Mettre en œuvre un SGS conforme à l’Annexe 19
en 90 jours.

Voir l’encadré au-dessus du sommaire. La suite de cet article est le mode d’emploi qui se cache derrière ce résumé d’un paragraphe.

L’Annexe 19 de l’OACI est en vigueur depuis plus de dix ans. Les quatre piliers d’un système de gestion de la sécurité (politique de sécurité, gestion des risques de sécurité, assurance de la sécurité et promotion de la sécurité) n’ont pas changé. Les orientations de mise en œuvre du Doc 9859 de l’OACI (Manuel de gestion de la sécurité, quatrième édition) n’ont pas changé. Ce qui change, chaque fois qu’un exploitant met en place un SGS, c’est la durée de la mise en œuvre.

Les mises en œuvre de douze mois sont courantes. Celles de dix-huit mois aussi. Nous en avons vu de 36 mois. Aucune de ces durées n’est nécessaire; toutes produisent le même résultat à la fin. Une politique de sécurité signée par le dirigeant responsable. Un registre des dangers. Une matrice de risque. Quelques SPI. Un système de signalement volontaire. Un plan d’intervention d’urgence. Un plan de promotion de la sécurité. Cela ne représente pas neuf mois de travail. Cela représente 90 jours de travail ciblé, suivis d’une longue période d’amélioration.

Le plan de 90 jours ci-dessous suppose un dirigeant responsable, un gestionnaire de la sécurité nommé disposant d’au moins 60 % de son temps, un socle de données opérationnelles déjà recueillies quelque part (même sur papier ou dans des tableurs), et la volonté de livrer une Version 1 imparfaite du SGS plutôt qu’une Version 1.4 peaufinée. Si ces hypothèses tiennent, 90 jours produisent un système de sécurité que l’autorité peut auditer. Les 90 jours suivants l’améliorent. C’est ainsi qu’un SGS mature se développe, par itérations, au contact de la réalité opérationnelle, et non dans un classeur en attente de signature.

Ce qu’il y a de plus utile dans l’Annexe 19, c’est sa brièveté. Le Doc 9859 est long; l’Annexe elle-même tient dans une poche. Si vous ne pouvez pas décrire votre SGS avec le vocabulaire de l’Annexe, vous n’avez pas de SGS, vous avez un classeur.

Les 30 premiers jours servent à installer la structure. Rien dans cette phase ne produit le moindre enseignement de sécurité; tout dans cette phase rend possibles les 60 jours suivants.

Semaine 01, responsabilités. Le dirigeant responsable (au sens de la Part-ORO.GEN.210 de l’AESA (EASA), de la section 5.21 de la Part 5 de la FAA, ou de l’équivalent de votre autorité locale) est nommé par écrit. Le gestionnaire de la sécurité rend compte fonctionnellement au dirigeant responsable, et non à un service qualité ou conformité cloisonné. Une politique de sécurité est rédigée : une page, signée, affichée, qui couvre l’engagement du dirigeant responsable envers le SGS, la position en matière de culture juste et l’engagement de ressources.

Semaine 02, taxonomies. Trois taxonomies doivent être arrêtées au cours du premier mois : les catégories d’événements de l’OACI (Doc 9859, appendice 2), la matrice de risque de l’organisme (une grille 5×5 probabilité × gravité est la valeur par défaut, adaptée à votre exploitation et non copiée d’un modèle générique), et la liste des dangers pertinents pour l’exploitation. La liste des dangers n’a pas besoin d’être complète en semaine 02. Elle doit être un point de départ capable de s’enrichir.

Semaine 03, canaux de signalement. Trois canaux de signalement entrent en service : obligatoire (les événements exigés par l’autorité au titre de l’Annexe 13 de l’OACI et du Règlement (UE) n° 376/2014), volontaire (tout ce qu’un membre d’équipage choisit de signaler) et confidentiel (anonymisé). Le formulaire de signalement fait une page au maximum. S’il en fait deux, vous recevrez la moitié des comptes rendus que vous auriez reçus. S’il est numérique, il est d’abord conçu pour le mobile : les membres d’équipage signalent depuis l’aire de trafic, pas depuis un bureau.

Semaine 04, plan d’intervention d’urgence. L’appendice 2 de l’Annexe 19 exige un plan d’intervention d’urgence (ERP) documenté. En semaine 04, c’est un document unique avec la définition des rôles, l’arbre de communication, les protocoles de notification à l’autorité et les procédures de rétablissement. Il n’est pas encore exercé. Il le sera aux jours 61-90.

L’Annexe 19 fait de la gestion des risques de sécurité l’un des quatre piliers. Aux jours 31-60, elle devient opérationnelle. Les comptes rendus reçus aux jours 0-30 sont maintenant classés, cotés, et transformés en dangers ou en actions.

Semaine 05, classification. Chaque événement reçu pendant les 30 premiers jours est classé selon les catégories d’événements de l’OACI. La gravité est cotée sur la matrice 5×5. La probabilité est déduite de la fréquence opérationnelle (c’est difficile en semaine 05, car vous n’avez qu’un mois de données; ce n’est pas grave, vous recotez chaque trimestre). Chaque événement renforce un danger existant du registre ou en fait apparaître un nouveau.

Semaine 06, analyse en nœud papillon des trois principaux dangers. Identifiez les trois dangers dont la cote de risque actuelle est la plus élevée. Pour chacun, esquissez un nœud papillon : les menaces à gauche, l’événement redouté au centre (le moment où le danger n’est plus maîtrisé), les conséquences à droite, les barrières de prévention entre les menaces et l’événement redouté, les barrières de rétablissement entre l’événement redouté et les conséquences. Ce n’est pas encore un livrable pour l’autorité : c’est l’outil dont votre comité d’examen de la sécurité se servira en semaine 11.

Semaine 07, définition des SPI. Trois à cinq indicateurs de performance de sécurité. Chacun numérique, borné dans le temps et rattaché à un danger. « Approches non stabilisées pour 1000 secteurs » est un SPI. « Améliorer la culture de sécurité » n’en est pas un. Chaque SPI a un seuil d’alerte (le point où une enquête se déclenche) et un objectif (le niveau où l’exploitation devrait se situer). Prenez la section 4 du Doc 9859 de l’OACI comme repère de ce à quoi ressemblent de bons SPI.

Semaine 08, plans d’action. Chaque événement classé et chaque danger actif reçoit au moins une action corrective ou préventive, avec un responsable, une échéance et un vérificateur autre que le responsable. C’est le circuit CAPA. Il suit le parcours attribution → exécution → vérification → efficacité → clôture, et par défaut un événement ne peut pas être clos tant que ses actions correctives n’ont pas été jugées efficaces ou que l’examen n’a pas été formellement levé. (L’autorité vous auditera davantage sur la vérification d’efficacité que sur la création des actions. Mettez ce verrou en place dès maintenant.)

Le troisième pilier, l’assurance de la sécurité, est la vérification continue par l’exploitant que le SGS fonctionne. Aux jours 61-90, il entre en service et le quatrième pilier (la promotion de la sécurité) est amorcé.

Semaine 09, comité d’examen de la sécurité. Première réunion. Ordre du jour permanent : modifications du registre des dangers, tableau de bord des SPI, événements et actions ouverts, file de vérification d’efficacité. Cadence au minimum mensuelle, hebdomadaire pendant la mise en œuvre de 90 jours. Le dirigeant responsable y assiste, sans déléguer à un chef de service. Le comité d’examen de la sécurité est le mécanisme structurel par lequel le dirigeant responsable exerce sa surveillance; s’en absenter revient à déléguer sa responsabilité, et l’autorité le remarquera.

Semaine 10, exercice du plan d’intervention d’urgence. Un exercice sur table du plan d’intervention d’urgence avec les personnes dont les noms y figurent réellement. L’exercice révèle les lacunes; les lacunes entrent dans le plan d’action; le plan d’action les comble. L’appendice 2 de l’Annexe 19 de l’OACI prévoit des exercices réguliers du plan : le premier, dans vos 90 jours, marque le début de cette cadence, ce n’est pas une case à cocher.

Semaine 11, audit interne et vérification de la conformité. La fonction de surveillance de la conformité (ou son équivalent selon la Part-ORO de l’AESA (EASA)) audite le SGS lui-même au regard de l’Annexe 19. L’objectif n’est pas de ne rien trouver; c’est de trouver ce qui manque et de l’inscrire au plan d’action. Les constatations entrent dans le même circuit CAPA que celles issues des événements.

Semaine 12, promotion de la sécurité et mise en service. Le quatrième pilier, la promotion de la sécurité, entre en service. Un bulletin de sécurité régulier (mensuel, une page) résume le tableau de bord des SPI, les trois principaux dangers et les leçons tirées des actions closes. Les briefings d’équipage y font référence. La notification de mise en service est envoyée à l’autorité. Jour 90 : vous avez un SGS que l’autorité peut auditer.

1. Politique et objectifs de sécurité : rédigés, signés par le dirigeant responsable, affichés. Jours 1-7. Les objectifs sont SMART et examinés au comité d’examen de la sécurité.
2. Gestion des risques de sécurité : registre des dangers, matrice de risque, nœud papillon sur les principaux dangers, plan d’action avec verrou de vérification d’efficacité. Jours 8-60. Se poursuit sans fin.
3. Assurance de la sécurité : SPI, comité d’examen de la sécurité, audit interne, exercices du plan d’intervention d’urgence. Jours 50-90. Se poursuit sans fin.
4. Promotion de la sécurité : bulletin de sécurité, briefings, formation qui puise dans les données du SGS (et non dans un programme générique). Jours 80-90. Se poursuit sans fin.

Vous livrez :

• Une politique et des objectifs de sécurité, signés et visibles.
• Un registre des dangers d’au moins 30 entrées au jour 90, qui s’enrichit chaque semaine.
• Une matrice de risque 5×5 adaptée à l’exploitation.
• Une analyse en nœud papillon des 3 à 5 principaux dangers.
• 3 à 5 SPI avec seuils et objectifs, et un tableau de bord mis à jour chaque semaine.
• Un circuit CAPA où la vérification d’efficacité est appliquée comme un verrou.
• Trois canaux de signalement (obligatoire, volontaire, confidentiel) qui reçoivent des comptes rendus.
• Un plan d’intervention d’urgence documenté et exercé une fois.
• Un audit interne du SGS au regard de l’Annexe 19, avec des constatations consignées.
• Un bulletin de promotion de la sécurité (numéro 1 sur n).
• Un comité d’examen de la sécurité mensuel présidé par le dirigeant responsable.

Vous ne livrez pas (encore) :

• Un nœud papillon entièrement adapté pour chaque danger. (Sur une plateforme dotée de modèles préconstruits, la bibliothèque est déjà remplie; ce qu’apportent les mois 4 à 12, c’est l’adaptation de chaque modèle à votre propre exploitation.)
• Un long historique de tendance sur cartes de contrôle. (Le moteur de maîtrise statistique des procédés fonctionne dès le premier jour, mais son signal de tendance reste mince tant que vous n’avez pas quelques mois de vos propres données.)
• Des comparaisons entre organismes. (Vos données sont trop récentes.)
• Un alignement IOSA ou IS-BAO complet. (Hors du périmètre de l’Annexe 19 : c’est un audit distinct, même si le catalogue de 924 ISARP est prêt lorsque vous vous y attaquez.)
• Un sondage de culture de sécurité peaufiné. (Votre culture est ce que votre volume de signalements en dit. Surveillez d’abord ce chiffre.)

Quatre schémas transforment de façon fiable un plan de 90 jours en plan de 12 mois. Les reconnaître tôt est la façon la moins coûteuse de les éviter.

1. La mise en œuvre qui commence par le classeur. Un gestionnaire de la sécurité passe des mois à rédiger un manuel SGS avant que le premier événement soit signalé. Le manuel est complet et exact; l’exploitation n’a aucun SGS en service pendant ce temps. La solution : livrer la Version 1 du manuel au jour 30 (10 pages, tous les titres de sections présents, contenu « à développer à mesure que le SGS mûrit ») et laisser la réalité opérationnelle le compléter.

2. La mise en œuvre paralysée par les taxonomies. Trois mois passent à débattre de savoir si la matrice 5×5 devrait être 4×5 ou 5×5, si les barrières devraient compter huit catégories ou douze, si les SPI devraient être retardés ou avancés. Aucun de ces débats ne rend les vols plus sûrs. La solution : prendre les valeurs par défaut du Doc 9859 de l’OACI, décider de les revoir à l’examen des 6 mois, et avancer.

3. La mise en œuvre qui commence par un outil vide. Une plateforme vierge est achetée avant que la politique, la matrice, les SPI ou les dangers existent, et six mois passent à configurer une toile vide. La solution classique consiste à mettre en place le SGS sur papier pendant 90 jours d’abord, afin de savoir précisément ce que l’outil doit faire. L’exception qui accélère au lieu de retarder est une plateforme dotée de modèles préconstruits : quand la bibliothèque de SPI, les modèles en nœud papillon et le catalogue IOSA sont livrés remplis, il n’y a pas de toile vide à configurer, vous adaptez un modèle qui fonctionne au lieu d’en construire un. Le piège, c’est l’outil vide, pas l’outil.

4. La mise en œuvre sans le dirigeant responsable. Le gestionnaire de la sécurité mène le projet seul. Le dirigeant responsable signe les documents mais ne préside pas le comité d’examen de la sécurité, n’est responsable d’aucun SPI, ne voit pas la file de vérification d’efficacité. L’audit de l’autorité révèle la lacune dès le premier jour. La solution : un créneau hebdomadaire de 30 minutes dans l’agenda du dirigeant responsable, bloqué, et honoré.

eAviora est la plateforme d’intelligence en sécurité aérienne construite autour du vocabulaire de l’Annexe 19 de l’OACI. Elle supprime du plan de 90 jours le détour de plusieurs mois consacré à l’achat d’un outil, au lieu d’ajouter un 14e système à l’environnement opérationnel de la compagnie, et comme le modèle est livré clé en main, une bonne partie du plan de 90 jours est raccourcie plutôt qu’attendue.

Dès le premier jour, l’exploitant dispose déjà d’un modèle de risque rempli, et non d’une toile vierge : une bibliothèque de 516 SPI sélectionnée, activable selon le niveau de maturité, 85 modèles en nœud papillon préconstruits avec 682 barrières nommées et, pour les exploitants soumis à l’IOSA, le manuel des normes IOSA complet de 924 ISARP, actif sous forme d’exigences pouvant être rattachées à un périmètre, en une seule configuration guidée. Le circuit des actions correctives est livré avec le verrou d’efficacité appliqué, de sorte qu’aucune clôture n’est possible sans vérification signée. Et la mise en service elle-même est verrouillée : une intégration guidée et autonome se termine par une signature électronique à deux personnes, si bien que le SGS est activé délibérément, avec la responsabilité consignée.

Pour un exploitant qui suit le plan de 90 jours, les surfaces pertinentes sont :

• Module SGS : saisie des événements (obligatoires, volontaires, confidentiels), registre des dangers, matrice de risque, analyse en nœud papillon avec des barrières traitées comme des objets typés.
• Actions (CAPA) : le circuit des actions correctives et préventives, où la vérification d’efficacité est un verrou ferme avant la clôture.
• Conformité : suivi de l’alignement sur l’Annexe 19, la Part-ORO de l’AESA (EASA) et la Part 5 de la FAA, avec des éléments probants traçables pour chaque exigence.
• Analytique de sécurité : bibliothèque de SPI, seuils, tableaux de bord de tendance, les données que le comité d’examen de la sécurité lit chaque semaine.

Consultez le Guide de l’acheteur pour la grille d’évaluation complète, ou écrivez-nous pour discuter de votre exploitation et du plan de 90 jours.

• Annexe 19 de l’OACI, Gestion de la sécurité. Deuxième édition (2016). La norme de 30 pages.
• Doc 9859 de l’OACI, Manuel de gestion de la sécurité. Quatrième édition (2018). Les orientations de 226 pages. Les chapitres 4 (performance de sécurité) et 5 (mise en œuvre de la gestion de la sécurité) sont les chapitres porteurs de cet article.
• Part-ORO.GEN de l’AESA (EASA). Annexe III du règlement (UE) n° 965/2012 de la Commission, exigences relatives aux organismes pour les opérations aériennes (dirigeant responsable, système de gestion, surveillance de la conformité).
• FAA AC 120-92B, Safety Management Systems for Aviation Service Providers. Les orientations de mise en œuvre américaines au titre du 14 CFR Part 5.
• Règlement (UE) n° 376/2014. Comptes rendus, analyse et suivi d’événements dans l’aviation civile. Articles 4 (obligatoire), 5 (volontaire) et 16 (protection de la culture juste).
• Annexe 13 de l’OACI, Enquêtes sur les accidents et incidents d’aviation. Définitions de l’accident, de l’incident grave et de l’incident.