Évaluer les catégories selon le risque et la disponibilité : une grille de critères

Saisir séparément le risque et la disponibilité, les évaluer conjointement

Une grille de critères pour les catégories nécessite deux axes, car les deux questions appellent des réponses différentes. L’axe du risque relie la probabilité d’un danger à l’ampleur du dommage potentiel. L’axe de la disponibilité ne s’interroge pas sur les probabilités d’occurrence, mais sur les erreurs tolérées dans le processus et les dépendances communes existantes.

Celui qui mélange les deux aspects sur une seule échelle perd la justification de son évaluation. Un événement ayant la même probabilité d’occurrence peut conduire à des conclusions différentes selon le processus. Un processus aux conséquences dommageables élevées peut tolérer des erreurs si la redondance et le redémarrage sont clairement définis.

Le point de référence de l’évaluation est la fonction individuelle ou le processus individuel, et non la catégorie de produit ou de système. Dans l’automatisation, les solutions modernes se chevauchent largement ; la configuration proposée est plus importante que la catégorie de produit. Ni un automate programmable (SPS/PLC) ni un système de contrôle-commande distribué (DCS) n’est fondamentalement supérieur pour un processus de fabrication pharmaceutique.

Une machine d’emballage, une installation de traitement d’eau et un réacteur multiproduits ne reçoivent pas les mêmes exigences techniques simplement parce qu’ils fonctionnent sous BPF (Bonnes Pratiques de Fabrication). Des catégories telles que « SPS », « DCS » ou « produit standard » ne conviennent donc pas comme unités d’évaluation.

La synthèse n’intervient qu’à la fin. On établit d’abord, pour chaque fonction et chaque processus, la classification des risques basée sur la probabilité et le dommage ; parallèlement, on décrit les exigences de disponibilité issues du comportement du processus, des erreurs tolérées et des dépendances communes. Ce n’est que lorsque ces deux descriptions sont disponibles qu’il est possible d’évaluer quelle architecture exécute le processus prévu, obtient les preuves requises et peut être soutenue durablement.

Évaluation des risques et de la disponibilité : comparaison des exigences des processus

Classer les probabilités et les dommages en catégories

Les chiffres exacts font souvent défaut. Parfois, les statistiques aident : les statistiques sur l’absentéisme peuvent spécifier le risque de défaillance du personnel, tandis que les statistiques d’incidents des fabricants d’installations permettent d’estimer la probabilité d’un arrêt de production. Pour de nombreux événements dommageables, toutefois, les données chiffrées manquent ; des indications quantitatives exactes sur les probabilités d’occurrence sont généralement impossibles à fournir.

Les statistiques ne fournissent donc une base que pour une partie des événements examinés. En l’absence de chiffres, la probabilité d’occurrence est décrite par classes : « très probable » pour une fois par semaine ou plus, « probable » pour une fois par mois, « possible » pour une fois par an et « improbable » pour tous les dix ans ou moins fréquemment.

Les classes sont délibérément définies avec une référence temporelle afin que deux évaluateurs ne classent pas le même événement dans des catégories différentes. Du côté des dommages, les catégories de dommages définies précédemment lors de l’analyse des dommages servent de référence.

Dans l’entreprise exemple RECPLAST GmbH, il s’agissait des catégories « faible », « moyen », « élevé » et « très élevé ». L’ordre est important : les catégories de dommages ne sont pas réinventées, mais reprises de l’analyse des dommages précédente. Les classes de probabilité sont fixées avant la classification, et non pendant la discussion sur un événement individuel.

Probabilités d’occurrence classées par catégories

Catégories de dommages dans l’entreprise exemple RECPLAST GmbH

Lire la matrice de risques comme une condensation

Une condensation couramment utilisée est la matrice de risques, qui oppose la probabilité à l’impact. Dans l’exemple du BSI, la probabilité « très probable » donne, à travers les niveaux de dommages faible, moyen, élevé et très élevé, la séquence d’évaluation suivante : faible, moyen, élevé, très élevé. Pour « probable », elle est : faible, moyen, élevé, élevé ; pour « possible » : faible, faible, moyen, moyen ; pour « improbable » : faible dans les quatre niveaux de dommages.

Ainsi, la matrice montre deux choses : seule la probabilité « très probable » conduit, à travers les quatre niveaux de dommages, à quatre évaluations globales différentes ; pour « improbable », l’évaluation globale est « faible » dans les quatre niveaux. Inversement, un dommage très élevé n’atteint le niveau le plus haut que si l’événement est également très probable.

À quel point l’évaluation dépend du processus se montre par le cas d’une absence de personnel. Dans le processus « maintenance IT », l’entreprise exemple ne disposait que de quelques détenteurs de savoir-faire ; la probabilité qu’une absence de personnel perturbe ce processus était très élevée. Selon le moment, cela pouvait signifier un dommage très élevé. Le risque d’absence de personnel était très élevé pour ce processus selon la matrice.

Dans le processus de production, les connaissances et compétences nécessaires sont réparties entre tant de personnes qu’un nombre plus important de collaborateurs absents peut être compensé. Le même événement – absence de personnel – reçoit ainsi, uniquement en raison de la répartition du savoir-faire, deux classifications différentes.

C’est pourquoi la matrice est remplie par processus, et non par événement ou catégorie. Elle ne remplace pas la discussion sur l’ampleur du dommage, mais rend visibles les hypothèses concernant la probabilité et le dommage qui ont influencé l’évaluation globale.

Avantages et risques liés à l’utilisation d’une matrice de risques

Décrire la disponibilité via les erreurs tolérées et les dépendances communes

Le second axe commence par le comportement nécessaire du processus et les limites des équipements. Les processus discrets mettent souvent l’accent sur les états des machines, les verrouillages, les mouvements et les séquences répétables. Les processus continus exigent une régulation coordonnée et un fonctionnement permanent. Les processus par lots combinent équipement, étapes procédurales, recettes, états de maintien et transitions.

Un site peut contenir les trois formes et même des skids fournisseurs contrôlés indépendamment. Il faut donc identifier les décisions locales et la coordination requise entre les unités.

Il en découle la question des erreurs tolérées. Une interruption du contrôle, une défaillance de la surveillance et l’absence d’enregistrements doivent être évalués séparément : une panne courte de la surveillance peut être tolérable, tandis qu’une lacune dans les enregistrements rend la même installation inutilisable. De même, la qualité, la sécurité des patients, l’intégrité des données et les conséquences opérationnelles doivent être examinées au niveau de la fonction, et non globalement au niveau de l’installation.

Le seul nombre de points de mesure critiques ne justifie pas une décision architecturale. Les relations entre les fonctions, les dépendances communes et le redémarrage peuvent influencer la décision plus fortement que le nombre de signaux individuels. Si une installation de traitement d’eau et un réacteur multiproduits utilisent le même système de contrôle, ce n’est pas le comptage des instruments qui est décisif, mais savoir si une erreur dans l’une des fonctions entraîne l’autre.

Les offres ne deviennent comparables que lorsqu’elles sont ramenées au même périmètre. Cela inclut les contrôleurs, les entrées et sorties, les outils, l’opération, l’exécution des lots, l’historian, l’identité, l’audit, l’infrastructure, les interfaces, les licences, les tests, la documentation, la formation et le support.

Sinon, la comparaison oppose deux projets différents : l’un des prix ne comprend que les contrôles et l’ingénierie de base, l’autre inclut en plus la conduite coordonnée des lots, les postes d’opérateur, les bibliothèques, l’historique et le support. Si l’on choisit d’abord le contrôleur le moins cher sans aligner les limites, les coûts et les risques migrent vers l’intégration, la qualification et l’exploitation ultérieure.

Opérationnaliser les critères et fixer des seuils

Les deux axes donnent naissance à des critères vérifiables en rendant mesurable, c’est-à-dire en opérationnalisant, chaque aspect d’évaluation jugé pertinent. Pour chaque critère opérationnalisé, on définit en outre un point de critère, un seuil : le point de bascule défini où l’évaluation passe de positif à négatif ou de positif à très positif.

Ce point peut être décrit par un chiffre ou par un objectif ou état intermédiaire formulé textuellement. Au lieu de constater que la disponibilité est suffisante, on indique à partir de quelle valeur ou état le jugement bascule – par exemple lors du redémarrage après une interruption du contrôle ou concernant l’étendue des enregistrements.

Le moment fait partie de la procédure : les critères opérationnalisés sont fixés avant le début de la collecte des données, au plus tard avant le début de l’analyse des données. Cela empêche que la pondération des critères soit ajustée ou que les points de critère soient déplacés a posteriori, par exemple dans un but de justification, sur la base de la collecte et de l’analyse des données ou des intérêts de certains groupes.

Cela est particulièrement important lorsque l’évaluation sert à une décision de principe ou à la reddition de comptes. Les critères d’évaluation ne doivent en aucun cas être fixés ad hoc, de manière purement intuitive, méthodologiquement incontrôlée ou incompréhensible.

Quatre sources génériques peuvent servir de liste de contrôle pour identifier les critères. Il s’agit du cadre de référence dans lequel les acteurs situent l’objet de l’évaluation, par exemple un concept directeur ou une théorie, et du consensus social ou du discours sur le droit, l’éthique et les valeurs sociales.

S’y ajoutent un modèle logique, qui détermine les critères en matière de cohérence conceptuelle, de fidélité de mise en œuvre et d’efficacité, et la littérature d’évaluation, dont les critères sont examinés pour leur transférabilité. Pour chaque question évaluative et attributive, il devrait exister au moins un critère opérationnalisé. Idéalement, la liste définitive avec son périmètre et sa pondération est élaborée en impliquant les différentes parties prenantes et concernées. Les points de critère sont fixés de manière compréhensible et en tenant compte du contexte et des particularités de l’objet.

Développement d’une grille de critères pour le risque et la disponibilité

Sources génériques pour l’identification des critères d’évaluation

Consigner la grille, vérifier la mise en œuvre, nommer les violations

Une grille de critères devient contraignante par sa structure. Pour chaque norme, un principe central est formulé, qui esquisse le contenu, suivi d’indications pour la mise en œuvre concrète. Sous la rubrique « Violations », il est indiqué quelles pratiques rencontrées dans la réalité contreviennent à la norme respective. Ce catalogue d’exclusion marque les comportements qui se situent en dehors de l’acceptabilité.

Les normes de la technique des centres d’évaluation poursuivent notamment l’objectif de vérifier la qualité des offres pour la pratique entreprise et d’identifier les offres non qualifiées. Elles visent à offrir transparence et clarté aux décideurs et aux utilisateurs.

Transposé à une grille de critères pour le risque et la disponibilité, cela signifie : chaque catégorie reçoit un principe central, des indications concrètes de mise en œuvre et une liste de comportements considérés comme des violations. Cela inclut, par exemple, une comparaison d’offres sans alignement du périmètre de livraison ou une évaluation ajustée a posteriori à de nouveaux seuils.

Le catalogue d’exclusion rend la limite visible, sans qu’il soit nécessaire de renégocier au cas par cas. La traçabilité de la formation du jugement est décisive : qui fixe les critères d’évaluation et quel rôle les évaluateurs y jouent est important pour chaque évaluation.

Une grille consignée montre les deux – les critères et les personnes qui les ont fixés. Elle permet aux utilisateurs de vérifier une offre selon les mêmes mesures qui ont été utilisées pour l’évaluation.