Un logiciel SGS conçu
pour une école de pilotage.

Voir l’encadré au-dessus du sommaire. La suite de cet article est un guide d’achat : pourquoi un SGS s’applique différemment dans une école et dans une compagnie aérienne, les cinq critères qui décident réellement si le logiciel fonctionne dans un environnement de formation, et comment vérifier qu’un outil conviendra encore quand l’école aura grandi.

Du point de vue du risque, une école de pilotage est une exploitation inhabituelle. Ses pilotes sont par définition les moins expérimentés du secteur. Ses aéronefs effectuent plus de cycles par heure de cellule que presque tout le reste de l’aviation : tour de piste après tour de piste, atterrissage après atterrissage, dans l’environnement d’entraînement où se concentre déjà l’essentiel du risque de tout vol. Son corps d’instructeurs se renouvelle sans cesse, car l’instruction est le moyen pour la plupart des pilotes professionnels d’accumuler les heures nécessaires pour évoluer. Et elle opère à proximité d’autres trafics, souvent sur des aérodromes chargés, non contrôlés ou très fréquentés par l’entraînement. Les populations d’élèves, les flottes à cycles élevés et le renouvellement des instructeurs ne sont pas accessoires pour une école ; ensemble, ils constituent son profil de risque.

Cette combinaison explique pourquoi un système de gestion de la sécurité s’applique différemment dans une école et dans une compagnie aérienne. La boucle des actions correctives compte davantage, car la population qui génère les dangers change chaque année. La culture de signalement compte davantage, car les personnes les mieux placées pour voir un danger, les élèves et les jeunes instructeurs, sont les moins susceptibles de se sentir en sécurité pour le signaler. Et le lien avec les dossiers de formation compte davantage, car dans une école, le système de sécurité et le système de formation décrivent les mêmes personnes effectuant les mêmes vols.

La pression réglementaire est réelle et s’accentue. Selon l’Annexe 19 de l’OACI, le cadre SGS s’étend aux organismes de formation agréés exposés à un risque de sécurité, et les autorités nationales le mettent en œuvre par leurs propres règles. Aux États-Unis, une école de pilotage qui effectue aussi des vols touristiques commerciaux relevant de la 91.147, ou des opérations à la demande relevant de la Part 135, entre directement dans l’exigence de la Part 5 de la FAA, avec la même échéance du 28 mai 2027 pour la mise en œuvre complète et la déclaration de conformité que celle qui s’applique aux exploitants Part 135 en général. En Europe, les organismes de formation agréés portent des obligations de système de gestion au titre des règles de mise en œuvre applicables. Et même là où un SGS n’est pas encore strictement obligatoire pour une école donnée, les programmes de filière vers les compagnies aériennes et les partenariats universitaires qui alimentent les grands transporteurs en élèves en attendent de plus en plus un.

La plupart des logiciels SGS ont été conçus pour les compagnies aériennes, puis vendus aux écoles en version allégée. C’est le mauvais sens. Une école n’a pas besoin d’un SGS de compagnie aérienne réduit ; elle a besoin d’un système conçu autour des quatre composantes telles qu’elles se jouent réellement dans un environnement de formation. Cinq critères décident si le logiciel fonctionne :

• Un signalement des dangers d’une simplicité extrême qu’un élève ou un instructeur peu expérimenté utilisera réellement, et non un long formulaire qu’on saute.
• Une saisie structurée des événements qui enregistre les incidents d’instruction (un atterrissage dur, une incursion sur piste, un airprox dans le circuit) comme des dossiers, et non comme du texte libre dans une boîte de réception.
• Une évaluation des risques reproductible, pour que le même danger soit noté de la même façon quelle que soit la personne qui le saisit.
• Un suivi des actions qu’on ne peut pas abandonner discrètement quand l’instructeur qui en était responsable part.
• Un lien entre les dossiers de sécurité et les dossiers de formation, pour qu’un motif dans les événements puisse être rattaché au programme, à l’exercice ou à la phase de formation qui l’a produit.

Réussissez ces cinq critères et le reste du SGS, la politique, la promotion, les rapports d’assurance, a une base réelle sur laquelle s’appuyer. Ratez-les et vous avez un classeur qui satisfait un auditeur pour une journée et ne change rien. Les sections ci-dessous traitent les deux critères que les écoles sous-estiment le plus souvent, le signalement et la boucle fermée, puis les deux qui décident si l’outil conviendra encore dans trois ans, le lien avec la formation et la croissance.

Le problème le plus difficile de la sécurité en école de pilotage n’est pas la rédaction du manuel. C’est d’amener l’élève de dix-huit ans à son troisième vol solo à vous parler du danger qu’il vient de voir, alors que toute sa relation avec l’organisme consiste à être évalué. Si le signalement est un long formulaire, il ne le remplira pas. Si un compte rendu peut être directement rattaché à lui et qu’il craint que cela pèse sur son dossier de formation, il ne le remplira certainement pas. L’outil de signalement doit résoudre les deux problèmes à la fois : une friction quasi nulle et une véritable confidentialité.

Une friction quasi nulle, c’est un compte rendu qui prend moins d’une minute depuis un téléphone, en langage courant, sans que son auteur ait besoin de connaître la taxonomie ou de classer quoi que ce soit. La structure (le type d’événement, le danger concerné, la gravité) relève du service sécurité, qui l’ajoute ensuite, et non de l’élève, qui devrait la trouver d’emblée. Une véritable confidentialité, c’est un canal confidentiel avec une boucle de culture juste fermée : l’auteur du signalement peut voir que son compte rendu a été reçu et traité, par un bulletin anonymisé, sans jamais être personnellement exposé. Un élève qui signale un danger puis constate, une semaine plus tard, qu’il a été corrigé et que la leçon a été partagée avec toute l’école sans aucun nom, est un élève qui signalera le suivant. Cette boucle de retour est tout l’enjeu.

eAviora fait fonctionner le signalement confidentiel avec exactement cette boucle fermée : des bulletins anonymisés et un retour à l’auteur du signalement, pour que la personne qui a soulevé une préoccupation voie qu’elle a été prise en compte sans être identifiée. Pour une école, ce n’est pas un plus. C’est la différence entre un SGS qui entend parler des dangers tôt et un SGS qui les découvre après coup, dans un compte rendu d’incident.

Une fois qu’un danger ou un événement est dans le système, deux choses doivent se produire de façon fiable, et c’est là que les outils légers échouent.

D’abord, le risque doit être évalué de la même façon à chaque fois. Une évaluation des risques reproductible (une matrice cohérente, une méthode cohérente) signifie qu’une incursion sur piste saisie par l’instructeur en chef et une autre saisie par un instructeur tout juste arrivé donnent des résultats comparables, parce que la notation est guidée par l’outil plutôt que par le jugement d’une personne un jour donné. Une école qui part d’une bibliothèque de risques vide doit tout inventer, et elle dérivera. Un outil livré avec un modèle préconstruit donne à chaque évaluation la même ossature dès le premier jour.

Ensuite, l’action corrective doit être suivie jusqu’à sa clôture par l’outil, et non par la personne. C’est là que le renouvellement des instructeurs ruine discrètement les systèmes de sécurité. Une action attribuée à un instructeur qui part en fin de saison ne doit pas disparaître avec lui. Le système doit maintenir cette action ouverte, permettre de la réattribuer et refuser que le danger associé apparaisse comme résolu tant que l’action n’est pas réellement close et, lorsque c’est important, son efficacité démontrée. eAviora l’impose structurellement grâce à son module d’actions correctives : un dossier ne peut pas être clos sur un risque ouvert, si bien qu’une barrière dégradée exige une action corrective liée dont l’efficacité est démontrée avant que quoi que ce soit apparaisse comme terminé. Pour une exploitation dont le personnel change chaque année, une boucle qu’on ne peut pas abandonner discrètement vaut plus que n’importe quel tableau de bord.

Les deux ensemble, une évaluation cohérente qui alimente une action impossible à abandonner, sont le moteur du SGS. Tout le reste en rend compte, c’est pourquoi relier l’événement, l’action et les indicateurs au même endroit compte davantage que n’importe quelle fonction prise isolément.

Le lien qui fait du SGS d’une école plus qu’un SGS générique est le lien entre la sécurité et la formation. Lorsqu’un motif d’événements (une série d’atterrissages durs, par exemple, ou un problème récurrent dans la même phase du programme) peut être rattaché à la formation qui l’a produit, le SGS cesse d’être un exercice de conformité et devient un moyen d’améliorer l’école. L’action corrective peut être une modification du programme, une séance de standardisation des instructeurs ou une note d’information, et l’effet de ce changement apparaît dans les données d’événements du trimestre suivant. La sécurité et la formation qui décrivent les mêmes personnes, dans le même système, voilà tout l’avantage d’une école sur le SGS plus abstrait d’une compagnie aérienne.

Ce lien doit tenir à mesure que l’école grandit. Une école de cinq aéronefs et une académie de trente font fonctionner la même boucle ; seul le volume change. L’écueil de nombreux outils est qu’ils conviennent à la petite école puis cèdent quand elle grandit, ou qu’ils sont tarifés et conçus pour la grande académie et écrasent la petite sous la complexité. L’architecture qui grandit proprement est un seul graphe opérationnel : événements, dangers, évaluations des risques, actions correctives, documents et dossiers de formation, tous sous forme de dossiers liés dans un seul système, pour que passer de cinq à trente aéronefs revienne à faire davantage de la même chose, et non à migrer vers un autre outil.

eAviora est ce graphe unique, et ce n’est délibérément pas une bibliothèque vide. Il fournit un modèle de risque aéronautique préconstruit (85 modèles bow-tie, 682 barrières nommées, 183 scénarios et une bibliothèque de 516 SPI), une boucle de signalement confidentielle de culture juste, des contrôles de clôture imposés et une flotte d’agents IA spécialisés qui rédigent l’analyse de sécurité courante pour qu’un humain l’accepte, la modifie ou la rejette. Chaque proposition de l’IA est soumise à validation humaine et journalisée, la consommation est mesurée en crédits simples avec des plafonds stricts, et eAviora n’entraîne aucun modèle sur les données des exploitants. Un petit service sécurité obtient une structure digne d’une compagnie aérienne sans l’effectif d’une compagnie aérienne, et le même système convient encore une fois que l’école a doublé de taille.

Si vous dirigez une école de pilotage ou un ATO et souhaitez voir la boucle du signalement à la clôture sur vos propres types d’événements et la taille de votre flotte, le plus rapide est une présentation.