Un diagramme « Bowtie » illustre les risques liés à un danger, en vue de leur gestion et de leur réduction. Il se concentre sur un scénario unique d’incident grave lié au danger et regroupe ses nombreuses causes et effets possibles dans une vue unique.

Comme le diagramme « Bowtie » présente plusieurs causes possibles concentrées sur un seul incident ou événement, puis une extension pour inclure les conséquences potentielles, sa constriction ressemble à un nœud papillon, et son nom est donc un indice de son apparence.

Pourquoi utiliser un diagramme «Bowtie» ?

En général, le seul événement grave qui nous intéresse est un scénario de « perte de contrôle ». Par exemple, vous pouvez considérer des événements majeurs tels qu’une fuite de matière dangereuse ou l’instabilité d’un processus critique. Cela pourrait entraîner une fuite de produits chimiques explosifs ou toxiques (perte de confinement), un incident de transport ou l’effondrement d’un service public. Tous ces événements peuvent entraîner des événements dommageables. Ce type d’analyse, au niveau détaillé d’un diagramme « Bowtie », justifie que leur gravité justifie la gestion du risque.

L’approche courante de la gestion des risques commence par l’identification des risques critiques, puis :

• Les éviter complètement, ou
• Les réduire et
• Atténuer les conséquences néfastes potentielles.

Le diagramme « Bowtie » est un outil visuel efficace pour superviser divers contrôles de réduction et d’atténuation des risques, car il représente les contrôles (parfois appelés barrières) directement liés à chaque cause et effet. De plus, outre son aspect visuel, le diagramme peut aider à établir les bases d’un modèle statistique. Celui-ci peut ensuite étayer le classement des risques critiques et aider à prioriser les efforts consacrés à leur gestion.

Qui utilise les diagrammes «Bowtie»?

L’analyse «Bowtie», ou «méthode Bowtie», est issue de diverses méthodes telles que l’arbre de défaillances, l’arbre d’événements et la cartographie des facteurs causaux, qui ont été utilisées très tôt dans les secteurs nucléaire et aéronautique. Une catastrophe chimique majeure survenue à Flixborough en 1974 a conduit à l’introduction de la loi sur la santé et la sécurité au travail, etc., puis à la réglementation COMAH au Royaume-Uni et à la directive Seveso dans l’UE, largement appliquées aux procédés et au stockage chimiques et pétrochimiques, ainsi qu’à l’industrie nucléaire. La catastrophe de Piper Alpha (1988) a ensuite fortement incité l’industrie pétrolière et gazière à développer son approche des risques majeurs, la première approche standardisée ayant été définie par Shell.

Depuis que la méthode du « Bowtie » est devenue une méthode établie de gestion des risques dans ces secteurs, elle s’est étendue à des applications dans les secteurs de l’exploitation minière, de la production d’électricité, des transports ferroviaire et maritime, de la santé et de l’approvisionnement en eau. Elle a même été appliquée à la cybersécurité et à la modélisation financière.

Par où commencer ?

Si votre entreprise expose des personnes – employés ou public – à des dangers, commencez par déterminer lesquels présentent le plus grand potentiel de causer des dommages, des préjudices ou des effets néfastes sur la santé. Tenez également compte des dommages environnementaux.

Prenons l’exemple d’un zoo qui abrite des tigres ou d’autres prédateurs. Un tigre correspond bien sûr à la définition d’un danger, mais correctement géré, il ne représente pas un risque élevé. Et c’est là tout l’intérêt. Bien qu’un danger soit au cœur de tout diagramme « Bowtie », il ne présente qu’un potentiel de catastrophe et le risque réel de préjudice est une question de gestion.

Une chaîne de facteurs est nécessaire pour qu’un danger devienne la cause d’un préjudice. Envisagez donc des scénarios de perte de contrôle. Comme mentionné précédemment, ceux-ci pourraient inclure la fuite d’une substance toxique, explosive ou autrement dangereuse, ou la perte d’un système dont dépendent les personnes. Parmi tous les scénarios de perte de contrôle potentiels, choisissez-en un comme événement principal. Cet événement ne représente qu’une perte de contrôle : rien de grave ne s’est encore produit, mais le risque de préjudice a été libéré.

Dans notre exemple, considérons que la « perte de contrôle » signifie que le tigre s’est échappé de son enclos. Votre diagramme « Bowtie » comporte maintenant ses deux éléments centraux : le danger et l’événement principal.

Et enfin les conséquences…

Comme nous sommes encore en train d’établir le potentiel de préjudice, il est logique de considérer d’abord le côté droit du diagramme « Bowtie ». Cela concerne les conséquences néfastes possibles d’une perte de contrôle. Listez-les, puis affinez-les. Chacune formera une branche distincte à droite du diagramme. Il est judicieux d’être précis sur ces conséquences. Ainsi, les « décès » peuvent constituer le scénario catastrophe, mais il est important de bien comprendre le mécanisme par lequel votre danger pourrait entraîner des décès. En effet, il est possible d’atténuer les effets d’une perte de contrôle. Par exemple, un exercice d’évacuation. Autre exemple : séparer autant que possible les zones à haut risque des zones de travail.

Ces mesures d’atténuation (ou barrières, si vous préférez) doivent être ajoutées à votre diagramme « Bowtie ». Certaines d’entre elles peuvent constituer des approches valables pour atténuer plusieurs conséquences.

Dans notre exemple de diagramme « Bowtie », les décès peuvent être la préoccupation évidente, mais être mutilé ou dévoré par un tigre en fuite n’est pas la seule raison. Une bousculade de personnes tentant de s’enfuir pourrait également être une possibilité. Le diagramme « Bowtie » doit séparer ces résultats, car les mesures d’atténuation doivent être différentes.

Enfin, comme les gestionnaires des risques le pensent peut-être déjà, classez les résultats par gravité (impact). Organisez votre diagramme « Bowtie » en les plaçant en haut (ou en les coloriant pour les mettre en évidence). Certains résultats seront plus graves que d’autres, comme le montre la matrice des risques classique, qui compare l’impact à la probabilité. Là encore, il s’agit d’un aspect clé de la priorisation.

Plus tard, vous souhaiterez peut-être considérer l’efficacité de vos mesures d’atténuation comme l’axe des ordonnées de la matrice des risques. Commençons par examiner les causes de la perte de contrôle.

Causes (déclencheurs) menant à la perte de contrôle

La partie gauche de votre diagramme « Bowtie » examine les déclencheurs pouvant conduire à la perte de contrôle de votre danger. Comme pour les résultats, dressez la liste des événements déclencheurs possibles.

Les principaux facteurs déclencheurs peuvent être une conception inadéquate, le vieillissement des équipements ou leur utilisation hors de leurs paramètres de conception. On peut également s’attendre à ce que les équipements tombent en panne de temps à autre, la fréquence d’utilisation étant tout simplement fonction de leur fréquence. Des facteurs environnementaux extrêmes peuvent également s’appliquer. D’autres facteurs peuvent inclure une interférence délibérée (sabotage, terrorisme ou autre crime). Chacun de ces facteurs peut déclencher une perte de contrôle et doit être pris en compte dans le calcul du risque.

Pour illustrer notre exemple de diagramme « Bowtie », supposons qu’un soigneur pénètre dans l’enclos des tigres et laisse une porte ouverte, permettant ainsi à un tigre de s’échapper. Nous pensons immédiatement que cela ne se produirait jamais. Et c’est parce que nous nous attendons instinctivement à maîtriser des risques aussi flagrants.

Le zoo n’aurait-il pas installé une double porte ? Et pour empêcher tout accès direct entre les enclos et les espaces publics ? Vous avez donc commencé à cartographier les contrôles (littéralement, les barrières) qui réduisent les risques que l’événement déclencheur conduise à une perte de contrôle. C’est à cela que le diagramme « Bowtie » est particulièrement utile.

Pour classer les événements déclencheurs, il est également important de prendre en compte leur fréquence. Des ouragans de force 12 peuvent faire tomber une clôture, mais ils sont plus rares que le nombre de fois qu’un gardien entre ou sort d’un enclos.

Quand les contrôles ne fonctionnent pas

Avez-vous maintenant terminé votre diagramme « Bowtie » ? Avez-vous répertorié les déclencheurs, les contrôles (barrières) conçus pour empêcher ces déclencheurs de conduire à l’événement majeur ? Et avez-vous répertorié les résultats possibles et les mesures d’atténuation conçues pour atténuer les impacts potentiels de cet événement majeur ?

Supposons que oui. Et pourtant, des événements indésirables peuvent survenir.

Cela s’explique en partie par le fait que les contrôles ne sont pas parfaits et peuvent parfois ne pas fonctionner du tout. Voici l’une des caractéristiques particulièrement puissantes de la méthode du « Bowtie » : on les appelle généralement « escalades » et elles représentent les raisons de l’échec des contrôles. Ce phénomène est étroitement lié à l’analyse des événements causaux.

Par exemple, une alarme qui échoue, ou une alarme qui se déclenche trop souvent et est ignorée. Ou (dans notre scénario) une double porte sans verrouillage fonctionnel, ce qui permet de laisser les deux portes ouvertes.

Pour cette raison, dans un système de gestion des risques bien conçu, vous ne vous reposeriez pas sur un seul contrôle. Mais que se passe-t-il si tous vos contrôles reposent sur un programme de maintenance dégradé ou sur une hypothèse de compétence du personnel qui n’est pas toujours valable ? C’est le type de situations prises en charge par le diagramme « Bowtie », où plusieurs contrôles peuvent échouer (modèle de causalité des accidents « fromage suisse »).

Le diagramme « Bowtie » permet également de mettre en évidence et de gérer ces facteurs de causalité en ajoutant non seulement des escalades (facteurs de dégradation), mais aussi des contrôles d’escalade, c’est-à-dire des mesures visant à gérer les escalades et à empêcher qu’elles ne dégradent l’efficacité des contrôles.

Il est juste de dire qu’une fois tous ces éléments ajoutés à votre diagramme « Bowtie » initial, celui-ci risque de ne plus ressembler à un nœud papillon. De plus, une partie de la lisibilité initiale peut avoir été perdue. C’est l’un des défis de l’analyse « Bowtie », et l’une des raisons pour lesquelles il est préférable d’opter pour une solution de création de diagrammes offrant les avantages suivants :

• Facile à dessiner
• Facile à afficher plus ou moins de détails
• Facile à mettre en évidence la réutilisation des contrôles (barrières)
• Facile à rechercher du texte clé
• Facile à ajouter des détails supplémentaires (descriptions, liens ou autres métadonnées)
• Facile à partager
• Facile à exporter le modèle à des fins de reporting

Ces éléments, ainsi que la facilité d’essai, ont été les principaux facteurs de conception de Bowtie Designer, une application gratuite pour SharePoint® moderne. Certaines fonctionnalités « premium » sont payantes, mais vous pouvez vous familiariser avec la méthode Bowtie et esquisser vos diagrammes de base grâce au logiciel, téléchargeable gratuitement sur Microsoft Marketplace.

Crédits photo :

• Photographie de Flixborough tirée du Scunthorpe Evening Telegraph
• Photographie de Buncefield tirée d’Anna Debenham
• Tigre photographié par le zoo Quinta La Fauna