Dans la construction d’un PCRA [plan de continuité et de reprise d’activité], on emploie souvent « dépendance » et « interdépendance » comme des synonymes. Ce sont en réalité deux choses différentes. Une dépendance, c’est ce dont une activité a besoin pour fonctionner : la réanimation a besoin du dossier patient informatisé, de l’oxygène, de ses infirmiers. On la recueille activité par activité, dans un atelier BIA [analyse d’impact sur l’activité] de chaque service. Une interdépendance, c’est la façon dont ces besoins s’enchaînent et se croisent d’une activité à l’autre : le dossier patient a lui-même besoin du réseau, le réseau de l’électricité, et cette même électricité alimente aussi le laboratoire et le bloc. Une interdépendance ne se repère pas lorsqu’on analyse en silo ; il faut réaliser une cartographie pour la faire apparaître.
Dans la plupart des cas, cette carte dessine des chaînes. Une chaîne a un début et une fin : en partant d’une activité de soin et en remontant ses besoins, on finit par arriver à une ressource qui ne dépend plus de rien à l’intérieur de l’établissement, l’alimentation électrique extérieure, par exemple. Le jour d’une panne générale, la reprise est alors facile à ordonner : on rétablit d’abord cette ressource de départ, puis la suivante, et ainsi de suite jusqu’au soin. Il existe pourtant un cas où ce raisonnement ne fonctionne plus : lorsque, en remontant les besoins, on revient à son point de départ. C’est ce que j’appelle une boucle.
L’image la plus simple d’une boucle est celle des clés oubliées à l’intérieur de la maison : pour entrer, il faut les clés ; pour récupérer les clés, il faut entrer. Chacune des deux choses attend l’autre, et aucune ne peut venir en premier. Un établissement de santé connaît exactement la même situation, sous une forme à peine différente. Imaginons qu’une cyberattaque chiffre les serveurs, et que la procédure qui explique comment les restaurer soit enregistrée… sur l’un de ces serveurs. Pour restaurer les serveurs, il faut lire la procédure ; pour lire la procédure, il faut avoir restauré les serveurs. Ce sont les clés restées dans la maison. Ici la boucle est courte et se voit d’un coup d’œil ; dans un hôpital, la plupart sont plus longues, passent par quatre ou cinq ressources tenues par des équipes différentes, et ne se voient pas. Mais le mécanisme est toujours le même : une ressource qu’il faut rétablir dépend, directement ou par un détour, d’une ressource qui ne reviendra qu’après elle.
Ce cas mérite qu’on s’y arrête : quand tout attend tout, par où commencer ?
Ce problème n’est pas propre à l’hôpital. Par analogie, les gestionnaires de réseaux électriques le connaissent bien, sous le nom de démarrage autonome [black start en anglais]. Une centrale électrique, pour démarrer, a besoin… d’électricité : ses pompes, sa ventilation et ses systèmes de commande doivent être alimentés avant qu’elle ne produise elle-même. En temps normal, elle prend cette électricité sur le réseau. Mais si le réseau tout entier s’est effondré, il n’y a plus d’électricité nulle part, et les centrales ne peuvent plus repartir. Les opérateurs ont répondu à ce problème en trois temps. D’abord, ils ont identifié à l’avance quelques installations capables de démarrer sans aide extérieure [certains barrages hydrauliques, des turbines équipées de leur propre groupe électrogène]. Ensuite, ils relancent le réseau à partir de ces installations, zone par zone : chaque zone remise sous tension forme un « îlot », qui sert à son tour à redémarrer les centrales voisines. Enfin, l’ordre de cette reprise est écrit dans un plan, préparé et exercé longtemps avant tout incident. Le jour de la panne, personne n’a à se demander par où commencer : la réponse existe déjà.
Si je transpose ce modèle à un établissement de santé, il invite à poser, pour chaque ressource de la cartographie, les questions suivantes : cette ressource peut-elle redémarrer seule, sans attendre les autres ? Et lorsque aucune ressource d’une boucle n’en est capable, laquelle faut-il équiper pour qu’elle le devienne ?
Prenons un cas concret, celui du bloc opératoire, et remontons ses besoins un par un. Le bloc a besoin d’instruments stériles, donc de la stérilisation. La stérilisation a besoin de vapeur pour faire fonctionner ses autoclaves. La vapeur est produite par la chaufferie. La chaufferie est pilotée par un système de régulation, et dans de nombreux établissements, cette régulation passe par la gestion technique du bâtiment [GTB] : le logiciel qui surveille et commande à distance les installations techniques. Or la GTB fonctionne sur le réseau informatique. Le réseau a besoin d’électricité secourue, fournie par les onduleurs et le groupe électrogène. Et ces onduleurs, ce groupe électrogène, sont eux-mêmes surveillés, parfois commandés, depuis… la GTB. En remontant les besoins du bloc, on retombe donc sur un maillon déjà rencontré : la GTB dépend du réseau, qui dépend de l’électricité secourue, dont le pilotage dépend de la GTB.
Pourquoi n’est-il pas simple de cartographier cette boucle ? Parce que chaque acteur n’en connaît qu’un morceau, et le déclare correctement. La stérilisation indique dans son BIA qu’elle dépend de la vapeur. Les services techniques savent que la GTB a besoin du réseau. La direction des systèmes d’information sait que le réseau a besoin d’électricité. Chacune de ces déclarations est exacte, mais aucune ne contient la boucle entière : elle n’apparaît que si quelqu’un met les morceaux bout à bout, ce qui suppose de réunir sur une même carte des informations venant de services qui ne travaillent pas ensemble au quotidien.
Cet exemple montre aussi comment une boucle se casse. Dans la plupart des établissements, le groupe électrogène démarre automatiquement en cas de coupure, sans attendre aucun ordre de la GTB : c’est ce démarrage automatique qui rompt le cercle, exactement comme le barrage hydraulique rompt celui du réseau électrique. La boucle ne pose donc problème que si ce point de rupture n’existe pas, ou si personne ne l’a vérifié. La vraie question devient alors : la chaufferie peut-elle être conduite en mode manuel, sans la GTB ? Si la réponse est oui, et si quelqu’un sait le faire, la boucle est cassée. Si la réponse est non, le bloc dépend d’un cercle dont personne ne connaît le point de sortie.
On voit ainsi ce qui distingue une chaîne d’une boucle au moment de la reprise. Une chaîne se reprend par son début, c’est-à-dire par la ressource la plus en amont, celle qui ne dépend de rien d’autre. Une boucle n’a pas de début. Pour la reprendre, il faut choisir l’un de ses maillons et lui donner les moyens de redémarrer sans les autres : un compte de secours, un mode manuel, une ligne téléphonique indépendante. Ce choix ne peut pas se faire pendant la crise, faute de temps et d’information ; il doit être fait avant, à froid.
C’est aussi la raison pour laquelle la vérification présentée dans l’article sur les incohérences de chaînes ne suffit pas ici. Cette vérification consiste à s’assurer que chaque ressource revient au moins aussi vite que l’activité qu’elle alimente : si le soin doit reprendre en quatre heures, le réseau dont il dépend doit revenir en moins de quatre heures. Dans une chaîne, la règle fonctionne. Dans une boucle, elle n’a plus de sens : chaque maillon alimente le suivant et attend le précédent, aucun ne peut revenir « avant » les autres. Le délai de reprise réel de la boucle ne figure alors dans aucune fiche ; il dépend du maillon choisi pour redémarrer en premier, et du temps qu’il faut pour le faire repartir seul. Deux établissements dont les BIA sont identiques peuvent ainsi avoir des délais réels très différents.
Le modèle du démarrage autonome suggère alors trois leviers.
-
Chercher les boucles dans la cartographie, pour savoir par où entrer. Une fois les dépendances de tous les services réunies sur une même carte, une boucle se repère simplement : c’est un chemin qui, en suivant les besoins, revient à son point de départ. Pour chaque boucle trouvée, désignez le maillon par lequel vous la casserez, et ce qui lui permettra de démarrer sans les autres. Pour l’annuaire, un compte d’administration local qui n’en dépend pas ; pour la chaufferie, un mode de conduite manuel et un agent formé à l’utiliser ; pour l’astreinte, quelques lignes téléphoniques mobiles et une liste de numéros imprimée.
-
Croiser les inventaires des différents métiers, pour voir les boucles qui passent de l’un à l’autre. Les boucles les plus dangereuses traversent plusieurs domaines : informatique, services techniques, biomédical, parce que chacun tient son propre inventaire et ne regarde que le sien. La DSI tient une CMDB [base de gestion des configurations, qui recense les équipements et logiciels informatiques et leurs liens] ; le biomédical et les services techniques tiennent une GMAO [gestion de maintenance assistée par ordinateur] ; l’ingénierie tient les plans d’énergie et de fluides. La boucle de la GTB décrite plus haut n’apparaît dans aucun de ces inventaires pris seul ; elle n’apparaît que lorsqu’on les croise. Ce croisement mérite de devenir un référentiel unique, tenu à jour, plutôt qu’un exercice ponctuel.
-
Écrire l’ordre de reprise avant la crise, et le mettre à l’épreuve. Les gestionnaires de réseaux électriques n’improvisent pas leur reprise le soir de la panne. L’ordre de relance des ressources de votre établissement mérite le même traitement : une séquence écrite, qui commence par les points de démarrage autonome, et qui est rangée dans la mallette de crise, sur papier, puisqu’elle doit rester lisible quand le système d’information est à l’arrêt. Exercez-la sur une boucle complète plutôt que ressource par ressource : un exercice qui teste la chaufferie en supposant que la GTB fonctionne ne dit rien de ce qui se passera le jour où les deux seront arrêtées en même temps.
Un PCRA qui ne connaît que des dépendances sait ce qu’il faut sauver ; il lui manque de savoir dans quel ordre. Dans un établissement de santé, la continuité des soins ne tient pas seulement à la solidité de chaque ressource prise isolément. Elle tient aussi à la capacité de trouver, dans un établissement à l’arrêt, la première ressource capable de repartir seule.