Critères de cotation des risques : comment choisir les bons critères d’évaluation ?

L’évaluation des risques repose souvent sur une matrice. Quelques niveaux de gravité, quelques niveaux de probabilité ou de fréquence, un calcul, puis un classement permettant de déterminer les risques à traiter en priorité.

Mais derrière cette apparente simplicité se cache une question beaucoup plus importante :

Que mesure-t-on réellement lorsque l’on attribue une note à un risque ?

La gravité est généralement présente dans toutes les méthodes. Pour le second critère, les pratiques deviennent beaucoup plus variables : certaines organisations utilisent la probabilité, d’autres la fréquence d’exposition, d’autres encore combinent fréquence et probabilité.

Et ce n’est que le début.

Durée d’exposition, occurrence, possibilité d’évitement, détectabilité, nombre de personnes exposées, niveau de maîtrise ou efficacité des mesures de prévention peuvent également entrer dans l’évaluation. Certaines méthodes se limitent ainsi à deux critères, tandis que d’autres en combinent quatre, cinq, voire davantage.

Cette diversité n’est pas nécessairement un problème. Tous ces critères ne cherchent simplement pas à mesurer la même chose et ne répondent pas aux mêmes objectifs.

Une fréquence d’exposition indique à quelle fréquence une personne rencontre une situation dangereuse. Une probabilité cherche à apprécier la vraisemblance d’un événement. La détectabilité s’intéresse à la capacité à identifier une défaillance avant ses conséquences. La possibilité d’évitement introduit encore une autre dimension : la capacité à éviter ou limiter le dommage lorsque la situation dangereuse se produit.

Le véritable enjeu n’est donc pas d’accumuler les paramètres pour obtenir une formule toujours plus sophistiquée.

Il est de comprendre ce que chaque critère apporte à l’évaluation, ce qu’il ne mesure pas et dans quelles situations il est pertinent de l’utiliser.

Ce guide propose de passer en revue les principaux critères de cotation des risques, avec pour chacun leur définition, leur intérêt, leurs limites et des exemples d’échelles de cotation. Ces échelles sont données à titre illustratif : elles ne constituent pas des modèles officiels à reproduire tels quels.

Nous verrons également comment les mesures de prévention peuvent agir sur ces différents paramètres, comment distinguer risque brut, risque initial et risque résiduel, et pourquoi une cotation plus complexe n’est pas nécessairement une cotation plus pertinente.

L’objectif est finalement assez simple :

Avant de choisir une note, il faut savoir exactement ce que l’on cherche à mesurer.

Notre article : Matrice des risques : comment construire une cotation pertinente ?

Partie 1. Pourquoi existe-t-il autant de critères de cotation des risques ?

Il suffit de comparer quelques méthodes d’évaluation des risques pour constater qu’elles ne reposent pas toutes sur les mêmes critères.

Certaines utilisent simplement la gravité et la probabilité. D’autres préfèrent associer la gravité à la fréquence d’exposition. D’autres encore introduisent l’occurrence d’un événement dangereux, la possibilité d’évitement, la détectabilité ou le niveau de maîtrise.

On rencontre ainsi des approches du type :

Gravité × Probabilité
Gravité × Fréquence d’exposition
Gravité × Fréquence × Probabilité
Gravité × Occurrence × Détectabilité
ou des méthodes combinant encore davantage de paramètres.

Cette diversité peut donner l’impression qu’il existe plusieurs façons concurrentes de mesurer un même risque. En réalité, elle s’explique surtout par une question fondamentale : toutes les méthodes ne cherchent pas à caractériser le risque de la même manière ni pour la même finalité.

Des critères différents pour des objectifs différents

Une évaluation des risques professionnels destinée au DUERP, une analyse des risques d’une machine, une AMDEC ou une analyse de risques industriels ne répondent pas exactement au même besoin.

Dans un DUERP, l’objectif est notamment d’identifier et d’évaluer les risques auxquels les travailleurs sont exposés afin d’orienter la prévention.

Dans une analyse de sécurité d’une machine, il peut être pertinent de considérer non seulement la gravité d’un dommage potentiel, mais aussi l’exposition à un phénomène dangereux ou la possibilité pour une personne d’éviter ce dommage.

Dans une AMDEC, l’analyse porte sur des modes de défaillance. L’occurrence et la détectabilité peuvent alors devenir particulièrement importantes.

Dans le domaine des risques industriels, l’analyse peut encore suivre une autre logique en s’intéressant aux scénarios accidentels, à leur fréquence d’occurrence, à leurs conséquences et à la performance des barrières de sécurité.

Le choix des critères doit donc partir de la question :

Qu’avons-nous besoin de caractériser pour prendre une décision pertinente ?

Un critère doit mesurer quelque chose de précis

Le problème apparaît lorsque les critères sont ajoutés à une méthode sans définir précisément leur signification.

Prenons une cotation utilisant :

Gravité × Fréquence × Probabilité × Maîtrise

La formule paraît plus complète qu’une simple matrice Gravité × Probabilité.

Mais plusieurs questions apparaissent immédiatement.

Que signifie exactement la fréquence : la fréquence de réalisation de la tâche, la fréquence d’exposition au danger ou la fréquence d’apparition de l’événement dangereux ?

Et que représente la probabilité : la probabilité d’être exposé, celle que l’événement dangereux se produise ou celle qu’un dommage survienne ?

Enfin, si les mesures de prévention existantes ont déjà été prises en compte pour estimer cette probabilité, appliquer ensuite un coefficient de maîtrise peut conduire à prendre deux fois en compte les mêmes moyens de prévention.

Une méthode comportant davantage de paramètres n’est donc pas automatiquement plus précise.

Plus de critères ne signifie pas forcément une meilleure cotation

Ajouter un critère peut être pertinent lorsqu’il apporte une information nouvelle.

Distinguer la fréquence d’exposition de l’occurrence d’un événement dangereux peut, par exemple, permettre de mieux caractériser certaines situations : un opérateur peut être exposé quotidiennement à une situation dans laquelle l’événement dangereux lui-même reste très peu fréquent.

À l’inverse, multiplier des critères qui décrivent partiellement le même phénomène peut donner une impression de précision sans réellement améliorer la qualité de l’évaluation.

Le score obtenu devient plus sophistiqué, mais pas nécessairement plus juste.

C’est pourquoi le choix d’un critère devrait toujours répondre à trois questions :

Que mesure-t-il ?

Apporte-t-il une information différente des autres critères ?

Cette information est-elle réellement utile pour décider des actions de prévention ?

C’est à partir de cette logique que nous allons maintenant examiner les principaux critères de cotation, en commençant par celui que l’on retrouve dans presque toutes les méthodes : la gravité.

2. La gravité : quelle conséquence cherche-t-on à évaluer ?

La gravité est probablement le critère le plus intuitif d’une cotation des risques. Elle cherche à apprécier l’importance du dommage susceptible de résulter d’une situation dangereuse.

Pourtant, derrière une notation apparemment simple — G1, G2, G3, G4 — se cache déjà une question essentielle :

Quelle conséquence choisit-on réellement de coter ?

Une mauvaise définition de la gravité peut conduire deux évaluateurs à attribuer des notes très différentes à une même situation.

Gravité potentielle ou gravité observée ?

La première difficulté consiste à ne pas confondre ce qui s’est déjà produit avec ce qui pourrait raisonnablement se produire.

Prenons une chute de hauteur.

Si un salarié chute d’un escabeau et ne souffre que d’une contusion, la conséquence observée est faible. Mais cela ne signifie pas nécessairement que la gravité du risque doit être cotée au niveau correspondant à cette contusion.

Dans une autre circonstance, la même chute aurait pu entraîner une fracture, un traumatisme crânien ou des conséquences beaucoup plus graves.

La gravité doit donc généralement être appréciée à partir d’un dommage potentiel crédible, compte tenu de la situation analysée, et non uniquement à partir des conséquences du dernier accident connu.

À l’inverse, retenir systématiquement la conséquence maximale imaginable peut également déformer l’évaluation.

Une coupure ne doit pas automatiquement devenir mortelle au motif qu’une succession extrêmement improbable de circonstances pourrait théoriquement conduire à un décès.

L’objectif est donc de retenir une conséquence raisonnablement envisageable au regard du scénario étudié.

Que peut-on prendre en compte dans la gravité ?

La gravité peut être caractérisée à partir de plusieurs dimensions :

la nature du dommage ;
son caractère réversible ou irréversible ;
la nécessité de soins ;
l’existence d’une incapacité temporaire ou permanente ;
la possibilité de séquelles ;
le décès.

Selon le risque étudié, les conséquences peuvent également être différées.

C’est notamment le cas de certaines expositions à des agents chimiques, au bruit, aux vibrations ou à d’autres facteurs susceptibles de provoquer des effets sur la santé après une exposition prolongée.

Une méthode de cotation doit donc éviter de construire la gravité uniquement autour de la représentation classique de l’accident immédiat.

Exemple d’échelle de gravité

Une entreprise peut, par exemple, construire une échelle à quatre niveaux :

Niveau	Exemple de définition
G1 – Faible	Dommage mineur et réversible, nécessitant peu ou pas de soins
G2 – Modérée	Dommage nécessitant des soins médicaux, avec incapacité temporaire possible
G3 – Grave	Dommage grave pouvant entraîner une incapacité importante, des séquelles ou une atteinte irréversible
G4 – Très grave	Décès ou conséquences irréversibles majeures

Cette échelle est donnée uniquement à titre d’exemple. Les niveaux et leurs définitions doivent être adaptés à la méthode, aux activités et aux risques de l’organisation.

L’essentiel n’est pas de choisir quatre niveaux plutôt que trois ou cinq. Il est que chaque niveau soit suffisamment défini pour limiter les interprétations différentes entre évaluateurs.

Ce que la gravité ne mesure pas

La gravité ne dit rien, à elle seule, sur la vraisemblance du scénario.

Un événement peut avoir des conséquences catastrophiques tout en étant extrêmement improbable. À l’inverse, un dommage relativement faible peut se produire très fréquemment.

C’est précisément pour cette raison que la gravité est généralement associée à un ou plusieurs autres critères.

Elle ne doit pas non plus être confondue avec :

la fréquence d’exposition ;
la probabilité d’occurrence ;
le nombre de personnes exposées ;
le niveau de maîtrise du risque.

Ces dimensions peuvent influencer l’évaluation globale ou la priorité d’action, mais elles ne décrivent pas la même chose.

Une mesure de prévention fait-elle baisser la gravité ?

C’est un point particulièrement important.

Après la mise en place d’une action, on rencontre fréquemment des cotations dans lesquelles la gravité passe, par exemple, de G4 à G2.

Cette diminution n’est pas toujours justifiée.

Une formation, une procédure ou une réduction de la fréquence d’exposition peuvent diminuer la probabilité d’un dommage, mais elles ne modifient pas nécessairement la gravité du dommage si celui-ci survient.

Certaines mesures peuvent en revanche réellement limiter les conséquences d’un événement : réduction de l’énergie mise en jeu, limitation d’une quantité dangereuse, dispositif permettant d’atténuer les effets d’un phénomène, protection adaptée, etc.

La question à poser n’est donc pas simplement :

« Avons-nous ajouté une mesure de prévention ? »

mais :

« Cette mesure modifie-t-elle réellement la conséquence retenue pour notre scénario ? »

Nous reviendrons précisément sur cette distinction lorsque nous étudierons l’effet des mesures de prévention sur les différents critères de cotation.

Le nombre de victimes appartient-il à la gravité ?

Autre difficulté : faut-il considérer comme plus grave un scénario susceptible d’affecter dix personnes plutôt qu’une seule ?

Cela dépend de ce que la méthode cherche à mesurer.

Pour une approche centrée sur le risque individuel, la gravité du dommage subi par une personne ne change pas nécessairement parce que davantage de travailleurs sont exposés.

En revanche, pour une analyse intégrant les conséquences collectives, le nombre potentiel de personnes affectées peut devenir une dimension importante.

Il faut donc éviter de l’introduire implicitement dans la gravité si un autre critère de la méthode prend déjà en compte le nombre de personnes exposées.

Nous reviendrons sur ce point dans la partie consacrée à la distinction entre niveau de risque et priorité d’action.

À retenir

La gravité paraît simple à coter, mais elle exige déjà de définir précisément le scénario et le dommage auxquels la note se rapporte.

Une bonne échelle de gravité doit permettre aux évaluateurs de répondre à une question claire :

Si le scénario considéré conduit effectivement au dommage, quelles peuvent raisonnablement en être les conséquences ?

Une fois cette conséquence caractérisée, il reste à déterminer à quelle fréquence les personnes rencontrent la situation dangereuse. C’est le rôle des critères d’exposition.

3. Les critères d’exposition : fréquence et durée

Après avoir estimé la gravité d’un dommage potentiel, de nombreuses méthodes cherchent à caractériser l’exposition au danger.

Mais là encore, les termes sont parfois utilisés de manière imprécise.

Être exposé fréquemment à un danger ne signifie pas nécessairement que l’événement dangereux se produira fréquemment. De la même manière, une exposition rare peut durer plusieurs heures lorsqu’elle survient.

Il est donc utile de distinguer deux dimensions :

la fréquence d’exposition : à quelle fréquence la personne est-elle exposée à la situation dangereuse ?
la durée d’exposition : combien de temps cette exposition dure-t-elle ?

Ces deux critères décrivent l’exposition, mais ils ne mesurent pas exactement la même chose.

La fréquence d’exposition : combien de fois rencontre-t-on la situation dangereuse ?

La fréquence d’exposition cherche à caractériser la répétition des situations dans lesquelles une personne est effectivement exposée au danger.

Prenons une intervention de maintenance nécessitant l’accès à une zone dangereuse d’une machine.

Selon l’organisation, cette intervention peut avoir lieu :

plusieurs fois par jour ;
quelques fois par semaine ;
quelques fois par mois ;
exceptionnellement lors d’un arrêt annuel.

La nature du danger peut être identique dans les quatre situations. Ce qui change est la fréquence à laquelle le travailleur y est exposé.

C’est une information différente de la probabilité qu’un accident survienne.

Un opérateur peut travailler quotidiennement à proximité d’un équipement dangereux sans qu’un événement accidentel se produise chaque jour.

Une exposition fréquente n’est donc pas synonyme d’une forte probabilité d’accident.

Cette distinction sera essentielle lorsque nous aborderons la probabilité et l’occurrence.

Exemple d’échelle de fréquence d’exposition

Une échelle simple pourrait, par exemple, être construite ainsi :

Niveau	Exemple de fréquence d’exposition
F1 – Rare	Quelques fois par an ou moins
F2 – Occasionnelle	Quelques fois par mois
F3 – Fréquente	Plusieurs fois par semaine
F4 – Très fréquente	Quotidienne ou plusieurs fois par jour

Cette échelle est uniquement illustrative. Les seuils doivent être adaptés aux activités de l’entreprise.

Une entreprise réalisant plusieurs centaines d’opérations par jour n’aura pas nécessairement intérêt à utiliser les mêmes seuils qu’une activité dans laquelle certaines interventions ne sont réalisées que quelques fois par an.

Attention à la fréquence de la tâche

Une confusion fréquente consiste à utiliser la fréquence de réalisation d’une tâche comme synonyme de fréquence d’exposition.

Les deux peuvent être identiques, mais ce n’est pas systématique.

Une opération peut être réalisée quotidiennement alors que l’exposition au danger ne se produit que pendant une phase particulière.

Inversement, une tâche relativement rare peut entraîner une exposition continue pendant toute sa durée.

La question pertinente n’est donc pas seulement :

« À quelle fréquence cette tâche est-elle réalisée ? »

mais plutôt :

« À quelle fréquence cette tâche place-t-elle réellement une personne dans la situation dangereuse que nous évaluons ? »

La durée d’exposition : pendant combien de temps ?

La durée ajoute une autre dimension.

Deux salariés peuvent être exposés quotidiennement au même danger, mais l’un pendant quelques secondes et l’autre pendant plusieurs heures.

Selon la nature du risque, cette différence peut être déterminante.

C’est particulièrement évident pour certains risques liés à l’exposition : bruit, agents chimiques, vibrations, rayonnements, contraintes thermiques ou certaines sollicitations physiques.

Dans ces situations, la durée peut participer directement à la dose reçue ou à l’importance de l’exposition.

Pour d’autres risques, son influence est moins directe.

Une intervention de quelques secondes dans une zone présentant un risque mécanique majeur ne devient pas nécessairement anodine parce qu’elle est courte. Le dommage peut survenir dès la première exposition.

Exemple d’échelle de durée d’exposition

Une méthode pourrait, par exemple, retenir :

Niveau	Exemple de durée d’exposition
D1 – Très courte	Quelques minutes ou moins
D2 – Courte	Moins d’une heure
D3 – Significative	Plusieurs heures cumulées
D4 – Prolongée	Une part importante de la journée de travail

Là encore, il s’agit uniquement d’un exemple pédagogique.

Une telle échelle n’aurait d’intérêt que si la durée apporte réellement une information utile pour le risque étudié.

Faut-il toujours distinguer fréquence et durée ?

Non.

Ajouter systématiquement deux coefficients — fréquence et durée — peut compliquer inutilement la méthode.

Pour certains risques, une seule mesure de l’exposition peut suffire.

Pour d’autres, séparer les deux dimensions permet au contraire de distinguer des situations très différentes.

Prenons deux opérations :

Situation A
Un opérateur entre dix fois par jour pendant trente secondes dans une zone d’exposition.

Situation B
Un opérateur y entre une fois par jour mais y reste deux heures.

Les deux situations sont « quotidiennes ». Une échelle fondée uniquement sur la fréquence pourrait donc leur attribuer le même niveau, alors que leur profil d’exposition est très différent.

La question n’est donc pas de savoir s’il faut absolument intégrer la durée, mais :

La durée apporte-t-elle une information supplémentaire utile pour comprendre et hiérarchiser ce risque ?

Agir sur l’exposition sans supprimer le danger

Cette distinction est également importante pour comprendre l’effet des mesures de prévention.

Une entreprise peut réduire un risque sans modifier directement le danger lui-même.

Par exemple :

automatiser une opération peut supprimer ou réduire l’exposition humaine ;
réaliser un réglage depuis l’extérieur d’une zone dangereuse peut éviter l’exposition ;
réduire le nombre d’interventions peut diminuer leur fréquence ;
modifier l’organisation du travail peut réduire leur durée ;
éloigner un poste d’une source d’exposition peut réduire le niveau ou la durée d’exposition.

Dans notre cas fil rouge de maintenance sur une machine, imaginons qu’un technicien doive entrer régulièrement dans une zone dangereuse pour effectuer un réglage.

Si une modification technique permet désormais de réaliser ce réglage depuis l’extérieur, le danger mécanique existe toujours à l’intérieur de la machine.

Mais l’exposition du technicien à ce danger a été supprimée pour cette opération.

Ce n’est pas la gravité potentielle du phénomène dangereux qui a diminué : c’est la relation entre la personne et le danger qui a changé.

Cette distinction deviendra particulièrement importante lorsque nous examinerons les moyens de prévention selon leur nature technique, organisationnelle ou humaine.

Ce que l’exposition ne mesure pas

La fréquence et la durée d’exposition ne disent pas nécessairement :

si l’événement dangereux va se produire ;
si une défaillance est probable ;
si le salarié pourra éviter le dommage ;
si les mesures de protection fonctionneront ;
ni quelle sera la gravité des conséquences.

Un salarié peut être exposé quotidiennement à une situation dans laquelle l’événement dangereux reste extrêmement rare.

À l’inverse, une intervention exceptionnelle peut présenter une forte probabilité de perte de maîtrise lorsqu’elle est réalisée.

C’est pourquoi il faut éviter de transformer automatiquement :

« souvent exposé »

en :

« accident probable ».

Pour aller plus loin dans la cotation, il faut maintenant examiner une notion beaucoup plus délicate : la probabilité — et surtout préciser la probabilité de quel événement.

4. Probabilité et occurrence : de quel événement parle-t-on ?

La probabilité est probablement l’un des critères les plus utilisés dans les matrices de risques. C’est aussi l’un des plus ambigus.

On rencontre fréquemment des échelles telles que :

improbable ;
peu probable ;
probable ;
très probable.

Mais avant d’attribuer une note, une question devrait toujours être posée :

Probabilité de quoi ?

De rencontrer le danger ? D’avoir une défaillance ? Que l’événement dangereux se produise ? Qu’un accident survienne ? Ou que cet accident entraîne effectivement le dommage retenu dans la cotation de gravité ?

Ces événements ne sont pas équivalents.

Distinguer exposition, événement dangereux et dommage

Prenons notre cas fil rouge : un technicien intervient sur une machine présentant des éléments mécaniques en mouvement.

On peut distinguer plusieurs étapes :

Présence du technicien dans la zone dangereuse
↓
Exposition au phénomène dangereux
↓
Survenue d’un événement dangereux : démarrage, mouvement inattendu, perte de maîtrise…
↓
Contact avec l’élément dangereux
↓
Dommage

La probabilité peut théoriquement être appréciée à plusieurs endroits de cette chaîne.

Or une cotation qui parle simplement de « probabilité du risque » ne précise pas nécessairement lequel de ces événements elle cherche à caractériser.

C’est une source importante de variabilité entre évaluateurs.

Probabilité d’exposition

Une première possibilité consiste à apprécier la probabilité qu’une personne soit exposée au danger.

Mais si la méthode comporte déjà un critère de fréquence d’exposition, les deux paramètres peuvent se recouvrir.

Si un technicien intervient plusieurs fois par semaine dans une zone dangereuse, sa fréquence d’exposition est déjà caractérisée.

Ajouter ensuite une « probabilité d’exposition » risque de mesurer une seconde fois pratiquement la même chose.

C’est pourquoi chaque critère doit avoir une fonction clairement définie.

Probabilité d’occurrence de l’événement dangereux

Une autre approche consiste à s’intéresser à la vraisemblance de l’événement dangereux lui-même.

Dans notre exemple, la question pourrait devenir :

Quelle est la probabilité qu’un mouvement dangereux de la machine se produise pendant l’intervention ?

Cette formulation est beaucoup plus précise.

L’évaluation peut alors tenir compte, selon le scénario étudié, de facteurs tels que :

la fiabilité de l’équipement ;
les modes de défaillance ;
les démarrages intempestifs possibles ;
les conditions d’exploitation ;
les erreurs ou actions susceptibles de déclencher l’événement ;
les dispositifs empêchant sa survenue.

On ne mesure plus ici la fréquence à laquelle le technicien intervient. On cherche à apprécier la possibilité que l’événement redouté survienne pendant cette exposition.

Probabilité du dommage

On peut encore aller plus loin et chercher à apprécier la probabilité que le scénario aboutisse effectivement au dommage retenu.

Un événement dangereux ne conduit pas nécessairement à un dommage.

Une personne peut percevoir le phénomène et s’éloigner. Une protection peut limiter le contact. Une barrière peut interrompre le scénario. Les circonstances peuvent également faire que l’événement ne produit finalement aucune conséquence.

On se rapproche alors d’une chaîne :

Exposition → événement dangereux → contact ou situation accidentelle → dommage

Plus on avance dans cette chaîne, plus la signification de la probabilité change.

C’est pourquoi deux personnes peuvent parfaitement attribuer des niveaux différents à un même « P » tout en ayant chacune un raisonnement cohérent : elles ne cotent simplement pas le même événement.

Probabilité et occurrence : quelle différence ?

Les termes probabilité et occurrence sont parfois employés comme synonymes. Dans d’autres méthodes, ils recouvrent des notions différentes.

La probabilité exprime généralement le caractère plus ou moins vraisemblable d’un événement.

L’occurrence renvoie à la survenue de cet événement et peut être caractérisée qualitativement ou à partir d’une fréquence lorsqu’on dispose de données suffisantes.

Dans une AMDEC, par exemple, l’occurrence peut servir à apprécier la fréquence ou la vraisemblance d’apparition d’un mode de défaillance.

Dans une analyse de risques industriels, on peut s’intéresser à la fréquence d’occurrence d’un événement ou d’un scénario accidentel.

Le terme utilisé importe finalement moins que sa définition dans la méthode.

Une échelle appelée “probabilité” mais précisément définie sera plus utile qu’un critère appelé “occurrence” dont personne ne sait exactement ce qu’il représente.

Exemple d’échelle de probabilité / occurrence

À titre purement illustratif, une organisation pourrait utiliser une échelle qualitative comme celle-ci :

Niveau	Exemple de définition
P1 – Très improbable	Événement considéré comme exceptionnel dans les conditions étudiées
P2 – Peu probable	Événement possible, mais rarement attendu
P3 – Probable	Événement pouvant raisonnablement se produire
P4 – Très probable	Événement attendu ou susceptible de se produire régulièrement

Cette échelle n’a de sens que si l’on indique clairement quel événement elle concerne.

Écrire simplement « P2 = peu probable » est insuffisant si les évaluateurs ne savent pas s’ils doivent apprécier la défaillance de l’équipement, l’exposition du salarié ou la survenue du dommage.

Peut-on utiliser des fréquences chiffrées ?

Dans certaines analyses, notamment lorsque des données suffisamment robustes existent, l’occurrence peut être exprimée à partir de classes de fréquence.

On quitte alors progressivement le simple jugement qualitatif pour s’appuyer sur des données de retour d’expérience, de fiabilité ou d’accidentologie.

Mais utiliser des valeurs numériques ne rend pas automatiquement l’évaluation objective.

Encore faut-il disposer de données adaptées au scénario étudié, suffisamment représentatives et correctement interprétées.

Attribuer une fréquence très précise à partir d’un retour d’expérience pauvre peut créer une précision apparente supérieure à la connaissance réelle du risque.

Les mesures existantes sont-elles déjà prises en compte ?

C’est ici qu’apparaît une autre difficulté majeure.

Imaginons une machine équipée d’un protecteur interverrouillé empêchant son fonctionnement lorsque l’accès est ouvert.

Lorsqu’on évalue la probabilité d’un mouvement dangereux pendant l’intervention, doit-on tenir compte de cet interverrouillage ?

Si oui, la probabilité évaluée intègre déjà l’efficacité d’une mesure de prévention existante.

Si la méthode applique ensuite un coefficient supplémentaire de « maîtrise du risque » parce que l’interverrouillage existe, la même mesure peut être valorisée deux fois.

C’est le problème du double comptage, que nous retrouverons dans la partie consacrée au niveau de maîtrise.

Cette question nous conduira également à distinguer plus loin risque brut, risque initial et risque résiduel : il faut savoir à quel stade du scénario et avec quelles mesures existantes la cotation est réalisée.

Fréquence d’exposition ≠ probabilité ≠ occurrence

À ce stade, trois notions peuvent déjà être distinguées :

Critère	Question principale
Fréquence d’exposition	À quelle fréquence la personne rencontre-t-elle la situation dangereuse ?
Occurrence	À quelle fréquence ou avec quelle vraisemblance l’événement étudié survient-il ?
Probabilité	Quelle est la vraisemblance de l’événement précisément défini dans la méthode ?

Ces notions peuvent être liées, mais elles ne sont pas nécessairement interchangeables.

Une personne peut être très fréquemment exposée à un événement très peu probable.

À l’inverse, une intervention exceptionnelle peut être réalisée dans des conditions telles que l’événement dangereux devient fortement probable dès que l’exposition existe.

C’est précisément l’intérêt de bien définir les critères avant de les multiplier.

À retenir

Avant d’utiliser un critère de probabilité ou d’occurrence, une méthode de cotation devrait pouvoir compléter cette phrase sans ambiguïté :

« Nous évaluons la probabilité que… »

Si la suite de la phrase n’est pas clairement définie, la note obtenue risque de dépendre davantage de l’interprétation de l’évaluateur que de la situation analysée.

Mais même lorsqu’un événement dangereux se produit, le dommage n’est pas toujours inévitable. La personne peut parfois le percevoir, réagir ou se mettre en sécurité.

C’est précisément ce que cherche à caractériser le critère suivant : la possibilité d’évitement ou de limitation du dommage.

5. La possibilité d’évitement ou de limitation du dommage

Même lorsqu’une personne est exposée à un danger et qu’un événement dangereux survient, le dommage n’est pas toujours inévitable.

Dans certaines situations, le travailleur peut percevoir le danger, comprendre ce qui se passe et disposer de suffisamment de temps et d’espace pour réagir. Dans d’autres, l’événement est si rapide ou si difficile à détecter qu’aucune réaction réaliste n’est possible.

C’est cette différence que cherche à caractériser le critère de possibilité d’évitement ou de limitation du dommage.

Ce critère est notamment utilisé dans certaines méthodes d’appréciation des risques liés aux machines.

Ce que mesure la possibilité d’évitement

La question posée est généralement :

Si la situation dangereuse se produit, la personne exposée peut-elle encore éviter le dommage ou en limiter les conséquences ?

Cette possibilité dépend de plusieurs facteurs.

Il faut notamment considérer :

la vitesse d’apparition du phénomène dangereux ;
la possibilité de percevoir ou d’identifier le danger ;
le temps disponible pour réagir ;
la vitesse de déplacement de la personne ou de l’élément dangereux ;
l’espace disponible pour se retirer ;
les possibilités physiques de fuite ou d’évitement ;
la connaissance de la situation par la personne exposée ;
le caractère soudain ou progressif de l’événement.

La possibilité d’évitement ne dépend donc pas uniquement du comportement du travailleur. Elle dépend largement des caractéristiques physiques et temporelles du scénario.

Reprenons notre intervention de maintenance

Dans notre cas fil rouge, un technicien intervient dans la zone dangereuse d’une machine.

Imaginons deux scénarios.

Premier scénario : un élément mécanique commence à se déplacer lentement. Le mouvement est visible, le technicien dispose d’un espace de retrait et plusieurs secondes lui permettent de réagir.

Une possibilité d’évitement peut raisonnablement exister.

Deuxième scénario : un vérin effectue brutalement un mouvement de fermeture alors que le technicien se trouve dans la zone d’écrasement.

Le phénomène peut être trop rapide pour permettre une réaction efficace.

La gravité potentielle peut être identique dans les deux scénarios. La fréquence d’exposition peut également être identique.

Ce qui change est la possibilité pour la personne d’interrompre la chaîne conduisant au dommage.

Percevoir le danger ne signifie pas pouvoir l’éviter

La perception du danger constitue une condition importante, mais elle n’est pas suffisante.

Un opérateur peut parfaitement voir qu’un élément se déplace sans disposer du temps nécessaire pour se retirer.

Inversement, un phénomène relativement lent peut être difficile à éviter s’il est silencieux, masqué ou impossible à identifier suffisamment tôt.

Il faut donc distinguer :

détecter ou percevoir le phénomène
↓
comprendre qu’il représente un danger
↓
avoir le temps de réagir
↓
disposer d’une possibilité réelle d’action
↓
éviter ou limiter le dommage

Cette chaîne permet également de comprendre pourquoi évitement et détectabilité ne sont pas synonymes. Nous reviendrons sur cette différence dans la partie suivante.

Exemple d’échelle de possibilité d’évitement

Certaines méthodes utilisent seulement deux niveaux. D’autres préfèrent une graduation plus détaillée.

À titre d’exemple pédagogique :

Niveau	Exemple de définition
E1 – Évitement probable	Le phénomène peut être perçu suffisamment tôt et la personne dispose normalement du temps et des possibilités nécessaires pour se mettre en sécurité
E2 – Évitement possible mais incertain	L’évitement dépend des circonstances, du temps de réaction ou de la position de la personne
E3 – Évitement difficile	Le temps ou les possibilités de réaction sont très limités
E4 – Évitement pratiquement impossible	Le phénomène est trop rapide, non perceptible à temps ou ne laisse aucune possibilité réaliste de retrait

Cette échelle n’est ni réglementaire ni universelle. Elle illustre simplement la manière dont ce paramètre peut être traduit dans une méthode de cotation.

Quand ce critère est-il pertinent ?

La possibilité d’évitement devient particulièrement intéressante lorsque la dynamique du scénario influence réellement la possibilité d’un dommage.

C’est typiquement le cas de certains risques mécaniques :

écrasement ;
entraînement ;
cisaillement ;
collision avec un élément mobile ;
mouvement inattendu d’un équipement.

Elle peut également avoir du sens dans d’autres situations où une alerte, un délai ou une possibilité de retrait permet effectivement d’interrompre le scénario.

En revanche, elle apporte peu d’information lorsqu’aucune réaction humaine réaliste n’est possible.

Face à certains phénomènes très rapides, l’idée selon laquelle le salarié pourrait « faire attention » ou « réagir à temps » ne constitue pas une véritable possibilité d’évitement.

Une formation améliore-t-elle la possibilité d’évitement ?

Pas automatiquement.

Former un travailleur à reconnaître une situation dangereuse peut améliorer sa capacité à identifier certains signaux et à adopter une réaction appropriée.

Mais la formation ne ralentit pas un mouvement mécanique, ne crée pas un espace de retrait et n’allonge pas le temps disponible avant le dommage.

Prenons un phénomène laissant 0,2 seconde avant un écrasement.

Même un opérateur parfaitement formé ne dispose probablement pas d’une capacité réaliste d’évitement.

À l’inverse, une alarme suffisamment précoce, une réduction de vitesse, un éloignement de la zone dangereuse ou une modification physique de l’installation peuvent réellement modifier les conditions d’évitement.

C’est une distinction importante :

La compétence de la personne ne doit pas être utilisée pour compenser artificiellement un scénario qui, physiquement, ne laisse aucune possibilité réaliste de réaction.

Attention au double comptage

Comme pour la probabilité, il faut également regarder comment les autres critères de la méthode sont construits.

Si une alarme réduit déjà la probabilité retenue parce qu’elle permet à l’opérateur de se retirer avant le dommage, puis que cette même alarme améliore également la note d’évitement, son effet peut être comptabilisé deux fois.

Ce n’est pas nécessairement faux dans tous les modèles : une mesure peut réellement agir sur plusieurs étapes d’un scénario.

Mais la méthode doit pouvoir expliquer pourquoi elle modifie plusieurs paramètres distincts.

Autrement dit :

Une même mesure peut agir sur plusieurs critères, mais elle ne doit pas être comptée plusieurs fois pour le même effet.

Ce que la possibilité d’évitement ne mesure pas

Ce critère ne mesure pas :

la fréquence à laquelle le salarié est exposé ;
la probabilité qu’une défaillance se produise ;
la gravité du dommage si celui-ci survient ;
l’efficacité globale du système de prévention ;
la fiabilité d’une barrière de sécurité.

Il répond à une question beaucoup plus ciblée :

Une fois le scénario engagé, existe-t-il encore une possibilité réaliste d’éviter ou de limiter le dommage ?

Cette précision est importante, car un autre critère est parfois confondu avec l’évitement : la détectabilité.

Détecter une défaillance avant qu’elle ne produise ses conséquences constitue pourtant une logique différente. C’est notamment l’une des dimensions que l’on retrouve dans les méthodes de type AMDEC.

6. La détectabilité : peut-on détecter la défaillance avant ses conséquences ?

La détectabilité est un critère que l’on rencontre notamment dans les méthodes d’analyse de défaillances telles que l’AMDEC.

Son principe est différent de ceux étudiés jusqu’ici.

La question n’est plus directement de savoir à quelle fréquence une personne est exposée, si un événement va se produire ou si elle pourra éviter le dommage.

Il s’agit plutôt de se demander :

Peut-on détecter suffisamment tôt une défaillance, une dérive ou une anomalie avant qu’elle ne produise les conséquences redoutées ?

Cette distinction est importante, car la détectabilité est parfois ajoutée à des méthodes de cotation des risques sans que l’on sache précisément ce qui doit être détecté, par qui et à quel moment.

Ce que mesure réellement la détectabilité

Dans une AMDEC, on cherche notamment à analyser les modes de défaillance d’un système, leurs effets, leur occurrence et la possibilité de les détecter.

Prenons un exemple simple.

Une pompe peut présenter une dégradation progressive d’un roulement.

Si cette dégradation génère des vibrations mesurables plusieurs semaines avant la défaillance et qu’une surveillance vibratoire est effectivement mise en œuvre, la défaillance peut être détectée suffisamment tôt pour intervenir.

À l’inverse, une rupture brutale sans signe précurseur exploitable présente une tout autre détectabilité.

Le critère cherche donc à apprécier la capacité du système de surveillance ou de contrôle à révéler l’anomalie avant que ses effets redoutés ne surviennent.

Détecter quoi ?

C’est probablement la première question à poser avant d’utiliser ce critère.

On peut en effet détecter :

une dérive de fonctionnement ;
un défaut ;
un mode de défaillance ;
une perte de performance ;
le franchissement d’un seuil ;
une situation anormale ;
ou parfois les prémices d’un événement dangereux.

Ces situations ne sont pas équivalentes.

Dans notre cas fil rouge de maintenance sur une machine, imaginons qu’un capteur surveille la position d’un protecteur.

Le système peut détecter que le protecteur est ouvert et empêcher le fonctionnement de la machine.

Mais cette fonction ne doit pas être confondue automatiquement avec la « détectabilité » au sens d’une AMDEC : elle peut également constituer une fonction de sécurité intervenant directement dans la maîtrise du scénario dangereux.

Une fois encore, le vocabulaire utilisé dépend donc du modèle d’analyse.

Détectabilité et possibilité d’évitement : deux notions différentes

La distinction avec la partie précédente est essentielle.

Détectabilité :

Peut-on identifier la défaillance ou l’anomalie suffisamment tôt ?

Possibilité d’évitement :

Lorsque la situation dangereuse se présente, la personne peut-elle encore éviter ou limiter le dommage ?

Prenons une fuite de produit.

Un détecteur peut identifier très rapidement la présence du produit : bonne détectabilité.

Mais si le phénomène dangereux évolue extrêmement rapidement et ne laisse aucune possibilité de retrait aux personnes présentes, la possibilité d’évitement peut rester très faible.

À l’inverse, un danger peut être facilement perceptible par un opérateur lorsqu’il apparaît sans qu’un système soit capable de détecter préalablement la défaillance qui l’a provoqué.

Les deux critères interviennent donc à des moments différents du scénario.

Exemple d’échelle de détectabilité

À titre illustratif, une méthode pourrait retenir :

Niveau	Exemple de définition
D1 – Très bonne détectabilité	L’anomalie est détectée de manière fiable et suffisamment tôt pour permettre une action avant les conséquences
D2 – Bonne détectabilité	L’anomalie peut généralement être détectée avant ses conséquences
D3 – Faible détectabilité	La détection est incertaine, tardive ou dépend fortement des circonstances
D4 – Très faible détectabilité	L’anomalie est difficilement détectable ou n’est généralement révélée qu’au moment de la défaillance ou de ses conséquences

Cette échelle est uniquement pédagogique.

Il faut également être attentif au sens de la notation. Dans certaines méthodes, une note élevée correspond à une mauvaise détectabilité, donc à une criticité plus importante. Une échelle mal expliquée peut rapidement provoquer des erreurs d’interprétation.

Détecter n’est pas simplement « voir le danger »

Une autre confusion consiste à considérer qu’un risque est bien détectable parce que le danger est visible.

Ce n’est pas nécessairement ce que cherche à mesurer le critère.

Un opérateur peut parfaitement savoir qu’une machine comporte des pièces en mouvement. Cela ne signifie pas qu’il soit capable de détecter la défaillance qui conduira à un mouvement intempestif.

De même, l’odeur d’un produit peut parfois révéler sa présence, mais cela ne constitue pas nécessairement un moyen de détection suffisamment précoce, fiable ou adapté pour prévenir les conséquences recherchées.

Une bonne définition du critère devrait donc préciser :

ce qui doit être détecté → par quel moyen → avec quelle fiabilité → suffisamment tôt par rapport à quelle conséquence.

La présence d’un dispositif de détection suffit-elle ?

Non.

Installer un capteur, une alarme ou un système de surveillance ne signifie pas automatiquement que la détection est efficace.

Il faut notamment s’interroger sur :

la capacité réelle du dispositif à détecter le phénomène recherché ;
son seuil de détection ;
sa couverture ;
son temps de réponse ;
sa disponibilité ;
sa maintenance et ses vérifications ;
la transmission de l’information ;
et, lorsque cela est nécessaire, la capacité à déclencher une action suffisamment rapide.

Une alarme qui se déclenche après que le dommage est devenu inévitable peut parfaitement détecter le phénomène sans constituer une mesure efficace pour prévenir ce dommage.

Une détection n’a de valeur préventive que si elle intervient suffisamment tôt pour permettre une action utile.

Faut-il intégrer la détectabilité dans un DUERP ?

Pas systématiquement.

Parce que la détectabilité est pertinente en AMDEC, il pourrait être tentant d’ajouter un coefficient D à une cotation des risques professionnels afin de rendre la méthode plus complète.

Mais cette transposition n’est pas automatiquement pertinente.

Pour de nombreux risques professionnels, les questions essentielles peuvent déjà être correctement caractérisées par la gravité, l’exposition et la probabilité ou les autres paramètres retenus par l’entreprise.

Ajouter la détectabilité n’a d’intérêt que si elle permet de distinguer des situations qui seraient autrement mal caractérisées et si cette distinction aide réellement à décider des mesures de prévention.

Sinon, elle ajoute simplement un coefficient supplémentaire à la formule.

C’est exactement le principe qui doit guider le choix de tous les critères :

Un bon critère de cotation n’est pas celui qui rend la formule plus sophistiquée. C’est celui qui apporte une information distincte et utile à la décision.

Après la gravité, l’exposition, la probabilité, l’occurrence, l’évitement et la détectabilité, un autre paramètre apparaît régulièrement dans les méthodes d’évaluation : le nombre de personnes exposées.

Mais ce paramètre soulève une question différente : mesure-t-il réellement le niveau du risque, ou plutôt l’importance de le traiter en priorité ?

7. Le nombre de personnes exposées : risque ou priorité ?

Le nombre de personnes exposées apparaît dans certaines méthodes de cotation comme un critère supplémentaire. L’idée semble logique : à danger identique, une situation exposant cinquante personnes paraît plus préoccupante qu’une situation n’en exposant qu’une seule.

Mais faut-il pour autant considérer que le risque est cinquante fois plus élevé ?

Pas nécessairement.

Cette question oblige à distinguer deux notions souvent mélangées dans les matrices :

Évaluer le niveau d’un risque et déterminer la priorité avec laquelle l’entreprise doit agir ne sont pas exactement la même chose.

Une personne ou cinquante : le risque individuel change-t-il ?

Prenons deux ateliers présentant exactement la même situation dangereuse.

Dans le premier, un salarié est exposé.

Dans le second, vingt salariés réalisent le même travail dans les mêmes conditions.

Supposons que :

la gravité potentielle soit identique ;
la fréquence individuelle d’exposition soit identique ;
la probabilité de survenue du dommage soit identique.

Pour chacun des travailleurs concernés, le risque individuel peut être considéré comme similaire.

Le fait de passer d’un à vingt salariés ne rend pas nécessairement le dommage plus grave pour chaque personne et ne modifie pas automatiquement la probabilité individuelle d’être victime.

En revanche, l’enjeu collectif pour l’entreprise augmente considérablement.

C’est précisément là que le nombre de personnes exposées devient intéressant.

Risque individuel et enjeu collectif

Le nombre de personnes exposées apporte une information que la gravité et la probabilité individuelles ne traduisent pas toujours.

Imaginons deux risques présentant la même cotation :

Risque A : cotation élevée, 1 personne exposée.

Risque B : cotation élevée, 80 personnes exposées.

Même si le niveau de risque individuel est identique, il paraît difficile de considérer les deux situations comme strictement équivalentes lorsqu’il faut construire un programme de prévention.

Le second risque concerne une population beaucoup plus importante.

Le nombre de personnes exposées peut donc devenir un critère de priorisation des actions, sans nécessairement être intégré directement dans le calcul du niveau de risque individuel.

Faut-il intégrer le nombre de personnes dans la formule ?

Certaines méthodes utilisent un coefficient représentant le nombre de personnes exposées :

R = G × P × N

avec :

G = gravité ;
P = probabilité ;
N = nombre ou classe de personnes exposées.

Cette construction est possible, mais elle modifie ce que représente le résultat final.

Prenons volontairement un exemple très simplifié :

Situation	Gravité	Probabilité	Personnes exposées
A	4	3	1
B	4	3	20

Si le nombre de personnes est directement utilisé comme multiplicateur, la situation B obtient mécaniquement un score vingt fois supérieur.

Mais peut-on réellement en conclure que le risque est vingt fois plus important ?

Cela dépend entièrement de ce que l’entreprise souhaite mesurer.

Si elle cherche à caractériser le risque auquel est exposé un travailleur, ce coefficient peut brouiller l’interprétation.

Si elle cherche à construire un indicateur intégrant l’importance collective du risque, cette information peut au contraire être utile.

La méthode doit donc préciser ce que représente son score.

Utiliser des classes plutôt que le nombre brut

Lorsqu’une organisation souhaite intégrer ce paramètre, utiliser directement le nombre de personnes comme multiplicateur peut produire des effets disproportionnés.

Une alternative consiste à utiliser des classes.

Par exemple :

Niveau	Exemple de nombre de personnes exposées
N1	1 personne
N2	2 à 5 personnes
N3	6 à 20 personnes
N4	Plus de 20 personnes

Cette échelle est, là encore, purement illustrative.

Elle ne constitue pas une recommandation universelle. Son intérêt est simplement de montrer qu’un paramètre collectif peut être intégré sans transformer directement l’effectif exposé en coefficient multiplicateur.

Mais une autre solution peut être encore plus lisible : ne pas intégrer ce critère dans la cotation du risque et l’utiliser séparément pour établir les priorités d’action.

Le nombre de personnes exposées peut aussi révéler un problème d’exposition

Il faut toutefois apporter une nuance.

Dans certaines situations, l’effectif exposé ne constitue pas uniquement un critère de priorité.

Une mesure de prévention peut précisément consister à réduire le nombre de personnes présentes dans une zone dangereuse.

Prenons une opération exceptionnelle de maintenance nécessitant une intervention dans une zone présentant un danger important.

Si six personnes sont présentes alors que deux seulement sont nécessaires, limiter l’accès aux deux intervenants indispensables réduit effectivement l’exposition collective au danger.

Mais pour les deux personnes qui restent exposées, la gravité du scénario et leur niveau individuel d’exposition ne sont pas nécessairement modifiés.

Il faut donc préciser ce que l’on affirme avoir réduit :

Réduire le nombre de personnes exposées réduit l’exposition collective, mais ne réduit pas automatiquement le risque individuel de celles qui restent exposées.

Et lorsqu’un même événement peut toucher plusieurs personnes ?

La situation est différente lorsqu’un seul événement peut provoquer simultanément plusieurs victimes.

Une explosion, un incendie, une émission toxique ou l’effondrement d’une structure peuvent affecter plusieurs personnes au cours du même scénario.

On ne parle alors plus simplement de vingt personnes réalisant individuellement une même tâche.

Le nombre potentiel de personnes affectées fait partie de l’ampleur des conséquences du scénario.

Cette dimension est particulièrement importante dans certaines analyses de risques industriels ou collectifs.

Il faut donc distinguer :

plusieurs personnes exposées individuellement au même risque

un événement unique susceptible d’affecter simultanément plusieurs personnes.

Ce ne sont pas nécessairement les mêmes logiques d’évaluation.

Notre cas fil rouge : l’intervention de maintenance

Reprenons notre technicien intervenant sur une machine.

Supposons que l’intervention nécessite normalement deux personnes mais que cinq salariés restent régulièrement à proximité pour observer ou assister l’opération.

Une mesure organisationnelle limite désormais l’accès à la zone aux deux personnes indispensables.

La mesure a bien un effet :

le nombre de personnes exposées passe de cinq à deux ;
l’exposition collective diminue ;
les conséquences potentielles à l’échelle du groupe peuvent être réduites.

En revanche, si aucune autre modification n’est réalisée, le technicien qui intervient directement dans la zone dangereuse reste confronté au même phénomène dangereux.

Il serait donc discutable de diminuer automatiquement sa gravité ou sa probabilité individuelle uniquement parce que trois autres personnes ont quitté la zone.

Ce que le nombre de personnes exposées ne mesure pas

À lui seul, ce critère ne renseigne pas sur :

la gravité du dommage individuel ;
la fréquence d’exposition de chaque travailleur ;
la probabilité d’occurrence de l’événement ;
la possibilité d’éviter le dommage ;
l’efficacité des mesures de prévention.

Il apporte une autre information : l’étendue de l’exposition humaine ou l’enjeu collectif associé à la situation.

C’est pourquoi son emplacement dans la méthode mérite d’être réfléchi.

Cotation et priorité commencent à se séparer

Cette question met en évidence une distinction qui deviendra centrale dans la suite du guide.

Une entreprise peut avoir besoin de deux niveaux de lecture :

1. Caractériser le risque

Quelle est sa gravité ? Quelle est l’exposition ? Quelle est la vraisemblance du scénario ?

2. Déterminer l’ordre dans lequel agir

Combien de personnes sont concernées ? Existe-t-il une obligation réglementaire ? La situation nécessite-t-elle une action immédiate ? Existe-t-il une situation particulièrement vulnérable ou une dérive connue ?

Ces informations sont toutes utiles à la prévention.

Mais elles n’ont pas nécessairement besoin d’être multipliées dans une seule formule.

Un critère peut être essentiel pour décider d’agir sans être nécessairement un bon critère pour mesurer le niveau du risque.

Nous reviendrons spécifiquement sur cette distinction entre cotation du risque et priorité d’action.

Avant cela, il reste un critère très fréquemment utilisé dans les évaluations : le niveau de maîtrise du risque. Il paraît particulièrement séduisant puisqu’il permet de tenir compte des mesures de prévention déjà en place. Mais c’est aussi l’un des critères qui présente le plus grand risque de subjectivité et de double comptage.

8. Le niveau de maîtrise du risque

Le niveau de maîtrise est fréquemment utilisé pour tenir compte des mesures de prévention déjà présentes dans l’entreprise.

Le raisonnement paraît logique : deux situations présentant le même danger, la même gravité potentielle et la même exposition ne devraient pas nécessairement recevoir la même appréciation si l’une dispose de mesures de prévention robustes et l’autre pratiquement d’aucune.

Certaines méthodes introduisent donc un coefficient de maîtrise venant diminuer la cotation obtenue.

Mais ce critère pose une difficulté majeure :

Que signifie exactement qu’un risque est « maîtrisé » ?

La présence d’une procédure, d’un carter, d’une formation ou d’un équipement de protection ne démontre pas, à elle seule, que le risque est effectivement maîtrisé.

Mesures existantes et maîtrise réelle : deux choses différentes

Une première erreur consiste à confondre inventaire des mesures de prévention et niveau de maîtrise.

Prenons notre cas fil rouge : une intervention de maintenance sur une machine.

L’entreprise peut indiquer que le risque est maîtrisé parce qu’elle dispose :

d’une procédure de consignation ;
d’un dispositif de coupure des énergies ;
de protecteurs ;
d’une formation des techniciens ;
d’un permis ou d’une autorisation d’intervention ;
d’EPI adaptés.

Cette liste est utile, mais elle ne répond pas encore complètement à la question de la maîtrise.

Il faut également vérifier, selon les mesures concernées :

sont-elles adaptées au scénario ?
sont-elles réellement mises en œuvre ?
sont-elles disponibles au moment nécessaire ?
sont-elles connues et comprises ?
sont-elles contrôlées ?
sont-elles maintenues dans le temps ?
leur efficacité est-elle démontrée ou seulement supposée ?

Une mesure peut donc exister sur le papier sans produire le niveau de maîtrise attendu sur le terrain.

Exemple d’échelle de maîtrise

Une méthode pourrait, à titre illustratif, utiliser une échelle comme celle-ci :

Niveau	Exemple de définition
M1 – Maîtrise forte	Mesures adaptées, effectivement mises en œuvre, vérifiées et maintenues ; efficacité démontrée
M2 – Maîtrise satisfaisante	Mesures pertinentes et globalement appliquées, avec quelques points d’amélioration
M3 – Maîtrise partielle	Mesures présentes mais incomplètes, insuffisamment appliquées ou insuffisamment vérifiées
M4 – Maîtrise faible	Mesures absentes, inadaptées ou ne permettant pas de démontrer une maîtrise effective du risque

Cette échelle est un exemple pédagogique, et non une échelle réglementaire ou universelle.

Elle met toutefois en évidence une idée importante : évaluer la maîtrise devrait aller au-delà de la question « existe-t-il une mesure ? »

Le risque de subjectivité

Le niveau de maîtrise peut rapidement devenir l’un des critères les plus subjectifs de la méthode.

Des appréciations telles que :

maîtrise bonne ;
maîtrise moyenne ;
maîtrise insuffisante ;

semblent simples, mais elles peuvent recouvrir des réalités très différentes selon l’évaluateur.

Un responsable d’atelier peut considérer un risque comme bien maîtrisé parce qu’aucun accident ne s’est produit depuis plusieurs années.

Un opérateur peut estimer au contraire que la procédure est difficilement applicable dans certaines configurations.

Le responsable HSE peut constater que les mesures prévues sont pertinentes mais que leur application est variable.

Les trois personnes parlent du même risque, mais leur appréciation de la maîtrise peut être très différente.

Pour limiter cette variabilité, les niveaux doivent donc reposer autant que possible sur des éléments observables ou vérifiables.

L’absence d’accident démontre-t-elle la maîtrise ?

Non.

L’absence d’accident peut constituer une information intéressante, mais elle ne suffit pas à démontrer l’efficacité des mesures de prévention.

Une situation dangereuse peut exister pendant plusieurs années sans produire de dommage.

De la même manière, un événement accidentel peut survenir alors que plusieurs mesures pertinentes étaient effectivement présentes.

La maîtrise doit donc être appréciée à partir du fonctionnement réel du dispositif de prévention, et non uniquement à partir de son résultat historique.

« Aucun accident jusqu’à présent » ne signifie pas nécessairement « risque maîtrisé ».

Le principal piège : compter deux fois les mêmes mesures

C’est probablement le problème méthodologique le plus important avec ce critère.

Imaginons que la cotation repose sur :

R = G × F × P × M

Lors de l’évaluation de la probabilité P, l’équipe tient déjà compte :

du protecteur interverrouillé ;
de la consignation ;
des automatismes de sécurité ;
de l’organisation de l’intervention.

Grâce à ces mesures, elle estime que l’événement dangereux est peu probable.

Puis elle attribue un bon niveau de maîtrise M précisément parce que ces mêmes dispositifs existent.

Les mêmes mesures viennent alors réduire la cotation une première fois dans P, puis une seconde fois dans M.

Le résultat peut donner l’impression d’un risque extrêmement faible alors qu’une partie de cette diminution provient simplement de la construction mathématique de la méthode.

Avant ou après les mesures existantes ?

Ce problème révèle une question encore plus fondamentale :

À quel moment du scénario réalise-t-on la cotation ?

Deux logiques sont possibles.

Une première consiste à apprécier une situation sans tenir compte de certaines mesures existantes, puis à évaluer séparément l’effet de ces mesures.

Une seconde consiste à évaluer directement la situation telle qu’elle existe réellement, avec ses mesures de prévention en place.

Les deux approches peuvent être construites méthodologiquement, mais elles ne produisent pas le même résultat et ne permettent pas d’utiliser un coefficient de maîtrise de la même manière.

C’est pourquoi il est indispensable de définir clairement ce que l’entreprise appelle risque brut, risque initial ou risque résiduel. Nous consacrerons une partie spécifique à cette question.

Une maîtrise globale peut masquer une barrière faible

Attribuer une seule note de maîtrise à l’ensemble d’une situation présente une autre limite.

Reprenons notre intervention de maintenance.

Le système peut comporter :

un protecteur efficace ;
une procédure correctement définie ;
une consignation des énergies ;
une formation des intervenants ;
un contrôle périodique.

Globalement, la maîtrise pourrait sembler « bonne ».

Mais si la consignation d’une énergie particulière est impossible dans certaines configurations, cette faiblesse peut suffire à maintenir un scénario accidentel critique.

Une moyenne globale de maîtrise risque alors de masquer la défaillance d’un élément déterminant du scénario.

Pour les risques importants, il peut donc être plus pertinent d’analyser individuellement les mesures ou barrières essentielles plutôt que d’appliquer un coefficient global.

Toutes les mesures ont-elles la même valeur ?

Non plus.

Une méthode qui attribue un bon niveau de maîtrise simplement parce que plusieurs mesures existent peut mettre artificiellement sur le même plan :

la suppression d’un danger ;
une protection technique ;
une alarme ;
une procédure ;
une formation ;
un affichage ;
un EPI.

Or ces mesures n’agissent ni au même endroit dans le scénario, ni avec le même niveau de dépendance vis-à-vis de l’action humaine, ni selon la même logique de prévention.

Compter le nombre de mesures ne suffit donc pas.

C’est également pour cette raison que les principes généraux de prévention accordent une importance particulière à l’action en amont sur le risque plutôt qu’à la seule accumulation de protections.

Nous reviendrons sur cette hiérarchie lorsque nous analyserons précisément sur quels critères les mesures techniques, organisationnelles et humaines peuvent agir.

Ce que le niveau de maîtrise ne devrait pas devenir

Le coefficient de maîtrise ne devrait pas servir de variable permettant de faire baisser arbitrairement une cotation parce que l’entreprise estime avoir « fait ce qu’il fallait ».

Une cotation du type :

Risque initial = 16

puis :

Mesures existantes = bonnes

donc :

Risque maîtrisé = 4

n’apporte que peu d’information si personne ne peut expliquer pourquoi les mesures divisent réellement le risque par quatre.

La question pertinente est plutôt :

Quelles mesures interrompent ou modifient le scénario, à quel endroit agissent-elles et dispose-t-on d’éléments permettant d’en apprécier l’efficacité ?

Cette approche permet de passer d’une maîtrise déclarée à une maîtrise argumentée.

À retenir

Le niveau de maîtrise peut être utile dans une méthode de cotation, mais à trois conditions :

définir précisément ce que signifie chaque niveau ;
évaluer la réalité et l’efficacité des mesures, pas seulement leur présence ;
vérifier que leur effet n’est pas déjà intégré dans les autres critères.

Une mesure existante n’est pas nécessairement une mesure efficace, et une mesure efficace ne doit pas être comptée deux fois dans la même cotation.

Cette distinction nous conduit directement à une approche plus fine : au lieu d’attribuer une note globale de maîtrise, il peut être nécessaire de s’intéresser à l’efficacité réelle des mesures de prévention et des barrières de sécurité.

9. L’efficacité des mesures de prévention et des barrières

Dans la partie précédente, nous avons vu qu’un niveau global de maîtrise peut être utile, mais qu’il présente une limite importante : il peut résumer en une seule note des mesures de prévention très différentes.

Or toutes les mesures n’agissent pas de la même manière.

Supprimer un produit dangereux, empêcher physiquement l’accès à une zone, installer un interverrouillage, déclencher une alarme, rédiger une procédure ou fournir un EPI ne modifient pas le scénario de risque au même endroit.

Pour comprendre réellement la maîtrise d’un risque, il faut donc parfois quitter la logique :

« Avons-nous des mesures de prévention ? »

pour poser une question plus exigeante :

« Que font réellement ces mesures dans le scénario, et peut-on compter sur elles lorsqu’elles sont sollicitées ? »

C’est notamment tout l’enjeu de l’analyse des barrières de sécurité.

Notre article : Le niveau de confiance en sécurité : faites-vous vraiment confiance à vos barrières ?

Présence d’une mesure et efficacité : deux choses différentes

Une mesure de prévention peut être :

prévue ;
installée ;
disponible ;
utilisée ;
vérifiée ;
maintenue ;
efficace au moment où elle est nécessaire.

Ces différents états ne sont pas équivalents.

Prenons notre cas fil rouge de maintenance sur une machine.

L’entreprise dispose d’une procédure de consignation. La mesure existe donc bien.

Mais si, sur le terrain :

une énergie résiduelle n’est pas identifiée ;
certains points de consignation sont difficilement accessibles ;
la procédure ne correspond plus à la configuration actuelle ;
les intervenants contournent certaines étapes ;
ou l’efficacité de la consignation n’est pas vérifiée avant l’intervention,

la présence de la procédure ne démontre pas à elle seule que le scénario dangereux est maîtrisé.

Il faut donc distinguer l’existence de la mesure de sa capacité réelle à produire l’effet attendu.

Prévention et protection : où agit la mesure ?

Toutes les mesures ne jouent pas le même rôle dans la chaîne conduisant au dommage.

Une représentation simplifiée peut être utile :

Danger
↓
Exposition
↓
Événement dangereux
↓
Situation accidentelle
↓
Dommage

Une mesure peut agir à différents endroits.

Par exemple :

Mesure	Effet recherché
Suppression d’un produit dangereux	Supprimer le danger ou le scénario associé
Automatisation d’une opération	Supprimer ou réduire l’exposition humaine
Protecteur fixe	Empêcher l’accès au phénomène dangereux
Interverrouillage	Empêcher certaines situations dangereuses lorsque le protecteur est ouvert
Consignation	Empêcher la libération intempestive d’une énergie
Alarme	Permettre la détection et éventuellement une réaction
Limitation d’énergie	Réduire les conséquences possibles
EPI	Limiter l’exposition ou les conséquences selon le danger et l’équipement

Parler simplement de « mesure existante » fait donc perdre une information essentielle : quel rôle joue-t-elle réellement dans le scénario ?

Qu’est-ce qu’une barrière de sécurité ?

Dans les analyses de risques, on parle souvent de barrière lorsqu’une mesure est destinée à empêcher le développement d’un scénario accidentel ou à en limiter les conséquences.

On peut notamment distinguer des barrières qui cherchent à :

prévenir l’événement redouté ;
détecter une dérive ou un événement ;
interrompre la progression du scénario ;
protéger les personnes ou les installations ;
limiter les conséquences.

Cette représentation est particulièrement utile dans les méthodes telles que le Bow-Tie, où les barrières sont positionnées de part et d’autre d’un événement central : certaines cherchent à empêcher sa survenue, d’autres à limiter ses conséquences.

Elle permet de passer d’une logique de liste à une logique de scénario :

Quelle barrière empêche quoi ?

Barrières techniques, organisationnelles et humaines

Les mesures participant à la maîtrise d’un risque peuvent être de différentes natures.

Une barrière technique peut, par exemple, reposer sur un protecteur, un interverrouillage, un système instrumenté, un dispositif de confinement ou une fonction automatique.

Une mesure organisationnelle peut reposer sur une consignation, une autorisation de travail, une inspection, une organisation particulière de l’intervention ou un contrôle.

Une action humaine peut également participer à une fonction de sécurité : détecter une anomalie, effectuer une vérification, fermer une vanne, interrompre une opération ou déclencher une mise en sécurité.

Mais leur efficacité ne peut pas être présumée simplement parce qu’elles sont prévues.

Une action humaine, par exemple, suppose que la personne :

dispose de l’information nécessaire ;
comprenne la situation ;
soit compétente ;
dispose du temps nécessaire ;
puisse effectivement agir ;
et que l’organisation lui permette de le faire.

Cette distinction Technique – Organisation – Humain (TOH) sera reprise dans la partie suivante. Elle permet de caractériser la nature des mesures, mais elle ne constitue pas à elle seule une hiérarchie réglementaire de prévention.

Une barrière doit fonctionner lorsqu’on en a besoin

Une barrière n’est réellement utile que si elle est capable d’assurer sa fonction au moment où le scénario la sollicite.

Cela conduit à examiner plusieurs dimensions.

La performance

La mesure est-elle capable de produire l’effet attendu ?

Un dispositif destiné à empêcher l’accès à une zone dangereuse doit réellement empêcher cet accès dans les conditions prévues.

La disponibilité

La mesure est-elle opérationnelle lorsque le besoin apparaît ?

Une protection neutralisée, un détecteur indisponible ou une fonction de sécurité inhibée ne fournissent plus la même maîtrise.

Le temps de réponse

La mesure agit-elle suffisamment rapidement ?

Une détection peut être techniquement correcte mais trop tardive pour empêcher les conséquences.

Le maintien dans le temps

La performance reste-t-elle assurée après plusieurs mois ou plusieurs années d’exploitation ?

Essais périodiques, contrôles, maintenance, gestion des modifications et suivi des défaillances deviennent alors essentiels.

Peut-on traduire l’efficacité d’une barrière dans la cotation ?

C’est possible dans certaines méthodes, mais il faut être particulièrement prudent.

Une entreprise pourrait être tentée de raisonner ainsi :

« Nous avons trois barrières, donc la probabilité est faible. »

Ce raisonnement est insuffisant.

Trois barrières peuvent être :

inefficaces vis-à-vis du scénario ;
dépendantes les unes des autres ;
vulnérables à une même cause de défaillance ;
fondées sur la même action humaine ;
indisponibles simultanément dans certaines conditions.

À l’inverse, une seule barrière correctement conçue, indépendante, maintenue et vérifiée peut parfois jouer un rôle déterminant.

Le nombre de barrières n’est donc pas une mesure suffisante de la maîtrise.

Le niveau de confiance : aller plus loin que « la barrière existe »

Dans certaines analyses de risques industriels, l’évaluation des barrières va précisément plus loin que leur simple présence.

La notion de niveau de confiance (NC) permet d’apprécier la confiance que l’on peut accorder à une barrière remplissant une fonction de sécurité, selon le cadre méthodologique considéré.

L’intérêt de cette approche est important pour notre réflexion sur la cotation :

On ne réduit pas la vraisemblance d’un scénario simplement parce qu’une barrière figure sur un schéma. Il faut pouvoir justifier la performance qu’on lui attribue.

Cette logique est particulièrement développée en sécurité des procédés et dans les études de dangers. Elle n’a pas vocation à être transposée mécaniquement à chaque ligne d’un DUERP, mais elle apporte un enseignement méthodologique précieux : une mesure de prévention ne devrait pas bénéficier d’un “crédit” supérieur à l’efficacité que l’on peut réellement lui attribuer.

Attention aux barrières dépendantes

Prenons un exemple.

Une entreprise considère disposer de trois mesures :

une procédure demande de vérifier une vanne ;
l’opérateur réalise cette vérification ;
une checklist lui demande de confirmer qu’il l’a réalisée.

Sur le papier, trois éléments peuvent apparaître dans la colonne « mesures existantes ».

Mais les trois reposent essentiellement sur la même action humaine.

Ils ne constituent donc pas nécessairement trois barrières indépendantes.

Cette distinction devient particulièrement importante lorsque l’on cherche à quantifier ou à créditer l’effet des mesures sur la probabilité d’un scénario.

Une mesure efficace aujourd’hui peut ne plus l’être demain

L’efficacité n’est pas nécessairement acquise définitivement.

Une barrière peut se dégrader sous l’effet :

de l’usure ;
d’une modification technique ;
d’un changement de procédé ;
d’une évolution de l’organisation ;
d’une dérive des pratiques ;
d’un défaut de maintenance ;
d’une neutralisation temporaire devenue permanente ;
ou d’une perte de compétence.

La cotation d’un risque ne devrait donc pas figer pour plusieurs années une hypothèse de maîtrise sans vérifier que les conditions ayant justifié cette appréciation sont toujours présentes.

La maîtrise d’un risque est une performance à maintenir, pas seulement une caractéristique à renseigner dans une matrice.

Ce que l’analyse des barrières apporte à la cotation

Cette approche permet surtout d’éviter un raccourci fréquent :

mesure présente → risque maîtrisé → note réduite.

Le raisonnement devrait plutôt être :

scénario identifié → fonction de sécurité nécessaire → mesure ou barrière associée → efficacité vérifiée → effet justifié sur le scénario → éventuelle modification de la cotation.

Cette logique nous conduit directement à la question centrale de la partie suivante.

Si une entreprise installe un protecteur, réduit le temps d’intervention, ajoute une alarme, forme les opérateurs ou fournit un EPI, quelle note doit réellement diminuer ?

La gravité ? L’exposition ? La probabilité ? L’occurrence ? La possibilité d’évitement ?

C’est ce que nous allons examiner avec une règle simple :

Une mesure de prévention ne devrait faire évoluer une cotation que si l’on peut expliquer précisément sur quel paramètre du risque elle agit et pourquoi.

10. Sur quel critère les mesures de prévention agissent-elles réellement ?

Une fois les risques évalués, la logique paraît simple : l’entreprise met en œuvre des mesures de prévention, puis réévalue le risque.

C’est à ce moment qu’apparaît une pratique très fréquente dans les matrices :

Cotation avant action : 16
Cotation après action : 8

Mais pourquoi le risque est-il passé de 16 à 8 ?

Quelle composante a réellement changé ?

La gravité ? L’exposition ? La probabilité ? La possibilité d’évitement ? Le nombre de personnes exposées ?

Une action de prévention ne devrait pas conduire à diminuer mécaniquement une cotation simplement parce qu’elle a été réalisée.

Si une mesure fait baisser une note, il faut pouvoir expliquer quel paramètre du scénario elle modifie et pourquoi.

C’est probablement l’une des règles les plus importantes pour construire une cotation cohérente.

Premier cas : supprimer le danger ou le scénario

La mesure la plus efficace peut parfois consister à supprimer le danger lui-même.

Prenons un nettoyage réalisé avec un produit dangereux. Si le procédé est modifié et que ce produit est remplacé par une solution ne présentant plus le danger considéré, la question n’est pas nécessairement de faire passer :

G4 → G2

ou :

P3 → P1.

Si le danger à l’origine du scénario a réellement disparu, le scénario correspondant n’a plus à être coté de la même manière.

Même logique avec notre cas fil rouge.

Un technicien devait entrer dans une machine pour effectuer un réglage. Une modification de conception permet désormais de réaliser ce réglage depuis l’extérieur, sans exposition à la zone dangereuse.

Le danger mécanique existe peut-être toujours à l’intérieur de la machine, mais le scénario d’exposition associé à cette opération a été supprimé.

C’est une distinction fondamentale :

Supprimer un scénario de risque n’est pas la même chose que diminuer sa note.

Deuxième cas : agir sur l’exposition

De nombreuses mesures agissent principalement sur la relation entre la personne et le danger.

Elles peuvent réduire :

la fréquence d’exposition ;
la durée d’exposition ;
le nombre de personnes exposées ;
voire supprimer l’exposition pour une opération donnée.

Quelques exemples :

Mesure	Effet principal possible
Automatiser une opération	Supprimer ou réduire l’exposition humaine
Réaliser un réglage à distance	Supprimer certaines entrées en zone dangereuse
Réduire la fréquence d’une intervention	Diminuer la fréquence d’exposition
Réorganiser une opération	Réduire la durée d’exposition
Limiter l’accès aux seules personnes nécessaires	Réduire le nombre de personnes exposées

Dans ces situations, diminuer arbitrairement la gravité serait difficilement justifiable.

Le dommage potentiel peut rester exactement le même si l’exposition a lieu et que le scénario aboutit au dommage.

C’est l’exposition qui a changé.

Troisième cas : agir sur la probabilité ou l’occurrence

Certaines mesures cherchent principalement à empêcher l’événement dangereux de se produire.

Dans notre intervention de maintenance, une consignation correctement conçue et mise en œuvre peut empêcher une remise en énergie intempestive.

Un interverrouillage peut empêcher certains mouvements lorsque le protecteur est ouvert.

Une modification technique peut supprimer une cause de défaillance.

Ces mesures peuvent donc agir sur l’occurrence ou la probabilité de l’événement précisément défini dans la méthode.

Mais cette affirmation suppose que l’on sache déjà ce que représente le critère P.

Si « P » signifie :

probabilité d’un mouvement dangereux pendant l’intervention,

une consignation peut effectivement influencer cette probabilité.

Si « P » signifie :

probabilité que le technicien entre dans la machine,

la même mesure n’agit pas sur le même paramètre.

On retrouve donc la question centrale abordée précédemment :

Probabilité de quoi ?

Sans cette définition, il devient impossible d’expliquer rigoureusement l’effet des actions sur la cotation.

Quatrième cas : peut-on réellement agir sur la gravité ?

C’est ici qu’il faut être particulièrement vigilant.

Dans de nombreuses matrices, une mesure de prévention entraîne automatiquement une diminution de la gravité.

Pourtant, une procédure, une formation ou une diminution de la fréquence d’exposition ne modifient généralement pas la conséquence du scénario si le dommage survient.

Prenons un risque d’écrasement susceptible d’entraîner le décès.

Former davantage l’opérateur peut contribuer à réduire certaines erreurs.

La conséquence potentielle d’un écrasement grave reste néanmoins la même.

La gravité ne devrait donc pas automatiquement passer de G4 à G3.

En revanche, certaines mesures peuvent réellement modifier les conséquences du scénario.

Par exemple :

réduire l’énergie d’un mouvement ;
limiter une pression ;
réduire la quantité de matière dangereuse susceptible d’être libérée ;
limiter la hauteur de chute ;
mettre en place une protection capable d’atténuer les conséquences ;
modifier un procédé afin de réduire l’intensité du phénomène dangereux.

Dans ces situations, une modification de la gravité peut être justifiée.

Mais il faut toujours poser la question :

Gravité de quoi, et à quel stade du scénario ?

Si la mesure empêche le scénario de se produire, elle agit plutôt sur son occurrence.

Si elle réduit l’exposition, elle agit sur l’exposition.

Si elle permet réellement de réduire les conséquences lorsque l’événement se produit, alors une modification de la gravité retenue peut être cohérente.

Cinquième cas : agir sur la possibilité d’évitement

Certaines mesures peuvent laisser davantage de possibilités à une personne pour éviter le dommage.

Cela peut être le cas, selon les situations, de :

la réduction de la vitesse d’un mouvement ;
l’augmentation de la distance par rapport au danger ;
la création d’une possibilité de retrait ;
une détection suffisamment précoce ;
une alarme donnant réellement le temps d’agir.

Dans notre cas de maintenance, imaginons qu’un mouvement mécanique ne puisse désormais être réalisé qu’à vitesse réduite et sous certaines conditions de commande.

Si cette modification laisse réellement davantage de temps à l’intervenant pour se retirer, elle peut influencer le critère d’évitement.

À l’inverse, ajouter un voyant alors que le phénomène dangereux survient en quelques fractions de seconde ne transforme pas nécessairement la situation.

Une possibilité d’évitement doit être physiquement réaliste, pas simplement prévue dans une procédure.

Sixième cas : agir sur la détectabilité

Lorsqu’une méthode utilise la détectabilité, une mesure peut améliorer ce critère si elle permet effectivement d’identifier une anomalie avant qu’elle ne conduise aux conséquences redoutées.

Par exemple :

surveillance vibratoire ;
contrôle automatique ;
détection de fuite ;
surveillance d’un paramètre de procédé ;
autodiagnostic ;
système d’alarme suffisamment précoce.

Mais, comme nous l’avons vu, la simple présence d’un capteur ne suffit pas.

Il faut notamment considérer sa capacité de détection, son temps de réponse, sa disponibilité et la possibilité d’agir après la détection.

Lire les mesures selon leur nature : Technique – Organisation – Humain

Pour analyser les mesures de prévention, une lecture TOH — Technique, Organisation, Humain peut être particulièrement utile.

Elle permet de comprendre sur quoi repose la maîtrise du risque.

Nature	Exemples
Technique	Suppression du danger, captage, protecteur, interverrouillage, automatisation, détection
Organisation	Organisation de l’intervention, consignation, limitation d’accès, contrôles, planification, procédure
Humain	Compétence, perception d’une situation, décision, réaction, réalisation d’une action attendue

Cette classification ne signifie pas qu’une mesure appartient toujours exclusivement à une seule catégorie.

Une consignation, par exemple, peut combiner :

des dispositifs techniques permettant l’isolement des énergies ;
une organisation définissant les rôles et les étapes ;
des actions humaines nécessaires à sa réalisation et à sa vérification.

La lecture TOH permet surtout d’éviter de réduire la prévention à la seule présence d’équipements ou, à l’inverse, au seul comportement des personnes.

TOH et principes généraux de prévention : deux lectures complémentaires

La classification TOH ne doit toutefois pas être confondue avec la hiérarchie des mesures de prévention.

Le Code du travail fixe, à travers les neuf principes généraux de prévention, une logique beaucoup plus structurante : éviter les risques, évaluer ceux qui ne peuvent être évités, combattre les risques à la source, adapter le travail à l’homme, tenir compte de l’évolution de la technique, remplacer ce qui est dangereux, planifier la prévention, privilégier la protection collective et donner les instructions appropriées.

Les deux approches répondent donc à des questions différentes.

TOH demande :

De quelle nature est notre mesure et sur quoi repose-t-elle ?

Les principes généraux de prévention demandent plutôt :

Quelle stratégie de prévention devons-nous privilégier ?

Une mesure organisationnelle ou humaine peut être indispensable. Mais elle ne devrait pas conduire à renoncer à une solution permettant d’éviter le risque ou de le combattre à la source lorsqu’une telle solution est raisonnablement possible.

Une même mesure peut agir sur plusieurs critères

La réalité n’est pas toujours aussi simple qu’un tableau dans lequel chaque action correspond à une seule note.

Prenons une modification technique permettant de réduire la vitesse d’une machine.

Elle peut éventuellement :

réduire la gravité de certaines conséquences ;
diminuer la probabilité de certains événements ;
améliorer la possibilité d’évitement.

Une même mesure peut donc avoir plusieurs effets.

Ce n’est pas un problème en soi.

Le problème apparaît lorsqu’un même effet est comptabilisé plusieurs fois.

Une mesure peut agir sur plusieurs paramètres distincts, mais le même bénéfice ne doit pas être crédité plusieurs fois sous des noms différents.

C’est particulièrement important dans les formules comportant fréquence, probabilité, maîtrise et efficacité des barrières.

Notre cas fil rouge : que change réellement chaque action ?

Reprenons l’intervention de maintenance sur la machine.

Action	Paramètre principalement concerné
Réaliser le réglage depuis l’extérieur	Suppression de l’exposition pour cette opération
Réduire le nombre d’interventions	Fréquence d’exposition
Limiter l’accès aux intervenants indispensables	Nombre de personnes exposées
Empêcher techniquement un mouvement dangereux pendant l’intervention	Probabilité / occurrence de l’événement dangereux
Réduire l’énergie ou la vitesse du mouvement	Gravité possible et/ou possibilité d’évitement selon le scénario
Installer une détection suffisamment précoce	Détectabilité et éventuellement évitement
Former les intervenants	Compétence ; effet éventuel sur certains scénarios à justifier
Ajouter une procédure	Organisation ; effet réel dépendant de son rôle et de son application

Ce tableau montre pourquoi la phrase « action réalisée = cotation diminuée » est insuffisante.

Chaque action doit être replacée dans le scénario.

La formation et la procédure : attention à la baisse automatique

Deux mesures méritent une vigilance particulière : la formation et la procédure.

Elles sont essentielles dans de nombreuses situations.

Mais leur simple existence ne justifie pas automatiquement une diminution de la probabilité.

Pour qu’une formation influence réellement le scénario, il faut pouvoir expliquer quel comportement, quelle décision ou quelle compétence elle modifie et dans quelles conditions.

Pour qu’une procédure soit considérée comme une mesure de maîtrise, il faut notamment qu’elle soit applicable, connue, comprise et effectivement mise en œuvre.

Une ligne dans un plan d’action :

« Former les opérateurs »

ne constitue donc pas à elle seule la démonstration d’une réduction du risque.

De la cotation avant/après à la démonstration de l’effet

Une réévaluation cohérente pourrait donc suivre une logique simple :

1. Quel scénario avons-nous coté ?

2. Quelle mesure a été mise en place ?

3. À quel endroit du scénario agit-elle ?

4. Quel critère est réellement modifié ?

5. Dispose-t-on d’éléments permettant de justifier cette modification ?

6. L’effet de la mesure a-t-il déjà été pris en compte dans un autre critère ?

Cette logique évite de transformer la cotation résiduelle en simple exercice visant à obtenir une couleur verte après la réalisation des actions.

La cotation après prévention doit traduire une modification réelle du scénario, pas simplement la clôture d’une action.

Mais cette réflexion soulève immédiatement une nouvelle question : lorsque nous parlons de cotation « avant » et « après », avant et après quoi exactement ?

C’est là qu’intervient la distinction entre risque brut, risque initial et risque résiduel.

11. Risque brut, risque initial et risque résiduel : que cote-t-on exactement ?

Une méthode de cotation peut être parfaitement construite et pourtant produire des résultats difficiles à interpréter si une question n’a pas été clarifiée dès le départ :

À quel moment de la maîtrise du risque réalisons-nous la cotation ?

Prenons une machine équipée d’un protecteur interverrouillé, d’une procédure de consignation et utilisée par des salariés formés.

Lorsque l’équipe évalue le risque mécanique, doit-elle imaginer la situation sans ces mesures, ou évaluer la situation telle qu’elle existe réellement avec ces mesures en place ?

Selon la réponse, la probabilité obtenue peut être très différente.

C’est ici qu’apparaissent les notions de risque brut, risque initial et risque résiduel.

Risque brut, initial, résiduel : attention au vocabulaire

Ces termes sont largement utilisés dans les entreprises, mais ils ne sont pas toujours définis de la même manière dans les méthodes internes.

On peut notamment rencontrer les notions suivantes :

Risque brut ou intrinsèque

Le risque est apprécié en faisant abstraction de tout ou partie des mesures de prévention et de protection existantes.

L’objectif est alors de caractériser le potentiel de risque associé à la situation avant l’effet de ces mesures.

Risque initial

Le terme est plus ambigu. Selon les méthodes, il peut désigner le risque brut ou, au contraire, le risque constaté au début de l’évaluation avec les mesures existantes déjà en place.

Risque résiduel

Il correspond généralement au risque qui subsiste après prise en compte des mesures de prévention et de protection considérées comme effectives.

Le problème n’est donc pas tellement le choix du vocabulaire.

Le problème apparaît lorsque la méthode utilise ces termes sans les définir.

Deux entreprises peuvent parler de “risque initial” tout en ne cotant absolument pas la même situation.

Le risque brut : un scénario sans aucune prévention ?

La notion de risque brut semble simple : il suffirait de retirer mentalement les mesures de prévention.

Mais jusqu’où faut-il aller ?

Prenons notre cas fil rouge de maintenance sur une machine.

Doit-on imaginer :

la machine sans protecteur ?
sans arrêt d’urgence ?
sans interverrouillage ?
sans consignation ?
sans procédure ?
sans formation ?
sans aucune disposition de conception destinée à réduire le risque ?

À force de retirer les mesures existantes, on peut finir par évaluer une machine qui n’existe pas.

C’est l’une des limites de certaines cotations brutes : elles peuvent produire une situation théorique utile pour comprendre le potentiel de danger, mais éloignée des conditions réelles de travail.

Cela ne signifie pas que cette approche est inutile.

Elle peut notamment permettre de visualiser ce qui est réellement porté par les mesures de prévention et d’éviter qu’un risque important disparaisse de l’attention simplement parce qu’une barrière existe.

Mais la méthode doit préciser clairement quelles mesures sont neutralisées dans le raisonnement et lesquelles sont considérées comme intrinsèques à la situation étudiée.

Évaluer la situation réelle avec les mesures existantes

Une autre approche consiste à partir de la situation telle qu’elle existe au moment de l’évaluation.

La machine possède son protecteur. La consignation existe. Les opérateurs sont formés. Les dispositifs techniques sont présents.

L’équipe évalue alors le risque en tenant compte de ces éléments, à condition évidemment qu’ils soient réellement opérationnels.

Cette approche présente un avantage : elle décrit davantage le niveau de risque auquel les travailleurs sont effectivement confrontés.

Mais elle nécessite une vigilance particulière.

Si la probabilité a déjà été estimée en tenant compte du protecteur et de la consignation, ces mêmes mesures ne doivent pas ensuite bénéficier d’un second crédit à travers un coefficient de maîtrise sans justification méthodologique.

Nous retrouvons notre problème de double comptage.

Mesures existantes et actions nouvelles : ne pas tout mélanger

Une distinction particulièrement utile consiste à séparer :

les mesures déjà présentes au moment de l’évaluation

les mesures supplémentaires décidées à l’issue de l’évaluation.

Prenons une situation évaluée le 1er mars.

La machine dispose déjà :

d’un protecteur ;
d’une consignation ;
d’une procédure ;
d’une formation des techniciens.

Ces mesures appartiennent à l’état existant.

L’évaluation conduit ensuite à décider :

d’ajouter un dispositif empêchant un mouvement particulier ;
de modifier l’accès ;
de réduire le nombre d’interventions.

Ces éléments constituent le plan d’action.

Lorsque ces actions auront été effectivement mises en œuvre et vérifiées, une nouvelle cotation pourra être réalisée.

On obtient alors une lecture beaucoup plus claire :

Situation existante → cotation → actions supplémentaires → vérification de leur efficacité → nouvelle cotation.

Le risque résiduel ne devrait pas être une prévision optimiste

Dans de nombreux tableaux d’évaluation, le risque résiduel est calculé immédiatement après avoir défini une action.

Par exemple :

Situation	Cotation
Risque initial	16
Action : installer un protecteur
Risque résiduel	4

Mais si le protecteur n’est pas encore installé, le risque n’est pas encore réellement passé à 4.

Le chiffre correspond au mieux à un risque résiduel prévisionnel sous l’hypothèse que la mesure sera mise en œuvre et qu’elle produira l’effet attendu.

Cette distinction est importante pour le pilotage du plan d’action.

Une action décidée n’est pas une action réalisée, et une action réalisée n’est pas encore nécessairement une action efficace.

Il peut donc être utile de distinguer :

Risque actuel
→ situation réellement observée aujourd’hui.

Risque résiduel prévisionnel
→ niveau attendu après mise en œuvre des actions prévues.

Risque résiduel vérifié
→ niveau réévalué une fois les actions effectivement déployées et leur efficacité examinée.

Cette lecture évite de « verdir » prématurément une matrice.

Exemple avec notre cas fil rouge

Reprenons l’intervention de maintenance.

Situation actuelle

Le technicien doit entrer dans la zone dangereuse. Une consignation existe, mais certaines interventions nécessitent encore une présence dans la machine.

L’équipe réalise la cotation en tenant compte des mesures réellement en place et vérifiées.

Action décidée

Modifier l’équipement afin que le réglage puisse être effectué depuis l’extérieur.

À ce stade, la situation n’a pas encore changé.

Après modification

Le réglage courant peut désormais être réalisé depuis l’extérieur.

Le scénario d’exposition correspondant à cette opération disparaît.

Il ne s’agit donc pas simplement de faire passer artificiellement une note de fréquence de F4 à F1.

Pour cette opération précise, le scénario d’exposition a été supprimé.

D’autres scénarios de maintenance peuvent évidemment subsister et doivent être évalués séparément.

Une cotation « avant mesures » peut être utile pour comprendre leur importance

Il peut être intéressant, notamment pour certains risques importants, de conserver une représentation du niveau de risque avant l’effet de certaines mesures essentielles.

Pourquoi ?

Parce qu’un risque résiduel faible peut masquer une dépendance très forte à une barrière.

Imaginons un scénario dont les conséquences potentielles sont majeures mais dont la probabilité résiduelle est faible grâce à une protection technique déterminante.

La matrice peut afficher un niveau de risque relativement faible.

Pourtant, la défaillance ou la neutralisation de cette protection peut faire réapparaître immédiatement un scénario beaucoup plus critique.

La lecture du risque avant et après barrières permet alors de comprendre :

Ce risque est faible aujourd’hui parce qu’une mesure essentielle fonctionne.

Cette information peut être particulièrement utile pour identifier les dispositifs qui doivent faire l’objet d’une surveillance, d’une maintenance ou d’une vérification renforcée.

Le choix du moment de cotation influence directement le score

Prenons un exemple volontairement simplifié :

Situation sans prise en compte de la protection

Gravité : G4
Probabilité : P4

Situation avec une protection technique efficace

Gravité : G4
Probabilité : P2

Si une entreprise appelle la première valeur risque initial et la seconde risque résiduel, son raisonnement est cohérent.

Mais une autre entreprise peut commencer directement avec G4 × P2 parce qu’elle évalue la situation réellement existante et appeler cette valeur risque initial.

Les deux scores peuvent être méthodologiquement défendables.

Ce qui serait problématique serait de les comparer sans connaître leur définition.

Le cas particulier de la gravité

La distinction entre risque brut et résiduel permet également de revenir sur un point essentiel.

Lorsqu’une mesure est ajoutée, la gravité ne doit pas automatiquement diminuer.

Supposons :

Avant mesure : G4 × P4

puis :

Après mesure : G2 × P2

Deux questions doivent être posées séparément :

Pourquoi la probabilité est-elle passée de P4 à P2 ?

et surtout :

Pourquoi la conséquence potentielle est-elle passée de G4 à G2 ?

Si la mesure empêche principalement l’événement de se produire, la diminution de P peut être justifiée alors que G reste à 4.

La cotation résiduelle doit donc traduire l’effet réel de la mesure sur le scénario, conformément à ce que nous avons vu dans la partie précédente.

Quelle approche choisir ?

Il n’existe pas une seule convention applicable à toutes les méthodes.

Une entreprise peut choisir de travailler avec :

Risque brut → mesures existantes → risque résiduel

ou avec :

Risque actuel avec mesures existantes → actions nouvelles → risque résiduel après actions

Elle peut également conserver les deux lectures si elles répondent à un besoin réel.

L’essentiel est de définir explicitement :

quelles mesures sont prises en compte dans chaque cotation ;
à quel stade du scénario les critères sont appréciés ;
comment l’effet des mesures est intégré ;
à quel moment le risque résiduel est considéré comme effectivement atteint.

Sans ces règles, les scores deviennent difficilement comparables dans le temps, entre unités de travail ou entre évaluateurs.

À retenir

Avant même de discuter de la formule de cotation, une méthode devrait pouvoir répondre clairement à cette question :

Cotons-nous le risque avant les mesures existantes, avec les mesures existantes, ou après les mesures supplémentaires prévues ?

Cette précision peut sembler méthodologique. Elle est pourtant fondamentale.

Car un score de 4 ne signifie pas grand-chose si l’on ignore quelles mesures ont déjà été créditées pour l’obtenir.

Gravité, exposition, probabilité, évitement, détectabilité et maîtrise constituent les critères les plus courants. Mais selon les domaines et les scénarios étudiés, d’autres paramètres peuvent devenir pertinents : cinétique, vulnérabilité, réversibilité, contrôlabilité ou encore étendue des conséquences.

12. Les autres critères que l’on peut rencontrer

Gravité, exposition, probabilité, occurrence, évitement ou détectabilité permettent de construire de nombreuses méthodes de cotation. Mais selon le domaine étudié, d’autres paramètres peuvent être nécessaires pour caractériser correctement un scénario.

On peut notamment rencontrer :

la cinétique ;
la vulnérabilité ;
la réversibilité ;
la contrôlabilité ;
l’étendue des conséquences ;
l’incertitude.

Ces critères ne doivent pas être considérés comme des paramètres supplémentaires à intégrer systématiquement dans une matrice.

Ils répondent à des besoins particuliers.

Un critère spécialisé n’est pertinent que s’il permet de distinguer des situations que les critères déjà utilisés ne permettent pas correctement de différencier.

La cinétique : combien de temps avant les conséquences ?

La cinétique caractérise la vitesse de développement d’un phénomène ou d’un scénario.

Deux événements présentant des conséquences potentielles comparables peuvent laisser des délais de réaction très différents.

Une dérive progressive d’un procédé détectable plusieurs heures avant une situation dangereuse n’est pas comparable à un phénomène brutal dont les conséquences apparaissent en quelques secondes.

La cinétique peut notamment influencer :

la possibilité de détecter la dérive ;
le temps disponible pour intervenir ;
la possibilité de mettre les personnes en sécurité ;
l’efficacité de certaines mesures d’urgence.

Elle est donc particulièrement pertinente pour certains risques industriels et scénarios accidentels.

Mais il faut être attentif à ne pas compter plusieurs fois le même effet.

Si la rapidité du phénomène est déjà intégrée dans le critère de possibilité d’évitement, ajouter une note de cinétique dans la même formule peut créer une redondance.

La bonne question est donc :

La cinétique apporte-t-elle une information supplémentaire, ou explique-t-elle simplement la note d’un autre critère ?

La vulnérabilité : qui ou quoi subit les conséquences ?

Un même phénomène dangereux ne produit pas nécessairement les mêmes conséquences selon la personne, l’équipement ou l’environnement exposé.

La vulnérabilité cherche à caractériser cette sensibilité aux effets du phénomène.

Dans une approche de santé et sécurité au travail, certaines caractéristiques d’une situation peuvent rendre une personne ou un groupe plus vulnérable aux conséquences d’une exposition.

Dans une analyse de risques industriels, la vulnérabilité peut concerner les personnes, les bâtiments, les équipements ou d’autres enjeux situés dans la zone d’effet.

Ce paramètre permet donc de distinguer :

l’intensité du phénomène

la sensibilité de la cible exposée à ce phénomène.

Là encore, il faut vérifier que cette dimension n’est pas déjà intégrée dans la manière dont la gravité est évaluée.

La réversibilité : peut-on revenir à l’état antérieur ?

La réversibilité s’intéresse à la possibilité de revenir à une situation normale après le dommage.

Cette notion peut être particulièrement utile lorsqu’une simple classification par gravité ne permet pas de différencier suffisamment certaines conséquences.

Une atteinte temporaire et complètement réversible n’a pas la même portée qu’une atteinte entraînant des séquelles permanentes.

Mais dans de nombreuses matrices de risques professionnels, cette dimension est déjà intégrée directement dans l’échelle de gravité.

Nous avons d’ailleurs utilisé cette logique dans notre exemple :

dommage mineur et réversible ;
incapacité temporaire ;
séquelles ou atteinte irréversible ;
décès ou conséquences irréversibles majeures.

Dans ce cas, ajouter un coefficient spécifique de réversibilité conduirait probablement à compter deux fois une même caractéristique du dommage.

La réversibilité peut donc être un critère autonome dans certaines méthodes, mais simplement une composante de la gravité dans d’autres.

La contrôlabilité : peut-on reprendre la maîtrise du scénario ?

La contrôlabilité cherche à apprécier la capacité à agir sur une situation une fois qu’une dérive ou un événement s’est produit.

Prenons un procédé industriel.

Une dérive de température peut être détectée. Mais la question suivante est :

Une fois cette dérive identifiée, dispose-t-on encore de moyens permettant de ramener le procédé dans un état sûr ?

Détectabilité et contrôlabilité ne sont donc pas synonymes.

Un événement peut être :

détectable mais difficilement contrôlable,
ou au contraire
détectable suffisamment tôt pour permettre une action efficace.

La contrôlabilité dépend notamment du temps disponible, des moyens d’action, de la dynamique du phénomène et de la capacité du système ou des personnes à reprendre la maîtrise.

Ce critère peut être pertinent dans certaines analyses de procédés ou de situations dynamiques.

Il serait en revanche probablement excessif de l’ajouter systématiquement à chaque cotation d’un DUERP.

L’étendue des conséquences : jusqu’où le scénario peut-il produire des effets ?

La gravité caractérise généralement l’importance du dommage.

Mais certains scénarios nécessitent également de considérer l’étendue de leurs conséquences.

Un événement peut rester localisé à un poste de travail ou, au contraire, affecter :

plusieurs personnes ;
un atelier ;
plusieurs installations ;
l’ensemble d’un site ;
voire son environnement extérieur.

Cette dimension devient particulièrement importante dans les analyses de risques industriels.

Elle permet de distinguer deux scénarios pouvant présenter des conséquences individuelles très graves mais dont l’ampleur potentielle est très différente.

Elle rejoint en partie la question du nombre de personnes exposées abordée précédemment, mais dans une logique davantage centrée sur l’extension du phénomène et de ses effets.

L’incertitude : savons-nous réellement ce que nous sommes en train de coter ?

L’incertitude est un paramètre moins souvent intégré directement dans les matrices, mais particulièrement intéressant d’un point de vue méthodologique.

Une cotation peut parfois donner un résultat très précis alors que les informations utilisées pour l’établir sont très incertaines.

Prenons deux situations toutes deux cotées :

G4 × P2 = 8

Dans la première, P2 repose sur plusieurs années de données fiables et sur un scénario bien connu.

Dans la seconde, P2 a été attribué parce que l’équipe ne dispose pratiquement d’aucune donnée et estime simplement que l’événement « paraît peu probable ».

Le résultat numérique est identique.

Le niveau de confiance dans l’évaluation, lui, ne l’est pas.

Une méthode peut donc prévoir une manière de signaler :

une absence de données ;
une connaissance insuffisante de l’exposition ;
une forte variabilité des conditions ;
une incertitude sur le scénario ;
une efficacité des mesures encore non démontrée.

Cela ne signifie pas nécessairement qu’il faut créer un coefficient supplémentaire et écrire :

R = G × F × P × I

avec I = incertitude.

Une information qualitative, un indicateur ou une règle imposant une analyse complémentaire peut être beaucoup plus utile.

L’incertitude n’est pas toujours un risque supplémentaire : elle peut être le signal que notre cotation est moins robuste que le chiffre ne le laisse penser.

Faut-il intégrer ces critères dans la formule ?

Pas nécessairement.

C’est une distinction essentielle.

Un paramètre peut être important pour comprendre le risque sans devoir devenir un multiplicateur supplémentaire.

Prenons la cinétique.

Elle peut permettre d’expliquer pourquoi l’évitement est pratiquement impossible. Dans ce cas, elle nourrit l’évaluation du critère d’évitement sans nécessiter une note supplémentaire.

La réversibilité peut contribuer à définir la gravité.

L’étendue des conséquences peut être utilisée pour déterminer une priorité particulière.

L’incertitude peut déclencher une étude complémentaire.

On peut donc utiliser un critère de trois manières différentes :

Utilisation	Exemple
Critère de cotation	La détectabilité entre directement dans une AMDEC
Élément permettant d’évaluer un autre critère	La cinétique contribue à apprécier la possibilité d’évitement
Information complémentaire pour la décision	Une forte incertitude conduit à approfondir l’analyse

Cette distinction évite de transformer chaque information pertinente en nouvelle variable mathématique.

Plus le risque est spécifique, plus les critères peuvent l’être

Une matrice utilisée pour plusieurs centaines de situations de travail dans un DUERP doit rester suffisamment simple pour être comprise et appliquée de manière homogène.

Une analyse approfondie d’un scénario industriel critique peut au contraire nécessiter des paramètres beaucoup plus spécifiques.

Ce n’est pas contradictoire.

Le niveau de sophistication de la méthode doit être proportionné à la complexité du problème qu’elle cherche à analyser.

La bonne méthode n’est donc pas celle qui rassemble gravité, fréquence, durée, probabilité, occurrence, évitement, détectabilité, maîtrise, vulnérabilité, cinétique et contrôlabilité dans une gigantesque équation.

C’est celle qui retient les critères nécessaires pour comprendre le risque et prendre une décision, sans mesurer plusieurs fois la même chose.

Et cette dernière notion — prendre une décision — nous conduit à une distinction fondamentale : certains paramètres servent surtout à caractériser le risque, tandis que d’autres servent à déterminer dans quel ordre l’entreprise doit agir.

C’est toute la différence entre cotation du risque et priorité d’action.

13. Cotation du risque et priorité d’action : deux choses différentes ?

Une matrice de risques ne sert généralement pas uniquement à attribuer une note. Elle doit surtout aider l’entreprise à décider où et quand agir.

C’est d’ailleurs souvent ainsi que les résultats sont présentés :

risque faible : surveillance ;
risque modéré : action à programmer ;
risque élevé : action prioritaire ;
risque critique : action immédiate.

Cette logique est utile. Mais elle peut conduire à confondre deux questions différentes :

Quel est le niveau du risque ?

Quelle priorité devons-nous donner à son traitement ?

Dans de nombreuses situations, les deux sont directement liés. Un risque très élevé doit évidemment retenir l’attention.

Mais le niveau de risque n’est pas toujours le seul élément qui doit déterminer l’ordre des actions.

Un risque élevé est-il toujours prioritaire ?

Prenons deux situations.

Situation A

Un risque mécanique grave concerne un technicien réalisant une intervention exceptionnelle une fois par an.

Situation B

Un risque de gravité plus modérée concerne quotidiennement cinquante salariés.

La matrice peut parfaitement donner à la situation A une cotation supérieure à celle de la situation B.

Faut-il pour autant consacrer toutes les ressources disponibles à A avant de s’occuper de B ?

Pas nécessairement.

Le nombre de personnes concernées, la répétition de l’exposition, l’existence de solutions immédiatement disponibles ou encore des exigences réglementaires peuvent influencer la décision.

Cela ne signifie pas que la cotation de A est mauvaise.

Cela signifie simplement que :

La cotation caractérise le risque selon les critères retenus. La priorisation organise la décision de prévention dans un contexte plus large.

Le nombre de personnes exposées : un bon exemple

Nous avons vu précédemment qu’intégrer directement le nombre de personnes exposées dans une formule peut modifier profondément la signification du score.

Une autre possibilité consiste à conserver ce paramètre séparément.

Par exemple :

Risque	Cotation	Personnes exposées	Priorité
A	12	1	À déterminer
B	9	60	À déterminer

La cotation indique que le risque A est plus élevé selon les critères utilisés.

Mais l’exposition de soixante personnes au risque B constitue une information supplémentaire pour décider du plan d’action.

On ne modifie pas nécessairement la note de risque.

On enrichit la décision.

Une exigence réglementaire peut imposer d’agir indépendamment du score

C’est probablement l’une des limites les plus importantes d’une utilisation trop mécanique des matrices.

Imaginons qu’une entreprise obtienne une cotation faible ou modérée pour une situation qui ne respecte pas une exigence réglementaire applicable.

Peut-elle conclure :

« Le risque est dans notre zone verte, nous n’avons donc pas besoin d’agir » ?

Non.

Une matrice interne ne peut pas neutraliser une obligation réglementaire.

Certaines mesures doivent être mises en œuvre parce qu’elles sont requises, indépendamment du score obtenu dans la méthode interne.

La cotation peut aider à organiser la prévention, mais elle ne constitue pas un mécanisme permettant de décider quelles exigences réglementaires l’entreprise choisira d’appliquer.

Un score faible ne transforme pas une situation non conforme en situation acceptable.

L’urgence n’est pas toujours contenue dans le score

Une autre dimension peut intervenir : l’urgence.

Prenons une protection détériorée sur une machine.

La matrice peut conduire à une certaine cotation à partir de la gravité, de l’exposition et de la probabilité.

Mais si la protection vient de perdre une fonction essentielle, l’entreprise peut devoir intervenir immédiatement.

L’urgence provient alors d’une information particulière : une condition de maîtrise supposée dans l’évaluation n’est plus assurée.

De la même manière, un presque-accident, une dérive récente, une modification de procédé ou une défaillance répétée peuvent justifier de réexaminer immédiatement une situation, même si sa cotation historique ne la plaçait pas en tête du plan d’action.

L’acceptabilité : attention au seuil automatique

Les matrices utilisent souvent des zones :

Vert → acceptable
Orange → à améliorer
Rouge → inacceptable

Ce fonctionnement est pratique, mais le mot acceptable mérite d’être utilisé avec prudence.

Une valeur inférieure à un seuil interne signifie surtout que le risque se situe dans une catégorie définie par la méthode.

Elle ne démontre pas automatiquement :

que toutes les obligations sont respectées ;
que les principes de prévention ont été correctement appliqués ;
que les mesures existantes sont suffisantes ;
qu’aucune amélioration raisonnable n’est possible ;
que les hypothèses utilisées pour la cotation sont robustes.

Le seuil constitue donc un outil d’aide à la décision, pas une frontière scientifique séparant objectivement les risques acceptables des risques inacceptables.

La facilité d’action peut-elle modifier la priorité ?

Prenons deux actions :

Action A
Projet technique important, plusieurs mois d’étude et investissement significatif.

Action B
Modification simple pouvant supprimer dès demain une exposition inutile.

Même si le risque associé à A est supérieur, il serait difficile de justifier le report de B simplement parce qu’elle apparaît quelques lignes plus bas dans le classement.

Une action simple, immédiatement disponible et fortement efficace peut légitimement être réalisée rapidement.

Mais il faut être attentif à un autre piège : la facilité ne doit pas conduire à traiter uniquement les petites actions pendant que les risques majeurs nécessitant des investissements restent durablement ouverts.

La faisabilité sert donc à organiser le plan d’action, pas à faire disparaître les priorités difficiles.

Et le coût ?

Le coût peut évidemment intervenir dans la planification d’une action.

Mais il doit être utilisé avec précaution.

Un investissement important peut nécessiter :

une étude ;
un budget ;
une modification technique ;
un arrêt de production ;
un délai d’approvisionnement.

Ces contraintes peuvent influencer le calendrier et les modalités de réalisation.

Elles ne diminuent pas pour autant le niveau du risque.

Un risque ne devient pas moins important parce que sa solution est coûteuse.

Si une mesure définitive nécessite du temps, des mesures transitoires peuvent d’ailleurs être nécessaires pendant cette période.

Les événements récents doivent-ils modifier la note ?

Un accident ou un presque-accident conduit souvent à augmenter immédiatement la cotation.

Cette réaction peut être justifiée si l’événement apporte une information nouvelle.

Par exemple, une probabilité considérée comme très faible peut devoir être réexaminée lorsque l’événement vient effectivement de se produire.

Une défaillance peut également révéler qu’une mesure supposée efficace ne l’est pas.

Mais il faut éviter une autre dérive : modifier arbitrairement la note simplement parce que l’événement est récent et émotionnellement marquant.

L’événement doit conduire à poser la question :

Qu’avons-nous appris qui remet en cause nos hypothèses de cotation ?

C’est cette information nouvelle qui justifie éventuellement la modification du score.

Deux niveaux de décision plutôt qu’une formule géante

Pour tenir compte de toutes ces dimensions, une entreprise pourrait être tentée d’ajouter toujours davantage de coefficients :

R = G × F × P × N × M × U × C…

avec :

G = gravité ;
F = fréquence ;
P = probabilité ;
N = nombre de personnes ;
M = maîtrise ;
U = urgence ;
C = conformité.

La méthode finit alors par mélanger dans un même nombre :

la caractérisation du risque ;
la qualité de sa maîtrise ;
son importance collective ;
la conformité réglementaire ;
l’urgence ;
et les critères de gestion du plan d’action.

Une autre approche consiste à séparer clairement les deux étapes.

Étape 1 — Évaluer le risque

On utilise les critères nécessaires pour caractériser le scénario :

Gravité + exposition + probabilité, par exemple.

Ou une autre combinaison adaptée à la méthode utilisée.

On obtient un niveau de risque.

Étape 2 — Déterminer la priorité d’action

On complète cette information avec d’autres éléments :

Critère de décision	Question
Niveau de risque	Quelle est l’importance du risque évalué ?
Nombre de personnes concernées	Quelle est l’ampleur de l’exposition ?
Exigence réglementaire	Existe-t-il une obligation imposant une action ?
Urgence / dérive	La situation nécessite-t-elle une réaction immédiate ?
Événement récent	Un accident ou presque-accident remet-il en cause l’évaluation ?
Efficacité de l’action	L’action permet-elle une réduction importante du risque ?
Faisabilité / délai	Comment organiser concrètement sa mise en œuvre ?

On obtient alors non pas une nouvelle mesure théorique du risque, mais une décision de prévention argumentée.

Le plan d’action ne devrait donc pas être un simple tri Excel

Classer automatiquement les lignes du DUERP de la note la plus élevée à la plus faible est utile pour obtenir une première lecture.

Mais ce classement ne devrait pas remplacer l’analyse.

Deux risques ayant obtenu exactement la même cotation peuvent nécessiter :

une action immédiate pour l’un ;
une étude technique pour l’autre ;
une surveillance renforcée pour un troisième.

Inversement, une action réglementairement nécessaire ne doit pas attendre simplement parce que d’autres lignes possèdent une note supérieure.

La matrice apporte donc une information structurée pour décider.

Elle ne prend pas la décision à la place de l’entreprise.

À retenir

La distinction peut être résumée simplement :

La cotation répond à la question : “Quel est le niveau de ce risque selon notre méthode ?”

La priorisation répond à la question : “Compte tenu de ce risque et de notre situation, quand et comment devons-nous agir ?”

Séparer les deux permet de conserver une cotation lisible tout en intégrant les réalités opérationnelles, réglementaires et collectives dans le plan d’action.

Cela évite également une tentation fréquente : ajouter un nouveau coefficient à la formule chaque fois qu’une nouvelle information paraît importante.

Car à force de multiplier les critères, une question finit inévitablement par se poser : peut-on réellement tout combiner dans une même cotation ?

14. Peut-on combiner tous les critères dans une même cotation ?

À mesure que l’on découvre de nouveaux critères, la tentation est grande de vouloir les intégrer dans une seule formule.

Une matrice Gravité × Probabilité paraît parfois trop simple. On ajoute alors la fréquence d’exposition. Puis le niveau de maîtrise. Puis éventuellement la détectabilité ou le nombre de personnes exposées.

On peut ainsi rencontrer des formules telles que :

R = G × P

R = G × F

R = G × F × P

R = G × F × P × M

R = G × O × D

ou des combinaisons encore plus élaborées.

Intuitivement, une formule comportant davantage de paramètres peut sembler plus précise.

Mais ce n’est pas nécessairement le cas.

Ajouter des critères ne rend pas automatiquement une évaluation plus précise.

La qualité d’une méthode dépend surtout de la signification des critères retenus, de leur indépendance et de leur capacité à aider réellement à prendre une décision.

G × P : la matrice la plus simple

La combinaison Gravité × Probabilité est probablement l’une des plus connues.

Elle repose sur une logique simple :

G — Quelle serait l’importance du dommage ?

P — Quelle est la probabilité retenue pour le scénario étudié ?

Son principal avantage est sa simplicité. Elle est facile à expliquer, à utiliser et à représenter dans une matrice.

Sa principale faiblesse réside souvent dans le critère P.

Comme nous l’avons vu précédemment, une probabilité mal définie peut implicitement mélanger :

fréquence d’exposition ;
occurrence de l’événement dangereux ;
efficacité des mesures existantes ;
possibilité qu’un dommage survienne.

La formule est donc simple, mais cette simplicité peut parfois cacher un critère de probabilité très composite.

G × F : intégrer directement l’exposition

Certaines méthodes préfèrent associer la gravité à une fréquence d’exposition :

R = G × F

Cette approche permet de distinguer facilement un danger rencontré quotidiennement d’une situation exceptionnelle.

Mais elle laisse de côté une autre dimension : la vraisemblance que l’exposition conduise effectivement au scénario accidentel ou au dommage.

Deux travailleurs peuvent être exposés quotidiennement à deux dangers de gravité comparable alors que les mécanismes conduisant au dommage présentent des probabilités très différentes.

Cette formule peut donc être adaptée à certaines évaluations simples, mais elle ne caractérise pas nécessairement toutes les dimensions du risque.

G × F × P : séparer exposition et probabilité

Ajouter un critère de probabilité à la fréquence d’exposition peut permettre une analyse plus fine :

R = G × F × P

On distingue alors :

G — la conséquence potentielle ;

F — la fréquence à laquelle la personne est exposée ;

P — la probabilité que l’événement défini se produise dans les conditions d’exposition.

Cette construction peut être pertinente à condition que F et P mesurent réellement deux choses différentes.

Prenons notre cas fil rouge.

Le technicien intervient dans la machine plusieurs fois par semaine : F élevé.

Mais une consignation robuste rend le mouvement intempestif très peu probable : P faible.

La méthode permet alors de distinguer :

être souvent exposé

être exposé à un événement qui se produit souvent.

En revanche, si l’évaluateur tient déjà compte de la fréquence d’exposition lorsqu’il attribue P, multiplier ensuite par F revient à compter deux fois une partie du même phénomène.

G × F × P × M : le risque du double comptage

Ajouter un coefficient de maîtrise paraît également logique :

R = G × F × P × M

Mais cette formule exige une discipline méthodologique importante.

Supposons que P soit faible parce que l’équipe a pris en compte :

le protecteur ;
la consignation ;
les automatismes ;
les procédures.

Puis elle attribue également un bon niveau de maîtrise M parce que ces mêmes mesures sont présentes.

La cotation bénéficie alors deux fois des mêmes dispositifs.

On obtient mathématiquement un score plus faible, mais sans avoir nécessairement démontré une réduction supplémentaire du risque.

Le problème ne vient donc pas du coefficient M lui-même.

Il vient de son interaction avec les autres critères.

Avant d’ajouter un critère de maîtrise, il faut pouvoir répondre à la question :

Qu’apporte M qui n’est pas déjà pris en compte dans F, P ou les autres paramètres ?

G × O × D : une autre logique avec l’AMDEC

Une combinaison associant Gravité, Occurrence et Détectabilité est notamment connue dans les approches de type AMDEC.

La logique est différente :

G — importance de l’effet de la défaillance ;

O — occurrence du mode de défaillance ;

D — capacité à détecter la défaillance avant qu’elle ne produise l’effet considéré.

Cette combinaison a du sens parce qu’elle répond à une question particulière : hiérarchiser des modes de défaillance.

Cela ne signifie pas qu’il soit pertinent de reprendre automatiquement la même formule pour un DUERP.

C’est un point essentiel :

Une formule pertinente dans une méthode ne devient pas universelle simplement parce qu’elle est reconnue ou largement utilisée.

Le choix des critères dépend toujours de l’objet de l’analyse.

Premier test : les critères mesurent-ils des choses différentes ?

Avant de combiner plusieurs critères, il faut vérifier leur indépendance conceptuelle.

Prenons :

Fréquence d’exposition × Probabilité × Occurrence

La formule paraît particulièrement détaillée.

Mais si :

la fréquence mesure le nombre d’expositions ;
la probabilité est estimée à partir de la fréquence d’exposition ;
l’occurrence correspond également à la fréquence de l’événement ;

les trois paramètres peuvent se recouvrir partiellement.

La multiplication amplifie alors artificiellement certaines caractéristiques du scénario.

Même problème avec :

Gravité × Réversibilité

si la définition de la gravité utilise déjà le caractère réversible ou irréversible du dommage.

Ou avec :

Probabilité × Maîtrise

si la probabilité tient déjà compte des mesures de prévention.

La première vérification à réaliser est donc simple :

Chaque critère apporte-t-il réellement une information que les autres ne contiennent pas déjà ?

Deuxième test : existe-t-il une relation causale entre les critères ?

Les critères ne sont pas toujours indépendants les uns des autres.

Par exemple, augmenter la durée d’exposition peut parfois augmenter la probabilité de dommage.

La possibilité d’évitement peut dépendre de la cinétique du phénomène.

La détectabilité peut influencer la possibilité d’intervenir avant les conséquences.

Le niveau de maîtrise peut directement influencer la probabilité d’occurrence.

Cela ne signifie pas qu’il soit impossible de combiner ces paramètres.

Mais il faut comprendre leurs interactions avant de les multiplier.

Sinon, la formule peut donner l’impression que chaque coefficient représente une dimension totalement indépendante alors que ce n’est pas le cas.

Troisième test : sommes-nous en train de compter deux fois la prévention ?

C’est probablement le test le plus important lors d’une cotation résiduelle.

Prenons une protection technique.

Elle peut :

réduire la probabilité attribuée au scénario ;
améliorer le niveau de maîtrise ;
être considérée comme une barrière efficace ;
éventuellement améliorer la possibilité d’évitement.

Ces effets peuvent être réels.

Mais si chacun conduit automatiquement à une réduction supplémentaire du score, une seule mesure peut finir par réduire plusieurs fois la cotation.

La question doit donc être :

Chaque diminution correspond-elle à un effet distinct et démontrable de la mesure sur le scénario ?

Si la réponse est non, il y a probablement double comptage.

Multiplier des notes donne-t-il réellement une probabilité ?

Il faut également être prudent avec la signification mathématique du résultat.

Prenons deux échelles :

Gravité : 1 à 4

Probabilité : 1 à 4

La multiplication produit des scores compris entre 1 et 16.

Mais un risque coté 16 est-il réellement quatre fois plus important qu’un risque coté 4 ?

Pas nécessairement.

Dans de nombreuses matrices, les valeurs 1, 2, 3 et 4 représentent avant tout des classes ordonnées.

Passer de P1 à P2 ne signifie pas forcément que la probabilité réelle a doublé.

De même, G4 ne signifie pas nécessairement que les conséquences sont deux fois plus graves que G2.

Multiplier ces valeurs produit donc un indice de classement, pas une mesure physique exacte du risque.

La fausse précision mathématique

Ce problème devient encore plus visible lorsque les critères se multiplient.

Imaginons :

G = 4
F = 3
P = 2
M = 0,7

Résultat :

R = 16,8

Le nombre obtenu paraît extrêmement précis.

Mais cette précision est-elle réelle ?

Si G, F et P reposent sur des appréciations qualitatives et que M est lui-même issu d’un jugement sur le niveau de maîtrise, afficher 16,8 peut donner une impression de précision largement supérieure à celle des données utilisées.

La précision du calcul ne peut jamais être supérieure à la précision des informations qui l’alimentent.

Une méthode qualitative ou semi-quantitative doit donc assumer ce qu’elle est : un outil structuré d’aide à l’évaluation et à la décision, et non nécessairement un calcul probabiliste.

Plus de critères signifie aussi plus de variabilité entre évaluateurs

Chaque nouveau critère nécessite :

une définition ;
une échelle ;
des règles d’utilisation ;
une interprétation par l’évaluateur.

Avec deux critères, deux personnes peuvent déjà ne pas attribuer exactement la même note.

Avec six critères mal définis, les possibilités de divergence augmentent fortement.

Une méthode très sophistiquée sur le papier peut donc devenir moins reproductible sur le terrain.

C’est particulièrement problématique dans un DUERP lorsque plusieurs managers ou groupes de travail doivent évaluer des dizaines ou des centaines de situations.

Une méthode légèrement moins détaillée mais comprise et utilisée de manière homogène peut être plus utile qu’un modèle théoriquement très fin mais impossible à appliquer de façon cohérente.

Tester une formule avec des situations réelles

Avant de déployer une nouvelle méthode, il est utile de la tester sur plusieurs risques très différents.

Par exemple :

exposition quotidienne à un risque modéré ;
intervention exceptionnelle présentant des conséquences graves ;
événement très improbable mais potentiellement catastrophique ;
risque fortement maîtrisé par une protection technique ;
situation impliquant de nombreuses personnes ;
exposition chronique.

Puis il faut observer le classement obtenu.

Les résultats correspondent-ils globalement à la compréhension terrain des risques ?

La méthode crée-t-elle des résultats surprenants ?

Un critère domine-t-il systématiquement tous les autres ?

Certaines mesures de prévention sont-elles créditées plusieurs fois ?

Deux évaluateurs obtiennent-ils des résultats comparables ?

Ce test permet souvent d’identifier des incohérences que la formule seule ne révèle pas.

La bonne formule est celle qui reste explicable

Un responsable, un opérateur ou un membre du CSE devrait pouvoir comprendre pourquoi une situation obtient un niveau de risque donné.

Si expliquer la cotation nécessite de détailler une formule comprenant six coefficients, trois correctifs et plusieurs règles d’exception, il peut être nécessaire de se demander si la méthode n’est pas devenue trop complexe pour son objectif.

Une bonne méthode doit permettre de remonter du résultat au raisonnement :

Ce risque est élevé parce que le dommage potentiel est grave, que l’exposition est fréquente et que l’événement dangereux reste suffisamment vraisemblable malgré les mesures existantes.

Cette explication apporte souvent davantage qu’un score tel que R = 37,8.

À retenir

Avant d’ajouter un critère à une formule, quatre vérifications sont particulièrement utiles :

1. Mesure-t-il quelque chose de distinct ?

2. Cette information est-elle utile à la décision ?

3. Son effet n’est-il pas déjà pris en compte ailleurs ?

4. L’utilisateur de la méthode pourra-t-il l’évaluer de manière suffisamment homogène ?

Si l’une de ces réponses est négative, ajouter ce critère peut rendre la méthode plus complexe sans améliorer l’évaluation.

Une méthode de cotation n’est pas meilleure parce qu’elle comporte davantage de critères. Elle est meilleure lorsque chacun de ses critères mesure quelque chose de distinct, compréhensible et utile à la décision.

Reste alors la question la plus pratique : quels critères choisir selon le type d’évaluation que l’on souhaite réaliser ?

15. Quels critères choisir selon son évaluation ?

Après avoir passé en revue les principaux critères de cotation, une conclusion s’impose : il n’existe pas de combinaison universelle adaptée à toutes les analyses de risques.

Une méthode pertinente pour un DUERP ne répond pas nécessairement aux besoins d’une analyse de sécurité d’une machine. Une AMDEC poursuit encore un autre objectif. Et l’analyse d’un scénario accidentel industriel peut nécessiter une approche beaucoup plus détaillée des événements, de leurs conséquences et des barrières de sécurité.

La bonne question n’est donc pas :

« Quelle est la meilleure formule de cotation ? »

mais plutôt :

« Quels critères permettent de caractériser correctement le risque que nous sommes en train d’étudier ? »

Pour un DUERP : rechercher avant tout une méthode utilisable

Dans le cadre de l’évaluation des risques professionnels, la méthode doit pouvoir être appliquée à des situations extrêmement diverses :

chute ;
manutention ;
circulation ;
risque chimique ;
bruit ;
risque mécanique ;
travail sur écran ;
risque électrique ;
contraintes organisationnelles ;
etc.

Une méthode trop spécialisée devient rapidement difficile à utiliser de manière homogène sur l’ensemble des unités de travail.

Une approche peut, par exemple, reposer sur :

Gravité × Probabilité

ou :

Gravité × Fréquence d’exposition

ou encore :

Gravité × Fréquence d’exposition × Probabilité

si l’entreprise souhaite clairement distinguer l’exposition de la vraisemblance de l’événement étudié.

L’essentiel est moins la formule choisie que la capacité à définir précisément chaque critère.

Une méthode G × F × P n’apporte une information supplémentaire que si F et P mesurent réellement deux dimensions différentes.

Lorsque l’exposition varie fortement : fréquence et durée peuvent devenir déterminantes

Certaines situations nécessitent de caractériser plus finement l’exposition.

Prenons deux salariés utilisant le même produit chimique.

Le premier réalise une opération pendant dix minutes une fois par mois.

Le second l’utilise plusieurs heures par jour.

Une cotation reposant uniquement sur gravité et probabilité peut ne pas traduire correctement cette différence.

Selon la nature du danger, il peut alors être pertinent de considérer :

la fréquence d’exposition ;
la durée d’exposition ;
voire des données quantitatives d’exposition lorsqu’elles sont disponibles et adaptées au risque étudié.

Mais il faut là encore éviter d’ajouter automatiquement fréquence + durée + probabilité si ces trois paramètres finissent par traduire plusieurs fois la même dimension.

Pour certains risques liés à une dose ou à une exposition cumulée, la durée peut être déterminante. Pour un événement accidentel instantané, elle peut être beaucoup moins informative.

Pour la sécurité des machines : considérer la dynamique du scénario

L’appréciation des risques liés aux machines peut nécessiter une lecture plus structurée du scénario dangereux.

Les paramètres peuvent notamment porter sur :

la gravité du dommage ;
l’exposition au phénomène dangereux ;
l’occurrence de l’événement dangereux ;
la possibilité d’éviter ou de limiter le dommage.

Cette approche permet de distinguer des situations que la seule matrice Gravité × Probabilité décrirait difficilement.

Reprenons notre cas fil rouge.

Un technicien peut être exposé régulièrement à une zone mécanique dangereuse, alors que l’événement déclenchant un mouvement inattendu reste peu fréquent.

Et si ce mouvement survient, sa vitesse peut rendre le dommage pratiquement impossible à éviter.

On distingue alors plusieurs dimensions :

exposition → événement dangereux → possibilité d’évitement → dommage.

Cette représentation est particulièrement utile pour réfléchir ensuite aux mesures de réduction du risque.

Pour une AMDEC : occurrence et détectabilité prennent tout leur sens

L’AMDEC ne cherche pas simplement à évaluer l’exposition d’un travailleur à un danger.

Elle analyse notamment des modes de défaillance, leurs effets et leur criticité.

On retrouve alors classiquement des dimensions telles que :

gravité de l’effet ;
occurrence du mode de défaillance ;
détectabilité de la défaillance avant qu’elle ne produise ses effets.

Une logique de type :

G × O × D

peut donc être cohérente avec l’objet de l’analyse.

Mais reprendre cette formule dans un DUERP simplement parce qu’elle paraît plus complète serait méthodologiquement discutable.

La détectabilité doit répondre à un véritable besoin d’analyse, pas devenir un coefficient supplémentaire ajouté par habitude.

Pour les risques industriels : raisonner d’abord en scénarios

Dans l’analyse des risques industriels et la sécurité des procédés, le raisonnement peut devenir sensiblement différent.

Il faut notamment comprendre :

quel événement initiateur peut se produire ;

comment le scénario peut se développer ;

quelles barrières peuvent l’empêcher ;

quelles conséquences peuvent en résulter ;

quelles barrières peuvent limiter ces conséquences.

Selon la méthode utilisée, l’analyse pourra alors s’intéresser à :

la fréquence ou la probabilité d’occurrence ;
l’intensité ou la gravité des conséquences ;
la cinétique ;
l’étendue des effets ;
la performance des barrières ;
leur indépendance ;
leur disponibilité ;
leur niveau de confiance lorsqu’il est applicable.

Une simple matrice G × P peut rester utile pour certains niveaux d’analyse, mais elle ne remplace pas nécessairement l’étude détaillée des scénarios lorsque les enjeux l’exigent.

Dans ce contexte, Bow-Tie, LOPA ou d’autres méthodes d’analyse des risques peuvent apporter une lecture que la seule cotation ne fournit pas.

Pour prioriser les actions : ne pas nécessairement modifier la cotation

Nous l’avons vu dans la partie précédente : certains critères sont particulièrement utiles pour organiser le plan d’action sans devoir entrer dans la formule du risque.

On peut notamment considérer séparément :

le nombre de personnes exposées ;
une exigence réglementaire ;
une dérive constatée ;
un accident ou presque-accident récent ;
l’urgence ;
l’efficacité attendue d’une action ;
la temporalité de mise en œuvre.

Une entreprise peut ainsi conserver une cotation relativement simple et disposer d’un second niveau de lecture pour établir ses priorités.

Cela évite de construire une formule dans laquelle chaque préoccupation de gestion devient un coefficient supplémentaire.

Tableau de synthèse : quels critères selon le type d’analyse ?

Le tableau suivant ne constitue pas un modèle à appliquer automatiquement. Il permet de visualiser les logiques généralement recherchées selon l’objet de l’évaluation.

Type d’évaluation	Critères pouvant être pertinents	Point de vigilance
DUERP / risques professionnels	Gravité + probabilité et/ou exposition	Conserver une méthode compréhensible et applicable à des risques très différents
Risque avec forte variation d’exposition	Gravité + fréquence et/ou durée + occurrence/probabilité si utile	Ne pas compter plusieurs fois l’exposition
Sécurité des machines	Gravité + exposition + occurrence de l’événement dangereux + possibilité d’évitement	Bien distinguer chaque étape du scénario
AMDEC	Gravité + occurrence + détectabilité	Ne pas transposer automatiquement cette logique au DUERP
Risques industriels / procédés	Conséquences + fréquence/occurrence + analyse des barrières selon la méthode	Raisonner en scénarios et ne pas réduire l’analyse à un score
Priorisation des actions	Niveau de risque + effectif concerné + réglementation + urgence + autres éléments de décision	Ne pas confondre caractérisation du risque et décision de traitement

Une seule entreprise peut avoir plusieurs méthodes

Il n’est pas nécessairement pertinent de chercher à imposer une formule unique pour tous les risques de l’entreprise.

Une organisation peut parfaitement utiliser :

une méthode générale pour son DUERP ;
une méthode adaptée à la sécurité des machines ;
une AMDEC pour certains équipements ou procédés ;
une méthode spécifique pour les risques industriels ;
une analyse quantitative pour certaines expositions.

Ce n’est pas une faiblesse méthodologique.

Au contraire, vouloir faire entrer tous les risques dans une seule matrice peut conduire à perdre les caractéristiques essentielles de certains phénomènes.

L’important est que ces méthodes s’intègrent dans une logique globale d’évaluation et de prévention cohérente.

Attention à la méthode historique de l’entreprise

Une entreprise possède souvent une matrice utilisée depuis plusieurs années.

Changer de méthode simplement parce qu’une autre paraît plus sophistiquée n’est pas nécessairement une amélioration.

Avant de modifier les critères, il est utile de se demander :

quels problèmes rencontre-t-on avec la méthode actuelle ?
certains risques sont-ils mal différenciés ?
les évaluateurs comprennent-ils les critères ?
observe-t-on de fortes divergences de notation ?
la cotation aide-t-elle réellement à décider ?
les mesures existantes sont-elles comptées plusieurs fois ?
le classement obtenu correspond-il raisonnablement aux réalités du terrain ?

Si la méthode fonctionne correctement, l’amélioration peut parfois consister simplement à mieux définir les échelles et les règles de cotation plutôt qu’à ajouter de nouveaux paramètres.

Une méthode simple peut être exigeante

Une matrice à deux ou trois critères n’est pas nécessairement simpliste.

Une méthode G × P avec :

des définitions précises ;
des scénarios correctement formulés ;
des échelles adaptées ;
des évaluateurs formés ;
une bonne connaissance du travail réel ;
des règles claires sur la prise en compte des mesures existantes,

peut produire une évaluation beaucoup plus robuste qu’une formule à six critères mal définis.

À l’inverse, une méthode complexe peut être parfaitement justifiée lorsqu’elle répond à la complexité du phénomène étudié.

Le bon niveau de sophistication n’est pas le maximum possible : c’est celui nécessaire pour comprendre le risque et prendre une décision pertinente.

Une fois les critères choisis, il reste cependant une étape déterminante. Il faut transformer des notions comme « grave », « fréquent », « probable » ou « difficilement évitable » en échelles suffisamment précises pour être utilisées de manière cohérente par plusieurs évaluateurs.

C’est l’objet de la partie suivante : comment construire de bonnes échelles de cotation ?

16. Comment construire de bonnes échelles de cotation ?

Choisir les bons critères ne suffit pas. Encore faut-il définir comment chacun d’eux sera coté.

C’est souvent à ce niveau que les méthodes deviennent fragiles.

Une entreprise peut avoir choisi des critères parfaitement pertinents — gravité, exposition, probabilité — mais obtenir des résultats très différents selon les évaluateurs parce que les niveaux sont définis par des termes comme :

faible – moyen – important – très important

ou :

rare – occasionnel – fréquent – très fréquent.

Ces mots paraissent simples. Pourtant, deux personnes peuvent leur donner des significations très différentes.

Une bonne échelle ne doit pas seulement permettre d’attribuer une note. Elle doit permettre à deux évaluateurs confrontés à la même situation d’aboutir à des appréciations aussi proches que possible.

Combien de niveaux faut-il prévoir ?

On rencontre couramment des échelles à :

3 niveaux ;
4 niveaux ;
5 niveaux ;
parfois davantage.

Il n’existe pas de nombre universellement optimal.

Une échelle comportant peu de niveaux est généralement plus facile à utiliser, mais différencie moins les situations.

Une échelle comportant beaucoup de niveaux permet théoriquement davantage de finesse, mais les frontières deviennent plus difficiles à définir.

Prenons une fréquence d’exposition.

Avec trois niveaux :

Niveau	Exemple
F1	Occasionnelle
F2	Régulière
F3	Fréquente

La méthode est simple, mais que signifie exactement régulière ?

Une fois par mois ? Une fois par semaine ? Tous les jours ?

À l’inverse, une échelle à dix niveaux donnerait une impression de grande précision, mais il deviendrait probablement difficile de distinguer objectivement F6 de F7.

Dans beaucoup de situations, 3 à 5 niveaux bien définis offrent un compromis raisonnable entre simplicité et capacité de discrimination.

Le nombre de niveaux doit surtout dépendre de la finesse réellement nécessaire à l’évaluation.

Remplacer les adjectifs par des repères observables

Une bonne échelle cherche autant que possible à s’appuyer sur des éléments pouvant être observés, décrits ou vérifiés.

Pour la fréquence d’exposition, plutôt que :

Note	Définition
1	Rare
2	Occasionnelle
3	Fréquente
4	Très fréquente

on pourrait utiliser, à titre d’exemple :

Note	Exemple de repère
F1	Quelques fois par an ou moins
F2	Quelques fois par mois
F3	Plusieurs fois par semaine
F4	Tous les jours ou plusieurs fois par jour

Cette seconde échelle réduit la marge d’interprétation.

Elle ne constitue évidemment pas une échelle réglementaire ou universelle. Les seuils doivent être adaptés aux activités et à l’objectif de la méthode.

Le principe est plus important que les valeurs :

Lorsque c’est possible, remplacer une appréciation vague par un repère observable.

Définir précisément la gravité

La gravité est plus difficile à quantifier directement.

On peut cependant construire des classes à partir de la nature et du caractère réversible ou irréversible des conséquences.

Par exemple :

Niveau	Exemple de définition
G1	Dommage mineur et réversible
G2	Dommage nécessitant des soins ou pouvant entraîner une incapacité temporaire
G3	Dommage grave pouvant entraîner des séquelles
G4	Décès ou conséquences majeures irréversibles

L’intérêt d’une telle échelle est de donner aux évaluateurs une logique de classement.

Mais elle doit encore être adaptée au périmètre de l’évaluation.

Dans certaines activités, il pourra être nécessaire de préciser davantage les conséquences sanitaires différées, les atteintes multiples ou certains effets spécifiques.

Le point essentiel reste de savoir quelle conséquence est cotée : une conséquence crédible associée au scénario défini, et non automatiquement la conséquence du dernier accident observé ou la pire conséquence théoriquement imaginable.

Donner une unité temporelle aux critères de fréquence

Les termes temporels sont une source classique d’ambiguïté.

Prenons :

« Événement occasionnel »

Pour un salarié, cela peut signifier une fois par semaine.

Pour un responsable maintenance, une fois par trimestre.

Pour un événement industriel majeur, une fois tous les dix ans pourrait déjà apparaître relativement fréquent.

Une échelle de fréquence doit donc préciser :

fréquence de quoi ?

sur quelle période ?

Par exemple :

« Nombre moyen d’interventions exposantes par salarié sur une année. »

est beaucoup plus précis que :

« Fréquence d’exposition. »

Cette définition du dénominateur est essentielle.

Définir l’événement avant de définir la probabilité

La même exigence s’applique à la probabilité.

Une échelle comme :

P1	Très improbable
P2	Improbable
P3	Probable
P4	Très probable

reste difficile à utiliser si l’on ne précise pas ce qui doit être probable.

S’agit-il :

de la présence du salarié ?
d’une défaillance ?
d’un mouvement intempestif ?
du contact avec le danger ?
de la survenue du dommage ?

Avant même de construire les niveaux P1 à P4, la méthode doit donc préciser l’événement auquel P s’applique.

C’est seulement ensuite que des classes qualitatives, semi-quantitatives ou quantitatives peuvent être définies.

Les bornes doivent éviter les zones grises

Imaginons une échelle de durée :

D1 : moins de 15 minutes
D2 : 15 minutes à 1 heure
D3 : 1 à 4 heures
D4 : plus de 4 heures

Que faire d’une exposition exactement égale à une heure ?

Selon la rédaction, elle pourrait entrer dans D2 ou D3.

Ce détail paraît mineur. Multiplié par des dizaines d’évaluateurs et des centaines de situations, il devient une source de variabilité.

Une rédaction plus rigoureuse pourrait être :

D1 : < 15 min

D2 : ≥ 15 min et < 1 h

D3 : ≥ 1 h et < 4 h

D4 : ≥ 4 h

Chaque situation n’appartient alors qu’à une seule classe.

Les classes doivent couvrir toutes les situations

Une autre erreur consiste à créer des échelles comportant des « trous ».

Par exemple :

F1 : moins d’une fois par mois

F2 : 1 à 3 fois par mois

F3 : 1 à 3 fois par semaine

F4 : tous les jours

Où classer une tâche réalisée quatre fois par mois ?

Ou quatre fois par semaine ?

L’échelle doit être :

exhaustive ;
sans chevauchement ;
suffisamment explicite.

Cela paraît élémentaire, mais c’est précisément ce type de détail qui détermine la robustesse réelle d’une méthode.

Attention aux échelles dont le sens s’inverse

Certains critères augmentent naturellement avec le risque.

Par exemple :

G1 → faible gravité
G4 → forte gravité

Mais d’autres peuvent être construits dans le sens inverse.

Prenons la détectabilité.

Une entreprise pourrait décider :

D1 = très facilement détectable

D4 = pratiquement indétectable

Dans ce cas, la note augmente avec la difficulté de détection.

Une autre méthode pourrait définir D comme un niveau de capacité de détection, auquel cas D4 pourrait au contraire représenter une excellente détection.

Les deux conventions sont possibles.

Le problème apparaît lorsque l’utilisateur ne sait plus dans quel sens fonctionne le coefficient.

Si les notes doivent être multipliées, il est généralement plus intuitif de construire les échelles de manière à ce que :

plus la valeur augmente, plus la contribution au niveau de risque augmente.

Une échelle doit être cohérente avec la formule

Les valeurs attribuées aux niveaux ont également une influence directe sur le résultat.

Prenons deux échelles de gravité :

Méthode A : 1 – 2 – 3 – 4

Méthode B : 1 – 2 – 4 – 8

Les deux comportent quatre niveaux.

Mais dans la seconde, les conséquences graves pèseront beaucoup plus fortement dans le résultat final.

Le choix des valeurs n’est donc jamais totalement neutre.

Avant de valider une méthode, il faut tester les effets de la combinaison des échelles.

Sinon, une pondération implicite peut apparaître sans que ses concepteurs l’aient réellement souhaitée.

Attention aux échelles ordinales

Dans de nombreuses méthodes, les notes 1, 2, 3 et 4 représentent avant tout un ordre :

G4 est plus grave que G3, qui est plus grave que G2.

Mais cela ne signifie pas nécessairement que :

G4 = deux fois G2.

Cette distinction est importante lorsque les notes sont multipliées.

Le calcul donne un indice utile pour classer les situations, mais il ne faut pas lui attribuer une signification mathématique qu’il ne possède pas.

Un score de 12 n’est pas nécessairement un risque « deux fois plus important » qu’un score de 6.

Tester la reproductibilité entre évaluateurs

Une bonne méthode devrait être testée avant son déploiement.

On peut prendre cinq ou dix situations réelles et demander à plusieurs personnes de les coter indépendamment :

responsable HSE ;
manager ;
opérateur ;
maintenance ;
membre du CSE, selon l’organisation.

Les écarts obtenus sont particulièrement instructifs.

Si une même situation est cotée :

F1 par une personne, F2 par une autre et F4 par une troisième, le problème ne vient probablement pas des personnes.

Il peut révéler que la définition de F est insuffisamment précise.

Le test permet donc de travailler non seulement sur la cotation, mais sur la reproductibilité de la méthode.

Documenter les règles d’arbitrage

Même une bonne échelle rencontrera des situations intermédiaires.

Il est donc utile de définir quelques règles.

Par exemple :

En cas de variation importante de l’exposition au cours de l’année, utiliser la situation représentative définie par la méthode ou distinguer plusieurs scénarios si cette variation modifie significativement le risque.

Ou :

Lorsque deux niveaux de gravité sont raisonnablement envisageables, retenir celui correspondant au scénario de référence défini lors de l’analyse et documenter l’hypothèse.

L’objectif n’est pas de produire un manuel de cinquante pages.

Il s’agit d’éviter que chaque évaluateur invente progressivement sa propre méthode à l’intérieur de la méthode officielle.

Adapter les échelles à l’entreprise sans les déformer en permanence

Une entreprise industrielle fonctionnant en continu, un établissement tertiaire et une entreprise réalisant des interventions ponctuelles n’ont pas nécessairement besoin des mêmes seuils d’exposition.

Les échelles peuvent donc être adaptées :

aux activités ;
aux situations réellement rencontrées ;
à la fréquence des tâches ;
au niveau de précision nécessaire ;
à l’objectif de l’évaluation.

Mais une fois définies, elles doivent rester suffisamment stables pour permettre des comparaisons dans le temps.

Changer régulièrement les seuils rend difficile l’interprétation de l’évolution des cotations.

Un exemple de fiche complète de critère

Une bonne pratique consiste à ne pas définir uniquement une échelle, mais une véritable fiche de critère.

Par exemple :

Critère : fréquence d’exposition

Définition : fréquence à laquelle une personne est effectivement exposée au phénomène dangereux considéré.

Ce que le critère mesure : répétition des situations d’exposition.

Ce qu’il ne mesure pas : probabilité que l’événement dangereux survienne pendant cette exposition.

Échelle :

Niveau	Définition illustrative
F1	Quelques fois par an ou moins
F2	Quelques fois par mois
F3	Plusieurs fois par semaine
F4	Quotidiennement ou plusieurs fois par jour

Règle : coter l’exposition au phénomène dangereux et non simplement la fréquence de réalisation de la tâche.

Piège principal : intégrer une seconde fois cette fréquence dans le critère de probabilité.

Cette structure oblige à définir précisément ce que l’on mesure et ce que l’on ne mesure pas.

Une bonne échelle doit pouvoir être expliquée

Au final, une échelle robuste doit répondre à quelques questions simples :

Que mesure exactement ce critère ?

À quel événement ou dommage se rapporte-t-il ?

Chaque niveau possède-t-il une définition claire ?

Les classes sont-elles exhaustives et sans chevauchement ?

Les évaluateurs disposent-ils d’informations permettant de choisir le niveau ?

Deux personnes différentes arriveraient-elles raisonnablement à une cotation proche ?

Le sens de l’échelle est-il cohérent avec la formule utilisée ?

Si ces questions restent sans réponse, ajouter des décimales ou multiplier les coefficients ne rendra pas l’évaluation plus objective.

La robustesse d’une cotation dépend moins du nombre de cases de la matrice que de la qualité des définitions qui permettent de choisir chacune de ces cases.

Nous disposons maintenant de tous les éléments pour rassembler les principaux critères dans une grande grille comparative : ce qu’ils mesurent, des exemples d’échelles, les situations dans lesquelles ils sont utiles, l’effet possible des mesures de prévention et leurs principaux pièges.

17. La grande grille des critères de cotation

Nous avons vu qu’un critère de cotation n’est jamais neutre. Chacun répond à une question différente : quelle conséquence ? quelle exposition ? quel événement ? quelle capacité d’évitement ? quelle maîtrise ?

Le tableau suivant rassemble les principaux critères rencontrés dans les méthodes d’évaluation des risques.

Les échelles proposées sont des exemples pédagogiques. Elles ne constituent ni des échelles réglementaires ni des modèles universels à reprendre tels quels. Elles doivent être définies et adaptées à la méthode, au type de risque et au contexte de l’entreprise.

Critère	Ce qu’il mesure	Exemple d’échelle	Quand l’utiliser	Action possible de la prévention	Principal piège
Gravité (G)	Importance du dommage potentiel retenu pour le scénario	G1 mineur et réversible → G4 décès ou conséquence majeure irréversible	Pratiquement toutes les évaluations	Réduction de l’énergie, des quantités dangereuses ou des conséquences du scénario	Diminuer G simplement parce qu’une mesure de prévention existe
Fréquence d’exposition (F)	Nombre de fois où une personne est effectivement exposée au phénomène dangereux	F1 quelques fois/an → F4 quotidiennement ou plusieurs fois/jour	Risques professionnels, machines, interventions répétitives	Réduire le nombre d’interventions, éloigner l’opérateur, automatiser	Confondre fréquence de la tâche et fréquence réelle d’exposition
Durée d’exposition	Temps pendant lequel l’exposition existe	D1 très courte → D4 plusieurs heures ou permanente	Risques où la durée influence significativement l’exposition ou le dommage	Réduire le temps d’intervention, automatiser, modifier l’organisation	L’ajouter à la fréquence alors que les deux mesurent déjà la même dimension
Probabilité (P)	Vraisemblance de l’événement précisément défini par la méthode	P1 très improbable → P4 très probable	Nombreuses matrices de risques	Suppression de causes, protections, interverrouillages, consignation…	Ne pas préciser « probabilité de quoi ? »
Occurrence (O)	Fréquence ou vraisemblance d’apparition d’un événement ou d’un mode de défaillance	O1 exceptionnelle → O4 fréquente	AMDEC, fiabilité, machines, certaines analyses industrielles	Fiabilisation, maintenance, modification technique, suppression des causes	Utiliser occurrence et probabilité comme deux critères alors qu’ils représentent la même chose
Possibilité d’évitement (E)	Capacité d’une personne à éviter ou limiter le dommage lorsque la situation dangereuse se développe	E1 facilement évitable → E4 pratiquement impossible à éviter	Notamment sécurité des machines et scénarios dynamiques	Réduction de vitesse, distance, alarme, temps de réaction, possibilité de retrait	Confondre perception du danger et capacité réelle à l’éviter
Détectabilité (D)	Capacité à détecter suffisamment tôt une défaillance ou une dérive avant ses conséquences	D1 facilement détectable → D4 difficilement ou non détectable	Principalement AMDEC et analyses de défaillances	Surveillance, capteurs, diagnostic, alarmes, contrôles	Ajouter automatiquement la détectabilité à un DUERP parce qu’elle existe en AMDEC
Nombre de personnes exposées (N)	Importance de la population concernée par la situation	N1 une personne → N4 groupe important	Lorsque l’enjeu collectif doit être pris en compte	Réduire le nombre de personnes présentes, isoler la zone, organiser les accès	Confondre risque individuel et priorité collective
Niveau de maîtrise (M)	Degré de maîtrise réel du risque par les dispositions existantes	M1 maîtrise démontrée → M4 maîtrise insuffisante ou absente	Méthodes intégrant explicitement les mesures existantes	Améliorer la conception, l’organisation, la maintenance, les compétences, les contrôles	Créditer deux fois les mêmes mesures via M et la probabilité
Efficacité des barrières	Capacité d’une barrière à remplir la fonction de sécurité attendue lorsqu’elle est sollicitée	Échelle qualitative ou performance démontrée selon la méthode	Risques industriels, procédés, Bow-Tie, LOPA et analyses approfondies	Améliorer performance, disponibilité, indépendance, maintenance et vérification	Considérer qu’une barrière est efficace simplement parce qu’elle existe
Cinétique	Vitesse de développement du phénomène et délai disponible avant les conséquences	Lente → rapide / immédiate	Scénarios accidentels, risques industriels, phénomènes dynamiques	Détection précoce, ralentissement du phénomène, moyens d’intervention	Compter deux fois son effet si elle est déjà intégrée dans l’évitement
Vulnérabilité	Sensibilité des personnes, équipements ou autres enjeux aux effets du phénomène	Faible → forte selon la méthode	Analyses nécessitant de différencier les cibles exposées	Éloignement, protection, réduction de l’exposition ou des effets	La compter séparément alors qu’elle est déjà intégrée à la gravité
Réversibilité	Possibilité de revenir à l’état antérieur après le dommage	Réversible → partiellement réversible → irréversible	Lorsque cette distinction n’est pas déjà suffisamment portée par la gravité	Principalement mesures limitant les conséquences	Double comptage si l’échelle de gravité distingue déjà dommages réversibles et irréversibles
Contrôlabilité	Capacité à reprendre la maîtrise d’une situation après l’apparition d’une dérive ou d’un événement	Facilement contrôlable → incontrôlable	Procédés et situations dynamiques particulières	Automatismes, moyens d’intervention, mise en sécurité, procédures adaptées	Confondre détecter une situation et être capable de la maîtriser
Étendue des conséquences	Dimension spatiale ou collective des effets du scénario	Poste → atelier → site → hors site, par exemple	Principalement risques industriels et scénarios à effets étendus	Confinement, réduction des quantités, séparation, limitation de propagation	Confondre étendue des effets, gravité individuelle et nombre de personnes exposées
Incertitude	Robustesse des connaissances et hypothèses utilisées pour évaluer le risque	Faible → moyenne → forte incertitude	Analyses reposant sur des données incomplètes ou des hypothèses importantes	Acquérir des données, mesurer, tester, vérifier les hypothèses	Transformer systématiquement l’incertitude en coefficient multiplicateur

Tous ces critères n’ont pas vocation à entrer dans la formule

Cette grille pourrait donner envie de construire une méthode extrêmement complète :

R = G × F × D × P × E × N × M…

Ce serait précisément l’inverse de son objectif.

Le tableau doit plutôt servir à choisir.

Pour chaque critère envisagé, quatre questions permettent de faire un premier tri :

1. Quelle information apporte-t-il ?

2. Cette information est-elle nécessaire pour comprendre le risque étudié ?

3. Est-elle déjà contenue dans un autre critère ?

4. Va-t-elle réellement modifier ou améliorer la décision de prévention ?

Si un critère n’apporte aucune information distincte, il n’a probablement pas besoin d’entrer dans la cotation.

Tous les critères n’ont pas non plus le même statut

La grille permet également de distinguer plusieurs usages.

Certains paramètres sont naturellement utilisés pour caractériser le risque :

gravité – exposition – probabilité – occurrence.

D’autres deviennent particulièrement pertinents pour certains types d’analyses :

évitement – détectabilité – cinétique – contrôlabilité.

D’autres encore peuvent être plus utiles pour éclairer la décision ou la priorité d’action que pour calculer le risque lui-même :

nombre de personnes exposées – incertitude – certaines dimensions de maîtrise.

Enfin, l’efficacité des barrières peut nécessiter une analyse spécifique, notamment en sécurité des procédés, plutôt qu’un simple coefficient ajouté à une matrice.

Cette distinction évite de vouloir faire porter à un seul score toutes les informations nécessaires à la gestion des risques.

Une mesure de prévention doit pouvoir être reliée au scénario

Cette grille permet aussi de contrôler la cohérence d’une réévaluation après action.

Si une entreprise affirme qu’une action fait passer un risque de 12 à 6, elle devrait pouvoir expliquer pourquoi.

Par exemple :

Nous avons automatisé l’opération. La gravité du scénario n’a pas changé, mais l’exposition de l’opérateur a été supprimée lors du fonctionnement normal. C’est donc le paramètre d’exposition qui est modifié.

Ou :

Nous avons limité l’énergie mécanique disponible. L’événement reste possible, mais les conséquences potentielles sont désormais moins importantes. C’est la gravité du scénario considéré qui peut être réévaluée.

Ou encore :

Nous avons installé une détection précoce permettant une mise en sécurité avant que la dérive n’atteigne le seuil dangereux. La mesure agit sur la détection et sur le développement du scénario selon la méthode utilisée.

Le raisonnement doit précéder le changement de note.

Une mesure ne devrait jamais diminuer un score simplement parce qu’elle figure dans le plan d’action. Elle doit modifier un élément identifiable du scénario ou améliorer de manière démontrable sa maîtrise.

La grille est donc un outil de questionnement avant d’être un catalogue

L’objectif n’est pas de trouver le maximum de critères à utiliser.

Il est de disposer d’un vocabulaire suffisamment précis pour construire une méthode adaptée.

Gravité, exposition, probabilité, occurrence, évitement ou détectabilité ne sont pas différentes façons de nommer la même chose. Chacun peut représenter une étape ou une dimension différente du scénario.

Mais cette richesse devient contre-productive dès que les critères se recouvrent, deviennent impossibles à distinguer sur le terrain ou produisent une précision mathématique artificielle.

Nous arrivons donc à la dernière question de ce guide : comment conserver suffisamment de finesse pour évaluer correctement les risques sans fabriquer une méthode tellement complexe qu’elle n’est plus comprise ni utilisée ?

18. Construire une méthode utile sans fabriquer une usine à gaz

Au terme de ce guide, une chose apparaît clairement : la cotation des risques peut devenir aussi sophistiquée que l’on souhaite.

On peut distinguer la gravité, l’exposition, sa fréquence, sa durée, la probabilité, l’occurrence, la possibilité d’évitement, la détectabilité, le nombre de personnes exposées, le niveau de maîtrise, l’efficacité des barrières, la cinétique ou encore l’incertitude.

Mais l’objectif d’une méthode de cotation n’est pas de représenter toute la complexité du risque dans une équation.

Son objectif est d’aider à :

structurer l’évaluation ;
comparer des situations ;
identifier les risques nécessitant une attention particulière ;
décider des mesures de prévention ;
suivre l’évolution des situations dans le temps.

Une méthode qui produit un score très élaboré mais que personne ne sait expliquer a probablement perdu une partie de son utilité.

La cotation doit simplifier la décision sans simplifier abusivement le risque.

1. Commencer par définir ce que l’on cherche à évaluer

Avant de choisir une formule, il faut définir l’objet de l’analyse.

Évalue-t-on :

une situation de travail dans le cadre du DUERP ?
une intervention de maintenance ?
un phénomène dangereux lié à une machine ?
un mode de défaillance ?
un scénario accidentel industriel ?
une exposition chronique ?

Cette première question conditionne toutes les autres.

Une méthode construite pour hiérarchiser les risques professionnels de plusieurs unités de travail n’a pas nécessairement besoin du même niveau de détail qu’une analyse d’un scénario de perte de confinement sur une installation industrielle.

2. Décrire le scénario avant de lui attribuer une note

Une erreur fréquente consiste à commencer directement par la matrice :

Gravité ? 4.
Probabilité ? 2.
Risque = 8.

Mais que représente exactement ce 8 ?

La cotation devient beaucoup plus robuste lorsque le scénario est formulé avant le calcul.

Il faut pouvoir identifier, selon le niveau de détail nécessaire :

le danger → la situation d’exposition → l’événement dangereux → le dommage potentiel.

Prenons notre cas fil rouge.

Dire :

Risque mécanique : G4 × P2

apporte relativement peu d’informations.

Dire :

Lors d’une intervention de réglage dans la zone dangereuse, un redémarrage ou mouvement intempestif de l’équipement peut exposer le technicien à un écrasement pouvant entraîner des conséquences graves ou mortelles.

permet déjà de mieux comprendre ce que G et P doivent mesurer.

Une cotation n’est pertinente que si l’on sait précisément quel scénario elle représente.

3. Choisir uniquement les critères nécessaires

Une fois le scénario défini, on peut sélectionner les critères permettant de le caractériser.

Pour chacun d’eux, il faut pouvoir compléter cette phrase :

« J’utilise ce critère parce qu’il me permet de distinguer… »

Par exemple :

la gravité, parce que les conséquences potentielles diffèrent ;

la fréquence d’exposition, parce que certaines situations exposent quotidiennement les salariés et d’autres exceptionnellement ;

la probabilité, parce que l’événement étudié peut être plus ou moins vraisemblable ;

l’évitement, parce que certains phénomènes laissent une possibilité réelle de réaction alors que d’autres sont pratiquement instantanés ;

la détectabilité, parce que l’analyse porte sur des défaillances dont la détection précoce influence la criticité.

Si l’on ne parvient pas à expliquer ce qu’un critère apporte, il faut se demander s’il est réellement nécessaire.

4. Vérifier que deux critères ne mesurent pas la même chose

C’est probablement l’un des contrôles les plus importants.

Avant de valider une formule telle que :

G × F × P × M

il faut définir précisément :

F = ?

P = ?

M = ?

Si P intègre déjà la fréquence d’exposition, F devient partiellement redondant.

Si P tient compte de toutes les mesures existantes et que M évalue ces mêmes mesures, la prévention peut être comptée deux fois.

Si la gravité intègre déjà la réversibilité du dommage, ajouter un coefficient de réversibilité peut créer le même problème.

Une formule doit donc être examinée non seulement critère par critère, mais également dans les interactions entre ses critères.

5. Construire des échelles compréhensibles et observables

Chaque critère doit ensuite disposer d’une échelle suffisamment précise.

Autant que possible, les niveaux doivent s’appuyer sur :

des situations observables ;
des fréquences définies ;
des périodes de référence ;
des conséquences décrites ;
des événements clairement identifiés.

Une échelle comportant quatre niveaux bien définis sera généralement plus robuste qu’une échelle à huit niveaux dont les frontières reposent sur des nuances telles que :

très faible / faible / assez faible / modérée / assez élevée / élevée / très élevée…

La finesse apparente ne garantit pas la qualité de l’évaluation.

6. Définir clairement à quel moment le risque est coté

La méthode doit également répondre explicitement à une question abordée précédemment :

Les mesures de prévention existantes sont-elles déjà prises en compte dans la cotation ?

L’entreprise peut choisir d’évaluer :

un risque brut ou intrinsèque selon une convention clairement définie ;
la situation actuelle avec ses mesures existantes ;
un risque résiduel après mise en œuvre de nouvelles mesures.

Plusieurs approches sont possibles.

Ce qui pose problème, c’est de passer de l’une à l’autre sans le savoir.

La méthode doit donc préciser :

quelles mesures sont prises en compte, dans quel critère elles le sont et à quel moment une nouvelle cotation peut être considérée comme acquise.

7. Relier chaque mesure de prévention à son effet réel

Une action ne devrait pas simplement conduire à :

Avant : 12 → Après : 6

Il faut pouvoir expliquer le passage de 12 à 6.

La mesure :

supprime-t-elle le danger ?
supprime-t-elle un scénario ?
réduit-elle l’exposition ?
réduit-elle l’occurrence d’un événement ?
limite-t-elle les conséquences ?
améliore-t-elle la possibilité d’évitement ?
améliore-t-elle la détection ?
renforce-t-elle une barrière de sécurité ?

Cette lecture permet également de replacer les mesures dans une logique Technique – Organisationnel – Humain (TOH) et de les confronter aux principes généraux de prévention.

Ces deux lectures sont complémentaires.

Le TOH aide à comprendre sur quoi repose la maîtrise.

Les principes généraux de prévention permettent de questionner la stratégie de prévention elle-même, en privilégiant notamment l’évitement du risque et sa réduction à la source avant de s’en remettre uniquement aux comportements ou aux protections individuelles.

8. Tester la méthode avant de la généraliser

Une méthode de cotation ne devrait pas être validée uniquement parce que sa matrice paraît cohérente dans un fichier Excel.

Il faut la confronter à des situations réelles.

Choisissons par exemple :

un risque fréquent mais peu grave ;
un risque rare mais potentiellement mortel ;
une exposition chronique ;
une intervention exceptionnelle ;
un risque fortement dépendant d’une barrière technique ;
un risque concernant de nombreuses personnes.

Puis faisons-les évaluer par plusieurs personnes.

Il faut ensuite regarder :

Les résultats sont-ils compréhensibles ?

Les risques sont-ils correctement différenciés ?

Les évaluateurs interprètent-ils les critères de la même manière ?

Un paramètre écrase-t-il systématiquement les autres ?

Certaines mesures sont-elles comptées plusieurs fois ?

Le classement obtenu aide-t-il réellement à décider ?

Ce test terrain vaut souvent davantage que plusieurs heures passées à perfectionner la formule.

9. Ne pas demander à la cotation de décider de tout

La cotation n’a pas besoin d’intégrer toutes les informations utiles à la prévention.

Le nombre de personnes exposées, une exigence réglementaire, un événement récent, une incertitude importante ou une urgence opérationnelle peuvent être considérés au moment de la priorisation sans nécessairement modifier le calcul du risque.

Cette séparation permet de conserver une méthode lisible :

Évaluer le risque

puis

Décider de la priorité d’action.

Une matrice peut aider à la décision.

Elle ne doit pas devenir un algorithme auquel l’entreprise délègue son jugement.

10. Faire évoluer la méthode seulement lorsqu’un problème est identifié

Enfin, une méthode n’a pas besoin d’être modifiée chaque fois qu’un nouveau critère est découvert.

Avant d’ajouter une variable, il est plus utile de se demander :

Quel problème cherchons-nous à résoudre ?

Si les évaluateurs confondent exposition et probabilité, la solution peut être de mieux définir les critères.

Si certains risques sont mal différenciés, un critère supplémentaire peut devenir pertinent.

Si les cotations divergent fortement entre services, le problème peut venir des échelles ou de la formation des évaluateurs.

Si les actions de prévention réduisent systématiquement les scores sans justification, il faut probablement revoir la manière dont les mesures existantes sont prises en compte.

La complexification ne doit donc jamais être le premier réflexe.

De la formule au raisonnement

Une bonne méthode de cotation devrait finalement permettre de raconter l’histoire du risque.

Quel est le danger ?

Qui est exposé, quand et comment ?

Quel événement peut conduire au dommage ?

Quelles pourraient être les conséquences ?

Qu’est-ce qui empêche aujourd’hui le scénario de se produire ?

Peut-on réellement compter sur ces mesures ?

Que devons-nous modifier pour réduire le risque ?

Si la méthode permet de répondre clairement à ces questions, elle remplit probablement sa fonction.

Si elle produit uniquement un chiffre, aussi sophistiqué soit-il, elle ne remplace pas l’analyse.

Conclusion

Il n’existe donc pas une bonne formule de cotation des risques applicable à toutes les entreprises et à toutes les situations.

G × P, G × F, G × F × P, G × O × D ou des méthodes plus détaillées peuvent toutes être pertinentes dans leur contexte.

La question essentielle reste de savoir ce que chaque critère mesure, pourquoi il est utilisé et comment les mesures de prévention peuvent réellement le modifier.

La cotation n’est finalement qu’une représentation simplifiée d’une réalité beaucoup plus complexe.

Elle devient utile lorsqu’elle oblige à mieux raisonner.

Elle devient dangereuse lorsqu’elle donne l’impression que le chiffre obtenu constitue, à lui seul, la réalité du risque.

Une méthode de cotation n’est pas meilleure parce qu’elle comporte davantage de critères. Elle est meilleure lorsque chacun de ses critères mesure quelque chose de distinct, compréhensible et utile à la décision.

FAQ — Critères de cotation des risques

Quels critères utiliser pour coter un risque professionnel ?

Il n’existe pas de liste réglementaire unique de critères à utiliser. Pour l’évaluation des risques professionnels, l’entreprise définit une méthode adaptée à ses activités. Parmi les critères couramment utilisés figurent la gravité potentielle, la probabilité, la fréquence ou la durée d’exposition et, selon les méthodes, le nombre de personnes exposées. L’INRS rappelle que les critères d’appréciation restent propres à l’entreprise.

L’essentiel est que chaque critère soit clairement défini et apporte une information distincte.

Quelle est la différence entre fréquence d’exposition et probabilité ?

La fréquence d’exposition indique à quelle fréquence une personne est effectivement exposée au phénomène dangereux. La probabilité traduit la vraisemblance de survenue de l’événement précisément défini par la méthode.

Une exposition quotidienne ne signifie donc pas nécessairement qu’un accident est quotidiennement probable. L’INRS distingue d’ailleurs la fréquence ou durée d’exposition de la probabilité de survenue du phénomène dangereux.

Existe-t-il une méthode réglementaire de cotation pour le DUERP ?

Non. La réglementation impose à l’employeur d’évaluer les risques professionnels et d’en transcrire les résultats dans le DUERP, mais elle n’impose pas une formule de cotation particulière. L’INRS précise que le mode d’appréciation reste à la main de l’employeur.

Une entreprise peut donc utiliser une matrice Gravité × Probabilité, Gravité × Fréquence ou une méthode plus élaborée, à condition qu’elle permette une évaluation cohérente et adaptée aux situations de travail.

Faut-il prendre en compte les mesures de prévention existantes dans la cotation ?

C’est possible, mais la méthode doit préciser à quel moment du scénario le risque est coté et comment les mesures existantes sont prises en compte.

Une entreprise peut distinguer un risque brut, la situation actuelle tenant compte des mesures existantes et un risque résiduel après de nouvelles actions. L’important est d’éviter de créditer plusieurs fois la même mesure, par exemple en diminuant la probabilité puis en appliquant également un coefficient de maîtrise pour la même protection.

Une mesure de prévention peut-elle réduire la gravité ?

Oui, mais uniquement si elle réduit réellement les conséquences potentielles du scénario considéré.

Une réduction de l’énergie, de la pression, de la quantité de produit dangereux ou de la hauteur de chute peut, selon le scénario, réduire la gravité. À l’inverse, une formation, une procédure ou une consignation agit généralement davantage sur l’exposition ou la probabilité d’occurrence que sur la conséquence elle-même.

La question à poser est donc : « Cette mesure modifie-t-elle réellement la conséquence retenue pour notre scénario ? »

Plus une méthode comporte de critères, est-elle plus précise ?

Non. Ajouter fréquence, durée, probabilité, maîtrise, détectabilité ou évitement peut même dégrader la méthode si plusieurs critères mesurent partiellement la même chose.

L’INRS souligne notamment que la configuration de l’outil et la définition des paramètres peuvent conduire à des résultats divergents et recommande des paramètres précisément définis.

Sources et références

Les critères et exemples d’échelles présentés dans ce guide ont une vocation méthodologique et pédagogique. Ils ne constituent pas une méthode réglementaire de cotation. Les références suivantes permettent d’approfondir les différentes approches de l’évaluation et de la maîtrise des risques.

INRS — ED 840, Évaluation des risques professionnels
Guide général consacré à la démarche d’évaluation des risques professionnels, à leur identification, leur analyse et leur classement afin de définir les actions de prévention appropriées.
Consulter les ressources INRS sur l’évaluation des risques professionnels

INRS — TJ 29, Évaluation des risques professionnels et document unique
Aide-mémoire juridique publié en mai 2026 présentant le cadre réglementaire de l’évaluation des risques professionnels, du DUERP et de la mise en œuvre des actions de prévention.
Consulter l’INRS TJ 29

Code du travail — articles L. 4121-1 à L. 4121-3
Ces dispositions constituent le socle réglementaire de la démarche de prévention : obligation générale de sécurité, évaluation des risques et principes généraux de prévention. L’article L. 4121-2 pose notamment la logique consistant à éviter les risques, évaluer ceux qui ne peuvent être évités et combattre les risques à la source.
Consulter les principes généraux de prévention sur Légifrance

INRS — ED 6323, Aide à la détection des risques liés à l’utilisation d’une machine
Document particulièrement intéressant pour approfondir l’analyse des risques liés aux machines et la manière de structurer le questionnement autour des situations dangereuses.
Consulter l’INRS ED 6323

ISO 12100:2010 — Sécurité des machines — Principes généraux de conception — Appréciation du risque et réduction du risque
Norme de référence pour la démarche d’appréciation et de réduction du risque dans la conception des machines. L’édition 2010 est toujours indiquée comme actuelle par l’ISO en septembre 2026, même si sa révision est en cours.
Consulter la présentation de l’ISO 12100

ISO/TR 14121-2:2012 — Sécurité des machines — Appréciation du risque — Partie 2 : Lignes directrices pratiques et exemples de méthodes
Complément pratique à l’ISO 12100 présentant différentes méthodes et différents outils utilisables dans le processus d’appréciation du risque.
Consulter la présentation de l’ISO/TR 14121-2

INERIS — Ω10, Évaluation de la performance des barrières techniques de sécurité
Référence particulièrement pertinente pour les parties de ce guide consacrées aux barrières de sécurité. La méthode traite de l’évaluation de leur performance ; les travaux INERIS associés utilisent notamment les notions d’efficacité, de temps de réponse, de niveau de confiance et de maintien des performances dans le temps.
Consulter le rapport INERIS Ω10