Pièges courants à éviter
La feuille de route que nous avons abordée pour vous aider à prendre en main le processus d’examen post-incident est utile, mais elle peut également vous aider à connaître certains des obstacles susceptibles de jalonner ce parcours.
Dans cette leçon, vous allez découvrir quelques pièges courants dans lesquels d’autres sont tombés au cours du processus d’examen post-incident et comment les éviter.
Piège 1 : Attribution à « l’erreur humaine »
Vous vous souvenez peut-être que « l’erreur de pilotage » (également appelée « erreur humaine ») est la conclusion à laquelle étaient arrivés les premiers enquêteurs au sujet de l’avion B-17, dont nous avons évoqué l’histoire dans l’introduction du module. Revenons à cette histoire.
Dans cette introduction, nous avons suggéré que les conclusions obtenues puissent vous sembler insatisfaisantes. Elles l’étaient effectivement aux yeux d’Alphonse Chapanis, psychologue militaire à qui l’US Air Force demanda d’examiner ces incidents. Il remarqua, entre autres choses, que ces accidents étaient propres au B-17 et à une petite quantité d’autres avions. Au même moment, des milliers d’avions C-47 étaient utilisés en Europe occidentale, mais aucun ne connut d’incident similaire.
Il a donc interviewé les pilotes et, en fonction de leurs récits, il est allé et a observé les cockpits du B-17. Il remarqua deux leviers : le levier du train d’atterrissage et le levier des volets. Les leviers se trouvaient à environ 7 cm l’un de l’autre dans le cockpit. Leur mode d’opération était identique. Il était donc très facile de les confondre, et c’est ce qui s’était produit lors de ces incidents. À l’atterrissage d’un avion, les volets sont déployés, puis rétractés avant son immobilisation. Chapanis essaya donc quelque chose de différent.
Il colla une petite roue en caoutchouc sur le levier du train d’atterrissage et une « languette » à angles marqués sur le levier des volets, ce qui fut suffisant pour mettre fin aux accidents.
Aujourd’hui connu comme l’un des fondateurs de l’ergonomie (l’étude des facteurs de conception dans les performances humaines), il fit une observation simple : la conception du cockpit pouvait avoir un impact sur la probabilité d’une erreur humaine. Cette approche détermina la conception de tous les avions modernes. Les deux leviers des avions actuels sont maintenant très distincts, comme le stipule la législation fédérale des États-Unis.
Pourquoi vous avoir raconté cette histoire ?
Les êtres humains font des erreurs. Toutefois, l’erreur humaine n’est pas une cause, mais un symptôme. Quand une erreur humaine est considérée comme la raison d’un échec, l’analyse de l’incident s’arrête là.
La conception du système, le contexte organisationnel et le contexte personnel affectent tous le moment, la manière et la fréquence de survenue des erreurs humaines. Le terme « erreur humaine » est une étiquette qui vous oblige à abandonner une investigation précisément au moment où vous êtes sur le point de découvrir quelque chose d’intéressant sur votre système.
Le problème avec la conclusion d’une « erreur humaine » dans les investigations est qu’elle fait perdre de vue le fait que les actions humaines étaient pertinentes à leurs yeux à ce moment-là. Les erreurs n’étant pas, de fait, délibérées, ces derniers n’avaient pas l’intention d’en commettre.
Quand nous lisons ou entendons « erreur humaine », cela signifie que nous devons approfondir l’analyse. L’apprentissage suppose de ne pas arrêter l’investigation à la découverte d’une erreur humaine, ce qui est souvent le cas. Comme l’illustre l’histoire des B-17, il faut aller au-delà de l’erreur humaine pour apprendre des choses intéressantes sur notre système.
Piège 2 : Raisonnement contre-factuel
Contrefactuel signifie « contraire aux faits » et raisonnement contrefactuel fait référence à un récit sur des événements qui n’ont pas eu lieu, afin d’expliquer les événements survenus. Cela n’a pas beaucoup de sens, même si les gens ont tendance à le faire tout le temps.
Vous pouvez identifier des affirmations contre-factuelles par des expressions clés :
- Pourrait avoir
- Devrait avoir
- Aurait
- N’a pas pu
- Non survenu
- Si seulement
Voici quelques exemples d’affirmations contre-factuelles relatives aux examens post-incident :
« Le système de supervision n’a pas pu détecter le problème ».
« L’ingénieur n’a pas vérifié la validité de la configuration avant de l’activer ».
« Cela aurait pu être repéré dans l’environnement du contrôle de validité. »
Le problème avec ce type de raisonnement dans un examen post-incident est que vous parlez de choses qui ne se sont pas produites au lieu de prendre le temps de comprendre comment ce qui s’est passé s’est réellement produit. Vous n’apprenez rien de cette spéculation.
Piège 3 : Langage normatif
Le langage normatif implique souvent qu’il existait une façon de procéder « évidemment correcte » que les opérateurs auraient dû suivre et juge les actions de ces opérateurs avec l’avantage du recul.
Le langage normatif peut généralement être identifié par des adverbes tels que « insuffisamment », « imprudemment » « précipitamment », etc.
La pensée normative vous amène à évaluer les décisions en fonction de leurs résultats. Cette façon de parler n’est pas logique, car le résultat est le seul élément d’information indisponible pour ceux qui ont évalué la situation et pris les décisions.
Le langage normatif peut également être utilisé dans le sens inverse. Il est, par exemple, possible de faire l’éloge des opérateurs pour avoir « correctement » agi. Là encore, ce jugement est souvent porté sur la base d’informations que n’avaient pas les personnes concernées.
Le problème avec le langage normatif est semblable au problème qui touche le raisonnement contrefactuel : si nous portons des jugements après coup à l’aide d’informations dont ne disposaient pas les personnes impliquées dans l’incident, nous négligeons de comprendre dans quelle mesure les actions avaient du sens pour les opérateurs à ce moment-là.
Piège 4 : Raisonnement mécaniste
Le raisonnement mécaniste fait référence au concept selon lequel un résultat particulier peut être déduit d’une intervention. C’est ce que l’on appelle parfois le syndrome des éléments perturbateurs (ainsi nommé par Jessica DeVita) qui repose sur le principe selon lequel « notre système aurait fonctionné correctement... s’il n’avait pas été pour ces éléments perturbateurs. »
Quand vous utilisez un raisonnement mécaniste dans le cadre de votre examen post-incident, vous bâtissez vos conclusions sur l’idée fausse que les systèmes avec lesquels et dans lesquels vous travaillez fonctionnent fondamentalement bien et que si ces « éléments perturbateurs » n’étaient pas intervenus, l’échec ne se serait pas produit.
Ce n’est toutefois pas le fonctionnement des systèmes.
Pour illustrer ce point, imaginez le scénario suivant : Vous travaillez sur un service de production. Vous êtes informé que vous n’êtes pas autorisé à toucher à quoi que ce soit, ou à faire quoi que ce soit, pour ce service. Tout ce qui se trouve en dehors de votre équipe continue comme auparavant : les clients continuent à utiliser le service, les dépendances externes continuent à changer, Internet fonctionne normalement.
Toutefois, vous ne pouvez apporter aucune modification au code ou à la configuration. Aucun déploiement, aucune opération de plan de contrôle, rien.
Pensez-vous que votre service fonctionnerait toujours comme prévu au bout d’un jour ? Au bout d’une semaine ? Au bout d’un mois ? Au bout d’un an ? Selon vous, pendant combien de temps votre service pourrait-il continuer de fonctionner sans intervention humaine ? Dans la grande majorité des cas, il ne le pourrait pas.
Cet exercice de pensée nous amène à une conclusion importante :
La capacité adaptative humaine est nécessaire pour maintenir nos systèmes opérationnels.
Vos systèmes demeurent opérationnels avant tout du seul fait des actions des personnes impliquées dans la boucle de contrôle. C’est uniquement au moyen d’une action humaine et de la possibilité de s’adapter à des circonstances changeantes que le système continue à fonctionner.
Ainsi, il est erroné de conclure que le système « fonctionnait fondamentalement bien... s’il n’y avait pas eu ces éléments perturbateurs. » De fait, la fiabilité de votre service n’est pas indépendante des personnes qui travaillent dessus. C’est même un résultat direct du travail que ces dernières y effectuent quotidiennement.
Le problème avec le raisonnement mécaniste est qu’il vous amène à penser que le fait de trouver la personne fautive équivaut à trouver le problème. Toutefois, la même personne fautive, par ses capacités d’improvisation et d’adaptation, a pu faire en sorte que le système demeure opérationnel pendant des semaines et des mois. Ce rôle revêt peut-être suffisamment d’importance pour qu’il fasse l’objet d’une réflexion dans votre examen post-incident.
Après avoir vu quelques éléments à éviter lors d’un examen post-incident, nous pouvons passer à l’unité suivante, dans laquelle nous allons explorer certaines des pratiques utiles pour ces examens.