Le niveau de confiance en sécurité : faites-vous vraiment confiance à vos barrières ?
Introduction — Une mesure existe. Mais pourquoi lui faisons-nous confiance ?
Dans une analyse de risques, nous cherchons naturellement à identifier les mesures capables d’empêcher un accident ou d’en limiter les conséquences.
Une détection. Un arrêt automatique. Une soupape. Une procédure. Une alarme suivie d’une intervention humaine.
Nous les plaçons dans nos analyses, parfois dans un Bow-Tie, et leur présence contribue à considérer que le risque est maîtrisé.
Mais une question est finalement assez rarement posée :
Pourquoi faisons-nous confiance à ces barrières ?
Le fait qu’une mesure existe ne signifie pas nécessairement qu’elle fonctionnera lorsque nous en aurons besoin. Elle peut être mal dimensionnée, intervenir trop tard, être indisponible au mauvais moment ou avoir perdu progressivement les performances sur lesquelles reposait notre analyse.
En sécurité des procédés, cette question a été poussée beaucoup plus loin avec une notion particulièrement intéressante : le niveau de confiance.
Attribuer un niveau de confiance à une barrière ne consiste pas simplement à dire qu’elle est « fiable ». Cela revient à déterminer quel crédit nous pouvons réellement lui accorder dans la réduction du risque.
Une barrière à laquelle nous attribuons un niveau de confiance NC1 peut, sous les conditions qui justifient cette performance, conduire à considérer une fréquence d’accident comme réduite d’un facteur 10.
Ce simple chiffre change profondément la manière de regarder une mesure de sécurité.
Car lorsque nous écrivons qu’une barrière réduit dix fois, cent fois ou davantage la probabilité d’un scénario, nous ne décrivons plus seulement ce que nous avons installé.
Nous faisons une hypothèse sur ce qui se passera le jour où cette barrière sera réellement sollicitée.
Et cette question dépasse largement la sécurité des procédés.
Dans nos évaluations des risques, nous accordons chaque jour du crédit à des procédures, des formations, des contrôles, des protections techniques ou des actions humaines. Leur présence suffit parfois à nous rassurer, voire à diminuer notre estimation du risque.
Mais sommes-nous capables d’expliquer pourquoi nous leur faisons confiance ?
C’est cette idée que nous allons explorer : comprendre ce que le niveau de confiance nous apprend sur les barrières de sécurité, puis voir pourquoi cette façon de raisonner peut nous aider à regarder autrement l’ensemble de nos mesures de prévention.
1. Une barrière de sécurité n’est pas simplement une mesure en place
Dans une analyse de risques, la colonne « mesures de prévention existantes » se remplit généralement assez vite.
Formation des opérateurs, procédure, alarme, détecteur, arrêt automatique, soupape, rétention, contrôle périodique, EPI…
Toutes ces mesures participent potentiellement à la maîtrise du risque. Mais cela ne signifie pas qu’elles constituent toutes, au sens strict, des barrières de sécurité auxquelles nous pouvons attribuer une réduction du risque.
Une barrière de sécurité doit être rattachée à un scénario précis et remplir une fonction de sécurité identifiable : empêcher qu’un événement se produise, interrompre son développement ou en limiter les conséquences.
Prenons un exemple simple : une perte de confinement peut conduire à la formation d’une atmosphère dangereuse.
Plusieurs mesures peuvent apparaître dans l’analyse :
- formation des opérateurs ;
- détecteur de gaz ;
- alarme ;
- fermeture automatique d’une vanne ;
- procédure d’urgence ;
- maintenance préventive.
Elles ont toutes leur utilité. Mais elles n’agissent pas de la même manière, au même moment, ni avec la même capacité à modifier le scénario.
C’est une différence essentielle.
La présence d’une mesure ne démontre pas sa performance
Imaginons maintenant qu’un détecteur de gaz soit installé.
Nous pouvons écrire dans notre analyse :
Barrière : détection gaz
Mais qu’avons-nous réellement démontré ?
Le détecteur est-il positionné là où le gaz pourra effectivement être détecté ? Son seuil est-il adapté ? L’information déclenche-t-elle automatiquement une action ou nécessite-t-elle une intervention humaine ? Cette action intervient-elle suffisamment rapidement ? Le détecteur est-il disponible lorsqu’il est sollicité ?
Autrement dit :
Une barrière n’est pas performante simplement parce qu’elle existe.
Cette distinction paraît évidente. Pourtant, elle change profondément la manière de lire une analyse de risques.
Si nous considérons qu’une mesure réduit la probabilité ou les conséquences d’un scénario, nous lui accordons implicitement du crédit.
Et plus cette mesure contribue à rendre le risque acceptable, plus la question devient importante.
De « nous avons une barrière » à « pouvons-nous compter sur elle ? »
C’est précisément ici que la notion de niveau de confiance devient intéressante.
Elle nous oblige à quitter une vision binaire :
la barrière existe / la barrière n’existe pas
pour entrer dans une logique beaucoup plus exigeante :
Quelle confiance pouvons-nous réellement accorder à cette barrière lorsqu’elle devra remplir sa fonction de sécurité ?
Avant même de parler de NC1, NC2 ou de probabilité de défaillance, c’est probablement le premier enseignement du niveau de confiance :
En prévention, constater l’existence d’une mesure ne suffit pas. Il faut s’interroger sur la performance que nous lui attribuons réellement.
C’est cette différence entre présence et performance qui va maintenant nous permettre de comprendre ce que signifie réellement le niveau de confiance.
2. Le niveau de confiance : une autre manière de regarder une barrière
Nous venons de voir qu’identifier une barrière ne suffit pas.
Mais comment traduire la confiance que nous pouvons réellement lui accorder ?
C’est précisément ce que cherche à caractériser le niveau de confiance, généralement noté NC.
Dans l’approche de l’INERIS, le niveau de confiance caractérise la fiabilité d’une barrière dans son environnement d’utilisation. Pour une barrière fonctionnant à la sollicitation, il est associé à une classe de probabilité de défaillance à la sollicitation, ou PFD (Probability of Failure on Demand).
Autrement dit, le NC cherche à répondre à une question finalement très concrète :
Lorsque cette barrière devra fonctionner, quelle confiance pouvons-nous avoir dans le fait qu’elle remplira effectivement sa fonction ?
De NC1 à NC4 : rendre la confiance tangible
Les niveaux de confiance sont exprimés par classes : NC1, NC2, NC3, NC4.
Plus le niveau de confiance est élevé, plus la probabilité de défaillance de la barrière lorsqu’elle est sollicitée est faible.
De manière conservatrice, un facteur de réduction du risque de 10NC10^{NC} peut être associé au niveau de confiance.
| Niveau de confiance | Classe de PFD | Facteur de réduction retenu |
|---|---|---|
| NC1 | 10−2≤PFD<10−110^{-2} \leq PFD < 10^{-1} | 10 |
| NC2 | 10−3≤PFD<10−210^{-3} \leq PFD < 10^{-2} | 100 |
| NC3 | 10−4≤PFD<10−310^{-4} \leq PFD < 10^{-3} | 1 000 |
| NC4 | 10−5≤PFD<10−410^{-5} \leq PFD < 10^{-4} | 10 000 |
Cette correspondance permet de comprendre immédiatement pourquoi le niveau de confiance est loin d’être une simple appréciation qualitative du type « peu fiable / fiable / très fiable ».
NC1 : qu’est-ce que cela signifie concrètement ?
Prenons un scénario dont la fréquence est estimée à :
10−2/an10^{-2}/an
Si une barrière NC1 peut être valorisée dans ce scénario, nous retenons de manière conservatrice un facteur de réduction du risque de 10 :
10−2×10−1=10−3/an10^{-2} \times 10^{-1}=10^{-3}/an
Avec une barrière NC2, le facteur retenu devient 100 :
10−2×10−2=10−4/an10^{-2} \times 10^{-2}=10^{-4}/an
Cette logique, qui consiste à attribuer un crédit quantifié aux barrières pour estimer la fréquence résiduelle d’un scénario, se retrouve notamment dans des méthodes semi-quantitatives comme l’analyse LOPA (Layer of Protection Analysis).
C’est ici que la notion prend toute son importance.
Écrire NC2 dans une analyse de risques revient, sous réserve que les conditions permettant de valoriser cette barrière soient effectivement satisfaites, à lui accorder suffisamment de crédit pour diviser par 100 la fréquence du scénario considéré.
Attribuer un niveau de confiance à une barrière, c’est lui donner du crédit dans notre démonstration de maîtrise du risque.
Le niveau de confiance n’est donc pas une note
Il serait tentant de lire :
NC1 = barrière correcte
NC2 = bonne barrière
NC3 = très bonne barrière
Ce serait passer à côté du concept.
Le niveau de confiance n’est pas une note attribuée à un équipement. Il concerne une barrière remplissant une fonction de sécurité déterminée, dans son environnement d’utilisation et pour des conditions données.
Cette nuance est fondamentale.
Une même technologie ne mérite donc pas automatiquement le même crédit partout où elle est installée.
Et surtout, le niveau de confiance ne répond qu’à une partie de la question.
Une barrière peut présenter une très faible probabilité de défaillance lorsqu’elle est sollicitée… et pourtant ne pas protéger correctement contre le scénario étudié.
Pourquoi ?
Parce que la confiance ne repose pas uniquement sur sa fiabilité.
C’est ce que nous allons voir maintenant.
Pour aller plus loin : la méthode d’évaluation des barrières techniques de sécurité et du niveau de confiance est détaillée dans le rapport Ω10 de l’INERIS – Évaluation des performances des barrières techniques de sécurité.
3. La confiance ne repose pas uniquement sur la fiabilité
À ce stade, une confusion est possible : considérer que le niveau de confiance suffit à caractériser la qualité d’une barrière.
Or une barrière peut être très fiable et pourtant ne pas maîtriser correctement le scénario pour lequel nous comptons sur elle.
Pour l’INERIS, la performance d’une barrière technique repose sur trois critères : son efficacité, son temps de réponse et son niveau de confiance. La maintenance et la testabilité permettent ensuite de garantir le maintien de cette performance dans le temps.
Efficacité : la barrière peut-elle réellement remplir sa fonction ?
L’efficacité correspond à la capacité de la barrière à accomplir la fonction de sécurité qui lui est confiée, dans son contexte d’utilisation.
Reprenons notre détecteur de gaz.
Il peut être parfaitement opérationnel et très fiable. Mais s’il est mal positionné, si sa technologie n’est pas adaptée au produit recherché ou si son seuil de déclenchement ne permet pas d’agir suffisamment tôt, sa présence ne garantit pas que la fonction attendue sera correctement réalisée.
Même raisonnement avec une rétention : elle peut être parfaitement construite et disponible, mais insuffisamment dimensionnée pour le volume qu’elle est censée contenir.
La première question n’est donc pas :
« Est-ce que cette barrière fonctionne ? »
mais :
« Est-elle capable de faire ce que nous attendons d’elle dans le scénario étudié ? »
Temps de réponse : fonctionnera-t-elle suffisamment vite ?
Une barrière peut également être efficace… mais intervenir trop tard.
Le temps de réponse correspond à l’intervalle entre la sollicitation de la barrière et l’exécution complète de sa fonction de sécurité. Ce temps doit être compatible avec la cinétique du phénomène qu’elle doit maîtriser.
Imaginons une détection qui déclenche une alarme. Un opérateur doit ensuite identifier l’événement, rejoindre une installation et fermer manuellement une vanne.
La chaîne fonctionne parfaitement.
Mais si le phénomène dangereux se développe en 30 secondes alors que l’intervention nécessite trois minutes, la barrière n’est pas suffisamment rapide pour maîtriser ce scénario.
Sa fiabilité ne change rien au problème.
Niveau de confiance : fonctionnera-t-elle lorsque nous la solliciterons ?
Ce troisième critère pose une question différente.
La barrière est adaptée au phénomène.
Elle agit suffisamment rapidement.
Reste à savoir si, le jour où nous aurons besoin d’elle, elle remplira effectivement sa fonction.
C’est là qu’intervient le niveau de confiance.
On peut donc résumer la performance d’une barrière par trois questions très simples :
| Critère | Question à se poser |
|---|---|
| Efficacité | Peut-elle réellement maîtriser le phénomène ? |
| Temps de réponse | Peut-elle agir suffisamment vite ? |
| Niveau de confiance | Fonctionnera-t-elle lorsque nous en aurons besoin ? |
Cette distinction est importante parce qu’elle évite de réduire la sécurité à la seule notion de fiabilité.
Une barrière peut être extrêmement fiable mais mal dimensionnée. Une autre peut être parfaitement dimensionnée mais trop lente. Une troisième peut être efficace et suffisamment rapide, mais présenter une probabilité de défaillance trop importante pour le crédit que nous souhaitons lui accorder.
La performance d’une barrière ne dépend donc pas seulement de sa capacité à fonctionner, mais de sa capacité à remplir la bonne fonction, au bon moment, avec un niveau de confiance démontré.
Et cela nous conduit à une question encore plus intéressante : sur quoi repose réellement cette confiance ?
4. Mais pourquoi faisons-nous confiance à une barrière ?
Nous arrivons probablement à la question la plus importante de cet article.
Nous avons une barrière. Elle est adaptée au scénario, son temps de réponse est compatible avec la cinétique du phénomène et nous lui attribuons un certain niveau de confiance.
Mais qu’est-ce qui nous autorise réellement à lui accorder cette confiance ?
Car écrire NC1 ou NC2 dans une étude ne rend évidemment pas la barrière plus fiable.
Le niveau de confiance doit être justifié.
La confiance repose sur des éléments démontrables
L’évaluation d’une barrière ne se limite pas à regarder sa fiche technique. Elle doit tenir compte de la manière dont elle est conçue, installée, exploitée et maintenue dans son environnement réel.
Selon la nature de la barrière, plusieurs éléments vont notamment contribuer à cette démonstration :
- son architecture et ses éventuelles redondances ;
- l’indépendance nécessaire vis-à-vis du scénario et des autres barrières ;
- le caractère éprouvé de la technologie ;
- les modes de défaillance possibles ;
- les conditions réelles d’installation et d’utilisation ;
- la testabilité de la barrière ;
- la périodicité et la qualité des essais ;
- la maintenance ;
- la gestion des mises hors service ou inhibitions ;
- le retour d’expérience disponible.
La méthode Ω10 de l’INERIS structure précisément cette évaluation pour les barrières techniques.
Le point essentiel n’est pourtant pas de mémoriser cette liste.
C’est de comprendre le raisonnement qu’elle impose.
Une barrière peut être excellente sur le papier et beaucoup moins rassurante sur le terrain
Prenons un arrêt automatique associé à une détection.
Sur le schéma, la chaîne paraît parfaitement maîtrisée :
Détection → traitement de l’information → ordre de sécurité → actionneur → mise en sécurité
Mais sur le terrain, plusieurs questions apparaissent.
Le capteur est-il réellement testé ? L’essai vérifie-t-il uniquement le capteur ou toute la chaîne de sécurité ? La vanne atteint-elle effectivement sa position de sécurité ? Que se passe-t-il en cas de perte d’énergie ? Une inhibition peut-elle rester active après une opération de maintenance ? Une modification du procédé a-t-elle changé les conditions dans lesquelles la barrière avait été évaluée ?
Ce sont précisément ces éléments qui transforment une confiance supposée en une confiance démontrée.
Ω10 va d’ailleurs jusqu’à considérer qu’en l’absence des tests périodiques requis et des opérations de maintenance, une barrière technique concernée ne peut plus être considérée comme performante et relève d’un NC0.
Faire confiance à une barrière, c’est aussi connaître ses faiblesses
Il y a finalement quelque chose d’assez contre-intuitif dans cette démarche.
Démontrer que nous pouvons faire confiance à une barrière ne consiste pas seulement à accumuler les raisons pour lesquelles elle devrait fonctionner.
Il faut également chercher comment elle pourrait échouer.
Une alimentation commune à deux systèmes supposés indépendants. Un capteur soumis au même phénomène que celui qu’il doit détecter. Une vanne susceptible de rester bloquée. Une intervention humaine difficilement réalisable dans les délais. Une maintenance qui ne teste qu’une partie de la fonction de sécurité.
Plus nous comprenons les conditions de défaillance d’une barrière, plus nous sommes capables de déterminer le crédit que nous pouvons raisonnablement lui accorder.
La confiance ne se décrète pas. Elle se démontre.
Et cette démonstration n’est jamais définitivement acquise.
Une barrière peut parfaitement justifier le niveau de confiance qui lui est attribué aujourd’hui et ne plus le justifier quelques années, quelques mois, voire quelques jours plus tard.
C’est là qu’apparaît une seconde dimension essentielle du concept : le maintien de la confiance dans le temps.
5. Une confiance acquise aujourd’hui peut être perdue demain
Démontrer qu’une barrière est performante au moment de l’étude ne suffit pas.
Encore faut-il que les conditions qui ont permis de lui attribuer cette performance soient toujours présentes plusieurs mois ou plusieurs années plus tard.
C’est probablement l’un des aspects les plus intéressants de la notion de niveau de confiance : la confiance accordée à une barrière n’est jamais définitivement acquise.
Une barrière évolue avec l’installation
Une installation industrielle n’est jamais totalement figée.
Les équipements vieillissent. Des composants sont remplacés. Les réglages évoluent. Les périodicités de maintenance peuvent être modifiées. Des équipements sont temporairement inhibés. Le procédé change. Les conditions d’exploitation évoluent.
Pris séparément, chacun de ces changements peut sembler mineur.
Mais ils peuvent progressivement modifier les conditions qui avaient permis de démontrer la performance de la barrière.
Prenons une chaîne de sécurité évaluée lors de sa mise en service.
Quelques années plus tard :
- un capteur a été remplacé par une autre référence ;
- la fréquence des essais a été espacée ;
- certaines défaillances ont été constatées ;
- une modification du procédé a changé les conditions de fonctionnement ;
- une inhibition temporaire est devenue une pratique récurrente ;
- les essais ne vérifient plus nécessairement l’ensemble de la fonction de sécurité.
La barrière est toujours présente.
Elle porte toujours le même nom dans l’étude de dangers.
Mais pouvons-nous encore lui accorder le même niveau de confiance ?
Maintenir la performance fait partie de la démonstration
La méthode Ω10 insiste précisément sur la testabilité et la maintenabilité des barrières. Les tests périodiques et les opérations de maintenance contribuent à garantir que les performances démontrées restent valables dans le temps.
Le principe est particulièrement fort : en l’absence des tests périodiques et des opérations de maintenance nécessaires, Ω10 considère la barrière comme non performante (NC0).
Autrement dit, le niveau de confiance ne décrit pas seulement la conception d’un système.
Il dépend également de ce que l’organisation fait pour continuer à mériter cette confiance.
Un excellent équipement mal suivi peut progressivement devenir une mauvaise barrière.
Le retour d’expérience peut aussi remettre en cause notre confiance
Les défaillances réelles constituent évidemment une information essentielle.
Une barrière évaluée NC2 mais qui présente des défaillances répétées sur le terrain ne peut pas continuer à bénéficier indéfiniment du même crédit simplement parce qu’une étude antérieure l’avait classée ainsi.
Cette logique est d’ailleurs explicitement présente dans la réglementation applicable aux établissements Seveso : les défaillances et anomalies des mesures de maîtrise des risques doivent être enregistrées et analysées et, lors du réexamen de l’étude de dangers, les niveaux de confiance sont réévalués à la lumière de ce retour d’expérience.
Le document récapitulatif des MMR doit également faire apparaître, entre autres, leur niveau de confiance, leur efficacité, leur cinétique de mise en œuvre et leurs critères de pérennité.
C’est révélateur de la philosophie du système : il ne suffit pas de démontrer une performance, il faut être capable de montrer qu’elle perdure.
La vraie question n’est donc pas seulement « quel est son NC ? »
Il faudrait presque toujours ajouter une seconde question :
Qu’est-ce qui nous permet d’affirmer qu’elle possède encore aujourd’hui ce niveau de confiance ?
Les essais, la maintenance, le traitement des défaillances, le retour d’expérience et la gestion des modifications ne sont alors plus de simples activités périphériques.
Ils deviennent les éléments qui permettent de maintenir la confiance accordée à la barrière.
Une analyse de risques peut continuer à afficher NC2 alors que, sur le terrain, les conditions qui permettaient de justifier ce NC2 ont progressivement disparu.
Et cette idée dépasse largement les barrières techniques de la sécurité des procédés.
Une procédure écrite il y a cinq ans, une formation réalisée lors de l’embauche, un contrôle prévu dans une instruction ou une pratique humaine considérée comme maîtrisée posent finalement la même question :
avons-nous encore aujourd’hui de bonnes raisons de leur faire confiance ?
C’est précisément ce que la philosophie du niveau de confiance peut apporter à la prévention au-delà de son domaine d’origine.
6. Et si nous appliquions cette philosophie à toute la prévention ?
Le niveau de confiance appartient à un cadre précis de la sécurité industrielle. Il ne s’agit donc pas de commencer demain à attribuer artificiellement un NC1 à une procédure, un NC2 à une formation ou un NC3 à un garde-corps.
Ce serait détourner le concept.
En revanche, le raisonnement qui se cache derrière le niveau de confiance mérite d’être appliqué beaucoup plus largement à la prévention.
Car dans nos évaluations des risques, nous faisons exactement ce que nous venons de décrire : nous accordons du crédit à des mesures parce qu’elles sont présentes.
Nous raisonnons encore souvent en « mesure présente / mesure absente »
Prenons une situation de travail en hauteur.
L’analyse indique :
Risque : chute de hauteur
Mesure existante : garde-corps
La présence du garde-corps va naturellement influencer notre appréciation du risque.
Mais imaginons qu’il soit démontable pour permettre certaines opérations. Qu’une partie soit régulièrement retirée. Que son état ne soit contrôlé qu’occasionnellement.
Le garde-corps existe bien.
Mais la vraie question devient :
Dans quelle mesure pouvons-nous compter sur sa présence et son efficacité lorsque le travail sera réellement effectué ?
Même raisonnement avec une consignation.
La procédure existe. Les personnes sont formées. Le matériel est disponible.
Mais comment savons-nous que toutes les énergies sont effectivement identifiées ? Que la procédure correspond encore à l’installation après plusieurs modifications ? Que les intervenants l’appliquent réellement ? Que les situations inhabituelles ont été prévues ?
Encore une fois, la question n’est plus seulement « avons-nous une mesure ? », mais « quelles raisons avons-nous de lui faire confiance ? »
Une formation n’est pas une garantie
C’est probablement encore plus visible avec les mesures organisationnelles et humaines.
Après un accident, l’action décidée est parfois :
Former ou sensibiliser les opérateurs.
Quelques semaines plus tard, la formation a été réalisée. La feuille d’émargement est disponible. L’action est clôturée.
Administrativement, la mesure existe.
Mais que savons-nous réellement de son efficacité ?
La personne a-t-elle compris ce qui était attendu ? Sa compétence a-t-elle été vérifiée ? Les conditions de travail lui permettent-elles d’appliquer ce qu’elle a appris ? Cette connaissance sera-t-elle encore présente dans deux ans ? Et que se passera-t-il lorsqu’un nouvel opérateur arrivera ?
La philosophie du niveau de confiance nous pousse à ne plus confondre la preuve qu’une action a été réalisée avec la preuve qu’elle maîtrise effectivement le risque.
La procédure pose exactement la même question
Une procédure peut être parfaitement rédigée, validée et accessible.
Pourtant, si elle ne correspond plus au travail réel, si elle est trop complexe pour être utilisée dans l’action ou si les conditions opérationnelles conduisent régulièrement les équipes à s’en écarter, le crédit que nous lui accordons dans l’analyse de risques devient discutable.
Cela ne signifie pas que la procédure est inutile.
Cela signifie simplement que :
son existence ne suffit pas à démontrer la maîtrise du risque que nous lui attribuons.
Passer de l’inventaire des mesures à l’évaluation de leur robustesse
C’est peut-être là que le niveau de confiance apporte son enseignement le plus intéressant à la prévention générale.
Nous consacrons beaucoup de temps à identifier les dangers, évaluer les risques et définir des mesures.
Nous pourrions consacrer davantage de temps à challenger les mesures sur lesquelles repose ensuite notre évaluation.
Pour chacune d’elles, quelques questions changent déjà profondément le regard :
- Que doit réellement empêcher ou limiter cette mesure ?
- Dans quelles conditions doit-elle fonctionner ?
- Pourquoi pensons-nous qu’elle sera efficace ?
- Qu’est-ce qui pourrait la mettre en défaut ?
- Comment saurons-nous qu’elle s’est dégradée ?
- Qu’est-ce qui nous permet encore aujourd’hui de lui faire confiance ?
Il ne s’agit pas de transformer chaque DUERP en étude de sûreté de fonctionnement.
Il s’agit d’introduire un doute utile dans notre manière de faire de la prévention.
Nous évaluons beaucoup les risques. Nous évaluons beaucoup moins la confiance que nous pouvons accorder aux mesures censées les réduire.
Et c’est peut-être précisément là que le concept de niveau de confiance, né dans la maîtrise des risques industriels, peut nous apprendre quelque chose de beaucoup plus universel sur notre façon de prévenir les accidents.
7. Le niveau de confiance comme principe de décision
À ce stade, la question du niveau de confiance peut presque être résumée en un principe :
Une mesure de prévention ne devrait jamais nous rassurer davantage que ce que nous sommes capables de démontrer sur sa performance.
Cela paraît simple. Pourtant, ce principe peut modifier assez profondément notre manière d’analyser un risque.
Toutes les mesures ne méritent pas le même crédit
Dans une analyse de risques, plusieurs mesures peuvent être présentes pour maîtriser un même scénario.
Une protection physique permanente. Une détection automatique. Une alarme nécessitant une réaction humaine. Une procédure. Une formation. Un contrôle avant intervention.
Les inscrire dans la même colonne ne signifie pas qu’elles offrent le même degré de maîtrise.
Certaines reposent sur des principes physiques relativement robustes. D’autres dépendent d’un équipement, d’une maintenance ou d’une source d’énergie. D’autres encore nécessitent qu’une personne détecte une situation, l’interprète correctement puis réalise la bonne action dans le temps disponible.
Cela ne signifie pas qu’une mesure humaine ou organisationnelle est nécessairement mauvaise, ni qu’une mesure technique est nécessairement fiable.
Cela signifie que le crédit accordé à une mesure doit être cohérent avec ce que nous savons réellement de sa performance.
Quatre questions pour challenger une mesure de prévention
Sans réaliser une évaluation formelle de niveau de confiance, nous pouvons reprendre la logique développée tout au long de cet article avec quatre questions.
1. Que doit-elle empêcher ?
La fonction attendue doit être claire.
« Formation », « procédure » ou « alarme » ne décrivent pas une fonction de sécurité. Il faut savoir précisément ce que la mesure est censée empêcher, détecter, interrompre ou limiter.
2. Pourquoi devrait-elle fonctionner ?
C’est la question de la justification.
Conception, dimensionnement, compétence, essais, expérience, conditions d’utilisation : sur quels éléments concrets repose notre confiance ?
3. Qu’est-ce qui pourrait la faire échouer ?
Une panne, une inhibition, une modification, une erreur, une mauvaise information, une situation inhabituelle, un défaut de maintenance…
Chercher les faiblesses d’une mesure permet de mieux comprendre les limites du crédit que nous pouvons lui accorder.
4. Comment savons-nous qu’elle est toujours performante ?
C’est probablement la question la plus souvent oubliée.
Essais, inspections, observations terrain, exercices, contrôle des compétences, retour d’expérience ou analyse des défaillances doivent nous permettre de vérifier que les raisons qui nous conduisaient à faire confiance à la mesure existent toujours.
Une autre façon de conduire l’analyse de risques
Ces quatre questions peuvent être utilisées presque partout : lors d’une APR, d’un HAZOP, d’un Bow-Tie, d’une mise à jour du DUERP, après un accident ou simplement lorsqu’une équipe revoit ses mesures de prévention.
Elles introduisent surtout un changement de perspective.
Au lieu de terminer l’analyse par :
« Quelles mesures avons-nous mises en place ? »
nous pouvons ajouter :
« Parmi ces mesures, lesquelles sont réellement déterminantes pour la maîtrise du risque, et pourquoi sommes-nous suffisamment confiants pour compter sur elles ? »
C’est là que le niveau de confiance cesse d’être uniquement une notion technique issue de la sécurité des procédés.
Il devient une manière de penser la prévention : ne pas seulement chercher des mesures, mais challenger le crédit que nous leur accordons.
Conclusion — Ne jamais accorder plus de confiance que nous ne pouvons en démontrer
Le niveau de confiance pourrait sembler, au premier abord, être une notion réservée aux spécialistes de la sécurité des procédés, aux études de dangers ou aux calculs de probabilité.
Mais derrière les NC1, NC2 ou les probabilités de défaillance se cache une idée beaucoup plus simple :
Une mesure de sécurité n’a de valeur dans notre analyse que si nous avons de bonnes raisons de penser qu’elle fonctionnera lorsque nous en aurons besoin.
C’est finalement ce que le niveau de confiance nous oblige à faire : justifier le crédit que nous accordons à nos barrières.
Le détecteur est installé. Mais détectera-t-il le phénomène suffisamment tôt ?
La vanne de sécurité est présente. Mais se fermera-t-elle réellement à la sollicitation ?
La procédure existe. Mais sera-t-elle applicable dans les conditions réelles de l’intervention ?
La formation a été réalisée. Mais la compétence nécessaire sera-t-elle disponible au moment critique ?
Le garde-corps est prévu. Mais sera-t-il toujours en place lorsque le travail sera effectué ?
Ces questions ne signifient pas que nous devons douter systématiquement de toutes nos mesures de prévention. Elles nous invitent simplement à distinguer ce que nous supposons maîtrisé de ce que nous pouvons réellement démontrer comme maîtrisé.
Et peut-être est-ce là l’un des enseignements les plus intéressants que la sécurité des procédés peut apporter à la prévention en général.
Ne plus seulement demander :
« Qu’avons-nous mis en place pour réduire ce risque ? »
Mais aussi :
« Pourquoi faisons-nous confiance à cette mesure, et qu’est-ce qui nous prouve que nous pouvons encore lui faire confiance aujourd’hui ? »
Car une barrière peut être présente, documentée, testée et inscrite depuis des années dans une analyse de risques.
Cela ne signifie pas nécessairement que nous pouvons encore compter sur elle.
Une mesure de prévention ne devrait jamais nous rassurer davantage que ce que nous sommes capables de démontrer sur sa performance.
FAQ - Niveau de confiance
Qu’est-ce que le niveau de confiance d’une barrière de sécurité ?
Le niveau de confiance (NC) caractérise la confiance que l’on peut accorder à une barrière pour remplir sa fonction de sécurité lorsqu’elle est sollicitée, dans des conditions données. Pour les barrières fonctionnant à la sollicitation, il est associé à une classe de probabilité de défaillance à la sollicitation (PFD).
Quelle différence entre NC1 et NC2 ?
De manière conservative, une barrière NC1 permet de retenir un facteur de réduction du risque de 10, tandis qu’une barrière NC2 permet de retenir un facteur 100, sous réserve que les conditions permettant de justifier ce niveau de confiance soient effectivement satisfaites.
Quelle différence entre niveau de confiance et SIL ?
Les deux notions sont liées, mais ne sont pas interchangeables. Le SIL (Safety Integrity Level) provient notamment des normes IEC 61508 et IEC 61511 et concerne l’intégrité de sécurité des fonctions instrumentées de sécurité. Le niveau de confiance est la notion utilisée dans l’approche française des barrières et mesures de maîtrise des risques, notamment dans les études de dangers. Le concept de NC s’inspire des principes issus de ces normes mais s’applique dans un cadre plus large d’évaluation des barrières.
Une barrière peut-elle perdre son niveau de confiance ?
Oui. Le niveau de confiance suppose que les conditions ayant permis de démontrer la performance de la barrière soient maintenues : essais, maintenance, conditions d’exploitation, gestion des modifications, traitement des défaillances, etc. Une dégradation de ces conditions peut remettre en cause le crédit accordé à la barrière.
Peut-on attribuer un niveau de confiance à une procédure ou à une formation ?
Il ne faut pas transposer artificiellement les classes NC à toutes les mesures de prévention. En revanche, la philosophie du niveau de confiance peut être appliquée à ces mesures : pourquoi pensons-nous qu’elles seront efficaces lorsque nous en aurons besoin, et comment le vérifions-nous ?
Références et pour aller plus loin
- INERIS — Ω10 : Évaluation des performances des barrières techniques de sécurité
Le document technique de référence pour approfondir l’efficacité, le temps de réponse et le niveau de confiance des barrières techniques.
Consulter le rapport Ω10 - Circulaire du 10 mai 2010 — Règles méthodologiques applicables aux études de dangers, à l’appréciation de la démarche de réduction du risque à la source et aux PPRT. Elle constitue une référence importante pour la notion de niveau de confiance dans le cadre des études de dangers.
Consulter la circulaire sur AIDA - INERIS — Glossaire technique
Pour retrouver les définitions relatives aux barrières de sécurité, aux mesures de maîtrise des risques et au niveau de confiance.
Consulter le glossaire INERIS - INERIS — Barrières de sécurité et mesures de maîtrise des risques
Présentation générale de la démarche d’évaluation et de maîtrise des risques accidentels.
Consulter le dossier INERIS
Ping : Sécurité des procédés industriels – Risques majeurs