The part that we play

Notre synthèse

Les années 1980 ont vu la compréhension de la causalité (et la responsabilité) des accidents balancer brutalement d’une cause individuelle à une cause plus organisationnelle et systémique. Mais le balancier est sans doute allé trop loin, et cet article réhabilite l’importance de la part individuelle de responsabilité, notamment des ingénieurs, à la fois dans l’accident, mais aussi et peut-être encore plus dans la production de sécurité.
James Reason, figure historique de cette bascule vers les facteurs organisationnels, avait lui-même clairement dit que la sagesse des erreurs en première ligne devait aussi être une défense efficace contre les accidents organisationnels. Il ne préconisait pas de blâmer les travailleurs de première ligne pour les accidents, mais affirmait plutôt qu’une meilleure prise de conscience des dangers pouvait, dans certains cas, pallier les lacunes de l’organisation. Il citait le secteur des soins de santé comme un bel exemple où « bien que les accidents organisationnels trouvent leur origine dans les faiblesses du système, [...] les contre-mesures purement systémiques ne suffisent pas à prévenir les tragédies… La dernière ligne de défense est un médecin ou une infirmière travaillant à proximité du patient ».

Pour d’autres professionnels tels que les ingénieurs, dont la prise de décision est de nature plus collective, il est plus complexe de prendre des mesures pour prévenir une catastrophe.

L’article nourrit ces questions par une revue de littérature complétée par les données obtenues dans dix ateliers, organisés auprès de 93 ingénieurs australiens gaziers réunis autour de la (ré)analyse de 4 cas emblématiques de faillites technologiques. 

• L’accident massif de reconnexion ancien-nouveau réseau de gaz au Massachussetts en 2018, 10 000 abonnés en surpression brutale, 22 morts (Massachusetts network failure),
• La rupture de pipeline en Californie en 2010 par surpression, ayant entraîné un feu gigantesque (San Bruno pipeline rupture),
• La perte de la navette Challenger de la NASA en 1986 (Space shuttle Challenger loss),
• Un accident lors du franchissement de rapides sur une rivière artificielle en Australie 2016, 4 morts (Dreamworld amusement ride failure).

Les ateliers se déroulaient sur une demi-journée, avec deux séances en présentiel d’une heure et demie animées par deux animateurs professionnels. La première partie adoptait une approche par cas-discussion, et la seconde par jeu de rôle. Dans le cas-discussion, les participants se voyaient présenter un court scénario présentant le contexte du problème et les acteurs impliqués. La discussion portait sur un jugement ou une décision réelle, obligeant les participants à se confronter à un problème. Dans le jeu de rôle, les participants se voyaient attribués le rôle de personnes réelles ayant pris des décisions qui avaient contribué au développement de l’accident dans un cas donné.

Les auteurs proposent d’abord un retour sur quelques notions clés dans la littérature

L’éthique de l’ingénieur exposé au dilemme de son professionnalisme versus la culture de l’entreprise à laquelle il appartient

Il n’est pas facile pour les ingénieurs de gérer les contradictions internes entre d’un côté vision éthique, objective et critique sur la qualité de (son) travail dans son entreprise ; et d’un autre côté, le poids des marqueurs de la culture d’entreprise à laquelle cet ingénieur appartient et d’une certaine façon à laquelle il se doit d’adhérer aussi.

Deux exemples soulignent bien ce dilemme. 

En d’autres termes, si les ingénieurs ont la responsabilité d’agir dans l’intérêt de la sécurité, il n’est pas raisonnable d’attendre d’eux qu’ils agissent soudainement à l’encontre de la culture à laquelle ils appartiennent face à une catastrophe imminente. 
Ce point de vue a donné lieu à une importante littérature sur l’échec de la prévention (Turner, 1978 ; Flischhoff, 1975 ; Weick, 1998 ; Woods, 2009), qui peut survenir pour un large éventail de raisons. Cet échec renvoie à des valeurs organisationnelles qui permettent - ou pas - l’expression des points de vue alternatifs et de communiquer régulièrement les mauvaises nouvelles vers le haut, bien avant la veille d’une catastrophe majeure (Hopkins, 2019).

La recherche du coupable

Malgré l’adoption généralisée d’explications des accidents basées sur le système, l’opinion publique fait généralement pression pour qu’un responsable nominatif soit désigné à la suite d’un accident spécifique. 
Dans plusieurs pays (dont la France), la recherche de coupable s’est déplacée vers les cadres supérieurs notamment avec l’introduction de la législation sur la responsabilité pénale des dirigeants d’entreprise pour les homicides involontaires. Ces lois tiennent les cadres supérieurs pour responsables des décès survenus sur le lieu de travail, même si leur prise de décision est éloignée dans le temps et dans l’espace d’un accident spécifique. Les poursuites ont deux rôles : punir et dissuader.
Mais la littérature juridique hésite sur les avantages et les inconvénients de la responsabilité individuelle par rapport à celle de l’entreprise (de la personne morale) en cas d’actes répréhensibles. D’une certaine façon ce débat rejoint un autre débat sur les avantages de la justice pénale (rétributive) qui cherche un coupable, et de la justice distributive (civile) qui cherche une compensation financière.

Assumer sa responsabilité

La responsabilité est une question de perception par un professionnel de ses obligations et de son champ d’influence, indépendamment de la loi.
La littérature sur l’éthique professionnelle en ingénierie défend le fait que les ingénieurs ont la responsabilité d’agir conformément aux règles et aux normes de la profession, y compris d’opérer dans leur domaine de compétence et d’agir honnêtement. Le flou arrive pourtant rapidement sur l’interprétation des frontières de ce périmètre. Autant cette responsabilité couvre naturellement la sécurité, la santé et le bien-être du public dans le cadre de projets ou d’activités techniques spécifiques (Mitcham, 2009), autant le consensus est moindre sur l’impact social plus large des technologies sur lesquelles l’ingénieur peut travailler (Herkert & Borenstein, 2022). 
Alors que certains chercheurs insistent sur le fait que cet impact et la justice sociale doivent être des facettes essentielles du rôle de l’ingénieur, d’autres proposent des cadres d’éthique de l’ingénierie qui semblent plutôt promouvoir la loyauté envers l’entreprise comme valeur professionnelle primordiale.
Les spécialistes décrivent également la responsabilité comme étant située dans le temps, reconnaissant que les ingénieurs devraient agir pour éviter les reproches (responsabilité rétrospective) ou prendre des décisions qui servent l’intégrité à long terme d’un actif (responsabilité prospective). Dans le contexte, il existe une distinction entre les « devoirs » dont les individus sont responsables, tels que le signalement des dangers et des incidents, et une approche plus large de la pratique dans laquelle les acteurs font ce qu’ils doivent faire pour résoudre les problèmes qui ne peuvent pas être complètement codifiés. Ces concepts sont également importants pour l’étude de la responsabilité des ingénieurs dans le contexte de la sécurité publique.

Quelle responsabilité quand l’ingénieur n’est « qu’un » parmi d’autres ?

Que peut faire un ingénieur individuellement pour prévenir un accident industriel par rapport à la nature collective de la pratique de l’ingénierie ? Dans ce qui est communément appelé le problème des « mains multiples » (Thompson, 1980 ; van de Poel et al., 2012), les décisions relatives à la conception et à l’exploitation de systèmes sociotechniques complexes sont réparties entre de nombreux acteurs. La responsabilité de l’ingénierie doit être étudiée et évaluée dans ce contexte. La multiplicité des acteurs peut empêcher les ingénieurs d’apprécier les conséquences négatives potentielles de leurs propres actions. Les spécialistes de l’éthique de l’ingénierie en tirent la conclusion que la pensée systémique des ingénieurs n’est pas seulement une compétence technique, mais qu’elle est également importante pour la prise de décisions éthiques (Riley, 2023). 
Toutefois, cette approche systémique éthique connaît elle-même des limites. Pour reprendre les termes de Perrow (1984), aucune pratique d’ingénierie améliorée mettant l’accent sur la prise de responsabilité en matière de sécurité ne peut rendre totalement sûre une technologie très complexe et étroitement couplée. L’accident « normal » de Perrow reste un vrai risque même si la façon de gérer et éviter ce risque est peu couverte par la littérature, et que le petit nombre d’études empiriques qui abordent cette question semble être principalement axé sur les consultants experts en ingénierie, la relation complexe entre les consultants, leurs clients et les exigences légales en matière de gestion des risques liés à la sécurité et à l’environnement. 

Résultat des ateliers avec les ingénieurs

Les résultats sont regroupés par entrées communes aux 4 cas.

Savoir prendre ses responsabilités

Les participants soulignent le contraste entre une apparente banalité du travail quotidien et le fait de garder une imagination constante sur le risque possible de catastrophe. La parole devient un outil important pour évoquer ces risques et préoccupations un peu cachées, notamment comment s’assurer qu’on a bien tiré les leçons et modifié ce qui était à modifier, et que les points importants ont été communiqués en bonne et due forme au management.
Les 4 accidents étudiés montrent aussi l’importance d’une responsabilité personnelle à ne pas cloisonner dans un entre-soi technique. Il faut rester actif à tous les niveaux, s’assurer que l’ensemble des opérateurs aient bien compris les causes, avec un impact sur la culture y compris au niveau du management exécutif. Les ingénieurs ne peuvent pas rester passifs, il en va de leur professionnalisme et de leur responsabilité.
Le risque bureaucratique est partout, et il revient aussi aux ingénieurs de vérifier que les préconisations ne s’enterrent pas dans la bureaucratie de l’entreprise.
Un autre débat concerne le « niveau de sécurité suffisant » à défendre, et ce qui serait raisonnablement faisable (safe enough) ; il faut reconnaitre que les ingénieurs sont souvent trop prudents et conservateurs et soutiennent des exigences de sécurité souhaitées au-delà du raisonnablement faisable.
Toutes ces postures exigent in fine que la conviction individuelle des ingénieurs soit partagée par le haut management. Même si les ingénieurs ne sont pas passifs, ils doivent comprendre que leur action est toujours bornée, médiée par les traits de la culture de leur entreprise (qu’ils partagent aussi plus ou moins comme employés) et les réalités économiques et politiques du moment.

Savoir partager ses inquiétudes avec les dirigeants

Les participants soulignent qu’il ne s’agit pas juste de faire passer un message ponctuel, mais de trouver une posture de communication continue avec le management exécutif, basée sur la confiance et le temps dévolu à s’expliquer et argumenter des deux côtés. 
Les managers gèrent forcément une palette de risques élargie par rapport aux ingénieurs, mais ils doivent inclure ces risques technologiques dans leurs arbitrages et donc les avoir bien évalués et compris dans leurs conséquences possibles. Pour ce faire, les ingénieurs doivent aller au-delà d’une simple réunion préparatoire sur le risque, parler de solutions, d’alternatives, de conséquences argumentées, bref, être convaincants et compris.
La façon d’exprimer le risque compte. Certains jouent la carte du « faire peur » en rappelant les cas historiques, en énonçant les conséquences les plus extrêmes, le pire qui puisse arriver, avec en retour des mesures demandées de fermeture au moins temporaires. Forcément, le retour et l’adhésion des dirigeants à ces scénarios hypothétiques catastrophiques est plus difficile, tant les conséquences sociales et économiques d’un shut-down préventif peuvent être perçues comme encore plus désastreuses que le risque technologique.
Une autre dimension de l’écoute du management reste la légitimité de la parole d’ingénieur pour parler de problèmes qui ne sont pas uniquement techniques, par exemple le coût humain du travail en conditions dégradées.
Mais l’ingénieur ne peut pas non plus, sauf à discréditer son écoute, ne parler que de catastrophes et faiblesses de tous ordres du système technique ; il vaut à l’évidence mieux se concentrer sur des priorités.
D’autres stratégies peuvent servir de facilitation à l’écoute, par exemple essayer d’amener les cadres dirigeants en visite de site pour leur faire partager et toucher du doigt le risque, ces visites pouvant aussi être des visites sur d’autres sites voire d’autres compagnies qui procèdent différemment (et mieux).
Mais in fine tous reconnaissent que se faire entendre n’est pas simple et peut échouer, et cela renvoie à une certaine maturité de l’ingénieur qui peut en tirer - ou pas - les conséquences pour lui-même et parfois quitter son entreprise devenue sourde à ses remarques.

Prendre confiance pour parler

Il n’est pas toujours facile de parler des problèmes à la direction, surtout si l’on anticipe un accueil froid.
La dimension légale de responsabilité individuelle peut pousser à le faire, de même que la dimension morale. Les jeunes ingénieurs sont forcément plus en difficulté pour parler de ces problèmes que les anciens ; ils sont plus sous l’influence de leur direction pour leur carrière, leur rétribution, mais ont l’avantage de pouvoir avancer des points de vue quasi iconoclastes qui peuvent marquer leurs auditeurs, de même qu’ils sont plus légitimes à demander des explications sous la bannière excusable d’une (fausse ?) naïveté. Inversement, critiquer ou a minima discuter la pertinence des directives de la direction n’est pas simple, mais faisable pour les plus anciens, qui n’ont plus rien à attendre sur leur carrière.
La loyauté est une autre dimension qui renvoie à une éthique complexe des ingénieurs sur leur capacité ou pas à se dissocier de leur direction.

Facteurs environnementaux jouant sur la responsabilité

Le fait d’être affilié à un collège et certifié dans sa spécialité importe pour certains participants, en imposant des valeurs d’éthique aux membres.
Un autre facteur concerne le niveau de stress ressenti au travail, le niveau de surcharge, qui rend moins curieux, plus replié et centré sur les problèmes immédiats du quotidien.
Enfin, le fait d’être vraiment décisionnaire à un niveau quelconque du système est un élément clé d’une sécurité assumée. Ce sentiment de responsabilité dans la prise de décision de sécurité est à l’opposé d’une culture de blâme où les acteurs cherchent tout prétexte pour ne pas s’exposer et éviter les responsabilités. A noter que c’est aussi de la responsabilité de l’ingénieur de participer à la construction et au maintien d’une bonne culture de sécurité.

En conclusion

Les ateliers ont montré que les ingénieurs parlent volontiers de leurs responsabilités professionnelles. Ils reconnaissent que rechercher la responsabilité des ingénieurs après une catastrophe peut faire sens, tout comme ils reconnaissent qu’une de leurs tâches est - autant que possible avec les moyens qui sont les leurs - de prévenir les accidents. 
Même si, dans la littérature, rechercher la responsabilité des ingénieurs après un accident est toujours connoté négativement, les traces du passé peuvent servir de leçon et d’analyse pour construire un cadre et améliorer l’enseignement des pratiques de sécurité, comprendre pourquoi les ingénieurs ont failli ou se sont fait piéger, quelles compétences et/ou organisation ont manqué, y compris dans l’exercice de leurs compétences non techniques à animer les équipes.