La sécurité, la gestion du risque, la gouvernance et la responsabilité

La Conférence en aéronautique et assemblée générale annuelle

Consulter la présentation en PDF

Il faut un lecteur de PDF pour lire cette version; détails dans notre page d'aide.

Kathy Fox
Membre, Bureau de la sécurité des transports
Toronto (Ontario), le 30 avril 2013

Seul le texte prononcé fait foi.

Diapo 1:Page titre

Bonjour. Je vous remercie de m'avoir invitée à prendre la parole. Je suis ravie d'être ici avec vous.

Diapo 2: Aperçu

Je vais commencer par offrir un peu de contexte sur le Bureau de la sécurité des transports du Canada – qui nous sommes et ce que nous faisons. Ensuite, je vais donner un bref aperçu de l'évolution des enquêtes sur les accidents, depuis le simple examen d'une défaillance mécanique et les vieilles attitudes qui nous portaient à blâmer les pilotes, à l'examen des facteurs organisationnels qui ont pu mener à un accident.

Je vais décrire pour vous une enquête particulière que le BST a menée récemment et les enjeux liés aux facteurs humains que l'enquête a permis de relever.

J'examinerai ensuite la manière dont les organisations dérivent vers l'échec. Je vais défendre l'opinion selon laquelle beaucoup d'accidents, sinon la majorité de ceux-ci sont attribuables à un échec des méthodes qu'utilisent les organisations pour cerner de façon proactive et mitiger les dangers et gérer les risques, et j'expliquerai comment les éléments des systèmes de gestion de la sécurité (SGS) sont conçus pour fournir un processus formel et structuré afin d'aider les entreprises à résoudre ces problèmes avant qu'il ne soit trop tard.

Diapo 3: Qui nous sommes

Diapo 4: Ce que nous faisons

Nous avons pour seul mandat de promouvoir la sécurité des transports. Nous le faisons en menant des enquêtes indépendantes, en cernant les lacunes de sécurité, en déterminant les causes ainsi que les facteurs contributifs, en faisant des recommandations et en publiant nos rapports.

Diapo 5: Bureaux du BST

Notre bureau principal se trouve à Gatineau, au Québec, tandis que notre Direction de l'ingénierie se trouve à Ottawa. Nous comptons huitautres bureaux régionaux à l'échelle du pays.

Diapo 6: Nous communiquons ce que nous savons

Le BST dispose de divers outils pour communiquer de façon plus ou moins urgente les enjeux de sécurité qu'il a cernés aux intervenants qui peuvent faire une différence, c'est-à-dire les organismes de réglementation, fabricants, exploitants et associations sectorielles. Je vais aborder plus particulièrement certains des points dans la liste.

Après un incident, nos directeurs des enquêtes peuvent utiliser des lettres d'information sur la sécurité et des avis de sécurité pour communiquer avec les intervenants en réglementation ou du secteur à propos de conditions dangereuses que le BST a constatées. Le BST peut également décider de mener une enquête complète et de publier un rapport faisant état de ses conclusions, afin que l'agence de réglementation ou le secteur en général prenne les mesures de sécurité qui s'imposent.

Le Bureau peut soulever une préoccupation liée à la sécurité, qui signale à l’industrie et à l’organisme de réglementation l'existence d'une lacune de sécurité méritant d'être examinée, tandis qu'une recommandation du Bureau constitue un puissant outil de changement servant à souligner des problèmes de sécurité systémiques qu'il est essentiel de résoudre afin de réduire les risques d'incidents semblables à l'avenir.

Diapo 7: Liste de surveillance du BST

En mars 2010, et de nouveau en juin 2012, le Bureau a émis sa Liste de surveillance, qui dresse le bilan des enjeux de sécurité dans le secteur des transports qui posent les plus grands risques pour les Canadiens. Dans chaque cas, le BST a constaté que les mesures prises à ce jour sont inadéquates, et que le secteur et les organismes de réglementation doivent adopter d'autres mesures concrètes pour éliminer ces risques.

La Liste de surveillance. doit être un plan directeur pour le changement; elle doit inciter les organismes de réglementation et le secteur à se pencher sur ces enjeux de sécurité difficiles à résoudre. Cette liste a donné lieu à une vaste discussion et a suscité l'engagement des organismes de réglementation et des intervenants du secteur. Depuis le lancement de notre Liste de surveillance. initiale, plus du tiers des recommandations ont été jugées «entièrement satisfaisantes», soit la cote la plus élevée du Bureau.

Voilà pourquoi, lorsque nous avons mis à jour notre Liste de surveillance. en 2012, nous avons pu en retirer les anciens enjeux, ceux pour lesquels suffisamment de progrès avaient été réalisés, et en ajouter de nouveaux, les risques dans le secteur des transports étant en évolution constante.

La présente image montre les enjeux qui composent actuellement la Liste de surveillance., et notamment l'enjeu des systèmes de gestion de la sécurité, que j'aborderai plus tard.

Diapo 8: Contexte

Tout de suite après un grave accident d'aviation, les gens posent habituellement des questions du genre «Qu'est-il arrivé?», «S'agit-il d'une défaillance mécanique ou d'une erreur humaine?», «Sur qui ou sur quoi doit-on jeter le blâme?». Toutefois, de nos jours, les enquêtes sur les accidents d'aéronefs ne se limitent pas au «quoi» pour la détermination du «pourquoi», car l'objectif premier ne consiste pas à attribuer une faute ni un blâme, mais à améliorer la sécurité des transports, et ce, en cernant les facteurs de causalité et facteurs contributifs sous-jacents, de même que les facteurs qui constituent un risque pour les systèmes de transport.

Au début de l'aviation, les accidents étaient plus souvent attribués à une défaillance mécanique, à une mauvaise météo ou à une erreur de pilotage. Le développement des recherches et des analyses relatives aux facteurs humains a amené les enquêteurs à examiner la manière dont la conception d'un appareil ou l'ergonomie d'un poste de pilotage peut entraîner des «erreurs de pilotage». Ultérieurement, les facteurs physiologiques ont fait l'objet d'une attention accrue—fatigue, rythmes circadiens et illusions spatiales—et on s'est penché aussi sur les erreurs psychologiques qui pourraient influencer la prise de décision et la prise de risque du pilote. Avec le temps, la situation a évolué de sorte que l'on n'examine plus seulement le rendement des pilotes, mais aussi celui de tous les membres d'équipage, ce qui a mené aux concepts actuels de gestion des ressources du poste de pilotage et de gestion des menaces et des erreurs.

À la suite d'un certain nombre d'accidents graves mettant en cause des technologies complexes essentielles à la sécurité, des enquêteurs et des chercheurs ont entrepris d'examiner le rôle des gestionnaires et des facteurs organisationnels dans ces accidents. Le docteur James Reason a mis au point le réputé modèle de Reason (ou modèle du fromage suisse) afin d'illustrer la mesure dans laquelle les politiques et les décisions de la direction peuvent donner lieu à des conditions préalables latentes qui, combinées à des défaillances opérationnelles actives ou à des pannes de systèmes de sécurité, peuvent mener à une conjoncture favorisant les accidents.

Diapo 9: Rapport d'enquête A11F0012 du BST

Examinons maintenant un exemple bien concret d'une enquête du BST sur un incident et les facteurs humains en cause.

Le 14 janvier 2011, un Boeing 767 d'Air Canada était en route de Toronto, en Ontario, à destination de Zurich, en Suisse. Environ à mi-chemin de la traversée de l'Atlantique, durant les heures de noirceur, l'avion a été soumis à un tangage intempestif qui a duré 46 secondes. Cet incident a donné lieu à un écart d'altitude de moins 400 pieds à plus 400 pieds par rapport à l'altitude assignée de 35000 pieds au-dessus du niveau de la mer.

La consigne lumineuse de ceintures de sécurité était allumée depuis environ 40 minutes lorsque cet incident est survenu. Pourtant, 14 passagers et 2 agents de bord ont été blessés. Le vol s'est poursuivi jusqu'à sa destination, et à l'arrivée, 7 passagers ont été transportés à l'hôpital avant de recevoir leur congé plus tard.

Diapo 10: La réaction des médias...

Certains d'entre vous se souviennent peut-être d'avoir vu cet incident dans les médias après la publication du rapport définitif du BST. Voici des exemples de ce que les médias avaient à dire après cet incident.

Diapo 11: D'autres manchettes…

Voici d'autres manchettes.

Examinons maintenant ce qui est vraiment arrivé, et les causes.

Diapo 12: Qu'est-ce qui est vraiment arrivé?

À l'écran, vous pouvez lire la séquence détaillée des événements survenus cette nuit-là.

Diapo 13: Qu'est-ce qui est vraiment arrivé? (suite)

Voici d'autres conclusions de notre enquête.

Diapo 14: Pourquoi cela est-il arrivé?

Le rapport du BST comprend plusieurs conclusions. En voici quelques-unes.

Diapo 15: Facteurs à prendre en considération

Nous vivons dans un monde branché 24 heures sur 24, 7 jours par semaine. Beaucoup d'employés doivent travailler la nuit. Les pilotes ont un défi de plus à relever, car ceux qui effectuent des vols intercontinentaux doivent aussi s'adapter aux différents fuseaux horaires.

L'une des difficultés tient au fait que piloter durant la nuit, période durant laquelle notre corps veut tout naturellement dormir, et pendant un cycle circadien naturel qui survient durant les premières heures du matin, peut entraîner une baisse de rendement.

Beaucoup d'organisations qui mènent leurs activités par quarts de travail ont adopté des plans formels de gestion des risques de la fatigue qui comprennent:

  • de l'éducation, de la formation et des stratégies de sensibilisation;
  • des politiques qui régissent les siestes et le repos aux commandes;
  • des pratiques en matière d'établissement d'horaires de travail et, dans le cas des sociétés aériennes, le recours à un pilote de relève.

Les siestes et le repos aux commandes peuvent mener à un autre enjeu que l'on appelle «inertie du sommeil». Le rapport du BST déclare ce qui suit:

L’inertie du sommeil s’entend de la diminution du rendement après le sommeil qui se produit directement après le réveil. L’inertie du sommeil est un état physiologique de transition caractérisé par de la confusion, de la désorientation, un faible degré de stimulation et des déficits dans divers types de rendement cognitifs et moteurs. Bien que la durée de l’inertie du sommeil soit habituellement courte, à savoir de 1 à 15minutes, certains effets néfastes peuvent durer jusqu’à 30 minutes ou plus.

Les études indiquent que la durée et la gravité de l’inertie du sommeil peuvent être pires:

  • si les siestes sont longues;
  • si les siestes sont prises durant le creux de température corporelle centrale circadien ou le creux circadien(normalement, au milieu de la nuit dans le cas d’une personne active le jour);
  • lorsque la personne est privée de sommeil ou est réveillée depuis longtemps et que la sieste contient du sommeil à ondes lentes ou se termine par ce type de sommeil.

Un des effets néfastes de l’inertie du sommeil est la réduction de la vitesse de traitement cognitif. Par exemple, une personne aux prises avec l’inertie du sommeil prend plus de temps à filtrer les renseignements visuels incongrus.

Ainsi, de courtes siestes, c'est-à-dire de 20 à 40 minutes, sont préférables pour éviter de passer à l'étape à ondes lentes du sommeil; il est également important d'accorder suffisamment de temps de récupération après la sieste pour contrer les effets de l'inertie du sommeil.

Diapo 16: Repos aux commandes

Voici des facteurs qui ont influé sur la politique d'Air Canada en matière de repos aux commandes.

La citation est extraite du rapport d'enquête A11F0012 du BST, mais elle a pour première source la section 2.9.10 « Alertness Management » (gestion de la vigilance) du Manuel d'exploitation d'Air Canada.

Diapo 17: Facteurs à prendre en considération (suite)

Le rapport du BST sur cet incident a aussi relevé d'autres facteurs.

Diapo 18: Équilibrer des priorités contradictoires

Bon nombre d'organisations soutiennent que «la sécurité est leur grande priorité». Cependant, il y a manifestement tout lieu de croire que pour certaines d'entre elles, ce sont plutôt le service à la clientèle ou le rendement de l'investissement des actionnaires qui constituent la grande priorité. Or, les produits et services d'une organisation doivent tout de même être «sûrs» si celle-ci veut conserver sa clientèle et la confiance du public—et éviter les accidents et les procédures coûteuses.

En conséquence, équilibrer des priorités contradictoires et gérer le risque fait partie de tout processus de prise de décision d'un gestionnaire. Bien que certains risques soient plus faciles à évaluer que d'autres, il est très difficile de prévoir les combinaisons de circonstances qui peuvent mener à un accident. Cela est particulièrement difficile au sein d'une organisation sociotechnique complexe qui présente un très faible taux d'accidents, notamment dans les domaines du contrôle de la circulation aérienne et des opérations aériennes.

Diapo 19: Limites du rendement acceptable

M. Rasmussen suggère que sous l'influence de la pression exercée afin d'accroître la rentabilité dans un milieu où règne une concurrence féroce, les organisations tendent à s'approcher des limites du rendement acceptable. Autrement dit, elles dérivent.

Diapo20: Dérive organisationnelle

Sidney Dekker explique que la dérive organisationnelle découle de processus normaux de conciliation des pressions différentielles d’une organisation (efficacité, utilisation des capacités, sécurité) dans un cadre où l’incertitude technologique et l’imperfection des connaissances sont inhérentes. La dérive peut être visible pour les gens de l'extérieur, particulièrement à la suite d'un événement fâcheux. Toutefois, la dérive n'est pas forcément évidente à l'intérieur même de l'organisation, car des changements progressifs se produisent constamment.

Toutefois, compte tenu de la nécessité constante de concilier des besoins contradictoires et des incertitudes inhérentes à l’évaluation des risques pour la sécurité, comment les gestionnaires peuvent-ils s’apercevoir qu’ils dépassent les limites rattachées à la sécurité des opérations, alors qu’ils se concentrent sur le service à la clientèle, la productivité et l'efficacité?

Cette question concerne fortement la direction, car les décisions de la direction, par leur nature, ont tendance à avoir une sphère d'influence plus étendue sur l’exploitation et un effet à plus long terme comparativement aux mesures prises par chacun des membres du personnel navigant (pilotes, techniciens d'entretien, etc.). Les gestionnaires créent l'environnement d'exploitation en établissant et en communiquant les objectifs et les priorités et en fournissant les outils, la formation et les ressources nécessaires à l'exécution des tâches entrant dans la fabrication de produits et la prestation de services.

Ainsi, les décideurs et les organisations se doivent de prendre «pleinement conscience» de l'impact de leurs priorités, politiques et processus. Selon M. Reason: «Si une vigilance constante représente le prix de la liberté, alors un malaise chronique constitue le prix de la sécurité».

Diapo 21: Systèmes de gestion de la sécurité (SGS)

Les approches traditionnelles à l’égard de la gestion de la sécurité — fondéesprincipalement sur la conformité aux règlements, sur les réponses correctives à la suite d’accidents et sur le principe axé sur «le blâme et la punition»—s’étaient révélées insuffisantes pour diminuer les taux d’accidents (OACI, 2008). Les SGS ont été conçus en fonction de concepts évolutifs sur la gestion des risques et la culture de sécurité, y compris la recherche touchant les organisations très fiables, lesquelles, estime-t-on, possèdent un potentiel très élevé pour ce qui est d'améliorer l'efficacité de la gestion de la sécurité.

Un SGS efficace est à la fois systématique, explicite et global. Selon Reason, «il devient partie intégrante de la culture de l'organisation et de la façon dont les employés s’acquittent de leurs fonctions».

Les SGS sont parfois mal interprétés, c’est-à-dire qu’ils sont perçus comme une forme de déréglementation ou d’autoréglementation de la part de l’industrie. Cependant, tout comme les organisations reposent sur des systèmes de gestion financière et des RH internes pour gérer leurs actifs et leurs effectifs, les SGS constituent un cadre qui permet aux entreprises de mieux gérer les risques en matière de sécurité. Cela n’exclut pas la nécessité d’une surveillance réglementaire efficace.

Diapo 22: Éléments essentiels d'un SGS

Les éléments généralement acceptés d'un système de gestion de la sécurité comprennent:

  • un cadre supérieur ou une autorité désignée responsable de la sécurité;
  • une politique en matière de sécurité sur laquelle repose le système (qui exprime clairement l'engagement de la direction);
  • un processus visant à établir les objectifs de sécurité et à déterminer la mesure dans laquelle ils ont été atteints;
  • un processus qui permet de déceler les dangers et d’évaluer et de gérer les risques qui y sont associés;
  • un processus qui fait en sorte que le personnel soit formé et compétent pour exercer ses fonctions;
  • un processus qui permet de rendre compte à l’interne des dangers, des incidents et des accidents et de les analyser, et qui permet de prendre des mesures correctives;
  • un processus visant à documenter le SGS et à faire en sorte que le personnel connaisse ses responsabilités; et
  • un processus qui permet d’effectuer des examens ou des vérifications périodiques du SGS.

Essentiellement, le SGS doit comporter:

  • des mesures proactives permettant de cerner les dangers;
  • des mesures permettant de signaler et d'analyser les incidents;
  • une culture de sécurité solidement ancrée.

Diapo 23 : Enquête sur les facteurs organisationnels

Des recherches antérieures relativement à des enquêtes sur des accidents du BST mettant en cause des exploitants de transport aérien/ferroviaire/maritime ont révélé que les facteurs organisationnels étaient souvent en cause, particulièrement ce qui suit:

  • Conflits d'objectifs
  • Analyse des risques inadéquate, notamment :
    • absence d'analyse des risques formelle
    • analyse des risques menée, mais aucun danger relevé
    • danger relevé, mais sous-estimation des risques résiduels
    • absence de procédures de contrôle des risques, ou procédures en place, mais non observées
  • Adaptation des employés
  • Omission de tenir compte des «signaux faibles», notamment:
    • suivi inadéquat des anomalies en matière de sécurité;
    • transmission inefficace d'information avant, durant et après un événement, y compris les communications verbales, la tenue de dossiers ou toute autre documentation.

Conformément au modèle de Reason, on a souvent noté la présence d'une interaction complexe de facteurs contributifs et de facteurs de causalité. Autrement dit, aucun facteur unique n'a «causé» l'accident.

Examinons ces quatre points individuellement, et le rôle qu'ils ont joué dans l'incident de tangage intempestif du vol d'Air Canada.

Diapo 24: Adaptation des employés

Ce qui nous amène au prochain facteur:l'adaptation des employés.

En principe, chacun dispose de procédures qui décrivent la façon dont les travaux devraient être effectués. Toutefois, comme nous le savons tous, elles n'indiquent pas toujours la manière dont les travaux sont accomplis en réalité. Cet écart peut entraîner des difficultés, et «l'adaptation des employés» peut malencontreusement nuire à la sécurité.

Dans les rapports d'enquête sur les accidents, on les désigne souvent comme des «infractions» ou des «dérogations par rapport aux procédures d'exploitation normalisées». Voyons plutôt cela sous un autre angle. On doit se pencher sur la question en tenant compte des ressources limitées:soumis à des contraintes de temps et à des objectifs multiples, les travailleurs et les gestionnaires peuvent être tentés d’adopter des «pratiques locales efficaces» pour une raison très simple:pour que le travail soit fait. Il est souvent difficile d'affirmer avec précision la mesure dans laquelle de telles pratiques sont sûres et si elles fonctionnent, mais comme elles fonctionnent la plupart du temps, les entorses à la routine deviennent la norme. Les succès antérieurs sont considérés comme garants de la sécurité future.

Le point à retenir est que les organisations doivent prévoir ou détecter de telles mesures d'adaptation et songer aux conséquences possibles – bonnes ou mauvaises.

De nombreuses raisons peuvent conduire à la non-observation des procédures. Parfois, cela peut révéler un manque de formation, d'entraînement ou d'information relativement à la procédure ou une méconnaissance de la raison d'être de la procédure. En d'autres cas, le seul fait de suivre les procédures peut provoquer un conflit d'objectifs, alors que l'utilisation d'un raccourci peut procurer un gain de temps et une économie d'efforts. Un manque de supervision ou des lacunes en matière d'assurance de la qualité sont également possibles. Le plus important est de comprendre le contexte qui a conduit à accepter un écart entre les procédures écrites et les pratiques réelles. Ce faisant, les organisations pourront mieux comprendre ce phénomène naturel, et pourront intervenir plus efficacement que de dire simplement aux employés de suivre les règles ou d'être prudents.

Dans bon nombre d'accidents, on n'a pu déceler les «signaux faibles» annonciateurs d'un problème potentiel. Par leur nature, les signaux faibles peuvent se révéler insuffisants pour attirer l’attention de gestionnaires occupés, lesquels croulent souvent sous une surcharge d’information et doivent souvent jongler avec plusieurs priorités contradictoires sous la lourde pression des délais.

Les employés présenteront davantage de rapports d'incident si on les forme à reconnaître des situations ou conditions dangereuses précises et des domaines que, selon eux, le SGS devrait examiner. Si tous les employés ne comprennent pas pleinement leurs obligations en matière de signalisation et qu'ils n'ont pas adopté une culture de rapports sur la sécurité dans leurs opérations quotidiennes, la gestion des risques par le SGS sera moins efficace.

Le SGS a pour but de fournir une infrastructure dans laquelle il est possible d'amplifier les «signaux faibles» à un point tel qu'on peut s'en occuper avant qu'un accident survienne.

Diapo 25: Erreur de pilotage ou erreur de gestion?

Comme le démontrent ces exemples, la dérive organisationnelle, les conflits d'objectifs et l'adaptation des employés surviennent naturellement au sein d'une organisation complexe. Les organisations peuvent et doivent retenir des leçons de ces événements puisque ceux-ci présentent les signes précurseurs d’accidents (p. ex. ne pas tenir compte au préalable des problèmes pouvant se produire, l’absence de méthodes de suivi et de dépistage efficaces relatives à l’entretien récurrent et aux autres lacunes en matière de sécurité et l’insuffisance de formation ou de ressources pour répondre aux événements inattendus).

Bien que les actions ou l'inaction d'un exploitant puissent sans aucun doute provoquer des incidents ou des accidents ou y contribuer, un événement défavorable peut être attribué à une «erreur humaine» à la lumière de l’analyse a posteriori. La plupart des gens ne font pas en sorte qu'une erreur soit commise ou qu'un accident se produise; ils veulent simplement que le travail soit fait. Il est donc important d'examiner leurs actions ou leur inaction dans le contexte organisationnel du moment. À la suite d'un accident, il importe également de comprendre «pourquoi» ils ont agi comme ils l'ont fait.

Les décideurs de tous les échelons d'une organisation établissent et communiquent les objectifs et priorités. Ils sont habituellement au courant des risques à écarter et des compromis à faire. Les pressions systématiques sur l'accomplissement des tâches peuvent exercer une influence insidieuse amenant les exploitants et les décideurs à prendre des mesures comportant plus de risques qu'il n'y paraît.

Diapo 26: Conclusions

Les décideurs ne veulent pas normalement causer d'accident ni contribuer à ce qu'un accident se produise, mais le seul fait de vouloir assurer la sécurité des opérations ne suffit pas à assurer la sécurité, à moins que cet engagement soit également soutenu par des processus «attentifs», comme les évaluations formelles des risques, une production accrue de rapports, la surveillance des lacunes en matière de sécurité et un suivi efficace.

En fin de compte, l'efficacité d'un SGS est tributaire de la culture de sécurité dans laquelle il s'inscrit. Il existe une relation complexe entre la culture et les processus. Le SGS ne fonctionne que si les intervenants s'engagent résolument et appuient la sécurité. Bien que les changements de processus (évaluations formelles des risques, déclaration d'incident, etc.) puissent susciter un changement de culture, ils ne seront durables à long terme que si l'on estime qu'ils ajoutent de la valeur.

Bien qu'un SGS ne puisse permettre d'éliminer tous les accidents, il peut contribuer à réduire le risque s'il est adéquatement mis en œuvre. Avec le temps, cela devrait se traduire par une baisse du taux d'accident. C'est pourquoi le BST a ajouté la mise en œuvre d'un SGS dans les secteurs aérien et de la marine à sa Liste de surveillance.

Diapo 27: Des questions?

Je vous remercie de votre attention. Je répondrai avec plaisir à vos questions.

Diapo 28: Mot-symbole Canada