Bosser son BOS !
… ou comment améliorer la conformité réglementaire en intégrant la gestion des risques
Par Bertrand Kornfeld

PAROLE D'EXPERT

Diplômé de HEC Montréal et MBA Theseus EDHEC, Bertrand Kornfeld est directeur de mission au sein de Bull Management. Basé à Strasbourg, il accompagne les clients dans leur démarche de Gestion Intégrée de la Conformité Réglementaire.

L’analyse et l’identification des risques est au cœur des préoccupations des dirigeants et est indissociable de la gouvernance d’entreprise. La complexité des écosystèmes et des cycles de gestion, ainsi que l’explosion du volume de textes réglementaires et des canaux de communication entre parties prenantes sont autant de paramètres qu’un dirigeant doit parfaitement maîtriser pour un meilleur pilotage et l’assurance de la conformité réglementaire.

Comment intégrer la gestion des risques au métier de l’organisation ? Sur quels objets métier faire reposer la détection des risques ? Comment prévenir les accidents et se conformer à tous les textes réglementaires ?
Cette parole d’expert propose des réponses centrées sur le Bill of Substances (BOS) et sa gestion dans un progiciel.

De l’alignement du système d’information à la programmation de la conformité réglementaire

Le système d’information (SI) contribue aux finalités de l’organisation s’il est aligné sur la stratégie. Les progiciels et environnements logiciels standardisés constituent des choix fréquents pour réaliser ce système d’information. La sagesse préconise une minimisation des modifications au logiciel standard et la satisfaction prioritaire de 80% des besoins fonctionnels exprimés sur les systèmes transactionnels. Pour gérer les relations avec certaines parties prenantes, des modules transverses ont vu le jour, comme le CRM, le PLM, le SRM ou encore le SIRH. Enfin, pour favoriser la mise en œuvre efficace de ces logiciels et la couverture des besoins par des processus métiers éprouvés, la capitalisation de nombreux projets aboutit à la définition de meilleures pratiques.

Mais ce qui caractérise aujourd’hui cet écosystème, ce sont les changements constants et profonds dans les organisations, tant publiques que privées. Lieu de travail, acteurs impliqués dans le processus de travail, nature des tâches, évaluation de la performance… même si la mission est parfois restée inchangée, les changements des dernières décennies sont incontestables ! Et si le progrès technique y joue un grand rôle, d’autres facteurs interviennent sans cesse :

• les parties prenantes ayant un intérêt pour ce que fait l’organisation ;
• la réglementation, qu’elle soit supranationale ou nationale ;
• les nouveaux risques métier ;
• les responsables qui, d’obligations de moyens, sont passés à des obligations de résultats pour se conformer à certains textes réglementaires, dont le code du travail.

Plusieurs situations amènent les organisations à formaliser une gestion de la conformité réglementaire, même dans des contextes où les mutations constantes et l’impératif de la gestion au quotidien rendent difficile cette approche. Parmi elles :

• passer d’efforts individuels pour se conformer à certains textes réglementaires à un effort collectif pour se conformer à tous les textes réglementaires ;
• sortir de discussions sur la facilité d’emploi respective des logiciels pour effectuer un saut qualitatif significatif vers des applications auditables et aptes à informer la gestion des risques ;
• intégrer la conformité aux textes réglementaires spécifiques à l’établissement à des approches pilotées de manière centrale (par exemple conformité REACh*);
• migrer vers des applications conçues pour échanger électroniquement et dériver certaines données.

Le diagramme ci-dessous, qui correspond au contexte réglementaire français, établit la cartographie des éléments nécessaires à une gestion des risques et permet d’esquisser le cadre d’une programmation de la conformité règlementaire et de la gestion des risques. Il s’adapte également au contexte des Etats européens et Etats de droit hors Europe

Elaborez et faites confiance à votre BOS
Prenons l’exemple d’une activité de production mettant en œuvre un certain nombre d’articles en des quantités déterminées au cours d’opérations exécutées au moyen de machines et d’équipements définis. Pour maintenir en condition opérationnelle les machines et équipements, la description de leurs composants et de leurs processus d’entretien sont nécessaires pour en assurer la maintenance corrective, voire préventive ou prédictive. Pour assurer une circulation fluide dans les ateliers et magasins, la connaissance des emplacements de stockage et des routes empruntées par les transports internes permet à un Manufacturing Execution System de planifier et contrôler tous les mouvements physiques de matières et produits sur un site industriel.

Le Bill of Substances (BOS) est la liste des substances mises en présence à un moment donné en un lieu donné.
Peu importe qu’il s’agisse d’une matière première, d’un sous-produit, du carburant d’une machine, d’un produit amené par un travailleur d’une entreprise extérieure ou d’un équipement de mesure amené par le service de maintenance, ces produits contiennent ou émettent des substances. Ces substances ont des caractéristiques (physico-chimiques, toxicologiques, etc.) et des interactions qui induisent des risques.
Pour élaborer le BOS d’un lieu particulier, les utilisateurs de gestion de production recevront une aide précieuse des nomenclatures de fabrication des produits discrets et des recettes des produits issus de processus. Copie, référencement et héritage sont les mécanismes de gestion des caractéristiques des substances, alors que l’interfaçage avec la gestion des stocks met en relation un article et une ou plusieurs substances. Une entreprise extérieure déléguant sur le site des travailleurs doit pouvoir saisir dans le BOS les substances amenées par ses travailleurs. Il en va de même pour les travailleurs des entités administratives internes susceptibles de pénétrer sur le lieu.

Le BOS a-t-il besoin du SI ?
Il est possible d’effectuer manuellement certaines mesures, mais pour des volumes de données plus importants ou pour aider la prise de décision, les choix d’architecture applicative envisageables pour détecter les risques s’imposent et incluent :

• la gestion des matières ;
• la gestion des substances ;
• un portail ;
• un moteur d’inférence ;
• des rôles pour des utilisateurs nommés au sein d’un workflow séparant la planification de l’autorisation des mouvements par le dirigeant ou son délégataire de pouvoir.

De même, pour agir sur les risques détectés, le système d’information dispose éventuellement de fonctions pouvant bloquer certaines actions sur le site. On peut imaginer, par exemple, bloquer les badges d’accès des personnels d’une société extérieure ayant négligé de saisir ses substances sur le BOS, envoyer un courriel d’alerte au responsable de la sécurité ou faire consigner au bureau du chef d’atelier les équipements de maintenance, vecteurs de risque en zone ATEX (atmosphère explosible).

Ne plaisantez pas avec le BOS !
Trois bonnes raisons pour investir dans le BOS sont fournies tant par le code du travail, que par l’évaluation des risques industriels et par REACh*.

1. Le code du travail (article R4412-40) impose à l’employeur de fournir au médecin du travail la liste actualisée des salariés exposés à des substances chimiques dangereuses. Une liste des substances chimiques dangereuses n’existant pas et la classification CMR (cancérogène, mutagène, reprotoxique) des substances faisant passer, au fur et à mesure des progrès des sciences de la vie, des substances d’une catégorie à une autre, il convient, pour être conforme au droit du travail, d’enregistrer l’exposition à toutes les substances sur la fiche individuelle d’exposition.
2. Un risque industriel ne se potentialise en accident que si un danger, un mode de transfert et une cible existent. Une démarche de sécurité peut viser à éliminer le transfert et minimiser la cible pour chaque danger qu’on ne parvient pas à éliminer. Le BOS est un modèle du flux de danger. La mise en présence dans un même lieu de substances et leur interaction constituent le mode de transfert. Les cibles sont typiquement les travailleurs présents en ce lieu. Ceux partageant avec ce lieu l’aération, ainsi que les équipements, sont aussi exposés à certains risques (incendie, ATEX, gaz toxiques).
3. REACh* s’impose aux entreprises européennes produisant, exportant, important, vendant ou utilisant des substances chimiques. La descente d’information de sécurité (Fiches de Données de Sécurité et étiquetage des substances) du producteur à l’utilisateur et la remontée de l’utilisateur au producteur des cas d’exposition aux substances chimiques sont obligatoires. La dématérialisation des FDS est en bonne voie. Les organisations doivent se préparer à disposer d’un système d’information avec une version unique de la vérité sur les substances chimiques dans une base de données partagée ou attendre jusqu’à devoir saisir ces données tabulaires dans des feuilles de tableur et vivre avec les dangers afférents.
   

Quel que soit votre secteur d'activité, un BOS s'impose.
Diamétralement situées par rapport aux entreprises industrielles, se trouvent les entreprises de service à la personne. Là aussi se tapissent les risques encourus par les travailleurs auxquels s'ajoutent les personnes clientes. Peut-être ceux-ci sont-ils exposés à des substances donnant lieu à réglementation (par exemple produits chimiques) et à des dangers émergents n’ayant pas (encore) de texte réglementaire (par exemple les nanoparticules). Dans ces contextes, au-delà des obligations du code du travail à l'égard des travailleurs et du code de la construction et de l'habitation pour le public, le délit de mise en danger délibérée de la personne d'autrui est constitué s’il est établi l’existence d'une obligation particulière de sécurité ou de prudence imposée par la loi ou le règlement, s'il y a la violation manifestement délibérée de cette obligation et l’exposition directe d'autrui, ainsi que l’existence pour autrui d'un risque immédiat de blessure ou de mort.

Il convient de noter que le risque n’a pas besoin de se matérialiser en accident pour que le délit soit constitué et que les personnes physiques qui n'ont pas causé directement le dommage, mais qui ont créé ou contribué à créer la situation conduisant à la réalisation du dommage ou qui n'ont pas pris les mesures permettant de l'éviter, sont responsables pénalement si les quatre conditions listées plus haut sont remplies.

Les secteurs d'activité banque de détail, grande distribution et hôpital connaissent des BOS moins peuplés et moins fréquemment mis à jour que les établissements industriels. La logique métier et les composants d'architecture applicative du BOS y sont similaires à ceux des entreprises industrielles.

Programmer la conformité réglementaire, première étape incontournable
L’aptitude des dirigeants à se conformer à la réglementation, à gérer les risques et à s’adresser de manière cohérente à chacune des parties prenantes revêt une importance croissante.

La pratique intégrée de la conformité réglementaire est un thème consensuel avec les parties prenantes. Elle constitue un facteur d’hygiène pour des buts plus larges. Lorsque ce facteur d’hygiène est satisfait, il est possible d’élargir la gestion à des risques métier comme le risque de réputation (voir http://gmfactsandfiction.com à titre de contre-exemple) et d’utiliser ces bases pour d’autres buts d’entreprise comme la responsabilité sociétale.

Le processus de documentation des substances chimiques et des liens existant avec d’autres objets d’intérêt dans le système d’information des organisations comme les articles, les travailleurs, les équipements et les clients semble une démarche de fond. Cette démarche est en cours dans la plupart des organisations parce que la nature a aussi horreur du vide dans le reporting réglementaire. Le timing et la pertinence des interventions sur ce processus déterminent la nature des technologies sur un continuum allant du module de progiciel intégré à la forêt de feuilles de calcul ; et donc le niveau de sérénité des dirigeants.

Pour leur part, les consultants de Bull réalisent des approches de mise en œuvre flexibles et itératives. De la programmation des actions de mise en conformité à la gestion du changement et à la réalisation du système d’information, ils catalysent l’amélioration de la conformité réglementaire et de la gestion des risques.

*REACh : Registration Evaluation and Authorisation of Chemicals