La sécurité, la gestion du risque, la gouvernance et la responsabilité

La Regional Airline Association Convention 2013

Consulter la présentation en PDF

Il faut un lecteur de PDF pour lire cette version; détails dans notre page d'aide.

Kathy Fox
Membre, Bureau de la sécurité des transports du Canada
Montréal (Québec), Le 11 avril 2013

Notes d'allocution

Seul le texte prononcé fait foi.

Diapo 1 : Page titre

Bonjour. Je vous remercie de m'avoir invitée à prendre la parole. Je suis ravie d'être ici avec vous.

Diapo 2 : Aperçu

Pour commencer, je vous donnerai un aperçu de l'évolution des enquêtes sur les accidents, en abordant la question des pannes mécaniques ou de l'erreur de pilotage et en examinant les facteurs organisationnels qui sont en cause. Je vous exposerai la manière dont s'opère la dérive des organisations vers la défaillance et la mesure dans laquelle les composantes des systèmes de gestion de sécurité (SGS) ont pour but de fournir un processus officiel structuré — ou une « infrastructure attentive », selon la terminologie des organisations très fiables — qui permet aux compagnies aériennes de « cerner les problèmes avant que les problèmes ne surviennent ». En prenant pour exemple des enquêtes réelles du BST, j'établirai que de nombreux accidents, sinon la plupart, peuvent être attribués à une défaillance dans la méthode avec laquelle les organisations repèrent et atténuent de façon proactive les dangers et gèrent les risques.

J'examinerai également le rôle que joue la gouvernance, tant interne qu'externe, pour ce qui est de la responsabilité des transporteurs de mettre en place des systèmes de gestion des risques efficaces.

Diapo 3 : Contexte

Tout de suite après un grave accident d'aviation, les gens posent habituellement des questions du genre « Qu'est-il arrivé? », « S'agit-il d'une défaillance mécanique ou d'une erreur humaine? », « Sur qui ou sur quoi doit-on jeter le blâme? ». Toutefois, de nos jours, les enquêtes sur les accidents d'aéronefs ne se limitent pas au « quoi » pour la détermination du « pourquoi », car l'objectif premier ne consiste pas à attribuer une faute ni un blâme, mais à améliorer la sécurité des transports, et ce, en cernant les facteurs de causalité et facteurs contributifs sous-jacents, de même que les facteurs qui constituent un risque pour les systèmes de transport.

Au début de l'aviation, les accidents étaient plus souvent attribués à une défaillance mécanique, à une mauvaise météo ou à une erreur de pilotage. Le développement des recherches et des analyses relatives aux facteurs humains a amené les enquêteurs à examiner la manière dont la conception d'un appareil ou l'ergonomie d'un poste de pilotage peut entraîner des « erreurs de pilotage ». Ultérieurement, les facteurs physiologiques ont fait l'objet d'une attention accrue — fatigue, rythmes circadiens et illusions spatiales — et on s'est penché aussi sur les erreurs psychologiques qui pourraient influencer la prise de décision et la prise de risque du pilote. Avec le temps, la situation a évolué de sorte que l'on n'examine plus seulement le rendement des pilotes, mais aussi celui de tous les membres d'équipage, ce qui a mené aux concepts actuels de gestion des ressources du poste de pilotage et de gestion des menaces et des erreurs.

À la suite d'un certain nombre d'accidents graves mettant en cause des technologies complexes essentielles à la sécurité, des enquêteurs et des chercheurs ont entrepris d'examiner le rôle des gestionnaires et des facteurs organisationnels dans ces accidents. Le docteur James Reason a mis au point le réputé modèle de Reason (ou modèle du fromage suisse) afin d'illustrer la mesure dans laquelle les politiques et les décisions de la direction peuvent donner lieu à des conditions préalables latentes qui, combinées à des défaillances opérationnelles actives ou à des pannes de systèmes de sécurité, peuvent mener à une conjoncture favorisant les accidents.

Diapo 4 : Équilibrer des priorités contradictoires

Bon nombre d'organisations soutiennent que « la sécurité est leur grande priorité ». Cependant, il y a manifestement tout lieu de croire que pour certaines d'entre elles, ce sont plutôt le service à la clientèle ou le rendement de l'investissement des actionnaires qui constituent la grande priorité. Or, les produits et services d'une organisation doivent tout de même être « sûrs » si celle-ci veut conserver sa clientèle et la confiance du public — et éviter les accidents et les procédures coûteuses.

En conséquence, équilibrer des priorités contradictoires et gérer le risque fait partie de tout processus de prise de décision d'un gestionnaire. Bien que certains risques soient plus faciles à évaluer que d'autres, il est très difficile de prévoir les combinaisons de circonstances qui peuvent mener à un accident. Cela est particulièrement difficile au sein d'une organisation sociotechnique complexe qui présente un très faible taux d'accidents, notamment dans les domaines du contrôle de la circulation aérienne et des opérations aériennes.

Diapo 5 : Limites du rendement acceptable

M. Rasmussen suggère que sous l'influence de la pression exercée afin d'accroître la rentabilité dans un milieu où règne une concurrence féroce, les organisations tendent à s'approcher des limites du rendement acceptable. Autrement dit, elles dérivent.

Diapo 6 : Dérive organisationnelle

Sidney Dekker explique que la dérive organisationnelle découle de processus normaux de conciliation des pressions différentielles d’une organisation (efficacité, utilisation des capacités, sécurité) dans un cadre où l’incertitude technologique et l’imperfection des connaissances sont inhérentes. La dérive peut être visible pour les gens de l'extérieur, particulièrement à la suite d'un événement fâcheux. Toutefois, la dérive n'est pas forcément évidente à l'intérieur même de l'organisation, car des changements progressifs se produisent constamment.

Toutefois, compte tenu de la nécessité constante de concilier des besoins contradictoires et des incertitudes inhérentes à l’évaluation des risques pour la sécurité, comment les gestionnaires peuvent-ils s’apercevoir qu’ils dépassent les limites rattachées à la sécurité des opérations, alors qu’ils se concentrent sur le service à la clientèle, la productivité et l'efficacité? Selon M. Reason : « Si une vigilance constante représente le prix de la liberté, alors un malaise chronique constitue le prix de la sécurité ».

Diapo 7 : Répercussions des décisions de la direction

Cette question concerne fortement la direction, car les décisions de la direction, par leur nature, ont tendance à avoir une sphère d'influence plus étendue sur l’exploitation et un effet à plus long terme comparativement aux mesures prises par chacun des membres du personnel navigant (pilotes, techniciens d'entretien, etc.). Les gestionnaires créent l'environnement d'exploitation en établissant et en communiquant les objectifs et les priorités et en fournissant les outils, la formation et les ressources nécessaires à l'exécution des tâches entrant dans la fabrication de produits et la prestation de services.

Ainsi, les décideurs et les organisations se doivent de prendre « pleinement conscience » de l'impact de leurs priorités, politiques et processus.

Diapo 8 : Une « infrastructure attentive » c'est...

Weick et Sutcliffe définissent la « pleine conscience » comme « une sensibilité profonde aux détails discriminatoires ». Bien sûr, il y aura toujours des « angles morts », des attentes qui nous orientent vers des perceptions apaisantes qui confirment nos intuitions, loin des perceptions plus ennuyeuses. Cependant, voici ce qu'une « infrastructure attentive » permettrait d'effectuer continuellement :

    • Faire le suivi des défaillances mineures.
    • Résister à la simplification à outrance.
    • Demeurer sensible aux opérations.
    • Favoriser la résilience.
    • Tirer avantage du transfert de la prise de décision aux personnes compétentes.
    • Être à l'écoute et tenir compte des « signaux faibles ».

Diapo 9 : Caractéristiques de la gestion efficace de la sécurité

Les processus « attentifs » suffisent-ils réellement?

Dans un article de synthèse destiné au fournisseur de services de navigation aérienne civile du Canada, Westrum (1999) a répertorié un certain nombre de facteurs organisationnels qui caractérisent une culture de sécurité bien ancrée, à savoir :

  • grande importance accordée à la sécurité;
  • grande efficacité collective (c.-à-d. un degré élevé de coopération et de cohésion);
  • concordance entre les tâches et les ressources;
  • culture favorisant les communications libres et efficaces;
  • représentation claire de l'état de la sécurité;
  • orientation sur la formation; et
  • définition claire des voies hiérarchiques et de l'imputabilité.

Diapo 10 : Systèmes de gestion de la sécurité (SGS)

Les approches traditionnelles à l’égard de la gestion de la sécurité — fondées principalement sur la conformité aux règlements, sur les réponses correctives à la suite d’accidents et sur le principe axé sur « le blâme et la punition » — s’étaient révélées insuffisantes pour diminuer les taux d’accidents (OACI, 2008). Les SGS ont été conçus en fonction de concepts évolutifs sur la gestion des risques et la culture de sécurité, y compris la recherche touchant les organisations très fiables, lesquelles, estime-t-on, possèdent un potentiel très élevé pour ce qui est d'améliorer l'efficacité de la gestion de la sécurité.

Un SGS efficace est à la fois systématique, explicite et global. Selon Reason, « il devient partie intégrante de la culture de l'organisation et de la façon dont les employés s’acquittent de leurs fonctions ».

Les SGS sont parfois mal interprétés, c’est-à-dire qu’ils sont perçus comme une forme de déréglementation ou d’autoréglementation de la part de l’industrie. Cependant, tout comme les organisations reposent sur des systèmes de gestion financière et des RH internes pour gérer leurs actifs et leurs effectifs, les SGS constituent un cadre qui permet aux entreprises de mieux gérer les risques en matière de sécurité. Cela n’exclut pas la nécessité d’une surveillance réglementaire efficace.

Diapo 11 : Éléments essentiels d'un SGS

Les éléments généralement acceptés d'un système de gestion de la sécurité comprennent :

  • un cadre supérieur ou une autorité désignée responsable de la sécurité;
  • une politique en matière de sécurité sur laquelle repose le système (qui exprime clairement l'engagement de la direction);
  • un processus visant à établir les objectifs de sécurité et à déterminer la mesure dans laquelle ils ont été atteints;
  • un processus qui permet de déceler les dangers et d’évaluer et de gérer les risques qui y sont associés;
  • un processus qui fait en sorte que le personnel soit formé et compétent pour exercer ses fonctions;
  • un processus qui permet de rendre compte à l’interne des dangers, des incidents et des accidents et de les analyser, et qui permet de prendre des mesures correctives;
  • un processus visant à documenter le SGS et à faire en sorte que le personnel connaisse ses responsabilités; et
  • un processus qui permet d’effectuer des examens ou des vérifications périodiques du SGS.

Essentiellement, le SGS doit comporter :  

  • des mesures proactives permettant de cerner les dangers;
  • des mesures permettant de signaler et d'analyser les incidents;
  • une culture de sécurité solidement ancrée.

Diapo 12 : Examen des facteurs organisationnels

Des recherches antérieures relativement à des enquêtes sur des accidents du BST mettant en cause des exploitants de transport aérien/ferroviaire/maritime ont révélé que les facteurs organisationnels étaient souvent en cause, particulièrement ce qui suit :

  • Conflits d'objectifs
  • Analyse des risques inadéquate, notamment :
    • absence d'analyse des risques formelle
    • analyse des risques menée, mais aucun danger relevé
    • danger relevé, mais sous-estimation des risques résiduels
    • absence de procédures de contrôle des risques, ou procédures en place, mais non observées
  • Adaptation des employés
  • Omission de tenir compte des « signaux faibles », notamment :
    • suivi inadéquat des anomalies en matière de sécurité;
    • transmission inefficace d'information avant, durant et après un événement, y compris les communications verbales, la tenue de dossiers ou toute autre documentation.

Conformément au modèle de Reason, on a souvent noté la présence d'une interaction complexe de facteurs contributifs et de facteurs de causalité. Autrement dit, aucun facteur unique n'a « causé » l'accident.

Examinons séparément ces quatre points, en commençant par les conflits d'objectifs.

Diapo 13 : Conflits d'objectifs

En 2004, un Boeing 747 qui effectuait un vol international de marchandises s'est écrasé au décollage à l'aéroport international de Halifax. L'équipage avait malencontreusement utilisé la masse de l'aéronef de l'étape précédente pour calculer les performances de décollage. Les calculs ayant donné une vitesse caractéristique inexacte, la poussée utilisée a été insuffisante pour faire décoller l'aéronef compte tenu de sa masse réelle. La fatigue de l'équipage a vraisemblablement augmenté la probabilité d'erreurs dans le calcul des performances et a réduit sa capacité à déceler les erreurs, le tout conjugué au fait que le décollage s'effectuait dans l'obscurité.

Pourquoi? À l'époque, le transporteur connaissait une forte croissance et devait composer avec une pénurie de personnel technique. Au cours des quatre années précédentes, le transporteur avait augmenté progressivement la période de service maximale permise, en la faisant passer de 20 heures (avec un maximum de 16 heures de vol) à 24 heures (avec un maximum de 18 heures de vol). À l'origine, l'équipage se composait de deux commandants de bord, de deux copilotes et de deux mécaniciens de bord, mais cette composition avait été revue pour la faire passer à trois pilotes et deux mécaniciens de bord. Au moment où l'accident est survenu, l'équipage était de service depuis près de 19 heures et, compte tenu des retards subis, il aurait vraisemblablement été de service durant environ 30 heures une fois rendu à sa destination finale si le vol s'était poursuivi sans incident.

Avant l'écrasement de l'appareil de MK Airlines, le service d'affectation des équipages programmait régulièrement des vols dépassant la limite de 24 heures. En fait, le non-respect systématique du manuel d'exploitation a contribué à créer une situation où certains employés ainsi que la direction considéraient comme acceptable de dévier de la politique ou des procédures de la compagnie lorsqu'on pensait qu'il était « nécessaire d'effectuer un vol ou une série de vols ».

On peut également se demander quelle analyse des risques a été effectuée, le cas échéant, avant de modifier la composition de l'équipage et les périodes de service. La réponse est : aucune. Examinons un autre exemple.

Diapo 14 : Analyse des risques inadéquate

Le 11 novembre 2007, un biréacteur d'affaires Global 5000 est entré en contact avec le sol 7 pieds avant le seuil de la piste à Fox Harbour, en Nouvelle-Écosse. Le train d'atterrissage principal a été endommagé lorsqu'il a percuté l'extrémité de la piste et une perte de contrôle directionnelle s'en est suivie lorsque le train d'atterrissage principal droit s'est affaissé. L'avion a quitté la piste vers la droite et terminé sa course à 1 000 pieds de son point de contact initial avec le sol.

L’entreprise avait apporté un changement assez important en adoptant un nouvel aéronef de plus grande taille sans effectuer au préalable une analyse efficace des risques.

Diapo 15 : Assiette de l'avion au seuil de la piste

Notamment, bon nombre des pratiques et procédures d'exploitation normalisées du transporteur adaptées au plus petit appareil Challenger 604 avaient été appliquées au nouvel avion de plus grande taille Global 5000. L'enquête a révélé que la compagnie avait approuvé la pratique selon laquelle les équipages devaient « creuser l'approche », c'est-à-dire descendre au-dessous des indicateurs visuels d'alignement de descente pour atterrir le plus près possible du début de la piste, relativement courte. L'équipage du vol en question avait déjà atterri à cet aéroport à bord d'un Challenger 604 et était encore en période de rodage sur le nouvel appareil de plus grande taille. Il n’était pas au courant de deux facteurs importants : la hauteur entre les yeux du pilote et les roues du Global 5000 et le fait que les indicateurs visuels d'alignement de descente utilisés à Fox Harbour ne convenaient pas à ce type d'appareil. En effet, l'appareil ne répondait pas aux recommandations du fabricant stipulant qu'il fallait traverser le seuil de la piste à une altitude d'au moins 50 pieds. Les membres de l'équipage ont utilisé le même profil que pour les vols précédents, sans tenir compte du fait que le Global 5000 était un plus gros appareil que le Challenger 604. Ils ont mal jugé la hauteur à laquelle ils volaient et n’ont pas pris conscience qu’ils étaient trop bas. Cette situation, conjuguée à certains autres facteurs, a entraîné la réduction, à un niveau inacceptable, de la marge de sécurité au passage du seuil, ce qui a mené à l'accident.

Diapo 16 : Adaptation des employés

Ce qui nous amène au prochain facteur : l'adaptation des employés.

En principe, chacun dispose de procédures qui décrivent la façon dont les travaux devraient être effectués. Toutefois, comme nous le savons tous, elles n'indiquent pas toujours la manière dont les travaux sont accomplis en réalité. Cet écart peut entraîner des difficultés, et « l'adaptation des employés » peut malencontreusement nuire à la sécurité.

Dans les rapports d'enquête sur les accidents, on les désigne souvent comme des « infractions » ou des « dérogations par rapport aux procédures d'exploitation normalisées ». Voyons plutôt cela sous un autre angle. On doit se pencher sur la question en tenant compte des ressources limitées : soumis à des contraintes de temps et à des objectifs multiples, les travailleurs et les gestionnaires peuvent être tentés d’adopter des « pratiques locales efficaces » pour une raison très simple : pour que le travail soit fait. Il est souvent difficile d'affirmer avec précision la mesure dans laquelle de telles pratiques sont sûres et si elles fonctionnent, mais comme elles fonctionnent la plupart du temps, les entorses à la routine deviennent la norme. Les succès antérieurs sont considérés comme garants de la sécurité future.

Le point à retenir est que les organisations doivent prévoir ou détecter de telles mesures d'adaptation et songer aux conséquences possibles – bonnes ou mauvaises.

Diapo 17 : Adaptation des employés (suite)

Le 16 juillet 2011, un Boeing 727 effectuant un vol de marchandises avec trois membres d'équipage a atterri à l'aéroport international de St. John’s. Après le toucher des roues, l'équipage n'a pas été en mesure de stopper l'avion sur la piste mouillée avant l'extrémité de celle-ci. La course de l'avion a pris fin sur la pelouse, le train avant ayant dépassé de quelque 350 pieds l'extrémité de la piste. Heureusement, personne n'a été blessé et l'aéronef n'a été que légèrement endommagé.

L'enquête a révélé que trois des quatre pneus étaient usés à plus de 80 %, tandis que le quatrième pneu était usé à environ 65 %. L'utilisation de pneus dont l'usure est supérieure à 80 % a pour effet de réduire la traction sur piste mouillée et ainsi d'accroître le risque d'aquaplanage et la possibilité de sortie en bout de piste.

Cependant, à certaines des bases de maintenance en ligne, le personnel d'entretien avait adopté une pratique locale consistant à vaporiser de l'eau sur la roue pour aider au refroidissement des freins après l'atterrissage. Cette méthode n'était pas mentionnée dans les procédures d'exploitation normalisées de la compagnie et n'était pas non plus une pratique normalisée approuvée du fabricant. Elle était employée comme moyen de s'assurer que la température des freins se situait à l'intérieur des limites permises au départ. Le fait que cette pratique locale avait été adoptée n'a pas été désigné comme un danger potentiel en matière de sécurité devant faire l'objet d'une évaluation plus détaillée par le système de gestion des risques (SGR) de l'entreprise.

Chaque roue du train principal est munie d'un bouchon fusible thermique qui fond si la température de la roue augmente trop. Le bouchon fusible assure une protection contre les dégagements explosifs d'azote des pneus. Le déclenchement de bouchons fusibles n'est pas considéré comme de l'usure normale. Conformément aux procédures du transporteur, cette situation doit être signalée par l'entremise du SGR du transporteur. Le transporteur avait procédé à une inspection pour une période de huit mois et avait relevé sept autres cas uniques de déclenchement de bouchons fusibles qui avaient été signalés par l’intermédiaire de différentes procédures de maintenance, mais pas par le SGR.

Cela s'est traduit par une occasion manquée d'identifier des risques potentiels pour la sécurité (perte de maîtrise en direction, aquaplanage, sorties en bout de piste) et de prendre des mesures d'atténuation appropriées.

Les employés présenteront davantage de rapports d'incident si on les forme à reconnaître des situations ou conditions dangereuses précises et des domaines que, selon eux, le SGS devrait examiner. Si tous les employés ne comprennent pas pleinement leurs obligations en matière de signalisation et qu'ils n'ont pas adopté une culture de rapports sur la sécurité dans leurs opérations quotidiennes, la gestion des risques par le SGS sera moins efficace.

De nombreuses raisons peuvent conduire à la non-observation des procédures. Parfois, cela peut révéler un manque de formation, d'entraînement ou d'information relativement à la procédure ou une méconnaissance de la raison d'être de la procédure. En d'autres cas, le seul fait de suivre les procédures peut provoquer un conflit d'objectifs, alors que l'utilisation d'un raccourci peut procurer un gain de temps et une économie d'efforts. Un manque de supervision ou des lacunes en matière d'assurance de la qualité sont également possibles. Le plus important est de comprendre le contexte qui a conduit à accepter un écart entre les procédures écrites et les pratiques réelles. Ce faisant, les organisations pourront mieux comprendre ce phénomène naturel, et pourront intervenir plus efficacement que de dire simplement aux employés de suivre les règles ou d'être prudents.

Les déclenchements de bouchons fusibles survenus dans cet accident fournissent également un exemple de « signaux faibles ».

Diapositive 18 : Signaux faibles

Dans bon nombre d'accidents, on n'a pu déceler les « signaux faibles » annonciateurs d'un problème potentiel. Par leur nature, les signaux faibles peuvent se révéler insuffisants pour attirer l’attention de gestionnaires occupés, lesquels croulent souvent sous une surcharge d’information et doivent souvent jongler avec plusieurs priorités contradictoires sous la lourde pression des délais.

Autre exemple : le 7 janvier 2007, un appareil Beech King Air était en vol d’évacuation sanitaire avec deux pilotes et deux techniciens médicaux d’urgence à bord. Alors que l’appareil effectuait une longue approche de nuit avec des fusées d’atterrissage, l’équipage a décidé de faire un tour supplémentaire et de recommencer la manœuvre. L’appareil n’a pas pu maintenir une montée positive et il s’est écrasé dans les arbres à l’autre extrémité de la piste d’atterrissage. Le commandant de bord a été tué tandis que les autres passagers ont été blessés.

L’enquête du BST a révélé que les deux pilotes étaient incapables de travailler efficacement en équipe pour éviter, saisir ou atténuer les erreurs, et gérer en toute sécurité tous les risques associés au vol. Comme notre enquêteur en chef à l’époque l'a fait remarquer, « cet équipage n’a pas utilisé les stratégies de base qui auraient pu permettre d’éviter la série d’événements qui a mené à cet accident ». Ce manque de coordination peut s’expliquer, en partie, par le fait que l’équipage n’avait pas reçu de formation en gestion des ressources du poste de pilotage. Auparavant, il y avait eu de nombreux « problèmes de jumelage de l’équipage » concernant cet équipage. La direction de la compagnie le savait, mais elle n’était pas consciente de la mesure dans laquelle ces facteurs pouvaient nuire à la coordination efficace de l’équipage.

Diapo 19 : Signaux faibles (suite)

Dans un article rédigé en 2009, William Voss, alors président et chef de la direction de la Fondation pour la sécurité aérienne, affirmait : « Bien que ces récents accidents semblent être attribuables au hasard, un facteur les relie. Nous ne les avions pas prévus, mais nous aurions dû… les données tentent de nous dire quelque chose, mais parfois, nous n’y prêtons pas attention. »

Le SGS a pour but de fournir une infrastructure dans laquelle il est possible d'amplifier les « signaux faibles » à un point tel qu'on peut s'en occuper avant qu'un accident survienne.

Diapo 20 : Le SGS dans l'exploitation des transporteurs aériens

Un Boeing 737 a décollé de l'aéroport international Toronto–Lester B. Pearson avec 189 passagers et sept membres d'équipage à bord. Pendant la course au décollage, à une vitesse indiquée d’environ 90 nœuds, l’automanette s'est désactivée une fois la poussée au décollage atteinte. Alors que l'avion approchait de la vitesse minimale en cas de panne de moteur critique, le premier officier, qui était le pilote aux commandes, a vu l'alerte de désaccord de vitesse indiquée et a cédé les commandes au commandant de bord, qui a poursuivi le décollage. Au cours de la montée initiale, un avertissement de décrochage a été émis (actionnement du vibreur de manche), suivi d'une indication du directeur de vol d'abaisser le nez de 5°. Le décollage a été effectué dans des conditions de bonne visibilité, ce qui a permis au commandant de bord de constater que les indications du directeur de vol étaient erronées. Il n'a pas tenu compte de ces indications et a maintenu l’assiette de montée. L'équipage de conduite a avisé le contrôleur aérien qu'un problème technique exigeait le retour de l'avion à Toronto. L'équipage de conduite n'a pas déclaré une urgence, mais a toutefois demandé que les services de sauvetage et de lutte contre les incendies d'aéronefs soient mis en état d'alerte en raison de l'atterrissage en surcharge.

À l'origine, l'événement n'a pas été signalé au BST, car ni l'équipage ni la compagnie aérienne n'ont réalisé que la mise en alerte des services d'urgence et d'incendie constituait un événement devant être signalé.

L'exploitant a procédé par la suite à une évaluation de l'événement. Son rapport préliminaire rédigé dans le cadre du SGS relevait deux problèmes. Le premier était l'écart entre les vitesses indiquées, dont on a jugé que la cause profonde était attribuable à un problème technique (contamination du tube de Pitot) qui n'exigeait pas d'analyse plus poussée. Le second était que l'événement n'avait pas été classé comme un événement à signaler au BST.

Le BST a constaté un certain nombre d'autres risques et dangers sous-jacents que la compagnie n'avait pas relevés ou évalués. La gestion de la reconnaissance des dangers et des risques est au cœur du concept du SGS, dont traite la réglementation régissant les services de transport aérien réguliers au Canada. Dans l'événement en cause, l'exploitant n'a pas reconnu de dangers justifiant une analyse au moyen de son SGS. L'intervention opportune de l'équipage de conduite a fait oublier les risques sous-jacents qu'on pourrait ne pas être en mesure de réduire en raison du manque de directives, de formation et de procédures à cet égard dont dispose celui-ci.

Diapo 21 : Erreur de pilotage ou erreur de gestion?

Comme le démontrent ces exemples, la dérive organisationnelle, les conflits d'objectifs et l'adaptation des employés surviennent naturellement au sein d'une organisation complexe. Les organisations peuvent et doivent retenir des leçons de ces événements puisque ceux-ci présentent les signes précurseurs d’accidents (p. ex. ne pas tenir compte au préalable des problèmes pouvant se produire, l’absence de méthodes de suivi et de dépistage efficaces relatives à l’entretien récurrent et aux autres lacunes en matière de sécurité et l’insuffisance de formation ou de ressources pour répondre aux événements inattendus).

Bien que les actions ou l'inaction d'un exploitant puissent sans aucun doute provoquer des incidents ou des accidents ou y contribuer, un événement défavorable peut être attribué à une « erreur humaine » à la lumière de l’analyse a posteriori. La plupart des gens ne font pas en sorte qu'une erreur soit commise ou qu'un accident se produise; ils veulent simplement que le travail soit fait. Il est donc important d'examiner leurs actions ou leur inaction dans le contexte organisationnel du moment. À la suite d'un accident, il importe également de comprendre « pourquoi » ils ont agi comme ils l'ont fait.

Accorder plus d'importance à la production qu'à la sécurité est une décision qui se prend implicitement et qui passe inaperçue. De plus, les réussites à répétition font en sorte que les gens sous-estiment le degré de risque.

Diapo 22 : Erreur de pilotage ou erreur de gestion? (suite)

Les décideurs de tous les échelons d'une organisation établissent et communiquent les objectifs et priorités. Ils sont habituellement au courant des risques à écarter et des compromis à faire. Les pressions systématiques sur l'accomplissement des tâches peuvent exercer une influence insidieuse amenant les exploitants et les décideurs à prendre des mesures comportant plus de risques qu'il n'y paraît.

Cela étant dit, les décideurs ne veulent pas normalement causer d'accident ni contribuer à ce qu'un accident se produise, mais le seul fait de vouloir assurer la sécurité des opérations ne suffit pas à assurer la sécurité, à moins que cet engagement soit également soutenu par des processus « attentifs », comme les évaluations formelles des risques, une production accrue de rapports, la surveillance des lacunes en matière de sécurité et un suivi efficace.

En fin de compte, l'efficacité d'un SGS est tributaire de la culture de sécurité dans laquelle il s'inscrit. Il existe une relation complexe entre la culture et les processus. Le SGS ne fonctionne que si les intervenants s'engagent résolument et appuient la sécurité. Bien que les changements de processus (évaluations formelles des risques, déclaration d'incident, etc.) puissent susciter un changement de culture, ils ne seront durables à long terme que si l'on estime qu'ils ajoutent de la valeur.

Diapo 23 : Rôle de la gouvernance/surveillance

Donc, qui demande des comptes aux membres de la haute direction concernant les conséquences de leurs compromis et des décisions qu'ils prennent en matière de risque?

Le propriétaire ou le conseil d'administration est habituellement sur la ligne de front de la gouvernance dans la plupart des organisations privées et publiques et tient les membres de la haute direction responsables de leurs décisions. Toutefois, selon leur expérience et leurs compétences, le(s) propriétaire(s) ou les administrateurs pourraient ne pas être pleinement conscients des effets nuisibles possibles de certaines décisions et pratiques sur le plan de la sécurité. La plupart des conseils d'administration ont mis sur pied des comités destinés à surveiller des domaines de gestion clés (RH, finances, régime de retraite, etc.). De même, un comité affecté à la sécurité pourrait constituer l'élément central de la surveillance des activités de gestion de la sécurité et du rendement en matière de sécurité d'une entreprise.

Les actionnaires aussi se préoccupent de la viabilité financière de l'entreprise, mais, à l'instar du propriétaire ou des administrateurs, ils ne sont peut-être pas au courant des détails concernant les risques courants sur le plan de la sécurité des opérations.

Les clients (et par extension le grand public) s'intéressent particulièrement au transport sécuritaire de leurs biens et de leurs employés, car la vie de ces derniers est ni plus ni moins entre les mains du transporteur aérien. Les clients (particulièrement les grandes sociétés pétrolières et chimiques) insistent de plus en plus pour que les transporteurs certifient qu'ils disposent de systèmes de gestion des risques et de la sécurité avant de leur confier le transport de leur personnel et de leurs marchandises. En conséquence, un SGS représente à tout le moins un avantage concurrentiel, sinon un élément indispensable pour faire affaire avec ces sociétés.

Les compagnies d'assurance? En fin de compte, les compagnies d'assurance sont tenues de verser des indemnisations, conformément aux  polices d'assurance, pour les décès, dommages et poursuites en responsabilité civile attribuables aux opérations d'un transporteur aérien. Outre une augmentation de sa prime, une entreprise peut voir son assurabilité compromise si elle affiche des pertes assurables à répétition.

Les organismes de réglementation des transports et les règlements sont en place afin de protéger le public et exigent des exploitants qu'ils respectent certaines normes minimales.

En somme, toutes ces réponses sont bonnes.

Mais est-ce que les organismes de réglementation en font suffisamment?

Diapo 24 : Gouvernance/surveillance (suite)

En juin 2010, un appareil Beech King Air 100 a décollé de l'aéroport de Québec avec ses moteurs réglés à puissance réduite – procédure établie par l'entreprise afin de réduire l'usure du moteur, mais non approuvée par le fabricant de l'avion. La performance de l'avion durant le décollage était donc inférieure à celle établie durant la certification de type pour cet avion. Quelques secondes seulement après le décollage, le personnel navigant a signalé une panne du moteur droit et a aussitôt annoncé son intention de faire demi-tour et d'atterrir. Cependant, les pales d'hélice du moteur droit n'ont pas été mises en drapeau, ce qui a causé une traînée aérodynamique excessive qui a nui à la capacité de l'avion de prendre de l'altitude et de maintenir son vol en palier. L'avion a perdu de l'altitude et a percuté le relief au bout de la piste. L'avion a percuté une berme, et les 5 passagers ainsi que les 2 membres d'équipage ont perdu la vie dans l'incendie qui s'est déclaré après l'accident.

Le BST a constaté de nombreuses lacunes en ce qui a trait à la formation des pilotes, aux procédures d'exploitation de l'entreprise, aux documents de maintenance et à la culture de l'entreprise en matière de sécurité. Bien que les inspections menées par Transports Canada aient révélé des pratiques dangereuses, les mesures prises par TC pour assurer la conformité aux règles se sont avérées inefficaces. En conséquence, les risques n'ont pas été écartés.

Au bout du compte, quels sont les processus et preuves nécessaires pour justifier la décision d'un organisme de réglementation de mettre fin aux activités d'un exploitant non conforme?

Diapo 25 : Gouvernance/surveillance (suite)

Certains exploitants imprévoyants pourraient ne pas s'engager pleinement dans la mise en œuvre de solides politiques, processus et pratiques de gestion des risques parce qu'ils croient que ceux-ci ajoutent une lourdeur bureaucratique et peu de valeur. Les organismes de réglementation encouragent de plus en plus les exploitants à adopter de nouveaux programmes en matière de technologie, de formation et de sécurité (SGS y compris) sur une base facultative, et ce, afin d'éviter les longs et dispendieux processus d'élaboration des règlements qui ne passent souvent pas l'analyse coûts-bénéfices puisque le taux d'accidents est déjà faible.

Dans un récent message (AeroSafety World, juillet 2012), William Voss, ancien président et chef de la direction de la Fondation pour la sécurité aérienne, écrivait qu'un grand transporteur aérien américain qui met en œuvre tous les programmes facultatifs de la FAA est certainement très sécuritaire, mais qu'il pourrait être en concurrence avec un autre transporteur qui décide de sabrer les coûts et de ne mettre aucun de ces programmes en œuvre. L'écart entre ce qui est légal et ce qui est sécuritaire est déjà important et il s'élargira encore... Cette perspective réglementaire est-elle viable? Est-elle juste envers les transporteurs aériens qui observent les règles? Est-elle juste envers un public qui n'est pas au fait de la question?

Diapo 26: Liste de surveillance du BST

En 2012, le BST a procédé a mis à jour sa première Liste de surveillance, laquelle énumère les problèmes représentant le plus grand risque pour le système de transport canadien. Lors de la mise à jour de la Liste de surveillance, nous avons pu retirer des problèmes qui avaient été réglés. Par contre, nous y avons également ajouté de nouveaux problèmes.

Malheureusement, il y a eu très peu de changement quant aux problèmes liés à l'aviation, domaine où les problèmes sont bien connus. Ils comprennent les suivants:

  • Collisions avec le sol et l’eau
  • Accidents à l’atterrissage et dépassements de piste
  • Risque de collisions sur les pistes
  • Systèmes de gestion de la sécurité

Comment pouvons-nous réduire ces types d'accidents? De la même manière que nous travaillons à réduire les autres types d'accidents : en créant une infrastructure attentive, en décelant les signes de faiblesse et en créant une culture d'entreprise où les problèmes peuvent être signalés et réglés sans crainte de mesures punitives. Ces mesures constituent un bon point de départ. Toutefois, certaines mesures très précises peuvent être prises pour cibler ces types d'accidents.

Les entreprises doivent offrir aux pilotes une formation sur les procédures d'approche stabilisées et les mettre en œuvre, et avoir plus souvent recours à la technologie, particulièrement dans les petits avions, pour prévenir les impacts sans perte de contrôle. Ces mesures pourraient également permettre d'éviter les sorties de piste. Les aéroports qui installent des aires de sécurité d’extrémité de piste plus longues et fournissent plus rapidement de l’information aux pilotes sur l’état de la surface, surtout par mauvais temps, peuvent contribuer à la réduction de la fréquence et de la gravité des sorties de piste. De plus, on pourrait prévenir les incursions sur piste au moyen de systèmes améliorés d’évitement de collision et d’autres mesures comme des avertissements transmis directement aux pilotes.

En ce qui concerne les systèmes de gestion de la sécurité, nous souhaitons les voir installés partout et utilisés par tous les exploitants. À l'heure actuelle, son utilisation n'est obligatoire que chez les transporteurs aériens réguliers.

Diapo 27 : Conclusions

Bien qu'un SGS ne puisse permettre d'éliminer tous les accidents, il peut contribuer à réduire le risque s'il est adéquatement mis en œuvre. Avec le temps, cela devrait se traduire par une baisse du taux d'accidents. On peut retenir de nombreuses leçons des enquêtes sur les accidents et de l'expérience des exploitants qui ont mis en place un SGS.

Désormais, on ne peut plus parler de « simple erreur » de l'exploitant. De manière plus exacte, la sécurité consiste à cerner les risques qui se produisent inévitablement, car nous sommes humains après tout, puis à les gérer ou à les atténuer. La dérive organisationnelle, les conflits d'objectifs, les priorités contradictoires, les adaptations locales... Jamais ils ne disparaîtront complètement, c'est donc la manière dont nous composerons avec ces questions qui importe.

Pour revenir aux meilleurs principes des organisations très fiables, un SGS peut permettre d'établir une « infrastructure attentive ».

Infrastructure attentive : l'efficacité d'un SGS dépend de la culture de sécurité dans laquelle il s'inscrit. Le seul fait de vouloir assurer la sécurité ne suffit pas. Il importe que les organisations « institutionnalisent » leur approche afin qu'elles puissent harmoniser et intégrer leurs objectifs, politiques, processus, pratiques, communications et culture.

L'imputabilité est primordiale : la véritable imputabilité va au-delà de la punition (comme blâmer et recycler, châtier ou congédier les « brebis galeuses »). Elle est tournée vers l’avenir et exige des organisations et des corps de métiers qu’ils assument l’entière responsabilité de la résolution des problèmes relevés. Il faut voir les quasi-accidents comme une chance pour l’organisation de tirer des enseignements; les gens ne signaleront un incident que s'ils peuvent le faire en toute impunité.

Surveillance réglementaire : certaines entreprises insouciantes risquent d'adopter une approche minimaliste, bureaucratique ou fondée sur des listes de vérification dans le cadre de la mise en place d'un SGS et de croire qu'elles sont « sécuritaires » parce que leur SGS est « conforme ». Les organismes de réglementation ne doivent pas hésiter à faire appliquer les règles actuelles, voire à restreindre l'exploitation d'une entreprise jusqu'à ce que cette dernière ait manifestement pris des mesures efficaces et éliminé les pratiques dangereuses.

La réussite exige du temps : les organisations doivent reconnaître que la mise en place d'un SGS efficace exige un engagement soutenu, du temps, des ressources et de la persévérance.

Diapo 28 : Des questions?

Diapo 29 : Mot-symbole Canada