I – Introduction

1L’erreur humaine occupe une position centrale dans les questions relatives à la sécurité des systèmes complexes. Il faut souligner que son approche tant conceptuelle que méthodologique a sensiblement évolué au cours du temps.

2Une première manière de sécuriser les systèmes complexes tels que ceux rencontrés dans diverses situations de travail (sidérurgie, nucléaire, chimie, transports, médecine…) est d’évaluer les risques, d’en établir une cartographie et de mettre en place une défense à l’aide de différentes barrières (destinées à prévenir l’occurrence ou à limiter les effets d’un événement redouté pouvant conduire à un accident majeur). Cette façon de faire est associée à une diminution importante des accidents attribués aux défaillances techniques.

3La prise en compte des erreurs humaines dans la gestion des risques est à relier à la survenue, il y a plus de trente ans, d’accidents industriels. Dans ce contexte, par sa propension à commettre des erreurs, l’opérateur humain est apparu comme un facteur d’infiabilité. En se basant sur une approche analytique analogue à celle employée pour fiabiliser la composante technique, beaucoup d’efforts ont été déployés pour réduire (et si possible supprimer) l’occurrence des erreurs humaines. Cette façon de faire a permis d’encore améliorer la sécurité des systèmes mais a clairement montré des limites. Celles-ci ont conduit au développement d’autres approches.

4Une limite renvoie à une trop grande focalisation sur les erreurs des seuls opérateurs de première ligne. Or, les acteurs « défaillants » ne sont pas seulement ces opérateurs mais tous les acteurs contribuant à l’existence du système, tant au niveau de la conception, de la maintenance, de l’organisation, du management… Une nouvelle perspective a donc été de replacer les erreurs humaines dans une approche plus systémique montrant que la survenue d’un événement indésirable est favorisée par le cumul de défaillances patentes (erreurs des opérateurs) et de défaillances latentes (décisions managériales, choix de conception, processus organisationnels…) (Reason, 1990). Une autre perspective a consisté à prendre plus en compte le couplage homme-machine. Selon cette perspective, dans un système complexe, les risques sont plus liés « aux problèmes d’assemblage » entre la composante technique et la composante humaine qu’aux défaillances de chacune de ces composantes prises isolément (cf. concept de Joint Cognitive Systems (Hollnagel & Woods, 1983 ; Woods & Hollnagel, 2006)).

5Ces autres perspectives incitent à des analyses non culpabilisantes des erreurs. Elles permettent de pointer les multiples facteurs sur lesquels il est pertinent d’agir pour améliorer la sécurité dans les systèmes complexes.

6Une autre limite à l’approche analytique est liée au constat que toutes les erreurs ne peuvent pas être supprimées. L’objectif d’une suppression totale a donc été remis en cause et ce, d’autant plus que certains travaux qui étudient la composante humaine dans sa dimension cognitive, mettent en avant l’utilité cognitive des erreurs (Amalberti, 2001 a ; De Keyser, 2002 ; Giroud-Fliegner, 2001 ; Leplat 1985). D’autres travaux ont montré que les erreurs sont traitées par les opérateurs et ce, afin d’en limiter le nombre ou d’en contrôler les effets négatifs (Amalberti & Wioland, 1997 ; Kanse, 2004 ; Kanse & van der Schaaf, 2001 ; Marc & Amalberti, 2002 ; Orasanu et al., 1998 ; Rizzo, Ferrante & Bagnara, 1995 ; Sellen, 1994). Au final, tous ces travaux montrent que du point de vue de la sécurité des systèmes, il est plus important de porter attention à la gestion des erreurs qu’à leur production.

7Dépassant les seuls mécanismes de gestion des erreurs, Amalberti (2001 a) a proposé le modèle de sécurité écologique pour rendre compte de l’ensemble des mécanismes « naturels » mis en œuvre par les opérateurs pour gérer les risques (en particulier, le risque de perdre le contrôle) et pour maîtriser les situations dynamiques (situations qui évoluent en partie indépendamment des actions des opérateurs). Selon ce modèle, l’optimalité du fonctionnement cognitif ne doit pas se comprendre en termes de recherche de fonctionnement à moindre déchet (évitement de toute erreur, temps de réponse minimal, compréhension maximale, récupération des déviances dès que détectées…) mais se décline en terme de compromis permettant une atteinte dynamique des objectifs avec une performance suffisante. Ceci se traduit par des variations importantes de performance au cours du temps mais au final, une réponse globale acceptable à l’échéance visée. Les erreurs et leur gestion constituent une des variables de la gestion des risques et de la maîtrise de la situation.

8Depuis plus de trente ans, grâce notamment à la mise en place des approches analytique et systémique, beaucoup de systèmes ont vu leur sécurité s’améliorer de manière importante. Au point qu’on parle aujourd’hui de systèmes ultrasûrs dans des domaines tels que ceux du nucléaire ou des transports. Toutefois, comme le pointe Amalberti (2006), la sursécurisation actuelle de ces systèmes pourrait représenter une part importante des causes des rares catastrophes à venir. Par les mesures mises en place (limitation de la performance du système, nombreuses normes à respecter (procédures) et perte d’autonomie des opérateurs, formation et culture de l’expertise équivalente, blocage des erreurs, perte de visibilité du risque…), les systèmes ultrasûrs sont surréglés. Ils deviennent dès lors rigides et finalement, peu adaptatifs aux situations rares mais déstabilisantes.

9Pour éclairer cette situation, les concepts de résilience et d’ingénierie de la résilience ont été récemment proposés (Hollnagel, Woods, & Leveson, 2006 ; Hollnagel, Nemeth, & Dekker, 2008). Selon Hollnagel et Woods (2006), un système résilient doit avoir la capacité d’anticiper, de percevoir et de répondre à la suite de la survenue d’une perturbation. L’ingénierie de la résilience doit aborder les principes et les méthodes par lesquels ces capacités peuvent être générées. Plus on renforce de manière classique la sécurisation des systèmes, plus les systèmes sont sûrs mais plus ils sont vulnérables par un manque de résilience. Il est intéressant de noter que dans des systèmes qui ne sont pas encore très sûrs (dans le domaine de la médecine, par exemple), il existe souvent une résilience spontanée qui repose sur l’expertise des opérateurs (Amalberti, 2006). Il s’agit d’une forme de sécurité autogérée qui assure la performance du système mais qui n’est généralement pas suffisante pour lui procurer un grand niveau de sécurité (Morel, Amalberti, & Chauvin, 2009).

10Nous présentons dans cet article les résultats d’une recherche dont l’objectif principal était d’étudier la gestion des erreurs en replaçant celle-ci dans le cadre plus large de la gestion des risques et de la maîtrise de la situation. Pour ce faire, nous nous sommes plus particulièrement intéressées à l’activité d’opérateurs qui depuis une centrale traitent des appels téléphoniques concernant des demandes d’aide médicale urgente et décident des secours à envoyer aux victimes. Dans la suite, nous exposons le cadre théorique auquel nous nous référons. Nous décrivons le terrain. Nous détaillons ensuite l’objectif de la recherche, la méthodologie ainsi que les principaux résultats. Enfin, nous discutons les résultats et ouvrons quelques perspectives en matière d’approches de la sécurité à privilégier dans la situation étudiée.

II – Cadre théorique

11La recherche s’inscrit dans le cadre théorique général de la sécurité des systèmes complexes. Elle porte une attention particulière aux erreurs et à leur gestion par les opérateurs. En s’appuyant notamment sur les apports de Leplat (1985) et de Reason (1990), De Keyser (2002) propose de définir l’erreur comme un écart par rapport à une référence (interne ou externe) alors que l’opérateur a la liberté de s’y conformer et n’a pas l’intention de s’en écarter. En ce sens, l’erreur n’est pas volontaire. A contrario, une violation est un écart volontaire (transgression) par rapport à une référence externe, sans nécessairement être malveillante (Parker, Reason, Manstead, & Standling, 1995).

12La gestion des erreurs (et des violations) renvoie aux traitements qui diffèrent selon leur moment d’occurrence (avant ou après la production de l’erreur) et en fonction de leur auteur (l’organisation, l’opérateur et/ou des tiers). Du point de vue de l’opérateur, les traitements consistent en des protections, des détections, des récupérations et des tolérances.

13Dans la régulation des appels d’urgence dans un samu [1], Marc (2002) montre que les opérateurs développent une activité de prévention non négligeable. Ils mettent en œuvre de nombreuses protections qui constituent la priorité au niveau du traitement des erreurs. Ces protections concernent surtout des erreurs tactiques et s’accompagnent d’un adressage public, non nominatif, au collectif visant à l’alerter et à maintenir une vision partagée de la situation. Les opérateurs s’efforcent d’éviter de produire des erreurs qui risquent de les conduire dans des situations qu’ils savent ne pas être capables de maîtriser. Si les protections peuvent avoir pour résultat l’évitement de certaines erreurs, elles peuvent aussi lorsqu’elles s’appuient sur des stratégies de vérification orientée, permettre la détection anticipée d’autres erreurs que les opérateurs savent avoir tendance de faire et dont ils connaissent la procédure de récupération (Wioland, 1997).

14Différents mécanismes de détection des erreurs ont été étudiés tels que la rétroaction interne (détection de l’erreur à partir de traces en mémoire pendant l’exécution), la rétroaction externe à partir du résultat (détection de l’erreur à partir des conséquences inattendues des actions), la vérification (détection de l’erreur à partir d’un contrôle de la progression de la tâche sans formulation particulière d’un problème)… (Rizzo et al., 1995). Les opérateurs (expérimentés) qui commettent des erreurs, les détectent fréquemment (en particulier, les erreurs de routine), à un taux de 70 à 80 % selon certains auteurs (Allwood, 1984 ; Doireau, Wioland, & Amalberti, 1997). Toutefois, toutes les erreurs détectées ne sont pas récupérées (Marc et al., 2002 ; Orasanu & Fisher, 1997 ; Amalberti et al., 1997). Ce résultat doit être mis en relation avec la complexité et la dynamique des situations étudiées. En effet, dans ce contexte, une récupération qui consiste à annuler les effets de l’erreur est rarement possible du fait de l’évolution propre de la situation. Pour la même raison, certaines erreurs peuvent être récupérées « spontanément » sans intervention des opérateurs. Par ailleurs, toutes les erreurs n’ont pas de conséquences graves et peuvent dès lors être tolérées. Certains travaux ont porté sur la contribution du collectif à la gestion des erreurs (De la Garza & Weill-Fassina, 1995 ; Doireau et al., 1997 ; Wioland, 1997). Ces travaux montrent que des tiers jouent un rôle de « filet de sauvegarde » en détectant et parfois en récupérant des erreurs commises par des opérateurs qui ne les ont pas gérées. Selon Doireau et al. (1997), le taux de détection des erreurs par un tiers dépend de deux principaux facteurs : le degré du partage du contexte entre l’opérateur et le tiers, et le degré de partage des objectifs et des possibilités d’action entre ces mêmes acteurs.

15Notre recherche s’appuie plus particulièrement sur le modèle de sécurité écologique développé par Amalberti (2001 a). Ce modèle permet de replacer la gestion des erreurs dans le cadre plus large de la gestion des risques (Amalberti, 1998, 2001 b, 2003, 2004). Les risques se caractérisent ici par une double composante : externe et interne. Classiquement, le risque externe renvoie à l’éventualité d’un événement indésiré ainsi qu’à la gravité de ses effets. Il est objectivable. Il est représenté par des mesures portant sur l’événement (probabilité) ainsi que sur ses conséquences (estimation de la gravité des dommages liés à l’événement). Le risque interne est propre à chaque opérateur. Il renvoie à l’expertise et à la limitation des ressources cognitives. L’opérateur peut en effet ne pas contrôler la situation car il ne dispose pas des savoir-faire pour atteindre le niveau de performance visé. Il peut aussi perdre le contrôle parce que bien que disposant du savoir-faire nécessaire, il ne sait pas gérer ses ressources cognitives au moment de l’exécution. Risques et erreurs sont liés. En effet, les risques internes peuvent conduire à la production d’erreurs. Celles-ci peuvent avoir des conséquences graves, catastrophiques, en ce sens qu’elles contribuent à la perte du contrôle de la situation par l’opérateur et par conséquent, à l’apparition d’événements redoutés.

16Selon le modèle, la gestion des risques repose sur un compromis cognitif révisé constamment entre des dimensions contradictoires issues des exigences de la tâche d’une part (en termes d’efficacité et de sécurité) et du fonctionnement cognitif d’autre part (en termes d’économie des ressources cognitives) (Chauvin, 2003 ; Hoc et Amalberti, 2003, 2007). Compte tenu de ce compromis, la performance n’est pas maximale mais suffisante pour garantir l’efficacité par rapport aux exigences perçues de la situation, pour conserver une capacité d’activité parallèle (préoccupations de travail ou pensées privées) et pour préserver des ressources indispensables dans la durée pour faire face à l’incertitude. Dans ce contexte, les erreurs et leur gestion peuvent être vues comme une des variables de la maîtrise de la situation (ou de la gestion des risques). Comme l’ont bien montré les travaux d’Amalberti (1998, 2001 a, 2001 b, 2003, 2004), le sentiment de maîtrise de la situation peut en effet se modifier en fonction d’une augmentation de la fréquence des erreurs ainsi que du temps mis pour découvrir ses propres erreurs ; l’émergence de ces signaux indiquant l’approche d’un fonctionnement limite qui nécessite une nouvelle adaptation. Mais il apparaît que la principale variable à laquelle l’opérateur accorde la priorité est l’autoestimation de la compréhension suffisante de la situation. Il consacre en effet une part non négligeable de son temps à cette estimation (plus que celle dédiée à la gestion des erreurs). Le manque de temps pour comprendre et agir, et le nombre et la nature des points non compris dans le travail pour l’objectif visé constituent aussi des signaux susceptibles d’ébranler le sentiment de maîtrise de la situation.

17On comprend qu’un fonctionnement sans erreur n’est pas une préoccupation centrale de l’opérateur. Celui-ci peut tolérer des erreurs voire produire des violations pour conserver des ressources. La maîtrise de la situation se traduit par une sorte de « fonctionnement avec déchet », c’est-à-dire un fonctionnement avec beaucoup d’erreurs qui ne sont pas toutes récupérées.

III – Le terrain

IV – Objectif de la recherche

29Rappelons que notre objectif est d’étudier la gestion des erreurs dans un centre 100, en replaçant cette gestion dans le cadre plus large de la gestion des risques et de la maîtrise de la situation. Notre attention se porte plus particulièrement sur les erreurs des opérateurs occupant les postes de prise d’appels, ces erreurs (et leur gestion) pouvant conduire à des secours insuffisants, superflus ou adéquats.

V – Méthodologie

VI – Résultats

VI.1 – Protections

Tableau 1

Fréquence des différents types de protection contre les risques ou les erreurs

Frequency of the various types of protection against risks or errors

Type de protection Fréquence Évitement Risques 56 Erreurs 13 Total 69 Vérification Risques 43 Erreurs 12 Total 55 Total 124

Fréquence des différents types de protection contre les risques ou les erreurs

Frequency of the various types of protection against risks or errors

34L’activité des opérateurs comporte de nombreuses protections : au total 124 sur les 146 cas étudiés. Ces protections sont nettement plus mises en œuvre contre les risques (99) que contre les erreurs (25). Elles se réalisent un peu plus par évitement (69) que par vérification (55).

35Ces résultats mettent en évidence la dimension préventive de l’activité des opérateurs qui concerne surtout les risques. Une analyse plus qualitative de ces résultats couplée aux entretiens d’autoconfrontation montre que sur base d’une évaluation subjective des risques [4], les protections mises en œuvre par les opérateurs les amènent à éviter les événements les plus redoutés car ils savent qu’ils ne peuvent pas en limiter les effets et qu’ils vont leur faire perdre brutalement le contrôle de la situation. Ces protections par évitement concernent surtout les risques (56). L’évitement des erreurs est moins fréquent (13). Manquer de smur dans une zone géographique est un événement particulièrement redouté car cela peut signifier qu’il devient impossible de secourir certaines victimes. Pour se protéger de ce risque, même en cas d’incertitude sur l’état de la victime, les opérateurs ne maximisent pas systématiquement les secours en envoyant directement un smur. Ils choisissent plutôt l’envoi le plus rapide possible d’une ambulance simple afin de réduire l’incertitude grâce au bilan que va réaliser l’ambulancier lorsqu’il arrive auprès de la victime. Sur cette base, il est possible de renforcer si nécessaire les secours par l’envoi différé d’un smur. L’envoi direct du smur est réservé aux cas où un envoi différé ne garantirait pas de venir en aide à la victime, compte tenu de son état (état grave se dégradant rapidement) et du délai d’intervention.

36Les protections par vérification concernent surtout les risques (43). Plus rarement, elles portent sur des erreurs (12). Une analyse plus qualitative révèle que les vérifications portent sur des événements indésirés mais dont les opérateurs savent que les effets peuvent être limités afin d’éviter la perte de contrôle de la situation. Ainsi, l’opérateur demande à un appelant de retéléphoner en cas d’évolution de l’état de la victime, l’opérateur vérifie qu’une ambulance est bien partie ou qu’un smur se trouve bien sur le retour, l’opérateur note une information sur un bout de papier afin de ne pas oublier de recontacter un appelant, l’adresse d’un appelant est vérifiée malgré son affichage au niveau de l’application informatique…

VI.2 – Erreurs, violations et types de secours

Tableau 2

Fréquence des différents types d’erreurs selon le type de secours

Frequency of the various types of errors according to the type of assistance

Type d’erreur Secours adéquats Secours superflus Secours insuffisants Total Erreurs 11 4 15 30 Violations 8 33 5 46 Total 19 37 20 76

Fréquence des différents types d’erreurs selon le type de secours

Frequency of the various types of errors according to the type of assistance

37Sur les 146 cas analysés, nous avons pu relever 51 cas présentant des erreurs et des violations. Il faut noter que pour un même cas, on peut repérer plusieurs erreurs et/ou violations. Nous observons un total de 76 écarts dont 46 violations et 30 erreurs. Les opérateurs commettent donc majoritairement des violations.

38Si on met en relation ces écarts avec les secours initialement envoyés par les opérateurs, on constate que la plupart des violations (33) mènent à la mise en œuvre de secours superflus (correspondant à l’envoi non nécessaire d’une ambulance ou d’un smur). Les erreurs aboutissent quant à elles le plus souvent à des secours insuffisants (15) (nécessitant l’envoi différé d’un smur et/ou d’une ou de plusieurs ambulances supplémentaires) et à des secours adéquats (11).

39Il est intéressant de noter qu’un nombre non négligeable de violations (18) survient lorsque les appelants sont des professionnels de la santé et/ou des secours (médecin, infirmier, ambulancier, pompier, policier…). Dans ces circonstances, les opérateurs ont tendance à faire confiance aux appelants professionnels (particulièrement lorsqu’ils se trouvent à proximité des victimes) et ne remettent pas en cause le moyen de secours demandé. On constate des raccourcis dans la procédure pour diriger l’appel. Les opérateurs ne prélèvent pas ou peu d’informations sur l’état de la victime. Ils ne demandent pas toutes les informations clés. Ils dirigent peu l’appel. Ils acceptent de ne pas tout comprendre et décident de suivre le choix préconisé par l’appelant. On discerne ici le rôle que joue dans la prise de décision des opérateurs, la confiance dans les appelants professionnels. Il convient néanmoins de souligner que si la plupart de ces violations conduisent à des premiers secours superflus (6) et adéquats (7), quelques-unes entraînent l’envoi de premiers secours insuffisants (5).

40Les résultats qui viennent d’être présentés concernent d’une part la production des erreurs et des violations par les opérateurs, et d’autre part les secours que ceux-ci décident d’envoyer. Ils ne reflètent pas toute l’activité des opérateurs. Il convient donc de les mettre en relation avec la gestion des erreurs et des violations, et avec la performance finale.

VI. 3 – Gestion des erreurs et des violations, et performance finale

41En liant les erreurs et les violations produites à leur gestion par les opérateurs et/ou par des tiers, différents cas de figure se présentent (cf. tableau 3) :

• des erreurs non détectées et non récupérées (18) ;
• des erreurs détectées et non récupérées (8) ;
• des erreurs détectées et récupérées (4) ;
• des violations tolérées (46) ;
• des erreurs récupérées par des tiers (5) ;
• des erreurs ou des violations dont les conséquences ont été récupérées par des tiers (19) ;
• des erreurs récupérées spontanément (5).

Tableau 3

Gestion des erreurs et des violations, et performance finale

Management of errors and violations and final performance

Type d’erreur Détection des erreurs par l’opérateur Récupération des erreurs par l’opérateur Autre récupération des erreurs (par des tiers, de manière spontanée…) Type de secours* Récupération des conséquences négatives des secours par des tiers Erreurs N = 30 Non-détection = 18 Non-récupération = 18 Non-récupération = 12 si = 10 ss = 2 10 si Récupération spontanée = 2 sa = 2 Récupération par des tiers = 4 sa = 4 Détection = 12 Non- récupération = 8 Pas de moyens de récupération = 3 Non-récupération = 2 si = 2 2 si Récupération spontanée = 1 sa = 1 Récupération par des tiers = 0 Tolérance = 5 Non-récupération =2 si = 2 2 si Récupération spontanée = 2 ss = 2 Récupération par des tiers = 1 sa = 1 Récupération = 4 sa = 3 si = 1 1 si Violations N = 46 Non-récupération = 46 Tolérance = 46 sa = 8 ss = 33 si = 5 4 si * ss pour secours superflus (excessive assistance), sa pour secours adéquats (adequat assistance) et si pour secours insuffisants (non sufficient assistance).

Gestion des erreurs et des violations, et performance finale

Management of errors and violations and final performance

42Plus de la moitié des erreurs commises par les opérateurs n’est pas détectée par ceux-ci (18 sur 30). Toutefois, un tiers de ces erreurs non détectées est récupéré spontanément ou par des tiers, et conduit à l’envoi de secours adéquats. Les autres erreurs non détectées mènent à la mise en œuvre de secours insuffisants. Les entretiens d’autoconfrontations mettent en évidence que les opérateurs n’avaient pas pris nécessairement conscience de ces erreurs lors du traitement des cas. Toutefois, les conséquences de toutes ces erreurs sont récupérées par un tiers tel que l’ambulancier qui, arrivé auprès de la victime, peut se rendre compte de l’insuffisance des secours et demander du renfort. Par ailleurs, la plupart des erreurs qui sont détectées par les opérateurs ne sont pas récupérées par ceux-ci (8 sur 12). La moitié de ces erreurs non récupérées par les opérateurs l’est spontanément ou par des tiers, ce qui conduit à des secours adéquats ou superflus. Les autres erreurs non récupérées mènent à des secours insuffisants mais les conséquences de toutes ces erreurs sont récupérées grâce aux tiers. Ceux-ci signalent l’insuffisance des premiers secours et le renfort adéquat est envoyé à temps.

43Les violations, qui sont les erreurs les plus nombreuses (46), ne sont récupérées ni par les opérateurs, ni par les tiers. Elles sont toutes tolérées et conduisent le plus souvent à la mise en œuvre de secours superflus (33 sur 46). Plus rarement, elles mènent à des secours adéquats (8 sur 46) ou à des secours insuffisants (5 sur 46). Il est intéressant de relever que dans presque tous les cas, les violations n’ont pas de conséquences négatives pour les victimes. Lorsqu’elles sont associées à des secours superflus (ce qui est le plus fréquent), cela représente un coût pour le système et entraîne une perte de disponibilité des secours. Mais comme les secours superflus correspondent le plus souvent à l’envoi d’ambulances simples (qui s’avèrent non nécessaires), il n’y a pas de conséquence négative pour les autres victimes car ces ambulances sont en nombre élevé. En ce qui concerne les cas plus rares d’envois superflus de smur, on constate que cela est aussi sans conséquence négative car les indisponibilités de ces moyens de secours, en nombre limité, sont de courte durée. Dans un petit nombre de cas, les violations sont associées à des secours insuffisants. Toutefois, les conséquences négatives de la quasi-totalité de ces violations sont récupérées par des tiers (4 sur 5). Seule une violation ayant conduit à l’envoi de secours insuffisant n’a pas pu être récupérée avant la mort de la victime.

VII – Discussion et perspectives

44Les résultats montrent que les opérateurs produisent des erreurs et surtout des violations. Toutes les violations sont tolérées. Beaucoup d’erreurs ne sont pas détectées. La plupart des erreurs détectées ne sont pas récupérées par les opérateurs eux-mêmes mais le sont majoritairement par des tiers. La gestion des erreurs et des violations dépasse largement les seuls aspects de détection et de récupération. Des protections contre les erreurs et surtout contre les risques sont observées. La gestion des erreurs et des violations prend place dans une activité plus globale de gestion des risques.

45Dans la situation étudiée, les opérateurs sont amenés à faire des arbitrages entre un objectif de sécurité (gérer les risques internes et externes) et un objectif d’économie (limiter les coûts liés à une mise en œuvre inutile ou excessive des secours). Ces arbitrages ont tendance à se faire au profit de la sécurité et la performance visée n’est pas d’optimiser le moyen de secours à envoyer à chaque victime mais plutôt d’apporter de l’aide à toutes les victimes.

46Les arbitrages en faveur de la sécurité se manifestent chez les opérateurs par la mise en œuvre à moyen terme de protections contre les erreurs et surtout contre les risques. Ces protections visent à éviter les événements les plus redoutés tels que le manque de smur dans une zone géographique et à anticiper d’autres événements indésirés compte tenu de l’évolution de la situation. Ces protections peuvent être vues comme un premier filet de sécurité dans le système contribuant à la maîtrise des risques.

47Les arbitrages en faveur de la sécurité se manifestent aussi par la production à plus court terme, au cours du traitement des appels, d’un nombre non négligeable de violations menant surtout à l’envoi de secours superflus, sans conséquences négatives pour les victimes.

48Les violations sont des déviations produites intentionnellement par les opérateurs pour court-circuiter des procédures qu’ils estiment inadaptées à la situation actuelle (lorsque l’affluence des appels augmente, lorsque le nombre d’opérateurs en salle est réduit, lorsque l’appelant est un témoin indirect…). En ce sens, les violations peuvent être vues comme des prises de risque. Toutefois, ces prises de risque renvoient à des risques acceptés par les opérateurs afin d’augmenter la performance visée. Les violations peuvent en effet être utiles pour réduire l’incertitude. Elles peuvent aussi permettre de préserver des ressources matérielles et cognitives pour faire face aux imprévus. En fait, les prises de risque à court terme sont associées à une maîtrise des risques à plus long terme.

49Par ailleurs, le fait que les violations mènent surtout à des premiers secours superflus tend à montrer que l’opérateur prend des risques tout en évitant que ceux-ci lui fassent perdre le contrôle de la situation (à cause de l’envoi de premiers secours insuffisants qui pourraient entraîner un envoi différé trop tardif des secours adéquats). Mais dans la situation étudiée, la perte du contrôle de la situation n’est pas seulement liée à la dimension temporelle. Elle dépend aussi de la disponibilité des moyens de secours. En réalité, les secours superflus liés aux violations correspondent surtout à l’envoi d’ambulances. Les envois superflus de smur sont beaucoup plus rares. Comme cela a déjà été souligné, les opérateurs se protègent du risque de manquer de smur. Ils cherchent à ne mobiliser les smur qu’à bon escient, en les gardant le plus possible disponibles, quitte à les envoyer avec un certain délai c’est-à-dire lorsqu’ils ont acquis plus de certitude sur leur nécessité (après avoir reçu des informations précises de la part des ambulanciers arrivés près des victimes, par exemple).

50Si les violations mènent rarement à des conséquences négatives pour les victimes, ce n’est pas le cas des erreurs. Aussi, le système est doté d’un deuxième filet de sécurité. Celui-ci est lié à l’existence de tiers qui sont placés en arrière des opérateurs (les opérateurs des postes de suivi des interventions, les ambulanciers, les équipes médicales…). Ces tiers interviennent pour récupérer des erreurs (ou les conséquences d’erreurs (ou de violations)) que l’opérateur n’a pas lui-même gérées. Ce deuxième filet de sécurité contribue aussi à la maîtrise des risques.

51L’ensemble des résultats de l’étude réalisée présente de nombreux points communs avec les stratégies de maîtrise des risques déjà décrites dans d’autres situations dynamiques et qui se sont avérées assez performantes (Amalberti, 2003 ; Amalberti et al., 1997 ; Chauvin, 2003 ; Kontogiannis & Malakis, 2009 ; Marc et al., 2002). Ces résultats montrent en particulier que la gestion des erreurs est une variable parmi d’autres – et finalement peu prédictive – de la maîtrise de la situation.

52Bien que l’étude présentée dans cet article ne puisse prétendre à établir un bilan de sécurité, on peut tout de même avancer que, malgré les erreurs et les violations, le fonctionnement du système est sûr du moins durant la période observée, comme le montrent les résultats relatifs à la performance finale. En effet, les secours insuffisants qui peuvent être problématiques en terme, d’aide aux victimes, ne représentent environ qu’un quart des premiers secours envoyés et à une exception près, leurs conséquences négatives pour les victimes ont été récupérées. Une seule violation a en effet mené à des secours insuffisants dont les conséquences négatives n’ont pas pu être récupérées avant la mort de la victime. Il faut toutefois mentionner qu’il n’a pas été possible de déterminer, dans ce cas, si la mort de la victime aurait pu (ou non) être évitée par l’envoi plus précoce d’un smur.

53À l’issue de cette recherche, une question se pose : la sécurité gérée, reposant sur les stratégies de maîtrise des risques des opérateurs, est-elle suffisante pour assurer durablement un fonctionnement sûr au système ? Bien que d’autres études seraient nécessaires pour répondre à cette question, on peut néanmoins émettre quelques réserves. Tout d’abord, il est possible que dans certains cas, le contrôle de la situation échappe aux opérateurs. Nous pensons en particulier aux cas où des secours insuffisants sont envoyés sans que leurs conséquences négatives pour les victimes soient récupérées. Si certains de ces cas peuvent être liés à la dégradation imprévisible et irréversible de l’état des victimes, d’autres sont probablement à relier aux limites de la maîtrise des risques par les opérateurs. Par ailleurs, force est de constater que dans la situation étudiée, la maîtrise des risques repose sur des équipes expérimentées et stables. On peut penser que tout changement dans la composition de ces équipes est de nature à fragiliser le fonctionnement du système.

54Nonobstant ces réserves, on conçoit qu’une sécurité plus contrainte qui renforcerait les procédures visant une suppression (ou une récupération immédiate) de toutes les erreurs des opérateurs tout en les gardant comme décideurs de l’envoi des secours, n’est pas la voie à privilégier. Celle-ci conduirait probablement à l’apparition de paradoxes dont in fine, l’augmentation des risques alors qu’on cherche à les réduire. En effet, optimiser la performance pour chaque cas (en minimisant les risques et les coûts externes) permet d’améliorer la performance à court terme mais mène à plus long terme à des pertes de contrôle de la situation (notamment à cause d’une saturation des ressources cognitives).

55Une autre voie consiste à concevoir une assistance aux opérateurs qui n’entrave pas les stratégies (naturelles) de maîtrise (cognitive) des risques mais qui en réduit les limites. Des formations favorisant l’apprentissage de ces stratégies et mettant en garde contre leurs limites peuvent être utiles (notamment lors de changements dans les équipes). Mais plus fondamentalement, il convient de concevoir des aides (y compris des procédures) qui permettent aux opérateurs de rester à l’intérieur de marges où ils assurent un fonctionnement sûr au système, voire qui facilitent la détection d’alertes de sortie de ces marges et qui donnent plus de moyens pour éviter la perte de contrôle de la situation. C’est cette voie qui nous semble la plus pertinente à préconiser pour encore plus de sécurité dans la situation étudiée.

56Manuscrit reçu : octobre 2009

57Accepté après révision, par C. Chauvin : mai 2010