Lors de la réception, le fabricant ouvre la notice au bon endroit : « Nettoyage uniquement après isolement de toutes les sources d’énergie. Maintenance réservée au personnel formé. L’utilisateur doit établir une procédure adaptée. » Trois phrases. Trois cases cochées.
Dans l’atelier, la réalité est moins docile. La machine possède deux alimentations électriques, un circuit pneumatique et un accumulateur encore capable de provoquer un mouvement après l’ouverture du sectionneur principal. La procédure n’existe pas encore et le « personnel formé » désigne surtout celui qui travaille ici depuis le plus longtemps.
La machine a été sécurisée au futur.
L’étape 3 de la norme ISO 12100 ne consiste pas à verser dans la notice tout ce que la conception n’a pas résolu. Les informations pour l’utilisation constituent le dernier niveau de la stratégie de réduction du risque. Elles interviennent après les mesures de prévention intrinsèque et les moyens techniques de protection, jamais à leur place.
Lorsqu’il est possible de supprimer un phénomène dangereux, de réduire une énergie, d’empêcher l’accès à une zone ou de mettre en œuvre une fonction de sécurité adaptée, le fabricant ne peut pas remplacer cette action par une formation, un pictogramme ou une invitation à « rester vigilant ». La notice doit traiter le risque qu’il n’a réellement pas été possible de réduire suffisamment, pas conserver une liste de problèmes reportés.
Ce troisième niveau n’est pourtant pas un simple complément documentaire. C’est le point de rencontre entre le travail du fabricant et celui de l’utilisateur. Le premier décrit le risque restant, les tâches concernées et les conditions retenues dans son analyse. Le second transforme ces informations en consignation, procédures, formation, supervision, autorisations, protections complémentaires et équipements de protection individuelle.
Il ne s’agit donc pas de transférer la responsabilité. Il s’agit de transmettre une information indispensable, dont la seule présence dans une notice ne garantit encore aucun résultat sur le terrain.
1. Le troisième niveau n’est pas une version économique des deux premiers
Les trois niveaux de réduction du risque ne sont pas des options équivalentes. Un concepteur ne choisit pas entre modifier la machine, installer une protection ou ajouter un avertissement selon ce qui s’intègre le plus facilement au planning.
L’ordre compte. Il faut d’abord rechercher l’élimination du phénomène dangereux ou sa réduction par conception. Si cela ne suffit pas, on met en place des protecteurs, des dispositifs de protection et d’autres mesures de protection. Les informations destinées à l’utilisateur ne concernent que le risque qui subsiste après ce travail.
Prenons un réglage qui impose d’introduire la main dans la zone de mouvement d’un mécanisme. Le fabricant peut déplacer le point de réglage, modifier la géométrie, limiter l’énergie, installer un protecteur, ajouter un interverrouillage ou prévoir un mode de réglage sûr. S’il écrit directement « réglage réservé au personnel formé », il n’a pas atteint le troisième niveau. Il a simplement sauté les deux arrêts précédents, puis s’étonne que le train soit toujours à quai.
L’information pour l’utilisation ne sert pas à justifier l’absence d’une solution technique réalisable. Elle décrit le risque qui demeure malgré les solutions effectivement mises en œuvre. C’est cette différence qui permet de parler honnêtement de risque résiduel.
Avant d’ajouter un avertissement, posez la question qui dérange : qu’a-t-on concrètement modifié dans la conception et les protections avant de demander à l’utilisateur d’agir ?
Une réponse solide cite le scénario analysé, la mesure retenue, son résultat de vérification et le risque restant. « Nous avons ajouté une ligne dans la notice » n’est pas une réponse technique. C’est une décoration documentaire posée devant deux étapes manquantes.
Le premier niveau repose sur des mesures de prévention intrinsèque. Le deuxième mobilise les moyens techniques de protection des machines. Ce n’est qu’après leur mise en œuvre que l’information à l’utilisateur devient le résultat d’une démarche d’ingénierie plutôt que son substitut littéraire.
2. Le fabricant doit décrire le risque, pas soulager sa conscience
Une information utile doit permettre une action précise. Si le lecteur ignore encore ce qui peut se produire, pendant quelle tâche et comment l’éviter, le fabricant a livré du texte, pas nécessairement de l’information.
« Avant toute maintenance, isoler la machine de toutes ses sources d’énergie » semble raisonnable. Mais le sectionneur principal ne dépressurise pas un circuit hydraulique, ne vide pas un réservoir pneumatique, ne soutient pas un ensemble levé et ne détend pas un ressort. La physique ne signe pas le procès-verbal de réception.
Une information exploitable doit préciser :
- la tâche et la phase de vie pendant lesquelles le risque apparaît ;
- la localisation de la zone dangereuse ;
- les personnes susceptibles d’être exposées ;
- l’événement redouté et ses conséquences possibles ;
- les mesures appliquées par le fabricant ;
- le risque qui subsiste malgré ces mesures ;
- l’action exacte attendue de l’utilisateur ;
- les compétences, outils, procédures et protections nécessaires.
Pour remplacer un composant, il peut ainsi être nécessaire de couper une alimentation identifiée, fermer et condamner une vanne, dissiper la pression, vérifier l’absence d’énergie puis soutenir mécaniquement un ensemble mobile. Cette description donne enfin à l’utilisateur de quoi établir une procédure de consignation, une instruction de maintenance et un programme de formation.
Le lieu de transmission compte aussi. Un risque exigeant une réaction immédiate ne doit pas être caché uniquement à la page 143. Selon le cas, il faut une signalétique sur la machine, un avertisseur, un message sur l’interface ou une indication visible au poste d’intervention. L’opérateur ne devrait pas mener une enquête bibliographique pendant que le circuit perd sa pression.
Toutes les informations ne sont pas des avertissements. Certaines fixent les conditions d’utilisation sûre : matériaux autorisés, limites du procédé, méthode d’installation, fréquence des contrôles, compétences exigées ou opérations interdites en raison d’un danger identifié. Ces conditions doivent découler des hypothèses de l’évaluation des risques, et non d’un besoin tardif de remplir le chapitre « Sécurité ».
Écrire qu’il existe un risque résiduel sur la machine ne suffit pas. L’utilisateur ne gère pas une notion abstraite. Il gère une tâche, une personne, une énergie et des conditions de travail.
Une bonne information permet de passer de « un risque subsiste » à « voici exactement ce qu’il faut faire ». Entre les deux se logent les ambiguïtés, jusqu’au jour où il faut les expliquer après un accident.
3. Le fabricant termine la conception, l’utilisateur organise le travail
La figure 2 de l’ISO 12100 est inconfortable pour les deux parties. Le fabricant ne peut pas conclure son analyse par « les mesures complémentaires seront prises par l’utilisateur ». L’utilisateur ne peut pas davantage considérer que le marquage CE a rédigé les procédures, formé la maintenance et vérifié la façon dont les bourrages sont traités de nuit.
La norme fait apparaître deux niveaux de risque résiduel. Le premier demeure après les mesures prévues par le concepteur : prévention intrinsèque, protections techniques, mesures complémentaires et informations pour l’utilisation. Le fabricant doit l’identifier, l’évaluer et le décrire.
Le second tient également compte des actions de l’utilisateur : organisation du travail, consignation, autorisations, supervision, protections techniques complémentaires, EPI et formation. Ce ne sont pas deux noms donnés au même résultat. Entre les deux se trouve la mise en œuvre.
| Ce que transmet le fabricant | Ce que met en œuvre l’utilisateur |
|---|---|
| Description du risque restant et de son scénario | Procédure réelle d’exécution de la tâche |
| Conditions d’utilisation sûre | Organisation compatible avec ces conditions |
| Compétences requises | Désignation des personnes et vérification de leurs compétences |
| Exigences d’isolement des énergies | Procédure de consignation et régime d’autorisation |
| Besoin de protections complémentaires | Choix, installation et maintien de ces protections |
| Exigences relatives aux EPI | Mise à disposition, port et contrôle des EPI |
| Règles de contrôle et de maintenance | Planification et preuve de leur exécution |
Le mot « utilisateur » mérite lui-même d’être précisé. Il ne désigne pas seulement l’opérateur qui appuie sur Marche. Il englobe l’employeur qui organise le travail, le responsable de maintenance, l’encadrant, le technicien qui intervient et l’opérateur qui applique les mesures puis signale les anomalies.
Chacun a besoin d’une information différente. Le responsable de maintenance doit connaître les points de consignation et les contrôles des dispositifs de sécurité. L’encadrant doit savoir qui est autorisé à réaliser chaque tâche. L’opérateur a besoin de règles claires pour la production, le réglage et les situations dégradées. Tout empiler dans un chapitre intitulé « Remarques générales » ne crée pas un système de sécurité. Cela crée un chapitre que personne ne veut lire.
Deux démarches se rencontrent ici : l’évaluation des risques conduite par le fabricant et l’évaluation des risques professionnels réalisée par l’employeur, intégrée en France au document unique. Elles sont liées, mais ne se remplacent pas. Le fabricant étudie la machine dans les limites de son usage prévu et de son mauvais usage raisonnablement prévisible. L’employeur doit considérer le poste réel, l’environnement, le procédé, les équipes et l’organisation locale.
La coopération ne consiste donc pas à couper la responsabilité en deux et à la solder par une signature commune. Chacun doit exécuter sa part, avec des informations assez précises pour permettre à l’autre d’agir en connaissance de cause.
4. Une procédure ne fonctionne que si quelqu’un l’applique réellement
L’information la plus précise ne ferme aucune vanne. Elle ne pose pas de cadenas, ne vérifie pas l’absence d’énergie et n’empêche pas un redémarrage intempestif. Cette partie appartient à l’utilisateur.
Si le fabricant exige une consignation avant le dégagement d’un bourrage, l’établissement doit au minimum définir :
- qui peut arrêter la machine ;
- quelles sources d’énergie doivent être isolées ;
- où se trouvent les organes de séparation ;
- comment empêcher leur remise en service ;
- comment vérifier l’absence ou la dissipation de l’énergie ;
- qui peut retirer les condamnations ;
- selon quelles règles la machine est remise en production.
Sans ces éléments, « appliquer la consignation » est le nom d’une procédure, pas une procédure.
Le document doit aussi correspondre au travail réel. Si un bourrage survient quinze fois par poste et que la méthode prévue impose vingt minutes d’arrêt de toute la ligne, la suite est prévisible. Un raccourci apparaît, puis une « bonne pratique » connue des seuls anciens. Enfin, quelqu’un immobilise un interverrouillage avec du ruban adhésif pour qu’il cesse de gêner.
Ce constat ne justifie pas d’alléger la procédure au détriment de la sécurité. Une intervention trop fréquente peut révéler un défaut de conception, une mauvaise fiabilité du procédé ou une protection technique mal adaptée. Un troisième niveau bien conçu doit faire remonter cette information vers l’évaluation des risques.
La formation obéit à la même logique. Une feuille d’émargement prouve que plusieurs personnes ont passé un certain temps dans la même salle. Elle ne prouve pas qu’elles savent effectuer un nettoyage, un réglage ou une intervention en sécurité.
La formation doit porter sur les tâches réelles, les dangers présents, l’usage des protections et les situations anormales. La compétence se vérifie en pratique. Elle doit être réévaluée après une modification importante de la machine, du procédé, de la procédure ou des responsabilités.
La supervision ne peut pas se limiter au contrôle des signatures. Elle suppose d’observer le travail, de vérifier l’application des procédures, de réagir au contournement des protections et d’en rechercher les causes. Un interverrouillage neutralisé peut signaler une faute individuelle. Cinq interverrouillages neutralisés sur la même ligne disent aussi quelque chose de la conception et de l’organisation de la production.
Les EPI exigent eux aussi de la précision. « Porter des gants » ne dit ni contre quel risque ils protègent, ni quelles performances sont nécessaires, ni si leur port crée un risque de happement par une pièce mobile. L’utilisateur doit choisir la protection adaptée à la tâche et aux conditions réelles.
L’efficacité ne vient donc pas de l’existence d’une procédure. Elle dépend de sa faisabilité, de sa compréhension, du temps accordé à son application et du contrôle effectif de son usage. Une fiche plastifiée peut rester impeccable très longtemps, surtout lorsque personne ne la touche.
5. Une bonne information laisse une trace exploitable
Lors de la réception, le concepteur sait encore pourquoi une exigence figure dans la notice. Six mois plus tard, la machine a changé de ligne, la documentation a changé de responsable et l’auteur de l’évaluation travaille déjà sur un autre projet.
« Maintenance uniquement après immobilisation mécanique de l’ensemble. » Pourquoi faut-il le soutenir ? Quel mouvement peut survenir ? Quel élément est concerné et dans quelle position ?
Les réponses existent probablement, quelque part dans un fichier nommé « évaluation_finale_version8_corrigée_2 ». Ce n’est pas de la traçabilité. C’est une chasse au trésor.
L’information destinée à l’utilisateur doit être reliée à un scénario précis. Il faut pouvoir suivre le fil depuis le phénomène dangereux identifié, à travers les mesures de conception et de protection, jusqu’au risque résiduel et à l’action demandée.
Cette trace peut comprendre :
- la tâche et la phase de vie de la machine ;
- la source du danger et l’événement redouté ;
- les personnes exposées et les dommages possibles ;
- les mesures de réduction du risque appliquées ;
- le résultat de leur vérification ;
- la description du risque restant ;
- l’information placée dans la notice ou sur la machine ;
- l’action attendue de l’utilisateur ;
- le responsable de sa mise en œuvre ;
- la preuve de réalisation et le contrôle d’efficacité.
La preuve n’a pas besoin d’être un rapport de cinquante pages. Il peut s’agir d’une procédure approuvée, d’un essai fonctionnel, d’un relevé de mesure, d’une validation de compétence, d’un compte rendu de contrôle, d’une photographie de signalétique ou d’une décision technique justifiée. Elle doit simplement répondre à une exigence précise, plutôt que déclarer que « la sécurité a été abordée ».
Un dossier rempli de fichiers ne garantit rien. Cent documents rangés côte à côte peuvent rester incapables d’expliquer une décision. Ce qui compte est le lien entre le scénario, la mesure choisie, sa vérification, l’information transmise et l’action finalement réalisée.
Cette chaîne doit également survivre aux modifications. Un nouveau matériau, un changement de vitesse, un autre outillage, le déplacement de la machine ou une nouvelle méthode de nettoyage peuvent invalider les hypothèses initiales. L’utilisateur doit pouvoir repérer les scénarios à réexaminer sans relire toute la documentation. Attendre l’accident pour trouver le point faible revient à rechercher une fuite en attendant que le circuit n’ait plus de pression.
Dans un logiciel de gestion de la sécurité, cette chaîne ne devrait pas s’arrêter à la génération d’un rapport. Le scénario de risque, la mesure appliquée, sa vérification, le risque résiduel et les preuves doivent rester liés dans un même processus. On peut alors retrouver ce qui a été décidé, par qui, sur quelle base et avec quelle suite opérationnelle.
Test simple : une personne absente du projet peut-elle déterminer, à partir de la documentation, quel risque subsiste et quelle action doit être réalisée ?
Si oui, le fabricant a transmis une information exploitable. Sinon, il a livré à l’utilisateur une énigme technique avec pièce jointe.