HIPO en HSE : pourquoi vos “presque accidents” sont vos plus grands risques
“On a eu de la chance” : le point de départ d’un aveuglement
“On a eu de la chance.”
Cette phrase, en apparence anodine, est l’une des plus révélatrices des limites de notre manière d’appréhender le risque.
Sur le terrain, elle survient presque toujours après coup.
Après un objet tombé sans conséquence.
Après une erreur sans impact.
Après une situation dangereuse évitée de justesse.
Elle marque la fin de l’événement.
Elle soulage.
Elle rassure.
Elle permet de passer à autre chose.
Et pourtant…
C’est souvent à partir de ce moment précis que commence l’aveuglement.
En santé et sécurité au travail, nous avons longtemps structuré notre analyse autour des conséquences observées : nombre d’accidents, gravité des blessures, indicateurs de fréquence. Cette approche, nécessaire pour piloter et comparer, présente néanmoins une limite majeure : elle focalise l’attention sur ce qui s’est produit… au détriment de ce qui aurait pu se produire.
Or, du point de vue du risque, cette distinction est fondamentale.
Deux situations identiques peuvent conduire à des issues radicalement différentes :
dans un cas, un accident grave ;
dans l’autre, aucune conséquence.
Ce qui les différencie ne relève pas toujours de la maîtrise du système, mais souvent d’un facteur beaucoup plus incertain : la chance.
C’est précisément dans cet espace, entre ce qui s’est passé et ce qui aurait pu se passer, que se situent les événements à fort potentiel de gravité, plus communément appelés HIPO (High Potential Events).
Ces événements ont une caractéristique particulière : ils ne produisent pas nécessairement de dommage…
mais ils exposent les personnes à un niveau de risque potentiellement critique, voire fatal.
Autrement dit, ils ne se définissent pas par leurs conséquences, mais par leur potentiel de gravité.
Ne pas reconnaître cette distinction revient à adopter une lecture incomplète du risque.
Car derrière un événement qualifié de “mineur” se cache souvent une réalité beaucoup plus préoccupante :
- une barrière de sécurité défaillante,
- une situation dangereuse effectivement rencontrée,
- une exposition réelle à un danger critique.
Le fait que l’événement n’ait pas eu de conséquence grave ne signifie pas que le système a fonctionné correctement. Il signifie parfois simplement que toutes les conditions n’étaient pas réunies pour que le pire se produise.
Dans ce contexte, considérer qu’“il ne s’est rien passé” constitue moins une observation qu’une interprétation, et souvent une erreur de lecture.
Car en matière de prévention, l’enjeu ne réside pas uniquement dans l’analyse des accidents survenus, mais dans la capacité à identifier, comprendre et traiter les situations qui auraient pu conduire à des conséquences graves.
Dès lors, une question s’impose :
Sommes-nous capables de reconnaître un événement dangereux… lorsqu’il ne fait pas de victime ?
C’est à cette question, et aux implications qu’elle soulève pour la maîtrise des risques, que cet article se propose de répondre.
1 - HIPO : comprendre le potentiel de gravité
L’un des principaux écueils en santé et sécurité au travail réside dans la confusion entre ce qui est visible, la conséquence et ce qui est déterminant, le niveau de risque auquel les personnes ont été exposées.
C’est précisément pour dépasser cette limite qu’a émergé la notion de HIPO (High Potential Event).
🔸 Une définition centrée sur le potentiel, et non sur le résultat
Un HIPO se définit comme :
un événement sans conséquence grave, mais dont le potentiel aurait pu conduire à un accident majeur ou fatal.
Cette définition introduit une rupture importante : elle dissocie la gravité constatée de la gravité potentielle.
Autrement dit, un événement peut être classé comme mineur en apparence… tout en étant critique du point de vue du risque.
🔸 Une distinction essentielle : incident, presqu’accident, HIPO
Dans la pratique, plusieurs termes coexistent, souvent utilisés de manière interchangeable, ce qui entretient la confusion.
Il est pourtant essentiel de les distinguer :
- Incident : événement ayant entraîné un dommage matériel ou organisationnel, sans atteinte aux personnes.
- Presqu’accident (near miss) : événement n’ayant causé aucun dommage, mais qui aurait pu en provoquer un dans d’autres circonstances.
- HIPO (High Potential Event) : événement — avec ou sans conséquence — caractérisé par un potentiel de gravité élevé, indépendamment du résultat observé.
Ainsi, tous les HIPO peuvent être des presqu’accidents… mais tous les presqu’accidents ne sont pas des HIPO.
La différence ne tient pas à ce qui s’est produit, mais à ce qui aurait pu se produire.
🔸 Le cœur du sujet : le potentiel de gravité
La notion de potentiel de gravité constitue la clé de lecture des HIPO.
Elle repose sur une question simple :
Si toutes les conditions avaient été réunies, quelles auraient été les conséquences plausibles de cet événement ?
Cette approche implique de se projeter au-delà du résultat immédiat, en intégrant :
- la nature du danger (énergie mécanique, électrique, chimique, gravitaire…)
- le niveau d’exposition
- les circonstances (présence d’un opérateur, position, timing…)
- l’état des barrières de sécurité
C’est cette analyse qui permet de révéler la criticité réelle d’une situation.
🔸 Quelques exemples concrets
Prenons quelques situations courantes :
- Un outil chute d’une plateforme… sans personne en dessous
conséquence : nulle
potentiel : traumatisme grave ou fatal - Une intervention est réalisée sans consignation correcte… sans incident
conséquence : nulle
potentiel : électrisation ou électrocution - Un opérateur passe dans une ligne de feu… sans impact
conséquence : nulle
potentiel : écrasement ou amputation
Dans chacun de ces cas, l’événement peut être perçu comme “mineur”. Mais du point de vue du risque, il s’agit d’une exposition à un danger critique.
🔸 Une lecture indispensable pour piloter la prévention
Comprendre les HIPO, c’est accepter de changer de référentiel :
- ne plus juger un événement uniquement à partir de ses conséquences
- mais à partir du niveau de risque qu’il révèle
Car en matière de prévention, ce ne sont pas les événements les plus visibles qui sont les plus instructifs…
mais souvent ceux qui passent inaperçus.
Cette lecture par le potentiel de gravité constitue le socle d’une approche plus mature de la sécurité. Elle permet non seulement d’anticiper les accidents graves, mais aussi de détecter les défaillances du système avant qu’elles ne produisent des conséquences irréversibles.
Alors, si les HIPO sont si déterminants pour la compréhension du risque…
Pourquoi sont-ils encore si peu exploités dans les organisations ?
2. Pourquoi les HIPO sont les événements les plus critiques en HSE
À première vue, les événements sans conséquence peuvent sembler secondaires dans une démarche de prévention. Ils ne génèrent ni blessure, ni arrêt de travail, ni impact immédiat sur les indicateurs de performance.
Et pourtant, du point de vue de la maîtrise des risques, ils constituent souvent les informations les plus stratégiques
🔸 Zéro conséquence… mais un niveau de risque maximal
Un HIPO présente une caractéristique paradoxale :
il ne produit pas de dommage… mais révèle une exposition à un danger potentiellement critique.
Cette dissociation entre résultat et risque en fait un objet d’analyse particulier.
Contrairement à un accident, qui traduit une défaillance ayant déjà produit des conséquences, le HIPO se situe en amont. Il correspond à une situation dans laquelle :
- les conditions de survenue d’un accident grave étaient réunies,
- mais où l’enchaînement des événements n’a pas conduit au pire.
Ce décalage tient rarement à une parfaite maîtrise du système.
Il tient souvent à une combinaison de circonstances favorables… autrement dit, à la chance.
🔸 Une opportunité d’apprentissage sans coût humain
C’est précisément ce qui fait la valeur des HIPO.
Ils offrent la possibilité d’analyser :
- une situation réelle,
- une exposition concrète au danger,
- une défaillance effective de barrière,
… sans avoir à gérer les conséquences humaines d’un accident.
Autrement dit :
le HIPO est un accident grave qui n’a pas encore eu lieu.
Cette caractéristique en fait un levier majeur pour la prévention, à condition qu’il soit reconnu et traité comme tel.
🔸 Un lien direct avec les accidents graves et mortels
Les travaux menés sur les accidents graves et mortels montrent qu’ils ne surviennent que rarement de manière isolée. Ils s’inscrivent généralement dans une continuité de situations dégradées, d’écarts tolérés, et de signaux faibles non traités.
Dans cette perspective, les HIPO jouent un rôle central :
- ils matérialisent des situations à haut potentiel de gravité,
- ils révèlent des failles dans les dispositifs de maîtrise,
- ils précèdent souvent, dans une logique de dérive, les événements les plus critiques.
Ignorer un HIPO, ce n’est pas ignorer un événement mineur.
C’est ignorer une préfiguration possible d’un accident grave.
🔸 Un indicateur plus pertinent que les seuls résultats
Dans de nombreuses organisations, la performance sécurité reste largement pilotée à travers des indicateurs de résultats : taux de fréquence, taux de gravité, nombre d’accidents déclarés.
Si ces indicateurs conservent leur utilité, ils présentent une limite majeure :
ils ne mesurent que ce qui s’est produit… pas ce qui aurait pu se produire.
Or, du point de vue de la prévention des accidents graves, cette seconde dimension est déterminante.
Intégrer les HIPO dans le pilotage de la sécurité, c’est donc changer de logique :
- passer d’une approche réactive à une approche proactive,
- passer d’une culture du dommage à une culture du risque,
- passer d’une analyse des conséquences à une analyse des expositions.
🔸 Une inversion de perspective nécessaire
Considérer les HIPO comme des événements critiques revient à inverser le regard porté sur la sécurité.
Ce ne sont plus uniquement les accidents qui doivent retenir l’attention, mais l’ensemble des situations dans lesquelles :
- une personne a été exposée à un danger majeur,
- une barrière de sécurité a été contournée ou défaillante,
- le système a montré ses limites.
Dans cette logique, l’absence de conséquence n’est plus un critère rassurant.
Elle devient un signal à interroger.
Pourquoi ces événements restent-ils si peu visibles, si peu remontés, et si peu analysés ?
3. Le grand paradoxe : les HIPO sont invisibles
Si les événements à fort potentiel de gravité sont aussi déterminants pour la compréhension du risque, on pourrait s’attendre à ce qu’ils fassent l’objet d’une attention particulière.
Dans les faits, c’est souvent l’inverse.
Les HIPO sont :
- peu remontés,
- rarement analysés en profondeur,
- et encore moins priorisés dans les démarches de prévention.
Ce constat révèle un paradoxe central : les situations les plus critiques du point de vue du risque sont souvent les moins visibles dans les organisations.
🔸 Une invisibilité liée à l’absence de conséquence
Le premier facteur d’invisibilisation est simple : les HIPO ne produisent pas de dommage immédiat.
Or, dans la plupart des systèmes de gestion, l’attention se porte prioritairement sur :
- les accidents avec arrêt,
- les blessures,
- les impacts mesurables.
À l’inverse, un événement sans conséquence est rapidement perçu comme secondaire, voire négligeable.
L’absence de dommage est alors interprétée, à tort, comme une absence de gravité.