EN ISO 12100 : l'analyse de risque expliquée

Ce que fait EN ISO 12100 et pourquoi elle est centrale

EN ISO 12100:2010 — Sécurité des machines — Principes généraux de conception — Appréciation du risque et réduction du risque — est la seule norme de type A de la liste des normes harmonisées machines. Toutes les autres, de type B ou de type C, s’inscrivent dans le cadre qu’elle pose.

Elle ne dit rien sur une machine en particulier. Elle décrit un raisonnement : comment délimiter ce qu’on étudie, comment repérer ce qui peut blesser, comment hiérarchiser, et dans quel ordre traiter. C’est la seule norme dont on peut dire qu’elle s’applique à toutes les machines sans exception.

Son importance est aussi juridique. La directive 2006/42/CE impose au fabricant de procéder à une appréciation du risque avant de concevoir, et d’intégrer les résultats dans la conception. EN ISO 12100 est la méthode qui permet de démontrer que cette obligation a été remplie sérieusement. Sans elle, le fabricant doit inventer sa propre méthodologie et en justifier la validité.

Il faut insister sur un point que la pratique dément trop souvent : l’appréciation du risque précède la conception, elle ne la documente pas après coup. Une analyse rédigée trois semaines avant l’expédition, sur une machine déjà construite, ne peut plus rien influencer. Elle devient un exercice de justification, et cela se voit.

Étape 1 — Déterminer les limites de la machine

On ne peut pas apprécier le risque d’un objet dont on n’a pas défini le contour. La première étape consiste à fixer explicitement ce que la machine est, ce qu’elle fait, et dans quelles conditions.

Cela recouvre :

• les limites d’utilisation : ce que la machine est destinée à faire, mais aussi le mauvais usage raisonnablement prévisible — ce qu’un opérateur fera un jour, même si ce n’est pas prévu ; les modes de fonctionnement (production, réglage, maintenance, nettoyage, dépannage) ; le profil des personnes exposées ;
• les limites dans l’espace : encombrement, zones d’intervention, interfaces avec d’autres équipements, dégagements nécessaires ;
• les limites dans le temps : durée de vie prévue, périodicité des interventions, usure des composants ;
• les autres limites : environnement d’exploitation, matières traitées, propreté, température, alimentation en énergie.

C’est l’étape la plus négligée et celle qui coûte le plus cher quand elle est bâclée. Un mode de fonctionnement oublié — typiquement la maintenance protecteur ouvert, ou le déblocage d’un bourrage — est un ensemble entier de risques qui ne sera jamais examiné.

Étape 2 — Identifier les phénomènes dangereux

Un phénomène dangereux est une source potentielle de dommage. L’objectif de cette étape est d’en dresser la liste exhaustive, pour chaque zone de la machine et pour chaque mode de fonctionnement identifié à l’étape 1.

C’est ce croisement qui fait la qualité du travail. Le même point de la machine ne présente pas les mêmes dangers en production automatique, en réglage manuel et en nettoyage. Une analyse qui ne considère que le fonctionnement normal passe à côté de la majorité des situations accidentogènes réelles.

Les familles de phénomènes dangereux à balayer sont notamment mécaniques (écrasement, cisaillement, coupure, happement, projection), électriques, thermiques, liés au bruit, aux vibrations, aux rayonnements, aux matières et substances, ainsi que ceux liés à l’ergonomie et à l’environnement d’utilisation. La directive elle-même en donne le panorama à travers les exigences de son Annexe I.

Étape 3 — Estimer et évaluer le risque

Ces deux mots ne sont pas synonymes, et la norme les distingue soigneusement.

L’estimation consiste à qualifier le risque associé à chaque phénomène dangereux. Le risque est fonction de la gravité du dommage possible et de la probabilité qu’il survienne. Différentes techniques d’estimation existent ; la norme n’en impose aucune. Ce qui compte, c’est que la méthode retenue soit explicite, cohérente d’un risque à l’autre, et documentée.

L’évaluation consiste ensuite à décider : ce risque est-il acceptable en l’état, ou faut-il le réduire ? C’est un jugement, pas un calcul. Il engage la responsabilité du fabricant.

Un conseil de méthode : la valeur d’une analyse de risque ne tient pas à la finesse de son échelle de cotation. Une matrice à trois niveaux appliquée sérieusement à quarante phénomènes dangereux vaut infiniment mieux qu’une cotation numérique sophistiquée appliquée à six.

Étape 4 — Réduire le risque : la méthode en trois étapes

C’est le cœur de la norme, et l’endroit où l’ordre est imposé. On ne choisit pas entre les trois étapes : on les épuise dans l’ordre.

1. La conception intrinsèquement sûreSupprimer le danger, ou réduire le risque par la conception elle-même : éliminer un point de coincement, réduire une énergie, une vitesse, une pression, une température ; remplacer une matière dangereuse ; déplacer un organe hors de portée ; concevoir la cinématique pour que le geste dangereux devienne inutile. C'est la seule étape qui agit sur le danger lui-même — les deux suivantes ne font que s'interposer entre le danger et la personne.
2. Les protections et mesures de protection complémentairesLorsque le danger ne peut pas être supprimé, on l'isole : protecteurs fixes ou mobiles, dispositifs de protection sensibles, verrouillages, écrans, dispositifs d'arrêt d'urgence, mesures de sauvetage. C'est ici qu'interviennent les normes de type B, et notamment la fiabilité des fonctions de sécurité commandées.
3. L'information de l'utilisateurSignalisation sur la machine, avertissements, pictogrammes, notice d'instructions, formation, équipements de protection individuelle prescrits.

La règle qui fait la différence entre un bon et un mauvais dossier tient en une phrase : on ne passe à l’étape suivante que lorsque la précédente a été réellement épuisée.

Le caractère itératif : la boucle qu’on oublie de refermer

EN ISO 12100 décrit un processus itératif, et c’est le point que les analyses de risque restituent le plus mal.

Chaque mesure de réduction du risque doit être réévaluée. Deux questions se posent à chaque fois :

1. Le risque visé est-il suffisamment réduit ?
2. La mesure a-t-elle créé un nouveau phénomène dangereux ?

La seconde question est loin d’être théorique. Un protecteur mobile crée un point de coincement à la fermeture. Un dispositif de verrouillage crée une fonction de sécurité dont la défaillance devient elle-même un risque. Un capot fermé peut faire monter une température, ou pousser l’opérateur à neutraliser le dispositif pour travailler.

Le processus ne s’arrête que lorsque tous les risques ont été réduits autant que raisonnablement possible et que le risque résiduel a été identifié, jugé acceptable, et porté à la connaissance de l’utilisateur. Ce dernier point est une obligation, pas une politesse : ce qui subsiste après les trois étapes doit figurer dans la notice d’instructions.

Ce que l’appréciation du risque doit laisser comme trace

Un dossier technique ne contient pas « l’analyse de risque » comme une case à cocher. Il doit permettre à un tiers de refaire le raisonnement. Concrètement, la documentation doit rendre lisibles :

• les limites retenues et les modes de fonctionnement examinés ;
• la liste des phénomènes dangereux, par zone et par mode ;
• l’estimation du risque et la méthode d’estimation employée ;
• les mesures de réduction retenues, et le lien explicite avec la conception réelle ;
• la réévaluation après mesure, y compris les nouveaux risques introduits ;
• le risque résiduel et la manière dont il est communiqué à l’utilisateur.

C’est ce lien entre l’analyse et la conception qui manque le plus souvent dans les dossiers que nous examinons. On trouve une liste de risques d’un côté, une machine de l’autre, et rien qui relie les deux.

Or c’est précisément cette traçabilité qui donne sa valeur probante au document — et qui permet, des années plus tard, de savoir pourquoi telle solution technique a été retenue lorsqu’une modification de la machine est envisagée.