Les quatre composantes qui
font fonctionner un SGS.

La version courte se trouve dans l’encadré au-dessus du sommaire. Ci-dessous, chacune des quatre composantes a sa propre section : ce qu’elle est, lesquels des douze éléments elle regroupe, les enregistrements qu’elle produit, et sa défaillance la plus courante. La dernière section montre comment un événement traverse les quatre. Pour commencer par la définition générale, lisez d’abord ce qu’est un SGS.

La politique de sécurité est la fondation sur laquelle reposent les trois autres composantes. C’est là que l’organisation s’engage par écrit envers la sécurité, désigne qui est responsable de quoi et met en place la structure de soutien. Dans le cadre de l’Annexe 19 de l’OACI, elle regroupe cinq des douze éléments :

• L’engagement de la direction, une politique de sécurité signée et dotée de ressources, au plus haut niveau.
• L’obligation de rendre compte et les responsabilités en matière de sécurité, qui répond de la sécurité, du dirigeant responsable jusqu’aux échelons inférieurs.
• La nomination du personnel clé de sécurité, une personne désignée responsable du SGS.
• La coordination de la planification des interventions d’urgence, le plan d’intervention relié au SGS.
• La documentation du SGS, le cadre et les enregistrements qui décrivent le système.

Les enregistrements qu’elle produit : l’énoncé de politique de sécurité signé, une cartographie des responsabilités, les actes de nomination du dirigeant responsable et du gestionnaire de la sécurité, le plan d’intervention d’urgence, et l’ensemble documentaire du SGS qui indexe tout le reste.

La défaillance courante : l’engagement sur papier, pas dans le budget. La politique est signée et encadrée, le dirigeant responsable est nommé dans le manuel, puis rien ne reçoit de ressources. La sécurité se dispute le temps et l’argent comme n’importe quelle autre fonction, et perd sans bruit. Quand le sommet du système est purement cérémoniel, le signalement, l’analyse et la correction qui se trouvent en dessous n’obtiennent jamais l’autorité ni les ressources nécessaires, et les trois autres composantes fonctionnent à la bonne volonté jusqu’à ce qu’elle s’épuise.

La gestion des risques de sécurité est le moteur du SGS : la composante qui trouve réellement les dangers et agit sur eux. Elle regroupe deux des douze éléments, l’identification des dangers et l’évaluation et l’atténuation des risques de sécurité, mais ces deux éléments portent l’essentiel de la valeur de sécurité de tout le système.

Les dangers arrivent de trois directions. Les sources réactives sont les événements déjà survenus : comptes rendus d’événement, incidents, constatations. Les sources proactives regardent avant que quoi que ce soit ne tourne mal : audits, sondages, observations en ligne, analyse des données de vol. Les sources prédictives modélisent ce qui pourrait se combiner pour causer un dommage. Quelle que soit la source, chaque danger est évalué pour le risque qu’il porte, généralement la gravité de la pire issue crédible rapportée à sa probabilité, puis maîtrisé par des barrières jusqu’à ce que le risque résiduel atteigne un niveau que l’organisation a jugé acceptable.

Les enregistrements qu’elle produit : le registre des dangers, les évaluations des risques individuelles, les cotes sur la matrice de risque, les modèles en nœud papillon (bow-tie) qui exposent les menaces et les barrières autour d’un événement redouté, les barrières elles-mêmes, et les actions d’atténuation ouvertes pour les renforcer. Pour la vue par barrières sans tableur, voyez l’explication du nœud papillon.

La défaillance courante : le risque évalué une fois, classé et jamais réexaminé. Le registre des dangers devient un cimetière d’entrées que personne ne rouvre, un risque est coté le jour où il est soulevé puis figé alors que l’exploitation change autour de lui, et l’atténuation se réduit à « donner une formation » sans vérifier que la formation a changé quoi que ce soit. La matrice est aussi utilisée à l’envers, rétro-conçue pour aboutir à la réponse que quelqu’un voulait déjà plutôt que pour révéler honnêtement le risque.

L’assurance de la sécurité est la vérification. La gestion des risques de sécurité construit les barrières; l’assurance de la sécurité prouve qu’elles tiennent toujours et fonctionnent encore. Elle regroupe trois des douze éléments :

• La surveillance et la mesure de la performance de sécurité, les indicateurs, les objectifs et les audits internes qui montrent si la sécurité est réellement assurée.
• La gestion du changement, l’évaluation du risque d’un changement planifié avant qu’il soit fait, pas après.
• L’amélioration continue du SGS, l’audit du système lui-même et les suites données à ce que l’audit révèle.

Les enregistrements qu’elle produit : les indicateurs de performance de sécurité et leurs cartes de contrôle, les rapports d’audit interne et les constatations qu’ils soulèvent, les enquêtes de sécurité sur les événements, les évaluations de gestion du changement, et les actions correctives et préventives (CAPA) qui mènent une constatation jusqu’à sa clôture. Les indicateurs sont le pouls de cette composante : voyez la bibliothèque de SPI pour savoir comment se construit un ensemble d’indicateurs avancés.

La défaillance courante : une surveillance qui mesure l’activité plutôt que la performance. Les indicateurs sont dessinés en flèches colorées ou en mur rouge, orange et vert au lieu d’une véritable maîtrise statistique, si bien que la variation normale ressemble à une tendance et qu’un vrai décalage se perd dans le bruit. Les constatations sont ouvertes puis jamais closes. Les enquêtes s’arrêtent à « l’erreur humaine » au lieu des conditions qui ont rendu l’erreur probable. Et le changement se fait d’abord, puis le risque est évalué ensuite, quand il l’est. Pour la moitié qui concerne les indicateurs, le remède est une véritable maîtrise des procédés : voyez cartes de contrôle ou barres de tendance.

La promotion de la sécurité est le carburant. Elle maintient les personnes compétentes dans leurs tâches de sécurité et garde la sécurité visible et à double sens, ce qui permet d’abord aux comptes rendus de continuer d’alimenter la gestion des risques de sécurité. Elle regroupe les deux derniers des douze éléments, la formation et l’éducation et la communication sur la sécurité.

Les enregistrements qu’elle produit : les dossiers de formation et de compétence, la matrice de formation, les bulletins de sécurité et les communications de retour d’expérience, les résultats de sondage qui mesurent la culture de sécurité, et les traces de retour d’information qui montrent aux déclarants que leurs comptes rendus ont eu une suite. Ce retour n’est pas une politesse : une boucle de culture juste fermée est ce qui entretient le signalement, et nous la détaillons dans la culture juste en cinq questions.

La défaillance courante : la diffusion, pas le dialogue. La formation devient un diaporama unique à l’accueil, jamais actualisé. La communication va dans un seul sens, de la direction vers le personnel, sans canal de retour. Les leçons d’une enquête restent enfermées dans le dossier d’enquête et n’atteignent jamais les équipages qui en ont besoin. Et les déclarants qui signalent de bonne foi n’apprennent jamais ce qui s’est passé, si bien qu’ils cessent peu à peu de signaler. Quand la promotion de la sécurité échoue, l’échec reste invisible un moment, puis apparaît sous la forme d’un taux de signalement qui baisse sans bruit et prive le reste du système de sa donnée la plus importante.

On représente souvent les quatre composantes par quatre cases, ce qui leur donne l’air de quatre chantiers séparés. Elles ne le sont pas. Les voici d’un coup d’œil, puis nous suivrons un événement à travers les quatre.

Prenez un événement ordinaire, un décollage interrompu, un contact lors de l’assistance au sol, une approche non stabilisée suivie d’une remise des gaz, et suivez-le. La promotion de la sécurité explique que le compte rendu existe : quelqu’un a été formé à le déposer et avait confiance qu’il serait traité équitablement. La gestion des risques de sécurité le recueille : le danger qu’il a sollicité est identifié, la barrière qui a cédé est nommée, et le risque est réévalué sur la matrice. L’assurance de la sécurité prend le relais : l’événement fait l’objet d’une enquête, une action corrective est ouverte pour rétablir la barrière, et l’indicateur qui suit ce danger est surveillé pour détecter une récurrence, avec une barrière de clôture qui garde le dossier ouvert jusqu’à ce que l’efficacité de l’action soit prouvée. La politique de sécurité chapeaute le tout : elle définit qui est responsable d’accepter ou d’atténuer le risque résiduel et qui fournit les ressources de la correction, et le dirigeant responsable voit l’évolution du profil de risque. Un événement, quatre composantes, dans l’ordre.

Imaginez maintenant le même événement dans une exploitation où les quatre composantes sont des systèmes séparés. Le compte rendu arrive dans une boîte de réception. Personne ne le relie au danger. L’action corrective, si elle est ouverte, vit dans un autre outil de suivi et se clôt sans que personne vérifie la barrière. L’indicateur qui aurait signalé la tendance se trouve dans un tableur que l’enquêteur n’ouvre jamais. Chaque composante existe techniquement, et l’événement s’éteint pourtant sans bruit. C’est pourquoi le lien entre les quatre composantes n’est pas un simple atout : c’est le mécanisme par lequel un SGS réduit réellement le risque.

C’est exactement ce pour quoi eAviora est conçu. Tout le SGS fonctionne comme un seul graphe opérationnel, si bien qu’un événement se relie automatiquement à son danger, à la barrière qui a cédé, à l’action corrective, à l’indicateur et au profil de risque de sécurité, au lieu d’être ressaisi d’un outil à l’autre. Des barrières de clôture imposées empêchent un dossier de se clore sur un risque ouvert, si bien qu’une barrière dégradée ne peut pas être approuvée tant qu’une action corrective liée n’a pas prouvé son efficacité. Les indicateurs reposent sur une véritable maîtrise statistique des procédés, et le profil de risque est calculé plutôt qu’affirmé. Voyez comment les enregistrements s’articulent dans relier événement, CAPA, SPI et profil de risque et les barrières de clôture imposées, ou découvrez le module SGS.