Votre manuel SGS décrit un système.
Les inspecteurs vérifient le système.

Voir l’encadré au-dessus du sommaire. La suite de cet article couvre les six éléments qu’un manuel SGS doit établir, un plan de chapitres réaliste, ce que les inspecteurs vérifient vraiment, le piège du manuel de compagnie aérienne copié, et pourquoi le manuel doit décrire votre système de référence plutôt que dupliquer les données qu’il contient.

Une fois la mise en forme retirée, un manuel SGS doit établir six éléments sans ambiguïté :

• Politique de sécurité et responsabilités. La politique de sécurité, les objectifs et les responsabilités, jusqu’à un dirigeant responsable nommé qui porte la responsabilité ultime, ainsi que le personnel clé de la sécurité et tout groupe d’action sécurité ou comité d’examen.
• Gestion des risques de sécurité. Comment les dangers sont identifiés, comment le risque est évalué, et comment les contrôles sont décidés, appliqués et suivis.
• Assurance de la sécurité. Comment vous surveillez la performance de sécurité, menez l’audit interne, gérez le changement et confirmez que les contrôles fonctionnent.
• Promotion de la sécurité. Formation, compétence et communication, le volet humain qui maintient le système en vie.
• Le système de signalement de sécurité. Comment les événements sont signalés, y compris par un canal confidentiel, et comment les auteurs de signalement sont protégés dans une logique de culture juste.
• L’interface avec le plan d’intervention d’urgence. Comment le SGS se coordonne avec le plan d’intervention d’urgence lorsqu’un événement s’aggrave.

Ce ne sont pas six inventions. Ils correspondent directement aux quatre composantes d’un SGS, le système de signalement et l’interface d’intervention d’urgence étant des éléments au sein de celles-ci. Pour les exploitants américains, la règle finale de la FAA sur le SGS (publiée le 26 avril 2024, en vigueur le 28 mai 2024) a révisé le 14 CFR Part 5 autour de ces quatre composantes et a ajouté un système confidentiel de signalement des employés et une déclaration de conformité ; notre explication de la Part 5 détaille ce qui a changé. Pour les exploitants européens, la même substance de système de gestion figure dans les règles de mise en œuvre de l’AESA (EASA). Le rôle du manuel est d’établir clairement les six éléments, quel que soit le régime dont vous relevez.

La structure suit les six éléments ci-dessus. Un plan qui correspond nettement aux quatre composantes et se lit bien pour un inspecteur ressemble à ceci :

• Politique de sécurité, objectifs et engagement de la direction.
• Responsabilités de sécurité et personnel clé : le dirigeant responsable, le responsable de la sécurité, et le groupe d’action sécurité ou le comité d’examen.
• Identification des dangers et gestion des risques de sécurité.
• Signalement de sécurité : signalement courant et confidentiel, et la protection de culture juste qui pousse les gens à l’utiliser.
• Assurance de la sécurité : surveillance de la performance et indicateurs, audit interne et gestion du changement.
• Promotion de la sécurité : formation, compétence et communication.
• Interface et coordination avec le plan d’intervention d’urgence.
• Maîtrise documentaire et dossiers : comment le manuel lui-même, et les documents qui en découlent, sont revus, approuvés et tenus à jour.

Gardez chaque chapitre court. Un chapitre énonce la politique, nomme les fonctions, définit les déclencheurs et indique où vivent les dossiers. Il ne réenseigne pas la théorie de la gestion de la sécurité et ne retranscrit pas les textes d’orientation. Si vous voulez comprendre la logique de chaque composante avant de la rédiger, le Doc 9859 de l’OACI est la référence de conception sur laquelle travailler ; nous résumons comment l’utiliser dans le guide du Doc 9859 de l’OACI. Le plan est volontairement banal, car une structure prévisible est exactement ce qu’un inspecteur veut parcourir.

Deux questions guident l’examen d’un SGS, et les connaître change votre façon de rédiger. La première : la pratique correspond-elle au manuel ? Un inspecteur lit le processus que vous décrivez, puis le retrace dans l’exploitation. Si le manuel indique que les dangers font l’objet d’une évaluation des risques dans un délai défini, l’inspecteur prend des dangers récents et vérifie. Si le manuel indique que le comité d’examen de la sécurité se réunit à une fréquence donnée, l’inspecteur demande les procès-verbaux. Un écart entre la description et la pratique est la constatation la plus courante qui soit, et elle est entièrement auto-infligée : le manuel a promis une chose que l’exploitation ne fait pas.

La seconde : les dossiers le prouvent-ils ? La gestion de la sécurité se démontre, elle ne s’affirme pas. Cela signifie des comptes rendus ouverts et clos, des évaluations des risques avec une justification consignée, des indicateurs suivis avec une action définie en cas de dépassement, des audits dont les constatations sont menées jusqu’à la clôture, et une maîtrise documentaire qui montre qui a revu et approuvé chaque document maîtrisé. Le manuel indique où vivent ces dossiers. Les dossiers sont la preuve. Lorsque la clôture est réellement imposée, au lieu d’être un statut que quelqu’un saisit, cette preuve est bien plus difficile à falsifier ; nous décrivons le mécanisme dans les contrôles de clôture imposés.

Les fonctions nommées sont prises au sérieux. Le dirigeant responsable n’est pas un titre sur un organigramme, et un inspecteur peut s’attendre à voir cette personne manifestement impliquée : examiner la performance de sécurité, présider la bonne instance, assumer les décisions que la politique lui attribue. Si le manuel nomme une fonction, l’exploitation doit pouvoir montrer la personne qui l’occupe en train d’exercer son rôle.

Le moyen le plus rapide de produire un manuel SGS est de copier le manuel d’un grand exploitant et d’en changer le logo. C’est aussi le moyen le plus rapide d’échouer à un audit. Un manuel emprunté décrit un système emprunté : des structures de comité que vous n’avez pas, des processus dimensionnés pour une flotte que vous n’exploitez pas, des fonctions que personne n’occupe dans votre organisation. Le document se lit à merveille et décrit entièrement quelqu’un d’autre.

Il échoue de deux façons, et toutes deux aboutissent à la même constatation. La première est la surdescription : le manuel promet un processus trop lourd à faire fonctionner, la pratique s’en écarte discrètement et les dossiers cessent de correspondre. La seconde est la mauvaise description : le manuel décrit l’exploitation d’un autre exploitant, si bien que les dossiers n’ont jamais correspondu. Dans les deux cas, l’inspecteur lit le processus, le cherche et ne le trouve pas. La pratique ne correspond pas au manuel.

La proportionnalité est la solution. L’Annexe 19 et ses orientations indiquent explicitement qu’un SGS est proportionnable, et la règle de la FAA de 2024 étend le SGS aux petits exploitants précisément sur cette base : elle s’applique quelle que soit la taille, y compris aux titulaires de certificat à un seul aéronef et à un seul pilote. Une exploitation monopilote met en œuvre les mêmes quatre composantes avec un poids proportionné, et non une structure de comités de grand transporteur. Copier le manuel d’un grand exploitant ensevelit un petit exploitant sous des processus qu’il ne peut pas soutenir, ce qui est l’inverse d’un bénéfice pour la sécurité. Si votre exploitation est légère, partez d’un SGS proportionné aux petits exploitants et aux exploitants monopilotes plutôt que d’un manuel de compagnie aérienne emprunté.

Le changement le plus utile consiste à cesser de traiter le manuel comme l’endroit où vivent les données de sécurité. Le manuel décrit le système. Le système de référence est l’endroit où les événements, les évaluations des risques, les indicateurs, les audits et les actions correctives existent réellement. Un manuel qui duplique ces données devient obsolète dès qu’elles changent, et chaque chiffre périmé est une constatation future qui attend qu’un inspecteur remarque l’écart.

eAviora est le graphe opérationnel vers lequel pointe le manuel. Événements, dangers, enquêtes de sécurité, actions correctives, audits, constatations, documents, formation, conformité et SPI forment un seul ensemble connecté de dossiers, et non un tiroir de tableurs séparés. Le manuel renvoie au processus, la plateforme détient les éléments probants, et les deux ne divergent pas, car les éléments probants sont vivants plutôt que retranscrits. Le manuel peut rester court et stable pendant que l’exploitation évolue en dessous.

C’est aussi là que les promesses du manuel deviennent imposées plutôt qu’aspirationnelles. Le manuel indique que le risque est maîtrisé avant la clôture ; la plateforme l’impose, car un dossier ne peut pas être clos sur un risque ouvert et une barrière dégradée exige d’abord une action corrective liée dont l’efficacité est démontrée. Le manuel indique que les documents sont maîtrisés ; la plateforme fait suivre un circuit à quatre yeux avec un vérificateur, un approbateur et un éditeur nommés, un accusé de lecture et un cycle de revue. Le manuel indique que le signalement est confidentiel ; la plateforme fait fonctionner une boucle de culture juste fermée avec des bulletins anonymisés et un retour à l’auteur du signalement. Voyez comment les documents maîtrisés s’articulent dans le module Documents, ou écrivez-nous pour transposer votre manuel sur une exploitation en conditions réelles.