4.3 Tester, former, maintenir en condition

« La bonne prise en charge de travailleurs isolés en situation de détresse doit reposer sur certaines procédures et matériels mis en place par l'employeur. Pour assurer leur efficacité et éviter toutes dérives dans le temps, ces mesures devraient être évaluées périodiquement, en simulant par exemple la situation de détresse d'un travailleur isolé, et systématiquement après un événement marquant (retour d'expérience particulier, accident…). »

— INRS, ED 6288, § 2.7.3

Trois éléments dans cette phrase méritent d'être soulignés :

• L'objet de l'évaluation, ce sont les procédures et les matériels. Tester le déclenchement d'un boîtier ne suffit pas : c'est la chaîne complète qui doit être éprouvée, jusqu'à la réception et l'escalade.
• La méthode est la simulation d'une situation de détresse, c'est-à-dire un test en conditions, pas une vérification sur papier.
• Le déclencheur « événement marquant » est systématique : un accident, mais aussi un incident sans dommage ou un retour d'expérience — y compris un incident survenu ailleurs dans la branche.

Aucune périodicité n'est imposée par un texte. Elle se fixe comme la périodicité des rendez-vous : à partir de l'analyse préliminaire, en fonction des risques, puis se corrige à l'usage. Ce qui compte est qu'elle soit décidée, écrite et tenue — une évaluation annuelle réellement faite vaut mieux qu'une évaluation trimestrielle affichée et jamais conduite.

Une évaluation a aussi un effet secondaire précieux : elle entretient la compétence des surveillants, qui traitent en général peu d'alarmes réelles, et elle rappelle aux porteurs que le dispositif est pris au sérieux.

Quelques règles de conduite :

• Tester là où c'est difficile. Un test réalisé dans le bureau du responsable sécurité ne prouve rien. Il faut tester dans les sous-sols, les locaux techniques, les points bas, les zones métalliques — là où la couverture est incertaine et où l'on est effectivement isolé.
• Prévenir les destinataires d'un test. Un test qui mobilise des secours publics sans les avoir prévenus est un déclenchement abusif : la simulation interne s'arrête à la frontière de l'organisation, sauf exercice organisé en accord avec les services concernés.
• Tester aux heures réelles. Le moment le plus utile pour éprouver un dispositif d'astreinte est la nuit ou le week-end, pas le mardi à 14 heures : c'est là que l'on découvre que le poste n'est pas occupé comme on le croyait.
• Consigner le résultat et les suites. Un test dont les anomalies ne sont pas corrigées est pire qu'un test non fait : il documente que l'on savait.

Le générateur de checklist de prise de poste permet d'intégrer le contrôle du dispositif et du moyen de communication au rituel de début de vacation, ce qui est la façon la plus sûre de rendre le test du porteur systématique.

L'INRS traite la formation comme un élément fondamental de la prévention du travail isolé, et il la formule de manière précise :

« Les différents personnels concernés doivent, selon leur rôle (surveillant, travailleur isolé…), être formés au détail de toutes les mesures organisationnelles les concernant, à leurs obligations dans ce cadre, ainsi qu'à la prise en main des DATI et des dispositifs techniques complémentaires éventuellement déployés. »

— INRS, ED 6288, § 2.7.2

Deux publics, donc, et le second est presque toujours oublié.

Le travailleur isolé doit savoir : comment porter et vérifier son dispositif ; comment déclencher volontairement et comment annuler une alarme non justifiée ; ce qu'il doit signaler, à qui et quand (début, rendez-vous, fin) ; ce qu'il doit faire en cas de situation imprévue ; et surtout les limites de son domaine d'intervention — « limites dont il a dû être explicitement informé », pour prévenir le dépassement de tâche. Il doit aussi connaître les limites du dispositif : zones sans couverture, pannes possibles, et le fait que l'alarme n'est pas une garantie.

Le surveillant doit être formé à ses six missions, au scénario d'alerte, à la levée de doute, aux informations à transmettre aux secours, à l'accès aux locaux, et au passage de consignes. C'est lui qui prend les décisions sous stress, souvent seul et rarement — la formation et l'entraînement par simulation sont sa seule préparation.

Deux exigences de forme énoncées par l'INRS : « il est indispensable d'insister sur le caractère non facultatif des mesures prescrites », et « pour qu'elles puissent être acceptées par les salariés, les mesures les plus simples et les plus claires possibles doivent être privilégiées ».

Cas particuliers à ne pas manquer : la formation « concerne tous les salariés, y compris les nouveaux embauchés, les intérimaires, les sous-traitants, ceux qui viennent de changer de poste et ceux qui interviennent de façon occasionnelle ». Les salariés en CDD, les intérimaires et les stagiaires affectés à des postes à risques particuliers bénéficient en outre d'une formation renforcée à la sécurité, avec accueil et information adaptés.

Aucun texte ne fixe une liste de documents propres au travail isolé. Les pièces suivantes découlent des obligations générales et de la doctrine de l'INRS ; elles constituent le dossier qui permettra, en cas de contrôle ou d'accident, de démontrer ce qui a été fait.

1. Le document unique et sa rubrique travail isolé : situations repérées, analyse, mesures en place et programmées, responsables et échéances. Obligatoire (L4121-3, R4121-1), conservé dans ses versions successives pendant 40 ans.
2. La procédure de suivi : surveillant désigné, signalements, périodicité des rendez-vous, levée de doute, escalade, relève, cas dégradés (trame au chapitre 2.3).
3. Le scénario d'alerte affiché au poste de surveillance, avec des numéros à jour (trame au chapitre 4.2).
4. Les consignes remises au travailleur isolé : ce qu'il fait, ce qu'il ne doit pas entreprendre seul, comment demander assistance.
5. Le registre des échanges : signalements de début et de fin, horaires des rendez-vous périodiques. C'est le support que l'INRS demande de définir.
6. Les traces de formation : qui a été formé, à quoi, quand — porteurs, surveillants, intérimaires et intervenants occasionnels compris.
7. Les comptes rendus d'évaluation : simulations réalisées, anomalies constatées, corrections apportées et dates.
8. Le plan de prévention lorsqu'une entreprise extérieure intervient, avec les modalités prévues au titre de R4512-13.
9. Les éléments de conformité du matériel : déclaration UE de conformité, certificat ATEX le cas échéant, contrat de sous-traitance RGPD et analyse d'impact s'il y a géolocalisation.

Côté matériel, les points de vigilance découlent directement des causes de dysfonctionnement recensées par l'INRS :

• Batteries. Leur capacité décroît avec l'usage ; suivre les préconisations du fabricant et prévoir le remplacement avant la défaillance. Un dispositif déchargé est un dispositif absent.
• Capteurs. Leur bon fonctionnement se vérifie par le test périodique ; un capteur qui ne déclenche plus ne se signale pas de lui-même.
• Liaisons et relais. Les relais intermédiaires sont des équipements à maintenir comme les autres ; leur panne rompt la chaîne sans alerter personne.
• Parc de remplacement. Prévoir de quoi substituer immédiatement un dispositif défaillant, faute de quoi la seule option restante sera de laisser partir le salarié sans.

Côté organisation, la dégradation est plus insidieuse et plus fréquente. Ce qui vieillit :

• les numéros et les noms du scénario d'alerte ;
• les accès : codes, clés, badges, portails, locaux réaffectés ;
• la couverture, après des travaux, une extension de bâtiment ou un changement d'équipement ;
• la présence effective au poste de surveillance, quand une réorganisation supprime discrètement une vacation ;
• la connaissance de la procédure, quand les personnes formées sont parties.

C'est exactement ce que vise la disposition de la recommandation R 416 : « Lors d'un changement dans l'organisation du travail, revoir l'évaluation des risques ainsi que la pertinence des mesures de prévention. » Le réflexe à installer : toute décision d'organisation touchant des horaires, des effectifs de nuit, des locaux ou des astreintes déclenche une revue du dispositif de suivi.

Après un incident — alarme réelle, rendez-vous manqué ayant conduit à un déplacement, accident — l'analyse porte sur deux plans qu'il faut mener séparément :

1. L'événement lui-même. Pourquoi l'accident ou l'incident s'est-il produit ? C'est une analyse d'accident classique, que notre outil d'arbre des causes permet de conduire. Une question mérite d'y être posée systématiquement : l'isolement a-t-il joué dans la survenue — notamment par un dépassement de tâche ?

2. La chaîne d'alerte. Indépendamment des causes de l'événement, comment la chaîne s'est-elle comportée ? Six questions, une par maillon :

• Le signalement initial était-il consigné et exact ? Les secours ont-ils trouvé le lieu du premier coup ?
• L'alerte a-t-elle été déclenchée ? Par quelle voie — dispositif ou rendez-vous manqué ?
• A-t-elle été transmise et reçue ? Dans quel délai ?
• La levée de doute a-t-elle été conduite comme prévu ? La règle « pas de réponse = envoi » a-t-elle été appliquée sans hésitation ?
• L'escalade et le guidage ont-ils fonctionné ?
• Le suivi des autres travailleurs isolés a-t-il été assuré pendant l'incident ?

Les corrections qui en sortent sont de trois natures : ajustement des réglages du dispositif, révision de la procédure, ou modification de l'organisation du travail elle-même. Cette troisième catégorie est la plus lourde et la plus efficace : c'est là que se décide la suppression d'une situation isolée devenue indéfendable.

Le résultat remonte au document unique, dont la mise à jour est déclenchée par tout accident ou information nouvelle, et se partage avec le CSE ou la CSSCT. C'est aussi ce partage qui entretient la confiance dont l'INRS fait une condition de l'acceptation du dispositif.

Un dernier point, qui vaut pour les fausses alertes répétées : elles ne sont pas un problème de discipline mais un signal de conception. Une détection qui se déclenche régulièrement sur une posture de travail doit être reparamétrée ou désactivée sur ce poste — sans quoi c'est le dispositif entier qui sera abandonné par ses porteurs.