Analyse de risque machine selon l’EN ISO 12100 : la méthode, étape par étape

Une analyse de risque répond à une question simple : qu’est-ce qui peut blesser quelqu’un sur cette machine, pendant quelle tâche, et qu’a-t-on fait contre ? La méthode de référence est celle de l’EN ISO 12100:2010. Elle tient en six gestes : fixer les limites de la machine, recenser les dangers, estimer chaque risque, décider s’il faut le réduire, le réduire dans un ordre imposé, et tout consigner. On recommence tant qu’une mesure crée un nouveau danger ou laisse un risque trop haut.

Faite au début du projet, elle oriente la conception. Faite à la fin, elle justifie une machine déjà construite, et un relecteur le voit tout de suite. Nous déroulons la méthode sur une machine fictive : une cellule d’assemblage avec un convoyeur, un poste de pressage à vérin pneumatique fermé par une porte interverrouillée, une armoire électrique et une télémaintenance. Le texte de la norme, protégé, n’est pas reproduit ici.

Que demande exactement le règlement machines ?

Il demande une évaluation des risques menée par le fabricant, avant la mise sur le marché, selon un processus itératif. Le texte donne aussi les étapes, dans l’ordre, et elles correspondent à celles de l’EN ISO 12100:2010.

Trois conséquences. Les exigences de l’annexe III ne s’appliquent que lorsque le danger correspondant existe, sauf les principes d’intégration de la sécurité, le marquage et la notice, qui s’appliquent toujours (partie B, point 2) : sans analyse, vous ne savez pas quelles exigences vous concernent. L’obligation vaut aussi pour une quasi-machine (partie B, point 5). Et le règlement ajoute deux sujets : l’évolution prévue du comportement d’une machine conçue pour fonctionner avec un certain niveau d’autonomie, et les interactions entre les machines d’un ensemble.

Attention au vocabulaire : le règlement dit évaluation des risques pour toute la démarche ; l’EN ISO 12100 dit appréciation du risque (analyse plus évaluation), et réserve « évaluation » à l’étape de décision. Même démarche, deux mots : dans un dossier, tenez-vous à l’un.

La norme reste volontaire ; une norme harmonisée publiée au Journal officiel donne une présomption de conformité aux exigences qu’elle couvre (art. 20, § 1). L’EN ISO 12100:2010 est listée au titre de la directive 2006/42/CE ; aucune norme ne l’est encore au titre du règlement. En Suisse, l’OMach (RS 819.14) reprend la directive, qui exigeait déjà cette démarche. Voir le règlement 2023/1230 et les fabricants suisses.

Phénomène dangereux, situation, événement, dommage : de quoi parle-t-on ?

De quatre maillons d’une même chaîne. Un phénomène dangereux ne blesse personne tant qu’aucune personne n’y est exposée : c’est la situation dangereuse. Il faut encore un événement dangereux pour que le dommage survienne. Le règlement définit le risque comme la « combinaison de la probabilité et de la gravité d’une lésion ou d’une atteinte à la santé pouvant survenir dans une situation dangereuse » (annexe III, partie A, point e).

La chaîne explique pourquoi on analyse par tâche, à quoi se rattache chaque paramètre de cotation, et pourquoi l’ordre des mesures est celui-là.

Comment se déroule une analyse de risque selon l’EN ISO 12100 ?

En six étapes qui bouclent. Les quatre premières forment l’appréciation du risque ; la cinquième réduit ; et chaque mesure prise renvoie à l’identification, parce qu’une mesure peut créer un danger : un protecteur mobile, par exemple, crée un point d’écrasement à sa fermeture.

Comment fixer les limites de la machine ?

En décrivant la machine avant de chercher ses dangers : sans limites, l’analyse n’a pas de périmètre. Le règlement demande d’y inclure l’usage normal, c’est-à-dire l’utilisation selon la notice, et tout mauvais usage raisonnablement prévisible (annexe III, partie A, points h et i). On les décrit sur quatre axes : l’utilisation (modes, utilisateurs, formation, personnes autour), l’espace (mouvements, accès, raccordements), le temps (durée de vie, usure, entretien) et le reste (matières, propreté, environnement).

Pour notre cellule : pièces chargées à la main, deux équipes par jour, atelier intérieur, opérateurs formés, accès à distance du fournisseur. Ce dernier point fait entrer la cybersécurité dans l’analyse (annexe III, 1.1.9). Le mauvais usage prévisible, c’est ce que l’opérateur fera probablement sans que personne l’ait prévu : retirer un protecteur pour gagner du temps sur un bourrage.

Comment ne rater aucun danger ?

En croisant trois listes : les familles de dangers, les modes de fonctionnement et les zones. Une situation dangereuse, c’est une tâche, un phénomène et un endroit. Qui ne parcourt que les familles trouve les phénomènes et rate les situations.

Les familles. Nous en passons dix-huit en revue : mécanique, hydraulique, pneumatique, électrique, thermique, incendie et explosion, bruit, vibrations, lumineux, laser, substances, ergonomie, environnement, application, compatibilité électromagnétique, cybersécurité, rayonnements non optiques, combinaison de phénomènes. C’est plus fin que les groupes de l’EN ISO 12100:2010 : les fluides sont séparés de la mécanique, la CEM et la cybersécurité ajoutées. Une famille écartée se justifie en une phrase.

Les modes. Le règlement exige de couvrir toute la durée d’existence de la machine, « y compris les phases de transport, de montage, de démontage, de mise hors service et de mise au rebut » (annexe III, 1.1.2, a). Nous les regroupons en six modes, ceux du schéma ci-dessous.

Les zones. On découpe la machine en parties fonctionnelles et on rattache chaque danger à l’une d’elles : aucune partie n’est sautée, et chaque métier retrouve ses lignes. Pour un ensemble, une zone par machine, plus une pour les interfaces.

Comment estimer un risque avec une grille ?

En cotant séparément la gravité du dommage et ce qui fait sa probabilité, puis en les combinant selon une règle fixée d’avance. La probabilité se décompose, en pratique, en trois paramètres : l’exposition de la personne, l’occurrence de l’événement dangereux, et la possibilité d’éviter ou de limiter le dommage. Pour la gravité, on retient le dommage le plus grave raisonnablement possible, pas le plus fréquent.

Aucune grille n’est imposée : matrice, graphe de risque, scores, méthodes hybrides ; le rapport technique ISO/TR 14121-2 en donne des exemples. Le graphe de l’EN ISO 13849-1:2023 sert à autre chose : il fixe le niveau de performance requis d’une fonction de sécurité, pas le niveau de risque de chaque ligne. Voici une grille hybride construite pour cet article, avec le vérin coté avant et après mesures.

La leçon : une mesure fait bouger un paramètre précis, et on doit pouvoir dire lequel. La gravité ne baisse que si la mesure change le phénomène lui-même : une force limitée, un écartement qui n’écrase plus. Et la grille n’est pas une vérité : c’est un outil pour comparer et décider de façon constante.

Quand un risque est-il suffisamment réduit ?

Quand vous pouvez l’écrire et le défendre. Le règlement ne fixe aucun seuil : la référence est l’état de la technique (annexe III, partie B, point 3). Le guide d’application de la directive précise qu’elle a un volet technique et un volet économique, et que le coût pèse d’autant moins que le dommage est grave (guide, § 161).

Avant de passer une ligne au statut « acceptable », nous vérifions six points :

• toutes les familles, tous les modes et toutes les zones ont été examinés ;
• les exigences de la norme de type C, puis des normes de type B, sont respectées ;
• les mesures ont été choisies dans l’ordre des trois étapes ;
• aucune mesure ne crée de danger qui n’ait été coté à son tour ;
• les mesures restent compatibles avec le travail réel : rien n’incite à les neutraliser ;
• le risque résiduel est connu et décrit dans la notice.

Le statut s’accompagne d’une phrase : « Mesures conformes à la norme de type C ; risque final faible ; pincement au réglage décrit au chapitre 5 de la notice. » C’est elle que lira un expert. Une norme de type C ne dispense pas de l’analyse : un danger qu’elle ne traite pas reste à apprécier (guide, § 159). Voir normes A, B et C.

Dans quel ordre réduire le risque ?

Dans l’ordre fixé par le règlement, qui n’est pas négociable. Le fabricant applique les principes suivants « dans l’ordre indiqué » (annexe III, 1.1.2, b) :

On ne passe à l’étape suivante que si la précédente ne suffit pas. Les mesures de l’utilisateur (organisation, consignes, équipements de protection) complètent celles du fabricant ; elles ne les remplacent pas.

Pour les éléments mobiles, le règlement encadre aussi le choix du protecteur (annexe III, 1.3.8). Pour les éléments de transmission, il tranche : « Les protecteurs mobiles avec dispositif de verrouillage sont retenus si des interventions fréquentes sont prévues. » Pour les éléments qui concourent au travail et qu’on ne peut pas rendre totalement inaccessibles : des protecteurs fixes ou interverrouillés sur ce qui ne sert pas au travail, et des protecteurs réglables limités à ce qu’il faut atteindre. En pratique, la première question est celle de l’accès : s’il n’est pas nécessaire pendant le fonctionnement, un protecteur fixe, qui ne s’ouvre qu’avec un outil (1.4.2.1) ; s’il est fréquent, un protecteur mobile interverrouillé ou un dispositif de protection. Sur notre cellule : un protecteur fixe autour du moteur du convoyeur, un protecteur mobile interverrouillé pour le poste de pressage.

Un cas complet : l’écrasement sous le vérin

Le poste de pressage de notre cellule : l’opérateur pose la pièce sous l’outil, ferme la porte, le vérin vertical descend et presse. La ligne d’analyse : écrasement des doigts, en opération, zone de pressage. Cotée avant mesure, elle sort au niveau élevé. Voici les trois étapes, dans l’ordre.

La porte et son interrupteur ne suffisent pas : c’est le circuit pneumatique qui exécute l’ordre d’arrêt. Voici celui du poste tel qu’on le trouve souvent, et tel qu’il doit être.

Reste une question que seule l’analyse tranche : à l’ouverture de la porte, mettre le vérin à l’échappement ou le bloquer ? Pour un vérin vertical, couper l’air, c’est le laisser descendre : on le bloque. Sur une pince, l’échappement lâcherait la pièce. L’état sûr se décide actionneur par actionneur, et s’écrit dans la ligne.

Que faut-il garder dans le dossier technique ?

La documentation sur l’évaluation des risques décrit la procédure suivie et comprend la liste des exigences essentielles applicables, la description des mesures de protection et, le cas échéant, les risques résiduels (annexe IV, partie A, point b). Le tout se conserve au moins dix ans (art. 10, § 3). En pratique, un tableau où chaque ligne se comprend seule. Quatre lignes de notre cellule, cotées avec la grille d’exemple :

En 1.2, la meilleure mesure est le racleur, pas le protecteur : il supprime la tâche, et l’exposition baisse pour une raison qu’on peut écrire. En 4.1, le risque reste moyen : notre grille ne descend jamais plus bas quand le dommage possible est mortel. La ligne est acceptée avec sa justification plutôt que maquillée en « faible ». Le dossier complet est détaillé dans ce que doit contenir le dossier technique d’une machine.

Quelles erreurs font revenir une analyse de risque ?

Toujours les mêmes, et elles se voient en dix minutes de relecture :

La dernière a une conséquence juridique : une modification qui crée un nouveau danger ou augmente un risque peut faire de son auteur un fabricant (art. 18). Voir modification substantielle.

Nos conseils de terrain

• Faites l’analyse à plusieurs : conception, automatisme, atelier, maintenance. Celui qui nettoie la machine trouve en dix minutes les tâches que le bureau d’études n’imagine pas. Puis relisez-la devant la machine réelle avant la mise sur le marché.
• Écrivez l’objectif de sécurité avant la solution : « aucune main sous l’outil quand il peut descendre ». La solution se discute ensuite, et l’objectif sert à la vérifier.
• Une ligne par situation, pas par danger. Le même happement en production et au nettoyage, ce sont deux lignes, avec deux cotes et souvent deux mesures.
• Recoupez avec la notice. Si elle parle de mode manuel, de réglage ou de nettoyage, chacun doit avoir ses lignes ; et chaque risque résiduel de l’analyse doit s’y retrouver.