La matrice de risque en aviation,
la gravité par la probabilité.

L’encadré au-dessus du sommaire répond à la question centrale. Les sections ci-dessous définissent chaque axe, montrent comment lire les zones de tolérabilité, détaillent comment une cote se construit et se défend, et nomment les abus qui brisent une matrice sans bruit, à commencer par la gravité gonflée. Elles se terminent sur le point que les exploitants oublient le plus : la case est une donnée d’entrée d’une décision, pas la décision.

Toute cote de risque dans un système de gestion de la sécurité repose sur deux jugements indépendants, et la matrice existe pour les combiner. Le premier axe est la gravité : si cela tourne mal, à quel point la pire issue crédible est-elle grave ? Pas la pire issue imaginable (presque tout peut dégénérer en accident mortel avec assez de malchance), mais la pire issue qui pourrait raisonnablement suivre. Évaluez la conséquence, pas le danger : une piste contaminée est une condition, une sortie de piste est l’issue que vous cotez. Le Doc 9859 de l’OACI définit cinq niveaux de gravité, du plus grave au moins grave :

• Catastrophique : plusieurs morts, perte de l’aéronef, équipement détruit.
• Dangereux : forte réduction des marges de sécurité, blessure grave, dommage majeur à l’équipement, charge de travail si élevée qu’on ne peut plus compter sur l’équipage pour accomplir ses tâches.
• Majeur : réduction importante des marges de sécurité, incident grave, blessure des occupants.
• Mineur : gêne, limitations d’exploitation, recours aux procédures d’urgence, incident mineur.
• Négligeable : peu ou pas d’effet sur la sécurité.

Le second axe est la probabilité : à quel point cette issue est-elle probable, compte tenu des mesures de maîtrise en place aujourd’hui et de l’exposition de l’exploitation ? Là encore cinq niveaux, du plus probable au moins probable :

• Fréquent : susceptible de se produire de nombreuses fois, s’est produit fréquemment.
• Occasionnel : susceptible de se produire parfois, s’est produit rarement.
• Éloigné : peu susceptible de se produire mais possible, s’est produit très rarement.
• Improbable : très peu probable, ne s’est jamais produit à notre connaissance.
• Extrêmement improbable : il est presque inconcevable que l’événement se produise.

Les échelles sont délibérément formulées en mots, pas en estimations chiffrées. « Occasionnel » a une définition (susceptible de se produire parfois, s’est produit rarement dans l’exploitation), et l’évaluateur doit justifier son choix au regard de cette définition et des éléments probants, pas choisir un chiffre qui lui semble juste. Une notation courante utilise des lettres pour la gravité (A pour catastrophique jusqu’à E pour négligeable) et des chiffres pour la probabilité (5 pour fréquent jusqu’à 1 pour extrêmement improbable), si bien qu’une cote se lit comme un code compact tel que 4B ou 2D, la ligne et la colonne qui situent la case.

La case où la gravité choisie croise la probabilité choisie est l’indice de risque. Seul, cet indice veut dire peu de chose tant qu’on ne lui superpose pas la seconde moitié du cadre : les zones de tolérabilité qui disent quoi en faire. L’OACI en décrit trois, et la plupart des exploitants les colorent :

• Intolérable (rouge) : le risque est inacceptable en l’état. L’exploitation s’arrête, ou ne commence pas, tant que le risque n’a pas été réduit. Aucune paperasse ne permet d’acheter l’acceptation : quelque chose de réel doit changer la gravité ou la probabilité.
• Tolérable (orange) : le risque n’est acceptable qu’après atténuation, et seulement une fois ramené au niveau le plus bas raisonnablement possible. C’est la zone de travail de l’essentiel de la gestion de la sécurité : des mesures de maîtrise sont ajoutées, le risque résiduel est réévalué et le raisonnement est consigné.
• Acceptable (vert) : le risque est acceptable en l’état. Il n’est pas ignoré, il est surveillé, car l’exposition et les mesures de maîtrise dérivent avec le temps et un vert d’aujourd’hui peut bouger.

Deux points échappent aux exploitants. D’abord, la limite exacte entre les zones est fixée par l’organisation dans son propre SGS. L’OACI donne la forme de la grille, pas les lignes de coupure, si bien qu’une case 3C peut être orange chez un exploitant et intolérable chez un autre dont l’appétence au risque est plus faible. C’est une décision de gouvernance, prise une fois et appliquée de façon cohérente, pas une négociation dossier par dossier. Ensuite, les couleurs sont une convention, pas une loi de la physique. La discipline réside dans les définitions qui se trouvent derrière, pas dans la teinte de la case, et c’est justement pourquoi une matrice fondée sur des couleurs choisies à la main est si facile à infléchir sans bruit. Voyez l’entrée du glossaire sur la matrice de risque pour la version courte.

Une cote de risque est une affirmation, et une affirmation doit être défendable. « C’est un 4B » ne vaut rien sans les deux phrases qui le justifient : pourquoi c’est la pire gravité crédible, et pourquoi c’est la bonne probabilité compte tenu de l’historique et de l’exposition de l’exploitation. L’évaluation est l’endroit où vit réellement la gestion des risques de sécurité, la deuxième composante d’un SGS, et c’est sur elle qu’un auditeur ou un dirigeant responsable va insister.

Une cote de gravité défendable nomme la pire issue crédible et explique pourquoi elle s’arrête là au lieu de monter au sommet de l’échelle. Une cote de probabilité défendable s’appuie sur quelque chose de réel : l’historique des événements pour ce danger, l’exposition (étapes, cycles, mouvements) qui détermine la fréquence, et les barrières déjà en place qui maintiennent la vraisemblance à la baisse. Une cote débattue par un groupe, un groupe d’action sécurité qui examine les mêmes éléments probants, est bien plus défendable que celle d’un seul gestionnaire qui choisit une couleur dans une liste déroulante sous la pression d’une échéance.

C’est là que l’outil aide ou masque le problème. Dans eAviora, la gravité et la probabilité sont des champs à part entière portés avec leur justification, et la plateforme calcule le risque à partir de la case évaluée au lieu de laisser quiconque peindre une couleur à la main. La cote découle des deux données d’entrée, elle est donc reproductible : la même gravité et la même probabilité donnent toujours le même indice et la même zone, et le raisonnement accompagne le dossier au lieu de vivre dans une réunion dont personne n’a fait le procès-verbal.

La façon la plus courante dont une matrice de risque cesse de fonctionner est la gravité gonflée : coter presque chaque danger au sommet de l’échelle de gravité ou tout près, au motif que tout pourrait théoriquement finir en accident mortel. Quand tout est catastrophique, la matrice perd la seule chose qu’elle doit fournir, la distinction entre les risques, pour que l’exploitant place d’abord des barrières sur les pires. Un registre gonflé se lit comme un mur de rouge que personne ne peut hiérarchiser, et il apprend aux gens à ignorer complètement la couleur.

La défaillance inverse est plus discrète et plus dangereuse :

• La probabilité optimiste, qui abaisse la vraisemblance d’un niveau pour que la cote tombe dans le vert et que le dossier puisse être clos sans rien faire.
• Coter le danger, pas la conséquence, c’est-à-dire noter la gravité de la condition (une piste contaminée) au lieu de l’issue qu’elle pourrait produire (une sortie de piste), ce qui brouille toutes les décisions qui suivent.
• Recoter pour clore, c’est-à-dire ajuster les chiffres après coup pour qu’un dossier récalcitrant franchisse la barrière qui le maintient ouvert, ce qui est exactement la dérive qu’une matrice de risque est censée empêcher.
• La couleur sans raisonnement, une case verte sans argument consigné sur la pire issue crédible ni élément probant sur la probabilité, ce qui veut dire « quelqu’un l’a dit », et non « les éléments probants le montrent ».

Chacun de ces abus est le symptôme d’une matrice modifiable à la main. eAviora supprime la modification manuelle : comme la zone est calculée à partir de la case évaluée et que la justification est obligatoire, une cote gonflée ou optimiste apparaît comme un décalage entre l’argument et le chiffre, au lieu d’être enfouie sous une couleur choisie par quelqu’un. Et une cote ne peut jamais être recotée discrètement pour échapper à une barrière de clôture, car la barrière lit le niveau calculé, pas un champ de statut.

La chose la plus utile à retenir sur une matrice de risque est qu’elle ne prend pas la décision, elle la structure. La case est une donnée d’entrée. La décision est ce que vous faites ensuite, et c’est l’une de trois choses : accepter le risque et le surveiller, l’atténuer et le réévaluer, ou escalader et arrêter jusqu’à ce qu’il soit réduit. La matrice rend cette discussion honnête en obligeant à nommer et à défendre séparément la gravité et la probabilité, mais c’est une personne, et au-delà d’une ligne intolérable une instance de gouvernance, qui garde la décision.

Bien utilisée, la cote alimente ensuite le reste du système au lieu de s’arrêter au formulaire. Elle détermine quels dangers reçoivent d’abord des barrières. Elle détermine quels indicateurs méritent d’être suivis dans la bibliothèque de performance de sécurité. Et elle se consolide dans le profil de risque de sécurité calculé, qui dans eAviora fusionne sept composantes en une seule note par bandes affichée à côté du pire niveau de risque du Doc 9859 de l’OACI dans le périmètre. Autrement dit, une case bien argumentée n’est pas une impasse, c’est un nœud dans un graphe opérationnel qui relie le danger à ses barrières, à ses indicateurs et aux actions correctives qui le maintiennent sous contrôle.

C’est aussi pourquoi le comportement à la clôture compte. eAviora calcule le risque à partir de la case évaluée et ne laisse pas un dossier se clore tant qu’il se trouve à un niveau intolérable : une barrière dégradée doit porter une action corrective liée, dont l’efficacité est prouvée, avant que le dossier puisse être clos, et cela est vérifié par une suite de scénarios réussie à 13 sur 13. La matrice éclaire la décision, et la plateforme s’assure que la décision est réellement prise au lieu d’être présumée. Pour le voir sur votre propre exploitation, écrivez-nous.