# De la sécurité des patients à la résilience des systèmes de soins: un état de l'art

## From patient safety to the resilience of healthcare systems: the state of the art

Lucie Cuvelier<fnref n="1" />

**Abstract** Patient security has become a priority in public health policies. In 30 years, health systems have adopted the risk management tools designed for industries. The purpose of this review of the literature is to describe the current security models and approaches deployed in health systems and to explore new perspectives. The bibliographic search was conducted from three databases, in French and in English. The thematic analysis of the selected material (48 references) guided the construction of the article and the identification of a typology of prevention approaches. After a presentation of the «classical» approaches, the limits of these approaches in the specific context of care are exposed. The scientific perspectives currently envisaged to build new approaches to prevention in health are then presented. By way of conclusion, these perspectives question the need for a paradigm shift, as proposed by the current of «resilience engineering».

**Key words** Patient safety, Resilience, Evidence-based medicine

**Résumé** La sécurité des patients est devenue une priorité des politiques de santé publique. En 30 ans, les systèmes de santé se sont approprié les outils de gestion des risques conçus pour les industries. L'objectif de cette revue de littérature est de décrire les modèles et les démarches de sécurité actuellement déployés dans les systèmes de santé et d'explorer les nouvelles perspectives. La recherche bibliographique a été réalisée à partir de trois bases de données, en français et en anglais. L'analyse thématique du matériel retenu (48 références) a guidé la construction de l'article et l'identification d'une typologie de démarches de prévention. Après une présentation des démarches «classiques », nous exposons les limites de ces démarches dans le contexte spécifique des soins. Puis nous présenterons les perspectives scientifiques actuellement envisagées pour construire de nouvelles approches de prévention en santé. Ces perspectives interrogent, en conclusion, la nécessité d'un changement de paradigme, comme le propose le courant de l'« ingénierie de la résilience ».

**Mots clefs** Sécurité des patients, Résilience, Evidence based medicine

<footnote n="1">¹ UFR de Psychologie,
Université Paris 8. Rue de
la liberté 2, Saint-Denis.
93526 Paris France. lucie.
cuvelier@univ-paris8.fr</footnote>
## Introduction

Depuis une trentaine d'années, la sécurité des patients et la prévention des risques liés aux soins thérapeutiques tiennent une place centrale dans les politiques de santé publique des pays occidentaux. Désormais, la sécurité des patients est un enjeu majeur des structures de soins (clinique, hôpitaux, centre de soins, etc.) et un challenge à relever par la communauté soignante, mais aussi par les professionnels du domaine de la prévention des risques¹,². Pour y répondre, les systèmes de santé se sont peu à peu approprié les politiques et outils de gestion des risques initialement conçus pour les industries.

En parallèle, de nouvelles approches alternatives de prévention ont été développées dans la communauté internationale. L'objectif de cette revue de littérature est de décrire quels sont les modèles, les démarches et les outils actuellement déployés dans les systèmes de santé pour prévenir les risques liés aux soins. Après une présentation de la méthode, une première partie expose les démarches classiques importées du monde industriel. La seconde partie montre que ces démarches présentent des limites lorsqu'elles sont mobilisées dans le domaine des soins, car ce dernier possède des caractéristiques très spécifiques. La troisième partie développe les perspectives scientifiques actuellement explorées pour contrer ces limites et pour construire de nouvelles approches de prévention, plus adaptées au monde de la santé. Ces perspectives nous conduisent à nous interroger, en conclusion, sur la nécessité d'un changement de paradigme, comme le propose notamment le courant de l'ingénierie de la résilience.

## Méthode

Une revue narrative de la littérature a été conduite à partir d'articles scientifiques de langue française et anglaise. Les articles ont été recensés par une recherche systématique dans trois grandes bases de données : une base de données francophone (Cairn) et deux bases anglophones (Science directe et PubMed). Cette recherche s'est faite sur les combinaisons de trois mots clefs ([resilience] AND/OR [patient safety] AND/OR [evidence based medecine]), en français ou en anglais, dans les titres, résumés et mots clefs des documents sur une période de 15 ans (depuis les années 2000). Au total, 181 articles ont été retenus, et 35 ont été sélectionnés du fait de leur pertinence pour éclairer le sujet. L'analyse de ces articles a permis de

compléter la bibliographie avec la recherche de documents plus ciblés (1 rapport, 12 ouvrages). L'analyse thématique du matériel retenu (48 références) a ensuite guidé la construction de l'article sur la base d'une typologie de démarche de prévention.

## Les outils et démarches classiques de sécurité

Les démarches de sécurité mises en place dans les milieux de soins s'inscrivent dans des systèmes de management développés en contexte industriel dès les années 60. Ces systèmes de management de la sécurité (SMS) visent à influencer les décisions stratégiques, à clarifier les responsabilités des acteurs et à structurer des démarches de prévention des risques. Ils reposent sur deux actions principales : caractériser les risques puis les maîtriser.

### Caractériser les risques liés aux soins

La connaissance des risques est un prérequis de leur maîtrise. Elle suppose dans un premier temps d'identifier les risques pour pouvoir en-suite comprendre les mécanismes de leur production³. Cette étape est plus ou moins délicate. Elle dépend beaucoup du caractère innovant de la technologie thérapeutique. L'identification des risques peut être conduite *a priori*, c'est-à-dire avant l'occurrence d'évènements indésirables. Il s'agit dans ce cas de construire des scénarios incidentels possibles, en particulier lors des phases de conception. Un exemple typique de méthodes d'identification *a priori* est l'Analyse des Modes de Défaillances de leurs Effets et de leur Criticisme (AMDEC)⁴,⁵. L'identification des risques peut aussi être menée *a posteriori*, c'est-à-dire à partir d'évènements indésirables ayant déjà eu lieu⁶,⁷. Le but est cette fois de tirer des enseignements du passé. Les systèmes de signalement et de retour d'expérience (telles les Revues Morbidité Mortalité) sont alors considérés comme des piliers centraux de la gestion des risques et de la culture de sécurité⁸,⁹.

Une fois identifiés, les risques font l'objet d'analyses dans le but de comprendre les mécanismes à l'origine de leur occurrence. Pour ce faire, il existe un nombre considérable de méthodes, pour la plupart développées dans le secteur industriel (Arbre des causes, Arbre des défaillances, diagramme d'Ishikawa, ou encore la méthode dite « ALARM » très répandue dans le monde médical⁷,¹⁰. Ces analyses sont orientées
vers des approches probabilistes, permettant de fixer des seuils d'acceptabilité¹¹. Elles permettent la mise en place de mesures de prévention et de protection.

## Maîtriser les risques liés aux soins

La maîtrise des risques repose sur deux grandes stratégies : supprimer les risques, si possible à la source, et mettre en place des barrières de défenses. Hollnagel¹² distingue ainsi quatre types de barrières :

- Les barrières matérielles qui préviennent physiquement l'exécution d'actions dangereuses ou la propagation des conséquences indésirables (par exemple un capotage de protection pour une machine ou une enceinte hermélique).

- Les barrières fonctionnelles gênent l'exécution des actions non souhaitées en établissant une dépendance logique ou temporelle entre plusieurs actions. Elles peuvent aussi rendre les systèmes tolérants ou résistants aux erreurs en impliquant la validation de préconditions tel l'ajout de redondances, de clefs, de mots de passe, etc.

- Les barrières symboliques indiquent une limite à respecter et nécessitent une interprétation de l'opérateur, qui doit réagir ou répondre aux messages qu'elles contiennent. Elles sont très présentes dans les situations de travail et regroupent par exemple, les étiquetages ou bien les marquages (sol, mur, panneaux, etc.).

- Les barrières immatérielles regroupent les règles au sens large, depuis la règlementation générale jusqu'à certaines procédures spécifiques en passant par les normes, protocoles de soins, recommandations ou consignes. Ces barrières immatérielles sont au centre des démarches de sécurité, et notamment au cœur des formations à la sécurité. C'est pourquoi on parle souvent de « sécurité réglée »¹³,¹⁴.

La sécurité réglée vise principalement à standardiser les pratiques, étape considérée comme indispensable à l'amélioration de la sécurité¹⁵. Dans le domaine de la santé, « l'Evidence Base Medecine [EBM] est la principale tentative mise en œuvre pour atteindre cette standardisation»¹⁶. Elle est au cœur notamment des formations médicales et elle répond aux soucis d'« homogénéisation », d' « uniformisation » et de « normalisation » des pratiques¹⁷,¹⁸.

L'EBM, qui peut être traduite par « médecine fondée sur des preuves », a été définie au cours des années 1980, comme « l'utilisation consciente et judicieuse des meilleures données ac-

tuelles de la recherche clinique » pour optimiser la prise en charge de chaque patient¹⁹. « Une des modalités pratiques est la production de référentiels pour la décision thérapeutique, basés sur les résultats d'essais thérapeutiques et plus large-ment sur les articles scientifiques »²⁰.

## Les limites des démarches classiques dans le domaine des soins

Depuis une vingtaine d'années, plusieurs auteurs pointent les limites des approches classiques de prévention appliquées aux domaines des soins. Ce dernier possède en effet des caractéristiques, telles la complexité ou la variabilité, qui le différencie fortement des industries pour lesquelles ces démarches de prévention ont été développées initialement¹⁵,²¹. De plus, les approches classiques présentent en elles-mêmes des limites intrinsèques, qui invitent à revoir notre façon de concevoir la sécurité²²,²³.

## Les systèmes de soins sont très complexes

Dans le domaine de la santé, la complexité est omniprésente parce que l'objet de travail - à savoir le corps humain - est un système extrême-ment complexe : la physiologie de l'homme est un processus dynamique vivant, impliquant de multiples mécanismes dont beaucoup sont en-core inconnus²¹. Ceci engendre une part incompressible d'incertitude dans les diagnostics et les traitements proposés¹⁶,²⁴.

Ensuite les processus de soins reposent sur des techniques, des compétences et des savoir-faire très sophistiqués et constamment renouvelés : évolutions des connaissances, introduction de nouveaux matériels, déploiement de techniques innovantes de stockage et de gestion des informations, etc. En particulier, le développement continu des nouvelles technologies d'information et de communication (NTCI) engendre de nombreux changements au sein des organisations. Afin d'atteindre un haut niveau de performance et une rapidité d'investigation, de diagnostic et de traitement, les processus de soins impliquent l'intervention de différentes spécialités, imbriquées les unes les autres¹⁵,²⁵.

Enfin, les gouvernements des pays occidentaux ont pris ces dernières années des mesures structurelles impliquant une transformation profonde des systèmes de santé. Celles-ci ont modifié les droits d'accès à la santé, les domaines de prise en charge, le mode de financement du système ainsi que son mode d'organisation et sa
gouvernance. Cela s'est par exemple traduit dans les hôpitaux français par le déploiement de politiques de qualité des soins (accréditation, certification, etc.) et par la mise en place de la Tarification A l'Activité (T2A). Selon cette dernière, ce sont les recettes issues des activités hospitalières qui déterminent les dépenses et non l'inverse: la logique de moyens qui assurait un financement par « budget global annuel » cède peu à peu la place à une logique de résultats.

Ces changements managériaux ont rendu le système hospitalier plus « rigide », voire proche de la « saturation »²⁶. Et ces multiples évolutions sociotechniques des systèmes ont engendré une évolution des risques. Les conséquences de ces évolutions sont en effet paradoxales :

- Du côté du travail prescrit, les protocoles sont des plus en plus précis, détaillés, rigides et les automatismes et techniques sont de plus en plus présents ce qui modifie la tâche des soignant, en diminuant leur autonomie pour les tâches quotidienne, nominales (§ suivant).

- du côté du travail réel, la variabilité reste inévitable et les adaptations toujours nécessaires - y compris dans des situations habituelles, classiques. Mais face à la rigidité du cadre prescrit, ces adaptations sont considérées comme des violations et gardées sous silence (cf. § Les démarches classiques engendrent de la rigidité).

Malgré ces évolutions, les modèles et les méthodes de sécurité n'ont pas évolué : la plupart ont été développés il y a plus de 20 ans, alors que les systèmes étaient bien moins complexes et plus maîtrisables. Ainsi, d'après plusieurs chercheurs, même si les approches traditionnelles de sécurité ont permis de progresser, elles ne sont désormais plus adaptées pour faire face aux nouveaux risques²³,²⁷.

## Les démarches classiques transforment le travail des soignants

La complexité des systèmes hospitaliers a des conséquences sur les tâches des soignants. En effet, l'introduction exponentielle de protocoles de soins et des nouvelles technologies modifie profondément l'activité de travail des soignants, en particulier celle des médecins. En anesthésie par exemple, les techniques de surveillance automatisée du patient sont de plus en plus poussées et les protocoles de prises en charge de plus en plus nombreux. Ces assistances aident les médecins à gérer le processus. Mais elles augmentent en même temps la complexité des tâches de surveillance et de contrôle en venant se surajouter

au contrôle direct des signes cliniques (couleur de la peau, état des pupilles, auscultation, etc.) et elles n'outillent les anesthésistes que lorsque la situation est sous contrôle. Le savoir-faire du métier qui a longtemps été constitué de tours de mains et de connaissances techniques devient aujourd'hui un « savoir-faire face » à des contraintes multiples, en situation imprévue²⁸.

Une conséquence paradoxale de ces évolutions est qu'elle fait perdre au système certaines de ces capacités d'adaptation et d'improvisation en situation nominale, classique. En effet, l'introduction exponentielle de protocoles de soins et des nouvelles technologies génère le paradoxe bien connu de l'automatisation : on assiste les soignants pour la partie de leur activité qu'ils doivent déjà bien, alors que ces derniers restent toujours démunis quand il s'agit de résoudre des situations problématiques. Autrement dit, introduire de l'ordre et des techniques c'est diminuer l'autonomie des soignants dans leur tâche quotidienne, tout en leur demandant d'être capable de prendre en charge des situations imprévues, qui sortent du quotidien et supposent donc des prises d'initiatives.

## Les démarches classiques engendrent de la rigidité

La complexité des systèmes hospitaliers a aussi des conséquences sur la sécurité des patients : plus un système se complexifie plus les contraintes de sécurité qui pèsent sur lui se renforcent et donc plus il se « surprotège ». Paradoxalement, dans ce processus de « surprotection », passé un certain stade, l'introduction de barrières de sécurité engendre des effets particulièrement contreproductifs¹⁵. En particulier, on assiste souvent dans ces systèmes très sûrs à une « explosion de documents prescripteurs », conçus « de façon administrative » et qui s'additionnent rapidement, parfois sans cohérence les uns avec les autres.

Ainsi, en médecine, l'EBM permet certes de standardiser les pratiques, mais elle peut aussi conduire à la multiplication néfaste des protocoles, dont l'application s'avère parfois impossible à réaliser¹⁶,¹⁷,²⁹. Car cette surprocéduralisation (en quantité et en niveau de précision) n'efface pas la variabilité des situations de travail ! Mais, en cherchant à prévoir tous les comportements des acteurs, elle rend chaque adaptation « imprévue » par le système « non conforme » aux règlements. Comme la variabilité est iné-
vitable et les adaptations toujours nécessaires - y compris dans des situations habituelles, classiques – elles se font désormais en dépit des règles trop rigides. Les adaptations n'étant pas prises en compte dans des protocoles trop stricts, elles sont considérées comme des violations et gardées sous silence¹⁰. Ainsi, de façon paradoxale, les systèmes sûrs sont caractérisés par une augmentation des violations³⁰.

## Perspectives de recherches et nouvelles démarches de sécurité

La complexité croissante des systèmes et l' « ultra sécurité » montrent les limites des démarches traditionnelles en milieu de soins. Ces limites résonnent avec les évolutions d'autres systèmes sociotechniques. Elles ouvrent de nouvelles voies pour améliorer la sécurité des soins.

### La sécurité gérée : prendre en compte la variabilité des situations de soins

La variabilité des situations médicale est très importante, bien plus que dans le domaine industriel³¹,³². Elle est non seulement interindividuelle (chaque patient constitue « un cas » singulier, avec sa/ses propres maladie(s), ses propres antécédents, sa propre façon d'exprimer ce qu'il ressent et ce qu'il souhaite, ses propres choix, ses propres réactions aux traitements, etc.), mais aussi intra-individuelle, car l'évolution de la maladie et de la santé sont des processus non complètement prédictibles²¹. Les variabilités des soins et pratiques sont à la fois inhérentes et nécessaires au fonctionnement des systèmes de soins²⁴,³³. Et c'est dans ces divers types de variabilités « normales » que s'enracinent certes les échecs et les défaillances, mais aussi les succès et les réussites du système. Ces deux types de résultats, négatifs ou positifs, ne sont en fait que les « deux faces d'une même pièce »²³,³⁴.

Reconnaître cette variabilité irréductible des situations de soins, c'est admettre l'impossibilité de tout prévoir, de tout « régler », l'impossibilité de définir rigoureusement par avance le travail. Autrement dit, c'est reconnaître que les normes seront toujours « incomplètes ». L'enjeu est alors de développer les compétences « adaptatives » des travailleurs, pour qu'ils sachent faire les meilleurs compromis entre deux types d'échecs : celui de ne pas s'adapter et celui de s'adapter à tort³⁵. Pour cela, il faut « comprendre ensemble les succès et les échecs », pour trouver « des moyens de renforcer la variabilité qui mène aux issues sou-

haitées, tout en étouffant celle qui conduit aux évènements indésirables »³⁶.

Reconnaître la variabilité irréductible des situations de travail, c'est donc reconnaître et définir une autre forme de sécurité, basée non plus seulement sur les formalismes « réglés », mais qui repose aussi sur les stratégies, les comportements d'initiatives, les bricolages, l'improvisation et l'ingéniosité déployés en situation réelle. Plussieurs auteurs emploient les termes « sécurité gérée » ou « safety II » pour désigner cette sécurité portée par l'expertise des hommes et par la mise en œuvre en temps réel de compétences individuelles et collectives¹⁴,³³,³⁷. La sécurité gérée est la « capacité d'anticiper, de percevoir, et de répondre aux défaillances imprévues par l'organisation »³⁸. Elle est basée sur un management attentif à la réalité des situations, qui favorise les articulations entre différents types de connaissances utiles à la sécurité : les connaissances générales établies par les experts, mais aussi les connaissances concrètes, particulières, développées par les opérateurs et qui intègrent des formes de variabilités locales dont les experts n'ont pas connaissance¹³.

### La sécurité émergente : tenir compte des conflits et les arbitrages

Les modèles des sécurités et les outils de prévention classiques ont pour principale caractéristique d'être centrés sur les risques, « sur le négatif » que l'on souhaite éviter. Cette conception usuelle de la prévention centrée sur l'accident renvoie à une idée a priori évidente: si on veut lutter contre les accidents, il faut connaître les accidents. Toutes les démarches visant à améliorer la sécurité s'appuient donc sur des modèles qui expliquent l'origine des risques et les mécanismes d'occurrence des évènements indésirables. Cette compréhension s'appuie sur les expériences antérieures, le plus souvent via l'analyse d'évènements indésirables. Même dans les démarches dites « proactives », l'analyse a priori des possibles scénarios d'accidents nécessite un travail d'imagination alimenté par les expériences passées. Or les observations et les analyses menées sur le passé ne sont jamais « neutres » ni « totalement objectives ». Elles sont toujours guidées par des hypothèses plus ou moins explicites, contenues dans les modèles et les outils d'analyse. Autrement dit, on ne trouve que ce que l'on cherche³⁹. Ainsi, « pour expliquer une défaillance, on cherche des défaillances »³⁵. La connaissance de l'issue des évènements joue alors un rôle considérable dans l'explication établie a
*posteriori*. Après coup, les compromis, les incertitudes, les dilemmes auxquels ont été confrontés les opérateurs sont occultés. La tendance est donc de pointer ce que les opérateurs auraient pu/dû faire et de les juger pour ce qu'ils n'ont pas fait³⁵. Ce biais de rétrospection est connu depuis longtemps, mais de nombreuses études semblent le redécouvrir⁴⁰.

Dans les systèmes de soins, comme la variabilité et l'incertitude sont des composantes incontournables de l'activité médicale toutes les décisions sont à risques. Les risques liés aux soins ne sont pas seulement des évènements qui « pèsent » sur l'action : ils sont directement liés au fait d'agir. Autrement dit, les médecins ne font pas que « subir les risques ». Ils participent eux-mêmes, par leur activité de travail, à l'émergence de certains risques et aux stratégies de sécurité pour les gérer. En anesthésie par exemple, la décision d'anesthésier en elle-même est une « prise de risque ». Mais la décision de ne pas anesthésier est une autre prise de risque face à l'état de santé plus ou moins évolutif du patient. Puisque toutes les décisions sont à risque, les choix se font entre différents risques, chacun d'eux étant plus ou moins indésirable.

Les risques et la sécurité ne peuvent donc être prédits ni modélisés simplement à partir des composants qui les constituent et de leurs interactions : ils résultent des multiples arbitrages réalisés dans toutes les couches du système, depuis sa conception jusqu'à sa réalisation et à son fonctionnement et sont donc des propriétés « émergentes » du travail normal. Les explications causales, fondées sur des modèles déterministes, ne peuvent tenir compte ni de ces arbitrages ni des variabilités « normales » du travail. Si l'on veut faire figurer l'ensemble des réparations, récupérations, détections, compensations possibles dans une représentation telle celle de l'arbre des causes, cela devient vite illisible. Les activités « positives », les « savoir-faire » mis en œuvre par les opérateurs sont à l'heure actuelle très souvent masqués dans les analyses de sécurité, laissant penser que les comportements des soignants résultent directement de conditions externes ou de décisions erronées. Ces « savoir-faire de prudence », reconnus par les opérateurs d'un même collectif de travail, visent à « assurer concrètement la sécurité » en évitant les accidents et les efforts inutiles. Ils font partis du métier, de son art, de ses mœurs et traditions et se transmettent au contact des anciens⁴¹. Pour dépasser ces limites des analyses a posteriori d'évènement négatif, plusieurs auteurs proposent de s'orienter vers d'autres notions, telles celles de

« résonance » ou d'« émergence ». Par exemple, dans le modèle « FRAM » (Functional Resonance Accident Model) développé par Hollnagel⁴², les échecs (accidents, incidents, défaillances, etc.) et les succès sont envisagés comme des évènements émergents du travail normal, plutôt que comme le résultat de combinaisons causales. La sécurité émergente désigne cette capacité à reconnaitre et à tenir compte des conflits et arbitrages faits par les soignants au quotidien. Elle consiste a penser la sécurité et les risques comme des propriétés émergentes du « travail normal » et à admettre que les risques et la sécurité ne peuvent être prédits ni modélisés à partir des composants qui les constituent et de leurs interactions : ils résultent des multiples arbitrages réalisés dans toutes les couches du système, depuis sa conception jusqu'à sa réalisation.

## La sécurité construite : développer les connaissances, au-delà de la règle

Compte tenu de la variabilité et de la complexité des systèmes de santé, l'application stricte de protocoles standards s'avère impossible en médecine. Les informations factuelles, présentées dans les règles ou dans les ouvrages de connaissances générales, doivent toujours être interprétées et des décisions d'arbitrage entre les différentes connaissances explicites doivent le plus souvent être prises par les praticiens. Ainsi, depuis des siècles, la médecine est dite plus proche d'un « art » que d'une science¹⁶. Tout traitement n'est qu'une hypothèse à tester et la plus solide hypothèse peut toujours se révéler fausse ou inadéquate. L'expérimentation reste d'ailleurs le meilleur moyen d'améliorer la performance médicale²¹,⁴³.

C'est pourquoi plusieurs auteurs argumentent que les règles de l'EBM sont des ressources indispensables, mais non des « guidelines » : elles ne peuvent pas prétendre prescrire dans le détail une conduite optimale « par essence », à suivre « mécaniquement », mais elles sont nécessaires pour proposer des solutions « possibles » qui soutiennent l'activité. Autrement dit elles alimentent les décisions médicales, sans pour autant s'y substituer²⁰. Actuellement, des critiques et des craintes s'élèvent à l'encontre de l'EBM vue comme une approche « normée » de la médecine. Ces critiques concernent surtout les savoirs contenus dans ces règles⁴³ et l'appariation d'un écart croissant entre

- d'un côté « le savoir », établi à l'échelle planétaire à partir d'études cliniques randomisées contrôlées pour des individus « prototypiques »
- et de l'autre son application dans « la pratique réelle » de la médecine, qui tient compte outre des critères diagnostiques issus des référentiels thérapeutiques (âge, poids, antécédents, etc.), de l'état général des patients, de leurs souhaits et/ou exigences spécifiques et des contraintes organisationnelles du travail des personnels soignants (planning opératoire, temps disponibles, délais des examens, coûts, etc.).

L'enjeu est donc de veiller à ce que l'EBM s'inscrivent bien dans une pratique clinique et qu'elle ne vise non pas à réduire l'hétérogénéité des pratiques inhérentes à la médecine, mais à se demander à partir de quand il est raisonnable de considérer que cette variabilité des pratiques médicales n'est plus appropriée⁴⁴,⁴⁵. Il s'agit donc d'envisager les règles de l'EBM comme participant d'un dispositif développemental à deux niveaux. D'une part, il est nécessaire de reconnaître le développement de la science basée sur la pratique et d'envisager, outre l'EBM, un nouveau mode d'acquisition du savoir en médecine, qui permette notamment un retour au qualitatif¹⁷,⁴³. D'autre part, il faut envisager les règles en médecine comme des ressources « développementales », à transmettre avec leur « procédure d'usage »⁴⁶. Ceci signifie qu'elles doivent permettre aux praticiens d'apprendre de façon continue et de s'assurer que les compétences qu'ils se construisent avec l'expérience sont conformes aux savoirs et aux connaissances en vigueur dans la discipline⁴⁷. On peut alors parler de « sécurité construite »¹³. La sécurité construite va au-delà d'une reconnaissance des nécessaires arbitrages entre plusieurs règles et compétences de terrain (sécurité émergente). Elle vise à mettre en place des conditions favorables au développement continu des règles et des compétences à gérer ces conflits et arbitrages. Elle reconnaît les règles comme nécessaires, mais non suffisantes à l'atteinte de la sécurité. Elle cherche donc à outiller les acteurs, dans le but d'améliorer leur capacité à aider à gérer les situations imprévues par les règles.

## Conclusion : vers une ingénierie de la résilience

Ces limites et ces nouvelles perspectives portent un regard critique sur la conception traditionnelle de la sécurité en médecine. Elles convergent vers l'idée que doit émerger « un nouveau paradigme » dans le monde de la prévention. Alors que les perspectives précédentes (sécurité gérée, émergente, et construite) proposent un déplace-

ment de la notion de sécurité, une communauté internationale de chercheurs encourage depuis quelques années à marquer un réel changement de paradigme dans les sciences de la sécurité à travers la définition d'un nouveau concept : « la résilience ». Dans cette perspective, l'enjeu des systèmes n'est plus seulement d'augmenter la sécurité, mais de développer leur résilience, grâce à une nouvelle approche de la sécurité : l'ingénierie de la résilience²³. Ici, plus que jamais, les travaux de recherche se font d'une manière poplémique contre d'anciennes représentations et c'est en terme d'obstacle qu'est posé le développement des connaissances : « on connaît contre une connaissance antérieure, en détruisant des connaissances mal faites »⁴⁸.

En latin, le verbe « resilire » signifie littéralement « re-sauter ». Il porte les idées de « rebond » et d'« elasticité » que l'on retrouve dans les termes anglais « resilient », ou « resiliency ». Cette acceptation « réactive » du mot « résilience » est présente dans beaucoup de domaine. En physique – et plus particulièrement dans le domaine de la résistance des matériaux qui a donné naissance au terme - la résilience « désignait à l'origine la propriété d'un corps de reprendre sa forme initiale après avoir subi un choc »⁴⁹. En psychologie, la résilience représente « la capacité de se développer dans des conditions incroyablement adverses »⁵⁰. Elle fait référence aux phénomènes qui permettent aux individus touchés par un traumatisme de prendre acte de leur traumatisme pour ne plus vivre dans la dépression. C'est aussi « une aptitude à fonctionner de manière adaptative et à être compétent face aux divers stress de la vie »⁴⁹. Bien d'autres domaines encore, comme la biologie, la géographie, l'écologie ou encore l'informatique (où l'on parle de « system resiliency » pour désigner la tolérance aux pannes) ont développé des acceptations similaires de ce terme.

Dans le domaine de la sécurité, le concept de « résilience » n'est pas encore stabilisé et les différentes définitions qui existent reflètent les diverses perspectives scientifiques développées actuellement. La définition la plus citée est celle d'Hollnagel (2006). Selon lui, la résilience est « l'aptitude intrinsèque d'un système à adapter son fonctionnement avant, pendant ou suite à des changements et des perturbations, afin de pouvoir poursuivre son activité dans des conditions attendues ou inattendues »²³. Dans la continuité de cette définition précédente, les systèmes résilients sont ceux qui sont à la fois « capables » de contrôle, de réussite et d'adaptation⁵¹,⁵².
## La résilience, une capacité de contrôle des systèmes

Dans les théories classiques, la sécurité est envisagée comme un état ou une propriété qui caractérise la nature d'un système donné. Des niveaux de sécurité ou des catégories peuvent donc être établis. On distingue par exemple des systèmes peu sûrs ou moyennement sûrs (le système de transplantation par exemple), des systèmes sûrs ou très sûrs (le système de transfusion sanguine en France par exemple)¹⁵. À l'inverse, dans le courant de la résilience, la sécurité n'est pas « un état » à atteindre par le système, mais une caractéristique de son fonctionnement. Autrement dit, la sécurité est « quelque chose que fait le système et non quelque chose qu'il possède »²³. Le management de la sécurité peut donc être assimilé au contrôle d'un processus. Concrètement, cela signifie qu'un système résilient est capable de suivre et de piloter en continu sa propre performance et ses ressources – y compris ses compétences et connaissances-, de manière proactive. Un bon exemple de cette capacité est le système de contrôle élaboré par l'Organisation mondiale de la Santé en 2009 pour faire face à une éventuelle pandémie de grippe H1N1⁵³. Le management mis en place visait à rendre les organisations capables de suivre et de piloter en continu leur propre performance et leurs ressources. Si l'objectif premier était celui de garantir la sécurité et l'ordre public, le maintien de la continuité des activités a aussi été pris en compte.

## La résilience, une capacité de « réussite » des systèmes

Dans les approches classiques, les défaillances s'expliquent par la présence de composants non fiables. Les analyses concernent principalement les échecs du système (erreurs, accidents, évènements indésirables, etc.) et les démarches de prévention s'appuient essentiellement sur la mise en place de barrières (physiques, fonctionnelles, symboliques ou incorporelles) visant à standardiser et à supprimer la variabilité²³. À l'inverse, l'ingénierie de la résilience stipule que la variabilité des systèmes est non seulement normale, mais aussi nécessaire au fonctionnement du système. Cette approche s'intéresse donc autant aux évènements négatifs qu'aux succès : elle ne cherche pas seulement à éviter les accidents, elle cherche aussi à comprendre pourquoi les systèmes « réussissent » de sorte à encourager la variabilité « positive » (improvisation, bricolages, stratégies novatrices, etc.)⁵¹.

On peut citer pour exemple la diversité des stratégies développées par les anesthésistes et observées dans une étude en France (variabilité interanesthésistes sur un même cas). Cette variabilité a été observée sur différents types de cas : non seulement sur des cas relativement rares et risqués, mais aussi sur des cas très fréquents dont les risques inhérents à la chirurgie et au patient sont faibles. Tandis que dans une approche classique, cette variabilité de solutions serait déplorée, l'approche par la résilience envisage aussi les bénéfices de cette variabilité, tant du point de vue de la sécurité des soins que de celui de leur efficacité. Et en effet, on constate que cette variabilité des pratiques n'empêche pas la réussite des interventions ni l'atteinte d'un haut niveau de performance globale dans les équipes. Au contraire même, sous certaines conditions, la diversité des stratégies s'avère être favorable au développement de la performance globale : elle permet à chaque anesthésiste d'agir dans son domaine de compétences et de faire évoluer sa pratique en accord avec les progrès technologiques⁴⁵.

## La résilience, une capacité d'adaptation des systèmes

Alors que les méthodes classiques s'appuient sur des techniques d'analyse et de mesures quantitative des risques (ALARM, AMDEC, MOSAR, etc.), l'ingénierie de la résilience s'oriente vers des mesures des capacités adaptatives des systèmes. L'objectif est de saisir la façon dont les systèmes « s'étirent » et continuent à fonctionner malgré des perturbations plus ou moins rares et imprévues. Une des caractéristiques fondamentales de cette approche est de prendre en compte l'écart qui existe entre le « travail tel qu'il est imaginé » et le « travail tel qu'il est réalisé ». Des études tentent donc de caractériser les marges de manœuvre possibles des systèmes et de préciser en quoi consiste cette capacité (ou ces capacités) d'adaptation qui sous-tend la résilience⁵¹.

Ces travaux montrent qu'il est nécessaire d'aider les soignants à développer deux types de compétences. Premièrement, il faut développer les compétences des soignants face aux décisions de compromis, et ce dans une grande diversité de situations selon la nature du risque et du moment où il est identifié (compromis réalisés collectivement lors de réunion de staff de dossier, compromis réalisés avec la participation du patient lors de consultation préopératoire, compromis réalisés en urgence face à un risque imprévu, etc.). Deuxièmement, il faut aussi développer les compétences qui permettent aux soignants d'an-
ticiper et de détecter les indices permettant de re-
pérer que la situation sort du « domaine réglé », c'est-à-dire qu'elle bascule dans un domaine pour lequel le risque ne fait pas l'objet d'une procédure standardisée⁵⁴.

On terminera en précisant que les défini-
tions de la notion de résilience restent multiples
et que ce terme est pour l'instant plutôt à consi-
dérer comme une « famille d'idées » à explorer
pour progresser en terme de sécurité¹¹. Les débats
qu'il suscite alimentent une grande quantité de

recherches à travers le monde. Beaucoup sont
conduites dans les domaines des soins pour le-
quel la notion apparaît très prometteuse²⁴,³⁴.

Remerciements

Tous mes remerciements à Pierrot, pour la tra-
duction.

References

1. Henriksen K. Human factors and patient safety: con-
tinuing challenges. In: *The handbook of human factors
and ergonomics in health care and patient safety*. Caray-
on P, editor. Mahway: Lawrence Erlbaum Associates;
2007. p. 21-37.

2. Reis CT, Martins M, Laguardia J. A segurança do paciente como dimensão da qualidade do cuidado de saúde: um olhar sobre a literatura. Cien Saude Colet 2013, 18(7):2029-2036.

3. Vincent C. Analysis of clinical incidents: a window on the system not a search for root causes. *Qual Saf Health Care* 2004; 13(4):242-243.

4. McElroy LM, Khorzad R, Nannicelli AP, Brown AR, Ladner DP, Holl JL. Failure mode and effects analysis: a comparison of two common risk prioritisation methods. *BMJ Qual Saf* 2016; 25(5):329-336.

5. Senders JW. FMEA and RCA: the mantras; of modern risk management. *Qual Saf Health Care* 2004; 13(4):249-250.

6. Carthey J, de Leval MR, Reason J. Institutional resilience in healthcare systems. *Qual Saf Health Care* 2001; 10(1):29-32.

7. Peerally MF, Carr S, Waring J, Dixon-Woods M. The problem with root cause analysis. *BMJ Qual Saf* 2016; 26(5):417-422.

8. Nascimento A. Sécurité des patients et culture de sécu-
rité: une revue de la littérature. *Cien Saude Colet* 2011;
16(8):3591-3602.

9. Vincent C. Incident reporting and patient safety. *Br Med J* 2007; 334(7584):51.

10. Johnson C. Incident Analysis in Health Care. In: *The Handbook of Human Factors and Ergonomics in Health Care and Patient Safety*. Carayon P, editor. Hillsdale: Lawrence Erlbaum Associates; 2007. p. 715-750.

11. Sheridan T. Risk, Human Error, and System Resilience: Fundamental Ideas. *Hum Factors* 2008; 50(3):418-426.

12. Hollnagel E. Risk + barriers = safety? *Safety Sci* 2008; 46(2):221-229.

13. Nascimento A, Cuvelier L, Mollo V, Dicioccio A, Falzon P. Constructing safety: from the normative to the adaptive view. In: *Constructive Ergonomics*. Falzon P, editor. Boca Raton: CRC Press; 2014.

14. Morel G, Amalberti R, Chauvin C. How good micro/
macro ergonomics may improve resilience, but not
necessarily safety. *Safety Sci* 2009; 47(2):285-294.

15. Amalberti R, Auroy Y, Berwick D, Barach P. Five System Barriers to Achieving Ultrasafe Health Care. *Ann Intern Med* 2005; 142(9):756-764.

16. Amalberti R, Hourlier S. Human error reduction strat-
egies in Health Care. In: *Handbook of Human Factors
and Ergonomics in Health Care and Patient Safety*. Carayon P, editor. Hillsdale: Lawrence Erlbaum Asso-
ciates; 2007. p. 561-577.

17. Abastado P. L'impasse du savoir : essai d'épistémologie médicale. Sèvres: Editions EDK; 2007.

18. Agence nationale d'accréditation et d'évaluation en santé (ANAES). *Principes méthodologiques pour la gestion des risques en établissement de santé*. Paris: Rapport de l'Agence Nationale d'Accréditation et d'Evaluation; 2003.

19. Bizouarn P. Evidence-based medicine : méthodes et critiques. *Ann Fr Anesth Reanim* 2007; 26(4):334-343.

20. Mollo V, Sauvagnac C. La décision médicale collective. *Pour des médecins moins savants et moins autonomes ?* Paris: l'Harmattan; 2006.

21. Bagnara S, Parlangeli O, Tartaglia R. Are hospitals be-
coming high reliability organizations? *Appl Ergon* 2010;
41(5):713-718.

22. Dien Y. Safety and application of procedures, or how
do “they” have to use operating procedures in nuclear
power plants? *Safety Sci* 1998; 29(3):179-187.

23. Hollnagel E, Woods D, Leveson N. *Resilience engineering: Concepts and precepts*. Aldershot: Ashgate; 2006.

24. Prielipp RC, Birnbach DJ. Pilots Use Checklists, Why Don't Anesthesiologists? The Future Lies in Resilience. *Anesth Analg* 2016; 122(6):1772-1775.

25. Nyssen AS. Coordination in hospitals: organized or emergent process? *Cogn Technol Work* 2007; 9(3):149-154.

26. Cook R, Rasmussen J. “Going solid”: a model of system dynamics and consequences for patient safety. *Qual Saf Health Care* 2005; 14(2):130-134.

27. Le Coze JC. Are organisations too complex to be intro-
duced in technical risk assessment and current safety
auditing? *Safety Sci* 2005; 43(8):613-638.
28. Kofke W, Nadkarni V. Preface : New vistas in patient safety and simulation. *Anesthesiol Clin* 2007; 25(2):xv-xix.

29. Tong A, Mahady SE, Craig JC, Lau G, Peduto AJ, Loy C. Radiologists' perspectives about evidence-based medicine and their clinical practice: a semistructured interview study. *BMJ Open* 2014; 4(12):e006199.

30. Amalberti R, Vincent C, Auroy Y, de Saint Maurice G: Violations and migrations in health care: a framework for understanding and management. *Qual Saf Health Care* 2006; 15(Supl. 1):i66-i71.

31. Jeffcott SA, Ibrahim JE, Cameron PA. Resilience in healthcare and clinical handover. *Qual Saf Health Care* 2009; 18(4):256-260.

32. Nemeth C, Nunnally M, O'Connor M, Klock PA, Cook R. Getting to the point: developing IT for the sharp end of healthcare. *J Biomed Inform* 2005; 38(1):18-25.

33. Hollnagel E, Wears R, Braithwaite J. From Safety-I to Safety-II: A White Paper. The Resilient Health Care Net. Published simultaneously by the University of Southern Denmark, University of Florida, USA, and Macquarie University, Australia; 2015.

34. Nemeth C, Wears R, Woods D, Hollnagel E, Cook R. Minding the Gaps: Creating Resilience in Health Care. In: Henriksen K, Battles JB, Keyes MA, Grady ML. Rockville, MD. *Advances in Patient Safety: New Directions and Alternative Approaches*. Agency for Health-care Research and Quality Publication; 2008. [acessado 2010 Dez 10]. Disponível em: http://www.ahrq.gov/qual/advances2/

35. Dekker S. Reconstructing human contributions to accidents: the new view on error and performance. *J Safety Res* 2002; 33(3):371-385.

36. Cook R, Render M, Woods DD. Gaps in the continuity of care and progress on patient safety. *BMJ* 2000; 320(7237):791-794.

37. Patterson M, Deutsch ES. Safety-I, Safety-II and Resilience Engineering. *Curr Probl Pediatr Adolesc Health Care* 2015; 45(12):382-389.

38. Daniellou F, Simard M, Boissières I. Human and organizational factors of safety : state of the art. In: Daniellou F, Simard M, Boissières I. *Les cahiers de la sécurité industrielle*. Toulouse: FonCSI; 2011.

39. Lundberg J, Rollenhagen C, Hollnagel E. What-You-Look-For-Is-What-You-Find - The consequences of underlying accident models in eight accident investigation manuals. *Safety Sci* 2009; 47(10):1297-1311.

40. Fischhoff B. Hindsight =/=- foresight: the effect of outcome knowledge on judgment under uncertainty. *Qual Saf Health Care* 2003; 12(4):304-311.

41. Cru D. Le risque et la règle. Le cas du bâtiment et des travaux publics. Paris: Eres; 2014.

42. Hollnagel E. *The ETTO Principle : Efficiency - Thoroughness Trade - Off. Why things that go right sometimes go wrong?* Farnham: Ashgate; 2009.

43. Norros L. *Acting under Uncertainty. The Core-Task Analysis in Ecological Study of Work*. Espoo: VTT publications 546; 2004.

44. Smith DG. Viewpoint: Envisioning the Successful Integration of EBM and Humanism in the Clinical Environment: Fantasy or Fallacy? *Acad Med* 2008; 83(3):268-273.

45. Cuvelier L, Falzon P, Granry JC, Moll MC, Orliaguet G. Planning safe anesthesia: the role of collective resources management. *Int J Risk Saf Med* 2012; 24(3):125-136.

46. Re A, Macchi L. From cognitive reliability to competence? An evolving approach to human factors and safety. *Cogn Technol Work* 2010; 12(2):79-85.

47. Pedersen KZ. Standardisation or resilience? The paradox of stability and change in patient safety. *Sociol Health Illn* 2016; 38(7):1180-1193.

48. Bachelard G. *La formation de l'esprit scientifique*. Paris: Librairie philosophique Vrin; 1938, ed. 2004.

49. Tisseron S. *La résilience*. 2ème edn. Paris: PUF, Que saisje ?; 2008.

50. Cyrulnik B. « Il y a une vie après l'horreur », Entretien de Boukhari S. *Le courrier de l'UNESCO* 2001, Nov.:47-51.

51. Hollnagel E, Pariès J, Woods D, Wreathall J. *Resilience Engineering in Practice: A Guidebook vol. 3 Resilience Engineering Perspectives*. Farnham: Ashgate; 2010.

52. Cuvelier L. L'ingénierie de la résilience : un nouveau modèle pour améliorer la sécurité des patients ? L'exemple de l'anesthésie. *Santé publique* 2013; 25(4):475-482.

53. Amalberti R. Les effets pervers de l'ultra sécurité en médecine. *Revue hospitalière de France* 2002; 489:7-15.

54. Reis M, Borges M, Gomes JO. Identifying Resilient Actions in Decision Making During Emergencies. In: Adam F, Humphreys P, editors. *Encyclopedia of Decision Making and Decision Support Technologies*. Hershey: IGI Global; 2008. p. 434-442.

Artigo apresentado em 10/11/2016

Aprovado em 24/04/2017

Versão final apresentada em 26/04/2017

<figure><img src="image_1.png" /></figure>