Quand l'échec n'est pas une option

Le succès est beaucoup plus difficile à analyser que l'échec. Lorsque les choses tournent mal dans une usine chimique ou un programme spatial, il est généralement possible d'en déterminer les causes et de résoudre ce problème à l'avenir. Mais quand les choses vont bien, il est difficile de savoir pourquoi. Quels facteurs étaient importants pour le succès, et lesquels ne l'étaient pas ? Le succès était-il dû à l'habileté ou simplement à la chance ? Si nous devons apprendre à gérer les technologies dangereuses, notre meilleur pari est de rechercher des organisations qui gèrent les risques avec succès et de voir comment elles le font.

C'est l'objectif du projet d'organisation de haute fiabilité de l'Université de Californie à Berkeley. Depuis plus d'une décennie, Todd La Porte, Karlene Roberts et Gene Rochlin étudient des groupes qui semblent faire l'impossible : faire fonctionner des systèmes technologiques hautement complexes et dangereux essentiellement sans erreur. Le système de contrôle du trafic aérien américain, par exemple, gère des dizaines de milliers de vols par jour à travers le pays. Les contrôleurs aériens sont chargés non seulement de chorégraphier les décollages et atterrissages de dizaines ou centaines de vols par heure dans les aéroports mais aussi d'orienter les trajectoires de vol des avions afin que chacun garde une distance sécuritaire les uns des autres. Le succès est sans équivoque : depuis plus d'une décennie aucun des avions surveillés sur les écrans radar des contrôleurs n'est entré en collision avec un autre. Pourtant, la danse complexe des avions qui approchent et quittent les aéroports, se croisant les uns les autres à plusieurs centaines de kilomètres à l'heure, crée de nombreuses possibilités d'erreur. Ce record de sécurité n'est pas dû à une très bonne chance, concluent les trois chercheurs de Berkeley, mais au fait que l'institution a appris à gérer efficacement une technologie complexe et dangereuse.

Cette histoire faisait partie de notre numéro de juillet 1997

• Voir le reste du numéro
• S'abonner

Les organisations les plus impressionnantes qu'ils ont étudiées sont peut-être les porte-avions nucléaires de la marine américaine. Bien qu'il soit impossible pour quiconque n'a pas travaillé sur un tel navire de vraiment comprendre la complexité, le stress et les dangers de ses opérations, cette description faite par un officier de transport aux chercheurs de Berkeley en offre un avant-goût :

Alors vous voulez comprendre un porte-avions ? Eh bien, imaginez que c'est une journée chargée et que vous réduisez l'aéroport de San Francisco à une seule piste courte et une seule rampe et porte. Faire décoller et atterrir les avions en même temps, à la moitié de l'intervalle de temps actuel, secouer la piste d'un côté à l'autre, et exiger que tous ceux qui partent le matin reviennent le même jour. Ensuite, éteignez le radar pour éviter d'être détecté, imposez des contrôles stricts aux radios, faites le plein d'avions avec leurs moteurs en marche, mettez un ennemi dans les airs et dispersez des bombes et des roquettes réelles. Maintenant, mouillez le tout avec de l'eau salée et de l'huile, et installez-vous avec des jeunes de 20 ans, dont la moitié n'ont jamais vu un avion de près. Oh, et au fait, essaie de ne tuer personne.

Un porte-avions de classe Nimitz pilote quatre-vingt-dix avions de sept types différents. Ces avions n'ont que plusieurs centaines de pieds pour décoller et atterrir au lieu du mile ou plus disponible dans les aéroports commerciaux, ils ont donc besoin d'aide. Au décollage, les avions sont catapultés par des lance-pierres à vapeur qui les accélèrent de l'arrêt à 140 nœuds (160 milles à l'heure) en un peu plus de deux secondes. Au fur et à mesure que chaque avion est mis en place sur la catapulte à vapeur, les membres d'équipage la vérifient une dernière fois pour s'assurer que les gouvernes fonctionnent et qu'aucune fuite de carburant ou autre problème n'est visible. L'officier de catapulte règle la pression de vapeur pour chaque lancement en fonction du poids de l'avion et des conditions de vent. L'espacement des lancements - toutes les 50 secondes environ - ne laisse aucune place aux erreurs.

Mais c'est la récupération des avions qui est vraiment impressionnante. Ils s'approchent du pont d'envol à 120 à 130 nœuds avec un crochet de queue suspendu pour attraper l'un des quatre fils d'arrêt tendus sur le pont. À l'approche d'un avion, le pilote communique par radio son niveau de carburant. Avec ces informations, les responsables du train d'arrêt calculent le poids de l'avion et calculent le bon réglage des machines de freinage du train d'arrêt. Si la pression est réglée trop bas, l'avion peut ne pas s'arrêter assez tôt et ainsi basculer l'extrémité du pont dans la mer. Si le fil est trop tendu, il pourrait retirer le crochet de la queue ou bien se casser et se déchaîner sur le pont, blessant ou tuant toute personne sur son passage. La pression pour chacun des quatre fils est réglée individuellement par un seul matelot.

Pendant ce temps, les officiers des transmissions d'atterrissage surveillent l'approche de l'avion, informant le pilote et ensuite, si tout semble correct, l'atterrissage est correct. Juste au moment où l'avion atterrit, le pilote lui donne les pleins gaz de sorte que si le crochet ne s'accroche pas, l'avion ira assez vite pour décoller et revenir. Si le crochet attrape un fil, l'avion s'immobilise en deux secondes et à 300 pieds environ. Dès que l'avion est au sol et à l'arrêt, des chemises jaunes s'y précipitent pour vérifier le crochet et éloigner l'avion du prochain. Alors que les fils d'arrêt sont retirés, d'autres membres d'équipage vérifient qu'ils ne sont pas effilochés. Puis tout recommence. Le cycle a duré environ 60 secondes.

Le lancement et la récupération ne sont qu'une partie d'un processus beaucoup plus vaste comprenant la maintenance, le ravitaillement et l'armement, ainsi que la manœuvre et le stationnement des avions sur un pont bondé. Ce qui rend le processus vraiment étonnant, c'est qu'il ne se fait pas avec des gens qui travaillent ensemble depuis des années mais avec une équipe qui se renouvelle régulièrement. Comme l'a observé l'écrivain John Pfeiffer, le capitaine ne sera à bord que trois ans, les 20 officiers supérieurs pendant environ deux ans et demi ; la plupart des plus de 5 000 hommes et femmes enrôlés quitteront la Marine ou seront transférés après leurs trois ans de carrière. De plus, il s'agit majoritairement d'adolescents, si bien que la moyenne d'âge à bord d'un porte-avions est de 20 ans.

Quelle sorte d'organisation peut fonctionner de manière aussi fiable avec de tels handicaps ? La Porte, Roberts et Rochlin ont passé beaucoup de temps sur plusieurs porte-avions à la fois au port et en mer, pendant l'entraînement et en service actif, et ils croient comprendre au moins une partie de la réponse.

À première vue, un porte-avions semble être organisé selon des lignes hiérarchiques traditionnelles, l'autorité allant du capitaine aux rangs selon un modèle clairement défini. Et en effet, une grande partie de l'exploitation quotidienne du navire se déroule de cette façon, avec une discipline plutôt stricte. D'épais manuels de procédures opérationnelles normalisées régissent ce processus, et une grande partie de la formation de la marine est consacrée à en faire une seconde nature. Ces procédures codifient les enseignements tirés d'années d'expérience. Mais, comme l'ont découvert les chercheurs de Berkeley, la vie intérieure du porteur est beaucoup plus compliquée.

Lorsque les choses s'échauffent, comme lors du lancement et de la récupération des avions, la structure organisationnelle passe à une autre vitesse. Désormais, les membres d'équipage interagissent beaucoup plus en tant que collègues et moins en tant que supérieurs et subordonnés. La coopération et la communication deviennent plus importantes que les ordres transmis le long de la chaîne de commandement et les informations transmises. Avec un avion décollant ou atterrissant une fois par minute, les événements peuvent se produire trop rapidement pour des instructions ou des autorisations d'en haut. Les membres d'équipage agissent en équipe, chacun surveillant ce que font les autres et tous communiquent constamment par téléphone, radio, signaux manuels et détails écrits. Ce flux constant d'informations permet de signaler les erreurs avant qu'elles n'aient causé des dommages. Le personnel expérimenté surveille en permanence l'action, écoute tout ce qui ne convient pas et corrige une erreur avant qu'elle ne cause des problèmes.

Un troisième niveau de structure organisationnelle est réservé aux urgences, comme un incendie dans le poste de pilotage. L'équipage du navire a soigneusement préparé les procédures à suivre dans de tels cas, chaque membre assumant un rôle préassigné. En cas d'urgence, l'équipage peut réagir immédiatement et efficacement sans instruction.

Cette structure organisationnelle à plusieurs niveaux exige beaucoup plus de l'équipage qu'une hiérarchie traditionnelle, où suivre les ordres est le chemin le plus sûr et où les subalternes ne sont pas encouragés à penser par eux-mêmes. Ici, le bien-être du navire et de l'équipage est la responsabilité de tous. Comme le notent les chercheurs de Berkeley, même la note la plus basse sur le pont a non seulement le pouvoir, mais l'obligation de suspendre immédiatement les opérations de vol, dans les circonstances appropriées et sans d'abord l'accorder à ses supérieurs. Bien que son jugement puisse être revu ou même critiqué par la suite, il ne sera pas pénalisé pour avoir tort et sera souvent félicité publiquement s'il a raison.

L'implication de tous, combinée au roulement constant des officiers et de l'équipage, aide également la Marine à éviter que de telles opérations ne deviennent routinières et ennuyeuses. En raison des allées et venues régulières du personnel, les personnes à bord du navire acquièrent constamment de nouvelles compétences et enseignent ce qu'elles ont appris aux autres. Et bien qu'une partie de l'apprentissage soit simplement la mémorisation par cœur des procédures opérationnelles standard, les chercheurs de Berkeley ont trouvé une recherche constante de meilleures façons de faire les choses. De jeunes officiers embarquent avec de nouvelles idées et se retrouvent à débattre avec les sous-officiers supérieurs qui sont à bord du navire depuis des années et savent ce qui fonctionne. La collision d'approches nouvelles, parfois naïves, avec une mémoire institutionnelle conservatrice produit une tension créative qui empêche la sécurité et la fiabilité de dégénérer en un respect mécanique des règles.

La Marine a réussi à équilibrer les leçons du passé avec une ouverture au changement et à créer une organisation qui a la stabilité et la prévisibilité d'une hiérarchie bien gérée, mais qui peut être flexible si nécessaire. Le résultat est une capacité à opérer près du bord, poussant à la fois les personnes et les machines à leurs limites tout en restant remarquablement sûres.

Aucun défaut de communication

Bien sûr, un porte-avions est une situation unique, et il n'y a aucune raison de penser que ce qui y fonctionne serait efficace dans un cadre commercial avec des employés civils. Mais lorsque le projet de Berkeley a examiné un type complètement différent d'organisation à haute fiabilité, les chercheurs ont suivi son succès en fonction d'un ensemble de principes similaire.

La centrale nucléaire de Diablo Canyon, exploitée par Pacific Gas & Electric, se trouve juste à l'ouest de San Luis Obispo, en Californie, sur la côte Pacifique. Bien que sa construction ait fait l'objet de controverses et ait finalement duré 17 ans et coûté 5,8 milliards de dollars, l'usine s'est de toute évidence avérée être l'une des mieux gérées et des plus sûres du pays depuis son ouverture en 1985.

Comme les porte-avions, Diablo Canyon semble d'abord être une hiérarchie dirigée de manière rigide, avec une chaîne de commandement formelle menant à un directeur d'usine qui est également vice-président de Pacific Gas & Electric. Et il a une épaisse tour de pile, de vrais règlements indiquant aux employés comment faire leur travail. C'est ce que veulent les régulateurs. Depuis Three Mile Island, la Nuclear Regulatory Commission a tenté d'assurer la sécurité en insistant pour que les centrales nucléaires suivent un ensemble de règles encore plus détaillées. Les usines sont classées en fonction du nombre de fois où elles enfreignent les règlements, et une série d'infractions entraînera une surveillance plus étroite de la part de la NRC et des amendes qui, dans les cas graves, peuvent atteindre des centaines de milliers de dollars.

Mais Paul Schulman, politologue au Mills College d'Oakland qui a collaboré avec La Porte, Roberts et Rochlin, a découvert que Diablo Canyon a un autre côté, un côté plus actif, approfondi et apprenant. Malgré la hiérarchie et la réglementation, l'organisation est en constante évolution, remettant en cause les pratiques acceptées et cherchant des moyens de mieux faire les choses. Ce n'est pas le même genre de changement que l'on trouve sur les porte-avions, où le roulement constant du personnel crée un cycle d'apprentissage des mêmes choses encore et encore plus une amélioration progressive de la technique. Diablo Canyon maintient un groupe relativement stable d'employés qui connaissent bien leur travail. Néanmoins, la centrale nucléaire est aussi dynamique que le transporteur.

La raison, dit Schulman, est que la centrale a cultivé une culture institutionnelle enracinée dans la conviction que les centrales nucléaires vous surprendront toujours. Le résultat est deux ensembles de procédures de prise de décision à l'usine. La première, et la plus visible, consiste en des règles bien établies sur ce qu'il faut faire dans une situation particulière. Certaines sont effectuées par ordinateur, d'autres par des personnes. En général, dit Schulman, cet ensemble de règles est conçu pour se prémunir contre les erreurs d'omission - les personnes ne faisant pas ce qu'elles devraient.

Mais les employés de Diablo Canyon travaillent également dur pour éviter les erreurs d'actions de commission qui ont des conséquences inattendues. Parce qu'une centrale nucléaire est si complexe, les employés doivent constamment réfléchir à ce qu'ils font pour éviter que le système ne fasse quelque chose d'inattendu et éventuellement de dangereux.

Cela signifie que bien que l'usine ajoute constamment à ses procédures standard à mesure que les gens en apprennent davantage sur les bonnes approches et repèrent de nouvelles façons dont les choses pourraient mal tourner, personne ne pense que l'organisation sera jamais en mesure de tout noter dans un livre. Ainsi, la direction de l'usine choisit les employés en partie sur la base de leur capacité à s'intégrer dans une culture aussi flexible et axée sur l'apprentissage. L'employé le moins désirable, rapporte Schulman, est celui qui est trop confiant ou têtu.

Ce type d'apprentissage et d'amélioration continus ne serait pas possible si l'organisation de Diablo Canyon était strictement hiérarchique. Les hiérarchies peuvent fonctionner pour des systèmes qui sont décomposables, c'est-à-dire qui peuvent être divisés en unités autonomes, mais une centrale nucléaire est, par nature, étroitement couplée. Une modification des générateurs de vapeur peut avoir des implications pour le réacteur, ou un changement dans les procédures de maintenance peut affecter la façon dont le système répond aux opérateurs humains. En raison de cette interdépendance, les différents services de l'usine doivent communiquer et coopérer directement entre eux, et non par des canaux bureaucratiques.

Apprentissage constant : les bénédictions de l'ambiguïté

Les membres du projet Berkeley ont étudié non seulement les porte-avions et les centrales nucléaires, mais aussi les systèmes de contrôle du trafic aérien et le fonctionnement des grands réseaux électriques, et ils détectent un modèle.

Une structure organisationnelle en couches, par exemple, semble être la base de l'efficacité de ces institutions. Selon les exigences de la situation, les gens s'organiseront selon différents modèles. C'est assez surprenant pour les théoriciens de l'organisation, qui ont généralement cru que les organisations n'assument qu'une seule structure. Certains groupes sont bureaucratiques et hiérarchiques, d'autres professionnels et collégiaux, d'autres encore sont d'intervention d'urgence, mais la théorie de la gestion n'a pas de place pour une organisation qui bascule entre eux selon la situation.

La prise de conscience de l'existence de telles organisations ouvre une toute nouvelle série de questions : comment de telles organisations à plusieurs niveaux sont-elles mises en place en premier lieu ? Et comment les membres savent-ils quand il est temps de passer d'un mode de comportement à un autre ? Mais la découverte de ces organisations peut aussi avoir des implications pratiques. Bien que La Porte prévienne que le travail de son groupe est descriptif et non prescriptif, la recherche peut quand même offrir quelques pistes pour éviter les accidents avec d'autres technologies complexes et dangereuses.

En particulier, les organisations à haute fiabilité semblent fournir un contre-exemple à l'argument du sociologue de Yale Charles Perrow selon lequel certaines technologies, de par leur nature même, posent des contradictions inhérentes aux organisations qui les dirigent. Concernant les technologies telles que l'énergie nucléaire et les usines chimiques, Perrow écrit : En raison de la complexité, il vaut mieux les décentralisées ; en raison du couplage étroit, ils sont mieux centralisés. Bien qu'un certain mélange puisse être possible, et soit parfois essayé (gérer de petites tâches par vous-même, mais exécuter des ordres d'en haut pour des questions sérieuses), cela semble être difficile pour les systèmes qui sont raisonnablement complexes et étroitement couplés, et peut-être impossible pour ceux qui sont très complexes et étroitement couplés. Mais à en croire Diablo Canyon et les porte-avions, un tel exploit n'est pas du tout impossible. Ces organisations montrent que les opérations peuvent être à la fois centralisées et décentralisées, hiérarchiques et collégiales, régies par des règles et centrées sur l'apprentissage.

Outre la structure en couches, les organisations à haute fiabilité mettent l'accent sur une communication constante bien au-delà de ce qui serait considéré comme utile dans les organisations normales. Le but est simple : éviter les erreurs. Sur un pont d'envol, tout le monde annonce ce qui se passe au moment où cela se produit pour augmenter la probabilité que quelqu'un remarque - et réagisse - si les choses commencent à mal tourner. Dans un centre de contrôle aérien, bien qu'un opérateur soit chargé de contrôler et de communiquer avec certains aéronefs, il reçoit l'aide d'un assistant et, en période de pointe, d'un ou deux autres contrôleurs. Les contrôleurs surveillent constamment les uns les autres, recherchant des signes de problème, échangent des conseils et proposent des suggestions sur la meilleure façon d'acheminer le trafic.

La mauvaise communication et l'incompréhension, souvent dans le contexte d'une chaîne de commandement stricte, ont joué un rôle de premier plan dans de nombreuses catastrophes technologiques. L'accident de Challenger en était un, les niveaux de l'organisation de la navette spatiale communiquant principalement par des canaux formels, de sorte que les préoccupations des ingénieurs n'atteignaient jamais la direction. Le crash en 1982 d'un Boeing 737 lors du décollage de l'aéroport national de Washington, qui a fait 78 morts, en était un autre. Le copilote avait averti le commandant de bord d'éventuels problèmes à plusieurs reprises - les conditions glaciales provoquaient de fausses lectures sur une jauge de poussée des moteurs - mais le copilote n'avait pas parlé avec assez de force et le pilote l'a ignoré. L'avion s'est écrasé sur un pont sur la rivière Potomac.

Lorsqu'un 747 piloté par la compagnie aérienne néerlandaise KLM est entré en collision avec un Pan Am 747 sur une piste de l'aéroport de Ténérife dans les îles Canaries en 1977, tuant 583 personnes, une enquête après l'accident a révélé que le jeune copilote pensait que le pilote principal avait mal compris les position, mais a supposé que le pilote savait ce qu'il faisait et s'est donc ressaisi. Et l'accident de Bhopal, dans lequel des milliers de personnes sont mortes lorsqu'une explosion dans une usine d'insecticides a libéré un nuage de gaz mortel d'isocyanate de méthyle, n'aurait jamais eu lieu s'il y avait eu une communication entre les opérateurs de l'usine, qui ont commencé à rincer les tuyaux avec de l'eau, et le personnel de maintenance, qui n'avait pas inséré de disque métallique dans la vanne pour empêcher l'eau d'entrer en contact avec l'isocyanate de méthyle dans une autre partie de l'usine.

Outre la communication, les organisations hautement fiables mettent également l'accent sur l'apprentissage actif : les employés savent non seulement pourquoi les procédures sont écrites telles qu'elles sont, mais peuvent les remettre en question et rechercher des moyens de les améliorer. Le but derrière cet apprentissage n'est pas tant d'améliorer la sécurité - bien que cela arrive souvent - mais d'empêcher l'organisation de régresser. Une fois que les gens commencent à tout faire selon les règles, les opérations s'effondrent rapidement. Les travailleurs se désintéressent et s'ennuient : ils oublient ou n'apprennent jamais pourquoi l'organisation fait les choses d'une certaine manière ; et ils commencent à se sentir plus comme des rouages ​​dans une machine que comme des parties intégrantes d'une institution dynamique. Les organisations efficaces doivent trouver des moyens de garder leurs membres frais et concentrés sur le travail à accomplir.

Toute organisation qui met l'accent sur l'apprentissage constant devra tolérer une certaine ambiguïté, note Schulman. Il y aura toujours des moments où les gens ne sont pas sûrs de la meilleure approche ou ne sont pas d'accord même sur les questions importantes. Cela peut être sain, dit Schulman, mais cela peut aussi être déstabilisant pour les gestionnaires et les employés qui pensent qu'une organisation qui fonctionne bien devrait toujours savoir quoi faire. Il raconte une réunion avec les responsables de Diablo Canyon au cours de laquelle il a décrit certaines de ses découvertes. Qu'est-ce qui ne va pas chez nous que nous ayons tant d'ambiguïté? a demandé un responsable. Le manager avait complètement raté le but des recherches de Schulman. Un peu d'ambiguïté n'avait rien d'inquiétant. Au lieu de cela, les directeurs de l'usine devraient s'inquiéter s'ils pensaient avoir toutes les réponses.

Schulman propose une observation supplémentaire à propos des organisations à haute fiabilité : elles ne punissent pas les employés qui font des erreurs lorsqu'ils essaient de faire ce qu'il faut. La punition peut fonctionner - ou du moins ne pas être trop préjudiciable - dans une organisation bureaucratique où tout le monde se conforme aux livres, mais elle décourage les travailleurs d'apprendre plus qu'ils ne le doivent absolument, et elle tue la communication.

Si une organisation réussit à gérer une technologie de manière à ce qu'il n'y ait pas d'accidents ou de menaces pour la sécurité publique, elle peut être confrontée à une menace insidieuse : appelez cela le prix du succès. La réponse naturelle de l'extérieur, qu'il s'agisse de la haute direction, des régulateurs ou du public, est de commencer à tenir cette performance pour acquise. Et comme la possibilité d'un accident semble de moins en moins réelle, le coût d'une vigilance éternelle semble de plus en plus difficile à justifier.

Mais la fiabilité organisationnelle, bien que coûteuse, est tout aussi cruciale pour la sécurité d'une technologie que la fiabilité de l'équipement. Pour éviter que nos progrès technologiques ne se retournent contre nous, nous devons être aussi intelligents avec nos organisations qu'avec nos machines.

cacher