An introduction to incremental safety

Notre synthèse

Erik Hollnagel, toujours très prolixe dans les métaphores qui ont marqué les esprits dans la gestion de la sécurité, nous propose un nouveau cadrage et un nouveau buzzword pour nous guider sur le chemin de ce qu’il recommande en matière de sécurité.

Ce chemin comprend trois constats : 

• reformuler les mauvaises compréhensions de Safety I et Safety II
• abandonner les concepts vides de toute opérationnalité (comme la culture de sécurité)
• et penser la résilience dans une logique incrémentale.

Ainsi, naît un nouveau concept cadre : la sécurité incrémentale.

Premier constat (amer pour l’auteur) : corriger les multiples mauvaises compréhensions installées autour du buzzword précédent de Safety I et Safety II

Avec le recul, les termes « Sécurité I » et « Sécurité II » (Safety I -Safety II) ont alimenté la confusion quant à l’existence éventuelle de plusieurs types de sécurité. Cette confusion a même incité certains (Leveson, 2020), (Aven, 2022) et (Cooper, 2022) à conclure à tort qu’il pourrait également exister une « Sécurité III ».

Être en sécurité signifie donc être à l’abri ou protégé contre tout préjudice ou blessure, qu’il soit réel (survenant ici et maintenant) ou potentiel (susceptible de survenir à un moment donné dans un avenir prévisible).

La bonne lecture est que Safety I et Safety II représentent différentes façons d’atteindre cet état de sécurité, plutôt que différentes définitions de la sécurité. 

Dans cette logique, Safety I correspond à une approche décrémentale (Hollnagel, 2026), dans laquelle il y a le moins possible de résultats inattendus et inacceptables et à laquelle est accolée, ainsi qu’Erik Hollnagel le rappelle, une vision populaire mais totalement irréaliste du zéro accident.

Safety II recherche un état de sécurité défini comme un état dans lequel il y a autant de résultats attendus et acceptables que possible, d’où une approche incrémentale, correspondant à une culture de sécurité incrémentale. Et Erik Hollnagel de rappeler aussi que la sécurité incrémentale implique l’idéal, tout aussi inaccessible, que tout se passe bien.

Erik Hollnagel insiste donc sur le fait que les deux approches sont bien sûr complémentaires et non antagonistes.

Second constat : sortir du vide conceptuel installé avec le concept de culture de sécurité

La culture de sécurité est un produit utile pour expliquer des problèmes qu’on n’explique plus par l’erreur et les défauts techniques.

L’auteur nous rappelle que le concept est né avec les grandes catastrophes des années 80 (TMI, Bhopal, Challenger…) pour lesquelles les causes « habituelles » (erreur humaine, erreur technique) n’apparaissaient plus suffisantes pour expliquer la survenue de l’accident. Ces catastrophes ont marqué le début de la troisième ère de la sécurité, celle de la gestion de la sécurité, où les défaillances organisationnelles sont devenues l’explication par défaut des accidents.

Rappelons ici que trouver des (nouvelles) causes (explications) aux accidents pour les supprimer renvoie aux travaux historiques d’Heinrich fondés sur trois idées clés :

1. Un résultat peut toujours être attribué à une cause spécifique ;
2. Il est possible de trouver ou de déterminer quelle était ou est cette cause (à condition de recueillir suffisamment de données et d’y consacrer suffisamment de temps et d’efforts) ;
3. L’élimination de la cause empêchera efficacement le résultat de se reproduire.

Pour opérationnaliser la culture de sécurité dans l’entreprise, et s’en servir utilement d’explication, il faudrait, selon Hollnagel, posséder trois types de connaissances :

Erik Hollnagel constate qu’aucun de ces trois objectifs ne peut être atteint en faisant appel à la culture de sécurité comme clé d’explication des accidents.

• Connaître sa position est impossible. 

La sécurité, comme le risque, est une construction sociale (Searle, 1992). Elle représente un ensemble d’idées partagées par un certain nombre de personnes.  La vérité, la confiance et la résilience sont d’autres exemples courants de constructions sociales, car elles n’ont aucune réalité physique évidente. Une construction sociale ne peut être ni mesurée ni comptée. Il n’existe tout simplement aucune unité de mesure de la sécurité, ni de la culture de sécurité, et aucune échelle pertinente n’est concevable. Il y a aussi une autre raison : le paradoxe selon lequel la sécurité est définie par son absence, plutôt que par ce qui se passe lorsqu’elle est présente, comme l’a souligné James Reason. Ainsi, lorsqu’un accident survient, les gens sont prompts à conclure qu’il est dû à un manque de sécurité ou à un manque de culture de sécurité. Or, il est évidemment impossible de mesurer quelque chose qui n’existe pas.

• Gérer la trajectoire que l’on veut imposer à la culture de sécurité est une illusion.  

• On n’a souvent que la connaissance de ce que l’on ne veut pas, et les moyens sont largement absents pour « piloter » la culture. Autant pour les déplacements physiques.

Autant pour les déplacements physiques, comme conduire une voiture sur l’autoroute, on sait bien contrôler la vitesse et la direction car les moyens nécessaires ont été conçus pour être faciles à utiliser, autant rien de comparable n’existe pour un voyage axé sur la culture de sécurité. Les courbes de maturité de la culture de sécurité (l’exemple de la courbe DuPont Bradley) reflètent des jugements sociaux plutôt que des critères opérationnels. Aucune entreprise ne mesure en continu le taux d’accidents du travail qu’elle est censée représenter. Il n’existe pas non plus de seuil ni de limite inférieure ou supérieure pour les quatre stades de maturité proposés. Pour Hollnagel, il s’agit simplement de représentations graphiques attrayantes de l’idée répandue selon laquelle la culture de sécurité évolue en plusieurs phases distinctes, mais aucune d’elles ne prend en charge les trois types de connaissances sus citées.

Enfin, la simplicité reste l’ennemi de la réalité en matière de pilotage de la culture. Quelle que soit la maturité de la culture de sécurité, elle demeure un phénomène multiforme qui ne peut être provoqué et géré par des moyens simples, comme le leadership. Des problèmes triviaux ou simples peuvent éventuellement avoir des solutions triviales ou simples, mais des problèmes non triviaux ou complexes, comme la maturité de la culture de sécurité, nécessitent invariablement des solutions non triviales ou complexes. Proposer une solution simple, comme le leadership, à un problème complexe, comme la maturité de la culture de sécurité, ne simplifie pas le problème comme par magie ; cela garantit simplement que la solution ne fonctionnera pas.

Si l’on devait malgré tout garder le concept de culture de sécurité, il faudrait préférer l’apport d’une culture incrémentale à celui d’une culture décrémentale.

Si la sécurité décrémentale et la sécurité incrémentale désignent les différentes approches visant à atteindre un état de sécurité « où les résultats inattendus et inacceptables sont aussi réduits que possible », les cultures de sécurité décrémentale et incrémentale désignent l’ensemble correspondant d’artefacts, d’hypothèses et de valeurs qui, selon Schein (1992), constituent une culture organisationnelle. Chacune de ces deux cultures pourrait être caractérisée par quelques points clés : 

• Pour une culture de sécurité décrémentale, il est important de se concentrer constamment sur les résultats inacceptables, comptabiliser le nombre d’échecs et de résultats infructueux et les publier largement ; se préoccuper des problèmes potentiels à l’avenir, enquêter sur les événements de la manière la plus simple possible, privilégier systématiquement la rigueur à l’efficacité et ne pas chercher à communiquer ou à confirmer les enseignements tirés. En cas de problème, on blâme les personnes impliquées en première ligne.
• Pour développer une culture de sécurité incrémentale, progressive, il est important de faire très différemment : assurer et soutenir un état d’esprit visionnaire – c’est-à-dire l’attitude selon laquelle, avec diligence, chaque action peut en principe conduire à des résultats acceptables. Les travaux réussis doivent être remarqués et répétés : chacun doit s’efforcer de se souvenir de ce qu’il a fait et de le partager avec ses collègues. L’apprentissage porte sur ce qui doit être fait, plutôt que sur ce qui ne doit pas être fait. Le management doit utiliser des messages clairs et encourager un esprit d’initiative commun. Il ne faut pas avoir peur d’essayer de nouvelles solutions, ni oublier d’en informer les autres afin qu’ils sachent à quoi s’attendre. Il faut être rigoureux, agir toujours en fonction des conditions et s’efforcer d’optimiser les ressources et les opportunités et encourager les échanges et le feedback interpersonnels.

Troisième constat : si l’on abandonne le concept de culture de sécurité, la résilience est la seule alternative à rechercher

Pour Erik Hollnagel, la seule alternative viable au concept de maturité de la culture de sécurité est la résilience, définie non pas comme une qualité en soi, mais comme un type de performance caractéristique : « Un système résilient se définit par sa capacité à ajuster efficacement son fonctionnement avant ou après des changements et des perturbations, afin de pouvoir continuer à fonctionner après une perturbation ou un incident majeur, et en présence de contraintes continues. » (Hollnagel, 2008). La résilience va ainsi bien au-delà de la simple capacité à surmonter la fragilité et à s’étendre harmonieusement. 

Elle repose sur quatre capacités/piliers systémiques :

La conclusion, en forme de conseil de sage de l’auteur

Au-delà de la maturité de la culture de sécurité, il est logique, tant sur le plan pratique qu’éthique, pour la plupart des entreprises d’améliorer leur sécurité, définie comme « un état où les conséquences inattendues et inacceptables sont aussi réduites que possible ». La solution consiste à examiner de plus près les quatre potentiels systémiques décrits ci-dessus et à développer des moyens de les développer, non pas individuellement, mais globalement.

L’approche globale, fondée sur les quatre potentiels systémiques, et donc sur une culture de sécurité progressive, fournit les trois types de connaissances décrits ci-dessus.