Analyse des causes racines

Objectif

L'analyse des causes racines établit d'où vient un problème, pour que la correction porte sur son origine. Le choix du remède vient après elle et relève d'autres techniques.

Le livrable est un ensemble de causes vérifiées, rédigées comme des énoncés causaux, chacune rattachée à la preuve qui l'a fait retenir, puis remis à l'action corrective. Rarement une seule cause: le BABOK conduit l'analyse de façon itérative parce que plusieurs causes racines peuvent contribuer au même effet, et le PMBOK Guide relève qu'une même cause racine peut se trouver derrière plusieurs écarts ou défauts. Un rapport qui rend une cause unique pour un incident d'exploitation a le plus souvent arrêté l'analyse trop tôt.

L'emploi est réactif ou proactif. En analyse réactive, un problème est survenu et l'on cherche où corriger. En analyse proactive, on part d'un signal faible qui existe déjà, incident évité de justesse ou dérive mesurée, et l'on remonte à la condition qui le produit, avant que la défaillance ne survienne. La matière première reste donc un fait constaté. Le BABOK nomme les deux usages, avec une nuance venue des normalisateurs: l'IEC 62740 restreint son objet aux analyses a posteriori, tout en admettant que certaines techniques s'adaptent à la conception et à l'appréciation des risques.

Quatre activités structurent le travail, quelle que soit la technique retenue: la définition de l'énoncé du problème, la collecte des données sur la nature de l'effet, son ampleur, son lieu et son moment, l'identification de la cause et l'identification de l'action corrective qui préviendra ou limitera la répétition. Les deux techniques de la famille occupent la troisième activité. Les trois autres se conduisent de la même manière dans les deux cas, et la discipline qu'elles imposent pèse plus lourd sur le résultat que le choix de la technique.

Usage

Quand l'utiliser

• Problème récurrent malgré des correctifs successifs: la correction précédente a porté sur l'effet, le mécanisme est resté intact.
• Écart mesuré entre performance attendue et performance réelle: ampleur, lieu et période sont connus, l'énoncé du problème s'écrit aujourd'hui.
• Avant de spécifier une solution demandée: les exigences visent alors la cause du problème.
• Analyse de l'état actuel: établir qu'un problème affirmé par l'organisation est réel et d'où il provient.
• Après un incident ou une mise en production manquée: une action corrective doit être choisie puis défendue devant la gouvernance.
• Zone fragile où des signaux existent déjà: incidents évités de justesse, dérives mesurées, l'analyse remonte à la condition qui les produit.

Quand ne pas l'utiliser

• Mode de défaillance à imaginer sur un dispositif qui n'a pas encore tourné: rien à établir a posteriori, recourir à l'analyse des modes de défaillance (AMDEC) ou à l'analyse de risques.
• Cause déjà établie et documentée: il ne reste qu'à choisir entre des remèdes, passer à l'analyse décisionnelle ou à l'analyse multicritère.
• Acte délibéré ou fautif: la démarche n'attribue ni responsabilité ni faute, la voie est administrative ou celle des ressources humaines.

Symptôme, cause, cause racine

Trois termes se confondent dans l'usage courant et tout le reste en dépend. Le symptôme est ce qui s'observe et se mesure, le résultat visible qui a fait ouvrir l'analyse. L'OSHA le formule sans détour: corriger la seule cause immédiate élimine un symptôme du problème, pas le problème. Une cause est une circonstance ou un ensemble de circonstances qui mène à une défaillance ou à un succès, selon la définition de l'IEC 62740; entre l'origine et l'effet s'étend une chaîne de circonstances dont la dernière est la cause immédiate. La cause racine est la condition sous-jacente, de nature systémique, dont la suppression empêche la récurrence et qui désigne une défaillance corrigeable du système de travail.

Trois questions rendent ces définitions opérantes en séance. Si cette condition disparaissait, l'événement cesserait-il de se reproduire? C'est le critère de non-récurrence du PMBOK Guide. L'organisation a-t-elle les moyens d'y remédier? Une condition hors de son contrôle reste une contrainte à laquelle il faut s'adapter, et l'ASQ range ce critère de contrôlabilité parmi les trois qu'une cause racine doit remplir. En découle-t-il une action que l'on peut confier à quelqu'un? Une cause qui ne produit aucune recommandation exploitable n'a pas fini d'être analysée.

L'illustration publiée par l'OSHA reste la plus nette. Un collaborateur glisse sur de l'huile répandue au sol, l'enquête conclut « de l'huile au sol », le remède est d'éponger et de recommander la prudence. La cause racine était l'absence d'un programme d'intégrité mécanique qui aurait détecté la fuite. Les deux analyses portent sur le même incident et une seule empêche le prochain.

La discipline autour de l'analyse

L'énoncé du problème

Il porte les quatre dimensions de la collecte de données: la nature de l'effet, son ampleur, son lieu et sa période. « Sur les 500 demandes traitées au dernier trimestre, 160 ont dépassé le délai contractuel de 30 jours » est un énoncé. « Le traitement est trop lent » est une plainte: elle produit une analyse vague. Deux défauts d'écriture faussent la séance avant qu'elle commence: un énoncé qui contient une cause, « les règles de validation sont fausses », a déjà décidé du résultat; un énoncé qui contient une solution, « il nous manque une seconde validation », est un remède déguisé et il ne reste plus rien à analyser.

Les faits avant l'analyse

L'IEC 62740 pose le processus en cinq étapes ordonnées: initiation, établissement des faits, analyse, validation, présentation des résultats. Les preuves se rassemblent avant le travail causal. Rassemblées après coup, elles ne servent qu'à appuyer la conclusion à laquelle la salle est parvenue dans les dix premières minutes. Une organisation qui ouvre ses analyses par un tour de table d'hypothèses a inversé les deux premières étapes, et elle passera la séance à défendre la première explication énoncée.

La composition de l'équipe

La norme consacre une clause à l'équipe d'analyse, et le guide du VA est plus concret: les personnes de terrain sont généralement les mieux placées pour identifier les problèmes et les solutions. Toute analyse bute sur un plafond de connaissance, celui de ce que la salle sait du domaine. Faire entrer celui qui exécute le processus défaillant, celui qui tient le système en cause et un regard extérieur au service coûte trois invitations et déplace ce plafond.

La vérification

Une cause candidate est une hypothèse tant qu'une preuve ne l'a pas séparée des autres. L'IEC 62740 en fait une clause de validation à part entière du processus. Le BABOK porte la même exigence à l'intérieur du diagramme d'Ishikawa, en précisant que le groupe n'a identifié que des causes possibles et qu'une analyse ultérieure, idéalement fondée sur des données, reste nécessaire pour valider la cause effective. Sauter cette étape est l'erreur la plus coûteuse de toute la famille, parce que le livrable a l'air terminé: un mur de causes plausibles, une chaîne cohérente de bout en bout et aucune donnée derrière.

Vérifier a une forme concrète, la même quelle que soit la technique. Une cause candidate fait une prédiction, donc le test consiste à regarder là où l'effet devrait aussi se produire et là où il ne devrait pas: un autre site, une autre période, une autre équipe, un autre canal. Si la cause proposée est réelle, l'écart se retrouve partout où la condition est présente et nulle part ailleurs. La preuve se prend dans un système: un comptage, une date, une entrée de journal ou une extraction. Quand la donnée n'existe pas, la réponse honnête est de financer une mesure ciblée sur quelques semaines plutôt que de trancher au vote: une analyse qui repart avec la mention « à mesurer » et un responsable vaut mieux qu'une cause racine décidée à main levée.

L'écriture de la cause

Une cause se rédige selon une cadence fixe, celle du guide du VA: la cause, puis « a conduit à », puis l'effet, puis « ce qui a augmenté la probabilité que », puis l'événement. Cinq règles de causalité encadrent cette rédaction et valent bien au-delà de la sécurité des patients. Montrer explicitement le lien de cause à effet, là où un constat isolé du genre « le collaborateur était fatigué » s'arrête à l'effet. Employer des descripteurs précis: « le manuel mal rédigé » ne nomme pas ce qui manquait au manuel. Une erreur humaine doit être précédée d'une cause. Une violation de procédure exige elle aussi une cause qui la précède. Une omission n'est causale que s'il existait un devoir d'agir préalable. Les trois dernières sont la formulation générale d'une discipline que chacune des deux techniques applique de son côté: une analyse ne se termine jamais sur une personne.

Ni blâme ni responsabilité

L'IEC 62740 exclut de son champ l'attribution de la responsabilité ou de la faute. L'IHI dit la même chose depuis l'autre bout: l'examen ne porte pas sur la performance individuelle, et sa démarche est déconseillée pour les événements fautifs, actes criminels ou dangers délibérés, qui relèvent des voies administratives et des ressources humaines. La raison est pratique autant que déontologique. Une organisation qui a vu une analyse se terminer par une sanction ne fournira plus jamais de preuve utile, et toutes les analyses suivantes dépendent de cette source.

Choisir entre les deux techniques

Le choix de la technique est une étape de l'analyse, argumentée comme les autres. L'IEC 62740 lui consacre une clause entière et propose des attributs pour comparer les techniques entre elles; Doggett bâtit de son côté un cadre de sélection sur des caractéristiques documentées, capacité à faire apparaître les interdépendances causales, à maintenir la concentration du groupe, à rester lisible une fois achevée. La question qui décide tient en une ligne: une chaîne causale unique est-elle plausible et connue, ou faut-il d'abord balayer le champ?

Huit critères départagent les deux techniques, tirés de ce que chacune produit et de la manière dont chacune échoue.

Le BABOK décrit lui-même leur composition: les cinq pourquoi s'emploient seuls ou à l'intérieur du diagramme, une fois toutes les idées portées sur la figure, pour descendre jusqu'aux causes racines. La jonction se fait sur une candidate que la donnée a confirmée. Le diagramme d'Ishikawa dit où creuser, les cinq pourquoi creusent. La règle de routage tient en une phrase: balayer d'abord quand on ne connaît pas le champ, creuser d'abord quand on le connaît, faire les deux dans cet ordre quand la décision engage l'organisation.

Chacune échoue de sa manière propre, et le choix consiste aussi à savoir laquelle des deux défaillances on préfère surveiller. Un diagramme complet en apparence se prend pour une réponse: la salle admire le balayage, aucune branche n'est creusée, la validation n'a jamais lieu. Une chaîne unique s'impose à une réalité multicausale, se laisse construire à rebours par qui connaît déjà sa conclusion et se termine confortablement sur une erreur humaine. Les deux se surveillent pendant la séance: à la relecture, un diagramme complet et une chaîne cohérente ont l'apparence d'un travail réussi.

Le champ est plus vaste que ces deux techniques. L'IEC 62740 en décrit une douzaine dans son annexe C, dont la cartographie des événements et facteurs causaux, l'arbre de défaillances et Tripod Beta, ainsi que quatre modèles causaux dont celui du fromage suisse de Reason. Quelques méthodes voisines se confondent régulièrement avec l'analyse des causes racines. L'analyse de Pareto sélectionne le problème qui mérite l'analyse et se place donc avant elle. Le A3 est un format de rapport et de résolution de problème: il accueille une analyse de causes sans en fournir la méthode. Le 8D et la méthode Kepner-Tregoe sont des démarches structurées complètes, dont l'analyse causale n'est qu'une phase.

Une frontière plus large mérite d'être posée: il existe des situations où toute la famille est le mauvais instrument. Un processus qui a toujours produit ce niveau de résultat, avec des variations qui restent dans sa dispersion habituelle, ne présente aucun événement à expliquer. Sa variation est commune, c'est-à-dire produite par le processus lui-même, par opposition à la variation spéciale, qui signale qu'un facteur extérieur est intervenu à un moment identifiable. Ouvrir une analyse sur de la variation commune fabrique une cause, parce qu'un groupe à qui l'on demande d'en trouver une en trouve toujours une, et la correction qui suivra portera sur un mois qui n'avait rien de particulier. L'étape préalable est donc de séparer les deux, en portant la mesure sur une carte de contrôle ou simplement en comparant la période incriminée à l'historique complet. Un point hors des limites habituelles ouvre l'analyse; un mois un peu moins bon que les autres appelle un travail sur la capacité du processus, qui est une autre discipline.

De la cause à l'action

L'analyse s'arrête à la cause vérifiée. La quatrième activité, l'identification de l'action, définit la correction qui préviendra la répétition, puis la main passe à ceux qui décident et exécutent. Ce passage de relais est le point de rupture documenté de la pratique: l'IHI a rebaptisé le processus RCA², Root Cause Analyses and Actions, pour marquer que la prévention exige des actions. Peerally et ses coauteurs rangent le suivi défaillant des actions parmi les trois défauts principaux de l'analyse des causes racines telle qu'elle se pratique.

La qualité d'une action se juge sur sa force, c'est-à-dire sur ce dont elle dépend pour tenir. La hiérarchie établie par le VA et diffusée par l'IHI classe les actions en trois niveaux.

« Former les équipes et mettre à jour la directive » comme plan d'action complet est la manière la plus fréquente pour une analyse juste de ne rien produire. Chaque action retenue porte un responsable nommé, une échéance et une mesure qui dira si elle a fonctionné, et le plan est soumis à la direction qui l'approuve et le finance. Pour une organisation certifiée, la norme ISO 9001 place cette démarche dans le système de management: face à une non-conformité, l'organisme évalue la nécessité d'agir pour éliminer la ou les causes, afin qu'elle ne se reproduise pas et n'apparaisse pas ailleurs.

Considérations IA

Trois emplois se tiennent, tous sur la matière de l'analyse. Le balayage du passé rapproche l'énoncé du problème de l'historique des incidents, des tickets et des journaux, en tire des candidates que personne n'aurait formulées et attaque le plafond de connaissance de la salle. Le tri en amont regroupe des milliers d'incidents par similarité et fait apparaître quel problème mérite une analyse, sélection que personne ne fait à la main. La mise en forme rédige les énoncés causaux dans la cadence attendue à partir des notes de séance, puis relit le plan d'action contre la hiérarchie des actions et signale celui qui ne contient que de la formation et une directive.

La limite tombe exactement sur les deux actes qui font l'analyse. Un modèle propose des candidates et relit un plan d'action contre la hiérarchie des actions, deux opérations sur du texte. Il ne peut faire ni l'une ni l'autre des deux choses dont dépend le résultat: vérifier une candidate contre une preuve, qui consiste à aller chercher le comptage, la date ou l'entrée de journal dans un système et à comparer les périodes et les sites, et choisir la technique, qui suppose de savoir ce que la salle connaît du domaine, de quelles données elle dispose et quelle trace l'organisation devra montrer. Toute cette famille de techniques échoue de la même manière, en acceptant une explication parce qu'elle est plausible, et un texte généré est plausible par construction: une proposition issue d'un modèle entre donc dans l'analyse au rang d'hypothèse à éprouver. Les matériaux, enfin, sont souvent nominatifs ou sensibles, journaux d'accès, dossiers de clients, éléments issus des ressources humaines: leur traitement dans un outil externe suppose la base légale et l'habilitation qu'exige la protection des données.

Visualisations

Ce qu'une analyse laisse derrière elle est un dossier écrit. Quatre pièces le composent, dont trois sont faites de lignes et de colonnes.

Un tableau tenu dans un document se trie, se relit par colonne et se rouvre au trimestre suivant. La quatrième pièce est la figure que produit la technique retenue, dont la forme appartient à cette technique. Reste la décision qui précède tout, celle du choix de la technique: elle se dessine, parce qu'elle est faite de questions et de bifurcations.

Coût

Outils

La séance elle-même ne demande rien: un tableau blanc, un paperboard ou un document partagé tenu en direct suffisent, et l'analyse se conduit là où le problème se produit. À distance, un tableau blanc numérique (Miro, Mural) remplace le mur sans perte, à condition que le contenu soit ensuite recopié dans un document, qui devient le registre.

Le tableur est l'outil du registre des causes et du plan d'action, parce que la colonne des preuves y devient une contrainte visible. Les données qui départagent les candidates viennent des systèmes: requête sur la base de production, extraction de l'outil de billetterie, tableau de bord de pilotage. C'est le poste d'outillage le plus déterminant, puisqu'il décide si la validation aura lieu.

Deux familles de logiciels spécialisés interviennent en aval. Les plateformes de gestion d'incidents proposent des modèles de post-mortem où l'analyse causale est un champ structuré et où les actions deviennent des tickets suivis, ce qui traite directement le défaut de suivi. Les logiciels de management de la qualité (TapRooT, Intelex, Cority) imposent une trame, conservent une trace auditable et permettent de comparer les analyses entre elles, ce qui compte dès qu'elles s'accumulent. Aucun de ces outils ne pose une question, ne vérifie une preuve ni ne choisit une action forte.

Sources

• IIBA, A Guide to the Business Analysis Body of Knowledge (BABOK Guide) v3, §10.40 Root Cause Analysis: la définition, les analyses réactive et proactive, les quatre activités, les deux techniques de la famille et leur composition.
• PMI, A Guide to the Project Management Body of Knowledge (PMBOK Guide), 8e édition: pmi.org/standards/pmbok. La définition de la cause racine, le critère de non-récurrence et le fait qu'une même cause racine peut se trouver derrière plusieurs écarts.
• IEC 62740:2015, Root cause analysis (RCA): webstore.iec.ch/en/publication/21810. Le processus en cinq étapes et sa clause de validation, la définition de la cause, la restriction aux analyses a posteriori, l'exclusion de la responsabilité et de la faute, la sélection des techniques et l'inventaire des annexes B et C.
• OSHA et EPA, The Importance of Root Cause Analysis During Incident Investigation (OSHA 3895): osha.gov/publications/OSHA3895.pdf. La définition de la cause racine, le contraste entre symptôme et cause immédiate et l'illustration de l'huile répandue.
• American Society for Quality, What is Root Cause Analysis?: asq.org/quality-resources/root-cause-analysis. Les trois critères qu'une cause racine doit remplir, dont la contrôlabilité par l'organisation, d'après Rooney et Vanden Heuvel, Root Cause Analysis for Beginners, Quality Progress, juillet 2004.
• VA National Center for Patient Safety, Guide to Performing a Root Cause Analysis, révision 02/2021: patientsafety.va.gov/docs/RCA-Guidebook_02052021.pdf. La cadence de l'énoncé causal, les cinq règles de causalité et la place des personnes de terrain dans l'équipe.
• Institute for Healthcare Improvement, RCA²: Improving Root Cause Analyses and Actions to Prevent Harm: ihi.org/library/tools/rca2. Le renommage du processus autour des actions et l'exclusion des événements fautifs.
• Institute for Healthcare Improvement, Patient Safety Essentials Toolkit: Action Hierarchy: ihi.org/SafetyToolkit_ActionHierarchy.pdf. Les trois niveaux d'action et la règle d'au moins une action forte ou intermédiaire par cause.
• A. M. Doggett, Root Cause Analysis: A Framework for Tool Selection, Quality Management Journal 12(4), 2005: doi.org/10.1080/10686967.2005.11919269. Le cadre de sélection d'un outil d'analyse causale sur des caractéristiques de performance documentées.
• M. F. Peerally, S. Carr, J. Waring et M. Dixon-Woods, The problem with root cause analysis, BMJ Quality & Safety 2017;26:417-422: qualitysafety.bmj.com/content/26/5/417. La focalisation sur une cause unique, la faiblesse des analyses et le suivi défaillant des actions.
• ISO 9001:2015, §10.2 Non-conformité et action corrective: iso.org/standard/62085.html. L'obligation d'évaluer la nécessité d'agir pour éliminer la ou les causes d'une non-conformité.