MISE EN OEUVRE D'UN SYSTÈME DE GESTION DES RISQUES (SGR)

Champ d'application

Plusieurs organisations cherchent à atteindre et à maintenir un niveau acceptable de performance en ce qui a trait à la gestion des risques en maîtrisant l’impact de leurs activités, produits et services sur la personne, la propriété et l’environnement. Plusieurs facteurs contribuent à cet intérêt accru, dont:

• une législation de plus en plus stricte qui est le reflet des attentes des parties prenantes intéressées sur ces questions
• des considérations purement économiques visant à éviter des accidents coûteux dans un contexte de compétition de plus en plus serrée
• le risque de ternir rapidement la réputation de l’entreprise dans un monde où les médias de communication sont multiples et rapides
• le coût accru des primes d’assurance, voire même l’absence de disponibilité de couverture d’assurance dans certains domaines
• le recours fréquent à des poursuites judiciaires avec l’imposition de dédommagements de plus en plus importants qui font jurisprudence

La présente page ne garantira pas l’excellence de la performance de l’entreprise en gestion du risque : la détermination de la direction et la volonté de son personnel sont les éléments essentiels pour la réussite dans ce domaine.

Cette page a pour objet de fournir aux organisations intéressées une indication des éléments essentiels d’un système efficace de gestion des risques. Ses éléments ne doivent pas être établis indépendamment d’éléments existants du système de gestion des organisations (visant par exemple la qualité des produits, la santé et la sécurité du personnel et la protection de l’environnement). Au contraire, l’intégration de ces directives est souhaitable par l’amélioration ou l’addition de nouveaux éléments aux systèmes de gestion existants.

Le SGR présenté adopte une forme générique qui s’applique à tous les types et tailles d’organisations et s’adapte à différentes situations géographiques, culturelles et sociales. L’approche repose sur le principe de l’amélioration continue.

L’objectif global d’un SGR est l’équilibre entre la gestion des risques et les objectifs socio-économiques de l’organisation. Le risque zéro n’existe pas, et l’organisation doit assurer un niveau de risque acceptable à l’intérieur de ressources disponibles limitées.

La gestion des risques recouvre un ensemble de questions avec des implications d’ordre stratégique et concurrentiel.

L’observance des directives du SGR permet également de démontrer aux parties prenantes intéressées qu’un système approprié est en place, qu’il fonctionne et qu’il s’adapte à l’évolution sociotechnique. Le SGR fournit de plus les éléments pouvant servir de base pour établir un protocole d’évaluation interne ou d’audits externes des systèmes en matière de gestion du risque.

Le SGR n’établit pas de directives absolues au-delà de l’engagement, dans la politique de l’entreprise, de se conformer à la législation et aux réglementations applicables ainsi qu’au principe d’amélioration continue. Il sera donc possible de retrouver deux organisations avec des activités similaires qui répondent aux directives du SGR, mais qui ont une performance différente en matière de gestion des risques, car elles ne se retrouvent pas nécessairement au même endroit sur leur courbe d’amélioration continue.

Le SGR amène les organisations à considérer la mise en application de la meilleure technologie disponible si elle est appropriée, en tenant compte de l’efficacité économique d’une telle technologie. L’obtention de résultats optimisés en tenant compte des parties prenantes intéressées est la responsabilité des gestionnaires et ne dépend pas automatiquement de l’application des techniques prescrites dans le SGR.

Le SGR s’adresse au contrôle de toutes les sources de dangers, et ne traite pas spécifiquement du domaine de la santé et de la sécurité au travail (norme OSHAS 18000). Il ne vise pas non plus la diminution des pertes opérationnelles quotidiennes. De même, la gestion des risques est plus globale que celles de la qualité et de la protection de l’environnement. Elle va au-delà du respect des besoins du client (norme ISO-9000) et de la minimisation des dommages environnementaux (norme ISO-14000). Toutefois, certaines techniques du SGR trouvent naturellement leur application dans ces domaines et chevauchent les techniques déjà utilisées dans ces secteurs.

Le système décrit plus bas permet à l’organisation :

• d’établir et de maintenir l’efficacité des éléments de gestion qui correspond à une politique de gestion des risques et de ses objectifs
• de s’y conformer
• de pouvoir démontrer cette conformité aux parties prenantes intéressées

Le SGR spécifie les éléments permettant à une organisation de formuler une politique et des objectifs qui respectent les exigences législatives et qui s’appuient sur les études relatives aux sources de dangers significatifs sous le contrôle de l’entreprise ou sous son influence. C’est à l’organisation qu’il revient de définir clairement l’étendue du domaine d’application de son SGR.

Selon la norme ISO 31000, le SGR repose sur 3 éléments :

• une série de principes auxquels adhère l’organisation
• une cadre de gestion basé sur le modèle traditionnel « PFCA » : Planifier (concevoir), Faire (mise en œuvre), Contrôler (surveillance et revue) et Améliorer
• un processus de gestion

Système de gestion des risques (selon la norme ISO 31000)

Le SGR générique n’instaure pas de critères spécifiques de performance; ces derniers doivent être établis par l’organisation elle-même.

Le SGR s’applique à toute organisation qui veut :

• mettre en œuvre, maintenir et améliorer un système de gestion des risques
• s’assurer de sa conformité à la politique établie dans ce domaine
• démontrer à autrui sa conformité
• réaliser des auto-évaluations de son SGR

Toutes les directives sont conçues pour rendre possible leur intégration dans n’importe lequel système de gestion existant. Le degré d’application des prescriptions du SGR dépendra de facteurs tels que :

• La politique de l’organisation
• La nature de ses activités
• Le contexte dans lequel il fonctionne

Directives générales

L’organisation établit et maintient un SGR dont les éléments sont décrits dans l’ensemble de la présente partie.
L’organisation peut choisir d’appliquer le SGR à l’ensemble de l’organisation ou à certaines de ses unités d’exploitation ou activités spécifiques. Dans ce dernier cas, la politique de l’unité d’exploitation, si elle diffère de celle de l’organisation, doit en être le reflet.

Le SGR contient des directives fondées sur le processus dynamique et cyclique « planifier, mettre en œuvre, contrôler et revoir ». La mise en œuvre d’un SGR a pour objet d’entraîner l’amélioration de la performance en matière de gestion des risques. À cette fin, l’organisation revoit et évalue périodiquement son SGR pour identifier les opportunités d’amélioration et les mettre en œuvre. L’objet de ces améliorations est d’entraîner des améliorations supplémentaires de performance en matière de gestion des risques. Le rythme et l’importance de l’amélioration continue sont déterminés par l’organisation à la lumière du contexte économique et d’autres facteurs.

On peut espérer obtenir à court terme une certaine amélioration de la performance en matière de gestion des risques à la suite de l’adoption de cette approche systématique. Toutefois, il est probable qu’une amélioration substantielle prendra un certain temps, car un changement de culture comporte généralement une certaine inertie organisationnelle.

L’intégration du SGR dans le système global de gestion de l’organisation aura souvent des retombées secondaires. On peut difficilement exiger d’exceller dans certains domaines et tolérer la médiocrité dans d’autres!
Une organisation définit ses limites à l’intérieur des exigences de la loi et des bonnes pratiques en vigueur dans son domaine d’affaires (qui vont souvent plus loin que les exigences légales et réglementaires).
Le niveau de détails et de complexité du SGR, l’importance de la documentation et le niveau des ressources qui lui sont allouées seront ajustés à la taille de l’organisation et à la nature de ses activités.

Le SGR permet à une organisation :

• d’établir sa politique claire en matière de gestion des risques
• d’identifier les sources de danger résultant de ses activités, produits ou services passés, existants ou planifiés, dans le but de déterminer les accidents potentiels avec impact significatif sur la personne, la propriété et l’environnement
• d’identifier les exigences d’ordre législatif et réglementaire applicables, ainsi que les bonnes pratiques en vigueur, et de s’y conformer
• d’identifier les priorités et de fixer les objectifs et cibles appropriés en matière de gestion des risques
• d’établir une structure, de mettre de l’avant des programmes qui correspondent à la politique et d’atteindre les objectifs et les cibles fixés
• de gérer les activités de planification, contrôle, surveillance, action corrective, audit et revue pour s’assurer que la politique est suivie et que le SGR demeure approprié avec la capacité de s’adapter aux changements

Politique en matière de gestion des risques

La rédaction d’une politique en matière de gestion des risques est la première étape de la mise en place d’un SGR. Elle constitue en fait l’engagement de la direction de l’organisation en termes de gestion des risques.

Caractéristiques de la politique

La haute direction définit la politique en matière de gestion des risques et s’assure que celle-ci :

• repose sur les principes énumérés précédemment
• est appropriée à la nature, à la dimension et aux sources de dangers de ses activités, produits ou services
• comporte un engagement d’amélioration continue et de prévention des accidents
• exige la conformité à la législation et à la réglementation applicable, ainsi qu’aux autres exigences que l’organisation s’est engagée à respecter
• fournit un cadre pour l’établissement et l’examen d’objectifs et de cibles en matière de gestion des risques
• est documentée, mise en œuvre, maintenue et communiquée à tout le personnel
• est disponible pour examen par les parties prenantes intéressées

Importance de l’engagement de la haute direction

la haute direction s’implique personnellement par son comportement, par son intérêt et par le support et les ressources qu’elle accorde en matière de gestion des risques.

La politique définit les engagements et les attentes de la haute direction

Lapolitique en matière de gestion des risques définit les attentes de la haute direction, et constitue le point de référence de la mise en œuvre et de l’amélioration du SGR de l’organisation, en vue de l’obtention et de l’amélioration de sa performance. Elle reflète également l’engagement de la haute direction à se conformer aux lois et normes en vigueur et à poursuivre une amélioration continue. Elle constitue la base sur laquelle l’organisation s’appuie pour fixer ses objectifs et ses cibles.

La clarté de la politique

La politique est suffisamment claire pour qu’elle soit comprise par les parties prenantes intéressées au sein de l’organisation comme à l’extérieur. Elle est périodiquement revue et révisée pour tenir compte des changements de conditions et des informations additionnelles disponibles. Son champ d’application est clairement indiqué.

Le cas d’organisations avec plusieurs filiales

La haute direction d’une filiale définit et documente sa politique dans le respect de la politique de l’organisation mère, et avec l’aval de cette dernière.

Note : la haute direction représente la ou les personnes qui ont la responsabilité globale du fonctionnement de l’organisation (ou d’une de ses filiales).

Conception et planification du SGR

Mandat et engagement

La conception d’un SGR efficace passe avant tout par l’assignation des rôles et responsabilités par rapport à la gestion des risques dans l’organisation. La haute direction doit mandater les personnes appropriées pour concevoir, mettre en œuvre, contrôler et améliorer le SGR. L’assignation de la responsabilité du SGR à un gestionnaire chevronné et membre de la direction est essentielle à son efficacité. Ce gestionnaire verra à intégrer le SGR avec les autres systèmes de gestion en place de façon à éviter les dédoublements susceptibles de réduire les ressources disponibles.

Inventaire des sources de dangers

Le processus de gestion des risques permet à l’organisation d’établir et maintenir une ou des procédure(s) d’identification des sources de dangers découlant de ses activités, produits et services qu’elle peut maîtriser et sur lesquelles elle exerce une influence. Elle s’assure que les sources de dangers avec impacts significatifs sont prises en considération pour l’établissement de ses objectifs en matière de gestion des risques.

Ces informations sont tenues à jour par l’organisation, et reflètent l’introduction ou le retrait d’éléments ou de procédures.

Le processus d’identification des sources de dangers significatifs tient compte des éléments entrants et sortants associés aux activités, produits et/ou services actuels et passés si ces derniers sont pertinents. Le choix du processus dépend de plusieurs facteurs tels que :

• la sévérité de l’impact des accidents potentiels
• le coût et le temps nécessaires pour entreprendre l’analyse, ainsi que la disponibilité de ressources et de données fiables
• les informations fournies pour fins réglementaires ou autres
• le degré de maîtrise pouvant être raisonnablement exercé sur les sources de danger considérées

Une organisation qui ne possède pas de SGR réalise d’abord une analyse de sa situation en matière d’identification des dangers. Le but de cette analyse est de tenir compte de toutes les sources de dangers significatifs comme étape essentielle pour l’établissement de son SGR.

Cette analyse couvre les domaines suivants :

• inventaire des exigences législatives et réglementaires
• identification des sources de dangers significatifs en utilisant un processus établi, et avec des critères de sévérité propres à l’entreprise
• examen des procédures et des pratiques existantes dans le domaine de la prévention et de l’intervention
• revue d’analyses des accidents passés

Préparation et participation

En préparation pour une telle analyse, on se procure toutes les informations pertinentes telles que : description des systèmes et équipements, dessins, diagrammes de localisation, spécifications, propriétés des substances dangereuses utilisées (fiches signalétiques) et matériaux, listes de vérification, résultats d’audits antérieurs ou autres analyses, rapports d’accidents de l’organisation et des associations du secteur d’affaires, mécanismes de défaillance. On recommande de plus l’implication d’une équipe multidisciplinaire avec des participants choisis à cause de leurs connaissances et leur expérience dans le domaine sous étude. (Voir Notions de base et principes de l'évaluation des risques pour les détails à ce sujet)

L’identification des dangers dont l’impact est significatif

L’étude prend en considération les impacts potentiels significatifs et réalistes associés à des situations raisonnablement prévisibles ou à des situations d’urgence. Le but est d’identifier les sources de danger les plus susceptibles d’avoir un impact significatif en établissant d’abord des critères de sélection à cet effet. Le processus n’a pas pour objet d’exiger une évaluation détaillée du cycle de vie du système ou ouvrage, mais une phase bien spécifique, telle que la construction, ou l’exploitation, ou la mise au rebut. Chacune de ces étapes du cycle de vie comporte des dangers différents, et peut faire l’objet d’exigences spécifiques. On considère dans l’étude les conditions normales et anormales rencontrées; ainsi, en exploitation, on étudiera entre autres les activités de départ, d’opération et d’arrêt des équipements utilisés.

Le degré de contrôle ou d’influence de l’organisation

Le contrôle et l’influence exercés sur les sources de danger varient parfois selon la situation. Ainsi, les organisations ont souvent une maîtrise limitée de l’utilisation et de la mise au rebut de leurs produits, mais elles peuvent mettre en place des mécanismes réalistes qui permettront aux utilisateurs de contrôler leurs activités lorsqu’ils utilisent ou disposent d’un produit.

Exigences légales et autres exigences

L’organisation établit et maintient une procédure permettant : a) d’identifier les exigences légales et autres auxquelles elle a souscrit et qui s’appliquent aux sources de dangers de ses activités, produits ou services; b) d’accéder à ces mêmes exigences.
Au-delà des lois et règlements : outre les lois et règlements applicables, on compte des exigences telles que :
Les codes de bonne pratique de l’industrie ou du secteur;
Les accords passés avec les autorités publiques (exemple : certificats d’autorisation);
Les lignes directrices de caractère non réglementaire (bonnes pratiques dans le domaine d’affaires).

Objectifs et cibles

L’organisation, à tous ses niveaux et fonctions, établit et maintient des objectifs et cibles documentés en matière de gestion des risques, prenant en considération des facteurs tels que :

• les exigences légales et autres
• ses sources de dangers significatifs
• ses options technologiques
• ses limitations financières, opérationnelles et commerciales
• les points de vue des parties prenantes intéressées

Cohérence avec la politique

Lesobjectifs et cibles sont cohérents avec la politique en matière de gestion des risques, y compris l’engagement de minimiser l’impact négatif des activités, produits ou services

Mesure de la situation actuelle

Avant de procéder à l’établissement d’objectifs et cibles, l’organisation établit d’abord sa situation actuelle dans le domaine.

Priorité et précision des objectifs

Les objectifs sont spécifiques et les cibles mesurables, partout où cela est possible, avec des échéanciers et un calendrier de suivi bien établis et des responsables bien identifiés. Les mesures préventives ont priorité, sans pour autant que soient négligées les mesures d’intervention.

Choix des options

Lors du choix de ses options technologiques, l’organisation prend en considération l’utilisation des meilleures technologies disponibles, si elles sont jugées économiquement réalisables, rentables et appropriées.

Programmes en matière de gestion des risques

Pour atteindre ses objectifs et ses cibles, l’organisation établit et maintient des programmes. Ces programmes comportent des éléments tels que :

• la désignation des responsabilités à chaque niveau de l’organisation
• les moyens et le calendrier de réalisation

Adaptation aux changements

Les programmes peuvent s’appliquer également à des projets concernant de nouveaux développements ainsi qu’à des activités, produits ou services nouveaux ou modifiés

Les programmes constituent des outils de gestion

La conception et la mise en œuvre de programmes permettent de passer d’une situation actuelle jugée déficiente à une situation recherchée en identifiant les composantes qui doivent être mises en place pour combler l’écart. Le programme décrit comment les cibles et les objectifs fixés par l’organisation seront atteints, par exemple :

• la description de chaque élément du programme
• le calendrier
• le personnel responsable de la mise en œuvre
• les ressources humaines, matérielles et financières nécessaires pour la mise en œuvre

La gestion des risques pour un projet global

Dans un concept global de gestion des risques, les programmes spécifiques peuvent comporter la prise en compte de chaque stade du cycle de vie : planification, conception, production, commercialisation et mise au rebut. Cette analyse peut être entreprise aussi bien pour les activités, produits ou services existants que pour les nouveaux. Pour les produits, cette analyse peut aborder des étapes telles que la conception, les matériaux, les procédés de production, l’utilisation et la mise au rebut. Pour les installations ou pour les modifications importantes de systèmes, cette analyse peut aborder la planification, la conception, la construction, la mise en route, le fonctionnement et, au moment approprié déterminé par l’organisation, le mise au rebut de l’installation.

Mise en œuvre et fonctionnement

Structure et responsabilité

Les rôles, les responsabilités et les autorités sont définis documentés et communiqués.
La direction fournit les ressources indispensables à la mise en œuvre et à la maîtrise du système de gestion des risques. Ces ressources comprennent les ressources humaines, les compétences spécifiques et les ressources technologiques et financières.

La haute direction de l’organisation désigne un ou plusieurs représentant(s) spécifique(s) qui, en plus d’autres responsabilités, a (ont) des rôles, responsabilités et autorités bien définis de façon à :

• s’assurer que les directives relatives au SGR sont établies, mises en œuvre et maintenues
• rendre compte à la haute direction de l’organisation de la performance du SGR de façon à l’examiner et à l’améliorer

Responsabilités directes

Le succès de la mise en œuvre d’un SGR nécessite l’engagement de l’ensemble du personnel de l’organisation. Par conséquent, les responsabilités premières « pour faire arriver les choses » dans ce domaine ne sont pas relayées à la fonction de coordination, mais elles sont d’abord assignées aux fonctions de gestion en ligne directe (« line management ») opérationnelle et autres, car la gestion des risques est intimement liée à la gestion en temps réel des activités, produits et services d’une organisation.

Coordination et assistance dans la mise en œuvre et le maintien du SGR

L’engagement commence au niveau de la haute direction qui établit la politique de l’organisation en matière de gestion des risques et s’assure de la mise en œuvre du SGR. La haute direction désigne, pour la représenter, la ou les personnes ayant une responsabilité et une autorité définies pour la coordination et l’assistance dans la mise en œuvre et le maintien du SGR. Dans les organisations importantes ou complexes, il peut y avoir plus d’un représentant désigné. Dans les petites et moyennes entreprises, ces responsabilités peuvent être assignées à un seul individu qui cumule parfois d’autres fonctions. Également, la haute direction doit s’assurer que des ressources appropriées sont allouées pour que le SGR puisse être mis en œuvre et maintenu.

Communication des responsabilités respectives

Les responsabilités clés du SGR sont bien définies et communiquées au personnel concerné, et sont généralement connues dans l’organisation.

Contrôle opérationnel

L’organisation identifie celles de ses opérations et activités qui sont associées aux sources des dangers significatifs identifiés en accord avec sa politique, ses objectifs et ses cibles. L’organisation planifie ses activités, y compris leur entretien, pour s’assurer qu’elles sont réalisées dans les conditions requises par des actions telles que :

• préparer et tenir à jour des procédures documentées pour couvrir les situations où l’absence de telles procédures pourrait entraîner des écarts par rapport à la politique, aux objectifs et cibles (généralement, des opérations complexes et critiques)
• stipuler les critères opératoires dans les procédures
• établir et maintenir les procédures concernant les sources de dangers et la communication à leur personnel, généralement sous forme de formation; également les procédures et directives pertinentes communiquées aux fournisseurs, aux clients et aux sous-traitants
• établir des procédures formelles pour s’assurer qu’aucune modification aux installations, équipements, systèmes, logiciels (incluant les contrôles automatiques) ou procédures ne compromettent la sécurité et que le niveau d’approbation de la direction soit conséquent avec le niveau de risque

De plus, on met en place un programme pour assurer la compétence des sous-traitants en matière de gestion des risques, ainsi que la transmission de l’information nécessaire et la coordination avec les activités de l’organisation.

L’organisation procède à l’identification des sources de dangers en utilisant une méthode déterminée fondée sur une approche systématique. Des critères en accord avec la politique, les objectifs et les cibles de l’organisation sont déterminés et documentés pour sélectionner les sources de dangers significatifs en vue de la conduite d’une analyse détaillée. La liste des dangers significatifs est documentée et tenue à jour.

L’estimation du niveau de risque est effectuée suivant une méthode capable d’identifier le niveau de risque associé à chaque source de danger significatif. Des critères sont déterminés et documentés pour décider de l’acceptabilité du niveau de risque par des parties identifiées. Les risques ayant un niveau trop élevé font l’objet d’une étude permettant de réduire ces risques à un niveau acceptable suivant les critères établis.
Les procédures et pratiques de prévention des accidents de l’organisation visent le contrôle des sources de danger de manière à prévenir les accidents. La fiabilité humaine et la fiabilité d’équipement sont incluses dans chacune des étapes du cycle de vie d’un projet.

L’organisation prévoit des mécanismes d’alerte à la suite de la détection d’opération anormale pour permettre au personnel d’intervenir et de rétablir les conditions normales d’opération. Les paramètres normaux et anormaux d’opération sont clairement spécifiés. De même, lors de la conception, on considère la possibilité d’intégrer dans la conception des éléments de fiabilité tels que mécanismes de verrouillage automatique, agencement ergonomique et autres.

Les procédures prévoient une formation du personnel-clé identifié pour fournir les compétences nécessaires à l’exécution fiable des tâches critiques.

De même, la fiabilité de l’équipement critique est visée par la mise en œuvre d’un système efficace d’entretien préventif, de procédures de maintien et de réparation, ainsi que de formation du personnel de maintenance et par la disponibilité d’outils appropriés.

L’organisation assure la disponibilité des procédures, de l’équipement et des ressources nécessaires à la mise en œuvre et au maintien de ces procédures et pratiques. L’application systématique de ces procédures résulte en une diminution de probabilité d’accident.

Intervention en situations d'urgence et capacité à réagir

L’organisation établit et maintient des procédures pour identifier les accidents potentiels et les situations d’urgence afin d’être capable de réagir de façon à prévenir et à réduire les impacts négatifs qui peuvent y être associés.

L’organisation examine et révise, lorsque cela est nécessaire, ses procédures d’intervention lors d’accidents et de situations d’urgence et sa capacité à réagir, en particulier lorsque des accidents ou situations d’urgence surviennent.

Également, l’organisation teste périodiquement au moyen d’exercices l’application de telles procédures.

L’organisation développe, met en œuvre et maintient une planification écrite et détaillée des opérations d’intervention en cas d’accident dans le double but de minimiser la gravité des conséquences et d’obtenir un niveau acceptable du risque correspondant. Cette phase de la gestion des risques comprend les méthodes, l’équipement et ressources nécessaires pour :

• détecter si possible l’accident dans sa phase initiale
• intervenir efficacement et de manière sécuritaire dans la phase initiale et subséquemment si l’accident ne peut être arrêté dans sa phase initiale
• rétablir les opérations sécuritaires des systèmes une fois l’accident maîtrisé

Lorsque des conséquences de scénarios d’accidents dépassent les limites du ou des terrains occupés par l’organisation (et sont donc susceptibles d’affecter des membres du public ou des voisins), celle-ci fournit l’information pertinente pour permettre une coordination de ses plans d’urgences avec ceux des autorités locales et des autres organisations d’assistance et de soutien.

Une évaluation de la vulnérabilité (fonction des conséquences d’un accident, de la probabilité d’occurrence de ce dernier et de la capacité d’intervention) est effectuée pour les impacts potentiels à l’interne comme à l’extérieur de l’établissement. Les modifications appropriées sont apportées au système de gestion du risque si le niveau de vulnérabilité est jugé insatisfaisant.

Le personnel identifié dans le plan des mesures d’urgence reçoit la formation appropriée. Cette formation est documentée.

Des exercices de simulation des différents scénarios d’intervention et de rétablissement sont effectués à intervalles réguliers pour en tester l’efficacité et mettre en œuvre des mesures d’amélioration si nécessaire. Les résultats de ces exercices sont documentés.

Le plan des mesures d’urgence est revu à intervalles réguliers pour en faire la mise à jour et lui apporter des améliorations. Le plan révisé fait l’objet d’une nouvelle publication; s’il y a lieu, le personnel identifié reçoit la formation nécessaire sur les nouvelles mesures.

On prévoit une couverture d’assurance et/ou un fonds de réserve pour la redistribution des coûts de réparation et de rétablissement résultant d’accidents.

Formation, sensibilisation et compétence

L’organisation identifie les besoins en formation. Cette responsabilité exige que tout le personnel dont le travail peut avoir un impact négatif significatif, reçoive une formation appropriée.

L’organisation établit et maintient des procédures pour que tout son personnel soit sensibilisé à des sujets tels que :

• l’importance de la conformité à la politique en matière de gestion des risques
• les procédures et directives du SGR
• les impacts négatifs significatifs, réels ou potentiels pour eux comme pour les autres parties intéressées
• l’importance des rôles et responsabilités des parties pour réaliser la conformité à la politique, aux procédures et aux directives du SGR, surtout la prévention des accidents, mais aussi la capacité à réagir
• les conséquences potentielles des écarts par rapport aux directives et procédures du SGR

Le personnel exécutant des tâches qui peuvent avoir des impacts négatifs significatifs acquiert la compétence nécessaire par une formation appropriée et/ou par l’expérience.

Pour le personnel en charge de fonctions dirigeantes associées à la gestion des risques, la direction détermine le niveau d’expérience, la compétence et la formation spécifique nécessaires; pour le personnel en général comme pour les dirigeants,l’organisation doit établir et maintenir des procédures d’identification des besoins en formation. L’organisation exige également que les sous-traitants qui travaillent pour elle soient capables de démontrer que leurs employés possèdent les compétences nécessaires.

Information et communication

En ce qui concerne ses sources de dangers et son SGR, l’organisation établit et maintient des procédures pour :

• assurer la communication interne entre les différents niveaux et les différentes fonctions de l’organisation
• recevoir et documenter les demandes pertinentes des parties intéressées externes et y apporter les réponses pertinentes

Lorsqu’il existe un potentiel d’impact sur des récepteurs à l’extérieur d’un établissement de l’organisation, l’organisation prévoit un processus de communication externe portant sur les dangers qui ont un impact significatif et sur les mesures à prendre en cas d’accident, et consigne ce processus par écrit. À noter que la législation en vigueur peut comporter des directives spécifiques dans ce domaine.

Processus d’information

L’organisation met en place et maintient une procédure d’information avec les parties prenantes intéressées, plus particulièrement, celles qui doivent mettre en œuvre le SGR et assurer la prévention des accidents dans leurs activités journalières, mais aussi ceux qui peuvent être affectés par l’impact d’un accident.

Processus de communication

Les organisations mettent également en place une procédure de communication pour transmettre les informations qu’elles possèdent, pour recevoir et documenter les informations reçues des parties prenantes intéressées et pour répondre aux demandes pertinentes de ces dernières. Cette procédure peut inclure le dialogue avec les parties intéressées et la prise en considération de leurs préoccupations propres. Dans certains cas, les réponses aux préoccupations des parties intéressées peuvent inclure une information appropriée sur les impacts associés aux activités de l’organisation. Ces procédures abordent également les échanges nécessaires avec les autorités publiques pour la planification des situations d’urgence et pour la résolution de divers problèmes. La sous-section L'importance de la communication en gestion des risques et des crises couvre la communication des risques en détail.

Documentation

L’organisation établit et maintient l’information nécessaire pour :

• décrire les éléments essentiels du SGR et leurs interactions
• indiquer où trouver la documentation correspondante

Forme et contenu de la documentation

Présente sur support papier ou électronique, il n’est pas nécessaire que la documentation se présente sous la forme d’un manuel unique. Elle peut être intégrée avec la documentation d’autres systèmes de gestion de l’organisation. Le niveau de détail de la documentation doit être suffisant pour décrire les éléments essentiels du SGR et leurs interactions. La documentation indique où l’on peut obtenir des informations plus détaillées sur le fonctionnement d’éléments spécifiques du SGR.

Types de références

Les références fournies dans la documentation du SGR peuvent être relatives à des éléments tels que :

• les informations sur les systèmes en exploitation
• les dossiers d’équipements
• les organigrammes
• les normes et procédures de fonctionnement internes
• les plans d’urgence existants (sur le site et à l’extérieur)
• les informations sur la législation pertinente et sur les autres directives (ex. : les certificats d’autorisation)
• les informations relatives aux sources de dangers significatifs et à l’analyse des risques correspondants

Maîtrise de la documentation

L’organisation établit et tient à jour des procédures pour maîtriser tous les documents requis par le SGR, pour s’assurer :

• qu’ils peuvent être facilement localisés
• qu’ils sont périodiquement revus, révisés si nécessaire et validés par les personnes autorisées
• que les versions actualisées des documents concernés sont disponibles dans tous les endroits où sont effectuées des opérations essentielles au fonctionnement efficace du SGR
• que les documents périmés sont rapidement retirés de tous les points de diffusion et d’utilisation, ou autrement protégés contre un usage involontaire
• que tous les documents périmés, conservés à des fins légales et/ou de maintien des connaissances, sont clairement identifiés
• que la période d’archivage est déterminée si celle-ci est nécessaire
• que les procédures et responsabilités sont clairement établies pour la création et la modification des différents types de documents

L’objectif ultime

Le but de la présente section sur la maîtrise de la documentation est d’assurer que les organisations créent des documents, les tiennent à jour de façon suffisante et les utilisent pour mettre en œuvre le SGR. Cependant, la préoccupation principale des organisations étant la mise en œuvre efficace du SGR et la performance en matière de gestion des risques; on doit éviter la mise en place d’un système lourd et complexe de la documentation.

Enregistrements

L’organisation établit et maintient des procédures d’identification, de maintien et de destruction des enregistrements relatifs à la gestion des risques, incluant les enregistrements relatifs à la formation et les résultats des audits et des revues.

Les enregistrements relatifs à la gestion des risques sont lisibles, identifiables et permettent de retrouver l’activité, le produit ou le service concerné. Les enregistrements sont conservés et tenus à jour de façon à pouvoir être facilement retrouvés et protégés contre les risques d’endommagement, de détérioration ou de perte. Leur durée de conservation est établie et enregistrée.

Les enregistrements sont tenus à jour, d’une manière appropriée (compte tenu du système et de l’organisation), pour démontrer la conformité aux directives du SGR.

Les procédures d’identification des enregistrements, de leur tenue à jour et de leur mise à la disposition des employés s’appliquent essentiellement aux enregistrements nécessaires à la mise en œuvre et au fonctionnement du SGR, et servent à enregistrer dans quelle mesure les objectifs et cibles planifiés ont été atteints.

Les enregistrements relatifs à la gestion des risques incluent des informations telles que :

• les mesures de l’atteinte des objectifs (indicateurs de performance)
• les enregistrements des réclamations et des coûts associés aux accidents
• les enregistrements relatifs à la formation
• les informations sur la performance des systèmes
• les informations sur les produits
• les enregistrements de contrôle, d’entretien et d’étalonnage des équipements
• les informations pertinentes sur les sous-traitants et fournisseurs
• les rapports d’accidents
• les informations relatives aux situations d’urgences et à la capacité à réagir, incluant les informations sur les exercices de simulation
• les résultats d’audits et le suivi des actions correctives
• les revues de direction

Les informations confidentielles sont traitées comme il se doit. Des précautions sont prises et maintenues pour assurer la sûreté des informations.

Surveillance et mesurage (indicateurs de performance)

L’organisation établit et maintient des indicateurs de performance documentés pour surveiller et mesurer régulièrement les principales caractéristiques de ses opérations et activités qui peuvent produire des situations d’urgence et des accidents significatifs. Ceci inclut l’enregistrement des informations permettant le suivi de la performance, des contrôles opérationnels appropriés et de la conformité aux objectifs et cibles de l’organisation.
L’équipement de surveillance des systèmes est étalonné et entretenu, et les enregistrements correspondants sont conservés conformément aux procédures de l’organisation.

La surveillance et le mesurage permettent d’évaluer la performance à l’aide d’indicateurs appropriés tels que :

• le degré de conformité aux systèmes et procédures
• le niveau de disponibilité et le bon fonctionnement des équipements de prévention et d’intervention
• la conformité à la réglementation et à la législation applicables
• le progrès dans les programmes établis (atteinte des objectifs)

Note : Cette surveillance inclut la mesure de conformité chez les sous-traitants.

Cette étape importante de la gestion des risques détecte des situations de non-conformité, et permet de prendre des actions correctives avant qu’un accident ne survienne.

Le système de surveillance et mesurage est documenté et spécifie :

• ce qui doit en faire l’objet
• la fréquence de la surveillance et du mesurage
• le personnel responsable d’effectuer cette tâche
• le calibrage des instruments de mesure s’il y a lieu
• le mécanisme de revue et de suivi des résultats, incluant l’information des parties prenantes intéressées et la communication avec celles-ci (incluant la haute direction)
• le personnel responsable d’assurer la mise en œuvre des actions correctives et leur suivi
• le contenu, la forme et la fréquence des rapports à la haute direction

Les résultats de la surveillance et du mesurage font l’objet d’une revue par la haute direction de l’organisation.

Non-conformité, action corrective et action préventive

L’organisation établit et maintient des procédures définissant les responsabilités, l’autorité et le processus à utiliser pour la prise en compte et l’analyse des non-conformités, pour la prise des mesures de réduction de tout impact éventuel, et pour engager et mener à bien les actions correctives et préventives correspondantes.
L’action corrective ou préventive conduite dans le but de neutraliser les causes des non-conformités, réelles et potentielles, est adaptée à l’importance des problèmes et proportionnée à l’impact considéré.

L’organisation met en œuvre et enregistre les changements intervenus dans les procédures documentées à la suite d'actions correctives et préventives.

Lors de l’établissement et de la mise à jour des procédures de recherche et de correction des non-conformités, l’organisation prend en compte des éléments tels que :

• l’identification de la cause fondamentale de la non-conformité
• la définition et la mise en œuvre de l’action corrective nécessaire pour neutraliser la cause fondamentale
• la mise en œuvre ou la modification des contrôles nécessaires pour éviter une répétition de la non-conformité
• la pertinence d’application à d’autres systèmes de même nature
• l’enregistrement des changements éventuels dans les procédures écrites à la suite de l’action corrective

Selon la situation, cette démarche peut être accomplie rapidement et avec un minimum de planification formelle, ou il peut s’agir d’une activité plus complexe et à plus long terme. Le contenu et l’ampleur de la documentation associée dépendent de l’importance de l’action corrective.

Audit du SGR

L’organisation établit et maintient un ou plusieurs programme(s) et des procédures pour la réalisation périodique d’audits du SGR, afin de :

• Déterminer si le SGR
  • est conforme ou non aux dispositions convenues pour la gestion des risques, y compris aux directives du SGR
  • a été correctement mis en œuvre et maintenu à jour
• Fournir à la direction des informations sur les résultats des audits

Le programme d’audit de l’organisation, incluant le calendrier, est fondé sur l’importance de l’activité concernée et sur les résultats des audits précédents. Pour être complètes, les procédures d’audit couvrent le domaine d’application, la fréquence et les méthodologies de l’audit, ainsi que les responsabilités et les directives relatives à la conduite des audits et aux comptes rendus des résultats.

Le programme d’audit et les procédures qui s’y rapportent couvrent des items tels que :

• les activités et les domaines faisant l’objet d’audits
• la fréquence des audits
• les responsabilités associées à la réalisation et à la conduite des audits
• la communication des résultats des audits
• la compétence du ou des auditeur(s)
• la manière de conduire les audits
• la procédure de suivi sur les items d’action

Les audits peuvent être réalisés par des membres du personnel de l’organisation et/ou par des personnes extérieures choisies par l’organisation. Dans les deux cas, les personnes qui réalisent l’audit sont en mesure de le faire avec impartialité et objectivité.

Revue par la direction

À des intervalles qu’elle détermine, la haute direction de l’organisation passe en revue le SGR afin de s’assurer qu’il est toujours approprié, suffisant et efficace. Le processus de revue identifie l’information nécessaire pour permettre à la direction de mener à bien cette évaluation. Cette revue est documentée.

La revue aborde les éventuels besoins de changement au niveau de la politique, des objectifs et d’autres éléments du SGR. Ceci est fait à la lumière des résultats des audits du SGR, des modifications du contexte et dans le cadre d’un engagement visant l’amélioration continue.

De façon à promouvoir l’amélioration continue et d’assurer la pertinence et l’efficacité, donc la performance, du SGR, la direction de l’organisation passe en revue et évalue le système à intervalles définis. Le champ de cette revue est complet, bien que tous les éléments du SGR n’aient pas nécessairement besoin d’être revus en même temps et que l’opération puisse s’étaler sur une certaine période de temps.

La politique, les objectifs et les procédures sont revus par des personnes appartenant au niveau de direction qui a participé à leur définition.

La revue prend en compte des éléments tels que :

• les résultats des audits
• le degré d’atteinte des objectifs et des cibles
• la pertinence d’apporter des modifications en fonction des informations nouvellement reçues et des changements qui se sont produits depuis l’instauration du SGR ou depuis sa dernière revue
• les préoccupations émanant des parties prenantes intéressées

On documente les observations, conclusions et recommandations pour permettre d’entreprendre les actions nécessaires.

Exemples de système de gestion de risques reconnus

Plusieurs réglementations internationales ou programmes volontaires existent déjà à l’égard de la gestion de divers types de risques. Quoique différents dans leurs exigences, ces exemples présentent plusieurs similarités avec le SGR présenté précédemment. Voici quelques exemples qui peuvent servir comme sources d’informations supplémentaires : 

• EPA - Risk Management Program (RMP)
• OSHA - Process Safety Management (PSM)
• Gestion Responsable (ACIC)
• Norme OHSAS 18001
• Normes ISO 9000 et ISO 14000
• Directive Européenne SEVESO (SGS)
• Norme ISO 31000 sur la gestion des risques

Ressources

LIENS ET RÉFÉRENCES EXTERNES

• CRAIM 2008, DVT 3 - Les barrières de sécurité et le nœud papillon