HIPO en HSE

HIPO en HSE : pourquoi vos “presque accidents” sont vos plus grands risques

“On a eu de la chance” : le point de départ d’un aveuglement

“On a eu de la chance.”

Cette phrase, en apparence anodine, est l’une des plus révélatrices des limites de notre manière d’appréhender le risque.

Sur le terrain, elle survient presque toujours après coup.
Après un objet tombé sans conséquence.
Après une erreur sans impact.
Après une situation dangereuse évitée de justesse.

Elle marque la fin de l’événement.
Elle soulage.
Elle rassure.
Elle permet de passer à autre chose.

Et pourtant…

C’est souvent à partir de ce moment précis que commence l’aveuglement.

En santé et sécurité au travail, nous avons longtemps structuré notre analyse autour des conséquences observées : nombre d’accidents, gravité des blessures, indicateurs de fréquence. Cette approche, nécessaire pour piloter et comparer, présente néanmoins une limite majeure : elle focalise l’attention sur ce qui s’est produit… au détriment de ce qui aurait pu se produire.

Or, du point de vue du risque, cette distinction est fondamentale.

Deux situations identiques peuvent conduire à des issues radicalement différentes :
dans un cas, un accident grave ;
dans l’autre, aucune conséquence.

Ce qui les différencie ne relève pas toujours de la maîtrise du système, mais souvent d’un facteur beaucoup plus incertain : la chance.

C’est précisément dans cet espace, entre ce qui s’est passé et ce qui aurait pu se passer, que se situent les événements à fort potentiel de gravité, plus communément appelés HIPO (High Potential Events).

Ces événements ont une caractéristique particulière : ils ne produisent pas nécessairement de dommage…
mais ils exposent les personnes à un niveau de risque potentiellement critique, voire fatal.

Autrement dit, ils ne se définissent pas par leurs conséquences, mais par leur potentiel de gravité.

Ne pas reconnaître cette distinction revient à adopter une lecture incomplète du risque.

Car derrière un événement qualifié de “mineur” se cache souvent une réalité beaucoup plus préoccupante :

  • une barrière de sécurité défaillante,
  • une situation dangereuse effectivement rencontrée,
  • une exposition réelle à un danger critique.

Le fait que l’événement n’ait pas eu de conséquence grave ne signifie pas que le système a fonctionné correctement. Il signifie parfois simplement que toutes les conditions n’étaient pas réunies pour que le pire se produise.

Dans ce contexte, considérer qu’“il ne s’est rien passé” constitue moins une observation qu’une interprétation, et souvent une erreur de lecture.

Car en matière de prévention, l’enjeu ne réside pas uniquement dans l’analyse des accidents survenus, mais dans la capacité à identifier, comprendre et traiter les situations qui auraient pu conduire à des conséquences graves.

Dès lors, une question s’impose :

Sommes-nous capables de reconnaître un événement dangereux… lorsqu’il ne fait pas de victime ?

C’est à cette question, et aux implications qu’elle soulève pour la maîtrise des risques, que cet article se propose de répondre.

1 - HIPO : comprendre le potentiel de gravité

L’un des principaux écueils en santé et sécurité au travail réside dans la confusion entre ce qui est visible, la conséquence et ce qui est déterminant, le niveau de risque auquel les personnes ont été exposées.

C’est précisément pour dépasser cette limite qu’a émergé la notion de HIPO (High Potential Event).

🔸 Une définition centrée sur le potentiel, et non sur le résultat

Un HIPO se définit comme :

un événement sans conséquence grave, mais dont le potentiel aurait pu conduire à un accident majeur ou fatal.

Cette définition introduit une rupture importante :  elle dissocie la gravité constatée de la gravité potentielle.

Autrement dit, un événement peut être classé comme mineur en apparence… tout en étant critique du point de vue du risque.

🔸 Une distinction essentielle : incident, presqu’accident, HIPO

Dans la pratique, plusieurs termes coexistent, souvent utilisés de manière interchangeable, ce qui entretient la confusion.

Il est pourtant essentiel de les distinguer :

  • Incident : événement ayant entraîné un dommage matériel ou organisationnel, sans atteinte aux personnes.
  • Presqu’accident (near miss) : événement n’ayant causé aucun dommage, mais qui aurait pu en provoquer un dans d’autres circonstances.
  • HIPO (High Potential Event) : événement — avec ou sans conséquence — caractérisé par un potentiel de gravité élevé, indépendamment du résultat observé.

Ainsi, tous les HIPO peuvent être des presqu’accidents… mais tous les presqu’accidents ne sont pas des HIPO.

La différence ne tient pas à ce qui s’est produit, mais à ce qui aurait pu se produire.

🔸 Le cœur du sujet : le potentiel de gravité

La notion de potentiel de gravité constitue la clé de lecture des HIPO.

Elle repose sur une question simple :

Si toutes les conditions avaient été réunies, quelles auraient été les conséquences plausibles de cet événement ?

Cette approche implique de se projeter au-delà du résultat immédiat, en intégrant :

  • la nature du danger (énergie mécanique, électrique, chimique, gravitaire…)
  • le niveau d’exposition
  • les circonstances (présence d’un opérateur, position, timing…)
  • l’état des barrières de sécurité

C’est cette analyse qui permet de révéler la criticité réelle d’une situation.

🔸 Quelques exemples concrets

Prenons quelques situations courantes :

  • Un outil chute d’une plateforme… sans personne en dessous
    conséquence : nulle
    potentiel : traumatisme grave ou fatal
  • Une intervention est réalisée sans consignation correcte… sans incident
    conséquence : nulle
    potentiel : électrisation ou électrocution
  • Un opérateur passe dans une ligne de feu… sans impact
    conséquence : nulle
    potentiel : écrasement ou amputation

Dans chacun de ces cas, l’événement peut être perçu comme “mineur”. Mais du point de vue du risque, il s’agit d’une exposition à un danger critique.

🔸 Une lecture indispensable pour piloter la prévention

Comprendre les HIPO, c’est accepter de changer de référentiel :

  • ne plus juger un événement uniquement à partir de ses conséquences
  • mais à partir du niveau de risque qu’il révèle

Car en matière de prévention, ce ne sont pas les événements les plus visibles qui sont les plus instructifs…
mais souvent ceux qui passent inaperçus.

Cette lecture par le potentiel de gravité constitue le socle d’une approche plus mature de la sécurité. Elle permet non seulement d’anticiper les accidents graves, mais aussi de détecter les défaillances du système avant qu’elles ne produisent des conséquences irréversibles.

Alors, si les HIPO sont si déterminants pour la compréhension du risque…
Pourquoi sont-ils encore si peu exploités dans les organisations ?

2. Pourquoi les HIPO sont les événements les plus critiques en HSE

À première vue, les événements sans conséquence peuvent sembler secondaires dans une démarche de prévention. Ils ne génèrent ni blessure, ni arrêt de travail, ni impact immédiat sur les indicateurs de performance.

Et pourtant, du point de vue de la maîtrise des risques, ils constituent souvent les informations les plus stratégiques

🔸 Zéro conséquence… mais un niveau de risque maximal

Un HIPO présente une caractéristique paradoxale :

il ne produit pas de dommage… mais révèle une exposition à un danger potentiellement critique.

Cette dissociation entre résultat et risque en fait un objet d’analyse particulier.

Contrairement à un accident, qui traduit une défaillance ayant déjà produit des conséquences, le HIPO se situe en amont. Il correspond à une situation dans laquelle :

  • les conditions de survenue d’un accident grave étaient réunies,
  • mais où l’enchaînement des événements n’a pas conduit au pire.

Ce décalage tient rarement à une parfaite maîtrise du système.
Il tient souvent à une combinaison de circonstances favorables… autrement dit, à la chance.

🔸 Une opportunité d’apprentissage sans coût humain

C’est précisément ce qui fait la valeur des HIPO.

Ils offrent la possibilité d’analyser :

  • une situation réelle,
  • une exposition concrète au danger,
  • une défaillance effective de barrière,

… sans avoir à gérer les conséquences humaines d’un accident.

Autrement dit :

le HIPO est un accident grave qui n’a pas encore eu lieu.

Cette caractéristique en fait un levier majeur pour la prévention, à condition qu’il soit reconnu et traité comme tel.

🔸 Un lien direct avec les accidents graves et mortels

Les travaux menés sur les accidents graves et mortels montrent qu’ils ne surviennent que rarement de manière isolée. Ils s’inscrivent généralement dans une continuité de situations dégradées, d’écarts tolérés, et de signaux faibles non traités.

Dans cette perspective, les HIPO jouent un rôle central :

  • ils matérialisent des situations à haut potentiel de gravité,
  • ils révèlent des failles dans les dispositifs de maîtrise,
  • ils précèdent souvent, dans une logique de dérive, les événements les plus critiques.

Ignorer un HIPO, ce n’est pas ignorer un événement mineur.
C’est ignorer une préfiguration possible d’un accident grave.

🔸 Un indicateur plus pertinent que les seuls résultats

Dans de nombreuses organisations, la performance sécurité reste largement pilotée à travers des indicateurs de résultats : taux de fréquence, taux de gravité, nombre d’accidents déclarés.

Si ces indicateurs conservent leur utilité, ils présentent une limite majeure :

ils ne mesurent que ce qui s’est produit… pas ce qui aurait pu se produire.

Or, du point de vue de la prévention des accidents graves, cette seconde dimension est déterminante.

Intégrer les HIPO dans le pilotage de la sécurité, c’est donc changer de logique :

  • passer d’une approche réactive à une approche proactive,
  • passer d’une culture du dommage à une culture du risque,
  • passer d’une analyse des conséquences à une analyse des expositions.

🔸 Une inversion de perspective nécessaire

Considérer les HIPO comme des événements critiques revient à inverser le regard porté sur la sécurité.

Ce ne sont plus uniquement les accidents qui doivent retenir l’attention, mais l’ensemble des situations dans lesquelles :

  • une personne a été exposée à un danger majeur,
  • une barrière de sécurité a été contournée ou défaillante,
  • le système a montré ses limites.

Dans cette logique, l’absence de conséquence n’est plus un critère rassurant.
Elle devient un signal à interroger.

Si les HIPO sont à ce point déterminants pour la compréhension et la maîtrise du risque, une contradiction apparaît immédiatement.
Pourquoi ces événements restent-ils si peu visibles, si peu remontés, et si peu analysés ?

3. Le grand paradoxe : les HIPO sont invisibles

Si les événements à fort potentiel de gravité sont aussi déterminants pour la compréhension du risque, on pourrait s’attendre à ce qu’ils fassent l’objet d’une attention particulière.

Dans les faits, c’est souvent l’inverse.

Les HIPO sont :

  • peu remontés,
  • rarement analysés en profondeur,
  • et encore moins priorisés dans les démarches de prévention.

Ce constat révèle un paradoxe central : les situations les plus critiques du point de vue du risque sont souvent les moins visibles dans les organisations.

🔸 Une invisibilité liée à l’absence de conséquence

Le premier facteur d’invisibilisation est simple : les HIPO ne produisent pas de dommage immédiat.

Or, dans la plupart des systèmes de gestion, l’attention se porte prioritairement sur :

  • les accidents avec arrêt,
  • les blessures,
  • les impacts mesurables.

À l’inverse, un événement sans conséquence est rapidement perçu comme secondaire, voire négligeable.

L’absence de dommage est alors interprétée, à tort, comme une absence de gravité.

🔸 Le poids du biais du résultat

Ce mécanisme repose en grande partie sur un biais cognitif bien connu : le biais du résultat.

Ce biais consiste à évaluer la qualité d’une situation ou d’une décision uniquement à partir de son issue.

Dans ce cadre :

  • si rien de grave ne se produit → la situation est jugée acceptable,
  • si un accident survient → la situation est jugée dangereuse.

Le problème est évident : le risque est évalué a posteriori, en fonction de ce qui s’est passé, et non en fonction de ce qui était en jeu.

Ainsi, deux situations identiques peuvent être interprétées de manière totalement différente, simplement parce que l’une a produit une conséquence et l’autre non.

🔸 Le biais du survivant : une illusion de normalité

À ce biais s’ajoute un second mécanisme : le biais du survivant.

Il consiste à accorder plus d’importance aux situations qui se sont bien terminées, tout en négligeant les scénarios dans lesquels elles auraient pu mal tourner.

Dans un environnement de travail, ce biais se traduit par une forme de normalisation :

  • “On a toujours fait comme ça.”
  • “Ça n’a jamais posé de problème.”
  • “Ça passe.”

À force de répétition sans conséquence, des situations à risque deviennent progressivement acceptables.

Ce processus, bien documenté dans l’analyse des accidents industriels, est connu sous le nom de normalisation de la déviance.

🔸 Une culture orientée vers le visible

Au-delà des biais individuels, l’invisibilité des HIPO est également renforcée par des facteurs organisationnels.

Dans de nombreuses entreprises, la performance sécurité est évaluée à partir d’indicateurs de résultats :

  • taux de fréquence,
  • taux de gravité,
  • nombre d’accidents déclarés.

Ces indicateurs, bien qu’utiles, orientent naturellement l’attention vers les événements ayant produit un effet mesurable.

Ce qui n’a pas de conséquence… n’entre pas dans les tableaux de bord.

Dans ce contexte, les HIPO peinent à trouver leur place :

  • ils ne dégradent pas les indicateurs,
  • ils ne déclenchent pas d’urgence,
  • ils ne génèrent pas de pression immédiate à agir.

🔸 Une invisibilité entretenue par les pratiques terrain

Enfin, cette invisibilité est souvent renforcée par les pratiques elles-mêmes.

Sur le terrain :

  • un événement sans conséquence est rarement formalisé,
  • il fait l’objet d’un échange informel, puis est oublié,
  • il est perçu comme une “petite alerte”, sans nécessité d’analyse approfondie.

Le fameux “ouf” marque alors la fin du processus… là où il devrait en être le point de départ.

🔸 Un angle mort de la prévention

Cette combinaison de biais cognitifs et de mécanismes organisationnels crée un véritable angle mort :

les situations les plus riches d’enseignements ne sont ni captées, ni exploitées.

Or, c’est précisément dans ces situations que se trouvent les signaux les plus précoces de défaillance du système.

Ne pas les voir, ou ne pas les traiter, revient à se priver d’une capacité essentielle : anticiper les accidents avant qu’ils ne surviennent.

Si les HIPO restent invisibles en raison de l’absence de conséquence et des biais qui en découlent, un autre facteur joue un rôle tout aussi déterminant :

la place que l’on accorde à la chance dans l’interprétation des événements.

4. Quand la chance remplace la maîtrise

Dans de nombreuses situations de travail, l’absence d’accident est spontanément interprétée comme le signe que le système fonctionne correctement.

“Tout s’est bien passé.”
“Aucun incident à signaler.”

Cette lecture est rassurante.Mais elle est parfois profondément trompeuse.

🔸 “On a eu chaud” n’est pas une preuve de maîtrise

Lorsqu’un événement à fort potentiel de gravité survient sans conséquence, la réaction immédiate est souvent :

“On a eu chaud.”
“On a eu de la chance.”

Ces expressions traduisent une réalité que l’on reconnaît intuitivement… sans toujours en tirer les conséquences.

Elles signifient que :

  • les conditions d’un accident étaient réunies,
  • mais que l’enchaînement des événements n’a pas conduit au pire.

Autrement dit :

le système n’a pas nécessairement fonctionné … c’est le scénario qui ne s’est pas déroulé jusqu’au bout.

🔸 La chance : une barrière invisible… et incontrôlable

Dans toute situation à risque, plusieurs barrières de sécurité sont censées prévenir ou limiter les conséquences d’un événement :

  • dispositifs techniques,
  • procédures,
  • compétences des opérateurs,
  • organisation du travail.

Lorsque ces barrières sont contournées, défaillantes ou absentes, une dernière “barrière” peut subsister : la chance.

Mais cette “barrière” a une caractéristique essentielle :

elle n’est ni conçue, ni maîtrisée, ni reproductible.

Elle dépend :

  • du moment (quelqu’un présent… ou non),
  • de la position (un pas de côté… ou non),
  • de facteurs aléatoires impossibles à anticiper.

S’appuyer sur la chance revient donc à accepter une part d’incertitude incompatible avec une démarche de prévention maîtrisée.

🔸 L’illusion de sécurité

Le problème n’est pas seulement l’existence de la chance.
Il réside dans la manière dont elle est interprétée.

Lorsqu’un événement se termine sans conséquence, il est tentant de conclure que :

  • “le système a tenu”,
  • “les risques sont maîtrisés”,
  • “les dispositifs en place sont suffisants”.

Cette conclusion est souvent erronée.

En réalité, l’absence d’accident peut masquer :

  • une défaillance non détectée,
  • une situation dangereuse non corrigée,
  • une exposition répétée au risque.

La sécurité perçue ne reflète pas toujours la sécurité réelle.

🔸 La normalisation de la déviance

Lorsque des situations à risque se reproduisent sans conséquence, un phénomène insidieux peut s’installer : la normalisation de la déviance.

Progressivement :

  • ce qui était perçu comme exceptionnel devient habituel,
  • ce qui était considéré comme risqué devient acceptable,
  • ce qui relevait d’un écart devient une pratique tolérée.

Ce mécanisme repose sur une logique simple :

“Puisque cela n’a pas eu de conséquence jusqu’à présent,
le risque est probablement acceptable.”

Or, cette conclusion repose sur une confusion fondamentale entre fréquence et gravité.

Un événement peut être rare… mais potentiellement dramatique.

🔸 De la maîtrise réelle à la maîtrise supposée

Dans ce contexte, une distinction essentielle s’impose :

  • Maîtrise réelle : le risque est réduit par des dispositifs robustes, indépendants et vérifiés.
  • Maîtrise supposée : l’absence d’accident est interprétée comme une preuve de contrôle.

Le passage de l’une à l’autre se fait souvent de manière imperceptible.

Et c’est précisément dans cet écart que se logent les accidents graves.

🔸 Replacer la maîtrise au cœur de la prévention

Reconnaître le rôle de la chance ne revient pas à nier la qualité des systèmes en place.
Cela revient à adopter une posture plus exigeante :

  • ne pas confondre résultat favorable et maîtrise effective,
  • interroger systématiquement les situations “qui auraient pu mal tourner”,
  • considérer l’absence de conséquence comme une opportunité d’analyse, et non comme une validation.

Si la chance contribue à masquer les défaillances du système, une question devient alors centrale :

comment identifier concrètement les situations à fort potentiel de gravité…
avant qu’elles ne produisent des conséquences ?

5. Comment reconnaître un HIPO ?

Identifier un événement à fort potentiel de gravité ne repose pas sur une classification administrative, ni sur un jugement a posteriori.

Cela repose avant tout sur une lecture du risque au moment de l’exposition.

Autrement dit :

Un HIPO ne se reconnaît pas à ce qui s’est passé…
mais à ce qui aurait pu se passer.

🔸 Sortir de la logique du résultat

Le premier réflexe à dépasser consiste à s’affranchir de la conséquence observée.

Un événement sans blessure, sans dommage, sans impact visible n’est pas nécessairement un événement mineur.

La bonne question n’est pas : “Qu’est-ce qui s’est passé ?”

Mais : “Dans cette situation, quel était le pire scénario plausible ?”

Cette projection constitue le point de départ de toute identification de HIPO.

🔸 Trois critères essentiels pour qualifier un HIPO

Pour structurer l’analyse, il est possible de s’appuyer sur trois critères simples et complémentaires.

1. Une exposition à un danger critique

Le premier indicateur est la présence d’un danger capable de générer des conséquences graves ou fatales.

Il peut s’agir notamment de :

  • chute de hauteur,
  • énergie mécanique (écrasement, choc, entraînement),
  • énergie électrique,
  • produits chimiques dangereux,
  • atmosphère explosive,
  • circulation d’engins,
  • ligne de feu.

Sans exposition à un danger critique, il ne peut pas y avoir de HIPO.

2. Un potentiel de gravité élevé

Le deuxième critère consiste à évaluer les conséquences plausibles si la situation avait évolué différemment.

Question clé :

“Si les circonstances avaient été légèrement différentes, quelles auraient été les conséquences ?”

  • Blessure légère → faible potentiel
  • Blessure grave ou invalidante → potentiel élevé
  • Décès → potentiel critique

C’est ce critère qui distingue un simple presqu’accident d’un HIPO.

3. Une défaillance ou une absence de barrière de sécurité

Enfin, un HIPO révèle toujours une faille dans le système de maîtrise.

Cette faille peut prendre plusieurs formes :

  • une barrière technique absente ou défaillante,
  • une procédure non appliquée ou inadaptée,
  • une organisation dégradée,
  • une décision inappropriée,
  • une situation non anticipée.

Sans défaillance, l’exposition n’aurait pas été possible.

🔸 Une grille de lecture simple

Ces trois critères peuvent être synthétisés en une grille opérationnelle :

Un événement peut être considéré comme un HIPO si :

  • une personne a été exposée à un danger critique,
  • les conséquences potentielles étaient graves ou fatales,
  • une barrière de sécurité n’a pas fonctionné comme prévu.

Si ces trois conditions sont réunies, le niveau de criticité est élevé… même en l’absence de conséquence.

🔸 Exemples concrets

Quelques situations typiques permettent d’illustrer cette grille :

  • Un opérateur passe sous une charge suspendue, sans incident
    👉 exposition : élevée
    👉 potentiel : fatal
    👉 barrière : non respectée
    ➡️ HIPO
  • Une intervention électrique est réalisée sans consignation complète, sans incident
    👉 exposition : critique
    👉 potentiel : électrocution
    👉 barrière : absente
    ➡️ HIPO
  • Un outil chute d’une hauteur, sans personne en dessous
    👉 exposition : faible (pas de personne)
    👉 potentiel : limité dans ce contexte
    ➡️ pas nécessairement un HIPO

L’événement seul ne suffit pas. C’est le contexte qui détermine le potentiel.

🔸 Une compétence à développer

Reconnaître un HIPO n’est pas une évidence.

Cela nécessite :

  • une capacité à se projeter,
  • une compréhension des dangers,
  • une lecture fine des situations de travail,
  • une culture du questionnement.

C’est donc une compétence qui se développe, à la fois individuellement et collectivement.

🔸 Un enjeu clé pour la prévention

La capacité à identifier les HIPO constitue un levier majeur :

  • pour anticiper les accidents graves,
  • pour détecter les failles du système,
  • pour orienter les actions de prévention vers les situations les plus critiques.

Si les HIPO peuvent être identifiés à partir de critères relativement simples, une difficulté persiste :

pourquoi ces événements sont-ils si peu déclarés et remontés sur le terrain ?

6. Pourquoi vos équipes ne déclarent pas les HIPO

Si les événements à fort potentiel de gravité sont aussi déterminants pour la prévention, leur identification et leur traitement devraient être une priorité opérationnelle.

Dans les faits, ils restent largement sous-déclarés.

Ce constat ne relève ni d’un manque d’outils, ni d’un défaut de procédure.
Il s’explique avant tout par des mécanismes humains et organisationnels profondément ancrés.

🔸 La peur des conséquences

Le premier frein est souvent le plus évident : la crainte des répercussions.

Déclarer un événement à fort potentiel de gravité, c’est potentiellement :

  • reconnaître une erreur,
  • exposer une pratique non conforme,
  • remettre en cause une décision ou une organisation.

Dans certains contextes, cela peut être perçu comme :

  • un risque de sanction,
  • une mise en cause individuelle,
  • une perte de crédibilité.

Dans ces conditions, le silence apparaît comme une stratégie de protection.

🔸 Une culture du résultat encore dominante

Dans de nombreuses organisations, la sécurité reste largement pilotée par des indicateurs de résultats :

  • nombre d’accidents,
  • taux de fréquence,
  • gravité des blessures.Ce qui n’a pas de conséquence… n’a pas d’impact visible.

Dans ce cadre :

  • déclarer un accident dégrade les indicateurs,
  • ne rien déclarer les préserve.

Le HIPO se retrouve alors dans une zone grise :

  • trop grave pour être ignoré du point de vue du risque,
  • pas assez visible pour être prioritaire du point de vue du pilotage.

🔸 La banalisation des situations à risque

Au fil du temps, certaines situations deviennent familières :

  • écarts tolérés,
  • pratiques adaptatives,
  • contournement de règles perçues comme contraignantes.

Lorsque ces situations ne produisent pas de conséquence, elles finissent par être intégrées comme normales.

Le raisonnement devient implicite :

“Si cela n’a jamais posé de problème, ce n’est probablement pas si grave.”

Dans ce contexte, un HIPO n’est plus perçu comme un signal critique, mais comme une situation ordinaire.

🔸 Un manque de compréhension du concept

Le terme même de HIPO peut constituer un frein.

Sur le terrain :

  • il est parfois mal compris,
  • confondu avec un simple presqu’accident,
  • ou perçu comme une notion théorique éloignée de la réalité opérationnelle.

Sans une compréhension claire du potentiel de gravité, il devient difficile d’identifier et de qualifier correctement ces événements.

🔸 Une charge mentale et opérationnelle élevée

Dans un environnement de production, les priorités sont souvent orientées vers :

  • la continuité d’activité,
  • le respect des délais,
  • la gestion des aléas.

Dans ce contexte, un événement sans conséquence est rapidement relégué au second plan.

  • Il n’y a pas d’urgence apparente,
  • pas de pression immédiate pour agir,
  • pas de temps dédié à l’analyse.

Le “ouf” devient alors un point final… et non un point de départ.

🔸 Un manque de valorisation des remontées

Enfin, dans certaines organisations, les remontées de terrain ne sont pas suffisamment reconnues.

  • peu de retours suite aux déclarations,
  • absence de visibilité sur les actions engagées,
  • faible reconnaissance des contributeurs.

Résultat : déclarer un HIPO ne change pas grand-chose … donc on finit par ne plus les déclarer.

🔸 Un signal culturel fort

Au-delà de ces facteurs, le niveau de déclaration des HIPO constitue un indicateur en soi :

  • une organisation où les HIPO remontent facilement est souvent une organisation où la parole est libre,
  • une organisation où ils restent invisibles révèle généralement des freins plus profonds.

Autrement dit : la non-déclaration des HIPO n’est pas un problème isolé … c’est un symptôme culturel.

Si les HIPO sont peu déclarés dans de nombreuses organisations, certaines parviennent pourtant à en faire un levier central de leur démarche de prévention.

Qu’est-ce qui distingue ces organisations ?

7. Ce que font les organisations matures avec les HIPO

Si les HIPO sont souvent sous-déclarés et sous-exploités, certaines organisations ont pourtant fait le choix inverse :
en faire un levier central de leur démarche de prévention.

Ce choix ne repose pas uniquement sur des outils ou des procédures.
Il traduit avant tout une maturité dans la manière de penser et de piloter la sécurité.

🔸 Elles reconnaissent le HIPO comme un événement critique

Dans une organisation mature, un événement à fort potentiel de gravité n’est jamais considéré comme un simple “presqu’accident”.

Il est traité comme :

un accident grave qui n’a pas encore eu lieu.

Concrètement :

  • il est identifié et qualifié comme tel,
  • il bénéficie d’un niveau d’attention élevé,
  • il n’est pas minimisé sous prétexte d’absence de conséquence.

La gravité potentielle devient un critère de priorisation à part entière.

🔸 Elles structurent une classification spécifique

Pour éviter toute confusion, ces organisations mettent en place une catégorisation claire des événements :

  • incidents,
  • presqu’accidents,
  • HIPO.

Cette classification repose sur des critères explicites, partagés et compris par les équipes :

  • niveau d’exposition,
  • potentiel de gravité,
  • défaillance des barrières.

Elle permet :

  • d’harmoniser les pratiques,
  • de faciliter les remontées,
  • et surtout de distinguer les événements réellement critiques.

🔸 Elles analysent les HIPO avec le même niveau d’exigence qu’un accident grave

L’absence de conséquence ne conduit pas à une analyse simplifiée.

Au contraire :

un HIPO fait l’objet d’une analyse approfondie, visant à comprendre :

  • pourquoi les barrières n’ont pas fonctionné,
  • quelles conditions ont permis l’exposition,
  • quels scénarios alternatifs étaient plausibles.

L’objectif n’est pas de rechercher un responsable, mais de mettre en évidence les failles du système.

🔸 Elles priorisent les actions en fonction du potentiel

Dans une logique classique, les actions correctives sont souvent déclenchées en fonction de la gravité des conséquences observées.

Les organisations matures inversent cette logique :

ce n’est pas la gravité constatée qui guide l’action … mais la gravité potentielle.

Un HIPO peut ainsi être traité avec un niveau de priorité équivalent, voire supérieur, à certains accidents avec blessure légère.

🔸 Elles valorisent les remontées terrain

Le traitement des HIPO repose sur une condition essentielle :
👉 leur identification par les équipes.

Pour cela, les organisations matures :

  • encouragent la déclaration,
  • reconnaissent les contributions,
  • assurent un retour systématique,
  • rendent visibles les actions engagées.

Le message est clair : 

signaler un HIPO, ce n’est pas exposer un problème … c’est contribuer à éviter un accident grave.

🔸 Elles développent une culture du questionnement

Au-delà des outils, c’est une posture qui évolue.

Face à un événement sans conséquence, la question n’est plus :

  • “Est-ce grave ?”

Mais :

“Qu’est-ce qui aurait pu se passer ?”

Cette question devient un réflexe partagé, à tous les niveaux de l’organisation :

  • opérateurs,
  • encadrement,
  • fonctions support.

Elle transforme chaque situation en opportunité d’apprentissage.

🔸 Elles intègrent les HIPO dans leur pilotage sécurité

Enfin, les organisations les plus avancées vont plus loin en intégrant les HIPO dans leurs dispositifs de pilotage :

  • indicateurs dédiés,
  • suivi des analyses,
  • priorisation des actions,
  • partage des retours d’expérience.

Les HIPO ne sont plus des événements isolés, mais des signaux structurants de la performance sécurité.

🔸 Un marqueur de maturité

Au final, la manière dont une organisation traite ses HIPO constitue un indicateur révélateur :

  • là où une organisation immature se concentre sur les accidents déclarés,
  • une organisation mature s’intéresse avant tout aux situations qui auraient pu mal tourner.

La différence ne tient pas à ce qui est visible … mais à ce qui est compris.

Si les HIPO constituent un levier aussi puissant pour piloter la sécurité, leur traitement dépasse largement la seule dimension opérationnelle.

Ils deviennent un véritable révélateur de la culture sécurité d’une organisation.

8. HIPO et culture sécurité : un révélateur puissant

Au-delà des outils, des méthodes ou des procédures, la manière dont une organisation traite les événements à fort potentiel de gravité en dit long sur sa culture sécurité réelle.

Pas celle affichée.
Pas celle des politiques ou des engagements.

Mais celle qui s’exprime dans les faits, au quotidien.

🔸 Ce que l’on regarde… révèle ce que l’on considère important

Dans toute organisation, l’attention portée à certains événements traduit implicitement une hiérarchisation des priorités.

  • Ce qui est mesuré est suivi,
  • ce qui est suivi est discuté,
  • ce qui est discuté est traité.

À l’inverse :

ce qui n’est pas regardé… finit par être ignoré.

Dans ce cadre, la place accordée aux HIPO est révélatrice.

  • S’ils sont peu remontés, peu analysés, peu discutés, leur importance réelle est faible dans le système.

S’ils font l’objet d’une attention particulière, ils deviennent un levier de transformation.

🔸 Une différence nette entre culture déclarative et culture réelle

De nombreuses organisations affichent une ambition forte en matière de sécurité :

  • “zéro accident”,
  • “priorité à la sécurité”,
  • “culture sécurité forte”.

Mais ces intentions ne prennent sens qu’au regard des pratiques.

Face à un événement sans conséquence :

  • une organisation peut se satisfaire de l’absence d’accident,
  • une autre peut s’interroger sur le niveau de risque révélé.

Cette différence est fondamentale.

La culture sécurité ne se mesure pas à ce qui est déclaré … mais à ce qui est interrogé.

🔸 Le traitement des HIPO comme indicateur de maturité

La manière dont les HIPO sont perçus et traités permet de distinguer plusieurs niveaux de maturité :

  • Culture réactive : focalisation sur les accidents, analyse après coup.
  • Culture procédurale : respect des règles, mais faible remise en question des situations sans conséquence.
  • Culture proactive : intérêt pour les signaux faibles, analyse des HIPO.
  • Culture générative : capacité à apprendre en continu, indépendamment des résultats observés.

Dans les niveaux les plus avancés, les HIPO deviennent des objets centraux de discussion et d’apprentissage.

Si les HIPO constituent à la fois un signal faible et un révélateur culturel, ils s’inscrivent également dans une dynamique plus large :

celle de la dérive progressive des systèmes vers des situations à risque.

9. Du signal faible à l’accident grave : la chaîne invisible

Les accidents graves et mortels ne surviennent que rarement de manière brutale ou totalement imprévisible.

Dans la grande majorité des cas, ils s’inscrivent dans une dynamique progressive, faite d’écarts, d’adaptations, de tolérances… et de signaux non traités.

Cette dynamique est souvent invisible, parce qu’elle ne produit pas immédiatement de conséquence.

Et c’est précisément dans cet espace que se situent les HIPO.

🔸 Une accumulation de situations dégradées

Avant un accident grave, il existe généralement une succession de situations dans lesquelles :

  • des règles ont été contournées,
  • des pratiques ont été adaptées,
  • des conditions de sécurité ont été dégradées,
  • des événements à potentiel ont été observés… puis oubliés.

Pris isolément, chacun de ces événements peut sembler anodin.
Mais ensemble, ils dessinent une trajectoire.

L’accident grave n’est pas un point de départ. C’est un point d’aboutissement.

🔸 Le rôle des signaux faibles

Dans cette trajectoire, les HIPO constituent des signaux faibles particulièrement révélateurs.

Ils traduisent :

  • une exposition réelle au danger,
  • une défaillance du système,
  • une perte partielle de maîtrise.

Leur spécificité :

ils apparaissent avant que les conséquences ne se matérialisent.

Ce sont donc des indicateurs précoces, qui permettent d’identifier une dérive avant qu’elle ne produise un accident.

🔸 Une dérive progressive et souvent imperceptible

Le fonctionnement d’un système ne se dégrade généralement pas de manière brutale.

Il évolue progressivement :

  • un écart ponctuel devient toléré,
  • une exception devient une habitude,
  • une déviation devient une norme.

Ce processus, lent et souvent invisible, conduit à une situation où :

le niveau de risque réel augmente … sans que la perception du danger n’évolue.

🔸 La perte de sens du danger

À mesure que les situations à risque se répètent sans conséquence, un phénomène de désensibilisation peut apparaître :

  • le danger devient moins perceptible,
  • l’attention diminue,
  • la vigilance s’érode.

Ce qui était initialement perçu comme risqué ne l’est plus.

Ce décalage entre le risque réel et le risque perçu constitue un facteur majeur dans la survenue des accidents graves.

🔸 Une chaîne rarement reconstruite

Après un accident grave, l’analyse met souvent en évidence :

  • des événements antérieurs similaires,
  • des signaux faibles ignorés,
  • des HIPO non traités.

Mais cette reconstruction intervient a posteriori.

Avant l’accident, ces éléments existaient déjà … mais ils n’ont pas été identifiés comme critiques.

🔸 Du symptôme au système

Dans cette perspective, le HIPO ne doit pas être considéré comme un événement isolé.

Il constitue un symptôme.

Un symptôme de :

  • défaillance des barrières,
  • fragilité organisationnelle,
  • dérive des pratiques,
  • perte progressive de maîtrise.

Ne traiter que l’événement, sans interroger le système, revient à ignorer la cause profonde.

🔸 Une lecture cindynique du risque

L’approche cindynique permet d’apporter un éclairage complémentaire.

Elle considère le risque comme le résultat d’un ensemble de facteurs en interaction :

  • techniques,
  • humains,
  • organisationnels,
  • culturels.

Dans cette approche :

le danger n’est pas seulement dans l’événement … il est dans le système qui le rend possible.

Les HIPO deviennent alors des points d’entrée privilégiés pour analyser ces interactions.

🔸 Anticiper plutôt que subir

Comprendre cette chaîne invisible permet de changer de posture :

  • ne plus attendre l’accident pour comprendre,
  • ne plus analyser uniquement les conséquences,
  • mais agir dès l’apparition des premiers signaux.

Les HIPO offrent cette possibilité.

À condition de :

  • les identifier,
  • les analyser,
  • et surtout… les considérer à leur juste niveau de criticité.

Si les HIPO permettent d’identifier les dérives avant qu’elles ne produisent des accidents, ils invitent à une transformation plus profonde :

celle du regard porté sur la sécurité.

 Passer d’une logique centrée sur le dommage… à une logique centrée sur le potentiel.

10. Conclusion : passer d’une culture du dommage à une culture du potentiel

Pendant longtemps, la sécurité au travail s’est construite autour de ce qui est visible : les accidents, les blessures, les conséquences mesurables. Cette approche, indispensable, a permis des progrès majeurs dans la prévention. Mais elle montre aujourd’hui certaines limites, notamment lorsqu’il s’agit d’anticiper les événements les plus graves.

Car en matière de maîtrise des risques, l’absence de dommage ne signifie pas nécessairement l’absence de danger.

Les événements à fort potentiel de gravité rappellent une réalité essentielle : le niveau de sécurité d’un système ne se mesure pas uniquement à ce qui arrive, mais aussi à ce qui aurait pu arriver. Derrière chaque “presque accident”, chaque “on a eu chaud”, chaque situation sans conséquence apparente, se cachent parfois une exposition critique, une défaillance de barrière ou une perte de maîtrise du système.

Ignorer ces signaux revient à ne comprendre la sécurité qu’à travers ses échecs visibles.

Prendre réellement en compte les HIPO implique donc un changement profond de regard. Cela suppose de ne plus considérer l’absence d’accident comme un indicateur suffisant, de ne plus confondre résultat favorable et maîtrise effective du risque, et surtout de ne plus attendre le dommage pour agir.

Il ne s’agit plus uniquement d’analyser les conséquences, mais de comprendre les expositions. Il ne s’agit plus seulement de réagir aux événements, mais d’anticiper les situations susceptibles de conduire au pire.

Dans cette logique, les HIPO ne doivent plus être perçus comme des événements secondaires ou de simples “presqu’accidents”. Ils constituent au contraire des signaux précieux pour comprendre les fragilités d’un système, détecter les dérives avant qu’elles ne produisent un accident grave, et renforcer durablement la prévention.

À condition, bien sûr, d’être identifiés, compris et traités à leur juste niveau de criticité.

Au fond, la question est peut-être plus simple qu’il n’y paraît :

“Qu’est-ce qui aurait pu arriver ?”

Cette question, lorsqu’elle devient un réflexe collectif, transforme profondément la manière de penser la sécurité.

Peut-être est-il alors temps de compléter notre manière d’évaluer la performance sécurité. Non pas en abandonnant les indicateurs traditionnels, mais en les enrichissant d’une autre lecture : celle du potentiel de gravité.

Car une organisation réellement mature en matière de sécurité n’est pas seulement celle qui compte peu d’accidents.

C’est celle qui est capable de voir, comprendre et traiter… ceux qui n’ont pas encore eu lieu.

Ce n’est pas parce que rien ne s’est passé… qu’il ne s’est rien passé.