1. La conception technico-organisationnelle dans les organisations à risques

Transcription

1 LA CONTRIBUTION DE L ANALYSE DE RISQUES A LA PRISE EN COMPTE DE L ORGANISATION DANS LA CONCEPTION DES SYSTEMES SOCIO-TECHNIQUES. Cynthia COLMELLERE Acteurs d un secteur d activités concurrentiel, les industriels de la chimie sont tenus d améliorer leurs niveaux de rentabilité et de productivité tout en respectant la réglementation des installations classées qui leur impose des contrôles accrus et l application de dispositions toujours plus strictes, notamment depuis la loi sur les risques 1 du 30 juillet Dans ce cadre, les modifications d installation imposées réglementairement cristallisent de nombreux enjeux. Si la mise en conformité est l objectif affiché, il s agit également pour les acteurs de ces sites, de concevoir, construire et démarrer une installation fiable au meilleur coût possible. Ces projets de modifications placent au premier plan les risques majeurs et professionnels. Nous abordons la fiabilité technico-organisationnelle sous l angle de sa conception, à travers le projet de modification réglementaire d un poste de dépotage 2 d acide, mené sur un site industriel classé Seveso 2. Cette recherche 3 menée à partir d entretiens et d observations de réunions de conception montre que les acteurs des projets de conception anticipent l organisation des activités pour maîtriser les risques. L objet de cette communication est de montrer comment les supports de conception, en particulier ceux qui sont mobilisés pour réaliser l analyse de risques favorisent ou gênent à la prise en compte des activités futures et de leur organisation. Nous développerons notre propos en trois parties. Premièrement, nous reviendrons rapidement sur la problématique de la conception technico-organisationnelle. Deuxièmement, nous présenterons l analyse de risques et la méthode mise en œuvre par les acteurs du projet de conception. Troisièmement, nous montrerons comment cette méthode permet de prendre en compte les futures activités et leur organisation dans la construction de la fiabilité. 1. La conception technico-organisationnelle dans les organisations à risques L analyse rétrospective de grands accidents technologiques (Vaughan, 1996, Heimann, 1997, 2005, Perrow, 1983, Perrow, 1999 a & b) et l étude du fonctionnement quotidien des systèmes sociotechniques à risques (Rochlin et al., 1987, Bourrier, 1999; Roberts & Bea, 2001) ont ouvert la compréhension des fondements structurels et sociaux de la fiabilité. Ces recherches mettent en évidence les liens entre technologie et organisation du travail. De plus, elles soulignent l importance des choix technico-organisationnels pour obtenir la fiabilité. Une partie de ces recherches, évoquant la conception des systèmes socio-techniques à risques mettent en évidence l incapacité des techniciens et ingénieurs à concevoir une organisation adaptée à la technologie qu ils définissent (Perrow, 1984, 1999 a & b; Perin, 2005). Ceci nous a conduit à nous intéresser au processus de conception. Nous avons abordé le processus de conception technico-organisationnel du point de vue des pratiques des acteurs et de celui des relations sociales afin de démontrer que les acteurs de 1 Loi n parue au journal officiel le 30 juillet 2003, relative à la prévention des risques technologiques et naturels et à la réparation des dommages. 2 Dépotage : c est l opération qui consiste à transférer le produit liquide des wagons vers des installations fixes. 3 Cette recherche a été menée dans le cadre d une thèse de doctorat en sociologie effectuée à l Institut de Radioprotection et de Sûreté Nucléaire (IRSN) et à l Université de Technologie de Compiègne. 1

2 l équipe projet anticipent partiellement l organisation comme cadre d action et comme programme d activités. Dans cette communication, nous montrons comment l analyse de risques effectuée selon la méthode HAZOP (HAZard and OPerability study) supporte cette anticipation. 2. L analyse de risques L objectif de l analyse de risques est de rechercher les risques (majeurs) induits par la future installation et d identifier les différentes mesures de prévention et de protection nécessaires. Cette analyse a une valeur officielle car les scénarios d accidents majeurs retenus figurent dans le dossier de demande d autorisation d exploiter, plus précisément dans l étude de dangers. Dans le projet de modification du poste de dépotage que nous avons étudié, la méthode d analyse des risques utilisée est une revue des déviations sur Schémas de la future installation (Schémas Technologie Instrumentation) selon la méthode HAZOP (HAZard and OPerability study). Elle est menée au cours d une réunion animée par un acteur spécifiquement formé et habilité pour l application de la méthode. Elle réunit les acteurs de l équipe projet (le chef de projet, un technicien du Bureau d Etudes, un technicien de régulation, le responsable du Bureau d Etudes), des représentants des opérateurs et du service médical du site et l animateur sécurité. Sur la base des schémas TI présentant le poste de dépotage, les acteurs réunis examinent les déviations qui peuvent se produire pour chaque phase du procédé. Une déviation est exprimée en affectant à un paramètre de fonctionnement (température, pression, débit ) un mot guide (plus de, moins de, bas, élevé, inverse ). Par exemple : température, débit, pression Au cours de la réunion, l animateur remplit un tableau de déviations qui se présente comme suit, pour chaque phase du procédé étudié : déviation causes conséquences probabilité gravité risque Parades De gauche à droite : La colonne déviation contient un mot guide appliqué aux paramètres concernés. Les causes possibles de la déviation (défaillance matérielle, erreur humaine, ) Plusieurs causes indépendantes peuvent être identifiées. Les conséquences pour l homme, pour l environnement et le matériel. La fréquence de chaque cause, pour évaluer la probabilité de l événement (sans prendre en compte les moyens de protection ou de prévention actifs : sécurité matérielle ou surveillance humaine). L évaluation se fait en fonction de l expérience sur le site et sur d autres sites. La probabilité d occurrence de la déviation est évaluée selon 4 niveaux : 1) très probable, 2) probable, 3) improbable, 4) extrêmement improbable. La gravité des conséquences en tenant compte des barrières de sécurité passives existant sur l installation. La gravité 4 comporte 4 niveaux :1) Légère, 2) moyenne, 3) haute, 4) catastrophique. Le risque potentiel est évalué à partir du produit de la gravité et de la probabilité, est classé selon 3 niveaux : 1) situation non acceptable, 2) situation intermédiaire, 3. situation acceptable. 4 La gravité intègre aussi bien les conséquences environnementales que les conséquences humaines et financières. 2

3 La fiabilité des moyens de prévention et de protection déjà en place. La probabilité de l événement redouté compte tenu de ces moyens de prévention et de protection. Le risque résiduel en tenant compte de ces moyens de prévention et de protection. Lorsque la gravité du scénario est catastrophique, les parades mises en place sont appelées éléments Importants Pour la Sécurité (IPS) et font l objet d une surveillance spécifique. «Un IPS est la barrière de prévention ou de protection ultime contre un scénario de gravité catastrophique. Ces éléments sont gérés de façon spécifique afin d assurer une fiabilité optimale dans le temps. Un élément IPS peut être : Un paramètre (une température, un débit, une pression, ), Un équipement (capteur, alarme, soupape, ) Une procédure, Une consigne de sécurité (alerte, évacuation, ) Une habilitation des personnels pour la réalisation de certaines opérations. 5» Nous abordons à présent la manière dont cette méthode conditionne la prise en compte des activités futures et de leur organisation pour maîtriser les risques. 3. Possibilités et limites de la méthode d analyse des risques HAZOP 3.1. Une méthode formalisée pour une application située Les acteurs de l usine reconnaissent que l évaluation des risques dépend de la situation de l analyse dans le temps et dans l espace. «L analyse des risques n est pas la même selon le lieu, le moment et les personnes. Les barrières ne sont pas les mêmes selon la sensibilité des personnes aux événements qui ont eu lieu récemment.» Laurent, Ingénieur responsable du service Amélioration Continue, 18/11/2004. L analyse des risques est située dans la temporalité du site. C est pourquoi elle est imprégnée d un biais de récence. Si des incidents ou des accidents marquent la période précédant l analyse, les participants ont tendance à se focaliser sur des scénarii semblables, en particulier pour identifier les causes et les conséquences des déviations. Cette influence se traduit également dans les parades qu ils choisissent. Plus globalement, l analyse des risques se situe dans une usine marquée par des événements. Le site est marqué par une histoire de l exploitation du produit. C est pourquoi, les événements significatifs passés sont évoqués au cours de l analyse pour identifier des causes ou des conséquences d accident et évaluer les risques correspondants. Cette tendance est d autant plus marquée que le projet modifie une installation existante. Les événements évoqués concernent donc le dépotage et le fonctionnement des parties de l atelier auxquels le futur poste de dépotage sera rattaché. 5 Dossier de demande d autorisation d exploiter, résumé non technique de l étude de dangers, Identification des éléments «Importants Pour la Sécurité» (IPS), mars

4 Cependant, l influence des caractéristiques du site sur le contenu de l analyse dépend de leur mobilisation par les acteurs. Comme le soulignent ceux qui l ont pratiquée, la démarche d analyse des scénarii d accident reste très subjective. «J ai participé à la validation des fiches risques. Ca permet d être sûr que le scénario choisi est bon. Il faut avoir une très bonne connaissance des procédés pour arriver au résultat. Quand les risques arrivent à un niveau non acceptable, le premier réflexe est de réviser le scénario. Le scénario c est un procédé d analyse du schéma TI, c est pour ça qu il faut un groupe pluridisciplinaire : la cotation des risques se fait d après une matrice. Dans l ancienne méthode c est ce qu on sent Mais aujourd hui il reste beaucoup de subjectif dans les scénarios.» Jean, Responsable des Fabrications, 30/01/2004. Plus précisément, les interventions des acteurs dépendent de leur expérience professionnelle. Selon les compétences acquises dans la conception d installations utilisant de l acide, ils reproduisent ou au contraire, critiquent les caractéristiques de l installation actuelle. Dans le projet de modification du poste de dépotage, les données que nous avons recueillies montrent que les acteurs les moins expérimentés cherchent à reconduire des caractéristiques de l installation actuelle. Ainsi, le chef de projet, nouvellement arrivé sur le site et dans le projet, inexpérimenté dans l exploitation du produit, propose de reconduire le chauffage à la vapeur des flexibles 6 pour évacuer l acide restant. Or, cette pratique présente des risques à long terme car elle favorise la corrosion puis le perçage des conduites. Le technicien du Bureau d Etudes, spécialiste de la conception d installations utilisant ce produit rappelle ces risques. Il conduit ainsi l équipe projet à abandonner cette option. Les contributions des acteurs dépendent également de leurs positionnements successifs dans le projet. Les acteurs mobilisent également le retour d expérience externe au site, acquis spécifiquement pour le projet. Ils s inspirent notamment les pratiques observées sur des sites industriels dépotant le même produit pour choisir les parades aux risques Une démarche horizontale restrictive L un des avantages de la méthode HAZOP est qu elle permet une analyse exhaustive des scénarios d accident induits par le futur poste de dépotage. L application d un mot guide pour chaque paramètre fonctionnel permet de caractériser systématiquement les déviations pour chaque phase du procédé, découpé à partir du Schéma TI. Ensuite, le tableau d analyse final permet une évaluation comparée des risques induits par chaque déviation. Par ailleurs, l organisation de la réunion Hazop, parce qu elle regroupe des acteurs représentant les différentes compétences de l équipe projet et des futurs utilisateurs de l installation facilite l identification des différents types de causes de déviation (erreur humaine, défaillance technique...) et de leurs conséquences sur l homme, l environnement et le matériel. Cependant, elle présente des lacunes que nous développons en quatre points successifs Des lacunes dans la prise en compte des activités d exploitation et de maintenance du futur poste de dépotage Cette méthode d analyse des risques limite la prise en compte des activités futures. En effet, la démarche d analyse Hazop est horizontale, c est-à-dire que l identification des différents éléments d analyse reste de premier niveau. 6 Flexible reliant les wagons aux installations fixes 4

5 Premièrement, pour rechercher les causes humaines ou matérielles de la déviation, la méthode ne prévoit pas de remonter jusqu aux origines d un événement comme dans un arbre des causes. C est pourquoi, lorsque les acteurs identifient une erreur humaine à l origine d une déviation, ils ne recherchent pas les conditions de réalisation ou les caractéristiques des activités concernées. De ce fait, ils limitent la recherche de moyens de protection ou de prévention des risques dans la suite de l analyse. Par ailleurs, parce qu elle fragmente le procédé en étapes successives, l analyse ne permet pas d envisager des combinaisons de déviations. De ce fait, elle ne favorise pas l analyse des conditions favorisant le rattrapage des erreurs. De même, lorsqu une cause matérielle est identifiée, les acteurs ne recherchent pas ses origines. Par exemple, ils identifient la défaillance d un matériel mais ne s interrogent pas sur la fragilité de ce type de matériel, liée notamment à sa maintenance (fréquence des visites de contrôle par exemple). Deuxièmement, l erreur humaine est évaluée selon les mêmes méthodes probabilistes que les risques de défaillances de capteurs : le risque est le produit de la gravité par la probabilité d occurrence. Cette évaluation des risques ne tient pas compte de l influence des conditions de travail et du contexte de ces activités sur la genèse de ces erreurs. En effet, l évaluation chiffrée de la probabilité d erreur se fait sur la base des activités de dépotage actuel. Or, une configuration des vannes et un niveau d automatisation différents peuvent modifier la fréquence d erreur de manipulation. Ainsi, dans l analyse de la phase des tests d étanchéité, le chef de projet évalue le risque d erreur dans la position des cinq vannes sur la base de la fréquence de ce type d erreur sur le poste actuel. Troisièmement, les parades organisationnelles en place ou choisies par les acteurs sont considérées sous leur dimension formelle et prescriptive, souvent à travers les supports pour guider les activités : une check-list, un mode opératoire, une formation spécifique, une habilitation. Leur nature (informatique ou papier) n est pas toujours précisée. Leur contenu et leurs modalités d utilisation ne sont pas évoqués. Or, l efficacité de ce type de parade dépend de ses conditions d usage. Par exemple, pour abaisser la probabilité d occurrence d une erreur de manipulation des vannes lors du branchement des wagons, les acteurs de l équipe projet ajoutent un mode opératoire. Cependant, la méthode d analyse des risques ne leur permet pas de prendre en compte le contenu et la forme de ce mode opératoire afin de préciser son adéquation avec les activités et leurs conditions de réalisation. De même, les conditions de maintien des barrières matérielles, considérées en fonction de leur probabilité de défaillance, ne sont pas abordées au cours de l analyse. Cette question de la définition des barrières se pose de façon particulière pour les éléments IPS (Eléments Importants pour la Sécurité), faisant l objet d une procédure de contrôle stricte. Lorsque ces IPS sont envisagés comme barrières, la méthode ne permet pas de considérer leur choix en fonction des modalités de contrôle associées. Quatrièmement, de façon plus générale, le modèle de l opérateur favorisé par cette méthode d analyse des risques limite la prise en compte de l organisation des futures activités pour maîtriser les risques. En effet, tantôt «opérateurs», «personnes», «fabricants» ou «gars», les futurs acteurs du dépotage reviennent souvent dans les propos des participants. Cependant, l opérateur apparaît comme un individu générique quelle que soit sa fonction (conditionnement, fabrication). Ensuite, c est un individu idéal toujours égal à lui-même : les différences de formation, d expérience, de charge de travail, d état physique ne sont pas évoquées dans l analyse. L opérateur apparaît 5

6 comme la force motrice qui actionne les organes pour faire fonctionner le procédé dans ses différentes phases. Pour autant, la condition d humain faillible de l opérateur n est pas oubliée. L erreur humaine, plus particulièrement l omission et la confusion, apparaissent comme causes de déviations Des lacunes renforcées par l organisation du projet et l application des exigences réglementaires Nous rechercherons à présent les origines des ces lacunes dans les caractéristiques de l organisation du projet et les modalités d applications de la réglementation des installations classées. Premièrement, l organisation du projet aggrave les lacunes de l analyse identifiées. En effet, les acteurs les plus à même d intégrer les futures activités, et leur organisation à l analyse sont contraints par leur intermittence dans le projet. En effet, l organisation du projet n intègre pas les représentants des opérateurs au projet avant l analyse des risques. De ce fait, même si elles concernent les futures activités, leurs contributions restent limités par leur manque de connaissance de la future installation et de son fonctionnement. Deuxièmement, les supports représentant la future installation expliquent le morcellement de l analyse et les lacunes dans l analyse des caractéristiques de l organisation des futures activités. Le schéma représentant l installation offre une vision statique de cette dernière. Il ne permet pas de représenter les différents états du système selon les phases de dépotage 7 ou en cas de fausse manœuvre : vannes ouvertes ou fermées, indications d un détecteur Ce schéma a une utilité fonctionnelle : il permet aux acteurs de suivre le cheminement du produit dans les différents organes de la future installation. Cependant, il ne permet pas d anticiper la configuration spatiale de l installation et la manoeuvrabilité du matériel. De ce fait, les acteurs de l équipe projet se représentent difficilement l opérateur en activité. Les distances représentées ne sont pas proportionnelles aux distances réelles entre les appareils ni à leurs dimensions. De plus, le mode de représentation plan ne rend pas compte de l encombrement des installations. Troisièmement, l absence de mode opératoire succinct décrivant l organisation générale du dépotage limite également la prise en compte de l organisation des futures activités pour maîtriser les risques. Si l on connaît la position des différentes vannes et capteurs, on ne sait pas encore exactement à quels opérateurs reviendront les différentes étapes du dépotage. Cette incertitude résulte en partie de l organisation du projet, en particulier de la planification des différentes étapes. En effet, le guide projet prévoit l élaboration du mode opératoire détaillé, plus tard, au moment de la formation des opérateurs, avant le démarrage de l installation. De plus, les exigences réglementaires n imposent pas l élaboration de ces supports à ce stade du projet. Ce document n est pas nécessaire pour présenter l analyse des scénarios dans l étude de dangers contenue dans le dossier de Demande d Autorisation d Exploiter. Cette dernière présente une description simplifiée du futur procédé de dépotage et de ses modalités d utilisation. 7 A une exception près, lors d une réunion de validation d implantation, le chef de projet avait présenté une version simplifiée du schéma à l ensemble des acteurs. Selon leur état, ouvert ou fermé, les vannes étaient représentées en vert ou en rouge. 6

7 Quatrièmement, le statut de ces documents dans le contrôle des installations classées ne favorise pas l analyse de leur conception et de leur usage par les inspecteurs. Les procédures, les check-lists et les modes opératoires associés aux activités d exploitation et de maintenance sont regroupés au sein du SGS (Système de Gestion de la Sécurité) qui fait l objet d une inspection spécifique de la DRIRE. Cependant, cette inspection concerne le caractère formel de l organisation. Il s agit pour les inspecteurs de vérifier que les documents sont à jour et mis à disposition des opérateurs. Ils ne vérifient pas leur usage au cours des activités. Ceci tient en particulier aux limites de leurs ressources pour procéder à de telles inspections et à leurs attributions. En effet, leur charge de travail reste élevée et leurs activités pour une grande partie basée sur l analyse de documents. De plus, de formation scientifique et technique, les inspecteurs ne disposent pas de compétences spécifiques dans le domaine des facteurs humains et organisationnels. Enfin, ils ne disposent pas d outils et de méthodes leur permettant de les prendre en compte. Conclusion : Le projet de modification du poste de dépotage révèle que les concepteurs anticipent la future organisation des activités d exploitation et de maintenance. Cependant, cette anticipation reste lacunaire du fait des principes et de la situation d application de la méthode d analyse des risques. Ces insuffisances sont renforcées par l organisation des réunions d analyse de risques, les supports de conception mobilisés et les modalités de contrôle des documents supportant les activités d exploitation et de maintenance du futur poste de dépotage par l inspection des installations classées. Bibliographie: Bourrier, M. (1999). Le nucléaire à l'épreuve de l'organisation. Paris : Presses Universitaires de France. Heimann, L. (1997). Acceptable Risks, Politics, Policy and Risky Technologies. An Arbor, MI: The University of Michigan Press. Heimann, L. (2005). Repeated Failures in the Management of High Risk Technologies. European Management Journal, Vol. 23, n 1, pp Perin, C. (2005). Shouldering Risks. The culture of Control in the Nuclear Power Industry. Princeton, NJ : Princeton University Press. Perrow, C. (1999a). Normal Accidents, Living with High-Risk Technologies. Princeton, New Jersey: Princeton University Press. (2éme edition avec post-face, 1ère edition, 1984) Perrow, C. (1999 b). Organizing to Reduce the Vulnerabilities of Complexity. Journal of Contingences and Crisis Management, vol.7, n 3, pp Roberts, K.H., Bea, R.B. (2001). When Systems Fail. Organizational Dynamics, Vol.29, n 3, pp Rochlin, G., La Porte, T.R., Roberts, K. (1987). The Self-Designing High-Reliability Organization: Aircraft Carrier Flight Operations at Sea. Naval War College Review, autumn, pp Vaughan, D. (1996). The Challenger Launch Decision. Chicago, IL: The University of Chicago Press. 7