Data et HSE : passer du suivi des incidents au pilotage de la prévention

Un tableau de bord vert ne prouve pas que les risques sont maîtrisés

Zéro accident déclaré, 98 % d’inspections réalisées, 95 % d’actions clôturées : ces chiffres peuvent sembler rassurants. Ils laissent pourtant plusieurs questions ouvertes. Les situations les plus exposées ont-elles été observées ? Les inspections ont-elles vérifié le fonctionnement réel des protections ? Une action clôturée a-t-elle corrigé le problème ou simplement produit un document ?

Les données HSE, pour hygiène, sécurité et environnement, deviennent utiles lorsqu’elles relient les événements observés aux conditions de travail et aux décisions. Le nombre d’incidents dépend aussi du volume d’activité, des expositions et de la facilité à signaler. Une baisse peut accompagner une amélioration réelle, un arrêt de production ou une dégradation des remontées d’information.

Le sujet de cet article est le pilotage opérationnel de la prévention : quelles informations regarder, comment les interpréter et quelle action engager. La fiabilisation des consolidations HSE reste un préalable distinct. Un tableau de bord complète l’évaluation des risques et l’observation du travail ; il ne permet pas, à lui seul, de conclure qu’une situation est sûre.

Partir des risques et des décisions, avant de sélectionner les données

Commencez par un risque prioritaire identifié avec les équipes HSE et opérationnelles. Pour ce risque, décrivez le scénario redouté, les situations d’exposition et les mesures qui doivent empêcher sa réalisation ou limiter ses conséquences. Le guide HSG254 du Health and Safety Executive propose cette logique pour les risques liés aux procédés : vérifier que les systèmes de maîtrise fonctionnent comme prévu. Son cadre britannique n’est pas une obligation réglementaire française.

Traduisez ensuite le problème en question de gestion : quelles protections demandent une intervention ? Quelles situations récurrentes nécessitent de revoir l’organisation ? Quel responsable doit arbitrer un délai ou une ressource ? Sans décision identifiée, l’indicateur risque de rejoindre une présentation mensuelle sans modifier le travail.

Pour concevoir une fiche de pilotage, nous proposons cinq champs : risque concerné, information attendue, source disponible, responsable de l’examen et suite à donner. Ajoutez la fréquence utile. Une revue mensuelle peut convenir à certaines tendances ; elle ne remplace pas les circuits opérationnels prévus pour traiter immédiatement une situation dangereuse. La fréquence dépend du risque et du fonctionnement de l’activité.

Associer résultats, prévention et qualité de l’observation

L’OSHA distingue les indicateurs de résultat, qui décrivent des événements survenus, et les indicateurs proactifs, qui renseignent les activités de prévention. Les deux se complètent. Un indicateur proactif ne prédit pas mécaniquement le prochain accident : il apporte une information sur un dispositif que l’entreprise veut maîtriser.

Pour construire un tableau de bord concret, séparez aussi le volume d’activité de prévention, la qualité des vérifications et le traitement des écarts. Le tableau suivant est une grille de conception proposée, à adapter au risque étudié. Aucune ligne ne constitue une preuve suffisante prise isolément.

Relier les événements, les contrôles et les actions sans tout confondre

Le modèle de données doit distinguer les objets. Un événement peut conduire à plusieurs actions ; une même action peut répondre à plusieurs constats. Une inspection comprend plusieurs points de contrôle. Si chaque ligne d’action est comptée comme un événement, un incident associé à quatre actions devient artificiellement quatre incidents dans le rapport.

Utilisez des identifiants stables pour le site, la zone ou l’équipement, le risque, l’événement, le contrôle et l’action. Conservez leurs relations dans des liens explicites. Pour un contrôle, prévoyez le critère attendu, le résultat observé, la date, la preuve utile et un statut distinct pour « non réalisé », « non applicable » et « non conforme ». Une absence de saisie ne doit jamais devenir une conformité par défaut.

Séparez également date d’événement, date de déclaration et date de validation. Cela permet de comprendre une remontée tardive sans déplacer artificiellement les faits. Les corrections doivent rester traçables. Des nomenclatures courtes et des exemples partagés sont souvent plus efficaces qu’un formulaire très détaillé dont chacun interprète différemment les catégories.

Analyser les presque-accidents sans transformer leur nombre en objectif

L’INRS recommande de conserver les informations sur les accidents, y compris bénins, mais aussi sur les presque-accidents et les incidents. Ces événements alimentent l’apprentissage. Leur nombre ne se lit pas comme un thermomètre univoque : davantage de déclarations peut révéler plus de situations problématiques ou une meilleure capacité à les faire remonter.

Organisez un examen qui distingue conséquence réelle et gravité potentielle plausible. Cette dernière doit être motivée par le scénario et examinée par des personnes compétentes ; une étiquette spectaculaire ajoutée automatiquement ne suffit pas. Un événement sans blessure peut justifier une attention forte si une protection importante a échoué. À l’inverse, toutes les remontées ne demandent pas une enquête de même ampleur.

Une fiche courte peut réunir faits observés, contexte d’activité, mesure de maîtrise concernée, conséquence possible argumentée et responsable de l’examen. Évitez les objectifs individuels de quantité de signalements. Donnez plutôt de la visibilité sur les suites : accusé de réception, décision expliquée et retour aux équipes. Le dispositif doit permettre de parler des difficultés du travail, sans réduire l’analyse à la recherche d’une faute individuelle.

Exemple fictif : 95 % de contrôles réalisés, mais quelle qualité de prévention ?

Prenons un site logistique fictif qui suit la séparation entre circulations piétonnes et engins. Il programme 100 observations sur le mois. Les critères et le choix des situations ont été définis par les responsables de prévention ; l’exemple illustre uniquement la lecture des données, pas une procédure de sécurité à appliquer.

Sur 95 observations réalisées, 90 dossiers contiennent les éléments nécessaires pour vérifier le résultat. Parmi ces 90 observations documentées, 81 satisfont les critères retenus et 9 présentent un écart. Les cinq observations non réalisées et les cinq dossiers insuffisamment documentés restent visibles. Le taux de réalisation de 95 % raconte donc une autre histoire que le taux de résultats satisfaisants de 90 % sur les seuls contrôles évaluables.

• Vérifier si le programme couvre les équipes, horaires et zones réellement concernés, plutôt que seulement les situations faciles à observer.
• Examiner les écarts selon leur nature et leur criticité ; une moyenne favorable peut masquer un défaut majeur.
• Traiter les données manquantes comme une incertitude à résoudre, puis décider des suites avec les responsables compétents.

Distinguer une action terminée d’une action efficace

L’INRS distingue le suivi de la réalisation des actions de l’évaluation de leur impact, notamment pour vérifier qu’elles ne créent pas de nouveaux risques. Cette distinction doit exister dans les données. « Terminée » signifie que la mesure prévue a été mise en œuvre ; « efficacité vérifiée » exige une observation complémentaire adaptée.

Nous conseillons d’enregistrer séparément échéance, réalisation, méthode de vérification, date de réexamen et conclusion. Une action peut alors être réalisée mais en attente de vérification, jugée insuffisante ou rouverte. Ne forcez pas tous ces états dans une case unique « clôturée ».

Pour une revue opérationnelle, montrez les actions prioritaires en retard, l’ancienneté des dossiers en attente de vérification et les problèmes récurrents. Un délai moyen de clôture peut masquer quelques situations durablement bloquées. L’absence d’un nouvel incident sur une courte période ne constitue pas, à elle seule, une preuve d’efficacité : vérifiez les conditions que l’action devait modifier.

Comparer les sites pour apprendre, sans fabriquer un palmarès trompeur

Deux sites peuvent avoir des effectifs comparables et des profils d’exposition très différents. Travail de nuit, coactivité, opérations de maintenance, circulation, ancienneté des équipements et niveau d’activité modifient le contexte. Un ratio rapporté aux heures travaillées corrige une dimension de volume ; il ne rend pas automatiquement toutes les activités comparables.

Choisissez le dénominateur en fonction de la question : opérations concernées, équipements à vérifier, heures de fonctionnement ou population réellement exposée, lorsque ces informations sont disponibles et pertinentes. Publiez la définition et la couverture. Ne remplacez pas un dénominateur inconnu par une estimation silencieuse, et ne mélangez pas les populations entre événements et exposition.

Privilégiez d’abord les tendances d’un même périmètre et les échanges entre activités proches. Pour les événements rares, quelques cas peuvent produire de fortes variations ; affichez les effectifs derrière les taux. Une évolution mérite une investigation, pas automatiquement une récompense ou une sanction. Les comparaisons les plus utiles font émerger des pratiques transférables et les conditions dans lesquelles elles fonctionnent.

Étendre la logique aux risques environnementaux opérationnels

La démarche peut aussi relier fuites, rejets accidentels, anomalies de confinement, alarmes et actions de maintenance. L’objectif est de comprendre les situations qui demandent une intervention et les dispositifs dont le fonctionnement doit être vérifié. Un total annuel de consommation ou d’émissions répond à une autre question et ne remplace pas ce suivi opérationnel.

Pour une mesure instrumentée, conservez équipement, unité, horodatage, statut de validité et contexte de fonctionnement. Une donnée absente pendant une indisponibilité du capteur n’est pas un zéro. Distinguez une alarme technique, un événement confirmé et un dépassement établi selon la règle applicable : ces notions ne doivent pas se fusionner dans une colonne « incident ».

Les limites réglementaires et les conditions de surveillance dépendent du site, de l’activité et du cadre applicable ; elles doivent être validées par les responsables compétents. Ne confondez pas une borne interne d’alerte avec une limite réglementaire. Dans le tableau de bord, la question pratique reste : quel signal a été examiné, par qui, avec quelle conclusion et quelle suite ?

Protéger les personnes et limiter les informations collectées

Les dossiers d’accident peuvent contenir des informations personnelles et de santé. La CNIL rappelle que l’employeur n’a pas accès au dossier médical du salarié. Un projet de pilotage HSE n’autorise pas à centraliser les dossiers médicaux ou à diffuser librement les détails individuels d’un accident.

Définissez avec le DPO ou le référent compétent les finalités, les informations nécessaires, les conditions de traitement, les habilitations et les durées de conservation. Séparez les dossiers individuels à accès restreint des vues de pilotage agrégées. Le principe de minimisation s’applique aussi aux commentaires, photos, pièces jointes, exports et journaux techniques.

Retirer le nom ne suffit pas à anonymiser. Dans une petite équipe, une date précise, un poste rare ou la description d’un événement peuvent permettre d’identifier une personne. Adaptez le niveau de détail, limitez les croisements et les exports, et examinez le risque de réidentification. Une donnée pseudonymisée reste une donnée personnelle.

Concevez le tableau de bord autour des situations de travail et des mesures de prévention. Un classement des salariés par « risque d’accident » détournerait ce projet vers une surveillance individuelle qui n’est ni nécessaire à cette méthode ni justifiée par les indicateurs proposés.

Démarrer par un pilote de 90 jours centré sur un risque

Un pilote limité permet de tester la chaîne complète, de l’observation à la décision, avant d’étendre les outils. Les 90 jours ci-dessous constituent un calendrier indicatif de projet data, pas un délai à attendre pour traiter un risque. Associez prévention, opérations, représentants des salariés selon le contexte, maintenance, Data et IT aux étapes utiles.

À la fin du pilote, évaluez sa valeur sur des faits : les données sont-elles comprises ? Les responsables savent-ils quelles décisions prendre ? Les écarts ont-ils une suite traçable ? La collecte apporte-t-elle assez d’information pour justifier sa charge ? Une courte expérimentation ne permet pas d’attribuer une baisse d’accidents au tableau de bord.

Juste Data peut accompagner la définition des indicateurs, la structuration des données et la conception des restitutions avec les responsables HSE. La finalité est un dispositif exploitable par les équipes, dont les limites sont visibles et les décisions explicables.

• Jours 1 à 30 : choisir le risque et le périmètre, observer le travail, définir quelques indicateurs, leurs sources et les règles d’accès.
• Jours 31 à 60 : tester la collecte, relier événements et actions, vérifier les calculs et examiner les premières situations avec les équipes.
• Jours 61 à 90 : tester la revue opérationnelle, contrôler les suites données, supprimer les mesures inutiles et décider des conditions d’extension.

Questions fréquentes