Discours

Présentation donnée lors de la conférence organisée par l’organisation Canadian Women in Aviation (CWIA)
Kathy Fox, membre du
Bureau de la sécurité des transports du Canada
Montréal (Québec)
17 juin 2011

Cliquez ici pour la Présentation en PowerPoint  [2228 Ko]

 

Le texte prononcé fait foi

Diapo 1 : Page titre


Bonjour! Good morning!


Je suis ravie d'être parmi vous aujourd'hui. Je crois que c’est la 4e fois que j'assiste à une conférence organisée par la CWIA. C’est toujours un plaisir de revoir de vieux amis et de s’en faire de nouveaux. Il s’agit par ailleurs d’une occasion exceptionnelle d’écouter divers intervenants pouvant contribuer à élargir vos horizons. Par conséquent, j’espère que vous saurez tirer profit des séances qui vous sont proposées.


La conférence d’aujourd’hui s’intitule « Construire vers l’inconnu » (Building Towards the Unknown), un thème tout à fait applicable à la gestion des risques de sécurité.


Diapo 2 : Aperçu


Aujourd’hui, j'aimerais vous parler de certaines de mes expériences ainsi que des enseignements que j'ai tirés au cours de ma carrière relativement à la gestion des risques pour la sécurité. Je souhaiterais également vous faire part de l'évolution de ma pensée en ce qui concerne la manière dont il faut s'y prendre pour réduire, sinon éliminer les risques pour la sécurité.


Aujourd'hui, je compte tracer un bref panorama des écoles de pensée sur les causes des accidents, et qui plus est, sur la prévention, et expliquer de quelle manière ces écoles ont conduit à la mise en œuvre de systèmes de gestion de la sécurité dans l'industrie aéronautique canadienne. Plus précisément, je vais exposer certaines leçons que j'ai tirées quant à la dérive organisationnelle vers une défaillance, à l'adaptation des employés, au recensement des dangers, à l’élaboration de rapports sur incidents et à la mesure de la sécurité.


Diapo 3 : Idées primières sur la sécurité


Comme pour bon nombre d'entre vous qui êtes pilotes ou qui travaillez dans le domaine de l'aviation, ma carrière tout entière a été consacrée à la pratique de la sécurité. En tant que contrôleuse aérienne, j'avais la responsabilité de veiller à ce que les avions n'entrent pas en collision entre eux et ne s'écrasent pas, et de fournir aux pilotes des données nécessaires à la sécurité du vol, notamment la météo et l'état de la piste. En tant que pilote de l’aviation commerciale, je devais transporter les gens en toute sécurité d’un point A à un point B. À titre d'instructrice de vol, j'enseigne les rudiments du vol en toute sécurité à mes élèves pour qu'ils obtiennent leur brevet de pilote. En tant qu'examinatrice des pilotes, j'évalue les compétences des pilotes pour garantir qu'ils satisfont aux normes de licence de Transports Canada et qu'ils peuvent voler en toute sécurité. Enfin, dans mon rôle actuel de membre du Bureau de la sécurité des transports du Canada, il m'incombe, avec les autres membres du Bureau, d'analyser les lacunes en matière de sécurité relevées au cours des enquêtes sur les accidents et de formuler des recommandations aux organismes de réglementation, aux sociétés exploitantes et aux constructeurs sur les mesures à prendre pour réduire les risques liés à la sécurité des transports.


Cela peut vous sembler étrange, mais au début de ma carrière, je ne m'interrogeais pas souvent sur le véritable sens du mot « sécurité ». On m'avait appris, et je le croyais, que tant qu'on suivait les procédures d'exploitation normalisées, qu'on était attentif à nos agissements, qu'on ne commettait pas d'erreur idiote ou qu'on n'enfreignait aucune règle, et aussi, tant que l'équipement ne tombait pas en panne, la « sécurité » était assurée.


Je pensais alors que les accidents n'arrivaient qu'à ceux qui ne se conformaient pas à la marche à suivre. Cette croyance m'a suivie lorsque j'ai accédé au poste de directrice responsable des enquêtes sur les pertes d'espacement dans le cadre du contrôle de la circulation aérienne, et sur d’autres incidents dans lesquels la sécurité pouvait avoir été compromise. On imputait souvent les causes de ces incidents au « non-respect des procédures » ou à un « déficit de conscience situationnelle », sans vraiment chercher à approfondir le « pourquoi » des choses.



Diapo 4 : Sécurité ≠ Absence de risques


Quand j'ai été nommée directrice de la sécurité à NAV Canada, fournisseur de services de navigation aérienne civile qui venait tout juste d'être privatisé, j'ai été chargée de la mise en place et de la gestion d'un programme de supervision de la sécurité d'entreprise. Cette tâche consistait à élaborer un certain nombre de politiques, de processus et de pratiques destinées à repérer les dangers pour la sécurité des opérations, à analyser les risques et à les signaler aux décideurs chargés d'intervenir.


C'est le rôle que je devais jouer à ce poste qui a marqué un tournant dans ma façon de voir la sécurité. Pour la première fois, j’ai commencé à penser et à parler précisément de gestion des risques par rapport à la sécurité.


Je me suis rendu compte que la sécurité n'équivalait pas à l'absence de risque et que les organisations devaient établir un équilibre entre des priorités contradictoires et gérer des risques multiples, notamment les questions de sécurité ainsi que les aspects économiques, financiers, environnementaux et technologiques, pour n'en citer que quelques-uns.


Diapo 5 : Établir un équilibre entre des priorités concurrentes


Bon nombre d'organisations pour lesquelles la sécurité est primordiale clament haut et fort que la sécurité vient en tête de leurs priorités. Toutefois, des preuves convaincantes montrent qu'en réalité leur priorité serait plutôt tournée vers le service à la clientèle ou le rendement du capital investi des actionnaires. Toutefois, il est essentiel que les produits et services soient « sûrs » si les sociétés comptent rester sur le marché, prévenir les accidents, éviter les litiges coûteux, conserver la confiance de la clientèle et s'assurer un avantage concurrentiel.


Les pressions relatives à la production entrent souvent en conflit avec les objectifs de sécurité. Les études de cas et les enquêtes sur les accidents démontrent souvent la manière dont les facteurs organisationnels, tels que l'accent mis sur la productivité et la maîtrise des coûts, peuvent conduire à des compromis qui contribuent involontairement à mettre en place les circonstances qui se trouvent à l’origine des accidents.


Diapo 6 : Modèle de Reason


Certains d’entre vous connaissent le modèle de Reason, plus connu sous le nom de modèle du « fromage suisse » permettant d’expliquer les causes des accidents.


J'ai eu l’occasion de rencontrer le professeur James Reason lors d'une conférence sur la sécurité, et d’avoir une brève discussion avec lui sur les concepts de gestion des risques. J’ai trouvé son travail très convaincant en cela qu’il démontre la manière dont une chaîne d’événements, y compris les facteurs organisationnels, peut contribuer à créer un cadre favorable à la survenance d’un accident. En utilisant son modèle de causalité des accidents, la manière dont les accidents se produisent et les raisons pour lesquelles ils surviennent me sont apparues comme tout à fait logiques.


Le modèle de Reason s'est également révélé très utile pour expliquer à mes collègues travaillant au sein des services non opérationnels, tels que les Finances ou les Ressources humaines, comment leurs politiques et pratiques pouvaient involontairement créer les conditions propices à un accident. Ainsi, la sécurité ne constituait pas la seule responsabilité des services de l’exploitation, d’entretien ou du service technique.


Cependant, le modèle de Reason peut sembler quelque peu simpliste en cela qu’il peut conduire les gens à croire que les accidents ne surviennent que selon une séquence d'événements linéaire. Le monde comprend bien trop de paramètres aléatoires pour que cela soit possible.


Diapo 7 : Sydney Dekker


Les travaux qui m'ont le plus inspirée sont ceux du Dr Sidney Dekker, alors professeur spécialiste des facteurs humains et de la sécurité aérienne, et directeur de recherche à l'école d'aviation de l'Université de Lund, en Suède. Selon le professeur Dekker :

  • Les personnes font de leur mieux pour concilier différents objectifs simultanément : par exemple, le service ou l’efficacité parallèlement à la sécurité;
  • Un système n'est pas automatiquement sûr : les personnes doivent en réalité créer des conditions sécuritaires grâce à la pratique, et ce, à tous les niveaux de l’organisation;
  • Les pressions relatives à la production influent sur les compromis : ainsi, ce qui était considéré comme irrégulier ou dangereux devient normal ou acceptable.

Diapo 8 : Sydney Dekker (suite)


Il poursuit en affirmant que « l'erreur humaine n'est pas une cause de défaillance. Elle est l’effet ou le symptôme d'un problème beaucoup plus profond. L'erreur humaine n'est pas due au hasard. Elle est systématiquement liée aux caractéristiques des outils, des tâches et de l'environnement d’exploitation des gens. »


Compte tenu de la nécessité constante de concilier des objectifs concurrents, et les incertitudes que comporte l'évaluation des risques de sécurité, comment les gestionnaires peuvent-ils déterminer s’il existe des déviations en dehors des limites permettant d’assurer une exploitation en toute sécurité tout en restant concentrés sur leurs autres priorités?


Cela est important car c'est l'organisation qui crée l'environnement d'exploitation, et fournit les outils, la formation et les ressources nécessaires à la production de biens et services. Par conséquent, selon moi, l'engagement et l’investissement organisationnels envers la sécurité doivent être omniprésents dans l'exploitation au quotidien pour avoir un sens et être efficaces.


Diapo 9 : Pourquoi se concentrer sur la gestion?


Diapo 10 : Systèmes de gestion de la sécurité (SGS)


Les systèmes de gestion de la sécurité ont été élaborés afin d’assurer la sécurité dans tout ce que votre entreprise accomplit.


Les SGS se définissent généralement comme un cadre formel visant à permettre l'intégration de la sécurité dans les activités quotidiennes de l’organisme, y compris les structures, responsabilités, politiques et procédures organisationnelles nécessaires. Le concept de systèmes de gestion de la sécurité (SGS) a évolué sur la base des principes contemporains des organisations à haute fiabilité, de forte culture de la sécurité et de résilience organisationnelle.


Il a vu le jour dans l'industrie chimique dans les années 1980. Depuis lors, il a évolué et a été progressivement adopté dans d’autres industries pour lesquelles la sécurité est essentielle dans le monde entier. Plus particulièrement, l'Organisation de l'aviation civile internationale (OACI) a reconnu que les approches traditionnelles relatives à la gestion de la sécurité fondées principalement sur la conformité aux règlements, sur les mesures correctives à la suite d'accidents et d’incidents, et sur une philosophie prônant « le blâme et la punition » ou « le blâme et la rééducation professionnelle » s'étaient révélées insuffisantes pour réduire les taux d'accidents.


Diapo 11 : Systèmes de gestion de la sécurité (SGS) (suite)


Depuis 2001, Transports Canada met en œuvre les exigences relatives aux SGS, dans les secteurs ferroviaires et maritimes. Le secteur de l’aviation commercial se livre à la mise en pratique progressive des SGS depuis 2005. Les exigences y afférentes sont énumérées ci-dessous.


Les SGS sont parfois mal interprétés. En effet, ils sont perçus comme une forme de déréglementation ou d'autoréglementation de l'industrie. Cependant, tout comme les organisations reposent sur des systèmes de gestion financière et des RH internes pour gérer leurs actifs financiers et leurs effectifs, les SGS constituent un cadre pensé pour permettre aux entreprises de mieux gérer les risques en matière de sécurité. Cela n'enlève rien à la nécessité d'une surveillance réglementaire efficace.



Diapo 12 : Principaux éléments des SGS


La détection proactive des risques d’accident constitue la pierre angulaire des SGS. Elle consiste en un processus structuré permettant de réfléchir à ce qui pourrait tourner mal afin de déceler les problèmes avant qu'ils ne se manifestent.


La détection des risques d’accident présente toutefois un certain nombre de difficultés. En effet, tenter de répertorier avant un accident toutes les manières dont les événements pourraient prendre une tournure défavorable peut représenter un défi intellectuel non négligeable.


Diapo 13 : SGS : Identification des dangers


Souvent, une entreprise ne perçoit pas les changements qui s'opèrent dans ses activités ou n'a pas envisagé les répercussions que vont avoir les facteurs de conception de l'équipement, la formation, l'expérience ou la charge de travail de ses opérateurs ni les adaptations locales à mettre en œuvre. En décrivant pourquoi les dégradations dans la défense de la sécurité, ayant conduit à deux accidents, n’avaient pas été détectées, et pourquoi il n’avait pas été remédié à ce problème, James Reason indique que « les intervenants ont oublié d'avoir peur... Si une vigilance constante représente le prix de la liberté, alors un malaise chronique constitue le prix de la sécurité. »


Diapo 14 : SGS : Identification des dangers (suite)
Dans un contexte d'exploitation, tout changement aux procédures est susceptible de compromettre la sécurité. Sidney Dekker s'est posé la question suivante : « pourquoi les systèmes sûrs tombent-ils en panne? » L'un des facteurs qu'il a relevés était ce qu'il a appelé la « dérive vers la défaillance ». Il s'agit du glissement lent et progressif de l'exploitation des systèmes jusqu'à la limite de leur enveloppe de sécurité. En général, ce sont les pressions liées à la pénurie et à la concurrence qui alimentent cette dérive. Sans savoir où se situent réellement les limites de la sécurité, les gens ne peuvent pas percevoir la dérive, et dès lors, ils ne font rien pour l'arrêter.


Voyons-en quelques exemples pratiques.


Diapo 15 : Vol 261 d’Alaska Airlines


En 2000, le Vol 261 d’Alaska Airlines s’est écrasé au large des côtes de la Californie. Aucune des personnes à bord n’a survécu à cet accident, dû à une défaillance en vol d’un vérin à vis du circuit de compensation de l’avion MD-80 ayant entraîné une perte de maîtrise en tangage. La défaillance du filet a été engendrée par une usure excessive due au manque de lubrification de la part d’Alaska Airlines de l’assemblage à vérin à vis. L’enquête de la National Transportation Safety Board (NTSB) a révélé qu’au fil du temps, les séances de lubrification du vérin à vis défaillant s’étaient espacées, l’intervalle entre chacune d’entre elles passant d'une fois toutes les 300 à 350 heures de vol à une fois tous les 8 mois, soit environ 2 550 heures de vol. Le vérin à vis récupéré sur les lieux de l’accident n’a révélé aucune preuve indiquant que l’élément avait été lubrifié en bonne et due forme lors de la séance prévue sur le calendrier de lubrification, ce qui signifie que l’avion avait volé plus de 5 000 heures depuis la dernière fois où l’assemblage avait été graissé. La question qui se pose alors est la suivante : que ce serait-il passé si aucune évaluation des risques n’avait été réalisée à cette époque pour mesurer les répercussions des changements d’intervalles entre les séances de lubrification?



Diapo 16 : MK Airlines


Voici un autre exemple. Dans ce cas, c'est le Bureau de la sécurité des transports (BST) qui a mené l’enquête sur l’accident. Le 14 octobre 2004, un Boeing 747 effectuant un vol de transport de marchandises international s’est écrasé lorsque l’équipage a, par inadvertance, utilisé la masse de l'aéronef d’une étape précédente pour calculer les performances de décollage. Les calculs ayant donné une vitesse caractéristique inexacte, la poussée utilisée a été insuffisante pour faire décoller l'aéronef compte tenu de sa masse réelle. L’enquête (A04H0004) menée par le BST a révélé que la fatigue de l’équipage avait probablement augmenté la probabilité d'erreurs dans le calcul des performances de décollage et a réduit sa capacité à déceler les erreurs, le tout conjugué au fait que le décollage s'effectuait dans la pénombre.


À cette époque, la compagnie aérienne connaissait une forte croissance et était en pénurie d'équipages techniques. Durant les quatre années précédentes, la compagnie avait augmenté progressivement la période de service maximale permise, la faisant passer de 20 heures (avec un maximum de 16 heures de vol) à 24 heures (avec un maximum de 18 heures de vol). À l’origine, l'équipage se composait de deux capitaines, de deux copilotes et de deux mécaniciens de bord, mais cette composition avait été revue pour la faire passer à trois pilotes et deux mécaniciens de bord. Au moment où l'accident est survenu, l'équipage était de service depuis près de 19 heures et, compte tenu des retards subis précédemment, il aurait été de service durant environ 30 heures jusqu’à sa destination finale si le vol s'était poursuivi sans incident. Le service d'affectation des équipages programmait régulièrement des vols dépassant la limite de 24 heures. Le non-respect systématique du manuel d'exploitation a contribué à créer une situation où certains employés, de même que la direction, considéraient comme acceptable de dévier de la politique ou des procédures de la compagnie lorsqu'on pensait qu'il était nécessaire d'effectuer un vol ou une série de vols.


Diapo 17 : Dérive organisationnelle / Adaptation des employés


La dérive organisationnelle est habituellement invisible de l'intérieur de l'organisation parce que des changements progressifs se produisent constamment. En général, ils n'apparaissent de l'extérieur qu'après un événement malheureux (comme un accident), et très souvent surtout avec le recul.


La dérive peut également se produire aux premières lignes d'une exploitation. Soumis à des pressions diverses telles que les ressources limitées, les délais prescrits et les nombreux objectifs à atteindre, les employés mettent souvent en place des « pratiques locales efficaces » pour accomplir les tâches. Dans les rapports d'enquête sur les accidents, on les désigne parfois comme des « violations » ou des « déviations par rapport aux procédures d'exploitation normalisées ». Voyons plutôt cela sous un autre angle. Dekker indique que : « l'accent porté sur l'efficacité locale ou sur la rentabilité incite le personnel d'exploitation à atteindre ou à mettre la priorité sur un objectif ou un ensemble limité d'objectifs...  facilement mesurables... alors qu'il est beaucoup plus difficile de mesurer combien a été enlevé à la sécurité.  Les réussites passées sont considérées comme une garantie de la sécurité future. Chaque réussite opérationnelle obtenue qui s'écarte des règles initiales et officielles est susceptible d'établir une nouvelle norme... Les entorses à la routine deviennent la norme... Les infractions s'inscrivent comme un acte de conformité. »


Comprendre les raisons inhérentes à l’environnement de l’écart existant entre les procédures écrites et les pratiques réelles aidera les organisations à mieux appréhender ce phénomène naturel, et à entreprendre des actions plus efficaces, allant au-delà du simple fait de demander aux employés de suivre les règles ou d'être plus prudents.


Diapo 18 : Entrée en contact avec le sol avant la piste


Un exemple de cela nous est donné par l'enquête du BST visant à déterminer pourquoi en 2007, un jet d'affaires Global 5000 était entré en contact avec le sol 7 pieds avant la piste à Fox Harbour, en Nouvelle-Écosse. Au cours de cette enquête (A07A0134), le BST a appris que la compagnie avait approuvé la pratique selon laquelle les équipages techniques devaient « creuser l'approche », c'est-à-dire descendre au-dessous des indicateurs lumineux d'angle d'approche (VGSI) pour atterrir le plus près possible du début de la piste relativement courte.

Diapo 19 : Assiette de l'avion au seuil de piste


L'équipage avait déjà atterri à cet aéroport à bord d'un Challenger 604 et était encore en période de rodage sur ce nouvel appareil de plus grande taille. Il ne connaissait pas la hauteur entre les yeux et les roues du Global et ne savait pas que les VGSI utilisés ne convenaient pas à ce type d'appareil. Par conséquent, l'appareil ne satisfaisait pas à la recommandation du fabricant qui indiquait de franchir le seuil de piste à une hauteur de 50 pieds.


En outre, la compagnie ne s’était pas livrée à une évaluation des risques complète vis-à-vis des conséquences de l’utilisation d'un appareil nouveau et de plus grande taille, comme l’a démontré le fait qu’elle avait simplement transposé la plupart de ses procédures d’exploitation mises en œuvre pour le CL604 au Global 5000.



Diapo 20 : SGS : Élaboration de rapports sur les incidents


Traditionnellement, les incidents ont été définis comme des événements ayant des conséquences négatives. Si la définition des incidents est trop étroite, l'organisation risque de se priver de renseignements sur des événements qui révèlent des vulnérabilités du système, comme des signes de dérive vers une défaillance ou de normalisation d'une déviance.


C'est ainsi que dans le système de navigation aérienne canadien, on signale non seulement les pertes d'espacement effectives, c'est-à-dire les situations au cours desquelles l'espacement minimal entre deux aéronefs n'a pas été respecté, mais également les situations où cet espacement a été atteint, mais pas maintenu. Grâce à cela, on dispose de données beaucoup plus riches dans l'analyse des vulnérabilités du système.


Diapo 21 : Signaux faibles


De par leur nature, les « signaux faibles » peuvent se révéler insuffisants pour attirer l'attention de gestionnaires occupés, lesquels croulent souvent sous une surcharge d'information alors même qu’ils doivent jongler avec plusieurs priorités contradictoires sous la lourde pression des délais. Dans le cadre de plusieurs accidents, les signes avant-coureurs de situations dangereuses n'ont pas été perçus ou abordés efficacement.


En 2007, un vol d'évacuation sanitaire s’est écrasé à Sandy Bay, dans la province de la Saskatchewan, tuant le pilote qui se trouvait aux commandes de l’appareil. L’enquête du BST (A07C0001) qui a suivi a révélé que l’équipage, composé de deux pilotes, n’avait pas été en mesure de réaliser un travail d’équipe efficace afin d'éviter, d'enrayer ou de minimiser les erreurs et de gérer les risques associés au vol en toute sécurité. Comme l’avait indiqué à l’époque notre enquêteur principal, « cet équipage n’a pas mis en œuvre les stratégies fondamentales qui auraient pu contribuer à enrayer la chaîne d'événements ayant conduit à cet accident. » Ce manque de coordination peut être imputé en partie au fait que l’équipage n’avait pas reçu de formation relative à la gestion des ressources en équipe (CRM).


La compagnie avait connu de nombreux autres « problèmes d'appariement » auparavant, en particulier avec ces membres de l’équipage. Si la direction de la compagnie en avait connaissance, elle ne savait néanmoins pas à quel point ces facteurs pouvaient altérer l'efficacité de la coordination des membres de l’équipage.


En toute sincérité, il est parfois difficile d’obtenir autant d’informations concernant le contexte qu’on le souhaiterait, et il est presque impossible de connaître entièrement l’étendue et les implications de chaque événement particulier. Par exemple, lorsqu’un ou deux accidents sont signalés, ne s’agit-il que de conflits ou de dangers isolés, ou s’agit-il plutôt d’un signe d’alerte indiquant le recours à des pratiques dangereuses?


Diapo 22 : SGS : Élaboration de rapports sur les incidents (suite)


Toutefois, peu importe la quantité de renseignements dont vous disposez, si les données relatives aux « accidents évités de justesse » ne sont pas analysées correctement, les organisations perdent alors des occasions de découvrir comment éviter les incidents à l’avenir. Le simple fait de comptabiliser les erreurs ne permet pas forcément de constituer des données utiles et pertinentes, et mesurer le rendement en se basant uniquement sur les tendances d’erreurs peut être trompeur. En effet, l’absence d’erreurs et d’incidents n'est pas synonyme d’absence de risques. En outre, de nombreuses organisations ne disposent que de ressources limitées pour analyser les rapports, effectuer un suivi des défaillances, et identifier des tendances. Parfois, à notre grand désarroi, la personne la mieux placée pour détecter un danger et prendre les mesures nécessaires pour y remédier est débordée, ou concentrée sur d’autres priorités.


Diapo 23 : SGS : Culture organisationnelle


Diapo 24 : SGS : Responsabilité


Diapo 25 : Éléments d’une « culture juste »


Diapo 26 : SGS : Avantages et risques


Diapo 27 : À propos du BST


Diapo 28 : À propos du BST (suite)


Diapo 29 : Résumé


Diapo 30 : Résumé (suite)


Diapo 31 : Références


Diapo 32 : FIN