le vocabulaire de la sécurité,défini pour les exploitants.

Un cadre structuré pour gérer les risques de sécurité dans les opérations aériennes.

Un système de gestion de la sécurité (SGS, en anglais SMS) est l’approche systématique de la gestion de la sécurité, y compris les structures organisationnelles, les responsabilités, les politiques et les procédures nécessaires. L’Annexe 19 de l’OACI impose un SGS aux prestataires de services (compagnies aériennes, organismes de formation agréés, organismes de maintenance, prestataires de services de navigation aérienne, aérodromes). Ses quatre piliers sont la politique de sécurité, la gestion des risques de sécurité, l’assurance de la sécurité et la promotion de la sécurité.

Un système structuré pour garantir la qualité des processus aéronautiques au regard des exigences.

Un système de gestion de la qualité (SGQ, en anglais QMS) garantit que les activités aéronautiques respectent les exigences spécifiées par la planification, l’exécution, la surveillance et l’amélioration. En aviation, le SGQ porte généralement les programmes d’audit, la clôture des constatations, la gestion des éléments probants et la vérification de l’efficacité. La Part-ORO de l’AESA (EASA) emploie le terme « surveillance de la conformité » pour la même fonction, et la Part 5 de la FAA la couvre au titre de l’assurance de la sécurité.

Un système structuré pour gérer les menaces à la sûreté de l’aviation et les mesures de protection.

Un système de gestion de la sûreté (SeMS) est l’équivalent du SGS pour la sûreté, centré sur les actes d’intervention illicite. L’Annexe 17 de l’OACI fixe les normes internationales. Le SeMS couvre l’évaluation des menaces, la cartographie de l’exposition des biens, le signalement des événements de sûreté et le suivi des amendements à l’Annexe 17.

Le plan prédéfini qu’un exploitant active en réponse à une urgence de sécurité.

Un plan d’intervention d’urgence (ERP) définit les rôles, les arbres de communication, les protocoles de notification à l’autorité de l’aviation civile et les procédures de rétablissement en cas d’urgence aéronautique. L’Annexe 19 de l’OACI exige que chaque exploitant certifié tienne à jour et exerce un ERP. Le plan est activé par le dirigeant responsable (ou son délégué) lorsqu’une urgence est déclarée.

L’institution spécialisée des Nations Unies qui établit les normes internationales de l’aviation civile.

L’OACI (en anglais ICAO) est l’institution spécialisée des Nations Unies qui codifie les principes et les techniques de la navigation aérienne internationale. L’OACI publie 19 Annexes à la Convention de Chicago, de la délivrance des licences du personnel (Annexe 1) à la gestion de la sécurité (Annexe 19). Les normes de l’OACI ne s’appliquent pas directement : chaque État contractant les met en œuvre par l’intermédiaire de son autorité nationale de l’aviation civile.

L’agence de l’UE responsable de la sécurité de l’aviation civile dans les États membres.

L’AESA (en anglais EASA) est l’agence de l’Union européenne qui rédige les règles de mise en œuvre, les spécifications de certification et les moyens acceptables de conformité (AMC) pour l’aviation civile dans les États membres. La Part-ORO de l’AESA (exigences applicables aux organismes pour les opérations aériennes) est la réglementation SGS, SGQ et surveillance de la conformité des exploitants de transport aérien commercial.

L’autorité de l’aviation civile des États-Unis, rattachée au Department of Transportation.

La Federal Aviation Administration réglemente tous les aspects de l’aviation civile aux États-Unis. Le 14 CFR Part 5 impose un SGS aux transporteurs aériens Part 121 et est en cours d’extension à d’autres titulaires de certificats. La FAA publie des Advisory Circulars (AC), notamment l’AC 120-92 qui encadre la mise en œuvre d’un SGS.

La norme de l’OACI qui établit les exigences relatives au programme national de sécurité et au SGS.

L’Annexe 19 (Gestion de la sécurité), publiée pour la première fois en 2013, regroupe les exigences relatives au SGS auparavant réparties entre les Annexes 1, 6, 8, 11, 13 et 14 de l’OACI. Elle définit les quatre piliers du SGS, impose un programme national de sécurité (PNS, en anglais SSP) à l’échelle de chaque État contractant et harmonise les attentes en matière de comptes rendus de sécurité.

La norme de l’OACI pour la protection de l’aviation civile contre les actes d’intervention illicite.

L’Annexe 17 fixe les objectifs et les exigences de sûreté de l’aviation civile, notamment la sûreté des aérodromes, la sûreté en vol, l’inspection-filtrage du fret et la planification d’urgence. Des amendements sont publiés périodiquement ; les exploitants doivent analyser l’impact de chaque amendement pour déterminer quelles politiques, procédures et dossiers de formation doivent être mis à jour.

La norme de l’OACI pour la conception et l’exploitation des aérodromes.

L’Annexe 14 (en deux volumes, Aérodromes et Hélistations) définit les caractéristiques physiques, les surfaces de limitation d’obstacles, les aides visuelles, les équipements, les services et les procédures d’exploitation des aérodromes. Les exploitants actifs côté aire de trafic s’y réfèrent dans leurs registres des dangers.

La norme de l’OACI pour le transport aérien commercial international et l’aviation générale.

L’Annexe 6 régit l’exploitation des aéronefs en trois parties : transport aérien commercial international (Partie I), aviation générale internationale, avions (Partie II), et vols internationaux d’hélicoptères (Partie III). Elle alimente les manuels d’exploitation (OM-A/B/C/D), la formation et de nombreux dangers du SGS.

La règle de l’AESA (EASA) sur les exigences applicables aux organismes pour les opérations aériennes.

La Part-ORO de l’AESA (Annexe III du Règlement (UE) n° 965/2012 de la Commission) fixe les exigences au niveau de l’organisme pour les exploitants de transport aérien commercial dans l’UE : système de gestion, dirigeant responsable, surveillance de la conformité, formation et dossiers des équipages. La sous-partie GEN.MLR couvre les manuels ; la sous-partie MAN couvre la gestion.

La réglementation fédérale américaine qui impose un SGS aux exploitants Part 121.

Le 14 CFR Part 5 impose un système de gestion de la sécurité aux transporteurs aériens Part 121 et est en cours d’extension à d’autres titulaires de certificats. Il définit les composantes du SGS (politique de sécurité, gestion des risques de sécurité, assurance de la sécurité, promotion de la sécurité) en cohérence avec l’Annexe 19 de l’OACI. L’AC 120-92B en est le guide de mise en œuvre.

Une méthode de visualisation du risque qui relie menaces, barrières, événement redouté et conséquences.

L’analyse nœud papillon place un événement dangereux (l’« événement redouté ») au centre, avec à gauche les menaces qui pourraient le provoquer, à droite les conséquences s’il survient, et des barrières (de prévention et de rétablissement) le long des chemins qui les relient. Chaque barrière est évaluée pour son efficacité, son responsable et sa dégradation. Très utilisée dans le pétrole et le gaz, elle se généralise en sécurité aérienne.

Le modèle de causalité des accidents de James Reason, où les défenses sont des couches percées de trous.

Le modèle du fromage suisse de James Reason représente les défenses d’une organisation comme des tranches de fromage, chacune percée de trous (défaillances latentes et défaillances actives). Un accident survient lorsque les trous s’alignent momentanément. Ce modèle fonde une grande partie de la pensée moderne en sécurité aérienne, dont HFACS et la distinction entre défaillances latentes et actives en enquête.

Une taxonomie pour classer les facteurs humains contributifs aux accidents et aux incidents.

HFACS (développé par Wiegmann et Shappell, US Navy et FAA) prolonge le modèle de Reason sur quatre niveaux de défaillance : actes dangereux des opérateurs, conditions préalables aux actes dangereux, supervision inadéquate et influences organisationnelles. Il fournit une taxonomie structurée sur laquelle les enquêteurs positionnent les facteurs contributifs, ce qui permet de détecter des tendances d’une enquête à l’autre.

Une technique de recherche de cause profonde qui pose « pourquoi » de façon itérative jusqu’à une cause systémique.

La méthode des 5 pourquoi (développée chez Toyota) est une méthode d’enquête simple : demander « pourquoi est-ce arrivé ? » puis répondre à chaque réponse par un nouveau « pourquoi » jusqu’à mettre au jour la cause systémique (généralement 5 itérations, parfois davantage). Utile pour des incidents relativement circonscrits ; complétée par HFACS ou le modèle de Reason pour des événements complexes.

Un processus systématique pour identifier les causes sous-jacentes d’un événement, et non ses seuls symptômes.

L’analyse des causes profondes est la discipline qui consiste à dépasser les causes immédiates pour identifier les conditions systémiques qui ont permis à un événement de se produire. Ses méthodes comprennent les 5 pourquoi, le diagramme d’Ishikawa (arête de poisson), le modèle de Reason, HFACS et l’analyse par arbre de défaillances. L’Annexe 13 de l’OACI (Enquêtes sur les accidents et incidents d’aviation) et l’Annexe 19 de l’OACI attendent toutes deux une analyse des causes profondes dans les enquêtes sur les événements.

Un critère d’acceptation du risque : le risque résiduel est réduit aussi bas que raisonnablement possible.

ALARP est un principe d’acceptation du risque issu du Health and Safety Executive (HSE) britannique, repris en aviation. Un risque résiduel est ALARP lorsqu’une réduction supplémentaire exigerait un effort, un délai ou un coût disproportionné. La zone de « risque tolérable » est bornée en haut par l’intolérable et en bas par le largement acceptable ; ALARP s’applique dans la bande intermédiaire.

Le contrôle structuré qui confirme qu’une action corrective a réellement réduit le risque visé.

La vérification de l’efficacité est le contrôle effectué après la mise en œuvre pour confirmer qu’une action corrective ou préventive a atteint la réduction de risque attendue, et pas seulement qu’elle a été réalisée. La Part-ORO de l’AESA et la Part 5 de la FAA exigent toutes deux une vérification de l’efficacité avant qu’une action puisse être close. C’est l’étape qui distingue « nous avons fait quelque chose » de « le risque est réellement plus bas ».

Un paramètre mesurable utilisé pour surveiller et évaluer la performance de sécurité.

Un indicateur de performance de sécurité (SPI) est une mesure quantifiable d’un aspect de la sécurité, par exemple « approches non stabilisées pour 1 000 segments » ou « taux de remise des gaz pour 1 000 atterrissages ». Chaque SPI comporte un seuil d’alerte et un objectif. L’Annexe 19 de l’OACI exige que le SGS définisse et surveille des SPI ; les changements de tendance (souvent détectés par la maîtrise statistique des procédés) déclenchent une enquête avant qu’ils ne deviennent des incidents.

Le niveau de performance visé pour un SPI, exprimé sous forme d’objectif chiffré.

Un objectif de performance de sécurité (SPT) est la cible chiffrée qu’une organisation fixe pour un SPI sur une période définie. Les objectifs doivent être réalistes, assortis d’une échéance et revus au rythme du comité d’examen de la sécurité. Le suivi des SPT alimente le dialogue sur la performance de sécurité de l’État dans le cadre du programme national de sécurité de l’OACI.

Des actions pour corriger une déficience constatée (corrective) ou en empêcher la répétition (préventive).

Une CAPA est la réponse structurée à une constatation issue d’un audit, d’une enquête sur un événement ou d’une évaluation des dangers. Chaque CAPA a un responsable et une échéance, et elle est vérifiée par une personne autre que son responsable. Son cycle de vie : attribution, exécution, vérification, efficacité, clôture.

Une culture où les auteurs de comptes rendus sont traités équitablement selon leur intention, et non selon le résultat.

La culture juste (selon James Reason et Sidney Dekker) est le principe selon lequel les personnes de première ligne qui signalent doivent être traitées équitablement en fonction de leur intention et de leur comportement, et non des conséquences de leurs actes. Les erreurs sont signalées et servent à apprendre ; les comportements imprudents sont sanctionnés. La culture juste est la condition sociale d’un système de signalement volontaire efficace, lui-même indispensable à un SGS.

Une condition ou un objet susceptible de causer un dommage aux opérations aériennes.

Un danger est une condition, un objet ou une activité susceptible de causer un dommage : blessure, dommage à des équipements ou à des biens, perte de capacité. Les dangers sont recensés dans un registre des dangers, évalués en probabilité × gravité sur une matrice de risque et reliés aux barrières qui les atténuent. Dans un SGS mature, l’identification des dangers est continue.

En contexte de sûreté, un acte intentionnel d’intervention illicite.

En sûreté de l’aviation (SeMS), une menace est un acte ou une capacité intentionnels susceptibles de causer un dommage : attentat à la bombe, détournement, sabotage, intrusion informatique. Elle se distingue du « danger », qui est non intentionnel. L’évaluation des menaces croise les menaces avec les biens (aérogare, aire de trafic, aéronef, périmètre, salle de contrôle) pour produire une matrice d’exposition.

Une mesure de maîtrise qui empêche une menace d’atteindre l’événement redouté, ou en limite les conséquences.

Une barrière (de prévention ou de rétablissement) est une mesure de maîtrise qui interrompt la chaîne de la cause à la conséquence dans l’analyse nœud papillon. Les barrières de prévention se situent entre les menaces et l’événement redouté ; les barrières de rétablissement, entre l’événement redouté et les conséquences. Chaque barrière est évaluée pour son efficacité, a un responsable et se dégrade avec le temps sans inspection.

L’événement dangereux central d’un nœud papillon, la perte de maîtrise du danger.

Dans l’analyse nœud papillon, l’événement redouté (en anglais top event) est le moment où le danger n’est plus maîtrisé, par exemple « perte d’espacement entre aéronefs » ou « incursion sur piste ». À gauche figurent les menaces qui pourraient le provoquer ; à droite, les conséquences s’il se propage. L’événement redouté est le point d’ancrage conceptuel du diagramme.

Tout événement lié à la sécurité qui perturbe ou aurait pu perturber la sécurité des opérations.

Un événement est tout fait lié à la sécurité, accident, incident grave, incident ou toute condition susceptible d’affecter la sécurité. Les événements sont classés comme obligatoires (exigés par l’autorité), volontaires (encouragés) ou confidentiels (anonymisés). Le Règlement (UE) n° 376/2014 impose les comptes rendus d’événements et protège leurs auteurs.

Un écart documenté par rapport à une exigence, relevé lors d’un audit ou d’une enquête.

Une constatation est un écart enregistré par rapport à une exigence réglementaire, une procédure interne ou une norme. Sa gravité est graduée (généralement niveau 1 : non-conformité significative, niveau 2 : non-conformité mineure, observation : recommandation). Chaque constatation a un responsable, une échéance, une chaîne d’éléments probants et un processus de clôture lié à une CAPA.

Une matrice à deux dimensions qui évalue le risque en combinant probabilité et gravité.

Une matrice de risque évalue les risques en croisant la probabilité (de fréquente à improbable) et la gravité (de catastrophique à négligeable) dans des cases colorées selon leur acceptabilité (rouge intolérable, jaune ALARP, vert largement acceptable). Le Doc 9859 de l’OACI illustre la matrice standard 5×5 ; les exploitants adaptent les libellés des cases et les critères d’acceptation à leur exploitation.

Le terme de l’AESA (EASA) désignant la fonction qualité qui audite et surveille la conformité réglementaire.

La surveillance de la conformité (anciennement « système qualité » dans les JAR-OPS) est la fonction définie par l’AESA qui garantit que l’exploitant respecte les exigences applicables et que le système de gestion est efficace. Elle porte le programme d’audit, la gestion des constatations et le compte rendu au dirigeant responsable.

Un examen systématique, indépendant et documenté au regard de critères définis.

Un audit est un examen planifié d’un processus, d’un domaine ou d’une fonction au regard de critères définis (réglementation, norme, manuel, contrat). Les audits internes sont menés par la fonction de surveillance de la conformité de l’exploitant ; les audits externes, par l’autorité (surveillance) ou par un tiers (par exemple IOSA, IS-BAO). Les constatations alimentent les CAPA.

La personne nommément désignée, responsable en dernier ressort de la sécurité de l’exploitation.

Le dirigeant responsable (au Canada : gestionnaire supérieur responsable) est la personne désignée auprès de l’autorité comme ayant la responsabilité globale de la conformité de l’exploitation aux exigences applicables, ainsi que de la mise en place et du maintien du système de gestion. Il s’agit généralement du président-directeur général, du directeur des opérations ou d’un titulaire de poste disposant de l’autorité sur l’entreprise. Le dirigeant responsable signe la politique de sécurité et l’activation de l’ERP.

La personne responsable du fonctionnement quotidien du SGS.

Le responsable de la sécurité (parfois chef ou directeur de la sécurité) est le titulaire de poste chargé de la mise en œuvre et du fonctionnement quotidien du SGS. Il rend compte fonctionnellement au dirigeant responsable. Il porte le registre des dangers, le tableau de bord des SPI, le comité d’examen de la sécurité et le programme de promotion de la sécurité.

Le manuel d’exploitation en quatre parties exigé pour le transport aérien commercial.

Le manuel d’exploitation (OM) prévu par la Part-ORO de l’AESA et l’Annexe 6 de l’OACI est structuré en quatre parties : OM-A Généralités (organisation, politiques, procédures), OM-B Utilisation de l’aéronef (procédures propres à chaque type d’aéronef), OM-C Routes et aérodromes (routes, aéroports, procédures particulières), OM-D Formation (programmes de formation et de contrôle). Chaque partie est sous maîtrise documentaire ; chaque révision déclenche une diffusion à lire et signer par les équipages.

La liste des équipements qui peuvent être inopérants pour qu’un vol soit autorisé au départ.

La MEL est le document propre à l’exploitant, dérivé de la liste minimale d’équipements de référence (MMEL, publiée par le titulaire du certificat de type), qui énumère les équipements pouvant être inopérants, dans des conditions définies, pour qu’un vol soit autorisé au départ. Les MEL comportent des délais de réparation (catégories A/B/C/D), des procédures et des limitations. Leurs révisions sont versionnées et suivies en maîtrise documentaire.

Une procédure documentée, étape par étape, pour une tâche opérationnelle récurrente.

Les procédures d’exploitation normalisées définissent comment une tâche courante est réalisée, par qui et dans quelles conditions. Elles sont référencées dans les manuels (généralement OM-B/C), font l’objet de formations et sont auditées pour vérifier leur respect. Le non-respect des SOP est un facteur causal fréquent des événements de sécurité et nourrit en retour la formation.

Un organisme autorisé à dispenser la formation du personnel aéronautique.

Un organisme de formation agréé est certifié par une autorité compétente pour dispenser la formation des pilotes, du personnel de cabine, des techniciens ou d’autres personnels aéronautiques. La Part-ORA-ATO de l’AESA en fixe les exigences ; les Parts 141/142 de la FAA en sont l’équivalent américain. Les ATO tiennent les dossiers de formation, les supports de cours et les qualifications des instructeurs sous maîtrise documentaire et dans les modules de formation.

Un organisme agréé pour effectuer la maintenance des aéronefs.

Un organisme de maintenance, réparation et révision est certifié pour effectuer la maintenance, la réparation et la révision des aéronefs et de leurs composants. La Part-145 et la Part-CAMO de l’AESA, ainsi que la Part 145 et la Part 43 de la FAA, encadrent ces activités. Les organismes de maintenance exploitent leurs propres systèmes SGS, SGQ, de maîtrise documentaire et de formation, souvent intégrés aux dossiers de l’exploitant.

Un score calculé, à plusieurs composantes, qui résume l’exposition actuelle d’un thème de risque.

Un profil de risque de sécurité (SRP) regroupe de nombreux signaux en une vue actuelle d’un thème de risque, au lieu de s’appuyer sur une seule case statique de la matrice de risque. Le Doc 9859 de l’OACI présente le risque de sécurité comme une donnée à surveiller en continu dans toute l’exploitation. Un SRP combine le risque de base, la tendance récente, l’état des barrières qui protègent contre ce risque, l’exposition aux actions correctives ouvertes, les signaux actifs et le niveau de surveillance du domaine, si bien que la question passe de « quelle note lui avons-nous donnée une fois » à « comment se porte ce risque aujourd’hui ».

Un groupe de travail qui examine les questions de sécurité et pilote les actions qui en découlent.

Un groupe d’action sécurité (SAG) est le niveau opérationnel de la structure des comités de sécurité décrite dans le Doc 9859 de l’OACI : un groupe pluridisciplinaire, généralement par service, qui examine les dangers émergents, les tendances des événements et les actions correctives en cours, puis remonte au comité d’examen de la sécurité ce qui requiert l’attention de la direction. C’est au SAG que les questions de sécurité quotidiennes reçoivent un responsable et une échéance plutôt qu’un simple procès-verbal.

L’instance de gouvernance de haut niveau qui porte la performance de sécurité de l’organisation.

Un comité d’examen de la sécurité (SRB) est le comité de sécurité stratégique de haut niveau, présidé par le dirigeant responsable. Selon le Doc 9859 de l’OACI, il examine la performance globale de sécurité, fixe et révise les objectifs de performance de sécurité, accepte ou refuse les risques résiduels importants et oriente les ressources. Il se situe au-dessus du groupe d’action sécurité : le SAG traite les questions, le SRB porte la posture.

Une méthode statistique pour distinguer un vrai changement de tendance du bruit normal d’une mesure.

La maîtrise statistique des procédés (MSP, en anglais SPC) utilise des cartes de contrôle et des règles de décision, classiquement les règles de la Western Electric, pour distinguer un signal réel de la variation aléatoire dans une série chronologique. Appliquée aux indicateurs de performance de sécurité, elle répond à la question « cet indicateur a-t-il réellement changé, ou s’agit-il du bruit d’un mois à l’autre ? » avant qu’un exploitant n’engage un effort d’enquête. Le Doc 9859 de l’OACI renvoie aux techniques de cartes de contrôle pour la surveillance des SPI.

Un modèle de dossiers unique où événements, dangers, CAPA, barrières et indicateurs sont reliés et se calculent les uns par rapport aux autres.

La plupart des outils de sécurité stockent chaque module (événements, dangers, audits, indicateurs) dans son propre silo, si bien qu’une barrière d’un nœud papillon n’a aucun lien vivant avec l’action corrective censée la rétablir, ni avec l’indicateur censé détecter sa dégradation. Une opération connectée est l’inverse : un modèle de dossiers unique où événements, dangers, actions correctives, barrières et indicateurs sont des dossiers reliés qui se calculent les uns par rapport aux autres. Une barrière dégradée peut déclencher une action corrective ; une constatation peut faire évoluer un état de conformité ; une tendance d’indicateur peut faire émerger un thème de risque, sans ressaisie entre outils.

Le programme d’audit de l’IATA, reconnu mondialement, qui évalue la gestion et le contrôle opérationnels d’une compagnie aérienne.

L’IOSA (IATA Operational Safety Audit) est une évaluation reconnue internationalement des systèmes de gestion et de contrôle opérationnels d’une compagnie aérienne, obligatoire pour être membre de l’IATA. Les normes au regard desquelles une compagnie est auditée sont publiées dans le manuel des normes IOSA (ISM). L’enregistrement IOSA indique aux partenaires de partage de codes, aux loueurs et aux autorités que l’exploitant respecte un socle de sécurité commun.

Une exigence auditable unique du manuel des normes IOSA.

Un ISARP est une norme IOSA (obligatoire) ou une pratique recommandée (consultative), l’exigence numérotée individuelle au regard de laquelle un auditeur évalue la conformité. L’ISM se compose de centaines d’ISARP couvrant l’organisation, les opérations aériennes, la régulation des vols, la maintenance, la cabine, l’assistance au sol, le fret et la sûreté. La conformité à chaque ISARP est consignée avec des éléments probants et un verdict lors d’un audit IOSA.

La norme de l’OACI qui régit les enquêtes sur les accidents et incidents graves d’aviation.

L’Annexe 13 établit le protocole international des enquêtes sur les accidents et incidents graves d’aviation : qui dirige l’enquête, comment les États y participent, ce qui est rendu compte, et comment son seul objectif reste la prévention plutôt que l’attribution d’une faute. Ses définitions des types d’événements (accident, incident grave, incident) ancrent la manière dont les exploitants classent les événements les plus graves et déclenchent leur intervention d’urgence.

Un classement des types d’atténuation, du plus efficace (élimination) au moins efficace (EPI ou procédure).

La hiérarchie des mesures de maîtrise classe les atténuations du risque selon leur efficacité intrinsèque : élimination, substitution, mesures techniques, mesures administratives et, en dernier, équipements de protection individuelle ou procédure. Le principe est qu’une mesure placée plus haut dans la hiérarchie est plus fiable qu’une mesure qui dépend d’une personne faisant la bonne chose à chaque fois. Consigner le niveau de maîtrise d’une action corrective révèle les exploitations qui s’appuient trop sur les niveaux les plus faibles.

Les niveaux de protection qui déterminent qui peut voir les informations de sécurité sensibles.

L’Annexe 19 de l’OACI exige que les données de sécurité recueillies à des fins de prévention soient protégées contre un usage inapproprié, afin que les personnes continuent à signaler. En pratique, cela signifie classer l’information par sensibilité (par exemple protégée, restreinte et confidentielle) et en conditionner l’accès à une habilitation plutôt que de tout laisser ouvert. La protection doit tenir non seulement dans l’interface, mais partout où circulent les données, y compris dans tout traitement automatisé.