Encadré 1 – Éléments biographiques de René Amalberti en lien avec la maturation des idées sur compromis, benchmark et approche systémique
1969-1980 : Formation initiale en médecine et psychiatrie.
1982 : Engagement et poste de recherche dans le service de santé des Armées.
Formations complémentaires aux côtés de plusieurs mentors :
- statistiques avec Jean-Paul Benzécri, mathématicien de l’analyse des correspondances multiples, fondateur de l’analyse des données qui démontre la relativité de ce qui est alors considéré comme dogme, particulièrement le regard sur la causalité ;
- psychologie cognitive aux côtés de Jens Rasmussen et James Reason, tous les deux devenus proches amis, avec l’immense chance d’apprendre à leur côté les nouvelles visions sur l’erreur humaine et la systémique qui émergent à cette époque.
1982-1986 : Premier grand projet de recherche sur l’aide au pilote de combat : l’idée du compromis cognitif s’impose dans un premier livre, La conduite des systèmes à risques, PUF, traduit en anglais, espagnol, italien, portugais.
1986-1990 : Développement pour Airbus d’une aide à la reconversion des pilotes sur les Airbus A320 automatisés, qui illustre la variété des expertises sur la sécurité et la nécessité de la particularisation de ces aides.
1992-1999 : Détaché des Armées auprès des autorités européennes de l’Aviation civile pour diriger le domaine facteurs humains. Découverte de la réalité de la réglementation et de l’importance du compromis politique dans la conduite de la sécurité à l’échelle d’une industrie.
1995 : Professeur à l’hôpital d'instruction des Armées du Val-de-Grâce puis directeur de la chaire recherche du service de santé (2001).
1998-2006 : Président de la partie qualité et sécurité du Programme de recherche et d'innovation dans les transports terrestres (Predit), route et rail, grande cause nationale du président Chirac.
2000-2006 : Président ou membre des comités scientifiques de plusieurs agences nationales de gestion des risques : Institut national de l'environnement industriel et des risques (Ineris), Institut de radioprotection et de sûreté nucléaire (IRSN), Agence française de sécurité sanitaire environnementale (Afsse), Institut national de recherche sur les transports et leur sécurité (Inrets).
2001 : Retour actif dans le domaine médical quand la question de la sécurité du patient émerge comme cause mondiale
Mai 2001 : Lucian Leape et Donald Berwick, de l’Académie de médecine américaine, co-auteurs du célèbre rapport To Err Is Human, organisent un séminaire d’une semaine sur les suites du rapport avec tous les directeurs de santé des pays occidentaux. Invité par James Reason comme membre de l’équipe pédagogique du séminaire aux côtés de Berwick, Leape, Reason, sans oublier Charles Vincent qui vient juste de publier la méthode Alarm*. Tous sont devenus des amis.
En 2005, co-publication avec Berwick d’un article dans les Annals of internal medecine sur le benchmark et l’approche systémique. Laurent Degos, premier président de la Haute Autorité de santé (HAS), lit l’article et me propose un poste de conseiller à la HAS qui dure 12 ans. Fin à cette occasion de la première carrière de chercheur pour le service de santé des Armées.
2007-2017 : Directeur scientifique à temps partiel d’une assurance médicale (MACSF**) pour mettre en place un système de suivi préventif original de gestion des risques des collègues médecins et des cliniques assurées. Ce travail permet de visiter près de 150 cliniques en France en quatre ans.
Depuis 2008 : Travail de fond sur la sécurité médicale avec Charles Vincent, publication de nombreux articles et d’un livre, Safer Healthcare, 2016, publié en open access chez Springer, téléchargé plus de 700 000 fois, et traduit en 7 langues (chinois, japonais, farsi, anglais, espagnol, italien, portugais).
Depuis 2012 (continue) : directeur bénévole de la Fondation pour une culture de sécurité industrielle (Foncsi).
2013 : Publication d’un nouveau livre, Piloter la sécurité, Springer, traduit en anglais, espagnol, italien, portugais.
2015 : Élu membre de l’Académie nationale des technologies.
2018 : Membre correspondant de l’Académie nationale de chirurgie.
* Association of litigation and risk management, Association de gestion des risques et des litiges, Royaume-Uni.
** Mutuelle d'assurance du corps de santé français.
Trois mots-clés
Compromis
D’où est née l’idée de compromis ? Du fait que la sécurité est toujours en compétition avec d’autres objectifs. Mon premier travail historique sur le compromis date du début des années 1980 et concerne l’approche individuelle de la gestion des risques. Il s’inscrit dans un projet interindustriel ambitieux visant à utiliser l’intelligence artificielle afin de développer un « filet de sauvegarde » d’aide psycho-
physiologique en temps réel pour les pilotes de chasse, qui a impliqué d’extraire l’expertise de ces pilotes pour nourrir le système et d’étudier la compréhension des arbitrages sur le terrain. Le système d’aide n’est jamais arrivé à maturité, mais ce fut un champ d’étude conceptuel sans équivalent. Les résultats montrent en effet que la cognition du pilote – comme celle de tout humain – est limitée en puissance, et que la conduite de l’avion de combat va bien trop vite pour tout analyser, tout comprendre, tout faire sans erreur. L’analyse montre même que, paradoxalement, les pilotes les plus aguerris (les plus performants et les plus sûrs) font plus d’erreurs que les jeunes pilotes, mais pas les mêmes, et surtout les utilisent mieux à leur profit. Ils font des « compromis » quant à ce qui est le plus important à considérer à chaque instant, utilisent massivement le savoir acquis pour concentrer leur attention sur quelques points essentiels, et consacrent une partie importante de leur temps à s’auto-
surveiller, détecter leurs erreurs, les corriger, et en tirer aussi un retour instantané sur leur état de fatigue ; bref cette prise de conscience des erreurs sert continuellement de feedback positif sur le réglage de leurs priorités d’attention. Inversement, toute tentative de faire travailler la cognition en puissance maximale absolue se solde par des erreurs infiniment plus graves. Ainsi apparaît la valeur essentielle du compromis (cognitif) pour la sécurité, qui constitue le cœur d’un premier livre, La conduite des systèmes à risques1.
De 1986 à 1990, les deux autres mots-clés de la nouvelle vision sur la sécurité, « benchmark », et « systémique », complètent cette idée de « compromis » à travers plusieurs travaux que je conduis dans l’aéronautique civile.
Systémique
L’arrivée des nouveaux avions à Airbus training center (A320), très automatisés, perturbants pour les pilotes confrontés à la nouveauté, me donne l’opportunité de développer un système d’aide personnalisé reprenant les codes de l’analyse des correspondances multiples pour aider, en temps réel, ces pilotes à se convertir au nouveau système en se basant sur leurs premières interactions avec lui et sur leurs premières erreurs. L’analyse est surtout un révélateur de la variété considérable des profils d’erreurs des professionnels dans leur rapport à la nouvelle machine. Leur histoire professionnelle personnelle marque profondément le type d’erreurs qu’ils sont amenés à commettre. La variété des réglages des compromis individuels apparaît en pleine démonstration dans cette étude.
Parallèlement, un second travail m’ouvre à l’approche systémique à partir de 1992, à l’occasion de ma participation à l’enquête officielle sur l’accident de l’A320 du mont Sainte-Odile. Dans les suites immédiates, mon détachement auprès des autorités européennes de l’Aviation civile (à Amsterdam à cette époque) pour diriger le domaine consacré aux facteurs humains, poste que j’ai occupé pendant neuf ans, me fait découvrir les implications de la réglementation et l’importance du compromis, cette fois macro-systémique, au niveau politique, dans la conduite de la sécurité à l’échelle d’une industrie. Mon éducation en systémique s’accélère en 1998, quand Jacques Chirac propose la sécurité routière comme priorité nationale. Je suis chargé de ce dossier et, plus largement, de la qualité et sécurité des transports terrestres (route et rail) dans le cadre du Programme de recherche et d'innovation dans les transports terrestres (Predit). Cet engagement dure huit ans.
Benchmark
La boucle systémique se termine par l’expérience acquise dans différentes industries (le benchmark) dans les années 2000, avec l’implication comme président ou membre des comités scientifiques de plusieurs agences nationales de gestion des risques industriels, et l’encadrement d’une thèse exceptionnelle en qualité sur la pêche artisanale (thèse de Gaël Morel2), un des modèles industriels les plus proches de beaucoup de pratiques en médecine, encore largement adaptatives, autonomes, et fondées sur l’expertise individuelle.
Une théorie générale de la sécurité
Ce matériel est intégré dans une théorie générale de la sécurité développée dans un nouveau livre, Piloter la sécurité3. La nouvelle théorie développe les trois mots-clés dans leur complémentarité.
Le compromis en sécurité n’est pas un choix. Il est consubstantiel de la nécessité individuelle et systémique de gérer en temps réel tous les risques et objectifs en compétition. La médecine en fournit une belle illustration quand la priorité à délivrer des soins prend le pas, en situation d’urgence ou de manque de ressources, sur le strict respect de toutes les normes de qualité et de sécurité. L’analyse révèle que ces compromis sont spontanés dans nos pratiques, mais avec une considérable variation d’efficacité de l’un à l’autre (tant individuellement qu’à l’échelle des systèmes) ; la formation, notamment la simulation, est la principale voie d’amélioration.
Le benchmark est le second outil fondamental pour comprendre les différents réglages de la sécurité dans l’industrie et les services, les raisons de ces différences, et comment on peut ou pas en changer la nature. Les données du benchmark identifient trois grands modèles de gestion des risques dans l’industrie, avec des performances de sécurité croissantes mais dont le choix dépend d’abord du terrain, notamment de la stabilité des conditions de travail et des ressources disponibles. Pour le dire autrement, l’analyse montre qu’il ne suffit pas de vouloir changer ou imposer un modèle de sécurité donné pour y arriver ; il faut adapter le modèle au niveau de sécurité et aux conditions et organisations de travail existantes. La théorie décrit trois choix possibles : le premier modèle concerne les industries basant leur sécurité sur l’autonomie individuelle laissée à leurs experts ; ces industries ne sont pas très sûres mais sont en revanche très adaptatives (résilientes) à des conditions instables et perturbées de l’activité ; une grande partie de la médecine est encore dans cette catégorie (toutes les urgences et les programmes non réglés) ; un second type est nettement plus sûr avec des industries appuyant leur sécurité sur l’organisation, et faisant une distinction fondamentale entre conditions normales où le système doit être totalement réglé, et conditions anormales et de surprise où une autonomie croissante peut être déléguée aux groupes et équipes sur le terrain, pourvu qu’ils partagent des valeurs communes de culture de sécurité (c’est la perspective des High Reliability Organizations4 [HRO]) ; les blocs opératoires – au moins pour la partie réglée des programmes – relèvent de ce type quand ils sont performants ; enfin, un troisième groupe concerne les quelques industries ultra-sûres où l’autonomie des acteurs de terrain est réduite au profit d’une organisation plus rigide soumise à une supervision continue ; l’aviation ou le nucléaire en sont des exemples, tout comme la stérilisation, la radiothérapie ou la majorité des activités de laboratoire et de pharmacie en médecine ; ce sont les industries les plus sûres mais en même temps celles qui sont les plus fragiles face aux surprises ou à des conditions dégradées.
La systémique, en se donnant la possibilité de regarder le même objet de sécurité, les mêmes résultats, à différents niveaux micro, méso et macro (par exemple niveau de l’activité de soins, de l’établissement de santé, du territoire géographique ou de la nation), permet souvent de relire de façon totalement différente ce qui est observé sur le terrain.
Sécurité médicale
Et la sécurité médicale dans tout cela ? Ce fut une longue parenthèse forcée par l’absence d’intérêt du milieu médical jusqu’à l’émergence du concept à la fin des années 1990 aux USA. Dans les faits, les trois concepts, développés hors médecine, se sont appliqués au secteur médical d’abord en 2001 à travers une coopération internationale directe avec l’Institute for Healhcare Improvement5 et Donald Berwick dans les suites immédiates du rapport de l’académie américaine de médecine To Err Is Human6, puis par un attachement comme conseiller à temps partiel du président de la Haute Autorité de santé (2006-2016), enfin par un travail de fond sur la sécurité médicale avec Charles Vincent (2008-2020) qui aboutit notamment à la publication en 2016 d’un livre co-écrit qui pose les contours d’une révision assez profonde de la sécurité du patient (Safer Healthcare7).
À titre d’exemple final, ces trois concepts de compromis, benchmark et systémique se retrouvent parfaitement illustrés dans une tribune qui porte sur la situation très étrange dans laquelle est entrée la sécurité des soins depuis quelques années au sujet de laquelle nous devons nous interroger8. En voici un résumé. Le constat part d’une série d’articles publiés depuis 2020 dans les meilleurs journaux qui montre que la sécurité du patient (erreurs, complications de tous ordres) en termes de conséquences graves pour le patient ne cesse de s’améliorer, de même que globalement la survie en bonne santé dans pratiquement toutes les pathologies, avec pour conséquence un vieillissement rapide de la population (même si on observe un léger décrochage dans les deux dernières années de Covid-199) ; la dernière enquête sur les événements indésirables graves en France (Eneis 310), publiée en 2022, confirme cette tendance. Mais attention, ces constats peuvent contraster avec les mêmes articles disant que le nombre d’événements mineurs ne cesse de croître. On a donc un premier découplage entre événements mineurs et événements majeurs, les premiers ne prédisant plus vraiment les seconds. Le paysage est encore plus contrasté si l’on considère le nombre encore plus important d’articles majeurs qui pointent le malaise des professions médicales, démotivation, burnout, manque chronique et massif de personnel, avec des conséquences croissantes sur la qualité des soins, et même un nouvel indicateur : celui des « soins oubliés » (missed care), qui provoque un véritable renouveau de la recherche en Europe sur la sécurité médicale en lien avec le manque de ressources, particulièrement pour les soins infirmiers. La tribune propose trois visions explicatives à ces résultats contradictoires en utilisant toujours mes mêmes concepts de compromis, benchmark et systémique.
La première lecture est technologique. L’impact des innovations technologiques dans la plupart des soins de pathologies sévères (biomarqueurs, imagerie radiologique, médications cancérologiques et cardiologiques, télésurveillance, etc.) effacerait à l’échelle de la population et de la trajectoire de vie des patients la plupart des inconvénients – pourtant bien réels – observés avec des soins qualitativement moins bien faits au quotidien. Ce qui compte en premier pour le pronostic serait d’accéder au soin technique, plus que les défauts et avatars subis pour accéder à ce soin.
La seconde lecture est méthodologique. Les protocoles de qualité ont explosé en nombre depuis la décennie 1990-2000. On était sans doute plus riche, on croyait à une exigence renforcée et réglementaire sur la démarche de qualité continue, et surtout on avait moins de patients. Depuis, le nombre de patients (âgés et fragiles en particulier) inclus dans des soins complexes a augmenté. Il n’est pas surprenant que face à cette augmentation, le raffinement des procédures qualité, créées dans des années abondantes en ressources humaines et faibles en demande, sature aujourd’hui un système moins riche en ressources en participant à l’intensification de leur travail. Cette inflation des nouvelles procédures sur la qualité des soins voulue dans les années 1990 cristallise la mesure de la non-
qualité sur des procédures non respectées. Reste à savoir si cette non-conformité est dangereuse pour le patient, ce qui n’est pas acquis.
La troisième lecture est sociale avec une utilisation d’opportunité des indicateurs de processus (soins non réalisés, absentéisme, taux de postes vacants, fermetures totales et partielles de lits ou de secteurs d’activité, taux de report de prise en charge, etc.) pour soutenir l’engagement de la lutte sociale croissante des soignants pour une réforme profonde de leurs conditions de travail. Les effectifs en santé n’ont cessé de croître et de se spécialiser en vingt ans, particulièrement dans les années 2000-2005. Dans les années 1990-2005, les financements de santé et les tableaux d’effectif officiels ont ainsi été gonflés, avec bien sûr pour credo principal la recherche d’une amélioration de la qualité et de la sécurité, mais avec aussi pour conséquence mécanique une amélioration très significative de la qualité au travail et de la prise en compte de la pénibilité par l’augmentation des effectifs et la meilleure répartition du travail. Dès la fin des années 2010, la demande a augmenté, tandis que régressait l’attirance pour ces métiers de la santé exigeants, avec pour conséquence de mettre le système social à mal, incapable de suivre ce qu’il avait préconisé comme normes sociales et de qualité de vie au travail à peine dix ans auparavant. Les indicateurs de processus en sécurité deviennent alors un otage de la négociation sociale, tout en étant de plus en plus décorrélés des indicateurs de résultats.
La réalité est sans doute un mélange de ces trois raisons, mais il reste important de tout faire pour ne pas enfermer la sécurité dans une de ces trois explications. La sécurité est un objet fondamentalement vivant, en interaction avec la condition générale de la société, qui doit en permanence se méfier de la sur-qualité créée en période riche quand une période moins prospère s’annonce. Il faut aussi résister à l’utiliser pour d’autres raisons d’opportunité en profitant de sa dimension émotionnelle et compassionnelle et, pour finir, il ne faut pas non plus croire qu’un système objectivement plus sûr (par exemple de son fait technologique) n’aurait plus de problèmes ; il aura juste d’autres problèmes, comme celui qui, dans un jeu vidéo, passe au niveau suivant et découvre ce qui va peut-être lui faire perdre la partie.
Notes :
1- Presses universitaires de France, Paris, 2001, 242 p.
2- Sécurité et résilience dans les activités peu sûres : exemple de la pêche maritime. Thèse de doctorat. Université Bretagne Sud, Lorient, 2007.
3- Springer-Verlag France, Paris, 2013, VIII, 144 p.
4- Organisations de haute fiabilité.
5- Institut pour l'amélioration des soins de santé, Boston (MA), États-Unis.
6- Institute of Medicine. To err is human: building a safer health system. Washington DC: The National Academies Press, 2000. 312 p.
7- Springer, Cham (Suisse), 2016, XVII + 157 p.
8- Dissonance croissante – voire découplage – entre malaise social, indicateurs de qualité en berne et bons résultats de sécurité, l’exemple de la médecine. Tribunes de la sécurité industrielle 2022;(2):1-8. Version complète sur https://www.foncsi.org/fr (Consulté le 18-11-2022).
9- Coronavirus disease 2019, maladie à coronavirus 2019.
10- Étude nationale sur les événements indésirables liés aux soins.