteur d'accident découvert n'est souvent qu'un cas particulier d'un facteur plus général dit facteur d'accident potentiel. Le passage du cas particulier au cas plus général se fait souvent spontanément. Cependant, chaque fois qu'un facteur d'accident est exprimé de telle manière qu'il n'est pas possible de le rencontrer ailleurs que dans la situation où il est apparu, une formulation plus générale doit être envisagée. Ce faisant, il convient d'éviter deux écueils opposés afin d'utiliser efficacement la notion de facteur d'accident potentiel dans la détection précoce des risques survenant ultérieurement. Une formulation trop circonscrite ne permet pas une détection systématique des facteurs, alors qu'une formulation trop large rend la notion inexploitable et n'a plus d'intérêt pratique. La détection des facteurs d'accidents potentiels suppose donc qu'ils soient bien formulés. Cette détection peut alors s'effectuer de deux manières, qui sont d'ailleurs complémentaires :

                      1. soit en recherchant la présence éventuelle de facteurs potentiels déjà connus au niveau d'un métier ou d'un domaine plus large (atelier, service)
                      2. soit en recherchant des emplois où un facteur déjà déterminé peut être observé.

                       

                      Utilité, efficacité et limites des enquêtes sur les accidents

                      Utilité. Par rapport aux enquêtes non systématiques, les méthodes d'enquête sur les accidents basées sur un concept systématique présentent de nombreux avantages, parmi lesquels :

                      • Ils permettent de définir collectivement le réseau causal de chaque accident, à partir duquel il est plus facile d'imaginer de nouvelles mesures de prévention et d'anticiper leur impact sans se limiter aux causes directes de la blessure.
                      • Ils offrent aux acteurs de l'analyse une représentation mentale plus riche et plus réaliste du « phénomène accidentel » qui permet une compréhension globale des situations de travail.
                      • Les enquêtes approfondies sur les accidents (surtout lorsqu'elles sont étendues aux incidents et aux événements indésirables) peuvent devenir un moyen et une occasion appropriée de dialogue entre la direction et les exploitants.

                       

                      Efficacité. Pour être efficace, une enquête sur un accident nécessite que quatre conditions soient remplies simultanément :

                        1. un engagement évident de la part de la direction de l'établissement, qui doit être en mesure d'assurer la mise en œuvre systématique de telles procédures
                        2. formation des enquêteurs
                        3. la direction, les superviseurs et les travailleurs pleinement informés des objectifs de l'enquête, de ses principes, des exigences de la méthode et des résultats attendus
                        4. de réelles améliorations des conditions de sécurité qui encourageront les acteurs des enquêtes futures.

                               

                              Limitations. Même lorsqu'elle est très bien menée, l'enquête sur les accidents souffre d'une double limitation :

                              • Il reste une procédure d'investigation des risques a posteriori (à la manière d'une analyse systémique), dans le but de corriger des situations existantes. Elle ne dispense donc pas de la nécessité de a priori enquêtes (prospectives), telles que l'enquête ergonomique sur les postes de travail ou, pour les systèmes complexes, les enquêtes de sécurité.
                              • L'utilité des enquêtes sur les accidents varie également selon le niveau de sécurité de l'établissement où elles sont appliquées. En particulier, lorsque le niveau de sécurité est élevé (le taux d'accidents est faible ou très faible), il est évident que les accidents graves résultent de la conjonction de nombreux aléas indépendants et relativement inoffensifs du point de vue de la sécurité lorsqu'ils sont considérés hors du contexte d'investigation. .

                               

                              Retour

                              La nécessité de déclarer et de compiler des données sur les accidents

                              L'objectif principal de la collecte et de l'analyse des données sur les accidents du travail est de fournir des connaissances à utiliser dans la prévention des accidents du travail, des décès et d'autres formes de préjudices tels que les expositions toxiques ayant des effets à long terme. Ces données sont également utiles pour évaluer les besoins d'indemnisation des victimes pour des blessures subies antérieurement. Les objectifs supplémentaires et plus spécifiques de la compilation des statistiques d'accidents sont les suivants :

                              • pour estimer les causes et l'ampleur des problèmes d'accidents
                              • identifier et hiérarchiser le besoin de mesures préventives
                              • pour évaluer l'efficacité des mesures préventives
                              • surveiller les risques, émettre des alertes et mener des campagnes de sensibilisation
                              • donner un retour d'expérience aux acteurs de la prévention.

                               

                              Souvent, une vue d'ensemble du nombre d'accidents survenus sur une base annuelle est souhaitée. Une fréquence est souvent utilisée à cette fin, comparant le nombre d'accidents à une mesure relative au groupe à risque et exprimée, par exemple, en termes d'accidents pour 100,000 100,000 travailleurs ou pour XNUMX XNUMX heures de travail. Ces comptages annuels ont pour but de révéler les variations d'un taux d'accidents d'une année à l'autre. Cependant, s'ils peuvent indiquer les types d'accidents qui nécessitent l'action préventive la plus urgente, ils ne fournissent pas à eux seuls d'indications quant à la forme que cette action devrait prendre.

                              Le besoin d'information sur les accidents concerne les trois niveaux de fonction suivants qui en font usage :

                              • Au niveau du lieu de travail au sein de l'entreprise individuelle, les données sur les accidents sont utilisées dans les activités de sécurité locales. Les meilleures opportunités pour s'attaquer à des facteurs de risque spécifiques se trouvent immédiatement sur le lieu de travail lui-même.
                              • Au niveau de l'autorité responsable de la législation, les données sur les accidents sont utilisées pour réglementer l'environnement de travail et promouvoir la sécurité sur le lieu de travail. Il est possible non seulement d'exercer un contrôle sur le lieu de travail à ce niveau, mais également d'effectuer des analyses statistiques générales à utiliser dans le cadre d'un travail de prévention global.
                              • Au niveau de l'autorité responsable du paiement des indemnités aux victimes d'accidents, les données d'accidents sont utilisées pour aider à déterminer les taux.

                               

                              Le rôle de l'organisation dans la compilation des informations sur les accidents

                              Dans de nombreux pays, les entreprises sont tenues par la loi de tenir des statistiques sur les accidents du travail entraînant des blessures, la mort ou une exposition toxique d'un travailleur. Le but est généralement d'attirer l'attention sur les risques qui ont effectivement conduit à ces types d'accidents, les activités de sécurité se concentrant principalement sur l'accident particulier et l'étude de l'événement lui-même. Cependant, il est plus courant que les informations sur les accidents soient collectées et enregistrées systématiquement, une fonction qui est généralement exercée à un niveau supérieur.

                              Les circonstances réelles de la plupart des accidents étant particulières, il est rare que des accidents tout à fait identiques se produisent, et la prévention fondée sur l'analyse de l'accident individuel tend très vite à devenir une question très spécifique. En compilant systématiquement des informations sur les accidents, il est possible d'obtenir une vision plus large des zones où des risques spécifiques existent et de découvrir les facteurs moins évidents qui ont joué un rôle dans la causalité de l'accident. Des processus de travail spécifiques, des équipes de travail spécifiques ou le travail avec des machines spécifiques peuvent donner lieu à des accidents hautement circonstanciels. Cependant, une étude approfondie des types d'accidents associés à une classe donnée de travail en uniforme peut révéler des facteurs tels que des processus de travail inopportuns, une utilisation incorrecte des matériaux, des conditions de travail difficiles ou le manque d'instruction adéquate des travailleurs. L'analyse de nombreux accidents récurrents révélera les facteurs fondamentaux à prendre en compte lors d'une action préventive.

                              Signalement des informations sur les accidents aux autorités de sécurité

                              La législation exigeant la déclaration des accidents du travail varie considérablement d'un pays à l'autre, les différences étant principalement liées aux catégories d'employeurs et d'autres personnes auxquelles s'appliquent les lois. Les pays qui accordent une grande importance à la sécurité sur le lieu de travail exigent généralement que les données sur les accidents soient communiquées à l'autorité responsable de la surveillance du respect de la législation sur la sécurité. (Dans certains cas, la législation exige la déclaration des accidents du travail entraînant une absence du travail, la durée de cette absence variant de 1 à 3 jours en plus du jour de l'accident.) Le point commun à la plupart des législations est le fait que la déclaration est liée avec une sorte de pénalité ou de compensation pour les conséquences des accidents.

                              Afin de fournir une base solide pour la prévention des accidents du travail, il est nécessaire de sécuriser les informations sur les accidents concernant tous les secteurs et tous les types de métiers. Une base de comparaison devrait être fournie au niveau national afin de permettre de hiérarchiser les actions de prévention et afin que la connaissance des risques associés aux tâches dans différents secteurs puisse être mise à profit dans le travail de prévention. Il est donc recommandé que l'obligation de compiler des informations sur les accidents du travail au niveau national s'applique à tous les accidents du travail d'une gravité déterminée, qu'ils concernent des salariés d'entreprises ou des indépendants, des personnes exerçant un emploi temporaire ou des salariés réguliers, ou des travailleurs des secteurs public ou privé.

                              Si les employeurs ont, de manière générale, le devoir de déclarer les accidents, c'est un devoir qu'ils accomplissent avec plus ou moins d'enthousiasme. Le degré de respect de l'obligation de déclarer les accidents dépend des incitations qui poussent l'employeur à le faire. Certains pays ont une règle, par exemple, selon laquelle les employeurs seront indemnisés pour l'indemnité d'arrêt de travail d'une victime d'accident, une disposition qui leur donne une bonne raison de déclarer les lésions professionnelles. D'autres pays pénalisent les employeurs qui ne signalent pas les accidents. Lorsque ces types d'incitations n'existent pas, la simple obligation légale qui s'impose à l'employeur n'est pas toujours respectée. Il est par ailleurs recommandé que les informations sur les accidents du travail destinées à des applications préventives soient transmises à l'autorité chargée des activités de prévention, et soient tenues à l'écart de l'autorité d'indemnisation.

                              Quelles informations doivent être compilées ?

                              Il existe trois catégories fondamentales d'informations pouvant être obtenues au moyen de l'enregistrement des accidents :

                              • Informations identifiant De les accidents se produisent - c'est-à-dire les secteurs, les métiers, les processus de travail, etc. Cette connaissance peut être utilisée pour déterminer De une action préventive est nécessaire.
                              • Informations montrant how les accidents se produisent, les situations dans lesquelles ils se produisent et la façon dont les blessures se produisent. Cette connaissance peut être utilisée pour déterminer la type d'action préventive nécessaire.
                              • Informations relatives à la nature et le sérieux des blessures, décrivant, par exemple, les parties du corps touchées et les conséquences des blessures sur la santé. Ces connaissances doivent être utilisées pour priorisation action préventive afin de s'assurer qu'une action est entreprise là où le risque est le plus élevé.

                              Il est nécessaire de compiler un certain complément de données de base pour bien documenter quand et où un accident se produit et pour analyser comment il se produit. Au niveau de l'entreprise, les données collectées sont plus détaillées que celles rassemblées au niveau national, mais les rapports générés au niveau local contiendront des informations précieuses à tous les niveaux. Le tableau 1 illustre les types particuliers d'informations qui pourraient être enregistrées pour décrire un accident individuel. Les éléments particulièrement pertinents pour la tâche de préparation des statistiques relatives à l'accident sont décrits plus en détail ci-dessous.

                              Tableau 1. Variables informationnelles caractérisant un accident

                              Actions

                              Articles

                              Étape 1

                              Activité de la victime : par exemple, faire fonctionner une machine, effectuer l'entretien, conduire, marcher, etc.

                              Élément lié à l'activité de la victime : par exemple, presse électrique, outil, véhicule, sol, etc.

                              Étape 2

                              Action déviante : par exemple, explosion, défaillance structurelle, trébuchement, perte de contrôle de, etc.

                              Composant lié à l'action déviante : par exemple, récipient sous pression, mur, câble, véhicule, machine, outil, etc.

                              Étape 3

                              Action entraînant une blessure : par exemple, frappé par, écrasé, piégé, en contact avec, mordu par, etc.

                              Agent de blessure : par exemple, brique, sol, machine, etc.

                               

                              Numéro d'identification de l'accident. Tous les accidents du travail doivent se voir attribuer un numéro d'identification unique. Il est particulièrement avantageux d'utiliser un identifiant numérique à des fins d'archivage informatisé et de traitement ultérieur.

                              Numéro d'identification personnel et date. L'enregistrement de la victime est un élément essentiel de l'identification de l'accident. Le numéro peut être l'anniversaire du travailleur, son numéro d'emploi, son numéro de sécurité sociale ou tout autre identifiant unique. L'enregistrement à la fois d'un numéro d'identification personnel et de la date de l'accident empêchera l'enregistrement en double du même événement accidentel et permettra également de vérifier si l'accident a été signalé. Le lien entre les informations contenues dans le rapport d'accident avec le numéro d'identification personnel peut être protégé à des fins de sécurité.

                              Nationalité. La nationalité de la victime peut être un élément d'information particulièrement important dans les pays où la main-d'œuvre étrangère est importante. Un numéro de code à deux chiffres peut être sélectionné parmi ceux répertoriés dans la norme DS/ISO 3166.

                              Profession. Un numéro d'enregistrement professionnel peut être choisi dans la liste des codes professionnels internationaux à quatre chiffres fournie par la Classification internationale type des professions (CITP).

                              Enterprise. Le nom, l'adresse et le numéro d'identification de l'entreprise sont utilisés dans l'enregistrement des accidents au niveau national (bien que le nom et l'adresse ne puissent pas être utilisés pour l'enregistrement informatique). Le secteur de production de l'entreprise aura généralement été enregistré auprès de son assureur contre les accidents du travail ou enregistré dans le cadre de l'enregistrement de sa main-d'œuvre. Un identifiant numérique du secteur peut être attribué selon le système de classification internationale à cinq chiffres NACE.

                              Le processus de travail. Un élément essentiel de l'information relative aux accidents du travail est la description du processus de travail effectué au moment où l'accident s'est produit. L'identification du processus de travail est une condition préalable à une prévention bien ciblée. Il convient de noter que le processus de travail est la fonction de travail réelle que la victime exécutait au moment de l'accident et qu'il n'est pas nécessairement identique au processus de travail qui a causé la blessure, le décès ou l'exposition.

                              L'événement accidentel. Un événement accidentel comprend normalement une chaîne d'événements. Les enquêteurs ont souvent tendance à se concentrer sur la partie du cycle de l'événement au cours de laquelle la blessure s'est réellement produite. Du point de vue de la prévention, cependant, une description de la partie du cycle de l'événement au cours de laquelle quelque chose s'est mal passé et de ce que faisait la victime lorsque l'événement s'est produit est tout aussi importante.

                              Les conséquences de l'accident. Une fois la partie blessée du corps spécifiée et le type de blessure décrit (ceci est fait en partie en codant à partir d'une liste de contrôle et en partie à partir de la description dans le cycle de l'événement), les informations sont enregistrées décrivant la gravité de la blessure, si elle a entraîné absence du travail (et pendant combien de temps), ou si elle a été fatale ou s'est accompagnée d'une invalidité. Des informations détaillées en termes d'absence prolongée du travail, d'hospitalisation ou d'invalidité sont normalement disponibles auprès des caisses de compensation et du système de sécurité sociale.

                              Aux fins d'enregistrement, l'examen des événements accidentels est donc divisé selon les trois éléments d'information suivants :

                              • L'activité associé à un accident est celui qui était effectué par la victime au moment de l'accident. Elle est enregistrée au moyen d'un code action et d'un code technologie. À cet égard, le concept de technologie est large, couvrant des instruments tels que les machines, les matériaux, les éléments de construction et même les animaux. À l'heure actuelle, il n'existe pas de classification internationale des technologies, bien que le Danemark ait élaboré un système de classification à cette fin.
                              • L'événement de blessure est l'événement déviant qui a conduit à l'accident. Celle-ci est enregistrée au moyen d'un code pour l'écart et d'un ou deux codes pour la technologie faisant partie de l'écart.
                              • Le mode de blessure est enregistré en utilisant un code pour la manière dont la victime est entrée en contact avec le facteur causant la blessure et un autre code pour la technologie qui a causé la blessure.

                               

                              Les exemples suivants illustrent l'application de ces catégories d'analyse :

                                1. Dans le cas où un travailleur trébuche sur un tuyau d'arrosage en marchant et tombe, se cognant la tête contre une table, l'activité est la marche, l'événement de blessure trébuche sur le tuyau d'arrosage et le mode de blessure frappe le tête contre la table.
                                2. Alors qu'un travailleur se tient près d'un mur, un réservoir explose, provoquant l'effondrement du mur sur la victime. L'activité consiste simplement à se tenir près du mur, l'événement de blessure est l'explosion du char et le mode de blessure est l'impact du mur sur la victime.

                                   

                                  Signalement des informations sur les accidents

                                  Les informations à obtenir pour chaque accident peuvent être consignées dans un formulaire de rapport similaire à celui illustré à la figure 1.

                                  Figure 1. Exemple de formulaire de rapport

                                  SAF240F1

                                  Les informations du formulaire de rapport peuvent être enregistrées sur un ordinateur en utilisant des clés de classification. (Lorsque des systèmes de classification internationale peuvent être recommandés, ceux-ci sont mentionnés dans la description des variables d'information individuelles, donnée ci-dessus.) dans l'établissement d'un système d'enregistrement harmonisé font partie d'une proposition rédigée par l'Union européenne.

                                  L'utilisation des statistiques d'accidents

                                  Les statistiques d'accidents constituent un instrument précieux dans un large éventail de contextes : cartographie, surveillance et alerte, hiérarchisation des zones de prévention, mesures de prévention spécifiques, recherche et recherche d'informations. Un domaine peut chevaucher un autre, mais les principes d'application varient.

                                  Cartographie

                                  Cartographie des données sur les accidents du travail implique l'extraction de types d'informations prédéterminés à partir d'une accumulation de données enregistrées et l'analyse des interrelations entre elles. Les exemples suivants illustreront l'utilité des applications cartographiques.

                                  • Cartographie des secteurs industriels. Les données relatives aux secteurs industriels peuvent être cartographiées en extrayant une sélection appropriée des rapports contenus dans un registre de données et en effectuant l'analyse souhaitée. Si un métier tel que l'industrie du bâtiment présente un intérêt particulier, les rapports inscrits à la Classification internationale type des industries (CITI) et codés de 50,000 50,199 à XNUMX XNUMX (bâtiment et construction) peuvent être sélectionnés. Les déclarations de ce métier peuvent ensuite être cartographiées pour montrer, par exemple, la localisation géographique des entreprises, ainsi que l'âge, le sexe et la profession de chaque victime d'accident.
                                  • Cartographie des blessures. Si la sélection est basée sur une catégorie spécifique de blessures, les rapports peuvent être extraits et cartographiés pour montrer, par exemple, les métiers dans lesquels ces accidents se produisent, les catégories professionnelles impliquées, les tranches d'âge concernées, les activités dans lesquelles les accidents se sont produits et le type de technologie le plus souvent impliqué.
                                  • Cartographie des entreprises. Une évaluation au niveau de l'entreprise de l'évolution des accidents (et donc de l'environnement de travail interne de l'entreprise) peut être réalisée en cartographiant les accidents du travail déclarés survenus sur une période donnée. De plus, l'entreprise pourra comparer sa position individuelle en matière de technologie, de composition du personnel et d'autres domaines de préoccupation avec l'ensemble du métier, et ainsi déterminer si son statut à ces égards est typique du métier. De plus, s'il s'avère qu'un métier comporte un certain nombre de problèmes typiques d'environnement de travail, il conviendra de rechercher si ces problèmes existent au sein de l'entreprise individuelle.

                                   

                                  Surveillance et alerte

                                  Le Monitoring est un processus de surveillance continue accompagné de avertissement des risques majeurs, et notamment de l'évolution de ces risques. Les changements observés dans les rapports d'accident entrants peuvent soit être révélateurs de changements dans le mode de notification, soit, plus sérieusement, refléter de véritables changements dans les facteurs de risque. On peut dire que des risques majeurs existent là où il y a une fréquence élevée de blessures, où de nombreuses blessures graves se produisent et où il y a un grand groupe humain exposé.

                                  Établissement des priorités

                                  Établissement des priorités est la sélection des zones à risque ou des problèmes d'environnement de travail les plus importants pour une action préventive. Grâce aux résultats des enquêtes cartographiques et des activités de surveillance et d'alerte, un registre des accidents du travail peut être construit qui peut contribuer à cet établissement de priorités, dont les éléments pourraient inclure les éléments suivants :

                                  • risques entraînant des conséquences graves
                                  • risques qui entraînent une forte probabilité de blessure pour une grande partie du groupe exposé
                                  • risques auxquels de larges groupes de personnes sont exposés.

                                   

                                  Les données tirées d'un registre des accidents du travail peuvent être utilisées pour établir des priorités à plusieurs niveaux, peut-être au niveau national global ou au niveau plus particulier de l'entreprise. Quel que soit le niveau, les analyses et les évaluations peuvent être faites sur la base des mêmes principes.

                                  Prévention

                                  Les analyses et la documentation utilisées à des fins préventives sont généralement très spécifiques et concentrées sur des domaines limités mais traités de manière très approfondie. Un exemple d'une telle analyse est la campagne contre les accidents mortels menée par le Service national danois de l'inspection du travail. Des relevés cartographiques préliminaires ont permis d'identifier les métiers et les fonctions de travail dans lesquels des accidents mortels se sont produits. Les tracteurs agricoles ont été choisis comme domaine d'intérêt pour l'analyse. Le but de l'analyse était alors de déterminer ce qui rendait les tracteurs si dangereux. Des questions ont été posées pour savoir qui les conduisait, où ils étaient opérés, quand les accidents se sont produits et, en particulier, quels types de situations et d'événements ont conduit aux accidents. L'analyse a permis de décrire sept situations types qui ont le plus souvent conduit à des accidents. Sur la base de cette analyse, un programme préventif a été formulé.

                                  Le nombre d'accidents du travail dans une seule entreprise est souvent trop faible pour fournir des statistiques exploitables pour une analyse préventive. Une analyse du schéma des accidents peut être utilisée pour prévenir la répétition de blessures spécifiques, mais peut difficilement réussir à prévenir la survenue d'accidents qui, d'une manière ou d'une autre, diffèrent des cas antérieurs. À moins que l'objet de l'enquête ne soit une entreprise assez grande, il est donc préférable d'effectuer de telles analyses sur un groupe d'entreprises de nature très similaire ou sur un groupe de processus de production du même type. Par exemple, une analyse de l'industrie du bois montre que les accidents survenus avec des machines de coupe concernent principalement des blessures aux doigts. Les accidents de transport consistent principalement en des blessures aux pieds et aux jambes, et les lésions cérébrales et l'eczéma sont les risques les plus courants dans le secteur du traitement de surface. Une analyse plus détaillée des processus de travail pertinents au sein de l'industrie peut révéler les situations qui provoquent généralement des accidents. Sur la base de ces informations, les experts de l'industrie concernée peuvent alors identifier le moment où de telles situations sont susceptibles de se produire et les possibilités de prévention.

                                  Recherche et recherche d'informations

                                  L'une des utilisations les plus courantes de systèmes d'information tels que les systèmes de classement et de bibliothèque est la récupération d'informations d'une nature spécifique et bien définie à des fins de recherche sur la sécurité. Par exemple, dans une étude dont le but était de formuler une réglementation concernant les travaux sur les toits, le doute a été soulevé quant à l'existence d'un risque particulier attaché à de tels travaux. La croyance dominante était que les gens étaient très rarement blessés en tombant d'un toit pendant qu'ils travaillaient. Cependant, en l'occurrence, un registre des accidents du travail a permis de retrouver tous les procès-verbaux faisant état de blessures par chute de toit et un nombre considérable de cas ont en effet été découverts, confirmant l'importance de continuer à formuler des réglementations dans ce domaine.

                                   

                                  Retour

                                  " AVIS DE NON-RESPONSABILITÉ : L'OIT n'assume aucune responsabilité pour le contenu présenté sur ce portail Web qui est présenté dans une langue autre que l'anglais, qui est la langue utilisée pour la production initiale et l'examen par les pairs du contenu original. Certaines statistiques n'ont pas été mises à jour depuis la production de la 4ème édition de l'Encyclopédie (1998)."

                                  Table des matières

                                  Audits, inspections et enquêtes Références

                                  Comité consultatif des risques majeurs. 1976, 1979, 1984. Premier, deuxième et troisième rapports. Londres : HMSO.

                                  Bennis WG, KD Benne et R Chin (éd.). 1985. La planification du changement. New York : Holt, Rinehart et Winston.

                                  Casti, JL. 1990. À la recherche de la certitude : ce que les scientifiques peuvent savoir sur l'avenir. New York : William Morrow.

                                  Charsley, P. 1995. HAZOP et évaluation des risques (DNV Londres). Perte Précédent Bull 124:16-19.

                                  Cornélison, JD. 1989. Analyse des causes profondes basée sur le MORT. Document de travail n° 27. Idaho Falls, États-Unis : System Safety Development Center.

                                  Gleick, J. 1987. Chaos : faire une nouvelle science. New York : Pingouin Viking.

                                  Groeneweg, J. 1996. Contrôler le contrôlable : la gestion de la sécurité. 3e édition révisée. Les Pays-Bas:
                                  DSWO Press, Université de Leiden.

                                  Haddon, W. 1980. Les stratégies de base pour réduire les dommages causés par les aléas de toutes sortes. Danger Préc Septembre/Octobre : 8-12.

                                  Hendrick K et L Benner. 1987. Enquêter sur les accidents avec STEP. New York : Dekker.

                                  Johnson, WG. 1980. Systèmes d'assurance de sécurité MORT. New York : Marcel Dekker.

                                  Kjellen, U et RK Tinmannsvik. 1989. SMORT— Säkerhetsanalys av industriell organisation. Stockholm : Arbetarskyddsnämnden.

                                  Kletz, T. 1988. Apprendre des accidents dans l'industrie. Londres : Butterworth.

                                  Knox, NW et RW Eicher. 1992. Manuel de l'utilisateur MORT. Report No. SSDC-4, Rev. 3. Idaho Falls, États-Unis : System Safety Development Center.

                                  Kruysse, HW. 1993. Conditions d'un comportement routier sécuritaire. Thèse de doctorat, Faculté des sciences sociales, Université de Leiden, Pays-Bas.

                                  Nertney, RJ. 1975. Occupancy-use Readiness Manual — Safety Considerations. Rapport n° SSDC-1. Idaho Falls, États-Unis : Centre de développement de la sécurité du système.

                                  Pascale, RTA et AG Athos. 1980. L'art de la gestion japonaise. Londres : Pingouin.

                                  Peters, TJ et RH Waterman. 1982. À la recherche de l'excellence. Leçons des entreprises américaines les mieux gérées. New York : Haysen & Row.

                                  Petroski, H. 1992. L'ingénieur est humain : le rôle de l'échec dans une conception réussie. New York : Millésime.

                                  Rasmussen, J. 1988. Traitement de l'information et interaction homme-machine, et approche de l'ingénierie cognitive. Amsterdam : Elsevier.

                                  Raison, JT. 1990. Erreur humaine. Cambridge : COUPE.

                                  Reason, JT, R Shotton, WA Wagenaar et PTW Hudson. 1989. TRÉPIED, Une base de principe pour des opérations plus sûres. Rapport préparé pour Shell Internationale Petroleum Maatschappij, Exploration and Production.

                                  Roggeveen, V. 1994. Care Structuur in Arbeidsomstandighedenzorg. Lecteur du cours Post Hoger Onderwijs Hogere Veiligheids, Amsterdam.

                                  Ruuhilehto, K. 1993. L'arbre de surveillance et de gestion des risques (MORT). Dans Quality Management of Safety and Risk Analysis, édité par J Suokas et V Rouhiainen. Amsterdam : Elsevier.


                                  Schein, EH. 1989. Culture organisationnelle et leadership. Oxford : Jossey-Bass.

                                  Scott, WR. 1978. Perspectives théoriques. Dans Environments and Organizations, édité par MW Meyer. San Francisco:Jossey-Bass.

                                  Gestion réussie de la santé et de la sécurité : Appl.1. 1991. Londres : HMSO.

                                  Van der Schrier, JH, J Groeneweg et VR van Amerongen. 1994. Analyse des accidents à l'aide de la méthode descendante TRIPOD. Mémoire de maîtrise, Centre de recherche sur la sécurité, Université de Leiden, Pays-Bas.

                                  Waganaar, WA. 1992. Influencer le comportement humain. Vers une approche pratique pour l'E&P. J Petrol Tech 11:1261-1281.

                                  Wagenaar, WA et J Groeneweg. 1987. Accidents en mer : Causes multiples et conséquences impossibles. Journal international d'études homme-machine 27: 587-598.