Pourquoi les programmes de gestion de la sécurité des procédés échouent même lorsque toutes les cases d’OSHA sont cochées

En 2005, une explosion dans la raffinerie de BP à Texas City a tué 15 personnes, en a blessé plus de 170 et a engendré des pertes se chiffrant en milliards : dommages aux actifs, pertes de production, pénalités et indemnisations. Les enquêteurs n’ont pas identifié une seule vanne défectueuse. Ils ont mis en évidence des défaillances dans les procédures, la formation et les contrôles opérationnels — le même domaine que couvre la norme de l’OSHA sur la gestion de la sécurité des procédés (PSM).

Deux décennies plus tard, la plupart des sites à haut risque peuvent présenter un classeur PSM. Pourtant, des accidents graves continuent de se produire, notamment une explosion dans une raffinerie de Port Arthur, au Texas, en mars 2026. Le constat dérangeant est bien connu : les 14 éléments existent sur le papier, mais ils ne sont ni interconnectés ni à jour, et ne correspondent pas à la manière dont l’unité fonctionne réellement.

Dans les installations à procédés continus, la performance en matière de sécurité dépend de la concordance entre les contrôles documentés et les équipements, les personnes et les sous-traitants présents sur le quart de travail — et non de l’apparence de complétude du classeur.

Le théâtre de la conformité face à un système réellement exploité

La PSM repose sur 14 éléments. Elle ne fonctionne pas comme 14 tâches indépendantes. Son efficacité dépend de la manière dont ces éléments sont appliqués, reliés et maintenus. Le mode d’échec le plus courant est managérial : traiter la PSM comme un ensemble d’exigences à satisfaire plutôt que comme un système à exploiter.

Les analyses des risques, les procédures, la formation et les programmes de maintenance peuvent tous sembler complets. Lorsqu’ils ne sont pas interconnectés ou ne sont pas maintenus ensemble, des lacunes apparaissent discrètement. Comme ces activités se reflètent rarement dans le débit quotidien, la pression de production à court terme l’emporte. Au fil du temps, le programme devient une documentation du travail — et non une description fidèle du travail.

La dérive se manifeste d’abord par des procédures obsolètes, des plans qui ne sont pas mis à jour après des modifications d’équipement et des audits ou revues réalisés en retard. Aucune de ces lacunes ne semble catastrophique à elle seule. Ensemble, elles signifient que le programme « conforme » ne décrit plus les conditions actuelles.

Les salles de contrôle révèlent rapidement l’écart : les opérateurs exécutent ce que l’installation permet, et non ce qu’affirmait la procédure de l’année dernière.

Les enquêtes qui s’arrêtent au bilan des blessés

La profondeur des enquêtes sur les incidents dépend souvent de leurs conséquences. Les quasi-accidents font l’objet d’un examen superficiel, tandis que les événements graves sont analysés en détail. Pourtant, les causes sous-jacentes peuvent être identiques. Classer les événements selon leurs conséquences potentielles et leur probabilité de récurrence donne une image plus claire de l’exposition au risque que d’attendre qu’il y ait du sang sur le sol.

Ce qui se passe après le rapport compte davantage que la longueur du rapport. Si les conclusions ne conduisent jamais à réécrire les procédures, la formation ou la configuration du système, les mêmes conditions dangereuses restent en place. Les installations qui considèrent le retour d’expérience comme une formalité facultative reproduisent les mêmes scénarios à de nouvelles dates.

Les sous-traitants et l’angle mort à l’extérieur de la clôture

La gestion des sous-traitants introduit un deuxième profil de risque. Le programme de sécurité d’un sous-traitant peut être authentique — tout en étant mal aligné sur les attentes d’une installation soumise à la PSM. Ces écarts sont faciles à manquer jusqu’à la mobilisation. Les réunions avant soumission, les clarifications de l’appel d’offres et la planification préalable à la mobilisation sont les moments où les attentes en matière d’EHS doivent être clairement établies. Sans cet alignement, les différences de planification et d’exécution deviennent une énergie latente dans l’ensemble du système de permis de travail.

Les couches matérielles et logicielles qui imposent les déclenchements, les alarmes et la logique d’autorisation s’inscrivent dans la même histoire d’intégrité. Les équipes qui maintiennent en bon état les équipements installés commencent souvent par les plateformes déjà présentes sur le site — qu’il s’agisse de parcourir le matériel de contrôle Honeywell destiné aux architectures liées aux procédés et à la sécurité, ou de confirmer les voies de protection des équipements tournants au moyen de l’instrumentation de protection des machines lorsque les fonctions de surveillance des vibrations et de protection contre la survitesse doivent rester indépendantes de la logique ordinaire des procédés.

Les sites à haut risque échouent rarement à cause d’une section manquante dans un classeur ; ils échouent lorsque de petits désalignements s’accumulent jusqu’à ce qu’une barrière de sécurité ne fasse plus ce que l’évaluation des risques supposait.

Visibilité : des audits qui mesurent la performance, pas les classeurs

De nombreuses organisations sont incapables de répondre à une question simple : dans quelle mesure la PSM est-elle efficace aujourd’hui ? L’exhaustivité des documents n’est pas une mesure de la performance. Les audits de conformité — requis au moins tous les trois ans — et les évaluations structurées des écarts établissent une base pour hiérarchiser les corrections. Sans cette régularité, l’« amélioration » reste réactive : un nouvel incident, une nouvelle action temporaire, puis un responsable oublié.

Dans tous ces modes d’échec, le schéma est cohérent. Les défaillances apparaissent rarement sous la forme d’un seul élément manquant. Elles s’accumulent à mesure que l’installation évolue tandis que le système écrit ne suit pas. Les barrières de sécurité semblent alors intactes, alors que leur efficacité réelle se dégrade.

Le verdict opérationnel

Cocher les cases de l’OSHA prouve que vous pouvez rassembler des éléments justificatifs. Cela ne prouve pas que vous pouvez prévenir le prochain événement de perte de confinement. Un programme PSM efficace nécessite une visibilité claire de la performance, des écarts hiérarchisés et un suivi qui transforme les méthodes de travail — procédures, formation, interfaces avec les sous-traitants et couches de contrôle qui les font respecter.

Lorsque ces risques ne sont ni compris ni gérés, de petites ruptures de coordination s’aggravent. Le classeur semble toujours conforme. L’installation, elle, ne l’est pas.