GUIDE

2019 / Ineris-DRA-17-164428-03163B

Inspection du SGS dans

une installation classée
Seveso seuil haut
 INSPECTION DU SGS DANS UNE INSTALLATION CLASSÉE SEVESO SEUIL HAUT

C
e guide est une mise à jour du document « Aide à l’inspection des
Systèmes de gestion de la sécurité » élaboré en 2000, publié par
le ministère chargé de l'environnement. Il propose une démarche
d’inspection des Systèmes de gestion de la sécurité (SGS) en faisant ré-
férence aux nouveaux textes réglementaires parus depuis 2001 dans le
Code de l'environnement.
Le document a bénéficié des réflexions d’un groupe de travail compo-
sé de représentants de l’Ineris et de l’inspection (Direction régionale de
l'environnement, de l'aménagement et du logement - Dréal). Ce groupe
a listé les difficultés typiques de l’inspection, puis a cherché à y apporter
des réponses dans ce document.

Rédacteurs :
• Emmanuel Plot (Ineris)
• Ludovic Moulin (Ineris)
• Damien Fabre (Ineris)
• Souhila Kribi (Ineris)

Avec la contribution de :
• Daniel Pannefieu (Dréal)

3
 INSPECTION DU SGS DANS UNE INSTALLATION CLASSÉE SEVESO SEUIL HAUT

Sommaire

1. INTRODUCTION 7
1.1 Pourquoi ce guide ? 7
1.2 Qu’est-ce qu’un SGS ? 8

2. LES BASES DE L'INSPECTION 9

2.1 Logique d'ensemble 9
2.2 Angle 1 : maîtrise des procédés, maîtrise d’exploitation 10
2.2.1 Inspecter les tâches critiques liées aux potentiels de dangers 11
2.2.2 Inspecter les tâches critiques liées aux calculs de l’intensité 12
2.2.3 Inspecter les tâches critiques liées aux calculs des fréquences 13
2.2.4 Inspecter les tâches critiques liées aux MMR 13
2.3 Angle 2 : organisation et formation 14
2.3.1 Inspecter la distribution des fonctions 14
2.3.2 Inspecter les processus de formation 15
2.3.3 Inspecter l’organisation de la sous-traitance 15
2.4 Angle 3 : pilotage du SGS 16
2.4.1 Inspecter la conception et la gestion des modifications 16
2.4.2 Inspecter la surveillance des performances 17
2.4.3 Inspecter les audits et revues de direction 18
2.4.4 Inspecter l’identification et l’évaluation des risques 19

3. POUR ALLER PLUS LOIN 21

3.1 Les activités critiques : la réalité du terrain 21
3.2 La gestion des situations d’urgence 23

5
 INSPECTION DU SGS DANS UNE INSTALLATION CLASSÉE SEVESO SEUIL HAUT

1 INTRODUCTION

1.1 Pourquoi ce guide ?

Ce guide est une mise à jour du document « Aide Il est malheureusement impossible de fournir une
à l’inspection des Systèmes de gestion de la grille d’inspection toute faite tant celle-ci dépend
sécurité  » élaboré en 2000, publié par le ministère de chaque exploitant. Ce guide constitue cependant
chargé de l'environnement. Il propose une démarche une méthode pour concevoir un canevas d’inspection
d’inspection globale des Systèmes de gestion de la
adapté à chacun d’entre eux et afin d’aller ensuite
sécurité (SGS) en faisant référence aux nouveaux
rapidement à l’essentiel.
textes réglementaires parus depuis 2001 dans le
Code de l'environnement : Ce guide est aussi un document « chapeau » qui
• 
Articles L515-40, R515-98 et 99 du Code de renvoie à d’autres outils de référence mis à disposition
l'environnement : l'exploitant met en place un des inspecteurs.
Système de gestion de la sécurité. Ce Système de Outils édités par l’Ineris :
gestion de la sécurité est proportionné aux dangers
liés aux accidents majeurs et à la complexité de • Omega 9 - Formalisation du savoir et des outils dans
l'organisation ou des activités de l'établissement. le domaine des risques majeurs - Étude de dangers
L'exploitant tient à jour ce Système. d’une installation classée - Ineris, 01/07/2015
- A
 rticle R515-98 : l'étude de dangers mentionnée http://www.Ineris.fr/centredoc/dra-15-148940-
à l'article L. 181-25 démontre qu'a été établi un plan 03446a-omega-9-1449238891.pdf
d'opération interne et qu'a été mis en œuvre un
Système de gestion de la sécurité de façon appropriée. • 
Omega 10 - Evaluation de la performance des
Barrières Techniques de Sécurité, Ineris, 23 mai 2018
- A
 rticle R515-99 : l'exploitant met en œuvre les
procédures et actions prévues par le Système de https://www.Ineris.fr/fr/omega-10-evaluation-
gestion de la sécurité prévu à l'article L. 515-40 et performance-barrieres-techniques-securite
lui affecte des moyens appropriés. Ce Système
de gestion de la sécurité est réalisé pour la • Omega 20 - Démarche d’évaluation des barrières
première fois ou réexaminé et mis à jour : humaines de sécurité – Ineris, 01/09/2009
avant la mise en service d'une nouvelle installation ; http://www. Ine ri s.f r/ce ntre do c/o me ga-2 0-
lorsque l'exploitant porte à la connaissance du barrieres-humaines-v2-1386233972.pdf
préfet un changement notable ; • Guide d’inspection FOH des processus REX, édité
 ans le délai de deux ans à compter de la
d par l’Ineris le 10/09/2013
date où les installations sont soumises aux
dispositions de la présente sous-section ; http://www.Ineris.fr/centredoc/guide-inspection-
à la suite d'un accident majeur. foh-processus-rex-v4b-1432902170.pdf

Un arrêté du ministre chargé des installations classées • Guide pour la prise en compte des changements
précise les catégories d'informations contenues dans organisationnels significatifs dans la prévention
le Système de gestion de la sécurité : des risques, édité par l’Ineris en octobre 2014
• 
Arrêté du 26/05/2014 : chapitres 5 (PPAM), http://www.Ineris.fr/centredoc/dra77-guide-
chapitres, 7 (EDD) et chapitre 8 (SGS) avec annexe 1 ; changement--v4-c-interactif-1423128653.pdf
• Directive du 4 juillet 2012 : concernant la maîtrise • Guide du Pilotage de la sécurité par les indicateurs
des dangers liés aux accidents majeurs impliquant de performance à l’attention des ICPE, édité par
des substances dangereuses, modifiant puis l’Ineris en décembre 2015
abrogeant la directive 96/82/CE du Conseil.
http://www.Ineris.fr/centredoc/guide-Ineris-
Des extraits de ces textes réglementaires sont
sips-1459850449.pdf
présentés dans le document pour justifier ou illustrer
la démarche d’inspection proposée dans ce guide. Outil édité par le SDIS 60 :
Ce guide a bénéficié des réflexions d’un groupe de • Guide d’aide à l’élaboration du Plan d’Opération
travail composé de représentants de l’Ineris et de Interne (P.O.I.), édité par le SDIS 60 en janvier 2009
l’inspection (Dréal). Ce groupe a listé les difficultés
typiques de l’inspection, puis a cherché à y apporter  h t t p : //w w w. s d i s 6 0 . f r/f i l e a d m i n / F i c h i e r s /
des réponses dans ce document. Actualites/POI_original.pdf

7
 1.2 Qu’est-ce qu’un SGS ? Ce guide apporte des réponses aux difficultés
recensées par le groupe de travail Ineris/Inspection
Pour appréhender ce qu’est un SGS et la logique (Dréal). Ces difficultés peuvent se résumer ainsi :
sur laquelle les inspections doivent s’appuyer, il est
• 
l’absence d’un référentiel clair permettant de
essentiel de comprendre qu’un SGS se construit à
formuler des avis ou écarts argumentés, ce qui génère
partir de l’Étude de dangers (EDD).
des différences de pratiques selon les inspecteurs,
L’EDD définit les éléments suivants sur lesquels le et donc de cohérence pour les exploitants ;
SGS s’ancrera : • 
des dérives « qualiticiennes » de l'inspection
les caractéristiques et limites des potentiels de
1.  du SGS qui se focalisent sur une analyse
documentaire des processus portés par le SGS,
dangers pouvant être présents sur le site industriel ;
décrits indépendamment les uns des autres et
les hypothèses de calculs de l’intensité des
2.  sans référence à l’EDD. Il ne peut donc pas y avoir
accidents majeurs retenus ; d'évaluation de la performance du SGS.
Pour le 3. les hypothèses de calculs des fréquences/probabilités Exemples de dérives :
calcul de la
probabilité
des
des événements initiateurs et secondaires1 ; - le processus « formation » du SGS traite du
accidents
maintien des compétences techniques en général,
majeurs 4. les MMR (Mesures de Maîtrise des Risques) ;
et non des compétences liées aux moyens de la
5. les paramètres ayant permis de justifier l’exclusion maîtrise des risques qui permettent de respecter,
de scénarios accidentels. dans le temps, ce qui est défini dans l'EDD et
accepté dans l'autorisation d'exploiter,
L’EDD est une photo à un instant « t » (qui s’enrichit
au fil du temps de toutes les mises à jour -notamment - le REX après incidents/accidents n’interroge pas
la pertinence et la suffisance des moyens de la
des évolutions notables portées à connaissance du
maîtrise des risques,
préfet - cf. article R181-46 du CE).
- la gestion des modifications ne s’occupe pas
Le SGS est un système de moyens pour respecter, de manière systématique des impacts sur la
dans le temps, ce qui est défini dans l’EDD et accepté performance des moyens de la maîtrise des
dans l’autorisation d’exploiter : potentiels de dangers, risques ;
calculs de l’intensité, calculs des fréquences des
• des SGS qui traitent de la prévention des risques
événements initiateurs, MMR et conditions d’exclusion.
professionnels sans distinction claire avec ce qui
Le SGS met en œuvre, coordonne et pérennise les relève des risques majeurs.
moyens de la maîtrise des risques majeurs sur lesquels La démarche d’inspection proposée dans ce guide
l’exploitant s’engage dans l’EDD. Ensuite il organise la entend participer à la dynamique vertueuse suivante :
surveillance périodique de l’efficacité de ces moyens
• 
d’inspection en inspection, les acteurs de
pour garantir les niveaux de risques estimés dans
l’organisation connaissent de mieux en mieux leur
l’EDD. C’est ainsi que se traduit concrètement la EDD et leurs moyens de la maîtrise des risques
réglementation, et tout particulièrement le caractère majeurs. Ils intègrent ces éléments dans leur
approprié et proportionné du SGS en tant que modèle de management (culture partagée) ;
moyen2.
• le SGS aide les exploitants à questionner leur EDD
L’exploitant ne respecte pas la réglementation si un sur la base de leurs contraintes opérationnelles, à
aspect de la maîtrise du risque majeur (potentiels de la mettre à jour, à l’améliorer ;
dangers, calculs de l’intensité, calculs des fréquences, • les inspecteurs s’attaquent de plus en plus à la réalité
MMR, conditions d’exclusion) n’est pas pris en compte de la maîtrise des risques majeurs et aux  “vrais“
dans le SGS ou n’y est pas traité de façon efficace. problèmes rencontrés sur le terrain, en exploitation.

1-O n pourrait aller plus loin et considérer également la construction des séquences accidentelles, notamment le positionnement des portes
ET. Pour simplifier la lecture, nous ne parlerons dans la suite de ce guide que des fréquences des événements initiateurs.
2 - « L’étude de danger mentionnée à l’article R.512-9 démontre qu’a été établi un plan d’opération interne et qu’a été mis en œuvre un
Système de gestion de la sécurité de façon appropriée. » Article R515-98
« L’exploitant met en œuvre les procédures et actions prévues par le Système de gestion de la sécurité prévu à l’article L.515-40 et lui
affecte des moyens appropriés. » Article R515-99
« L’exploitant met en place dans l’établissement un Système de gestion de la sécurité applicable à toutes les installations susceptibles de
générer des accidents majeurs en application de l’article L. 515-40 du Code de l'environnement. » Article 8 de l’arrêté du 26 mai 2014.
« Le Système de gestion est proportionné aux risques, aux activités industrielles et à la complexité de l’organisation dans l’établissement
et repose sur l’évaluation des risques. » Annexe I de l’arrêté du 26 mai 2014.
« Des procédures sont mises en œuvre en vue de l’évaluation périodique systématique de la politique de prévention des accidents majeurs
et de l’efficacité et de l’adéquation du Système de gestion de la sécurité. » Annexe I de l’arrêté du 26 mai 2014.

8
 INSPECTION DU SGS DANS UNE INSTALLATION CLASSÉE SEVESO SEUIL HAUT

2 LES BASES DE L'INSPECTION

2.1 Logique d’ensemble

Le contenu d’un SGS est précisé par l’article 8 de 1 Organisation, formation
l’arrêté du 26 mai 2014 : « Le Système de gestion de la
2 Identification et évaluation des risques liés aux
sécurité est conforme aux dispositions mentionnées
accidents majeurs
en annexe I au présent arrêté ».
3 Maîtrise des procédés, maîtrise d’exploitation
Le contenu de cette annexe est le suivant. Le SGS :
4 Conception et gestion des modifications
• 
est proportionné aux risques, aux activités
industrielles et à la complexité de l'organisation 5 Gestion des situations d’urgence3
dans l'établissement ;
6 Surveillance des performances
• repose sur l'évaluation des risques ;
7 Audits et revues de direction
• 
met en œuvre la politique de prévention des
accidents majeurs ;
Le schéma ci-après propose une lecture opérationnelle
• 
précise, par des dispositions spécifiques, les
de cette réglementation.
situations ou aspects suivants de l'activité :

Etude de dangers

Potentiels Intensité
Fréquences MMR Exclusions
de danger des scénarios

Système de gestion de la sécurité

Angle d'inspection n°1 : fonctions opérationnelles (les tâches critiques)

Maîtrise des procédés / Maîtrise d'exploitation

Angle d'inspection n°2 : fonctions supports

Organisation Formation
(rôles et responsabilités autour des tâches critiques) (compétences liées aux tâches critiques)

Angle d'inspection n°3 : fonctions de direction / pilotage

Conception et gestion Surveillance des Audits et revues Identification et

des modifications performances de direction évaluation des risques

Figure 1 - Lecture de la réglementation, permettant de distinguer trois angles d'inspection d'un SGS

3 - Cette thématique n’est pas traitée dans ce guide et devrait faire l’objet d’un guide à part entière.

9
 Ce schéma montre que les exigences de l’EDD se Ce passage par cette notion charnière de tâches
traduisent en tâches. Ces exigences correspondent à ce critiques induit l’obligation pour l’exploitant de bien
qu'il faut faire (ce qu'il faut mettre en œuvre concrètement lister les exigences issues de ses EDD et de bien lister
sur le terrain) pour respecter dans le temps ce qui les tâches critiques qui y répondent. Les preuves de
est définie dans l'EDD et accepté dans l'autorisation la bonne réalisation de ses tâches constituent les
d'exploiter relativement aux potentiels de dangers, éléments à transmettre à l’inspection.
aux calculs de l'intensité, aux calculs des fréquences,
Dans l’annexe I de l’arrêté du 26 mai 2014, les
aux MMR, aux conditions d'exclusion. Ces tâches sont
exigences liées à la « Maîtrise des procédés, maîtrise
la déclinaison opérationnelle de ces exigences. Elles
d’exploitation » sont les suivantes :
correspondent à la définition d'un travail à faire, c'est le
prescrit, la description formelle des actions à mener. « Des procédures et des instructions sont mises en
œuvre pour permettre la maîtrise des procédés et
Ces tâches sont dites critiques dans la mesure où
elles permettent de maintenir dans le temps le niveau l’exploitation des installations en sécurité. Les phases
de maîtrise des risques accepté dans l'EDD. Elles de mise à l’arrêt et de démarrage des installations,
circonscrivent les objectifs que les opérateurs doivent d’arrêt, de même que les opérations d’entretien et
atteindre pour assurer la maîtrise des risques majeurs. de maintenance, même sous-traitées, font l’objet de
Une tâche critique est une description d’action dont telles procédures.
une défaillance lors de son exécution dégrade le Les informations disponibles sur les meilleures
niveau de maîtrise des risques d’accident majeur. pratiques sont prises en compte afin de réduire le
Les tâches critiques peuvent être décrites dans des risque de défaillance du système.
modes opératoires ou des procédures. Le Système de gestion de la sécurité définit également
Aux tâches critiques sont donc associés des : les actions mises en œuvre pour maîtriser les risques
liés au vieillissement des équipements mis en place
• exigences de maîtrise des risques liés aux procédés dans l’établissement et à la corrosion.
et à l’exploitation : des objectifs à atteindre ;
Ces actions permettent a minima :
• exigences en termes d’organisation et de formation ;
• le recensement des équipements visés par la section
• processus qui en assurent le pilotage : 1 de l'arrêté du 4 octobre 2010 relatif à la prévention
- gestion des modifications, des risques accidentels au sein des installations
- surveillance des performances, classées pour la protection de l'environnement
soumises à autorisation ; le recensement des
- audit et revue de direction,
réservoirs visés à l'article 29 de l'arrêté du 3 octobre
- revue de l’identification et évaluation des risques. 2010 relatif au stockage en réservoirs aériens
Trois angles d’inspection complémentaires se dessinent : manufacturés de liquides inflammables exploités
dans un stockage soumis à autorisation au titre
angle 1 : la maîtrise des procédés et la maîtrise
•  des rubriques 4330, 4331, 4722, 4734 et 1436 de
d’exploitation (identification et mise en œuvre des la législation des installations classées pour la
tâches critiques) ; protection de l'environnement ; le recensement
angle 2 : l’organisation et la formation. Il s’agit
•  des tuyauteries et récipients visés par l'arrêté du 15
des fonctions supports qui permettent la bonne mars 2000 relatif aux équipements sous pression ;
réalisation des tâches critiques ; • 
pour chaque équipement identifié, l'élaboration
angle 3 : le pilotage des tâches critiques, de
•  d'un dossier contenant : l'état initial de
l'organisation et de la formation, en tant que l'équipement, la présentation de la stratégie mise
Système de gestion de la sécurité devant garantir en place pour le contrôle de l'état de l'équipement
dans le temps le niveau de maîtrise des risques (modalités, fréquence, méthodes, etc.) et pour la
défini dans l'EDD et accepté dans l'autorisation détermination des suites à donner à ces contrôles
d'exploiter (gestion des modifications surveillance (méthodologie d'analyse des résultats, critères de
des performances, audit et revue de direction, déclenchement d'actions correctives de réparation
identification et évaluation des risques). ou de remplacement, etc.). Ces éléments de la
stratégie sont justifiés, en fonction des modes de
dégradation envisageables, le cas échéant, par
2.2 Angle 1 : maîtrise des procédés, simple référence aux parties du guide professionnel
reconnu par le ministre chargé de l'environnement
maîtrise d’exploitation sur la base desquelles ils ont été établis.
L’inspection des fonctions opérationnelles de la
Pour chaque équipement identifié, en application des
maîtrise des risques est le cœur de la démarche.
actions mises en œuvre pour maîtriser les risques liés
La logique d’inspection proposée dans ce guide est au vieillissement et à la corrosion, les résultats des
centrée sur le questionnement relatif à la bonne réalisation contrôles et les suites données à ces contrôles sont
des tâches critiques sur le terrain. Les autres angles tracés, notamment les mesures prises pour faire face
d’inspection proposés (angles 2 et 3) prennent tout aux problèmes identifiés ainsi que les interventions
leur sens une fois réalisée cette inspection sous l’angle 1. éventuellement menées.

10
 INSPECTION DU SGS DANS UNE INSTALLATION CLASSÉE SEVESO SEUIL HAUT

Ces dossiers ou une copie de ces dossiers sont tenus à 2.2.1 Inspecter les tâches critiques liées aux
la disposition de l'inspection des installations classées. potentiels de dangers
Ils sont rassemblés ou peuvent être imprimés de
L’EDD identifie les potentiels de danger pouvant être
manière à être mis à disposition rapidement lors d'un
présents sur le site : les produits dangereux  du site
contrôle de l'inspection des installations classées.
industriel4 (matière première, produits intermédiaires
Lorsque le recensement ou les dossiers mentionnés ci- et produits finis) et les équipements qui les contiennent.
dessus sont établis sur la base d'un guide professionnel
Si les produits dangereux changent, si leurs quantités
reconnu par le ministre chargé de l'environnement, les
changent, si les équipements changent, si les
révisions du guide sont prises en compte par l'exploitant
associations « produits dangereux - équipements »
dans le délai fixé par ces révisions ou par la décision
changent, alors, le risque change, et le site industriel
ministérielle de modification du guide, le cas échéant. »
peut se trouver hors du champ étudié dans l’EDD
Nous proposons une manière d’opérationnaliser et sortir de sa zone de maîtrise. Les potentiels de
l’inspection de ces exigences autour de la question dangers doivent être maintenus dans le cadre défini
centrale de l’identification et de la maîtrise des par l’EDD et accepté dans l’autorisation d’exploiter.
tâches critiques. Cette maîtrise des potentiels de dangers suppose la
mise en œuvre de tâches critiques que l’exploitant
doit avoir identifiées, listées. Il doit pouvoir prouver la
bonne mise en œuvre de ces tâches.
Les questions clefs pour construire le canevas
d’inspection peuvent se formuler comme suit : De l’EDD aux tâches critiques et aux preuves :
exemples
Concernant les matières premières dangereuses
• T
 outes les exigences qui doivent être maîtrisées pour • L'exigence : contrôle du fait que les matières
garantir dans le temps le niveau de risque acceptable premières reçues sur le site sont bien du type
validé dans l’EDD sont-elles identifiées et listées ? de celles considérées dans l’EDD (quantités
Il faut distinguer cinq types d’exigences, concernant et localisation). L’objectif est de prévenir une
respectivement : modification du potentiel de danger (un nouveau
1 . les potentiels de danger ; produit est utilisé sur site, un produit non pris en
2
 . les hypothèses liées à l’intensité des accidents
compte dans l’EDD est présent sur site).
majeurs retenus ;
3
 . les fréquences des évènements initiateurs et • Les tâches critiques :
secondaires ;
4
 . les MMR ; - contrôler les produits achetés ;
5
 . le suivi des paramètres ayant permis de justifier
- c
 ontrôler les produits à la réception (à l’entrée
l’exclusion de scénarios accidentels.
du site, et zone par zone) - nature et quantité
• L
 es tâches critiques susceptibles de prendre en des produits ;
charge la maîtrise de ces exigences sont-elles
systématiquement identifiées et listées dans un - réaliser des inventaires périodiques, zone par
document ou un système d’information (base de zone - quantité des produits présents sur le site,
données) ? ou gestion automatisée en continu ;
• Existe-t-il des preuves de la mise en œuvre de ces tâches ?
- c
 ontrôler par échantillonnage la nature (le bon
L’exploitant doit pouvoir fournir les éléments
étiquetage) et la qualité des produits.
permettant de constituer un tableau de
correspondance entre ces exigences, ces tâches et • Les preuves :
ces preuves. À toute exigence formalisée dans l’EDD
devrait correspondre une ou plusieurs tâches critiques. - traces des produits achetés (idéalement avec
Et à toute tâche critique devrait correspondre une ou critères/valeurs correspondants aux exigences
plusieurs preuves (lorsque cela est possible). de l’EDD) ;
Dans le cadre de l’inspection, on pourra procéder par - enregistrements des produits réceptionnés ;
sondage pour vérifier la bonne identification et mise en
œuvre d’une ou plusieurs tâches critiques. - bilan des inventaires périodiques ;
- enregistrement des contrôles par échantillonnage ;

4 - Rappelons :
L’article 3 de l’arrêté du 26 mai 2014 : « Conformément aux dispositions de l'article R, 515-86 du Code de l'environnement, l'exploitant
procède au recensement régulier des substances ou mélanges dangereux susceptibles d'être présents dans son établissement en se
référant aux classes, catégories et mentions de dangers correspondantes, ou aux substances nommément désignées dans le tableau
annexé à l'article R, 51 1-9 du Code de l'environnement. »
L’article 3 de l’arrêté du 26 mai 2014 : « Conformément à l'article R, 515-86 du Code de l'environnement, le recensement est effectué au
plus tard le 31 décembre 2015, puis tous les quatre ans, au 31 décembre.
Il est par ailleurs réalisé pour la première fois ou mis à jour :
• avant la mise en service d'une nouvelle installation ;
• avant la réalisation de changements notables si nécessaire.
Dans le délai d'un an à compter du jour où l'installation entre dans le champ d'application de la présente section. »

11
 - c
 ompte rendu des incidents relatifs à des écarts • Les preuves :
constatés, et compte rendu de l’efficacité des
- e
 nregistrements des mouvements des produits
plans d’actions mis en œuvre pour gérer le
dangereux dans les équipements ;
risque de renouvellement de ces écarts.
- bilan des inventaires périodiques.
Concernant les équipements contenants ou utilisant
les produits dangereux
L'exigence : contrôle du fait que les équipements
•  2.2.2 Inspecter les tâches critiques liées aux
présents sur le site sont conformes aux spécifications calculs de l’intensité
considérées dans l’EDD. Le calcul de l’intensité des phénomènes dangereux
repose sur des modélisations. Celles-ci sont réalisées
• Les tâches critiques :
à partir de scénarios caractérisés par des hypothèses
- contrôler à l’achat les équipements ; sur :
- c
ontrôler à la réception les équipements (à • les produits :
l’entrée du site et zone par zone) ;
- représentativité du produit : dans le cas où
- c
ontrôler périodiquement les équipements un produit a été considéré comme étant
(contrôles, tests et épreuves) ; représentatif d’un ensemble de produits en
termes de dangerosité (inflammabilité, toxicité,
- contrôler le fournisseur ; etc.) et qu’il a été retenu pour l’évaluation de
- m
 ettre à jour les stratégies d’inspection des l’intensité d’un phénomènes dangereux, il est
équipements en fonction des modes de important de s’assurer que cette hypothèse est
dégradation envisageables, des meilleures valable dans le temps,
techniques disponibles, des guides professionnels - q
uantité de produit mise en œuvre dans
reconnus. l’équipement ou considérée pour la modélisation,
• Les preuves : - c
 oncentration de produit : à titre d’exemple, une
dispersion toxique de vapeurs d’HCl depuis un
- t races des équipements achetés (critères/valeurs stockage d’HCl à 31% ou à 35% ne donne pas
correspondants aux exigences de l’EDD) ; les mêmes distances d’effets, les effets sont
- e
 nregistrement des contrôles d’équipements à beaucoup plus importants dans le second cas ;
réception ; • 
les conditions opératoires du procédé ou de
- compte-rendu des contrôles de maintenance ; l’équipement : pression, température, débit,
hauteur de l’équipement par rapport au sol, etc. ;
- c
ompte-rendu des suites données en cas de
défaut constaté : fiche d’anomalie, actions • 
la configuration des lieux et des équipements :
(présence d’obstacles, tuyauteries aériennes ou
correctives de réparation ou de remplacement,
enterrées, etc.).
etc. ;
La validité de ces hypothèses doit être maintenue
- c
ompte-rendu des écarts à la stratégie de
dans le temps pour s’assurer que l’intensité des
contrôle définie par l’entreprise : périodicité phénomènes dangereux modélisés dans l’EDD est
théorique vs périodicité réelle, compétences toujours valable. Cette démarche est à assurer aussi
requises vs compétences réelles, etc. bien pour les accidents majeurs retenus que pour
Concernant les associations produits dangereux - ceux modélisés et non retenus comme accidents
équipements majeurs.

L'exigence : contrôle du fait que les associations

•  Exemple : feu de nappe sur une tuyauterie de bac
«  produits dangereux - équipements » existants d’hydrocarbure
sur le site sont conformes à ceux considérés dans « Il est considéré que l’alarme sur défaut de balance de
l’EDD. ligne ne fonctionne pas. La fuite serait alors détectée
au cours de la ronde réalisée par l’opérateur jusqu’au
• Les tâches critiques :
niveau du manifold. Cette ronde est effectuée toutes
- c
 ontrôler les mouvements des produits dans les les heures. On considère donc qu’il faut 60 minutes à
équipements ; l’opérateur pour détecter la fuite et fermer les vannes
d’entrée du manifold (pour la contribution amont).
- c
 ontrôler en continu, ou avant chaque transfert, le Il faut ensuite compter 10 minutes supplémentaires
transit des produits entrant dans les équipements pour que l’opérateur ferme la vanne en pied de bac
(avec une attention toute particulière au risque (pour la contribution aval). La durée maximale du
de mélanges incompatibles) ; rejet est donc de 70 minutes pour ce scénario. »
- réaliser des inventaires périodiques, zone par La validité de la modélisation repose donc notamment
zone, du contenu des équipements. sur la maîtrise de l’activité des rondiers par l’exploitant.

12
 INSPECTION DU SGS DANS UNE INSTALLATION CLASSÉE SEVESO SEUIL HAUT

• Des exemples d'exigence : Toutes ces considérations sont des exigences à

maintenir dans le temps. Les achats, les travaux
- réalisation d’une ronde passant par la zone
neufs, la maintenance, la production, la logistique font
considérée avec une périodicité inférieure ou l’objet de tâches critiques à assurer et de preuves à
égale à 1 heure ; fournir.
- le
 rondier doit être en capacité de fermer les
vannes d’entrée du manifold et les vannes de
pied de bac en moins de 10 minutes. 2.2.4 Inspecter les tâches critiques liées aux MMR

• Les tâches critiques : Le calcul du niveau de confiance des MMR

(relativement à leur capacité de réalisation et à
- c
 ontrôler l’éventualité de fuites sur les liaisons de leur temps de réponse) repose sur des tâches
bac d’hydrocarbure (les mesures de contrôle à humaines critiques et/ou sur des équipements dont
réaliser doivent être explicitées : geste, lieu…) ; l’intégrité est assurée par des tâches critiques de
conception, d'achat, d'installation, d’exploitation et
- fermer les vannes d’entrée du manifold et les de maintenance.
vannes de pied de bac en moins de 10 minutes
en cas de détection de fuite. Exemple 1

• Les preuves : Une MMRI a pour fonction d’éviter une surpression

interne d’une ligne de stockage d’hydrogène en
- c
ompte-rendus des rondes (le format doit arrosant en eau la ligne en cas d’incendie externe.
permettre de faire le lien avec les exigences EDD
Les éléments constitutifs de la MMRI sont : les
en affichant la consigne de ronde, la fréquence
détecteurs incendies, la centrale incendie, la vanne
et le type de vérification, mesure, prélèvement à
d’eau, les pompes d’alimentation en eau du système
faire le cas échéant) ;
d’aspersion, le système d’aspersion, la réserve d’eau.
- c
ompte-rendus d’incidents concernant des Notre exemple ne portera que sur les détecteurs.
fuites sur les liaisons de bac d’hydrocarbure ; • Les exigences sur les détecteurs décrites dans la
- compte-rendus de tests/simulations. fiche d’analyse de la MMR sont notamment :
- maintien des plages de fonctionnement :
température : -40 à +75 °C,
2.2.3 Inspecter les tâches critiques liées aux
humidité : ≤ 95% rel,
calculs des fréquences
certifié ATEX,
Le calcul de la fréquence d’un évènement (initiateur ou
IP 67 ;
secondaire) repose sur des hypothèses/paramètres
dont il faut assurer la maîtrise dans le temps. - m
 aintien du temps de réponse : Inférieur à 10 s
(détection + remontée info) ;
Exemple concernant l’estimation d’une fréquence
- maintien du principe de sécurité positive :
La fréquence d’une fuite de flexible au poste de
 limentation : conforme au référentiel incendie
a
dépotage est souvent estimée en fonction du nombre
(APSAD) (fonctionnement avec basculement
d’heures de dépotage. Un exploitant qui utilise une
sur batteries),
telle estimation est dans l’obligation de s’assurer que
 éfauts capteurs et rupture du bus remontent
d
son nombre d’heures de dépotage est en dessous
un dérangement (signal lumineux et signal
de celui correspondant à la fréquence de fuite qu’il
sonore),
a prise en considération. En cas de dépassement,
l’exploitant doit revoir son calcul de probabilité. s ignal sonore de la centrale incendie (même
alarme que la détection incendie) et alarme
Autre exemple, la fréquence d’une perte de visuelle texte qui détaille l’information (zone
confinement d’une tuyauterie repose typiquement concernée et capteur en alarme),
sur les considérations suivantes dont l’exploitant doit l a maintenance, nettoyage ou remplacement des
garantir la maîtrise dans le temps : détecteurs, se décide notamment en fonction
1. le diamètre et la longueur de la tuyauterie ; de la criticité du contexte d’exploitation,
remplacement des détecteurs sous un délais
2. les contrôles, tests et épreuves ; de 8h max (ouvré) ;
3. la prévention de la corrosion ; - m
aintien des spécifications du câblage :
4. la prévention des risques d’agression extérieure ; compatible zone ATEX avec protection
mécanique.
5. la prévention des risques de surpression ;
Les tâches critiques sont celles mises en œuvre pour
6. 
le taux d’utilisation de la tuyauterie (cas des assurer ces exigences : tâches aux niveaux des achats,
tuyauteries non utilisées en permanence). de la réception, de l’installation et de la maintenance.

13
 • Les preuves : • Les formations :
- les documents de spécifications des détecteurs ; Décrire les mesures pour « sensibiliser [le personnel
associé à la prévention et au traitement des accidents
- les traces liées à l’achat, à la réception et à
majeurs] à la démarche de progrès continu. »
l’installation des détecteurs ;
«
 Les besoins en matière de formation des
- le programme de contrôle périodique / de
personnels associés à la prévention des accidents
remplacement des détecteurs ;
majeurs sont identifiés. L’organisation de la
- les comptes-rendus de maintenance ; formation ainsi que la définition et l’adéquation du
contenu de cette formation sont explicitées. »
- la base de données incidents / accidents.
• La gestion des activités sous-traitées :
Exemple 2
«
 Le personnel des entreprises extérieures travaillant
Une MMR (barrière humaine) consiste à vidanger
sur le site mais susceptible d’être impliqué dans la
et isoler un réservoir et sa ligne afin de prévenir
prévention et le traitement d’un accident majeur
les conséquences d’une rupture de la ligne suite à
est identifié. Les modalités d’interface avec ce
la chute d’objet lors d’opérations de manutention à
personnel sont explicitées. »
proximité. A minima, elle est réalisée tous les 40 mois
(dans le cadre de la maintenance des soupapes). Nous proposons ci-après une manière
d’opérationnaliser l’inspection de ces exigences
• L’exigence :
réglementaires en les faisant porter sur les tâches
- v
 idanger et isoler le réservoir et sa ligne en cas critiques. En d’autres termes, nous invitons les
de manutention mettant en œuvre des objets inspecteurs à se poser la question centrale de
dont la chute pourrait conduire à une rupture de l’organisation des tâches critiques et de la formation
confinement de ce réservoir ou de cette ligne. des opérateurs à la maîtrise de leur exécution.
• Les tâches critiques :
- identifier les opérations de manutention mettant
en œuvre des objets dont la chute pourrait L’inspection de l’organisation et de la
conduire à une rupture de confinement de ce formation doit être en mesure d’interroger
réservoir ou de cette ligne ; la capacité du management support à :

- p
 rocéder, préalablement à ces opérations, à la
vidange et à l’isolement du réservoir et de sa ligne ;
• p
 roposer aux opérateurs une organisation leur
- v
 érifier l’efficacité de la vidange et de l’isolement permettant de mettre en œuvre les tâches critiques
en fin d’opération, par mesure de pression et par de manière efficace ;
contrôle visuel du brûlage à la torchère. • p
 roposer une formation directement en lien avec la
maîtrise des tâches critiques.
• Les preuves :
- la liste des opérations de manutention à proximité ;
- les traces de l’identification des opérations de La question clef à poser à l’industriel peut
manutention mettant en œuvre des objets dont se formuler comme suit :
la chute pourrait conduire à une rupture de
confinement de ce réservoir ou de cette ligne ;
- les
 comptes-rendus d’opération de vidange et • l’organisation et la formation donnent-elles aux
d’isolation du réservoir et de sa ligne ; opérateurs et aux manageurs les moyens de maîtriser
les tâches critiques, y compris dans le cas des
- les traces des vérifications de l’efficacité de la
activités sous-traitées ?
vidange et de l’isolement en fin d’opération, par
mesure de pression et par contrôle visuel du
brûlage à la torchère.

2.3.1 Inspecter la distribution des fonctions

2.3 Angle 2 : organisation et formation
Décrire les fonctions des personnels associés à la
Relativement aux questions d’organisation et de prévention et au traitement des accidents majeurs,
formation, les exigences de l’annexe 1 de l’arrêté du à tous les niveaux de l’organisation, c’est préciser
26 mai 2014 portent sur : « qui fait quoi, où, quand, comment, avec quoi » dans
toutes les procédures liées au SGS. Cette notion de
• Les fonctions :
procédure est centrale dans l’annexe I de l’arrêté du
«
 Les fonctions des personnels associés à la 26 mai 2014. Des procédures sont exigées pour tout,
prévention et au traitement des accidents majeurs, afin de montrer que les choses ne doivent pas être
à tous les niveaux de l’organisation, sont décrites. » faites au hasard.

14
 INSPECTION DU SGS DANS UNE INSTALLATION CLASSÉE SEVESO SEUIL HAUT

L’inspection consiste à vérifier que, dans ces

procédures, les fonctions sont décrites en regard
L’inspection suivra la même logique que
des tâches critiques à réaliser (dont l’identification
pour les points abordés précédemment :
relève de la maîtrise des procédés et de la maîtrise
d’exploitation).

• t âches critiques dont l’EE a la charge : sont-elles

2.3.2 Inspecter les processus de formation identifiées (notamment le plus en amont possible,
c’est-à-dire dans le cahier des charges, et dans
Le canevas d’inspection doit partir des exigences l’autorisation de travail) ?
auxquelles l’industriel doit répondre : • o
 rganisation : les fonctions des personnels touchant
1. définir les compétences requises pour la réalisation à la maîtrise des risques majeurs sont-elles décrites
des tâches critiques ; par rapport aux tâches critiques, à tous les niveaux de
l’organisation ? L’exploitant devrait être en mesure de
2. concevoir et mettre en œuvre les formations à la fournir un tableau présentant la liste des personnes de
réalisation de ces tâches critiques, en situations ses entreprises extérieures, et la correspondance avec
nominales et dégradées ; les tâches critiques auxquelles elles sont associées.
• f ormation : les personnes des entreprises extérieures
3. évaluer les compétences des personnes formées sont-elles formées aux tâches critiques, en tenant
pour réaliser ces tâches critiques en situations compte de leurs fonctions relatives à ces tâches ?
nominales et dégradées. Leurs compétences associées à ces fonctions et à ces
tâches sont-elles évaluées, en situations nominales et
La recherche de preuves passe par :
dégradées ?
• 
la cartographie des compétences nécessaires à
une bonne définition, compréhension et mise en
œuvre des tâches critiques ; L’inspection pourra à cette occasion
interroger les problématiques économiques
• les programmes et contenus des formations ;
spécifiques qui lient l’EU et ses EE.
• 
l'évaluation des compétences en situations Exemples de questions à se poser :
nominales et dégradées.

• C
 omment les critères de sécurité sont-ils pris en
2.3.3 Inspecter l’organisation de la sous-traitance compte dans la définition du prix ? Notamment
lorsque les travaux sont modifiés ?
La sous-traitance consiste, pour une entreprise dite
utilisatrice (EU), à confier sur son propre site et dans
le cadre de sa propre activité, des travaux à une Les modalités d’interface avec ce personnel sont
entreprise dite extérieure5 (EE). Cette sous-traitance normalement explicitées tout au long des étapes
peut concerner des activités très diverses : les clefs de gestion des activités sous-traitées, à savoir :
prestations de maintenance, le nettoyage, l’accueil, le
gardiennage et la sécurité des locaux, ou encore la 1. conception des activités à sous-traiter ;
restauration collective, etc. Le décret 92-152 du 20 2. élaboration des spécifications d’achat ;
février 1992 relatif à l’exécution de travaux par des
entreprises extérieures réglemente ce type de sous- 3. contractualisation/sélection des sous-traitants ;
traitance.
4. planification des chantiers ;
Le personnel des entreprises extérieures est impliqué
5. m
 ise à disposition des installations (côté EU)/achat
dans la prévention et le traitement d’un accident
et/ou préfabrication des équipements (côté EE) ;
majeur lorsqu’il participe à, ou réalise, des tâches
critiques. 6. entrées/sorties et circulation sur le site ;
7. m
 ise en œuvre des solutions de sécurité dans la
réalisation des chantiers ;
8. supervision des chantiers et des services ;
9. gestion des modifications ;
10. réception des prestations ;
11. gestion des zones de vie.

5-O  n entend par entreprise extérieure toute entreprise ou organisme effectuant des travaux ou des interventions liés à une entreprise
utilisatrice par le biais d’un contrat de fourniture ou de prestations. Sont exclues :
• les administrations (Dréal, agence de l’eau, CRAM…) ;
• les entreprises de transport ;
• les visiteurs, les commerciaux.
Pour rappel, l’exploitant est le seul responsable (cf. code du travail).

15
 Liste indicative des documents utiles à l’inspection : - gestion des commandes,
Les documents spécifiques à l’entreprise utilisatrice - réalisation des travaux (de la réunion
d’enclenchement de l’affaire à la réception des
• les éléments du REX (retour d’expérience) : travaux, en passant par les modalités de définition
- R
EX concernant le type de chantier autour de l’organisation du travail, l’élaboration des
duquel l’inspection est centrée, notes de calculs, les choix de préfabrication en
- REX en matière de sous-traitance, atelier, les achats, les contrôles, etc.),
- R
EX sur le matériel lui-même (cas de la - réception,
maintenance) dont les équipements de - paiement.
surveillance (détecteurs, etc.) ;
• les éléments du dossier d’autorisation, en particulier
l’étude des dangers et les arrêtés préfectoraux ; 2.4 Angle 3 : pilotage du SGS
• la revue des rapports des inspections précédentes ; Le pilotage du SGS est constitué de plusieurs
processus et sous-processus :
• le point sur l’évolution des produits, des installations,
des procédés et de l’organisation du site ; • la conception et la gestion des modifications ;

• les documents de gestion, au quotidien, avec une • la surveillance des performances ;

traçabilité des modifications concernant les : • les audits et les revues de direction ;
- MMR (moyens de maîtrise des risques),
• l’identification et l’évaluation des risques.
- scénarios,
- hypothèses de calcul de la criticité,
2.4.1 Inspecter la conception et la gestion des
- plans d’actions,
modifications
- plans de surveillance ;
L’aspect 4 de l’annexe I de l’arrêté du 26 mai 2014
• bilan annuel des EE ; « Conception et gestion des modifications » contient
• les documents en lien avec la gestion de l’activité l’exigence suivante :
sous-traitée considérée. Par exemple, pour un « Des procédures sont mises en œuvre pour les
chantier de maintenance, les procédures, et les modifications apportées aux installations et aux
enregistrements correspondants au chantier : procédés et pour la conception de nouvelles
- g
 estion des installations (travaux neufs, installations ou de nouveaux procédés. »
modification ou maintenance) qui commence par
l’identification d’un nouveau besoin et s’arrête à
la validation des travaux réceptionnés,
- gestion des travaux, L’inspection doit interroger l’industriel sur
- m
aîtrise des appareils de mesure et de sa capacité à :
surveillance,
- habilitation des entreprises extérieures,
- plan de prévention, • r epérer les modifications prévues pouvant impacter
- plan de travaux et permis divers liés au chantier, les exigences identifiées dans l’EDD (potentiels de
dangers, etc.) ;
- permis de démarrage.
• r éaliser une analyse de risques et, si nécessaire, avant
Les documents spécifiques à l’entreprise extérieure d’entreprendre toute modification :
• les éléments du REX ; a. réviser l'EDD (et demander une dérogation à
l'autorisation d'exploiter, le cas échéant) ;
• les documents concernant son système de gestion b. réviser la conception et la gestion des tâches
et son organisation : la politique, le règlement critiques ;
intérieur, le document unique, l’organigramme, les
c. réviser le management de support et le pilotage.
tableaux des tâches (avec les rôles, fonctions…),
le manuel SSE (Santé, Sécurité, Environnement) et
les documents liés correspondant aux exigences
du MASE ;
Le guide pour la prise en compte des changements
• les documents en lien avec la gestion de l’activité organisationnels significatifs, édité par l’Ineris  en
considérée. Par exemple, pour un chantier de octobre 2014, propose un ensemble de conseils
maintenance, les procédures, et les enregistrements permettant d’approfondir cette partie de l’inspection.
correspondant au chantier :

16
 INSPECTION DU SGS DANS UNE INSTALLATION CLASSÉE SEVESO SEUIL HAUT

2.4.2 Inspecter la surveillance des performances Cette notion de risque actualisé devrait se baser sur :
L’aspect 6 de l’annexe I de l’arrêté du 26 mai 2014, • une estimation de la bonne réalisation des tâches
« Surveillance des performances », contient l’exigence critiques. Par exemple, si une tâche de contrôle
suivante : périodique d’un équipement n’est pas effectuée
dans les temps, alors il y a perte de la confiance
« Des procédures sont mises en œuvre en vue d’une
évaluation permanente du respect des objectifs dans l’équipement concerné. On parle de «  jours
fixés par l’exploitant dans le cadre de sa politique de non-confiance » ;
de prévention des accidents majeurs et de son • l’incidentologie et l’historique des pannes (et de
Système de gestion de la sécurité. Des mécanismes leur traitement), dans la mesure où ils permettent
d’investigation et de correction en cas de non-respect d’identifier l’indisponibilité d’un équipement ou
sont mis en place. l’absence de réalisation d’une tâche critique. Les
Les procédures englobent le système de notification incidents de ce type prouvent l’indisponibilité d’un
des accidents majeurs ou des accidents évités de moyen de maîtrise des risques. On parle de « jours
justesse, notamment lorsqu’il y a eu des défaillances d’indisponibilité. »
des mesures de prévention, les enquêtes faites à ce La somme des jours de non-confiance et d’indisponibilité
sujet et le suivi, en s’inspirant des expériences du passé. sur une période donnée, peut permettre de calculer,
Les procédures peuvent également inclure des par exemple, le niveau de confiance actualisé d’une
indicateurs de performance, tels que les indicateurs barrière de sécurité6, c'est-à-dire le niveau de
de performance en matière de sécurité et d’autres confiance qu’il aurait fallu estimer pour cette période.
indicateurs utiles. »
Le calcul est le suivant : soit une barrière, son niveau
Nous proposons ci-après une manière d’opérationnaliser de confiance actualisé sera de 0 si la somme des jours
l’inspection de cette exigence réglementaire en de non-confiance et d’indisponibilité est supérieur à
invitant les inspecteurs à s’interroger sur : 10% de la période considérée.
• la surveillance du risque estimé initialement dans
l’EDD : le risque actualisé ;
• le retour d’expérience incidentel/accidentel. L’inspecteur doit pouvoir vérifier que le
risque estimé initialement dans l’EDD est
égal au risque actualisé.
2.4.2.1 La surveillance du risque actualisé
Le niveau de risque initial est celui qui a été estimé,
dans l’EDD, à partir d’un état initial du système S’il y a un écart, des mesures sont peut-être à prendre
par l’industriel : revoir l’EDD, améliorer la gestion des
d’exploitation, en considérant que cet état reste
tâches critiques et des activités critiques (voir §3).
constant, sous réserve du maintien dans le temps de
la performance des moyens de la maîtrise des risques L’industriel doit être en mesure d’expliquer son calcul et
de présenter les données sur lesquelles il s’est appuyé.
liés aux aspects suivants :
L’inspecteur doit vérifier la cohérence des éléments (il
• potentiels de danger ; peut procéder par sondage).

• hypothèses de calculs de l’intensité des accidents

majeurs retenus ;
• 
hypothèses de calculs des probabilités des
accidents majeurs retenus (hors MMR) ; 2.4.2.2 Le retour d’expérience incidentel / accidentel
(REX)
• MMR (mesures de maîtrise des risques) ;
Dès lors que se produit sur le site un évènement
• paramètres ayant permis de justifier l’exclusion de appartenant à une séquence accidentelle susceptible
scénarios accidentels. de conduire à un accident majeur, l’industriel doit
La surveillance des performances repose sur une ré- déclencher une procédure de retour d’expérience
estimation, a posteriori, de ce niveau de risque initial, constituée typiquement des étapes suivantes :
en tenant compte de la performance observée des • collecte des données ;
moyens de maîtrise des risques employés sur une
période de temps écoulé. Cette analyse repose sur • analyse de l’événement ;
des constats, a postériori, qui permettent de réajuster
• définition des mesures correctives ;
l’estimation du niveau de maîtrise des risques. On
parle de risque actualisé. • mise en œuvre des mesures correctives ;

6-L
 e calcul prend évidemment en compte l’architecture des moyens de la maîtrise des risques, afin de resituer les équipements et les tâches
considérées dans le système d’ensemble et de tenir compte d’éventuelles redondances (cf. Omega 10 et Omega 20).

17
 • évaluation, à terme, de l’efficacité des mesures ; 2.4.3 Inspecter les audits et revues de direction
• 
mémorisation et enregistrement de l’événement, L’aspect 7 de l’annexe I de l’arrêté du 26 mai 2014, « Audit
de ses enseignements et de son traitement ; et revues de direction », contient l’exigence suivante :
• recherche de situations analogues et généralisation « Des procédures sont mises en œuvre en vue de
des mesures correctives ; l'évaluation périodique systématique de la politique de
prévention des accidents majeurs et de l'efficacité et
• communication des enseignements. de l'adéquation du Système de gestion de la sécurité.
L'analyse documentée est menée par la direction :
résultats de la politique mise en place, Système de
L’objectif de l’inspecteur va être de
questionner chaque étape du processus
gestion de la sécurité et mise à jour, y compris prise
REX du point de vue des tâches critiques. en considération et intégration des modifications
nécessaires mentionnées par l'audit. »
L’article 4 de l’arrêté du 26 mai 2014 stipule que « La
Quelques exemples : politique de prévention des accidents majeurs prévue
• c
 ollecte des données : les données collectées à l'article R, 515-87 du Code de l'environnement est
permettent-elles de questionner les conditions de décrite par l'exploitant dans un document maintenu
mise en œuvre des tâches critiques impliquées dans à jour et tenu à la disposition de l'inspection des
l’événement ? installations classées. » 7
• a
 nalyse de l’événement : la profondeur de l’analyse
permet-elle de questionner les modalités de L’article 4 de l’arrêté du 26 mai 2014 stipule que
réalisation des tâches critiques ? «  Conformément à l'article R, 515-87 du Code de
• la définition de mesures correctives : les mesures l'environnement, la politique de prévention des
correctives sont-elles susceptibles d’améliorer la accidents majeurs définie à l'article L 515-13 du Code
connaissance ou la performance des tâches critiques de l'environnement est réexaminée au moins tous les
en cause dans l’évènement ? cinq ans et mise à jour si nécessaire.
• la mise en œuvre des mesures correctives : un retour Elle est par ailleurs réalisée ou réexaminée et si
d’expérience sur l’impact des mesures correctives sur
nécessaire mise à jour :
les tâches critiques est-il mené ?
- avant la mise en service d'une nouvelle installation ;
- a
 vant la mise en œuvre de changements notables
Pour détecter les incidents dont les conséquences si nécessaire ;
ne sont pas visibles, l’industriel organise une collecte
large d’anomalies/non-conformités/pannes qui sont - d
 ans le délai d'un an à compter du jour où l'installation
entre dans le champ d'application de la présente
triées de manière à ce que les évènements ou les
section. »
défaillances touchant à la maîtrise des risques majeurs
fassent l’objet d’une analyse dans le cadre du SGS.
L’analyse doit pouvoir conduire à revoir l’estimation
des risques formalisée dans l’EDD, et/ou à améliorer les
moyens de la maîtrise des risques, et/ou, simplement, L’inspecteur doit vérifier que l’exploitant :
à enregistrer l’incident en attendant qu’il se reproduise
avant de prendre des mesures correctives, et/ou à
arrêter la production parce que l’incident/accident
indique un manque de maîtrise patent (cas où • réalise des audits sur les aspects suivants :
l’évènement révèle une séquence accidentelle non - g
 estion des fonctions opérationnelles (maîtrise des
analysée dans l’EDD, cas où plusieurs barrières procédés, maîtrise d'exploitation),
essentielles dans le calcul du risque acceptable ont - gestion de l’organisation, de la formation et de la
dysfonctionné en même temps, etc.). Le REX s’inscrit sous-traitance,
dans la démarche générale de surveillance du risque - surveillance des performances,
actualisé. - conception et gestion des modifications,
- identification et évaluation des risques ;
Le guide d’évaluation FOH des processus de
• p
 asse périodiquement en revue (deux fois par an)
REX, édité par l’Ineris le 10/09/2013, propose un
ses résultats d’audits, dans le cadre d’une revue de
ensemble de conseils permettant d’approfondir direction ;
cette partie de l’inspection (cf. http://www.Ineris.
• d
 éfinit et suit un plan d’actions pour analyser plus
fr/centredoc/guide-inspection-foh-processus-rex- en profondeur tels ou tels aspects, ou pour gérer
v4b-1432902170.pdf). d’éventuelles défaillances.

7-L
 a politique de prévention des accidents majeurs PPAM est un document d’une page, signé par le représentant de l’établissement où sont
affichés clairement les objectifs de sécurité fixés et les engagements concrets qu’il prend pour les atteindre.

18
 INSPECTION DU SGS DANS UNE INSTALLATION CLASSÉE SEVESO SEUIL HAUT

2.4.4 Inspecter l’identification et l’évaluation des l'administration contient les principaux éléments de
risques l'analyse de risques, sans la reproduire. L'étude de
dangers décrit les mesures de conception, les mesures
L’aspect 2 de l’annexe I de l’arrêté du 26 mai 2014
d'ordre technique et les mesures d'organisation et de
« Identification et évaluation des risques liés aux
gestion pertinentes propres à réduire la probabilité
accidents majeurs » contient l’exigence suivante :
et/ou les effets des phénomènes dangereux et à agir
« Des procédures sont mises en œuvre pour sur leur cinétique. Elle justifie (à partir d'éléments
permettre une identification systématique des risques techniques ou par démonstration d'un coût
d'accident majeur susceptibles de se produire en disproportionné par rapport aux bénéfices attendus)
toute configuration d'exploitation des installations. les éventuels écarts par rapport aux référentiels
Ces procédures doivent permettre d'apprécier les professionnels de bonnes pratiques reconnus, lorsque
possibilités d'occurrence et d'évaluer la gravité des ces derniers existent ou, à défaut, par rapport aux
accidents identifiés. » informations disponibles sur les meilleures pratiques.
Elle contient par ailleurs a minima les informations
L’article 7 de l'arrêté du 26 mai 2014 stipule : prévues à l'annexe III.
« 1. Généralités. 4. P
résentation des accidents dans l'étude de
L'étude de dangers justifie que l'exploitant met en dangers en termes de couple probabilité-gravité
œuvre les mesures de maîtrise du risque internes à des conséquences sur les personnes.
l'établissement, dont le coût n'est pas disproportionné L'étude de dangers contient, dans un paragraphe
par rapport aux bénéfices attendus, en application spécifique, le positionnement des accidents potentiels
des dispositions de l'article R, 515-9Q du Code de susceptibles d'affecter les personnes à l'extérieur
l'environnement. L'annexe II du présent arrêté précise de l'établissement selon la grille de l'annexe III du
les critères d'application de cette démarche. présent arrêté.
L'étude de dangers mentionne le nom des rédacteurs Dans l'étude de dangers, l'exploitant explicite, le
et/ou des organismes ayant participé à son élaboration.
cas échéant, la relation entre la grille figurant en
Elle démontre par ailleurs qu'une politique de prévention
annexe III du présent arrêté et celles, éventuellement
des accidents majeurs et, pour les établissements visés
différentes, utilisées dans son analyse de risques. »
à l'article L, 515-36 du Code de l'environnement, qu'un
Système de gestion de la sécurité sont mis en œuvre L’inspecteur doit vérifier que l’identification systématique
de façon appropriée. En outre, pour les établissements des risques d'accident majeur susceptibles de
visés aux articles L, 515-36 et R. 5I2-29 du Code de se produire se fait bien tout au long de la vie de
l'environnement, elle démontre qu'un plan d'opération l’exploitation, en fonction des résultats de surveillance
interne est mis en œuvre de façon appropriée. et des modifications apportées aux installations et
aux procédés.
2. Analyse de risques.
Le travail réalisé dans le cadre de l’EDD n’est qu'un
L'analyse de risques, au sens de l'article L, 512-1 du
Code de l'environnement, constitue une démarche point de départ. Il initie une démarche continue
d'identification, de maîtrise des risques réalisée dont l’efficacité doit être validée lors de la révision
sous la responsabilité de l'exploitant. Elle décrit les quinquennale de l’EDD.
scénarios qui conduisent aux phénomènes dangereux Notons que le SGS doit également être mis à jour au
et accidents potentiels. Aucun scénario ne doit être fur et à mesure de l’évolution de l’identification et de
ignoré ou exclu sans justification préalable explicite. l’évaluation des risques. Il s’agit de mettre à jour :
Cette démarche d'analyse de risques vise principalement • les tâches critiques ;
à qualifier ou à quantifier le niveau de maîtrise des
risques, en évaluant les mesures de sécurité mises • l’organisation ;
en place par l'exploitant, ainsi que les dispositifs et • la formation ;
dispositions d'exploitation, techniques, humains ou
organisationnels, qui concourent à cette maîtrise. • la surveillance ;

Elle porte sur l'ensemble des modes de fonctionnement • les audits et les revues de direction ;
envisageables pour les installations, y compris les • la gestion des modifications.
phases transitoires, les interventions, les marches
dégradées prévisibles, susceptibles d'affecter la Le document « Formalisation du savoir et des outils
sécurité, de manière proportionnée aux risques ou dans le domaine des risques majeurs - Étude de
lorsque les dangers sont importants. dangers d’une installation classée - OMEGA  9  »,
édité par l’Ineris le 01/07/2015, précise les bonnes
3. É
 laboration de l'étude de dangers en fonction des
pratiques d’identification et d’évaluation des risques
conclusions de l'analyse de risques.
(http://www.Ineris.fr/centredoc/dra-15-148940-
L'étude de dangers que l'exploitant remet à 03446a-omega-9-1449238891.pdf).

19
20
 INSPECTION DU SGS DANS UNE INSTALLATION CLASSÉE SEVESO SEUIL HAUT

3 POUR ALLER PLUS LOIN

3.1 Les activités critiques : la réalité du La gestion des activités critiques doit considérer les
terrain exigences suivantes (il s’agit d’un idéal, une référence
vers laquelle il faut tendre) :
Pour une inspection davantage tournée vers les
réalités du terrain nous proposons la notion d’activité 1. la conception des activités critiques prend en
critique. compte les contraintes de chacun (opérateurs,
manageurs, sous-traitants) pour être le résultat
 es tâches critiques correspondent à la définition
L
d’un compromis opérationnel partagé par tous.
du travail à faire (le prescrit). Nous avons vu que
les taches critiques sont au cœur de la démarche, 
C’est le résultat d’un travail collectif dont
dans la mesure où elles permettent l’articulation l’inspecteur peut parfois trouver des traces dans
entre les exigences issues de l’EDD et les comptes-rendus de visites de sécurité, ou
l’organisation du travail chez l’exploitant. autres causeries, ou dans le mode d’élaboration
 es activités critiques correspondent au travail
L des procédures ;
réel, c’est-à-dire aux situations de travail et aux
2. l’ensemble des exigences (enjeux QHSE) sont
contraintes rencontrées au quotidien par les
pris en compte. Il ne s’agit pas de « faire de la
opérateurs, et à la manière dont les opérateurs
sécurité » d’un côté, de la « production » d’un autre
s’en saisissent pour réaliser plus ou moins bien
côté, puis encore de la « qualité », mais d'atteindre
ces tâches critiques (et les autres tâches dont ils
ont la charge). les objectifs de production avec la qualité
requise, tout en assurant la sécurité. La force des
Les activités critiques représentent la variabilité compromis qui seront trouvés pour répondre
quotidienne que les SGS doivent maîtriser. C’est au mieux à tous les objectifs, réside dans le fait
le concept clef d’une inspection tournée vers les que l’exécutant n’a pas à faire intervenir plusieurs
réalités du terrain.
règles (correspondant à des exigences empilées,
Exemple : au cours du temps, par le management) pour
réaliser correctement son travail. Ce n’est pas à lui
Lors du chargement par camion d’une cuve de gaz
liquéfié d’un site industriel, il y a un risque de sur- de faire la synthèse des exigences. Cette synthèse
remplissage pouvant conduire à une surpression doit avoir été définie, collectivement, et transmise
de la cuve. Une des MMR est une barrière humaine par voie managériale ou lors de formations ;
constituée de quatre tâches critiques : 3. les compromis fournissent des stratégies
1. 
ouvrir la vanne de sur-remplissage lorsque le (scénarios d’actions ou règles) permettant à
réservoir est rempli aux trois quarts ; chaque équipe de se construire par avance une
représentation minimale de l’activité critique
2. vérifier l’absence d’obstruction de la tuyauterie de
à maîtriser ainsi qu’un maximum de capacités
sur-remplissage ;
d’anticipation et de guidage, une représentation
3. surveiller le remplissage ; des solutions possibles, efficaces et sûres. Ces
4. arrêter la pompe de chargement lorsque du liquide compromis permettent aux équipes de réaliser
sort par la tuyauterie de sur-remplissage. leurs actions de manière flexible, tout en cherchant
à rester dans les scénarios prévus (de manière
Ces tâches critiques traduisent ce que l’opérateur de à ne pas se retrouver dans des situations non
chargement doit faire pour participer à la maîtrise
envisagées) ;
du niveau de risque formalisé dans l’EDD. Mais il
est évident que l’opérateur n’a pas que cela à faire ! 4. les conditions d’acceptation d’un fonctionnement
L’activité réelle englobe la totalité de son travail réel dégradé sont précisées : sa durée acceptable,
(ses contraintes, ses problèmes, ses moyens, ses les conduites à tenir en cas de dépassement de
solutions). cette durée acceptable (mise à l’arrêt, remise en
L’activité critique de chargement correspond à la service, information du management, analyses
réalité du travail de chargement et à la manière dont spécifiques des risques particuliers…), les sécurités
les opérateurs s’en saisissent pour réaliser plus ou compensatoires à mettre en œuvre, la nature des
moins bien ces quatre tâches critiques (et toutes les informations à traiter et à transmettre (avec un
autres tâches liées au travail de chargement de la circuit de transmission des informations définies),
cuve de gaz liquéfié). etc. ;

21
 5. 
les opérateurs sont capables de réaliser un
diagnostic de la faisabilité des actions prévues : L’inspecteur doit pouvoir reconstituer
vérification de la compatibilité des opérations les éléments de preuves du management
avec les conditions concrètes de leur exécution de chaque activité critique. Il doit être
(disponibilité des ressources humaines et en mesure de vérifier la cohérence des
matérielles, synchronisation des tâches souvent informations suivantes du point de vue
définies séparément les unes des autres et de l’activité :
affectées à des individus « isolés » les uns des
autres) ;
6. Le niveau de description de l’activité critique est • liste des tâches critiques ;
celui des interfaces - ce qui doit être vu, touché, • liste des acteurs (rôles, opérateurs) ;
entendu, senti, dit, manipulé – et les conditions • liste des enregistrements liés aux activités ;
précises des actions dans le temps et l’espace. • liste des outils / équipements / interfaces / poste(s)
Cela doit permettre d’établir un pont entre la de travail ;
manière dont les opérateurs pensent et vivent leur
• liste des affichages, restrictions / obligations
activité, et les analyses des ingénieurs (analyses de associées au(x) poste(s) de travail ;
risques, analyses de tâches, analyses des facteurs
• liste des procédures, instructions, modes opératoires,
de la performance, retours d’expérience…). check-lists.
La difficulté est d’intégrer les analyses entre
elles (risques, tâches, etc.) au bon niveau de
détail, ainsi que les préoccupations et capacités
contingentes des acteurs : capacités d’abstraction
et de représentation, confiance en soi, fatigue, Enfin, l’inspecteur est invité à analyser,
sur le terrain, à travers des observations
stress, etc., tout ce qui est utile à l’élaboration des
et des entretiens, le niveau de maîtrise des
compromis cognitifs de chacun ; activités critiques. Il est particulièrement
La gestion des activité critiques s’inscrit dans une
7.  intéressant de pouvoir conduire ces analyses
en suivant la réalisation d’exercices / tests
dynamique d’amélioration continue à la main (ou
de ces activités. L’inspecteur est invité à
avec la participation) des acteurs qui la mettent
évaluer les analyses d’activités réalisées
en œuvre. Les justifications des compromis (tout par l’exploitant.
particulièrement celles issues des étapes de la
modélisation des risques–analyse fonctionnelle,
identification des scénarios d’accident, traitement
des risques…) doivent être connues, vérifiables,
critiquables par les acteurs de terrain. Les moyens Ce questionnement de l’inspecteur peut aider à
de surveillance de l’activité sont intégrés dans le identifier les problèmes typiques suivants :
compromis.
• les rôles irréalistes. Certains acteurs sont censés
Soulignons que :
tout faire : concevoir, organiser, planifier, anticiper
• un opérateur n’a pas à réaliser plusieurs activités les risques, animer, coordonner, communiquer,
critiques à la fois (il ne doit y avoir aucun négocier, arbitrer, etc. ;
chevauchement) ;
• l’absence de prise en compte de certaines actions
• 
la confrontation entre le prescrit (description dans la description des rôles et responsabilités ;
des tâches, procédures, modes opératoires) à la
• l’ambiguïté dans la répartition des responsabilités ;
« réalité des pratiques » doit être possible.
• l’absence de structuration des responsabilités ;
• le manque de maîtrise des délégations successives ;
Les questions clefs pour construire le • Le manque de réactivité ;
canevas d’inspection peuvent se formuler
comme suit : • 
les blocages dus au fait que des actions sont
conditionnées par le résultat d’actions plus
anciennes non exécutées ;
• le chevauchement de plusieurs actions incompatibles  ;
• les activités réelles critiques sont-elles identifiées ?
Ont-elles fait l’objet d’analyses spécifiques pour en • la mauvaise définition de ressources à affecter ;
assurer la performance ?
• e
 xiste-t-il des preuves du management de ces
• les problèmes de prises de décision :
activités (analyse de poste, études ergonomiques, - la multitude d’intervenants dans le processus de
présentation dans les formations, retour
prise de décision,
d’expérience…) ?
- l
e trop grand séquencement du processus
décisionnel,

22
 INSPECTION DU SGS DANS UNE INSTALLATION CLASSÉE SEVESO SEUIL HAUT

- l’inexistence de processus de prise de décision, l’identification

•  de modes communs de
défaillances organisationnels. Par exemple :
- le manque de coordination entre les centres de
décision, - les contrôles de tous les détecteurs sont réalisés
par une seule personne,
- le manque de concertation et de recherche de
consensus, cette personne n’est pas compétente ;
- l’inadéquation de la communication pour les  t/ou elle n’est pas en mesure de présenter
e
prises de décision (insuffisance ou profusion des un diagnostic en défaveur de l’entreprise (cela
informations, etc.) : peut être le cas d’une société de sous-traitance
dans une forte dépendance économique),
l’inaccessibilité ou le manque de mémorisation
des informations ; - les outils utilisés sont mal étalonnés ;
l ’incapacité à gérer des volumes d’informations - etc.
plus importants ;
l’inexistence de dispositifs de communication ;
3.2 La gestion des situations d’urgence
le cloisonnement des directions et des services ;
Cette thématique n’est pas traitée dans ce document.
le nombre trop élevé d’intermédiaires ; Elle devrait faire l’objet de travaux spécifiques et d’un
- l
’inexistence de structure ou de procédure guide dans les années à venir.
d’arbitrage ;
- l’ambiguïté sur les centres de décision.
Il faut aller encore plus loin, en vérifiant :
la cohérence globale de l’organisation. Prises
• 
dans leur ensemble, les activités critiques
pourraient ne pas être cohérentes, se perturber
mutuellement, être en concurrence avec d’autres
activités importantes pour l’organisation (bien que
non critiques du point de vue de la maîtrise des
risques majeurs) ;

Crédits photos : Adobe Stock / Kalyakan (couverture) • Conception-réalisation : agence Bingo, Caen (08/2019)
 L
e Système de gestion de la sécurité (SGS) constitue la démonstration de la maîtrise effective de
la sécurité par l’exploitant, pour l’installation concernée et dans les limites définies par l’EDD, et
acceptées dans l'autorisation d'exploiter. Il spécifie les moyens et leur articulation, pour assurer,
dans le temps, la gestion de la sécurité, au quotidien et de façon opérationnelle.
Depuis l’instauration de la réglementation sur le SGS, l’Ineris a été amené à constater que les inspecteurs
et les exploitants pouvaient avoir des difficultés à appréhender ce que doit être un SGS, cette pièce
essentielle de la maîtrise des risques.
Ce guide propose une nouvelle approche très pragmatique où le SGS s'évalue en référence à l'analyse
des risques (l'EDD).
Avec cette démarche, l’inspection du SGS nécessite peu de préparation. C’est une démarche vertueuse
où l’inspecteur joue un rôle décisif dans la maîtrise des risques :
• d’inspection en inspection, les exploitants appréhendent de mieux en mieux leur EDD, en particulier
les exigences dont ils doivent assurer la maîtrise au quotidien. Ils intègrent ces éléments dans leur
modèle de management ;
• le SGS aide les exploitants à questionner leur EDD sur la base de leurs contraintes opérationnelles,
à la mettre à jour, à l’améliorer ;
• les inspecteurs se consacrent de plus en plus aux problèmes rencontrés sur le terrain, en exploitation.

Institut national de l’environnement industriel et des risques

Parc technologique Alata - BP 2 - F-60550 Verneuil-en-Halatte
03 44 55 66 77 - ineris@ineris.fr - www.ineris.fr