Un résultat de 99 avec la méthode Risk Score signifie-t-il que la machine est sûre ? Non. Signifie-t-il qu’elle est dangereuse ? Pas toujours non plus. Et c’est exactement là que le piège se referme.
La méthode Risk Score est pratique. On la montre facilement en formation. On crée un tableau. On attribue des points. On additionne, on multiplie, on colore en vert, orange ou rouge. À la fin, on obtient un chiffre. Un chiffre propre. Un chiffre qui a l’air technique.
Mais que dit-il vraiment ? Si personne ne sait expliquer d’où il vient, pas grand-chose.
Un Risk Score n’est pas une mesure physique. Ce n’est pas une température. Ce n’est pas une masse. C’est la trace d’un raisonnement : quelle gravité du dommage, quelle exposition, quel événement dangereux possible, quelle possibilité d’éviter ou de limiter le dommage ? Si le raisonnement est faible, la valeur ment. La table cache l’absence de réflexion.
Avec la méthode Risk Score, commencez par le scénario
La pire façon d’utiliser une méthode à points ? Écrire un phénomène dangereux vague et calculer tout de suite.
Exemple classique : « pièces en mouvement ». Puis S = 3, F = 4, O = 3, A = 5. Résultat : 15, 60, 180 ou autre, selon la formule.
Problème : ce n’est pas encore une appréciation du risque. C’est du remplissage de tableau.
ISO 12100 impose une logique plus solide. Avant de chiffrer, il faut comprendre ce que l’on apprécie. Un phénomène dangereux seul ne suffit pas. Un couteau mobile est un phénomène dangereux. Mais le risque apparaît seulement lorsqu’une personne peut se retrouver dans une situation dangereuse où ce couteau peut causer un dommage.
Il faut donc poser les questions de terrain. Qui est exposé ? L’opérateur ? Le technicien de maintenance ? La personne qui nettoie ? Le régleur ? Quelqu’un qui passe à côté ? Quand cette personne est-elle exposée ? En production normale ? Pendant le nettoyage ? Lors d’un réglage ? Lors du débourrage ? Protecteur ouvert ? Machine arrêtée, mais avec énergie accumulée ?
Ensuite : que peut-il se passer ? Mise en marche intempestive ? Perte de contrôle d’une pièce ? Entraînement d’une manche ? Rupture d’un flexible ? Projection d’un élément ? Descente d’une masse ? Accès à la zone dangereuse avant l’arrêt complet du mouvement ?
Et enfin : quel dommage est crédible ? Coupure ? Fracture ? Écrasement des doigts ? Amputation ? Décès ? Perte auditive après des années d’exposition ? Atteinte respiratoire liée aux poussières ?
La méthode Risk Score ne doit pas évaluer « les pièces en mouvement » comme une étiquette générique. Elle doit évaluer un scénario concret.
- L’opérateur retire un bourrage dans la zone d’alimentation avec un protecteur partiellement ouvert, et un mouvement dangereux peut repartir au redémarrage.
- Le technicien règle un capteur près d’un actionneur pneumatique, et l’organe peut bouger brutalement au retour de pression.
- L’opérateur alimente manuellement une pièce près de l’outil, la pièce peut être happée et entraîner la main vers une partie tournante.
Là, on parle enfin d’appréciation du risque. Même machine. Même source de danger. Mais scores différents, parce que la tâche, l’exposition, l’état de la machine et les mesures de protection ne sont pas les mêmes.
La bonne séquence est simple : scénario d’abord, paramètres ensuite, résultat à la fin. Jamais l’inverse.
La méthode Risk Score dans ISO 12100 : ce que la norme dit vraiment
ISO 12100 ne donne pas une formule de Risk Score. Elle ne dit pas d’additionner. Elle ne dit pas de multiplier. Elle ne dit pas d’utiliser une échelle de 1 à 5. Elle ne dit pas non plus qu’un résultat au-dessus de 100 doit être rouge.
ISO 12100 dit quelque chose de plus important : le risque dépend de la gravité du dommage possible et de la probabilité d’apparition de ce dommage.
Et cette probabilité n’est pas une valeur magique sortie du chapeau. Elle peut dépendre de l’exposition, de la possibilité qu’un événement dangereux survienne, et de la possibilité réelle, technique et pratique, d’éviter ou de limiter le dommage.
C’est pour cela que l’on rencontre plusieurs variantes de la méthode Risk Score. Certaines entreprises utilisent deux paramètres : gravité × probabilité. D’autres en utilisent trois : gravité × exposition × probabilité. D’autres décomposent la probabilité en fréquence d’exposition, occurrence de l’événement dangereux et possibilité d’évitement.
Est-ce automatiquement non conforme ? Non. À condition que la méthode évalue toujours ce qu’elle doit évaluer : la gravité du dommage possible et la probabilité de ce dommage.
Si la probabilité est décomposée en exposition, événement dangereux et évitement, cela peut être très pertinent. Si les paramètres sont définis clairement, c’est défendable. Si la même logique est appliquée avant et après réduction du risque, c’est cohérent. Si l’on peut montrer ce qu’une mesure de protection a réellement changé, c’est utile.
Mais si l’on ajoute des paramètres parce que « c’était comme ça dans le fichier Excel », danger. Si la fréquence veut dire une chose le lundi et autre chose le jeudi, danger. Si la possibilité d’éviter le dommage repose sur la foi dans les réflexes de l’opérateur, danger. Si l’on baisse la gravité après ajout d’un protecteur alors que le contact avec l’outil provoquerait toujours la même amputation, danger aussi.
La méthode Risk Score dans ISO/TR 14121-2 : un outil, pas une preuve
ISO/TR 14121-2 présente le numerical scoring comme une méthode possible d’aide à l’estimation du risque. Pas comme une calculatrice sacrée. Pas comme une preuve automatique de sécurité machine.
Le principe est simple : on attribue des valeurs numériques à des classes de paramètres de risque, puis on les combine pour obtenir un résultat. Ce résultat aide à comparer des situations, établir des priorités et visualiser l’effet des mesures de protection.
Simple ? Oui. Trop simple, parfois.
Parce que le chiffre n’est utile que s’il ramène aux hypothèses. Si une situation obtient 175 points et tombe en risque élevé, cela ne veut pas dire que le risque a été mesuré avec une précision au point près. Cela veut dire qu’avec l’échelle choisie, les seuils choisis et les valeurs retenues, cette situation se classe en risque élevé.
C’est honnête. Ce qui ne l’est pas, c’est de comparer le 99 d’une entreprise avec le 99 d’une autre si les échelles, les seuils et les définitions ne sont pas les mêmes. Là, le chiffre fait semblant d’être un langage commun. Il ne l’est pas.
Dans une méthode Risk Score, il faut donc séparer trois choses : la formule, l’échelle et les définitions. La formule se copie en cinq minutes. L’échelle se colle depuis un modèle. Les définitions, elles, demandent du métier.
Paramètres de la méthode Risk Score : là où l’erreur commence
En pratique, on voit souvent des raccourcis : S/F/O/A, S/E/P/A, ou d’autres variantes selon l’entreprise, la formation ou l’outil utilisé. Ce n’est pas un problème en soi. Le problème commence quand personne ne sait dire précisément ce que chaque paramètre signifie.
| Paramètre | Ce qu’il doit décrire | Erreur fréquente | Question à poser |
|---|---|---|---|
| S — gravité du dommage | La gravité du dommage raisonnablement prévisible dans le scénario étudié. | Baisser la gravité après ajout d’un protecteur, alors que le contact avec l’élément dangereux causerait toujours le même dommage. | Que se passe-t-il réellement en cas de contact, d’écrasement, de happement, de projection ou d’électrisation ? |
| F / E — fréquence ou exposition | La fréquence et la durée pendant lesquelles une personne se trouve en situation dangereuse. | Ne regarder que la production normale et oublier nettoyage, réglage, maintenance ou débourrage. | Quand la personne est-elle vraiment dans la zone dangereuse, et à quelle fréquence ? |
| O / P — occurrence ou probabilité d’un événement dangereux | La possibilité qu’un événement déclenche le scénario de dommage. | Mettre une valeur faible parce qu’il n’y a pas encore eu d’accident. | Qu’est-ce qui peut mal tourner : techniquement, organisationnellement ou par comportement humain prévisible ? |
| A — possibilité d’éviter ou de limiter le dommage | La capacité réelle de la personne à éviter ou limiter le dommage une fois la situation engagée. | Supposer qu’un opérateur formé aura toujours le temps de réagir. | La personne voit-elle le danger, le comprend-elle, dispose-t-elle du temps, de la distance et d’un moyen réel d’action ? |
Cette table est plus importante que la formule. La formule transforme des valeurs. Les valeurs, elles, viennent de décisions humaines.
Si les définitions sont faibles, le Risk Score sera faible, même avec un tableau impeccable. Si les définitions sont solides, une méthode simple peut produire une discussion technique de qualité.
On ne débat plus pour savoir s’il faut « mettre 3 ou 4 pour que ça passe ». On débat du scénario : l’opérateur est-il exposé à chaque changement d’outil ? L’événement peut-il survenir brutalement ? Le protecteur réduit-il vraiment l’accès ou déplace-t-il le problème vers le nettoyage ? Après la mesure de protection, a-t-on réduit l’exposition, la probabilité de l’événement dangereux, la possibilité de dommage, ou seulement la couleur du tableau ?
Différentes versions de la méthode Risk Score peuvent être correctes
Il n’existe pas une seule formule universelle. Et heureusement. Une presse, une ligne de convoyage, une machine d’usinage, une ensacheuse et un robot collaboratif ne se discutent pas toujours avec le même niveau de détail.
Mais la liberté de méthode n’est pas une permission de bricoler. La cohérence reste obligatoire.
| Variante de méthode | Logique typique | Ce qui est utile | Point de vigilance |
|---|---|---|---|
| S × P | Gravité du dommage × probabilité du dommage | Simple, rapide à comprendre, facile à déployer. | La probabilité peut devenir trop vague et mélanger exposition, défaillance, erreur humaine et évitement. |
| S × F × P | Gravité × fréquence d’exposition × probabilité d’événement | Montre mieux l’effet d’une exposition fréquente à la zone dangereuse. | Peut oublier la possibilité réelle d’éviter ou de limiter le dommage. |
| S + F + O + A | Somme de la gravité, de la fréquence, de l’occurrence et de l’évitement | Lisible pour comparer des scénarios et suivre l’évolution après réduction du risque. | L’addition peut lisser les écarts. Une gravité très élevée peut être noyée si les seuils sont mal réglés. |
| S × (F + O + A) | Gravité traitée séparément, probabilité décomposée | Rappelle que la gravité n’a pas la même nature que les composantes de probabilité. | Exige des définitions très claires pour éviter une mathématique de façade. |
| Méthode hybride | Points pour les paramètres, puis classement par matrice | Pratique quand l’entreprise veut combiner chiffres et classes de risque simples. | Peut devenir un coloriage si le scénario et la justification disparaissent. |
Une formule différente ne rend pas une méthode mauvaise. Elle devient mauvaise quand le résultat remplace la description du scénario. Elle devient mauvaise quand on change les chiffres après une mesure de protection sans savoir quel élément du risque a vraiment changé.
Pourquoi le résultat seul de la méthode Risk Score ne suffit pas
Une appréciation se termine trop souvent par un mot : faible, moyen, élevé. Ou par un nombre. Le problème, c’est qu’un nombre seul ne dit pas quel combat technique il faut mener.
Dans SafetySoftware, la méthode Risk Score ne doit pas être une boîte noire. Le résultat doit montrer ses composants. Par exemple : S = 2, dommage sérieux mais réversible ; F = 3, exposition occasionnelle ; O = 3, événement dangereux possible ; A = 3, évitement possible. Résultat : 2 + 3 + 3 + 3 = 11. Catégorie : risque moyen.
Très bien. Mais l’important n’est pas le 11. L’important est de voir d’où il vient.
| Composition du résultat | Résultat | Ce que cela peut signifier en pratique |
|---|---|---|
| 2 + 3 + 3 + 3 | 11 | Dommage sérieux, exposition occasionnelle, événement possible, possibilité partielle de réaction. |
| 4 + 1 + 1 + 5 | 11 | Dommage potentiellement mortel, exposition rare, événement peu probable, mais aucune possibilité réaliste d’éviter le dommage s’il survient. |
| 1 + 5 + 4 + 1 | 11 | Dommage léger, mais exposition continue et événement relativement probable. |
Mathématiquement, le résultat est identique. Techniquement, ce sont trois discussions différentes.
Dans le premier cas, on cherchera peut-être à réduire l’exposition ou l’occurrence de l’événement dangereux. Dans le deuxième, il est interdit de se rassurer trop vite : si le dommage possible est mortel, les faibles valeurs des autres paramètres doivent être bétonnées. Dans le troisième, le problème peut venir de micro-dommages répétés, d’inconforts ou d’expositions trop fréquentes.
Autre cas piégeux : 4 + 1 + 1 + 1 = 7. Dans beaucoup de tableaux, cela finit en catégorie basse. Sur le papier, tout paraît propre. Exposition rare. Événement peu probable. Évitement possible. Mais S = 4 peut signifier décès ou conséquence catastrophique.
Sommes-nous vraiment prêts à accepter ce risque parce que la somme est faible ? Si quelqu’un affirme qu’un risque d’accident mortel est « faible », il doit être capable d’expliquer très solidement pourquoi l’exposition est sporadique, pourquoi l’événement est extrêmement peu probable, et pourquoi l’évitement est réellement possible.
Le chiffre n’est pas une preuve. C’est une trace de décision.
Risk Score dans SafetySoftware : la valeur doit avoir une justification
Dans Excel, on peut tout calculer. Colonnes S, F, O, A. Formule. Couleurs. Mise en page. Rapport propre. Mais le vrai problème de l’appréciation du risque n’est presque jamais l’addition de quatre chiffres.
Le vrai problème apparaît un mois plus tard. Un an plus tard. Ou après un accident. Quelqu’un pose alors la question simple : pourquoi ces valeurs ? Pourquoi S = 2 et pas 4 ? Pourquoi l’exposition est-elle « occasionnelle » si l’opérateur débourre plusieurs fois par poste ? Pourquoi l’évitement est-il jugé possible si le mouvement arrive brutalement ? Pourquoi la gravité baisse-t-elle après ajout d’un protecteur fixe ?
Une méthode Risk Score sérieuse doit relier le score à tout le scénario : phénomène dangereux, zone de la machine, tâche concernée, personne exposée, événement dangereux, dommage possible, paramètres retenus, résultat avant réduction du risque, mesure de protection, résultat après réduction, risque résiduel et justification.
Là, le chiffre commence à travailler. Pas comme décoration de rapport. Pas comme argument de confort. Comme partie d’une décision technique.
Si l’on ajoute un protecteur fixe, la gravité du dommage ne change généralement pas. Le contact avec l’outil tranchant causerait toujours un dommage grave. Ce qui change, c’est l’exposition : l’accès libre à la zone dangereuse est supprimé en fonctionnement normal.
Si l’on ajoute un protecteur avec dispositif de verrouillage, l’occurrence d’un mouvement dangereux protecteur ouvert peut être réduite. Si l’on limite la vitesse en mode réglage, la possibilité d’éviter ou de limiter le dommage peut s’améliorer. Si l’on modifie la conception pour supprimer un point d’écrasement, alors la gravité ou même le phénomène dangereux peut disparaître.
C’est la différence entre une bonne appréciation du risque et une simple réécriture de points. On ne baisse pas le score parce qu’un « dispositif de sécurité » a été ajouté. On montre quel élément du risque a réellement changé.
Quand la méthode Risk Score aide, et quand elle ment
La méthode Risk Score aide quand elle oblige l’équipe à structurer sa pensée. Elle aide quand il faut comparer plusieurs situations dangereuses. Elle aide quand il faut prioriser les actions. Elle aide quand il faut montrer l’écart entre l’état initial et l’état après mesures de protection.
Elle aide aussi à voir que le problème n’est pas toujours la gravité. Parfois, le vrai sujet est l’exposition trop fréquente. Parfois, c’est le contournement prévisible d’un protecteur. Parfois, c’est l’absence de temps de réaction. Parfois, c’est simplement une tâche mal conçue qui oblige l’opérateur à mettre les mains là où elles ne devraient jamais aller.
Mais la méthode Risk Score ment quand elle remplace la réflexion. Elle ment quand les valeurs sont saisies sans scénario. Elle ment quand les paramètres ne sont pas compris. Elle ment quand le résultat final est traité comme une preuve de sécurité. Elle ment quand une somme faible cache un dommage catastrophique. Elle ment quand « possibilité d’éviter » veut dire « l’opérateur est formé, il fera attention ». Elle ment quand « faible probabilité » veut seulement dire « on n’a pas encore eu d’accident ».
La méthode ne demande pas des mathématiques avancées. Elle demande de la discipline.
D’abord le scénario. Ensuite les paramètres. Puis la même logique avant et après réduction du risque. Enfin, une vérification claire : la mesure de protection a-t-elle réellement réduit le risque, ou a-t-elle seulement amélioré l’apparence du tableau ?
Une bonne documentation doit rester compréhensible sans la personne qui l’a rédigée. Parce qu’une appréciation du risque n’est pas écrite uniquement pour le jour de signature du rapport. Elle est aussi écrite pour le jour où quelqu’un demandera : pourquoi avez-vous considéré que ce risque était suffisamment réduit ?
Conclusion : le chiffre n’est pas l’objectif
La méthode Risk Score est populaire parce qu’elle est simple. C’est sa force. C’est aussi son piège.
Il est facile de confondre calcul et appréciation du risque. Facile de confondre couleur et décision. Facile de confondre résultat et preuve.
Dans l’esprit d’ISO 12100, l’objectif n’est pas d’obtenir une belle table. L’objectif est de démontrer que les phénomènes dangereux ont été identifiés, que les risques ont été estimés, que les mesures de protection ont été choisies, que leur effet a été vérifié, et que le risque résiduel est clairement décrit.
Un résultat de 11, 14 ou 99 ne dit pas à lui seul si une machine est sûre. Il dit seulement que certaines valeurs ont été retenues. Le score prend de la valeur uniquement lorsque l’on sait pourquoi.
La vraie question n’est donc pas : quel résultat est sorti ? La vraie question est : pouvez-vous défendre les valeurs qui ont produit ce résultat ?
Si oui, la méthode aide. Si non, elle ne fait qu’imiter l’ordre.