---
title: "La vulnérabilité qui n'était pas dans le livret"
slug: la-vulnerabilite-qui-netait-pas-dans-le-livret
series: "What the Wreckage Taught Us — 2025–2026"
audience: practitioner
pillar: "Conditions latentes"
lang: fr
published_at: Juin 2026
author: "Bruno Hounkpati"
reading_time: "8 min de lecture"
tags: ["Conditions latentes", "Qualité d'investigation", "Sécurité des procédés", "Documentation"]
description: "Le Bayesian a chaviré en moins de 15 secondes dans une condition que son livret de stabilité approuvé ne décrivait pas. Ce que tout enquêteur doit vérifier."
canonical: https://riskopilot.com/fr/blog/la-vulnerabilite-qui-netait-pas-dans-le-livret
---
# La vulnérabilité qui n'était pas dans le livret

*Le Bayesian et les limites de l'« approuvé »*

> Le voilier opérait selon le livret. Il n'existait pas de livret pour l'endroit où il était.

## Executive insight

Le 19 août 2024, le voilier Bayesian (56 mètres) a gîté à 90° en moins de 15 secondes et a coulé au large de Porticello, en Sicile, faisant sept morts parmi les 22 personnes à bord. Le rapport intermédiaire du Marine Accident Investigation Branch britannique (MAIB) montre que le livret de stabilité approuvé du navire contenait des courbes de fonctionnement sûr pour ses conditions sous voiles, mais aucune pour la condition au moteur dans laquelle il se trouvait réellement — condition pour laquelle l'angle de stabilité nulle a été calculé après coup à 70,6°, bien en deçà des 84,3° à 92,3° documentés sous voiles. La leçon pour les enquêteurs n'est pas que l'équipage a réagi trop lentement. C'est qu'un document critique de sécurité peut être pleinement approuvé et rester muet sur la condition d'exploitation exacte qui vous tue. Le travail de l'enquêteur consiste à éprouver ce silence.

## Key numbers

- **70.6°** — Angle de stabilité nulle en condition moteur — absent du livret approuvé _(MAIB, 2025)_
- **<15 s** — Temps de gîte, de la verticale à 90° _(MAIB, 2025)_
- **84–92°** — Plage de stabilité documentée — pour les conditions sous voiles uniquement _(MAIB, 2025)_
- **7 / 22** — Vies perdues parmi les personnes à bord _(MAIB, 2025)_

À 04 h 06, le 19 août 2024, le vent sur le travers du Bayesian est passé en quelques secondes d'un régime gérable à plus de 70 nœuds. Le taud du flying bridge s'est déchiré de bâbord à tribord. Le voilier a gîté à 90° — mât dans l'eau — en moins de quinze secondes, les générateurs se sont coupés et l'éclairage de secours s'est allumé. Aucun envahissement intérieur n'a été constaté jusqu'à ce que l'eau passe par-dessus les rails tribord et se déverse dans les escaliers. Des passagers se sont servis des tiroirs de meubles comme d'une échelle pour sortir de leur cabine. Sept personnes ne sont pas sorties : six passagers et un membre d'équipage.

Il est tentant de lire cette chronologie et de désigner l'équipage. Ils disposaient d'un avis de coup de vent. Ils voyaient les orages. Le skipper avait laissé l'ordre d'être réveillé au-delà de 20 nœuds. Le navire chassait déjà sur son ancre et gîtait avant la rafale fatale. De l'extérieur, cela ressemble à une affaire de personnes qui n'ont pas agi assez vite.

C'est précisément le piège que cette série existe pour démonter. Car sous la chronologie se trouve une condition que personne à bord ne pouvait maîtriser, pour la raison la plus simple qui soit : elle n'était pas dans le livret.

## Le document était approuvé. La condition n'y figurait pas.

Le livret de stabilité du Bayesian avait été approuvé en 2008 par l'autorité maritime britannique au titre du Large Commercial Yacht Code. Ce livret contenait bien le bon type de garde-fou : des courbes de gîte maximale admissible pour prévenir l'envahissement en cas de grain — exactement ce dont un équipage a besoin pour savoir quelle rafale soudaine il peut encaisser avant que l'eau ne commence à entrer. Mais ces courbes n'existaient que pour les conditions sous voiles, dérive abaissée et voilure établie.

La nuit du naufrage, le Bayesian n'était pas sous voiles. Il était mouillé, en condition « moteur » : dérive relevée, sans voile. Pour cette condition — celle dans laquelle il se trouvait réellement — le livret approuvé ne contenait aucune courbe anti-grain.

Après la perte, le MAIB a confié à la Wolfson Unit de l'Université de Southampton la reconstruction du modèle de stabilité. Sous voiles, l'angle de stabilité nulle documenté allait de 84,3° à 92,3°. En condition moteur, la Wolfson Unit l'a calculé à 70,6°. La même étude a établi que le mât de 72 mètres comptait à lui seul pour la moitié du moment de gîte sous le vent de travers, et qu'au travers une rafale supérieure à 63,4 nœuds ferait vraisemblablement chavirer le navire, indépendamment des effets d'abri entre les éléments du gréement.

> **L'ÉTAT SILENCIEUX**
>
> La condition dans laquelle se trouvait l'équipage présentait un angle de stabilité nulle inférieur d'environ 14 à 22 degrés à toute condition décrite par le livret approuvé — et le livret ne lui donnait aucune limite de grain. Le danger n'a été dissimulé par personne. Il n'a jamais été caractérisé pour l'état d'exploitation qui comptait.

## La question plus profonde de l'enquêteur

L'essentiel de l'effort d'investigation porte sur une seule question : la procédure a-t-elle été suivie ? C'est la mauvaise première question, car elle présuppose que la procédure — ou la limite, ou le dossier, ou le certificat — décrivait bien la situation dans laquelle le travail se déroulait réellement.

Tout document critique de sécurité porte un périmètre implicite : l'ensemble des conditions d'exploitation pour lesquelles il a été validé. Un dossier de sécurité est rédigé pour un domaine de procédé défini. Une limite de fonctionnement sûr est fixée pour une configuration supposée. Un dossier de stabilité est approuvé pour des états de chargement spécifiques. En dehors de cet ensemble validé, le document n'est pas faux — il est muet. Et le silence, pour quiconque travaille sous son autorité, vaut autorisation.

> **Takeaway:** Avant « a-t-elle été suivie ? », demandez : le document caractérisait-il la condition dans laquelle le travail se déroulait réellement — ou cette condition était-elle l'un de ses états silencieux ? La condition moteur du Bayesian était un état silencieux. Personne n'avait interrogé le livret à son sujet ; le livret n'a donc jamais répondu.

Ce n'est pas une singularité maritime. Les rapports d'incident publics du Chemical Safety Board américain décrivent à répétition des rejets survenus dans des états d'exploitation — un lavage non courant, une consignation supposée plutôt que vérifiée, une configuration hors du cas évalué — pour lesquels l'analyse de risque applicable avait conclu à un risque faible, ou n'avait tout simplement pas regardé. Le mécanisme est identique : un document approuvé, une condition réelle hors de son périmètre validé, et des équipes qui traitent « approuvé » comme « sûr dans tous les états ».

Sur les sites de transformation que j'ai investigués en Afrique de l'Ouest, la même tendance se répète. Une HAZOP valide une unité pour le régime établi et pour une séquence de démarrage définie. Le rejet survient lors d'un redémarrage partiel après un déclenchement — une condition qui se présente des dizaines de fois par an en exploitation mais ne figure nulle part dans l'étude. Les opérateurs suivaient la procédure. Il n'existait pas de procédure pour l'état dans lequel ils se trouvaient. L'investigation qui a conclu à « l'erreur humaine » a été close en trois semaines. La condition à l'origine de l'événement n'a jamais été consignée — elle a donc produit le suivant.

## Pourquoi deux investigations d'un même événement aboutissent à des conclusions opposées

Deux investigations du Bayesian se déroulent en réalité en parallèle, et elles convergent vers des réponses opposées. Conformément à son mandat légal sans blâme, le MAIB met au jour une condition latente — une vulnérabilité de stabilité non documentée dans l'état d'exploitation, amplifiée par la prise au vent du mât et par une conception autorisée à descendre sous la plage de stabilité habituelle. Le parquet italien, agissant selon un mandat de responsabilité, situerait, selon les informations rapportées, la responsabilité dans les actions de l'équipage et sa lecture de la météo.

> L'unique objectif d'une investigation de sécurité est la prévention des accidents futurs. Elle n'a pas pour but de déterminer la responsabilité ni d'attribuer un blâme.
>
> — MAIB (R.-U.), mandat légal, 2025

Même navire. Même chronologie. Mêmes sept morts. Deux conclusions — parce que chaque investigation est conçue pour trouver un type de chose différent. Une investigation de sécurité sans blâme est construite pour faire émerger les conditions du système. Une investigation de responsabilité est construite pour faire émerger les actes des individus. Aucune ne ment. Mais une seule prévient la perte suivante, et ce n'est pas celle qui s'arrête à une personne.

> **MÉTHODOLOGIE AVANCÉE DE CAUSALITÉ**
>
> Une défaillance active — une manœuvre tardive, une rafale manquée — est la dernière et la moins utile des strates causales. Le travail consiste à atteindre les conditions latentes : les décisions, documents et défenses en place bien avant la nuit, et qui le resteront pour le prochain navire tant que l'investigation ne les aura pas nommées.

## L'outil du praticien : un audit des conditions validées

Pas besoin d'une épave pour trouver vos états silencieux. Appliquez ceci à tout document critique de sécurité régissant une exploitation en service — dossier de sécurité, dossier de stabilité, limite de fonctionnement sûr, périmètre de permis, procédure critique.

1. **Énumérez les états d'exploitation réels** — Listez chaque condition dans laquelle l'actif est réellement exploité, y compris les états non courants : démarrage, redémarrage après déclenchement, charge partielle, mode maintenance, configuration dégradée. Tirez cette liste des opérateurs, pas du document.
2. **Rapprochez chaque état du document** — Pour chaque état de votre liste, localisez l'endroit où le document caractérise explicitement le mode de défaillance et le domaine sûr pour cet état.
3. **Marquez les états silencieux** — Toute condition présente en exploitation mais non explicitement couverte par le document est un état silencieux — un danger non évalué, et non un danger faible.
4. **Traitez le silence comme un constat** — Un état silencieux ne porte aucune preuve de sécurité. Tant qu'il n'est pas caractérisé, il est géré comme un risque d'accident majeur ouvert, avec des mesures intérimaires — et non comme une routine.
5. **Réévaluez après chaque changement** — Toute modification, re-cotation ou nouveau mode d'exploitation crée de nouveaux états. Une gestion du changement qui ne reprend pas les étapes 1 à 4 ne fait que fabriquer de nouveaux états silencieux.

Appliqué au Bayesian, l'audit l'attrape dès l'étape 1 : le mouillage au moteur est un état d'exploitation réel ; à l'étape 2, aucune courbe anti-grain ne le couvre ; à l'étape 3, il est marqué silencieux ; à l'étape 4, il est traité comme un risque de chavirement non évalué exigeant une limite intérimaire. Rien de tout cela ne réclame de rétrospective. Cela réclame la discipline d'interroger le livret sur les conditions dans lesquelles l'actif se trouve réellement.

## Point à retenir

La condition latente la plus dangereuse de votre exploitation n'est pas celle que vous avez évaluée et mal jugée. C'est celle que votre documentation approuvée n'a jamais décrite — parce que personne n'a su poser la question, et que personne n'a donc été averti. Le premier geste de l'enquêteur est de trouver les conditions que l'approbation n'a jamais couvertes, et de traiter ce silence comme le danger qu'il est.

> « Approuvé » est une affirmation portant sur un ensemble de conditions, pas sur la réalité.
>
> — Bruno Hounkpati

## Glossary

- **Angle de stabilité nulle (ASN)** — Angle de gîte auquel le moment de redressement d'un navire s'annule ; au-delà, le navire ne peut plus se redresser.
- **Livret de stabilité (SIB)** — Document approuvé décrivant les caractéristiques de stabilité d'un navire et ses limites d'exploitation sûres pour des états de chargement définis.
- **Envahissement** — Entrée d'eau à l'intérieur d'un navire par des ouvertures, une fois dépassé un angle de gîte critique.
- **Grain** — Augmentation soudaine et brutale de la vitesse du vent, souvent associée à un front orageux.
- **Condition latente** — Décision, document ou défaut intégré au système bien avant un incident, qui demeure dormant jusqu'à sa combinaison avec un élément déclencheur (Reason, 1997).
- **Défaillance active** — Acte non sûr ou erreur opérationnelle immédiate au point de l'incident ; strate causale la dernière et la moins informative.
- **Périmètre de conditions validées** — Ensemble des conditions d'exploitation pour lesquelles un document de sécurité a réellement été évalué et approuvé ; les conditions hors de ce périmètre sont des états silencieux.
- **Gestion du changement (MOC)** — Processus formel d'évaluation des dangers introduits par toute modification, re-cotation ou nouveau mode d'exploitation.

## Frequently asked questions

**Pourquoi le Bayesian a-t-il chaviré ?**

Selon le rapport intermédiaire du MAIB (2025), une rafale soudaine supérieure à 70 nœuds sur le travers a fait gîter le voilier au-delà de son angle de stabilité nulle. Dans la condition au moteur où il se trouvait (dérive relevée, sans voile), cet angle était de 70,6 degrés — inférieur à toute condition décrite par son livret de stabilité approuvé, qui ne contenait aucune limite anti-grain pour cette condition.

**Qu'est-ce que l'angle de stabilité nulle ?**

L'angle de gîte auquel le moment de redressement d'un navire s'annule. Au-delà, le navire ne peut plus se redresser.

**Quelle est la leçon d'investigation pour les autres industries ?**

Un document critique de sécurité approuvé — un dossier de sécurité, une limite de fonctionnement sûr, un dossier de stabilité — n'est validé que pour un ensemble défini de conditions. Les incidents surviennent hors de cet ensemble, là où le document est muet. La première question d'investigation est de savoir si le document couvrait la condition dans laquelle le travail se déroulait réellement, et non si la procédure a été suivie.

## References

- UK Marine Accident Investigation Branch (2025). Interim report: foundering of the yacht Bayesian. https://www.gov.uk/maib-reports
- US Chemical Safety Board (2025–2026). Incident Reports, Volumes 1–4. https://www.csb.gov/investigations/
- Reason, J. (1997). Managing the Risks of Organizational Accidents. Ashgate.

---

*Cet article est publié par HSESKILLS Ltd à des fins éducatives et informatives uniquement. Les scénarios composites illustrent des tendances courantes et ne font référence à aucune organisation spécifique sauf mention explicite.*