Cet article traite des risques "machines", ceux qui sont spécifiques aux équipements et matériels utilisés dans les processus industriels associés aux appareils sous pression, aux équipements de traitement, aux machines puissantes et autres opérations intrinsèquement risquées. Cet article ne traite pas des risques pour les travailleurs, qui impliquent les actions et le comportement des individus, tels que les glissades sur les surfaces de travail, les chutes d'élévations et les risques liés à l'utilisation d'outils ordinaires. Cet article porte sur les risques liés aux machines, caractéristiques d'un environnement de travail industriel. Ces dangers menaçant toutes les personnes présentes et pouvant même constituer une menace pour le voisinage et l'environnement extérieur, les méthodes d'analyse et les moyens de prévention et de contrôle sont similaires aux méthodes utilisées pour faire face aux risques pour l'environnement liés aux activités industrielles.

Risques liés aux machines

Un matériel de bonne qualité est très fiable et la plupart des pannes sont causées par des effets secondaires comme le feu, la corrosion, une mauvaise utilisation, etc. Néanmoins, le matériel peut être mis en évidence dans certains accidents, car un composant matériel défaillant est souvent le maillon le plus visible ou le plus visible de la chaîne d'événements. Bien que le terme matériel est utilisé au sens large, des exemples illustratifs de défaillances matérielles et de leur « environnement » immédiat dans la cause des accidents ont été tirés de lieux de travail industriels. Les candidats typiques pour l'investigation des dangers de la "machine" incluent, mais sans s'y limiter, les éléments suivants :

• récipients sous pression et tuyaux

• moteurs, moteurs, turbines et autres machines tournantes

• réacteurs chimiques et nucléaires

• échafaudages, ponts, etc.

• lasers et autres radiateurs d'énergie

• machines de coupe et de forage, etc.

• poste à souder.

Effets de l'énergie

Les risques matériels peuvent inclure une mauvaise utilisation, des erreurs de construction ou une surcharge fréquente, et par conséquent leur analyse et leur atténuation ou leur prévention peuvent suivre des directions assez différentes. Cependant, les formes d'énergie physiques et chimiques qui échappent au contrôle humain existent souvent au cœur des risques matériels. Par conséquent, une méthode très générale pour identifier les risques matériels consiste à rechercher les énergies qui sont normalement contrôlées avec l'équipement ou la machine, comme un récipient sous pression contenant de l'ammoniac ou du chlore. D'autres méthodes utilisent l'objectif ou la fonction prévue du matériel réel comme point de départ, puis recherchent les effets probables des dysfonctionnements et des pannes. Par exemple, un pont ne remplissant pas sa fonction première exposera les sujets se trouvant sur le pont au risque de tomber ; les autres effets de l'effondrement d'un pont seront les effets secondaires de la chute d'éléments, soit des parties structurelles du pont, soit des objets situés sur le pont. Plus loin dans la chaîne des conséquences, il peut y avoir des effets dérivés liés aux fonctions dans d'autres parties du système qui dépendaient du bon fonctionnement du pont, comme l'interruption de la circulation des véhicules d'intervention d'urgence à un autre incident.

Outre les concepts d'"énergie contrôlée" et de "fonction prévue", les substances dangereuses doivent être abordées en posant des questions telles que : "Comment l'agent X pourrait-il être libéré des navires, des réservoirs ou des systèmes de canalisations et comment l'agent Y pourrait-il être produit ?" (l'un ou l'autre ou les deux peuvent être dangereux). L'agent X peut être un gaz sous pression ou un solvant, et l'agent Y peut être une dioxine extrêmement toxique dont la formation est favorisée par les "bonnes" températures de certains processus chimiques, ou il peut être produit par une oxydation rapide, à la suite d'un incendie. . Cependant, les dangers possibles représentent bien plus que les risques liés aux substances dangereuses. Des conditions ou des influences peuvent exister qui permettent à la présence d'un élément matériel particulier d'avoir des conséquences néfastes pour l'homme.

Environnement de travail industriel

Les risques liés aux machines impliquent également des facteurs de charge ou de stress qui peuvent être dangereux à long terme, tels que :

• températures de travail extrêmes

• intensités élevées de lumière, de bruit ou d'autres stimuli

• qualité de l'air inférieure

• exigences ou charges de travail extrêmes.

Ces dangers peuvent être reconnus et des précautions prises parce que les conditions dangereuses sont déjà là. Ils ne dépendent pas d'un changement structurel dans le matériel pour se produire et produire un résultat nuisible, ou d'un événement spécial pour causer des dommages ou des blessures. Les dangers à long terme ont également des sources spécifiques dans l'environnement de travail, mais ils doivent être identifiés et évalués en observant les travailleurs et les emplois, au lieu de simplement analyser la construction et les fonctions du matériel.

Matériel dangereux ou risques liés aux machines sont généralement exceptionnels et plutôt rares dans un environnement de travail sain, mais ne peuvent être complètement évités. Plusieurs types d'énergie non contrôlée, tels que les agents de risque suivants, peut être la conséquence immédiate d'un dysfonctionnement matériel :

• rejets nocifs de gaz, liquides, poussières ou autres substances dangereuses

• incendie et explosion

• hautes tensions

• chutes d'objets, missiles, etc.

• champs électriques et magnétiques

• coupe, piégeage, etc.

• déplacement d'oxygène

• rayonnement nucléaire, rayons X et lumière laser

• inondation ou noyade

• jets de liquide chaud ou de vapeur.

Agents de risque

Objets en mouvement. Les chutes et les vols d'objets, les écoulements de liquide et les jets de liquide ou de vapeur, tels que répertoriés, sont souvent les premières conséquences externes d'une défaillance matérielle ou d'équipement, et ils représentent une grande partie des accidents.

Substances chimiques. Les risques chimiques contribuent également aux accidents du travail et affectent l'environnement et le public. Les accidents de Seveso et de Bhopal ont entraîné des rejets de produits chimiques qui ont touché de nombreux membres du public, et de nombreux incendies et explosions industriels libèrent des produits chimiques et des fumées dans l'atmosphère. Les accidents de la circulation impliquant des camions de livraison d'essence ou de produits chimiques ou d'autres transports de marchandises dangereuses associent deux agents de risque - les objets en mouvement et les substances chimiques.

L'énergie électromagnétique. Les champs électriques et magnétiques, les rayons X et les rayons gamma sont tous des manifestations de l'électromagnétisme, mais sont souvent traités séparément car ils se produisent dans des circonstances assez différentes. Cependant, les dangers de l'électromagnétisme présentent certains traits généraux : les champs et les rayonnements pénètrent dans le corps humain au lieu de simplement entrer en contact avec la zone d'application, et ils ne peuvent pas être détectés directement, bien que de très grandes intensités provoquent un échauffement des parties du corps affectées. Les champs magnétiques sont créés par la circulation du courant électrique et des champs magnétiques intenses se trouvent à proximité de gros moteurs électriques, d'équipements de soudage à l'arc électrique, d'appareils d'électrolyse, de métallurgie, etc. Les champs électriques accompagnent la tension électrique, et même les tensions de secteur ordinaires de 200 à 300 volts provoquent l'accumulation de saleté pendant plusieurs années, signe visible de l'existence du champ, effet également connu en relation avec les lignes électriques à haute tension, les tubes image TV , écrans d'ordinateur et ainsi de suite.

Les champs électromagnétiques se trouvent généralement assez près de leurs sources, mais les champs électromagnétiques radiation est un voyageur au long cours, comme en témoignent les radars et les ondes radio. Le rayonnement électromagnétique est diffusé, réfléchi et amorti lorsqu'il traverse l'espace et rencontre des objets intermédiaires, des surfaces, différentes substances et atmosphères, etc. son intensité est donc réduite de plusieurs manières.

Le caractère général des sources de danger électromagnétique (EM) est :

• Des instruments sont nécessaires pour détecter la présence de champs EM ou de rayonnement EM.

• EM ne laisse pas de traces primaires sous forme de « contamination ».

• Les effets dangereux sont généralement retardés ou à long terme, mais des brûlures immédiates sont causées dans les cas graves.

• Les rayons X et les rayons gamma sont atténués, mais pas arrêtés, par le plomb et d'autres éléments lourds.

• Les champs magnétiques et les rayons X sont arrêtés immédiatement lorsque la source est mise hors tension ou que l'équipement est éteint.

• Les champs électriques peuvent survivre pendant de longues périodes après l'arrêt des systèmes de production.

• Les rayons gamma proviennent de processus nucléaires et ces sources de rayonnement ne peuvent pas être désactivées comme le peuvent de nombreuses sources électromagnétiques.

Radiation nucléaire. Les risques associés aux rayonnements nucléaires préoccupent particulièrement les travailleurs des centrales nucléaires et des usines travaillant avec des matières nucléaires telles que la fabrication de combustible et le retraitement, le transport et le stockage de matières radioactives. Les sources de rayonnement nucléaire sont également utilisées en médecine et par certaines industries pour la mesure et le contrôle. L'une des utilisations les plus courantes concerne les alarmes incendie/détecteurs de fumée, qui utilisent un émetteur de particules alpha comme l'américium pour surveiller l'atmosphère.

Les risques nucléaires sont principalement centrés sur cinq facteurs :

• rayons gamma

• les neutrons

• particules bêta (électrons)

• particules alpha (noyaux d'hélium)

• contamination.

Les dangers proviennent de la radioactif processus de fission nucléaire et de désintégration de matières radioactives. Ce type de rayonnement est émis par les processus du réacteur, le combustible du réacteur, les matériaux du modérateur du réacteur, les produits de fission gazeux qui peuvent être développés et certains matériaux de construction qui deviennent activés par l'exposition aux émissions radioactives résultant du fonctionnement du réacteur.

Autres agents de risque. Les autres classes d'agents de risque qui libèrent ou émettent de l'énergie comprennent :

• Rayonnement UV et lumière laser

• infrason

• son à haute intensité

• vibration.

Déclenchement des aléas matériels

Les deux soudain et graduel le passage d'un état contrôlé - ou « sûr » à un état présentant un danger accru peut se produire dans les circonstances suivantes, qui peuvent être contrôlées par des moyens organisationnels appropriés tels que l'expérience de l'utilisateur, l'éducation, les compétences, la surveillance et les tests d'équipement :

• usure et surcharge

• impact externe (incendie ou choc)

• vieillissement et échec

• mauvais approvisionnement (énergie, matières premières)

• entretien et réparation insuffisants

• erreur de commande ou de processus

• mauvaise utilisation ou mauvaise application

• panne matérielle

• dysfonctionnement de la barrière.

Étant donné que des opérations appropriées ne peuvent pas compenser de manière fiable une conception et une installation incorrectes, il est important de considérer l'ensemble du processus, de la sélection et de la conception à l'installation, l'utilisation, la maintenance et les tests, afin d'évaluer l'état et les conditions réels de l'élément matériel.

Cas de danger : le réservoir de gaz sous pression

Le gaz peut être contenu dans des récipients appropriés pour le stockage ou le transport, comme les bouteilles de gaz et d'oxygène utilisées par les soudeurs. Souvent, le gaz est manipulé à haute pression, ce qui permet une forte augmentation de la capacité de stockage, mais avec un risque d'accident plus élevé. Le phénomène accidentel clé dans le stockage de gaz sous pression est la création brutale d'un trou dans le réservoir, avec ces résultats :

• la fonction de confinement du réservoir cesse

• le gaz confiné obtient un accès immédiat à l'atmosphère environnante.

Le développement d'un tel accident dépend de ces facteurs:

• le type et la quantité de gaz dans le réservoir

• la situation du trou par rapport au contenu de la cuve

• la taille initiale et le taux de croissance ultérieur du trou

• la température et la pression du gaz et de l'équipement

• les conditions de l'environnement immédiat (sources d'inflammation, personnes, etc.).

Le contenu du réservoir peut être libéré presque immédiatement ou sur une période de temps, et entraîner différents scénarios, de l'éclatement de gaz libre d'un réservoir rompu à des rejets modérés et plutôt lents à partir de petites perforations.

Le comportement de divers gaz en cas de fuite

Lors du développement de modèles de calcul des rejets, il est très important de déterminer les conditions suivantes affectant le comportement potentiel du système :

• la phase gazeuse derrière le trou (gazeuse ou liquide ?)

• conditions de température et de vent

• l'éventuelle entrée d'autres substances dans le système ou leur éventuelle présence dans son environnement

• barrières et autres obstacles.

Les calculs exacts relatifs à un processus de libération où le gaz liquéfié s'échappe d'un trou sous forme de jet puis s'évapore (ou alternativement, devient d'abord un brouillard de gouttelettes) sont difficiles. La spécification de la dispersion ultérieure des nuages ​​résultants est également un problème difficile. Il faut tenir compte des mouvements et de la dispersion des rejets de gaz, si le gaz forme des nuages ​​visibles ou invisibles et si le gaz monte ou reste au niveau du sol.

Alors que l'hydrogène est un gaz léger par rapport à n'importe quelle atmosphère, le gaz ammoniac (NH₃, avec un poids moléculaire de 17.0) s'élèvera dans une atmosphère ordinaire d'oxygène et d'azote, semblable à l'air, à la même température et à la même pression. Chlore (Cl₂, avec un poids moléculaire de 70.9) et le butane (C₄H₁₀, mol. wt.58) sont des exemples de produits chimiques dont les phases gazeuses sont plus denses que l'air, même à température ambiante. Acétylène (C₂H₂, mol. poids 26.0) a une densité d'environ 0.90 g/l, se rapprochant de celle de l'air (1.0 g/l), ce qui signifie que dans un environnement de travail, le gaz de soudage qui fuit n'aura pas une tendance prononcée à flotter vers le haut ou à couler vers le bas ; il peut donc se mélanger facilement à l'atmosphère.

Mais l'ammoniac libéré d'un récipient sous pression sous forme liquide va d'abord se refroidir du fait de son évaporation, et peut ensuite s'échapper en plusieurs étapes :

• L'ammoniac liquide sous pression émane du trou dans le réservoir sous forme de jet ou de nuage.

• Des mers d'ammoniac liquide peuvent se former sur les surfaces les plus proches.

• L'ammoniac s'évapore, se refroidissant ainsi lui-même et l'environnement proche.

• Le gaz ammoniac échange progressivement de la chaleur avec l'environnement et s'équilibre avec les températures ambiantes.

Même un nuage de gaz léger peut ne pas s'élever immédiatement à partir d'un dégagement de gaz liquide ; il peut d'abord former un brouillard - un nuage de gouttelettes - et rester près du sol. Le mouvement du nuage de gaz et son mélange/dilution progressif avec l'atmosphère environnante dépendent des paramètres météorologiques et du milieu environnant : zone fermée, zone ouverte, habitations, circulation, présence du public, des travailleurs, etc.

Échec du réservoir

Les conséquences d'une panne de réservoir peuvent entraîner un incendie et une explosion, une asphyxie, un empoisonnement et un étouffement, comme le montre l'expérience avec les systèmes de production et de traitement de gaz (propane, méthane, azote, hydrogène, etc.), avec les réservoirs d'ammoniac ou de chlore et avec le soudage au gaz ( utilisant de l'acétylène et de l'oxygène). Ce qui déclenche réellement la formation d'un trou dans un réservoir a une forte influence sur le « comportement » du trou - qui à son tour influence la sortie de gaz - et est crucial pour l'efficacité des efforts de prévention. Un récipient sous pression est conçu et construit pour résister à certaines conditions d'utilisation et à l'impact environnemental, et pour manipuler un certain gaz, ou peut-être un choix de gaz. Les capacités réelles d'un réservoir dépendent de sa forme, de ses matériaux, de ses soudures, de sa protection, de son utilisation et de son climat ; par conséquent, l'évaluation de son adéquation en tant que conteneur pour gaz dangereux doit tenir compte des spécifications du concepteur, de l'historique du réservoir, des inspections et des tests. Les zones critiques comprennent les cordons de soudure utilisés sur la plupart des récipients sous pression ; les points où les accessoires tels que les entrées, les sorties, les supports et les instruments sont connectés au navire ; les fonds plats des réservoirs cylindriques comme les réservoirs de chemin de fer ; et d'autres aspects de formes géométriques encore moins optimales.

Les cordons de soudure sont examinés visuellement, par rayons X ou par test destructif d'échantillons, car ceux-ci peuvent révéler des défauts locaux, par exemple, sous la forme d'une résistance réduite qui pourrait mettre en danger la résistance globale du navire, ou même être un point de déclenchement pour réservoir aigu échec.

La résistance du réservoir est affectée par l'historique d'utilisation du réservoir - tout d'abord par les processus d'usure normaux et les attaques de rayures et de corrosion typiques de l'industrie particulière et de l'application. D'autres paramètres historiques d'intérêt particulier comprennent :

• surpression occasionnelle

• chauffage ou refroidissement extrême (interne ou externe)

• impacts mécaniques

• vibration et stress

• substances qui ont été stockées ou qui ont traversé la citerne

• substances utilisées lors du nettoyage, de l'entretien et de la réparation.

Le matériau de construction - tôle d'acier, tôle d'aluminium, béton pour les applications non pressurisées, etc. - peut subir une détérioration sous l'effet de ces influences qu'il n'est pas toujours possible de vérifier sans surcharger ou détruire l'équipement pendant les essais.

Cas d'accident : Flixborough

L'explosion d'un grand nuage de cyclohexane à Flixborough (Royaume-Uni) en 1974, qui a tué 28 personnes et causé d'importants dégâts aux plantes, est un cas très instructif. L'événement déclencheur est la rupture d'une canalisation temporaire servant de substitut dans un bloc réacteur. L'accident a été "causé" par la panne d'une pièce de quincaillerie, mais une enquête plus approfondie a révélé que la panne résultait d'une surcharge et que la construction temporaire était en fait inadéquate pour l'usage auquel elle était destinée. Après deux mois de service, la conduite a été exposée à des efforts de flexion dus à une légère montée en pression de 10 bars (10⁶ Pa) teneur en cyclohexane à environ 150°C. Les deux soufflets entre la conduite et les réacteurs voisins se sont rompus et 30 à 50 tonnes de cyclohexane ont été libérées et bientôt enflammées, probablement par un four à une certaine distance de la fuite. (Voir figure 1.) Un compte rendu très lisible du cas se trouve dans Kletz (1988).

Figure 1. Connexion temporaire entre les réservoirs à Flixborough

Analyse des dangers

Les méthodes qui ont été développées pour trouver les risques qui peuvent être pertinents pour un équipement, un procédé chimique ou une certaine opération sont appelées « analyse des dangers ». Ces méthodes posent des questions telles que : « Qu'est-ce qui peut mal tourner ? » "Est-ce que ça pourrait être grave ?" et "Que peut-on faire à ce sujet?" Différentes méthodes d'exécution des analyses sont souvent combinées pour obtenir une couverture raisonnable, mais aucune de ces méthodes ne peut faire plus que guider ou assister une équipe d'analystes avisés dans leurs déterminations. Les principales difficultés de l'analyse des dangers sont les suivantes :

• disponibilité des données pertinentes

• limites des modèles et des calculs

• matériaux, constructions et processus nouveaux et inconnus

• complexité du système

• les limites de l'imagination humaine

• limitations des tests pratiques.

Pour produire des évaluations de risques utilisables dans ces circonstances, il est important de définir rigoureusement la portée et le niveau « d'ambition » appropriés à l'analyse en cours ; par exemple, il est clair que l'on n'a pas besoin du même type d'informations à des fins d'assurance qu'à des fins de conception, ou pour la planification de systèmes de protection et la construction de dispositifs d'urgence. D'une manière générale, l'image du risque doit être complétée en mélangeant des techniques empiriques (c'est-à-dire des statistiques) avec un raisonnement déductif et une imagination créatrice.

Différents outils d'évaluation des risques - même des programmes informatiques pour l'analyse des risques - peuvent être très utiles. L'étude des dangers et de l'opérabilité (HAZOP) et l'analyse des modes de défaillance et de leurs effets (FMEA) sont des méthodes couramment utilisées pour étudier les dangers, en particulier dans l'industrie chimique. Le point de départ de la méthode HAZOP est le traçage des scénarios de risques possibles sur la base d'un ensemble de mots guides ; pour chaque scénario, il faut identifier les causes et les conséquences probables. Dans une deuxième étape, on cherche à trouver des moyens pour réduire les probabilités ou atténuer les conséquences de ces scénarios jugés inacceptables. Une revue de la méthode HAZOP peut être trouvée dans Charsley (1995). La méthode AMDE pose une série de questions « et si » pour chaque composant de risque possible afin de déterminer de manière approfondie les modes de défaillance pouvant exister, puis d'identifier les effets qu'ils peuvent avoir sur les performances du système ; une telle analyse sera illustrée dans l'exemple de démonstration (pour un système à gaz) présenté plus loin dans cet article.

Arbres de défaillances et les arbres d'événements et les modes d'analyse logique propres aux structures de causalité des accidents et au raisonnement probabiliste ne sont en rien spécifiques à l'analyse des aléas matériels, car ce sont des outils généraux d'évaluation des risques système.

Traçage des dangers matériels dans une installation industrielle

Pour identifier les dangers possibles, des informations sur la construction et la fonction peuvent être recherchées auprès de :

• équipement et usine réels

• substituts et modèles

• dessins, schémas électriques, schémas tuyauterie et instrumentation (P/I), etc.

• descriptions de processus

• schémas de contrôle

• modes et phases de fonctionnement

• ordres de travail, ordres de modification, rapports de maintenance, etc.

En sélectionnant et en assimilant ces informations, les analystes se forment une image de l'objet à risque lui-même, de ses fonctions et de son utilisation réelle. Là où les choses ne sont pas encore construites - ou indisponibles pour inspection - des observations importantes ne peuvent pas être faites et l'évaluation doit être entièrement basée sur des descriptions, des intentions et des plans. Une telle évaluation peut sembler plutôt médiocre, mais en fait, la plupart des évaluations pratiques des risques sont faites de cette façon, soit afin d'obtenir une approbation faisant autorité pour les demandes d'entreprendre une nouvelle construction, soit pour comparer la sécurité relative des solutions de conception alternatives. Les processus de la vie réelle seront consultés pour les informations qui ne figurent pas sur les diagrammes formels ou qui ne sont pas décrites verbalement lors d'un entretien, et pour vérifier que les informations recueillies à partir de ces sources sont factuelles et représentent les conditions réelles. Il s'agit notamment des éléments suivants :

• pratique et culture réelles

• mécanismes de défaillance supplémentaires/détails de construction

• "chemins furtifs" (voir ci-dessous)

• causes d'erreur courantes

• risques provenant de sources externes/missiles

• expositions ou conséquences particulières

• incidents passés, accidents et accidents évités de justesse.

La plupart de ces informations supplémentaires, en particulier les chemins sournois, ne sont détectables que par des observateurs créatifs et compétents possédant une expérience considérable, et certaines informations seraient presque impossibles à retracer avec des cartes et des diagrammes. Chemins furtifs désignent des interactions involontaires et imprévues entre les systèmes, où le fonctionnement d'un système affecte l'état ou le fonctionnement d'un autre système par d'autres moyens que les fonctionnels. Cela se produit généralement lorsque des pièces fonctionnellement différentes sont situées les unes à côté des autres ou (par exemple) lorsqu'une substance qui fuit s'écoule sur l'équipement situé en dessous et provoque une panne. Un autre mode d'action d'un chemin sournois peut impliquer l'introduction de mauvaises substances ou pièces dans un système au moyen d'instruments ou d'outils pendant le fonctionnement ou la maintenance: les structures prévues et leurs fonctions prévues sont modifiées par les chemins sournois. Par pannes de mode commun l'une signifie que certaines conditions - comme une inondation, la foudre ou une panne de courant - peuvent perturber plusieurs systèmes à la fois, entraînant peut-être des pannes ou des accidents d'une ampleur inattendue. Généralement, on essaie d'éviter les effets de chemin sournois et les défaillances de mode commun grâce à des dispositions appropriées et en introduisant la distance, l'isolation et la diversité dans les opérations de travail.

Un cas d'analyse des risques : livraison de gaz d'un navire à un réservoir

La figure 2 montre un système de livraison de gaz d'un navire de transport à un réservoir de stockage. Une fuite peut apparaître n'importe où dans ce système : navire, ligne de transmission, réservoir ou ligne de sortie ; étant donné les deux réservoirs du réservoir, une fuite quelque part sur la ligne pourrait rester active pendant des heures.

Figure 2. Ligne de transmission pour la livraison de gaz liquide du navire au réservoir de stockage

Les composants les plus critiques du système sont les suivants :

• le réservoir de stockage

• le pipeline ou le tuyau entre le réservoir et le navire

• autres tuyaux, conduites, vannes et raccords

• la soupape de sécurité sur le réservoir de stockage

• les vannes d'arrêt d'urgence ESD 1 et 2.

Un réservoir de stockage avec un stock important de gaz liquide est mis en tête de cette liste, car il est difficile d'arrêter une fuite d'un réservoir à court terme. Le deuxième élément de la liste - la connexion au navire - est essentiel car des fuites dans le tuyau ou le tuyau et des connexions ou raccords desserrés avec des joints usés, et des variations entre différents navires, pourraient libérer du produit. Les pièces flexibles comme les tuyaux et les soufflets sont plus critiques que les pièces rigides et nécessitent un entretien et une inspection réguliers. Les dispositifs de sécurité comme la soupape de surpression sur le dessus du réservoir et les deux vannes d'arrêt d'urgence sont essentiels, car ils doivent être utilisés pour révéler des défaillances latentes ou en développement.

Jusqu'à présent, le classement des composants du système quant à leur importance par rapport à la fiabilité n'a été que de nature générale. Maintenant, à des fins d'analyse, l'attention sera attirée sur les fonctions particulières du système, la principale étant bien sûr le mouvement du gaz liquéfié du navire vers le réservoir de stockage jusqu'à ce que le réservoir du navire connecté soit vide. Le danger primordial est une fuite de gaz, les mécanismes contributifs possibles étant l'un ou plusieurs des suivants :

• raccords ou vannes qui fuient

• rupture de réservoir

• rupture de tuyau ou de flexible

• panne de réservoir.

Application de la méthode AMDE

L'idée centrale de l'approche AMDE, ou analyse "et si", est d'enregistrer explicitement, pour chaque composant du système, ses modes de défaillance, et pour chaque défaillance de trouver les conséquences possibles sur le système et sur l'environnement. Pour les composants standard tels qu'un réservoir, un tuyau, une vanne, une pompe, un débitmètre, etc., les modes de défaillance suivent des schémas généraux. Dans le cas d'une vanne, par exemple, les modes de défaillance peuvent inclure les conditions suivantes :

• La vanne ne peut pas se fermer sur demande (le débit est réduit à travers une vanne « ouverte »).

• La vanne fuit (il y a un débit résiduel à travers une vanne « fermée »).

• La vanne ne peut pas s'ouvrir sur demande (la position de la vanne oscille).

Pour un pipeline, les modes de défaillance prendraient en compte des éléments tels que :

• un débit réduit

• une fuite

• un débit arrêté en raison d'un blocage

• une rupture de ligne.

Les effets des fuites semblent évidents, mais parfois les effets les plus importants peuvent ne pas être les premiers effets : que se passe-t-il par exemple, si une vanne est bloquée en position semi-ouverte ? Une vanne tout ou rien dans la conduite de refoulement qui ne s'ouvre pas complètement à la demande retardera le processus de remplissage du réservoir, une conséquence non dangereuse. Mais si la condition "bloqué à moitié ouvert" survient en même temps qu'une demande de fermeture est faite, à un moment où le réservoir est presque plein, un remplissage excessif peut en résulter (à moins que la vanne d'arrêt d'urgence ne soit activée avec succès). Dans un système correctement conçu et exploité, la probabilité que ces deux vannes soient bloquées simultanément sera maintenu assez bas.

De toute évidence, une soupape de sécurité ne fonctionnant pas à la demande pourrait signifier un désastre ; en fait, on pourrait affirmer à juste titre que des défaillances latentes menacent en permanence tous les dispositifs de sécurité. Les soupapes de surpression, par exemple, peuvent être défectueuses en raison de la corrosion, de la saleté ou de la peinture (généralement en raison d'un mauvais entretien), et dans le cas du gaz liquide, de tels défauts, combinés à la baisse de température lors d'une fuite de gaz, pourraient produire de la glace et ainsi réduire ou peut-être arrêter le flux de matière à travers une soupape de sécurité. Si une soupape de surpression ne fonctionne pas à la demande, la pression peut s'accumuler dans un réservoir ou dans des systèmes de réservoirs connectés, provoquant éventuellement d'autres fuites ou la rupture du réservoir.

Pour simplifier, les instruments ne sont pas représentés sur la figure 2 ; il y aura bien sûr des instruments liés à la pression, au débit et à la température, qui sont des paramètres essentiels pour surveiller l'état du système, les signaux pertinents étant transmis aux pupitres opérateurs ou à une salle de contrôle à des fins de contrôle et de surveillance. En outre, il y aura des lignes d'alimentation autres que celles destinées au transport de matériaux - pour l'électricité, l'hydraulique, etc. - et des dispositifs de sécurité supplémentaires. Une analyse complète doit également passer par ces systèmes et rechercher les modes de défaillance et les effets de ces composants également. En particulier, le travail de détective sur les effets de mode commun et les chemins sournois nécessite de construire l'image intégrale des principaux composants du système, des commandes, des instruments, des fournitures, des opérateurs, des horaires de travail, de la maintenance, etc.

Des exemples d'effets de mode commun à prendre en compte dans le cadre des systèmes de gaz sont abordés par des questions telles que :

• Les signaux d'activation des vannes de refoulement et des vannes d'arrêt d'urgence sont-ils transmis sur une ligne commune (câble, voies de câblage) ?

• Deux vannes données partagent-elles la même ligne électrique ?

• L'entretien est-il effectué par la même personne selon un calendrier donné ?

Même un système parfaitement conçu avec une redondance et des lignes électriques indépendantes peut souffrir d'un entretien inférieur, où, par exemple, une vanne et sa vanne de secours (la vanne d'arrêt d'urgence dans notre cas) ont été laissées dans un mauvais état après un test. Un effet de mode commun prédominant avec un système de traitement de l'ammoniac est la situation de fuite elle-même : une fuite modérée peut rendre toutes les opérations manuelles sur les composants de l'usine plutôt gênantes - et retardées - en raison du déploiement de la protection d'urgence requise.

Résumé

Les composants matériels sont très rarement les coupables du développement d'accidents ; il y a plutôt causes profondes se retrouvent dans d'autres maillons de la chaîne : faux concepts, mauvaises conceptions, erreurs de maintenance, erreurs d'opérateur, erreurs de gestion, etc. Plusieurs exemples de conditions et d'actes spécifiques pouvant conduire au développement d'un échec ont déjà été donnés ; un large éventail de ces agents tiendrait compte des éléments suivants :

• collision

• corrosion, gravure

• charges excessives

• support défaillant et pièces vieillies ou usées

• travaux de soudure de mauvaise qualité

• missiles

• parties manquantes

• surchauffe ou refroidissement

• vibration

• mauvais matériau de construction utilisé.

Le contrôle des risques matériels dans un environnement de travail nécessite l'examen de toutes les causes possibles et le respect des conditions jugées critiques avec les systèmes réels. Les implications de ceci pour l'organisation des programmes de gestion des risques sont traitées dans d'autres articles, mais, comme la liste précédente l'indique clairement, la surveillance et le contrôle des conditions matérielles peuvent être nécessaires jusqu'au choix des concepts et des conceptions pour le systèmes et processus sélectionnés.

Retour

Grâce à l'industrialisation, les travailleurs se sont organisés en usines à mesure que l'utilisation de sources d'énergie telles que la machine à vapeur devenait possible. Par rapport à l'artisanat traditionnel, la production mécanisée, disposant de sources d'énergie plus élevées, présentait de nouveaux risques d'accidents. Au fur et à mesure que la quantité d'énergie augmentait, les travailleurs étaient soustraits au contrôle direct de ces énergies. Les décisions affectant la sécurité étaient souvent prises au niveau de la direction plutôt que par les personnes directement exposées à ces risques. A ce stade de l'industrialisation, la nécessité d'une gestion de la sécurité est devenue évidente.

À la fin des années 1920, Heinrich a formulé le premier cadre théorique complet pour la gestion de la sécurité, selon lequel la sécurité devrait être recherchée par des décisions de gestion fondées sur l'identification et l'analyse des causes d'accident. À ce stade du développement de la gestion de la sécurité, les accidents étaient attribués à des défaillances au niveau du système travailleur-machine, c'est-à-dire à des actes dangereux et à des conditions dangereuses.

Par la suite, diverses méthodologies ont été développées pour l'identification et l'évaluation des risques d'accident. Avec MORT (Management Oversight and Risk Tree), l'accent s'est déplacé vers les ordres supérieurs de contrôle des risques d'accident, c'est-à-dire vers le contrôle des conditions au niveau de la direction. L'initiative de développer le MORT a été prise à la fin des années 1960 par l'US Energy Research and Development Administration, qui souhaitait améliorer ses programmes de sécurité afin de réduire ses pertes dues aux accidents.

Le diagramme MORT et les principes sous-jacents

L'intention du MORT était de formuler un système de gestion de la sécurité idéal basé sur une synthèse des meilleurs éléments du programme de sécurité et des techniques de gestion de la sécurité alors disponibles. Comme les principes qui sous-tendent l'initiative MORT ont été appliqués à l'état actuel de l'art en matière de gestion de la sécurité, la littérature et l'expertise en matière de sécurité, en grande partie non structurées, ont pris la forme d'un arbre analytique. La première version de l'arbre a été publiée en 1971. La figure 1 montre les éléments de base de la version de l'arbre publiée par Johnson en 1980. L'arbre apparaît également sous une forme modifiée dans des publications ultérieures au sujet du concept MORT ( voir, par exemple, Knox et Eicher 1992).

Figure 1. Une version de l'arbre analytique MORT

Le diagramme MORT

MORT est utilisé comme un outil pratique dans les enquêtes sur les accidents et dans les évaluations des programmes de sécurité existants. L'événement du haut de l'arbre de la figure 1 (Johnson 1980) représente les pertes (expérimentées ou potentielles) dues à un accident. En dessous de cet événement principal se trouvent trois branches principales : omissions et omissions spécifiques (S), omissions et omissions de la direction (M) et risques assumés (R). Le branche R se compose de risques supposés, qui sont des événements et des conditions connus de la direction et qui ont été évalués et acceptés au niveau de direction approprié. D'autres événements et conditions qui sont révélés par les évaluations suivant les branches S et M sont notés "moins qu'adéquats" (LTA).

La branche en S se concentre sur les événements et les conditions de l'événement réel ou potentiel. (En général, le temps est indiqué de gauche à droite et la séquence des causes est indiquée de bas en haut.) Les stratégies de Haddon (1980) pour la prévention des accidents sont des éléments clés dans cette branche. Un événement est qualifié d'accident lorsqu'une cible (une personne ou un objet) est exposée à un transfert d'énergie incontrôlé et subit des dommages. Dans la branche S du MORT, les accidents sont évités grâce à des barrières. Il existe trois types de barrières de base : (1) les barrières qui entourent et confinent la source d'énergie (le danger), (2) les barrières qui protègent la cible et (3) les barrières qui séparent le danger et la cible physiquement ou dans le temps ou l'espace. . Ces différents types de barrières se retrouvent dans le développement des branches en dessous de l'événement accidentel. L'amélioration concerne les actions entreprises après l'accident pour limiter les pertes.

Au niveau suivant de la branche S, sont reconnus les facteurs liés aux différentes phases du cycle de vie d'un système industriel. Il s'agit de la phase projet (conception et planification), du démarrage (préparation opérationnelle) et de l'exploitation (supervision et maintenance).

La Branche M soutient un processus dans lequel les conclusions spécifiques d'une enquête sur un accident ou d'une évaluation d'un programme de sécurité sont rendues plus générales. Les événements et les conditions de la branche S ont donc souvent leurs homologues dans la branche M. Lorsqu'il est engagé avec le système au niveau de la branche M, la réflexion de l'analyste est étendue au système de gestion total. Ainsi, toute recommandation affectera également de nombreux autres scénarios d'accidents possibles. Les fonctions de gestion de la sécurité les plus importantes se trouvent dans la branche M : la définition de la politique, la mise en œuvre et le suivi. Ce sont les mêmes éléments de base que l'on retrouve dans les principes d'assurance qualité de la série ISO 9000 publiés par l'Organisation internationale de normalisation (ISO).

Lorsque les branches du diagramme MORT sont élaborées en détail, il y a des éléments provenant de domaines aussi différents que l'analyse des risques, l'analyse des facteurs humains, les systèmes d'information sur la sécurité et l'analyse organisationnelle. Au total, environ 1,500 XNUMX événements de base sont couverts par le diagramme MORT.

Application du diagramme MORT

Comme indiqué, le diagramme MORT a deux utilisations immédiates (Knox et Eicher 1992) : (1) analyser les facteurs de gestion et d'organisation relatifs à un accident survenu et (2) évaluer ou auditer un programme de sécurité en relation avec un accident significatif qui a le potentiel de se produire. Le diagramme MORT fonctionne comme un outil de sélection dans la planification des analyses et des évaluations. Il est également utilisé comme liste de contrôle pour la comparaison des conditions réelles avec le système idéalisé. Dans cette application, MORT facilite la vérification de l'exhaustivité de l'analyse et évite les préjugés personnels.

Au fond, MORT est composé d'un ensemble de questions. Les critères qui guident les jugements quant à savoir si des événements et des conditions spécifiques sont satisfaisants ou moins qu'adéquats sont dérivés de ces questions. Malgré la conception directive des questions, les jugements portés par l'analyste sont en partie subjectifs. Il est donc devenu important d'assurer une qualité et un degré d'intersubjectivité adéquats entre les analyses MORT faites par différents analystes. Par exemple, aux États-Unis, un programme de formation est disponible pour la certification des analystes MORT.

Expériences avec MORT

La littérature sur les évaluations de MORT est rare. Johnson signale des améliorations significatives dans l'exhaustivité des enquêtes sur les accidents après l'introduction du MORT (Johnson 1980). Des carences au niveau de la supervision et de la gestion ont été révélées plus systématiquement. L'expérience a également été acquise à partir des évaluations des applications MORT au sein de l'industrie finlandaise (Ruuhilehto 1993). Certaines limites ont été identifiées dans les études finlandaises. Le MORT ne prend pas en charge l'identification des risques immédiats dus aux pannes et aux perturbations. De plus, aucune capacité d'établir des priorités n'est intégrée au concept MORT. Par conséquent, les résultats des analyses MORT nécessitent une évaluation plus approfondie pour les traduire en actions correctives. Enfin, l'expérience montre que le MORT prend du temps et nécessite la participation d'experts.

Outre sa capacité à se concentrer sur les facteurs d'organisation et de gestion, MORT présente l'avantage supplémentaire de relier la sécurité aux activités normales de production et à la direction générale. L'application de MORT soutiendra ainsi la planification et le contrôle généraux et contribuera également à réduire la fréquence des perturbations de la production.

Méthodes et techniques de gestion de la sécurité associées

Avec l'introduction du concept MORT au début des années 1970, un programme de développement a démarré aux États-Unis. Le point focal de ce programme a été le Centre de développement de la sécurité du système à Idaho Falls. Différentes méthodes et techniques associées au MORT dans des domaines tels que l'analyse des facteurs humains, les systèmes d'information sur la sécurité et l'analyse de la sécurité ont résulté de ce programme. L'Operational Readiness Program (Nertney 1975) est un des premiers exemples d'une méthode issue du programme de développement MORT. Ce programme est introduit lors du développement de nouveaux systèmes industriels et des modifications de ceux existants. L'objectif est de s'assurer que, du point de vue de la gestion de la sécurité, le système nouveau ou modifié est prêt au moment du démarrage. Une condition de préparation opérationnelle présuppose que les barrières et contrôles nécessaires ont été installés dans le matériel, le personnel et les procédures du nouveau système. Un autre exemple d'élément de programme MORT est l'analyse des causes profondes basée sur MORT (Cornelison 1989). Il est utilisé pour identifier les problèmes fondamentaux de gestion de la sécurité d'une organisation. Cela se fait en reliant les résultats spécifiques des analyses MORT à 27 problèmes génériques différents de gestion de la sécurité.

Bien que MORT ne soit pas destiné à être utilisé directement dans la collecte d'informations lors d'enquêtes sur les accidents et d'audits de sécurité, en Scandinavie, les questions MORT ont servi de base au développement d'un outil de diagnostic utilisé à cette fin. C'est ce qu'on appelle la technique d'examen de la gestion de la sécurité et de l'organisation, ou SMORT (Kjellen et Tinmannsvik 1989). Une analyse SMORT avance par étapes, en partant de la situation spécifique et en terminant au niveau de la direction générale. Le point de départ (niveau 1) est une séquence accidentelle ou une situation à risque. Au niveau 2, l'organisation, la planification du système et les facteurs techniques liés au fonctionnement quotidien sont passés au crible. Les niveaux suivants comprennent la conception de nouveaux systèmes (niveau 3) et des fonctions de gestion supérieures (niveau 4). Les constatations à un niveau sont étendues aux niveaux supérieurs. Par exemple, les résultats liés à la séquence accidentelle et aux opérations quotidiennes sont utilisés dans l'analyse de l'organisation et des routines de travail de l'entreprise (niveau 3). Les résultats au niveau 3 n'affecteront pas la sécurité des opérations existantes mais pourront être appliqués à la planification de nouveaux systèmes et de modifications. SMORT diffère également de MORT dans la manière dont les résultats sont identifiés. Au niveau 1, ce sont des événements et des conditions observables qui s'écartent des normes généralement acceptées. Lorsque les facteurs d'organisation et de gestion sont intégrés à l'analyse aux niveaux 2 à 4, les résultats sont identifiés par des jugements de valeur portés par un groupe d'analyse et vérifiés par une procédure de contrôle qualité. L'objectif est d'assurer une compréhension mutuelle des problèmes d'organisation.

Résumé

MORT a joué un rôle déterminant dans les développements au sein de la gestion de la sécurité depuis les années 1970. Il est possible de suivre l'influence du MORT dans des domaines tels que la littérature de recherche sur la sécurité, la littérature sur la gestion de la sécurité et les outils d'audit, et la législation sur l'autoréglementation et le contrôle interne. Malgré cet impact, ses limites doivent être soigneusement prises en compte. Le MORT et les méthodes associées sont normatifs en ce sens qu'ils prescrivent comment les programmes de gestion de la sécurité doivent être organisés et exécutés. L'idéal est une organisation bien structurée avec des objectifs clairs et réalistes et des lignes de responsabilité et d'autorité bien définies. MORT convient donc mieux aux grandes organisations bureaucratiques.

Retour

Systèmes d'inspection

L'audit a été défini comme "le processus structuré de collecte d'informations indépendantes sur l'efficience, l'efficacité et la fiabilité du système de gestion de la sécurité dans son ensemble et l'élaboration de plans d'action corrective" (Successful Health & Safety Management 1991).

L'inspection du lieu de travail n'est donc pas seulement l'étape finale de la mise en place d'un programme de gestion de la sécurité, mais aussi un processus continu de son maintien. Elle ne peut être menée que lorsqu'un système de gestion de la sécurité correctement conçu a été mis en place. Un tel système envisage d'abord une déclaration de politique formelle de la direction énonçant ses principes pour créer un environnement de travail sain et sûr, puis établissant les mécanismes et les structures au sein de l'organisation par lesquels ces principes seront effectivement mis en œuvre. La direction doit en outre s'engager à fournir des ressources adéquates, tant humaines que financières, pour soutenir les mécanismes et les structures du système. Par la suite, il doit y avoir une planification détaillée de la sécurité et de la santé et la définition d'objectifs mesurables. Des systèmes doivent être conçus pour garantir que les performances en matière de sécurité et de santé dans la pratique puissent être mesurées par rapport aux normes établies et aux réalisations antérieures. Ce n'est que lorsque cette structure est en place et fonctionne qu'un système d'audit de gestion efficace peut être appliqué.

Des systèmes complets de gestion de la sécurité et de la santé peuvent être conçus, produits et mis en œuvre à partir des ressources des grandes entreprises. De plus, il existe un certain nombre de systèmes de contrôle de la gestion de la sécurité qui sont disponibles auprès de consultants, de compagnies d'assurance, d'organismes gouvernementaux, d'associations et d'entreprises spécialisées. C'est à l'entreprise de décider si elle doit produire son propre système ou faire appel à des services extérieurs. Les deux alternatives sont capables de produire d'excellents résultats si la direction s'engage véritablement à les appliquer avec diligence et à les faire fonctionner. Mais leur succès dépend fortement de la qualité du système d'audit.

Contrôles de gestion

La procédure d'inspection doit être aussi minutieuse et objective que l'inspection financière de l'entreprise. L'inspection doit d'abord déterminer si l'énoncé de politique de l'entreprise en matière de sécurité et de santé est correctement reflété dans les structures et mécanismes créés pour sa mise en œuvre; dans le cas contraire, l'inspection peut recommander une réévaluation de la politique fondamentale ou suggérer des ajustements ou des modifications aux structures et mécanismes existants. Un processus similaire doit être appliqué à la planification de la sécurité et de la santé, à la validité des normes d'établissement des objectifs et à la mesure de la performance. Les résultats de toute inspection doivent être pris en compte par la direction de l'entreprise, et tout correctif doit être approuvé et mis en œuvre par l'intermédiaire de cette autorité.

En pratique, il n'est pas souhaitable, et souvent peu pratique, d'entreprendre une inspection complète de toutes les fonctionnalités d'un système et de leur application dans tous les départements de l'entreprise en une seule fois. Plus généralement, la procédure d'inspection se concentre sur une caractéristique du système total de gestion de la sécurité dans l'ensemble de la centrale, ou alternativement sur l'application de toutes les caractéristiques dans un service ou même un sous-service. Mais l'objectif est de couvrir toutes les fonctionnalités de tous les départements sur une période convenue afin de valider les résultats.

Dans cette mesure, le contrôle de gestion doit être considéré comme un processus continu de vigilance. Le besoin d'objectivité est évidemment d'une importance considérable. Si les inspections sont menées en interne, il doit y avoir une procédure d'inspection standardisée ; les inspections doivent être effectuées par du personnel dûment formé à cet effet; et ceux qui sont sélectionnés comme inspecteurs ne doivent pas évaluer les services dans lesquels ils travaillent normalement, ni évaluer tout autre travail dans lequel ils ont une implication personnelle. Lorsque l'on se fie à des consultants, ce problème est minimisé.

De nombreuses grandes entreprises ont adopté ce type de système, soit conçu en interne, soit obtenu en tant que système propriétaire. Lorsque les systèmes ont été soigneusement suivis de la déclaration de politique à l'inspection, au retour d'information et aux actions correctives, une réduction substantielle des taux d'accidents, qui est la principale justification de la procédure, et une rentabilité accrue, qui est un résultat secondaire bienvenu, devraient en résulter.

Inspections par les Inspections

Le cadre juridique qui vise à protéger les personnes au travail doit être correctement administré et appliqué efficacement si l'on veut atteindre l'objectif de la législation réglementaire. La plupart des pays ont donc adopté le modèle général d'un service d'inspection chargé de veiller à l'application de la législation sur la sécurité et la santé. De nombreux pays considèrent les questions de sécurité et de santé comme faisant partie d'un ensemble complet de relations de travail couvrant les relations professionnelles, les accords sur les salaires et les congés et les avantages sociaux. Dans ce modèle, les inspections de sécurité et de santé sont un élément des fonctions de l'inspecteur du travail. Il existe également un modèle différent dans lequel l'inspection nationale s'occupe exclusivement de la législation en matière de sécurité et de santé, de sorte que les inspections du lieu de travail se concentrent uniquement sur cet aspect. D'autres variations sont évidentes dans la division des fonctions d'inspection entre une inspection nationale ou une inspection régionale/provinciale, ou bien, comme en Italie et au Royaume-Uni, par exemple, comme une combinaison fonctionnelle d'inspections nationales et régionales. Mais quel que soit le modèle adopté, la fonction essentielle de l'inspection est de vérifier le respect de la législation par un programme d'inspections et d'enquêtes planifiées sur le lieu de travail.

Il ne peut y avoir de système d'inspection efficace que si ceux qui entreprennent ce travail sont dotés de pouvoirs suffisants pour le mener à bien. Il existe de nombreux points communs entre les inspections en ce qui concerne les pouvoirs qui leur sont conférés par leurs législateurs. Il doit toujours y avoir un droit d'entrée dans les locaux, ce qui est clairement fondamental pour l'inspection. Par la suite, il existe le droit légal d'examiner les documents, registres et rapports pertinents, d'interroger les membres du personnel individuellement ou collectivement, d'avoir un accès illimité aux représentants syndicaux sur le lieu de travail, de prélever des échantillons de substances ou de matériaux utilisés sur le lieu de travail , de prendre des photographies et, le cas échéant, de recueillir les déclarations écrites des personnes travaillant sur les lieux.

Des pouvoirs supplémentaires sont souvent accordés pour permettre aux inspecteurs de rectifier les conditions qui pourraient être une source immédiate de danger ou de mauvaise santé pour la main-d'œuvre. Là encore, il existe une grande variété de pratiques. Lorsque les normes sont si mauvaises qu'il existe un risque imminent de danger pour la main-d'œuvre, un inspecteur peut être autorisé à signifier sur-le-champ un document légal interdisant l'utilisation de la machine ou de l'installation, ou interrompant le processus jusqu'à ce que le risque ait été effectivement éliminé. contrôlée. Pour un ordre de risque inférieur, les inspecteurs peuvent émettre un avis légal exigeant formellement que des mesures soient prises dans un délai donné pour améliorer les normes. Ce sont des moyens efficaces d'améliorer rapidement les conditions de travail et constituent souvent une forme d'application préférable aux procédures judiciaires formelles, qui peuvent être lourdes et lentes à obtenir une réparation.

Les poursuites judiciaires occupent une place importante dans la hiérarchie de l'exécution. Il existe un argument selon lequel les procédures judiciaires étant simplement punitives et n'entraînant pas nécessairement un changement d'attitude à l'égard de la sécurité et de la santé au travail, elles ne devraient donc être invoquées qu'en dernier recours lorsque toutes les autres tentatives visant à obtenir des améliorations ont échoué. Mais ce point de vue doit être mis en regard du fait que lorsque les exigences légales ont été ignorées ou ignorées, et lorsque la sécurité et la santé des personnes ont été considérablement menacées, la loi doit être appliquée et les tribunaux doivent trancher la question. Il y a un autre argument selon lequel les entreprises qui ne respectent pas la législation en matière de sécurité et de santé peuvent ainsi bénéficier d'un avantage économique par rapport à leurs concurrents, qui fournissent des ressources adéquates pour se conformer à leurs obligations légales. La poursuite de ceux qui négligent constamment leurs devoirs est donc un moyen de dissuasion pour les sans scrupules et un encouragement pour ceux qui essaient d'observer la loi.

Chaque service d'inspection doit déterminer le juste équilibre entre la fourniture de conseils et l'application de la loi dans le cadre du travail d'inspection. Une difficulté particulière apparaît à propos de l'inspection des petites entreprises. Les économies locales, voire nationales, reposent souvent sur des sites industriels employant chacun moins de 20 personnes ; dans le cas de l'agriculture, le chiffre de l'emploi par unité est très inférieur. La fonction de l'inspection dans ces cas est d'utiliser l'inspection du lieu de travail pour fournir des informations et des conseils non seulement sur les exigences légales, mais aussi sur les normes pratiques et les moyens efficaces de respecter ces normes. La technique doit être d'encourager et de stimuler, plutôt que d'appliquer immédiatement la loi par des mesures punitives. Mais même ici, l'équilibre est difficile. Les personnes au travail ont droit à des normes de sécurité et de santé quelle que soit la taille de l'entreprise, et il serait donc tout à fait erroné qu'un service d'inspection ignore ou minimise les risques et limite ou même renonce à l'application simplement pour favoriser l'existence de personnes économiquement fragiles petite entreprise.

Cohérence des inspections

Compte tenu de la nature complexe de leur travail - avec ses besoins combinés de compétences juridiques, prudentielles, techniques et scientifiques, les inspecteurs n'adoptent pas - en fait ne devraient pas - adopter une approche mécaniste de l'inspection. Cette contrainte, combinée à un équilibre difficile entre les fonctions de conseil et de contrôle, crée encore une autre préoccupation, celle de la cohérence des services d'inspection. Les industriels et les syndicats sont en droit d'attendre une application cohérente des normes, qu'elles soient techniques ou juridiques, par les inspecteurs à travers le pays. Dans la pratique, cela n'est pas toujours facile à réaliser, mais c'est quelque chose pour lequel les autorités chargées de l'application doivent toujours s'efforcer.

Il existe des moyens d'atteindre une cohérence acceptable. Premièrement, l'inspection doit être aussi ouverte que possible dans la publication de ses normes techniques et dans la présentation publique de ses politiques d'application. Deuxièmement, grâce à la formation, à l'application d'exercices d'évaluation par les pairs et à des instructions internes, il devrait être capable à la fois de reconnaître un problème et de fournir des systèmes pour y faire face. Enfin, il devrait veiller à ce qu'il existe des procédures permettant à l'industrie, aux travailleurs, au public et aux partenaires sociaux d'obtenir réparation s'ils ont un grief légitime concernant une incohérence ou d'autres formes de mauvaise administration associées à l'inspection.

Fréquence des inspections

À quelle fréquence les inspections doivent-elles procéder à des inspections du lieu de travail? Là encore, il existe des variations considérables dans la manière dont cette question peut être répondue. L'Organisation internationale du travail (OIT) estime que l'exigence minimale devrait être que chaque lieu de travail fasse l'objet d'une inspection des autorités chargées de l'application au moins une fois par an. Dans la pratique, peu de pays parviennent à produire un programme d'inspection du travail répondant à cet objectif. En effet, depuis la grande dépression économique de la fin des années 1980, certains gouvernements ont réduit les services d'inspection par des restrictions budgétaires qui se traduisent par une réduction du nombre d'inspecteurs ou par des restrictions sur le recrutement de nouveaux employés pour remplacer ceux qui partent à la retraite.

Il existe différentes approches pour déterminer la fréquence à laquelle les inspections doivent être effectuées. Une approche a été purement cyclique. Des ressources sont déployées pour assurer l'inspection de tous les locaux tous les 2 ans, ou plus probablement tous les 4 ans. Mais cette approche, bien qu'ayant peut-être l'apparence de l'équité, traite tous les locaux de la même manière, indépendamment de la taille ou du risque. Pourtant, les entreprises sont manifestement diverses en ce qui concerne les conditions de sécurité et de santé, et dans la mesure où elles diffèrent, ce système peut être considéré comme mécaniste et défectueux.

Une approche différente, adoptée par certains services d'inspection, a consisté à tenter d'établir un programme de travail basé sur les risques ; plus le danger pour la sécurité ou la santé est grand, plus l'inspection est fréquente. Par conséquent, les ressources sont appliquées par l'inspection aux endroits où le potentiel de préjudice pour la main-d'œuvre est le plus grand. Bien que cette approche ait des mérites, des problèmes considérables y sont encore associés. Premièrement, il est difficile d'évaluer précisément et objectivement les dangers et les risques. Deuxièmement, elle allonge très considérablement les intervalles entre les inspections des locaux où les dangers et les risques sont considérés comme faibles. Par conséquent, de longues périodes peuvent s'écouler pendant lesquelles une grande partie de la main-d'œuvre peut devoir renoncer au sentiment de sécurité et d'assurance que peut procurer l'inspection. De plus, le système a tendance à présumer que les dangers et les risques, une fois évalués, ne changent pas radicalement. C'est loin d'être le cas, et il existe un risque qu'une entreprise mal notée modifie ou développe sa production de manière à augmenter les dangers et les risques sans que l'inspection n'en soit consciente.

D'autres approches incluent des inspections basées sur des taux de blessures dans les installations qui sont plus élevés que les moyennes nationales pour l'industrie en question, ou immédiatement après une blessure mortelle ou une catastrophe majeure. Il n'y a pas de réponses courtes et faciles au problème de la détermination de la fréquence des inspections, mais ce qui semble se produire, c'est que les services d'inspection de nombreux pays manquent trop souvent de ressources, de sorte que la véritable protection de la main-d'œuvre offerte par le service s'érode progressivement.

Objectifs d'inspection

Les techniques d'inspection en milieu de travail varient selon la taille et la complexité de l'entreprise. Dans les petites entreprises, l'inspection sera complète et évaluera tous les dangers et la mesure dans laquelle les risques découlant des dangers ont été minimisés. L'inspection garantira donc que l'employeur est pleinement conscient des problèmes de sécurité et de santé et qu'il reçoit des conseils pratiques sur la manière de les résoudre. Mais même dans la plus petite entreprise, l'inspection ne devrait pas donner l'impression que la recherche des fautes et l'application des remèdes appropriés relèvent de la fonction de l'inspection et non de l'employeur. Les employeurs doivent être encouragés par l'inspection à contrôler et à gérer efficacement les problèmes de sécurité et de santé, et ils ne doivent pas abdiquer leurs responsabilités en attendant une inspection des autorités chargées de l'application avant de prendre les mesures nécessaires.

Dans les grandes entreprises, l'accent mis sur l'inspection est assez différent. Ces entreprises disposent des moyens techniques et financiers pour faire face aux problèmes de sécurité et de santé. Ils doivent concevoir à la fois des systèmes de gestion efficaces pour résoudre les problèmes, ainsi que des procédures de gestion pour vérifier que les systèmes fonctionnent. Dans ces circonstances, l'accent de l'inspection doit donc être mis sur la vérification et la validation des systèmes de contrôle de gestion présents sur le lieu de travail. L'inspection ne devrait donc pas consister en un examen exhaustif de tous les éléments de l'usine et de l'équipement pour déterminer leur sécurité, mais plutôt à l'aide d'exemples choisis pour tester l'efficacité ou non des systèmes de gestion pour assurer la sécurité et la santé au travail.

Participation des travailleurs aux inspections

Quels que soient les locaux, un élément critique de tout type d'inspection est le contact avec la main-d'œuvre. Dans de nombreux petits locaux, il se peut qu'il n'y ait pas de structure syndicale formelle ou même d'organisation de la main-d'œuvre. Cependant, pour assurer l'objectivité et l'acceptation du service d'inspection, le contact avec les travailleurs individuels devrait faire partie intégrante de l'inspection. Dans les grandes entreprises, le contact doit toujours être établi avec les syndicats ou d'autres représentants reconnus des travailleurs. La législation de certains pays (la Suède et le Royaume-Uni, par exemple) accorde une reconnaissance officielle et des pouvoirs aux délégués syndicaux à la sécurité, notamment le droit d'inspecter les lieux de travail, d'enquêter sur les accidents et les événements dangereux et, dans certains pays (bien que cela soit exceptionnel), de arrêter les machines de l'usine ou le processus de production s'il présente un danger imminent. Beaucoup d'informations utiles peuvent être tirées de ces contacts avec les travailleurs, qui devraient figurer dans chaque inspection, et certainement chaque fois que l'inspection procède à une inspection à la suite d'un accident ou d'une plainte.

Constatations d'inspection

L'élément final d'une inspection consiste à examiner les conclusions de l'inspection avec le membre le plus haut placé de la direction sur le site. La direction a la responsabilité première de se conformer aux exigences légales en matière de sécurité et de santé, et par conséquent, aucune inspection ne devrait être complète sans que la direction soit pleinement consciente de la mesure dans laquelle elle a rempli ces obligations et de ce qui doit être fait pour garantir et maintenir des normes appropriées. . Certes, si des avis juridiques sont publiés à la suite d'une inspection, ou si des poursuites judiciaires sont probables, la haute direction doit être informée de cet état de fait le plus tôt possible.

Inspections de l'entreprise

Les inspections d'entreprise sont un élément important du maintien de normes rigoureuses de sécurité et de santé au travail. Elles conviennent à toutes les entreprises et, dans les grandes entreprises, peuvent être un élément de la procédure de contrôle de gestion. Pour les petites entreprises, il est essentiel d'adopter une forme d'inspection régulière de l'entreprise. Il ne faut pas se fier aux services d'inspection fournis par les services d'inspection des autorités chargées de l'application. Celles-ci sont généralement beaucoup trop peu fréquentes et devraient largement servir de stimulant pour améliorer ou maintenir les normes, plutôt que d'être la principale source d'évaluation des normes. Les inspections d'entreprise peuvent être effectuées par des consultants ou par des sociétés spécialisées dans ce travail, mais la discussion actuelle se concentrera sur l'inspection par le personnel de l'entreprise.

À quelle fréquence les inspections de l'entreprise doivent-elles être effectuées ? Dans une certaine mesure, la réponse dépend des dangers associés au travail et de la complexité de l'usine. Mais même dans les locaux à faible risque, il devrait y avoir une certaine forme d'inspection sur une base régulière (mensuelle, trimestrielle, etc.). Si l'entreprise emploie un professionnel de la sécurité, il est clair que l'organisation et la conduite de l'inspection doivent être une partie importante de cette fonction. L'inspection doit généralement être un effort d'équipe impliquant le professionnel de la sécurité, le chef de service ou le contremaître, et soit un représentant syndical, soit un travailleur qualifié, tel qu'un membre du comité de sécurité. L'inspection doit être complète; c'est-à-dire qu'il convient d'examiner de près à la fois le logiciel de sécurité (par exemple, les systèmes, les procédures et les permis de travail) et le matériel (par exemple, la protection des machines, l'équipement de lutte contre l'incendie, la ventilation par aspiration et l'équipement de protection individuelle). Une attention particulière doit être accordée aux "quasi-accidents" - ces incidents qui n'entraînent pas de dommages ou de blessures corporelles mais qui ont un potentiel imminent de blessures accidentelles graves. On s'attend à ce qu'après un accident entraînant une absence du travail, l'équipe d'inspection se réunisse immédiatement pour enquêter sur les circonstances, en dehors du cycle normal d'inspection. Mais même lors de l'inspection de routine de l'atelier, l'équipe doit également tenir compte de l'étendue des blessures accidentelles mineures survenues dans le service depuis l'inspection précédente.

Il est important que les inspections des entreprises ne semblent pas systématiquement négatives. Là où des défauts existent, il est important qu'ils soient identifiés et rectifiés, mais il est tout aussi important de recommander le maintien de bonnes normes, de commenter positivement la propreté et le bon entretien, et de renforcer par des encouragements ceux qui utilisent l'équipement de protection individuelle prévu pour leur sécurité . Pour terminer l'inspection, un rapport écrit officiel doit être rédigé sur les lacunes importantes constatées. Une attention particulière doit être portée à toute lacune qui a été identifiée lors d'inspections précédentes mais qui n'a pas encore été corrigée. Lorsqu'il existe un comité de sécurité d'entreprise ou un comité de sécurité mixte direction-travailleurs, le rapport d'inspection doit figurer en tant que point permanent à l'ordre du jour du comité. Le rapport d'inspection doit être transmis et discuté avec la haute direction de l'entreprise, qui doit alors déterminer si une action est requise et, le cas échéant, autoriser et soutenir une telle action.

Même les plus petites entreprises, où il n'y a pas de professionnel de la sécurité et où les syndicats peuvent ne pas exister, devraient envisager des inspections d'entreprise. De nombreux services d'inspection ont produit des directives très simples illustrant les concepts de base de la sécurité et de la santé, leur application à une gamme d'industries et les moyens pratiques de les appliquer même dans les plus petites entreprises. De nombreuses associations de sécurité ciblent spécifiquement les petites entreprises avec des publications (souvent gratuites) qui fournissent les informations de base pour établir des conditions de travail sûres et saines. Armé de ce genre d'informations et en y consacrant très peu de temps, le propriétaire d'une petite entreprise peut établir des normes raisonnables, et peut ainsi peut-être éviter le genre d'accidents qui peuvent arriver à la main-d'œuvre même dans la plus petite entreprise.

Retour

C'est un paradoxe que la prévention des accidents du travail ne soit pas apparue très tôt comme une nécessité absolue, la santé et la sécurité étant fondamentales au travail lui-même. En fait, ce n'est qu'au début du XXe siècle que les accidents du travail ont cessé d'être considérés comme inévitables et que leur causalité est devenue un sujet à étudier et à utiliser comme base de prévention. Cependant, l'enquête sur les accidents est restée longtemps superficielle et empirique. Historiquement, les accidents ont d'abord été conçus comme des phénomènes simples, c'est-à-dire comme résultant d'une cause unique (ou principale) et d'un petit nombre de causes subsidiaires. Il est désormais reconnu que l'enquête sur les accidents, qui vise à identifier les causes du phénomène afin d'éviter qu'il ne se reproduise, dépend à la fois du concept qui sous-tend le processus d'enquête et de la complexité de la situation à laquelle il s'applique.

Causes d'accident

Il est en effet vrai que dans les situations les plus précaires, les accidents résultent souvent d'un enchaînement assez simple de quelques causes pouvant être rapidement rattachées à des problèmes techniques élémentaires qu'une analyse même sommaire peut révéler (matériel mal conçu, méthodes de travail non définies, etc.). D'autre part, plus les éléments matériels du travail (machines, installations, aménagement du lieu de travail, etc.) sont conformes aux exigences des procédures, normes et règlements de travail sécuritaires, plus la situation de travail devient sécuritaire. Il en résulte qu'un accident ne peut alors survenir que lorsqu'un ensemble de conditions exceptionnelles sont présentes simultanément, conditions de plus en plus nombreuses. Dans de tels cas, la blessure ou le dommage apparaît comme le résultat final d'un réseau de causes souvent complexe. Cette complexité témoigne en effet des progrès de la prévention et nécessite des méthodes d'investigation adaptées. Le tableau 1 liste les principaux concepts du phénomène accidentel, leurs caractéristiques et leurs implications pour la prévention.

Tableau 1. Principaux concepts du phénomène accidentel, leurs caractéristiques et leurs implications pour la prévention

De nos jours, un accident du travail est généralement considéré comme un indice (ou un symptôme) de dysfonctionnement dans un système constitué d'une seule unité de production, telle qu'une usine, un atelier, une équipe ou un poste de travail. C'est la nature d'un système que son analyse demande à l'enquêteur d'examiner non seulement les éléments qui le composent, mais aussi leurs relations entre eux et avec l'environnement de travail. Dans le cadre d'un système, l'enquête accidentelle cherche à remonter jusqu'à ses origines l'enchaînement des dysfonctionnements élémentaires ayant conduit à l'accident et, plus généralement, le réseau des antécédents de l'événement indésirable (accident, quasi-accident ou incident).

L'application de méthodes de ce type, telles que la méthode STEP (procédures de traçage d'événements séquentiels temporels) et la méthode "arbre des causes" (semblable aux analyses d'arbres de défaillances ou d'événements), permet de visualiser le processus accidentel sous la forme d'un graphique ajusté qui illustre la multicausalité du phénomène. Étant donné que ces deux méthodes sont si similaires, il serait inutile de les décrire toutes les deux ; en conséquence, cet article se concentre sur la méthode de l'arbre des causes et, le cas échéant, note ses principales différences par rapport à la méthode STEP.

Informations utiles à l'enquête

La phase initiale de l'enquête, la collecte d'informations, doit permettre de décrire le déroulement de l'accident en termes concrets, précis et objectifs. L'enquête s'attache donc à constater les faits tangibles, en se gardant bien de les interpréter ou d'exprimer une opinion à leur sujet. Ce sont les antécédents de l'accident, dont il existe deux types:

1. ceux de nature inhabituelle (changements ou variations) par rapport au déroulement « normal » ou attendu du travail
2. celles à caractère permanent qui ont joué un rôle actif dans la survenance de l'accident par l'intermédiaire ou en combinaison avec des antécédents inhabituels.

Par exemple, une protection insuffisante d'une machine (antécédent permanent) peut s'avérer un facteur d'accident si elle permet à l'opérateur de prendre position dans une zone dangereuse pour faire face à un incident particulier (antécédent inhabituel).

La collecte d'informations est effectuée sur le lieu même de l'accident dès que possible après sa survenance. Elle est réalisée de préférence par des personnes qui connaissent l'opération ou le procédé et qui tentent d'obtenir une description précise des travaux sans se limiter aux circonstances immédiates du dommage ou de la blessure. L'enquête s'effectue dans un premier temps principalement au moyen d'entretiens, si possible avec le travailleur ou l'opérateur, les victimes et témoins oculaires, les autres membres de l'équipe de travail et les supérieurs hiérarchiques. Le cas échéant, elle est complétée par une enquête technique et le recours à une expertise extérieure.

L'enquête cherche à identifier, par ordre de priorité, les antécédents inhabituels et à déterminer leurs liens logiques. On s'efforce en même temps de révéler les antécédents permanents qui ont permis à l'accident de se produire. L'enquête peut ainsi remonter à une étape plus lointaine que les antécédents immédiats de l'accident. Ces antécédents plus lointains peuvent concerner les individus, leurs tâches, les équipements qu'ils utilisent, l'environnement dans lequel ils évoluent et la culture de sécurité. En procédant de la manière qui vient d'être décrite, il est généralement possible de dresser une longue liste d'antécédents, mais il sera généralement difficile d'exploiter immédiatement les données. L'interprétation des données est rendue possible grâce à une représentation graphique de tous les antécédents impliqués dans la genèse de l'accident, c'est-à-dire un arbre des causes.

Construire un arbre des causes

L'arbre des causes présente tous les antécédents recueillis qui ont donné lieu à l'accident, ainsi que les liens logiques et chronologiques qui les relient ; c'est une représentation du réseau d'antécédents qui ont causé directement ou indirectement la blessure. L'arbre des causes est construit à partir du point final de l'événement - c'est-à-dire la blessure ou le dommage - et remonte vers la cause en posant systématiquement les questions suivantes pour chaque antécédent recueilli :

• Par quel antécédent X l'antécédent Y a-t-il été directement causé ?

• L'antécédent X était-il suffisant à lui seul pour donner naissance à l'antécédent Y ?

• Sinon, y a-t-il eu d'autres antécédents (X1, X2  Xn) également nécessaires pour donner directement naissance à l'antécédent Y ?

Cet ensemble de questions peut révéler trois types de liens logiques, résumés dans la figure 1, entre les antécédents.

Figure 1. Liens logiques utilisés dans la méthode "arbre des causes"

La cohérence logique de l'arbre est vérifiée en posant les questions suivantes pour chaque antécédent :

• Si X n'avait pas eu lieu, Y aurait-il quand même eu lieu ?

• Pour que Y se produise, X, et seulement X, était-il nécessaire ?

De plus, la construction de l'arbre des causes en elle-même incite les enquêteurs à poursuivre la collecte d'informations, et donc l'enquête, bien avant que l'accident ne se produise. Une fois rempli, l'arbre représente le réseau d'antécédents ayant donné lieu à la blessure, ce sont en fait les facteurs d'accident. A titre d'exemple, l'accident résumé ci-dessous a produit l'arbre des causes présenté à la figure 2.

Figure 2. Arbre des causes d'un accident subi par un apprenti mécanicien lors du remontage d'un moteur dans une voiture

Rapport sommaire d'accident : Un apprenti mécanicien, récemment recruté, a dû travailler seul en cas d'urgence. Une élingue usée était utilisée pour suspendre un moteur qui devait être remonté, et lors de cette opération l'élingue s'est cassée et le moteur est tombé et a blessé le bras du mécanicien.

Analyse par la méthode STEP

Selon la méthode STEP (figure 3), chaque événement est présenté graphiquement de façon à montrer l'ordre chronologique de son apparition, en gardant une ligne par « agent » concerné (un agent est la personne ou la chose qui détermine le cours des événements constituant le processus accidentel). Chaque événement est décrit avec précision en indiquant son début, sa durée, son lieu de début et de fin, etc. Lorsqu'il existe plusieurs hypothèses plausibles, l'investigateur peut les faire apparaître dans le réseau des événements en utilisant la relation logique « ou ».

Figure 3. Exemple de représentation possible par la méthode STEP

Analyse par la méthode de l'arbre des causes

L'utilisation de l'arbre des causes pour les besoins de l'analyse des accidents a deux objectifs :

• rendant impossible la répétition du même accident

• éviter la survenance d'accidents plus ou moins similaires, c'est-à-dire des accidents dont l'enquête révélerait des points communs avec les accidents déjà survenus.

Compte tenu de la structure logique de l'arbre, l'absence d'un seul antécédent aurait empêché la survenance de l'accident. Une mesure de prévention judicieuse suffirait donc, en principe, à satisfaire le premier objectif en empêchant la répétition du même accident. Le deuxième objectif exigerait que tous les facteurs découverts soient éliminés, mais en pratique les antécédents n'ont pas tous la même importance aux fins de la prévention. Il est donc nécessaire d'établir une liste d'antécédents nécessitant une action préventive raisonnable et réaliste. Si cette liste est longue, il faut faire un choix. Ce choix a plus de chance d'être opportun s'il est fait dans le cadre d'un débat entre les partenaires concernés par l'accident. De plus, le débat gagnera en clarté dans la mesure où il sera possible d'évaluer le rapport coût-efficacité de chaque mesure proposée.

Efficacité des mesures préventives

L'efficacité d'une mesure préventive peut être jugée à l'aide des critères suivants :

La stabilité de la mesure. Les effets d'une mesure de prévention ne doivent pas disparaître avec le temps : informer les opérateurs (en particulier, leur rappeler des consignes) n'est pas une mesure très stable car ses effets sont souvent transitoires. Il en est d'ailleurs de même de certains dispositifs de protection lorsqu'ils sont facilement démontables.

La possibilité d'intégrer la sécurité. Lorsqu'une mesure de sécurité est ajoutée, c'est-à-dire lorsqu'elle ne contribue pas directement à la production, on dit que la sécurité n'est pas intégrée. Chaque fois qu'il en est ainsi, on constate que la mesure tend à disparaître. D'une manière générale, toute mesure de prévention entraînant un surcoût pour l'opérateur doit être évitée, qu'il s'agisse d'un coût physiologique (augmentation de la charge physique ou nerveuse), d'un coût psychologique, d'un coût financier (en cas de salaire ou de rendement) ou encore une simple perte de temps.

Le non déplacement du risque. Certaines mesures préventives peuvent avoir des effets indirects préjudiciables à la sécurité. Il faut donc toujours prévoir les éventuelles répercussions d'une mesure préventive sur le système (métier, équipe ou atelier) dans lequel elle s'insère.

La possibilité d'application générale (notion de facteur d'accident potentiel). Ce critère traduit la crainte que la même action préventive puisse s'appliquer à d'autres emplois que celui affecté par l'accident faisant l'objet de l'enquête. Dans la mesure du possible, il faut s'efforcer d'aller au-delà du cas particulier qui a donné lieu à l'enquête, effort qui nécessite souvent une reformulation des problèmes découverts. L'information issue d'un accident peut ainsi conduire à une action préventive relative à des facteurs inconnus mais présents dans d'autres situations de travail où ils n'ont pas encore donné lieu à des accidents. C'est pourquoi ils sont appelés « facteurs d'accidents potentiels ». Cette notion ouvre la voie à la détection précoce des risques, évoquée plus loin.

L'effet sur les « causes » profondes. En règle générale, la prévention des facteurs d'accident proches du lieu de la blessure élimine certains effets des situations dangereuses, tandis que la prévention agissant bien en amont de la blessure tend à éliminer les situations dangereuses elles-mêmes. Une enquête approfondie sur les accidents se justifie dans la mesure où l'action de prévention concerne également les facteurs en amont.

Le délai de candidature. La nécessité d'agir le plus rapidement possible après la survenance d'un accident pour éviter qu'il ne se reproduise se traduit souvent par l'application d'une mesure préventive simple (une consigne par exemple), mais cela n'élimine pas la nécessité d'autres mesures plus durables. et une action plus efficace. Chaque accident doit donc donner lieu à une série de propositions dont la mise en œuvre fait l'objet d'un suivi.

Les critères ci-dessus sont destinés à mieux apprécier la qualité des actions de prévention proposées après chaque enquête accidentelle. Cependant, le choix final ne se fait pas uniquement sur cette base, car d'autres considérations, telles qu'économiques, culturelles ou sociales, doivent également être prises en compte. Enfin, les mesures décidées doivent évidemment respecter la réglementation en vigueur.

Facteurs d'accident

Les enseignements tirés de chaque analyse d'accident méritent d'être consignés systématiquement afin de faciliter le passage de la connaissance à l'action. Ainsi la figure 4 se compose de trois colonnes. Dans la colonne de gauche sont notés les facteurs d'accident nécessitant des mesures préventives. Les actions préventives possibles sont décrites dans la colonne du milieu pour chaque facteur décidé. Après la discussion mentionnée ci-dessus, l'action sélectionnée est enregistrée dans cette partie du document.

Figure 4. Leçons tirées des accidents et utilisation de ces leçons

La colonne de droite reprend les facteurs d'accident potentiels suggérés par les facteurs répertoriés dans la colonne de gauche : on considère que chaque facteur d'accident découvert n'est souvent qu'un cas particulier d'un facteur plus général dit facteur d'accident potentiel. Le passage du cas particulier au cas plus général se fait souvent spontanément. Cependant, chaque fois qu'un facteur d'accident est exprimé de telle manière qu'il n'est pas possible de le rencontrer ailleurs que dans la situation où il est apparu, une formulation plus générale doit être envisagée. Ce faisant, il convient d'éviter deux écueils opposés afin d'utiliser efficacement la notion de facteur d'accident potentiel dans la détection précoce des risques survenant ultérieurement. Une formulation trop circonscrite ne permet pas une détection systématique des facteurs, alors qu'une formulation trop large rend la notion inexploitable et n'a plus d'intérêt pratique. La détection des facteurs d'accidents potentiels suppose donc qu'ils soient bien formulés. Cette détection peut alors s'effectuer de deux manières, qui sont d'ailleurs complémentaires :

1. soit en recherchant la présence éventuelle de facteurs potentiels déjà connus au niveau d'un métier ou d'un domaine plus large (atelier, service)
2. soit en recherchant des emplois où un facteur déjà déterminé peut être observé.

Utilité, efficacité et limites des enquêtes sur les accidents

Utilité. Par rapport aux enquêtes non systématiques, les méthodes d'enquête sur les accidents basées sur un concept systématique présentent de nombreux avantages, parmi lesquels :

• Ils permettent de définir collectivement le réseau causal de chaque accident, à partir duquel il est plus facile d'imaginer de nouvelles mesures de prévention et d'anticiper leur impact sans se limiter aux causes directes de la blessure.

• Ils offrent aux acteurs de l'analyse une représentation mentale plus riche et plus réaliste du « phénomène accidentel » qui permet une compréhension globale des situations de travail.

• Les enquêtes approfondies sur les accidents (surtout lorsqu'elles sont étendues aux incidents et aux événements indésirables) peuvent devenir un moyen et une occasion appropriée de dialogue entre la direction et les exploitants.

Efficacité. Pour être efficace, une enquête sur un accident nécessite que quatre conditions soient remplies simultanément :

1. un engagement évident de la part de la direction de l'établissement, qui doit être en mesure d'assurer la mise en œuvre systématique de telles procédures
2. formation des enquêteurs
3. la direction, les superviseurs et les travailleurs pleinement informés des objectifs de l'enquête, de ses principes, des exigences de la méthode et des résultats attendus
4. de réelles améliorations des conditions de sécurité qui encourageront les acteurs des enquêtes futures.

Limitations. Même lorsqu'elle est très bien menée, l'enquête sur les accidents souffre d'une double limitation :

• Il reste une procédure d'investigation des risques a posteriori (à la manière d'une analyse systémique), dans le but de corriger des situations existantes. Elle ne dispense donc pas de la nécessité de a priori enquêtes (prospectives), telles que l'enquête ergonomique sur les postes de travail ou, pour les systèmes complexes, les enquêtes de sécurité.

• L'utilité des enquêtes sur les accidents varie également selon le niveau de sécurité de l'établissement où elles sont appliquées. En particulier, lorsque le niveau de sécurité est élevé (le taux d'accidents est faible ou très faible), il est évident que les accidents graves résultent de la conjonction de nombreux aléas indépendants et relativement inoffensifs du point de vue de la sécurité lorsqu'ils sont considérés hors du contexte d'investigation. .

Retour