Une seule méthode, du premier témoignage à la transmission au comité
RISKOPILOT suit la chaîne de raisonnement Tripod Beta de bout en bout : le récit de l’incident devient une base factuelle, la base factuelle devient un arbre de causalité, l’arbre révèle les barrières défaillantes, et les barrières désignent les conditions organisationnelles qui ont permis leur défaillance. Rien n’apparaît dans le rapport sans être rattaché à une preuve.
Une enquête est façonnée par ce qui est consigné dans les premières heures. Le recueil prend le récit brut — témoignages, journaux de poste, permis de travail, photographies, historique des alarmes — dans la langue où il arrive, et le conserve comme matériau source et non comme conclusion.
Chaque élément déposé devient un objet citable doté d’une origine, d’un horodatage et d’un responsable. Les chapitres suivants ne peuvent affirmer quelque chose que s’ils peuvent renvoyer à l’un de ces objets.
CHAPITRE 02
Base factuelle — distinguer les faits des convictions
Les témoignages sont décomposés en faits distincts, chacun classé comme observé, enregistré, inféré ou contesté. L’inférence est permise ; la faire passer pour une observation ne l’est pas.
Les contradictions entre sources restent visibles au lieu d’être résolues en silence, afin que l’analyse puisse être vérifiée par toute personne lisant le rapport par la suite.
CHAPITRE 03
Arbre Tripod — construire la chaîne de causalité
La base factuelle est assemblée selon la structure Tripod Beta : agent de dommage, objet, et l’événement qui les relie, puis la chaîne des défaillances actives, des préconditions et des conditions latentes derrière chacune d’elles.
L’arbre est un artefact de raisonnement, non un exercice de schéma. Chaque nœud porte sa référence de preuve et sa classification, et le panneau ci-dessous montre les surfaces d’analyse produites à partir de celui-ci.
ARTEFACTS DE CAUSALITÉ — DOSSIER R-2847EXPORTER LES DONNÉES
Arbre Tripod Beta, dossier R-2847 : l’agent (la gravité, travail en hauteur) atteint l’objet (un opérateur sur plate-forme d’échafaudage) à travers deux barrières défaillantes — vérification antichute et remise en place du garde-corps — produisant l’événement, une chute de hauteur de 8 m. Chaque barrière défaillante remonte à une cause immédiate, une précondition et une cause organisationnelle sous-jacente.
CAUSE SOUS-JACENTEAucune vérification antichute dans la procédure de permis de travailPR · PROCÉDURES
PRÉCONDITIONRelève précipitée — feu vert verbalCO · COMMUNICATION
CAUSE IMMÉDIATEHarnais non accroché à un point d’ancrageDÉCLARATION W-03
AGENTGravité — travail en hauteur (8 m)
OBJETOpérateur sur plate-forme d’échafaudage
ÉVÉNEMENT-AGENTOpérateur exposé au bord non protégé
ÉVÉNEMENTChute de hauteur · 8 m
B1 · DÉFAILLANTEB2 · DÉFAILLANTE
CAUSE SOUS-JACENTEAucune remise en place du garde-corps après levageMM · MAINTENANCE
PRÉCONDITIONGarde-corps retiré pour le levagePHOTO E-09
CAUSE IMMÉDIATEBord non protégé au moment de l’accèsPHOTO E-09
DÉFAILLANTEVérification antichuteFeu vert verbal 2 min avant l’ascension, aucun contrôle consigné — chronogramme STEP T+5 min
Dossier R-2847 dans la grammaire Tripod Beta standard : l’événement survient quand l’agent (la gravité) atteint l’objet (l’opérateur) à travers des barrières défaillantes. Chaque barrière défaillante remonte à une cause immédiate, une précondition et une cause organisationnelle sous-jacente. Cliquez sur une barrière.
CHAPITRE 04
Barrières — éprouver chaque contrôle censé tenir
Pour chaque trajectoire d’événement, les contrôles censés prévenir ou limiter les conséquences sont nommés et qualifiés : intact, défaillant ou absent. Un contrôle ne peut pas être déclaré intact parce qu’il existe sur le papier — il doit être démontré par les preuves.
Le bow-tie ci-dessous est l’explorateur utilisé dans le produit. Sélectionnez une barrière pour voir son état et la citation de preuve correspondante.
FIG.01 — ANALYSE NŒUD PAPILLONDOSSIER R-2847 · GRAVITÉ 4 · EN DIRECT
ABSENTEVérification du permis de travailPermis PTW-114 délivré sans contreseing du superviseur — Déclaration S-02, p.1 l.8
INTACTEDÉFAILLANTEABSENTECliquez sur une barrière — chaque état renvoie à une preuve
CHAPITRE 05
Profil GFT — lire l’organisation, pas l’individu
Chaque barrière défaillante ou absente est rattachée aux facteurs de risque de base qui la sous-tendent, notés selon les onze General Failure Types : conception, matériel, gestion de la maintenance, procédures, conditions favorisant l’erreur, ordre et propreté, objectifs incompatibles, communication, organisation, formation et défenses.
Le profil transforme un incident isolé en un énoncé sur le système de management — ce qui le rend comparable d’un cas à l’autre et exploitable par une direction.
CHAPITRE 06
Conclusions — des recommandations qui résistent au terrain
Les recommandations sont produites par barrière faible et par type de défaillance dominant, puis rédigées selon la hiérarchie des mesures de maîtrise : élimination et substitution avant l’ingénierie, l’ingénierie avant l’administratif, l’administratif avant les équipements de protection.
Chaque recommandation porte la barrière qu’elle répare, le type de défaillance qu’elle traite et la preuve qui la justifie, afin que l’argumentaire de clôture reste auditable des années plus tard.
CHAPITRE 07
Transmission — un rapport utilisable par la direction et par l’autorité
La livraison comprend un rapport d’enquête complet, une note pour la direction et les figures sous-jacentes, en anglais, français, espagnol ou portugais — générés depuis une seule analyse, afin que les versions ne puissent pas diverger.
Les preuves restent dans votre espace de travail. Les rapports sont exportables, la conservation est paramétrable, et chaque accès est journalisé pour la piste de redevabilité.
APPROFONDISSEMENTS
Les quatre méthodes derrière le parcours
Chaque chapitre s’appuie sur une méthode publiée. Ces pages exposent la source, les étapes et les limites de chacune.