Kathy Fox
Présidente, Bureau de la sécurité des transports du Canada
20 octobre 2016
Seul le texte prononcé fait foi.
Bonjour,
Merci beaucoup de cette aimable présentation et de me donner l'occasion de m'adresser à vous aujourd'hui. Je suis enchantée d'être des vôtres.
C'est la première fois que je participe au colloque annuel de l'ISASI, et je suis fort impressionnée par la qualité des présentations de la semaine. De toute évidence, les experts réunis dans cette salle ont beaucoup de savoir et d'expérience. Nous pouvons être très fiers du précieux travail que font les enquêteurs sur les accidents d'aéronefs. Aujourd'hui, nous comprenons très bien comment se déroulent les accidents, comment les événements s'enchaînent, et combien chaque petit maillon compte, pour reprendre le thème du colloque.
Nos compétences sont devenues particulièrement poussées quand vient le temps de cerner les facteurs opérationnels, techniques et humains qui contribuent à provoquer des accidents. Pendant longtemps, on s'est borné à expliquer ce qui s'était produit, alors qu'aujourd'hui, on se demande aussi pourquoi cela s'est produit.
C'est devenu pratique courante, par exemple, d'étudier les interactions entre humains et systèmes, et aussi entre humains et humains, ou de se demander si un pilote ou un équipage peut avoir été débordé. Ou fatigué. Ou distrait. Car tous ces facteurs peuvent faire partie des causes d'un accident.
Mais si nous voulons continuer à nous améliorer, il faut encore repousser les limites de notre savoir et de nos enquêtes pour arriver à faire progresser la sécurité. Et c'est pourquoi je vous propose d'aborder une chose que je trouve essentielle. En fait, il y en a deux.
D'une part, les facteurs organisationnels qui contribuent à provoquer des accidents, et d'autre part, le contexte réglementaire dans lequel les transporteurs exercent leurs activités.
Je m'explique.
Bien des entreprises, par exemple, affirment que la sécurité passe avant tout. Mais comme nous en avons souvent des preuves claires, elles sont nombreuses à considérer la rentabilité comme leur véritable priorité. Ça ne veut pas dire qu'elles courent délibérément des risques ou font le choix de négliger la sécurité. C'est simplement qu'elles ont, dans les faits, toutes sortes d'impératifs qui ne sont pas facilement conciliables : la sécurité, le service à la clientèle, la productivité, l'innovation technologique, la gestion des horaires, le contrôle des coûts et le rendement qu'elles procurent à leurs actionnaires.
C'est tout un défi; et même si les entreprises reconnaissent en général que leur réussite passe notamment par la sécurité de leurs produits et services… aucun gestionnaire n'échappe aux très fortes pressions des autres impératifs.
Alors quand on constate des lacunes dans la façon dont certaines entreprises cernent, priorisent et gèrent les risques, il faut se demander : où était l'organisme de réglementation?
Parce qu'en définitive, c'est l'organisme de réglementation qui doit veiller à la sécurité publique. C'est lui qui établit les règles et les domaines d'intervention, et qui fixe le cadre d'exploitation des transporteurs aériens. Idéalement, c'est aussi l'organisme de réglementation qui assure une surveillance équilibrée, sous la forme d'inspections ou de vérifications, pour que les entreprises du secteur respectent les règles et le cadre en place.
Depuis plus de dix ans au Canada, beaucoup de grands transporteurs sont tenus d'avoir un système de gestion de la sécurité, ou SGS. L'OACI recommande aussi ce genre de système. Pour les entreprises, c'est un moyen éprouvé de cerner et de gérer les risques; un moyen reconnu partout dans le monde. Disons qu'il permet aux entreprises de déceler les problèmes avant de les subir. Mais un SGS est obligatoire seulement pour les transporteurs aériens réguliers de plus grande envergure, du moins de façon générale au Canada.
Bien sûr, la mise en place des SGS et la période de transition ont présenté leur lot de difficultés. Mais un bon nombre des entreprises touchées ont bien fait leur travail, et misent aujourd'hui sur des systèmes relativement éprouvés et solides (je parle toujours de façon générale).
Cependant, pour bien des exploitants de moindre envergure, la réalité est bien différente. Certains n'ont aucune obligation de se doter d'un SGS. D'autres ont implanté un système uniquement pour se conformer aux règles. Et beaucoup plus d'entreprises encore se trouvent un peu entre deux chaises, essayant de mettre en place un SGS sans avoir l'expérience, l'expertise ou les ressources nécessaires pour le faire correctement. Il y a donc une grande variété de situations. Et aujourd'hui, je veux vous présenter plusieurs exemples qui illustrent différentes situations dans lesquelles peuvent se trouver les entreprises; je vais partir de trois récentes enquêtes du BST. Pour chacun des exemples, je vais aussi aborder ce que l'organisme de réglementation a fait, ou devrait faire à l'avenir, pour que les choses s'améliorent.
Le 13 mars 2011, un Boeing 737 a décollé de l'aéroport international Lester B. Pearson-Toronto avec 189 passagers et sept membres d'équipage à bord. Pendant la course au décollage tôt le matin, à une vitesse indiquée ou anémométrique d'environ 90 nœuds, l'automanette s'est désactivée une fois la poussée au décollage réglée. Alors que l'avion approchait de la vitesse minimale en cas de panne de moteur critique, le premier officier, qui était le pilote aux commandes, a vu l'alerte de désaccord de vitesse indiquée et a cédé les commandes au commandant de bord, qui a poursuivi le décollage. Au cours de la montée initiale, à environ 400 pieds, un avertissement de décrochage a été émis (actionnement du vibreur de manche), suivi d'une indication du directeur de vol d'abaisser le nez de 5°. Le décollage a été effectué dans des conditions de bonne visibilité, ce qui a permis au commandant de bord de constater que les indications du directeur de vol étaient erronées. En conséquence, il n'a pas tenu compte de ces indications et a maintenu l'assiette de montée. L'équipage de conduite a informé le contrôleur aérien qu'un problème technique exigeait le retour de l'aéronef à Toronto.
Bon. Certains considérèrent peut-être cette situation comme étant un incident « sans grande importance » qui peut arriver à l'occasion; dans ce cas, il s'agissait d'une défaillance du circuit anémométrique. Oui, ce problème a entraîné des indications anémométriques erronées, l'activation des avertisseurs de décrochage et l'affichage de directives trompeuses sur les instruments de vol de l'aéronef. Mais les pilotes ont réagi efficacement et rien de grave ne s'est produit. L'aéronef n'a subi aucun dommage et personne n'a été blessé à bord.
Mais que se serait-il passé si le décollage avait eu lieu dans la noirceur ou dans conditions météorologiques de vol aux instruments (IMC) et que, par conséquent, le commandant de bord n'avait pu déterminer aussi facilement que l'indicateur de vitesse anémométrique n'était pas fiable?
Maintenant, examinons cette situation dans le contexte d'un SGS, contenant des processus proactifs permettant de cerner et d'atténuer les risques, et des processus réactifs permettant de tirer des incidents des leçons en matière de sécurité.
Environ 7 mois avant l'événement,Note de bas de page 1 Boeing émettait à l'intention des exploitants de Boeing 737NG un avis concernant la détection, par les équipages de conduite et les systèmes des aéronefs, des indications de vitesse anémométrique à l'écran principal, et l'intervention à cet égard.
On y indiquait, dans des termes quelque peu arides, que les événements d'indications de vitesse anémométrique erronées pouvaient compromettre la sécurité d'un vol : [traduction] Le taux d'occurrence d'événements de vitesse indiquée non fiable sur plusieurs canaux, ainsi que l'incapacité probable de l'équipage de conduite de reconnaître cette situation et d'intervenir de façon appropriée en temps opportun, font en sorte qu'il n'est pas possible de garantir que la poursuite d'un vol et l'atterrissage sont sécuritaires.
Récapitulons. Le manufacturier a émis un avis soulignant que le taux d'occurrence d'événements de vitesse indiquée non fiable était plus élevé que prévu. Et qu'il n'y avait aucune formation périodique obligatoire des équipages de conduite sur cette question. Malgré tout, l'exploitant n'a pas jugé qu'il s'agissait d'un risque à évaluer proactivement dans le cadre du SGS. Il n'a donc pas transmis l'information au personnel des équipages de conduite, et il n'a pris aucune autre mesure non plus.
Et après l'incident? Même après, le SGS de l'exploitant n'a pas été vraiment activé parce que, sur le coup, ce type d'incident n'a pas été vu comme suffisamment grave pour justifier l'intervention du personnel de sécurité. Ni pour exiger un rapport au BST. Aucune mesure immédiate n'a donc été prise qui aurait pu servir à une enquête, comme la conservation des enregistrements des données de vol et des conversations dans le poste de pilotage. En somme, l'intervention opportune de l'équipage de conduite a fait oublier les risques sous-jacents.
Et c'est le cœur du problème, comme nous l'avons indiqué dans les conclusions de notre enquête : lorsque les processus proactifs du SGS de l'exploitant ne déclenchent pas d'évaluation des risques, ni de processus réactifs, la probabilité augmente que les dangers ne soient pas atténués.
Et tout cela m'amène à aborder la question de la surveillance.
En effet, comme les exploitants sont de plus en plus nombreux à se doter d'un système de gestion de la sécurité, l'organisme de réglementation doit reconnaître que ces exploitants ne parviennent pas toujours à cerner et à atténuer les risques comme ils devraient. L'organisme de réglementation – soit Transports Canada dans ce cas-ci, mais ce serait aussi le cas dans un autre pays – doit modifier ses activités de surveillance en fonction de la maturité du SGS de l'exploitant.
Voici un autre exemple qui illustre une situation différente.
Le 19 août 2013, un Douglas DC-3C effectuait un vol régulier de passagers depuis Yellowknife à destination de Hay River (Territoires du Nord-Ouest). Immédiatement après le décollage, un incendie s'est déclaré dans le moteur droit. L'équipage a effectué un arrêt d'urgence du moteur et, étant incapable de monter, un virage à droite à basse altitude pour retourner vers l'aéroport. L'aéronef a percuté un groupe d'arbres au sud-ouest du seuil de la piste 10 et s'est posé au sud de la piste avec son train d'atterrissage rentré. Les 21 passagers et trois membres d'équipage ont évacué l'aéronef; il n'y a eu aucun blessé.
Selon notre enquête, l'incendie a été causé par une crique de fatigue préexistante dans le cylindre nº 1 du moteur droit. Bien qu'elle ait permis de confirmer la compétence de l'équipage à bord de l'aéronef, cette enquête a surtout révélé un comportement hasardeux de l'exploitant avant l'événement : non seulement l'aéronef dépassait-il sa masse maximale au décollage certifiée, mais cette situation était une pratique courante de l'entreprise. C'est pourquoi cette enquête était inédite.
En fait, tous les membres de l'organisation acceptaient cette pratique, au point où elle était devenue normale. Les pilotes ne calculaient pas la masse et le centrage avant le vol et les membres de la direction ne l'exigeaient pas. Notre rapport a clairement établi l'absence d'une culture de sécurité descendante, partant de la haute direction.
Donc, si l'équipage ne connaît pas bien la méthode de recalcul de la masse et du centrage afin de respecter les tolérances après le départ et que la haute direction accepte cet état de fait, qu'en est-il du SGS de l'entreprise?
Disons qu'il y a toute une différence entre un SGS officiel, qui est contenu dans une belle reliure placée sur une tablette, et un solide système éprouvé qui permet vraiment de gérer les risques. Pour établir un vrai SGS, il faut faire preuve de leadership. Et sans l'appui de la haute direction, si on a seulement un document sans véritable engagement organisationnel, les lacunes de sécurité ne seront sans doute pas signalées.
Dans un cas comme celui-là, quand on constate le manque d'appui de la haute direction, il faut encore que ce soit l'organisme de réglementation qui intervient au nom de la sécurité. Il n'y a pas d'autres recours possibles.
Mais nous avons découvert dans le cadre de notre enquête que Transports Canada, l'organisme de réglementation, avait axé sa surveillance sur les processus SGS de la société exploitante; il n'y avait quasiment aucune vérification de la conformité réglementaire. Cette situation pourrait se produire ailleurs dans le monde. Et pourtant, c'était un fait connu que le transporteur arrivait difficilement à se conformer aux règlements en place. En plus, l'organisme de réglementation avait relevé de multiples situations comme celle-là.
Et ça, ce n'est tout simplement pas suffisant. Vraiment pas suffisant, quand on pense à la diversité des cultures de sécurité des entreprises, à l'avancement très variable de la mise en place de SGS, et aussi aux différences en matière de compétence et d'engagement quand on parle de gestion de la sécurité.
Nous l'avons d'ailleurs souligné dans notre rapport, en expliquant que non seulement le SGS du transporteur n'avait pas permis de cerner les pratiques d'exploitation non sécuritaires et d'y remédier, mais, en plus, l'organisme de réglementation ne les avait pas décelées non plus, malgré ses activités de surveillance. Alors les pratiques non sécuritaires ont continué.
Passons maintenant à un dernier exemple qui illustre encore un autre genre de situation.
Le 31 mai 2013, peu après minuit, un hélicoptère-ambulance Sikorsky S-76 s'est écrasé tout juste après avoir décollé dans le nord de l'Ontario. Les quatre occupants ont perdu la vie : le commandant, le premier officier et deux techniciens ambulanciers paramédicaux.
L'enregistreur de conversations de poste de pilotage nous a permis de comprendre ce qui s'était passé : après le décollage, l'équipage a mis le cap sur sa destination, et l'hélicoptère s'est trouvé à voler dans une zone d'obscurité absolue, sans éclairage artificiel ni lumière ambiante. Pas de ville voisine, pas de lune, pas d'étoiles. Sans moyen de maintenir des repères visuels à la surface, l'équipage a dû passer au vol aux instruments. Même si les deux pilotes étaient qualifiés selon la réglementation, en réalité, ils n'avaient pas les compétences de vol de nuit et aux instruments nécessaires pour effectuer ce vol en toute sécurité. Ainsi, alors que l'équipage commençait les vérifications après décollage, l'angle d'inclinaison de l'aéronef a augmenté, ce qui a entraîné une descente inopinée. L'équipage s'est rendu compte que l'aéronef descendait, mais trop tard et à une altitude qui ne permettait aucun rétablissement. L'hélicoptère a percuté le relief.
Comme l'a révélé notre enquête, les pilotes n'étaient pas adéquatement préparés pour piloter dans les conditions qui existaient cette nuit-là; cela dit, la liste officielle de nos conclusions englobe des causes et des facteurs qui vont bien au-delà des interventions de l'équipage. Notamment des lacunes dans la formation du personnel de la société exploitante. Et dans le choix de ses gestionnaires. Et dans son travail de supervision. Sans compter de nombreuses violations de ses propres procédures d'utilisation normalisées. Pour couronner le tout, nous avons appris que l'organisme de réglementation était au courant de ces problèmes depuis un certain temps, mais que son approche de surveillance « collaborative » s'était avérée inefficace, l'exploitant étant bien intentionné, mais non conforme.
Du point de vue de la sécurité et du SGS, cet accident nous inspire une question à la fois simple et déroutante :
Quand l'organisme de réglementation a des préoccupations au sujet d'un exploitant, comme pour l'exploitant dont nous parlons ici, à quel moment – et comment – doit-il intervenir? Autrement dit, quel est le niveau d'intervention suffisant?
Dans ce cas-là, l'exploitant voulait faire le nécessaire. Il n'était pas tenu d'avoir un SGS, mais il essayait quand même d'en mettre un en place parce qu'il en voyait les avantages. Il était plein de bonnes intentions et faisait des efforts dans le bon sens. Mais il manquait aussi de ressources et, à maintes reprises, ses efforts n'ont pas permis de cerner ses propres problèmes et d'y remédier. L'organisme de réglementation était au courant. Les inspecteurs le savaient. Mais concrètement, ils ne voyaient pas vraiment comment assurer la conformité des pratiques du transporteur, de sorte que les problèmes ont persisté. Pendant des mois. Jusqu'à l'accident.
Et pour l'organisme de réglementation, comment se présente ce genre de situation?
Depuis dix ans au Canada, l'organisme a délaissé l'approche traditionnelle d'inspection et de correction. Son nouveau modèle de surveillance privilégié repose sur une approche au niveau des systèmes. En plus de s'assurer de la conformité réglementaire d'une compagnie, il examine aussi ses processus internes pour s'assurer que la compagnie dispose d'un système efficace pour gérer de manière proactive les risques associés à ses activités. Le principe est le suivant : appliqué correctement, ce modèle devrait améliorer la sécurité puisqu'il corrige non seulement les problèmes relevés, mais aussi leurs causes.
Et je suis d'accord. En principe.
Mais le principe, tout comme l'abandon de l'approche traditionnelle d'inspection et de correction, est efficace uniquement si toutes les sociétés exploitantes :
a) sont en mesure de cerner proactivement les lacunes de sécurité,
b) ont la capacité d'y remédier et
c) sont engagées à le faire à tous les niveaux, à commencer par la haute direction.
En connaissez-vous, des transporteurs comme ça? C'est sûr qu'il y en a. Certains. Ou même beaucoup, on l'espère. Mais ils ne sont pas tous comme ça. Je l'ai dit plus tôt : les moyens, les compétences et l'engagement varient très largement d'une entreprise à une autre quand vient le temps d'implanter un SGS, même si l'entreprise a un bon bilan.
Je reviens donc à ma question de tout à l'heure : quel est le niveau d'intervention vraiment suffisant? L'organisme de réglementation doit-il attendre qu'un accident survienne avant de s'en mêler? Doit-il laisser le temps aux exploitants de régler les problèmes constatés, ou doit-il se montrer plus ferme plus tôt? Et combien plus tôt?
Ce sont de bonnes questions. Des questions simples, mais peut-être aussi déroutantes. Pourtant, il faut nous les poser et en discuter. Sinon, nous ratons une excellente occasion de repousser les limites de notre savoir et de nos enquêtes, comme je l'ai dit au début. Et cette occasion, elle existe bel et bien en ce moment. De plus en plus souvent, notre travail met en lumière les facteurs organisationnels dont je vous ai parlé tantôt, et toute cette question de la surveillance exercée par l'organisme de réglementation. Nous avons fini par prendre conscience que ce sont des maillons importants de la chaîne, et autant de pistes à explorer. Pour mieux comprendre les causes des accidents. Et pour trouver les moyens d'augmenter encore la sécurité d'un espace aérien qui, grâce à vous, est déjà très sûr.
Ne ratons pas cette occasion.
Merci.
Notes de bas de page
Note de bas de page 1Septembre 2010