L'article L4121-2 du Code du travail énumère les 9 principes généraux de prévention. Ces principes ne sont pas optionnels : ils constituent le cadre intellectuel obligatoire de toute action de prévention. Le DUERP et son plan d'action doivent les refléter explicitement. Texte intégral :

1. Éviter les risques ;
2. Évaluer les risques qui ne peuvent pas être évités ;
3. Combattre les risques à la source ;
4. Adapter le travail à l'homme, en particulier en ce qui concerne la conception des postes de travail ainsi que le choix des équipements de travail et des méthodes de travail et de production, en vue notamment de limiter le travail monotone et le travail cadencé et de réduire les effets de ceux-ci sur la santé ;
5. Tenir compte de l'état d'évolution de la technique ;
6. Remplacer ce qui est dangereux par ce qui n'est pas dangereux ou par ce qui est moins dangereux ;
7. Planifier la prévention en y intégrant, dans un ensemble cohérent, la technique, l'organisation du travail, les conditions de travail, les relations sociales et l'influence des facteurs ambiants, notamment les risques liés au harcèlement moral et au harcèlement sexuel [...] ;
8. Prendre des mesures de protection collective en leur donnant la priorité sur les mesures de protection individuelle ;
9. Donner les instructions appropriées aux travailleurs.

Ces 9 principes ne sont pas une liste à suivre dans l'ordre 1 → 9 mécaniquement : ils sont une grille de lecture. Pour chaque action de prévention envisagée, le préventeur se demande : « Ai-je d'abord cherché à éviter le risque (1) ? À le combattre à la source (3) ? À substituer (6) ? Ai-je préféré une protection collective (8) à une protection individuelle ? » Si la réponse à une seule de ces questions est négative sans justification, l'action choisie est juridiquement contestable.

Au-delà des 9 principes, la pratique professionnelle a structuré une hiérarchie opérationnelle des mesures de prévention, reprise par l'INRS et l'OPPBTP, parfois nommée « ESTOP » ou « pyramide STOP » (Substitution – Technique – Organisationnelle – Personnelle) :

1. Élimination du danger : la mesure idéale, à privilégier toujours. Exemple : remplacer un produit CMR par un produit non classé, automatiser une tâche de manutention dangereuse.
2. Substitution : à défaut d'élimination, remplacer par moins dangereux. Exemple : passer d'un solvant chloré (CMR) à un solvant aqueux (non CMR).
3. Mesures techniques / protections collectives (EPC) : capotage de machine, aspiration à la source, garde-corps, ventilation forcée, balisage. Ces mesures protègent tous les salariés sans dépendre de leur comportement individuel.
4. Mesures organisationnelles : rotation des postes, planning, consignes écrites, formation au poste, limitation du temps d'exposition.
5. Équipements de protection individuelle (EPI) : casque, gants, lunettes, harnais, masques. Ces équipements sont un dernier recours car ils dépendent du port effectif par le salarié et sont moins efficaces que les EPC.
6. Formation et information : toujours en complément des 5 niveaux précédents, jamais à la place. Article L4141-1 (formation à la sécurité).

Cette hiérarchie traduit en pratique le principe L4121-2 8° : « priorité protection collective sur protection individuelle ». Un DUERP qui descend systématiquement à l'EPI sans étudier la substitution ou les EPC est juridiquement fragile. Lors d'un contentieux suite à un AT, la première question du juge sera : « Aviez-vous étudié et écarté les niveaux supérieurs avant de retenir l'EPI ? » — et la réponse doit être tracée dans le DUERP.

L'article L4121-3-1 du Code du travail, introduit par la loi n° 2021-1018 du 2 août 2021 pour renforcer la prévention en santé au travail, impose dans toute entreprise d'au moins 50 salariés l'établissement d'un Programme Annuel de Prévention des Risques Professionnels et d'Amélioration des Conditions de Travail (PAPRIPACT).

« Dans les entreprises dont l'effectif est au moins égal à 50 salariés, le programme annuel de prévention des risques professionnels et d'amélioration des conditions de travail [...] fixe la liste détaillée des mesures devant être prises au cours de l'année à venir [...] ainsi que, pour chaque mesure, ses conditions d'exécution et l'estimation de son coût. »

— Article L4121-3-1 du Code du travail

Contenu obligatoire du PAPRIPACT pour chaque action retenue :

• Description de l'action (technique, organisationnelle, formation)
• Risque(s) ciblé(s) et UT concernées (lien explicite avec le DUERP)
• Conditions d'exécution : modalités, étapes, prérequis
• Échéance : date cible de réalisation
• Responsable / pilote de l'action
• Estimation du coût (investissement + fonctionnement)
• Indicateurs de résultat (avant / après)

Le PAPRIPACT est annuel et doit être soumis pour avis motivé du CSE (article L2312-27) avant le début de l'exercice qu'il couvre. L'avis du CSE n'est pas un avis conforme — la direction peut passer outre — mais il est tracé et constitue une pièce centrale en cas de contentieux ultérieur. Un PAPRIPACT non consulté en CSE rend irrégulière l'ensemble du dispositif de prévention de l'année.

Les TPE/PME de moins de 50 salariés ne sont pas dispensées de planifier la prévention. La loi du 2 août 2021 leur impose, au même article L4121-3-1, l'établissement d'une « liste consignant les actions de prévention des risques et de protection des salariés ». Cette liste est annexée au DUERP et fait l'objet d'une mise à jour annuelle.

Le contenu attendu est plus léger que le PAPRIPACT mais doit comporter à minima :

• Les actions de prévention retenues (avec lien explicite au DUERP)
• Leur priorité (rouge / orange / jaune en cohérence avec la cotation)
• Leur échéance prévue
• Le ou les responsable(s) (souvent le dirigeant lui-même en TPE)

La forme n'est pas imposée : tableau Excel, document Word, formulaire intégré au DUERP. L'essentiel est que la liste soit datée, signée par l'employeur, conservée 40 ans avec le DUERP correspondant (article L4121-3-1 issu de la loi du 2 août 2021 — durée de conservation alignée sur la durée de mémoire des CMR et asbestose).

En l'absence de CSE (entreprises < 11 salariés ou CSE non mis en place), la liste est consultée auprès des salariés directement, lors d'une réunion plénière dont un procès-verbal est rédigé. Cette consultation, bien qu'allégée, reste obligatoire : la participation des salariés à l'évaluation et à la prévention est un principe transversal posé par les articles L4121-2 et L4121-3.

Un plan d'action sans indicateurs est un plan d'intention. Trois indicateurs CNAM-AT font référence pour piloter l'efficacité réelle de la prévention :

Ces indicateurs doivent être calculés annuellement, intégrés au PAPRIPACT (rubrique « bilan année N-1 ») et au rapport annuel SSCT du CSE (article L2312-27). Les comparer aux moyennes sectorielles publiées par la CNAM-AT (Comité technique national CTN A à I) permet de positionner l'entreprise et de détecter une dérive. Selon les données CNAM-AT 2024, le taux de fréquence moyen national tous secteurs confondus est de 33,1 AT par million d'heures travaillées ; la branche BTP reste structurellement deux fois au-dessus.

Au-delà des indicateurs réactifs (qui mesurent les accidents passés), les meilleures pratiques intègrent désormais des indicateurs proactifs : nombre de remontées de presqu'accidents par mois, taux de visites de poste effectuées, pourcentage de salariés ayant reçu la formation sécurité dans l'année, délai moyen de traitement des signalements. Ces indicateurs anticipent les AT plutôt que de les compter après coup.

Voici un exemple concret de fiche action issue d'un PAPRIPACT d'entreprise industrielle de 180 salariés (secteur métallurgie). Elle illustre la rigueur attendue par la jurisprudence pour démontrer une « action de prévention sérieuse » :

Une fiche de ce niveau de détail montre que l'action a été réellement réfléchie à la lumière des 9 principes (priorité à l'EPC) et qu'elle est mesurable. À l'opposé, une fiche du type « Améliorer le bruit atelier, sensibiliser les salariés, 2026 » est juridiquement insuffisante : pas d'action concrète, pas d'échéance précise, pas de budget, pas d'indicateur. C'est ce niveau de précision qui distinguera, en cas de contentieux, un employeur ayant rempli son obligation de sécurité (Cass. soc. 25 nov. 2015) d'un employeur en faute.