Ce que votre dispositif d'assurance ne vous dit pas

Écartez le superyacht et les gros titres, et le Bayesian devient un cas de gouvernance. Voici un actif qui avait franchi toutes les barrières sur lesquelles un conseil s'appuie : classé par une société reconnue, certifié au regard du code applicable, exploité avec un document de stabilité approuvé. Selon chaque élément qu'un administrateur invoquerait, il était sûr. Sept personnes sont mortes malgré tout — non parce qu'une règle a été enfreinte, mais parce que la défaillance est survenue dans une condition qu'aucun document n'avait jamais décrite.

« Nous étions en conformité » était précisément la position des propriétaires. C'est aussi, dans presque chaque incident grave, celle du conseil. C'est pourquoi le Bayesian n'est pas une histoire de bateau. C'est une histoire sur l'écart entre ce que votre assurance vous dit et ce qui est réellement vrai.

Un conseil ne voit pas les dangers directement. Il voit l'assurance : dossiers de sécurité, rapports d'audit, attestations de vérification, certificats de conformité. Chacun est une promesse que les contrôles sont en place et efficaces. Mais chacun est aussi borné — valable uniquement pour les conditions qu'il a réellement examinées. La confiance du conseil n'est donc jamais plus large que les conditions évaluées par son assurance.

Sur le Bayesian, le document de stabilité approuvé portait le bon garde-fou — des limites pour empêcher qu'une rafale soudaine n'envahisse le navire — mais uniquement pour ses conditions sous voiles. Pour la condition dans laquelle il se trouvait réellement cette nuit-là, au mouillage sous moteur, le document était muet. La limite de stabilité y a été calculée après coup à 70,6°, contre les 84,3° à 92,3° que le document avait certifiés pour d'autres états. L'approbation était parfaitement réelle. L'assurance était partielle. Et personne ne savait quelle partie manquait avant que sept personnes ne soient mortes.

Si vos investigations internes aboutissent sans cesse à « l'erreur de l'opérateur », le conseil est systématiquement mal informé — et non parce que quelqu'un ment. Il est mal informé par la méthode. Un processus d'investigation conçu pour identifier qui a agi produira de façon fiable une personne. Un processus conçu pour identifier quelles conditions ont rendu l'acte inévitable produira de façon fiable un système. Le même événement donne l'une ou l'autre réponse selon le processus que vous avez commandé.

C'est un fait de gouvernance, pas un fait technique. Le conseil, ou son délégué, impose la norme d'investigation que l'organisation utilise. Le conseil est donc propriétaire de l'angle mort que sa méthode crée. On ne peut pas déléguer la méthodologie et désavouer les conclusions qu'elle a été conçue pour atteindre.

"L'unique objectif d'une investigation de sécurité est la prévention des accidents futurs. Elle n'a pas pour but de déterminer la responsabilité ni d'attribuer un blâme."

Le Bayesian le montre en public. Son investigation de sécurité, à qui la loi interdit d'attribuer un blâme, a atteint une condition latente — une vulnérabilité non documentée dans l'état d'exploitation. L'investigation pénale parallèle, conçue pour assigner une responsabilité, se serait penchée sur l'équipage. Un conseil qui mène discrètement un processus interne orienté blâme fait le même choix que le procureur : il choisit de voir des actes, et donc de ne pas voir ses propres conditions latentes.

Lorsqu'une investigation se referme sur un individu, la condition latente qui a produit l'événement reste exactement où elle était. La mesure est une « formation de rappel » ; la vulnérabilité est intacte. L'événement se reproduit donc — et la deuxième fois, il porte le nom du conseil, car le dossier montre désormais que l'organisation savait et n'a agi que contre la personne. C'est la séquence qui transforme une défaillance opérationnelle en défaillance de gouvernance et de responsabilité.

Les procédures parallèles du Bayesian rendent l'exposition concrète : « erreur de l'opérateur » et « cause systémique » s'affrontent désormais en public, dans la presse et au tribunal, à propos des mêmes sept morts. Un conseil à qui l'on n'a jamais remis que la version « erreur de l'opérateur » de ses propres incidents n'a aucune défense prête pour le jour où la version systémique émerge — car il n'a jamais chargé personne de la trouver.

Pas besoin d'expertise technique pour gouverner cela. Il faut trois questions — utilisables dans toute revue d'assurance, et obligatoires après tout incident grave.

1. Quelles conditions d'exploitation notre assurance a-t-elle réellement évaluées — et lesquelles sont silencieuses ? — Exigez la liste des états d'exploitation réels de l'actif, rapprochée de ce que le dossier de sécurité a évalué. Signal d'alerte : la direction décrit les contrôles mais ne peut produire la liste des conditions non évaluées.
2. Que notre dernière investigation grave a-t-elle été conçue pour trouver — des conditions du système, ou des actes individuels ? — Auditez la méthode, pas seulement le rapport. Signal d'alerte : les recommandations sont dominées par la formation de rappel, la discipline et les rappels, et aucune condition organisationnelle latente n'est nommée.
3. Pour chaque conclusion « erreur humaine » des 12 derniers mois, quelle condition latente demeure en place ? — Rouvrez celles qui se sont arrêtées à une personne. Signal d'alerte : personne ne peut répondre, car la condition n'a jamais été recherchée — ce qui signifie qu'elle est toujours active, et toujours capable de produire l'événement suivant.

Ces trois questions transforment l'assurance, qui n'est plus un exercice de réconfort — recevoir la confirmation que tout va bien — mais un exercice de surveillance : sonder activement les conditions que personne n'a évaluées. Ce basculement, c'est toute la mission de sécurité du conseil.

Le devoir de sécurité d'un conseil n'est pas de recevoir l'assurance. C'est d'éprouver ce que l'assurance ne couvre pas, et d'exiger une méthode qui atteint le système plutôt qu'un nom. « Approuvé » est une affirmation portant sur un ensemble de conditions, pas sur la réalité. Les conclusions que vous êtes prêt à entendre sont celles que vous avez bâti la capacité de traiter — et la condition latente sur laquelle vous n'avez jamais posé de question est celle qui arrivera avec votre nom.

"Un conseil qui se contente de recevoir l'assurance gouverne les conditions que quelqu'un a choisi d'évaluer — pas celles qui défailliront réellement."