Rédaction RISKOPILOT, 16 septembre 2026, 4 min de lecture

    Vérifier les contrôles critiques avant le travail : les leçons de Piper Alpha

    Un permis n’est pas une barrière. Le verrou CCHI transforme la vérification des contrôles critiques en décision d’arrêt ou de départ.

    Une barrière qui n’existait que sur le papier

    Le 6 juillet 1988, la soupape de sûreté d’une pompe à condensat de secours de la plateforme Piper Alpha a été déposée pour maintenance et remplacée par une bride pleine qui n’avait subi aucun essai d’étanchéité. Le soir, après l’arrêt de l’autre pompe, le poste de nuit a entrepris de redémarrer la pompe de secours sans savoir que sa soupape manquait. Du condensat s’est échappé par la bride et s’est enflammé. L’explosion et les incendies qui ont suivi ont fait 167 morts.

    La commission d’investigation présidée par Lord Cullen a relevé des défaillances de communication à la relève et dans le système de permis de travail, et a jugé que la défaillance du permis n’était pas une erreur isolée. Rien n’empêchait physiquement la remise sous pression de l’équipement : aucun verrouillage des vannes d’isolement, aucun double isolement avec purge.

    De la liste de contrôle au verrou

    La plupart des organisations vérifient déjà leurs contrôles critiques. La faiblesse tient à ce que l’on fait de la réponse. Le CCHI transforme la vérification en verrou. Avant une tâche à haute énergie, chaque contrôle critique est vérifié sur le terrain, présent, fonctionnel et utilisé, et noté 1 s’il est vérifié, 0 sinon. Le verrou est le produit de ces notes : un seul contrôle non vérifié le ferme et la tâche ne démarre pas. Trois sur quatre, c’est l’arrêt.

    Des règles qui garantissent la sincérité du verrou

    Une preuve uniquement documentaire vaut 0, car un permis signé ne prouve pas qu’une soupape est montée. Un échantillon de vérifications est refait par un vérificateur indépendant, et la part de faux conformes devient un indicateur du conseil (O3). Lue avec le taux de verrous fermés (E1), elle distingue les organisations qui trouvent les problèmes de celles qui n’enregistrent que des conformités.

    Ce que signifie un verrou fermé

    Un verrou fermé, c’est le système qui fonctionne, pas une équipe qui échoue. Il doit être présenté comme un succès, enregistré, et servir à faire monter les trajectoires les plus faibles dans la hiérarchie des mesures, par exemple d’une consignation qui repose sur l’humain à une consignation verrouillée ou interverrouillée.

    Sources

    Explorez la méthode dans le laboratoire CCHI

    Demander un accès anticipéLa méthode