Des dangers en nœud papillon,des barrières que vous pouvez auditer.
Chaque danger est un nœud papillon : les menaces à gauche, l’événement redouté au centre, les conséquences à droite, avec les barrières entre eux. Chaque barrière porte un état que vous pouvez auditer (efficace, partiellement efficace, inefficace ou absente) qui se met à jour lorsqu’elle est mise à l’épreuve. Les dangers sont liés aux SPI qui les surveillent et aux événements qui prouvent leur réalité.
L’état d’une barrière est un fait, pas une couleur sur une diapositive.
Chaque barrière entre une menace et l’événement redouté porte un état audité. Lorsqu’un événement montre qu’une barrière a cédé, le registre se met à jour et le SPI qui la surveille en est informé. La vue des dangers reflète l’exploitation, pas l’atelier de l’an dernier.
Les capacités, sur un seul dossier.
Menaces, événement redouté et conséquences sur un seul modèle, avec les barrières entre eux nommées et attribuées.
Chaque barrière porte un état (efficace, partiellement efficace, inefficace ou absente) qui se met à jour lorsqu’elle est mise à l’épreuve, et non une couleur peinte une fois pour toutes.
Chaque danger est lié aux indicateurs de sécurité qui le surveillent, de sorte qu’une dérive sur une barrière déclenche un signal.
Lorsqu’un événement affaiblit une barrière, il est lié directement au danger. Le registre est prouvé par l’exploitation.
De vrais dossiers, une référence chacun.
Chaque dossier porte une référence stable et une source sur chaque champ. Rien n’est écrasé en silence, et la piste est le dossier.
Chaque danger est un nœud papillon, pas une ligne dans un registre
L’état des barrières est audité, pas supposé
Les dangers sont liés aux SPI qui les surveillent
Un événement qui fait céder une barrière met à jour le registre
Il est relié au reste du graphe.
Les barrières portent un état, pas un espoir.
Efficace, partiellement efficace, inefficace ou absente : l’état change chaque fois qu’un événement la met à l’épreuve. Une barrière que personne n’a évaluée ne peut pas être comptée comme une protection.
La barrière mise en échec est nommée. L’enquête doit maintenant prouver comment elle a cédé, et ce que cette réponse touche d’autre.