CHAPITRE VII – Les barrières : un barrage contre le Pacifique ?

Les barrières sont les « tranches de fromage suisse » du modèle de Reason. Au fil du temps, Reason a varié leur nombre et leur nature sans approfondir les rôles qu’elles pouvaient remplir autrement que par leur « empilement » pour créer la « défense en profondeur » contre les événements indésirables. Le problème est que, dans ce modèle, les tranches sont trouées, elles le sont toutes, et ce qui manque dans ses écrits, c’est une explication sur le comment et le pourquoi de l’apparition de ces failles. A priori, si les tranches sont bien conçues, il n’y a pas de raison qu’elles en comportent. En fait, Reason a sans doute pressenti la notion de système complexe sans la nommer : les failles ne sont pas forcément prévisibles, certaines peuvent apparaître de manière spontanée, imprévisible, et satisfaire à la définition des phénomènes émergents. Lorsque l’on parle de barrière, la première vision que nous en avons est celle de la barrière physique. La représentation de la barrière unique comme ligne de défense est le castrum, le camp fortifié des Romains : un fossé, un remblai et une palissade de bois encerclent un campement parfaitement organisé et en protègent l’intégrité. Notons toutefois que toute palissade doit comporter une porte. Au fil du temps et de l’évolution de l’architecture militaire, des armes et des techniques de siège, ces murs physiques deviennent des sortes de structures en oignon, où chaque couche superficielle est suivie d’une couche plus restreinte, protégeant des éléments plus essentiels : une ville est protégée par plusieurs enceintes successives, un château est construit en son centre, dont le donjon est le dernier refuge. Vauban fut le génial architecte de ce type de fortification : il est à l’origine de cette notion de « défense en profondeur ». La notion moderne de défense en profondeur ne comporte pas que des barrières physiques, mais toutes les catégories de défense que l’on peut imaginer (Encadré 1).

Encadré 1 – Exemple aéronautique de défense en profondeur

Quand l’Airbus A320 vol 1549 décolle de La Guardia (New York) et rencontre, deux minutes après son décollage, un vol d’oies du Canada, ses deux réacteurs sont endommagés et s’arrêtent. Après un dialogue très professionnel avec le contrôle aérien, le pilote refuse de revenir se poser à La Guardia et tente et réussit un amerrissage sur l’Hudson. On peut parler ici de défense en profondeur : les réacteurs des avions modernes sont soumis à une série de tests pour assurer leur résistance à l’ingestion d’oiseaux. La rencontre avec des oiseaux en vol est un événement extrêmement fréquent et en principe bien maîtrisé. Les tests sont réalisés avec des poulets de deux kilos expédiés par un canon dans les pales d’un réacteur à pleine puissance. Ce test est toutefois dépassé dans le cas qui nous occupe : les oies pèsent le double et les moteurs ont dû en digérer une dizaine chacun. Un avion est conçu pour pouvoir manœuvrer efficacement avec un seul moteur. Perdre les deux (l’A320 est un biréacteur) est plus critique, mais l’avion dispose de sources de poussée de secours qui lui permettent de rester manœuvrable dans certaines limites : il ne peut garder sans fin le contrôle de son altitude et doit atterrir dans un délai prévisible. La perte de puissance pouvant se produire au-dessus de l’eau, la possibilité de faire amerrir un avion est prévue, il existe même sur l’A320 une commande qui ferme toutes les ouvertures inutiles pour accroître la durée de flottaison. Il existe des procédures d’urgence pour calculer de nouvelles routes et obtenir une priorité absolue sur un aéroport de secours : ces hypothèses ont été envisagées avec le contrôle aérien et des pistes réservées. Le pilote a fait un choix, original, mais pas unique, et a sauvé ses passagers et son équipage.

Taxinomie des barrières

Une barrière peut agir avant la phase de perte de contrôle qui mène éventuellement à l’accident : on parle de barrière préventive : elle peut soit protéger de l’événement initiateur (une peau de banane sur le trottoir), soit de l’accident (marcher sur la peau de banane). Après cette phase, la barrière devient protectrice : elle peut soit éviter les conséquences de l’accident, soit les minimiser. Reason a introduit la notion de barrières s’interposant entre l’action peu sûre (erreur ou transgression selon lui) et l’accident. Il leur voit six fonctions différentes : la protection, la détection, l’avertissement, la guérison, le confinement et la fuite. Il ne fait pas de différence entre ce qui est matériel et ce qui est humain. Et même s’il est le chantre de la défense en profondeur, qui superpose des barrières de fonctions et de natures différentes, il est silencieux sur les faiblesses des barrières et sur leur gestion [1]. Hollnagel offre une classification simple et qui cadre bien avec les préoccupations qui sont les nôtres au sein des institutions de soins [2]. Selon lui, les barrières peuvent être (Tableau I) :

Physiques ou matérielles

Les barrières physiques ou matérielles (un mur, un garde-corps, une enceinte de protection…) limitent ou empêchent les transports de masse, d’énergie ou d’information. Elles accomplissent leur tâche jusqu’à un niveau de résistance où elles cessent d’être effectives (rupture). Elles ne doivent pas nécessairement être perçues ou interprétées pour être efficaces (quiconque a heurté une porte en verre peut en témoigner). On peut ranger dans cette catégorie les détrompeurs tels que les prises de gaz au bloc opératoire ou aux soins intensifs, dont la configuration empêche par exemple une interversion air-oxygène, ou encore les embouts Luer normalisés du matériel de perfusion qui ne permettent pas le branchement accidentel d’une perfusion veineuse sur un cathéter épidural ou l’administration intraveineuse d’une nutrition entérale.

Fonctionnelles

Les barrières fonctionnelles établissent une distance logique ou temporelle qui empêche une action de se dérouler. Elles établissent la nécessité qu’une ou plusieurs conditions préalables soient remplies pour qu’un événement ait lieu. Elles ne sont pas nécessairement visibles. Ces « préconditions » peuvent être aussi bien perçues par un opérateur humain que par un système logique (déclenchement d’un airbag si la décélération axiale dépasse un certain niveau, par exemple). Une serrure est un bon exemple : elle peut être physique ou logique (mot de passe). Une check-list en aviation est aussi de ce type car elle a le pouvoir d’interrompre l’action en cours ou d’empêcher qu’elle commence, ce qui n’est que rarement le cas des check-lists en médecine. Si une barrière fonctionnelle est souvent combinée à une barrière matérielle, elle peut être dans deux ou plusieurs états : une serrure est ouverte ou fermée et commande une porte qui est une barrière matérielle.

Symboliques

Les barrières symboliques nécessitent une interprétation : la ligne blanche sur la route n’empêche pas physiquement son franchissement, mais le conducteur sait que la franchir est une transgression. Une barrière symbolique limite la performance du système pour le maintenir dans un espace de fonctionnement sûr. L’opérateur doit l’interpréter, puis en tenir compte pour qu’elle soit efficace. L’intervention humaine est indispensable, en attendant les développements de l’intelligence artificielle. Vous avez compris que la check-list telle qu’elle est habituellement pratiquée au bloc opératoire entre plus dans cette catégorie que dans celle de la barrière fonctionnelle.

Incorporelles

Les barrières incorporelles n’ont pas besoin de substrat matériel pour accomplir leur fonction. Elles reposent sur la connaissance qu’en a l’opérateur pour être efficaces, même si celui-ci a acquis cette connaissance en consultant des livres ou des documents. Les lois, les règles, procédures et recommandations en sont un exemple. Leur efficacité dépend fort de la pertinence de leur évocation : les alertes informatisées et les aides à la décision (gérées par l’intelligence artificielle par exemple) peuvent améliorer cet aspect, mais aussi générer une surcharge d’informations.

Cette classification est purement informative. La plupart des barrières sont complexes ou composites. Une limitation de vitesse sur autoroute est incorporelle, inscrite dans le Code de la route. Elle peut être rappelée par un panneau de circulation (symbolique) et par un policier derrière son radar (symbolique s’il est visible, incorporel s’il ne l’est pas). La notion même de défense en profondeur implique que des barrières de plusieurs types soient successivement utilisées. Compte tenu de leurs qualités et de leur spectre d’efficacité, il est utile d’associer des approches différentes. La gestion des facteurs humains et le soin apporté à l’ergonomie doivent en faire partie.

Qualité des barrières

Hollnagel propose un ensemble de critères pragmatiques (Tableau II) pour évaluer la qualité des barrières :

• efficacité : à quel point la barrière atteint son but de protection ; souvent couplée au coût ou aux ressources nécessaires ;
• ressources nécessaires : les ressources qu’il faut mobiliser aussi bien pour concevoir la barrière que pour la faire fonctionner ;
• fiabilité : comment elle résiste ou s’adapte aux variations de l’environnement ;
• délai d’installation : le temps qui s’écoule entre la décision et la mise en place ;
• adaptation aux étapes critiques de la sécurité et aux situations « complexes » ;
• disponibilité : non seulement un détecteur de fumée doit être fiable (faire la différence entre le début d’un incendie et un toast qui fume), mais sa pile doit être fonctionnelle ;
• monitorage : l’action de la barrière doit être évaluable ;
• dépendance à l’humain (avec en arrière-pensée le fait que l’humain est toujours susceptible de faillir).

Modes de défaillance et barrières

Les systèmes et leur composante humaine dysfonctionnent selon un des dix modes de défaillance :

• timing : une action commence trop tôt ou trop tard, ou une position est atteinte trop tôt ou trop tard ;
• durée : une fonction ou une action dure trop ou pas assez longtemps ;
• distance : un objet est transporté trop loin ou pas assez ;
• vitesse : un objet est transporté trop vite ou trop lentement, une action est trop ou pas assez rapide ;
• direction : la direction de l’action ou du déplacement n’est pas la bonne ;
• force, puissance, pression : la force exercée est excessive ou insuffisante ;
• amplitude : l’amplitude d’un mouvement ou d’une action est inadéquate ;
• objet : une action s’applique à un mauvais objet ;
• séquence : des actions ou fonctions sont exercées dans un ordre erroné ;
• quantité ou volume : un objet est trop lourd ou trop léger.

Dès que l’on s’attache à concevoir un système de gestion de la sécurité basé sur l’existence de barrières, simples ou superposées, que ce soit une défense en profondeur telle que décrite par Reason ou le fruit d’une analyse BowTie, ces modes de défaillance doivent être systématiquement envisagés et testés. L’efficacité des différents types de barrières varie selon le mode de défaillance (Tableau III).

Quels enseignements en tirer ?

L’étude des mesures d’amélioration mises en place après la détection d’événements indésirables ou leur analyse montre que les mesures les plus fréquemment adoptées visent l’éducation des opérateurs et la mise en place de procédures. Ces mesures tombent dans la catégorie des barrières incorporelles ou symboliques, qui sont parmi les moins fiables et les moins efficaces. Leur spectre d’efficacité sur les modes de défaillance est étroit, et la confiance qu’elles inspirent méconnaît le fait que leur transgression est la règle et non l’exception [3]. Les barrières reposant sur la technique sont plus rares mais apportent des résultats plus tangibles : l’utilisation des codes-barres pour la gestion des transfusions a certainement concouru à accroître la sécurité. Ces moyens techniques appartiennent aux catégories « matérielles » ou « fonctionnelles ». Ils sont en général efficaces et fiables, même si leur spectre d’efficacité est relativement étroit. De plus, il faut tenir compte d’une certaine « homéostasie du risque ». C’est souvent le cas des innovations techniques qui a priori améliorent la sécurité, mais qui, après peu de temps, déplacent la zone de fonctionnement du système de sa zone de sécurité nouvellement renforcée à une zone de « risque acceptable », certes plus performante qu’avant. L’introduction des systèmes de freinage assistés de type ABS1 a ainsi amélioré la sécurité des voitures, mais ceux-ci ont rapidement induit une confiance plus grande dans les distances de freinage des véhicules, de sorte que les conducteurs ont exploité ces performances nouvelles et adopté des conduites plus risquées qu’avant leur apparition. Rappelons que les moyens de protection (chaussures de sécurité, protection des yeux et des mains en intervention d’urgence auprès de blessés) ne sont efficaces que s’ils sont utilisés, car la faille de sécurité n’est pas comblée par leur simple introduction. Les chemins pris pour réussir à motiver les opérateurs sont parfois tortueux : on dit souvent que Jacky Ickx a fait davantage pour le port de la ceinture de sécurité que toutes les campagnes de sécurité routière. Rappelons qu’en 1969, quand le départ des 24 Heures du Mans était donné, les pilotes tranversaient la piste en courant pour rejoindre leur voiture, sautaient au volant et partaient au plus vite. Ickx ne joue pas le jeu, marche vers sa voiture, boucle ostensiblement et soigneusement son harnais de sécurité avant de s’élancer bon dernier. Ce qui ne l’empêcha pas de remporter la victoire 24 heures plus tard.

Regard critique

La notion même de barrière correspond surtout à la vision linéaire de la genèse des accidents, où l’accident trouve sa cause dans la défaillance d’un élément dans une chaîne de relations de cause à effet. J’ai déjà souligné que cette vision était une simplification et cachait la complexité des systèmes adaptatifs, technico-sociaux, dans lesquels nous évoluons dans le monde des soins. Une propriété oubliée des barrières, quelles qu’elles soient, est d’accroître la complexité du système et d’y introduire de nouveaux couplages. Rendre le système plus complexe, c’est courir le risque de créer de nouvelles propriétés « émergentes », qui peuvent elles-mêmes être la source d’accidents (Encadré 2). Même l’installation d’une simple redondance (la duplication, ou « mirroring », en informatique par exemple, où les données sont stockées en double sur deux ou plusieurs serveurs distants interconnectés) diminue le risque (ici de la perte de données), mais accroît la difficulté que nous avons de nous construire une représentation claire du fonctionnement du système. À quel moment le système redondant « silencieux » doit-il prendre le relais, d’où lui viendra l’ordre de le faire, et est-on sûr qu’il démarrera normalement ? Il faut donc créer de toutes pièces un mécanisme supplémentaire avec ses règles et ses failles. Si, pour s’assurer de son fonctionnement, on confie au système redondant d’autres tâches pour épauler le système principal, il est possible qu’une défaillance grave de celui-ci passe inaperçue ou passe pour une simple dégradation des performances. Encore une fois, une très bonne idée, mais de nouvelles sources de complexité et d’émergence. Les vérifications en cours de processus ou le monitorage introduisent des boucles de contre-réaction qui insèrent de nouveaux couplages serrés. La mise en place de barrières visant à combattre un risque connu concourt donc à l’émergence de risques qui ne le sont pas.

Encadré 2 – Quand une précaution légitime crée un nouveau risque

Le vol 4U9525 de Germanwing au départ de Barcelone le 24 mars 2015 entame une descente programmée au pilote automatique jusqu’à cent pieds en conservant une vitesse maximum. Cette manipulation est réalisée à 9 heures 31 par le copilote qui profite d’une absence du pilote, lequel a quitté le cockpit pour se rendre aux toilettes et l’a laissé seul. Le copilote verrouille la porte du cockpit et refuse de l’ouvrir malgré les efforts du pilote et de l’équipage. L’enquête confirmera la nature suicidaire de son comportement. L’avion poursuit sa descente régulière jusqu’à l’impact dans les Alpes françaises à 9 heures 41 avec 144 passagers et six membres d’équipage. Il n’y a pas de survivant. À la suite des attentats de New York du 11 septembre 2001, le cockpit des avions est protégé de la cabine par une porte blindée dont l’ouverture est commandée par le pilote ou le copilote, qui disposent d’une caméra leur permettant d’identifier qui se trouve à l’extérieur. Le personnel navigant dispose d’un code d’accès, mais l’utilisation de ce code peut être inhibée à la discrétion des pilotes. Une directive interne de la compagnie Germanwing impose que l’inhibition de l’ouverture soit la solution « par défaut » du commutateur. Cette procédure, jointe à la suppression du troisième membre d’équipage sur quasiment tous les vols qui ne sont pas long-courriers, rend possible qu’un pilote ou un copilote reste seul et prenne le contrôle de l’appareil sans pouvoir être neutralisé. Depuis, une mesure réglementaire (ce n’est pas la barrière la plus efficace…) impose qu’à tout moment il y ait deux membres de l’équipage dans le cockpit.

Qualités des barrières

Quelles sont dès lors les qualités attendues des barrières [4] ? Les barrières doivent être aussi simples et compréhensibles que possible ; elles doivent couvrir de préférence un large éventail d’événements initiaux ; il faut prendre en compte les conflits qu’elles peuvent introduire avec les procédures en cours ; leur rôle d’obstacle « infranchissable » doit être apparent ; elles doivent incorporer des mécanismes de monitorage pour s’assurer de leur efficacité constante, malgré les indispensables actions humaines (faillibles par définition) relatives à leur conception et à leur maintenance. C’est surtout le cas pour les barrières symboliques ou incorporelles.

Même si Reason promeut la notion de défense en profondeur, il reste fort silencieux sur la manière dont les barrières doivent s’organiser et comment elles viennent à faillir. Une méthode d’analyse du risque comble cette lacune, le BowTie2 [5]. Cette méthode repose en effet essentiellement sur la description et sur l’évaluation des barrières mises en place sur le chemin d’une menace pour qu’elle ne devienne pas un accident, puis pour en éviter les conséquences ou les amoindrir. Elle combine certaines qualités des analyses a posteriori avec celles des analyses de risque. Dans le BowTie, la défense en profondeur est représentée par des barrières disposées en série sur le chemin entre la menace et l’événement redouté. Il est utile de les disposer dans l’ordre logique de leur intervention sur cette trajectoire : il est probable que les barrières qui interviennent plus précocement soient davantage susceptibles d’interrompre tôt la propagation de la défaillance (si on en reste au schéma linéaire de la chute des dominos), ou d’éviter que cette défaillance ait une gravité maximum [6].

Les barrières peuvent être imparfaites ou incomplètes, ou peuvent échouer pour une cause déterminée. Une alarme peut être débranchée par exemple, ce qui peut être combattu par de nouvelles barrières (ici la réactivation automatique de l’alarme). On parlera plutôt de « sauvegarde » dans ce cas, pour réserver le mot barrière aux obstacles placés sur la voie principale menant de la menace à l’événement.

Les barrières peuvent être passives : elles agissent alors généralement par leur simple présence physique. Elles peuvent être actives : on attend d’elles dans ce cas qu’elles partagent trois propriétés pour qu’elles puissent être considérées comme complètes : elles détectent le problème, elles décident ce qui doit être fait, et elles agissent. Une alarme par exemple n’accomplit que la première étape : une intervention humaine est nécessaire pour l’interpréter et savoir que faire, puis pour réaliser l’action nécessaire [5]. Les barrières actives sont rarement complètes, elles sont composées d’éléments qui prennent en charge une ou plusieurs des trois propriétés : tous les éléments doivent être présents en même temps (une alarme et la personne qui l’interprète et agit). Cela explique le fait que les barrières soient souvent hétérogènes. Selon les intervenants, on les classe en [5] :

• passive hardware : la barrière est uniquement technologique et agit par sa seule présence (une glissière de sécurité par exemple) ;
• active hardware : la barrière est technologique, mais prend en charge les trois propriétés (un capteur de pression, analysé par un circuit logique, qui ferme automatiquement une vanne si nécessaire) ;
• active hardware + human : un capteur de pression déclenche une alarme interprétée par l’opérateur qui ferme la vanne ;
• active human : l’acteur humain surveille, détecte et analyse la situation, il ferme une vanne (il peut y avoir un élément technique dans la chaîne, qui est à prédominance humaine) ;
• continuous hardware : la barrière technologique fonctionne en continu (un système de ventilation par exemple).

On attend au moins des barrières qu’elles soient efficaces, indépendantes et auditables [5]. Les sauvegardes sont des « barrières » qui ne répondent pas à ces critères, ou qui ne se trouvent par sur l’itinéraire entre la menace et l’accident (elles contrôlent un facteur de dégradation). La barrière est efficace si elle est capable à elle seule d’empêcher l’événement central de se produire, ou à défaut d’en intercepter les effets ou au minimum de les amoindrir. Formations, expertises et procédures ne correspondent pas à ces critères, et ne peuvent donc être invoquées que pour contrôler un éventuel facteur de dégradation.

La barrière est indépendante, en particulier de la menace qu’elle est censée contenir : un système destiné à prévenir une panne de courant doit être alimenté par une source d’énergie indépendante du circuit qu’il protège. En principe, les différentes barrières d’une défense en profondeur ne peuvent pas avoir un mode commun de défaillance (l’alimentation électrique par exemple), au moins une d’entre elles doit en être exempte. Cette règle est parfois difficile, voire impossible à satisfaire (par exemple quand on confie la maintenance des techniques à un seul sous-traitant, ou bien quand un même opérateur est responsable de l’activation de plusieurs barrières). Des événements récents ont démontré que des événements naturels dont la survenue avait été jugée improbable (les black swans – cygnes noirs) étaient susceptibles d’interrompre la fonction de plusieurs barrières d’un système de sécurité qui semblait bien conçu (telle l’inondation du site de Fukushima).

L’effet des barrières doit pouvoir faire l’objet d’audits. Elles doivent pouvoir être testées périodiquement du début (la détection) jusqu’à la fin (l’action). Les « sauvegardes » doivent aussi pouvoir être contrôlées (évaluation de la qualité d’un programme de formation, et de sa fréquentation par le personnel ciblé). Les barrières introduisent une complication : bien sûr, elles existent pour contrôler un risque, mais il est possible qu’elles en créent de nouveaux, qui doivent à leur tour être évalués [7,8].

Quelques barrières récemment introduites

Check-list

Les check-lists font partie de l’arsenal de la gestion de la sécurité dans l’industrie et dans l’aviation. Elles constituent une solution reconnue pour accomplir des tâches de vérification systématique dans des circonstances où les contraintes extérieures peuvent entraîner une situation de stress. Elles s’intègrent au crew resource management (CRM), la formation aux facteurs humains de l’aéronautique. Elles comprennent la vérification systématique de la bonne exécution d’un processus à des moments clés et de la réunion des éléments nécessaires à sa poursuite. Comme l’ensemble des techniques issues de l’aviation, les check-lists s’exportent vers le monde médical dans les années 2000. Les premières mentions explicites apparaissent en chirurgie : le concept tente tôt les anesthésistes, inquiets de la sécurité de leur pratique [9]. Il trouve en Pronovost un thuriféraire obstiné qui les introduit comme outil universel, notamment dans sa propre spécialité, les soins intensifs [10]. Il faut admettre que recommander leur usage est du domaine de la réflexion intellectuelle et du bon sens, mais il a fallu attendre longtemps avant qu’une check-list simple démontre en salle d’opération qu’elle était capable à elle seule de diminuer significativement la mortalité et la morbidité opératoire et post-opératoire [11]. Cette check-list, développée par l’Organisation mondiale de la santé (OMS) dans le cadre de la campagne mondiale Safe surgery saves lives,3 comporte des questions qui doivent être posées à haute voix avant le début de l’intervention, avant l’induction de l’anesthésie, avant l’incision, et enfin à la clôture de l’intervention. Elle garantit que l’on ne se trompe ni de patient ni de site, que les allergies sont connues, que les événements prévisibles (perte de sang) ont leur solution prête, que les membres de l’équipe se connaissent, que les prélèvements réalisés sont acheminés et que les directives post-opératoires sont clairement transmises. Plusieurs études, et en particulier les enquêtes réalisées en Belgique par le service public fédéral (SPF) qui relaie et soutient l’initiative de l’OMS, montrent une résistance du personnel (surtout des chirurgiens) devant certains items de la check-list, jugés inutiles et source de perte de temps [12]. Tant le SPF Santé publique que la Haute Autorité de santé en France reconnaissent que, pour être adoptée, la check-list doit être adaptée aux conditions locales. Beaucoup d’équipes, dans leur adaptation de la check-list, ont supprimé les items nécessitant une communication à haute voix, positive et claire [13]. Les enquêtes du SPF de 2013 et de 2016 étaient préoccupantes à cet égard [14]. Ces modifications méconnaissent l’importance de ce type de communication dans le fonctionnement d’une équipe [15].

Du point de vue de l’evidence based medicine (EBM) ou médecine basée sur la preuve, le statut de la check-list chirurgicale reste flou : il existe peu d’études contrôlées mesurant l’effet des check-lists sur la sécurité des patients qui soit complète et sans biais. L’efficacité de la check-list est en tout cas limitée, quand bien même elle est présente [16]. Par ailleurs, les check-lists peuvent être considérées comme un moyen de promouvoir et de propager des procédures qui satisfont à l’EBM. On peut en attendre une meilleure adhésion à des attitudes systématiques, caractéristiques d’une culture de sécurité. Mais là encore les études existantes sont rares et leurs conclusions mitigées [17]. L’étude princeps de Haynes, publiée en 2009, a emporté l’adhésion des professionnels du bloc opératoire : elle faisait état d’une diminution significative de la mortalité (de 1,5% à 0,8%) et de la survenue de complications post-opératoires (de 11% à 7%) dans une population de 3 955 patients opérés dans huit hôpitaux de par le monde après un programme de promotion de la check-list et son instauration. Ces hôpitaux n’ont toutefois pas alimenté l’étude avec le même nombre de patients, et il existe un flou quant au mode de sélection des patients tant pendant la période témoin qu’après l’instauration de la check-list. Si on n’analyse que les hôpitaux situés dans des pays à « hauts revenus », l’amélioration de la mortalité (de 0,9% à 0,6%) cesse d’être significative, en revanche, celle de la diminution de complication (de 10,3% à 7,1%) le reste. Les années qui ont suivi ont vu paraître un grand nombre d’études et de revues systématiques qui ont en général montré des améliorations marginales, rarement significatives, dans des schémas d’études prêtant le flanc à la critique. Ces études comparent la situation avant l’instauration de la check-list à ce qui se passe après celle-ci. Est-on bien sûr que, dans cette fenêtre de temps déjà longue, le seul changement qui ait eu lieu soit l’instauration d’une check-list ? Et est-on bien sûr que cette fenêtre, bien courte par contre pour cela, mesure l’effet à long terme des bienfaits de la check-list ? On sait par exemple que des protocoles de standardisation des transferts de patients sont parfaitement exécutés pendant la fenêtre de l’étude mais que, deux ans plus tard, les infirmières qui y ont été formées font davantage confiance à leur expérience qu’au protocole, et que les infirmières fraîchement arrivées ignorent tout de celui-ci [18].

Deux études sortent du lot pour des raisons différentes. La première est canadienne et compare les chiffres en Ontario avant et après l’introduction de la check-list dans les hôpitaux [19]. Son intérêt n’est pas tant qu’elle ne décèle aucune utilité à la check-list mais qu’elle décrypte le pourquoi de cette absence d’effet. Ni la mortalité (de 0,71% à 0,65%) ni les complications (de 3,86% à 3,82%) n’évoluent significativement. L’échantillon est vaste : 109 341 interventions avant la check-list, 106 370 après. Deux faiblesses ont été soulignées. La première porte sur la population étudiée : l’échantillon comporte beaucoup d’interventions à faible risque donc le taux de complications est « anormalement » bas dans les deux bras de l’étude ; comme souvent, le niveau d’observance de la check-list n’est pas mesuré. La seconde surtout porte sur la manière dont la check-list a été imposée aux hôpitaux en Ontario. Ce fut une imposition très « administrative », top-down, sans programme de formation et de motivation. La conclusion qui doit être retenue est que, sans ce support, sans cette politique d’éducation concertée du public cible et sans la volonté et la motivation des acteurs, il ne faut pas attendre de résultat spectaculaire de l’imposition d’une check-list. La seconde étude est intéressante et importante car elle répond aux canons méthodologiques des études interventionnelles : elle semble « irréprochable » [20]. Elle est menée dans deux hôpitaux en Norvège et enrôle un peu plus de 2 000 interventions tant dans les périodes « témoin » que dans les périodes « avec check-list ». Le taux de complications décroît significativement avec la check-list (de 19,9% à 11,5%) et la durée de séjour diminue de 0,8 jour mais, si la mortalité baisse significativement (de 1,9% à 0,2%) dans un des deux hôpitaux, cette baisse (de 1,6% à 1%) cesse d’être significative quand on globalise les chiffres des deux hôpitaux.

Des articles récents confirment que des plans visant à diminuer la mortalité péri-opératoire en incluant la check-list atteignent bel et bien leur but. C’est le cas du Scottish Patient Safety Program lancé entre 2008 et 2010. Il s’est accompagné d’une baisse de la mortalité particulièrement rapide [21]. Si les auteurs mettent l’effet de la check-list en avant, ils soulignent l’importance de l’inclure, comme cela a été réalisé en Écosse, dans un programme d’intervention plus large. D’autres soulignent que cette chute de la mortalité après chirurgie est observée partout quoiqu’à des rythmes différents selon la spécialité, et que l’apparition de la check-list n’a pas eu d’effet observable sur le rythme de cette diminution [22]. La plupart des études « avant/après » s’inscrivent dans une durée prolongée pour enrôler suffisamment de patients et ne peuvent exclure cet effet purement temporel. Rares sont celles qui s’affranchissent de cet effet au prix d’une méthodologie plus lourde [20].

Nous ne disposons malheureusement que de trop peu d’études publiées qui incluent des mesures de l’application de la check-list, de sorte que le lien entre son efficacité à réduire les événements indésirables et le remplissage effectif des différents items ne peut être affirmé [23,24]. Beaucoup d’auteurs soulignent la nuance qui peut exister entre le « remplissage d’une check-list », geste administratif, et sa réalisation dans un esprit positif. La manière dont la check-list est promue et intégrée au processus opératoire et les méthodes de formation des utilisateurs sont capitales mais trop rarement décrites et soulignées [25]. Des auteurs proposent des outils de formation (coaching) et d’évaluation à utiliser au sein des équipes chirurgicales, et en démontrent la plus-value [26]. Ces instruments ne mesurent pas seulement l’application systématique de la check-list, mais évaluent la manière dont les choses se passent effectivement en salle d’opération. La qualité du travail en équipe est évaluée par un deuxième outil. Des conclusions quant à l’effet de la qualité de la mise en place de la check-list sur la qualité du travail en équipe peuvent dès lors être tirées. Ces outils sont validés : ils dépendent peu de l’observateur et ils permettent de proposer des actions pour améliorer l’utilisation de la check-list par les équipes soignantes, en demandant aux équipes de s’observer mutuellement. L’effet de la check-list va plus loin que les paramètres de sécurité traditionnellement mesurables auprès des patients : elle encourage et améliore des compétences « non techniques » telles que la communication interpersonnelle, la conscience situationnelle et le travail en équipe.

Une réflexion intéressante pousse à s’intéresser davantage aux « résultats heureux » et à en mesurer l’évolution plutôt que ne se concentrer que sur les rares événements indésirables. Les presque accidents sont des événements indésirables qui n’ont pas eu de conséquences parce qu’ils ont été interceptés à temps. Ils sont plus nombreux que les « vrais » accidents, ils sont donc un indicateur plus sensible et se prêtent mieux à une étude sans risque de biais de rétrospection. Plutôt que dénombrer les décès ou les prolongations de séjour, il est plus motivant pour les équipes de dénombrer et de publier largement les problèmes que l’utilisation de la check-list a décelés avant qu’ils n’aient eu de conséquence [27]. Cette attitude se rapproche de la notion de « Safety-II4 » où l’on s’applique surtout à tirer des leçons de la multitude de cas où tout se passe bien, malgré des conditions de travail qui changent parfois drastiquement, plutôt que se focaliser sur les rares échecs [28].

Une dernière remarque porte sur la structure de la check-list de l’OMS. Rappelons que les check-lists utilisées dans l’aviation sont nombreuses, très spécifiques à une situation donnée et surtout très courtes. Les questions appellent des réponses brèves et binaires (oui/non), ou factuelles et sans interprétation possible (« le plein a été fait, il y a x litres dans les réservoirs »). La check-list de l’OMS comporte bien des questions à réponse binaire, avec éventuellement la possibilité d’un commentaire factuel (« l’identité du patient a été vérifiée. Nous sommes devant M. X »), mais aussi des questions à réponse non structurée, sur les problèmes à redouter, les problèmes techniques éventuellement rencontrés. La qualité des réponses à ces questions dépend forcément de la bonne volonté de la personne concernée et de sa motivation à participer, mais aussi de son talent à s’exprimer. Un effort de structuration des réponses au sein des blocs opératoires aiderait les hésitants [29].

Un large consensus existe pour souligner l’intérêt de la check-list, même si l’étude définitivement convaincante de son utilité pour la survie des patients se fait toujours attendre. Les bienfaits sur le fonctionnement des équipes sont eux bien démontrés [30]. La plupart des études ne détaillent pas la ou les check-lists utilisées : des items sont supprimés, mais d’autres sont ajoutés (il y a jusqu’à 74 items dans des check-lists utilisées en Suisse contre 22 dans celle de l’OMS) [31]. Il est permis de se demander s’il est licite de comparer les effets de check-lists différentes, et jusqu’à quel point les adaptations réalisées respectent encore le contenu et l’esprit de la check-list originale [32].

Care bundle (bouquet de soins)

Dernière en date des variations sur la méthode procédurale, le bundle, ou bouquet (de soins), repose sur la constatation que les événements indésirables, et en particulier les infections acquises à l’hôpital, ont des causes et des mécanismes multiples. Des études contrôlées sérieuses, s’attaquant à une cause à la fois, existent et décrivent des interventions dont certaines sont probantes isolément. La logique du bundle est de choisir parmi ces interventions celles qui paraissent fondées, qui sont aisément réalisables compte tenu des moyens du service ou de l’hôpital et de sa culture, et d’en promouvoir l’usage. Notons que le choix des composants du bundle peut parfaitement être vu sous un angle bottom-up et discuté dans le service, et non imposé par une autorité académique. Le fait intéressant est que, à partir du moment où le choix est fait, ce qui est poursuivi et mesuré, c’est l’observance parfaite du bundle, partout et tout le temps. À partir du moment où un bundle a prouvé son efficacité à réduire un taux d’infection, par exemple, ce n’est plus ce taux d’infection qui est l’indicateur suivi, mais l’adhésion à la procédure. Cette vision rencontre parfaitement la critique faite par beaucoup de tenants de l’EBM à l’encontre de qualiticiens accordant une prééminence aux indicateurs de résultats sur ceux de processus et de structure, suivant en cela Donabedian [33]. S’il a fallu inclure des milliers de patients dans une étude multicentrique pour démontrer le rôle d’anti-agrégants plaquettaires dans la prévention secondaire de l’infarctus, ce qui compte à l’échelle d’un service c’est de prescrire l’aspirine : ce n’est pas avec une centaine de patients par an que l’on décèlera des variations significatives de leur mortalité [34]. Donc, s’il existe une caution de type EBM, l’« indicateur de processus » devient, de fait l’objectif à atteindre, un « indicateur de résultat ».

C’est dans le domaine de la prévention des complications infectieuses que les bundles ont surtout été développés et spécialement dans le « microsystème » des soins intensifs, particulièrement sensible au problème des infections acquises à l’hôpital [35]. Un premier objectif est la prévention des pneumopathies acquises au respirateur ou ventilator-associated pneumopathy (VAP), pour laquelle divers bundles ont été décrits aux États-Unis et en Europe [36,37,38]. Un modèle belge a été développé avec la collaboration du Collège de médecins pour la fonction des soins intensifs et est à la base d’un projet financé par le SPF Santé publique [39]. Il comprend des soins de bouche à la chlorhexidine, le maintien d’une position semi-assise à trente degrés au moins, le contrôle de la pression du ballonnet du tube et une interruption quotidienne de la sédation. L’utilisation de tubes endotrachéaux permettant l’aspiration sous-glottique est encouragée, mais pas imposée. Le respect de ces mesures est vérifié à chacune des trois pauses quotidiennes. Un outil simple permet d’éditer une affiche reprenant l’historique de ce respect et les nouveaux cas de VAP diagnostiqués, qui procure aux équipes un feed-back immédiat, à la fréquence que l’équipe désire. Curieusement, cette initiative reste essentiellement une expérience locale aux soins intensifs. Quand elle est partagée, elle l’est plus souvent avec les responsables de la sécurité des patients qu’avec l’équipe d’hygiène. Des bundles ont également été développés pour s’attaquer aux septicémies sur cathéters veineux centraux [40,41], aux infections sur cathéters urinaires [42], et aux infections de plaie après chirurgie cardiaque ou orthopédique [43].

Une mise en garde doit cependant être émise : même si des interventions isolées recueillent des cotations « EBM » de niveau de preuve maximales, les regrouper peut donner lieu à des résultats décevants : un bundle groupant quatre interventions dont l’efficacité individuelle est démontrée dans le traitement des pneumonies infectieuses acquises hors de l’hôpital (dépistage et traitement des malnutritions, mobilisation précoce, passage aussitôt que possible de la voie intraveineuse à l’antibiothérapie per os et ajout de glucocorticoïdes) n’en améliore pas le pronostic (mortalité, durée d’hospitalisation et réadmissions). Les hémorragies digestives sont rares, mais plus fréquentes dans le groupe « bundle » (2,2% contre 0,7%) [44]. Il est donc indispensable de tester ces bundles en situation réelle avant de les promouvoir. La difficulté d’identifier dans un bundle l’intervention qui serait « la plus utile », voire celle qui pourrait être économisée, limite la rationalité qu’il y a à laisser les équipes composer leur propre bundle en se soustrayant à l’obligation de prouver qu’il est effectivement efficace.

Un autre aspect mérite d’être souligné. Les bundles sont un moyen parmi d’autres d’améliorer les soins aux patients. Le bundle comprend bien sûr un ensemble d’interventions dévolues au médecin, mais bien plus souvent au personnel infirmier. Il comprend en outre l’enregistrement quotidien de l’application des éléments du bundle, habituellement confié à la même équipe infirmière, qui peut très vite être débordée par des tâches administratives d’audit si on multiplie les bundles dans un même service [45,46]. Une tendance générale est de faire de la barrière un obstacle entre la cause et son effet redouté. Cette tendance perpétue notre schéma linéaire traditionnel, et lie la conception de la barrière à des procédures de recherche des causes racines. Cette focalisation peut faire passer à côté de solutions plus organisationnelles (double vérification par exemple) qui consisteraient davantage à détecter les déviations à la norme qu’à rechercher leurs causes de façon obsessionnelle [47]. Le BowTie s’intéresse aux menaces plutôt qu’aux causes, ce qui fait son intérêt.

Notes :