Le modèle des paysages accidentés, appliqué à la démarche d’analyse d’impact sur l’activité.
Dans une réflexion précédente nous avions proposé de penser la conception d’un PCRA avec le modèle des paysages accidentés : représenter l’ensemble des configurations possibles d’une organisation comme un relief, où l’altitude mesure la capacité à tenir et à se rétablir face à un choc. Plus les composants sont interdépendants, plus le relief est accidenté, et plus il devient facile de rester piégé sur un petit sommet en croyant être au plus haut. Le modèle laisse cependant une question ouverte : avec quel outil mesure-t-on ce relief au sein d’un établissement ? En continuité d’activité, l’outil porte un nom : l’analyse d’impact sur l’activité, le BIA.
Un BIA interroge chaque activité sur elle-même. Quelle est votre durée maximale d’interruption admissible ? Quel est votre objectif de reprise ? Quelles données ne pouvez-vous pas perdre ? Quels effectifs vous faut-il en mode dégradé ? Ces questions sont légitimes, et un service sérieux y répond sérieusement. Mais observons ce qu’elles mesurent : elles mesurent une altitude. La démarche demande à chaque sommet à quelle hauteur il se tient et ce qu’il lui faudrait pour y remonter. Aucune de ces questions ne mesure une arête.
Or ce sont les arêtes qui cèdent, et elles cèdent d’autant plus qu’un établissement est éclaté. Sur un site unique, l’animateur qui a manqué une dépendance peut encore la rattraper à la table de consolidation : une vingtaine de fiches, qu’il tient dans une même main. Dès qu’il y a plusieurs sites, plusieurs pôles, plusieurs directions fonctionnelles, la consolidation devient une opération au second degré — on consolide des consolidations, chacune déjà mise à plat, chacune arrivant validée. Ce qui n’a pas été cherché au moment du recueil ne sera plus cherché par personne, parce qu’à ce stade aucun document ne se présente plus comme incomplet.
La réanimation pédiatrique dont je parlais ne tombe pas parce que ses équipes ou ses respirateurs ont failli : elle tombe parce que l’outil qui assure le triptyque diagnostique, prescription, prise en charge ne fonctionne plus, le laboratoire est à l’arrêt, ou le PACS indisponible. Le BIA classique recueille donc des déclarations individuellement justes, et les agrège en un résultat collectivement faux. Trois mécanismes produisent cet écart, et il vaut la peine de les distinguer, parce qu’on ne les corrige pas de la même façon.
D’abord, un service ne déclare que les dépendances qu’il voit. Interrogée, la réanimation citera le système d’information, la pharmacie, la biologie. Elle ne citera pas le groupe électrogène, le fioul, encore moins le transporteur qui livre ce fioul. Une arête à trois segments n’est jamais déclarée par ses extrémités : elle n’apparaît qu’à qui remonte la chaîne segment par segment — le soin dépend du système d’information, le système d’information de l’électricité, l’électricité du fioul, le fioul d’une livraison, la livraison d’une route. Et comme les tableaux de criticité se construisent sur ces déclarations, ils récompensent le sommet en ignorant la pente : un service moyennement critique suspendu à huit dépendances externes est un point de rupture, mais il passe derrière un service très critique qui ne dépend de personne.
Ensuite, une dépendance partagée n’apparaît dans aucune fiche prise isolément. C’est le point unique de défaillance au sens propre, et le plus difficile à voir : un prestataire, un local technique, une application, parfois une seule personne, sur lesquels convergent plusieurs chaînes par ailleurs indépendantes. Chaque service le déclare pourtant correctement, comme une dépendance parmi d’autres. Ce qui manque, c’est le nombre de fiches qui portent le même nom, et il ne se lit qu’en comptant les convergences donc dans le graphe.
Enfin, les objectifs de reprise ne sont jamais confrontés entre eux. Un service déclare pouvoir tenir quatre heures sans son application métier ; la direction des systèmes d’information, sur sa propre fiche, annonce une remise en service en vingt-quatre heures. C’est là le point que je crois le plus sous-estimé de la méthode : un objectif de reprise n’est pas une propriété d’un service, c’est une propriété d’une chaîne. Déclaré seul, il ne veut rien dire.
Ces trois angles morts ont une même origine, et elle est structurelle : le découpage qui organise l’atelier n’est pas celui qui fait fonctionner l’établissement. Ce qu’on obtient au bout n’est donc pas la cartographie d’un établissement, mais la juxtaposition de ce que chaque silo dit de lui-même.
Le cloisonnement est un défaut de conduite. Un atelier d’analyse d’impact ne produit pas la cartographie d’un établissement, il produit ce que celui qui l’anime savait devoir chercher : un animateur qui n’a pas en tête les dépendances, les interdépendances et les points de rupture recueillera ce que les services offrent spontanément — leur propre sommet, décrit de l’intérieur, et rien de ce qui les relie. C’est une vision tronquée de l’établissement qui devient la référence.
Le déplacement de méthode qui en découle appartient donc à l’animateur, et il tient en un renversement de la question. Le BIA demande à chaque service : de quoi avez-vous besoin ? Il faut lui ajouter la question inverse : qui a besoin de vous, et sous quel délai ? Et la valeur de l’exercice n’est pas dans les réponses concordantes, elle est dans les écarts : partout où la déclaration de l’aval contredit celle de l’amont, il y a soit une dépendance que personne n’avait cartographiée, soit un objectif de reprise incohérent.
Encore faut-il que l’outil utilisé le permette. Lors des ateliers, le BIA se recueille presque toujours dans un tableur, et un tableur ne sait représenter que des lignes : une fiche par service, une colonne par question. On peut y noter qu’un service dépend du système d’information ; on ne peut pas y lire que quatre chaînes y convergent, ni qu’un objectif de reprise en contredit un autre trois onglets plus loin. À l’échelle d’un établissement multi-sites, où les fiches se comptent par centaines, le tableur ne déforme pas le relief : il l’aplatit. Et sur un terrain plat, tous les sommets se valent. C’est précisément l’illusion contre laquelle le modèle mettait en garde.
Trois conséquences pratiques, à porter dans la conduite de la démarche.
-
Cartographier les arêtes plutôt que classer les sommets. L’objet à produire n’est pas un tableau de criticité par service, mais un graphe de dépendances où chaque lien porte un délai, et où l’on compte, pour chaque nœud, le nombre de chaînes qui en dépendent. La criticité s’en déduit.
-
Faire lire à chacun ce que les autres attendent de lui. Une déclaration de dépendance qui n’est jamais renvoyée à celui qu’elle désigne ne l’engage pas. Le croisement des deux sens de la question est ce qui transforme un recueil en analyse. Concrètement : cartographier les interdépendances entre services, puis rendre la carte consolidée aux équipes qui ont rempli les fiches.
-
Dater, faire évoluer, renouveler la cartographie. Le paysage se déforme : chaque externalisation, chaque nouvelle interface, chaque changement de prestataire ajoute une arête que personne ne déclarera spontanément. Une cartographie de dépendances sans date ne se distingue pas d’une cartographie fausse.
Un dernier point, et c’est peut-être celui sur lequel la méthode se joue vraiment : il ne faut pas chercher à résumer tout cela par une note, un indicateur. La tentation est grande de produire un indice de résilience par service, moyennant les délais et pondérant les dépendances. Elle est à écarter. Une chaîne ne vaut pas la moyenne de ses maillons, elle vaut son maillon faible, et un score composite a précisément pour effet de faire disparaître ce maillon faible dans une moyenne rassurante.
L’enjeu final ne change pas : faire converger dans un environnement complexe des pôles qui optimisent chacun leur propre sommet vers la sécurité des patients et la continuité des soins.