La dérive opérationnelle :
le risque que personne ne signale.

Voir l’encadré ci-dessus. La dérive est un processus lent, ce qui la distingue d’un signal faible : un signal faible est un point de donnée ténu ; la dérive est le courant qui déplace toute l’exploitation. Les deux sont liés : la dérive est l’une des choses dont les signaux faibles peuvent être une preuve précoce.

Toute exploitation est conçue avec une marge, une distance entre la manière dont le travail doit être fait et le point où il devient dangereux. La dérive est la consommation progressive de cette marge, non par une quelconque décision d’agir de façon dangereuse, mais par une longue série de petites adaptations localement sensées.

La recherche en sécurité a décrit ce phénomène sous plusieurs angles, et tous s’accordent sur sa forme. Jens Rasmussen a décrit des systèmes qui migrent vers la frontière de l’exploitation sûre sous la pression constante de l’efficacité et de la charge de travail. Sidney Dekker a appelé le résultat la dérive vers la défaillance (drift into failure) : une défaillance produite non par un composant cassé, mais par une organisation qui s’adapte lentement jusqu’à la limite. Diane Vaughan, en étudiant l’accident de Challenger, a nommé le mécanisme la normalisation de la déviance : chaque écart qui passe sans dommage devient la référence acceptée pour le suivant.

Le fil commun est que la dérive est une propriété du travail normal et bien intentionné sous pression, et non de l’imprudence. C’est ce qui en fait le risque le plus difficile à gérer avec un système construit autour des événements et des infractions aux règles. La dérive n’enfreint aucune règle un jour donné ; elle déplace simplement le quotidien.

La dérive n’est pas un accident propre aux mauvais exploitants ; c’est le résultat prévisible de forces ordinaires qui agissent sur des personnes ordinaires accomplissant un travail exigeant.

Le compromis entre efficacité et rigueur. Erik Hollnagel a observé que les gens arbitrent en permanence entre faire une tâche avec rigueur et la faire avec efficacité, parce qu’il y a rarement le temps et les ressources pour maximiser les deux. Chaque arbitrage est raisonnable sur le moment. La dérive est ce qui s’accumule quand la balance penche, légèrement et de façon répétée, vers l’efficacité, généralement parce que c’est ce que récompensent le programme, la charge de travail et les attentes tacites.

La rationalité locale. Les adaptations qui produisent la dérive ont du sens de là où se trouve la personne. Une étape est sautée parce que, d’après son expérience, elle ne change jamais le résultat. Une procédure est raccourcie parce que la version écrite suppose des conditions qui ne se vérifient pas en ligne. Les gens ne sont pas négligents ; ils sont localement sensés, avec l’information et les pressions qui sont les leurs.

Le succès masque le coût. Le moteur le plus profond est que la dérive est renforcée par le succès. Chaque fois qu’un raccourci fonctionne, il accumule la preuve qu’il est acceptable. La marge consommée est invisible, rien ne s’est passé, si bien que le seul retour est positif. L’exploitation apprend, à juste titre au vu des éléments disponibles et dangereusement en réalité, que la nouvelle façon de faire est sûre. L’écart entre la procédure (le travail prescrit) et la pratique (le travail réel) se creuse avec la confiance entière et sereine de l’exploitation.

Voici ce qui devrait inquiéter tout directeur de la sécurité. Tout le dispositif de signalement de la sécurité (le compte rendu d’événement, le signalement de danger, la constatation d’audit) est construit pour capter des événements et des écarts. La dérive ne produit ni l’un ni l’autre.

Pour les personnes au sein d’une exploitation qui a dérivé, la façon de travailler actuelle n’est pas un écart. C’est simplement la manière de faire le travail, la norme que tout le monde partage et que personne ne remet en question. Il n’y a pas de moment de rupture à remarquer, pas de manquement à signaler, pas d’événement à déclarer. Un système de signalement attend que quelqu’un reconnaisse quelque chose comme anormal et le dise. La dérive, par nature, est ce que personne ne reconnaît comme anormal, parce qu’elle est arrivée trop lentement et n’a jamais causé de dommage. Le déclencheur ne se déclenche jamais.

C’est pourquoi la dérive est invisible aussi bien pour une vérification de conformité que pour un SGS alimenté par des comptes rendus. Un audit de conformité échantillonne le système documenté, qui paraît toujours correct. Le système de signalement attend un événement qui, par définition, ne s’est pas encore produit. La dérive se loge précisément dans l’angle mort entre les deux, l’une des raisons structurelles présentées dans pourquoi les SGS matures passent à côté des risques émergents. L’exploitation peut être entièrement conforme, signaler pleinement, et dériver régulièrement, tout cela à la fois.

Parce que la dérive ne se signalera pas d’elle-même, la seule façon de la gérer est de la chercher volontairement. Cela suppose de changer ce que surveille la fonction sécurité.

• Comparer le travail réel au travail prescrit. Recourez à l’observation des opérations normales et à la surveillance en ligne des vols de routine sans incident pour voir comment la tâche est réellement accomplie, et non comment le manuel suppose qu’elle l’est. L’écart entre les deux est la mesure de la dérive.
• Surveiller les tendances, pas les seuils. La dérive apparaît comme une pente lente à l’intérieur des limites bien avant d’en franchir une. Une mesure qui ne se déclenche qu’à un seuil est conçue pour la manquer ; un indicateur avancé sur le respect des procédures, lu pour sa direction, est conçu pour la saisir.
• Relier les signaux entre les modules. Un écart qui se creuse laisse généralement des traces ténues à plusieurs endroits : un compte rendu mineur récurrent, une compétence validée de justesse à répétition, un dépassement qui évolue dans le mauvais sens. Lues ensemble par rapport à la même barrière, elles décrivent la dérive qu’aucune ne signale à elle seule.
• Permettre de la nommer sans crainte. La dérive vient de pressions réelles, si bien que la mettre au jour doit être une conversation d’apprentissage, pas une démarche disciplinaire. Une culture juste est ce qui permet aux gens de dire « voici comment nous le faisons vraiment, et voici pourquoi », le seul point de départ honnête pour combler l’écart.

Faire cela en continu, à l’échelle de toute l’exploitation, est le travail de l’intelligence en sécurité aérienne : relier les traces ténues et les lire pour leur direction, afin que la migration vers la limite devienne visible tant qu’il reste de la marge pour se rétablir. Dans le moteur de barrières d’eAviora, chaque barrière porte un état d’efficacité en temps réel (efficace, partiellement efficace, inefficace ou absente), mis à jour à mesure que des événements la touchent, et un moteur de déclenchement du groupe d’action sécurité fait remonter les signaux de schémas répétés, comme trois événements ou plus dans la même famille en quatre-vingt-dix jours, si bien que la lecture croisée entre modules qui révèle la dérive se fait par défaut plutôt qu’à la main. Le rythme opérationnel plus large est présenté dans comment les compagnies aériennes détectent le risque émergent avant les incidents.