Standardiser ne supprime pas la variabilité. Cela en change la localisation et la forme. Plus la couverture est dense, plus les zones non couvertes deviennent invisibles, et plus l’imprévu qui en émerge est disproportionné. Ce n’est pas un défaut de mise en œuvre, c’est une propriété structurelle de tout système organisé.
Le 29 octobre 2018, le vol Lion Air JT610 s’écrase dans la mer de Java treize minutes après le décollage. 189 morts. Le 10 mars 2019, le vol Ethiopian Airlines ET302 s’écrase six minutes après le décollage d’Addis-Abeba (157 morts).
En cinq mois, 346 personnes ont péri à bord d’un appareil qui avait été certifié selon les procédures les plus rigoureuses de l’aviation civile mondiale.
Le PDG de Boeing, Dennis Muilenburg, déclare le 29 avril 2019, soit un mois après le second crash, avec 346 morts comptabilisés : « Nous avons confirmé que le système MCAS a été conçu selon nos normes, certifié selon nos normes, et nous sommes confiants dans ce processus ».
Cette phrase est le cas d’école parfait. Non pas parce qu’elle est fausse – le processus avait bien été suivi – mais, précisément, parce qu’elle est vraie, et que 346 personnes sont mortes quand même.
La promesse du processus et ce qu’elle cache
Dans les organisations contemporaines, le processus est devenu l’outil central du pilotage : cartographies, certifications ISO, workflows numériques, check-lists, playbooks, scripts commerciaux, parcours clients normés. Tout est conçu pour réduire l’incertitude.
L’intention est légitime. La variabilité coûte cher. L’erreur expose. L’imprévu déstabilise. Un processus vise trois objectifs explicites : réduire la dispersion des pratiques, garantir une qualité homogène, sécuriser l’exécution. Il transforme un savoir tacite en séquence explicite, remplace la décision locale par une règle, et substitue la liberté d’interprétation par un cadre partagé. Dans un environnement stable et répétitif, cela fonctionne avec une efficacité remarquable.
Dans un environnement complexe, cela change la nature du problème.
La prémisse silencieuse de tout processus est celle-ci : les situations à venir ressembleront aux situations passées qui ont servi à concevoir le processus. Quand cette prémisse est fausse, le processus continue de fonctionner mais il optimise la réponse à des situations qui ne sont plus là.
Boeing 737 MAX : Quand le processus construit l’angle mort
Pour comprendre ce qui s’est passé chez Boeing, il faut comprendre la logique de la décision initiale.
En 2011, Airbus lance l’A320neo avec de nouveaux moteurs plus économes. American Airlines, client historique de Boeing, commande directement 260 appareils Airbus sans passer par Boeing. Urgence commerciale oblige, Boeing décide de moderniser le 737 – l’avion le plus vendu de l’histoire – plutôt que de concevoir un appareil entièrement nouveau, ce qui aurait coûté 15 à 20 milliards de dollars et pris dix ans.
Les nouveaux moteurs sont plus grands et doivent être repositionnés plus en avant sur l’aile. Ce déplacement modifie l’aérodynamique au point que l’avion tend à se cabrer en montée.
Boeing conçoit un logiciel correcteur, le MCAS (Maneuvering Characteristics Augmentation System), qui abaisse automatiquement le nez de l’appareil quand il détecte un angle d’attaque excessif.
Décision critique : le MCAS est alimenté par un seul capteur d’angle d’attaque sur deux. Aucune redondance.
Ce qui est structurellement frappant dans le cas Boeing n’est pas la fraude, même si elle est documentée. C’est que chaque décision, prise isolément, était cohérente avec le processus en vigueur.
Le MCAS classé en modification mineure : conforme. La suppression du manuel de vol : conforme. La délégation de la certification à Boeing lui-même via le programme ODA de la FAA : conforme.
L’interaction entre toutes ces décisions conformes a produit un système mortellement défaillant.
C’est précisément ce que les théoriciens des systèmes appellent un accident normal (le terme est de Charles Perrow), sociologue américain qui a analysé l’accident de Three Mile Island en 1979. Dans les systèmes hautement couplés et complexes, les accidents graves ne viennent pas de défaillances isolées, mais d’interactions imprévues entre des composants qui fonctionnent chacun correctement.
Toyota 2009 : Le paradoxe de l’excellence qualité
Toyota est l’inverse symétrique de Boeing. Là où Boeing a sous-estimé un risque technique pour des raisons commerciales, Toyota a sur-standardisé au point de créer une zone aveugle dans son propre système qualité.
Le Toyota Production System est le modèle de production le plus étudié, le plus copié et le plus admiré du monde industriel depuis les années 1980. Il repose sur deux piliers : le jidoka (arrêt automatique en cas de défaut), et le kaizen (amélioration continue). La standardisation y est un outil de respect et d’amélioration, chaque opération est documentée, chaque déviation est un signal d’apprentissage. En théorie.
En pratique, au tournant des années 2000, Toyota a connu une croissance extraordinaire. En 2008, le constructeur dépasse General Motors et devient le premier constructeur mondial avec 8,97 millions de véhicules vendus. Cette croissance s’est accompagnée d’une accélération du rythme de développement, d’une expansion géographique massive des sites de production, et d’une pression croissante sur les fournisseurs.
Le TPS, conçu pour une organisation de taille humaine dans laquelle chaque opérateur peut interpeller la chaîne, a été exporté mécaniquement dans des contextes où la culture d’alerte n’existait pas.
En août 2009, une Lexus ES350 de location s’emballe à San Diego. Quatre membres de la famille Saylor meurent. La cause initiale : un tapis de sol inadapté bloquant la pédale d’accélérateur. Mais les investigations révèlent autre chose : une tendance connue des ingénieurs Toyota à la dérive de certaines pédales d’accélérateur dans des conditions d’usure spécifiques. Les ingénieurs le savaient. Le processus formel de remontée d’alerte n’avait pas fait remonter au niveau décisionnel.
12 millions de véhicules rappelés en 2009-2010, une amende record d’1,2 milliard de dollars versée en 2014, une chute de 16 % de l’action en six séances, une perte estimée à 1,4 milliard d’euros pour les seules opérations de rappel.
La navette Challenger : L’imprévu fabriqué par l’accumulation de conformités
Le 28 janvier 1986, la navette spatiale Challenger explose 73 secondes après le décollage de Cap Canaveral. Sept astronautes meurent. La cause technique est identifiée rapidement : la défaillance d’un joint torique sur le propulseur droit, incapable de résister aux températures de la nuit précédente (moins 8°C à Cap Canaveral, bien en dehors des conditions d’utilisation prévues).
Ce que la commission Rogers a ensuite documenté est plus révélateur que la cause technique. La veille du lancement, les ingénieurs de Morton Thiokol, le fabricant des propulseurs, avaient alerté la NASA. Roger Boisjoly, ingénieur spécialiste des joints, avait rédigé des mémos d’alerte six mois plus tôt sur les risques des joints à basse température. La nuit du 27 janvier, il supplie ses supérieurs de recommander l’annulation.
Ce qui se passe ensuite est un exemple clinique de ce que les organisations font avec les exceptions : elles les requalifient en non-conformités procédurales. Lors de la téléconférence de décision, le manager de Thiokol demande à Boisjoly et ses collègues de retirer leur chapeau d’ingénieur et de mettre leur chapeau de manager.
La décision est prise dans le cadre formel de la procédure de certification de vol, et la procédure est respectée. Le lancement est autorisé. Le processus a fonctionné parfaitement.
Diane Vaughan, sociologue à Columbia University, a analysé ce cas dans son ouvrage de référence The Challenger Launch Decision (1996). Elle y introduit le concept de normalisation de la déviance.
Dans les organisations hautement standardisées, les écarts mineurs répétés qui ne produisent pas d’accident immédiat finissent par être intégrés dans la norme. Les joints avaient présenté des anomalies lors de vols précédents. Ces anomalies avaient été documentées, analysées, et classées comme acceptables dans le cadre du processus d’évaluation des risques.
La déviance était devenue la norme. Le processus avait normalisé ce qu’il aurait dû signaler.
La mécanique structurelle : Pourquoi standardiser produit de l’imprévu
Ces trois cas n’ont pas grand-chose en commun sur le plan sectoriel, mais ils partagent exactement le même mécanisme structurel, décliné en cinq dynamiques qui se renforcent mutuellement.
Un processus réduit la variabilité à l’endroit où il opère, mais dans tout système vivant, la variabilité est structurelle. En la comprimant localement, on l’augmente ailleurs. Chez Boeing, la variabilité des comportements en vol a été transférée dans le domaine logiciel qui n’était pas dans le périmètre d’examen principal de la certification.
Plus un processus est formalisé, plus il devient coûteux de s’en écarter. Progressivement, les acteurs cessent d’ajuster, même quand la situation l’exige. Chez Toyota, les opérateurs de production hors Japon n’utilisaient pratiquement pas le cordon andon. Tirer la corde, c’était risquer d’être vu comme un perturbateur.
Un processus définit ce qui doit être vu, mesuré et contrôlé. Ce qui n’est pas dans le processus cesse progressivement d’exister pour l’organisation. L’interaction entre le comportement du MCAS et une défaillance de capteur en conditions réelles n’était ni mesurée, ni anticipée.
Les écarts mineurs répétés qui ne produisent pas d’accident immédiat sont progressivement intégrés dans la norme acceptable. Le système apprend non pas que ces écarts sont dangereux, mais qu’ils sont gérables. La tolérance s’élargit imperceptiblement.
Si tout est prescrit, pourquoi comprendre la logique ? Les pilotes du 737 MAX n’avaient pas à comprendre le MCAS. Ils devaient suivre les procédures d’urgence standard. Quand la situation ne correspondait pas exactement aux procédures prévues, ils manquaient du cadre conceptuel pour diagnostiquer ce qui se passait.
La métaphore de la canalisation sous pression
Imaginons un réseau hydraulique dans une ville ancienne. Avec le temps, les gestionnaires ont renforcé, blindé, isolé chaque section jugée critique. Celles qui avaient déjà cédé, celles dont la pression était mesurée, celles qui alimentaient les quartiers prioritaires. Le réseau est parfaitement documenté dans ces zones puisque les techniciens maîtrisent chaque soudure.
Mais la pression dans le réseau ne diminue pas. Elle se redistribue, s’accumule dans les jonctions non renforcées, dans les coudes oubliés, dans les vieilles sections qui n’ont jamais été dans le périmètre des inspections parce qu’elles n’avaient jamais posé de problème.
Le jour où la canalisation cède, ce n’est pas dans une zone surveillée. C’est exactement là où personne ne regardait parce que toute l’attention avait été concentrée ailleurs.
C’est la dynamique structurelle de la standardisation dans les systèmes complexes. L’effort de maîtrise est réel. La maîtrise perçue est réelle. La vulnérabilité créée l’est aussi. Elle est simplement invisible, précisément parce qu’elle s’est développée dans les zones où le regard n’allait pas.
La compensation informelle : Le vrai système qui fait tourner l’organisation
Dans toute organisation fortement standardisée, un système parallèle apparaît : ajustements officieux, raccourcis pratiques, arbitrages tacites, exceptions tolérées en silence. Ce système n’est pas pathologique. Il est compensatoire, et permet au réel de circuler là où la norme est trop étroite pour le contenir.
Les enquêteurs du Congrès américain sur le 737 MAX ont documenté ce phénomène avec précision. Mark Forkner, pilote en chef de Boeing pour le programme 737 MAX, découvre dans le simulateur en novembre 2016 que le MCAS a été élargi à des conditions moins extrêmes que prévu. Il écrit à un collègue : « Je mens vraisemblablement à la FAA » (« I basically lied to the FAA« ) dans les documents de formation. Sa recommandation est de ne pas mentionner le MCAS dans les bulletins de formation. La recommandation est suivie. Ce n’est pas une exception au système, c’est la façon dont le système a fonctionné pour tenir ses contraintes commerciales.
Le management croyait piloter le processus formel. Le travail réel s’effectuait ailleurs, et plus l’écart entre la norme et la réalité grandissait, plus l’imprévu accumulait sa charge dans les zones non cartographiées.
Le paradoxe de la conformité maximale
Dans les environnements les plus réglementés – santé, finance, aéronautique, nucléaire – la standardisation est vitale. Elle a sauvé des milliers de vies. La liste de vérification préopératoire introduite par Atul Gawande dans les blocs opératoires a réduit les infections et les erreurs médicales de manière documentée. Les check-lists de l’aviation ont transformé un mode de transport dangereux en le plus sûr qui soit.
Mais même dans ces secteurs, les incidents majeurs ne proviennent pas d’un manque de règles. Ils proviennent d’une interaction imprévue entre règles, d’une rigidité face à un cas atypique, ou d’un excès de confiance dans la procédure.
Plus le système est conçu pour éliminer l’erreur simple, plus il concentre la vulnérabilité dans des zones complexes que les procédures ne peuvent pas cartographier d’avance.
Charles Perrow a nommé ce phénomène avec une précision qui n’a pas vieilli depuis 1984. Les organisations à risque élevé et à couplage serré produisent des accidents normaux. Pas parce que les individus sont incompétents, mais parce que la complexité des interactions dépasse structurellement la capacité des règles à les anticiper.
Ce que l’analyse systémique change à la question
L’approche classique du management face à un incident grave suit invariablement la même séquence : identifier la défaillance, corriger la procédure, former le personnel, documenter. Boeing a rappelé ses ingénieurs. La FAA a renforcé son programme de supervision. Toyota a revu ses procédures de remontée d’alerte. Ces corrections sont nécessaires mais insuffisantes.
L’analyse systémique pose une question différente : où la variabilité s’est-elle déplacée après cette correction ? Quel nouvel angle mort a été créé par le renforcement de la zone qui a failli ? Quelle interaction entre les nouvelles règles et les règles existantes n’a pas encore été testée ?
Ce n’est pas du pessimisme, c’est de la rigueur. Un système qui prétend avoir éliminé la possibilité de l’imprévu a simplement déplacé l’imprévu dans une zone où il ne le cherche plus.
Ce que cela implique concrètement pour les organisations
Il ne s’agit pas d’abandonner les processus mais de les concevoir avec une lucidité sur ce qu’ils font et ce qu’ils ne peuvent pas faire.
01
Où va la variabilité que ce processus comprime ?
Ce processus réduit l’imprévu à cet endroit, mais où se concentre la variabilité qu’il n’absorbe pas ? Est-ce une zone surveillée ? Est-ce une zone dont quelqu’un est responsable ? La réponse honnête à cette question cartographie les angles morts réels.
02
Les exceptions sont-elles traitées comme des signaux ou comme des anomalies ?
Si la réponse organisationnelle aux exceptions est « pourquoi n’avez-vous pas respecté la procédure ? », le processus détruit sa propre capacité d’apprentissage. Les exceptions sont les premières manifestations d’un décalage entre la carte et le territoire.
03
Existe-t-il un système informel parallèle ?
Quel est l’écart entre ce que le processus formel prescrit et ce que les opérateurs font réellement ? Cet écart n’est pas un problème de discipline. C’est un signal sur les limites du processus. Sa mesure est une information stratégique que la plupart des organisations ne collectent délibérément jamais.
04
Le processus est-il révisé selon l’évolution du contexte, ou selon la survenue d’un incident ?
Un processus stable dans un environnement changeant est un processus qui se dégrade silencieusement. Sa stabilité n’est pas un signe de robustesse, c’est un indicateur d’obsolescence progressive. La révision périodique proactive est la différence entre un système d’alerte précoce et un système de constat post-mortem.
Synthèse systémique
La dynamique est simple dans sa structure, complexe dans ses manifestations : standardisation, réduction locale de la variabilité, déplacement de la variance vers les marges non couvertes, rigidification progressive et coût croissant de la dérogation, normalisation des écarts mineurs, compensation informelle dans les zones non cartographiées, interaction complexe entre composants conformes, imprévu émergent violent et non anticipé.
Ce n’est pas une défaillance humaine. C’est une propriété structurelle des systèmes organisés soumis à une pression de standardisation croissante.
Boeing n’a pas produit des ingénieurs incompétents. Toyota n’a pas cessé de vouloir la qualité. La NASA n’a pas décidé d’ignorer la sécurité. Chaque organisation a fait fonctionner ses processus exactement comme prévu, et c’est précisément pour cette raison que l’imprévu a émergé là où personne ne le cherchait.
Un bon processus réduit le bruit sans étouffer le signal. Quand il devient trop étroit, le réel trouve toujours un chemin. La question stratégique n’est pas « avons-nous assez de processus ? » mais « savons-nous précisément où nos processus fabriquent l’imprévu qu’ils prétendent éliminer ? ».
Ce que vous venez de lire n’est pas un cas isolé. C’est une structure qui se répète. Tant que vous intervenez au mauvais endroit, rien ne change, même avec de bonnes décisions.
Noos identifie en quelques minutes le point précis où le système se bloque, et ce qui maintient le problème en place.
Questions fréquentes
- House Committee on Transportation and Infrastructure (2020) – The Boeing 737 MAX Aircraft: Costs, Consequences, and Lessons from its Design, Development, and Certification – U.S. House of Representatives, septembre 2020
- Seattle Times Investigations (2019) – « Flawed Analysis, Failed Oversight : How Boeing, FAA Certified the Suspect 737 MAX Flight Control System » – The Seattle Times, mars 2019
- Rogers Commission (1986) – Report of the Presidential Commission on the Space Shuttle Challenger Accident – Washington D.C.
- Vaughan, D. (1996) – The Challenger Launch Decision : Risky Technology, Culture, and Deviance at NASA – University of Chicago Press (la référence absolue sur la normalisation de la déviance dans les organisations à haute fiabilité)
- Perrow, C. (1984) – Normal Accidents: Living with High-Risk Technologies – Basic Books, New York (le cadre théorique fondateur sur les accidents systémiques dans les organisations complexes et couplées)
- Reason, J. (1990) – Human Error – Cambridge University Press
- Dekker, S. (2011) – Drift Into Failure : From Hunting Broken Components to Understanding Complex Systems – Ashgate, Farnham
- Morin, E. (2005) – Introduction à la pensée complexe – Éditions du Seuil, Paris
- Silberzahn, P. (2014) – Bienvenue en incertitude – Profession entrepreneur – Pearson France, Paris
- Dupuy, J.-P. (2002) – Pour un catastrophisme éclairé – Éditions du Seuil, Paris
- Hollnagel, E., Pariès, J., Woods, D.D. & Wreathall, J. (dir.) (2011) – Resilience Engineering in Practice – diffusion en France via IRSN
- Faverge, J.-M. & Leplat, J. (1983) – « L’homme comme facteur de fiabilité et d’insécurité dans les processus industriels » – Travail Humain, vol. 46, n° 2, pp. 281–286
- Hollnagel, E. (trad. 2013) – FRAM : La méthode d’analyse de la résonance fonctionnelle – Édition française coordonnée par l’Institut pour une Culture de Sécurité Industrielle (ICSI), Toulouse
- ICSI – Institut pour une Culture de Sécurité Industrielle, Toulouse – Publications et retours d’expérience sur la gestion des risques organisationnels
- IRSN – Facteurs organisationnels et humains – Analyses des dynamiques organisationnelles dans les secteurs à risque élevé
- Noos Systemic – Organisation et travail – Analyses systémiques des configurations organisationnelles et de leurs dynamiques