En bref. Les installations industrielles changent sans cesse : une vanne ajoutée, un matériau remplacé, une consigne modifiée, une équipe réorganisée. Et il arrive qu’une règle technique ne puisse pas être respectée pendant un temps. Ces deux situations, la modification et la dérogation, sont à l’origine d’une part importante des accidents graves. Elles ne demandent pas des procédures lourdes, mais un réflexe : ne jamais décider seul, analyser l’effet, tracer, et revenir à la situation normale à une date fixée.
Un tuyau provisoire
Le 1er juin 1974, à Flixborough, en Angleterre, une usine de caprolactame est détruite par l’explosion d’un nuage de cyclohexane. Vingt-huit personnes meurent. Quelques semaines plus tôt, une fissure avait été découverte sur l’un des six réacteurs montés en série. Pour ne pas arrêter la production, l’équipe avait retiré le réacteur et relié les deux réacteurs voisins par une tuyauterie provisoire, coudée, supportée par des échafaudages, munie de soufflets à chaque extrémité. Aucun calcul de conception n’avait été fait ; aucun ingénieur mécanicien qualifié n’était alors en poste sur le site. Sous l’effet de la pression, l’ensemble s’est déformé et a cédé.
Flixborough est devenu le cas fondateur de la gestion des modifications. Tout y est : une décision prise sous la pression de la production, une modification jugée « temporaire » et donc mineure, l’absence de l’expertise nécessaire pour en évaluer l’effet.
Deux notions à ne pas confondre
| Modification | Dérogation | |
|---|---|---|
| Définition | Tout changement de l’installation, du procédé, des matériaux, des modes opératoires, de l’organisation, au-delà d’un remplacement à l’identique | Écart temporaire et autorisé à une règle technique, une norme ou une procédure, sans changer la règle elle-même |
| Exemple | Ajout d’une vanne d’isolement, nouveau fournisseur de matériau, nouveau logiciel de contrôle, réduction d’effectif d’une équipe | Fonctionnement avec une inspection réglementaire différée, utilisation d’un matériau non conforme à la spécification en attendant la pièce définitive |
| Durée | Permanente ou temporaire | Toujours temporaire, avec une date d’échéance |
| Question centrale | Quel est l’effet du changement sur les risques ? | Quelles mesures compensent l’écart pendant sa durée ? |
Le remplacement à l’identique (même pièce, même matériau, même caractéristique) n’est pas une modification. Tout le reste l’est, y compris ce qui paraît anodin. La difficulté pratique est là : ce sont les changements jugés mineurs qui échappent au circuit.
Ce que disent les référentiels
ISO 45001 demande à l’organisme d’établir des processus pour la mise en œuvre et la maîtrise des modifications planifiées, temporaires et permanentes, qui ont un impact sur la santé et la sécurité au travail (8.1.3), et de prendre en compte les modifications réelles ou envisagées dans l’identification des dangers (6.1.2.1). Elle cite explicitement les changements d’organisation et l’évolution des connaissances.
Dans l’industrie des procédés, la référence historique est la réglementation américaine sur la gestion de la sécurité des procédés (OSHA, 29 CFR 1910.119), qui exige des procédures écrites de gestion des modifications couvrant notamment la base technique du changement, son effet sur la sécurité, la mise à jour des procédures et des documents, l’information et la formation du personnel, et une revue de sécurité avant démarrage pour les installations nouvelles ou modifiées. Le Center for Chemical Process Safety (CCPS) a publié des lignes directrices détaillées sur la gestion des modifications, qui sont la référence la plus complète sur le sujet.
Ce que montrent les accidents
Geismar, 2013. Dans une usine d’oléfines en Louisiane, des vannes d’isolement avaient été ajoutées sur les rebouilleurs d’un fractionnateur sans analyse adéquate de la modification. Les plans n’avaient pas été mis à jour ; l’analyse de danger suivante avait donc raisonné sur une installation qui n’existait plus. Une recommandation demandant de bloquer ces vannes en position ouverte n’avait pas été appliquée correctement. Lors d’une permutation, le rebouilleur en attente, isolé de sa soupape de protection, a éclaté sous la dilatation du liquide qu’il contenait : deux morts, plus de 160 blessés.
Longford, 1998. La modification en cause n’était pas physique mais organisationnelle : le transfert des ingénieurs expérimentés vers le siège, quelques années avant l’accident, sans analyse de son effet sur la capacité du site à gérer les situations anormales. Lorsque la rupture fragile d’un échangeur refroidi à −42 °C s’est produite, les personnes qui auraient su reconnaître le danger n’étaient plus là.
Les trois cas, Flixborough, Geismar et Longford, illustrent les trois familles de modifications : temporaire, physique, organisationnelle. Aucune n’a fait l’objet d’une analyse proportionnée à ses conséquences.
Figure 1. Les cinq étapes d’une modification et les trois familles de changements illustrées par trois accidents.
Un circuit simple et proportionné
Une bonne procédure de gestion des modifications n’est pas forcément longue. Elle doit garantir cinq étapes :
- Identifier qu’il s’agit d’une modification, et non d’un remplacement à l’identique. C’est le rôle de la formation et de la culture : tout le monde doit savoir reconnaître une modification.
- Évaluer ses effets, avec les bonnes compétences : procédé, matériaux, instrumentation, électricité, sécurité, exploitation. Le niveau d’analyse est proportionné au risque, d’une simple revue à une étude HAZOP.
- Autoriser au niveau approprié, par une personne qui n’est pas celle qui propose la modification.
- Mettre en œuvre en mettant à jour les plans, les procédures, les réglages, la formation, et vérifier l’installation avant remise en service.
- Clôturer formellement, et pour une modification temporaire, revenir à la situation d’origine à la date prévue ou renouveler l’autorisation.
Pour les dérogations, le circuit est plus court mais tout aussi strict : justification, analyse de risques, mesures compensatoires, autorisation par l’autorité technique responsable de la règle, date d’échéance, suivi dans un registre. Une dérogation qui n’a pas de date d’échéance est en réalité une modification non déclarée.
Sur les chantiers aussi
Ces principes ne concernent pas seulement les raffineries. Sur un chantier de lignes électriques, un changement de provenance des granulats du béton, sans nouvel essai de convenance, est une modification au sens strict : le matériau change, ses propriétés aussi. Sur un projet EPC, déplacer une tuyauterie pour éviter un chemin de câbles sans demande technique est une modification qui peut changer la flexibilité de la ligne ou supprimer un point de purge. Dans une entreprise de travaux, confier une tâche dangereuse à une équipe nouvellement constituée est une modification organisationnelle.
Dans tous ces cas, la question à poser est la même : qui, dans l’organisation, sait évaluer l’effet de ce changement, et l’a-t-il fait ?
Les signaux faibles d’un circuit qui ne fonctionne pas
- des modifications réalisées sur le terrain sans dossier, découvertes lors d’une visite ou d’une réception ;
- des plans qui ne correspondent plus à l’installation ;
- des modifications temporaires dont personne ne connaît la date de fin ;
- un registre de dérogations dont les échéances sont dépassées ;
- des analyses de risques signées par une seule personne, toujours la même ;
- des réorganisations annoncées sans qu’aucune analyse de leurs effets sur les compétences n’ait été faite.
Ce que nous retenons
La gestion des modifications et des dérogations repose moins sur un formulaire que sur trois conditions : une culture où chacun reconnaît qu’un changement est un risque, un système de management qui oblige à tracer et à clôturer, et des experts disponibles pour évaluer ce que le demandeur ne peut pas évaluer seul. Flixborough avait un problème de conception ; il avait surtout un problème d’organisation.
Références
- The Flixborough Disaster: Report of the Court of Inquiry, HMSO, 1975.
- U.S. Chemical Safety and Hazard Investigation Board, Williams Geismar Olefins Plant Reboiler Rupture and Fire, 2016.
- Hopkins, A. (2000). Lessons from Longford: The Esso Gas Plant Explosion. CCH Australia.
- Center for Chemical Process Safety (2008). Guidelines for the Management of Change for Process Safety. Wiley-AIChE.
- OSHA, 29 CFR 1910.119, Process safety management of highly hazardous chemicals, paragraphes (i) et (l).
- ISO 45001:2018, paragraphes 6.1.2.1 et 8.1.3.
- IEC 61882, Études de danger et d’exploitabilité (études HAZOP) — Guide d’application.
Reindaxia aide les exploitants et les entreprises à structurer la gestion des modifications et des dérogations, à conduire les revues de sécurité avant démarrage et à auditer ces processus sur le terrain. Parlons de votre projet.