Que vaut un système QHSE quand la barrière tombe ?
Gouvernance des marches dégradées et dérive organisationnelle

Partie 1. Le jour où la barrière tombe

Les grands sites industriels disposent aujourd’hui, pour la plupart, de systèmes QHSE structurés, certifiés et éprouvés.

Cartographies des risques, analyses de dangers, matrices de criticité, barrières techniques et organisationnelles, procédures d’exploitation, indicateurs consolidés, audits internes et externes : l’architecture est en place. Elle rassure. Elle donne à voir une organisation maîtrisée.

En régime nominal, le système fonctionne.
Les écarts sont identifiés, traités, tracés.
Les indicateurs sont globalement conformes.
Les audits concluent à une maîtrise satisfaisante.

Puis survient un événement qui ne relève ni de la non-conformité mineure ni de l’incident classique.

Une barrière critique devient indisponible.

Il peut s’agir d’un dispositif de sécurité instrumenté, d’une redondance technique neutralisée, d’un système de détection défaillant, d’un moyen de protection incendie partiellement inopérant. La situation n’est pas théorique : elle est matérielle, observable, objectivable.

Le système prescrit généralement une réponse claire :
si une barrière majeure est indisponible, l’exploitation doit être suspendue ou placée sous conditions strictement encadrées.

Mais à cet instant précis, la question cesse d’être uniquement technique.

Arrêter l’installation signifie :

interrompre la production,
assumer un coût économique immédiat,
impacter des engagements contractuels,
mobiliser des équipes en gestion de crise,
exposer l’organisation à un regard externe.

Continuer signifie :

accepter un niveau de risque différent du nominal,
s’appuyer sur des mesures compensatoires,
introduire une temporalité d’incertitude.

C’est ici que se joue la véritable épreuve du système.

Car un système QHSE performant en régime stable n’est pas encore un système robuste.
La robustesse ne se mesure pas dans la conformité quotidienne, mais dans la capacité à arbitrer lucidement lorsque les conditions prévues ne sont plus réunies.

Lorsque la barrière tombe, le système documentaire ne décide pas.
Les procédures encadrent, mais elles n’assument pas.
Ce sont des femmes et des hommes qui doivent qualifier la situation, évaluer les compromis, et trancher.

À cet instant, plusieurs dimensions entrent simultanément en tension :

la sécurité des personnes et des installations,
la continuité d’activité,
la pression économique,
la réputation,
la responsabilité individuelle et collective.

Le moment décisionnel est court.
L’incertitude est réelle.
Les conséquences potentielles sont asymétriques : le coût de l’arrêt est certain et immédiat ; le coût de la poursuite est incertain mais potentiellement majeur.

C’est dans cette asymétrie que se révèle la maturité organisationnelle.

Un système QHSE peut être conforme, audité, certifié, documenté, et néanmoins fragile au moment critique s’il ne dispose pas d’un cadre explicite de gouvernance des régimes dégradés.

La question centrale devient alors :

Que vaut un système QHSE quand la barrière tombe ?

Autrement dit :

Qui décide ?
Sur quels critères ?
Pour quelle durée ?
Avec quel niveau d’acceptation explicite du risque ?
Et selon quelles conditions de retour au nominal ?

La réponse à ces questions ne figure pas toujours dans les manuels.
Elle se construit dans l’arbitrage réel.

C’est cet arbitrage que nous proposons d’analyser.

Partie 2. Le nominal : stabilité prescrite, réalité adaptative

Dans toute organisation industrielle, le régime nominal constitue la référence.

Il est décrit, documenté, analysé, modélisé. Les analyses de risques, les études de dangers, les procédures d’exploitation et les référentiels QHSE décrivent un état de fonctionnement considéré comme maîtrisé.

Ce nominal repose sur une hypothèse implicite :
les barrières techniques et organisationnelles sont disponibles, efficaces et indépendantes.

Il constitue une représentation stabilisée du système.

Pourtant, cette stabilité est en partie une construction.

Les travaux sur la sécurité industrielle ont largement montré que le fonctionnement réel des organisations ne se limite jamais à l’application stricte des prescriptions. L’activité quotidienne implique des ajustements permanents, des arbitrages locaux, des adaptations fines aux contraintes matérielles, temporelles et humaines. Autrement dit, le travail réel est toujours, dans une certaine mesure, adaptatif.

Cela ne signifie pas que le nominal est illusoire ou inutile.
Il est indispensable comme cadre de référence, comme base d’analyse, comme point d’ancrage commun. Mais il ne capture pas entièrement la dynamique vivante du système.

L’écart entre le prescrit et le réel n’est pas une anomalie.
Il est constitutif de l’activité.

C’est précisément cette tension que des auteurs comme René Amalberti ont conceptualisée à travers l’idée de compromis permanent entre sécurité et performance. Les organisations ne choisissent pas entre produire et protéger : elles arbitrent continuellement entre des exigences parfois concurrentes.

Dans ce contexte, le dégradé ne surgit pas comme une rupture brutale.
Il s’inscrit dans un continuum.

On peut distinguer, à ce stade, trois niveaux :

L’ajustement local maîtrisé : adaptation ponctuelle, à faible impact, compensée et réversible.
La marche dégradée pilotée : état temporaire reconnu, avec mesures compensatoires définies.
Le régime dégradé stabilisé : fonctionnement durable avec une ou plusieurs barrières affaiblies.

C’est dans le passage progressif d’un niveau à l’autre que réside le risque organisationnel majeur.

Le nominal, tel qu’il est décrit dans les documents, ne disparaît pas immédiatement. Il continue d’exister comme référence formelle, comme horizon théorique. Les indicateurs peuvent rester satisfaisants. Les audits peuvent ne pas détecter d’anomalie structurelle.

Mais le système réel, lui, peut avoir glissé.

Les travaux de Sidney Dekker sur la dérive organisationnelle ont montré que les systèmes complexes ne basculent pas soudainement vers l’échec ; ils s’y déplacent progressivement, par une série de décisions localement rationnelles. Chaque ajustement paraît justifiable au moment où il est pris. C’est l’accumulation, plus que l’acte isolé, qui modifie la configuration globale du risque.

Dans cette perspective, la marche dégradée n’est pas un écart spectaculaire.
Elle est souvent perçue comme un compromis temporaire, acceptable, encadré.

La difficulté réside dans le fait que le nominal continue d’exister comme norme déclarée, tandis que le fonctionnement effectif s’en éloigne progressivement.

Ce décalage crée une zone critique :
l’organisation peut se percevoir comme stable alors qu’elle évolue dans un régime fragilisé.

C’est précisément ce qui rend le moment où la barrière tombe si révélateur.
Il ne révèle pas seulement une défaillance technique.
Il met en lumière la distance entre la représentation stabilisée du système et sa réalité adaptative.

Comprendre cette tension est essentiel pour analyser ce qui se joue lors de la décision d’arrêter ou de poursuivre l’exploitation.

Car la question n’est pas seulement :
« Une barrière est-elle indisponible ? »

La question devient :

« Dans quel régime opérons-nous réellement, et qui le qualifie ? »

C’est à partir de cette interrogation que l’analyse du moment décisionnel peut être approfondie.

Partie 3. L’instant décisionnel : arrêt ou continuité ?

Lorsque la barrière devient indisponible, la situation bascule.

Ce qui relevait jusqu’alors d’un cadre théorique devient une décision concrète, située, incarnée.

La question opérationnelle est simple en apparence :
faut-il arrêter l’exploitation ou poursuivre sous conditions ?

Mais cette simplicité est trompeuse.

À cet instant précis, l’organisation se trouve confrontée à une tension structurelle : le coût de l’arrêt est immédiat, mesurable, certain ; le coût de la poursuite est incertain, probabiliste, potentiellement majeur mais statistiquement faible.

Cette asymétrie crée un terrain décisionnel particulier.

L’arrêt est visible.
La catastrophe est hypothétique.

C’est ici que s’opère ce que les travaux sur le sensemaking organisationnel ont mis en évidence : face à l’ambiguïté, les acteurs construisent collectivement une interprétation de la situation. Ils cherchent des repères, comparent avec des cas antérieurs, évaluent la gravité perçue, interrogent la solidité des compensations possibles.

Plusieurs dynamiques apparaissent simultanément.

3.1 - La rationalisation progressive

La décision de continuer n’est jamais formulée comme une acceptation du risque.
Elle est généralement construite comme une solution raisonnable, encadrée, temporaire.

On parle de :

surveillance renforcée,
rondes supplémentaires,
mesure compensatoire,
engagement de réparation rapide.

Chaque élément est rationnel pris isolément.
L’ensemble donne le sentiment d’une maîtrise maintenue.

Or, les travaux sur la dérive organisationnelle ont montré que les décisions locales sont presque toujours prises pour de “bonnes raisons”. La poursuite de l’exploitation n’est pas un acte d’irresponsabilité ; elle est le résultat d’un arbitrage sous contraintes multiples.

Le risque ne disparaît pas. Il change de forme.

3.2 - La pression de performance

Même dans les organisations à forte culture sécurité, la performance opérationnelle demeure une exigence structurante. Les équipes sont engagées, les objectifs sont contractualisés, les délais sont contraints.

La décision ne se prend pas dans le vide.

Elle s’inscrit dans un environnement où l’arrêt a des conséquences économiques, sociales et parfois stratégiques. La tension entre sécurité et continuité n’est pas théorique ; elle est constitutive de la gouvernance industrielle.

Les analyses des compromis sécurité–performance ont montré que les organisations naviguent en permanence dans cette zone d’arbitrage. Lorsque la barrière tombe, ce compromis devient explicite, parfois brutalement.

3.3 - La dilution de responsabilité

Dans ces moments, la décision est souvent collective : réunion ad hoc, consultation croisée, avis techniques, validation hiérarchique.

Ce fonctionnement peut être sain.
Mais il peut aussi diluer la responsabilité.

Plus la décision est partagée, moins elle est portée explicitement.

On ne dit pas toujours :

« Nous acceptons de fonctionner avec une barrière critique indisponible pendant 48 heures. »

On dit :

« Nous avons évalué la situation et décidé de mettre en place des mesures compensatoires. »

La différence est subtile mais déterminante.

Dans le premier cas, le risque est assumé.
Dans le second, il est absorbé par le processus.

3.4 - La normalisation anticipée

Si des situations comparables ont déjà été rencontrées sans conséquence majeure, elles deviennent des références implicites.

« Nous avons déjà fonctionné dans cette configuration. »
« L’analyse de risque reste acceptable. »
« Le niveau de probabilité demeure faible. »

L’absence d’événement négatif renforce la perception d’acceptabilité.
L’organisation apprend de ce qui ne s’est pas produit.

Progressivement, la situation exceptionnelle devient familière.
La marche dégradée perd son caractère transitoire.

3.5 - La vulnérabilité décisionnelle sous pression hiérarchique

Dans de nombreuses organisations, la décision d’arrêt n’est pas neutre. Elle peut contredire des attentes implicites, des objectifs stratégiques, voire la position d’un acteur hiérarchiquement dominant.

Celui qui porte la responsabilité technique de la sécurité peut se trouver en situation de tension asymétrique : son rôle est d’alerter et de recommander l’arrêt, mais la décision finale s’inscrit dans un espace où les enjeux économiques et organisationnels sont fortement présents.

La robustesse d’un système ne dépend pas seulement de la qualité de ses procédures. Elle dépend aussi de la capacité réelle des acteurs à exercer leur pouvoir d’alerte sans craindre une dévalorisation, une mise à l’écart ou une remise en cause de leur légitimité.

La question n’est pas celle du courage individuel au sens moral.
Elle est celle de la structure organisationnelle qui rend possible — ou difficile — l’expression d’une décision coûteuse.

Un système robuste protège celui qui décide d’arrêter.
Un système fragile l’isole.

L’instant décisionnel n’est donc pas uniquement technique. Il est cognitif, organisationnel et politique.

Il révèle :

la hiérarchie réelle des priorités,
la capacité à expliciter l’acceptation du risque,
la solidité du cadre de gouvernance,
et la maturité des rapports de pouvoir internes.

Un système QHSE robuste ne se contente pas de prévoir des réponses techniques.
Il structure la décision elle-même.

Car en l’absence d’un cadre explicite, la décision de continuer peut s’installer comme une évidence pragmatique, sans que soit formalisé le passage du nominal au dégradé.

C’est précisément ce glissement que nous devons maintenant analyser.

Partie 4. De la marche dégradée au régime dégradé stabilisé

Une marche dégradée, en tant que telle, n’est pas une anomalie organisationnelle. Dans les systèmes complexes, l’indisponibilité temporaire d’une barrière peut être anticipée, encadrée, compensée et maîtrisée.

Le problème ne réside pas dans l’existence du dégradé. Il réside dans son évolution.

Une marche dégradée est initialement :

identifiée,
qualifiée,
assortie de mesures compensatoires,
inscrite dans une temporalité limitée.

Elle est pensée comme transitoire. Mais cette temporalité est rarement neutre.

Plus la situation perdure, plus les acteurs s’y habituent. Les mesures compensatoires deviennent routinières. L’attention initialement soutenue se normalise. La configuration exceptionnelle commence à être perçue comme une configuration opératoire acceptable.

Le système ne bascule pas brutalement. Il glisse.

C’est ici qu’intervient un mécanisme bien documenté dans l’analyse des accidents industriels majeurs : la normalisation progressive de l’écart. Une situation initialement perçue comme provisoire devient familière, puis acceptable, puis implicitement intégrée dans le fonctionnement courant.

Ce processus comporte plusieurs étapes :

La dégradation ponctuelle, reconnue comme exceptionnelle.
La compensation organisée, présentée comme maîtrisée.
La stabilisation pragmatique, où la situation devient gérable.
L’intégration implicite, où l’état dégradé cesse d’être perçu comme tel.

À ce stade, le nominal continue d’exister formellement dans les documents.
Mais le régime réel d’exploitation s’en est éloigné.

Ce que l’on peut appeler un régime dégradé stabilisé apparaît lorsque :

une ou plusieurs barrières critiques sont affaiblies de manière durable,
les mesures compensatoires deviennent structurelles,
la temporalité initialement prévue n’est plus clairement définie,
le retour au nominal n’est plus prioritaire.

Ce régime ne se présente pas comme une crise.
Il fonctionne. Il produit. Il tient.

Et c’est précisément ce qui le rend dangereux.

La dérive ne se manifeste pas nécessairement par des incidents répétés. Elle peut coexister avec des indicateurs globalement satisfaisants. Les audits peuvent continuer à conclure à une maîtrise générale, car la situation est connue, documentée, et présentée comme temporaire.

Mais le système a changé de nature.

Il opère désormais avec une marge de sécurité réduite, dans une configuration où la résilience dépend davantage de la vigilance humaine et des ajustements continus que de la robustesse intrinsèque des barrières.

Ce basculement est rarement formalisé. Il n’est pas déclaré comme un changement de régime. Il s’installe par accumulation.

La question centrale devient alors :

Qui qualifie explicitement le passage d’une marche dégradée ponctuelle à un régime dégradé stabilisé ?

Dans de nombreuses organisations, ce seuil n’est pas défini.
Il n’existe ni indicateur dédié, ni alerte de gouvernance, ni revue spécifique du maintien en configuration dégradée prolongée.

La situation est suivie techniquement, mais elle n’est pas interrogée stratégiquement.

Or, c’est à ce niveau que se joue la robustesse réelle du système.

Un système mature ne se contente pas de gérer les dégradations techniques.
Il surveille la durée, la fréquence et l’accumulation des régimes dégradés.

Il ne se demande pas seulement :

« La situation est-elle maîtrisée aujourd’hui ? »

Il se demande :

« Sommes-nous en train d’opérer durablement dans une configuration affaiblie ? »

Cette distinction est fondamentale.

Car les accidents majeurs ne naissent pas toujours d’une rupture brutale.
Ils émergent souvent dans des organisations qui ont appris à fonctionner, de manière apparemment stable, dans un régime progressivement fragilisé.

Comprendre ce passage, de l’exception au fonctionnement compensé durable, est indispensable pour envisager une véritable gouvernance des marches dégradées.

Partie 5. L’illusion de maîtrise : quand les indicateurs restent au vert

L’un des aspects les plus préoccupants du régime dégradé stabilisé est sa compatibilité apparente avec la performance globale du système.

La production continue.
Les indicateurs restent globalement conformes.
Les audits ne révèlent pas de dérive manifeste.
Les événements significatifs sont rares, voire absents.

Rien, en surface, ne signale une situation critique.

C’est précisément ce qui alimente l’illusion de maîtrise.

Les systèmes QHSE contemporains reposent largement sur des indicateurs structurés : taux de fréquence, taux de gravité, nombre d’incidents déclarés, taux de réalisation des plans d’action, résultats d’audit, conformité réglementaire. Ces instruments sont indispensables. Ils permettent une vision consolidée et pilotable de la sécurité.

Mais ils mesurent principalement :

des événements passés,
des écarts identifiés,
des actions formalisées.

Ils capturent mal la dynamique lente d’érosion des marges de sécurité.

Dans un régime dégradé stabilisé, plusieurs phénomènes peuvent coexister :

une barrière critique durablement indisponible,
des mesures compensatoires humaines devenues routinières,
une charge mentale accrue pour certaines équipes,
une dépendance renforcée à la vigilance individuelle.

Pourtant, si aucun accident ne survient, les indicateurs classiques ne se dégradent pas nécessairement.

L’absence d’événement renforce même la conviction que la situation est maîtrisée.

Ce mécanisme est redoutable : le système apprend de sa propre survie.

Plus la situation dégradée perdure sans conséquence visible, plus elle est perçue comme acceptable. Le raisonnement implicite devient :

« Si cela tient depuis plusieurs semaines (ou mois), c’est que le niveau de risque est en réalité faible. »

Or, ce raisonnement confond absence d’accident et maîtrise structurelle.

Les travaux sur la fiabilité organisationnelle ont montré que les systèmes complexes peuvent absorber des défaillances successives pendant un certain temps grâce à des ajustements locaux et à l’engagement des acteurs. Mais cette absorption ne signifie pas que la configuration est robuste ; elle signifie qu’elle tient.

La différence est essentielle.

Un système robuste dispose de marges explicites, redondantes et indépendantes.
Un système qui “tient” dépend de compensations humaines et d’une vigilance accrue.

Dans le premier cas, la sécurité est structurelle. Dans le second, elle est contingente.

L’illusion de maîtrise naît précisément de cette confusion.

Le reporting continue de fonctionner.
Les revues de direction examinent des indicateurs conformes.
La gouvernance ne perçoit pas nécessairement que l’organisation opère dans un régime affaibli.

Le dégradé devient invisible au niveau stratégique.

Il n’est plus interrogé comme un état transitoire ; il est intégré comme une donnée opérationnelle parmi d’autres.

À ce stade, la question n’est plus technique.

Elle est gouvernance :

Existe-t-il un suivi spécifique des situations dégradées prolongées ?
Leur durée est-elle analysée ?
Leur cumul est-il discuté en instance décisionnelle ?
Leur acceptabilité est-elle réévaluée périodiquement ?

Si ces questions ne sont pas posées, l’organisation peut évoluer durablement dans un régime réduit sans que cela n’apparaisse clairement dans ses instruments de pilotage.

C’est ici que la robustesse cesse d’être une affaire de conformité et devient une affaire de lucidité.

Un système QHSE mature ne se satisfait pas d’indicateurs stables.
Il interroge les conditions structurelles qui produisent cette stabilité.

Car un système peut être conforme et néanmoins fragile.
Il peut être performant et pourtant exposé.

La véritable maturité réside dans la capacité à rendre visible ce qui, autrement, resterait intégré au fonctionnement courant.

C’est à partir de cette exigence de lucidité que peut être pensée une gouvernance explicite des marches dégradées.

Partie 6. Gestion des marches dégradées en industrie : vers une gouvernance explicite

Si le risque majeur ne réside pas dans l’existence du dégradé mais dans son installation silencieuse, alors la question n’est plus seulement technique. Elle devient organisationnelle et stratégique.

Il ne s’agit pas d’empêcher toute marche dégradée, objectif irréaliste dans un système complexe, mais de structurer sa gouvernance.

Un système robuste de gestion des marches dégradées repose sur un principe central :

Le dégradé doit être explicitement qualifié, assumé, borné et réévalué.

Cette gouvernance peut s’articuler autour de six exigences structurantes.

6.1 - Qualification formelle du régime

Toute indisponibilité significative d’une barrière critique doit être formellement qualifiée comme telle.

Le vocabulaire est déterminant.

Parler d’« anomalie technique » ou de « dysfonctionnement temporaire » ne produit pas le même effet organisationnel que qualifier explicitement une « barrière critique indisponible ».

Nommer le régime, c’est reconnaître un changement d’état.

Cette qualification ne relève pas seulement de la maintenance ou de l’ingénierie ; elle engage la direction opérationnelle. Elle constitue un signal organisationnel fort : nous ne sommes plus en régime nominal.

6.2 - Autorité décisionnelle identifiée

La décision de poursuivre ou d’arrêter ne peut pas être diffuse.

Un système robuste définit :

le niveau hiérarchique habilité à autoriser la continuité en régime dégradé,
les conditions dans lesquelles cette décision peut être prise,
les modalités de traçabilité de cet arbitrage.

L’objectif n’est pas de rigidifier le système, mais d’éviter que la décision ne se dissolve dans un consensus implicite.

L’acceptation d’un régime dégradé doit être portée.

3.3 - Acceptation explicite du risque temporaire

Il existe une différence fondamentale entre :

« Nous mettons en place des mesures compensatoires »

« Nous acceptons explicitement un niveau de risque temporairement supérieur au nominal, pour une durée déterminée, sous conditions encadrées. »

La seconde formulation oblige l’organisation à reconnaître le compromis.

Elle rend visible l’écart.

Cette explicitation constitue un acte de maturité.
Elle empêche le glissement silencieux vers l’habituation.

6.4 - Temporalité bornée et points de réévaluation

Le régime dégradé ne peut être indéfini.

Un système robuste fixe :

une durée maximale autorisée,
des points de réévaluation formalisés,
des seuils au-delà desquels la poursuite n’est plus possible.

La temporalité est essentielle.
C’est elle qui distingue le transitoire du structurel.

Sans borne temporelle, la marche dégradée tend naturellement à se stabiliser.

6.5 - Critères explicites de retour au nominal

Le retour au régime nominal ne doit pas être implicite.

Il doit être conditionné par :

la restauration effective de la barrière,
la vérification de son intégrité,
la levée formelle du régime dégradé.

Ce retour doit être acté au même niveau que la décision d’entrer en régime dégradé.

Sinon, le système reste ambigu.

6.6 - Visibilité en gouvernance stratégique

Enfin, la gestion des marches dégradées ne peut rester cantonnée au niveau opérationnel.

Un système robuste intègre dans ses instances de gouvernance :

un suivi des régimes dégradés en cours,
leur durée cumulée,
leur fréquence,
leur nature.

Ce suivi ne vise pas à sanctionner, mais à objectiver.

Il permet de poser une question stratégique essentielle :

« Combien de temps opérons-nous hors nominal, et pourquoi ? »

La robustesse ne se limite pas à l’ingénierie des barrières.
Elle réside dans la capacité de l’organisation à se regarder fonctionner en régime affaibli.

La robustesse comme capacité d’arrêt

En définitive, la maturité d’un système QHSE ne se mesure pas à la perfection de ses procédures en régime stable.

Elle se mesure à sa capacité :

à arrêter lorsque les conditions l’exigent,
à poursuivre lorsqu’un compromis est assumé,
à rendre visible cet arbitrage,
et à revenir explicitement au nominal.

La question posée au début demeure centrale :

Que vaut un système QHSE quand la barrière tombe ?

La réponse ne se trouve pas dans le manuel qualité. Elle se révèle dans la décision.

Un système peut être conforme sans être robuste.Il peut être performant sans être résilient.

La véritable robustesse organisationnelle réside dans la gouvernance lucide du dégradé.

Conclusion — La robustesse comme vérité organisationnelle

Les organisations industrielles contemporaines disposent, pour la plupart, de systèmes QHSE structurés, normés et auditables. Ces dispositifs sont indispensables. Ils constituent la colonne vertébrale de la prévention moderne.

Mais ils décrivent principalement un état nominal.

Or, la réalité opérationnelle ne se déroule jamais exclusivement en régime nominal. Elle se construit dans l’adaptation, dans l’arbitrage, dans la gestion de l’imprévu et des indisponibilités.

C’est lorsque la barrière tombe que la vérité organisationnelle apparaît.

À cet instant, les procédures ne suffisent plus.
Les indicateurs ne décident pas.
Les certifications ne tranchent pas.

Ce sont des personnes qui qualifient, arbitrent et assument.

Un système QHSE conforme peut être rassurant.
Un système QHSE robuste est lucide.

La différence tient à la manière dont l’organisation :

reconnaît explicitement le passage en régime dégradé,
structure l’autorité décisionnelle,
borne la temporalité des compromis,
rend visible l’acceptation du risque temporaire,
et organise le retour au nominal.

Le dégradé n’est pas une anomalie à éradiquer.
Il est une composante inévitable des systèmes complexes.

Ce qui distingue les organisations matures n’est pas l’absence de situations dégradées.
C’est leur capacité à les gouverner sans les banaliser.

Les grands accidents industriels n’émergent pas toujours d’une transgression flagrante.
Ils prennent souvent racine dans des configurations progressivement fragilisées, devenues familières, puis invisibles.

La question n’est donc pas :
« Sommes-nous conformes ? »

La question est :
« Dans quel régime opérons-nous réellement, et qui l’assume ? »

Un système QHSE n’est pas jugé sur sa conformité nominale,
mais sur sa capacité à gouverner explicitement le dégradé.

La robustesse d’une organisation industrielle se mesure à la manière dont elle décide, encadre et assume ses marches dégradées.

C’est là, et seulement là, que se révèle la maturité véritable.

Pour aller plus loin : éclairages théoriques sur la dérive et la gouvernance du dégradé

L’analyse proposée s’inscrit dans un champ de recherche désormais bien établi en sécurité industrielle et en gestion des organisations à risques.

Les travaux de Diane Vaughan sur la normalisation de la déviance ont montré comment des écarts initialement perçus comme exceptionnels peuvent devenir progressivement acceptables, à mesure que l’absence d’accident renforce leur légitimité implicite. L’apprentissage organisationnel peut ainsi se construire sur ce qui ne s’est pas produit.

Sidney Dekker a, quant à lui, développé l’idée de “drift into failure”, décrivant la manière dont les systèmes complexes dérivent vers des configurations plus risquées par une succession de décisions localement rationnelles. La dérive n’est ni brutale ni irrationnelle ; elle est le produit d’arbitrages compréhensibles dans leur contexte.

Les analyses de René Amalberti sur les compromis sécurité–performance rappellent que les organisations n’évoluent jamais dans une sécurité absolue, mais dans un espace de négociation permanent entre production et protection. Le dégradé n’est pas une anomalie : il est une manifestation de ce compromis.

Enfin, les travaux de Karl Weick sur le sensemaking organisationnel éclairent la dynamique cognitive à l’œuvre lorsque les acteurs doivent interpréter une situation ambiguë et décider sous incertitude.

Ces approches convergent vers un constat commun : les organisations ne basculent pas dans l’accident par ignorance ou par désinvolture, mais par ajustements progressifs, rationalisés, souvent invisibles à leurs propres instruments de pilotage.

La question qui demeure moins explicitement traitée dans ces travaux est celle de la gouvernance formelle des régimes dégradés.

Si la dérive est progressive, si l’écart se normalise, si le compromis est permanent, alors la robustesse ne peut reposer uniquement sur la qualité des barrières techniques. Elle doit intégrer une architecture décisionnelle explicite, capable de qualifier, d’assumer et de borner le dégradé.