La culture juste
en cinq questions.

Voir l’encadré au-dessus du sommaire. Les cinq questions suivent.

La culture juste est l’idée la plus simple de la gestion de la sécurité et la plus difficile à appliquer de façon constante. Elle pose que les auteurs de signalements de première ligne doivent être traités équitablement selon leur intention et leur comportement, et non selon les conséquences de leurs actes. Un pilote qui commet une erreur de bonne foi un mardi après-midi tranquille et un pilote qui commet exactement la même erreur un vendredi soir, avec un toucher de queue à la clé, devraient recevoir la même réponse de l’organisation. Tous deux ont signalé de bonne foi. Tous deux méritent la même équité.

James Reason l’a formulé dans Managing the Risks of Organizational Accidents (1997) et Sidney Dekker l’a prolongé dans Just Culture (2007, deuxième édition 2012). Les deux auteurs sont cités par le Doc 9859 de l’OACI, les orientations de l’AESA (EASA) et le règlement européen sur les comptes rendus d’événements. Aucun de ces documents ne rend la culture juste facile à appliquer lorsqu’une personne réelle a commis une erreur réelle qui a causé des dommages réels. Les cinq questions ci-dessous sont l’outil opérationnel.

Les questions sont posées dans un ordre précis. Chacune tranche un aspect différent de la situation. Ensemble, elles produisent une réponse défendable à la seule question qui compte au moment qui suit un incident : que fait ensuite l’organisation ?

« Vous pouvez avoir une culture d’apprentissage, ou une culture du blâme. Vous ne pouvez pas avoir les deux. »Sidney Dekker, Just Culture (2012)

La première question est la plus facile à poser et la plus décisive. La personne voulait-elle le résultat qui s’est produit ?

Si la réponse est oui, si la personne voulait le dommage, il ne s’agit pas d’une question de culture juste. Il s’agit d’une question de sabotage, de sûreté, voire d’une question pénale. La culture juste protège les auteurs de signalements de bonne foi ; elle ne protège pas le dommage délibéré. Orientez le dossier vers le canal approprié et mettez fin à l’analyse de sécurité.

Dans presque tous les événements aéronautiques, la réponse à Q1 est non. Les pilotes ne veulent pas d’atterrissages durs. Les techniciens ne veulent pas oublier une clé. Les agents de régulation des vols ne veulent pas de chiffres de carburant erronés. C’est le « non » à Q1 qui permet aux quatre questions suivantes de faire leur travail.

Notez la précision : la question porte sur le caractère intentionnel de l’action, et non sur son caractère conscient. Un pilote a consciemment sélectionné les volets ; les conséquences d’un mauvais braquage des volets n’étaient pas voulues. Q1 sépare nettement l’intention de nuire de l’action aux conséquences imprévues.

La deuxième question sépare l’erreur de l’infraction. Une erreur est un raté mental, une défaillance de perception, un trou de mémoire, une baisse d’attention. Une infraction est un écart délibéré par rapport à une procédure dont la personne savait qu’elle s’appliquait.

Dans la taxonomie de Reason, les infractions se subdivisent à leur tour. Les infractions routinières sont celles que l’équipe a normalisées avec le temps : tout le monde prend le raccourci, la procédure normalisée est traitée comme indicative. Les infractions situationnelles surviennent lorsque la procédure ne peut pas être suivie dans les conditions réelles (la procédure suppose par exemple un disjoncteur à un endroit où il ne se trouve pas). Les infractions d’optimisation sont commises pour mieux faire le travail, pas pour en faire moins. Les infractions téméraires sont commises avec un mépris conscient du risque évident.

De ces quatre, seule la dernière, l’infraction téméraire, déclenche une sanction au titre de la culture juste. Les trois autres sont des signaux sur le système : les infractions routinières révèlent une supervision faible et une tolérance à la dérive ; les infractions situationnelles révèlent une procédure qui ne correspond pas à la réalité ; les infractions d’optimisation révèlent un flux de travail qui récompense les raccourcis.

La question à poser : la personne a-t-elle sciemment enfreint une règle, avec un mépris conscient du risque évident ? Si oui, sanctionnez. Si non, examinez le système.

C’est le test de substitution. Gardez la situation constante (même heure, même fatigue, même formation, même équipement, même charge de travail, même information disponible) et remplacez la personne par un pair de compétence équivalente. Ce pair aurait-il pris la même décision ?

Si oui, c’est la situation qui est en cause. L’erreur est ce que le système a produit lorsqu’il a été confié à un être humain représentatif. Sanctionner cette personne ne change rien au système. On retire un pair ; le pair suivant, dans la même situation, se comportera de la même façon.

Le test de substitution est l’antidote au biais rétrospectif. Après un événement, le résultat est connu, et le cerveau reconstruit le cheminement de la décision comme manifestement erroné, parce que nous savons qu’il a mal fini. Le test de substitution nous oblige à évaluer la décision au regard de ce qui pouvait être su sur le moment, et non de ce qui a été appris après coup.

Concrètement : réunissez un panel de trois ou quatre pairs. Faites-leur revivre la situation telle qu’elle a été vécue, et non telle qu’elle s’est terminée. Demandez à chacun, séparément, ce qu’il aurait fait. La réponse à Q3 est ce que dit le panel, et non ce que conclut l’enquêteur seul.

C’est la question de la récurrence, et elle est délibérément posée en quatrième position. Une personne qui commet deux fois la même erreur peut avoir besoin d’une formation complémentaire, d’un soutien ou d’une réaffectation, mais il faut d’abord s’assurer que les questions 1, 2 et 3 disent ce qu’elles doivent dire. Une série d’erreurs identiques commises par la même personne, là où des pairs n’auraient systématiquement pas commis la même erreur, relève d’une question de compétence.

Le danger est de sauter à Q4 avant Q1 à Q3. La récurrence n’est pas à elle seule un déclencheur de sanction ; c’est la récurrence en l’absence de défaillance du système, et là où des pairs n’auraient pas fait de même, qui constitue le déclencheur.

Remarque : Q4 doit être tranchée à partir des dossiers de l’organisation, et non de la mémoire. « Je crois que cette personne a eu un problème semblable il y a deux ans » n’est pas une base d’action. Un historique documenté de ce mode de défaillance précis, chez cette personne précise, tiré du système de sécurité, en est une.

Presque toujours, oui, en partie. Le modèle de Reason présente chaque accident comme l’alignement de défaillances organisationnelles latentes (décisions prises des années plus tôt, loin de l’exploitation) et de défaillances actives (l’action humaine immédiate). Q5 est la recherche de la contribution latente.

Les défaillances latentes se manifestent ainsi : une procédure ambiguë que personne n’a signalée pendant cinq ans ; un horaire de service qui a produit le niveau de fatigue du jour de l’événement ; un programme de formation qui ne couvrait le scénario rare que par une diapositive ; une liste de vérification dont la dernière révision précédait le nouvel équipement ; une culture où signaler un quasi-incident valait des critiques.

Q5 est la question qui transforme une enquête de sécurité en amélioration du système. Si la réponse est « oui, le système est en cause » (et il l’est généralement en partie), l’action corrective vise le système, et non l’individu. Le rôle de l’individu devient informatif : c’est son expérience qui a rendu visible la défaillance latente.

Les cinq questions, ordonnées en arbre :

1. Q1 intentionnelle ? Si oui → voie pénale / sûreté, l’analyse de culture juste s’arrête. Si non → continuer.
2. Q2 infraction téméraire ? Si oui → sanction proportionnée à la témérité, documentation, et mise en œuvre de l’amélioration du système qui aurait permis d’intervenir plus tôt. Si non → continuer.
3. Q3 le test de substitution est-il concluant ? Si un pair aurait fait de même → le système est la cause principale. Former, repenser, communiquer. L’individu n’est pas sanctionné. Si aucun pair n’aurait fait de même → continuer.
4. Q4 récurrence ? Premier événement, avec des pairs qui n’auraient pas fait de même → accompagnement, supervision accrue, documentation. Événement récurrent chez la même personne, là où des pairs n’auraient pas fait de même → examen des compétences, éventuellement réaffectation.
5. Q5 contribution du système ? Menez toujours cette analyse. Le plan d’actions correctives traite les défaillances latentes en plus de toute réponse individuelle.

En pratique, la grande majorité des événements aéronautiques sortent de l’arbre à Q3, le système étant désigné comme la cause. Une petite minorité en sort à Q2 avec une sanction. Une minorité encore plus réduite en sort à Q4 avec une réponse portant sur la compétence. Presque aucun n’en sort à Q1.

Trois malentendus tenaces doivent disparaître :

La culture juste n’est pas une culture de non-blâme. Le comportement téméraire est sanctionné. Les défaillances de compétence persistantes mènent à une réaffectation. L’équité réside dans l’application, et non dans l’absence de conséquences.

La culture juste n’est pas un passe-droit pour les individus. L’article 16 du Règlement (UE) n° 376/2014 protège les auteurs de comptes rendus contre des poursuites pénales fondées sur le compte rendu lui-même. Il n’immunise pas le comportement en cause. Un pilote téméraire fait toujours l’objet d’une enquête du ministère public ; son compte rendu ne peut simplement pas être utilisé comme preuve contre lui.

La culture juste n’est pas un slogan de la politique de sécurité. C’est une pratique opérationnelle que le dirigeant responsable applique, que le responsable de la sécurité facilite et que le personnel vit. Si le personnel de première ligne ne peut pas décrire ce qui se passe lorsqu’il dépose un signalement, la politique n’est qu’un papier peint.

Le meilleur test d’une culture juste est le volume de signalements. Si les signalements volontaires augmentent d’année en année, votre culture est saine. S’ils diminuent, quelque chose a refroidi le personnel, et aucun slogan n’inverse ce signal.

• James Reason, Managing the Risks of Organizational Accidents (1997). Le cadre d’origine du modèle du fromage suisse et de la taxonomie des infractions.
• Sidney Dekker, Just Culture: Restoring Trust and Accountability in Your Organization (2012, deuxième édition). Le guide opérationnel le plus accessible pour appliquer la culture juste.
• Règlement (UE) n° 376/2014. Comptes rendus, analyse et suivi d’événements dans l’aviation civile. L’article 16 est la base juridique de la protection des auteurs de comptes rendus dans les États membres de l’UE.
• Doc 9859 de l’OACI, Manuel de gestion de la sécurité, quatrième édition (2018). Chapitre 2.5 sur la culture de sécurité ; chapitre 4.6 sur les systèmes de comptes rendus.
• Eurocontrol, boîte à outils Just Culture. Orientations pratiques et études de cas de prestataires européens de services de navigation aérienne.
• FAA Order 8000.373, Federal Aviation Administration Compliance Philosophy. La mise en œuvre américaine la plus proche de l’esprit de la culture juste.