Pourquoi la conformité seule
ne peut pas prévenir les incidents.

Voir l’encadré ci-dessus. Les sections suivantes exposent ce que la conformité prouve, pourquoi cela reste en deçà de la sécurité, le faux réconfort qu’un audit sans constatation peut créer, et ce qui comble l’écart.

La conformité est un énoncé sur le respect des exigences : mesurée par rapport à un ensemble d’exigences, l’exploitation les a respectées. Ces exigences peuvent venir des Annexes de l’OACI, de la Part-ORO de l’AESA (EASA), de la Part 5 de la FAA, d’un audit IOSA ou des propres manuels de l’exploitant. Le résultat est réellement utile. Les exigences condensent des leçons, dont beaucoup ont été écrites à la suite d’accidents, et la conformité est le mécanisme qui porte ces leçons dans chaque exploitation.

Mais il vaut la peine d’être précis sur la forme de l’énoncé. Une constatation de conformité dit : par rapport à cette exigence, au moment de cette vérification, avec les éléments probants échantillonnés, l’exploitation était conforme. Trois réserves travaillent en silence dans cette phrase : « cette exigence », « au moment de cette vérification » et « les éléments probants échantillonnés ». Chacune est un endroit où conformité et sécurité peuvent se dissocier.

Les règles traitent le risque connu ; les incidents viennent souvent de l’inconnu. Les exigences sont rédigées face à des dangers que le secteur a déjà compris. Le risque réellement émergent (une nouvelle procédure qui interagit mal avec une ancienne, une combinaison inhabituelle de conditions sur une route particulière) se loge dans l’espace que les règles n’ont pas encore atteint. La conformité n’a rien à dire d’un danger qu’aucune exigence ne nomme.

La procédure n’est pas le travail. La conformité vérifie le système documenté. La sécurité se joue dans l’écart entre le travail prescrit, la procédure telle qu’écrite, et le travail réel, la manière dont la tâche est effectivement accomplie sous une vraie pression de temps. Une exploitation peut être conforme sur le papier alors que la réalité quotidienne s’en est éloignée. Cet écart est le sujet de la dérive opérationnelle, et les vérifications de conformité y sont en grande partie aveugles.

Un instant donné contre la continuité. Un audit est un instantané. Le risque est une image en mouvement. Une barrière efficace le jour de l’audit peut s’affaiblir la semaine suivante, et la prochaine vérification de conformité peut être dans un an. Un audit sans constatation est la photographie d’un système qui a continué de bouger depuis.

La conformité ne dit rien des combinaisons. La plupart des événements graves ne sont pas l’échec d’une seule règle ; ce sont plusieurs petites choses qui s’alignent. Chaque facteur contributif, pris isolément, peut être entièrement conforme. Le danger est dans la combinaison, et aucune vérification exigence par exigence n’est conçue pour la voir.

L’écart compterait moins s’il était largement ressenti. Le piège, c’est que la conformité produit un signal fort et lisible (une réussite, une note, une constatation close) et que ce signal se confond facilement avec un feu vert sur la sécurité.

Une note d’audit élevée rassure. Les budgets et l’attention vont aux activités qui produisent le résultat sans constatation : tenir le manuel à jour, préparer l’audit, clore les constatations dans les délais. Au fil des années, cela peut transformer sans bruit une fonction sécurité en fonction conformité, très douée pour démontrer que le système existe, avec de moins en moins de capacité pour le travail plus difficile et moins lisible qui consiste à se demander ce que fait réellement l’exploitation.

Les chercheurs en sécurité ont un nom sans détour pour le symptôme : de la paperasse qui existe pour être montrée plutôt que pour être utilisée, le « safety clutter » (encombrement de sécurité). L’organisation accumule des documents, des signatures et des vérifications qui satisfont une exigence sans rien changer au risque réel. Tout le monde est occupé. L’audit est réussi. Et les questions qui révéleraient vraiment un danger en formation, traitées dans pourquoi les SGS matures passent encore à côté des risques émergents, ne sont jamais posées, parce que le signal lisible a déjà dit « tout va bien ».

Combler l’écart ne veut pas dire faire moins de conformité. Cela veut dire bâtir deux choses par-dessus.

La performance de sécurité, pas seulement la conformité. Suivez si l’exploitation devient réellement plus sûre à l’aide d’indicateurs qui bougent avec le risque réel, un ensemble équilibré d’indicateurs avancés et retardés plutôt qu’un décompte de constatations closes. La question passe de « étions-nous conformes ? » à « le risque monte-t-il ou baisse-t-il, et où ? ».

L’interprétation à l’échelle de l’exploitation. La conformité vérifie les dossiers une exigence à la fois. La prévention demande le mouvement inverse : lire à travers les dossiers pour qu’une constatation, un événement et une barrière qui s’affaiblit, touchant le même danger, soient vus ensemble. Cette image reliée et interprétée est exactement ce que décrit l’intelligence en sécurité aérienne, et c’est ce qui permet à un exploitant de voir les combinaisons que la conformité exigence par exigence ne peut pas voir.

Rien de tout cela n’est un argument contre la conformité. Une exploitation incapable de respecter ses exigences a un problème qu’aucune intelligence ne réglera, et les exigences elles-mêmes restent l’un des moyens les plus efficaces par lesquels le secteur transmet ce qu’il a appris. La conformité est le plancher, et le plancher doit tenir.

L’erreur consiste à prendre le plancher pour le plafond, à supposer qu’un audit sans constatation équivaut à une exploitation sûre, et à s’arrêter là. Les autorités ont déjà commencé à rendre cette distinction structurelle, en évoluant vers une surveillance fondée sur le risque et la performance qui demande aux exploitants de démontrer leur compréhension de leur risque, et pas seulement leur conformité aux règles. Les exploitants prêts pour cette conversation sont ceux qui ont traité la conformité comme le début de la sécurité, et non comme sa fin.