CHRISTIAN MOREL

LES DÉCISIONS

ABSURDES II

COMMENT LES ÉVITER

GALLIMARD

Je dédie ce livre aux femmes et aux hommes de l’aéronautique, des professions de santé, de la marine, des forces sous-marines, de la protection civile, des sports de montagne, de la production nucléaire d’électricité, des industries mécaniques et de la production théâtrale, dont les retours d’expériences heureuses ou difficiles ont nourri ma réflexion

Et à mon petit-fils Robinson

Qui pense peu se trompe beaucoup.

LÉONARD DE VINCI,

Carnets.

INTRODUCTION

Vers la fiabilité

La rage de se tromper ne laisse pas de surprendre. Sait-on qu’aux États-Unis, quarante fois par semaine, des médecins se trompent d’individu ou de zone corporelle lors d’une intervention chirurgicale ? Apprenant cette fréquence de la bouche même du président de la Joint Commission américaine, agence fédérale de certification des activités de santé, lors d’une convention sur la fiabilité tenue à Washington en avril 2011, je crus avoir mal compris et lui fis répéter. J’avais bien entendu : aux États-Unis, environ 2 080 erreurs de côté ou d’identité sont commises chaque année dans les salles d’opération. Pour le reste de la planète, on peut évaluer la fréquence de cette erreur absurde à 200 par semaine au minimum, soit 10 400 cas chaque année, alors même qu’une opération est par définition une activité dangereuse et que ceux qui la pratiquent sont sur leurs gardes. Ce seul exemple en dit long sur la propension à se tromper dans l’exercice des activités humaines.

Dans mon ouvrage paru en 2002, Les Décisions absurdes, j’ai identifié et analysé les mécanismes qui conduisent individus et organisations à produire avec constance des erreurs « radicales et persistantes ». Derrière ce que l’on attribue trop souvent à la fatalité se cachent en réalité des décisions dont l’homme est seul responsable. Si les réacteurs 1 à 4 de la centrale nucléaire de Fukushima avaient été construits sur une plate-forme plus élevée, ils n’auraient pas été gravement endommagés. Si les générateurs diesel des réacteurs 1 à 5 avaient été refroidis par air et non par eau, ils auraient continué à fournir de l’électricité. Voici ce qu’en dit Philippe Jamet, commissaire de l’Autorité de sûreté nucléaire française :

Il y a six réacteurs à Fukushima. Les réacteurs 5 et 6 ont été en difficulté à certains moments, mais fondamentalement ils n’ont pas eu trop de problèmes. Pourquoi ? D’abord, parce que la plate-forme sur laquelle ils sont situés est plus haute que la plate-forme des réacteurs 1 à 4. Mais aussi, concernant la tranche 6, parce qu’elle avait un générateur diesel refroidi non par l’eau, comme les diesels des cinq autres tranches, mais par l’air. Donc, non seulement le générateur diesel du réacteur no 6 n’a pas été inondé, mais en plus il a continué à être refroidi et à fournir de l’électricité. Ce qui n’était pas le cas des diesels refroidis par l’eau, étant donné que toutes les pompes à eau étaient hors service1.

Ces cas nous rappellent que se tromper est une constante fondamentale de l’action. Mais certains acteurs sociaux ne restent pas inactifs devant leur penchant pour les décisions absurdes : ils cherchent des solutions et les mettent en œuvre. Du fait de son exposition élevée au risque, l’aéronautique a été et continue d’être particulièrement active dans ce domaine. C’est dans ce secteur économique que sont apparus de premiers anticorps, comme la communication sécurisée, qui désigne le langage standardisé et redondant, la formation aux facteurs humains, la non-punition des erreurs ou les retours d’expérience systématiques. La médecine, confrontée à un taux d’erreurs élevé, avec des cas particulièrement aberrants, comme ceux que nous venons de citer, a engagé une réflexion approfondie sur les « événements indésirables » et initié des processus correcteurs inspirés notamment de l’aéronautique.

Dans le même temps, les sociologues de l’école américaine dite des HRO (High Reliability Organizations)2, ou « organisations hautement fiables », dont nous reparlerons, ont apporté une importante contribution à la solution de ces problèmes en étudiant comment fonctionnent les organisations exposées à de très grands risques. Des catastrophes telles que celles de Three Mile Island, de Tchernobyl, de La Nouvelle-Orléans ou de la navette Columbia après celle de Challenger ont conduit à considérer que le combat livré aux décisions absurdes nécessitait des solutions d’ordre sociologique, et non uniquement technique. Des activités de loisir, comme le ski hors-piste confronté au risque d’avalanches ou l’alpinisme, en viennent à adopter des principes de fiabilité de la décision proches de ceux de la culture aéronautique. Et même des entreprises de biens et de services, comme dans l’automobile, l’électronique grand public ou l’industrie hôtelière, tentent de développer des solutions de fiabilité globales à travers une culture dite de « qualité totale ».

La dynamique de recherche et de mise en œuvre de processus destinés à éviter les erreurs radicales est assez récente. Si, dans l’aéronautique, la communication sécurisée s’est mise en place dès que le pilotage s’est professionnalisé après guerre, la formation des pilotes aux facteurs humains, quant à elle, ne remonte guère au-delà des années 1990. En France, dans l’armée de l’air, la politique de non-punition des erreurs n’a été officialisée qu’en 2006, et c’est tout récemment que la Haute Autorité de santé a adopté le principe de la check-list de bloc opératoire, laquelle n’est devenue obligatoire pour la certification qu’au début de 2010. Les premiers résultats de l’école des organisations hautement fiables datent du milieu des années 1990. Mon ouvrage Les Décisions absurdes a donc paru, en 2002, dans une période d’effervescence à la fois pratique et théorique sur les problématiques de la fiabilité. Celles-ci se sont encore enrichies depuis lors et ont acquis, pour certaines, la maturité.

OBJECTIFS

En prolongeant et en généralisant ces problématiques récentes et diverses, cet ouvrage vise à identifier et analyser de façon synthétique les métarègles de la fiabilité permettant d’éviter les décisions absurdes. J’entends par métarègles les principes généraux d’action ainsi que les processus maîtres et les modes de raisonnement communs qui forment une culture amont, ou modèle, de la fiabilité et sont indispensables à la fiabilité des décisions en aval. Dans la suite de l’ouvrage, j’utiliserai avec la même signification les expressions « métarègles de la fiabilité », « culture de la fiabilité » et « modèle de la fiabilité ».

La première partie est consacrée à des cas exemplaires, positifs ou négatifs, qui mettent en évidence ces métarègles, que la seconde partie reprend et développe de façon globale.

La fiabilité signifie que les décisions et actions sont conformes aux buts fixés. La fiabilité, c’est décider et agir de telle façon qu’un avion de ligne transporte ses passagers en toute sécurité ; qu’une centrale nucléaire délivre l’électricité sans fuite radioactive ; qu’un constructeur automobile conçoive, produise, vende des automobiles attractives et sûres et sauvegarde l’emploi de son personnel ; qu’une troupe d’acteurs rédige collectivement une comédie en vue du succès ; qu’un groupe de randonnée à ski hors-piste ne rencontre pas d’avalanches et revienne sain et sauf.

Mon objectif n’est pas de traiter des méthodes spécifiques, ponctuelles ou locales qui conduisent à la fiabilité. Il existe un très grand nombre d’outils pour cela, à commencer par ceux destinés à assurer la qualité des réunions ou visant à améliorer la sécurité des soins dispensés dans les établissements de santé. Je m’intéresse aux principes constitutifs d’une culture de la fiabilité, principes sans lesquels il est impossible de mettre au point de tels outils.

Les métarègles en amont sont nécessaires en ce que, sans elles, les outils spécifiques en aval sont inopérants. Pour reprendre l’exemple des outils d’aide à la tenue de réunions de qualité, si l’on n’applique pas, en même temps qu’eux, les métarègles du débat contradictoire et de la vérification du consensus, il est impossible d’aboutir à des réunions fiables. Si des chirurgiens continuent à commettre des erreurs de côté alors qu’ils utilisent la check-list de bloc opératoire, c’est parce qu’ils appliquent cette check-list de façon purement formelle et non selon la métarègle qui spécifie de la pratiquer de façon interactive. La méthode Six Sigma3 d’amélioration de la qualité dans les entreprises repose, comme d’autres politiques de qualité totale, sur l’analyse des processus. Mais si cette analyse ne respecte pas les principes amont de la fiabilité, comme le débat contradictoire, la diminution de la pression hiérarchique, l’attention portée aux erreurs de représentation ou le maintien des buts ultimes dans le progrès pas à pas, les processus seront en décalage avec la réalité. La méthode Six Sigma recourt à une cohorte d’animateurs affublés de noms empruntés à l’univers sportif : « champion », « ceinture verte », « ceinture noire », etc. Comme nous le verrons, il faut aussi des « avocats du diable ».

APPROCHES

Le modèle synthétique que je propose incorpore différentes approches de la fiabilité.

Pour construire les métarègles de la fiabilité, je me réfère en premier lieu à l’aéronautique et sa vision globale de la sécurité : c’est une activité exposée au risque et où les accidents, bien que rares, comptent parmi les plus spectaculaires au monde dans un contexte d’extrême complexité. Les principes de l’aviation sont universels, non liés à un procédé technique. Si l’aéronautique a ressenti le besoin de développer la collégialité dans le cockpit, de sécuriser les communications verbales et visuelles et de former aux facteurs humains, il n’y a aucune raison pour qu’un comité de direction d’usine, une équipe de bloc opératoire ou un groupe de randonnée à ski hors-piste n’en tire pas les mêmes profits. Les métarègles de l’aviation appliquées à la médecine de pointe ont révélé leur stupéfiante efficacité. En France, sous l’impulsion du professeur René Amalberti, ancien médecin militaire dans l’armée de l’air, une passerelle a pu être établie entre les politiques de fiabilité de l’aéronautique et la médecine.

Je m’inspire en second lieu de l’approche HRO. Cette appellation recouvre les recherches et conclusions d’un groupe de chercheurs, dont Todd LaPorte, Karlene Roberts et Gene Rochlin ont été les initiateurs en 1984, qui ont adopté une démarche novatrice. Au lieu de s’intéresser aux erreurs et à leurs analyses, ils ont porté leur attention sur ce qui marchait bien. Par exemple, prenant en compte le fait qu’un porte-avions était à la fois l’endroit le plus dangereux au monde et celui où l’insécurité comptait parmi les plus faibles, ils ont passé plusieurs semaines sur deux porte-avions américains à identifier les mécanismes humains qui expliquent un tel degré de fiabilité. Cette approche a été étendue par cette école au contrôle aérien, aux incendies de forêt, aux unités de soins intensifs, etc.

La « sociologie politique des délibérations » est également un élément que je prends en considération dans l’élaboration des métarègles de la fiabilité. Les délibérations sont un élément essentiel des prises de décision. Des auteurs tels qu’Irving Janis, Graham Allison, Bernard Manin ou Philippe Urfalino se sont interrogés sur la fiabilité des délibérations dans les groupes de décision. Janis et Manin sont parvenus à la conclusion qu’un processus d’« avocat du diable » était indispensable pour préserver les délibérations des nombreux effets pervers qui les menacent. Urfalino a mis en cause la validité du consensus en proposant le concept de « consensus apparent ». La décision calamiteuse d’autoriser le lancement de la navette Challenger, en janvier 1986, a été le résultat d’une délibération dans laquelle l’absence d’avocat du diable et un consensus apparent, qui s’est en fait révélé inexistant, ont joué à fond.

Une approche de la fiabilité que je prends par ailleurs en compte est la « formation aux facteurs humains ». Celle-ci vise avant tout à optimiser le fonctionnement des groupes opérationnels sur les plans à la fois psychologique et sociologique. Appelée en aéronautique CRM (Crew Resource Management), elle peut s’appliquer, en principe, à toute forme d’organisation. Quand on sait que la formation aux facteurs humains a accéléré à elle seule de moitié la décroissance de la mortalité chirurgicale dans les hôpitaux américains qui l’ont adoptée, je crois que l’on ne peut plus la considérer comme accessoire. Au contraire, elle doit être d’autant plus intégrée comme métarègle d’un modèle global de la fiabilité qu’elle interagit fortement avec les autres métarègles du modèle. La formation aux facteurs humains dans l’armée de l’air française, par exemple, se nourrit des retours d’expérience et de la non-punition des erreurs qui permet ces retours. Par le biais de séminaires de terrain, comme une base aérienne, cette formation conduit à des améliorations substantielles de la sécurité.

Une cinquième approche que j’intègre à mon modèle de fiabilité relève de la linguistique et de la sémiologie. La métarègle que j’en tire et que j’appelle « renforcement linguistique et visuel des interactions » est relativement simple. Elle renvoie tout aussi bien aux check-lists et aux confirmations verbales de type « bien reçu », qu’aux étiquettes utilisées par le management japonais, au marquage du côté à opérer, aux redondances écrites, aux verbalisations contrôlées, etc. Cette dimension du langage est étonnamment ignorée par la plupart des approches de la fiabilité actuelles, alors même qu’il s’agit, selon moi, d’une dimension stratégique essentielle. Dans la période récente, on s’est rendu compte que, associées aux blocs opératoires des hôpitaux, elles pouvaient réduire à elles seules de moitié la mortalité chirurgicale. Un guide de haute montagne, également chercheur en nivologie, a estimé qu’elles étaient le moyen de lutte le plus efficace contre le risque mortel pour les randonnées exposées au risque d’avalanche. Diane Vaughan, auteur d’un livre de référence sur la catastrophe de Challenger4 et qui a revisité son étude dans un article postérieur5, aboutit à la conclusion que la faiblesse des signaux d’alerte, à la fois linguistiques et visuels, émis en direction des décideurs n’a pu empêcher la décision de lancement de la navette et la catastrophe subséquente. Elle invite en conclusion les organisations à former leurs membres « à produire des signaux précis et clairs qui puissent transmettre de manière adéquate les dangers propres à une situation6 ». Le fait que l’auteur revienne sur cette catastrophe, après trois ans de réflexions, pour placer la question de la faiblesse des signaux devant beaucoup d’autres illustre l’importance du sujet.

Une autre perspective que j’insère dans mon modèle et qui fait généralement défaut dans les travaux sur la fiabilité est la « non-punition des erreurs » en vue de leur connaissance. Apparue dans l’aéronautique, où elle est devenue un principe généralisé et parfaitement explicite, y compris dans l’armée de l’air, sa diffusion dans d’autres contextes reste faible, et elle commence seulement à percoler dans les hôpitaux. Il s’agit pourtant d’un principe essentiel.

Au modèle classique de la fiabilité, j’ajoute encore une approche, celle de la « rationalité », c’est-à-dire les modes de raisonnement qui gouvernent la décision et l’action. On est ici au croisement de la psychologie, des sciences cognitives et des valeurs : comment réfléchir dans une organisation hautement fiable ? Des façons de raisonner liées à la fiabilité sont fortement présentes dans certains milieux. Par exemple, le risque de « destinationite », de « fascination de la cible », de « comportement balistique », autant d’expressions qui traduisent l’entêtement sur une décision, est fortement présent dans la conscience collective d’activités comme l’aéronautique. Dans certaines équipes, on évoque spontanément des « tunnels », des « angles morts », des « éléphants blancs » pour désigner le risque d’erreurs de représentation. Mais dans bien des groupes et organisations, l’idée que l’on puisse s’obstiner dans un aveuglement absolu fait totalement défaut à la conscience collective.

Un dernier point important doit être précisé. Ma démarche est avant tout sociologique mais, comme je cherche à pointer ce qui « marche », je suis en outre normatif. C’est également la démarche de l’école des organisations hautement fiables. La « sociologie du vrai », quand elle porte son regard sur les mécanismes humains et collectifs qui réussissent, est aussi une « sociologie du bien ». Mais cette « sociologie du bien » n’est pas une construction ex nihilo. Elle s’alimente ici aux sources de la « sociologie du vrai ».

SOURCES

En plus de mon expérience d’une trentaine d’années dans de grands groupes industriels — j’ai notamment tenu le poste de responsable de la qualité totale de la fonction ressources humaines chez Renault pendant plusieurs années —, j’ai mis à contribution les sources suivantes :

— Publications académiques sur la sécurité, la sûreté, la fiabilité, la qualité dans l’aéronautique, la marine, les transports terrestres, la médecine, les centrales nucléaires, l’industrie, le management, le ski hors-piste.

— Rapports d’enquête et audits concernant des accidents relatifs à la conquête spatiale, l’aéronautique et la navigation sous-marine.

— Entretiens ponctuels, parfois accompagnés de visites ou d’observations directes, avec des acteurs dans les branches de l’aéronautique civile et militaire, la marine nationale, notamment sous-marine, la médecine hospitalière (chirurgie, anesthésie-réanimation), le management d’usine, la production nucléaire d’électricité et la production théâtrale.

Je ferai deux remarques concernant ces sources. Première remarque, la transparence relative aux problèmes de fiabilité est, dans certains domaines, beaucoup plus grande que ce à quoi l’on s’attendrait ; c’est là une mine pour le sociologue. Par exemple, on trouve sur Internet quantité de rapports, notamment le NASA/Navy Benchmarking Exchange, comportant plusieurs centaines de pages, dont seules quelques-unes ont été censurées, dans lequel la NASA compare son organisation et ses processus à ceux de la Marine américaine. On trouve également sur Internet non seulement tous les rapports d’enquête sur les catastrophes aériennes, mais aussi les accidents qui sont survenus dans l’armée de l’air française ou le programme détaillé de formation aux facteurs humains de l’US Air Force. Cette transparence inattendue a pour origine la législation américaine elle-même, qui oblige les informations financées sur fonds publics à être accessibles à tous les citoyens, mais aussi le principe de large diffusion des retours d’expérience dans l’aéronautique qui, par contagion, a entraîné une transparence inhabituelle des informations concernant les forces aériennes. Dans d’autres cas, comme l’enquête sur la fausse accusation d’espionnage chez Renault et celle sur la catastrophe d’AZF, pour ne citer que deux exemples, l’information sur les événements indésirables est beaucoup moins facile à obtenir. Sans aller jusqu’à parler de rétention d’information, celle-ci est beaucoup moins aisément consultable.

Ma seconde remarque est que la qualité des informations sur les accidents est très variable d’une enquête à une autre. Ainsi la prise en compte des facteurs humains dans les accidents comporte-t-elle des disparités. Le rapport sur la désintégration de la navette spatiale Columbia comprend tout un chapitre sur les facteurs humains relatifs aux prises de décision. En France, le BEAD-air (Bureau enquêtes accidents Défense-air), qui dispose d’une forte tradition psychosociologique, porte une grande attention aux facteurs humains, alors que le BEA (Bureau d’enquêtes et d’analyses pour la sécurité de l’aviation civile), composé uniquement d’ingénieurs, ne leur consacre qu’une place modeste. Plus généralement, les enquêtes du NTSB (National Transportation Safety Board) américain et de son homologue canadien le BST (Bureau de la sécurité des transports du Canada) se révèlent d’une rare qualité, et leurs monographies surpassent bien des productions académiques, caractéristiques que l’on n’observe pas toujours dans les enquêtes d’autres domaines.

1.  Philippe JAMET, « Fukushima a montré que l’improbable est possible », entretien avec Cécile Klingler, La Recherche, no 453, juin 2011.

2.  Parfois traduit en français par HFO (haute fiabilité organisationnelle).

3.  Méthode initiée par Motorola pour favoriser la qualité des processus de décision.

4.  VAUGHAN, 1996.

5.  ID., 2001, pp. 228-230.

6.  Ibid., p. 229.

Première partie

DES DÉCISIONS ABSURDES

AUX DÉCISIONS FIABLES

1

La loi du cockpit

Dans l’aéronautique, les erreurs de décision sont rares, mais, lorsqu’elles surviennent, elles se révèlent souvent dévastatrices. Pour les éviter, cette profession a été incitée à repenser radicalement ses façons d’agir. Cela l’a conduite à inventer des modes d’organisation novateurs, comme la collégialité dans le cockpit, la non-punition des erreurs et la formation systématique aux facteurs humains.

LA HIÉRARCHIE DANS LE COCKPIT

ET SES EXCÈS

Le cockpit est un bon révélateur des atouts du travail en équipe et des effets catastrophiques de son absence, quand la hiérarchie prend le pas sur la coordination. Al Haynes, commandant de bord du vol United Airlines 232, accidenté à Sioux City le 19 juillet 1989, a réussi à sauver de nombreuses vies grâce à la collégialité qu’il a pratiquée dans le cockpit. Deux ans après l’accident, il déclarait : « Jusque vers 1980, on travaillait avec l’idée que le commandant de bord était le seul maître à bord : on faisait ce qu’il nous disait, et voilà tout. On a perdu un certain nombre d’appareils à cause de ça1. »

Diverses sources mettent ce constat en évidence. Je ne retiendrai ici qu’une enquête de l’agence américaine de sécurité des transports, un combat anticipateur mené par Thomas E. Lawrence, dit Lawrence d’Arabie, et la fréquence exceptionnelle des accidents de la compagnie d’aviation Korean Air (autrefois Korean Airlines) jusqu’au début des années 2000. Dans la seconde partie du livre, je généralise ce principe d’effacement de la structure hiérarchique sous l’expression de « hiérarchie restreinte impliquée ».

Une étude sur les problèmes de hiérarchie dans le cockpit

L’agence de sécurité des transports des États-Unis s’est penchée sur les accidents d’avion des compagnies américaines entre 1978 et 1990 et a retenu ceux dans lesquels l’erreur humaine constituait la cause principale ou fortement contributive. Elle en a dénombré trente-sept, dont vingt-trois se sont soldés par la perte de vies humaines2. Le résultat le plus remarquable de cette enquête concerne le grade du pilote aux commandes.

Les avions de ligne sont pilotés par un équipage comprenant deux pilotes, le commandant de bord et le copilote. Les tâches sont alternées. Pour la moitié du temps environ, c’est le commandant de bord qui pilote (le terme technique est « pilote en fonction »), tandis que le copilote gère les communications radio et quelques autres éléments. Pour l’autre moitié, la répartition des rôles est inversée. L’enquête révèle que, dans trente des trente-sept accidents concernés, c’était le commandant de bord, et non le copilote, qui était le pilote en fonction. Les auteurs de l’enquête ont affiné le résultat en excluant, parmi ces trente accidents, ceux où il était prévu ou normal que le commandant soit en fonction. Il est resté un solde de quinze accidents où le pilote en fonction aurait pu être aussi bien le copilote que le commandant de bord. Or, loin de trouver une répartition proche de 50-50 du nombre d’accidents d’avions pilotés soit par le commandant soit par le copilote, dans la quasi-totalité d’entre eux, soit treize, le pilote en fonction était le commandant de bord. Même si le petit nombre de cas ne permet pas de déduire des pourcentages fiables, une tendance que les enquêteurs jugent réelle se fait jour : un accident a plus de chance de survenir quand celui qui est aux commandes de l’appareil est le commandant de bord plutôt que le copilote.

Bien évidemment, l’explication de ce phénomène n’est pas que les commandants de bord sont moins performants que les copilotes. C’est généralement le contraire : ils ont plus d’expérience et ont réussi plus d’examens sévères. Le mécanisme est d’ordre purement sociologique. Quand le pilote en fonction est le commandant, s’il se trompe, il est difficile au copilote de le lui dire et de rectifier l’erreur ; dans la situation inverse, corriger le copilote ne pose aucun problème au commandant. Ce mécanisme est confirmé par les données des vols enregistrées : dans le schéma où le commandant de bord est en fonction, le cockpit a tendance à être plus silencieux, moins interactif que dans le schéma inverse. Un exemple concret en est fourni par l’atterrissage manqué du vol Air France 358 à Toronto, en août 2005, alors qu’une remise des gaz était nécessaire. Selon les procédures en vigueur à cette date, seul le commandant de bord pouvait la décider. On comprend qu’avec une telle règle un commandant de bord ignorant qu’une remise des gaz était nécessaire avait moins de chances de se faire corriger par son copilote que dans le cas contraire. Cette politique a été modifiée par Air France depuis l’accident pour mettre les deux pilotes à égalité3.

Ce résultat souligne à quel point la hiérarchie doit s’effacer dans le cockpit. L’étude du NTSB citée plus haut4 esquisse une solution. Il s’agit de donner un rôle plus actif au pilote qui n’est pas en fonction, par exemple en lui demandant d’anticiper et confirmer à haute voix les actions du pilote en fonction ; en anglais on parle de monitoring. Cette pratique est en usage dans certaines compagnies. Les auteurs de cette étude concluent sur un paradoxe : la situation la plus sûre est celle où le pilote en fonction est le copilote, le commandant de bord assurant le monitoring, ce qui équivaut à une quasi-inversion de la hiérarchie.

L’effacement de la hiérarchie s’observe ailleurs que dans le cockpit. En France, sur les bases aériennes, l’officier de sécurité des vols, qui ne possède pas nécessairement un grade élevé, a ainsi le pouvoir d’annuler des vols prévus sans en référer au commandant de la base. Au cours d’un entretien avec un officier supérieur de l’armée de l’air en février 2011, celui-ci m’a confié : « J’ai vu une fois un officier de sécurité des vols jeter par terre toutes les fiches qui annonçaient les vols de la journée sur le présentoir accroché au mur ! Une autre fois, un haut gradé de l’état-major est venu pour une démonstration. Il a dit à l’officier de sécurité des vols que sa présence ne devait pas l’empêcher d’annuler des vols si nécessaire. » Autre exemple, au moment du lancement d’une fusée Ariane, trois techniciens ont pour mission d’annuler toute la procédure en cas de problème. Afin qu’il n’y ait aucune interférence de la hiérarchie, ils sont placés dans un local isolé et sont privés de tout moyen de communication, y compris du téléphone. On s’assure de la sorte que leur décision ne risquera pas de se trouver perturbée par la tentation d’en référer au management ou par des interventions directes de ce dernier. La forte atténuation de la hiérarchie est ici intégrée matériellement dans la configuration du système de décision.

Quand Lawrence d’Arabie militait contre la pression hiérarchique dans le cockpit

Après son rôle dans la révolte arabe puis en Afghanistan, le lieutenant-colonel Lawrence exerça au sein de la Royal Air Force des responsabilités dans l’organisation des sauvetages des équipages d’hydravion. Comme le rapportent ses biographes, Phillip Knightley et Colin Simpson, il a assisté, le 4 février 1931, à un grave accident d’hydravion :

L’Iris S 238 rentrait à la base, ayant effectué son premier vol après révision. Il y avait douze hommes à bord et le wing commander C.G. Tucker était aux commandes de l’appareil avec, comme pilote, le flight lieutenant M. Ely. Tucker, excellent pilote d’avion, n’avait aucune expérience des hydravions et il était en stage d’instruction ; par contre, Ely possédait une grande habitude du pilotage de ces machines. Mais il n’était que capitaine et Tucker lieutenant-colonel. La journée était belle, ensoleillée, la mer calme et le vent faible. Vers 11 h 30, l’Iris s’apprêtait à amerrir. Lawrence, debout sur le quai à Mount Batten, observait l’appareil qui sortait de la brume légère, dessinait un cercle au-dessus de sa tête. Il volait normalement. Tucker réduisit les gaz et raccourcit sa descente comme pour amerrir. Puis l’avion frappa l’eau, juste sous le siège du pilote, à l’avant près de l’étrave. La queue de l’appareil tomba à gauche ; les ailes s’écrasèrent sur l’eau et se replièrent. La coque plongea droit au fond5.

Neuf personnes périrent dans ce crash, dont le lieutenant-colonel Tucker. L’enquête a révélé que l’accident était clairement dû à un excès de hiérarchie dans le cockpit. « Lorsque l’appareil se préparait à amerrir, raconta Ely, il [Ely] avait essayé par deux fois de prendre les commandes, mais Tucker avait résisté6. » À la seconde tentative, le capitaine Ely avait même frappé sur les mains de son supérieur hiérarchique pour lui faire lâcher prise.

Lawrence, révolté, engagea un combat pour rendre le cockpit stérile à l’égard des interférences hiérarchiques :

Lawrence, avec cette intelligence qui lui faisait aller à l’essentiel, vit immédiatement que c’était un principe autrement important qui se trouvait remis en jeu. En vol, le commandement devait être confié au pilote et à lui seul, sans tenir compte du grade. Ainsi on ne courrait plus le risque de voir un supérieur, parfois inexpérimenté, se couvrir de l’autorité conférée par ses galons pour prendre le commandement et mener appareil et équipage à une triste fin7.

Lawrence utilisa ses relations et sa notoriété pour promouvoir auprès du ministère de l’Air britannique le principe de l’effacement de la hiérarchie devant la compétence. Des réformes prirent en compte officiellement ce principe.

Il est extraordinaire de constater que, dès le début des années 1930, l’effet destructeur de l’autorité formelle dans le pilotage aérien a été mis en évidence et pris en compte — qui plus est par un personnage illustre. Mais il faudra encore bien des années et bien des accidents et incidents pour que le principe du cockpit « collégial » devienne un pilier de la sagesse aéronautique civile et militaire partout dans le monde. Encore récemment, une situation similaire s’est produite dans un appareil militaire. Fort heureusement, le pilote en fonction, junior et peu gradé, a fini par s’opposer à son passager officier général, et la catastrophe a été évitée de justesse. Mais la fin n’est pas toujours heureuse. Le crash de l’avion présidentiel polonais à Smolensk, le 10 avril 2010, n’a eu pour origine, selon toute vraisemblance, ni l’état de l’avion ni une défaillance du contrôle aérien, mais une pression psychologique exercée par le président Kaczynski et son directeur du protocole diplomatique Mariusz Kazana sur l’équipage pour atterrir en dépit d’une visibilité insuffisante. Cela ressort nettement des conversations dans le cockpit. Le pilote a répondu au contrôle aérien qui l’informait de la mauvaise visibilité : « Si nous n’atterrissons pas ici, je vais avoir des problèmes à cause de lui8. » Au moment où l’on annonce au pilote que la visibilité a chuté à 200 m et qu’il devrait remettre les gaz, on entend dans le cockpit : « Il va devenir furieux si… » Kaczynski et Kazana, qui le représentait dans le cockpit, n’avaient à l’évidence pas lu Les Vies secrètes de Lawrence d’Arabie. Les responsables de Korean Air non plus, comme nous allons le voir.

La hiérarchie dans le cockpit et la série de crashs chez Korean Air

La compagnie coréenne Korean Air, créée par un conglomérat dans les années 1960, a connu un taux considérable d’accidents jusqu’à la fin des années 1990. La seule décennie 1990 a connu douze accidents graves entraînant la mort de 750 personnes ; les plus retentissantes de ces catastrophes furent celles d’un Boeing 747 qui heurta un relief en approche de Guam, en août 1997, entraînant la mort de 229 personnes, et d’un Boeing 747 de transport de fret parti en piqué après le décollage à l’aéroport de Londres Stansted en décembre 1999, provoquant la disparition de l’équipage. Au cours des vingt mois qui ont suivi l’accident de Guam, quatre autres appareils se sont crashés. En 1998, sur une période de deux mois, pas moins de sept accidents sont survenus à l’atterrissage9. En 1999, faisant suite à cette série noire de problèmes de sécurité, Delta et Air France, qui partageaient des lignes en code-share avec la compagnie sud-coréenne, ont rompu leur partenariat avec elle.

Les enquêtes ont mis en évidence qu’un facteur contributif récurrent à tous ces accidents était l’excès de hiérarchie dans le cockpit, un subordonné n’osant ou ne pouvant pas corriger l’erreur de pilotage d’un plus gradé que lui. Dans les crashs de Guam et de Stansted, il est évident que le copilote avait conscience des erreurs du commandant de bord, mais qu’il n’avait rien osé dire. L’enquête du NTSB américain sur la catastrophe de Guam le souligne sans détour :

Bien que le copilote ait correctement déclaré l’approche interrompue six secondes avant l’impact, il a échoué à mettre en cause les erreurs commises par le commandant de bord plus tôt lors de l’approche, quand celui-ci aurait eu plus de temps pour réagir. Le Bureau de la sécurité conclut que le copilote et l’officier mécanicien ont manqué de suivre et/ou mettre en cause correctement la performance du commandant de bord, ce qui fut une cause de l’accident10.

Dans le crash de Stansted, le dialogue dans le cockpit révèle de façon effrayante les propos méprisants du commandant à l’égard du copilote et le silence progressif de ce dernier, jusqu’à ne plus rien oser dire quand son supérieur commet une lourde erreur : à partir des analyses du voice cockpit recorder et des données de vol, le rapport officiel conclut que le copilote aurait dû parler à cet instant mais qu’il ne l’a pas fait, vraisemblablement empêché par l’inhibition. Parmi les remarques blessantes du commandant, citons les suivantes11 : « La prochaine fois, tu t’assureras que tu as compris ce qu’a dit le contrôle et tu leur répondras brièvement » ; dix secondes plus tard : « Tu ne me fournis pas des indications assez précises pour rouler exactement sur la ligne centrale du taxiway ! » ; huit minutes plus tard : « Je t’ai dit que tu n’avais pas besoin de faire de longs discours […]. Tu leur dis “Roger” et ça suffit ! » — en réalité, le copilote ne fait que respecter les règles linguistiques. Le commandant commet alors deux erreurs de pilotage, car il n’enregistre pas le mauvais fonctionnement de son horizon artificiel. Le copilote, qui dispose, lui, des bonnes indications, ne réagit pas. Il opine au contraire d’un « Oui, Monsieur » à l’intention erronée du commandant, alors qu’il essaie quelques instants après de corriger discrètement la manœuvre de son chef. Lorsque l’appareil part en piqué et qu’il serait encore un court instant possible de le redresser, le copilote reste silencieux. Ce dernier, « sonné par les reproches qui lui ont été adressés », n’a pas osé « parler de peur de se voir rembarré »12.

En plus de la hiérarchie structurelle, les cockpits de Korean Air devaient subir une hiérarchie traditionnelle fondée sur l’ancienneté. Suite aux catastrophes en série de la compagnie, un audit13 a été effectué en 1998 à la demande des autorités américaines. Il indique un cas où le commandant de bord demande un dégivrage avant un décollage d’Anchorage. L’officier mécanicien de bord s’y oppose pour un motif erroné, mais, au titre de son ancienneté supérieure à celle du commandant, se déclare insulté par l’insistance de ce dernier. À la suite de l’incident, alors que les échanges devraient être intensifs dans le cockpit, un silence glacial y règne pendant tout le vol, le copilote n’osant pas intervenir.

L’audit révèle en outre une perversion à peine croyable de la hiérarchie, fondée cette fois sur la nationalité, la compagnie employant un certain nombre de pilotes étrangers. Lors des séances de formation au pilotage, quand les questions de sécurité étaient abordées, les pilotes non coréens devaient sortir de la salle ! On obtenait alors des situations abracadabrantes décrites par l’audit, à l’image de celle-ci :

Quand le commandant de bord demande au copilote de faire quelque chose, par exemple un déroutement pour raisons météo, le copilote va vérifier avec l’officier mécanicien pour obtenir son accord. Aux yeux du copilote, le mécanicien est plus haut placé dans la hiérarchie qu’un commandant étranger ou, en la matière, qu’un commandant coréen nouvellement embauché14.

L’audit souligne aussi l’importance des contraintes traditionnelles liées à la hiérarchie :

Les membres d’équipage, particulièrement sur les Boeing 744 et 777 et sur les Airbus A330, sont supposés développer leur relationnel avec le commandant de bord lors des pauses. Cela inclut l’obligation de consommer de l’alcool avec lui, même s’ils n’en ont pas envie, ainsi que l’achat et la préparation de repas et l’achat [sur sollicitation] de « cadeaux » pour lui. Cela provoque un ressentiment considérable de la part des membres d’équipage. Le ressentiment est un facteur substantiel de rupture de la communication à bord et est évidemment un obstacle à toute forme de développement de la synergie dans le cockpit. Toute protestation contre de telles exigences a un effet destructeur sur la carrière des membres d’équipage15.

L’audit avait aussi relevé l’impossibilité d’exprimer des suggestions au sein de l’organisation, les condamnations systématiques en cas d’erreur, les carrières fondées sur les relations et non le mérite, enfin le cloisonnement des activités dans le cockpit, notamment l’absence de contrôles croisés (cross-checking) et de suivis en arrière-plan du pilote aux commandes par le ou les autres membres de l’équipage (monitoring).

Des facteurs culturels et organisationnels tels que la tradition asiatique, l’origine militaire du personnel et la nature patriarcale de l’entreprise expliquent tous ces dysfonctionnements. Au début des années 2000, Korean Air, traumatisée, a pris un virage à 180 o. Sous l’impulsion du fils du fondateur, formé aux États-Unis, et d’un directeur général des opérations américain, elle a modernisé radicalement son fonctionnement humain sur la base des standards des meilleures compagnies aériennes mondiales : formation aux facteurs humains, promotion au mérite, priorité aux communications, principe de non-punition des erreurs, corrections systématiques des déviations par rapport aux procédures. Aujourd’hui, Korean Air est classée dans le groupe des compagnies aériennes les plus sûres par l’organisme indépendant de notation Securvol. Elle compte parmi les membres fondateurs, en 2000, de l’alliance Skyteam.

LA POLITIQUE DE NON-PUNITION

L’objectif de la non-punition des erreurs est d’inciter les acteurs à ne pas cacher, par peur des sanctions, des informations déterminantes pour éviter la reproduction de ces erreurs. Cette politique a été inaugurée dans l’aéronautique. Nous allons la décrire ici. Nous y reviendrons dans la seconde partie de l’ouvrage pour l’approfondir, la caractériser et la généraliser comme un des fondements de la haute fiabilité.

Le principe de la non-punition des erreurs a pour origine une expérience dramatique et spectaculaire : l’accident du vol TWA 514 du 1er décembre 1974 qui a provoqué la mort de tous les passagers et membres d’équipage16. L’avion se trouvait sur une route inhabituelle en approche de l’aéroport de Dulles aux États-Unis. Il s’est écrasé en heurtant une colline en raison d’un malentendu dans la formulation « approche autorisée » (cleared for the approach). Pour le contrôleur, cela voulait dire que l’équipage, étant sur une route inhabituelle, restait responsable de l’altitude ; dans l’esprit des pilotes, cela signifiait au contraire que la surveillance de l’altitude était prise en charge par le contrôle. Ce problème de formulation avait déjà causé des incidents, particulièrement à Dulles, en raison du relief. Six semaines avant le crash, un avion de ligne d’une autre compagnie s’était déjà trouvé dans cette situation : trajectoire inhabituelle, autorisation d’approche et malentendu sur le sens de la formulation « approche autorisée ». Il avait évité de justesse la colline, et les pilotes avaient signalé l’erreur à leur compagnie : l’autorisation d’approche, en cas de route non standard, ne voulait pas dire que la prise en charge de l’altitude était effectuée par le contrôle aérien. La compagnie avait prévenu ses pilotes, mais l’alerte, par crainte de conséquences pénales ou administratives — à cette époque, un pilote pouvait perdre sa licence pour une approche déviante —, n’avait pas été diffusée à la FAA (Federal Aviation Administration), l’organisme américain chargé de la réglementation et du contrôle de l’aviation, et donc aux autres transporteurs17. La reproduction dramatique de cette erreur à la TWA a provoqué un traumatisme dans les milieux aéronautiques. Cela les a conduits à réagir radicalement.

En 1976, la FAA a créé l’Aviation Safety Reporting System (ASRS)18, un organisme non répressif de collecte des erreurs et de diffusion des connaissances tirées de ces erreurs. L’immunité est garantie par plusieurs verrous, en plus de l’anonymat. L’une des fonctions de la FAA étant disciplinaire, elle a confié à un tiers, la NASA, la gestion du système afin d’éviter tout risque d’interférence avec la politique de non-punition. De plus, en cas d’identification possible des « coupables », l’organisme a officiellement le droit de procéder à une « anonymisation » supplémentaire afin qu’aucun détail ne permette d’identifier les pilotes. Dans ce cas, l’ASRS modifie le cas en maquillant des informations non essentielles. L’ASRS reçoit plus de trente mille rapports d’erreur par an ; grâce à cela, cette agence a diffusé quatre mille alertes de sécurité aérienne depuis sa création. Une politique similaire a été mise en œuvre dans de nombreux pays. La non-punition est une pratique aujourd’hui répandue dans l’aviation. L’annexe 13 de la convention de l’Organisation de l’aviation civile internationale (OACI) l’a promulguée officiellement : « L’enquête sur un accident ou un incident a pour seul objectif la prévention de futurs accidents ou incidents. Cette activité ne vise nullement à la détermination des fautes ou des responsabilités19. » Elle ajoute : « Le système volontaire de comptes rendus d’incidents sera non punitif et assurera la protection des sources d’information20. »

1.  HAYNES (je traduis).

2.  NTSB, 1994.

3.  BST, 2005, p. 129.

4.  NTSB, 1994.

5.  KNIGHTLEY et SIMPSON, pp. 358-359. Je remercie Berty Turquier de m’avoir parlé de cette histoire.

6.  Ibid., p. 359.

7.  Ibid.

8.  PELLETIER.

9.  SPAETH.

10.  NTSB, 1997, p. 147 (je traduis).

11.  Les éléments de dialogue sont tirés d’OTELLI, 2008, pp. 15-25. Cf. aussi AAIB.

12.  OTELLI, 2008, p. 25.

13.  KOREAN AIR.

14.  Ibid., p. 22 (je traduis).

15.  Ibid. (je traduis).

16.  NTSB, 1975.

17.  Ibid., pp. 24-30.

18.  Voir le site Internet de cet organisme (http://asrs.arc.nasa.gov/index.html).

19.  OACI, 2001, p. 3.1.

20.  Ibid., p. 8.1.

GALLIMARD

5, rue Gaston-Gallimard, 75328 Paris cedex 07

www.gallimard.fr

© Éditions Gallimard, 2012.

Dix ans après Les Décisions absurdes, Christian Morel reprend son enquête où il l’avait laissée et se penche sur l’émergence, dans des univers à haut risque, de dynamiques visant à favoriser la décision éclairée. Renouant avec une marque de fabrique qui a fait ses preuves, il met à contribution des cas d’école saisissants, allant des cockpits des avions aux sous-marins nucléaires, en passant par les randonnées hivernales en haute montagne.

Pour n’en donner que quelques exemples, l’auteur montre que le débat contradictoire a été déterminant pour la fiabilité des réacteurs nucléaires de la Marine américaine, que l’introduction d’une check-list de bloc opératoire a réduit la mortalité chirurgicale dans des proportions considérables ou que l’armée de l’air ne sanctionne plus les erreurs pour faciliter la remontée d’informations.

À partir de ces expériences, Christian Morel esquisse ce qu’il appelle des « métarègles de la fiabilité », synthèse de lois sociologiques et de prescriptions cognitives, comme la formation aux facteurs humains, les politiques de non-punition, les processus d’avocat du diable ou l’interaction généralisée. La sociologie des décisions hautement fiables qu’il propose va à l’encontre des idées reçues et s’applique, par sa vision étendue, à toute activité.

Christian Morel a publié dans la même collection Les Décisions absurdes. Sociologie des erreurs radicales et persistantes (2002) et L’Enfer de l’information ordinaire (2007).

Cette édition électronique du livre Les Décisions absurdes II. Comment les éviter de Christian Morel a été réalisée le 01 août 2013 par les Éditions Gallimard.

Elle repose sur l'édition papier du même ouvrage (ISBN : 9782070135080 - Numéro d'édition : 185089).

Code Sodis : N49971 - ISBN : 9782072450150 - Numéro d'édition : 208527

Le format ePub a été préparé par ePagine
www.epagine.fr
à partir de l'édition papier du même ouvrage.