Le graphe de risque en analyse de risques machine rassure vite. Un RI en vert calme tout le monde, un RI rouge déclenche des réunions, et un niveau moyen ouvre une discussion que beaucoup préféreraient éviter. Sauf que ISO 12100 ne pose pas la question de la jolie couleur. Elle pose une question bien plus sèche : le risque a-t-il été correctement réduit ? C’est là que le terrain rattrape les tableaux.
La méthode du graphe de risque, citée dans ISO/TR 14121-2 comme outil d’estimation du risque, est utile parce qu’elle force l’équipe à passer par S/F/O/A : gravité du dommage possible, fréquence ou durée d’exposition, probabilité de l’événement dangereux, possibilité d’éviter ou de limiter le dommage. On obtient un indice de risque. Très bien. Mais cet indice ne répond pas, à lui seul, à la vraie question : la machine est-elle suffisamment sûre au regard de son usage réel, de l’état de la technique et des mesures de protection mises en place ?
Le graphe de risque ne donne pas un alibi. Il laisse une trace de décision. Et la couleur, elle, ne décide rien.
Pourquoi le graphe de risque en analyse de risques machine n’est pas une table d’acceptation
Le piège le plus courant est simple : la méthode a l’air trop facile. On choisit S, puis F, puis O, puis A, et le résultat tombe. RI 2 paraît calme. RI 5 paraît grave. RI 3 ou RI 4 devient immédiatement politique. Pourtant, on n’est pas dans un laboratoire. On est dans une estimation du risque qualitative, donc dans un raisonnement structuré, pas dans une vérité mathématique.
ISO/TR 14121-2 le dit sans détour : deux équipes compétentes peuvent analyser une situation comparable et obtenir des résultats détaillés différents. Pourquoi ? Parce que l’une voit une exposition occasionnelle là où l’autre voit une exposition fréquente. Parce que l’une croit que l’opérateur peut éviter le dommage, quand l’autre sait, par expérience, qu’à pleine cadence il n’a pratiquement aucune chance. Parce que l’une lit la procédure, et l’autre regarde ce qui se passe vraiment à l’atelier.
La force de la méthode du graphe de risque ne vient donc pas d’une prétendue précision absolue. Elle vient de la discipline qu’elle impose. A-t-on décrit correctement le scénario ? A-t-on pris en compte l’exposition réelle ? A-t-on distingué la situation dangereuse de l’événement dangereux ? A-t-on justifié chaque choix de paramètre ? Si la réponse est non, l’indice de risque est propre sur le papier et faible en valeur technique.
| Paramètre | Ce qu’il faut réellement juger | Erreur fréquente |
|---|---|---|
| S | La gravité plausible du dommage ou de l’atteinte à la santé | Choisir un dommage trop léger pour rendre le résultat plus confortable |
| F | La fréquence et la durée d’exposition de la personne au danger | Ne regarder que la production normale et oublier réglage, nettoyage, dépannage ou maintenance |
| O | La probabilité de l’événement dangereux dans les conditions réelles d’utilisation | Supposer que la procédure est toujours respectée sans vérifier la pratique |
| A | La possibilité d’éviter le dommage ou d’en limiter les effets | Surestimer la capacité humaine à réagir à temps face à un mouvement rapide ou inattendu |
Voilà la réalité : le graphe ordonne la réflexion, mais il ne remplace pas le jugement d’ingénierie. Un niveau faible peut rester à traiter. Un niveau moyen peut être défendable. Ce qui compte, ce n’est pas la cellule colorée. C’est la logique de réduction du risque, la mesure de protection choisie, sa vérification, et sa cohérence avec ISO 12100, une norme de type C si elle existe, ou à défaut les exigences pertinentes des normes de type B et l’état de la technique.
Avant d’utiliser le graphe de risque en analyse de risques machine, décrivez le scénario
Un autre piège classique consiste à évaluer un danger au lieu d’évaluer un scénario. Dire parties mobiles, bords tranchants, énergie pneumatique ou température élevée ne suffit pas. Ce sont des sources de dommage. Ce ne sont pas encore des scénarios d’exposition. Tant que vous n’avez pas décrit qui est exposé, pendant quelle tâche, dans quelle phase de vie de la machine et comment le dommage peut survenir, vous ne choisissez pas S/F/O/A : vous cochez des cases au hasard.
Avant toute estimation du risque, il faut au minimum décrire :
- le danger, c’est-à-dire la source potentielle de dommage ;
- la situation dangereuse et, si nécessaire, l’événement dangereux au sens de ISO 12100 ;
- le dommage possible, qu’il s’agisse d’une blessure ou d’une dégradation de la santé ;
- la tâche réalisée par la personne exposée ;
- la phase de vie de la machine concernée : production, réglage, nettoyage, dépannage, maintenance, démontage ;
- la personne exposée : opérateur, régleur, mainteneur, nettoyeur, tiers.
La situation dangereuse décrit les circonstances dans lesquelles une personne se trouve exposée au danger. L’événement dangereux décrit ce qui peut déclencher le dommage : redémarrage intempestif, perte d’énergie de maintien, projection d’objet, mouvement résiduel, ouverture d’un protecteur, etc. Selon le cas, il faut documenter l’un, l’autre, ou les deux. Sans cette base, le graphe de risque devient un formulaire élégant, pas une appréciation du risque robuste.
Exemple 1 : un risque faible qu’il serait absurde de laisser
Prenons une situation simple. Près d’un protecteur, une tôle présente une arête vive. L’opérateur peut la toucher lors du nettoyage quotidien, d’un réglage ou du rechargement de matière. Le dommage probable est une coupure légère. Le temps d’exposition est court. La situation dangereuse existe, mais elle n’est ni permanente ni massive. Sur le papier, on s’oriente vite vers un résultat bas.
| Paramètre | Évaluation | Justification |
|---|---|---|
| S | S1 | Dommage léger plausible, le plus souvent une coupure mineure |
| F | F2 | Exposition régulière, mais courte à chaque intervention |
| O | O3 | Le contact est possible, sans être systématique, et dépend d’un geste précis |
| A | A1 | Dans la version classique du graphe de risque, A couvre l’évitement du dommage et la limitation de ses effets ; ici, l’opérateur peut souvent retirer sa main à temps |
C’est précisément là que beaucoup se trompent. Un RI faible n’autorise pas automatiquement l’inaction. Si la réduction du risque consiste simplement à casser l’arête, ajouter un profil de protection, augmenter un rayon de pliage ou améliorer la finition de la pièce, le coût est presque nul. La fonction de la machine ne bouge pas. L’utilisabilité ne se dégrade pas. Aucun nouveau danger n’est créé. Continuer avec l’arête vive au motif que le résultat est bas, c’est une mauvaise décision d’ingénierie, pas une décision prudente.
Le bon raisonnement est brutalement simple : faible, oui ; mais facile à réduire, donc à traiter. ISO 12100 ne demande pas de trouver la couleur la plus basse à partir de laquelle on peut s’arrêter. Elle demande de réduire le risque autant que possible en pratique, en tenant compte de la fonction de la machine, de son utilisabilité, de l’état de la technique et des contraintes réelles. Quand la mesure de protection est évidente et sans effet secondaire, l’ignorer est difficile à défendre.
Exemple 2 : un risque moyen qui peut être techniquement défendable
Passons au cas inverse. Certaines machines doivent conserver un élément actif pour des raisons fonctionnelles. On peut limiter l’accès, réduire la probabilité de contact, imposer des distances, utiliser des protecteurs, des barrières, des fonctions de commande appropriées et des informations sur le risque résiduel. Mais on ne peut pas toujours faire disparaître la gravité du dommage possible. C’est typiquement le cas de certains équipements agricoles, par exemple autour de dispositifs rotatifs d’une moissonneuse-batteuse, où la norme de type C prescrit des mesures de protection précises sans promettre un monde sans risque.
Dans ce cas, la logique n’est pas de forcer un vert artificiel. La logique est d’appliquer la bonne mesure de protection, de vérifier sa mise en œuvre, puis d’expliquer le risque résiduel restant. La norme de type C ne dit pas seulement réduire le risque. Elle peut imposer des protecteurs, des parties fixes, des barrières, des distances minimales, des pictogrammes de sécurité, des informations dans la notice et une méthode de vérification. Ces mesures réduisent l’exposition et la probabilité de l’événement dangereux, mais elles ne transforment pas une projection ou un contact avec un organe rotatif en incident bénin.
| Paramètre | Évaluation | Justification |
|---|---|---|
| S | S2 | Le dommage possible reste grave en cas de contact avec un organe rotatif ou de projection |
| F | F1 | L’accès à la zone dangereuse est limité en fonctionnement normal par les protecteurs et la conception |
| O | O2 | L’événement dangereux devient peu probable grâce aux mesures de protection, sans pouvoir être totalement exclu |
| A | A2 | La possibilité d’éviter le dommage reste limitée si le contact ou la projection se produit |
L’erreur serait d’écrire dans le dossier : risque moyen, acceptable. Ce n’est pas assez. Une formulation techniquement solide ressemble plutôt à ceci : après application des mesures de protection prévues par la norme de type C pertinente, le risque résiduel demeure moyen en raison de la gravité intrinsèque du dommage possible et de la nécessité fonctionnelle de l’organe de travail. Les mesures appliquées limitent l’accès, réduisent la probabilité de contact accidentel et informent l’utilisateur sur le risque résiduel. Une réduction supplémentaire a été examinée, mais aucune solution compatible avec la fonction de la machine, son utilisabilité et l’état de la technique n’a été identifiée sans créer de nouveaux dangers ou des contraintes disproportionnées.
Là, on n’est plus dans l’habillage. On est dans une décision défendable. Le niveau moyen n’est pas maquillé. Il est expliqué. Et c’est exactement ce qu’on attend d’une appréciation du risque sérieuse.
Le même scénario, deux RI différents
Le troisième cas est souvent le plus révélateur : deux équipes analysent le débourrage d’une machine et n’obtiennent pas le même résultat. Le danger vient des parties mobiles. La situation dangereuse apparaît quand l’opérateur intervient dans la zone de travail. L’événement dangereux peut être un redémarrage intempestif, un mouvement résiduel, la libération d’une énergie stockée, ou le contact avec un élément qui n’est pas encore à l’arrêt. Le dommage possible va de la coupure à l’écrasement ou à l’entraînement.
Une première équipe considère que les bourrages sont rares, que les opérateurs sont expérimentés, que l’arrêt et la consignation LOTO sont exigés, et que l’accès est correctement limité. Elle attribue alors des valeurs plus basses à F et O. Une seconde équipe observe le terrain : petits bourrages plusieurs fois par poste, pression de production, protecteur jugé gênant, procédure contournée dès qu’il faut aller vite, énergie non toujours dissipée. Elle attribue des valeurs plus hautes. Les deux raisonnements peuvent sembler cohérents. Mais un seul colle à la réalité d’usage.
Quand deux équipes arrivent à deux indices différents, le problème n’est pas toujours la méthode. Souvent, c’est le scénario qui a été mal décrit ou la pratique réelle qu’on n’a pas voulu regarder en face.
| Question à poser | Pourquoi c’est décisif |
| À quelle fréquence les bourrages surviennent-ils réellement ? | Parce que cela change directement F, donc l’exposition réelle |
| La personne doit-elle entrer dans la zone dangereuse pour intervenir ? | Parce qu’un arrêt machine ne supprime pas toujours l’exposition |
| L’énergie est-elle coupée et dissipée avant intervention ? | Parce que le risque peut venir d’une énergie stockée et non du seul mouvement visible |
| L’organe de travail s’arrête-t-il immédiatement ? | Parce qu’un mouvement jusqu’à l’arrêt reste un danger |
| La mesure de protection est-elle facile à contourner ? | Parce que la facilité de contournement influence le comportement réel |
| La procédure est-elle appliquée dans les faits ? | Parce qu’un document ne décrit pas toujours le travail réel |
| Peut-on modifier la conception pour éviter les bourrages ? | Parce que la meilleure réduction du risque consiste souvent à supprimer le besoin d’intervention |
Ce tableau dit quelque chose d’essentiel : le graphe de risque n’est pas un outil pour prouver qu’on a raison. C’est un outil pour ranger les hypothèses, les confronter aux faits et rendre la décision traçable. Si les résultats divergent, il faut retourner au terrain, pas se battre avec les couleurs.
Comment documenter un résultat du graphe de risque sans le réduire à une couleur
La vraie valeur de la méthode n’est pas l’indice final. La vraie valeur, c’est le chemin qui y conduit. Si ce chemin est clair, l’appréciation du risque tient. Si ce chemin est flou, l’indice de risque ne vaut pas grand-chose, même s’il est présenté dans un logiciel impeccable.
Dans une documentation sérieuse, il faut retrouver au minimum :
- la description du scénario, et pas seulement le nom du danger ;
- la personne exposée, la tâche concernée et la phase de vie de la machine ;
- la distinction entre situation dangereuse et événement dangereux ;
- la justification de chaque choix S/F/O/A ;
- la mesure de protection retenue et sa place dans la hiérarchie de réduction du risque ;
- la réévaluation après mise en œuvre de la mesure de protection ;
- la description du risque résiduel ;
- la référence à la norme de type C applicable, ou à défaut aux normes de type B et aux solutions conformes à l’état de la technique ;
- l’explication de l’absence de réduction supplémentaire lorsqu’aucune mesure additionnelle n’est techniquement, fonctionnellement ou pratiquement justifiée.
C’est ce niveau de détail qui permet de tenir devant un audit, une expertise, un contentieux ou un dossier technique CE. Pas la présence d’un vert sur une matrice. Le graphe bien utilisé ne ferme pas le sujet ; il montre pourquoi la décision de réduction du risque est cohérente et défendable.
Conclusion : faible mais à traiter, moyen mais défendable
Le graphe de risque est un bon outil d’estimation du risque pour les machines s’il est utilisé dans la logique de ISO 12100. Il force à se poser les bonnes questions : quelle gravité, quelle exposition, quelle probabilité d’événement dangereux, quelle possibilité d’évitement ? C’est précieux. Mais il ne répond jamais, tout seul, à la question de savoir si la machine est suffisamment sûre.
Un RI faible n’est pas un laissez-passer si une mesure de protection simple permet de supprimer le problème sans coût réel ni effet secondaire. Un RI moyen n’est pas forcément le signe d’un mauvais projet si la bonne mesure issue d’une norme de type C a été appliquée, vérifiée et documentée, et si une réduction supplémentaire n’est pas justifiée. Le pire réflexe reste le même : traiter la couleur comme une décision. Une bonne appréciation du risque s’arrête quand le concepteur peut expliquer ce qui a été analysé, pourquoi les paramètres ont été choisis, quelle mesure de protection a modifié quels éléments du risque, et pourquoi le risque résiduel est défendable. Le graphe ne remplace pas la réflexion. Il oblige simplement à la rendre visible.