Faire de la sécurité une routine

La sécurité ne se joue pas le jour de l’incident, mais dans les semaines qui le précèdent. Les organisations qui la tiennent bien n’ont pas plus de règles que les autres. Elles ont des routines courtes, des équipes qui comprennent pourquoi les règles existent, et un climat où l’on signale une erreur au lieu de la cacher.

• Chaque mois : revue du journal d’audit, quinze minutes, avec un relevé conservé.
• Chaque trimestre : revue des outils et des restrictions des assistants, et des membres de chaque projet confidentiel.
• Chaque année : relecture de la classification, de la charte et des analyses d’impact.
• À chaque arrivée : le parcours de démarrage de l’Académie et la charte d’usage.

Programmez ces revues dans « Automatisations », pour qu’un rappel arrive au bon moment avec la liste des points à vérifier. Une routine qui dépend de la mémoire de quelqu’un finit toujours par sauter.

Une erreur signalée dans l’heure se corrige en quelques minutes. La même erreur découverte un mois plus tard peut demander une annonce à l’autorité. Le facteur décisif est la sécurité psychologique décrite par Amy Edmondson : les personnes signalent leurs erreurs quand elles savent qu’elles ne seront pas blâmées pour l’avoir fait.

1. Remerciez chaque signalement, même d’une fausse alerte.
2. Racontez les incidents et ce qu’ils ont appris, sans nommer de coupable.
3. Corrigez le réglage ou la règle qui a permis l’erreur, plutôt que la personne.