CHAPITRE I – Une histoire de la sécurité – Partie 2 – L’irruption de la complexité

Le rapport To Err is Human

Publié en 1999 aux États-Unis par l’Institute of Medicine (IOM), qui fait partie de la National Academy of Sciences [1], le rapport To Err is Human1 étend et applique la vision de Reason au monde des soins de santé et à l’hôpital en particulier. D’autres chercheurs dans le domaine de la sécurité des patients sont ignorés ou y sont à peine cités : la seule exception est Charles Perrow. Karl Weick, David Woods et Jens Rasmussen n’apparaissent qu’une seule fois dans un texte dont Erik Hollnagel, Nancy Leveson et René Amalberti sont absents [2]. Cette publication a un profond retentissement, ne fût-ce que parce qu’elle est la première à proclamer que les événements indésirables seraient responsables de 44 000 à 98 000 décès par an aux États-Unis. Ramené à l’échelle de la Belgique, cela ferait de 1 200 à 2 500 décès par an, et à celle de la France, de 7 500 à 15 0002. C’est beaucoup, mais l’image qui frappe les esprits est celle de trois avions long-courriers qui s’écrasent par jour. Les auteurs relèvent à l’époque que les accidents médicaux sont nombreux, qu’ils tuent probablement plus que le sida ou la voiture, mais qu’on en parle beaucoup moins et qu’on les étudie peu. L’IOM plaide pour la fin de cette omerta et avance des propositions concrètes. Il souligne l’importance d’avoir connaissance des erreurs et d’en tirer des leçons. La mise en place d’un système de notification des événements indésirables et d’apprentissage à partir de ceux-ci, comme il en existe dans l’aviation, est la première mesure proposée et la plus importante : comment en effet combattre ce qu’on ne connaît pas ? Le législateur doit trouver le moyen de garantir une protection aux données récoltées afin qu’elles ne puissent être utilisées à d’autres fins que celle d’améliorer la sécurité. Les standards défendus par les organismes d’agrément ou d’accréditation doivent être plus largement inspirés par la nécessité d’assurer la sécurité des patients. Cette préoccupation doit s’étendre aux organisations qui forment le personnel de soin et les médecins. Les hôpitaux doivent mettre en place une culture de sécurité, basée sur une attitude non punitive et sur la promotion de la pluridisciplinarité. Cette culture doit être diffusée, soutenue et adoptée par les cadres. Le rapport insiste sur la nature inévitable de l’erreur humaine : c’est à l’organisation et à sa direction que revient la responsabilité de la prévention des accidents. To Err is Human a un impact immédiat dans la presse non médicale et auprès des instances dirigeantes de nombreux pays, dû pour une part à la dramatisation des accidents médicaux. Il inspire un nombre considérable de publications, où la science de la sécurité, pourtant fondatrice du mouvement, est progressivement marginalisée au profit d’articles rédigés uniquement par des médecins ou des soignants [3]. Il met un accent exagéré sur la notion d’erreur humaine : le mot est cité jusqu’à quatre fois par page dans le résumé du livre. La référence omniprésente à Reason n’y est probablement pas étrangère (le livre qui l’a fait connaître ne s’intitule-t-il pas Human Error [4] ?). On oublie généralement de citer le volume « frère » de ce rapport : Crossing the Quality Chasm: A New Health System for the 21st Century3 [5]. Il en projette la vision sur ce que devrait être une organisation des soins au XXIe siècle, parle d’evidence based medicine4, de communication, du rôle des techniques digitales et des modes de rétribution, etc. Une étude bibliométrique récente qui passe en revue tous les articles qui citent le rapport To Err is Human conclut de façon fort pessimiste : « Contrairement à ce que l’on aurait pu attendre des objectifs centraux du rapport de l’IOM, les recherches sur une approche systémique de la sécurité des patients et sur le signalement des incidents sont sous-représentées. Du point de vue de la science de la sécurité, le rapport a réduit la diversité du discours sur la sécurité des patients au lieu de l’élargir. Bien des voix importantes, novatrices et progressistes, ont été effectivement réduites au silence, même si ce n’était pas intentionnel, tandis que le cadre théorique proposé par James Reason imposait sa dominance5 » [2] (Encadré 1).

Encadré 1 – Que retenir de To Err is Human ?

• L’erreur est inévitable. L’acteur est inclus dans un système où la responsabilité de la hiérarchie est engagée.
• Un système de signalement des erreurs et d’apprentissage à partir de celui-ci doit être mis en place.
• La culture de sécurité doit bannir la punition (no blame).

L’accident inévitable (Normal Accident) – Charles Perrow (1925-2019)

En 1979, le sociologue Charles Perrow étudie avec un soin méticuleux l’accident nucléaire de Three Mile Island (Annexe I). L’analyse des autorités n’a trouvé personne d’autre à blâmer que les opérateurs. Perrow souligne pourtant l’existence d’un grand nombre de circonstances prévues ou imprévues, des systèmes de sécurité « normalement débranchés » (pour une maintenance), ou fonctionnant comme prévu mais ne signalant pas leur état, ou ne fonctionnant pas. L’ensemble fait de la centrale un système qui ne fonctionne jamais à cent pour cent comme il a été conçu, le rendant difficile à comprendre [6]. Perrow isole deux dimensions typiques des systèmes à risque, la complexité et les couplages [7].

Complexité

Les systèmes les plus simples sont linéaires. Dans l’esprit de Perrow, la notion de linéarité ne se résume pas au modèle de la chaîne de montage « idéale » de voitures par exemple. Pour lui, les systèmes linéaires sont à l’opposé des systèmes « complexes ». Les étapes s’y suivent sans interagir, sans boucles de contre-réaction et sans « fonctions en commun ». Chaque étape peut être décrite, elle est indépendante des autres (sauf de celles nécessaires à son déclenchement) : elle est donc protégée des aléas qui peuvent s’y produire. Complication et complexité ne sont pas synonymes : un système complexe n’est pas un système très compliqué et la complexité n’est pas le superlatif de la complication (Tableau I). Dans un système (même très) compliqué, l’événement indésirable est dû à la défaillance d’une pièce, celle-ci pouvant être l’opérateur (erreur humaine). Si nous y consacrons les efforts nécessaires, nous pouvons en décrire le fonctionnement et le comprendre : l’ensemble est égal à la somme de ses parties. Même l’activité humaine n’introduit pas de caractéristique imprévisible : si le mode d’emploi existe, il doit être suivi, s’il ne l’est pas, ce doit être traité comme le serait une panne matérielle (remplacement de la pièce fautive par exemple). La complexité ajoute à la complication des interactions telles que l’état actuel du système ne peut plus être décrit strictement à partir de son état passé. La vision de Perrow limite la complexité à l’existence de boucles de contre-réaction, qui peuvent diminuer l’amplitude d’une réaction, ou au contraire l’amplifier. Il y ajoute la notion de fonction commune : l’exemple classique est de récupérer les calories dégagées par une opération pour les apporter à une autre à laquelle ces calories sont nécessaires. Ce couplage implique que tout problème qui affecte le transport de calories a des conséquences sur chacun des deux processus. La complexité naît également de l’éloignement de l’opérateur, qui ne « voit » ce qui se passe qu’au travers d’instruments de mesure et non par observation directe. Cet opérateur est généralement hyperspécialisé, ce qui accroît son efficacité mais lui met des œillères. Cette vision de la complexité reste assez fruste.

Couplage

Les étapes d’un système peuvent être liées de manière serrée ou lâche. Dans une chaîne de montage continue, si une panne survient, toute la chaîne s’arrête en amont et en aval du problème. C’est ce que Perrow appelle un couplage serré. Cependant, si nous prévoyons une zone de dépôt au niveau de la panne, la partie d’amont continue à fonctionner, les pièces semi-finies sont stockées et reprennent leur cheminement après résolution du problème. L’absence de « tampon » caractérise les couplages serrés : si une action est lancée, elle doit aller jusqu’au bout sans possibilité d’interruption. Le système est rigide, il n’admet pas les attentes et les quantités traitées sont comprises dans des fourchettes étroites. La possibilité de récupérer d’une défaillance est limitée : si zone tampon il y a, elle doit être mise en place dès la conception du système. Les systèmes à couplage lâche sont plus souples et peuvent s’adapter à des dysfonctionnements qui ne stoppent pas l’ensemble du processus. Le personnel y est davantage polyvalent et interchangeable, des procédures alternatives sont envisageables. Il n’échappera pas au lecteur que le management moderne, en promouvant le lean6 et la réduction des « immobilisés » au profit d’une gestion à flux tendu, resserre les couplages et accroît la fragilité. Le manque cruel de matériel de protection des soignants au début de la pandémie du SARS-Cov-27 en est un exemple frappant.

Rationalité limitée (bounded rationality)

Perrow reprend pour la première fois dans le monde des gestionnaires de risque le terme bounded rationality issu de la psychologie de la décision [8]. Ce concept descriptif souligne que, face à une décision à prendre, même si notre souhait est d’être objectif et rationnel, des impératifs de temps disponible à la réflexion, des connaissances incomplètes ou les limites de notre intelligence imposent des frontières8. La thèse de Perrow est que, si un système est complexe et que ses couplages sont serrés, un accident différent de ceux engendrés par un composant (technique ou humain) défectueux peut survenir n’importe quand. On ne lui trouve pas nécessairement une explication ou une cause, on le dit « émergent ». On ne comprend pas forcément ce qui s’est passé. Il est inévitable. Et selon le potentiel propre du système, il peut être cataclysmique. À la même époque, Turner est frappé par le fait que des événements précurseurs qui devraient attirer l’attention passent inaperçus ou sont négligés, et parle de management bâclé (« sloppy management ») pour expliquer les accidents qui en découlent [9]. Les migrations de l’espace de travail vers une zone moins sûre décrites par Rasmussen sont sans doute du même ordre d’idée. La vision de Perrow a un côté très positif dans la défense d’une culture « juste » d’où le blâme est exclu : la part de responsabilité humaine dans un accident « inévitable » ne peut être qu’absente ou extrêmement limitée. Perrow est dès lors très restrictif : peu d’accidents majeurs entrent dans le cadre strict de ce qu’il appelle « normal accidents ». Il exclut ainsi Bhopal, Seveso, l’Exxon Valdez et Tchernobyl, qui s’expliquent selon lui par des maillons défaillants et une gestion désinvolte des risques. Par contre, les nombreux exemples qu’il décrit ne répondent pas tous à sa définition d’accident « normal », inévitable, incontrôlable, incompréhensible pour les acteurs présents. Son analyse fait de l’accident de Three Mile Island (Annexe I) le parangon de l’accident normal, et Turner est du même avis. Bien sûr, cet accident survient à la suite d’événements multiples qui ont chacun des causes indépendantes, ce qui justifie son imprévisibilité. Les opérateurs vivaient une situation inextricable, au milieu de l’agitation, d’alarmes sonores de systèmes ne fournissant pas des informations correctes ou alors avec retard, de cadrans masqués par des étiquettes de maintenance… Perrow ne se préoccupe pas de chercher comment il a été possible de mettre ces opérateurs dans des conditions telles qu’ils étaient incapables depuis l’intérieur de la centrale de poser un diagnostic sur ce qu’il se passait. Mais si une seule des défaillances avait été décelée, l’ensemble de l’accident aurait été évité, car il n’y aurait pas eu arrêt du refroidissement du réacteur. Il ne s’agissait pas d’un accident isolé : il y avait eu des précédents. Three Mile Island est le résultat de l’absence de réaction à des événements précurseurs, du peu de préoccupation du fabricant pour la sécurité, et de la pauvreté des communications entre lui et les opérateurs. C’est le parfait exemple de la vision de Turner [10]. On peut se demander pourquoi Perrow, qui est au courant de ces précédents, néglige de conclure sur le fait qu’ils contredisent sa théorie. Peut-être sa priorité est-elle d’exonérer les opérateurs de la responsabilité directe de l’accident alors que la commission présidentielle les incrimine ? Au moment où celle-ci élabore son rapport, ni Reason ni Turner n’ont encore ouvert les yeux du monde sur ce que Hopkins appelle les « causes latentes et managériales ». En tout état de cause, il existe aussi des systèmes complexes qui n’ont pas (pas encore ?) eu d’accident. La vision de Perrow (Encadré 2) est par ailleurs stérile si nous cherchons à apprendre quelque chose des accidents passés. Elle ne fournit aucun outil d’analyse ni aucun guide pour intervenir sur le fonctionnement du système (Tableau II) [11].

Encadré 2 – Que retenir de Perrow ?

• Si un système est complexe et qu’il y existe des couplages serrés, l’accident est inévitable.
• Nos possibilités cognitives et le temps que nous pouvons consacrer à une tâche ne sont pas infinis : cela limite le champ de la décision rationnelle.
• L’accident est un événement émergent.

La prise de décision – Daniel Kahneman (1934), Gary Klein (1944)

La notion de rationalité limitée (bounded rationality) doit nous pousser à faire un détour par les théories de la prise de décision. La conception du décideur rationnel, objectif et réfléchi qui pèse toutes ses décisions et choisit la meilleure en matière d’utilité ou de valeur est une vision idéale. Daniel Kahneman [12] décrit ainsi deux niveaux de pensée : le système 1, automatique, basé sur des reconnaissances de formes et des raccourcis mentaux (heuristiques), est mis en marche de manière autonome et sans contrôle conscient, il est sensible aux conditions environnantes et nécessite peu ou pas d’effort – il s’apparente au « skill based » (cf. la conduite automobile) – ; le système 2, rationnel, basé sur une activité cérébrale volontaire, est plus exigeant en ressources et n’est mis en route que si le système 1 échoue à proposer une solution – c’est certainement le cas du « knowledge based ». Kahneman décrit une approche expérimentale de l’étude des processus mentaux. Il soumet ses sujets à des problèmes qui mènent volontiers à des réponses connotées négativement : le choix des termes (biais, conceptions fautives, illusions…) concourt à faire croire que c’est parce qu’ils utilisent des heuristiques que les gens se trompent [13]. Ce choix pousse le lecteur, peu critique devant ce qui n’est qu’un outil dépourvu de volonté de jugement, à supposer que les raccourcis cognitifs mènent systématiquement à l’erreur. Les erreurs provoquées par le recours au système 1 sont effectivement plus nombreuses, mais aussi plus faciles à détecter que celles provoquées par le système 2. Kahneman met en garde contre les aléas du système 1 et les nombreux biais cognitifs auxquels il est soumis. Il y voit une source constante de danger lors de la prise de décision. D’autres soulignent la parenté avec la notion d’erreur humaine : le recours aux heuristiques est automatique et n’est pas contrôlable, l’homme est donc condamné à l’erreur. Il « suffirait » de protéger l’homme contre les biais cognitifs pour prévenir l’erreur. La proposition est tentante, mais on cherche encore les moyens d’y parvenir. Gary Klein [14] se penche sur des décideurs experts et souligne au contraire l’efficacité des décisions « instinctives » qu’ils prennent. Ces décisions sont nourries par un thésaurus de solutions à des problèmes similaires ou semblables, fruit de l’expérience du décideur. Il parle de « naturalistic decision making9 » (NDM). Il n’y a pas de longue évaluation, mais les hypothèses sont soumises à une modélisation mentale en fonction des données locales, et la première à passer ce test est la bonne. Il prend l’exemple des décisions « au feu » d’un officier pompier. Il reconnaît dans un article écrit en commun avec Kahneman que, pour que les heuristiques soient fiables, il faut que l’environnement fournisse des signaux interprétables pour situer si l’on est dans le bon ou dans l’erreur [15]. Gerd Gigerenzer est quant à lui un ferme défenseur des heuristiques [16]. Il compare des systèmes de décision basés sur des prévisions qui se fondent sur des algorithmes complexes ou sur des raccourcis cognitifs et souligne la fréquente supériorité de ces derniers quand il s’agit de prévoir l’évolution d’une situation, et non de la simuler ou de la décrire.

Les organisations de haute fiabilité (HRO) – Karl Weick (1936)

Même s’ils n’ont pas inventé le terme « High Reliability Organization10 » (HRO), Karl Weick et plus tard Kathleen Sutcliffe (1950) ont théorisé ses principales caractéristiques [17]. Divers chercheurs se sont penchés sur l’observation ethnographique d’organisations qui n’ont pas présenté d’accidents, ou « moins que ce qu’on pouvait attendre ». Cette étude leur permet de dégager des propriétés qu’ils estiment constantes d’une organisation à l’autre et caractéristiques de ces HRO. Ces choix dépendent un peu des centres d’intérêt de ces observateurs. Les HRO n’ont généralement pas une structure pyramidale où le pouvoir de décision n’appartient qu’au sommet. Elles peuvent être pyramidales au niveau de la définition de la stratégie, mais elles sont résolument décentralisées dès qu’il s’agit des tâches individuelles. Cinq constantes sont dégagées :

• Ces organisations (et leur personnel) sont conscientes à tout moment de la possibilité d’un échec ou d’un accident, même s’il ne se passe rien. Cette préoccupation s’étend aux presque accidents, considérés comme des signaux faibles (selon Turner). Le succès n’est qu’un état temporaire qui ne diminue pas la probabilité d’un échec.
• Elles manifestent une méfiance et un profond scepticisme vis-à-vis des explications simplificatrices. Elles multiplient les vérifications et les check-lists et promeuvent l’expérience.
• Elles prônent la « conscience situationnelle », une représentation mentale de la situation telle qu’elle existe, la compréhension de ce qui s’y passe et la projection de ce qu’elle pourrait être dans un avenir proche. Cette conscience est idéalement une construction sociale partagée.
• Elles cherchent et favorisent la résilience, qu’il faut entendre ici comme une adaptabilité aux situations mouvantes. L’imprévu ne peut être éliminé, il faut s’y préparer et le contrôler.
• Leurs structures ne sont pas complètement définies, pas plus que les procédures qui les gèrent. Il existe une méfiance vis-à-vis des systèmes régis par des procédures rigides. Il faut qu’il reste un espace libre pour l’improvisation et le recours à l’expertise. La hiérarchie doit être souple : les circonstances peuvent mouvoir l’exercice de l’autorité indépendamment du rang hiérarchique officiel (la fonction décisionnelle migre du dirigeant vers l’expert).

Ces constantes décrivent une recherche dynamique de perfectionnement11. Des secteurs extrêmement circonscrits comme les centrales nucléaires et l’aviation civile peuvent s’en inspirer : on y considère que l’expertise des acteurs est potentiellement dangereuse dans la mesure où les experts prennent plus de risques que les non-experts. On y règle donc tout par des procédures et de plus en plus par des mécanismes automatiques sans intervention humaine. Le prix à payer est d’avoir aux commandes d’un avion un pilote extrêmement adroit à programmer un pilote automatique et beaucoup moins à maintenir son avion en vol manuellement, comme l’a montré l’accident du vol AF 447 Rio de Janeiro-Paris en 2009 [18]. Weick plaide donc pour laisser l’expertise s’exprimer afin que le système garde la possibilité de s’adapter à des conditions changeantes et imprévues. Il note au passage que la nécessité d’avoir recours à des « adaptations » du système n’est pas caractéristique d’un secteur d’activité, mais bien des organisations prises individuellement. Cette faculté d’adaptation est par exemple nécessaire dans certaines centrales nucléaires et pas dans d’autres. Même s’il est tentant de parler de différences de culture, cela ne peut être une excuse pour éviter de se pencher sur l’architecture organisationnelle de ces HRO [19].

On reproche à la théorie des HRO de ne pas définir « a priori » ce qu’est une HRO : les organisations qui ont été choisies pour l’étude l’ont plus été par commodité qu’en suivant des critères précis. Sont-elles réellement des HRO ? Les premières à avoir été analysées appartiennent au domaine du contrôle aérien, des porte-avions nucléaires en opération et des centrales électriques nucléaires, lesquelles ont été étudiées avec un tout autre point de vue par Perrow… Une autre critique souligne que cette approche est purement descriptive, et que Weick ne fournit pas un modèle prescriptif qui démontrerait que le développement systématique des cinq propriétés des HRO, dans une organisation médicale par exemple, modifierait le niveau de sécurité offert aux patients. Il ne fournit pas non plus de « boîte à outils » pour faire évoluer une organisation vers cet « idéal HRO ». Une revue récente souligne que les chemins proposés passent par une redéfinition des processus ou de l’organisation, et par une formation et un entraînement [20]. Certains critères peuvent aider à évaluer les progrès, au moins qualitativement (Tableau III). Il existe un consensus dans les études passées en revue autour des nécessités suivantes :

• Communiquer une vision claire à tous les employés. Le soutien et la participation des dirigeants sont essentiels, mais tous les employés de l’institution peuvent jouer un rôle de multiples façons. Tout le monde, à tous les niveaux, doit être formé sur les HRO, informé de leur valeur ajoutée, et participer aux interventions.
• Interpréter les caractéristiques de la HRO pour chaque opération spécifique et s’en servir comme base pour une analyse des lacunes (gap analysis).
• Intégrer les opérations de type HRO dans le plan stratégique de l’organisation ou créer un plan d’action distinct.
• Mettre en œuvre des instruments de mesure qui permettent de suivre les progrès accomplis vers l’objectif (atteindre les caractéristiques HRO pour l’organisation ou l’opération). Utiliser ce retour d’information pour alimenter une amélioration continue.
• Comprendre que la transformation en HRO implique un changement de culture, qui n’est pas une mince affaire. Ceux qui ont pu développer une vision à long terme, qui ont bénéficié d’un soutien continu de leur hiérarchie et sont restés constants dans l’effort ont réussi cette transformation, qui perdure dans le temps.

Les outils de mise en œuvre et d’évaluation manquent cruellement, en particulier dans le monde de la santé, où pourtant le modèle HRO s’est beaucoup diffusé [21]. « La haute fiabilité dans les organisations de soins de santé reste une notion confuse, avec des recommandations diverses venant de structures variées, malgré l’intérêt soutenu d’agences gouvernementales et d’accréditation. L’avancement de la science de la haute fiabilité pour les soins de santé reste un objectif difficile à atteindre12 » [22]. Si le modèle HRO (Encadré 3) est probablement plus un idéal à viser qu’une réalité tangible, il faut insister sur l’aspect dynamique de la recherche de fiabilité. Il est permis aussi de s’interroger sur les nuances comprises dans les termes reliability et safety (généralement traduits en français par « fiabilité » et « sécurité ») .

Encadré 3 – Que retenir des organisations de haute fiabilité (HRO) ?

• L’importance de la conscience situationnelle.
• L’apparition du concept de résilience.
• La nécessité de laisser l’expertise s’exprimer dans un système non corseté de règles.

Une réponse à la complexité : Safety-II et le resilience engineering – Erik Hollnagel (1941)

Safety-II

Erik Hollnagel défend une vision positive de la sécurité. La définition en négatif de celle-ci (l’absence d’accident) ne le satisfait pas plus que de dire que la santé est l’absence de maladie. Jusqu’ici l’objectif d’un responsable de la sécurité est d’éliminer les accidents. Son objet d’étude est donc l’accident, ce qui ne devrait pas se produire, et non le fonctionnement de tous les jours d’un système qui ronronne entre deux événements indésirables. La sécurité se mesure par le nombre d’accidents, en d’autres mots par son contraire. Je peux marcher longtemps sur un lac gelé sans incident. Est-ce sûr ? Pas vraiment, je sais parfaitement que la couche de glace peut se rompre sous mes pas. Cette définition, qu’Hollnagel appelle « Safety-I », mène à un autre paradoxe : si j’améliore la sécurité, le nombre d’accidents diminue, jusqu’à devenir à ce point faible que je ne peux plus en mesurer l’évolution. Pour être mesurable, la sécurité a besoin d’une définition positive, dite « Safety-II ». Elle est pour Hollnagel la propriété d’un système capable d’opérer de la manière prévue quelles que soient les conditions qu’il rencontre. (La première définition reste [malheureusement] la plus courante.) Il souligne que s’intéresser aux seuls échecs permet éventuellement de les éviter, mais n’apporte aucun élément qui permette d’améliorer le fonctionnement du système ou l’enchaînement des processus. Il défend l’idée que se pencher sur les réussites apporte davantage d’informations et est plus motivant tant pour les acteurs que pour le management [23]. Il souligne que, puisque la sécurité n’existe que de manière potentielle, sa recherche est l’affaire de compromis constants entre l’efficacité et une exigence de rigueur (efficiency-thoroughness trade-off13 [ETTO]) [24]. Il n’y a pas de sécurité « absolue », le « risque zéro » est une utopie : il existe toujours une prise de risque, sinon les avions ne voleraient pas, pas plus que les chirurgiens n’opéreraient.

Resilience engineering14 (RE)

Avec Hollnagel, la sécurité cesse d’être une propriété statique d’un système pour en devenir un mode de fonctionnement : cette réflexion est la base du « resilience engineering » (RE) qu’il développe avec David Woods [25]. Notons qu’à l’époque de la parution de l’ouvrage Resilience engineering: concepts and precepts, « résilience » est un terme savant, utilisé surtout par les psychologues, Boris Cyrulnik en particulier. Son succès, venu plus tard, en fait un mot « à la mode » galvaudé dans tous les médias. Hollnagel fait de la résilience une qualité des organisations sûres, qui ajustent leur fonctionnement avant, pendant ou après un changement ou une perturbation afin d’opérer normalement aussi bien en situation prévisible qu’imprévisible. Puisque le monde est complexe, l’imprévu et l’inattendu sont inévitables. Il conçoit la résilience comme une forme d’autocontrôle grâce auquel le système doit être capable de réagir (savoir que faire) y compris à l’inattendu, de surveiller (tant son propre état que celui de l’environnement), d’anticiper (les avenirs possibles, les conséquences des actions mises en place), et enfin d’apprendre des expériences. Folke (1955) développe une conception un peu différente de la résilience, avec une vision plus « écologique » d’un « système adaptatif complexe » vu comme un écosystème [26]. Les points communs avec Hollnagel sont nombreux (les « surprises » émergentes, les non-linéarités et l’omniprésence de l’incertitude). Les propriétés qui sous-tendent la résilience sont alors : la capacité de vivre avec l’incertitude et de chercher à en amortir l’effet par la diversification des ressources et des modes opératoires plutôt que de tenter d’éliminer les variations ; le maintien de la diversité « naturelle » et le fait de favoriser les éléments adaptables ; la valorisation de la pluridisciplinarité et le respect des connaissances « traditionnelles » auxquelles on fait appel ; la création d’opportunités d’auto-organisation en encourageant des situations nouvelles nourrissant le processus d’apprentissage. Pas plus que la sécurité, la résilience ne se mesure (même si Hollnagel s’est essayé à développer des échelles d’évaluation autour de ces quatre attributs [27]), c’est son potentiel qui est mesurable.

Parmi les propriétés désirables d’organisations « résilientes » :

• l’accord autour du fait que des opinions diverses existent et doivent pouvoir s’exprimer (« je n’admets pas que l’on ne soit pas d’accord avec moi si on se tait ») ;
• le questionnement incessant sur la sécurité (en particulier ne pas faire confiance aux succès passés pour garantir l’avenir) ;
• le respect, la déférence à l’expertise ;
• la possibilité de dire « non » ou « stop » à haute voix ;
• la possibilité d’abattre les cloisons entre les compétences différentes de l’organisation (la connaissance est généralement répartie entre les spécialités ; ne pas réunir ces dernières, c’est se priver d’une part de connaissances) ;
• le fait de ne pas attendre les audits, inspections et accréditations pour s’améliorer, de faire confiance à l’expertise et aux avis des travailleurs ;
• être fier de ce que l’on fait et en parler.

Le lecteur remarquera la proximité avec les thèmes du modèle HRO. Hollnagel boude toutefois cette parenté et se réclame plus de Charles Perrow et de l’accident comme phénomène émergent dans un monde complexe, même si la complexité selon lui va plus loin que la vision « structurelle » qu’en a Perrow. Pour lui, la notion de recherche des causes d’un accident est le plus souvent vide de sens, l’accident « émerge », il ne « résulte » pas de causes identifiables. Les explications que nous trouvons à l’accident sont d’ordre pragmatique, ce ne sont pas des certitudes scientifiques. Rappelons le point de vue de Rasmussen, qui voit dans l’erreur le fruit d’une expérience aux limites de la zone de sécurité qui a échoué et eu des conséquences à cause d’un environnement « hostile », et pour qui l’adaptation à la complexité nécessite une « zone amicale » où l’opérateur peut se déplacer, dont les limites restent floues, de sorte que l’expérimentation à la frontière peut mener à un accident. Woods, dans sa vision de la résilience, y voit plus qu’une faculté de « revenir à la normale » après un événement imprévu : l’organisation résiliente non seulement « absorbe » l’imprévu, mais « s’étire », accroît son périmètre de connaissances pour y faire face [28]. Cet appel à la résilience, en principe organisationnelle, n’est pas sans danger. Le premier est le réductionnisme : bien souvent, l’organisation n’est pas résiliente, mais attend de l’opérateur qu’il s’adapte et fasse preuve d’inventivité et de résilience. C’est souvent le cas dans les hôpitaux, organisations complexes que leur rigidité fragilise mais que la résilience de leurs employés tire d’affaire. Le deuxième danger est moral : cette délégation de responsabilité à l’opérateur est peu éthique et dangereuse. C’est une tendance générale de la hiérarchie de se persuader que l’acquisition de toutes les qualités nouvelles que la science managériale découvre au personnel est de la responsabilité de ce dernier (en particulier tout ce qui va au-delà des compétences techniques, les « non-technical skills »). Il en va de même pour les attributs de la résilience et pour la résilience elle-même (son absence étant reprochée à l’opérateur alors que ce devrait être une propriété de l’organisation). Le troisième est le piège normatif : la résilience est-elle une « propriété positive » qui doit être recherchée à tout prix ? La réponse doit être nuancée : la pêche en haute mer est une activité extrêmement dangereuse rendue possible par le savoir-faire, l’expérience et l’adaptabilité des marins-pêcheurs. La réponse « résiliente » est de continuer en s’aidant de la connaissance et de l’expérience qu’on a des éléments et de la situation [29]. La résilience ne peut toutefois pas justifier qu’en son nom les opérateurs puissent être amenés à prendre des risques que l’organisation ne peut ou ne veut pas contrôler.

Résonance fonctionnelle

Dans un système complexe, les infimes variations de performance de chaque fonction peuvent se combiner avec les autres et donner lieu à un « bruit » aléatoire. Une perturbation supplémentaire peut causer une résonance qui amplifie les variations jusqu’à l’accident. On sait qu’une troupe qui franchit un pont doit « rompre le pas » afin de ne pas risquer de faire osciller ce pont à sa fréquence de résonance propre si celle-ci se confond avec la fréquence de la marche : chaque nouveau pas ajoute une micropoussée qui tombe exactement au bon moment pour augmenter l’amplitude des oscillations. Mais l’expérience montre qu’une passerelle parcourue n’importe comment par des piétons, chacun marchant à son rythme, peut « par hasard » commencer à osciller parce que « par hasard » quelques dizaines de pas ont poussé dans le bon sens au bon moment : un signal émerge de ce « bruit de fond », bientôt annulé par les pas suivants. Tel est le modèle auquel se fient les concepteurs de ponts, et l’expérience leur donne généralement raison. Sauf si cette oscillation a une direction et une amplitude suffisantes pour changer le comportement des piétons, qui ont naturellement tendance à accorder le rythme de leurs pas à l’oscillation ressentie parce que c’est plus confortable pour eux, avec les conséquences qu’on devine (le Millennium Bridge à Londres a ainsi été fermé deux jours après son inauguration en juin 2000, pour être modifié et rouvert deux ans plus tard). Hollnagel parle de « résonance fonctionnelle » [30]. À partir de cette théorie, il développe une méthode d’analyse des systèmes et de leurs accidents en tenant compte de la variabilité de toutes les fonctions qui le composent (functional resonance analysis model, ou FRAM15). Le modèle est riche en enseignements, mais très lourd : il a peine à s’imposer au-delà du monde des thèses universitaires [31] (Encadré 4).

Encadré 4 – Que retenir de Hollnagel ?

• Une nouvelle définition de la sécurité (Safety-II), ou l’art de réussir malgré les aléas.
• Le compromis entre efficacité et rigueur.
• L’accent mis sur la résilience.
• Un nouvel outil d’analyse basé sur la résonance fonctionnelle (FRAM).

Comment réconcilier organisation de haute fiabilité et resilience engineering ?

HRO et RE connaissent leur heure de gloire depuis une vingtaine d’années. Faire progresser les soins de santé au niveau d’une HRO (Encadré 5) [32] est par exemple un objectif explicite de la Joint Commission on Accreditation of Healthcare Organizations16 (JCAHO). Les deux concepts tirent les conclusions ultimes d’un modèle basé sur les systèmes adaptatifs complexes, où les méthodes d’analyses rétrospectives et prospectives se heurtent à leurs limites propres, qui sont celles de leur ancrage dans une tradition cartésienne liée à la physique de Newton. Pourquoi ces deux théories, nées presque en même temps, semblent-elles s’ignorer, alors qu’elles ont tant de points communs ? Deux études récentes peuvent nous éclairer [33,34].

Encadré 5 – Application des principes HRO au domaine de la santé.

L’application de principes HRO* à la santé n’est pas toujours aisée : le principe de déporter la responsabilité de la décision vers l’opérateur en augmentant son autonomie (et sa compétence) a néanmoins été tenté avec succès dans une réanimation pédiatrique**.

En 1988, un hôpital américain crée un service de réanimation pédiatrique, et le confie à un intensiviste qui ne quitte l’hôpital qu’en 2000. Pendant ce temps, le service croît de 8 à 25 lits et admet 1 300 patients par an dont 40% nécessitent une ventilation artificielle. Il assure un système de transport pour aller chercher les enfants malades dans des hôpitaux moins bien équipés. Cette activité en fait un des plus gros services de ce type du pays. L’organisation médicale classique des hôpitaux américains attribue la responsabilité des soins au médecin traitant ; ce n’est que si celui-ci est absent que le médecin présent change éventuellement le traitement sans communication particulière avec son confrère. Les liens avec le personnel non médical (infirmier et paramédical) sont établis sur une base exclusivement hiérarchique et autoritaire. L’attitude du personnel est strictement défensive, cherchant la tranquillité dans la totale absence d’initiative et le respect scrupuleux des ordres médicaux.

Le réanimateur a une expérience de pilote dans la Navy, où il a connu des accidents liés à la structure militaire autoritaire. Il établit d’emblée un mode de fonctionnement où l’avis du personnel au chevet du patient est systématiquement sollicité et où des décisions habituellement dévolues au médecin sont partagées et parfois confiées aux infirmières et aux paramédicaux. Cela ne se fait pas sans mal et il rencontre une résistance et une hostilité d’une partie du personnel qui va jusqu’à suspecter son incompétence. Avec le temps toutefois, et grâce à une organisation qui confie les soins à un personnel qui ne travaille que dans ce service, cette organisation est acceptée et est trouvée gratifiante par les infirmières. Un enseignement « informel » à la décision médicale s’organise pendant les « tours », au cours desquels le personnel est invité à participer. Le deuxième intensiviste, engagé par le premier, a une expérience dans les services de pompiers : il trouve que leur organisation est plus efficace devant l’urgence que l’organisation hospitalière classique. Avec lui, la formation du personnel prend une forme plus systématique et structurée. Le but est d’accroître son autonomie et de lui laisser prendre dans certaines limites des décisions diagnostiques et thérapeutiques. Des débriefings des événements indésirables sont systématiquement mis en place. Les tours deviennent des espaces de discussion d’égal à égal entre médecins et infirmières. La zone de conflit se déplace alors hors du service, en particulier avec les médecins appelés à intervenir dans le service et confrontés à l’autonomie de décision d’un personnel systématiquement soutenu par les intensivistes. Cela nécessite d’ailleurs la rédaction de protocoles mettant quelques garde-fous à cette autonomie. Les intensivistes font un effort de formation personnelle considérable pour être moins dépendants de l’expertise de spécialistes extérieurs. Durant cette période et malgré sa croissance, le service connaît une mortalité moindre que la moyenne nationale et retient davantage son personnel.

Cette période bénie se dégrade à partir de 1997, quand des médecins formés ailleurs rejoignent le service. Ils ne s’y sentent pas en sécurité, craignent des mises en cause de leur pratique médicale et poussent à revenir au modèle autoritaire classique. Ils sont soutenus en cela par des médecins d’autres services puis par l’administration. Les deux intensivistes « fondateurs » s’estiment désavoués et quittent l’hôpital en 2000. Le service retrouve un fonctionnement classique, où l’autorité et les compétences ne sont pas partagées, où les tours sont strictement médicaux, où la formation est confiée à la direction infirmière et où les débriefings cessent d’être systématiques. La mortalité augmente, ainsi que le turn-over infirmier.

Notes :

* HRO : High Reliability Organization, organisation de haute fiabilité.
** Madsen P, Desai V, Roberts K, et al. Mitigating hazards through continuing design: the birth and evolution of a pediatric intensive care unit. Organ Sci 2006;17(2):239-248.

Resilience engineering

Il existe une filiation évidente entre les conceptions de Rasmussen, de Reason, puis de Hollnagel. Si Rasmussen était ingénieur, tous les autres sont psychologues de formation. À ce titre, l’histoire du resilience engineering est intimement liée à celle de l’étude des facteurs humains et de l’ergonomie des interfaces personne-machine, et aux développements de la psychologie cognitive. Le premier aspect remarquable de ce mouvement est la « déconstruction » de la notion d’erreur humaine que Rasmussen fut le premier à mener. L’erreur n’est plus nécessairement l’ennemi à combattre, elle est aussi une condition nécessaire à l’apprentissage. Les interfaces doivent être conçues avec assez de souplesse pour offrir à l’opérateur une liberté suffisante : il doit pouvoir manifester ses capacités d’exploration et d’adaptation qui sont une condition de l’apprentissage cognitif. Dans cette mesure, un environnement sûr offre les conditions nécessaires à un apprentissage par essai et erreur sans conséquences. Cette vision souligne une différence essentielle entre qualité et sécurité : la qualité cherche à réduire à tout prix la variabilité au sein de la production (de biens ou de services) alors que cette variabilité nécessaire à l’apprentissage est considérée comme une des prémisses de la sécurité. Son deuxième aspect caractéristique est la référence constante à la notion de complexité (Tableau I, annexe IIa).

HRO

La notion de HRO est née, elle, d’une réflexion sur les systèmes « presque sans erreurs » menée par des sociologues et des spécialistes des sciences politiques. Les préoccupations concernent plus les niveaux macro et méso (management) que micro (opérateur). Les objets de leurs études sont des organisations dont on juge a posteriori qu’elles ont prouvé leur sécurité de fonctionnement. C’est une étude de l’existant sans hypothèse expérimentale, une étude ethnographique qui met l’accent sur des aspects comportementaux et culturels. Ce qui est apparent, c’est que des organisations (aéronautique, nucléaire, porte-avions et sous-marins par exemple) extrêmement exposées aux risques et opérant (presque) sans accident échappent aux explications théoriques existantes (du fait de leur complexité ?) et nécessitent une nouvelle réflexion. D’où la description des cinq concepts sous-tendant la théorie des HRO et en particulier la notion de « conscience collective » et de « conscience situationnelle ». Le lien avec le comportement des organisations étend le concept et on parle de « conscience organisationnelle ». La théorie HRO repose sur l’observation d’organisations : elle est descriptive et ne prescrit pas d’outil d’investigation spécifique, ni d’outil de représentation, qu’il soit graphique ou non. Ces recherches théoriques ne mènent pas à la description d’outils pratiques d’amélioration (lesquels sont par contre inventés par une multitude de consultants appelés à la rescousse pour instaurer une culture HRO dans les entreprises). Tout au plus peut-on voir dans la description des cinq propriétés caractéristiques des HRO par Weick une dimension prescriptive.

Similitudes

Même si les points de vue du RE et des HRO sont très différents, certaines similitudes frappent d’emblée : la notion de conscience situationnelle existe dans les deux théories ; la résilience recherchée dans les HRO est la caractéristique intrinsèque du RE ; HRO et RE défendent l’importance de l’auto-organisation (les structures ne sont qu’incomplètement spécifiées), et laissent une place à l’expertise voire à l’improvisation talentueuse. L’aspect « normatif » est présent dans les deux : dans les HRO, il provient du fait que, si être « HRO » est une caractéristique, elle doit pouvoir être décrite et ses composants être évalués et comparés. Il est aussi une demande de l’industrie et est un produit secondaire de l’activité des consultants. Dans le RE, il fait partie de l’orientation « engineering » (Annexe IIb). L’application du RE se fait plus au niveau des opérateurs et s’intéresse plus au travail de tous les jours, ce qui fait dire que la théorie des HRO s’intéresse à comment les organisations travaillent, alors que le RE s’intéresse simplement à comment le travail est fait (work as done vs work as imagined17). Les principes des HRO s’appliquent donc surtout dans des organisations bien protégées contre les pressions extérieures (Encadré 5). Même si la culture de sécurité est une composante primordiale des HRO et bien qu’il existe de nombreux témoignages sur son instauration dans les hôpitaux, son effet sur les comportements et sur les résultats est difficile à interpréter.

L’application à la santé : One size does not fit all18 – René Amalberti (1952)

René Amalberti se réclame de tous les précédents. Il adopte et amplifie la notion de migration et l’applique au domaine particulier des soins de santé [35,36]. Il élargit le principe des compromis au choix stratégique d’accorder son attention soit à l’évitement des erreurs, soit à leur détection au plus tôt. Ce compromis est nécessaire du fait que l’un et l’autre processus mobilisent des ressources cognitives limitées. Enfin, plutôt que de faire un choix et une critique des différentes théories que nous avons décrites, il rappelle que le domaine des soins est extrêmement complexe. Il souligne que certains secteurs sont proches de l’aviation, où le souci est d’abord d’écarter tout risque. Si les conditions météo sont mauvaises, l’avion ne décolle pas. Si un volcan islandais entre en éruption et qu’on se pose des questions sur les conséquences des cendres en suspension dans l’air de la haute atmosphère sur le fonctionnement des moteurs d’avion, on paralyse tout le secteur du transport aérien pendant des semaines. On peut imaginer une sécurité basée sur l’évitement systématique du risque en radiothérapie par exemple. Elle est déjà nettement moins envisageable en salle d’opération, et totalement inapplicable en salle d’urgence. Une sécurité de type HRO est en revanche envisageable dans les domaines médicaux et chirurgicaux classiques de l’hôpital, en salle d’opération en particulier. Il existe une aversion au risque mais, s’il est inévitable, on le gère. Les rôles sont clairement définis, la hiérarchie est explicite. On peut parler d’équipage : l’hôtesse ne remplace pas le pilote, mais tous se concertent et s’écoutent (ou pourraient le faire). Les règles et les procédures existent, elles sont observées et, si elles sont transgressées, c’est par décision collective. Les salles d’urgence et les interventions en médecine de catastrophe obéissent à d’autres règles, où le risque est omniprésent et ne peut être contourné. La hiérarchie est basée sur la confiance, elle-même basée sur l’expertise, souvent jugée par le taux de « réussite ». Les acteurs travaillent en « équipe » : les rôles sont définis mais les transgressions sont permises (au football, un arrière a sa fonction, mais s’il a une occasion de marquer, il la saisit). Les règles existent, elles sont peu nombreuses et respectées, l’improvisation talentueuse est fréquente, la confiance dans l’expérience et l’expertise est maximale. L’exemple est plutôt celui du pompier et de la résilience. La standardisation procédurale qu’encouragent les initiatives d’accréditation ne semble dès lors pas une solution universelle pour augmenter la sécurité dans les soins de santé : un système corseté par les règles ne peut réagir à l’imprévu [37] (Encadré 6).

Encadré 6 – Que retenir d’Amalberti ?

• Les compromis en gestion de la sécurité.
• La migration et l’obsolescence des règles et procédures.
• Les trois modèles de gestion du risque en hôpital.
• La place nécessaire de l’expertise.

Notes :