Polycentric risk governance across safety and security risk logics

Quand la sûreté rencontre la sécurité : vers une gouvernance polycentrique des risques, le cas de l’Oil & Gaz norvégien face au risque de guerre

L’actualité géopolitique a brutalement rappelé que certains secteurs industriels ne doivent plus seulement gérer des accidents, mais aussi des actes malveillants. L’invasion de l’Ukraine et surtout le sabotage des gazoducs Nord Stream ont conduit la Norvège à modifier profondément son cadre de régulation du secteur pétrolier et gazier. Un domaine historiquement gouverné par les logiques de sécurité industrielle (safety) s’est vu imposer de nouvelles exigences relevant de la sécurité contre les actes intentionnels (security). 

Notre synthèse de l’article

Rédigée en partie à l’aide d’un système d’IA.

Les crises et les événements peuvent faire émerger de nouvelles catégories de risques susceptibles de bouleverser et de remettre en question les régimes réglementaires, issus de logiques de risque bien établis. Cet article étaye cette affirmation en s’appuyant sur le cas des évolutions réglementaires du secteur pétrolier norvégien survenues dans le contexte de la guerre en Ukraine et du sabotage des gazoducs Nord Stream I et II. 

Une industrie construite sur la confiance, maintenant confrontée à la menace

Depuis plusieurs décennies, la sécurité du secteur pétrolier norvégien repose sur un modèle de gouvernance fondé sur la confiance, le dialogue et la coopération entre les entreprises, les autorités de contrôle et les représentants des travailleurs. Le principe central est que les organisations ont intérêt à améliorer elles-mêmes leur niveau de sécurité et disposent pour cela d’une grande autonomie. La règlementation fixe des objectifs généraux, mais laisse aux entreprises une large liberté pour déterminer les moyens qu’elles jugent adaptés. 

L’arrivée de nouvelles préoccupations géopolitiques a modifié cet équilibre.

Du jour au lendemain, les régulateurs et les entreprises de ce secteur pétrolier, tous axés sur la sécurité technique et opérationnelle (safety), ont dû faire face à de nouvelles catégories de risques liés à la sûreté (security).

Le gouvernement norvégien a instauré une loi sur la sécurité nationale (Security Act) pour forcer l’adaptation à une nouvelle réalité, où un système de régulation conçu pour gérer les erreurs, les défaillances techniques et les accidents doit soudainement intégrer des menaces délibérées, des actes de sabotage ou des attaques provenant d’adversaires.

Deux univers qui ne reposent pas sur les mêmes hypothèses

Dans sa première section, l’article rappelle que la version actuelle du Security Act, la nouvelle loi Norvégienne entrée en vigueur en 2019, marque une évolution importante par rapport aux législations antérieures.

Alors que les approches historiques visaient surtout à protéger certains objets ou installations désignés comme stratégiques, la nouvelle loi met davantage l’accent sur la priorité de la protection de fonctions essentielles pour la nation. Elle demande aux organisations d’identifier elles-mêmes leurs vulnérabilités, d’évaluer les menaces et de mettre en place des dispositifs de protection adaptés.

Cette approche est à la fois fonctionnelle et fondée sur le risque. L’État ne prescrit plus uniquement ce qu’il faut faire ; il demande aux entreprises d’évaluer en permanence leur niveau d’exposition et de démontrer qu’elles assurent un niveau de sécurité satisfaisant. Cette philosophie est proche des approches modernes de régulation développées depuis longtemps dans les industries à risque majeur, mais elle est appliquée cette fois à la sécurité nationale.

L’extension de cette logique à l’industrie pétrolière reste controversée par l’industrie. Une partie du secteur estimant que les risques de malveillance pouvaient être gérés dans le cadre existant de la réglementation de sécurité industrielle, tandis que les autorités de sécurité défendent l’idée que ces infrastructures devaient être explicitement intégrées au périmètre de la sécurité nationale. Les événements de 2022 ont finalement accéléré cette évolution.

L’un des apports majeurs de l’article consiste à montrer que safety et security ne se distinguent pas seulement par les risques qu’elles traitent mais aussi par leurs logiques profondes.

Trois logiques qui structurent l’action : la logique de gouvernance, la logique du risque et les actes réglementaires

La logique, la gouvernance et les actes sont des concepts interdépendants qui, ensemble, constituent la gestion et la régulation. 

La logique, la gouvernance et les actes forment ainsi le socle conceptuel de cet article, la notion de « logique du risque » constitue le cœur l’analyse. Cette logique du risque renvoie aux principes fondamentaux et aux processus de pensée qui orientent la perception, l’évaluation et la gestion des risques dans un contexte industriel donné. Elle fournit un cadre conceptuel qui façonne la manière dont les acteurs clés du dispositif réglementaire de l’industrie pétrolière norvégienne — régulateurs, organisations et individus — abordent les décisions liées au risque. C’est un cadre intellectuel qui influence les décisions des régulateurs, des entreprises et des professionnels. Elle détermine ce qui est considéré comme une menace crédible, quelles connaissances sont jugées pertinentes et quelles actions sont considérées légitimes.

Cette évolution correspond à un mouvement plus large observé dans les sociétés contemporaines : les institutions ne gouvernent plus seulement par la réaction aux crises mais de plus en plus par l’anticipation des risques. Cette « riskification » de l’action publique conduit à raisonner en termes de vulnérabilités, de résilience et de scénarios futurs plutôt qu’en termes de menaces immédiates.

Ainsi, dans le domaine de la sécurité nationale, on assiste progressivement à une transformation des menaces en risques analysables. Le risque devient un instrument de gestion permettant d’organiser l’action malgré l’incertitude. Cette évolution accroît également la dépendance aux experts puisque les décisions reposent de plus en plus sur des analyses complexes et sur des jugements portant sur l’incertitude.

Safety et Security : deux mondes différents

La partie la plus intéressante de cette première partie de l’article est sans doute la comparaison approfondie entre les logiques de safety et de security.

Cette différence entraîne des façons très différentes de travailler.

La sécurité industrielle repose largement sur la confiance, l’ouverture et le partage d’information. Les incidents et les erreurs sont diffusés afin de permettre l’apprentissage collectif et l’amélioration des organisations. La transparence y est vue comme un facteur de progrès. 

À l’inverse, la sécurité contre la malveillance s’appuie davantage sur la confidentialité. Les informations concernant les vulnérabilités, les capacités de défense ou les scénarios de menace ne peuvent pas être librement diffusées sans créer elles-mêmes de nouvelles vulnérabilités. La protection de l’information devient alors une composante essentielle du système de défense. 

Cette opposition va bien au-delà des méthodes utilisées. Elle touche aux valeurs mêmes qui fondent les régimes de régulation. D’un côté se trouvent l’ouverture, la confiance et l’apprentissage ; de l’autre, la discrétion, le contrôle et parfois la dissuasion.

Les frontières sont moins nettes qu’il n’y paraît

Dans le domaine de la sécurité industrielle (safety), les comportements intentionnels existent également. Les violations délibérées de procédures, les contournements de règles ou certaines prises de risque conscientes jouent un rôle important dans les accidents.
Inversement, certaines actions relevant de la security ne visent pas directement à provoquer des dommages. La simple présence d’une intention n’est donc pas toujours suffisante pour tracer une frontière nette entre les deux domaines.

Cette constatation a conduit plusieurs chercheurs, notamment dans un ouvrage publié en 2020 par la Foncsi dans notre collection « SpringerBrief in safety management » et coordonné par Corinne Bieder, notre directrice scientifique, et Kenneth Gould, avec une forte contribution de Nancy Leveson, à proposer une approche plus systémique.
Selon cette perspective, accidents et actes malveillants peuvent être analysés comme différentes manifestations d’un même problème : une perte de contrôle d’un système sociotechnique complexe. L’attention doit alors porter moins sur l’intention du responsable que sur la capacité globale du système à maintenir ses fonctions essentielles malgré les perturbations auxquelles il est soumis.

Les interfaces entre la logique de sûreté et la logique de sécurité constituent le fondement de l’intégration de leurs approches dans un cadre unifié de gestion des risques. Ces deux domaines se rejoignent dans l’attention portée aux éléments techniques, organisationnels et humains, car les incidents — qu’ils soient involontaires (safety) ou intentionnels (security) — nécessitent souvent des mesures d’atténuation similaires, telles que des barrières techniques et une défense en profondeur.

Toutefois, une distinction majeure réside dans la prise en compte de l’intention humaine : la sécurité industrielle classique s’intéresse à des événements non intentionnels. Elle repose sur l’analyse des défaillances, l’étude du travail réel, la compréhension des facteurs organisationnels et la diffusion ouverte de l’information afin d’apprendre collectivement. La confiance y joue un rôle central.  
La sécurité contre les actes malveillants s’intéresse au contraire à des adversaires, à leurs intentions et à leurs capacités. Elle privilégie davantage la confidentialité, la protection de l’information sensible, la dissuasion et le contrôle.

Cette divergence crée une « zone grise », comme celle des menaces internes, où des individus de confiance peuvent présenter des risques pour la sécurité. En outre, la sécurité met l’accent sur l’ouverture et sur des analyses structurées fondées sur des données, alors que la sûreté exige la confidentialité et repose fréquemment sur des méthodes qualitatives basées sur des scénarios. Ces approches divergentes compliquent les efforts d’intégration des deux perspectives. Des défis supplémentaires découlent de méthodologies, d’attentes culturelles et de cadres réglementaires contrastés, notamment lorsqu’il s’agit de traiter des menaces externes ou de combiner la gouvernance de la sûreté et de la sécurité.

Vers une gouvernance polycentrique des risques

La première partie de l’article se conclut sur l’idée qui servira de fil conducteur au reste de l’article : les enjeux contemporains de sécurité ne peuvent plus être gérés par une seule organisation ou une seule autorité.

La seconde partie de l’article consiste dans une proposition de dépasser cette opposition traditionnelle. Les auteurs utilisent le concept de gouvernance polycentrique pour décrire une situation dans laquelle plusieurs centres de décision, publics et privés, participent simultanément à la gestion des risques.

Les infrastructures critiques se situent à l’intersection de nombreux acteurs : autorités publiques, organismes de régulation, entreprises, syndicats, opérateurs techniques, services de renseignement et partenaires internationaux. Cette multiplicité de centres de décision conduit les auteurs à défendre une conception « polycentrique » de la gouvernance des risques. 
L’objectif n’est donc pas de remplacer la sécurité industrielle par la sécurité nationale mais de construire un cadre capable d’articuler ces deux logiques. Le défi majeur est de parvenir à conserver les bénéfices de la culture de sécurité industrielle (confiance, retour d’expérience, transparence, apprentissage) tout en intégrant les exigences nouvelles associées à la protection contre des menaces intentionnelles. 

Dans un tel système, l’État, les régulateurs, les entreprises, les sous-traitants, les experts et les représentants des travailleurs contribuent ensemble à la gouvernance du risque sans qu’une autorité unique dispose d’un contrôle total.  
L’idée n’est donc pas de remplacer la logique safety par une logique security, mais de créer une couche d’intégration permettant de gérer les arbitrages entre les deux.

Les auteurs parlent d’une gouvernance capable de :

• concilier transparence et confidentialité ;
• articuler apprentissage collectif et protection de l’information ;
• maintenir la confiance tout en développant des capacités de contrôle ;
• intégrer simultanément les enjeux industriels, économiques et géopolitiques.

Du contrôle réglementaire à l’autorégulation encadrée

Une autre question importante concerne la nature même de la régulation.

Historiquement, de nombreux secteurs ont été gouvernés par des prescriptions détaillées précisant exactement ce qui devait être fait. Les auteurs opposent ce modèle à une régulation fondée sur les résultats attendus et sur la capacité des organisations à analyser elles-mêmes leurs risques.  

La loi norvégienne sur la sécurité nationale appartient clairement à cette seconde catégorie. Elle impose aux entreprises d’identifier leurs fonctions critiques, d’analyser leurs vulnérabilités et de démontrer qu’elles maîtrisent les risques auxquels elles sont exposées.  
Cette évolution renforce la responsabilité des entreprises mais soulève aussi une question délicate : disposent-elles réellement des connaissances et des compétences nécessaires pour analyser des menaces complexes, souvent liées à des dynamiques géopolitiques internationales ? 

Les auteurs soulignent ainsi que le basculement vers l’autorégulation ne supprime pas le besoin de contrôle. Il déplace simplement le lieu où s’exerce la responsabilité.

Les limites des méthodes classiques d’analyse des risques

L’article met également en évidence une difficulté méthodologique.

L’analyse des risques de sécurité industrielle dispose aujourd’hui d’une base théorique relativement solide. Elle s’appuie souvent sur l’étude des accidents passés, sur les retours d’expérience et sur des estimations probabilistes.

Les risques liés à des attaques intentionnelles présentent des caractéristiques différentes. Les événements sont rares, les données historiques limitées, les adversaires adaptent leurs stratégies et les probabilités sont souvent impossibles à estimer de manière fiable.  

Les auteurs défendent une approche davantage fondée sur les incertitudes, les scénarios et la résilience que sur les probabilités seules. Ils y voient une opportunité de rapprochement entre les deux univers du risque.  

 

La confiance mise à l’épreuve

L’un des passages les plus intéressants de l’article concerne l’impact des nouvelles exigences de security sur la culture historique du secteur pétrolier norvégien.

L’ouverture de l’information, le partage des événements et les échanges entre partenaires sociaux ont longtemps constitué la base du modèle norvégien de sécurité industrielle. Or, les impératifs de confidentialité associés aux menaces de sabotage ou d’espionnage remettent partiellement en cause cette tradition. 

Les auteurs rapportent plusieurs tensions apparues récemment entre autorités, entreprises et syndicats à propos du partage d’informations relatives aux menaces de sécurité (security). Les acteurs acceptent la nécessité d’une certaine confidentialité mais reconnaissent également que la sécurité (safety) ne peut être efficacement gérée sans circulation minimale de l’information. 

Cette tension entre confiance et secret apparaît comme l’une des difficultés majeures de la coexistence entre safety et security.  

En conclusion

L’article défend l’idée que les évolutions géopolitiques récentes obligent les industries à haut risque à repenser leurs modèles de gouvernance. Sécurité industrielle et sécurité face aux actes malveillants ne peuvent plus être gérées séparément. Pour autant, leur intégration ne va pas de soi car elles reposent sur des hypothèses différentes concernant les causes des événements, le rôle de l’information, les responsabilités des acteurs et les méthodes d’analyse des risques.  
Cet article montre comment l’introduction de la loi sur la sécurité nationale en Norvège a remodelé les logiques de gestion des risques existantes dans le secteur pétrolier norvégien, mettant en lumière les arbitrages entre sécurité technique et sûreté, ainsi que les dilemmes réglementaires qui en découlent. 
Ces enjeux sont en partie traités grâce à un modèle polycentrique d’autorégulation encadrée, combinant des normes juridiquement contraignantes, des standards industriels et des systèmes de contrôle interne. Toutefois, cette évolution redistribue les responsabilités entre acteurs publics et privés, soulevant des défis en matière de reddition de comptes, de coordination et de pertinence des pratiques d’évaluation des risques.

Trois recommandations clés en découlent

Premièrement, les régulateurs devraient renforcer l’obligation d’expliquer, de justifier et de répondre de ses actes devant une autorité ou devant le public (on parle d’accountability, ou de « reddition de comptes ») au sein des régimes fondés sur l’analyse des risques en clarifiant la répartition des responsabilités entre les autorités étatiques et les acteurs de l’industrie, notamment en matière de sûreté. Cela implique de définir des attentes plus claires concernant les systèmes de contrôle interne, de renforcer les capacités de supervision et de garantir que les évaluations des risques et les mesures d’atténuation fassent l’objet de vérifications et d’audits systématiques.

Deuxièmement, les cadres de gouvernance devraient institutionnaliser des mécanismes de coordination adaptative et de partage d’informations favorisant une collaboration efficace entre les acteurs, tout en conciliant les exigences de transparence et de confidentialité. Cela peut passer par la mise en place d’espaces de coordination, l’élaboration de protocoles de partage d’informations gradué et l’implication significative des parties prenantes clés — y compris les travailleurs et leurs représentants — dans le dialogue sur la sûreté, sans pour autant compromettre la confidentialité des informations sensibles.

Troisièmement, les régulateurs et l’industrie devraient promouvoir des méthodologies intégrées d’évaluation des risques qui reflètent mieux la nature combinée des risques liés à la sécurité technique et à la sûreté. Il s’agit notamment de compléter les approches probabilistes par des méthodes fondées sur l’incertitude et l’analyse de scénarios, de privilégier des perspectives systémiques et d’investir dans le renforcement des compétences pour permettre aux organisations de mener et d’interpréter concrètement ces analyses.

Bien qu’ancrées dans le secteur pétrolier norvégien, ces recommandations présentent un intérêt plus large pour les régimes réglementaires confrontés à des transitions similaires. Dans les industries à haut risque, caractérisées par une répartition croissante des responsabilités et une évolution des menaces, une gouvernance efficace repose sur l’alignement des structures de reddition de comptes, le renforcement de la coordination et le développement d’outils analytiques capables de traiter des risques complexes et interconnectés.