Le modèle de risque aéronautique,
prêt à l’emploi.

Voir l’encadré au-dessus du sommaire. La suite de l’article explique la différence entre livrer un modèle et livrer une page blanche, ce qui est livré exactement, et comment une compagnie aérienne s’en sert dès le premier jour.

Ouvrez presque n’importe quel outil de sécurité traditionnel et vous trouvez la même chose : un éditeur de nœuds papillon vide, un tableau de barrières vide et un formulaire d’indicateurs vide. Le logiciel est une toile vierge. Avant qu’il ne serve à quoi que ce soit, la compagnie doit construire tout le modèle de risque elle-même : dessiner chaque diagramme, nommer chaque barrière, définir chaque indicateur et rédiger chaque règle de cotation.

Ce n’est pas une petite tâche. C’est le travail d’un spécialiste du risque pendant des mois, souvent confié à un cabinet de conseil. Et il pose trois problèmes qui ne disparaissent jamais :

• Il est rarement terminé. La plupart des services de sécurité remplissent quelques nœuds papillon pour leurs principaux dangers et ne complètent jamais l’ensemble. La page blanche reste en grande partie blanche.
• Il est sur mesure et difficile à auditer. Deux analystes qui modélisent le même scénario inventent deux jeux de barrières différents. Une autorité de l’aviation civile ne peut pas savoir si une barrière absente est un vrai manque ou un simple choix de nom.
• Il dérive. Un modèle construit à la main dans un outil de dessin vieillit dès que quelqu’un copie le fichier. Il n’existe ni source unique de vérité ni garantie que le diagramme affiché correspond à celui du manuel.

L’approche à configurer soi-même fait payer à la compagnie le coût de la modélisation avant qu’elle n’en tire de la valeur, puis l’oblige à vivre avec un modèle unique, non audité et qui se périme lentement. eAviora a été conçu pour inverser cela.

eAviora livre le modèle de risque aéronautique lui-même, prêt dès le premier jour et aligné sur la méthode de l’OACI. Ce n’est pas une toile à remplir, c’est une base de connaissances à activer. Dans la boîte :

• 85 modèles en nœud papillon, un par famille de risques aéronautiques reconnue.
• 1 467 éléments : les menaces, conséquences et moyens de maîtrise qui composent ces diagrammes.
• 682 barrières nommées : les défenses de prévention et de récupération, nommées une fois et partagées partout.
• 183 scénarios : les façons modélisées dont un danger se concrétise.
• 11 thèmes de risque : les regroupements de premier niveau auxquels tout le modèle se rattache.
• Une bibliothèque de 516 SPI : des indicateurs de performance de sécurité prêts à être activés.

Le modèle entier est généré à partir d’un seul classeur maître de taxonomie et figé par somme de contrôle dans la compilation. La somme de contrôle est la garantie contre la dérive : si quoi que ce soit changeait dans le modèle, la compilation échouerait. Les 85 nœuds papillon et 682 barrières sur lesquels une compagnie cote ses événements sont donc les mêmes que ceux de toutes les autres : stables, partagés et alignés sur l’OACI.

C’est cette stabilité qui donne au modèle plus de valeur qu’un modèle sur mesure. Comme chaque barrière a un nom canonique et chaque scénario une forme canonique, une cote a le même sens sur tous les enregistrements et dans le temps. La compagnie adapte ce modèle à son exploitation au lieu de le construire à partir d’une page blanche.

Le modèle n’est pas un document de référence posé à côté du travail. Il est intégré à chaque enregistrement. Quand un événement est saisi, il est rattaché à une famille de nœuds papillon parmi les 85 livrées, et le diagramme arrive avec ses barrières de prévention nommées (les défenses à gauche de l’événement redouté) et ses barrières de récupération (les défenses à sa droite) déjà en place.

Cotation des barrières. Sur chaque enregistrement, chaque barrière est cotée pour cet événement : efficace, partiellement efficace, inefficace ou absente. L’analyste de la sécurité n’invente pas de barrières : il évalue celles que le modèle nomme déjà. Cette cote colore le diagramme, si bien que quiconque lit l’enregistrement voit d’un coup d’œil quelles défenses ont tenu et lesquelles ont cédé.

D’une barrière dégradée à une action. Une barrière cotée inefficace ou absente est un manque réel et nommé dans les défenses de l’exploitation. eAviora transforme ce manque en travail : une barrière dégradée déclenche une action corrective visant la défense nommée, et non une note en texte libre. L’action boucle la boucle entre la détection de la faiblesse et sa correction.

Comme les noms des barrières sont partagés dans toute la bibliothèque, la même défense cotée inefficace sur trois événements est visiblement la même défense, une tendance sur laquelle le service de sécurité peut agir, plutôt que trois notes sans lien. C’est le modèle partagé qui transforme des cotes isolées en une image des endroits où les défenses de l’exploitation s’affaiblissent.

Le même principe du prêt-à-l’emploi régit la couche de mesure. eAviora livre une bibliothèque de 516 indicateurs de performance de sécurité : non pas un formulaire vide qui demande à la compagnie de définir ses propres indicateurs, mais une bibliothèque prête à être activée.

Activation par niveau de maturité. Un nouveau service de sécurité n’a pas besoin des 516 indicateurs dès le premier jour, et un service mature veut l’ensemble complet. La bibliothèque est organisée par niveaux : une compagnie active tôt un premier ensemble et l’élargit à mesure que sa gestion de la sécurité mûrit, sans rien redéfinir.

Une vraie maîtrise statistique des procédés, pas des barres colorées. Chaque indicateur actif est évalué chaque mois avec une véritable maîtrise statistique des procédés : cartes de contrôle, règles de la Western Electric et méthode décrite dans le Doc 9859 de l’OACI. C’est la différence entre un indicateur qui alerte quand les données sortent réellement de leur enveloppe attendue et une barre de tendance qui passe à l’orange parce que le chiffre de ce mois se trouve être plus élevé que celui du mois dernier.

Le contraste avec l’outil à configurer soi-même est tout l’enjeu. Là-bas, la compagnie rédige 516 indicateurs et leurs règles statistiques à la main avant que l’outil ne mesure quoi que ce soit. Ici, la bibliothèque est déjà livrée, alignée sur l’OACI et statistiquement solide, si bien que la mesure commence dès le premier jour plutôt qu’après un an de travail de définition.

Le modèle est partagé par tous les modules de la plateforme (gestion de la sécurité, qualité et conformité, documents, formation et actions), qui parlent tous le même langage du risque. Voyez le module SGS pour savoir où se trouvent les nœuds papillon, ou écrivez-nous pour passer le modèle en revue avec votre exploitation.