4.2 Chaîne d'alerte et levée de doute

Une chaîne d'alerte ne commence pas au déclenchement de l'alarme : elle commence au moment où le travailleur prend son poste. C'est là que se constituent les informations sans lesquelles les secours ne sauront ni où aller ni ce qu'ils vont trouver.

L'INRS liste ce que le travailleur transmet au poste de surveillance au début de son intervention :

• le lieu d'intervention, et éventuellement le moyen d'y accéder ;
• la durée probable de l'intervention ;
• le type d'intervention : nature des activités, matériels sur lesquels elle porte.

« Toutes ces informations essentielles à la prise en charge du travailleur isolé par les secours doivent être consignées au poste de surveillance. »

— INRS, ED 6288, annexe 2

Le support — papier ou informatique — doit être défini à l'avance. Une information transmise oralement et non consignée disparaît au premier changement d'équipe.

S'y ajoutent deux éléments qui relèvent de l'organisation générale et non du travailleur :

• le poste de surveillance doit disposer des moyens d'accéder à tous les locaux où des travailleurs isolés sont susceptibles d'intervenir ;
• la durée probable annoncée sert de repère : un dépassement significatif sans nouvelle est en soi un signal.

C'est aussi au maillon zéro que se joue la clôture : le travailleur signale la fin de son intervention ou de son service. Sans signalement de fin, le suivi ne se termine jamais proprement — et l'on ne sait plus qui est encore sur site.

Il existe deux points d'entrée dans la chaîne, et il est essentiel de les tenir tous les deux.

L'alarme du dispositif. Déclenchée manuellement ou automatiquement, elle est transmise directement (liaison filaire ou hertzienne) ou par un relais intermédiaire. C'est la voie rapide : elle permet « d'envisager le déclenchement de l'alarme dès l'apparition de la situation de détresse et sans attendre que le délai prévu par les mesures organisationnelles ne soit écoulé ».

Le rendez-vous manqué. C'est la voie lente, et c'est le filet de sécurité : « Lorsqu'un travailleur isolé manque un de ces rendez-vous planifiés, le poste de surveillance doit essayer d'entrer en contact avec lui. » Cette voie fonctionne même si le dispositif est en panne, déchargé ou hors couverture — c'est-à-dire précisément dans les cas où la voie rapide échoue.

D'où la règle d'architecture énoncée par l'INRS : le dispositif « ne doit en aucun cas se substituer aux mesures organisationnelles pour le suivi des travailleurs isolés, mais seulement compléter ces mesures », car « la disponibilité de ces dispositifs n'est jamais garantie et les mesures organisationnelles permettront de pallier aux situations où les DATI seraient inopérants ».

Sur la transmission, les défaillances possibles sont connues et doivent être anticipées dans l'organisation des secours : capteur défaillant, boîtier défaillant (batterie, panne électronique), « canal de transmission rompu (couverture GPS imparfaite, saturation des réseaux, cage de Faraday, relais intermédiaire en panne) », « délais de transmission altérés », et « indisponibilité du poste de réception des alarmes ».

« Lors de la détection de la situation de détresse d'un travailleur isolé, ou en cas de déclenchement d'une alarme, le poste de secours doit disposer d'un moyen de communication pour pouvoir contacter le travailleur concerné et ainsi vérifier la réalité de l'alarme avant l'envoi des secours. Si le besoin d'assistance est confirmé ou en cas d'impossibilité de contacter le travailleur isolé, les secours seront dépêchés pour le prendre en charge. »

— INRS, ED 6288, § 2.4.3

La règle d'or tient dans la seconde phrase : l'impossibilité de joindre vaut confirmation. Ne pas obtenir de réponse n'est pas un résultat neutre qu'on pourrait réessayer plus tard — c'est le déclencheur de l'envoi des secours. Toute procédure qui laisse la possibilité d'attendre « encore un peu » en l'absence de réponse est défaillante sur son point le plus critique.

La finalité est double, et il ne faut pas retenir que la première :

• Éviter la multiplication des déclenchements inutiles. « Cette procédure dite de levée de doute est indispensable pour éviter une multiplication du déclenchement des secours lors de fausses alarmes. » L'INRS rappelle les causes ordinaires : « le salarié a pu rencontrer des difficultés pour se signaler au poste de secours, un échange périodique avec le poste de secours a pu être oublié… »
• Crédibiliser le dispositif. « L'objectif de la levée de doute est de fiabiliser au maximum les conditions du déclenchement effectif des secours à destination d'un travailleur isolé et donc de crédibiliser la procédure d'organisation des secours et les dispositifs techniques déployés. »

Ce second point est décisif. Une organisation qui envoie les secours sur chaque alarme sans vérification finit par ne plus être prise au sérieux, en interne comme à l'extérieur ; une organisation qui filtre correctement gagne en crédibilité, et ses appels sont traités comme ils doivent l'être.

Par quel moyen ? L'INRS cite deux possibilités offertes par certains dispositifs : un échange vocal (liaison bidirectionnelle radio, téléphone) ou un échange par message alphanumérique (messagerie bidirectionnelle). L'avantage est de limiter l'équipement à un seul appareil. L'inconvénient est rappelé sans détour : « le moyen de communication ne sera opérationnel que si le DATI est opérationnel. En cas d'indisponibilité ou de panne du DATI, la levée de doute ne sera plus possible. »

C'est pourquoi l'INRS présente le moyen de communication comme un dispositif technique complémentaire à part entière : « Par cet intermédiaire, le poste de secours pourra procéder à la levée de doute avant l'envoi des secours, en essayant de contacter le travailleur isolé pour confirmer la nécessité d'intervention. »

Une fois la détresse confirmée — ou le contact impossible — le poste de surveillance applique la procédure définie. Ses obligations, telles que l'INRS les énumère parmi les six missions du surveillant :

1. Déclencher les secours à destination du salarié « en fournissant toutes les informations nécessaires pour le localiser le plus précisément possible et intervenir dans les meilleures conditions ».
2. S'assurer de la prise en charge du salarié par les secours — la mission ne s'arrête pas à l'appel passé.
3. Poursuivre le suivi des autres salariés sous sa responsabilité. C'est le point que l'improvisation fait toujours perdre : pendant qu'on gère un incident, les autres travailleurs isolés ne sont plus suivis. Sur un poste à un seul agent, il faut avoir prévu qui prend le relais.

Dans l'exemple hospitalier détaillé par l'INRS, la procédure interne prévoit l'envoi d'un intervenant secouriste interne avant l'appel aux secours extérieurs, puis la transmission aux secours de toutes les informations disponibles au poste de surveillance. Dans l'exemple de l'équipe en site étendu, « un des autres membres de l'équipe sera chargé du déclenchement effectif des secours » et de la transmission des informations permettant de localiser le chantier ou de fixer un point de rendez-vous pour conduire les secours jusqu'au lieu.

Ce dernier élément est souvent décisif en pratique : sur un site étendu, un chantier ou une zone industrielle, quelqu'un doit guider les secours. Le prévoir dans la procédure — qui va au portail, avec quelles clés, par quel chemin — fait gagner plus de temps que n'importe quelle précision de localisation.

Les numéros à connaître : 15 (SAMU), 18 (sapeurs-pompiers), 17 (police, gendarmerie) et 112 (numéro d'urgence européen). Ils figurent au dispositif d'alerte que l'employeur met en place sur les lieux de travail dans le cadre de l'organisation des premiers secours.

Aucune de ces défaillances ne se voit sur un schéma d'architecture : toutes se découvrent en simulant une situation de détresse, ce que l'INRS recommande de faire périodiquement et systématiquement après un événement marquant. C'est l'objet du chapitre suivant.

Le scénario d'alerte tient sur une page et se relit en trente secondes — condition pour être appliqué sous stress. Trame :

1. Événement déclencheur. Les deux entrées : alarme reçue, ou rendez-vous périodique manqué.
2. Délai de réaction. Au bout de combien de temps après un rendez-vous manqué le surveillant engage la levée de doute.
3. Levée de doute. Par quel moyen on tente de joindre le travailleur, combien de tentatives, sur quels canaux successifs.
4. Règle de bascule. Détresse confirmée ou impossibilité de joindre = envoi des secours. Sans exception, sans validation hiérarchique préalable.
5. Qui est appelé, dans quel ordre. Intervenant interne d'abord si l'organisation le prévoit, puis secours publics — ou secours publics d'emblée si la situation est claire.
6. Informations à transmettre. Identité, lieu précis, moyen d'accès, nature de l'intervention en cours, heure du dernier contact, type d'alarme reçue.
7. Guidage. Qui accueille les secours, où, avec quelles clés ou quels codes.
8. Continuité. Qui reprend le suivi des autres travailleurs isolés pendant la gestion de l'incident.
9. Clôture et traçabilité. Ce qui est consigné : heures, actions, issue. Cette trace alimente l'évaluation périodique et, le cas échéant, l'analyse de l'accident.

Deux réflexes de mise en œuvre :

• Afficher le scénario au poste de surveillance, sous une forme lisible, avec les numéros à jour. Un document rangé dans un classeur n'existe pas à trois heures du matin.
• Le faire relire et tester par ceux qui l'appliqueront. L'INRS insiste sur la simplicité comme condition d'acceptation, et sur l'évaluation périodique par simulation comme moyen de détecter « failles, dérives, inefficacités, incompréhensions, complexités ».

Après tout incident réel, l'analyse de ce qui s'est passé dans la chaîne relève de la même démarche qu'une analyse d'accident : notre outil d'arbre des causes permet de la conduire et d'en tirer les corrections à porter au dispositif comme au document unique.