Cahier de La Securité Industriel

LES C
LE CAHIERS
A FACTEURS
HUMAINS ET
2010-02 DE LA ORGANISATIONNELS
DE LA SÉCURITÉ
SÉCURITÉ
S CU INDUSTRIELLE
DU INDUSTRIELLE
UN ÉTAT DE L’ART
FRANÇOIS DANIELLOU
MARCEL SIMARD
IVAN BOISSIÈRES
a Fondation pour une Culture de Sécurité Industrielle (FonCSI) est une Fondation
L de Recherche reconnue d’utilité publique par décret en date du 18 avril 2005. Elle
a pour ambitions de :
• contribuer à l’amélioration de la sécurité dans les entreprises industrielles de

toutes tailles, de tous secteurs d’activité ;
• rechercher, pour une meilleure compréhension mutuelle et en vue de l’élabo-
ration d’un compromis durable entre les entreprises à risques et la société
civile, les conditions et la pratique d’un débat ouvert prenant en compte les
différentes dimensions du risque ;
• favoriser l’acculturation de l’ensemble des acteurs de la société aux problèmes
des risques et de la sécurité.
Pour atteindre ces objectifs, la Fondation favorise le rapprochement entre les cher-
cheurs de toutes disciplines et les différents partenaires autour de la question de la
sécurité industrielle : entreprises, collectivités, organisations syndicales, associations.
Elle incite également à dépasser les clivages disciplinaires habituels et à favoriser,
pour l’ensemble des questions, les croisements entre les sciences de l’ingénieur et les
sciences humaines et sociales.
Les travaux présentés dans ce rapport sont issus d’un projet de recherche financé par la
FonCSI. Les propos tenus ici n’engagent cependant que leurs auteurs.
Fondation pour une Culture de Sécurité Industrielle

Fondation de Recherche, reconnue d’utilité publique
http://www.icsi-eu.org/
6 allée Émile Monso – BP 34038 Téléphone : +33 (0) 534 32 32 00

31029 Toulouse cedex 4 Fax : +33 (0) 534 32 32 01
France Courriel : contact@icsi-eu.org
ÉDITEUR : Institut pour une Culture de Sécurité Industrielle

Association de loi 1901
iii
iv
Avant-propos
our maîtriser les risques industriels, les entreprises ont développé depuis de nombreuses
P années des mesures centrées sur l’amélioration continue de la fiabilité des installations
et la mise en place de systèmes de management de la sécurité. Si des progrès incontestables
ont été produits, les résultats en sécurité semblent atteindre actuellement un palier qui néces-
site, pour être franchi, de mieux prendre en compte les facteurs humains et organisationnels.
Une telle évolution ne va cependant pas de soi :
• l’approche industrielle se focalise encore parfois sur le comportement des opérateurs,

l’erreur humaine et le respect des procédures, négligeant la contribution positive de
l’homme et limitant l’appréhension de causes plus profondes pourtant essentielles ;
• les entreprises sont souvent marquées par une forte culture technique et disposent
très rarement en interne de compétences dans le domaine des facteurs humains et
organisationnels ;
• inversement, il existe encore peu de documents de référence conçus pour favoriser le
transfert des acquis scientifiques vers les acteurs de la sécurité (industriels, syndica-
listes, autorités de contrôle, etc.).
Bref, intégrer les facteurs humains et organisationnels dans les politiques et pratiques de
sécurité industrielle nécessite de pouvoir s’appuyer sur des connaissances nouvelles ouvrant
aux sciences humaines et sociales (ergonomie, psychologie, sociologie. . . ) tout en faisant
le lien avec des problématiques opérationnelles concrètes. Ce document vise justement à
répondre à ce besoin. Il est le résultat d’un processus de travail qui a mobilisé de nombreux
acteurs en plusieurs phases :
1. La Fondation pour une Culture de Sécurité Industrielle (FonCSI) a d’abord sélectionné et

financé, dans le cadre de son appel à proposition « vulnérabilités techniques, humaines,
organisationnelles et recherche de sécurité », une équipe de chercheurs reconnus et
bénéficiant d’une grande expérience des industries à risques (nucléaire, pétrochimie,
transport. . . ).
2. Les auteurs ont rédigé un texte sur la base de leur expertise scientifique mais éga-
lement à partir d’une trame commune testée à l’occasion de plusieurs sessions de
la formation de l’Institut pour une Culture de Sécurité Industrielle (ICSI) sur les fac-
teurs humains et organisationnels, auprès de directeurs d’établissements, de membres
d’équipes de direction et de responsables de fédérations ou confédérations syndicales.
3. Le document a enfin donné lieu à de nombreuses interactions avec des acteurs opéra-
tionnels venant d’horizons divers (responsables industriels, représentants syndicaux,
spécialistes issus d’instituts de recherche ou d’expertise, etc.) réunis au sein du groupe
d’échange de l’ICSI sur les facteurs humains et organisationnels de la sécurité.
Au final, cette approche originale permet de proposer des références communes à l’ensemble
des parties prenantes de la sécurité industrielle qui souhaitent enrichir leur démarche de
prévention par une meilleure prise en compte du rôle de l’homme et de l’organisation.
Toulouse, le 7 avril 2009

Ivan Boissières
v
À propos des auteurs
r a n ç o i s Da n i e l l o u est Professeur d’ergonomie à l’Institut de Cognitique de l’Ins-

F titut Polytechnique de Bordeaux. Il a une grande expérience des industries à risques
(nucléaire, chimie, etc.). Il est membre du Comité de la Prévention et de la Précaution du
Ministère chargé de l’écologie.
a r c e l Si m a r d est Professeur titulaire à l’Université de Montréal. Spécialiste de

M l’approche culture sécurité, il intervient régulièrement auprès d’entreprises et d’ins-
titutions internationales (Bureau International du Travail, Fondation européenne pour
l’amélioration des conditions de vie. . . ).
va n Bo i s s i è r e s est Directeur de la Formation et du Développement de l’ICSI. Docteur

I en sociologie des organisations, il dirige aussi l’Executive Mastère Spécialisé « facteurs
humains et organisationnels du management de la sécurité industrielle » proposé par ESCP-
Europe et Mines ParisTech en partenariat avec l’ICSI.
Votre avis nous intéresse ! Pour tout commentaire ou remarque permettant d’améliorer
ce document, merci d’envoyer un courriel à cahiers@icsi-eu.org.
Pour citer ce document :

Daniellou, F., Simard, M. et Boissières, I. (2010). Facteurs humains et organisationnels de la
sécurité industrielle : un état de l’art Numéro 2010-02 des Cahiers de la Sécurité Industrielle,
Institut pour une Culture de Sécurité Industrielle, Toulouse, France (ISSN 2100-3874).
Disponible à l’URL http://www.icsi-eu.org/francais/dev_cs/cahiers/
vi
Table des matières
Avant-propos v
Préambule 1
Synthèse 9
1 La fabrique de la sécurité 17
1.1 Le risque acceptable . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
1.2 Une évolution du regard . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
1.3 Travail d’anticipation et travail quotidien . . . . . . . . . . . . . . . . . . . . 19
1.4 Les migrations du système . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
1.5 La résilience . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
2 Des « comportements » à l’activité 25

2.1 Les comportements : ce qui est observable . . . . . . . . . . . . . . . . . . . 25
2.2 Conformité et initiative . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
2.3 L’activité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
2.4 La partie immergée de l’iceberg . . . . . . . . . . . . . . . . . . . . . . . . . 27
2.5 Il est difficile de parler de son travail . . . . . . . . . . . . . . . . . . . . . . . 28
2.6 La performance ne reflète pas le coût humain . . . . . . . . . . . . . . . . . . 29
3 La situation de travail influence le comportement 31

3.1 La situation est toujours singulière . . . . . . . . . . . . . . . . . . . . . . . . 32
3.2 Les installations et la matière . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
3.3 Les prescriptions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
3.4 Les déterminants distants . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
3.5 L’activité comme réponse intégrant coûts et bénéfices . . . . . . . . . . . . . 34
4 Des opérateurs humains différents et variables 35

4.1 Nous sommes tous différents . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
4.2 Chacun ne cesse de changer . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
5 Le cerveau et le raisonnement humains 39

5.1 Quelques propriétés du cerveau humain . . . . . . . . . . . . . . . . . . . . . 39
5.2 Se construire une représentation de la situation . . . . . . . . . . . . . . . . 41
5.3 La mémoire . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
5.4 Formes de raisonnement et contrôle de l’action . . . . . . . . . . . . . . . . . 45
5.5 Limites du traitement humain de l’information . . . . . . . . . . . . . . . . . 46
5.6 Quelques biais fréquents du raisonnement . . . . . . . . . . . . . . . . . . . 47
vii
6 Les collectifs de travail 53
6.1 Chacun appartient à plusieurs groupes, qui ont leurs propres normes . . . . 53
6.2 Le collectif de travail . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54
6.3 Le collectif de métier . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54
6.4 Les collectifs syndicaux . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56
6.5 Et beaucoup d’autres collectifs. . . . . . . . . . . . . . . . . . . . . . . . . . . . 56
7 L’erreur humaine : une explication insuffisante 59

7.1 Les limites de l’approche par l’erreur humaine . . . . . . . . . . . . . . . . . 60
7.2 Les parades . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
7.3 Erreurs, fautes et violations . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63
7.4 Probabilité accrue d’erreur . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65
7.5 L’attitude face à l’erreur : sanctionner ou pas . . . . . . . . . . . . . . . . . . 70
8 Santé des personnes et santé de l’organisation 73

8.1 De nombreux liens . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73
8.2 Le stress au travail . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75
8.3 La mobilisation dans le travail . . . . . . . . . . . . . . . . . . . . . . . . . . 77
8.4 La reconnaissance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 80
9 L’organisation, ses forces et ses faiblesses 83

9.1 Les différentes dimensions de l’organisation . . . . . . . . . . . . . . . . . . 83
9.2 Le rôle du management dans l’organisation . . . . . . . . . . . . . . . . . . . 90
9.3 Des organisations qui favorisent la sécurité . . . . . . . . . . . . . . . . . . . 93
10 La culture de sécurité 99
10.1 Qu’est-ce que la culture de sécurité ? . . . . . . . . . . . . . . . . . . . . . . . 99
10.2 La diversité des cultures de sécurité . . . . . . . . . . . . . . . . . . . . . . . 102
10.3 La culture managériale de sécurité . . . . . . . . . . . . . . . . . . . . . . . . 103
10.4 La culture intégrée de sécurité . . . . . . . . . . . . . . . . . . . . . . . . . . 108
11 Les points clés FHOS 113

11.1 Sécurité industrielle, sécurité du travail : deux domaines complémentaires . 113
11.2 La reconnaissance du rôle de l’humain . . . . . . . . . . . . . . . . . . . . . 113
11.3 Le leadership sécurité du management . . . . . . . . . . . . . . . . . . . . . 115
11.4 La participation du personnel . . . . . . . . . . . . . . . . . . . . . . . . . . 117
11.5 Politique sociale . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117
11.6 La Gestion des Ressources Humaines . . . . . . . . . . . . . . . . . . . . . . 118
11.7 Nouvelles installations et modifications . . . . . . . . . . . . . . . . . . . . . 118
11.8 Les Achats . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119
11.9 La définition des règles et procédures . . . . . . . . . . . . . . . . . . . . . . 119
11.10 La politique industrielle de sous-traitance . . . . . . . . . . . . . . . . . . . . 120
11.11 L’organisation du retour d’expérience (REX) . . . . . . . . . . . . . . . . . . 120
11.12 Diagnostics organisationnels et changements . . . . . . . . . . . . . . . . . . 121
11.13 En conclusion : SMS et FHOS . . . . . . . . . . . . . . . . . . . . . . . . . . . 121
Glossaire 123
viii
Préambule
Ce document
• propose une première synthèse des connaissances sur les facteurs humains et orga-
nisationnels de la sécurité industrielle ;
• sera suivi par des guides proposant des méthodes pour leur prise en compte.
Ses destinataires
Ce recueil vise à proposer une base de connaissances communes à un ensemble d’acteurs

de la sécurité industrielle :
• responsables de la politique sécurité « groupe » ;

• directeurs industriels ;
• directeurs d’unité ou de site industriel ;
• responsables sécurité environnement de site, professionnels de santé sécurité du tra-
vail ;
• responsables de ressources humaines ;
• responsables de la politique industrielle vis-à-vis des sous-traitants ;
• encadrement d’exploitation ;
• représentants du personnel (CHSCT, CE) ;
• responsables syndicaux de branches ;
• inspecteurs des organismes de contrôle (DRIRE) ;
• consultants internes et externes.
Son champ
• Les entreprises :
. à risques classées Seveso
. nucléaires
. de transport
• susceptibles par leur activité d’engendrer des risques pour leurs salariés mais aussi
pour la population générale ou l’environnement ;
• qui ont déjà mis en place une politique globale de sécurité, par l’instauration d’un
Système de Gestion de la Sécurité (SGS ou SMS1 ), le suivi de référentiels (par exemple
OHSAS 18001) et la réalisation d’audits (ISRS® ou autres).
Les obligations réglementaires, les composantes formelles du SMS, les méthodologies de sa

construction, les critères classiques d’audit ne seront pas présentés ici.
Des entreprises qui n’auraient pas développé cette réflexion formelle sur la sécurité ne
doivent pas considérer que l’approche Facteurs Humains et Organisationnels de la Sécurité
présentée ici se substitue à celle-ci. Cependant, la connaissance des éléments proposés dans
ce guide peut contribuer à enrichir la mise en place d’un SMS.
1 Les abréviations sont définies dans le glossaire en fin de document. Nous utilisons indifféremment « Système
de Gestion de la Sécurité », SGS, (réglementation française) ou « Système de Management de la Sécurité » (qui
a le même acronyme SMS que Safety Management System, et est de ce fait utilisé dans beaucoup de groupes
internationaux).
1
Facteurs humains et organisationnels de la sécurité
Sécurité du travail et sécurité industrielle
Le champ de la « sécurité industrielle » dont il est question ici concerne la prévention des
prévention des accidents liés à l’exploitation du process de l’entreprise, que ceux-ci soient susceptibles
accidents liés au d’affecter les installations, les salariés de l’entreprise, l’environnement et/ou la population
process générale. Cette prévention des accidents industriels concerne bien sûr les exploitants, mais
aussi beaucoup d’autres services de l’entreprise (par exemple les Achats, la Direction des
Ressources Humaines).
Ce guide ne couvre donc pas tout le champ de la « sécurité du travail », au sens de prévention
des accidents du travail. Certains accidents du travail ont des origines qui auraient pu
déboucher sur un accident industriel : un opérateur tombe en se précipitant pour fermer en
urgence une vanne qui joue un rôle critique dans le process. D’autres, qui peuvent avoir
les mêmes effets pour le salarié, ont des origines très éloignées du process technique de
l’entreprise : un opérateur tombe dans l’escalier du bâtiment administratif. La prévention de
ces derniers est également importante, mais ne relève pas de ce guide.
S’il peut exister une continuité entre les causes d’accidents du travail en exploitation et
celles d’accidents industriels majeurs, il faut souligner que les « résultats sécurité » d’un
site, exprimés en taux de fréquence global des accidents du travail, ne disent rien sur le
les résultats sécurité risque d’accident industriel majeur sur ce site. Il existe de nombreux exemples de sites très
ne traduisent pas le performants en termes de prévention des accidents du travail, et qui ont vécu un accident
risque d’accident industriel.
majeur
En effet, la focalisation sur le taux de fréquence :
• peut conduire à englober dans les mêmes chiffres des accidents liés au travail sur le
process et d’autres qui ne le sont pas, alors qu’ils ne comportent pas en germe les
mêmes risques d’un accident majeur ;
• peut mettre l’accent sur les accidents bénins et fréquents au détriment de la réflexion
sur les accidents graves et très rares ;
• peut déboucher sur des diagnostics trop simples, alors que les accidents liés au process
comportent le plus souvent un ensemble d’origines techniques et organisationnelles ;
• peut conduire à sous-estimer l’action nécessaire sur la conception des installations et
de l’organisation, en accentuant l’action sur les « comportements » des acteurs.
En sens inverse, la mobilisation autour de la prévention des accidents majeurs est susceptible
de bénéficier d’un consensus large, et peut servir de moteur à une réflexion sur la sécurité
du travail.
Qu’est-ce que l’approche Facteurs humains et organisationnels de la sécurité

industrielle ?
L’approche Facteurs humains et organisationnels de la sécurité industrielle (FHOS) consiste

favoriser une à identifier et à mettre en place les conditions qui favorisent une contribution positive des
contribution positive opérateurs et des collectifs à la sécurité industrielle.
des opérateurs et
collectifs à la sécurité
2
Préambule
Activité
FHOS Effets
humaine
Culture sécurité
Organisation & Résultats

Management production qualité
Collectifs de travail Activité Résultats

± Conformité/règles
sécurité
Situation de travail ± Initiatives industrielle
Résultats santé
Individu sécurité du travail
Fi g u r e 1 – Le champ des FHOS.
Les connaissances proposées par l’approche FHOS permettent de mieux comprendre ce

qui conditionne l’activité humaine, et d’agir sur la conception des situations de travail et
l’organisation en vue de réunir les conditions d’une activité sûre.
Les efforts faits dans cette direction peuvent se traduire également par une amélioration des
résultats en matière de qualité de la production ou de sécurité du travail (taux de fréquence
et de gravité).
Pourquoi une approche Facteurs humains et organisationnels de la sécurité ?
La prévention des accidents de process a d’abord reposé sur la conception technique : le

travail des ingénieries a permis de mieux préserver l’intégrité des installations dans des
situations inhabituelles.
Les accidents de Seveso (1976) et Three Mile Island (1979) ont donné lieu à un renforcement
des exigences réglementaires (directive Seveso 1 en 1982), et à la mise en place de politiques
de sécurité globales dans les grandes entreprises à risques. Ce formalisme s’est renforcé avec
la directive Seveso 2 (1996), et la mise en place des Systèmes de Gestion de la Sécurité.
Ces actions techniques et d’organisation ont entraîné dans certains secteurs une tendance
à la diminution continue des accidents liés au process. Mais, dans beaucoup d’entreprises,
cette amélioration marque un palier, et le renforcement des formalismes n’aboutit plus à les améliorations
une diminution des défaillances. atteignent un plateau
1960 - 19
80
Ingénierie et qualité
Intégrité des installations
1980 - 20
00
Taux d'accidents
Technique Système de management

de la sécurité
2000 -
Système de ...
management Intégration des facteurs
humains et organisationnels
de la sécurité
Activité
humaine
Temps
Fi g u r e 2 – Approches successives de la sécurité industrielle.
3
Cette limite des résultats obtenus par les formalismes type SMS s’explique par le déséqui-
libre entre :
• l’attention extrême portée aux formalismes descendants, destinés à prescrire des condi-
tions d’exploitation sûres ;
• la recherche de responsabilités plutôt du côté du comportement des opérateurs, et de
moindres questionnements sur la contribution de l’organisation et du management ;
• la trop faible attention consacrée à la réalité des situations réellement rencontrées par
les opérateurs d’exploitation2 :
multiplier les . quel volume de prescriptions écrites est acceptable par les opérateurs ?
formalismes ne . quelle appropriation des règles par les opérateurs ?
garantit pas la sécurité
. quelles difficultés pour respecter les règles ? quels coûts humains supplémen-
taires engendrent-elles ?
. quels ajustements permettent le fonctionnement ?
. quels liens entre les règles prescrites et les règles des métiers ?
. quelles contradictions entre différentes règles ou avec d’autres exigences de
production ou des caractéristiques de la situation de travail ?
. quelles situations où les règles ne sont pas applicables ?
. quelles initiatives sont favorisées ou entravées par les règles ?
. quels lieux de discussion des contradictions entre les règles ?
. quel rôle du management dans le travail des règles ?
Anticiper le prévisible et faire face à l’imprévu
Les formalismes, les règles, préparent le système par rapport à des configurations qui ont
le formalisme ne été prévues, et jouent un rôle majeur dans la capacité à faire face à ces situations. Mais
prépare pas à il surviendra, en exploitation, des situations qui n’ont pas été anticipées. La réponse du
l’imprévu système dépendra des ressources locales des équipes et du management disponibles en
temps réel.
La résilience d’un système est « sa capacité à anticiper, détecter précocement, et répondre
adéquatement à des variations du fonctionnement du système par rapport aux conditions
de référence, en vue de minimiser leurs effets sur sa stabilité dynamique ». Les travaux sur
la sécurité systémique montrent que cette résilience dépend de deux composantes :
• la sécurité réglée : éviter toutes les défaillances prévisibles par des formalismes, règles,
automatismes, mesures et équipements de protection, formations aux « comporte-
ments sûrs », et par un management assurant le respect des règles ;
• la sécurité gérée : capacité d’anticiper, de percevoir et de répondre aux défaillances
imprévues par l’organisation. Elle repose sur l’expertise humaine, la qualité des ini-
tiatives, le fonctionnement des collectifs et des organisations, et sur un management
attentif à la réalité des situations et favorisant les articulations entre différents types
de connaissances utiles à la sécurité.
+ =
F i g u r e 3 – Les composantes de la sécurité.
2 Exploitation= production + gestion des matières et flux + maintenance.

Opérateur = tout travailleur, ouvrier, employé, technicien, agent de maîtrise, cadre, jouant un rôle dans les process
concernés.
Par commodité, le masculin est utilisé dans tout le texte pour désigner une opératrice ou un opérateur, une respon-
sable ou un responsable etc.
4
Préambule
L’extrême attention portée à formaliser la réponse aux situations prévisibles ne garantit pas la
pertinence de la réponse à des situations imprévues. Pire, les organisations qui basent toute
leur politique de sécurité sur les formalismes prescriptifs peuvent se trouver atteintes dans
leur « résilience », lorsque survient une situation nouvelle ou imprévue.
Les comportements d’exploitation qui contribuent à la sécurité ne sont pas seulement les
comportements de conformité aux règles : ce sont aussi les comportements d’initiative, comportements de
qui favorisent l’exploration attentive de l’état du système, l’alerte par rapport à des situations conformité,
dangereuses, et la collaboration entre les acteurs pouvant contribuer à la sécurité. L’ensemble comportements
s’inscrit évidemment dans le cadre général des moyens techniques et organisationnels, qui d’initiative
favorisent plus ou moins ces comportements.
L’objet de ce guide est d’aider les entreprises à développer la dimension de « sécurité

gérée » basée sur les compétences des personnes et le fonctionnement des collectifs et
des organisations, et à favoriser sa compatibilité avec la « sécurité réglée » au sein d’une
culture de sécurité intégrée.
Des FHOS3 , il y en a déjà dans l’entreprise !
Évidemment, la prise en compte des facteurs humains et organisationnels existe déjà dans
l’entreprise : mise en place du SMS, action au quotidien de la direction, de l’encadrement et
de la maîtrise, des représentants du personnel, de professionnels spécialisés de la sécurité
et de la santé au travail, gestion des ressources humaines, travail des concepteurs, mise en
place de formations, débats au sein des collectifs professionnels. . .
Il s’agit ici :
• de clarifier les liens entre facteurs humains et organisationnels d’une part, et sécurité
d’autre part ;
• de permettre aux différents acteurs de repérer des contradictions qui existeraient entre
la politique de sécurité et les autres décisions concernant les personnes et l’organisa-
tion, en interne et vis-à-vis de la sous-traitance ;
• de les aider à aller le plus loin possible dans le développement d’une culture de sécurité
combinant la « sécurité réglée » et la « sécurité gérée » au quotidien.
Une référence partagée en matière de Facteurs Humains et Organisationnels de la Sécurité

peut faciliter la collaboration entre tous les acteurs contribuant à la sécurité, et favoriser le
dialogue social sur ce thème.
Le plan
• Une synthèse de l’ensemble des points clés qui seront exposés dans le guide est
présentée dans les pages suivantes. Elle permet une prise de connaissance rapide de
l’approche Facteurs Humains et Organisationnels de la sécurité industrielle. Tous les
concepts qui y sont présentés sont développés dans les chapitres suivants.
• Le chapitre 1 décrit l’évolution des idées sur la façon dont la sécurité industrielle est
assurée, et introduit notamment la notion de résilience ;
• Les chapitres 2 à 8 proposent un regard sur la façon dont l’activité humaine va être
influencée par des caractéristiques de la situation de travail, par les propriétés propres
de l’être humain, et par le fonctionnement des collectifs. L’approche en termes d’erreur
humaine est discutée ;
• Les chapitres suivants (9 à 11) présentent le rôle des dimensions organisationnelles
et leur contribution à une culture de sécurité.
3 Facteurs humains et organisationnels de la sécurité industrielle
5
Le processus de rédaction
Les chapitres 1 à 8, et 11 ont été rédigés par François Daniellou avec Bernard Dugué
(Département d’Ergonomie, Institut De Cognitique, Bordeaux) et Jérôme Grall (Ergo-
nova, Toulouse).
Le chapitre 9 a été rédigé par François Daniellou et Ivan Boissières (ICSI).
Le chapitre 10 a été rédigé par Marcel Simard (Université de Montréal, Canada).
Ivan Boissières a coordonné la rédaction.
Les illustrations ont été réalisées par Jérôme Gabet (Département Conception et
Assistance Multimédia, Université Victor Segalen Bordeaux 2).
Caroline Kamaté et Éric Marsden (Fondation pour une Culture de Sécurité Industrielle,
Toulouse) ont effectué la mise en forme de cet état de l’art.
Différentes versions de ce document ont été relues par des chercheurs, et par les
membres de l’ICSI. Plusieurs allers et retours ont eu lieu avec le groupe d’échange
Facteurs Humains et Organisationnels (GEc FHO) de l’ICSI.
Ce cahier fait suite à une première version publiée en avril 20094 . Il intègre certaines
modifications notamment dans les chapitres 9 et 10. Le chapitre 10 a été enrichi par deux
sections supplémentaires.
4 Voir : Daniellou, F., Simard, M. et Boissières, I. (2009). Facteurs humains et organisationnels de la sécurité indus-
trielle : un état de l’art (première version) Numéro 2009-04 des Cahiers de la Sécurité Industrielle, Institut pour une
Culture de Sécurité Industrielle, Toulouse, France (ISSN 2100-3874). Disponible à l’URL http://www.icsi-eu.
org/francais/dev_cs/cahiers/
6
Préambule
Merci à tous les lecteurs qui ont fait évoluer la rédaction par leurs critiques et leurs sugges-
tions :
Prénom Nom Organisme
René Amalberti Haute Autorité de Santé
Philippe Balzer CRAM Midi-Pyrénées
Francis Berrocal Force Ouvrière
Pierre Billet GDF SUEZ
Philippe Blanc Total
Bernard Boglietti EDF
Damien Burban Air Liquide
Marie Carlo GDF SUEZ
Michel Cathala ICSI
Cynthia Colmellere IRSN
Jean-Paul Cressy CFDT
Christophe De Blignières Total
René Deleuze ICSI
Gilbert De Terssac CNRS
Didier Faucon EDF
Roger Gachot Air Liquide
Vincent Gauthereau Areva
Claude Gilbert CNRS
Bernard Heldt SIAAP
Valérie Lagrange EDF
Patrick Lainé EDF R&D
Jean-Christophe Le Coze INERIS
Marylise Léon CFDT
Michel Mazeau INPT-CNAM
Guy Migault Rhodia
Thomas Montauboin Total
Stéphanie Montoya CFDT
Jean-Claude Motte ICSI
Christian Neveu SNCF
Claire Pelegrin Airbus
Céline Pena EDF
Bernard Petitpain Total
Jean-Michel Pesteil ICSI
Michèle Planeix Saipem
Philippe Rinaudo RATP
Philippe Robard Arkema
Gilles Vacher ICSI
Jacques Valancogne RATP
Pierre Vignes SNCF
Jean-Claude Rebeillé ICSI
7
Ont également participé à l’élaboration de ce document, par leur relecture et leurs com-
mentaires, un certain nombre de managers et d’experts ergonomes, psychologues, so-
ciologues et ingénieurs fiabilistes du Département Management des Risques Industriels
d’EDF R&D.
8
Les Facteurs Humains et Organisationnels de la
Sécurité industrielle : un regard sur le travail
Synthèse
et sa contribution à la fiabilité
des systèmes
Ce chapitre présente de façon synthétique les apports essentiels du regard Facteurs Humains
et Organisationnels sur la Sécurité industrielle (FHOS). Chaque point est développé dans
l’un des chapitres du guide.
Pour comprendre ce qui conditionne l’activité humaine, nous évoquerons d’abord les pro-
priétés de l’être humain, puis les influences de la situation de travail, des collectifs, de
l’organisation et plus globalement de la culture de sécurité du site.
L’être humain a des propriétés peu modifiables
Le corps et le fonctionnement humains ont des propriétés qui sont décrites par diverses
disciplines (physiologie, psychologie. . .).
Les conditions physiologiques varient
Le cerveau humain n’est pas dans le même état biologique à 15 heures ou 3 heures du matin.
La fatigue conduit à mobiliser plus de ressources (par exemple musculaires) pour obtenir un même
résultat.
Le fonctionnement des collectifs humains obéit aussi à des lois qui sont étudiées par d’autres
disciplines (sociologie, anthropologie, psychologie sociale. . .).
On peut décrire ces propriétés individuelles et collectives, de façon à les intégrer dans la
conception de dispositifs techniques et d’organisations qui favorisent l’activité humaine.
Adapter l’environnement de travail à l’homme
La conception des vues d’écran peut intégrer des connaissances sur la perception visuelle, sur le
raisonnement humain, et sur le travail coopératif.
Mais on ne peut guère modifier ces propriétés, sauf dans quelques domaines, et en général
de façon limitée, par la formation.
Certaines propriétés humaines ne sont pas modifiables
Aucune consigne, aucune formation ne permettra à l’opérateur de nuit de disposer d’un cerveau
ayant son état de jour.
Bien sûr, la mise en œuvre qui sera faite de ces propriétés est, quant à elle, influencée par
de nombreux facteurs : caractéristiques de la situation de travail, histoire de la personne,
fonctionnement des collectifs, culture de l’entreprise. . .
La conception des systèmes techniques et des organisations peut être plus ou moins compa-
tible avec les propriétés humaines, et favoriser ou non leur mise en œuvre performante.
Lorsque l’on place les êtres humains dans des situations qui ne sont pas compatibles avec
leurs propriétés individuelles et collectives :
9
• on diminue leur capacité de détection et la performance de leurs actions ;

• on augmente la probabilité d’erreurs non récupérées ;
• on peut générer un risque pour la santé.
Une question de bon sens ?
Chacun de nous peut, comme être humain, supposer savoir ce qui est bon ou mauvais
du point de vue des propriétés humaines.
Cependant, ce n’est pas le bon sens qui permettra de répondre à des questions comme :
• Combien de temps un opérateur peut-il maintenir sa vigilance sur un écran où il

ne se passe pas grand-chose ?
• Comment concevoir des vues d’écrans qui favorisent la détection de la dérive
d’une mesure ?
• Pourquoi des opérateurs dans une installation dangereuse font-ils « exprès » de
prendre des risques ?
• Comment l’équipe tout entière s’est-elle confirmée collectivement dans un mau-
vais diagnostic ?. . .
Ces questions sont aussi difficiles que déterminer les conditions d’emballement d’une
réaction chimique ou la résistance d’un matériau.
Un ensemble de disciplines éclairent le fonctionnement humain individuel et collectif.
La prévention des accidents suppose que les connaissances produites par ces disciplines
soient diffusées dans l’entreprise, considérées avec la même attention que celles des disci-
plines qui décrivent la matière et les phénomènes physiques, et que les recommandations
qui en découlent soient intégrées dans les processus de conception et de réorganisation.
Ce sont les situations qui appellent les comportements
Il est fréquent d’entendre : « il faut changer les comportements ». Or les comportements ne

sont pas un résultat seulement de la personnalité ou de la formation des opérateurs. Les
caractéristiques des situations dans lesquelles des humains sont placés rendent certains
comportements plus probables.
Le contexte influe sur le comportement
L’enfermement de plusieurs personnes pendant une heure dans un ascenseur augmente la probabi-
lité de comportements de panique ou agressifs.
Certaines situations d’exploitation peuvent avoir des caractéristiques qui augmentent la

probabilité de comportements humains non souhaitables.
Une situation particulière peut favoriser un comportement inapproprié
L’inversion des pédales de frein et d’accélérateur sur un véhicule industriel augmente considéra-
blement la probabilité d’une erreur.
Un mauvais éclairage augmente la probabilité qu’un robinetier, qui doit intervenir sur une vanne,
se trompe de vanne ou prenne sa torche entre les dents au risque de se contaminer.
Le comportement humain n’est pas prévisible de façon mécanique, car différentes personnes
peuvent adopter des comportements différents dans une même situation. Mais il est pré-
dictible en termes de probabilités : certaines situations favorisent plutôt certains comporte-
ments.
Si ces comportements ne sont pas souhaitables du point de vue de la sécurité, la seule façon
de diminuer sensiblement leur probabilité d’apparition est d’agir sur les caractéristiques
de la situation.
10
Synthèse
Ces caractéristiques peuvent être locales (conception du poste de travail, des outils, d’une
procédure) ou beaucoup plus globales (politique d’achats de l’entreprise, politique de sanctions,
plans de formation).
Le travail n’est jamais simple exécution
Les entreprises mettent en place des procédures, définissant les objectifs à atteindre et les
étapes à suivre pour les atteindre.
Mais le travail des opérateurs ne se limite jamais à la seule exécution des procédures. Lors-
qu’ils le font, il s’agit de grève du zèle, et le système est bloqué.
En effet,
Les situations d’exploitation sont riches de variabilités
Des matières premières sont sensibles à l’humidité, une vanne est grippée et plus dure que sa
voisine supposée semblable, une pompe est en panne, l’opération se passe tantôt de jour tantôt de
nuit, au froid ou à la chaleur, parfois le collègue avec qui on se coordonne est grand parfois petit,
on est plus ou moins dans l’urgence. . .
Les opérateurs, selon leur expérience et leurs compétences, vont percevoir ces variations, et
tenter d’y répondre en adaptant leur mode opératoire. Parfois, ils détecteront que la situation
est nettement anormale et chercheront un recours auprès de leurs collègues ou de leur
hiérarchie. La production ne sort que parce que chacun gère de nombreuses variabilités
dans la réalisation de ses tâches, avec des compétences issues de toute son histoire.
Les opérateurs doivent aussi gérer leur propre état et ses variations
Les opérateurs déploient différentes stratégies pour rester éveillés à 3 heures du matin.
Lors d’une intervention sur une estacade, l’opérateur plus âgé et plus expérimenté monte directe-
ment avec les bons outils et juste ceux-là. Le jeune fait plusieurs allers-retours, car son expérience
est moindre et sa condition physique meilleure.
Par l’adaptation de leurs modes opératoires, les opérateurs tentent d’accomplir les tâches
d’une façon :
• qui soit performante (quantité de production, qualité, sécurité) ;

• qui ne conduise pas à des effets négatifs sur l’organisme (fatigue, douleurs. . .) ;
• qui leur apporte différents bénéfices (sentiment du travail bien fait, reconnaissance
par les pairs, par la hiérarchie, développement de nouvelles compétences. . .).
Les modes opératoires mis en œuvre par les opérateurs visent donc à réaliser la performance performance à coût
à un coût humain acceptable. humain acceptable
Les modes opératoires qui augmentent nettement le coût pour les opérateurs ne seront
durablement retenus par eux que s’ils leur apparaissent comme les meilleurs compromis
performance/coût humain dans une situation donnée.
Une situation d’exploitation où la performance est bonne, mais où elle a été obtenue au
prix d’un coût humain très élevé pour les opérateurs est un gisement de risques : il est
probable qu’une petite variation du contexte ou un changement d’opérateur suffira pour
que la performance ne soit plus atteinte.
Une approche « Facteurs Humains » de la sécurité implique de prendre simultanément en
compte l’atteinte de la performance et la compréhension du coût humain qui a été engagé
pour l’atteindre.
L’humain, agent de fiabilité et d’infiabilité
L’erreur humaine est un facteur souvent invoqué comme cause, ou parmi les causes d’un
accident. Or souvent, les erreurs sont les conséquences de caractéristiques de la situation,
11
qui n’ont pas permis aux opérateurs et aux collectifs de mobiliser leurs compétences de
façon pertinente.
Dans l’ensemble, la contribution humaine à la sécurité est d’abord positive.
• Les opérateurs détectent et gèrent de nombreuses situations à risques, qui n’auraient

la contribution pas été détectées ou correctement traitées par un automate.
humaine à la sécurité
est d’abord positive Les automatismes ne remplacent pas l’humain. . .
Un conducteur n’entame pas sa marche arrière parce qu’il voit qu’un piéton s’apprête à pas-
ser derrière la voiture. Le conducteur interprète l’intention du piéton, un radar ne détecterait
que sa présence effective.
• L’activité humaine récupère de nombreuses erreurs, soit individuellement soit collec-

tivement.
• Les humains tirent des leçons des situations vécues, et développent leur capacité
individuelle et collective à faire face à des situations similaires.
Il est nécessaire de comprendre les mécanismes de cette contribution à la fiabilité pour

analyser les cas où ils ont été mis en défaut.
Dire qu’une « erreur humaine » est l’origine d’un accident est un raccourci qui ne favorise
pas la prévention :
l’expert connaît la • Les experts qui déterminent qu’une erreur a été commise ne sont pas dans la même
suite de l’histoire ! situation que celui qui la commet : eux connaissent la suite de l’histoire, et disposent
d’informations autres que celles qui ont conduit à la décision erronée !
• L’erreur n’a conduit à un accident que parce que, ce jour-là, elle n’a pas été récupérée.
Une même action erronée a pu se produire de nombreuses fois sans conséquences
graves, si les « barrières » techniques et organisationnelles ont fonctionné. La survenue
de l’accident manifeste une défaillance dans l’ensemble des barrières.
• L’erreur d’un opérateur ne peut engendrer un accident que si elle se combine avec de
nombreux autres facteurs techniques et organisationnels, dont certains sont perma-
nents. Les erreurs de conception se traduisent par des « erreurs latentes », c’est-à-dire
des configurations où il est hautement probable qu’une erreur de réalisation soit com-
mise un jour.
L’erreur peut être latente
Si un logiciel en France utilise le mode américain d’affichage des dates, il est très probable
que quelqu’un interprétera un jour 12/03/2008 comme le 12 mars et non comme le 3 dé-
cembre. Si c’est une indication du type « travaux, accès interdit jusqu’au 12/03/2008 », les
conséquences peuvent être graves.
• Ce sont les mêmes propriétés de l’être humain et de son activité qui permettent sa
contribution à la fiabilité et qui parfois, conduisent à une source d’infiabilité.
une erreur est Une erreur est toujours involontaire, et doit être distinguée d’une violation qui est volontaire
toujours involontaire (pas nécessairement répréhensible).
La violation est volontaire
Il y a des travaux sur la route, on ne peut faire autrement que de franchir la ligne blanche qui n’a
pas été effacée, c’est une « violation ».
Le mot « faute » est parfois utilisé en français pour traduire l’anglais « fault » qui signifie
« défaillance ». Il introduit une notion morale ou juridique, qui obscurcit souvent la compré-
hension de ce qui s’est passé et contribue peu à la prévention.
Une politique de sanctions qui pénalise erreurs et violations sans réflexion sur l’intention de
l’opérateur et les circonstances dans lesquelles il se trouvait est contre-productive du point
de vue de la sécurité.
12
Synthèse
La contribution des collectifs
Les collectifs professionnels (équipe de conduite, de maintenance. . .) peuvent apporter une les collectifs
contribution importante à la sécurité : professionnels
peuvent améliorer la
sécurité
• ils constituent une barrière par rapport aux erreurs susceptibles d’être commises par
l’un des membres (détection et récupération) ;
• ils apportent un soutien limitant les effets sur la sécurité des variations d’état de
chacun (événement personnel), et une entraide permettant de diminuer le coût humain
de la réalisation des tâches ;
• ils peuvent contribuer à la discussion des doutes sur les situations rencontrées, à la
capitalisation de l’expérience sous forme de « règles de métier », et au signalement de
situations anormales ;
• ils peuvent contribuer à la reconnaissance du « travail bien fait » ;
• ils contribuent à l’accueil et la formation des nouveaux, auxquels ils peuvent trans-
mettre des formes de connaissances distinctes de celles enseignées par l’entreprise
(connaissance physique des installations, règles de métier pour faire face à certaines
situations).
Pourtant, les collectifs ne jouent pas toujours ce rôle positif. Trois grandes situations sont
gravement négatives pour la sécurité :
• Le cas de collectifs de métier forts, perçus par l’organisation comme une menace,
et pour lesquels il n’existe aucun espace de discussion entre les règles formelles de
l’entreprise et les règles de métier dont le groupe est porteur. Il y a alors divorce entre
la sécurité vue par le métier et la sécurité vue par l’encadrement, ce qui peut conduire
à des risques graves et interdit tout progrès.
• Les collectifs abîmés, voire détruits, par les évolutions organisationnelles. Le repli
individuel a pris le pas sur la mise en commun des doutes et des compétences. La
méfiance réciproque limite les échanges d’information et le signalement de situations
anormales. La vigilance globale du groupe est affectée. L’entraide n’existe pas, et
l’atteinte de la performance devient coûteuse pour chacun.
• Les collectifs ayant entre eux des difficultés à se comprendre, entrant en conflit, éven-
tuellement dressés les uns contre les autres. Les problèmes d’interfaces entre groupes
professionnels vont alors se multiplier, et générer des problèmes de sécurité.
Une approche Facteurs Humains et Organisationnels de la Sécurité suppose une attention à

l’état des collectifs professionnels, et des possibilités de débats entre les règles de métier et
les procédures formelles de l’entreprise.
La contribution de l’organisation et du management
L’entreprise doit donner lieu à des « productions » acceptables pour de nombreuses parties
prenantes :
• les actionnaires ;
• les clients ;
• l’administration ;
• les salariés, leurs représentants ;
• les prestataires extérieurs ;
• les riverains, voire l’opinion publique ;
• ...
13
Les normes ISO 9000 version 2000 font d’ailleurs explicitement mention de cette diversité
des « clients » de l’entreprise dont il faut intégrer les « besoins ».
Chacune de ces parties est porteuse d’une diversité d’attentes. Il s’agit donc pour l’entre-
prise de faire tenir ensemble diverses logiques qui ne sont pas spontanément compatibles.
L’organisation est le processus par lequel s’exerce cette mise en compatibilité relative entre
des logiques qui peuvent être différentes. L’organisation est à la fois une structure (un
organigramme, des règles), et un ensemble d’activités et d’interactions entre les acteurs,
permettant de gérer l’application des règles dans les situations quotidiennes ou de faire
évoluer les règles.
À l’intérieur de la structure organisationnelle, certains sont plus spécifiquement chargés de
porter une des logiques : par exemple, les responsables qualité, sécurité, environnement. À
l’inverse, la direction d’une part et les exploitants d’autre part doivent intégrer l’ensemble
des logiques, dans des compromis raisonnablement acceptables par toutes les parties pre-
nantes.
À certains moments, l’une des logiques - par exemple celle des actionnaires - peut prendre
le pas sur les autres dans les décisions de gestion. La logique de sécurité passe au second
plan pendant une période. Les personnes qui en sont porteuses sont moins reconnues, leurs
alertes peu entendues.
Un autre risque est que la logique de sécurité soit présente seulement du côté de la structure :
les règles sont produites et diffusées, mais les difficultés de leur mise en œuvre ne sont pas
traitées. L’encadrement est mobilisé pour faire passer de façon descendante des consignes
formelles, mais n’est pas engagé collectivement dans le traitement des situations réelles
complexes ni dans la remontée d’informations susceptibles d’infléchir la politique de la
direction.
organisation bavarde Lorsque la structure organisationnelle est bavarde mais sourde, la sécurité est menacée.
mais sourde
Au contraire, l’organisation contribue à la sécurité industrielle lorsqu’elle favorise une articu-
= sécurité menacée
lation constante entre les règles formelles, porteuses de savoirs généraux, et la connaissance
des situations particulières d’exploitation, portée par les opérateurs et les collectifs profes-
sionnels. Les managers de tous niveaux sont alors clairement missionnés pour assurer la
mise en compatibilité, dans les deux sens, entre les orientations globales de l’entreprise et la
réalité du travail de ceux qu’ils encadrent. C’est l’un des ingrédients essentiels d’une culture
de sécurité.
Changer la culture ?
« Il faut développer une culture de sécurité ! ». Ce terme est souvent utilisé avec l’hypothèse
que l’entreprise et l’encadrement posséderaient cette culture, qu’il s’agirait de faire acquérir
par les opérateurs de terrain. Des campagnes de communication et de formation sont parfois
mises en œuvre avec cet objectif.
la culture : une Or, ce qui détermine une culture, ce ne sont pas des messages ou des règles : c’est l’expé-
expérience partagée rience partagée de pratiques répétées et convergentes.
La culture se construit au travers de l’expérience partagée de pratiques
Chaque fois qu’il a été confronté à une contradiction entre sécurité et production, le directeur de
site a arbitré dans le sens de la sécurité, ou au contraire il a accepté des « entorses » à la sécurité
pour sortir une production.
Chaque fois qu’un opérateur atteint des objectifs de production au prix d’une prise de risque,
l’encadrement lui demande de ne plus faire ça, ou au contraire le valorise comme un héros.
Les messages managériaux sur la qualité parlent de sécurité et ceux sur la sécurité parlent de
qualité, ou au contraire les priorités contradictoires déferlent.
Chaque fois qu’il est impossible d’appliquer une règle formelle, l’encadrement organise une dis-
cussion pour ajuster règle et réalité, ou au contraire manifeste « qu’il ne veut pas le savoir ». . .
14
Synthèse
La culture de sécurité repose donc avant tout sur l’engagement personnel des membres
de la direction et de l’encadrement pour promouvoir la convergence des messages et des
pratiques : ce qui est fait par l’encadrement va dans le même sens que ce qui est prôné
aux opérateurs d’exploitation. Les messagers porteurs de mauvaises nouvelles ou d’alertes
sur des situations à risque sont bienvenus, en particulier les représentants du personnel
ou les prestataires. Les situations où la performance a été atteinte à un coût humain élevé
font l’objet d’un REX5 collectif pour éviter leur renouvellement. Le signalement par un
opérateur ou un collectif d’une erreur commise est accueilli positivement. Les sous-traitants
sont considérés comme des partenaires en matière de sécurité. Les responsabilités sont
partagées. Le système de sanctions est explicite et considéré comme légitime par tous. Les
contradictions entre règles formelles et règles de métier sont débattues, de même que les
idées innovatrices. Les processus de conception intègrent une prise en compte du travail
réel. La gestion des ressources humaines favorise la transmission des savoirs au sein des
collectifs de métier.
La culture de sécurité se traduit par la conscience partagée que chacun n’a qu’une part des
informations et des savoirs nécessaires à la sécurité. C’est fondamentalement une culture
de la discussion, de la confrontation, et de l’intégration de différentes logiques. Elle passe
donc, non seulement par le respect des prérogatives du CHSCT et des organisations syndi-
cales, mais par un style de dialogue social et des relations avec les sous-traitants favorisant
un développement continu de la contribution de chacune des parties à la prévention. Cette
culture, lorsqu’elle se développe, contribue d’ailleurs non seulement à la sécurité, mais aussi
à la qualité de la production.
La culture de sécurité implique un double lien entre les échelons centraux de l’entreprise,
qui définissent les orientations générales et les règles communes, et le niveau des sites
et des unités, où se vit la réalité des opérations d’exploitation réalisées par les salariés de
l’entreprise et les sous-traitants. Le groupe alimente les sites et les unités, mais il est alimenté
en retour par des informations sur les difficultés de mise en œuvre des règles, les échanges et
les compromis locaux qui ont eu lieu entre porteurs de différentes logiques. L’esprit général
du REX vaut pour la direction générale et les experts du siège.
L’intégration des FHO dans le SMS
Intégrer les Facteurs Humains et Organisationnels dans le Système de Management de

la Sécurité d’une entreprise ne consiste donc pas à introduire une nouvelle rubrique, qui
viendrait s’ajouter à celles qui composent le référentiel en usage.
Il s’agit plutôt de considérer la sécurité comme le résultat du travail de tous : travail de
conception, travail d’organisation, travail d’exploitation, travail d’audit et de contrôle. De
nombreux acteurs, à tous les niveaux de l’entreprise et chez les prestataires sont porteurs
d’informations et de compétences vitales pour la sécurité. Une partie de la sécurité provient
du travail de préparation de la réponse à des phénomènes prévisibles, grâce aux savoirs par-
tagés à l’échelle internationale. Une autre partie repose sur la capacité humaine individuelle
et collective à faire face localement à des situations qui n’ont pas été prévues. L’approche
FHO invite à renforcer la conscience de la nécessité de ces deux dimensions, à mesurer que
leur compatibilité n’est jamais acquise, et à s’organiser pour la favoriser. Elle suppose que
tout acteur dans le champ de la sécurité identifie que ses savoirs devront se confronter à
d’autres, dont il n’est pas détenteur.
L’intégration des Facteurs Humains et Organisationnels de la sécurité repose toujours sur
l’engagement des personnes, à tous niveaux de l’entreprise. La structure organisationnelle
peut, suivant les cas, rendre difficile, ou soutenir, cet engagement.
5 Retour d’EXpérience.
15
16
1
La fabrique de la sécurité
Ce que l’on vise, en matière de sécurité industrielle, est une absence. Il s’agit d’éviter que se
produisent des événements aux conséquences potentielles jugées inacceptables. Cependant,
cette absence n’est jamais gagnée une fois pour toutes. La sécurité est « un non-événement
dynamique ». Un système n’acquiert une certaine sécurité que par le travail initial de ceux
qui le conçoivent et le travail quotidien de nombreux acteurs qui vise à éviter l’événement
non souhaitable, à en limiter les conséquences, et à en tirer les leçons s’il survient. Comme
le système, au fil du temps, subit des évolutions internes et externes, la sécurité suppose
aussi un travail périodique de reconsidération des hypothèses précédentes, et d’ajustement.
Or, les acteurs qui contribuent à cette production de la sécurité n’ont pas que cette dimension
à gérer : la plupart doivent également contribuer à une productivité et une qualité de la
production satisfaisantes pour les clients et les actionnaires. Une approche de la sécurité
en termes de Facteurs Humains et Organisationnels consiste à s’intéresser à ce travail de
production de la sécurité comme une des dimensions de la production générale, à soutenir
ce qui le favorise et à traiter les contradictions qui peuvent le mettre à mal. Ce chapitre
introduira notamment la notion de résilience d’une organisation.
1.1 Le risque acceptable
Les industries dont il est question ici sont confrontées à des dangers : phénomènes physico-
chimiques qui peuvent diverger, énergie cinétique d’un train, haute tension électrique. . .
Ces dangers entraînent des risques, c’est-à-dire la possibilité de dommages aux personnes, à
l’environnement et aux biens1 .
La sécurité industrielle consiste à prévenir des événements dont la gravité pourrait être
élevée, même si leur probabilité a priori est faible.
Le niveau de risque acceptable en un lieu et un moment donnés est déterminé par la société.
À titre d’exemple, il y a en France chaque année environ 1 100 homicides et 7 500 décès par
cancers professionnels, les premiers sont socialement considérés comme plus inacceptables
que les seconds. Les sociétés des pays industrialisés exigent des industries un niveau de
risque pour la population générale plus bas que ce qu’elles acceptent, par exemple, de la
part du système de soins (ou des fêtes foraines !). Au fur et à mesure de la survenue d’acci-
dents industriels, les pouvoirs publics ont mis en place une réglementation stricte. Celle-ci
contribue évidemment à la sécurité, mais elle ne la garantit pas à elle seule.
1.2 Une évolution du regard
Le regard social, la réglementation, mais aussi les approches scientifiques du risque indus-
triel, ont été marqués par une série d’accidents majeurs, et par les leçons qui en ont été
tirées. Le tableau 1.1 ci-dessous rappelle quelques-uns de ces événements marquants, leurs
conséquences, et souligne quelques dimensions de l’approche des Facteurs Humains et Or-
ganisationnels de la Sécurité sur lesquelles leur analyse a contribué à mettre l’accent.
1 Il
faut souligner que l’identification d’un risque n’implique pas que l’on sache calculer sa probabilité de surve-
nue, qui n’est d’ailleurs précisément connue que pour les événements fréquents : les grands accidents sont des
événements dont la probabilité calculée a priori était ou aurait été très faible.
17
Date Lieu Pays Type de Phénomène Conséquences Quelques enjeux FHOS

site
1976 Seveso Italie Usine de Nuage de Catastrophe Directive Seveso
chimie dioxine écologique, 70 000
têtes de bétail
abattues
1979 Three Mile USA Centrale Fuite primaire Début de fusion du Complexité des systèmes, IHM2 ,
Island nucléaire cœur salle de contrôle, procédures,
effet tunnel et organisation de
la redondance organisationnelle
1984 Bhopal Inde Usine de Explosion Au moins 16 000 morts Maintenance, environnement
pesticides urbain, transfert de technologie,
non prise en compte des
lanceurs d’alerte
1986 Navette USA Navette Rupture d’un Désintégration au Causes organisationnelles, effets
Challenger spatiale joint décollage, 7 de l’histoire antérieure de
astronautes tués l’organisation
1986 Tchernobyl URSS Centrale Explosion Fuite radioactive, ≈ Pressions productives, contrôle,
nucléaire d’un réacteur 50 000 morts, millions apparition de la notion de
de personnes affectées Culture de sécurité
1987 Herald of free Mer du Ferry-boat Naufrage 193 morts Pressions productives,
entreprise Nord procédures, lanceurs d’alerte
1988 Gare de Lyon France Train Collision 56 morts Nombreux facteurs de
conception et d’organisation
1992 Mont France Avion de Écrasement 87 morts Renforcement du FH en
Saint-Odile ligne conception
1998 Longford Australie Usine de Explosion 2 morts, 8 blessés, Limites d’une culture de sécurité
gaz privation de focalisée sur les accidents
l’alimentation en gaz bénins
de l’état
2001 Toulouse France Usine de Explosion 30 morts, 2 500 blessés, Création de l’ICSI
chimie destructions urbaines
2003 Navette USA Navette Dommages au Destruction de la Causes organisationnelles de
Columbia spatiale bouclier navette à la rentrée Challenger non traitées
thermique dans l’atmosphère, 7
morts
2005 Texas City USA Raffinerie Explosion 15 morts, 170 blessés Taux de fréquence très bas non
gage de sécurité industrielle
Ta b l e 1.1 – Quelques accidents industriels majeurs et quelques enjeux FHOS.
Le développement des travaux scientifiques sur les risques d’accidents industriels et sur
leur prévention a été marqué par ces événements. Sans que l’on puisse faire une correspon-
dance terme à terme entre les événements et l’émergence des théories, on peut rappeler
quelques travaux dont la publication a contribué à fait évoluer l’approche FHOS. Ce tableau
(cf. Tableau 1.2) n’est bien sûr pas exhaustif, de nombreuses références seront évoquées dans
chacun des chapitres de cet ouvrage.
2 Interface Homme Machine
18
1.3. Travail d’anticipation et travail quotidien
1947 Fitts et Jones Les erreurs de pilotage des avions militaires conduisant à des
crashes s’expliquent par la conception des cadrans et des
commandes
1968 Leplat et Cuny Recherches sur le contrôle à distance
1970 Faverge L’homme agent de fiabilité et d’infiabilité dans les systèmes
complexes
1970 INRS, Cuny L’arbre des causes
1974 Edwards and Lees The Human Operator in process control
1979 Weick The social psychology of organizing
1981 Rasmussen Human detection and diagnosis of system failures
1982 [Directive Seveso]
1984 Perrow Normal Accidents : Living with high-risk technologies
1985 Leplat Erreur humaine, fiabilité humaine dans l’entreprise
1986 Beck La société du risque
1986 Daniellou L’opérateur, la vanne, l’écran, l’ergonomie des salles de contrôle
1987 Roberts, La Porte, Todd Premier congrès sur High Reliability Organizations
1989 De Keyser Synthèse sur « l’erreur humaine » dans La Recherche
1990 Reason Human error
1990 Leplat, De Terssac Les facteurs humains de la fiabilité dans les systèmes
complexes
1996 [Directive Seveso 2]
1996 Amalberti La conduite de systèmes à risques (notamment la gestion des
ressources cognitives)
1996 Vaughan The Challenger Launch decision
1996 Llory Accidents industriels : le coût du silence
1997-2000 Simard La culture de sécurité et sa gestion
1999 Châteauraynaud, Torny Les sombres précurseurs (les lanceurs d’alerte)
1999 Bourrier Le nucléaire à l’épreuve de l’organisation
2001 Weick Managing the unexpected
2004 Hollnagel Barriers and accident prevention
2006 Hollnagel, Woods, Leveson Resilience engineering
T a b l e 1.2 – Quelques travaux sur l’approche FHOS.
Ces travaux éclairent notamment les deux contributions majeures à la sécurité industrielle :
l’anticipation de ce qu’il est possible de prévoir, et la capacité de présence face à l’imprévu.
1.3 Travail d’anticipation et travail quotidien
Lors de la conception du système, il est procédé à une étude de dangers et à une analyse
de risques. Les concepteurs cherchent à identifier des configurations de fonctionnement
conduisant à un risque. La prévention de ces risques identifiés est assurée par une série de
barrières :
• la conception technique du système (dimensionnement, confinement, automatismes

de mise en sécurité. . .) ;
• la définition de procédures d’exploitation et de maintenance, visant à contenir l’utili-
sation du système dans des limites sûres ;
• la formation des opérateurs au respect des procédures ;
• la mise en place d’une organisation et d’un management assurant le respect des règles ;
• des audits périodiques contrôlant l’ensemble.
19
L’hypothèse est que, si les règles sont respectées, les configurations de fonctionnement non
souhaitables qui ont été repérées ont une très faible probabilité de se produire.
Pourtant, même dans les premiers temps du fonctionnement nominal de l’installation, il sur-
vient de nombreux événements qui n’avaient pas été anticipés, pour lesquels les procédures
ne fournissent pas toutes les réponses, et qui sont gérés par les opérateurs de production
et de maintenance, avec ou sans interaction avec le management. Deux raisons principales
expliquent cet écart par rapport aux prévisions.
D’une part, le système comporte des variabilités d’une granularité beaucoup plus fine que
le système comporte ce qui peut être anticipé en conception. . .
des variabilités
Variabilité du système
Deux vannes identiques ont des réactions légèrement différentes, un écrou est grippé, une vipère a
fait son nid dans une armoire électrique, une échelle a été utilisée ailleurs. . .
Les opérateurs présents sur le terrain détectent ces variations et adaptent leurs modes
opératoires. Parfois, la sécurité suppose de sacrifier la production : on enclenche un arrêt
d’urgence, on stoppe une opération. Mais si la production était arrêtée chaque fois qu’une
non-conformité apparaît, l’efficacité du système serait pour le moins fragilisée3 . De très
nombreux ajustements sont faits en permanence, pour faire face à des situations qui ne sont
pas couvertes par une procédure. Et, dans la représentation de ceux qui les font, ils sont faits
d’une manière compatible avec la sécurité.
D’autre part, des événements prévus chacun dans une procédure peuvent se trouver combi-
nés d’une façon nouvelle, ou des événements prévus se combiner avec d’autres non prévus.
Il n’est pas possible, ni pratiquement ni même conceptuellement, d’imaginer une méta-
procédure qui couvrirait toutes les combinaisons envisageables. Les opérateurs présents
vont élaborer une réponse originale à cette situation inhabituelle, en mobilisant leurs res-
sources individuelles et collectives, et éventuellement en consultant la hiérarchie.
Dans l’immense majorité des cas, ces ajustements en marge des procédures assurent à la fois
les mêmes la sécurité et la productivité du système. De façon beaucoup plus rare, ils sont identifiés a
mécanismes peuvent posteriori comme l’un des facteurs d’un incident ou d’un accident. Souvent, l’écart à la règle
conduire au succès où qui a conduit au succès ne sera pas rapporté ni analysé, seul le sera celui qui a provoqué
à l’événement un incident. Or, la réflexion sur la sécurité industrielle doit prendre en compte que ce sont
indésirable. . .
les mêmes mécanismes qui assurent le succès quotidien de la production et l’événement
non-souhaité.
Si des ajustements comme ceux qui viennent d’être décrits sont nécessaires dès le début du
fonctionnement nominal d’un système, leur ampleur s’accroît en général au fur et à mesure
de la vie de celui-ci.
1.4 Les migrations du système
Le système a été initialement conçu pour certaines conditions d’exploitation. Or, au fil du
temps, le système évolue, et ses conditions d’exploitation changent. Il s’agit du défi majeur
de la sécurité industrielle.
Le système en lui-même évolue au cours du temps. Certains composants vieillissent,
s’érodent, leur obsolescence les rend difficiles à maintenir. Des modifications locales ont
été faites, sans que l’ensemble des études de risques aient été reprises. La population de tra-
vailleurs se modifie, par exemple les plus âgés expérimentés sont remplacés par des jeunes
plus diplômés mais qui connaissent moins bien les installations.
Parallèlement, les conditions d’exploitation changent aussi. De nouveaux produits sont
le système et ses demandés par les clients. Les exigences de productivité augmentent, et les objectifs à court
conditions
d’exploitation évoluent 3 C’est le principe de la sécurité ferroviaire (pour les passagers) : un train ne peut rentrer dans un « canton » que si
les conditions sont conformes au sein de celui-ci. Si ce n’est pas le cas, il attend devant un signal fermé ou franchit
celui-ci au ralenti après un processus d’autorisation. Le principe « tant que tout n’est pas clair on attend » assure un
haut niveau de sécurité mais engendre des retards, qui contribuent à sa mise en cause actuelle pour des raisons de
productivité. En revanche, la sécurité du personnel travaillant sur les voies ne repose pas sur ce principe de tout ou
rien, elle est basée, comme il est général dans les industries à risques, sur des ajustements locaux fins (évidemment
dans le cadre de règles générales) entre sécurité et productivité (Hale and Heijer, in Hollnagel et al., 2006).
20
1.5. La résilience
terme se trouvent parfois localement contradictoires avec les exigences de sécurité à long
terme. Les organisations sont modifiées. Des couches supplémentaires de procédures ont
été ajoutées à celles définies initialement. Le formalisme lié à la qualité ou à la sécurité s’est
accru, réduisant d’autant les marges temporelles de réalisation effective des opérations de
production ou de maintenance.
Le système migre ainsi dans une zone de fonctionnement qui n’est pas celle qui a fait l’objet
de l’analyse des risques initiale. Il peut avoir tendance à se rapprocher des limites acceptables
d’un fonctionnement sûr, limites virtuelles dont tout le monde sait qu’elles existent, mais
dont on ne connaît la position que lorsqu’on les a franchies.
Pour autant, dans la vie quotidienne du système, tout continue à fonctionner. La production
est assurée, et aucun incident majeur n’est survenu. Les ajustements à la marge se sont
multipliés, permettant que la quantité et la qualité se situent dans les fourchettes requises.
Comme il n’y a pas eu d’incident grave depuis très longtemps, le système peut être perçu
comme aussi sûr que lors de son fonctionnement nominal initial, et la sécurité est devenue
routinière. Tous les indicateurs des tableaux de bord de gestion sont au vert, y compris
éventuellement le taux de fréquence des accidents aux personnes. Rien ne semble annoncer
que cette installation fera prochainement la une des journaux.
Rien ? Ce n’est bien sûr pas le cas. La réalisation d’opérations de production et de mainte-
nance est devenue plus difficile : la performance finale est toujours bonne, mais l’opération
a engendré plus de difficultés pour les personnes qui les réalisent, elle a mis plus de temps,
nécessité plusieurs tentatives. De plus en plus de procédures sont durablement enfreintes,
sans que cela fasse débat. Des situations où l’on aurait autrefois arrêté la production sont les signaux faibles
tolérées. L’écart s’est creusé entre les messages managériaux descendants et la réalité de d’une migration du
ce que vivent les personnels d’exploitation. Certains sont mis en difficulté par la sensation système
qu’ils ont que l’on est très près de la limite, mais ne parviennent pas à l’exprimer, sauf par-
fois au médecin du travail. Quelques voix s’élèvent, par exemple au CHSCT, mais elles sont
interprétées comme relevant des jeux habituels des rapports sociaux.
Ce tableau n’est évidemment pas le seul possible. Le concept de « résilience » qui s’est
largement développé ces dernières années, décrit la capacité d’une organisation à faire
face activement aux variations des conditions de fonctionnement, plutôt que de se laisser
entraîner sans le savoir vers la limite fatale.
1.5 La résilience
En physique, le terme résilience désigne la capacité d’un matériau à résister à un choc. En

psychologie, il s’agit de la capacité de quelqu’un à vivre et à se développer après avoir subi
un choc traumatique, un événement grave.
Dans le domaine de la sécurité et par analogie, le terme résilience a d’abord désigné « la
capacité d’une organisation à retrouver, après un incident majeur, un état dynamique lui
permettant de se développer à nouveau ». Autrement dit, si le système est résilient, sa capa-
cité à vivre n’est pas anéantie par l’incident.
Cette acception du mot résilience est apparue comme trop restrictive, dans la mesure où elle
ne qualifie l’organisation que dans sa capacité à faire face une fois l’événement survenu.
Or, bien évidemment, cette capacité a posteriori se joue par avance, dans la manière dont
l’organisation sait anticiper l’événement, préparer la réponse adéquate, détecter les signaux
qui l’annoncent et gérer sa survenue éventuelle. On considérera donc que : la résilience
d’une organisation est « sa capacité à anticiper, détecter précocement, et répondre adé- la résilience : anticiper,
quatement à des variations du fonctionnement du système par rapport aux conditions détecter, et faire face à
de référence, en vue de minimiser leurs effets sur sa stabilité dynamique4 ». des écarts
4 Dans Hollnagel et col., 2006
21
Pour développer sa résilience, une organisation doit :
• être consciente que le niveau de sécurité d’un moment est toujours menacé par
les évolutions du système et ses migrations d’usage, notamment les contradictions
entre objectifs à long terme de sécurité et objectifs de productivité à court terme ;
• être consciente que les indices d’une dérive aux frontières de la zone sûre ne sont
pas forcément révélés par les indicateurs de gestion habituels : beaucoup d’entre
eux sont détenus par les acteurs de terrain, mais ne remontent pas spontanément
par les systèmes d’information en place ;
• favoriser à la fois la remontée des alertes et leur mise en débat ;
• reconnaître la nécessité, pour définir des règles compatibles avec les évolutions
du système, de confronter des connaissances d’experts et des connaissances de
terrain. En matière de sécurité, chacun ne possède qu’une partie des connaissances
nécessaires ;
• reconnaître explicitement le management de terrain et le CHSCT comme des
acteurs essentiels de ce processus de détection et de traitement des variations de
fonctionnement.
Nous reviendrons en détail sur tous ces points. Dans les chapitres qui suivent, nous décrirons
d’abord la contribution de l’activité individuelle de chacun aux ajustements qui permettent
le fonctionnement sûr du système, mais qui peuvent aussi menacer sa sécurité. Les forces
et les faiblesses des propriétés de l’être humain sont des données qui doivent être prises
en compte dans la réflexion sur la sécurité. Nous mettrons ensuite en évidence le rôle des
collectifs et des organisations.
22
1.5. La résilience
Bibliographie
Amalberti, R. (2000). La conduite des systèmes à risques. Coll. Le Travail Humain. Presses Universitaires
de France, Paris, 2de édition.
Amalberti, R., Fuchs, C., et Gilbert, C. (2001). Conditions et mécanismes de production des défaillances,
accidents et crises. CNRS-MSH-Alpes.
Beck, U. (2001). La société du risque – Sur la voie d’une autre modernité. Aubier, Paris. Traduction
française de Risikogesellschaft – Auf dem Weg in eine andere Moderne (1986), ISBN 2700736796.
Bourrier, M. (1999). Le nucléaire à l’épreuve de l’organisation. Coll. Le Travail Humain. PUF, Paris.
Chateauraynaud, F. et Torny, D. (1999). Les Sombres Précurseurs, une sociologie pragmatique de l’alerte
et du risque. Éditions des Hautes Études en Sciences Sociales, Paris.
Daniellou, F. (1986). L’opérateur, la vanne et l’écran. L’ergonomie des salles de contrôle. Coll. Outils et
méthodes. ANACT, Lyon.
Duclos, D. (1991). L’homme face au risque technique. Coll. Logiques Sociales. L’Harmattan, Paris.
Dwyer, T. (1991). Life and death at work : Industrial accidents as a case of socially produced error. Plenum
Studies in Work and Industry.
Faverge, J. (1970). L’homme, agent d’infiabilité et de fiabilité du procesus industriel. Ergonomics, 13(3).
Hollnagel, E. (2006). Barriers and Accident prevention. Ashgate, Aldershot, UK.
Hollnagel, E., Woods, D., et Leveson, N. (2006). Resilience Engineering : Concepts and Precepts. Ashgate
Publishing Ltd, Aldershot, UK.
International Nuclear Safety Advisory Group (INSAG) (2002). Key practical issues in strengthening
safety culture, INSAG-15. Rapport technique, AIEA. Disponible à l’URL : http://www-pub.iaea.
org/MTCD/publications/PDF/Pub1137_scr.pdf.
International Nuclear Safety Advisory Group (INSAG) (2003). Managing change in the nuclear
industry : the effects on safety, INSAG-18. Rapport technique, AIEA. Disponible à l’URL :
http://www-pub.iaea.org/MTCD/publications/PDF/Pub1173_web.pdf.
International Nuclear Safety Advisory Group (INSAG) (2008). Improving the international system
for operating experience feedback, INSAG-23. Rapport technique, AIEA. Disponible à l’URL :
http://www-pub.iaea.org/MTCD/publications/PDF/Pub1349_web.pdf.
Keyser, V. D. (1989). L’erreur humaine. La Recherche, 20(216) :1444–1455.
Lagadec, P. (1981). La civilisation du risque, catastrophes technologiques et responsabilité sociale. Seuil,

Paris.
Leplat, J. (1985). Erreur humaine, fiabilité humaine dans l’entreprise. Collection U. Armand Colin, Paris.
Llory, M. (1996). Accidents industriels, le coût du silence. Opérateurs privés de parole et cadres introuvables.
L’Harmattan, Paris.
Perrow, C. (1999). Normal accidents : Living with High-Risk Technologies. Princeton University Press,
Princeton.
Perrow, C. (2007). The Next Catastrophe : reducing our vulnerability to natural, industrial, and terrorist
disasters. Princeton University Press.
Rasmussen, J. et Rouse, W. (1981). Human detection and diagnosis of system failures. Plenum Press.
Reason, J. (1993). L’erreur humaine. Coll. Le Travail Humain. Presses Universitaires de France, Paris.
Traduit par J.M. Hoc, de « Human Error », 1990, Cambridge University Press, ISBN 213045187X.
Simard, M. (2000). Chapitre La culture de sécurité et sa gestion dans Encyclopédie de la santé et de la

sécurité au travail (international du travail, B., Éd.), pages 59.5–59.9. J. Stellman, Genève, Suisse.
Vaughan, D. (1996). The Challenger launch decision : Risky technology, culture and deviance at NASA.
University of Chicago Press, Chicago. ISBN 978-0-226-85175-4.
Weick, K. E. (1979). The social psychology of organizing. Addison-Wesley Pub.
Weick, K. E. et Sutcliffe, K. M. (2001). Managing the Unexpected : resilient performance in an age of

uncertainty. Wiley.
23
24
2
Des « comportements » à l’activité
Dans ce chapitre, nous nous intéresserons au lien entre l’activité individuelle et la sécurité
industrielle. La référence au « comportement » des acteurs est souvent présente dans les
approches de la sécurité. Ce terme véhicule parfois une approche du travail humain plus
restrictive que l’approche que propose celle des Facteurs Humains, qui cherche à comprendre
l’activité humaine et ce qui contribue à la déterminer.
2.1 Les comportements : ce qui est observable
Le comportement d’un être vivant est la partie de son activité qui se manifeste à un observa-
teur : sa posture, ses mouvements, son expression verbale ou ses mimiques, les modifications
physiologiques visibles (sueur. . .), l’emploi d’un outil ou d’un équipement, etc.
Quand on observe un animal, on ne peut faire que des hypothèses sur ce qui détermine le
comportement constaté. Dans le cas d’un être humain, on peut aller au-delà du comporte-
ment, et s’interroger sur l’organisation de l’activité de la personne, et ce qui la détermine.
On s’intéresse alors aux dimensions cognitives1 , psychiques et sociales qui sont à l’origine
du comportement observable.
Les approches comportementales
Les approches comportementales de la sécurité, diffusées par une entreprise multina-

tionale de la chimie et des cabinets de consultants, sont basées sur le modèle ABC (An-
tecedents, Behavior, Consequences) : le comportement (behavior) est considéré comme
résultant de certains antécédents et d’une anticipation des conséquences possibles. Le
modèle met l’accent sur le fait que les conséquences anticipées déterminent plus le com-
portement que les causes antécédentes. De plus, les conséquences certaines, immédiates
et positives influenceraient plus les comportements que les conséquences incertaines,
différées, ou négatives. Les programmes d’amélioration continue de la sécurité, basés sur
ce modèle, comportent des campagnes d’observation du comportement des opérateurs
par leurs collègues ou leur hiérarchie, une valorisation immédiate des comportements
jugés positifs pour la sécurité, et une capitalisation des pratiques observées. La principale
cible de ce type de méthode est la conformité du comportement aux prescriptions en
matière de port des moyens individuels de protection, de suivi des procédures.
2.2 Les comportements de conformité et les comportements d’initiative
Certaines entreprises, lorsqu’elles parlent de « comportements », s’attachent principalement

aux comportements de conformité aux règles prescrites : le port des EPI, le respect des comportements de
procédures, le rangement du poste de travail. Il s’agit effectivement de comportements conformité
pouvant contribuer positivement ou négativement à la sécurité.
1 Lacognition comprend la recherche d’informations, la construction de représentations, le raisonnement, la prise

de décision, la planification de l’action et le contrôle de son résultat.
25
Mais cette approche laisse de côté de nombreux autres comportements, qui témoignent
d’initiatives des opérateurs par rapport au prescrit : prélever de nombreux indices infor-
des comportements mels sur le fonctionnement de l’installation, détecter qu’une procédure n’est pas applicable
d’initiative contribuent parce qu’un matériel est en travaux, signaler un risque, arrêter une installation dont le
à la sécurité fonctionnement est douteux, suggérer des améliorations, pratiquer l’entraide et la vigilance
mutuelle entre collègues, transmettre des savoir-faire de prudence à un nouveau, s’investir
dans les activités liées à la prévention sont des composantes majeures de la sécurité.
Les recherches dans les entreprises à risques montrent bien sûr qu’il existe une corrélation
positive entre « comportements de conformité » et niveau de sécurité, mais elles montrent
aussi que la corrélation est beaucoup plus élevée entre le taux « d’initiatives de sécurité » et
la performance globale de sécurité2 .
C’est pourquoi il est peu pertinent de focaliser une politique « Facteurs Humains et Orga-
nisationnels » de la sécurité sur la seule conformité des comportements. De plus, les com-
portements sont la partie visible d’une activité complexe. Il est nécessaire de comprendre ce
qui influence cette activité.
2.3 L’activité : la mobilisation de la personne pour atteindre des buts
L’activité d’une personne est la mobilisation de son corps et de son intelligence pour at-
teindre des buts successifs dans des conditions déterminées. L’activité comporte une dimen-
sion visible (le comportement), et des dimensions non visibles (les perceptions, les émotions,
la mémoire, les connaissances, le raisonnement, les prises de décision, la commande des
mouvements. . .).
L’activité de travail à un moment donné est une réponse à de nombreux déterminants :
• les objectifs de production, les tâches à réaliser, les règles qui les définissent, l’inter-
prétation que la personne en fait ;
• les moyens disponibles, les conditions de réalisation, les propriétés de la matière et
des matériels, l’environnement, les contraintes de temps ;
• les caractéristiques et l’état physique et psychologique de la personne ;
• ses compétences, les connaissances qu’elle a acquises en formation ou par l’expérience
de diverses situations ;
• ses motivations, ses valeurs, les autres buts qu’elle poursuit ;
• les ressources collectives disponibles ;
• les formes de présence de l’encadrement ;
• les valeurs et cultures des groupes auxquelles la personne appartient (dont la culture
de sécurité de l’unité). . .
Par son activité, l’opérateur cherche à atteindre les buts fixés, mais en tenant compte des
variabilités qui surgissent :
• variations du contexte, de l’état du process et des matériels, des moyens disponibles,

des ressources collectives ;
• variations de son propre état (jour/nuit, fatigues, douleurs. . .).
Parfois, les divers objectifs ne sont pas compatibles de façon simple. Des règles émanant
de différents services peuvent être partiellement contradictoires. Une situation d’incident
peut comporter une conjonction inhabituelle d’événements, où il existe une procédure pour
chacun mais pas pour leur combinaison. L’opérateur et l’équipe de travail vont devoir trier
entre des prescriptions, les combiner pour construire une réponse qui soit la plus adaptée
dans la situation réelle.
L’activité n’est donc pas la simple exécution de la procédure :
2 Voir l’étude de M. Simard et al, Processus organisationnels et psycho-sociaux favorisant la participation des travailleurs
en santé et en sécurité du travail, Institut de recherche en santé et en sécurité du travail du Québec (IRSST), 1999,
http://www.irsst.qc.ca/fr/_publicationirsst_662.html
26
2.4. La partie immergée de l’iceberg
• dans certains cas, la procédure est rigoureusement suivie, mais l’activité a apporté
une valeur ajoutée (vérification de l’environnement et des conditions d’application,
connaissance des réactions des matériels, contrôles intermédiaires non prescrits) :
Expérience et activité
La procédure bien suivie par un opérateur expérimenté ne donne pas lieu à la même activité
que la procédure bien suivie par un intérimaire.
• dans d’autres cas, l’activité est en écart par rapport à la procédure. De nombreuses
raisons peuvent l’expliquer : la procédure n’est pas claire ; la procédure ne correspond
pas exactement à la situation présente ; le respect de la procédure entraîne une sur-
charge pour l’opérateur qu’il ne considère pas comme justifiée ; les connaissances de
métier lui suggèrent une autre manière de faire qui paraît plus pertinente, etc. L’écart
par rapport à la procédure ne peut pas être traité seulement en termes de « non-
conformité » : il implique de comprendre les raisons qui l’expliquent, et peut-être
des contradictions qui ont pu exister entre les différents déterminants.
Le comportement observé à un moment donné n’est que le résultat de la construction com-

plexe de l’activité. On ne peut pas changer le comportement sans agir sur ce qui explique que changer les
l’activité soit organisée d’une certaine façon. Si le comportement observé n’est pas souhaitable comportements
du point de vue de la sécurité, il faut donc : implique d’agir sur les
situations
• comprendre ce qui conditionne l’organisation de l’activité ;

• transformer certains des éléments qui l’influencent.
Passer d’une approche en termes de comportement à une approche en termes d’activité,

c’est se donner la chance (et prendre le risque) d’identifier des déterminants plus nombreux,
plus profonds, et plus complexes des conduites humaines qui influencent la sécurité ; c’est
modifier les termes des débats entre les différents acteurs qui contribuent à la prévention ;
c’est ouvrir de nouveaux champs d’action pour la conception de dispositifs techniques et
d’organisations plus sûrs.
Pour faciliter cette analyse et le choix des actions pertinentes de prévention, les chapitres qui
suivent reviennent en détail sur la façon dont chacun des facteurs peut influencer l’activité.
2.4 La partie immergée de l’iceberg
Objet du travail
Observable
Muscles Sens
(vue, ouïe, toucher,
odorat, goût,
Non observable
proprioception)
Exploration
perceptive
Système nerveux central

Expérience, Formation
Fi g u r e 2.1 – L’iceberg de l’activité.
Il est parfois question de « travail manuel ». Or, le travail purement manuel n’existe pas. Dans
toute situation, l’opérateur perçoit des informations grâce à ses sens, eux-mêmes guidés dans le travail n’est jamais
leur exploration par le cerveau, et son système nerveux central va donner des ordres aux seulement manuel
27
muscles pour guider l’action sur l’objet du travail. On appelle « activité cognitive » cette
activité du cerveau qui pilote en permanence la réalisation des actions.
L’activité cognitive est partiellement consciente, mais toute une partie est automatisée3 , et
la conscience n’est alertée que si quelque chose d’imprévu survient.
Automatismes et conscience
On marche sur un trottoir sans avoir conscience du pilotage de la marche. La conscience est alertée
au moment où l’on met le pied dans un trou.
Cette activité cognitive repose évidemment sur toute l’histoire de la personne, sur toutes
les traces que son cerveau a stockées des expériences qu’elle a vécues (dont sa formation).
L’expérience influence même la recherche d’informations par les capteurs sensoriels.
Influence de l’expérience sur la recherche d’informations
Un conducteur automobile débutant ne dirige pas ses yeux de la même façon qu’un conducteur
expérimenté : le premier regarde vers l’avant droit de son véhicule, le second a le regard dirigé
loin devant. Le conducteur expérimenté va se retrouver en situation d’apprentissage s’il arrive sur
le sol britannique.
Un opérateur de contrôle débutant ne recherche pas la même information à la relève qu’un expé-
rimenté : ce dernier cherche d’abord quelques paramètres clés, alors que le débutant parcourt de
nombreux écrans.
Nous reviendrons au chapitre 4 sur les principales propriétés de cette activité cognitive.
2.5 Il est difficile de parler de son travail
Chacun sait faire un nœud de lacet de chaussure. Pour autant, il serait bien difficile d’ex-
pliquer par téléphone à quelqu’un comment faire ce nœud, sans pouvoir le lui montrer. Il
s’agit d’une connaissance incorporée, une connaissance qui est inscrite dans le corps, et
qu’il n’est pas facile de mettre en mots.
Beaucoup de connaissances mises en œuvre dans le travail sont de cette nature :
• ce n’est pas parce que l’opérateur sait faire quelque chose qu’il sait l’expliquer (à sa
hiérarchie, à un auditeur, à un jeune embauché) ;
• le fait qu’il ait du mal à l’expliquer n’empêche pas qu’il soit détenteur d’une connais-
sance qui est potentiellement importante pour la sécurité.
Il n’est pas toujours aisé d’expliquer ce que l’on connaît. . .
« Le four est bien réglé quand la lueur est légèrement orange et que le trouble de l’air est. . . C’est
compliqué ! ».
Il n’existe pas des mots pour tout décrire. Pourtant il est possible que l’opérateur soit porteur
d’une connaissance de conduite plus fine que celle que donnent les oxygènemètres. Il est
possible aussi que, si cet opérateur est remplacé par un jeune détenteur d’un BTS, sans
transmission de cette connaissance, la conduite du four soit moins sûre qu’avant.
La possibilité de parler de son travail dépend évidemment aussi du contexte général, de
l’image qu’a celui qui pose les questions, de l’usage qu’il est susceptible de faire des réponses,
des politiques de REX et de sanctions.
Prendre en compte les Facteurs Humains et Organisationnels de la Sécurité passe toujours
par le fait de favoriser l’expression de la connaissance que les opérateurs ont des situa-
tions d’exploitation, qui est porteuse d’autres aspects de la sécurité que les savoirs des
experts.
3 Il
s’agit d’automatismes acquis, et non de réflexes : ces derniers sont innés (retirer sa main de quelque chose de
chaud). Une voiture ou une installation chimique ne se conduisent pas par réflexe.
28
2.6. La performance ne reflète pas le coût humain
2.6 La performance ne reflète pas le coût humain
L’activité mise en œuvre par un opérateur vise à atteindre des objectifs, tout en sauvegardant
autant que possible son propre état (éviter des postures ou efforts extrêmes, par exemple).
• Lorsque la situation comporte les marges de manœuvre suffisantes, l’opérateur peut

élaborer des modes opératoires qui sont performants et qui tiennent compte des alertes
de son organisme.
• Quand les marges de manœuvre diminuent, pour atteindre les objectifs fixés, il doit
« prendre sur lui », et mettre en œuvre un mode opératoire qui reste performant,
mais qui est coûteux pour lui. Les coûts peuvent être physiques, mais aussi cognitifs la performance peut
(raisonnement difficile, incertitude, nombreuses décisions sous contrainte de temps. . .), avoir un coût
psychiques (atteinte à l’estime de soi. . .), sociaux (tensions avec les collègues. . .). humain. . .
• Enfin, il peut arriver que, même en prenant sur lui, l’opérateur ne puisse produire
aucun mode opératoire qui lui permette d’atteindre les objectifs fixés : c’est le « dé-
bordement ».
La performance atteinte ne reflète donc pas le coût humain que sa réalisation a généré :
des résultats excellents (du point de vue des critères de l’entreprise) ont pu être atteints à
un coût élevé pour certains opérateurs. Le fait qu’ils soient arrivés à ce qui était demandé
ne dit rien sur ce que ça leur a demandé. Si le REX porte uniquement sur la conformité des
résultats aux objectifs, il n’y aura « rien à signaler ». Pourtant, cette situation est porteuse
de risques : si cette fois-ci la performance a été atteinte, mais que les opérateurs ont eu
beaucoup de difficultés pour l’assurer, il est probable qu’une petite variation du contexte ou
un changement de personne conduiraient à un résultat non-conforme.
Une approche Facteurs Humains et Organisationnels de la Sécurité invite à toujours évaluer
la réalisation d’une tâche sous le double aspect de la performance et du coût humain :
• Est-ce que le résultat est bon ?

• Qu’est-ce que l’accomplissement de cette tâche a généré comme difficultés ? Avec
quels coûts pour les personnes et pour la sécurité industrielle du système sociotech-
nique ?
• Si le coût humain de la performance est anormalement élevé, des actions correctives
sont nécessaires.
Voyons plus précisément comment les caractéristiques de la situation de travail vont in-
fluencer l’activité qui s’y déroule.
29
Bibliographie
Cazamian, P., Hubault, F., et Noulin, M. (1996). Traité d’ergonomie. Octarès, Toulouse.
Clot, Y. (1995). Le travail sans l’homme ? Pour une psychologie des milieux de travail et de vie. La
Découverte, Paris.
Clot, Y. (1999). La fonction psychologique du travail. Coll. Le Travail Humain. PUF, Paris.
Darses, F. et Montmollin, M. (2006). L’ergonomie. Coll. Repères. La Découverte, Paris.
Falzon, P. (2004). Ergonomie. PUF, Paris.
Guérin, F., Laville, A., Daniellou, F., Duraffourg, J., et Kerguelen, A. (2006). Comprendre le travail pour
le transformer : la pratique de l’ergonomie. Coll. Outils et méthodes. ANACT, Lyon.
Kergoat, J., Boutet, J., Jacot, H., et Linhart, D. (1998). Le monde du travail. La Découverte.
Noulin, M. (2002). Ergonomie. Octarès, Toulouse.
Rabardel, P., Carlin, N., Chesnais, M., Lang, N., LeJoliff, G., et Pascal, M. (2002). Ergonomie, concepts et
méthodes. Octarès, Toulouse.
Schwartz, Y. et Durrive, L. (2003). Travail et ergologie : entretiens sur l’activité humaine. Octarès,
Toulouse.
Simard, M., Carpentier-Roy, M., Marchand, A., et Ouellet, F. (1999). Processus organisationnels et
psychosociaux, favorisant la participation des travailleurs en santé et en sécurité au travail. Études
et recherches, rapport R-211, IRSST, Montréal. Disponible à l’URL : http://www.irsst.qc.ca/
files/documents/PubIRSST/R-211.pdf.
30
3
La situation de travail influence le comportement
Activité
FHOS Effets
humaine
Culture sécurité


sécurité
Résultats santé
F i g u r e 3.1 – Ce chapitre traite de l’influence de la situation de travail.
L’opérateur qui intervient sur une partie du process est placé dans une situation de travail
qui va en partie déterminer son activité et donc, pour ce qui est observable, son compor-
tement. Si on le prend en photo, une partie de cette situation de travail sera visible : une
portion des installations, des outils, un collègue travaillant avec lui. . . Mais beaucoup d’autres
composants de la situation de travail ne se verront pas sur la photo : la stratégie de l’en-
treprise, l’histoire des installations, celle de l’opérateur, les relations sociales, les règles de
l’organisation, les collectifs de travail, le temps nécessaire pour réaliser une opération, la
chaleur et l’odeur qui règnent dans cette zone, etc. Pour autant, ces aspects-ci de la situation toutes les
influencent autant l’activité de l’opérateur que les côtés visibles sur l’image : si l’on veut composantes de la
comprendre pourquoi l’activité des opérateurs a telle ou telle caractéristique, il faut souvent situation de travail ne
chercher les raisons en dehors de ce qui peut s’observer immédiatement. sautent pas aux yeux
La figure 3.2 résume différentes composantes de la situation de travail qui vont influencer
l’activité.
31
F i g u r e 3.2 – Les composantes de la situation de travail.
L’opérateur fait partie de la situation de travail. Son propre état est extrêmement variable,
du fait des rythmes biologiques, de la fatigue, des événements personnels, comme le déve-
loppera le chapitre 4. Gérer son propre état fait partie de l’activité.
3.1 La situation est toujours singulière
La situation que l’opérateur a à gérer est toujours singulière ; même si l’opération pres-
crite est habituelle, certains facteurs sont spécifiques à cette manœuvre-ci : la météorologie,
l’heure et le jour de la semaine, l’état des installations amont ou aval, des matériels consi-
gnés, un intervenant de maintenance à proximité, une composition inhabituelle de l’équipe,
le changement d’une procédure, un volant qui résiste, etc.
Dans bien des cas, ces sources de variabilité n’ont pas d’effet sur l’opération : par quelques
adaptations de son mode opératoire, l’opérateur compense une petite variation du contexte,
et parvient à assurer l’opération dans le respect global de la procédure.
Dans d’autres cas, l’opérateur ou le groupe considèrent que l’écart est plus important, qu’il
faire face à la faut s’y prendre autrement. À partir de leur représentation de la situation et de leur expé-
variabilité de la rience, ils vont mettre en place un mode opératoire qui leur paraît adapté. Dans la grande
situation majorité des cas, ce mode opératoire aboutira à un résultat positif, et l’écart à la procédure
ne sera soulevé par personne. Parfois, les ajustements mis en place auront des conséquences
fâcheuses, parce que la situation comprenait certains aspects que les opérateurs ignoraient
ou n’ont pas pris en compte. Il leur sera alors reproché d’avoir pris des libertés par rapport à
la procédure. Nous avons signalé au chapitre 1 ce paradoxe : ce sont les mêmes types d’écart
à la règle qui assurent la productivité et qui conduisent aux accidents.
3.2 Les installations et la matière
Les machines et les outils qui sont utilisés pour exploiter le process ont été conçus par
l’ingénierie, qui y a incorporé de nombreuses connaissances sur les phénomènes physiques
et chimiques, la résistance des matériaux, etc. Mais une partie de leurs propriétés ne peuvent
pas être anticipées, et se découvrent dans l’activité de ceux qui les font fonctionner ou les
entretiennent.
32
3.3. Les prescriptions
Certaines caractéristiques ne se découvrent qu’en pratiquant. . .
Les pompes A et B sont semblables, mais la A entre en cavitation plus facilement que la B. Cette
canalisation-ci, quand tout va bien, fait un bruit de torrent, tandis que celle-là doit faire un bruit de
vent dans les branches. La pompe que voilà, on doit pouvoir poser la main dessus, sauf en phase
de vidange. Si le sol vibre ainsi, c’est qu’il y a un problème sur le roulement de ce moteur. Le
produit en sortie doit sentir les pommes mûres, s’il sent le vinaigre c’est qu’il y a un souci. Quand
on fabrique le produit X, il ne faut pas dépasser les deux tiers du débit maxi, avec le produit Y on
peut monter au maxi. . .
Par l’expérience physique des opérations d’exploitation, les opérateurs ont développé des
indices qui leur permettent de percevoir rapidement et de façon synthétique l’état d’un
matériel, d’une opération ou d’un produit, et des règles d’expérience sur la façon d’y faire
face. Comme un éleveur qui connaît ses vaches, l’opérateur qui rentre dans une zone détecte
des signes précoces que quelque chose est anormal, et agit en conséquence. Quand la relève
de générations se passe bien, ces signes et ces règles sont transmis aux jeunes au cours de
leur apprentissage.
Si, pour des raisons de sécurité ou d’efficacité, il est décidé de piloter à distance cette par-
tie de l’installation, des capteurs et des transmetteurs vont être installés, pour amener les
paramètres à un pupitre distant. Mais, souvent, les paramètres qui vont être reportés sont
ceux que les concepteurs imaginent nécessaires pour surveiller et piloter l’installation : des
débits, des pressions, des températures, des pourcentages d’oxygène etc.
Peut-on se passer de l’expérience et de la perception humaines ?
Comment piloter un four à l’oxygènemètre, quand on possède dans son corps toute l’expérience
des différents niveaux de couleur orange et de trouble de l’air qui indiquent son état ? Bien sûr,
l’opérateur peut apprendre, mais la conduite sera-t-elle aussi fine, aussi sûre ? Ne serait-il pas utile
de lui fournir en plus une caméra ?
Les installations font ainsi l’objet d’une double connaissance et d’une double ignorance :
certaines de leurs propriétés quotidiennes sont connues des opérateurs par expérience, et le double connaissance,
plus souvent ignorées des experts, tandis que certaines configurations qu’il faut éviter sont double ignorance
calculées par les experts, et heureusement, n’ont jamais été vécues par les opérateurs. Pré-
venir les catastrophes ne peut, pourtant, pas se faire en ignorant les ajustements nécessaires
à la vie quotidienne.
3.3 Les prescriptions
Dans la situation de travail, la prescription du travail provient de plusieurs sources :
• la prescription quotidienne donnée par la hiérarchie en termes d’objectifs de produc-

tion ;
• les règles formelles, les procédures ;
• les règles de métier qui permettent au soudeur de juger de l’aspect de sa soudure, au
robinetier d’apprécier l’état de surface d’un joint, et les règles informelles des collectifs
(on aide un collègue âgé à porter une charge, on ne dérange pas un collègue qui est
en train de faire une prise d’échantillon difficile. . .) ;
• les contraintes qui remontent de la matière elle-même ou des installations : si la vanne
est bloquée, elle « prescrit » une opération préalable, avec des outils particuliers, avant
de pouvoir l’ouvrir.
Ces différentes sources de prescription, parfois, sont partiellement contradictoires. L’activité

humaine ne consiste pas à simplement exécuter des prescriptions : il faut apporter une
réponse à un faisceau de prescriptions, qui ne peuvent être respectées toutes à la fois et en
tout temps. Travailler suppose donc de trier et de prioriser des prescriptions potentiellement
contradictoires.
33
3.4 Les déterminants distants
Une partie des déterminants de la situation de travail sont bien en dehors du cadre de la
photographie évoquée plus haut. Le cours du pétrole, l’histoire et la santé économique de
l’entreprise, sa politique salariale et de sous-traitance, la structure organisationnelle, les
relations sociales sur le site, le style du management direct font partie de la situation de
travail.
D’une part, ces aspects conditionnent les objectifs productifs et la façon dont ils vont être
imposés. D’autre part, ils déterminent plus ou moins directement la possibilité pour l’opéra-
teur d’obtenir un outil plus approprié, de signaler un passage d’une procédure qui lui paraît
inadéquat, de se reposer un peu après une manœuvre difficile, d’arrêter une opération qu’il
juge dangereuse ou de solliciter l’aide d’un collègue expérimenté.
Si l’on veut comprendre les choix qui orientent l’activité d’un opérateur, en ne cherchant à
comportements l’expliquer que par des déterminants immédiatement visibles, il est probable que certains
« irrationnels » en de ces choix paraîtront irrationnels. Si au contraire on s’intéresse à des déterminants plus
apparence larges dans le temps et dans l’espace, les raisons de ces choix peuvent devenir claires.
Rechercher les causes profondes
L’enquête sur l’accident de la navette Challenger a mis en évidence une rétention d’information de
la part des équipes impliquées dans la préparation du lancement. Pour comprendre cette attitude,
il a été nécessaire de remonter plusieurs années en arrière à des réorganisations qui avaient mis les
équipes en compétition entre elles, y compris dans leurs modes d’évaluation.
3.5 L’activité comme réponse intégrant coûts et bénéfices
Face à un grand nombre de sources de variabilité de la situation, face à une diversité de pres-
criptions partiellement contradictoires, l’activité humaine apporte une réponse : l’opérateur
fait un diagnostic, prend des décisions, enclenche des actions, communique avec d’autres.
Cette réponse n’était pas la seule possible. Si c’est celle qui a été retenue, c’est que les
cerveaux des personnes concernées ont fait une analyse coûts-bénéfices (très rapide et
bien sûr largement inconsciente). Sans aucun ordre préférentiel, on peut citer parmi les
coûts potentiels pris en compte : la fatigue, le risque d’accident, le temps d’exposition à des
un jugement nuisances, la réprobation des collègues, celle de la hiérarchie, la mauvaise qualité du travail,
coûts-bénéfices les contraintes administratives, des pertes financières, etc. Parmi les bénéfices potentiels, la
complexe moindre pénibilité d’une opération, le fait d’atteindre rapidement un objectif, la qualité du
résultat, la démonstration de son savoir-faire, la reconnaissance de la hiérarchie, l’admiration
des collègues, le fait de développer de nouveaux apprentissages, des gains financiers, la
sécurité, le respect de ses propres valeurs, etc.
La pondération des différents critères est évidemment variable suivant les personnes, les
situations et les types de choix. Les théories comportementalistes — nous l’avons évoqué
au chapitre 2 — disent que les conséquences certaines, immédiates et positives pèsent plus
lourd dans les choix que les conséquences incertaines, différées et négatives. Cette approche
peut être utile pour guider certaines orientations managériales, mais ne doit bien sûr pas
être utilisée pour reconstituer à sa place les mécanismes de choix d’un opérateur dans une
situation donnée.
Si la réponse des opérateurs qui résulte de ces « évaluations de coûts-bénéfices » est consi-
dérée par l’entreprise comme inappropriée, on ne peut modifier cette issue qu’en modifiant
les caractéristiques de la situation qui guident ces choix.
Bibliographie
Voir chapitre 2.
34
4
Des opérateurs humains différents et variables
L’être humain a des propriétés, qui résultent de son fonctionnement biologique, et qui ne
peuvent pas être modifiées à volonté. Elles doivent être prises en compte dans la conception
des systèmes de travail, au même titre que les propriétés physicochimiques des produits et
des process. Si ce n’est pas le cas, l’être humain s’adaptera certes dans certaines limites, mais
toujours à un coût élevé pour lui et avec une dégradation de sa performance.
Activité
FHOS Effets
humaine
Culture sécurité


sécurité
Résultats santé
Diversité et
variabilités
des personnes
Fi g u r e 4.1 – L’objet de ce chapitre.
Il n’est bien sûr pas possible de présenter ici l’ensemble des propriétés du fonctionnement
humain qui peuvent entrer en jeu dans le travail. Ce chapitre présente quelques éléments
de la diversité des individus, puis les variations de l’état du corps en fonction des heures
du jour et de la nuit. Dans le chapitre suivant, on présentera les principales propriétés du
cerveau et du raisonnement humains qui doivent être prises en compte dans la conception.
4.1 Nous sommes tous différents
Les installations industrielles sont mises en œuvre par des personnes ayant des caractéris-
tiques très différentes. Si la conception porte sur un « homme moyen », en ignorant ces l’homme moyen
différences, il peut en résulter des difficultés pour un grand nombre de salariés, et des consé- n’existe pas
quences sur la bonne exploitation du système. Les principales différences qui doivent être
intégrées en conception sont les suivantes.
Sexe
Beaucoup d’installations étaient traditionnellement conçues pour des opérateurs masculins.

Il est aujourd’hui indispensable d’intégrer dès la conception la possibilité que des salariées
35
puissent y travailler. Ceci suppose notamment de prévoir les installations sanitaires adaptées,
et d’intégrer les différences anthropométriques.
En matière de force physique, il faut se méfier des clichés : la force physique moyenne des
hommes est supérieure à celle des femmes, mais les deux distributions se recouvrent large-
ment, et beaucoup de femmes ont une force supérieure à celle de nombreux hommes ! Les
efforts qui mettent en difficulté la plupart des femmes poseront aussi problème à beaucoup
d’hommes.
Anthropométrie
La dispersion des tailles est considérable.
Pour couvrir 98% de la population masculine française, il faut intégrer des statures de
1,59 m à 1,94 m. Les dernières statistiques montrent l’apparition d’un groupe de très
grands hommes jeunes (moyenne 1,91 m) qui n’existait pas auparavant, et représente
maintenant 8% de la population masculine !
Pour prendre en compte de la même façon la population féminine, il faut que la plage
retenue commence à 1,48 m.
En outre, les différents segments corporels ne sont pas proportionnels à la stature.
Une telle distribution signifie que des installations conçues pour l’homme moyen (1,76 m)
seront inadaptées, voire inutilisables, par un grand nombre de salariés. Les différences an-
thropométriques doivent être prises en compte dans la conception, en tenant compte des
valeurs locales lorsqu’il s’agit d’installations destinées à l’exportation (par exemple 50% des
Vietnamiens mesurent moins de 1,65 m).
Latéralité
Environ 10% des femmes et 13% des hommes effectuent préférentiellement toutes les tâches
les gauchers de la main gauche, mais beaucoup plus ont une préférence pour cette main pour certaines
tâches. Les situations de travail doivent toutes être conçues pour permettre aux « gauchers »
de travailler sans difficulté.
Vision
Il y a environ 8% de daltoniens dans la population masculine. Ceci signifie que si, sur un
les daltoniens écran, on affiche un pavé rouge qui se transforme en un pavé vert, on rend par ce seul fait
8% des hommes inaptes (et parmi eux, peut-être, l’opérateur le plus compétent). Si le pavé
change aussi de position ou de forme, tous peuvent continuer à travailler.
Plus de la moitié de la population active souffre d’au moins un type d’anomalie visuelle.
Ce qui est anormal, c’est d’avoir des yeux parfaits. La presbytie est la déficience la plus
démocratiquement partagée : elle touche presque tout le monde après 50 ans. Toutes les opé-
rations d’exploitation doivent pouvoir être réalisées par des opérateurs portant des lunettes,
y compris à l’intérieur des équipements de protection.
Vieillissement
En 2015, entre un salarié sur trois et un salarié sur quatre aura plus de cinquante ans. Le
vieillissement contre vieillissement implique à la fois un accroissement de l’expérience, et une dégradation de
expérience certaines capacités physiques. Si un salarié âgé s’y prend de la même manière qu’un jeune,
il aura sans doute plus de difficultés, mais il est possible que son expérience lui permette
d’adopter un mode opératoire qui ne lui pose pas problème. Une organisation qui ne favorise
pas cette adaptation risque plus d’exclure les quinquagénaires qu’une organisation souple.
Les situations qui mettent en difficulté les travailleurs vieillissants sont notamment l’im-
possibilité d’anticiper, les contraintes de temps immédiates, les multiples interruptions de
36
4.2. Chacun ne cesse de changer
tâches, la réalisation de plusieurs tâches en parallèle, les changements fréquents de contexte.

Sur le plan physique, la force musculaire diminue peu avec l’âge, mais les efforts rapides
et l’exposition prolongée à la chaleur deviennent très coûteux. Sont également à éviter les
postures pénibles et les situations en équilibre sans appui. Le travail de nuit est souvent la
principale source de difficultés après 50 ans.
La situation de la plupart des entreprises dans les années qui viennent sera celle de la coha-
bitation de deux groupes de population : un ensemble de travailleurs de plus de 45 ans, et un
autre de travailleurs de moins de 30 ans. La combinaison harmonieuse des points forts des
uns et des autres suppose des démarches adaptées de gestion des ressources humaines, no-
tamment pour anticiper les départs en retraite nombreux et assurer l’accueil et la formation
des jeunes.
Restrictions médicales d’aptitude
Avec l’âge, les principales restrictions médicales d’aptitude concernent le travail de nuit,
les efforts notamment à la chaleur, et les sollicitations du dos et des articulations. Elles
sont susceptibles de mettre en difficulté à la fois les personnes concernées et l’entreprise,
pour laquelle la gestion des ressources humaines devient plus complexe. La conception
des installations et l’organisation du travail peuvent limiter les situations qui mettent en
difficulté des travailleurs présentant certaines limitations physiques et éviter des exclusions.
4.2 Chacun ne cesse de changer
Le fonctionnement des installations est assuré par des personnes qui sont non seulement
différentes, mais aussi variables, du fait de la fatigue, des événements de la vie, des rythmes
biologiques.
La fatigue
La fatigue implique une baisse de la capacité de l’organisme, et nécessite donc la mise en

œuvre de mécanismes physiologiques différents, à un coût plus élevé, si le même niveau
d’activité doit être maintenu. Être fatigué, c’est devoir mobiliser plus de ressources pour
arriver au même résultat.
La fatigue musculaire traduit l’épuisement des ressources énergétiques internes au muscle,
une augmentation de son acidité, et le fait que la circulation sanguine est insuffisante pour
évacuer les déchets et apporter le glucose et l’oxygène nécessaires.
La fatigue nerveuse traduit l’impossibilité pour le système nerveux de maintenir le traite-
ment de l’information au même rythme. Elle débouche sur une augmentation des erreurs et
des omissions, et une dégradation de la perception. Elle peut aussi donner lieu à des signes
d’irritabilité.
Dans un premier temps, la fatigue n’est pas consciente. Les capacités sont affectées, mais
la personne ne s’en rend pas compte. Dans un deuxième temps, celle-ci perçoit la fatigue,
et pourra éventuellement mettre en place des stratégies pour la gérer (demander de l’aide,
multiplier les vérifications). Du point de vue de la sécurité, la phase inconsciente de la fatigue
est particulièrement critique.
Les événements de la vie
Les événements de la vie (conflit, deuil, échec. . .) et les émotions qui en résultent peuvent
affecter l’état physique de la personne, sa perception, ses prises de décision. Par exemple, la
recherche d’informations sera plus limitée, les raisonnements intégreront moins de facteurs,
les décisions seront moins nuancées.
Si ces événements sont d’origine individuelle, les autres membres du collectif de travail
pourront en général compenser les variations de l’état de la personne concernée. Si en
revanche l’origine est collective (conflit avec la hiérarchie, accident d’un collègue), il s’agit
d’un « mode commun », et c’est toute la capacité perceptive et décisionnelle de l’équipe qui
peut se trouver modifiée.
37
Les rythmes biologiques
modifications du L’organisme humain, comme celui d’animaux et de végétaux, comporte des horloges in-
corps au cours ternes. Différents phénomènes biologiques sont périodiques, la plupart avec une période
des 24h de l’ordre de 24 heures (il existe aussi des rythmes mensuels, annuels). La température, la
sécrétion de nombreuses hormones, la vigilance, la performance sensorimotrice, etc. varient
ainsi au cours d’une journée.
Ces variations journalières sont le résultat de deux phénomènes. D’une part il existe des
horloges internes, qui assurent leur fonction même dans le cas d’expériences dites de « libre
cours » où les sujets sont privés de toute information extérieure. D’autre part, ces horloges se
calent sur le temps social, du fait de nombreux « donneurs de temps » ou « synchroniseurs » :
la montre, l’alternance du jour et de la nuit, les heures de repas, les heures de coucher et de
lever, etc.
Dans le cas des expériences « libre cours », la périodicité demeure, mais elle se décale des
24 heures pour se recaler, pour certaines fonctions, aux alentours de 26 heures. L’horloge
de la personne « enfermée » est décalée par rapport à celle du monde extérieur. Pour une
personne travaillant de jour et dormant la nuit, l’ensemble des donneurs de temps sont
synchrones. Les rythmes biologiques vont se caler de façon cohérente entre eux et avec le
temps social. Pour quelqu’un qui voyage de Paris à New York, l’ensemble des donneurs de
temps à l’arrivée sont aussi synchrones entre eux, même s’ils sont décalés par rapport aux
horloges biologiques du voyageur. Celles-ci vont se recaler en quelques jours sur le nouveau
temps local. En revanche, pour quelqu’un qui travaille de nuit, il y a contradiction entre les
donneurs de temps. On se couche alors qu’il fait jour, on travaille alors qu’il fait nuit. Si le
travail de nuit est continu pendant de longues périodes, il en résultera une perturbation des
rythmes biologiques, avec des effets sur la santé. Le rythme ne s’inverse jamais totalement,
du fait de la désynchronisation des donneurs de temps entre eux et du fait que, lors de ses
congés, la personne se remet à une vie de jour.
Si les alternances de travail de jour et de travail de nuit sont rapides (2 ou 3 nuits de travail
de suite), les rythmes biologiques resteront plus proches de ceux de quelqu’un qui travaille
de jour, mais évidemment l’état de la personne la nuit ne sera pas le même que celui dans
lequel elle se trouve de jour. Il est illusoire d’espérer que la vigilance et la rapidité de réaction
à 3 heures du matin soient les mêmes qu’à 15 heures, c’est physiologiquement impossible.
La conception des systèmes d’information et l’organisation doivent permettre que le process
soit maintenu dans des limites acceptables, même avec une capacité de réaction individuelle
des opérateurs inéluctablement diminuée la nuit.
Bibliographie
AFNOR (2002a). Accès aux machines et installations industrielles, Règles de sécurité. AFNOR.
AFNOR (2002b). Ergonomie des postes et lieux de travail. Conception des lieux de travail., volume 2.
AFNOR.
AFNOR (2002c). Ergonomie des postes et lieux de travail. Principes généraux et conception des postes de
travail, volume 1. AFNOR.
Laville, A. (1976). L’ergonomie. Coll. Que sais-je ? Paris.
Marquié, J., Paumes, D., et Volkoff, S. (1995). Le travail au fil de l’âge. Octarès.
Millanvoye, M. (2008). Cours d’ergonomie ERG 110 et 111. Conservatoire National des Arts et Métiers.
Quéinnec, Y., Teiger, C., et de Terssac, G. (2008). Repères pour négocier le travail posté. Octarès, Toulouse.
Volkoff, S., Cristofari, M., Gadbois, C., Laville, A., Molinié, A., Prunier-Poulmaire, S., Stock, S., et Vézina,
N. (2005). L’ergonomie et les chiffres de la santé au travail : ressources, tensions et pièges. Octarès,
Toulouse.
Wisner, A. et Marcelin, J. (1976). À quel homme le travail doit-il être adapté ? Rapport technique 22,
CNAM, Laboratoire de physiologie du travail et d’ergonomie, Paris.
38
5
Le cerveau et le raisonnement humains
Le comportement et le raisonnement humains sont marqués à la fois par les propriétés bio-
logiques du cerveau, et par les caractéristiques des situations dans lesquelles les personnes
se trouvent placées.
Activité
FHOS Effets
humaine
Culture sécurité


sécurité
Résultats santé
Propriétés du
raisonnement
humain
Nous présenterons d’abord quelques propriétés du cerveau humain et de la mémoire. Nous

soulignerons ensuite l’influence que la situation elle-même peut exercer sur le raisonnement.
5.1 Quelques propriétés du cerveau humain
Beaucoup d’analogies sont faites entre le fonctionnement du cerveau humain et celui d’un
ordinateur. Elles conduisent souvent à des conclusions fausses sur les raisonnements en si-
tuation de travail. Quelques propriétés du cerveau et du traitement humain de l’information
méritent d’être soulignées et prises en compte.
Une recherche active d’informations
Les capteurs qui permettent notre perception ne sont pas passifs : par exemple, les yeux ne
sont pas comme une caméra qui se contenterait de transmettre des images. Ils explorent
l’espace, guidés par le cerveau. L’information est recherchée activement, en fonction de
l’action qui est en cours et de l’expérience de la personne. Des informations qui ne sont pas
recherchées seront perçues beaucoup moins facilement que celles qui le sont.
39
La recherche active d’informations favorise la perception
Si un nouveau panneau est posé sur une machine, il y a beaucoup de chances que l’opérateur ne le
voie pas car il ne cherche pas d’information à cet endroit (tout comme il y a peu de chances que
quelqu’un repère un nouveau panneau de sens interdit placé à l’entrée de sa rue).
on perçoit moins Il en est de même de tous les sens : le cerveau les prépare à détecter certaines informations.
ce que l’on ne Celles qui ne sont pas recherchées devront avoir des caractéristiques physiques beaucoup
cherche pas plus fortes pour être perçues.
La perception est ainsi à la fois descendante (guidage par le cerveau) et ascendante (les
informations recueillies vont modifier la suite de l’exploration).
Focalisation de l’attention
Quand on attend le bus, les véhicules qui passent et qui ne sont pas des bus seront à peine perçus.
Si un bus arrive, la perception va se modifier pour se focaliser sur le numéro et non plus sur la
forme générale du bus.
Les sens les plus étudiés sont la vue et l’ouïe, mais dans les situations de travail, il existe
aussi un fort usage du toucher, de l’odorat, et de la proprioception (perception des accéléra-
tions des segments corporels, ressentie par exemple lorsque l’on aborde un tapis roulant ou
lorsqu’un véhicule démarre).
Un fonctionnement simultané
Tous les sens font ainsi l’objet d’un traitement simultané. Le cerveau mobilise l’ensemble
de ces informations pour les intégrer dans une représentation de la situation. Ceci explique
qu’il est parfois très difficile de classer chronologiquement des informations relevant de
canaux différents, surtout en situation de forte charge : le voyant s’est-il allumé avant ou
après qu’on a entendu le moteur démarrer ? Difficile à dire. Lors des analyses d’incidents,
les personnes qui les ont vécus évoquent un « présent simultané » : dans leur souvenir, tout
s’est passé en même temps.
La reconnaissance des formes
Les informations disponibles à nos sens sont infiniment nombreuses. Leur traitement n’est
pas effectué de façon analytique : notre cerveau distingue directement des formes, des
le cerveau reconnaît configurations, dont certaines sont innées (distinguer la forme d’un visage humain) et
des configurations d’autres acquises (reconnaître une configuration d’alarmes qui correspond à un état de process
particulier). Le cerveau sélectionne et combine des figures de façon à les rapprocher d’une
unité cohérente connue.
Cette capacité à identifier des configurations globales permet à l’être humain de « recon-
naître » rapidement une configuration qui « ressemble » à une autre, sans pour autant être
exactement semblable. C’est en général un avantage, puisque cela permet de traiter des si-
tuations par analogie. C’est parfois un inconvénient, si ce qui était important ce jour-là était
la différence et non la similarité.
Un traitement variable, le cerveau est « une glande »
Le système nerveux n’est pas un câblage électrique : certes, dans les neurones, l’influx
nerveux (électrique) se propage de façon stable, sauf maladie neurologique. Mais chaque
neurone est en relation avec plusieurs autres en amont, et en général un grand nombre en
aval (il peut aussi déboucher sur un muscle). Et les neurones ne sont pas connectés entre
l’acheminement des eux par des bornes électriques. Entre deux neurones, se trouve un espace appelé « fente
messages nerveux est synaptique ». À l’arrivée de l’influx nerveux, le premier neurone émet un ou plusieurs
chimiquement neurotransmetteurs chimiques, qui vont traverser cet espace et se fixer sur la membrane du
sensible aux émotions deuxième neurone, provoquant le départ d’un nouvel influx nerveux. L’information nerveuse
est transmise dans la synapse par des messagers chimiques. Or, l’espace synaptique n’est pas
vide : il baigne dans le liquide extracellulaire, qui peut contenir d’autres neurotransmetteurs
40
5.2. Se construire une représentation de la situation
– notamment si la personne se trouve en situation d’émotions fortes ou de stress –, ou des

dérivés de médicaments ou de drogues. La transmission synaptique sera alors modifiée, les
différents neurones aval ne seront pas activés de la même façon. La transmission chimique
du message est modifiée par l’état de la personne.
Le cerveau lui-même n’est pas seulement constitué de neurones. Il comporte notamment une
glande (l’hypophyse) et une grappe de cellules particulières (l’hypothalamus) qui secrètent
des hormones, messagers chimiques destinés à divers organes. D’autres glandes, notamment
les surrénales situées au-dessus des reins, secrètent d’autres hormones. Le liquide dans lequel
baignent les synapses est ainsi variable, sensible aux différentes régulations de l’organisme,
et aux émotions (voir « le stress » au chapitre 8). Le traitement de l’information par le cerveau
humain (sa rapidité, mais aussi parfois ses résultats) sont susceptibles d’être affectés par ces
modifications endocriniennes.
On sait que certaines drogues peuvent augmenter ou diminuer la vigilance, le champ

visuel, la vitesse de réaction, la perception de la douleur, la mémoire à court terme, etc. :
l’état psychique de la personne va, lui, modifier les « drogues internes » de l’organisme,
avec des effets tout à fait comparables.
Ces mécanismes interviennent notamment dans la façon dont une personne va se construire
une représentation de la situation, par exemple du process qu’elle doit gérer.
5.2 Se construire une représentation de la situation
L’être humain ne construit pas son action à partir de la « réalité de la situation », car celle-
ci comporte, nous l’avons dit, une infinité d’informations disponibles. Il se construit une
« représentation de la situation » qui associe perception et préparation à l’action.
Se faire une représentation, c’est se préparer
Par l’exploration perceptive, le cerveau va retenir seulement certaines des informations dis-
ponibles, considérées comme formant une unité cohérente, caractéristique de la situation
pour les besoins de l’action en cours.
La situation détermine la représentation
Un opérateur a une représentation de la situation normale dans la zone qu’il surveille qui
comprend le bruit, l’odeur, les vibrations habituels. Une modification de cette configuration
d’ensemble l’alertera.
Un moniteur de plongée emmenant un groupe en promenade repère les mérous et les montre à ses
compagnons. La faune et la flore font partie de sa représentation de la balade. Si un incident sur-
vient et qu’il doit effectuer un sauvetage, la représentation sera focalisée sur les éléments pertinents
pour assurer la sécurité de la remontée. Des poissons rares ne seront sans doute pas vus.
L’expérience et la formation ont permis à chaque personne de se constituer un stock de confi-

gurations significatives (qu’on appelle « modèle mental »), qui sert de base à la construction
d’une représentation de la situation actuelle.
Modèle mental
Le modèle mental qu’un opérateur a développé à propos d’un process comprend un grand nombre
de configurations normales et incidentelles possibles, vécues par lui ou évoquées en formation.
À partir de cette « réserve », il va pouvoir soit se représenter immédiatement qu’on est dans un
cas connu, pour lequel une séquence d’actions est disponible, soit détecter que la situation ne
correspond à rien de connu, et basculer vers un autre mode de raisonnement (par exemple ouvrir
une procédure).
Par cette caractérisation de la situation, le cerveau prépare l’organisme à certaines actions,

et se rend disponible à certaines informations plutôt qu’à d’autres.
41
La configuration oriente la préparation
Un automobiliste qui a vu que le niveau de carburant était bas est préparé à l’allumage du voyant
de la jauge, et recherche des informations signalant la prochaine station.
Se construire une représentation de la situation, c’est n’en retenir que certains aspects
la représentation caractéristiques, qui donnent lieu à une mobilisation orientée de l’organisme : l’on est
prépare à l’action disponible à certains événements et prêt à réaliser certaines actions.
La notion anglosaxonne de « situation awareness », qui désigne « la faculté d’être conscient

de ce qui se passe aux alentours et de comprendre ce que ces informations signifient main-
tenant et dans le futur » est très proche de cette conception de la représentation comme une
préparation à l’action.
La représentation n’est pas exacte, elle est opérationnelle
Une représentation n’est jamais exacte, puisqu’elle est basée sur une sélection d’informations.
Le cerveau sélectionne les informations qui paraissent pertinentes selon ce qu’il comprend
de la situation et de l’orientation de l’action.
. Une même personne ne va pas sélectionner les mêmes informations suivant les buts qu’elle
poursuit.
La perception est orientée par les buts
Quand le conducteur prend la place du passager, il ne se fait pas la même représentation de l’en-
vironnement, du paysage : il ne sélectionne pas les mêmes informations, il n’est pas préparé aux
mêmes actions.
. La représentation n’est pas seulement basée sur une sélection d’informations, elle conduit à
la représentation accentuer certains caractères pertinents : la représentation est une caricature opérationnelle.
déforme et accentue
ce qui est significatif La représentation déforme . . .
Des étudiants en endocrinologie qui font des moulages à partir de la palpation des thyroïdes des
patients font des formes plus « exactes » que les médecins expérimentés ! Car ceux-ci accentuent
les grosseurs qu’ils ont repérées. Les étudiants, eux, ont fait des moulages exacts, mais ils n’ont
rien détecté.
. Deux professionnels de métiers différents vont se construire des représentations différentes

de la même situation, chacun accentuant les caractères qui sont pertinents pour sa propre
action. Ceci peut se traduire par des conflits entre les groupes professionnels.
À chacun sa représentation
Pour les équipes de conduite montante et descendante, la relève de 6 heures du matin est un mo-
ment essentiel de transmission d’informations sur l’état du process. Pour les prestataires de main-
tenance qui attendent pour faire signer leurs permis de travaux, ce sera peut-être considéré comme
un bien long bavardage.
De quoi dépend la représentation qui va s’imposer ?
La représentation de la situation que va se faire une personne dépend principalement des

quatre éléments suivants :
• la nature des informations disponibles
42
5.3. La mémoire
Nature des informations
Si le voyant est en panne, il y a moins de chance que l’opérateur identifie que le moteur est
en surchauffe.
• l’expérience personnelle, qui aboutit à des modèles mentaux personnalisés, à des

stocks de configurations que le cerveau reconnaît.
Expérience de l’acteur
Un visiteur n’attribue aucun sens à un groupe d’alarmes dans une salle de contrôle. Son
modèle mental du tableau est très pauvre. L’opérateur qui prend son poste repère immédia-
tement une configuration particulière.
• l’orientation de l’action.
Si l’opérateur est centré sur la résolution d’un incident, il percevra avec acuité toutes
les informations qu’il attend ou cherche pour gérer cette situation. Il est possible
en revanche qu’il ne perçoive pas une information relative au début d’un deuxième
incident indépendant du premier.
• les interactions avec le collectif de travail.
Dans certains cas, les interactions avec d’autres opérateurs peuvent permettre d’inté-
grer des informations que l’on n’avait pas perçues et de modifier la représentation de
la situation. Elles peuvent aussi parfois contribuer à enfermer l’ensemble de l’équipe
dans une représentation inappropriée (effet tunnel, voir chapitre 7).
5.3 La mémoire
La mémoire relève de trois processus différents.

La mémoire sensorielle est une sorte de « mémoire-tampon » où les informations issues de
la perception sont stockées moins d’une seconde avant d’être traitées. Après ce délai, si elles
n’ont pas été traitées, elles sont perdues.
La mémoire à court terme est le résultat d’une première sélection (qui dépend du modèle
mental de la personne et de l’orientation de l’action à ce moment), et donc d’un filtrage.
C’est l’information sur la situation présente, disponible pour traiter celle-ci. Elle comporte
les caractéristiques suivantes :
• elle est d’une capacité très limitée en nombre d’unités d’information qu’elle peut
retenir ;
Mémoire limitée en capacité
On peut retenir très peu de chiffres lus de façon aléatoire. La structuration en blocs signi-
ficatifs permet cependant de retenir un plus grand nombre d’informations élémentaires : il la mémoire à court
est plus facile de mémoriser 101 202 303 404 que 10 12 02 30 34 04. terme est un point
faible de l’humain
• elle est très sensible aux interférences ;

• la mémoire des informations de nature langagière peut être entretenue par autoré-
pétition, mais il n’en est pas de même de la mémoire précise d’une couleur ou d’une
sensation.
La mémoire à court terme est un point faible du fonctionnement humain, et il est dangereux
de faire reposer la sécurité sur cette fonction.
Mémoire limitée en fiabilité
Un opérateur qui doit relever des valeurs d’un côté d’une salle, traverser celle-ci et reporter les
valeurs de l’autre côté a beaucoup de chances de se tromper, surtout s’il y a des interférences
(conversations, téléphone, alarmes. . .).
43
La mémoire à long terme contient les traces des situations que nous avons vécues. Elle est
d’une capacité virtuellement illimitée, mais possède une propriété très particulière : il est
impossible de savoir si quelque chose est en mémoire.
Se souvenir que l’on se souvient. . .
Où étiez-vous le 12 juillet 1998 ? Si vous vous souvenez que c’est la date de la finale de la Coupe
du monde de football, vous répondrez facilement à cette question.
L’échec pour retrouver quelque chose en mémoire n’est que l’échec de la méthode utilisée.
Rien ne dit qu’une autre méthode ne permettrait pas de trouver l’information cherchée. La
possibilité d’accéder à une information en mémoire à long terme dépend notamment de la
ressemblance entre les circonstances d’acquisition et les circonstances de rappel.
La méthode de mémorisation influence l’accès à l’information mémorisée
Si vous cherchez le nombre de jours que comporte avril, vous le retrouverez facilement avec l’al-
ternance apprise à l’école : janvier 31, février 28, mars 31, avril 30.
Mais la mémoire à long terme n’est pas simplement un stock de souvenirs. Les traces mémo-
risées sont en permanence recomposées, par comparaison des situations dans lesquelles
la mémoire à long nous sommes plongés. Il se fabrique ainsi des « classes » de situations voisines, où les élé-
terme classe les ments communs sont mémorisés très fortement, tandis que les éléments spécifiques d’une
situations situation particulière seront difficiles à retrouver. La mémoire élabore ainsi des synthèses,
accessibles à la conscience, de situations dont les détails ne peuvent plus l’être aisément.
Les éléments ainsi mémorisés et synthétisés sont de natures très diverses : des souvenirs per-
ceptifs (l’odeur d’un parfum, les termes d’une conversation, un paysage) et sensorimoteurs
(le souvenir de l’élan qu’il faut prendre pour sauter le ruisseau), des énoncés appris en forma-
tion (la loi des gaz parfaits), des schémas descriptifs (par exemple un schéma de process), des
règles formelles (« si la température du réacteur dépasse 250°C, l’arrêter »). Mais aussi des
règles d’expérience (« chaque fois que j’ai fait ceci, cela a donné tel résultat »), et des schèmes
d’action, qui réunissent la perception de la situation déclenchant l’action, l’enchaînement
d’opérations et de recherches d’informations pour faire face à une situation donnée :
Un schème d’action familier
L’odeur de gaz dans ma maison me conduit à vérifier les robinets de la cuisinière, et, s’ils sont
fermés, à examiner le chauffe-eau. Si ces recherches sont négatives et que l’odeur persiste, je fais
appel au service du gaz.
Pour un opérateur ayant peu d’expérience, la réponse à une situation inhabituelle passera
souvent par l’application d’une règle formelle apprise ou recherchée dans un manuel. Chez
les opérateurs expérimentés, il s’est développé des schèmes d’action, des unités mentales
qui mettent en relation les éléments perçus et les actions à effectuer. Ce fonctionnement est
beaucoup plus économe en ressources que le premier (cf. section 5.4 ci-après).
Un apprentissage permanent
L’être humain apprend ainsi en permanence, stockant et synthétisant les traces de son expé-
rience. Il apprend aussi, bien sûr, dans des moments conçus comme des périodes de forma-
tion. Mais il n’est pas certain que les connaissances qu’il acquiert en formation constituent
un tout harmonieux avec celles qui résultent de l’expérience.
Le fait que des connaissances soient activées dans une situation professionnelle dépend des
ressemblances de cette situation avec les circonstances d’acquisition.
Différences entre situation d’apprentissage et situation réelle
Si l’on a enseigné la loi d’Ohm sous la forme « U = RI », la question « U = ? » provoquera

facilement la réponse « RI ! ». Cela ne prouve pas que devant un problème électrique, la personne
sera en situation d’utiliser la loi d’Ohm.
44
5.4. Formes de raisonnement et contrôle de l’action
Si, en situation de formation, sont recréées des situations voisines de celles qui sont vécues
dans le cadre professionnel, les nouvelles connaissances pourront être intégrées à la synthèse
réalisée par le cerveau sur ces familles de situations. Sinon, il est probable qu’elles seront
classées avec beaucoup d’autres énoncés, prêts à ressortir uniquement dans une situation
ressemblant à une situation scolaire.
Le cerveau tourné vers le futur et ses simulations
Le cerveau, nous l’avons dit, ne se contente pas d’attendre que les informations lui par-
viennent. À partir de son anticipation des conséquences de l’action en cours, il commande
l’exploration perceptive, prédit les informations qu’elle devrait rapporter et contrôle par
échantillonnage que les choses se passent comme prévu. le cerveau anticipe
Le cerveau réalise en permanence des prédictions, en utilisant les souvenirs de configu-

rations similaires. Il simule les conséquences de différentes actions possibles, en activant
les mêmes voies nerveuses que si l’action était vraiment effectuée : seule la réalisation est
inhibée. Il compare ainsi différentes possibilités d’action et leurs conséquences.
Le cerveau projette sur le monde ce qu’il a synthétisé par expérience. Cette propriété rend
l’être humain très performant pour traiter des situations similaires à celles qu’il a déjà vécues,
mais un peu différentes. Le risque est qu’une situation soit identifiée par ses similarités
avec d’autres, alors que ce jour-là c’étaient les différences qui étaient déterminantes. Cela
dépendra notamment du fait que les classes de situations stockées en mémoire comportent
ou non des détrompeurs, alertant le cerveau sur la nécessité de passer à un autre mode de
raisonnement.
Ne pas se laisser piéger par les similarités
Les médecins savent que des maladies plus graves commencent par les mêmes symptômes que
l’angine. Ils sont formés à chercher si d’autres symptômes ne sont pas concomitants.
5.4 Formes de raisonnement et contrôle de l’action
Ce qui précède montre que le raisonnement analytique basé sur des connaissances formelles
ne constitue qu’une des formes du raisonnement humain, assez minoritaire dans la plupart
des situations de travail. On peut en fait distinguer trois familles de raisonnements. le raisonnement
analytique est rare
• Le raisonnement-action
Lorsque l’on voit un feu rouge, on regarde dans le rétroviseur et on freine. On ne se dit pas
« ceci est un feu de signalisation rouge et l’article R 412-30 du Code de la Route impose que
Tout conducteur doit marquer l’arrêt absolu devant un feu de signalisation rouge ».
La plupart des « raisonnements » sont ainsi des associations très courtes entre une
configuration d’informations que le cerveau reconnaît, et une séquence d’actions toute
prête pour faire face à la situation ainsi identifiée. Ce sont ces associations que nous
avons appelées des « schèmes ». Les experts d’un domaine identifient immédiatement le
de cette façon des configurations qui peuvent être extrêmement complexes pour un raisonnement-action
profane. Cette identification est très tolérante à des différences mineures par rapport est le plus
à la configuration standard. Ce « raisonnement-action » a l’avantage d’être très peu économique
coûteux en ressources cognitives .
• Le raisonnement basé sur des règles
Pour résoudre l’équation x2 − 3x + 2 = 0, la plupart des élèves de terminale vont utiliser

la règle du discriminant. Un professeur de mathématiques reconnaîtra immédiatement une
configuration où les racines sont 1 et 2.
Pour faire face à une situation dont la configuration n’est pas immédiatement associée
à une séquence d’actions, l’être humain peut utiliser des règles, qu’il a apprises en
45
formation (« si la sirène sonne, rassemblement au point de regroupement »), ou par les

anciens du métier (« si ce tuyau est chaud, tu vérifies la pression de refoulement »), et
plus généralement qu’il s’est créées tout au long de sa vie (« si on ne sait pas quelque
chose, il vaut mieux dire qu’on ne sait pas »). Ce mode de raisonnement consomme
plus de ressources cognitives que le raisonnement-action, mais il reste relativement
économique si les règles sont en nombre limité, connues ou facilement accessibles, et
qu’elles ne comportent pas de contradiction.
Lorsque la même règle est utilisée souvent dans des situations voisines, elle finit par
être incorporée, comme indiqué précédemment, dans la constitution d’un schème,
d’une séquence de prise d’information et d’action automatisée. Ceci explique que
l’expert ne sait pas forcément enseigner les règles qui fondent son raisonnement,
puisqu’elles sont passées dans une compétence de son corps à faire face à la situation.
• Le raisonnement basé sur des connaissances
Dans une situation pour laquelle il n’existe aucune réponse immédiate, aucune règle
pertinente disponible, ou des règles contradictoires, l’être humain va mobiliser toutes
ses connaissances (générales et professionnelles) pour tenter de trouver une solution.
le raisonnement à Plusieurs descriptions du problème vont être tentées, de façon à voir sur quelles issues
base de le raisonnement débouche ; ces issues sont évaluées, ce qui conduit à développer telle
connaissances piste, à abandonner telle autre, voire à y revenir à un stade suivant.
est le plus coûteux
Ce mode de raisonnement comporte un potentiel créatif très important, et permet à l’être

humain de construire des réponses pertinentes à des situations totalement nouvelles. Mais
il est extrêmement coûteux en ressources cognitives, très sensible aux interruptions, et ne
peut pas être maintenu longtemps si le contexte change en permanence. C’est un mode
de raisonnement qui ne fonctionne vraiment bien qu’au calme et sans pression temporelle
immédiate.
5.5 Les ressources humaines de traitement de l’information sont limitées
Les ressources cognitives humaines sont limitées. Certaines expériences de laboratoire per-
mettent de saturer la capacité de traitement du cerveau. On voit alors se multiplier les
imprécisions et les erreurs, diminuer la prudence, et monter l’irritabilité. De plus, si on fait
cette expérience avec deux tâches au lieu d’une, on assiste à une dégradation plus impor-
tante : la gestion des ressources entre les deux tâches est elle-même consommatrice de
ressources. La compétition entre tâches est particulièrement forte quand celles-ci exigent
des ressources du même type. En revanche, on peut éventuellement faire simultanément des
tâches qui utilisent des ressources différentes.
Interférences entre tâches
On ne peut pas à la fois mémoriser une liste de chiffres et répondre au téléphone. On peut éven-
tuellement répondre au téléphone et dessiner.
Les experts d’un domaine n’ont pas une plus grande capacité de leur système de traitement
de l’information que les novices. Mais ils gèrent mieux leurs ressources cognitives, grâce à
différents mécanismes :
• ils disposent de séquences automatiques de « raisonnement-action » pour un grand

les personnes nombre de configurations, ce qui est très économique car cela leur permet de libérer
expérimentées gèrent de l’attention pour d’autres zones du process ;
mieux leurs
• ils gèrent leur attention de façon sélective ;
ressources cognitives
Gestion sélective de l’attention
Le débutant cherche de l’information un peu partout, l’expérimenté vérifie des points clés.
• les personnes expérimentées anticipent beaucoup, et disposent d’une palette de scé-

narios alternatifs d’événements et des plans d’actions auxquels elles sont préparées,
ce qui leur permet de ne pas être prises au dépourvu ;
46
5.6. Quelques biais fréquents du raisonnement
• les personnes expérimentées connaissent mieux leurs propres ressources et limites :

elles en tiennent compte dans la construction des plans d’action, ce qui leur évite de
s’engager dans une direction qui va les mettre en difficulté. Par ailleurs, elles sont
susceptibles d’identifier mieux le moment où leurs propres ressources ne suffiront pas
et où il faudra chercher des recours externes1 ;
• les personnes expérimentées connaissent mieux les recours disponibles. Par exemple,
elles savent dans quel domaine elles peuvent compter sur tel collègue, quels services
peut rendre tel document, etc.
En ce qui concerne la sécurité, il faut donc prendre en compte le fait qu’une situation
qui est gérée sans difficulté par des personnes expérimentées peut mettre en situation
de débordement complet des personnes moins expérimentées, même si celles-ci ont un
niveau de formation universitaire très supérieur : le raisonnement par les connaissances
consomme beaucoup plus de ressources que le raisonnement-action, la recherche d’in-
formation dispersée plus que la recherche ciblée, la réaction plus que l’anticipation, et le
fait de « s’enfoncer » plus que la recherche de recours.
5.6 Quelques biais fréquents du raisonnement
Les recherches en psychologie, notamment en psychologie sociale, ont mis en évidence

comment le raisonnement humain peut être influencé, voire biaisé, par certaines caractéris-
tiques de la situation. Ces biais peuvent affecter le raisonnement d’un opérateur conduisant
le process, autant que celui des dirigeants définissant la politique de sécurité ou celui des
membres d’un CHSCT. Il est nécessaire d’en prendre conscience, et souvent de mettre en
place des mesures organisationnelles pour en limiter les effets.
L’influence de la situation sur le raisonnement
Ces recherches montrent l’influence de « l’attitude », de l’état d’esprit avec lequel on aborde
une situation ou le traitement d’un problème. Cet état d’esprit guide la façon dont on
recherche les informations, et dont on les interprète pour tirer des conclusions et orienter
son action. On trouvera ci-dessous quelques exemples, qui correspondent à des probabilités
statistiques. Bien évidemment, d’autres comportements sont possibles que ceux que les
expériences mettent en évidence comme les plus probables. Mais la tendance habituelle doit
alerter l’organisation.
• Le biais d’ancrage
Il est difficile de se départir d’une première impression. En effet, celle-ci influence la
suite de notre perception. Toute information qui confirme l’impression initiale est
perçue plus nettement que celles qui viendraient la contredire. poids de la première
impression
Dans un diagnostic, les informations qui confirment les premières hypothèses seront
privilégiées, celles qui devraient les remettre en cause risquent d’être sous-estimées.
Ce biais peut aussi concerner le jugement que l’on porte sur une personne : une
première impression positive sur une des caractéristiques de quelqu’un rend plus
probable le fait que l’on trouve positifs d’autres de ses traits (il en va de même pour
une impression négative). Il affecte de même les propriétés que l’on s’attribue à soi-
même (croyances auto-limitantes) :
Un exemple de croyance auto-limitante
Un étudiant qui est persuadé qu’il est nul en anglais interprétera toute mauvaise note comme
une confirmation de cette nullité, et toute bonne note comme un « accident ».
1 Des effets sociaux peuvent aller en sens contraire de ces effets d’expérience : une personne ayant un grade plus
important peut craindre de perdre la face si elle manifeste à ses subordonnés qu’elle ne sait plus gérer seule la
situation.
47
• Le biais de cadrage ou d’étiquetage

La façon dont un problème est présenté influence à la fois le processus de recherche
d’information, le raisonnement et son résultat.
Influence de la présentation du problème
On présente à des sujets un film sans le son2 , où l’on voit deux personnes discuter. On leur
demande ensuite d’évaluer des caractéristiques du caractère des deux personnes filmées.
Or, on a dit à certains sujets que la personne A était assistante sociale et B quelqu’un en
difficultés sociales, tandis qu’à d’autres sujets on a dit le contraire. Les sujets ont tendance
à affecter les traits de personnalité « calme, professionnelle » à celle des deux personnes
qu’on a désignée comme l’assistante sociale, et les traits « agitée, inquiète » à celle qu’on a
désignée comme cas social ! Ils n’ont pas vu « le même film ».
voir ce que l’on croit Dans les faits, on a plus spontanément tendance à « voir (ou entendre) ce que l’on
croit » qu’à croire ce que l’on voit ou entend. Si un cadre ou un représentant du
personnel est convaincu que les incidents sont dus à des erreurs humaines, il n’aura
aucune difficulté à en trouver dans l’histoire de l’événement. Cette interprétation
n’est pas la seule possible, et est rarement la plus pertinente en termes de prévention
(cf. Chapitre 7).
• L’attribution causale : cause interne ou cause externe ?
Lorsque l’on cherche à attribuer un événement à une cause, on peut évoquer :
. des causes « externes » (la situation, le contexte, la volonté divine. . .) ;

. des causes dites « internes » (les compétences, la personnalité de quelqu’un).
Les recherches montrent que, dans les pays occidentaux aujourd’hui, quand quelqu’un
(A) cherche à trouver les causes d’une situation dans laquelle il ne se trouve pas
impliqué, il aura tendance à privilégier les explications internes – quelqu’un d’autre,
attribuer les B, est la cause de la situation. Il sous-estimera probablement les facteurs liés à la
événements aux situation. A risque alors de penser qu’il suffit de changer B (en le remplaçant ou en le
personnalités faisant évoluer) pour que l’événement ne se produise plus. Les facteurs situationnels,
comme les causes techniques et organisationnelles, seront souvent laissés de côté.
En revanche, si A veut expliquer une situation qui le concerne lui-même, il est plus
probable3 qu’il invoque des causes internes si la situation est positive (c’est grâce à
lui), et des causes externes si la situation est négative (le contexte l’a conduit à. . .) .
Ces constats n’appellent pas un jugement moral (cela reviendrait à attribuer à des
personnes particulières des propriétés sociales du raisonnement). Mais les méthodes
d’analyse d’incidents doivent les prendre en compte, pour que la notion de cause ne
soit pas confondue avec celle de responsabilité (cf. Chapitre 7).
• Le biais de stabilité ou de survie
Les personnes ou organisations qui ont traversé sans encombre des situations dan-
gereuses ont dans leur expérience le fait que 100% des épreuves ont été surmontées
positivement : ces dernières ne sont donc pas si tragiques. Les personnes ou orga-
nisations qui n’ont pas survécu ne témoignent pas. L’évaluation du risque par les
« survivants » donne fréquemment lieu à une sous-estimation.
• Les effets de groupe
Dans certaines cas de réunion de groupe, on peut noter que les membres du groupe
privilégient la recherche du consensus, ce qui fait que chacun s’aligne sur ce qu’il croit
être l’opinion des autres, en perdant partiellement le lien avec la réalité. Le groupe
peut exercer une pression de conformité, qui conduit à écarter les avis contraires,
voire leurs auteurs, et peut déboucher sur une auto-censure des participants. De tels
effets peuvent conduire à une mauvaise décision, contraire à la position individuelle
de chacun des membres ! Des organisations essaient de se protéger de tels effets en
favorisant par exemple le fait qu’il y ait toujours un « avocat du diable » défendant
une position contraire à celle qui fait consensus, en séparant le groupe en deux sous-
groupes qui rendent compte de leurs résultats, en permettant l’expression anonyme
de points de vue, etc.
2 Cette expérience est due à F. Le Poultier.
3 Au sens statistique, il s’agit de résultats d’expérimentations.
48
• La dilution des responsabilités
Plus il y a de témoins à un accident, plus la probabilité est faible que chacun appelle les
secours, et plus le temps qu’il mettra à le faire risque d’être long.
Ce phénomène social n’empêche pas que, si chacune des personnes présentes avait
été le seul témoin de l’événement, elle aurait immédiatement fait le nécessaire. Il ne
s’explique pas par des caractéristiques des personnalités en présence, mais par des
propriétés de la situation. Ce mécanisme doit être pris en compte dans l’organisation
de la sécurité : il est illusoire de penser que plus nombreux sont les opérateurs qui
passent à un endroit, plus il est certain qu’une anomalie sera détectée. La définition
des missions de chacun peut inclure à la fois la responsabilité particulière d’une zone
et une vigilance de vérification par rapport à d’autres.
Le lien entre les actes et les opinions
On pense généralement que chacun agit d’abord en fonction de ses opinions, convictions,
croyances. Pour obtenir des modifications des actes de quelqu’un, on cherche ainsi à le
persuader, à faire évoluer ses opinions, en faisant l’hypothèse que le changement des actes
suivra.
Or ce lien n’est pas le seul. L’humain agit et pense aussi en fonction de ses actes antérieurs,
d’autant plus que ceux-ci l’engagent : par exemple, une décision dont on est librement l’au-
teur en public est très engageante. Il devient alors difficile de revenir sur cette décision, ou
d’avoir des comportements contraires à celle-ci. On assiste ainsi à des « escalades d’engage-
ment » où, bien que de nombreux signes alertent sur le fait que la décision est mauvaise ou
le comportement inapproprié, la personne s’enfonce dans une mauvaise direction.
La spirale de l’engagement
Cette propriété du raisonnement humain est largement utilisée dans les techniques de manipula-
tion : on fait prendre une décision à quelqu’un sur la base d’informations partielles, et cette per-
sonne continue à adhérer à sa décision quand des informations plus complètes devraient l’amener
à la modifier.
Ce qui est en jeu est le lien que la personne fait entre elle-même et ses actes. Lorsque
quelqu’un a le sentiment d’avoir été librement l’auteur d’un acte, le fait de devoir émettre
un acte contraire est ressenti comme une remise en cause de sa personne, qu’il fera tout
pour éviter.
Or, nous l’avons largement souligné, les comportements et les raisonnements sont non seule-
ment des reflets des personnalités des individus concernés, mais aussi largement influencés
par les situations dans lesquelles ceux-ci sont placés. Lorsque la situation amène, de façon
répétée, quelqu’un à produire des actes dans lesquels il ne se reconnaît pas, il se trouve en si-
tuation de « dissonance cognitive », très coûteuse sur le plan personnel. Dans ce cas, de deux
choses l’une. Ou bien la personne peut agir sur la situation pour la rendre plus compatible
avec ses convictions et diminuer ainsi la contradiction. Ou bien, elle n’a pas assez de prise imaginer de bonnes
sur la situation pour cela, et on risque d’assister à un phénomène de « rationalisation » : ce raisons pour diminuer
sont les attitudes, l’état d’esprit qui évolueront pour diminuer la contradiction. la contradiction entre
ses convictions
Ajustement des convictions . . . et ses actes
Un opérateur, M. N, passe au cours de sa carrière d’une usine X, où la sécurité est prise très
au sérieux, à une usine Y où certaines précautions de sécurité sont critiquées par l’encadrement
comme une perte de temps. Si M. N ne parvient pas à convaincre sa hiérarchie de la pertinence
des précautions qu’il prend, il y a fort à parier qu’il finira par se convaincre que le process Y est
moins dangereux que le process X. Il a ajusté ses convictions aux comportements que la situation
Y lui permet d’avoir. La dissonance cognitive sera ainsi réduite. . .
Les liens entre les convictions et les actes ne sont donc pas seulement dans le sens :
49
Opinions,
Convictions,
Croyances, Comportements
État d'esprit
Il existe aussi une influence très importante de la situation sur l’activité qui y est possible,
donc sur les comportements, et finalement, par les mécanismes de la dissonance cognitive
et de la rationalisation, sur l’attitude et les opinions.
Activité Opinions,
Situation, possible, Convictions,
Contexte Comportements Croyances,
valorisés État d'esprit
Lorsque la situation favorise des comportements conformes aux convictions, ces dernières
sont renforcées :
Consistance
Activité possible Opinions,
dans la situation, Convictions,
Comportements Croyances,
Renforcement
Lorsque la situation ne permet pas à l’activité de se développer de façon conforme aux

convictions, la situation de dissonance cognitive peut amener à une modification de ces
quand la pensée dernières pour les rendre compatibles avec ce qu’il est possible de faire :
s’adapte en fonction
de l’activité possible
Dissonance
Activité possible Opinions,
dans la situation, Convictions,
Comportements Croyances,
Rationalisation
Ces mécanismes sont essentiels dans la définition d’une politique de sécurité industrielle.
Des messages visant à convaincre les acteurs de l’entreprise de l’importance de la sécurité,
alors que leur mise en œuvre en situation est contradictoire avec d’autres exigences, contri-
bueront à ce que beaucoup de salariés se convainquent que « ce n’est pas si dangereux que
ça ».
Au contraire, toutes les mesures portant sur la situation, qui permettent qu’une activité
sûre soit non seulement possible mais favorisée et valorisée, contribueront à développer des
attitudes favorables à la sécurité.
Des objectifs dans lesquels on puisse se reconnaître
Le fait qu’une personne puisse se reconnaître dans ses actes est essentiel à la fois pour
sa santé et pour la stabilité de l’orientation de ses actes. Quand une organisation souhaite
obtenir certains types d’actes (par exemple pour la sécurité industrielle), les justifications
de cette contrainte peuvent être plus ou moins en résonance avec les convictions de chacun.
On peut, par exemple, justifier la demande que les situations de travail soient dégagées de
tout obstacle « parce que la méthode 5S implique l’ordre et le rangement ». On peut aussi
expliquer la même demande « parce que les situations dégagées rendent l’exploitation plus
sûre et les accidents majeurs moins probables ». Il s’agit de deux « niveaux d’identifica-
tion » différents. Il est probable qu’un opérateur se reconnaîtra plus dans le fait de ranger
pour contribuer à la prévention des accidents majeurs que pour respecter la méthode 5S.
50
Mais l’exemple n’est pas si trivial qu’il paraît : la justification par « la méthode 5S » oblige
uniquement l’organisation à respecter toutes les contraintes de cette méthode (sinon la justi-
fication ne peut pas être prise au sérieux par l’opérateur). Tandis que la justification par « la
prévention des accidents majeurs » ne pourra être prise au sérieux que si l’organisation met
en place de nombreuses autres mesures de prévention cohérentes entre elles – dont celles
qui paraissent à l’opérateur essentielles pour assurer la sécurité. Tout défaut de consistance
entre les « messages en mots » et les « messages en actes » de l’organisation met les acteurs
de l’entreprise en situation de dissonance cognitive. Il est assez probable qu’ils trouveront
alors de bonnes raisons pour justifier a posteriori ce que la situation contradictoire les a
contraints à faire à leur corps défendant. On ouvre ainsi sur un enchaînement d’attitudes et
de comportements peu favorables à la sécurité.
Bibliographie
Amalberti, R. (1996). La conduite de systèmes à risques. Coll. Le Travail Humain. PUF, Paris.
Berthoz, A. (1997). Le sens du mouvement. Odile Jacob, Paris.
Berthoz, A. (2003). La décision. Odile Jacob, Paris.
Damasio, A. (1994). L’erreur de Descartes, la raison des émotions. Odile Jacob.
Dédale et IFSA (2001). Briefings : performances et limitations humaines. Dédale et Institut Français de
Sécurité Aérienne.
Dubois, N. (2005). Psychologie sociale de la cognition. Dunod, Paris.
Endsley, M., Bolté, B., et Jones, D. (2003). Designing for situation awareness, an approach to user-centred
design. Taylor et Francis, Londres.
Eysenck, M. et Keane, M. (1993). Cognitive Psychology : a student’s handbook. Lawrence Erlbaum,

Hillsdale.
Ghiglione, R. et Richard, J. (1993). Cours de psychologie. Dunod, Paris.
Hoc, J. (1996). Supervision et contrôle de processus : la cognition en situation dynamique. Presses

Universitaires de Grenoble.
Joule, R. et Beauvois, J. (1987). Petit traité de manipulation à l’usage des honnêtes gens. Presses Universi-
taires de Grenoble, Grenoble.
Joule, R. et Beauvois, J. (1998). La soumission librement consentie. PUF, Paris.
Rasmussen, J. et Rouse, W. (1981). Human detection and diagnosis of system failures. Plenum Press.
Taleb, N. (2007). The Black Swan : The Impact of the Highly Improbable. Random House, New York.
Traduction française : Le cygne noir, la puissance de l’imprévisible, Paris, Les Belles Lettres.
Weill-Fassina, A., Rabardel, P., et Dubois, D. (1993). Représentations pour l’action. Octarès, Toulouse.
51
52
6
Les collectifs de travail
Activité
FHOS Effets
humaine
Culture sécurité


sécurité
Résultats santé
6.1 Chacun appartient à plusieurs groupes, qui ont leurs propres normes
Une même personne appartient toujours à plusieurs groupes sociaux différents, de péri-
mètres plus ou moins flous. Un même salarié peut appartenir à la fois :
• à un ou plusieurs collectifs de travail ;

• à un groupe de métier, sur lequel nous reviendrons ;
• à un groupe professionnel, c’est-à-dire de personnes qui ont à peu près les mêmes
enjeux de statut ;
• à des groupes sportifs, associatifs, syndicaux, etc.
Chacun de ces groupes est porteur d’un patrimoine collectif, qui va influencer les conduites
de ses membres. La perception elle-même est influencée par l’appartenance à un groupe :
celui-ci est porteur d’une sensibilité particulière à certaines informations, et de classes d’in-
terprétations toutes prêtes. Le groupe est aussi porteur de normes d’action plus ou moins
implicites. Ce que valorise un groupe sportif n’est pas équivalent à ce que valorise un
groupe syndical. Chaque personne va devoir construire ses propres conduites en composant les normes de
avec un grand nombre de normes de groupes. Il est de ce fait souvent peu pertinent de groupes
penser pouvoir prévoir les choix d’une personne, simplement parce que l’on identifie son
appartenance à un groupe donné. Il existe toutefois des situations où les différents groupes
mentionnés se recouvrent très fortement, ce qui augmente le poids des normes collectives
sur le fonctionnement individuel.
Les groupes peuvent être plus ou moins formellement constitués, comporter ou non une
capacité de débat interne, mettre en avant ou non un leader, avoir ou non un représentant
identifié. Il n’est pas toujours certain que les groupes les plus explicitement organisés dans
l’entreprise soient ceux qui ont la plus grande influence. Or un processus de changement
qui n’associerait pas des groupes influents sera très difficile à mener à bien.
53
6.2 Le collectif de travail
Le groupe particulier que constitue le collectif de travail a des formes très variables :
• ses membres peuvent ou non se trouver au même endroit (les opérateurs de la salle de
contrôle et les rondiers) ;
• ils peuvent avoir ou non les mêmes fonctions (le conducteur de train et les contrôleurs) ;
• ils peuvent partager les mêmes tâches immédiates (soulever ensemble une charge) ou
seulement des buts à moyen terme (assurer un lot de production).
Le collectif de travail a souvent des frontières variables (certaines fonctions s’intègrent à

des moments particuliers), et peut comporter plusieurs cercles (l’équipe postée, les équipes
postées). Une personne susceptible de tenir plusieurs postes peut avoir à s’insérer dans
plusieurs collectifs de travail.
Le collectif de travail joue des rôles très importants dans l’équilibre d’un système de produc-
tion :
• quand l’organisation le permet, les membres du collectif peuvent s’entraider, en com-

pensant mutuellement les limites (physiques, de compétences) et des difficultés passa-
gères de l’un ou l’autre, au-delà du seul niveau de collaboration prescrit par l’organi-
sation ;
rôle des collectifs • le collectif est un niveau essentiel de détection et de récupération d’une situation
dans la sécurité anormale ou d’une erreur ;
industrielle
• le collectif peut être un lieu de débat et de construction d’une solution, lorsque aucune
règle ne correspond à la situation ;
• un collectif de travail qui fonctionne bien est une contribution positive à la santé de
ses membres.
Certaines situations organisationnelles peuvent mettre à mal les collectifs de travail : licen-
ciements, sanctions ou promotions perçues comme non justifiées, mise en compétition des
membres entre eux, circulation de rumeurs. . . Lorsque les collectifs de travail sont abîmés,
on assiste parfois à une dégradation rapide du niveau de sécurité industrielle : incidents
non détectés, erreurs habituellement récupérées qui ne le sont plus, mauvaise circulation
de l’information. Il est fréquent que cette situation s’accompagne d’une augmentation de
l’absentéisme, notamment à cause d’un accroissement des accidents de faible gravité (par
exemple, chutes de plain-pied).
Le collectif de travail est distinct du collectif de métier.
6.3 Le collectif de métier
Le collectif de travail regroupe des gens de même métier, mais qui ne travaillent pas néces-
sairement ensemble en permanence (par exemple, les électriciens, les soudeurs. . .).
Les règles de métier
Toutes les professions ne sont pas des métiers. L’idée de métier correspond à l’existence
d’une tradition historique (plus ou moins longue), qui a conduit à l’élaboration de règles de
métier, définissant l’attitude à tenir dans certaines situations. Lorsqu’un jeune entre dans
un métier, ces règles de métier lui sont progressivement transmises, leur acquisition est
contrôlée par le collectif. Les règles de métier permettent à chacun de ne pas partir de rien,
le métier permet quand il se trouve dans une situation qui n’est pas totalement définie par les règles formelles
de ne pas partir de de l’organisation. Les règles de métier sont d’une autre nature que les règles formelles : elles
rien donnent une plus grande place au corps, à la perception physique d’une situation par tous
les sens, à la variabilité qui peut survenir lors d’une même opération.
Les règles de métier définissent un « genre » commun aux membres du métier, mais ne sont
pas incompatibles avec le fait que chaque personne développe son propre « style », dans
54
6.3. Le collectif de métier
certaines limites. Au contraire, le collectif de métier observe les « styles » individuels, et une
trouvaille particulièrement performante d’un des membres peut être intégrée dans les règles
de métier.
Un style individuel peut être généralisé au métier
Les athlètes pratiquant le saut en hauteur utilisaient la technique du rouleau ventral. En 1968, Dick
Fosbury mit en œuvre un style très différent, en sautant de dos. Le saut fut d’abord refusé, puis
l’on vérifia qu’il n’enfreignait aucune règle. Ce style personnel s’est généralisé, et est devenu partie
intégrante du genre « saut en hauteur ».
Les règles de métier ne sont donc pas immuables. Elles s’enrichissent des contributions
des membres, et doivent évoluer avec les changements technologiques, organisationnels, les règles de métier
démographiques. Mais cette évolution suppose que des « débats de métier » soient possibles. évoluent
Certains métiers organisent des congrès pour cela ! D’autres ont peu d’espaces favorisant
cette actualisation des règles du métier. Lorsque les débats de métier sont insuffisamment
possibles, les règles de métier peuvent se trouver en retard de phase par rapport au
développement des moyens de production. Le « filet » qu’elles représentent risque de cesser
d’être pertinent dans certaines configurations. Ces limites ne sont pas compensées par
les règles formelles, ces dernières ne développant pas de la même façon les compétences
sensorielles et motrices des opérateurs.
Certaines professions, par ailleurs, sont récentes et n’ont donc pas la tradition historique
d’un métier. Il est possible d’accélérer la création du métier, en favorisant les espaces où les
membres du métier peuvent débattre sur des « cas » qu’ils ont rencontrés et pour lesquels les
règles formelles n’apportaient pas toutes les réponses. Les expériences peuvent alors être
confrontées, ce qui permet de dégager certaines régularités entre les réponses qui ont donné
des résultats satisfaisants et celles qui n’ont pas marché. Les règles de métier commencent
ainsi à s’élaborer.
Le métier et la sécurité
Dans les industries à risques aujourd’hui, il existe une forte prise en charge de la sécurité
par l’organisation, avec la mise en place d’un Système de Management de la Sécurité. Dans
certains cas, l’instauration de ce SMS a donné lieu à une discussion avec les métiers, pour
intégrer les pratiques de sécurité qui y étaient traditionnellement valorisées. Dans les cas où SMS et métiers : des
cette interaction n’a pas eu lieu, les salariés peuvent se trouver pris dans des contradictions contributions
entre les règles de sécurité de métier et les règles de sécurité de l’organisation. Or il est à la sécurité. . .
impossible de trancher, de façon générale, la question de savoir lesquelles sont les plus
pertinentes :
• les règles formelles sont basées sur des connaissances générales détenues par des
experts, et intègrent des situations calculées que les opérateurs n’ont heureusement
jamais vécues d’expérience ;
• les règles de métier sont basées sur la connaissance physique des installations et des
opérations, et intègrent des formes de variabilité locale dont les experts n’ont pas
connaissance.
Le bon fonctionnement du SMS suppose donc que les règles formelles soient établies en . . . dont la
associant des opérateurs des différents métiers concernés. complémentarité doit
être organisée
L’articulation des prises en charge de la sécurité par les métiers et par l’organisation est
un des enjeux d’une culture de sécurité (cf. Chapitre 9).
Groupe de métier et groupe de projet
Lorsqu’une organisation par projet est mise en place, elle regroupe pour une durée en prin-
cipe limitée un ensemble de personnes appartenant à des métiers différents. Le groupe de
55
projet constitue un collectif de travail, qui permet l’interaction quotidienne entre différentes
logiques de métier pour la réalisation d’un objectif.
L’un des risques est que les membres du groupe projet soient en situation d’interactions
insuffisantes avec leur groupe de métier. Or, la finesse de la réponse qu’ils peuvent apporter
à un problème, le maintien à jour de leurs compétences, la capacité d’affirmation de l’impor-
coupure avec le métier tance de la logique professionnelle dont ils sont porteurs dépendent de ces interactions avec
leurs pairs dans le métier.
La mise en place d’une organisation par projet doit donc maintenir des espaces de confron-
tation interne aux métiers.
6.4 Les collectifs syndicaux
Les collectifs syndicaux sont le lieu d’une articulation entre :
• des préoccupations du personnel du site ;

• des orientations et des ressources fournies par l’organisation syndicale aux niveaux
confédéral, de branche, régional ;
• des formes d’intervention des représentants syndicaux vis-à-vis de la direction de
l’entreprise, notamment au sein des instances représentatives du personnel.
Les questions qui se posent à propos des représentants syndicaux sont souvent d’une nature
très proche de celles qui concernent les managers : dans quelle mesure leur activité articule-
t-elle au quotidien une connaissance concrète des situations de travail, et de l’activité qui
s’y déroule, avec la prise en compte des orientations stratégiques descendantes ?
Les formes de pratique syndicale sont l’une des dimensions d’une culture de sécurité sur un
site : elles ne peuvent bien sûr pas être définies par l’organisation formelle de l’entreprise,
mais celle-ci peut plus ou moins contribuer à favoriser des pratiques syndicales positives
pour la sécurité (par exemple à travers les « missions » du CHSCT).
6.5 Et beaucoup d’autres collectifs. . .
Chaque personne de l’entreprise peut appartenir à d’autres collectifs : les réseaux personnels
qu’elle a maintenus avec d’anciens collègues qui sont actuellement dans d’autres services,
les partenaires d’activités sportives ou culturelles, etc.
Ces réseaux non directement professionnels sont souvent des ressources pour le travail :
Les réseaux personnels parfois atouts pour la vie professionnelle
On peut s’adresser à un coéquipier de foot ou au bibliothécaire du comité d’entreprise pour qu’il

donne une information sur une installation qu’il a montée il y a quelques années !
Ces réseaux constituent aussi un immense véhicule d’informations, qui fait que des contra-
de nombreux réseaux dictions éventuelles entre les messages diffusés par les différents managers d’un site (ou
informels par le même responsable à différentes occasions) sont immédiatement détectées. Il peut
alors s’instaurer une atmosphère d’incertitude et d’inquiétude, favorable aux rumeurs et à
la démotivation, qui peut affecter la sécurité.
La cohésion de l’ensemble des acteurs autour de la sécurité industrielle suppose la cohé-
rence des différents signes envoyés, dans leur pratique quotidienne, par les membres de
l’encadrement (cf. Chapitre 9).
56
6.5. Et beaucoup d’autres collectifs. . .
Bibliographie
Clot, Y. (1995). Le travail sans l’homme ? Pour une psychologie des milieux de travail et de vie. La
Découverte, Paris.
Clot, Y. (2008). Travail et pouvoir d’agir. Coll. Le Travail Humain. PUF, Paris.
Cru, D. (1987a). Collectif et travail de métier : sur la notion de collectif de travail. Dans C. Dejours,
C., Éd., Plaisir et souffrance dans le travail, Séminaire Interdisciplinaire de Psychopathologie du travail,
volume 1, pages 43–49. CNRS.
Cru, D. (1987b). Les règles du métier. Dans Dejours, C., Éd., Plaisir et souffrance dans le travail, Séminaire
Interdisciplinaire de Psychopathologie du travail, volume 1, pages 29–42. CNRS.
De La Garza, C. (1995). Gestion individuelle et collective du danger dans la maintenance d’infrastructures

ferroviaires. Thèse de doctorat d’ergonomie, EPHE, Paris.
Dejours, C. (1995). Le facteur humain. Coll. Que sais-je ? PUF, Paris.
Leplat, J. (1993). Ergonomie et activités collectives. Dans Six, F. et Vaxevanoglou, X., Éd., Les aspects
collectifs du travail, Actes du XXVIIème congrès de la SELF, pages 7–27, Lille.
Noulin, M. (2002). Ergonomie. Octarès, Toulouse.
Toulouse.
de Terssac, G. (1992). L’autonomie dans le travail. PUF, Paris.
de Terssac, G. (2002). Le travail, une aventure collective. Octarès, Toulouse.
57
58
7
L’erreur humaine : une explication insuffisante
Pendant de nombreuses années, l’« erreur humaine » a été le principal facteur explicatif
des accidents industriels ou de transports. Pour beaucoup de médias, cette approche vaut
toujours. Le modèle sous-jacent est que l’ensemble des situations de production sont pré-
vues, qu’il existe des règles claires sur la conduite à tenir dans tous les cas, et que dans la
circonstance particulière, un individu n’a pas fait ce qu’il aurait dû faire, provoquant ainsi un
accident plus ou moins grave. L’analyse de l’accident doit alors surtout mettre en évidence
cet acte unique à partir duquel la situation a dérapé.
Activité
FHOS Effets
humaine
Culture sécurité


sécurité
Résultats santé
Individu Erreurs ? sécurité du travail
Ce modèle de l’« erreur humaine » comme principal facteur explicatif des accidents a été
battu en brèche pour de nombreuses raisons, qui seront décrites dans la section 7.1. Les
erreurs sont le plus souvent une conséquence des situations dans lesquelles étaient placés
ceux qui les ont commises.
Une erreur est souvent le résultat d’une situation où un opérateur et/ou une équipe n’ont
pas pu mettre en œuvre leurs compétences, pour des raisons liées à la conception des
systèmes, de l’interface, à l’organisation, à la formation. . .
De ce fait, éviter les situations qui génèrent ou augmentent les erreurs reste une priorité de
la conception et de l’organisation des systèmes à risques. Dans les sections 7.2 et 7.3, nous
préciserons les notions en jeu, puis la section 7.4 présentera les principaux « ingrédients »
qui rendent l’erreur plus probable. La section 7.5 discute la pertinence d’une sanction des
erreurs.
59
7.1 Les limites de l’approche par l’erreur humaine
La vision de l’accident industriel basée sur « l’erreur d’un opérateur » (au singulier) comme
cause principale est maintenant totalement abandonnée des milieux scientifiques. Les rai-
sons sont les suivantes.
1. La focalisation sur l’erreur humaine conduit à s’intéresser uniquement aux événe-

ments non souhaités ayant eu des conséquences fâcheuses, sans analyser toutes les
régulations humaines qui assurent la fiabilité au quotidien (cf. Chapitre 1).
2. Les erreurs commises par les êtres humains sont très nombreuses. À qui n’est-il pas
arrivé d’oublier son portable ou ses clés ? Heureusement, dans la plupart des cas, ces
erreurs sont sans conséquence, car elles sont détectées et récupérées par la personne
concernée ou le collectif, avant qu’elles aient eu des conséquences graves.
La majorité des erreurs est sans conséquence
Sur un avion de ligne, l’observation de 44 heures de vols successifs a permis de relever

162 erreurs dont 157 ont été récupérées par l’équipage. Seule une erreur a donné lieu à
signalement.
Quand une erreur a eu des conséquences fâcheuses, la question est d’abord de

comprendre pourquoi elle n’a pas pu être détectée et récupérée.
3. On pourrait dire que les erreurs qui viennent d’être mentionnées sont des « erreurs
pas graves » tandis que celles qui provoquent les accidents seraient des « erreurs
graves ». Mais chacune des contributions à l’accident ne prend sa gravité que dans
sa combinaison avec toutes les autres. La même « erreur » n’aura en général aucune
conséquence si le contexte est légèrement différent.
4. Dire que « quelqu’un a commis une erreur », c’est considérer qu’il a fait autre chose
que ce qu’il aurait dû faire. Mais pour déterminer ce qu’il aurait fallu faire, les experts
construisent une analyse a posteriori, en prenant tout leur temps, et en disposant
le temps de l’accident d’informations que n’avait pas la personne qui s’est trouvée dans la situation en
et le temps de temps réel (notamment l’information sur le fait que l’histoire s’est mal finie).
l’enquête
Il n’y a aucun rapport entre les processus cognitifs des experts qui reconstituent a
posteriori les actions qui auraient été souhaitables, et ceux de la personne qui s’est
trouvée dans le « présent simultané » de l’action.
Bien évidemment, si la personne avait su que ses actions auraient cette issue, elle ne
les aurait pas entreprises.
5. Les analyses d’accident font souvent l’hypothèse de ressources cognitives infinies
(cf. Chapitre 5). Si la personne avait pu à loisir mobiliser toutes ses connaissances pour
analyser le phénomène en cours, peut-être aurait-elle identifié plus correctement ce
qui était en train de se passer. Mais les ressources cognitives ne sont pas illimitées :
prendre en compte dans le même temps, la personne surveillait d’autres processus, était interrompue,
la limitation des répondait au téléphone, etc. Le raisonnement « basé sur les connaissances » ne peut
ressources oognitives pas être maintenu longuement dans ces conditions. Le traitement de la situation
résulte toujours d’un compromis entre le nombre des histoires qui doivent être traitées
en parallèle, leur rythme d’évolution, et la profondeur de l’analyse qui sera faite de
chacune.
6. L’analyse d’accident se focalise souvent sur l’erreur de celui qui gère les installations
en temps réel. Mais son activité est fortement influencée par la conception des instal-
lations et l’organisation.
Certaines configurations techniques et organisationnelles appellent, plus que

d’autres, le risque de se tromper.
60
7.2. Les parades
Certaines configurations augmentent le risque d’erreur
Si l’on intervertit sur votre voiture les pédales de frein et d’accélérateur, même si vous êtes
averti et qu’un écriteau vous le rappelle, il est certain que, tôt ou tard, vous appuierez sur
l’accélérateur alors que vous vouliez freiner.
Les erreurs dans le temps réel de l’exploitation ne sont pas sans lien avec ce que
l’on peut appeler des « erreurs de conception » ou des « erreurs d’organisation »,
qui génèrent des « erreurs latentes », c’est-à-dire qui augmentent la probabilité d’un les erreurs qui
comportement inapproprié. attendent qu’on
les commette
Exemple d’erreur latente
Dans le cas de l’accident de la gare de Lyon en 1988, qui fit 56 morts, l’un des mécanismes
ayant contribué à la catastrophe est le fait qu’un robinet de frein avait la même géométrie
qu’un robinet de gaz, mais qu’il était fermé lorsque parallèle au tuyau, et ouvert en posi-
tion perpendiculaire. Une telle conception augmente considérablement la probabilité d’une
erreur.
Focaliser l’analyse sur le dernier maillon de la chaîne ne permet pas de tirer les leçons
de l’événement et de mettre en place les mesures de prévention susceptibles d’éviter son
renouvellement.
On considère aujourd’hui que ce sont largement les mêmes mécanismes qui permettent la
fiabilité quotidienne et ceux qui conduisent à l’accident exceptionnel. Le système ne peut
fonctionner que parce que des hommes et des femmes gèrent sa variabilité au plus près du
terrain, en utilisant des raisonnements-action (cf. Chapitre 5) en général très performants,
et donc en apportant une optimisation locale qui est autre chose que la seule exécution des
procédures.
Le système ne fonctionne jamais de façon strictement nominale. Le process est variable
en lui-même, et la performance de la réponse humaine est inéluctablement variable. Dans des résonances
certains cas, un ensemble de ces variations, dont chacune peut être anodine de façon isolée, fâcheuses
se trouvent combinées et donnent lieu à un phénomène de « résonance ». Les effets de
l’ensemble sont alors beaucoup plus importants que les effets de chacun des écarts.
7.2 Les parades
Le premier niveau de parade correspond à l’idée de « barrières » : il faut éviter qu’une

erreur ait des conséquences néfastes, et l’on va donc interposer différentes barrières, in-
dividuelles, collectives, techniques et organisationnelles. C’est le modèle bien connu du
« fromage suisse » de Reason.
Fi g u r e 7.2 – Le modèle de sécurité du fromage suisse.
Quelques exemples :
• barrière individuelle : l’opérateur est formé à des « détrompeurs » lui permettant de

distinguer un incident fréquent et un incident grave mais rare qui commencent de la
même façon ;
61
• barrière collective : le commandant de bord vérifie l’action du copilote et réciproque-

ment ;
• barrière technique : dans un hôpital, les tuyauteries d’oxygène et de protoxyde d’azote
ne comportent pas les mêmes filetages, ce qui rend impossible l’erreur de branchement ;
• barrière organisationnelle : lors d’une prise de sang, la correspondance entre le donneur
et l’étiquette du tube est vérifiée plusieurs fois de façons indépendantes.
Dans ce modèle, l’erreur initiale ne donnera lieu à un événement non souhaité que si
toutes les barrières ont été franchies1 . L’analyse de l’accident suppose alors de comprendre
non seulement l’événement initial, mais aussi la façon dont toutes les barrières ont été
défaillantes.
Ce modèle garde toute son importance, mais on sait maintenant qu’il est insuffisant. En
effet il correspond à des scénarios d’événements et de propagation qui ont pu être anticipés,
les barrières ne ce qui a permis la conception des barrières préventives. Or il se produit des combinaisons
préviennent pas les qui n’ont pas été prévues, et qui sont susceptibles de conduire à une issue non souhaitable.
événements Cette situation sera maîtrisée si les collectifs de travail présents sur place détectent que la
non-anticipés variation est dangereuse, et construisent une réponse appropriée. La sécurité progressera si
cette situation finalement sans conséquence grave est analysée, enrichissant l’éventail des
scénarios anticipables pour lesquels des barrières sont prévues.
On retrouve ici les « deux pieds » indispensables de la sécurité :
• la sécurité réglée, qui permet de définir par avance des réponses pertinentes à des
scénarios anticipables ;
• la sécurité gérée, basée sur la présence en temps réel de compétences qui permettent
d’identifier si les scénarios sont ceux qui avaient été anticipés, et de construire une
réponse appropriée même si ce n’est pas le cas.
Sécurité réglée
Anticipation par les règles de toutes les situations
prévisibles
Mise en œuvre des connaissances scientifiques
et techniques
Sécurité gérée
Faire face aux situations non prévues par la compétence
des opérateurs, des collectifs et du management en
temps réel
F i g u r e 7.3 – Sécurité réglée et sécurité gérée.
La simple cohabitation de ces contributions ne suffit pas ou peut être problématique. La

culture de sécurité suppose qu’elles se rencontrent et évoluent de façon conjointe.
Développement d’une culture de sécurité

Chacun n’a qu’une partie des savoirs nécessaires à la sécurité
Mise en débat des règles et des pratiques
Fi g u r e 7.4 – Vers une culture de sécurité.
1 Ceschéma est une image intéressante pour illustrer la notion de barrière. Il ne faut cependant pas le prendre de
façon littérale : d’une part les différents « plans » de barrières ne sont pas indépendants entre eux, et d’autre part
une barrière peut être elle-même génératrice d’incidents (court-circuit dans le moteur d’une porte coupe-feu).
62
7.3. Erreurs, fautes et violations
7.3 Erreurs, fautes et violations
Les termes erreur, faute, violation, défaillance sont parfois employés indifféremment. Pour
permettre les échanges industriels et scientifiques, les termes doivent être stabilisés.
Définitions
Erreur
Définition
Une erreur est une situation où une séquence planifiée d’actions ne parvient pas à ses buts. C’est
un écart par rapport à une référence interne ou externe (objectif, modèle, norme, règle . . .), alors une erreur n’est
que la personne n’avait pas l’intention de s’écarter de cette référence. Une erreur n’est jamais jamais volontaire
volontaire.
Violation
Définition
Une violation est un écart volontaire par rapport à une référence externe. Toute violation n’est
pas en soi répréhensible : le feu est bloqué au rouge, au bout d’un certain temps on le franchira
(violation) avec précaution, car il n’y a pas d’autre solution.
L’idée de violation ne comporte pas l’intention de nuire. Il faut distinguer trois types de
violations :
• certaines correspondent à une situation où le respect de la règle a un coût très élevé

pour les opérateurs, mais où les conséquences de la violation paraissent limitées. Ces
violations sont en général approuvées par le collectif de travail. Qui resterait à attendre
indéfiniment derrière un feu rouge bloqué ? Bien entendu le niveau de tolérance des
collectifs aux violations dépend de la culture de sécurité de l’organisation ;
• d’autres correspondent à un « style » individuel d’un opérateur, qui prend des libertés
que désapprouvent ses collègues ;
• d’autres enfin se produisent quand les règles existantes sont contradictoires entre elles
et où il est impossible de les respecter simultanément. En fait, cette situation ne doit
pas être interprétée comme une violation, mais comme un cas de « raisonnement à
base de connaissances » (cf. Chapitre 5).
Bien entendu, si des opérateurs enfreignent une règle par ordre de la hiérarchie (exemple de
Tchernobyl), il ne s’agit pas, en ce qui les concerne, d’une violation.
La violation avec intention de nuire (par exemple sabotage) est une action délictueuse ou
criminelle d’une nature complètement différente.
Fault
Définition
Le mot fault en anglais signifie défaillance ou défaut (d’un matériel). A fault-tree est un arbre des
défaillances. Fault ne doit pas être traduit par faute, car ce mot français relève du domaine de la
morale, de la justice, et des procédures disciplinaires et non de celui de la compréhension des faits.
Savoir si un opérateur qui a commis une violation a, de ce fait, commis une faute disciplinaire le mot « faute » ne fait
qui appellerait une sanction n’est pas de même nature que comprendre les événements pour pas partie du
définir les actions de prévention. Ce point sera développé dans la section 7.5 de ce chapitre. vocabulaire de la
prévention
Principaux types d’erreurs
Les principaux types d’erreurs sont liés aux formes de raisonnement qui ont été présentées
dans le chapitre 5.
• Certaines erreurs surviennent dans la mise en œuvre d’automatismes, de

« raisonnements-action » : ce sont des ratés. (on croit avoir enclenché le bouton et il
63
ne s’est pas enclenché, ou on touche l’interrupteur par mégarde), des lapsus (on a tapé
17236 au lieu de 17326), des confusions perceptives (on a perçu F6 au lieu de S6).
Ces erreurs sont extrêmement fréquentes (70 à 80% de toutes les erreurs), mais sont
des ratés dans un la plupart du temps détectées et récupérées rapidement par l’intéressé ou le collectif
« automatisme » de travail. La diminution de la probabilité de ces erreurs passe d’abord par la concep-
tion : celle-ci doit absolument éviter que ce type d’erreur donne lieu immédiatement
à un effet grave (détrompeurs, rôle des confirmations d’ordres, des verrouillages de
certaines combinaisons). Elle peut aussi reposer sur des formes de double contrôle
individuel ou croisé.
• Certaines erreurs surviennent dans la mise en œuvre de règles.
Ces erreurs peuvent concerner des règles d’expérience, qui jusqu’à présent avaient
été pertinentes, mais qui rencontrent pour la première fois une exception.
L’exception à la règle d’expérience. . .
Un enfant s’est construit la règle que « pour multiplier par 10 on ajoute un zéro ». Il com-
mettra une erreur lorsqu’il voudra appliquer cette règle à la multiplication de 0,5 par 10.
Il peut aussi s’agir d’une erreur dans la mise en œuvre des règles formelles : la situa-
des erreurs tion peut être mal caractérisée, conduisant à suivre une règle qui ne s’appliquait pas
liées aux règles ou à ne pas suivre une règle qui s’appliquait. Ou bien, la règle choisie était la bonne,
mais une erreur est survenue dans sa mise en œuvre (oubli d’une étape par exemple).
Les erreurs relatives à la mise en œuvre des règles représentent 15 à 20% des erreurs.
Elles sont d’une détection plus difficile que les précédentes, l’ensemble du collectif
de travail est parfois « embarqué » dans une mauvaise caractérisation de la situation,
et ce sont souvent des personnes extérieures à ce collectif qui vont détecter l’erreur
et permettre sa caractérisation. Certaines dispositions organisationnelles peuvent
diminuer la probabilité de ce type d’erreurs : conception des procédures, briefing
collectif avant l’exécution d’une opération, formation aux scénarios (sur simulateur
par exemple).
• Certaines erreurs surviennent dans la mise en œuvre de connaissances. On est
dans le cas où il n’existe pas une règle évidente, et où les opérateurs doivent mobiliser
toutes leurs connaissances pour analyser la situation et définir une réponse adaptée.
Ces erreurs sont souvent décrites sous la forme : « il aurait dû savoir que. . . ». Le fait
que des connaissances existantes n’aient pas été mobilisées peut provenir des diffé-
rences entre leurs circonstances d’acquisition et la circonstance réelle (cf. Chapitre
5). Les connaissances de type « scolaire » ne sont pas forcément appelées par des
contextes réels. Par ailleurs, la limitation des ressources cognitives doit être prise en
considération au regard des caractéristiques de la situation.
Les erreurs dans la mise en œuvre des connaissances sont les plus rares et celles qui
ont potentiellement les conséquences les plus graves. Mais ces résultats traduisent
simplement le fait qu’elles ne se produisent que dans des situations de « raisonnement
basé sur les connaissances », c’est-à-dire dans des situations inhabituelles pour les-
des erreurs qui n’en quelles il n’existe aucune règle claire. Ce ne sont pas seulement les connaissances de
sont pas vraiment l’opérateur qui ont été dépassées, mais aussi la capacité d’anticipation de l’ensemble
du système (il est normal que cela arrive parfois) et les ressources (cognitives, tech-
niques, organisationnelles) pour faire face en temps réel à une situation imprévue.
La diminution de la probabilité de ce type d’erreur repose d’une part sur la forma-
tion des personnes : les formes pédagogiques doivent être conçues pour que les cir-
constances d’acquisition des connaissances aient le plus de points communs avec les
circonstances où les connaissances devront être mobilisées (exemple des simulateurs,
des études de cas). Elle suppose d’autre part une attention globale de l’organisation au
fait que toutes les situations ne sont pas anticipées : disponibilité de recours en temps
réel (expert d’astreinte), accent mis sur le retour d’expérience, analyse des difficultés
de mise en œuvre des règles formelles.
64
7.4. Probabilité accrue d’erreur
7.4 Les situations qui augmentent la probabilité d’une erreur
L’analyse des accidents ou incidents met en évidence des classes d’« ingrédients », qui re-
viennent régulièrement, et qui ont contribué à augmenter la probabilité qu’une erreur soit
commise. Nous passons en revue ces « précurseurs » classiques.
Information disponible
• une information est absente (ampoule grillée, procédure emportée par le chef pour la
réviser). Il s’agit notamment d’une information manquante sur un matériel consigné
ou en travaux ;
• une information est présente mais fausse (dérive d’un capteur) ;
• une information est juste, mais fournie par un capteur non fiable, et interprétée comme
« encore une fois fausse » ;
• un indicateur n’indique pas ce qu’on croit qu’il indique.
Problème d’interprétation de l’information
À Three Mile Island, l’indicateur de la vanne de décharge n’indiquait pas, comme le

croyaient les opérateurs, sa fermeture, mais simplement le fait que l’ordre de fermeture l’information qui induit
avait été donné. Or elle était restée bloquée ouverte. en erreur
• des informations provisoires liées à des travaux et des informations permanentes

coexistent de façon contradictoire, alors que les informations permanentes auraient
dû être supprimées (lignes blanches mal effacées dans une zone de travaux, panneaux de
limitation de vitesse permanents non masqués coexistant avec les panneaux provisoires).
Disposition des informations et des commandes
• Des indicateurs ou leur étiquetage sont ambigus
Pompe Pompe Pompe Pompe

A B C D
F i g u r e 7.5 – Étiquetage ambigu.
• Des commandes ne correspondent pas aux stéréotypes

Un stéréotype est une relation attendue entre la forme ou la disposition d’une com-
mande et l’effet produit en agissant dessus.
Exemples de stéréotypes
Quand on tourne un bouton de volume vers la droite, on s’attend à augmenter le volume. Quand
on tourne un robinet d’eau vers la gauche, on s’attend à augmenter le débit.
des erreurs latentes

Si on conçoit un dispositif inversé par rapport aux stéréotypes, la probabilité d’une erreur
de conception
est très élevée :
65
Ouvert
Fermé
Fi g u r e 7.6 – Un robinet de conduite de frein sur une locomotive (accident de la gare de Lyon.)
Dans certains cas, il y a des stéréotypes contradictoires, il faut éviter d’utiliser de telles
configurations :
44
F i g u r e 7.7 – Comment obtient-on 45 ?
Dans la disposition précédente, le stéréotype « monter/descendre » invite à appuyer sur la

flèche du haut pour augmenter le chiffre à 45. Le stéréotype « précédent/suivant » invite à
appuyer sur la flèche du bas pour passer au suivant !
Si les flèches sont « droite/gauche » au lieu de « monter/descendre », il y aura beaucoup
moins d’erreurs.
44
Fi g u re 7.8 – 43 vers la gauche, 45 vers la droite.
66
Pour un robinet électrique commandant un débit d’eau, on est pris dans la contradiction
entre le stéréotype « bouton de volume » et le stéréotype « robinet » mentionnés ci-dessus.
Il vaut mieux utiliser un autre type de commande qu’un bouton rond.
Fi g u r e 7.9 – Comment augmente-t-on le débit ?
Enfin, il y a des configurations pour lesquelles il n’existe pas vraiment de stéréotype (boutons
d’une cuisinière à 4 feux) où les erreurs seront très nombreuses chez les débutants.
Les stéréotypes ont une dimension culturelle, notamment du fait du sens de la lecture. La
conception de dispositifs pour des pays où le sens de la lecture n’est pas de gauche à droite
et de haut en bas nécessite des compétences spécifiques.
La communication
Des difficultés de communication apparaissent souvent dans l’histoire d’une erreur ayant
contribué à un accident.
• Les opérateurs concernés n’ont pas pu communiquer (panne de radio, téléphone oc-
cupé) ;
• Les opérateurs ont communiqué et ne se sont pas compris :
. mauvaise perception d’une donnée (10 au lieu de 6)

. mauvaise interprétation d’une information (« c’est bon » ne désignait pas la même
opération pour l’émetteur et pour le récepteur).
Pour prévenir ce type d’erreur de communication, un formalisme particulier est imposé dans
certaines entreprises (10 : 2 fois 5 ou 6 : 2 fois 3, épeler en utilisant l’alphabet international). Il
est utile pour prévenir les erreurs de perception, mais ne couvre qu’une partie des difficultés
de communication. Les formalismes plus sophistiqués (organisation obligatoire de la phrase,
collationnement des informations perçues) sont très efficaces, mais uniquement lorsque la
structure de l’information à échanger est prévisible.
Par ailleurs ils sont très consommateurs de ressources cognitives (supposons qu’il soit obli-
gatoire de confirmer à voix haute chaque panneau de circulation que l’on a identifié sur la la communication
route. . .). En situation d’incident, les formalismes laissent souvent la place à une expression opérationnelle
plus naturelle.
Des formations à la « communication opérationnelle », consistant à sensibiliser les collectifs
de travail à ces enjeux de communication, et à mettre à leur disposition une palette d’outils,
sont un moyen terme intéressant, si elles sont conçues en relation avec la réalité du travail
des métiers.
En fait, la communication entre deux personnes donnera lieu à d’autant moins de mauvaises
interprétations que chacun connaît bien le travail de l’autre et le process concerné. Il y a
beaucoup moins d’erreurs de communication au sein d’une équipe de conduite qu’entre
celle-ci et des prestataires de maintenance. Les formalismes communicationnels étant très
coûteux sur le plan cognitif, il est pertinent de renforcer le contrôle surtout aux interfaces
67
où il y a le plus de risque de malentendus, c’est-à-dire celles qui sont les moins permanentes.
Les briefings (réunions préparatoires à l’exécution d’une tâche) sont particulièrement néces-
saires lorsque la tâche mobilise des personnes dont la collaboration n’est pas habituelle ou
concerne un environnement variable ou une opération rare.
L’état des personnes
• Le travail de nuit conduit à une diminution inévitable des ressources des personnes.
Si des manœuvres difficiles doivent avoir lieu la nuit, elles doivent être dotées de plus
quand les opérateurs de moyens que si elles avaient lieu le jour. Des manœuvres inhabituelles effectuées de
ne sont pas dans leur nuit apparaissent parmi les mécanismes de nombreux accidents.
état normal
• L’état des personnes peut être affecté par la fatigue, notamment lorsque la durée du
travail a été inhabituelle.
• La fatigue peut aussi résulter d’un incident précédent. Le premier incident a lourde-
ment mobilisé les opérateurs, qui l’ont parfaitement géré, et lors de la survenue du
deuxième incident, leurs ressources sont affectées.
• L’état des personnes peut être affecté par un événement à forte charge émotive.
Impact de l’état émotionnel
Un conducteur de train qui est témoin d’un suicide sous sa rame est maintenant immédiatement
remplacé. Autrefois ce n’était pas le cas, et il est apparu que les conducteurs ainsi affectés avaient
un risque élevé d’accident sur le reste du parcours.
Un événement personnel peut affecter un individu. Si l’événement est collectif (conflit avec
la hiérarchie), c’est l’ensemble des ressources de l’équipe qui sont affectées.
Erreur par fixation, effet tunnel
La cognition humaine a une propriété ennuyeuse : lorsque nous avons fait une hypothèse,
notre perception et notre raisonnement ont tendance à privilégier toutes les informations
s’enfoncer dans la qui confirment cette hypothèse, et à sous-estimer celles qui devraient nous alerter sur le fait
mauvaise direction que nous sommes sur une fausse piste (voir chapitre 5). On peut ainsi s’enferrer dans une
mauvaise direction : le raisonnement habituel privilégie systématiquement l’hypothèse d’un
incident fréquent, par rapport à celle d’un incident rare qui commence de la même façon.
Cette « erreur par fixation » peut ne pas être seulement individuelle, mais concerner toute
l’équipe (effet « tunnel »). Ce sera en général une personne extérieure, qui n’a pas assisté au
début de l’incident et qui en reprend l’analyse à nouveaux frais, qui permettra de sortir de
l’impasse. Cette personne ne pourra jouer ce rôle que si elle est placée dans une situation
qui lui permet de faire un « raisonnement basé sur les connaissances » : avoir accès à toutes
les informations, faire une seule chose à la fois, ne pas être interrompue.
La diminution de la probabilité de ce risque d’erreur repose :
• sur la disponibilité de ce type d’expertise extérieure à l’équipe temps réel, et sur la

banalisation du fait d’y faire appel (même de façon apparemment injustifiée !) ;
• sur l’identification de scénarios incidentels dont le début est semblable, et l’entraîne-
ment, dans le cadre de la formation, à se méfier de cette similitude trompeuse.
L’état des collectifs de travail
Les analyses d’accidents, notamment depuis celui de Challenger, mettent également en évi-
dence un effet de l’état des collectifs de travail sur le risque d’erreur.
• Les collectifs peuvent être fragilisés, nous l’avons dit, par des conflits avec la hiérarchie,
des sanctions ou promotions perçues comme injustes, des messages managériaux
la démobilisation non acceptés. Lorsque c’est le cas, la démobilisation affecte même la perception : des
affecte la perception personnes démobilisées perçoivent moins des indices fins, prennent moins de facteurs
68
en compte dans leur raisonnement, vérifient moins le résultat de leur action, détectent
moins l’erreur d’un collègue. Il ne s’agit en général pas, ou pas seulement, d’une
attitude de désinvolture volontaire : la cognition elle-même est affectée.
• Les collectifs peuvent être mis à mal par des changements brutaux de leur composition
(par exemple plusieurs départs en retraite et plusieurs recrutements de jeunes simultanés).
Les références communes sont affaiblies, les risques de moins bonne synchronisa-
tion augmentent. Lorsqu’il est inévitable qu’il y ait des changements de composition
du collectif, des temps de minimaux de constitution d’une référence commune sont
nécessaires.
Prendre le temps de construire des références communes
Le commandant de bord d’un avion de ligne fait un « essai de sécurité » chaque fois qu’il change
d’équipage commercial.
Les effets de l’organisation
L’analyse de l’accident de la navette Challenger en 1986 a mis en évidence le rôle des

changements organisationnels survenus à la NASA dans les années antérieures. Depuis, de
nombreuses connaissances ont été produites sur des caractéristiques organisationnelles
qui augmentent la probabilité d’une erreur et diminuent celle de sa récupération. Voici quand l’organisation
quelques-uns des symptômes d’une telle dégradation de l’organisation. augmente le risque
• Les pressions productives (exercées par les clients et internes) poussent le système
plus près de ses limites de fonctionnement. Des contradictions apparaissent entre les
règles de sécurité et les exigences de production, mais elles sont souvent arbitrées
dans le sens de la productivité.
• Le fait, pour un salarié, d’alerter sur cette situation est interprété comme une marque
de sa mauvaise volonté à améliorer la productivité. Le doute est traité comme le
signe d’un manque de professionnalisme, tandis qu’est valorisé le fait de « ne pas le conflit
avoir de problème ». Les salariés (et sous-traitants) qui constatent localement une productivité-sécurité
« petite » anomalie ne la signalent pas et bricolent une solution. Les « déviances » sont
banalisées.
• Les alertes qui parviennent malgré tout à s’exprimer sont négligées, car attribuées à les lanceurs d’alertes
« des gens qui ne sont jamais contents ».
• Les services et les équipes sont mis en concurrence en interne et avec la sous-traitance.
La rétention d’information devient un moyen d’être plus performant que l’équipe
« adverse ». Les rapports d’intervention de maintenance mentionnent presque toujours
« R.A.S. ».
• Le discours formel sur la sécurité demeure inchangé ou se renforce, mais les formes
d’échanges qui pouvaient exister au plus près du terrain (retour collectif d’expérience
sur les incidents, élaboration des procédures par les équipes. . .) sont suspendues car
sans valeur ajoutée immédiate.
• Les campagnes de communication managériales sont déconnectées de la réalité du
terrain, et l’interprétation de leur sens est incertaine, même pour les cadres de proxi- quand les messages
mité qui doivent les diffuser et rendre compte de leur mise en œuvre. L’encadrement managériaux sont
doute de la pertinence des orientations qui lui sont fixées. déconnectés
• Dans certains cas, les représentants du personnel eux-mêmes, convaincus qu’il y a

un enjeu de survie du site ou de l’entreprise, et mobilisés par le mal-être des salariés
lié aux réorganisations, ne perçoivent pas la dégradation de la sécurité par rapport à
la situation antérieure qu’ils jugeaient bonne, et ne considèrent pas prioritaire de se
préoccuper de sécurité dans ces circonstances.
• Les collectifs de travail sont déstabilisés du fait de la désorientation de leur hiérarchie,
des changements organisationnels constants, et de la multiplication des injonctions
contradictoires.
Lorsque plusieurs symptômes de ce tableau apparaissent, la sécurité est fortement menacée.

La prévention de cette situation relève de la construction d’une « culture de sécurité » solide,
qui fait l’objet du chapitre 10.
69
7.5 L’attitude face à l’erreur : sanctionner ou pas
Le fait de sanctionner systématiquement les « erreurs » commises par les opérateurs (celles
en tout cas qui sont visibles car elles ont contribué à un événement non souhaité) est souvent
contreproductif du point de vue de la sécurité :
• l’erreur est pointée comme le principal facteur explicatif de l’événement non sou-
haité, l’organisation se dédouane ainsi d’une analyse des facteurs qui augmentaient
la probabilité que l’erreur soit commise, et donc ne les traite pas ;
• le collectif qui perçoit la sanction comme injuste est mis à mal et ses propriétés de
« filet de sécurité » diminuent ;
• la personne concernée peut être affectée, avec des conséquences sur ses performances
professionnelles.
quelle politique de Une entreprise à risques doit avoir une politique explicite de gestion des erreurs et vio-
sanction ? lations, qui intègre les éléments suivants.
• Une erreur est par définition involontaire. Cela n’a donc pas de sens de sanctionner
une erreur isolée. Si des erreurs répétées de même nature se produisent, il est né-
cessaire de vérifier si elles concernent plusieurs des opérateurs occupant la même
fonction :
. si oui, il existe certainement des « erreurs latentes » techniques ou organisation-

nelles ;
. sinon, la formation de l’intéressé peut être questionnée, et il peut être demandé
à la médecine du travail s’il n’existe pas d’explications médicales (surdité non
détectée, par exemple).
Si ces précautions sont prises, le collectif de travail considérera sans doute comme
juste que soit évoquée la négligence d’un opérateur qui multiplie les erreurs « d’inat-
tention ».
• La question des violations est différente. La violation est volontaire, mais pas toujours
répréhensible. Le système fonctionnerait très mal si aucune violation de règle n’avait
lieu. Toutes les violations ne peuvent donc pas être traitées de la même façon.
. certaines règles ont une valeur absolue. On ne fume pas dans une raffinerie, jamais.
Si ces règles sont affichées comme telles, et qu’il n’existe jamais de situation où
seules quelques il est nécessaire ou valorisé de les enfreindre, tous les salariés considéreront
règles sont absolues comme parfaitement juste qu’une telle violation soit sanctionnée. Il appartient
évidemment à l’organisation de mettre en place tous les moyens pour qu’il ne
soit jamais nécessaire de contrevenir à ce type de règle.
. d’autres règles ont toujours été enfreintes de temps en temps, sans que cela ait
jamais posé problème jusqu’à présent. Un jour, elles deviennent incontournables.
Un processus d’information, d’explication et un préavis sont nécessaires avant
que des sanctions puissent être envisageables.
. certaines règles sont régulièrement enfreintes par l’ensemble du collectif, parce
que le coût de leur prise en compte est très élevé, compte tenu des autres
contraintes de la situation. Si un des salariés est sanctionné pour une telle vio-
lation, une réaction forte du groupe est prévisible, soit sous forme de conflit
explicite si l’organisation est assez tolérante, soit de façon invisible mais beau-
coup plus négative pour la sécurité (grève du zèle larvée, par exemple).
. il y a des cas de « violation obligatoire », c’est-à-dire des cas où les différentes
les règles règles sont incompatibles entre elles (injonctions contradictoires). L’application
contradictoires d’une sanction dans ce cas fait perdre tout crédit à l’organisation, à la hiérarchie,
et aux règles.
. enfin, il existe des cas où le « style » désinvolte ou dangereux d’un opérateur
est désapprouvé par le groupe, mais où le collectif de métier n’est pas assez fort
pour ramener l’intéressé à la raison. Dans un tel cas, c’est l’absence de sanction
qui décrédibilise la hiérarchie.
70
7.5. L’attitude face à l’erreur : sanctionner ou pas
• Les violations avec intention de nuire (par exemple sabotage) relèvent non seulement
d’une sanction disciplinaire mais éventuellement d’un dépôt de plainte.
La mise en place éventuelle par la hiérarchie d’une sanction consécutive à une violation
ou à des erreurs répétées doit donc prendre la forme d’une « instruction », pour éclairer la
décision. La prise en compte à la fois des règles formelles de l’organisation et des règles
d’expérience du collectif de travail est indispensable pour déboucher sur une décision qui
contribue positivement à la sécurité. La possibilité pour la personne mise en cause de se
faire assister par un délégué ou un collègue de son choix n’est pas seulement une obligation
définie par le Code du Travail, c’est également une possibilité pour la hiérarchie d’enrichir
sa compréhension du contexte dans lequel les faits se sont passés et d’apporter les réponses
appropriées.
Bibliographie
Amalberti, R. (1996). La conduite de systèmes à risques. Coll. Le Travail Humain. PUF, Paris.
Guarnieri, F., Cambon, J., et Boissières, I. (2008). De l’erreur humaine à la défaillance organisationnelle :
essai de mise en perspective historique. Revue de l’Électricité et de l’Électronique, 8 :67–76.
Hollnagel, E. (2006). Barriers and Accident prevention. Ashgate, Aldershot, UK.
Jouanneaux, M. (1999). Le pilote est toujours devant. Reconnaissance de l’activité du pilote de ligne.
Octarès, Toulouse.
Keyser, V. D. (1989). L’erreur humaine. La Recherche, 20(216) :1444–1455.
Leplat, J. (1985). Erreur humaine, fiabilité humaine dans l’entreprise. Collection U. Armand Colin, Paris.
Llory, M. (1996). Accidents industriels, le coût du silence. Opérateurs privés de parole et cadres introuvables.
L’Harmattan, Paris.
Llory, M. (2001). L’accident de la centrale nucléaire de Three-Mile Island. L’Harmattan, Paris.
Mazeau, M. (1993). L’homme, agent de fiabilité faillible. Performances Humaines et Techniques, 66 :24–
29.
Reason, J. (1993). L’erreur humaine. Coll. Le Travail Humain. Presses Universitaires de France, Paris.
Traduit par J.M. Hoc, de « Human Error », 1990, Cambridge University Press, ISBN 213045187X.
71
72
8
Santé des personnes et santé de l’organisation
Le présent document n’est pas centré sur la prévention des accidents du travail et des mala-
dies professionnelles, mais sur la prévention des accidents industriels. Il existe cependant de
nombreux liens entre la santé des personnes et le fonctionnement de l’organisation, qui font
que des atteintes à la santé des salariés, mal prises en compte par l’organisation, peuvent
affecter le fonctionnement de l’entreprise et la sécurité industrielle.
Activité
FHOS Effets
humaine
Culture sécurité
Santé


sécurité
Résultats santé
F i g u r e 8.1 – La santé des personnes, déterminant et conséquence des FHOS.
8.1 De nombreux liens
Santé des personnes et fonctionnement de l’organisation sont mutuellement liés.
La santé des personnes est un enjeu pour l’organisation
Les atteintes à la santé des salariés ont bien sûr d’abord des conséquences douloureuses ou
dramatiques pour eux et leurs proches. Leurs effets sur l’organisation sont aussi nombreux :
• L’absentéisme, et notamment l’absentéisme de longue durée, a un coût économique

considérable, mis en évidence par les études de coûts cachés. Le remplacement des
personnes absentes engendre une activité importante de la part du management de
proximité pour trouver des solutions. Ce remplacement se fait soit en interne, avec
souvent des conséquences sur les heures supplémentaires ou la prise de congés des
autres salariés, soit en externe, avec un coût salarial plus élevé et parfois une perte de
compétence ou de cohésion d’équipe.
• Les restrictions médicales d’aptitude sont difficiles à gérer, d’autant plus que l’on
se trouve dans une industrie travaillant 24 heures sur 24, et avec la nécessité pour
les opérateurs d’avoir des habilitations médicales d’intervention, par exemple en cas
d’incendie.
73
• Les maladies professionnelles et les accidents du travail ont un coût direct du fait
de l’augmentation du taux des cotisations d’assurance. Les études microéconomiques
montrent que les coûts indirects sont de l’ordre de dix fois plus élevés (désorgani-
sation, temps passé par le management à gérer les absences, pertes de compétences
dans un métier, difficulté de gestion du retour. . .). La multiplication des procès en
« faute inexcusable de l’employeur », — et des jugements établissant celle-ci qui dé-
bouche sur des indemnisations plus élevées que par le mécanisme assurantiel — a
élevé considérablement le risque juridique et financier des maladies professionnelles.
• L’usure professionnelle ou le vieillissement prématuré lié aux conditions de travail
ont été pendant des décennies gérés sous forme de départ à la retraite anticipé. L’aug-
mentation de l’âge de la retraite interdit désormais cette issue. Les entreprises seront
contraintes de maintenir les salariés dans l’emploi jusqu’à l’âge de retraite à taux plein,
qui continue à augmenter. Il importe donc que l’organisation leur permette d’apporter
jusqu’au bout une contribution productive, et qu’elle assure correctement la transition
des générations.
• L’image d’un établissement en matière de santé-sécurité du travail est un des facteurs
conditionnant le choix de candidature des jeunes qualifiés. Les entreprises jouissant
d’une moindre réputation disposeront d’un vivier de recrutement plus limité.
• Par différents mécanismes qui seront décrits plus loin, on peut aboutir à une démobi-
lisation des salariés (y compris cadres) par rapport à leur travail. Les effets peuvent
être une augmentation des problèmes de santé et de l’absentéisme individuels, une
augmentation des accidents bénins, une moindre vigilance et une détérioration des dé-
cisions des individus et des collectifs, une diminution des échanges avec la hiérarchie,
la multiplication de conflits peu compréhensibles à premier abord. Dans certaines si-
tuations, on assiste également à des sabotages, qui menacent d’autant plus la sécurité
qu’ils sont effectués par des personnes ayant une forte compétence professionnelle. La
malveillance vis-à-vis des installations ne peut pas être justifiée par les dysfonction-
nements de l’organisation, mais elle doit constituer une alerte sérieuse pour celle-ci.
• Certaines addictions (alcool, drogues) peuvent avoir des conséquences directes sur la
sécurité des intéressés, de leurs collègues, et des installations.
• Les suicides de salariés qui d’une façon ou d’une autre établissent un lien entre leur
acte et leur travail ont des conséquences importantes pour l’entreprise : mise en diffi-
culté des collègues et de l’encadrement, tensions sociales, retentissement médiatique.
L’ensemble de ces facteurs indique que la santé des salariés est un enjeu majeur de
santé des salariés : l’organisation, les atteintes à la première affaiblissant la seconde. Celle-ci n’est évidemment
enjeu pour la sécurité pas responsable de toutes les atteintes à la santé des salariés, mais joue un rôle important
industrielle dans certaines d’entre elles.
L’organisation a des effets sur la santé des salariés
Les accidents constituent une atteinte immédiate à la santé. Les atteintes progressives de la
santé liées au travail passent par quatre mécanismes principaux : l’intoxication, les sollicita-
tions excessives de l’organisme, la perturbation des rythmes biologiques, et la dégradation
du rapport psychique au travail.
• Le risque d’intoxication par des toxiques chimiques, physiques (radioactivité) ou

biologiques dépend non seulement de la présence de ceux-ci dans l’environnement de
travail, mais aussi de l’exposition des salariés. L’organisation joue un grand rôle dans
cette exposition : conception des moyens de travail, durée prévue et durée réelle de
l’intervention, fourniture d’outils et d’équipements adaptés, report des informations
pertinentes à distance, connaissance du danger par les opérateurs.
• Les sollicitations excessives de l’organisme sont liées par exemple à la manutention
manuelle de charges lourdes, à des postures extrêmes, à la repétitivité de certaines
opérations, à la chaleur ambiante.
• La perturbation des rythmes biologiques1 résulte des horaires décalés avec travail de
nuit, et peut affecter significativement l’espérance de vie des salariés concernés. On
1 que l’on peut aussi classer dans la catégorie précédente.
74
8.2. Le stress au travail
peut aussi classer dans cette catégorie les effets des décalages horaires fréquents lors
des déplacements professionnels. Dans les industries qui sont évoquées ici, il n’est pas
possible de supprimer le travail de nuit, mais l’organisation peut en limiter les effets
sur la santé : choix d’organisation des horaires de travail et des congés, fourniture de
repas chauds, périodes de repos pendant la nuit.
• Les atteintes du rapport psychique au travail ont fait l’objet de nombreux travaux,
qui correspondent à des modèles théoriques et des niveaux d’approche différents.
Nous présentons ci-dessous deux façons complémentaires d’aborder cette question :
l’une en termes de stress et l’autre en termes de mobilisation subjective.
8.2 Le stress au travail
Le stress, une réponse biologique
Le stress est d’abord une réponse de l’organisme à une situation susceptible de menacer
son intégrité : des ressources biologiques exceptionnelles sont mobilisées pour pouvoir faire
face.
Des ressources insoupçonnées
Une personne poursuivie par un chien menaçant parviendra à courir particulièrement vite.
La réponse biologique se fait en deux ou trois temps :
• premier temps : l’alerte ;

Le système nerveux agit sur la partie centrale des glandes surrénales, qui secrètent des
catécholamines (adrénaline, noradrénaline). Celles-ci vont provoquer la mobilisation
de ressources dans l’organisme : la pression artérielle augmente, le sang est dirigé de stress : l’organisme
préférence vers les muscles et le cerveau, le sucre disponible dans le foie est mis en mobilise ses réserves
circulation dans le sang. Cette réaction rapide conduit à une mobilisation d’énergie
à court terme, qui permet de faire face à la situation immédiate, mais qui épuise les
sources énergétiques habituelles.
On peut aussi noter qu’à faible dose, la noradrénaline favorise un raisonnement éla-
boré, tandis qu’à dose élevée, elle conduit le cerveau à privilégier les programmes de
réponse stéréotypée les plus anciennement appris, et la préservation immédiate plutôt
que le moyen terme.
• deuxième temps : la résistance ;
Si la source de stress persiste, l’organisme doit chercher d’autres ressources. L’hypo-
thalamus puis l’hypophyse envoient des messages chimiques qui commandent à la
partie périphérique des glandes surrénales la sécrétion de cortisol. Celui-ci permet la
production de sucres à partir des graisses et des protéines. Il a également des effets
anti-inflammatoires.
Mais le maintien d’un taux élevé de cortisol a des effets toxiques pour l’organisme : il
entraîne des perturbations métaboliques, génératrices à terme d’athérosclérose (obs- la récupération a des
truction des artères) et de maladies cardiovasculaires, et une diminution des défenses effets secondaires
immunitaires.
• troisième temps : l’épuisement.
Si la source de stress devient chronique, il arrive un moment où l’organisme renonce
à réagir. Les régulations biologiques (notamment celle qui ajuste la production de
cortisol) sont débordées, et de nombreuses pathologies peuvent apparaître (atteintes un stress permanent
cardiovasculaires, maladies infectieuses, allergiques, cancers). Une issue possible chez épuise l’organisme
l’être humain est la dépression. Celle-ci se traduit notamment par une perception
négative indifférenciée des situations, et une « surgénéralisation », c’est-à-dire une
tendance excessive à attribuer des traits communs à des situations différentes, qui
empêche de traiter de façon nuancée des contextes distincts. Le risque ultime est le
suicide.
75
La dimension psychologique : faire face
Les connaissances sur la biologie du stress proviennent largement d’expériences animales.

La perception et la gestion par l’être humain de la situation stressante vont évidemment
jouer un rôle essentiel.
Chez l’être humain, le stress est lié aux exigences d’une situation qu’il perçoit comme
dépassant probablement ses ressources. Doutant d’être assez armé, il va tenter de « faire
face » en déployant des efforts cognitifs et en mettant en place des actions. Il peut chercher
situation perçue à agir en combinant deux niveaux de réponse :
comme dépassant les
ressources de • une réponse « centrée sur l’émotion » : se calmer pour ne pas paniquer, remettre ses
l’individu
idées en ordre, se remémorer la règle ;
• une réponse « centrée sur le problème » : face à un début de feu, prendre un extincteur
et attaquer le feu.
Le stress fait donc l’objet d’une gestion active. Les issues positives ou négatives de cette
gestion vont jouer un très grand rôle dans l’apparition éventuelle de conséquences patholo-
giques.
Pouvoir influencer la situation
Des expériences animales
Une expérience très importante met en évidence que les effets du stress ne dépendent pas
seulement des caractéristiques physiques de la situation stressante, mais de la possibilité
qu’a l’intéressé d’y répondre activement (cf. Figure 8.2 ci-dessous).
Pas de contrôle
Contrôle des chocs par Subit les mêmes chocs
action sur la roue que le voisin Témoin sans choc
Contrôle des chocs Source de chocs électriques Pas de connexion

électriques
Fi g u r e 8.2 – Schéma de l’expérience de Weiss.
La souris de droite est un témoin, qui ne reçoit aucun choc électrique. La souris de gauche
reçoit des chocs qui sont modulés par son action sur la roue. La roue du milieu est inactive,
la souris reçoit les mêmes chocs que celle de gauche, mais sans exercer aucune influence. On
pouvoir agir sur la constate que les atteintes à la santé sont beaucoup plus importantes sur la souris centrale,
situation limite les alors qu’elle a reçu les mêmes chocs que celle de gauche. L’explication est que celle dont les
effets du stress actions sur la roue ont un effet est dans une situation de libération accrue d’adrénaline, tandis
que celle qui n’exerce aucune influence sur la situation secrète massivement du cortisol.
D’autres expériences montrent qu’un comportement actif d’exploration de l’environnement,
de recherche d’information, a un effet protecteur, tandis que le renoncement à cette re-
cherche favorise les pathologies liées au stress.
Ces expériences animales mettent en évidence l’importance pour l’individu de pouvoir
explorer et influencer la situation stressante. C’est le fait de devoir subir passivement
76
8.3. La mobilisation dans le travail
l’agression qui conduit à la pathologie. D’autres recherches sur l’humain confirment cet
enjeu.
Le modèle de Karasek
Un questionnaire très célébre (Karasek) conduit à évaluer trois variables caractérisant la

situation d’un travailleur :
• la demande psychologique, qu’on pourrait assimiler à la charge de travail ;

• la latitude de décision, qui correspond à l’autonomie dont dispose la personne pour
faire face à cette charge ;
• et le soutien social (soutien de la hiérarchie, des collègues).
Un grand nombre de recherches montrent que, à « demande psychologique » équivalente,

les atteintes à la santé sont plus importantes quand la latitude de décision est plus faible,
et quand le soutien social diminue. Ce n’est donc pas la quantité de travail en soi qui est l’absence d’autonomie
pathogène, mais l’absence de marges de manœuvre et de soutien social pour réaliser ses est pathogène
tâches. L’autonomie correspond à la fois à des marges de manœuvre permettant de bien
réaliser son travail malgré les variabilités du contexte, et à la possibilité d’une exploration
active, de l’expression personnelle et du développement. Le soutien social (par exemple
celui du collectif de travail et du collectif de métier, mais on peut ajouter celui de la famille)
permet d’éviter d’être confronté seul à des situations difficiles à gérer.
La réponse de l’organisation
Si un niveau permanent de stress élevé est constaté dans un groupe de travail, les seules
transformations de la situation qui auront un effet positif seront celles dans lesquelles les
intéressés joueront un rôle actif. Une amélioration partielle ne protège pas si elle est vécue
passivement.
Pour traiter le problème, il va être nécessaire de permettre aux personnes concernées de
travailler collectivement à identifier de façon précise les situations qui sont particulièrement
difficiles à gérer, à élaborer des propositions de transformation, et à les mettre en débat dans
l’organisation.
Si le niveau de gravité est tel qu’une partie significative des salariés concernés manifestent
une forme de dépression, cette démarche pourra nécessiter en parallèle un accompagnement
médical individuel approprié des personnes concernées, qui leur permette de reprendre la
main, de sortir de la « surgénéralisation », et de pouvoir réfléchir aux situations concrètes
difficiles auxquelles elles se trouvent confrontées, afin d’apporter leur contribution à la
transformation de celles-ci.
8.3 La mobilisation dans le travail
Une autre approche du rapport psychique au travail consiste à s’intéresser à la mobilisation

de la subjectivité dans l’activité professionnelle. Qu’est-ce qui va faire qu’une personne
particulière va « trouver son compte » dans une situation de travail et y mobiliser des res-
sources élevées ? Quels mécanismes peuvent au contraire, conduire à la démobilisation ?
Chacun est porteur d’une histoire
Chaque personne est à tout moment porteuse de son histoire, inscrite dans son corps. Cette
histoire, et notamment l’histoire de ses relations avec les autres, lui confère une sensibilité
et une réponse émotive particulière à certains événements, une capacité de détection de
certaines configurations, des valeurs et normes personnelles, et une capacité à s’engager
pour certains motifs.
L’engagement dans le travail est toujours un engagement du corps, une mobilisation par la
personne de ses ressources physiques, perceptives, cognitives, d’interaction sociale. engagement du corps
dans le travail
77
Lors des premiers mois de travail, il est possible que la principale source d’engagement du
corps dans le travail soit le bénéfice économique qui en résulte, et qui permet de réaliser, en
dehors du travail, des projets personnels et familiaux. Mais, peu à peu, pour beaucoup de
personnes, il se découvre une résonance entre des caractéristiques des objets du travail et
ses propres traits de personnalité. Faire bien son travail apporte alors non seulement un
bénéfice économique, mais aussi un bénéfice subjectif : l’approbation d’autrui contribue à
l’estime de soi.
La mobilisation de la personne dans le travail sera à la mesure de cette résonance entre les
objets du travail, ses caractéristiques et valeurs personnelles, et le regard d’autrui dont le
jugement importe : les clients, les collègues, la hiérarchie, les proches. Lorsque ces critères
trouver son compte sont en phase, la personne peut se mobiliser fortement et en tirer un bénéfice pour sa santé.
dans le travail bien fait Certaines situations très rigides, comme les corps d’élite militaires, offrent cette résonance
à des personnes très soigneusement sélectionnées et qui ont des personnalités voisines.
D’autres situations comportant plus de degrés de liberté peuvent offrir les mêmes bénéfices
à des personnes ayant des personnalités plus diverses. Cette résonance positive peut tout
à fait survenir y compris dans des situations où le travail est considéré comme difficile ou
pénible.
Mais cette résonance positive n’est bien sûr pas toujours assurée. La mobilisation et la santé
peuvent alors être mises à mal.
Les défenses
Certaines situations dans le travail peuvent être difficiles à vivre subjectivement : présence
permanente d’un danger dans une industrie à risques ou un chantier de bâtiment, souffrance
des patients dans un hôpital, répétitivité du travail à la chaîne, agressivité des clients dans
un centre d’appels, etc.
Lorsque l’être humain se trouve placé dans une situation difficile à vivre et qu’il ne parvient
pas à modifier dans la réalité, son inconscient va construire une défense qui consiste à
modifier la perception de la situation (voir aussi chapitre 5).
La défense face au danger
Dans les situations à risque, une défense consiste ainsi à se convaincre que la situation n’est
quand la peur est plus pas si dangereuse que ça. En fait, il ne s’agit pas d’une défense contre le danger, mais contre
dangereuse que le la peur : il n’est pas possible de travailler tous les jours en ayant peur, il y a un risque de
danger perdre son emploi. La peur, susceptible d’avoir des effets immédiats, est confusément perçue
comme plus menaçante que le risque statistique et lointain lié au danger. L’inconscient va
donc s’organiser pour écarter la peur en minimisant la perception du danger.
Il ne s’agit pas seulement d’une construction individuelle : dès le recrutement, le jeune
salarié est souvent soumis par le groupe à des formes de bizutage, où il est exposé à des
situations dangereuses et ne doit pas manifester sa peur. La construction rapide des défenses
individuelles est soutenue par le collectif.
Comme toutes les défenses, celles contre la peur ont un versant positif et un versant négatif.
D’une part elles permettent aux salariés concernés de continuer à travailler. D’autre part, en
minimisant la perception du danger, elles conduisent à des prises de risque.
Certains comportements apparemment irrationnels s’expliquent si l’on tient compte de cette
défense : un comportement à risque, ou le refus d’un équipement individuel de protection
sont une façon de prouver à soi-même et aux autres que l’on n’a pas peur.
Soulignons au passage que si l’organisation cherche à agir sur ces comportements de prise de
risque de façon uniquement individuelle, il y a peu de chances que l’issue soit positive : c’est
le collectif qui est le gardien des défenses. Pour modifier les comportements qui viennent
d’être cités, il est nécessaire que le collectif puisse développer de nouvelles possibilités
d’action par rapport au risque, plutôt que de gérer la mise à l’écart de la peur.
Les défenses et la limitation de l’action
Les défenses développées par les salariés limitent leur capacité d’action sur la situation, de
signalement des problèmes rencontrés, d’élaboration collective de solutions et de discussion
78
8.3. La mobilisation dans le travail
de leur mise en œuvre. Mais a contrario, les défenses sont nées d’une limitation de l’ac-
tion : c’est quand il n’est pas possible d’agir en réalité sur une situation difficile que les
défenses se mettent en place pour permettre aux personnes de « tenir le coup ».
On ne peut pas débloquer une telle situation en agissant seulement sur les défenses : la l’impossibilité d’agir
possibilité de commencer à agir concrètement sur les situations difficiles est nécessaire au bloque la pensée
redéveloppement de la pensée critique et créative. La capacité de réflexion, de débat et
d’action sont étroitement liées, et le blocage de l’une entraîne le blocage de toutes.
Le retrait
Certaines personnes ne trouvent pas, dans leur travail, la résonance positive avec leur per-
sonnalité et leurs motivations qui a été décrite précédemment. On peut assister alors à une
mise en retrait subjective, une démobilisation par rapport au travail, « la vraie vie » étant
ailleurs. Quelques-unes compensent le retrait professionnel par un fort investissement asso-
ciatif ou sportif, mais dans l’ensemble, mettre « entre parenthèses » le temps de travail (soit
la plus grande part du temps éveillé) conduit rarement à un équilibre personnel et familial
satisfaisant. Le retrait est fragilisant psychiquement et socialement.
Par ailleurs, ce désinvestissement professionnel peut affecter la performance des personnes
concernées par rapport à d’autres plus mobilisées. Les positions de retrait sont évidemment
combattues par l’organisation, et des pressions vont être exercées sur ces personnes, qui se
trouveront alors souvent en difficulté.
La dépression
La dépression menace les personnes qui se font fortement investies dans le travail et qui, à
la suite de changements techniques ou organisationnels, ne parviennent plus, quoi qu’elles
fassent, à trouver une façon de réaliser leur travail qui puisse être évaluée positivement à
la fois par elles-mêmes, par leurs « clients », par leurs collègues, par leur hiérarchie et par
leurs proches. Dans un groupe de salariés soumis aux mêmes contraintes, certains seront,
du fait de leur personnalité, plus en danger que d’autres.
Le harcèlement moral
Depuis la fin des années 1990, la notion de « harcèlement moral » est devenue une « expli-
cation » fréquente des difficultés rencontrées par un salarié : la cause de son mal-être se
trouverait dans l’attitude perverse d’une personne, en général son chef, à son égard. Ce type
d’analyse débouche sur le départ du salarié et/ou la mise en cause, y compris pénale, du
« harceleur ».
La clinique médicale du travail montre qu’en réalité, dans un très grand nombre de cas, la harcèlement moral ou
piste de la personnalité du chef est sans issue. Il y a le plus souvent, derrière le mal-être logiques
du salarié, des causes liées à l’organisation du travail. Plus précisément, le « travail bien contradictoires ?
fait » selon le salarié n’est pas « le travail bien fait » vu par son interlocuteur : plutôt qu’un
problème de conflit entre personnes, il se joue un conflit de logiques par rapport aux objets
du travail.
Ne pas pouvoir faire bien son travail
Le sentiment de ne pas pouvoir faire bien son travail — quoi que l’on tente — est en effet
une des principales sources d’atteinte à la santé mentale au travail.
Après différentes tentatives et autant d’échecs, la personne baisse les bras, et le développe-
ment de la dépression s’accompagne des explications généralisantes qui ont été décrites plus
haut. Pour certaines personnes, le risque de tentative de suicide est réel. Mais d’où vient ce
sentiment de ne pas pouvoir faire un travail de qualité ?
79
Les conflits de logiques
Exemple en centre d’appels
Dans certains centres d’appels, la forme de qualité que voudrait offrir chaque téléopératrice est
d’apporter une réponse satisfaisante à la demande de chaque client. Pour certains appels, cela va
vite, pour d’autres cela nécessite une conversation longue. Pour la hiérarchie en revanche, la me-
sure de la qualité est statistique : il s’agit du pourcentage de clients qui ont eu leur réponse rapide-
ment. Le manager va donc faire pression sur la téléopératrice pour qu’elle abrège les conversations
longues et puisse, dans le même temps, satisfaire statistiquement plus de clients.
De tels conflits de logiques sont très fréquents dans les situations de travail. Ce qui est
considéré comme du travail bien fait diffère selon les points de vue.
Différence de points de vue
Certains acteurs peuvent considérer comme du travail bien fait une performance productive très
élevée, alors que des libertés ont été prises avec les règles de sécurité. Un opérateur qui s’est
précipité pour fermer une vanne fuyarde, sans prendre son appareil respiratoire, sera-t-il félicité
ou réprimandé par sa hiérarchie ?
Les différentes logiques en jeu sont légitimes car nécessaires au fonctionnement de l’entre-
prise. Mais leurs critères différents doivent pouvoir être explicités, débattus, et faire l’objet
d’un arbitrage explicite.
Ce que recouvrent les situations interprétées en termes de « harcèlement moral » est souvent
des situations où une logique écrase l’autre. Les salariés sont, consciemment ou incons-
ciemment, détenteurs d’informations et de critères de travail bien fait, qui leur semblent
pouvoir exprimer sa importants. Mais l’organisation ne permet pas qu’ils puissent le faire valoir face aux autres
vision du travail bien logiques. Ils ne sont, d’ailleurs, souvent pas en situation psychologique d’analyser et de for-
fait muler cet état de fait en relation avec des situations précises. Les explications généralisantes
« le chef ne fait que. . . » ouvrent la voie à l’interprétation en termes de harcèlement moral,
qui ne permettra pas d’agir sur l’organisation.
La réponse de l’organisation
Que l’on entre par l’approche du rapport psychique en termes de stress ou par celle en
termes de mobilisation subjective, on débouche sur des conclusions similaires : l’issue au
mal-être des salariés et à leur éventuelle démobilisation passe par la remise en route de
leurs capacités collectives d’analyse, de débat, et d’action sur les situations.
Des compétences spécialisées seront en général nécessaires pour aider les acteurs de l’entre-
prise dans cette démarche.
8.4 La reconnaissance, carburant de la mobilisation subjective
La mobilisation d’une personne vis-à-vis de son travail dépend de la reconnaissance à

laquelle sa contribution donne lieu dans le regard d’autrui (la hiérarchie, les clients, les
collègues, les proches). Chacun attend qu’on lui manifeste qu’il contribue à un travail de
qualité.
Des clients, (quels qu’ils soient), le salarié attend qu’ils manifestent qu’il a su prendre soin
reconnaissance par de leurs besoins spécifiques, c’est-à-dire qu’il leur a fourni plus qu’une prestation standard.
les clients, les pairs,
Des collègues, du collectif de métier, on attend qu’ils reconnaissent que l’on est un vrai
la hiérarchie
professionnel, qu’on respecte les règles communes du métier et que l’on contribue à les faire
vivre.
De la hiérarchie, chacun attend qu’elle soit porteuse de la reconnaissance de l’entreprise
vis-à-vis de son investissement professionnel. Cette reconnaissance est bien sûr pour partie
salariale. Mais beaucoup d’autres dimensions sont en jeu. Un manager qui manifeste qu’il
sait qu’une performance a été atteinte au prix d’un coût élevé pour les personnes, qui analyse
avec elles ce qui s’est passé — afin d’améliorer le déroulement de l’opération dans le futur —
80
8.4. La reconnaissance
est porteur d’une reconnaissance pour la réalité du travail effectué. Un manager qui « ne
veut pas le savoir » prive le salarié de cette reconnaissance.
Il en va de même pour la mise en place — ou l’absence — de débats sur l’élaboration des
procédures, sur la conception ou le choix des outils de travail, sur les conflits de logiques
qui peuvent survenir, sur l’élaboration des plans de formation, sur l’évaluation annuelle, etc.
Toute intervention de l’encadrement qui ouvre une possibilité de débat sur les conditions
de mise en œuvre des orientations de l’entreprise, les difficultés rencontrées ou probables,
les mesures à prendre, les évolutions à envisager, est une forme de reconnaissance de la
contribution spécifique des salariés.
Cela est vrai même lorsque l’objet de l’intervention du manager est de manifester au salarié
que quelque chose n’a pas été fait correctement.
Pour certains salariés, notamment les cadres, les contraintes à prendre en compte sont
tellement complexes qu’ils peuvent chercher à se donner le temps d’une réponse de qualité
en emportant du travail chez eux. Au-delà d’un certain stade, ce sont les proches qui vont
manifester le rejet de cette stratégie. Il se peut qu’alors l’intéressé ne voie plus d’issue, et
que sa santé soit menacée.
L’organisation de l’entreprise ne peut, à elle seule, fournir toutes les formes de reconnais-
sance dont les salariés ont besoin pour leur santé et leur mobilisation dans le travail. Mais
elle joue un rôle essentiel dans la prise en charge de cette question par le management.
Bibliographie
Bruchon-Schweitzer, M. et Dantzer, R. (1994). Introduction à la psychologie de la santé. PUF, Paris.
Dantzer, R. (2008). Chapitre Le stress dans Encyclopedia Universalis (édition, N., Éd.).
Davezies, P. (2006). Chapitre Une affaire personnelle ? dans Le travail intenable (Théry, L., Éd.), pages
138–168. La Découverte, Paris.
Davezies, P. (2008). Stress, pouvoir d’agir et santé mentale. Archives des Maladies Professionnelles et de
l’Environnement, 69 :195–203.
Dejours, C. (1995). Le facteur humain. Coll. Que sais-je ? PUF, Paris.
Dejours, C. (2000). Travail : usure mentale. Bayard, Paris.
Karasek, R., Brisson, C., et Kawakami, N. (1998). The Job Content Questionnaire (JCQ) : an instrument
for internationally comparative assessment of psychosocial job characteristics. J. Occup. Health
Psychol., 3 :322–355.
Lazarus, R. et Folkman, S. (1984). Stress, appraisal and coping. Springer, New-York.
Toulouse.
Théry, L. (2006). Le travail intenable. La Découverte, Paris.
Weiss, J. (1968). Effects of coping responses on stress. J. Comp. Physiol. Psychol., 65(2) :251–260.
81
82
9
L’organisation, ses forces et ses faiblesses
La dimension organisationnelle de la sécurité industrielle est apparue avec force notam-

ment dans l’analyse de l’accident de la navette Challenger. Il est maintenant clair que les
caractéristiques d’une organisation peuvent accentuer ou diminuer les risques d’accident
industriel.
Ce chapitre présente les différentes composantes qui constituent toute organisation, le rôle
du management dans la vie de l’organisation, les signes qui peuvent marquer un dysfonc-
tionnement organisationnel, et les caractéristiques connues des organisations qui sont plus
favorables à la sécurité industrielle.
Activité
FHOS Effets
humaine
Culture sécurité


sécurité
Résultats santé
9.1 Les différentes dimensions de l’organisation
L’idée d’organisation est souvent assimilée à celle d’un organigramme, qui définit les fonc-
tions et les responsabilités de chacun dans l’entreprise. Cette image est trop simple pour
permettre la prise en compte des FHOS dans l’entreprise. Même l’analogie avec un mé-
canisme d’horlogerie compliqué est trompeuse (cf. Figure 9.2) : l’organisation n’est pas
simplement un dispositif sophistiqué de transmission ou d’amplification.
83
F i g u r e 9.2 – Des images trop simples de l’organisation.
Toute organisation est un système complexe, doté de plusieurs moteurs. Une organisation
est toujours constituée indissociablement d’une structure, qui en définit le cadre, d’un en-
toute organisation a semble d’interactions entre les personnes et les collectifs qui la font vivre et de cultures
différentes et identités collectives qui existent en son sein. Toute organisation est aussi insérée dans
dimensions un environnement plus large (contexte économique, juridique, réglementaire et social) qui
l’influence fortement.
La structure organisationnelle
La structure organisationnelle est ce que l’on peut concevoir et décider de mettre en place :
les effectifs des différents métiers, l’organigramme, la définition du processus de production,
la structure est un les divers types de règles formelles et procédures, le système d’information. . . La structure a
ensemble de aussi une dimension matérielle : la disposition des bâtiments définit des proximités et des
contraintes barrières architecturales, les contrôles d’accès à des zones ou à des données permettent ou
interdisent certaines collaborations. . .
La structure organisationnelle reflète la façon dont l’entreprise se met en ordre de marche
pour faire face aux différents enjeux de son environnement socio-économique, répondre aux
attentes des différents acteurs qui l’évaluent, et réagir aux variations du contexte.
84
9.1. Les différentes dimensions de l’organisation
Différents modèles d’organisation
Les différents modèles d’organisation donnent une bonne indication des options privilégiées.
Ainsi, un modèle vertical (modèle A) favorise une organisation divisée en différents services
fonctionnels, où la coordination est centralisée au sein d’une structure hiérarchique puissante
et assurant une planification de haut en bas. Un tel type de structure valorise la réduction des
aléas, la coordination et la routinisation du travail, essentiellement à travers les règles et la
voie hiérarchique. Elle est adaptée à un environnement assez stable où la priorité réside dans la
production de masse d’un produit bien défini.
organisation verticale organisation horizontale

organisation matricielle
fonctionnelle basée sur les processus
A B C
À l’autre extrême, une organisation horizontale (modèle C) favorise une division du travail en fonc-
tion de processus tournés vers les clients ou en fonction de projets. L’objet de ce type de structure
transversale est de favoriser la réactivité et l’innovation dans un environnement concurrentiel et en
très forte évolution.
La force de chacun des modèles est la faiblesse de l’autre : une structure verticale est rigide et
peine à s’adapter rapidement face aux évolutions d’un marché ; la structure horizontale est plus
souple mais la coordination des acteurs y est souvent plus difficile, faute de hiérarchie bien établie.
D’où l’avènement plus récent d’un troisième modèle, une structure « matricielle » (modèle B) où
coexistent une autorité transverse en charge de la coordination du projet/processus et une autorité
plus hiérarchique en charge de la gestion des équipes.
La structure organisationnelle définit un cadre de contraintes qui pèsent sur l’ensemble des
salariés. Mais l’organisation ne vit que par l’activité des personnes et des collectifs qui la
composent.
Les relations, les interactions
Si l’activité des acteurs, les interactions entre eux, sont très différentes de ce que la structure
organisationnelle prévoit, l’organisation est fragilisée. La structure ne peut tenir durable-
ment que si elle est entretenue par l’activité quotidienne des acteurs de l’organisation, ce
qui suppose qu’elle soit raisonnablement compatible avec les autres déterminants de cette
activité.
Le double management dans les organisations matricielles
Nous avons vu que les organisations matricielles s’appuient sur un double management (hiérar-
chique et transverse) afin de cumuler réactivité et coordination. Faute de répartition équilibrée des
pouvoirs, ce modèle d’organisation très à la mode, peut aussi générer des tensions. Imaginons ainsi
une situation où quelqu’un serait formellement responsable hiérarchique d’une équipe, mais où les nécessaire
membres de celle-ci s’adresseraient toujours à un autre manager pour obtenir des ressources ou compatibilité entre
solliciter un arbitrage : on serait dans une situation où l’activité des acteurs ne fait pas vivre la structure et activité
structure organisationnelle formelle, mais au contraire la met à mal.
Pour comprendre une organisation, il est donc nécessaire d’identifier la nature des relations
— notamment de coopération et/ou de conflit — qui se jouent entre les acteurs. Ces relations
ne relèvent pas seulement de la personnalité des uns et des autres : elles reflètent de stra-
tégies, largement inconscientes, dirigées pour partie vers l’atteinte de visées communes, et
pour partie vers l’obtention de formes de pouvoir et d’autonomie de chaque personne ou
groupe social.
Ces stratégies se structurent d’abord autour des grands enjeux auxquels l’entreprise doit
85
faire face, des formes d’incertitude qui existent dans chaque domaine. Le tableau ci-dessous
(cf. Tableau 9.1) présente quelques exemples.
Enjeux Incertitudes Exemples de groupes concernés

Marché Réussite du lancement d’un produit Marketing
Évolution des cours Direction commerciale
Qualité Variations de la qualité d’un Service qualité
produit Production
Installations Incertitude technologique Ingénierie, R&D, production,
efficientes et fiables maintenance
Disponibilité des Pannes, aléas Maintenance, production
installations
Image de marque Médias, boycotts Direction générale
Opinion publique Communication
Sécurité industrielle Autorisation d’exploiter Direction générale, direction sécurité,
Incidents, accidents production, communication externe
Climat social Absentéisme, difficultés de Direction RH, management,
recrutement, grèves organisations syndicales, instances
représentatives, groupes de métiers
T a b l e 9.1 – Quelques exemples d’incertitudes sources de pouvoirs dans l’organisation.
Les stratégies des acteurs dépendent aussi des cartes qu’ils ont en main pour se positionner
face aux enjeux de l’entreprise.
Toute personne ou groupe qui possède des ressources nécessaires à une réduction
d’incertitude détient un certain pouvoir, qui ne se traduit pas forcément dans l’orga-
nigramme.
Une ressource importante pour gagner du pouvoir réside par exemple dans les savoirs dont
les acteurs disposent.
Le pouvoir de l’expert
Au sein d’un atelier, il peut arriver que l’agent d’entretien bénéficie d’un pouvoir supérieur au
contremaitre. Cela peut se traduire par des relations très tendues entre ces deux acteurs alors que
normalement le contremaitre dispose d’une autorité officielle. Cette situation s’explique souvent
par le fait que la principale source d’incertitude dans l’atelier réside dans la panne qui peut toucher
l’outil de production. Or, c’est l’agent d’entretien qui détient le monopole de la compétence pour
réparer la panne : il détient donc la ressource essentielle pour réduire l’incertitude de l’atelier, d’où
son pouvoir.
différentes sources de
D’autres ressources comme le contrôle des règles et la position dans l’organisation (par
pouvoir
exemple : être un passage obligé dans la coopération entre deux services) sont sources de
pouvoir. Le contrôle de l’information aussi : beaucoup d’autres que les membres d’un service
qualité — par exemple — détiennent des informations sur ce qui conditionne la qualité du
produit. La façon dont ces personnes collaboreront avec le service qualité sera décisive pour
l’obtention d’une bonne performance.
La compréhension d’une organisation ne peut se limiter à celle de la structure et des inter-
actions qui s’y développent à un moment donné. L’histoire de l’organisation se traduit par
des cultures et des identités collectives qui doivent être prises en compte.
86
Les cultures, les identités collectives
Définition La culture
Dans son sens le plus large, la culture peut aujourd’hui être considérée comme l’ensemble des
traits distinctifs, spirituels et matériels, intellectuels et affectifs, qui caractérisent une société ou un
groupe social. Elle englobe, outre les arts et les lettres, les modes de vie, les droits fondamentaux
de l’être humain, les systèmes de valeurs, les traditions et les croyances (UNESCO).
Beaucoup des éléments de cette définition peuvent être appliqués à la culture d’une entre-
prise, ou à celle d’un groupe professionnel.
La culture commune d’un groupe social résulte de l’expérience réitérée de comportements
convergents dans des familles de situations données. Par exemple, l’expérience répétée
de manières de célébrer Noël ou les anniversaires vont inscrire ces éléments de culture
chez l’enfant, qui les reproduira au moins en partie au cours de sa vie. De la même façon,
l’expérience répétée de la façon dont l’organisation traite un problème de qualité contribue
à structurer la culture qualité d’un salarié.
la répétition de
Cette dimension d’expérience réitérée implique qu’il ne suffit pas de décider d’un change-
pratiques forge la
ment de culture pour que celle-ci se modifie rapidement. C’est la répétition de nouvelles
culture
pratiques convergentes (notamment celles du management) qui forgera la nouvelle culture,
et non l’annonce d’un changement de cap. Mais les cultures antérieures ont une demi-vie :
si les éléments de contexte qui leur ont donné naissance disparaissent, elles continuent à le partage des valeurs
exister pendant une longue période. Par exemple, dans le cas d’une fusion d’entreprises, source de cohésion
la culture de chacune des deux continue à coexister avec la culture du nouveau groupe,
tout en s’atténuant progressivement. La culture d’un établissement est ainsi fréquemment
constituée de différentes strates culturelles, qui coexistent et influencent diversement les
comportements des acteurs.
Il existe des cultures nationales, des cultures de groupe industriel, des cultures d’établis-
sement, de service, de collectifs professionnels. Ces différentes cultures sont notamment
porteuses de valeurs, pour partie convergentes et pour partie distinctes. Les valeurs parta-
gées au sein d’une organisation sont une très puissante source de cohésion, qui peut servir
de base au traitement des inévitables conflits de logiques entre les différents enjeux aux-
quels doit faire face l’entreprise. Au contraire, les organisations où très peu de valeurs sont
partagées entre les différents groupes sociaux sont fortement fragilisées.
L’identité d’un groupe professionnel comporte une double dimension :
• le fait de se percevoir comme identique à soi-même au cours du temps, c’est-à-dire la

perception d’une continuité dans les liens qui unissent les membres du groupe ;
• et le fait de se sentir identique à nul autre.
Une des dimensions de la culture d’un collectif est constituée par les savoirs de métiers :
comme il a été décrit au chapitre 6, les règles de métiers sont d’une nature différente des
règles formelles, mais apportent une contribution essentielle à la production et à la sécurité.
Le contexte évoluant, la structure organisationnelle et les collectifs professionnels évoluent
suivant des dynamiques distinctes. Lorsqu’il y a un écart important entre l’identité d’un
métier telle que le groupe la perçoit, et les critères définis par la structure organisationnelle,
il peut en résulter des tensions graves.
87
Le travail de maintenance du point de vue des agents et de l’organisation
Suite à une réorganisation, une entreprise de télécommunication a redéfini le métier des agents
de maintenance chargés d’intervenir sur les lignes et câbles connectant les clients. Une brochure
et une campagne interne de communication insistaient sur les différentes facettes de ce nouveau
métier : désormais, l’organisation demandait à ses agents de proposer des services commerciaux
aux clients rencontrés, d’agir à la discrétion d’une plateforme coordonnant à distance leurs
interventions en fonction de l’importance des clients (logique de marché), tout en améliorant leur
réactivité et en étant polyvalents sur les types d’équipements à réparer. Or, cette nouvelle façon
de voir s’opposait point par point à la culture de métier vécue par les agents qui valorisaient au
décalage entre contraire leur technicité, leur autonomie (liberté de choisir l’ordre des interventions), le traitement
définition équivalent des clients (logique de service public), la virtuosité technique et « la belle ouvrage »,
organisationnelle et tout en différenciant le métier des agents des lignes par rapport à ceux s’occupant des câbles.
culture métier :
risque de tensions
L og iq ue d e L og iq ue d e
Techniq ue serv ice p ub lic Com m ercial m arché
A E A E
A utonom ie
B D S avoir faire D iscrétion B D Réactiv ité
C C
S p écialisation d es Poly valence
com m unautés p rofessionnelles
Du point de vue des Du point de vue de l’organisation

agents de maintenance
Une telle tension entre la version officielle du métier de maintenance et celle des agents peut avoir
des effets sur la sécurité. En effet, l’écart était vécu par les agents comme un manque flagrant
de reconnaissance de leur travail générant une profonde démobilisation à l’origine d’une flambée
d’accidents de circulation.
L’environnement
Au-delà de son fonctionnement interne, l’entreprise doit vivre et se développer dans un

contexte changeant, où de nombreux acteurs portent un jugement sur son fonctionnement
et ses résultats :
• les actionnaires et la Bourse ;

• l’environnement géopolitique ;
• les clients, et plus généralement le marché ;
• le législateur, l’administration, les autorités de régulation ou de contrôle, (voir par
exemple l’obligation de mettre en place un SMS, de le faire vivre et d’en rendre
compte) ;
• l’opinion publique, les riverains ;
• et, en interne les salariés et leurs représentants.
88
Contexte externe
Clients, Administration,
Marché, Autorité de rég ulation,
Fournisseurs Tutelles
Actionnaires Opinion publique,

Riverains
D ire c tio n
Ligne
Sécurité DRH Ingénierie ...
hiérarchique
Services fonctionnels
S e r v ice s
o p é ra tio n n e ls ,
P ro d u c tio n
Salariés Instances représentatives,

Organisations syndicales
Contexte interne
Fi g u r e 9.3 – L’influence du contexte.
Pour atteindre les objectifs fixés, l’entreprise est dotée, outre la ligne hiérarchique, de ser-
vices fonctionnels, porteurs chacun de certaines des logiques qui doivent être mises en
compatibilité. (La figure 9.3 en donne une vue simplifiée, les services fonctionnels étant eux-
mêmes disponibles à différents niveaux hiérarchiques. Le même schéma peut être décliné
aux différents niveaux). Ces services déclinent dans leur champ les objectifs fixés par la
direction générale (par exemple en matière de sécurité), et organisent la remontée d’infor-
mations (reporting). L’intégration entre toutes les logiques spécialisées se fait au niveau de
la direction générale, qui définit les orientations, et au niveau des services opérationnels.
En conclusion, l’organisation doit faire face non seulement aux situations qu’elle a su anti-
ciper, mais aussi aux contingences de l’environnement qui surviennent de façon imprévue.
L’organisation doit donc à la fois préparer sa réponse aux situations prévisibles, et mettre
en permanence en place des ressources et des marges de manœuvre pour faire face à celles
qui ne le sont pas. Pour cela, elle dispose de différents moteurs internes (structure, relations,
cultures) qui sont liés entre eux et dont les interactions peuvent constituer des forces de
cohésion ou des forces susceptibles de menacer celle-ci. Par exemple, les règles de mobilité
peuvent faciliter ou défavoriser les interactions et le développement d’une culture commune
au sein d’un atelier selon que les cycles de turn over du personnel de l’atelier soient longs ou
courts. Des relations informelles entre services peuvent renforcer une nouvelle organisation
en compensant ses insuffisances ou la fragiliser en créant un mode de fonctionnement paral-
lèle. De même, des collectifs forts, structurés autour d’une culture de métier, favorisent les
coopérations en leur sein mais peuvent a contrario générer des oppositions entre différents
métiers (maintenance et production par exemple).
Au final, l’organisation apparaît comme un système sociotechnique complexe et dyna-

mique, que l’on peut définir comme le processus par lequel tiennent ensemble des enjeux
qui ne sont pas spontanément compatibles de façon simple.
89
9.2 Le rôle du management dans l’organisation
Les ajustements dans l’organisation
Face aux différents enjeux de l’organisation, le rôle du management est d’abord de pro-
duire, de façon constamment actualisée, des compromis raisonnablement acceptables par
les différents acteurs qui ont le pouvoir de soutenir ou de mettre à mal l’entreprise.
Il y a dans l’organisation plusieurs sources de règles (règles formelles, règles de métier),
plusieurs types de savoirs et de pouvoirs. Le bon fonctionnement global repose sur deux
types d’ajustements :
Négociations
formelles
Modifications des règles
Struc ture I nte ra c ti ons

Règles formelles Règles de métier
Ajustements
quotidiens
Règles effectives
Fi g u r e 9.4 – Les ajustements dans l’organisation.
D’un côté, de nombreux ajustements quotidiens ont lieu entre des opérateurs ou des équipes
et leur management. Lorsque des règles formelles sont en contradiction entre elles ou avec
des règles de métier, lorsque les règles formelles sont lacunaires pour permettre l’atteinte
ajustements au des objectifs, lorsque des objectifs et des ressources semblent incompatibles, une discussion
quotidien a lieu dans le cours de la réalisation du travail, pour parvenir à un accord sur la conduite à
tenir. Les règles formelles ne sont pas modifiées, mais des interprétations en sont précisées,
voire des exceptions sont décidées : une règle effective est définie. Ces ajustements quo-
tidiens concernent toutes les catégories professionnelles de l’entreprise. Ils permettent le
fonctionnement de l’ensemble, mais peuvent représenter un coût, à la fois pour les salariés
qui hésitent sur l’applicabilité de règles, et pour l’encadrement qui doit gérer des exceptions.
Lorsque ces exceptions se multiplient, ou lorsqu’un événement extérieur (par exemple une
loi) l’impose, il est nécessaire de recourir à un autre type d’ajustement, visant à redéfinir les
adaptation des règles règles formelles. Il s’agit de faire passer dans la structure ce qui n’était jusque là réglé que
dans les pratiques quotidiennes. Une discussion formalisée a alors lieu, qui rassemble des
membres de l’encadrement et des représentants du personnel et/ou des métiers concernés. Il
en résulte un accord sur une modification des règles formelles, destinée à les rendre plus
adaptées à la situation réelle.
Pour autant, le fait de parvenir à un accord sur de nouvelles règles n’implique pas obligatoi-
rement que les ajustements quotidiens et leur coût humain diminuent. Si les participants à
la négociation ne sont pas suffisamment en prise avec le terrain, ils ont pu définir le nouveau
cadre à partir de leur vision de la réalité, sans assez d’information sur ce qui pose effective-
ment problème au quotidien. Dans ce cas, de nouvelles tensions risquent de naître lors de la
coût humain et réalisation des opérations. Il est donc essentiel que la renégociation des règles formelles soit
tensions possibles toujours alimentée par une bonne connaissance du terrain.
Être manager : définir le cadre et faire cadrer
Le management (maîtrise de proximité, encadrement de service et de site) joue un rôle

majeur dans ces ajustements qui permettent à l’organisation de vivre :
• les managers contribuent à la définition préalable de la structure et notamment des

règles formelles (ils « définissent le cadre ») ;
90
9.2. Le rôle du management dans l’organisation
• ils assurent au quotidien les ajustements nécessaires entre les règles formelles et
d’autres sources de savoirs et de règles, notamment les métiers (ils « font cadrer ») ;
• ils participent à la renégociation périodique des règles formelles lorsque cela s’avère
nécessaire.
Cette contribution des managers, qui consiste à rendre compatibles les différents « moteurs »
de l’organisation (les règles formelles, les savoirs, les cultures de métier. . .) dépasse très
largement une fonction de transmission :
• le manager assure la traduction dans les deux sens des informations qu’il transmet ;
• il initie des projets locaux reflétant sa compréhension synthétique des différents en-
jeux ;
• il rapporte à sa propre hiérarchie des éléments de synthèse ;
• il négocie la relation entre objectifs et ressources ;
• il priorise et assure la compatibilité des règles émanant de la structure ;
• il anticipe des contradictions entre les différentes sources de règles et de savoirs,
anime et arbitre les conditions de leur articulation ;
• il participe à l’évaluation du travail des agents, qui devrait être aussi une évaluation
des difficultés qu’ils rencontrent pour exercer leurs missions.
Fi g u r e 9.5 – Le rôle du manager.
La position des managers à l’articulation des flux descendants et ascendants de l’organisation

ne va pas sans tension :
cadre
• les informations et consignes provenant des différents services du siège peuvent être
plus ou moins contradictoires entre elles (multiplication des « priorités »), voire parfois
obscures ;
• les informations provenant de la réalité de l’équipe ou du service ne sont pas toujours
compatibles de façon simple avec les objectifs et ressources fixés par la direction ;
• il n’est pas toujours aisé pour le manager de faire remonter à sa propre hiérarchie les
contradictions rencontrées, surtout lorsque l’organisation valorise le fait qu’« un bon
manager est celui qui n’a pas de problème ».
91
Lorsqu’un manager se trouve pris en cisaille entre des flux d’information contradictoires,
une manière de se protéger peut consister à limiter la remontée d’information en provenance
du terrain :
cadre
Le manager continue alors à transmettre les informations et directives provenant de la

direction, mais ne traite plus les informations remontant de la réalité du terrain. Cette
la manager qui se protection est parfois le résultat d’une décision explicite, mais peut aussi être une défense
protège déplace le inconsciente (cf. Chapitre 8) : un cadre débordé, constamment en réunion ou en déplacement,
problème n’est plus « dérangé » par les informations de terrain. Cette défense protège sa santé, mais
reporte le problème à l’échelon suivant dans la hiérarchie.
Le travail de négociation
Une situation très voisine de celle des managers est celle des représentants du personnel.
Eux aussi doivent assurer la confrontation, la traduction et la mise en compatibilité entre
les informations « descendantes » provenant des structures de leur organisation et celles qui
remontent des différents groupes de salariés. Eux aussi participent à la négociation des règles
de l’organisation. Eux aussi peuvent jouer un rôle majeur dans la remontée d’informations
sur des dysfonctionnements ou blocages organisationnels susceptibles d’affecter la sécurité.
Comme pour les managers, la légitimité de leur fonction ou de leur mandat n’implique pas
automatiquement la connaissance précise de toutes les situations dont ils ont à traiter : les
formes sous lesquelles ils s’informent de la réalité du travail des salariés — ou au contraire
s’en protègent — jouent un rôle essentiel.
Certaines négociations dans l’entreprise ont un rapport direct avec la sécurité industrielle (ef-
fectifs, réorganisations). D’autres peuvent avoir des conséquences plus indirectes en termes
de mobilisation ou de démobilisation des salariés (négociations salariales). La qualité des
interactions entre partenaires sociaux est une composante de la sécurité industrielle.
la sécurité industrielle
Les négociations sont un véritable travail, qui implique des coûts personnels pour les né-
repose aussi sur de
gociateurs : ceux-ci doivent à la fois interagir avec l’autre partie, et rendre compte à leurs
bonnes interactions
entre partenaires
mandants, qui ont moins d’informations qu’eux pour évaluer le caractère réaliste de leurs
sociaux revendications ou propositions.
L’organisation des négociations influence à la fois le coût humain de celles-ci et leurs ré-
sultats. Les réunions préparatoires, la programmation de l’ordre du jour, les suspensions de
séance permettent aux négociateurs de mieux interagir avec leurs mandants. L’accord sur
des valeurs communes (par exemple la sécurité industrielle), sur des concepts communs (par
exemple en matière de FHOS), sur des méthodes de travail (par exemple l’analyse des tâches
critiques) facilite le travail des négociateurs représentant les différentes parties.
Tensions et crises dans l’organisation
Lorsque les différents « moteurs » de l’organisation agissent dans des sens différents, il en
résulte des tensions et des crises, qui peuvent menacer la sécurité industrielle. Un ensemble
de symptômes de ces dysfonctionnements sont classiques. S’ils sont repérés lorsqu’ils sont
encore des « signaux faibles », ils peuvent permettre une réponse adaptée, qui évitera l’ins-
tallation d’une crise dangereuse.
Ces symptômes sont par exemple les suivants :
• une détérioration du climat social, la diffusion de rumeurs y compris à l’extérieur,

des violences entre salariés ou entre salariés et leur hiérarchie, la mise en cause du
comportement des managers ;
92
9.3. Des organisations qui favorisent la sécurité
• la multiplication des accidents bénins (chutes de plain-pied, petites coupures) ;

• l’augmentation de l’absentéisme, des congés-maladie de longue durée (lombalgies,
problèmes cardio-vasculaires, dépressions. . .), rumeurs ou réalité de tentatives de sui-
cide ;
• la multiplication des départs ou demandes de mutation, un turn-over élevé (y compris
des prestataires), des difficultés de recrutement ;
• la multiplication de mouvements sociaux portant sur des revendications peu ciblées.
Les symptômes ci-dessus ne sont pas propres aux industries à risques, mais y prennent une
dimension particulièrement critique.
• la rétention d’information, une transmission insuffisante aux relèves de postes, des

problèmes de collaboration entre équipes, aucune remontée sur les informations de
production ou de maintenance (symptôme « RAS 1 »), l’ignorance ou mise à l’écart des
lanceurs d’alertes, la mise en circulation d’informations fausses (« ballons d’essai »).
L’ensemble du processus de REX est alors menacé ;
• des attitudes de retrait, l’absence de volontaires pour les formations ou les groupes
de travail, qui rendent difficiles l’adaptation de l’organisation aux évolutions de son
environnement ;
• des sabotages plus ou moins graves des installations de production et dispositifs de
sécurité ;
• ...
Beaucoup de ces signes, qui devraient alerter la direction du site, ne lui sont pas directement
accessibles. Plusieurs canaux d’information doivent être activés pour que les avertissements symptômes
parviennent à temps : la ligne managériale, les instances représentatives du personnel, les difficilement
organisations syndicales, la DRH, le service de santé au travail, le service social. accessibles à la
direction
9.3 Des organisations qui mettent en danger ou favorisent la sécurité
L’analyse de plusieurs grands accidents industriels a mis en évidence des facteurs organisa-
tionnels fréquemment présents dans leur genèse.
Des structures inadaptées, des relations tendues
Parmi les problèmes structurels mis en cause dans ces accidents, on note par exemple :
• la valorisation exclusive de certains enjeux et de certaines logiques (par exemple

financière) et la dévalorisation des acteurs porteurs d’autres logiques (par exemple la
sécurité) ;
• des pressions productivistes, qui font migrer le système en dehors de la zone de
fonctionnement pour laquelle il a été conçu ;
• l’absence de réexamen des hypothèses de fonctionnement lors d’une évolution de
l’usage des installations ;
• des processus de conception ou de modification centralisés ou externalisés, sans inter-
face avec les responsables d’exploitation locaux ;
• la défaillance des organismes de contrôle ;
• des messages managériaux artificiels, élaborés par des « communicants » et ne faisant
pas sens pour les opérateurs et les managers de proximité ;
• des priorités contradictoires provenant de différents services centraux, sans mise en
compatibilité par la direction du site ;
• des organisations tellement complexes ou changeant tellement souvent que les acteurs
ne savent plus s’y positionner ni vers qui se tourner pour trouver un recours ;
1 Rien à signaler.
93
• une prescription des objectifs sans rapport avec l’allocation de ressources pour un
secteur particulier du système (organisation du type « je ne veux pas le savoir ») ;
• la multiplication des formalismes d’assurance-qualité, sans ressource temporelle com-
plémentaire, conduisant à une diminution du temps effectif de réalisation des tâches
d’exploitation, et à un relâchement des actions liées à la sécurité ;
• des formes de sous-traitance n’assurant pas le transfert d’informations et de compé-
tences dans les deux sens ;
• la mise en compétition des personnes ou équipes entre elles, conduisant à l’absence
de coopération ;
• des processus d’évaluation des personnes, des équipes ou des établissements basés sur
des critères non partagés ;
• des relations tendues ou une coupure entre les managers et les opérateurs de leurs
équipes ;
• l’affaiblissement des collectifs de travail, une faiblesse de l’esprit d’équipe.
Les facteurs de succès
De la même façon, un ensemble de facteurs contribuant à rendre les organisations « haute-

ment fiables »2 ont été identifiés.
• Centralisation et décentralisation
Les organisations les plus fiables (HRO) ont une capacité à fonctionner soit sur un
mode centralisé, soit sur un mode décentralisé suivant les circonstances. Par exemple,
flexibilité certaines crises se gèrent mieux sur un mode centralisé (coordination avec la pré-
fecture ou le gouvernement), d’autres mieux sur un mode décentralisé (quand les
communications sont coupées, par exemple du fait d’une tempête ou d’une inonda-
tion).
Cette flexibilité suppose l’existence de pouvoirs, de compétences et de ressources
techniques décentralisées. Elle suppose aussi l’existence de règles de basculement
d’un mode de fonctionnement à l’autre, et un entraînement régulier.
• L’accord sur les buts
Dans les organisations très fiables, certains buts — notamment la sécurité industrielle —
objectifs sécurité sont partagés par tous les acteurs de l’entreprise. Une culture de sécurité forte (cf. Cha-
présents partout et au pitre 10) découle du fait que le comportement de la direction et du management intègre
quotidien toujours la question de la sécurité dans les arbitrages et arrangements nécessaires pour
assurer la production quotidienne.
• La conscience de l’échec possible
Les organisations les plus fiables développent une conscience de leur complexité, et de
l’accident majeur toujours possible malgré toutes les précautions. Elles s’interdisent
tout discours d’autosatisfaction, toute langue de bois et toute approximation en ma-
remise en question tière de sécurité. Les hypothèses et processus sur lesquels reposent la sécurité sont
permanente régulièrement réexaminés. Les canaux de REX sont multiples, et les alertes sont trai-
tées. Le droit et le devoir d’arrêter une opération lorsque les conditions sont douteuses
sont manifestés dans les faits.
• L’attention à la réalité des opérations (« sensitivity to operations »)
L’organisation est consciente que la réalisation des opérations d’exploitation n’est
pas une simple mise en application de règles prédéfinies, mais qu’elle implique une
disponibilité des détection et une gestion locale des variabilités liées aux conditions spécifiques d’ex-
ressources ploitation. L’hypothèse que les choses peuvent ne pas se passer comme prévu est
présente, et des ressources sont disponibles (les recours possibles en temps réel sont
clairement identifiés). Le management et les experts acceptent d’être « dérangés »
lorsqu’un opérateur est en situation d’incertitude.
2 High Reliability Organisations, HRO : celles qui ont nettement moins d’accidents que la moyenne.
94
• La recherche de la résilience
L’organisation est consciente de la nécessité de combiner sécurité réglée (basée sur les
connaissances d’experts) et sécurité gérée (basée sur les connaissances des opérateurs, sécurité réglée
collectifs et managers de terrain). L’articulation de ces deux contributions est une sécurité gérée
mission explicite des managers (Voir chapitre 10).
• La redondance du contrôle
La redondance du contrôle entre acteurs est généralisée, à la fois par des mesures for-
melles (double signature par exemple), et par la coopération à l’intérieur des collectifs
de travail. La préparation du travail et le contrôle de son résultat sont valorisés et
bénéficient des ressources temporelles nécessaires.
• Formation et entraînement
L’ensemble des acteurs opérationnels bénéficient de formations régulières, et de mises
en situation sur des cas d’incidents ou accidents simulés. Le bilan de ces séances est
utilisé pour faire évoluer si nécessaire les dispositifs techniques ou l’organisation.
Pas de modèle unique
Toute organisation est un pont entre les process techniques et le contexte socioculturel.
On ne peut donc réfléchir en termes de « one best way3 » organisationnel : le même pro-
cess technique peut appeler des organisations différentes dans des environnements sociaux
différents.
Il est dangereux de considérer qu’une organisation, des méthodes ou des outils qui
fonctionnent bien dans un contexte donné seront aussi efficaces pour le même process
placé dans un contexte différent.
Les ratios d’effectifs
Par exemple, les ratios d’effectifs par service utilisés à l’échelon international peuvent être trom-
peurs : un service maintenance dans un pays où le climat détériore constamment les installations
ne peut pas, à process identique, être dimensionné de la même façon que dans un pays tempéré.
Chaque structure organisationnelle présente des forces et des vulnérabilités qui doivent être
diagnostiquées et gérées.
Des organisations diverses des arrêts pour maintenance
M. Bourrier a étudié les arrêts annuels pour maintenance dans plusieurs entreprises nucléaires dans
le monde.
Dans un cas (A), le temps de préparation est relativement faible et l’ingénierie est peu disponible
en temps réel. Les aléas rencontrés font l’objet d’un signalement, mais des solutions sont définies
localement par des opérateurs et un management ingénieux et mobilisés.
Dans un autre cas (B), des moyens considérables sont alloués à la préparation et à l’assistance sur
le terrain. Tout aléa fait l’objet d’un traitement par les experts, disponibles en permanence. Toute
initiative des opérateurs est proscrite.
L’organisation (A) a une grande adaptabilité et une bonne capacité à faire face à l’imprévu, mais
entraîne des poches d’information souterraines, et une faible traçabilité de la réalité des opérations.
L’organisation (B) est très explicite, elle améliore constamment ses procédures, mais elle est coû-
teuse et entraîne une certaine apathie des opérateurs d’exécution, limitant la capacité de faire face
en cas d’urgence.
Le diagnostic d’une organisation
Chaque manager prenant une nouvelle fonction a intérêt à faire un diagnostic de l’organisa-
tion dans laquelle il s’inscrit. Il peut le faire seul, ou faire appel à un spécialiste.
3 Seule et unique meilleure voie
95
Le diagnostic d’une organisation porte sur l’ensemble des dimensions mentionnées à la

§ 9.1 : la structure, les collectifs, les relations, les cultures et identités collectives, les formes
d’ajustement qui y prennent place, et d’éventuels signes de dysfonctionnement qui doivent
être mis en perspective avec l’histoire de l’organisation.
• Une description de la structure : l’organigramme, le process technique, l’ensemble

des règles internes et externes définissant le fonctionnement. L’ensemble est mis dans
une perspective historique (évolutions récentes et à venir).
• Une identification des collectifs existants (collectifs de métier, collectifs de travail
cf. Chapitre 6), des caractéristiques de leurs membres (genre, âge, ancienneté, forma-
tion, trajectoire professionnelle, données collectives de santé), de leur histoire, des
cultures et identités collectives qui y dominent.
• Une identification des relations existant entre les groupes : les coopérations et
conflits sont interprétés non comme liés aux personnalités, mais comme des résul-
tats de jeux d’acteurs, liés à des enjeux de pouvoir, de détention d’informations, de
maîtrise des ressources et d’autonomie.
• Les ajustements quotidiens : difficultés d’application des règles, exceptions gérées
par la hiérarchie de proximité.
• Les ajustements formels périodiques : procédures de modifications d’installations,
d’organisations, de règles, négociations sociales.
• Les éventuels signes de dysfonctionnement sont recherchés par des indicateurs (voir
§ 9.2 et § 9.3 ci-dessus). La qualité de l’articulation entre les messages managériaux
généraux et les enjeux spécifiques du secteur concerné est évaluée.
Le chapitre suivant (cf. Chapitre 10) présente les moyens d’évaluer et de développer la culture
de sécurité.
96
Bibliographie
Amalberti, R., Fuchs, C., et (Eds.), C. G. (2001). Risques, erreurs et défaillances : approche interdisciplinaire
(Actes de la première séance du séminaire « Le risque de défaillance et son contrôle par les individus et
les organisations dans les activités à hauts risques »). Grenoble, France.
Boissières, I. (2005). Une approche sociologique de la robustesse organisationnelle : le cas des réparateurs
sur un grand réseau téléphonique de télécommunications. Thèse de sociologie, Université de Toulouse,
Toulouse.
Bourrier, M. (2001). Organiser la fiabilité. L’Harmattan, Paris. ISBN 2-7475-1502-8.
Crozier, M. et Friedberg, E. (1981). L’acteur et le système : les contraintes de l’action collective. Seuil,
Paris.
Friedberg, E. (1997). Le pouvoir et la règle. Dynamiques de l’action organisée. Coll. Points Essais. Seuil.
d’ Irirbarne, P. (1993). La logique de l’honneur, Gestion des entreprises et traditions nationales. Points,
Paris.
Maggi, B. (2003). De l’agir organisationnel, un point de vue sur le travail, le bien-être, l’apprentissage.
Octarès, Toulouse.
Mintzberg, H. (1998). Structure et dynamiques des organisations. Éditions d’Organisation, Paris.
Perrow, C. (1999). Normal accidents : Living with High-Risk Technologies. Princeton University Press,
Princeton.
Piotet, F. et Sainsaulieu, R. (1994). Méthodes pour une sociologie de l’entreprise. Presses de la Fondation
Nationale des Sciences Politiques et Anact.
Reason, J. (1997). Managing the risks of organizational accidents. Éditions Ashgate.
Reynaud, J. D. (1989). Les Règles du jeu : L’action collective et la régulation sociale. Armand Colin.
Rochlin, G. (2001). Chapitre Les organisations à haute fiabilité : bilan et perspectives de la recherche dans
Organiser la fiabilité (Bourrier, M., Éd.), pages 39–70. L’Harmattan, Paris.
Sainsaulieu, R. (1988). L’identité au travail, les effets culturels de l’organisation. Presses de Sciences Po.
de Terssac, G. (1992). L’autonomie dans le travail. PUF, Paris.
de Terssac, G. et Lompré, N. (1995). Pratiques organisationnelles dans les ensembles productifs :

essai d’interprétation. Dans Sperandio, J., Éd., L’ergonomie face aux changements technologiques et
organisationnels du travail humain. Communications du XXXème congrès de la SELF, pages 51–66,
Biarritz. SELF, Octarès, Toulouse.
97
98
10
La culture de sécurité
Activité
FHOS Effets
humaine
Culture sécurité


sécurité
Résultats santé
10.1 Qu’est-ce que la culture de sécurité ?
L’appellation Culture de sécurité est récente. Elle date d’une vingtaine d’années, et a d’abord
été définie et utilisée dans l’industrie nucléaire, suite à la catastrophe de Tchernobyl sur-
venue en 1986. En effet, la commission d’enquête a attribué la cause fondamentale de cet
accident à une culture d’entreprise largement défaillante à tous les niveaux concernant la
sécurité industrielle :
• priorité à la production au détriment de la sécurité ;

• tolérance de non-conformités techniques et procédurales en sécurité ;
• déficiences en formation et communication sécurité ;
• climat de travail détérioré, etc.
Culture de sécurité
Définition
Le terme Culture de sécurité est utilisé pour désigner cette composante de la culture d’entreprise
qui concerne les questions de sécurité dans les milieux de travail comportant des risques significa-
tifs.
Plus précisément, on peut définir la culture de sécurité comme étant l’ensemble des pratiques
développées et répétées par les principaux acteurs concernés, pour maîtriser les risques de leur
métier.
99
Cette définition incorpore les deux aspects les plus importants de la culture de sécurité :
Ce sont les pratiques des acteurs qui font la culture de sécurité d’une entreprise
Mais ces pratiques consistent autant en des façons de penser qu’en des façons d’agir en
matière de sécurité.
Poids des croyances
Ainsi, la croyance ou la conviction que tous les accidents peuvent être évités, est une façon de
penser qui oriente vers ou prédispose à des façons d’agir telles que porter ses équipements de
protection individuelle ou appliquer les consignes de sécurité, en espérant éviter ainsi de se blesser.
Brièvement, au niveau des façons de penser en rapport avec la sécurité, on réfère à des
choses comme la valeur ou l’importance relative que les acteurs accordent à la sécurité
(par exemple : Sécurité d’abord !), les croyances, convictions et principes que les gens dé-
veloppent concernant les « bonnes façons » de s’occuper de la sécurité (appliquer les règles
de sécurité établies est le meilleur moyen d’éviter les accidents, par exemple), et enfin les
normes, formelles ou informelles, qui sont établies dans le milieu comme devant être ap-
pliquées dans telle ou telle situation concrète (par exemple instruction de porter la protec-
tion auditive dès l’entrée dans telle zone de travail). Tous ces éléments (valeurs, croyances,
normes) forment un dispositif collectif qui fournit aux individus des schémas d’orientation,
de représentation et d’action pour déterminer leurs conduites habituelles dans les diverses
situations perçues à risque. Toutefois, les façons d’agir ne sont pas influencées seulement par
les valeurs, croyances et normes. Elles le sont aussi par les caractéristiques des situations.
Influence du contexte
Les salariés peuvent avoir été convaincus par le management que le suivi des règles de sécurité
est la « bonne façon de faire le travail » et le meilleur moyen de prévenir les accidents. Mais, si
régulièrement l’insuffisance de personnel dans les équipes, due par exemple au non remplacement
des absents ou au manque de renfort à certains moments clés, fait en sorte que certaines règles sont
transgressées pour maintenir la production, alors c’est la situation qui sera plus déterminante des
façons d’agir que les convictions.
Tel qu’expliqué au chapitre 5, ces situations qui poussent les salariés à agir à l’encontre
de leurs convictions créent chez les personnes concernées un état mental de « dissonance
cognitive » qui est malsain, s’il perdure. Il est aussi défavorable pour l’entreprise au niveau
de sa culture de sécurité, puisque pour éliminer cette dissonance et rétablir la cohérence, les
personnes finiront par se convaincre qu’il est « normal » de contourner les règles de sécurité
pour assurer la production. Afin d’éviter cet affaiblissement de leur culture de sécurité,
certaines entreprises mettent en œuvre diverses pratiques pour favoriser la remontée et le
traitement de ces situations défavorables à l’adhésion des salariés à leur politique de sécurité.
Ce sont les acteurs collectifs qui construisent la culture
Il est courant de dire que « La sécurité est l’affaire de tous » dans une entreprise. Néan-
moins, certains sont plus directement sollicités par les enjeux de sécurité de leur travail ou
de l’entreprise, en l’occurrence le management et les employés reliés à l’exploitation. Ces
deux acteurs clés sont généralement les principaux artisans de la culture de sécurité dans
une entité industrielle. Par conséquent, c’est une erreur de réduire les problèmes de culture
de sécurité aux seuls comportements des opérateurs. En fait, les pratiques du management
management et concernant la sécurité sont souvent plus déterminantes pour la culture, parce que ce dernier
opérateurs : les 2 dispose du statut d’autorité et d’un pouvoir décisionnel beaucoup plus étendu pour agir sur
acteurs clés de la les différents facteurs en jeu dans la maîtrise des risques. Par ailleurs, c’est par les relations
culture sécurité entre les acteurs que se construit la culture. C’est la dynamique de ces relations qui permet
aux façons de penser et d’agir de devenir collectives, c’est à dire partagées ou réciproques et
acceptées comme « normales » par une large fraction du management et des salariés. Évidem-
ment, il n’est pas facile de construire cette unité, car autant le management que les salariés
sont des acteurs complexes, c’est-à-dire à plusieurs niveaux et composantes. Par exemple,
pour le management, on peut penser aux différences entre la haute direction d’un site et
100
10.1. Qu’est-ce que la culture de sécurité ?
l’encadrement de premier niveau, entre les cadres fonctionnels et les cadres hiérarchiques,
etc. Des différences existent aussi parmi les employés d’exploitation, par exemple entre les
agents de production et ceux qui s’occupent de la maintenance, entre les générations lors
des périodes de fort remplacement de main-d’œuvre comme actuellement avec les mises à
la retraite massives. C’est pourquoi ces défis à la construction d’une culture commune de
sécurité nécessitent d’utiliser une véritable approche culturelle dans le management de la
sécurité industrielle.
Aspect collectif et réciproque en culture sécurité

La transgression de procédures de sécurité par des opérateurs ne peut devenir « une façon
de faire » habituelle et considérée comme « normale », que si la pratique est acceptée
par le collectif de travail et bénéficie d’une tolérance parmi ceux qui encadrent ces
opérateurs.
Mais à quoi sert, ou quelles sont les fonctions de la culture de sécurité ?
Les fonctions de la culture sécurité
Pour l’organisation, une première fonction de la culture sécurité est d’impacter ses résultats
dans le domaine. Cet effet tient au fait que la culture est constituée des pratiques réelles des
acteurs en matière de sécurité. Par conséquent, l’effet de la culture sur les résultats peut être
plus ou moins positif selon la qualité des pratiques de sécurité en vigueur dans l’entreprise.
Une deuxième fonction de la culture est, lorsque le management parvient à faire adhérer le
plus grand nombre à des façons de penser et d’agir en sécurité communes et convergentes, de
fournir à l’entreprise un mécanisme effectif de coordination entre les acteurs concernés.
Ce mécanisme de coordination est complémentaire et indispensable à la structure d’autorité
pour que cette dernière soit efficace. On ne peut pas mettre un superviseur derrière chaque
opérateur pour lui dire quoi faire et vérifier qu’il le fasse. C’est alors la culture sécurité qui
prend le relais de la structure d’autorité en assurant une régulation et un contrôle informel
des comportements individuels pour les maintenir dans la norme admise par le groupe ou
l’organisation, selon le cas.
La culture sécurité, « cadre » implicite
Par exemple, un salarié dont une pratique importante de travail est perçue par ses pairs comme
dangereuse ou contraire aux bonnes pratiques de métier, sera sous pression de s’amender, sinon il
sera mal vu, dévalué, voire même sanctionné plus fortement par le collectif de travail.
D’où l’importance pour le management de bien intégrer les collectifs de travail dans l’ap-
proche sécurité de l’entreprise.
Mais l’individu est aussi bénéficiaire de la culture ambiante à son travail.
D’abord, elle lui permet de développer et affirmer son identité professionnelle.
Transmission de savoirs
Ainsi, le nouvel embauché apprend une bonne partie de son métier grâce aux pairs et au superviseur
qui lui transmettent et veillent à ce qu’il s’approprie les éléments clés du savoir, savoir-faire et
savoir-être nécessaires pour être accepté dans le collectif et l’entreprise. Dans cette transmission
de savoirs, ceux qui touchent la sécurité sont généralement importants dans les métiers à risque
élevé.
Ensuite, les individus qui adoptent les façons de penser et d’agir considérées comme « nor-
males » par le collectif et dans l’organisation, en tirent une certaine reconnaissance sociale
dans le milieu. Ceci les conduit à persévérer dans ce sens et à contribuer ainsi au maintien
de cette culture.
Enfin, une culture sécurité forte contribue à la santé mentale des individus exposés aux
risques, en leur fournissant des schémas de perception et d’action et surtout en rendant
relativement prévisibles les comportements de leurs collaborateurs.
101
Une culture sécurité forte réduit le stress chez les individus exposés aux dangers parce
qu’elle diminue l’incertitude en leur permettant d’anticiper les schémas mentaux et com-
portementaux qui seront « normalement » utilisés par les autres acteurs pour maîtriser
les risques de la situation.
Cependant, la contrepartie de cet avantage peut être de favoriser certains types d’erreurs,
par exemple l’erreur dans la mise en œuvre des règles ou l’effet tunnel exposés au chapitre
7.
10.2 La diversité des cultures de sécurité
Il arrive qu’une entreprise cherche à copier le Système de Management de la Sécurité (SMS)

d’une autre organisation, ou à en adopter un commercialisé par une firme de consultants,
mais elle ne pourra pas faire de même pour sa culture de sécurité. En effet, c’est ce que
les acteurs internes parviendront à construire ensemble comme pratiques durables en sécu-
rité, qui constituera leur culture. D’où l’observation de différences culturelles quelquefois
importantes entre les entreprises, parfois même à l’intérieur d’un même secteur d’activité.
La typologie suivante permet d’appréhender cette diversité en définissant quatre grands
types de culture de sécurité. Elle est construite à partir de l’idée développée dans la section
précédente à l’effet qu’en matière de sécurité, la culture est une construction humaine édifiée
principalement par deux acteurs collectifs en interaction, soit le management et les employés
d’exploitation. Or, bien que concerné en principe, chacun de ces acteurs, en pratique, peut
être plus ou moins impliqué, actif et moteur dans la prise en charge de la sécurité, donc dans
sa construction culturelle. Les degrés (+/−) d’implication de ces deux acteurs sont donc les
paramètres utilisés pour établir la typologie illustrée par la figure 10.2.
Fi g u r e 10.2 – Types de culture de sécurité
Les différentes cultures représentées dans la figure 10.2 sont typiques, c’est à dire épurées
et figées. Dans la réalité d’une entreprise, la culture de sécurité est dynamique, en évolution
et peut donc être un mélange d’éléments appartenant à plusieurs types. Néanmoins, la
typologie est utile parce qu’elle fournit des points de repère pour identifier la dominante, car
il y en a toujours une, d’une culture concrète. Elle l’est aussi pour comprendre l’évolution
historique des cultures en matière de sécurité et voir dans quelle direction elles peuvent se
développer dans l’avenir.
La dominante dans les cultures actuelles de sécurité dans les grandes entreprises des secteurs
à risque élevé, est la culture managériale (type C), dont les principales forces et faiblesses
culture managériale sont abordées dans la prochaine section. Mais la typologie propose un autre type où le
dominante dans les management est aussi fortement impliqué, soit la culture intégrée de sécurité (type D).
secteurs à risque Celle-ci sera également présentée dans une section ultérieure, car plusieurs entreprises ont
évolué vers ce type de culture au cours des dernières décennies et ont réussi à améliorer
notablement leur performance en maîtrise des risques.
102
10.3. La culture managériale de sécurité
Quant aux deux types correspondant à une situation où le management est peu ou pas
impliqué en sécurité, la culture fataliste (type A) et la culture de métier (type B), ils sont
encore d’une certaine actualité pour les grandes entreprises des secteurs à risque. En voici
quelques illustrations.
La culture fataliste de sécurité
La croyance à la base de cette culture est que les accidents qui surviennent sont une fatalité,
un coup de malchance, bref sont inévitables. Par conséquent, les acteurs ont plutôt comme
attitude de ne rien faire pour les éviter, convaincus qu’ils sont que les accidents survien-
dront de toute façon. Historiquement, ce type de culture a prévalu en Occident jusqu’au
17ème siècle, du fait d’une culture religieuse ambiante qui privilégiait les explications surna-
turelles aux évènements de la vie quotidienne. Avec le développement des connaissances
scientifiques et la révolution industrielle, la culture de type fataliste va être marginalisée,
mais elle est encore vivace dans certains métiers ou contextes. Par exemple, dans les trans-
ports routiers, des études montrent que près de la moitié des chauffeurs adhèrent à des
croyances fatalistes qui expliquent les accidents par la malchance ou la fatalité. Dans les
pays émergents ou en voie de développement, il est fréquent que la culture sociétale soit
plutôt fataliste en matière de prévention des accidents routiers ou domestiques. Ce contexte
présente des défis difficiles, bien que surmontables, pour les entreprises qui établissent et
opèrent des installations industrielles à haut risque dans ces pays.
La culture de métier en sécurité
Ce type de culture en sécurité se caractérise par une faible implication du management

qui considère que les questions de prévention des accidents du travail sont du ressort des
salariés. En conséquence, ces derniers deviennent l’acteur le plus impliqué en sécurité. His-
toriquement, cette culture a été prédominante en Occident à l’époque préindustrielle et au
début de l’ère industrielle. En effet, pendant ces périodes, les patrons s’immisçaient peu dans
le management des méthodes de travail. Celles-ci étaient donc développées essentiellement
par les gens du métier. En général, dans les métiers à risque, plusieurs éléments de ces mé-
thodes de travail étaient des pratiques informelles de sécurité visant à éviter de se blesser ou
à se protéger des accidents. Par exemple, une pratique de sécurité bien connue développée
par les mineurs de charbon dès le 17ème siècle consistait à descendre des canaris dans les
galeries souterraines. La mort du canari permettait aux mineurs d’être alertés du risque d’ex-
plosion, et ainsi de s’enfuir avant que celle-ci se produise. Les mineurs ne connaissaient pas
toute l’explication scientifique des explosions (par exemple nature des gaz libérés, ignition,
etc.) mais ils savaient qu’elles étaient reliées à un changement d’atmosphère dans la galerie
qui conduisait à la mort rapide des canaris.
Avec le contrôle croissant de l’organisation du travail par le management qui, dès la seconde
moitié du 19ème siècle, développe l’organisation scientifique du travail, la standardisation
des tâches et des méthodes, et le taylorisme, l’importance de la culture de métier, y compris
en sécurité, va diminuer mais sans disparaître. Dans beaucoup d’industries, les gens du
métier, superviseurs aussi bien qu’opérateurs, ont des pratiques informelles de métier qu’ils
appliquent dans certaines situations non ou mal balisées par les règles formelles de sécurité.
Dans les métiers de la maintenance, la culture sécurité de métier est encore même souvent
prédominante malgré le développement de systèmes de management de la sécurité.
10.3 La culture managériale de sécurité
Ce type de culture de sécurité se développe lorsque le management prend en charge le dos-

sier de la sécurité industrielle et au poste de travail, et exerce un rôle tellement prépondérant
dans l’élaboration et le déploiement des mesures de sécurité, techniques et procédurales, que
l’implication des opérateurs se limite souvent à leur responsabilité d’appliquer ces mesures
dans l’exécution du travail.
Historiquement, c’est dans le secteur minier que la culture managériale de sécurité s’est
développée et a progressivement marginalisé la culture sécurité de métier qui était pourtant
forte. Ce changement s’est produit d’abord en Angleterre qui a été le premier pays à faire sa
révolution industrielle.
103
Vers une culture managériale
La révolution industrielle en Angleterre a stimulé une croissance de la production dans les mines
de charbon tout à fait phénoménale pendant tout le 19ème siècle. Malheureusement, le bilan des ac-
cidents mortels a été à l’avenant. Ainsi, pendant la première moitié du 19ème siècle, les explosions
de gaz libéré dans les galeries souterraines ont fait quelques 35 000 morts parmi les mineurs. Ces
catastrophes à répétition, de plus en plus rapportées et dénoncées par les journaux, et la présence
d’une fraction progressiste parmi le patronat minier, ont amené le gouvernement anglais à légi-
férer, réglementer et inspecter pour forcer les entreprises minières à s’occuper de la sécurité, en
commençant par la ventilation des mines souterraines. Suite à cette prise en charge de la sécurité
par le management, le taux de fréquence des accidents mortels dans les mines de charbon est passé
de 6 ‰ en 1850 à 1,3 ‰ en 1913. Depuis les années 2000, ce taux est à 0,2 ‰.
Le cas des mines est un bon exemple, parce qu’il est précurseur de l’émergence de la culture
managériale en sécurité et qu’il a l’avantage d’être documenté sur une très longue période.
Mais, tous les secteurs à risque avec une fréquence élevée d’accident grave, et encore plus
ceux à risque d’accident catastrophique (par exemple chimie, pétrole et gaz, nucléaire, avia-
tion civile et transport à grande vitesse, aéronautique. . .) ont évolué dans le même sens. Et
les mêmes facteurs d’évolution sont souvent présents : pressions externes du public et de
l’État suite à des catastrophes, mais aussi souvent demande des acteurs internes (patronat
et syndicats) dont certains souhaitent l’encadrement étatique pour éviter que la concur-
rence se fasse au détriment de la sécurité, perçue comme un élément vital de pérennité de
l’industrie.
Les orientations distinctives
La culture managériale de sécurité se distingue par trois grandes orientations dont la mise
en œuvre contribue souvent de façon positive au développement de la sécurité :
1. Une préoccupation soutenue pour l’amélioration des résultats en sécurité.

De façon générale, le souci de toujours améliorer la performance est un point fort de
la culture managériale. Son application au domaine de la sécurité peut connaître des
dérives et des ratés mais, dans l’ensemble, il s’agit plutôt d’un point positif.
dynamique Le cas des mines exposé plus haut illustre une amélioration réelle de la situation pour
d’amélioration ce qui concerne les accidents mortels. Celle-ci n’aurait pas été possible sans une forte
continue volonté de progrès continu dans les résultats.
Le grand avantage de ce trait culturel est qu’il favorise une dynamique de question-
nement et d’innovation au niveau des moyens, plutôt que d’autosatisfaction du statu
quo. Les deux points suivants portent précisément sur les moyens.
2. Une forte valorisation de la sécurité technique.
C’est la culture managériale de la sécurité qui a permis l’éclosion et l’essor de l’ingé-
nierie de sécurité.
L’origine de l’ingénierie de sécurité
Aux États-Unis, l’existence de la profession d’ingénieur en sécurité (avec exigence de for-

mation et de diplôme spécialisé) remonte à 1912 avec la création de l’American Society of
Safety Engineers.
Jusqu’aux années soixante-dix, cette approche axée sur la sécurité technique a beau-
coup contribué à réduire les accidents industriels et du travail parce qu’elle a dé-
veloppé des concepts (par exemple les concepts de défenses en profondeur, les re-
dondances, etc.) et des techniques pour identifier et évaluer les risques, et pour les
focalisation sur la contenir, réduire ou éliminer à la source. Elle est à l’origine de pratiques qui sont
technique devenues des références pour l’industrie et aussi pour les États qui les ont incorpo-
rées dans la réglementation. Grâce à cette approche, l’investissement économique
en sécurité s’est aussi beaucoup développé à un niveau totalement impensable dans
le contexte d’une culture sécurité de métier, ce qui explique l’efficacité nettement
supérieure de la culture managériale de la sécurité.
104
3. La propension à formaliser les pratiques du management de la sécurité et du tra-

vail.
C’est une caractéristique clé de la culture managériale qui est plus récente. En fait,
après avoir beaucoup fait progresser la sécurité sur les éléments techniques du système
sociotechnique de l’organisation, il était prévisible que pour continuer à améliorer
la performance en maîtrise des risques, l’on s’occupe davantage des aspects socio-
humains, donc des pratiques et comportements des acteurs. En parallèle, à partir des augmentation de la
années soixante-dix, la législation et la jurisprudence concernant les responsabilités formalisation
des employeurs en matière de sécurité ont fortement évolué en Occident. La réponse
à cette évolution a consisté à développer la formalisation des pratiques en matière
de management de la sécurité et d’exécution du travail. Ces deux volets de la for-
malisation sont généralement valorisés et décidés par les directions supérieures des
entreprises.
Dans le cas des pratiques du management général de la sécurité, les directions re-
courent généralement à trois moyens principaux pour opérer la formalisation des
pratiques :
• Le premier est l’adoption d’une politique formelle, écrite et affichée de sécurité.

Il s’agit d’un document bref dans lequel la direction énonce les orientations et
principes qu’elle s’engage à mettre en œuvre en matière de sécurité industrielle
et du travail.
• Le deuxième moyen consiste à doter l’entreprise d’un Système de Management
de la Sécurité (SMS). Un SMS est en fait un manuel de gestion qui précise
les activités de management de la sécurité à effectuer, à quelle fréquence, par
qui, et comment. C’est un moyen visant à la fois à développer de nouvelles
pratiques (par exemple activités visibles de leadership des cadres supérieurs) et
à standardiser celles qui existent, notamment celles de la ligne hiérarchique dont
les différents niveaux ont la responsabilité de plusieurs éléments du SMS.
• Enfin, le troisième moyen est la création ou le renforcement de la fonction
sécurité pour conseiller la direction générale et le comité de direction, former
et aider les acteurs à s’approprier les standards d’activités et de méthodes dont
ils ont la responsabilité, organiser et piloter les audits internes et/ou externes du
SMS, etc.
Par ailleurs, la formalisation des aspects de sécurité dans les pratiques de travail des opéra-
teurs est souvent favorisée par le SMS.
Le SMS aide à la formalisation des tâches critiques
La plupart des SMS prescrivent de faire l’analyse de sécurité des tâches, en priorité celles qui sont
critiques ou importantes pour la sécurité, et d’établir des procédures et instructions de sécurité
détaillées applicables à ces tâches. Ces procédures servent aussi à former les opérateurs à une
exécution plus rigoureuse et standardisée.
De même, l’observation des tâches ou les visites hiérarchiques de sécurité sont souvent recom-
mandées par le SMS : elles consistent pour une grande part à mesurer le suivi des procédures
de sécurité et à en discuter avec les opérateurs les problèmes d’application afin de diminuer la
fréquence et la gravité des accidents résultant du non respect des procédures.
Si la formalisation décrite plus haut peut parfois avoir des effets pervers, elle présente aussi
souvent des effets positifs.
Les bénéfices
Pour commencer, le lancement et la mise en œuvre d’un processus de formalisation des implication plus
pratiques de management nécessitent que la direction et les cadres supérieurs s’impliquent soutenue des
beaucoup plus activement et visiblement qu’avant en sécurité. Autrement dit, cela exige managers
qu’ils exercent un leadership plus affirmé qui, s’il est maintenu, est une force positive de
changement sur la mentalité et les pratiques du reste de la structure managériale, et aussi
des salariés. création d’un
référentiel commun et
d’une cohésion de
l’encadrement
105
De plus, le déploiement d’un SMS, la formation appropriée des managers, l’évaluation bou-
clée de la performance individuelle des activités, le soutien de la fonction sécurité, tout cela
contribue fortement à créer des façons communes de penser (référentiel par exemple) et
d’agir en sécurité. En bref, cela entraîne une bien plus grande cohésion et unité d’action de
l’encadrement qu’auparavant, ce qui diminue le risque de défaillances dans le dispositif de
management de la sécurité.
Quant à la formalisation sécurité des procédures de travail, elle est très utile si elle est ciblée
sur les tâches à risque d’accident grave et qu’elle est faite en concertation avec les opérateurs
concernés. Elle permet alors de développer des perceptions communes des risques en cause,
pratiques partagées ainsi que des façons de travailler qui sont partagées, donc prévisibles, et éprouvées quant
à leur efficacité pour maîtriser les risques. Bref, elle renforce l’esprit et le travail d’équipe,
ainsi que la vigilance partagée au sein des collectifs de travail. Elle permet aussi d’améliorer
la formation des nouveaux opérateurs, et facilite leur apprentissage et intégration dans
l’équipe.
De nombreuses observations tendent à montrer que lorsqu’elle est implantée avec sérieux,
constance et persévérance, et que le contexte de relations sociales est plutôt coopératif, cette
culture managériale de la sécurité parvient à susciter la collaboration des secteurs les plus
concernés du management, et également des opérateurs. Ceci favorise une diminution sub-
stantielle des taux d’accident. Mais dans beaucoup d’entreprises, on note après un certain
temps l’atteinte d’un plateau dans l’amélioration des résultats, et malheureusement aussi
parfois la survenance d’accidents graves, voire même catastrophiques, dont on pensait
avoir maîtrisé les risques. D’où l’importance de prendre également conscience de certaines
limites, faiblesses ou dérives de cette culture. En voici quelques-unes.
Les limites
L’illusion de maîtriser les risques

Le cas de l’accident de l’usine de gaz naturel de la compagnie Esso à Longford en Australie
illustre malheureusement la limite d’une culture managériale de sécurité performante au
niveau de l’amélioration des résultats en sécurité, mais trop focalisée sur les accidents bénins.
L’accident de Longford
Le 25 septembre 1998, une explosion majeure, suivie d’un incendie, se produit à l’usine entraînant
la mort de deux opérateurs et en blessant gravement huit autres. De plus, l’accident provoque la
fermeture de l’usine qui est le premier fournisseur de gaz naturel de l’état de Victoria, privant ainsi
de gaz pendant vingt jours une large clientèle d’entreprises et de particuliers et leur causant des
pertes ou préjudices économiques justifiant des demandes de compensation de plusieurs centaines
de millions. La commission publique d’enquête conclut à l’entière responsabilité de l’entreprise
dans cet accident. Elle a en effet révélé non seulement des défauts de conception de l’installation,
mais également l’effet pervers d’une « culture de sécurité » trop axée sur l’amélioration du taux de
fréquence par la prévention des accidents bénins au détriment d’un souci prioritaire pour identifier
et maîtriser les risques majeurs de l’installation. De fait, l’usine appliquait depuis plusieurs années
un vigoureux programme de management technique et comportemental en sécurité du travail qui
lui avait permis d’atteindre Zéro Accident, mais l’enquête a montré que les efforts en sécurité
industrielle étaient nettement moins intensifs.
Ce cas illustre un double phénomène assez fréquent chez les individus, de même que chez
les groupes et dans les organisations, en l’occurrence l’illusion de contrôle et le biais d’op-
timisme.
Illusion de contrôle, biais d’optimisme

Définition
L’illusion de contrôle est la tendance à surestimer ses capacités à maîtriser les événements, tandis
que le biais d’optimisme est la tendance à sous-estimer les risques, et notamment la gravité des
conséquences, d’évènements pouvant survenir.
La culture managériale de sécurité est propice à ce double phénomène parce qu’elle valorise
la performance, et donc les indicateurs de performance. Or, en sécurité, il y a un risque de
simplification car l’indicateur de performance le plus utilisé est le taux de fréquence des
accidents. Cependant, ce dernier est constitué presqu’uniquement d’accidents bénins qui
106
sont plus fréquents. Par conséquent, cet indicateur ne reflète pas correctement la maîtrise
des risques technologiques, et peu d’entreprises font l’effort de développer, utiliser, suivre l’illusion de contrôle
et réagir à des indicateurs spécifiques à la maîtrise de ces risques moins fréquents, mais nourrit le biais
nettement plus graves. Le risque est donc réel que, lorsque les efforts pour améliorer le taux d’optimisme
de fréquence semblent porter leurs fruits et que l’indicateur s’approche ou même atteint
Zéro Accident, le management se mette à croire qu’il maîtrise enfin les risques d’accident :
c’est l’illusion de contrôle. À son tour, cette illusion nourrit le biais d’optimisme.
Biais d’optimisme
À l’usine de Longford, un incident semblable à celui ayant provoqué l’explosion s’était produit
quelques semaines plus tôt et les opérateurs l’avait rapporté aux superviseurs. Pourtant ceux-ci
avaient minimisé le potentiel de l’incident et n’en avaient pas informé l’encadrement supérieur.
Un autre cas de figure du biais d’optimisme est la tendance à repousser la limite du « risque
gérable » parce qu’on estime que la performance passée du SMS montre qu’il est de plus
en plus robuste, bref capable de gérer de plus grands risques. Cette tendance existe dans
les travaux majeurs de maintenance sur équipements en fonctionnement afin de réduire les
arrêts et les pertes de production.
Pour réduire la probabilité d’être victimes de ce double phénomène, certaines entreprises
très performantes en maîtrise des risques majeurs cultivent le pessimisme plutôt que de
laisser aller la tendance « naturelle » à l’optimisme. Elles récompensent les salariés et cadres
qui identifient des « failles » dans le système, et développent des indicateurs de performance
spécifiques à la maîtrise des risques technologiques.
La normalisation de la déviance
Elle existe lorsque la transgression de règles importantes de sécurité est non seulement
largement connue, mais tolérée et acceptée par les pairs et la hiérarchie comme un com-
portement normal ou acceptable compte tenu des circonstances.
Le cas de Challenger
L’analyse de l’accident de la navette Challenger en 1986 a révélé que pratiquement tous les acteurs
impliqués dans le processus de décision du décollage n’avaient pas respecté la norme d’évaluation
du risque acceptable de la NASA, évaluation dont les résultats autorisent ou non le lancement.
L’analyse a aussi montré que cette tendance à la transgression de cette norme, et de plusieurs
autres, s’était développée surtout depuis que le Congrès, plusieurs années auparavant, avait réduit
le financement public du programme des navettes. En conséquence, celui-ci devait en grande partie
s’autofinancer grâce à un rythme soutenu de vols commerciaux.
Divers facteurs peuvent favoriser une normalisation de la déviance. L’exemple de Challenger

en illustre un, celui d’une tension forte entre les pressions économiques et les exigences
de sécurité. Les acteurs « gèrent » cette tension en déviant régulièrement de certaines tension entre enjeux
normes de sécurité, parce qu’ils estiment ou se font dire que leur application rigoureuse économiques et de
serait néfaste pour la performance économique de l’entreprise. Dans ce genre de cas, c’est sécurité
la direction générale qui peut agir afin de prévenir cette déviance de divers acteurs. Elle a
en effet la possibilité tout d’abord de prendre les moyens d’être informée des cas de tension
impactant négativement la sécurité, ensuite de bien intégrer la sécurité dans la gestion des
priorités, et enfin de mettre en place un protocole de gestion des dérogations.
Un autre facteur favorise la déviance et sa normalisation : lorsque les règles et procédures
formelles de sécurité sont établies sans consultation suffisante des utilisateurs. Ce manque
de dialogue entraîne souvent des problèmes d’application, et s’il n’y a pas de mécanisme
efficace pour faire remonter les problèmes et corriger les défauts initiaux, il est probable que
superviseurs et opérateurs trouvent « normal » de transgresser ces règles pour continuer
à faire le travail. Ce facteur existe aussi au niveau de l’encadrement lorsque le SMS est im- manque de
planté sans véritable consultation des intéressés. Par exemple, les superviseurs estiment que consultation lors de
la charge additionnelle de travail reliée à la réalisation des activités de gestion prévues est l’établissement des
substantielle, mais ils ne peuvent pas en discuter avec les paliers supérieurs ou ces derniers règles
répondent simplement qu’ils doivent faire en sorte d’intégrer la gestion de la sécurité dans
leur gestion opérationnelle quotidienne. Deux scénarios de déviance sont alors fréquents :
soit certaines activités ne sont tout simplement pas réalisées, par exemple lorsque le contrôle
107
des réalisations est faible, soit certaines sont effectuées pour la forme ou pour atteindre le
quota imposé, par exemple dans le cas des réunions mensuelles de sécurité, des observations
de tâches, ou des inspections planifiées.
mises à jour La déviance normalisée est aussi presqu’assurée lorsque les procédures existantes de sé-
irrégulière des curité ne sont pas révisées et mises à jour régulièrement, de sorte que l’écart se creuse
procédures entre les normes et la réalité des pratiques qui évolue. Certaines entreprises ont aussi ten-
dance à abuser du pouvoir de réglementation interne, et à faire tellement de procédures
qu’il devient presqu’impossible pour un opérateur de toutes les apprendre et encore moins
accumulation de de les maîtriser et les appliquer. Parfois, les deux problèmes s’additionnent, créant alors un
procédures environnement normatif désordonné.
Enfin, un climat social tendu au niveau des ateliers est propice à la déviance normalisée
ou à tout le moins tolérée. Des enquêtes montrent qu’un tel climat pousse les superviseurs
à ne pas trop insister auprès de leurs employés pour qu’ils appliquent rigoureusement des
tensions sociales procédures de sécurité onéreuses en temps ou en efforts, afin de ne pas les mécontenter
davantage et conserver leur coopération pour l’atteinte des objectifs de production. Bref,
les superviseurs agissent selon le dicton : « entre deux maux, on choisit le moindre », c’est-
à-dire entre une déviance tolérée qui peut augmenter la probabilité d’accident ou la quasi
certitude d’un ralentissement de production, les superviseurs choisissent le premier terme
de l’équation qui leur paraît un moindre mal, puisque l’accident n’est pas certain.
10.4 La culture intégrée de sécurité
Ce type de culture de sécurité correspond à une situation où le management continue

d’assumer le leadership de l’action en matière de sécurité, tout en développant diverses
pratiques pour favoriser une forte implication des opérateurs dans plusieurs activités du
management de la sécurité et dans l’application rigoureuse des mesures de sécurité.
Les limites et faiblesses de la culture managériale de sécurité, la complexification et la dange-
rosité croissantes de certains systèmes sociotechniques, les stratégies d’affaires de certaines
entreprises, sont tous des facteurs contextuels qui poussent de plus en plus d’organisations
à évoluer vers une culture intégrée de sécurité. Un nombre encore limité, mais néanmoins
assez substantiel d’études permet de documenter des cas réels d’organisations ayant ce type
de culture, ainsi que leurs pratiques communes.
Pour rester cohérent avec la définition donnée plus haut, on peut présenter certaines de ces
pratiques soit sous le thème du leadership du management, soit sous celui de l’implication
des opérateurs, ces deux thèmes permettant de caractériser le profil et la dynamique des
deux acteurs clés qui sont les artisans de cette culture.
Le leadership sécurité du management
Dans la culture managériale, le leadership du management en matière de sécurité est en

général assez directif/descendant (top down). Il s’exerce des managers vers les opérateurs
d’exploitation, mais également au sein même de la structure de management (de la direction
vers l’encadrement intermédiaire et de celui-ci vers le niveau de supervision). Concrètement,
les équipes de terrain (superviseurs et opérateurs) doivent opérer selon des directives, règles,
procédures et consignes, qu’ils ont peu ou pas contribué à élaborer et à décider. Ce style
de leadership peut être efficace pour impulser rapidement un changement d’approche en
sécurité dans des organisations de type hiérarchique. Mais, sur une plus longue période,
son point faible est que le management supérieur et intermédiaire se prive de beaucoup
de connaissances sur les réalités du terrain. Or, celles-ci sont essentielles pour établir et
maintenir des mesures de sécurité (techniques ou procédurales) pleinement efficaces et ainsi
assurer un très haut niveau de maîtrise des risques, notamment technologiques.
La culture intégrée de sécurité évite ce point faible grâce à une évolution du management
vers un leadership sécurité s’exerçant à la fois en mode directif et en mode participa-
tif/ascendant (bottom up). On peut décrire le profil de ce leadership directif-participatif en
soulignant certaines façons de penser et d’agir qui le caractérisent.
Les façons de penser
Parmi les façons de penser typiques du leadership directif-participatif, certaines croyances
ou convictions sont importantes.
108
10.4. La culture intégrée de sécurité
• une première conviction est que dans les industries de process en particulier, la tech-
nologie n’est jamais pleinement maîtrisée et peut toujours réserver de mauvaises
surprises. Ceci conduit à des pratiques à la fois directives et participatives pour contrer
l’illusion de contrôle et le biais d’optimisme, et maintenir un haut niveau de vigilance
du management et des salariés ;
Maintenir la vigilance. . .
. . .en organisant la chasse aux anomalies, la remontée et l’analyse d’incidents, la présence sur le
terrain. . .
• cette conviction en amène une autre, celle que la maîtrise des risques n’est jamais
achevée et que la fiabilisation du système est plutôt un processus d’amélioration
continue qui doit être géré comme tel ;
Logique de progrès continu
Les standards ou procédures opérationnelles et de sécurité sont par définition perfectibles et évolu-
tifs et il faut que les pratiques de management soutiennent et favorisent leur amélioration continue.
• enfin, dernière conviction : la collaboration des deux acteurs (management et opé-

rateurs) est la clé pour que ce processus d’amélioration continue produise les gains
d’efficacité en sécurité et fiabilité requis pour prévenir tout accident industriel grave et
même parvenir à Zéro Accident du travail. Les acteurs ont des fonctions et des connais-
sances qui sont différentes, donc limitées, mais complémentaires et essentielles pour
assurer la maîtrise des risques. Les parties ont donc un intérêt mutuel à favoriser cette
collaboration. Toutefois, c’est le management qui a le pouvoir de changer les règles
du jeu pour développer cette collaboration, d’où l’importance d’adopter un nouveau
style de leadership à la fois directif et participatif.
Et les actions qui en résultent

Certaines façons d’agir découlent de ces principes. Plusieurs d’entre elles sont documentées
par d’assez nombreuses études faites aux États-Unis et au Canada, en Europe et en Asie
(Japon, Australie) et dans différents secteurs d’activités (nucléaire, aviation civile, chimie,
pétrole et gaz, pétrochimie, métallurgie, fabrication automobile et d’autres équipements,
hôpitaux). Il en ressort que le leadership sécurité typique d’une culture intégrée s’exerce
généralement par des pratiques managériales sur les points suivants :
• l’octroi d’un statut très élevé accordé à la sécurité dans les valeurs et priorités affichées
de l’entreprise ;
La sécurité comme valeur
La sécurité est mentionnée parmi les trois ou quatre valeurs fondamentales, c’est à dire celles
qui caractérisent intrinsèquement la façon de faire les affaires et le travail dans l’entreprise. Elle
peut encore être affirmée comme priorité prépondérante, comme dans ce slogan d’une grande
entreprise canadienne : « aucun travail n’a une importance ou urgence qui justifie de ne pas le faire
en sécurité ».
• l’exemplarité du leadership ;
Renforcer l’exemplarité dans l’application de la politique sécurité, dans l’arbitrage des

situations où la sécurité pourrait être compromise par la poursuite d’autres objectifs,
dans le souci de fournir aux opérateurs les moyens d’appliquer les règles et procédures
de sécurité, dans la mise en œuvre des moyens privilégiés pour susciter la participation
des collaborateurs (cadres ou salariés).
109
L’exemplarité dans le leadership directif est essentielle pour bâtir la crédibilité du manage-
ment, laquelle est nécessaire pour convaincre les opérateurs de participer, et ainsi pouvoir
déployer un leadership participatif substantiel.
Illustration dans le transport du fioul
Par exemple, dans le commerce de la livraison par camion du fioul domestique en France, certaines
sociétés ont maintenant comme politique sécurité de cesser de livrer à un client dont l’installation
est à risque élevé pour le chauffeur et qu’il refuse de modifier pour en améliorer la sécurité.
• la mise en place de moyens pour susciter la participation des opérateurs ;
Un axe de pratiques très valorisé est le renforcement de la présence de l’encadrement de ser-

vice et de proximité sur le terrain auprès des opérateurs. Ceci permet d’observer la conduite
renforcer la présence d’opérations ou de tâches effectuées, de s’informer des difficultés rencontrées, de susciter
du management sur le des remontées d’anomalies et écarts de fonctionnement, de stimuler la vigilance aux risques,
terrain de dialoguer et d’écouter les opérateurs. Les formules de présence sont variables (solo, duo,
formelle, informelle, durée, fréquence. . .). Un autre axe également populaire favorise les
moyens d’accroître la détection et le reporting des risques. Ces moyens varient (par exemple
chasse aux anomalies, campagne d’identification et évaluation de risques ciblés, détection
valoriser la remontée de signaux faibles, etc.), mais les ingrédients du succès sont d’en faire une activité valorisée
d’information et organisée, de former les opérateurs à sa réalisation, d’annoncer un processus de suivi des
remontées et d’en communiquer les résultats. Un troisième axe concerne la participation
des opérateurs aux processus d’amélioration continue des règles et procédures de sécu-
rité et d’opérations : élaboration initiale, validation, révision. Ici aussi, l’organisation de la
favoriser la participation est importante (par exemple groupes de travail, tâches et procédures ciblées,
participation des méthodes, etc.), mais elle doit prévoir des moyens pour impliquer, à différentes étapes du
opérateurs à processus, les collectifs ou équipes de travail concernés.
l’élaboration des
règles
• la mise en place de moyens pour renforcer l’application rigoureuse des règles et
procédures.
La participation des opérateurs à l’amélioration des règles et procédures vise non seulement
à en favoriser l’applicabilité, mais concourt aussi à développer leur appropriation par les
opérateurs. Cela accroît leur motivation intrinsèque à les appliquer, avec le soutien et le
renforcement de l’équipe. Par conséquent, quand le volet participatif est bien fait, il contribue
à renforcer la rigueur d’application. Il en est de même pour la présence de l’encadrement
sur le terrain décrite plus haut comme pratique de leadership participatif, mais qui doit aussi
être utilisée pour faire certaines vérifications de conformité d’application de procédures
par la hiérarchie (par exemple observation de tâches), complétées par un dialogue sécurité
positif tout en favorisant certaines améliorations, le cas échéant.
L’implication des opérateurs
À la base, l’implication des opérateurs en sécurité se manifeste généralement sous deux

formes : le fait de se conformer en appliquant les règles de sécurité établies, et le fait de
prendre des initiatives pour sa sécurité et celles des autres. En ce sens, les opérateurs
participent, à leur niveau, à la double dynamique de sécurité réglée et de sécurité gérée
présente dans toute entreprise à risque.
Dans la culture managériale de sécurité, ces deux modalités d’implication des opérateurs
sont souvent dissociées. Le management recherche avant tout la conformité, et se désin-
téresse, voire même décourage la capacité d’initiative des opérateurs. En conséquence, le
niveau d’initiatives orientées vers le management (par exemple reporting, suggestions sé-
curité, participation à des activités de prévention) est très faible. Le management se plaint
parfois de cette faible participation, mais en réalité, fait peu de choses pour la valoriser et
l’organiser.
Dans la culture intégrée de sécurité, l’orientation du management consiste au contraire à
stimuler et canaliser la capacité d’initiatives des opérateurs comme levier pour accroître
leur niveau de conformité aux règles. En effet, grâce à des moyens comme ceux indiqués
110
10.4. La culture intégrée de sécurité
plus haut, le management favorise une participation des opérateurs (initiatives) qui permet
d’améliorer en continu l’applicabilité et l’appropriation des règles par ces derniers. Ceci
augmente leur propension à se conformer à ces règles qui deviennent les leurs. En général, l’initiative renforce la
les opérateurs sont beaucoup plus motivés par cette approche que par celle de la culture ma- conformité
nagériale. En effet, elle répond non seulement à leur besoin de sécurité au travail, mais aussi
à d’autres besoins de niveau supérieur, comme ceux de reconnaissance et d’appréciation par
la hiérarchie, de participation aux décisions, d’acquisition de nouvelles compétences, qui
contribuent à la satisfaction et à la coopération au travail.
C’est pourquoi, l’implication des opérateurs sous ses deux modalités (conformité et initia-
tives) est généralement plus élevée dans une culture intégrée de sécurité que dans une
culture managériale.
Bibliographie
Adler, P. S. (1999). Building better bureaucracies. Academy of Management Executive, 13(4) :36–48.
Disponible à l’URL : http://www-rcf.usc.edu/~padler/research/BBB%20copy-1.pdf.
Baker, J. A., Leveson, N., Bowman, F., Priest, S., Erwin, G., Rosenthal, I., Gorton, S., Tebo, P., Hendershot,
D., Wiegmann, D., et Wilson, L. D. (2007). The report of the B.P. US refineries independent safety
review panel. Rapport technique. Disponible à l’URL : http://www.bp.com/bakerpanelreport.
Hopkins, A. (2005). Safety, Culture and Risk : The Organisational Causes of Disasters. CCH, Australia.
International Nuclear Safety Advisory Group (INSAG) (1991). Safety culture, INSAG-4. Safety
Reports 75-INSAG-4, IAEA, Vienne. Disponible à l’URL : http://www-pub.iaea.org/MTCD/
publications/PDF/Pub882_web.pdf.
International Nuclear Safety Advisory Group (INSAG) (2002). Key practical issues in strengthening
safety culture, INSAG-15. Rapport technique, AIEA. Disponible à l’URL : http://www-pub.iaea.
org/MTCD/publications/PDF/Pub1137_scr.pdf.
Liker, J. (2006). Le Modèle Toyota. Pearson Education France, Paris.
Peretti-Wattel, P. (2003). Sociologie du risque. Armand Colin, Paris. ISBN 978-2200265410.
Perin, C. (2006). Shouldering Risks : The Culture of Control in the Nuclear Power Industry. Princeton
University Press, Princeton.
Simard, M. (1998). Chapitre La culture de sécurité et sa gestion dans Encyclopédie de sécurité et de santé
au travail, pages 59.4–59.8. BIT, Genève.
Simard, M., Carpentier-Roy, M., Marchand, A., et Ouellet, F. (1999). Processus organisationnels et
psychosociaux, favorisant la participation des travailleurs en santé et en sécurité au travail. Études
et recherches, rapport R-211, IRSST, Montréal. Disponible à l’URL : http://www.irsst.qc.ca/
files/documents/PubIRSST/R-211.pdf.
Skjerve, A. (2008). The use of mindful safety practices at Norwegian petroleum installations. Safety
Science, 46 :1002–1015.
Vaughan, D. (2001). Chapitre La normalisation de la déviance : une approche d’action située dans
Organiser la fiabilité (Bourrier, M., Éd.), pages 201–234. L’Harmattan.
Weick, K. E. et Sutcliffe, K. M. (2007). Managing the Unexpected : resilient performance in an age of

uncertainty. Wiley, Jossey-Bass, San Francisco.
111
112
11
Les points clés FHOS
de la politique de sécurité industrielle
Dans ce dernier chapitre, nous présentons les points clés de l’action dans l’entreprise en
matière de Facteurs Humains et Organisationnels de la Sécurité industrielle. Les grands
enjeux et domaines d’une politique FHOS sont décrits.
Les méthodes et outils qui peuvent être mis en œuvre pour chacun de ces domaines, et les
indicateurs correspondants, sont ou seront l’objet d’autres guides de l’ICSI ou de la FonCSI.
11.1 Sécurité industrielle, sécurité du travail : deux domaines complémentaires
La direction générale affirme ses objectifs de sécurité dans deux domaines complémentaires
et articulés mais distincts :
• la prévention des risques technologiques ;

• la prévention des accidents du travail.
Il existe d’ailleurs une séparation légale de fait entre ces deux domaines complémentaires,
pour lesquels les autorités de contrôle ne sont pas les mêmes.
L’évaluation de la politique de sécurité d’un site n’est pas seulement basée sur le taux de
fréquence des accidents (TRIR1 ou Tf12 ), mais sur un ensemble de dimensions présentées
ci-dessous.
La volonté affichée de prévenir les risques technologiques peut permettre l’obtention d’un
fort consensus dans l’entreprise.
11.2 La reconnaissance du rôle de l’humain
La direction générale :
• affiche une vision de la contribution humaine à la sécurité industrielle ;

• affirme la nécessité de la favoriser par des conditions techniques et organisationnelles
adéquates ;
• identifie la responsabilité du management dans le domaine de la sécurité industrielle ;
• et reconnaît qu’aucun niveau de l’entreprise ne dispose, seul, de toutes les connais-
sances et informations nécessaires à la sécurité.
Elle construit la politique de sécurité industrielle sur l’articulation équilibrée de deux dyna-
miques :
1 Total recordable injury rate, équivalent du Taux de fréquence

2 Tf1, taux de fréquence = nombre d’accidents du travail avec arrêt par million d’heures travaillées.
113
La politique de
sécurité industrielle
Stratégie d'entreprise
Contraintes externes
Savoirs d'experts
Orientation de l'action
Objectifs
Allocation de ressources Retour d'expérience
Comptes rendus
Alertes, suggestions
La réalité du terrain
Performance et coût humain
Conformité et initiatives
Savoirs de métiers
Fi g u r e 11.1 – L’articulation de l’information descendante et ascendante.
• une dynamique descendante (top down) d’orientation de l’action, de définition des

objectifs et d’allocation des ressources ;
• une dynamique ascendante (bottom up) de remontée d’information en provenance de
la réalité du terrain, qui vient irriguer la politique de sécurité industrielle : REX sur
les incidents et accidents, alerte sur des situations à risques, sur des règles difficiles à
appliquer, des contradictions organisationnelles, etc.
Cette remontée d’information est organisée à la fois :
• en vie quotidienne ;
• à l’occasion d’incidents ou d’accidents ;
• par des diagnostics périodiques.
L’approche FHOS est prise en compte dans tous les domaines
Les Facteurs Humains et Organisationnels de la Sécurité industrielle ne sont pas un domaine

particulier, qui pourrait être pris en compte exclusivement par la direction de la sécurité.
Comme la sécurité en général, c’est une dimension de chacune des politiques de l’entreprise.
Relations
sociales
Conception
GRH technique,
projets et
modifs
Conduite des
changements FHOS Achats
d'organisation
Politique
SMS, industrielle
régles et sous-
procédures traitance
Style
de
management
F i g u r e 11.2 – Les domaines concernés par les FHOS 3 .
114
11.3. Le leadership sécurité du management
Cela suppose que l’ensemble des membres du Comité de direction soient formés aux enjeux
de la prise en compte des Facteurs Humains, voire que les femmes et les hommes qui le
composent soient choisis aussi en fonction de leur sensibilité dans ce domaine.
Les sections suivantes détaillent les conditions de la prise en compte des FHOS dans diffé-
rents domaines.
L’intégration du FHOS dans les relations avec les autorités de contrôle
Les industries Seveso, nucléaires, de transport ont à rendre des comptes à une autorité de
contrôle en matière de sécurité industrielle. Les différentes autorités de contrôle en sont
actuellement à des stades divers en matière de prise en compte des FHOS, certaines disposant
d’experts dans le domaine. Même lorsque l’autorité de contrôle ne l’exige pas, il est utile
que l’entreprise valorise vis-à-vis de celle-ci les démarches qu’elle met en place dans les
domaines des Facteurs Humains et Organisationnels.
La convergence des signaux émis
Le développement d’une culture de sécurité repose non seulement sur une organisation et
des interactions entre acteurs facilitant l’apprentissage, mais aussi sur l’expérience répé-
tée de comportements convergents : les différents signaux (messages, formes d’écoute et
de REX, décisions, allocation de ressources) émis par la direction et l’encadrement à tous
niveaux vont dans le même sens (dans la même direction). C’est ce qui donne du sens (de la
signification) à la politique de sécurité industrielle.
Or la convergence des signaux n’est jamais spontanée ; l’entreprise doit faire tenir ensemble
des enjeux partiellement contradictoires : productivité, qualité, sécurité, etc. La culture de
sécurité suppose que les contradictions puissent être énoncées et débattues, et que les arbi-
trages soient explicites et périodiquement réexaminés.
Cette convergence se joue non seulement dans les grandes orientations, mais dans le détail
de la vie quotidienne. Les dirigeants et l’encadrement appliquent à eux-mêmes les règles
qu’ils définissent pour les autres.
Une dissonance entre les messages officiels et des décisions quotidiennes met en cause le
sens même de la politique de sécurité. Elle ouvre la porte à l’idée que chacun peut faire avec
les orientations de sécurité des arrangements locaux et non débattus.
11.3 Le leadership sécurité du management
Chaque manager (direction, encadrement de service, encadrement de proximité) joue un

rôle essentiel à l’articulation des dynamiques descendante et ascendante de la sécurité
industrielle comme indiqué au chapitre 9.
Négociation des
objectifs et des ressources
Retour
Orientation
d'expérience
de l'action
Traduction Traduction
Objectifs, Déclinaison Manager Synthèse Comptes rendus,
Priorisation Anticipation Alertes,

Allocation de
ressources
Suggestions
Mise en compatibilité
Animation
Arbitrage
3 Lescomposantes d’un « style de management » favorable à la prise en compte des FHOS sont définies à la section
ci-dessous.
115
Chaque manager contribue à son niveau à l’articulation entre la sécurité réglée (définition
descendante de règle) et la sécurité gérée (prise en compte des spécificités locales).
Le « leadership sécurité » du management comporte notamment les aspects suivants4 :
• l’expression d’une vision de la sécurité, compatible à la fois avec la politique de l’en-

treprise et avec les spécificités du service ;
• la négociation, vis-à-vis de sa propre hiérarchie, des moyens nécessaires à la réalisation
des opérations en sécurité ;
• le fait de partager cette vision de la sécurité, en articulant orientations descendantes
et retour d’expérience dans un climat d’écoute et de confiance :
. la diffusion-traduction des règles de sécurité, le contrôle de leur application,
l’organisation et l’animation des débats autour de la formulation des règles et de
leur mise en œuvre, la priorisation des objectifs, l’arbitrage des contradictions,
. la mise en place d’une formation sécurité pertinente pour tous les acteurs,
. l’organisation et la transmission du retour d’expérience (notamment l’analyse
des incidents et accidents),
. l’organisation du repérage des situations à risques, y compris les signaux faibles.
• le fait d’intégrer la sécurité dans toutes les dimensions du pilotage du service ou de
l’équipe ;
• le fait de favoriser l’implication de tous par l’animation de dynamiques collectives
autour de la sécurité :
. prenant en compte les savoirs et cultures de métiers,
. favorisant l’articulation au plus près du terrain entre fonctionnels de la sécurité
et opérationnels,
. donnant toute leur place aux instances représentatives du personnel.
• l’exemplarité en matière de sécurité :
. le respect par le manager lui–même des règles dont il est le gardien, y compris
dans les situations perturbées,
. le rappel de la dimension sécurité à l’occasion des arbitrages reliant objectifs et
ressources,
. la possibilité de remettre en cause des décisions si le contexte l’impose.
• la présence sur le terrain, l’attention aux difficultés rencontrées par les opérateurs
dans l’exécution des opérations, au coût humain de la performance :
. la présence sur le terrain passe à la fois par les visites hiérarchiques de sécurité,
. et par une attention plus quotidienne aux difficultés rencontrées par les opéra-
teurs en exploitation.
• la gestion locale des ressources humaines, matérielles et financières, l’attention aux
signaux relatifs à l’état de santé des individus et des collectifs, l’anticipation des évo-
lutions de la population de l’équipe (gestion prévisionnelle des âges et des compé-
tences), l’organisation du développement des compétences ;
• la reconnaissance des bonnes pratiques, des initiatives, des actions d’exploitation
ayant contribué à éviter un accident ;
• et une démarche équitable et transparente vis-à-vis des comportements non souhai-
tables :
. pas d’évocation immédiate d’une « erreur humaine » avant compréhension ap-
profondie du contexte (voir chapitre 7)
. mise en place d’une démarche d’analyse avant toute sanction (voir chapitre 7.5).
• le devoir d’alerte vis-à-vis de la hiérarchie de rang supérieur lorsque la sécurité appa-
raît fragilisée.
4 Voir
Groupe de travail “Leadership In Safety” de l’ICSI (2010), Leadership en sécurité : pratiques industrielles,
Numéro 2010-01 des Cahiers de la Sécurité Industrielle, Institut pour une Culture de Sécurité Industrielle, Toulouse,
France (ISSN 2100-3874).
116
11.4. La participation du personnel
Chaque manager est en droit d’attendre de sa propre hiérarchie la même écoute que celle
qu’on lui demande de mettre en œuvre vis-à-vis de son équipe. L’idée qu’un « bon manager »
est celui qui n’a pas (ou ne rapporte pas) de problème est contraire à une culture de sécurité
positive.
11.4 La participation du personnel
Le personnel est associé :
• au retour d’expérience sur la sécurité au quotidien et lors des incidents ;

• à la formalisation des consignes pour les opérations le concernant ;
• à l’évaluation des solutions proposées par l’ingénierie lors de projets de travaux neufs
ou de modifications importantes (voir section 11.7) ;
• à l’évaluation des effets sur la sécurité des transformations organisationnelles.
Les initiatives individuelles et collectives de sécurité sont favorisées dans un cadre explicite.
Les difficultés mentionnées par le personnel et les suggestions émises font l’objet d’une
instruction, d’une réponse (positive ou négative), et d’un enregistrement.
11.5 Politique sociale et instances représentatives du personnel
Les instances représentatives du personnel sont des partenaires de la direction en matière

de sécurité industrielle. Cela va de soi pour le CHSCT, du fait de ses missions, mais cela
est vrai aussi pour le CE, qui peut mettre en relation les orientations économiques, les
projets, l’organisation, l’évolution de la population, et la sécurité, et les DP, qui peuvent
alerter notamment sur des atteintes à la santé des personnes et des collectifs qui fragilisent
l’organisation.
Les dynamiques visant à favoriser l’implication de tout le personnel ne sont crédibles que si
elles sont acceptées et soutenues par les instances représentatives.
Comportements en miroir
On assiste souvent à des comportements en miroir entre les représentants de la direction et repré-
sentants des salariés en ce qui concerne la sécurité :
• volonté partagée de faire avancer la sécurité de façon constructive ;

• ou enchaînement de dénonciations revendicatives et de fins de non-recevoir.
Il est sans intérêt, dans le deuxième cas, de chercher quel est l’œuf et quelle est la poule. C’est une
modification des actions qui fera évoluer les relations et non le contraire.
Les représentants du personnel et les représentants de la direction partagent le fait que la

légitimité de leur fonction ou mandat n’implique pas automatiquement une connaissance
détaillée de la réalité des situations dont il est question. L’humilité qui consiste à instruire le
problème, en allant voir et écouter ce qui se passe effectivement sur le terrain, est un outil
de travail utile pour toutes les parties.
La direction de l’entreprise ne peut évidemment pas déterminer les positions des repré-
sentants du personnel et des organisations syndicales. Elle peut favoriser des négociations
constructives autour de la sécurité en soutenant la participation des représentants du per-
sonnel à des formations sur les FHOS, en donnant les moyens d’une véritable présence des
représentants au CHSCT sur le terrain, en répondant précisément aux questions soulevées,
en associant les instances représentatives aux contacts avec l’autorité de contrôle, et en
fournissant une information complète et précoce sur les évolutions techniques et organisa-
tionnelles envisagées.
117
11.6 La Gestion des Ressources Humaines
La Direction des Ressources Humaines anime la réflexion sur la population de travailleurs

et son évolution. Elle anticipe les questions liées à la gestion des âges par branche, par
établissement, par service et par métier, à la transmission des savoirs et la construction des
compétences. Elle contribue à la prise en compte de ces préoccupations à tous les niveaux
du management.
En lien avec le service de santé au travail et le service social, elle collecte et traite les in-
formations non-confidentielles sur l’état de santé des agents (notamment l’absentéisme) et
des collectifs (tensions, conflits). Elle repère les « signaux faibles » susceptibles de témoi-
gner d’une fragilisation de la sécurité, alerte et construit une réponse avec le management
concerné. Elle veille à la prévention de l’exclusion, par restriction d’aptitude médicale, d’opé-
rateurs expérimentés porteurs de connaissances utiles à la sécurité.
Elle soutient les managers dans leur gestion locale des ressources humaines (voir section
11.3 ci-dessus) et plus généralement dans l’exercice de leurs missions.
Elle est présente dans les projets d’investissement et de réorganisation pour porter notam-
ment ces questions.
Elle contribue à favoriser des approches de la sécurité impliquant le personnel.
Elle favorise la prise en compte des FHOS par la politique de formation des agents et du
management.
Elle contribue à une politique claire et affichée en matière d’analyse des « erreurs » et de
sanctions.
Elle contribue à une reconnaissance du rôle des métiers dans la sécurité industrielle.
Elle favorise le dialogue social autour des questions de sécurité. Elle favorise les actions de
développement d’une culture de sécurité et la participation du personnel.
11.7 La conception des nouvelles installations et des modifications
Lors de tout projet de conception de nouvelles installations ou de modification importante,

la dimension FHOS est prise en compte.
Une maîtrise d’ouvrage, représentant la production, la maintenance, les Ressources Hu-
maines, la qualité, l’environnement, la sécurité, etc. est mise en place avec un responsable
identifié (par exemple le directeur d’unité). Elle définit les objectifs d’exploitation, veille à la
compatibilité des objectifs et des solutions dans les domaines technique, organisationnel, de
la formation, du phasage du démarrage.
La maîtrise d’œuvre technique (ingénierie) chargée de la définition des solutions interagit
régulièrement tout au long du projet avec la maîtrise d’ouvrage, et intègre dès l’étude préli-
minaire et tout au long du projet les impacts socio-organisationnels et humains des solutions
étudiées. . .
Les instances représentatives du personnel sont informées du projet en amont de la phase
de conception.
Le projet donne lieu à l’analyse de l’activité dans au moins deux types de situations de
référence :
• situation actuelle qui doit être agrandie, déménagée, modernisée ;

• situation présentant certaines des caractéristiques des nouveaux process prévus (site
pilote, autre site).
Les tâches critiques et les formes de variabilité sont analysées dans ces situations par obser-
vations, entretiens et analyse de documents.
L’identification des dangers et l’analyse des risques intègrent les variabilités des conditions
d’exploitation ainsi détectées. Bien entendu, les interactions avec l’ensemble des parties
prenantes (élus, administration, association de riverains) sont intégrées dans la gestion du
projet.
118
11.8. Les Achats
Ces analyses de l’existant servent ensuite à définir des scénarios de simulation de l’usage
de la nouvelle installation. Les simulations portent ainsi non seulement sur des situations
normales de production, mais aussi sur les activités d’approvisionnement, de maintenance,
de nettoyage, de gestion d’incidents etc.
Les simulations permettent d’évaluer :
• l’adaptation des nouveaux moyens de travail du point de vue des dimensions, de

l’accessibilité, des efforts, des postures, de la présentation de l’information, du contrôle
des actions effectuées. . . ;
• les difficultés de réalisation de certaines tâches, les risques d’accident, les besoins
d’outils, procédures, plans de formation spécifiques.
Les modifications nécessaires sont apportées au stade des études, sans attendre le démarrage.
Le personnel des installations concernées (ou au moins une partie) est associé à l’analyse
des situations existantes et aux simulations des nouveaux process. La formation nécessaire
à la conduite des nouvelles installations est faite suffisamment tôt pour favoriser cette parti-
cipation.
Le démarrage donne lieu à une évaluation FHOS (notamment les difficultés rencontrées) et
à des mesures correctives éventuellement. Une nouvelle évaluation est faite trois à six mois
après le démarrage.
11.8 Les Achats
Pour les produits, matériels et équipements comportant des enjeux de sécurité, le cahier
des charges comporte une rubrique « Facteurs Humains » ou « ergonomie » rédigée par le
donneur d’ordres avec éventuellement un appui FHOS. Ces critères sont pris en compte par
les Achats dans l’identification du fournisseur le mieux-disant.
Par exemple, on s’assurera de la compatibilité des équipements avec la diversité des caracté-
ristiques des utilisateurs (tailles, lunettes. . .), de la clarté de la présentation des informations,
de la disponibilité de notices dans la langue des utilisateurs, de la facilité d’échange des
consommables, de la maintenabilité, etc.
L’information du personnel concerné, des représentants des salariés est prévue avant mise
en service, et la formation des futurs utilisateurs fait, si nécessaire, partie de la prestation
du fournisseur.
11.9 La définition des règles et procédures
Une réflexion globale sur le niveau de règles nécessaire est conduite dans l’entreprise. Il
existe au niveau de chaque site une description du processus de réalisation des règles et
procédures, et du processus d’annulation de l’une d’entre elles. Le processus de production
des règles défini au niveau du site est décliné dans chaque unité par le management en
fonction des spécificités locales.
Les mots « règles », « procédures » et « consignes » n’ont pas de définition stabilisée dans
le domaine de la sécurité. Nous appelons ici « règle » un énoncé qui définit des principes
généraux, « procédure » un texte permanent qui encadre toute la réalisation d’une opé-
ration, et « consigne » un document spécifique à un contexte particulier d’exploitation.
La définition des règles et procédures d’exploitation associe des experts des domaines concer-
nés et des opérateurs chargés de la réalisation des opérations en question. Les tâches cri-
tiques font l’objet d’une identification. Une analyse des pratiques existantes et de leurs
explications est réalisée.
Les règles font la part entre des points de passage incontournables, et des modes opéra-
toires suggérés pour les atteindre. Elles incluent la prise en compte des variabilités les plus
fréquentes.
119
Les consignes sont rédigées de façon concrète et réaliste. Elles sont disponibles à proximité
des lieux de réalisation des opérations, de même que les moyens matériels nécessaires. Elles
font l’objet d’une phase d’expérimentation et de mise au point.
Les règles et procédures sont périodiquement réexaminées pour tenir compte des évaluations
du process et des autres règles, ainsi que des retours d’expérience internes et audits.
11.10 La politique industrielle de sous-traitance
Les sous-traitants sont des partenaires essentiels de la sécurité industrielle, tant dans la réa-
lisation de leurs activités que dans leur contribution au retour d’expérience. Les conditions
de leur contractualisation favorisent le fait qu’ils puissent sereinement alerter sur des enjeux
de sécurité rencontrés sur le terrain.
Le Groupe d’Échange « Sous-traitance » de l’ICSI a rédigé un guide d’aide à la décision5
auquel nous renvoyons.
11.11 L’organisation du retour d’expérience (REX)
Le retour d’expérience sur la réalité des activités de terrain prend diverses formes.
L’analyse des incidents et accidents
L’analyse des incidents et accidents est menée à bien avec des personnes formées aux
concepts et méthodes des FHOS, l’analyse vise à remonter à des causes profondes techniques
et organisationnelles, sans s’arrêter à « l’erreur » de l’opérateur présent ce jour-là.
L’analyse des difficultés quotidiennes d’exploitation
L’analyse des difficultés quotidiennes d’exploitation repose sur la présence du manager sur le
terrain (pour les visites hiérarchiques de sécurité mais pas seulement), sur son écoute vis-à-
vis des équipes et des métiers, sur les réunions de préparation (briefings) avant la réalisation
des tâches critiques, sur les réunions de bilan (debriefings) portant sur des activités ayant
présenté des difficultés particulières, et plus généralement sur la participation du personnel.
Les remontées par les instances représentatives du personnel
Voir section 11.5 ci-dessus.
Les diagnostics ou audits périodiques
Des diagnostics périodiques sont effectués par les équipes de production et le management
sur les conditions de réalisation des tâches critiques.
Les audits externes comportent non seulement une évaluation de la conformité aux règles,
mais une attention à la façon dont les initiatives de sécurité sont favorisées et encadrées.
Les différents processus décrits ici sont analysés.
Les forces et faiblesses de l’organisation sont périodiquement examinées avec un appui
externe, afin de détecter des évolutions témoignant d’une migration du système en dehors
de sa zone de fonctionnement sûr.
5 Groupe d’Échange Sous-traitance, La sous-traitance, guide d’aide à la décision, Cahiers de la sécurité industrielle,
n° 2008-04, Toulouse : ICSI, http://www.icsi-eu.org/francais/dev_cs/cahiers/
120
11.12. Diagnostics organisationnels et changements
L’attention aux lanceurs d’alerte
Les alertes quant à la sécurité remontant par tous les mécanismes ci-dessus sont analysées
et traitées à chaque niveau de management.
Il existe un mécanisme anonyme et indépendant de la hiérarchie permettant à tout salarié
ou prestataire de faire connaître une situation qui lui semble fragiliser la sécurité. Les alertes
correspondantes, leur analyse, et les mesures éventuellement prises sont rendues publiques
dans l’entreprise.
Ces différents éléments du REX sont intégrés dans le système de pilotage aux différents
niveaux de décision dans l’entreprise.
L’ICSI et la FonCSI ont organisé un travail important de REX sur les formes de REX mises en
œuvre dans les entreprises membres. On trouvera sur leur site les informations actualisées6 .
11.12 Diagnostics organisationnels et conduite des changements d’organisation
Comme décrit au chapitre 9.3, des diagnostics organisationnels sont régulièrement conduits
au niveau des établissements et des services, afin de repérer les forces et faiblesses qui se
jouent à l’articulation des structures organisationnelles, des cultures et des formes d’inter-
action.
Les changements organisationnels sont susceptibles de modifier l’équilibre d’un système
et de fragiliser sa sécurité7 . Lorsqu’un changement organisationnel est nécessaire, il est
d’abord défini en termes d’objectifs et non de solutions. Une conduite de projet est mise en
place, avec un niveau décisionnel (comité de direction) et un niveau d’instruction des choix
rassemblant des membres de l’encadrement des secteurs concernés.
Plusieurs solutions de structure organisationnelles sont explicitées, et elles font dans le
« groupe d’instruction des choix » l’objet d’une simulation de leurs effets pour les différents
moments critiques de la vie du process (démarrage, arrêt, incidents. . .). Les avantages et
inconvénients de chacune des solutions sont décrits, pour éclairer l’arbitrage de l’instance
de décision. Les transformations envisagées sont présentées aux instances représentatives
du personnel avant décision finale.
L’information et la formation relatives à la nouvelle organisation sont diffusées nettement
avant sa mise en place. La disponibilité des moyens matériels et d’information nécessaires
pour le nouveau fonctionnement est anticipée. Les administrations et parties prenantes du
risque sont informées préalablement au changement si celui-ci porte sur une organisation
décrite dans le dossier ayant conduit à l’autorisation d’exploiter.
Une phase de mise sous observation de la nouvelle organisation est prévue, avec un en-
semble de « capteurs » et d’indicateurs permettant de détecter rapidement les difficultés qui
pourraient surgir en termes de performance, de sécurité, ou de coûts pour les agents.
11.13 En conclusion : SMS et FHOS
Les connaissances proposées dans ce guide visent à renforcer la pertinence du Système

de Management de la Sécurité, en permettant que celui-ci repose non seulement sur les
connaissances des experts, mais aussi sur celles des personnes et collectifs de métiers qui
accomplissent les opérations au quotidien.
La sécurité industrielle est visée à la fois par l’anticipation des situations non-souhaitables,
par la définition de règles permettant de les éviter et de les gérer, par le développement
d’une culture de sécurité qui marque les pratiques quotidiennes, par la mise en place de
conditions techniques et organisationnelles favorisant en conditions réelles des opérations
sûres, et par une remontée d’informations sur la réalité de l’exploitation.
La notion de « tâche critique » est un excellent point d’articulation entre la structuration
du SMS et l’approche FHOS. L’accent est mis sur les tâches à réaliser (et pas seulement sur
le comportement), sur les variabilités susceptibles de survenir, sur les ressources humaines,
6 http://www.icsi-eu.org/
7 C’est
la raison pour laquelle l’International Atomic Energy Agency a produit le document INSAG-18 : Managing
Change in the Nuclear Industry, the Effects on Safety.
121
matérielles et les règles qui favorisent la réalisation de la tâche, sur la nécessité d’une im-
plication du personnel dans la réflexion. Les entreprises qui s’engagent à la fois dans une
démarche FHOS et dans des audits ISRS® peuvent faire de cet élément un gage de cohérence
d’ensemble8 .
Les membres du personnel, les métiers, les institutions représentatives et les prestataires
sont des partenaires de la politique de sécurité, par leur capacité à détecter sur le terrain des
situations à risques et à suggérer des évolutions. Leur contribution est reconnue, ainsi que
les difficultés qu’ils rencontrent pour exploiter le système. La compatibilité des objectifs et
des ressources est périodiquement réévaluée au plus près du terrain.
Le management est un acteur essentiel d’articulation de la « sécurité réglée » et de la « sé-
curité gérée ». Sa préparation à ce rôle, et le soutien qu’il reçoit pour l’exercer, sont des
composantes majeures du Système de Management de la Sécurité.
8 Dans la version 6 d’ISRS®, l’élément 4 « Analyse des tâches critiques et procédures » n’est obligatoire qu’à partir
du niveau 9, et l’élément 6 « Observation des tâches » qu’à partir du niveau 10. Il est vivement recommandé de
choisir, dès les niveaux 7 ou 8, ces éléments facultatifs pour favoriser la compatibilité entre l’approche ISRS et
l’approche FHOS.
122
Glossaire
CE Comité d’Entreprise
CHSCT Comité d’Hygiène, de Sécurité et des Conditions de Travail
DP Délégué du Personnel
DRIRE Direction Régionale de l’Industrie, de la Recherche et de l’Environnement
DRH Direction des Ressources Humaines
EPI Équipement de Protection Individuelle
ERPT Évaluation des Risques au Poste de Travail
FHO Facteurs Humains et Organisationnels
FHOS Facteurs Humains et Organisationnels de la Sécurité
HSE Hygiène Sécurité Environnement
HRO High Reliability Organisations, Organisations à haute fiabilité
INRS Institut National de Recherche et de Sécurité
ISRS® International Safety Rating System : Système international
d’évaluation de la sécurité, marque déposée de DNV
OHSAS Occupational Health and Safety Assessment Series
REX Retour d’EXpérience
SGS Système de Gestion de la Sécurité
SMS Système de Management de la Sécurité
TRIR Total Recordable Injury Rate, équivalent du Taux de fréquence (Tf)
123
Reproduction de ce document
Ce document est diffusé selon les termes de la license BY-NC-ND du Creative Commons. Vous êtes
libres de reproduire, distribuer et communiquer cette création au public selon les conditions suivantes :
◇ Paternité. Vous devez citer le nom de l’auteur original de la manière indiquée par l’auteur de
l’œuvre ou le titulaire des droits qui vous confère cette autorisation (mais pas d’une manière qui
suggérerait qu’ils vous soutiennent ou approuvent votre utilisation de l’œuvre).
◇ Pas d’utilisation commerciale. Vous n’avez pas le droit d’utiliser cette création à des fins com-
merciales.
◇ Pas de modification. Vous n’avez pas le droit de modifier, de transformer ou d’adapter cette
création.
Vous pouvez télécharger ce document (et d’autres versions des Cahiers de la Sécurité Industrielle) au
format PDF depuis le site web de la FonCSI.
Fondation pour une Culture de Sécurité Industrielle

Fondation de Recherche reconnue d’utilité publique
6 allée Émile Monso – BP 34038 Téléphone : +33 (0) 534 32 32 00

31029 Toulouse cedex 4 Fax : +33 (0) 534 32 32 01
France Courriel : contact@icsi-eu.org
6 ALLÉE EMILE MONSO
ZAC DU PALAYS - BP 34038
31029 TOULOUSE C EDEX 4
w w w. i c s i - e u . o rg

Cahier de La Securité Industriel

Transféré par

Droits d'auteur :

Formats disponibles

Cahier de La Securité Industriel

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Cahier de La Securité Industriel

Transféré par

Droits d'auteur :

Formats disponibles

LES C

• contribuer à l’amélioration de la sécurité dans les entreprises industrielles de

Fondation pour une Culture de Sécurité Industrielle

6 allée Émile Monso – BP 34038 Téléphone : +33 (0) 534 32 32 00

ÉDITEUR : Institut pour une Culture de Sécurité Industrielle

• l’approche industrielle se focalise encore parfois sur le comportement des opérateurs,

1. La Fondation pour une Culture de Sécurité Industrielle (FonCSI) a d’abord sélectionné et

Toulouse, le 7 avril 2009

r a n ç o i s Da n i e l l o u est Professeur d’ergonomie à l’Institut de Cognitique de l’Ins-

a r c e l Si m a r d est Professeur titulaire à l’Université de Montréal. Spécialiste de

va n Bo i s s i è r e s est Directeur de la Formation et du Développement de l’ICSI. Docteur

Pour citer ce document :

2 Des « comportements » à l’activité 25

3 La situation de travail influence le comportement 31

4 Des opérateurs humains différents et variables 35

5 Le cerveau et le raisonnement humains 39

7 L’erreur humaine : une explication insuffisante 59

8 Santé des personnes et santé de l’organisation 73

9 L’organisation, ses forces et ses faiblesses 83

11 Les points clés FHOS 113

Ce recueil vise à proposer une base de connaissances communes à un ensemble d’acteurs

• responsables de la politique sécurité « groupe » ;

Les obligations réglementaires, les composantes formelles du SMS, les méthodologies de sa

Sécurité du travail et sécurité industrielle

Qu’est-ce que l’approche Facteurs humains et organisationnels de la sécurité

L’approche Facteurs humains et organisationnels de la sécurité industrielle (FHOS) consiste

Organisation & Résultats

Collectifs de travail Activité Résultats

Fi g u r e 1 – Le champ des FHOS.

Les connaissances proposées par l’approche FHOS permettent de mieux comprendre ce

Pourquoi une approche Facteurs humains et organisationnels de la sécurité ?

La prévention des accidents de process a d’abord reposé sur la conception technique : le

Technique Système de management

Fi g u r e 2 – Approches successives de la sécurité industrielle.

Anticiper le prévisible et faire face à l’imprévu

2 Exploitation= production + gestion des matières et flux + maintenance.

L’objet de ce guide est d’aider les entreprises à développer la dimension de « sécurité

Des FHOS3 , il y en a déjà dans l’entreprise !

Une référence partagée en matière de Facteurs Humains et Organisationnels de la Sécurité

3 Facteurs humains et organisationnels de la sécurité industrielle

Le chapitre 9 a été rédigé par François Daniellou et Ivan Boissières (ICSI).

Le chapitre 10 a été rédigé par Marcel Simard (Université de Montréal, Canada).

Ivan Boissières a coordonné la rédaction.

L’être humain a des propriétés peu modifiables

Les conditions physiologiques varient

Adapter l’environnement de travail à l’homme

Certaines propriétés humaines ne sont pas modifiables

• on diminue leur capacité de détection et la performance de leurs actions ;

Une question de bon sens ?

• Combien de temps un opérateur peut-il maintenir sa vigilance sur un écran où il

Ce sont les situations qui appellent les comportements

Il est fréquent d’entendre : « il faut changer les comportements ». Or les comportements ne

Le contexte influe sur le comportement

Certaines situations d’exploitation peuvent avoir des caractéristiques qui augmentent la

Une situation particulière peut favoriser un comportement inapproprié

Le travail n’est jamais simple exécution

Les situations d’exploitation sont riches de variabilités

• qui soit performante (quantité de production, qualité, sécurité) ;

L’humain, agent de fiabilité et d’infiabilité