Comment réaliser l'analyse de risque d'une machine

Ce qu’est réellement une analyse de risque machine

L’analyse de risque d’une machine n’est pas un inventaire des dangers. C’est un processus itératif qui, pour chaque situation dangereuse, estime un risque, applique une mesure de réduction, puis réévalue le risque qui subsiste.

La méthode est décrite par la norme EN ISO 12100:2010 — Sécurité des machines — Principes généraux de conception — Appréciation du risque et réduction du risque. C’est la seule norme de type A harmonisée au titre de la directive 2006/42/CE, ce qui signifie qu’elle s’applique à toutes les machines, sans exception de secteur.

Le vocabulaire de la norme distingue deux choses que le langage courant confond. L’appréciation du risque couvre l’ensemble de la démarche. L’analyse du risque en est la première moitié : détermination des limites, identification des phénomènes dangereux, estimation. La seconde moitié est l’évaluation du risque : décider si la réduction est suffisante.

Ce qui manque le plus souvent dans les analyses que nous recevons n’est ni la liste des dangers ni les mesures : c’est la traçabilité entre les deux, et le risque résiduel documenté.

1. Déterminer les limites de la machineUtilisation, espace, temps, environnement.
2. Couvrir toutes les phases de vieDu transport à la mise au rebut.
3. Identifier les phénomènes dangereuxPar zone et par phase, familles balayées systématiquement.
4. Estimer le risqueGravité du dommage et probabilité d'occurrence.
5. Réduire le risque en trois étapesConception, protections, information — dans cet ordre.
6. Itérer, puis documenter le risque résiduelJusqu'à une réduction jugée adéquate.

Étape 1 — Déterminer les limites de la machine

On ne peut pas apprécier le risque d’un objet dont on n’a pas fixé le périmètre. Cette première étape est courte à écrire et lourde de conséquences si on la bâcle.

• Limites d’utilisation : usage prévu, mais aussi mauvais usage raisonnablement prévisible. Qui utilise la machine, avec quelle formation, quel niveau d’expérience, quelle langue.
• Limites spatiales : encombrement, zones d’intervention, espaces requis pour la maintenance, interfaces avec d’autres équipements.
• Limites temporelles : durée de vie prévue, intervalles de maintenance, durée de vie des composants soumis à usure.
• Autres limites : matériaux traités, environnement d’exploitation (température, humidité, poussière, atmosphère), énergies utilisées.

Le mauvais usage raisonnablement prévisible est le point le plus souvent traité à la légère.

Il ne s’agit pas d’imaginer n’importe quoi, mais de reconnaître ce que les opérateurs font réellement : neutraliser un protecteur pour gagner du temps, intervenir sans consigner l’énergie, utiliser la machine hors de sa plage nominale.

Étape 2 — Couvrir toutes les phases de vie

Une analyse de risque limitée au fonctionnement en production est incomplète. La machine doit être examinée sur l’ensemble de son cycle :

• transport, manutention, stockage ;
• installation, raccordement et mise en service ;
• réglage, apprentissage, changement d’outil ou de format ;
• fonctionnement en production, y compris les modes dégradés ;
• déblocage d’incident, reprise après arrêt ;
• nettoyage, maintenance préventive et corrective, recherche de panne ;
• mise hors service, démontage, mise au rebut.

En pratique, une grande partie des accidents graves survient hors production : en réglage, en déblocage et en maintenance. Ce sont précisément les phases où les protecteurs sont ouverts et où les modes de marche particuliers prennent le relais.

Étape 3 — Identifier les phénomènes dangereux

Pour chaque phase de vie et chaque zone de la machine, on identifie les phénomènes dangereux : les sources potentielles de dommage.

Les grandes familles à balayer systématiquement : mécaniques (écrasement, cisaillement, coupure, happement, entraînement, choc, projection, perte de stabilité), électriques (contact direct ou indirect, arc, électricité statique), thermiques (brûlure par contact chaud ou froid, rayonnement), sonores, vibratoires, liés aux rayonnements, liés aux matières et substances, ergonomiques (posture, effort, éclairage, charge mentale), liés à l’environnement d’utilisation, et liés aux combinaisons de plusieurs de ces phénomènes.

Une identification sérieuse s’appuie sur trois sources croisées : le balayage systématique de ces familles, l’expérience d’accidents et d’incidents sur des machines comparables, et la norme de type C de la famille de machines lorsqu’il en existe une.

La norme de type C fait gagner un temps considérable : elle liste les phénomènes dangereux propres au type de machine et fixe souvent les mesures attendues.

Étape 4 — Estimer le risque

Chaque phénomène dangereux identifié donne lieu à une estimation. Le risque se compose de deux dimensions :

• la gravité du dommage possible ;
• la probabilité d’occurrence de ce dommage, qui combine elle-même la fréquence et la durée d’exposition, la probabilité d’apparition de l’événement dangereux, et les possibilités d’évitement ou de limitation.

La norme n’impose pas un outil de cotation unique. Matrice, graphe de risque ou méthode numérique : le choix est libre, mais le critère de décision doit être écrit et appliqué de manière constante.

Un dossier dans lequel deux situations comparables reçoivent deux cotations différentes sans justification perd toute crédibilité.

Cette estimation a une conséquence technique directe : pour les fonctions de sécurité réalisées par le système de commande, c’est elle qui détermine le niveau de performance requis (PL_r) selon EN ISO 13849-1, ou le niveau SIL visé selon EN IEC 62061:2021.

Étape 5 — Réduire le risque en trois étapes, dans l’ordre

C’est le cœur de la méthode, et l’ordre n’est pas négociable.

1. La conception intrinsèquement sûreSupprimer le phénomène dangereux ou réduire le risque par la conception elle-même : écarter les points de coincement, limiter les forces et les vitesses, supprimer les arêtes vives, réduire les besoins d'intervention en zone dangereuse, choisir des énergies et des matériaux moins dangereux. C'est la seule étape qui élimine réellement le danger.
2. Les protections et mesures complémentairesCe qui n'a pas pu être supprimé est confiné ou surveillé : protecteurs fixes, protecteurs mobiles avec dispositif de verrouillage, dispositifs de protection détectant les personnes, arrêt d'urgence, dispositifs de consignation des énergies.
3. L'information pour l'utilisationSignaux, pictogrammes, avertissements sur la machine et notice d'instructions.

Étape 6 — Itérer, puis documenter le risque résiduel

Chaque mesure appliquée modifie la machine. On revient donc au début de la boucle et on se pose deux questions : le risque est-il désormais réduit de façon adéquate, et la mesure a-t-elle créé un nouveau phénomène dangereux ?

Ce second point est régulièrement omis. Un carter ajouté crée un point d’accès à ouvrir en maintenance. Un dispositif de verrouillage introduit une fonction de sécurité qui doit elle-même atteindre un niveau de performance. Un arrêt d’urgence mal conçu peut provoquer une chute de charge.

La boucle se termine quand le risque est jugé réduit de manière adéquate. Ce qui subsiste est le risque résiduel : il doit être explicitement écrit, et repris dans la notice d’instructions lorsqu’il appelle une précaution de la part de l’utilisateur.

Ce que doit contenir le document remis

Le résultat de l’appréciation du risque rejoint le dossier technique. Pour qu’il soit exploitable — par les autorités de surveillance, par un organisme notifié, ou par votre propre bureau d’études dans cinq ans — il doit faire apparaître :

• l’identification de la machine et la version de la documentation ;
• les limites retenues et les phases de vie couvertes ;
• pour chaque phénomène dangereux : la phase concernée, la situation dangereuse, l’estimation initiale, la ou les mesures appliquées avec leur référence de conception, et le risque résiduel ;
• la méthode de cotation utilisée et ses critères ;
• les normes appliquées, avec leur millésime ;
• la date, l’auteur et la validation.

Le lien vers la revue des exigences essentielles de l’Annexe I est ce qui transforme cette analyse en démonstration de conformité. Sans lui, vous avez un document technique honnête, mais pas une preuve réglementaire.