Standardiser crée l’imprévu : La mécanique cachée

Le 29 octobre 2018, le vol Lion Air JT610 s’écrase dans la mer de Java treize minutes après le décollage. 189 morts. Le 10 mars 2019, le vol Ethiopian Airlines ET302 s’écrase six minutes après le décollage d’Addis-Abeba (157 morts).

En cinq mois, 346 personnes ont péri à bord d’un appareil qui avait été certifié selon les procédures les plus rigoureuses de l’aviation civile mondiale.

Le PDG de Boeing, Dennis Muilenburg, déclare le 29 avril 2019, soit un mois après le second crash, avec 346 morts comptabilisés : « Nous avons confirmé que le système MCAS a été conçu selon nos normes, certifié selon nos normes, et nous sommes confiants dans ce processus ».

Cette phrase est le cas d’école parfait. Non pas parce qu’elle est fausse – le processus avait bien été suivi – mais, précisément, parce qu’elle est vraie, et que 346 personnes sont mortes quand même.

La promesse du processus et ce qu’elle cache

Dans les organisations contemporaines, le processus est devenu l’outil central du pilotage :

• Cartographies,
• Certifications ISO,
• Workflows numériques,
• Check-lists,
• Playbooks,
• Scripts commerciaux,
• Parcours clients normés,

tout est conçu pour réduire l’incertitude.

• L’intention est légitime.
• La variabilité coûte cher.
• L’erreur expose.
• L’imprévu déstabilise.

Un processus vise trois objectifs explicites :

• réduire la dispersion des pratiques,
• garantir une qualité homogène,
• sécuriser l’exécution.

Il transforme un savoir tacite en séquence explicite, remplace la décision locale par une règle, et substitue la liberté d’interprétation par un cadre partagé. Dans un environnement stable et répétitif, cela fonctionne avec une efficacité remarquable.

Dans un environnement complexe, cela change la nature du problème.

La prémisse silencieuse de tout processus est celle-ci : les situations à venir ressembleront aux situations passées qui ont servi à concevoir le processus. Quand cette prémisse est fausse, le processus continue de fonctionner mais il optimise la réponse à des situations qui ne sont plus là.

Boeing 737 MAX : Quand le processus construit l’angle mort

Pour comprendre ce qui s’est passé chez Boeing, il faut comprendre la logique de la décision initiale.

En 2011, Airbus lance l’A320neo avec de nouveaux moteurs plus économes. American Airlines, client historique de Boeing, commande directement 260 appareils Airbus sans passer par Boeing. Urgence commerciale oblige, Boeing décide de moderniser le 737 – l’avion le plus vendu de l’histoire – plutôt que de concevoir un appareil entièrement nouveau, ce qui aurait coûté 15 à 20 milliards de dollars et pris dix ans.

Les nouveaux moteurs sont plus grands et doivent être repositionnés plus en avant sur l’aile. Ce déplacement modifie l’aérodynamique au point que l’avion tend à se cabrer en montée.

Boeing conçoit un logiciel correcteur, le MCAS (Maneuvering Characteristics Augmentation System), qui abaisse automatiquement le nez de l’appareil quand il détecte un angle d’attaque excessif.

Décision critique : le MCAS est alimenté par un seul capteur d’angle d’attaque sur deux. Aucune redondance.

Ce qui est structurellement frappant dans le cas Boeing n’est pas la fraude, même si elle est documentée. C’est que chaque décision, prise isolément, était cohérente avec le processus en vigueur.

• Le MCAS classé en modification mineure : conforme.
• La suppression du manuel de vol : conforme.
• La délégation de la certification à Boeing lui-même via le programme ODA de la FAA : conforme.

L’interaction entre toutes ces décisions conformes a produit un système mortellement défaillant.

C’est précisément ce que les théoriciens des systèmes appellent un accident normal (le terme est de Charles Perrow), sociologue américain qui a analysé l’accident de Three Mile Island en 1979.

Dans les systèmes hautement couplés et complexes, les accidents graves ne viennent pas de défaillances isolées, mais d’interactions imprévues entre des composants qui fonctionnent chacun correctement.

Toyota 2009 : Le paradoxe de l’excellence qualité

Toyota est l’inverse symétrique de Boeing. Là où Boeing a sous-estimé un risque technique pour des raisons commerciales, Toyota a sur-standardisé au point de créer une zone aveugle dans son propre système qualité.

Le Toyota Production System est le modèle de production le plus étudié, le plus copié et le plus admiré du monde industriel depuis les années 1980.

Il repose sur deux piliers :

1. Le jidoka (arrêt automatique en cas de défaut),
2. et le kaizen (amélioration continue).

La standardisation y est un outil de respect et d’amélioration, chaque opération est documentée, chaque déviation est un signal d’apprentissage. En théorie.

En pratique, au tournant des années 2000, Toyota a connu une croissance extraordinaire.

En 2008, le constructeur dépasse General Motors et devient le premier constructeur mondial avec 8,97 millions de véhicules vendus. Cette croissance s’est accompagnée d’une accélération du rythme de développement, d’une expansion géographique massive des sites de production, et d’une pression croissante sur les fournisseurs.

Le TPS, conçu pour une organisation de taille humaine dans laquelle chaque opérateur peut interpeller la chaîne, a été exporté mécaniquement dans des contextes où la culture d’alerte n’existait pas.

En août 2009, une Lexus ES350 de location s’emballe à San Diego. Quatre membres de la famille Saylor meurent. La cause initiale : un tapis de sol inadapté bloquant la pédale d’accélérateur.

Mais les investigations révèlent autre chose : une tendance connue des ingénieurs Toyota à la dérive de certaines pédales d’accélérateur dans des conditions d’usure spécifiques. Les ingénieurs le savaient. Le processus formel de remontée d’alerte n’avait pas fait remonter au niveau décisionnel.

Le bilan :

• 12 millions de véhicules rappelés en 2009-2010,
• une amende record d’1,2 milliard de dollars versée en 2014 pour avoir minimisé l’ampleur des défauts constatés par ses propres équipes,
• une chute de 16 % de l’action en six séances,
• une perte estimée à 1,4 milliard d’euros pour les seules opérations de rappel.

L’ironie systémique est totale : le TPS prévoit explicitement que tout opérateur peut arrêter la chaîne en tirant le cordon andon dès qu’il détecte une anomalie. Ce mécanisme présuppose une culture dans laquelle signaler un problème est valorisé. Dans les unités de production où la culture de conformité hiérarchique était dominante – notamment en dehors du Japon – le processus d’alerte formellement prévu n’était pratiquement pas utilisé. L’excellence du processus avait créé l’illusion que le processus suffisait.

La navette Challenger : L’imprévu fabriqué par l’accumulation de conformités

Le 28 janvier 1986, la navette spatiale Challenger explose 73 secondes après le décollage de Cap Canaveral. Sept astronautes meurent. La cause technique est identifiée rapidement : la défaillance d’un joint torique sur le propulseur droit, incapable de résister aux températures de la nuit précédente (moins 8°C à Cap Canaveral, bien en dehors des conditions d’utilisation prévues).

Ce que la commission Rogers a ensuite documenté est plus révélateur que la cause technique.

La veille du lancement, les ingénieurs de Morton Thiokol, le fabricant des propulseurs, avaient alerté la NASA. Roger Boisjoly, ingénieur spécialiste des joints, avait rédigé des mémos d’alerte six mois plus tôt sur les risques des joints à basse température. La nuit du 27 janvier, il supplie ses supérieurs de recommander l’annulation.

Ce qui se passe ensuite est un exemple clinique de ce que les organisations font avec les exceptions : elles les re qualifient en non-conformités procédurales. Lors de la téléconférence de décision, le manager de Thiokol demande à Boisjoly et ses collègues de retirer leur chapeau d’ingénieur et de mettre leur chapeau de manager.

La décision est prise dans le cadre formel de la procédure de certification de vol, et la procédure est respectée. Le lancement est autorisé. Le processus a fonctionné parfaitement.

Diane Vaughan, sociologue à Columbia University, a analysé ce cas dans son ouvrage de référence « The Challenger Launch Decision » (1996). Elle y introduit le concept de normalisation de la déviance.

Dans les organisations hautement standardisées, les écarts mineurs répétés qui ne produisent pas d’accident immédiat finissent par être intégrés dans la norme. Les joints avaient présenté des anomalies lors de vols précédents. Ces anomalies avaient été documentées, analysées, et classées comme acceptables dans le cadre du processus d’évaluation des risques.

La déviance était devenue la norme. Le processus avait normalisé ce qu’il aurait dû signaler.

La mécanique structurelle : Pourquoi standardiser produit de l’imprévu

Ces trois cas n’ont pas grand-chose en commun sur le plan sectoriel, mais ils partagent exactement le même mécanisme structurel, décliné en cinq dynamiques qui se renforcent mutuellement.

La métaphore de la canalisation sous pression

Imaginons un réseau hydraulique dans une ville ancienne. Avec le temps, les gestionnaires ont renforcé, blindé, isolé chaque section jugée critique. Celles qui avaient déjà cédé, celles dont la pression était mesurée, celles qui alimentaient les quartiers prioritaires. Le réseau est parfaitement documenté dans ces zones puisque les techniciens maîtrisent chaque soudure.

Mais la pression dans le réseau ne diminue pas. Elle se redistribue, s’accumule dans les jonctions non renforcées, dans les coudes oubliés, dans les vieilles sections qui n’ont jamais été dans le périmètre des inspections parce qu’elles n’avaient jamais posé de problème.

Le jour où la canalisation cède, ce n’est pas dans une zone surveillée. C’est exactement là où personne ne regardait parce que toute l’attention avait été concentrée ailleurs.

C’est la dynamique structurelle de la standardisation dans les systèmes complexes. L’effort de maîtrise est réel. La maîtrise perçue est réelle. La vulnérabilité créée l’est aussi. Elle est simplement invisible, précisément parce qu’elle s’est développée dans les zones où le regard n’allait pas.

La compensation informelle : Le vrai système qui fait tourner l’organisation

Dans toute organisation fortement standardisée, un système parallèle apparaît :

• ajustements officieux,
• raccourcis pratiques,
• arbitrages tacites,
• exceptions tolérées en silence.

Ce système n’est pas pathologique. Il est compensatoire, et permet au réel de circuler là où la norme est trop étroite pour le contenir.

Les enquêteurs du Congrès américain sur le 737 MAX ont documenté ce phénomène avec précision.

Mark Forkner, pilote en chef de Boeing pour le programme 737 MAX, découvre dans le simulateur en novembre 2016 que le MCAS a été élargi à des conditions moins extrêmes que prévu, et s’active donc plus souvent.

Il écrit à un collègue : « Je mens vraisemblablement à la FAA » (« I basically lied to the FAA« ) dans les documents de formation. Sa recommandation est ne pas mentionner le MCAS dans les bulletins de formation. La recommandation est suivie. Ce n’est pas une exception au système, c’est la façon dont le système a fonctionné pour tenir ses contraintes commerciales.

Le management croyait piloter le processus formel. Le travail réel s’effectuait ailleurs, et plus l’écart entre la norme et la réalité grandissait, plus l’imprévu accumulait sa charge dans les zones non cartographiées.

Le paradoxe de la conformité maximale

Dans les environnements les plus réglementés – santé, finance, aéronautique, nucléaire – la standardisation est vitale. Elle a sauvé des milliers de vies. La liste de vérification préopératoire introduite par Atul Gawande dans les blocs opératoires a réduit les infections et les erreurs médicales de manière documentée. Les check-lists de l’aviation ont transformé un mode de transport dangereux en le plus sûr qui soit.

Mais même dans ces secteurs, les incidents majeurs ne proviennent pas d’un manque de règles. Ils proviennent :

• d’une interaction imprévue entre règles,
• d’une rigidité face à un cas atypique,
• ou d’un excès de confiance dans la procédure.

Plus le système est conçu pour éliminer l’erreur simple, plus il concentre la vulnérabilité dans des zones complexes que les procédures ne peuvent pas cartographier d’avance.

Charles Perrow a nommé ce phénomène avec une précision qui n’a pas vieilli depuis 1984. Les organisations à risque élevé et à couplage serré produisent des accidents normaux. Pas parce que les individus sont incompétents, mais parce que la complexité des interactions dépasse structurellement la capacité des règles à les anticiper.

Ce que l’analyse systémique change à la question

L’approche classique du management face à un incident grave suit invariablement la même séquence :

• identifier la défaillance,
• corriger la procédure,
• former le personnel,
• documenter.

Boeing a rappelé ses ingénieurs. La FAA a renforcé son programme de supervision. Toyota a revu ses procédures de remontée d’alerte. Ces corrections sont nécessaires mais insuffisantes.

L’analyse systémique pose une question différente :

• Où la variabilité s’est-elle déplacée après cette correction ?
• Quel nouvel angle mort a été créé par le renforcement de la zone qui a failli ?
• Quelle interaction entre les nouvelles règles et les règles existantes n’a pas encore été testée ?

Ce n’est pas du pessimisme, c’est de la rigueur. Un système qui prétend avoir éliminé la possibilité de l’imprévu a simplement déplacé l’imprévu dans une zone où il ne le cherche plus.

Ce que cela implique concrètement pour les organisations

Il ne s’agit pas d’abandonner les processus mais de les concevoir avec une lucidité sur ce qu’ils font et ce qu’ils ne peuvent pas faire.

Synthèse systémique

La dynamique est simple dans sa structure, complexe dans ses manifestations :

• Standardisation,
• Réduction locale de la variabilité,
• Déplacement de la variance vers les marges non couvertes,
• Rigidification progressive et coût croissant de la dérogation,
• Normalisation des écarts mineurs,
• Compensation informelle dans les zones non cartographiées,
• Interaction complexe entre composants conformes,
• Imprévu émergent violent et non anticipé.

Ce n’est pas une défaillance humaine. C’est une propriété structurelle des systèmes organisés soumis à une pression de standardisation croissante.

Boeing n’a pas produit des ingénieurs incompétents. Toyota n’a pas cessé de vouloir la qualité. La NASA n’a pas décidé d’ignorer la sécurité. Chaque organisation a fait fonctionner ses processus exactement comme prévu, et c’est précisément pour cette raison que l’imprévu a émergé là où personne ne le cherchait.

Questions fréquentes

La standardisation est-elle réellement la cause des catastrophes comme le 737 MAX ?

Pas au sens où elle en serait la cause unique ou directe. La standardisation excessive n’est pas ce qui a tué 346 personnes. La conception défaillante du MCAS et la dissimulation d’informations à la FAA y ont directement contribué. Ce que l’analyse systémique révèle, c’est le mécanisme en amont : la logique de certification comme variante connue était une décision de processus qui a créé les conditions dans lesquelles les défauts techniques ont pu passer. Supprimer les défauts techniques sans comprendre la logique processuelle qui les a rendus invisibles revient à traiter le symptôme sans traiter la dynamique.

Si les processus créent de l’imprévu, faut-il réduire la standardisation ?

Non, et c’est la mauvaise question. La standardisation a sauvé des millions de vies dans l’aviation, la médecine et l’industrie. La question pertinente est d’identifier pour quel type de situations ce processus a-t-il été conçu, et qu’est-ce qui se passe quand la situation sort de ce périmètre. Un processus bien conçu doit inclure des zones de flexibilité légitimes,  définir explicitement quand et comment déroger sans que la dérogation soit vécue comme une faute. C’est la différence entre une règle et un protocole intelligent.

Comment Toyota – modèle mondial du management par les processus – a-t-il pu rater ce rappel ?

C’est précisément ce qui en fait un cas d’étude aussi riche. Le TPS prévoit explicitement les mécanismes d’alerte (le cordon andon, le système de remontée des défauts). Ce qui a failli, c’est la condition culturelle d’activation de ces mécanismes. En effet, les opérateurs n’utilisent le cordon andon que s’ils sont dans une culture où signaler un problème est valorisé plutôt que sanctionné. Dans les unités de production internationales où Toyota avait exporté ses processus sans exporter complètement sa culture, les procédures existaient formellement et n’étaient pas activées en pratique. Là encore, l’écart entre processus formel et comportement réel est la zone aveugle.

La normalisation de la déviance décrite pour Challenger est-elle un phénomène rare ou courant ?

Courant et largement sous-estimé. Diane Vaughan, qui a forgé le concept après sept ans d’analyse du cas Challenger, a montré que ce mécanisme est présent dans toute organisation soumise à des pressions de performance répétées. On le retrouve dans les hôpitaux (raccourcis de procédures de désinfection tolérés faute de temps), dans la finance (dépassements de limites d’exposition tolérés quand les marchés sont favorables), dans l’industrie agro-alimentaire (tolérances de contrôle élargies pendant les pics de production). Le dénominateur commun, c’est un écart qui ne produit pas immédiatement de conséquences visibles finit par être intégré comme acceptable.

Comment savoir si mon organisation a déjà produit des zones aveugles par excès de standardisation ?

Le signe le plus fiable est l’existence d’un système informel parallèle robuste. Des pratiques tacitement acceptées qui s’écartent du processus officiel, des façons de faire vraiment que les anciens transmettent aux nouveaux arrivants mais qui ne figurent dans aucun manuel. Ce système n’est pas pathologique. Il indique que le processus officiel ne couvre pas entièrement le réel. La question diagnostique est donc : cet écart est-il mesuré ? Est-il analysé ? Ou est-il toléré en silence parce que le résultat global est acceptable ? Si la troisième réponse est la bonne, la zone aveugle est active.

Références

Sources primaires et rapports d’enquête

• House Committee on Transportation and Infrastructure (2020) – The Boeing 737 MAX Aircraft: Costs, Consequences, and Lessons from its Design, Development, and Certification – U.S. House of Representatives, Washington D.C., septembre 2020 (le rapport d’enquête parlementaire le plus complet sur le processus de certification)
• Seattle Times Investigations (2019) – « Flawed Analysis, Failed Oversight : How Boeing, FAA Certified the Suspect 737 MAX Flight Control System » – The Seattle Times, mars 2019 (l’enquête journalistique de référence sur les défaillances de la certification MCAS)
• Rogers Commission (1986) – « Report of the Presidential Commission on the Space Shuttle Challenger Accident » – Washington D.C (le rapport d’enquête officiel qui documente la chaîne décisionnelle du 28 janvier 1986)

Sources académiques et ouvrages de référence

• Vaughan, D. (1996) – « The Challenger Launch Decision : Risky Technology, Culture, and Deviance at NASA » – University of Chicago Press (la référence absolue sur la normalisation de la déviance dans les organisations à haute fiabilité)
• Perrow, C. (1984) – « Normal Accidents: Living with High-Risk Technologies » – Basic Books, New York (le cadre théorique fondateur sur les accidents systémiques dans les organisations complexes et couplées)
• Reason, J. (1990) – « Human Error » – Cambridge University Press (l’analyse des mécanismes cognitifs et organisationnels qui conduisent aux défaillances dans les systèmes complexes)
• Dekker, S. (2011) – « Drift Into Failure : From Hunting Broken Components to Understanding Complex Systems » – Ashgate, Farnham (comment les organisations dérivent vers l’accident par accumulation de décisions localement rationnelles)

Sources francophones

• Morin, E. (2005) – « Introduction à la pensée complexe » – Éditions du Seuil, Paris (le cadre épistémologique des boucles rétroactives et des dynamiques non linéaires dans les systèmes organisés)
• Silberzahn, P. (2014) – « Bienvenue en incertitude – Profession entrepreneur« – Pearson France, Paris (la navigation stratégique en environnement complexe. Référence francophone directement opérationnelle)
• Dupuy, J.-P. (2002) – « Pour un catastrophisme éclairé » – Éditions du Seuil, Paris (l’analyse philosophique et systémique de notre incapacité à intégrer les signaux annonciateurs des catastrophes)
• Hollnagel, E., Pariès, J., Woods, D.D. & Wreathall, J. (dir.) (2011) – « Resilience Engineering in Practice » – trad. et diffusion en France via IRSN (Institut de Radioprotection et de Sûreté Nucléaire) (la méthodologie des organisations à haute fiabilité applicable aux organisations non nucléaires)
• Faverge, J.-M. & Leplat, J. (1983) – « L’homme comme facteur de fiabilité et d’insécurité dans les processus industriels » – Travail Humain, vol. 46, n° 2, pp. 281–286 (pionnier francophone de l’analyse des interactions entre standardisation et comportement humain réel)
• Hollnagel, E. (trad. 2013) – « FRAM : La méthode d’analyse de la résonance fonctionnelle«  – Édition française coordonnée par l’Institut pour une Culture de Sécurité Industrielle (ICSI), Toulouse (la méthode d’analyse des interactions dans les systèmes complexes, directement applicable au diagnostic des zones aveugles)

Ressources en ligne

• ICSI – Institut pour une Culture de Sécurité Industrielle, Toulouse – Publications et retours d’expérience sur la gestion des risques organisationnels (ressource francophone de premier plan)
• IRSN – Facteurs organisationnels et humains – Analyses des dynamiques organisationnelles dans les secteurs à risque élevé
• Noos Systemic – Organisation et travail – Analyses systémiques des configurations organisationnelles et de leurs dynamiques