Le contrôle que vous avez compté et qui n'était pas là

La plupart des conseils comptent l'autorité d'arrêt des travaux parmi leurs contrôles de sécurité. Elle figure dans le dossier de sécurité, dans les pré-qualifications des sous-traitants, dans le rapport annuel de sécurité au conseil — une coche dans la colonne indiquant que le personnel peut interrompre un travail dangereux. Geismar est le cas qui devrait amener chaque administrateur à se demander ce que cette coche achète réellement. Un sous-traitant l'a utilisée. Les travaux ont continué. Le contrôle était présent dans chaque document et inerte au seul moment où il a été exercé.

Ce n'est pas une histoire de comportement de terrain. Le sous-traitant a fait précisément ce que le programme demande : il a vu une vanne dégradée et l'a signalée. Ce qui a échoué, c'est le système que l'organisation a bâti autour de l'instant où il a parlé. Et un conseil est responsable de la conception du système — pas du comportement de la personne à la vanne.

La catégorie de risque la plus dangereuse pour un conseil n'est pas le danger que vous n'avez pas su identifier. C'est le contrôle que vous avez compté et qui ne fonctionne pas. Le danger non identifié vous laisse au moins en alerte. Le contrôle compté mais inerte fait l'inverse : vous lui avez accordé votre confiance, vous l'avez inscrit dans votre assurance, et vous avez cessé de regarder — précisément parce que vous le croyez maîtrisé.

L'autorité d'arrêt des travaux est singulièrement exposée à cette défaillance, car elle est invisible jusqu'à son usage et presque jamais testée. À Geismar, elle existait dans chaque document et a échoué au seul moment où elle a été exercée. La question au niveau du conseil n'a jamais été « avons-nous l'autorité d'arrêt des travaux ? » C'était « avons-nous jamais testé ce que fait notre système quand quelqu'un l'utilise réellement ? » — et personne ne l'avait posée.

Chaque système d'arrêt des travaux a une valeur par défaut : ce qui se produit, par inertie, pendant que la réponse se cherche encore. À Geismar, la valeur par défaut était « continuer ». Cette valeur n'est pas choisie par le travailleur ou le superviseur dans l'instant — elle est définie, à l'avance, par le système que l'organisation a conçu. C'est-à-dire par la gouvernance. Quand l'ambiguïté se résout systématiquement vers « continuer à travailler », c'est une décision au niveau du conseil prise implicitement, bien avant qu'une vanne ne commence à fuir — et elle décide de l'issue de chaque instant incertain qui suit.

L'arrêt s'est dissous à une interface précise : un sous-traitant signalant une préoccupation à l'employé d'un client. Cette frontière sous-traitant–client est l'endroit où l'autorité est la plus ambiguë, le pouvoir le plus asymétrique, et la responsabilité la plus diffuse — et c'est précisément là que les conseils accordent le moins d'attention à la conception, parce que le sous-traitant, ce sont « les gens de quelqu'un d'autre ». La couture entre deux organisations est le point le plus faible de presque tout contrôle de sécurité, et l'arrêt des travaux n'y échappe pas.

Et l'exposition n'est pas transférée avec le travail. Quand un incident survient à cette couture, la structure contractuelle qui ressemblait à un transfert de risque sur le papier devient une exposition partagée en public et au tribunal. Un conseil qui a externalisé la tâche n'a pas externalisé le devoir — il n'a externalisé que sa propre visibilité sur le fonctionnement du contrôle. Vous restez comptable d'un contrôle que vous ne pouvez plus voir.

"L'endroit le plus dangereux d'une exploitation est la ligne où l'autorité d'une entreprise s'arrête et celle d'une autre commence. Cette ligne est inscrite dans le contrat — pas sur l'installation."

Pas besoin de connaître la vanne. Il faut savoir si le contrôle que vous avez compté fonctionne réellement. Trois questions l'établissent.

1. Quelle est la valeur par défaut quand un arrêt est invoqué et la réponse incertaine — et qui l'a décidée ? — Si la direction ne peut énoncer la valeur par défaut immédiatement, c'est « continuer » — et personne ne l'a choisie délibérément. Signal d'alerte : la réponse décrit la politique d'arrêt plutôt que le comportement du système pendant que la décision est en attente.
2. Quelqu'un peut-il annuler l'arrêt d'un travailleur — ou d'un sous-traitant — sans décision de redémarrage positive et consignée ? — Si un arrêt peut s'éteindre par miscommunication ou déférence, c'est une suggestion, pas un contrôle. Signal d'alerte : l'autorité de redémarrage est informelle ou verbale, ou se trouve chez la partie qui a un planning à protéger.
3. Quand avons-nous testé pour la dernière fois ce qui se passe quand quelqu'un utilise l'arrêt — à l'interface sous-traitant en particulier ? — Signal d'alerte : la seule preuve que le contrôle fonctionne est qu'il existe sur le papier et que « les gens savent qu'ils peuvent s'arrêter ». Un arrêt non testé à la couture sous-traitant est précisément la lacune qui a produit Geismar.

Ces trois questions transforment l'autorité d'arrêt des travaux, qui n'est plus une ligne que le conseil accepte mais un contrôle que le conseil a vérifié. Cette différence — entre accepter et vérifier — est la différence entre Geismar et le presque-accident dont personne en dehors du site n'entend jamais parler.

Le rôle d'un conseil n'est pas de rappeler aux gens qu'ils peuvent s'arrêter. C'est de garantir que lorsque quelqu'un le fait, le système s'arrête — par défaut, sans argumentation, et quel que soit celui qui l'a invoqué ou l'employeur dont il dépend. Un arrêt qui doit survivre à un relais pour prendre effet est un contrôle de nom et un espoir en pratique. Geismar, c'est ce que coûte l'écart entre les deux, mesuré en une hospitalisation et trois autres vannes corrodées que personne n'avait encore trouvées.

"Un contrôle que vous avez compté mais jamais testé n'est pas une protection — c'est un passif que vous avez déjà inscrit comme un actif."