Demander une démo
Zenith · Sécurité

« Aucun danger consigné », ce n’est pas la même chose que sécuritaire.

Quand le panneau des dangers d’une machine est vide, Zenith le dit clairement : le silence plutôt qu’un crochet rassurant — personne ne l’a évalué. Ce refus d’afficher un crochet vert réconfortant est l’instinct derrière tout le reste : un permis qui expire à un instant précis plutôt qu’à minuit, un émetteur qui ne peut pas être le titulaire, et une consignation qui ne compte qu’une fois que quelqu’un s’est rendu au panneau.

Demander une démo Ce qu’il sait
Bilingue FR / EN · Multisite · WCAG 2.2 AA
Des instants, pas des dates
Un permis émis à 8 h pour huit heures expire à 16 h, pas à minuit
Émetteur ≠ titulaire
Un refus, pas un avertissement — un permis que quelqu’un s’est écrit pour lui-même n’est qu’une signature sur un bout de papier
7 refus nommés
Chaque raison pour laquelle un permis ne peut pas être émis, chacune nommant la personne, l’attestation ou le conflit
FR · EN
Chaque libellé, indication, état vide et refus, dans les deux langues
Le modèle

Six choses que contient le volet sécurité

Un danger est un fait permanent sur une machine ou un lieu — ce panneau est sous tension, cette pièce est un espace clos. Un permis est une décision prise pour une intervention face à l’un de ces faits, cet après-midi, par une personne nommée qui n’est pas celle qui fait le travail. Les lire séparément, c’est ainsi que quelqu’un se retrouve devant un registre de dangers sans savoir si quoi que ce soit est autorisé en ce moment.

01

Dangers

Une bibliothèque de ce qui peut blesser quelqu’un — six catégories, quatre niveaux de gravité classés du plus grave au moins grave, et le préjudice décrit dans les mots qu’on emploierait à voix haute.

02

Où ils se trouvent

Rattachés à une machine, un lieu ou un modèle. Consignés une fois sur un modèle — chaque refroidisseur de ce modèle contient une charge de frigorigène — plutôt que saisis sur chaque unité.

03

EPI

Déduit des dangers réellement présents, en un seul ensemble : une personne revêt un seul ensemble d’équipement avant d’entrer, et deux dangers qui exigent chacun un casque ne demandent pas deux casques.

04

Types de permis

Le modèle : sa durée maximale, s’il exige une consignation, s’il en exclut d’autres, et les attestations nécessaires à l’émetteur et au titulaire — deux listes, parce que ce sont deux questions.

05

Permis

L’instance : une fenêtre dans le temps sur un sujet, détenue par une personne et émise par une autre, avec une fin ferme sans laquelle elle ne peut pas être créée.

06

Consignation

Un fait propre à cette intervention, pas une propriété du type. Confirmée sur l’équipement par quelqu’un qui s’y est rendu — sinon le permis n’autorise rien.

Une fenêtre dans le temps

Un permis qui « expire aujourd’hui » couvre le quart de nuit

Toutes les autres échéances d’un système de maintenance sont des dates : une certification expire un jour donné, un étalonnage se termine un jour donné. Un permis, non. Un travail à chaud autorisé à huit heures pour huit heures expire à seize heures — les permis portent donc des instants, et chaque question à leur sujet est posée à un instant précis. C’est le seul endroit où la précision supplémentaire est une mesure de sécurité plutôt que de la pédanterie.

  • Expiré à l’instant précis, pas à la fin de la journée — en vigueur à 15 h 59, plus en vigueur à 16 h, et les tests le disent exactement en ces termes.
  • Un permis n’est jamais sans fin — laissez la fin vide et il prend le maximum du type, parce qu’un permis sans fin est justement ce que toute l’idée vise à empêcher.
  • Le maximum est un plafond, pas une suggestion — un quart de travail pour un travail à chaud. Un permis valide une semaine n’est qu’une affiche sur une porte : sa valeur, c’est que quelqu’un réévalue le travail.
  • Expiré mais ouvert a sa propre liste — un permis expiré encore affiché au tableau, c’est ainsi qu’une équipe revient du dîner et continue sous un bout de papier qui a cessé de vouloir dire quoi que ce soit à seize heures.
Deux personnes, pas une

Un deuxième regard, ou une signature sur un bout de papier

La personne qui émet un permis d’entrée en espace clos n’est pas celle qui descend dans la cuve. Cette séparation est tout le mécanisme — c’est donc un refus plutôt qu’un avertissement, et les deux rôles ont des listes d’attestations distinctes, parce qu’un type peut raisonnablement exiger davantage de la personne qui signe que de celle qui entre.

  • La même personne dans les deux rôles : refusé — pas signalé, pas averti, pas permis avec une note.
  • Chaque côté est vérifié dans vos dossiers du personnel — interrogés plutôt que recopiés : une attestation expirée l’est donc partout à la fois.
  • Évalué à l’instant de l’émission — un permis rédigé en février sous une attestation valide en février reste explicable en août, au lieu de devenir rétroactivement une infraction.
  • Le refus nomme l’attestation — « émetteur non certifié — FIRSTAID», c’est une personne et un certificat, donc quelque chose qu’on peut régler.
  • L’exclusivité se juge au chevauchement, pas à la simultanéité — deux permis de travail à chaud dont les fenêtres ne font que se toucher veulent quand même dire deux équipes avec une flamme sur la même cuve.
Consignation

Quelqu’un doit se rendre au panneau

Un type qui exige une consignation et un permis qui consigne qu’elle a eu lieu sont deux faits différents. La confirmer est un geste distinct de l’émission, délibérément — l’intégrer à la paperasse voudrait dire que la paperasse pourrait affirmer qu’elle a eu lieu.

  • Tant qu’elle n’est pas confirmée, le permis n’est pas en vigueur — peu importe que sa fenêtre soit en cours, peu importe qu’il soit dûment signé.
  • Les points sont consignés en mots — « disjoncteur du ventilateur d’alimentation cadenassé », « air de l’actionneur du volet purgé » — à côté du permis auquel ils appartiennent.
  • Le panneau dit ce qui attend — « émis et en attente de consignation », parce que « aucun permis n’est en vigueur » est vrai et cache l’élément le plus pertinent de la page.
  • Une annulation dit pourquoi — la raison est ajoutée au permis plutôt que perdue avec lui.
Dangers

L’amiante se trouve dans un bâtiment, pas dans une seule de ses pièces

Un danger consigné pour une installation s’applique à tout ce qu’elle contient. Le consigner pièce par pièce voudrait dire que le jour où quelqu’un ajoute une pièce, l’amiante n’y serait pas — les dangers descendent donc dans l’arborescence des emplacements, et un danger hérité indique toujours d’où il vient.

L’onglet à lire avant l’intervention

Les plus graves d’abord, parce que c’est ce que l’on cherche

Quelqu’un qui lit ceci avant de se rendre sur une intervention veut voir en haut ce qui peut le tuer, pas ce qui vient en premier dans l’ordre alphabétique. La liste est donc triée par gravité, le préjudice est une phrase plutôt qu’une catégorie, et un danger hérité nomme le bâtiment d’où il vient.

  • Un danger hérité nomme sa source — « hérité du Pavillon des sciences et du génie ». De l’amiante sans explication dans une pièce dont le dossier n’en parle jamais a l’air d’une erreur de données; nommée, elle a l’air de la vérité.
  • Quatre niveaux de gravité, délibérément — une échelle à cinq niveaux invite au débat sur les trois du milieu, et ce débat ne porte jamais sur ceux qui comptent.
  • Le préjudice est écrit pour être lu — « perte auditive permanente au-delà de 85 dBA sur un quart de travail », parce qu’un registre des dangers rédigé en catégories est un registre que personne n’ouvre avant une intervention.
  • Un panneau vide avoue qu’il est vide — « le silence plutôt qu’un crochet rassurant : personne ne l’a évalué », la seule phrase qu’un onglet de sécurité ne doit jamais remplacer par un crochet vert.
  • Le même onglet sur trois types de dossiers — une machine, un lieu et un modèle l’obtiennent chacun, sans qu’aucun de ces modules sache que celui-ci existe.
Où se trouve la ligne

Ce que c’est, et ce que ce n’est pas

C’est le volet sécurité d’un système de maintenance — la partie qui s’assure qu’une intervention sait ce qui peut blesser quelqu’un et si elle est autorisée. Ce n’est pas un système de gestion de la santé et de la sécurité, et cette différence mérite d’être dite sur une page Web plutôt que découverte lors d’une réunion d’approvisionnement.

Dit clairement

Les parties que nous n’avons pas, nommées

La sécurité est le module où exagérer fait le plus de dégâts, parce que la personne qui le découvre est celle qu’il devait protéger. Les absences reçoivent donc le même traitement que les fonctionnalités.

  • Aucune déclaration des incidents ni des quasi-accidents — aucune, et nous ne laisserons pas entendre le contraire. C’est une autre catégorie de produits, et un système de maintenance qui fait semblant d’en être un consigne un incident et jamais un deuxième.
  • Aucune matrice de risques — un seul niveau de gravité par danger, quatre niveaux, décrits comme « la gravité si les mesures de contrôle échouent ». Il n’y a ni axe de probabilité ni cote; si votre processus exige une évaluation cotée par intervention, ce n’est pas cela.
  • Pas un programme complet de cadenassage — la consignation est une règle, un fait confirmé et une liste de points en mots. Il n’y a ni registre de cadenas, ni état cadenassage-étiquetage-vérification par point, ni boîte de cadenassage de groupe.
  • Les certifications vivent avec vos dossiers du personnel — la sécurité demande si une attestation est valide à une date donnée plutôt que de conserver une deuxième copie qui finirait par diverger de la première.
Et le reste

Tout ce qui entoure le permis

Votre mot pour un permis

Une raffinerie dit « permis de travail », un hôpital « autorisation de travail », un service public « consignation ». L’onglet, le titre et le type suivent tous votre vocabulaire — y compris le mot sur lequel les gens cliquent.

Les normes d’EPI ne sont jamais renommées

« Gants » n’est pas une spécification : des gants isolants de classe 0 et des gants d’usage général sont tous deux des gants, et l’un des deux empêche un électricien de mourir. La norme accompagne donc l’article — CSA Z94.1 reste CSA Z94.1.

Un seul instant, pour chaque ligne

Le tableau se lit à un instant unique, indiqué en haut — deux lignes ne peuvent donc jamais être en désaccord sur l’heure qu’il est, et « en vigueur » veut dire en vigueur à ce moment précis.

Filtrer selon « en vigueur », pas selon le statut

Parce qu’Actif et autorisant sont deux faits différents, et que le filtre qui compte est celui qui les distingue.

Il refuse de démarrer brisé

Un danger qui pointe vers un code d’EPI ou un type de permis inexistant serait une exigence que personne ne pourrait satisfaire — découverte par la personne qu’il devait protéger. Le registre refuse donc de se charger plutôt que de s’ouvrir avec un trou.

Exclusif là où ça compte

Deux équipes peuvent travailler en hauteur sur le même bâtiment sans se mettre en danger; deux équipes ne peuvent pas avoir une flamme sur la même cuve. L’exclusivité est définie par type plutôt qu’imposée à tous.

Quatre chiffres sur une page

En vigueur, expirés et encore ouverts, la bibliothèque des dangers, et le nombre de dangers rattachés à quelque chose — parce qu’un danger que personne n’a rattaché à rien est une définition, et qu’une définition ne blesse personne.

Qui le détient, qui l’a signé

Les deux figurent sur le permis, et les deux sont consultables — « que détient cette personne, et qu’a-t-elle signé? » est une question qui a une seule réponse.

Deux langues, jusqu’au bout

Chaque libellé, indication, état vide et refus existe en français et en anglais — y compris la phrase qui dit que personne n’a évalué cette machine.

Des fondations d’entreprise

Des refus, pas des avertissements

Un avertissement est quelque chose qu’une personne occupée ignore d’un clic. Partout où les règles de sécurité comptent, ce sont des refus — et partout où une liste pourrait diverger d’une autre, elle est déduite plutôt que saisie deux fois.

Des refus, pas des avertissements

Émetteur titulaire, signataire non certifié, permis plus long que ne le permet son type, conflit sur le même équipement — chacun est un refus qui nomme sa propre raison.

Déduit, jamais tenu à la main

Les dangers sont la seule liste tenue à la main; l’EPI, les permis et les certifications en découlent — parce que quatre listes tenues à la main sont quatre listes qui divergent, celle de la sécurité divergeant en silence.

Bilingue dès sa conception

Parité complète en-CA / fr-CA sur chaque écran, indication, état vide et refus — les pluriels gérés correctement, pas par concaténation.

Accessible à tous

WCAG 2.2 AA comme règle de conception : de vrais tableaux sémantiques, des états annoncés en mots, et un focus qui se déplace vers le champ visé par une erreur.

Bâti sur Des instants, pas des dates Émetteur ≠ titulaire Consignation confirmée sur l’équipement WCAG 2.2 AA
Les questions que l’on nous pose vraiment

Avant de réserver la démo

Peut-on déclarer les incidents et les quasi-accidents?
Non. Il n’y a ni registre des incidents, ni formulaire de quasi-accident, ni registre des blessures, ni enquête, ni suivi des mesures correctives — rien de tout cela, et rien n’est caché derrière un module que vous achèteriez plus tard. La gestion des incidents est une autre catégorie de produits, et un système de maintenance qui fait semblant d’en être un consigne un incident et jamais un deuxième. Gardez le système que vous avez; nous ferons en sorte que les dossiers de dangers et de permis s’y arriment.
Que peut-on réellement faire à l’écran aujourd’hui?
Lire, en profondeur : le tableau des permis avec sa colonne « en vigueur », son état de consignation et son alerte de permis expirés mais encore ouverts; les dangers de chaque machine, lieu et modèle avec l’EPI, les permis et les attestations qu’ils exigent; et les quatre chiffres de la page sécurité. Les écrans d’émission sont la prochaine étape. Les règles derrière eux sont construites et testées — sept refus nommés — mais une personne ne peut pas encore émettre, fermer ou annuler un permis à l’écran, et nous préférons l’écrire ici plutôt que de faire la démonstration d’un bouton qui n’existe pas.
Y a-t-il une analyse de sécurité des tâches, ou une matrice de risques?
Non. Il y a un seul niveau de gravité par danger — Critique, Élevé, Modéré, Faible — décrit comme « la gravité si les mesures de contrôle échouent », plus une ligne de texte libre pour les mesures techniques ou procédurales qui viennent avant l’EPI. Il n’y a ni axe de probabilité, ni cote, ni calcul du risque résiduel. Les quatre niveaux sont délibérément peu nombreux : une échelle à cinq niveaux invite au débat sur les trois du milieu, et ce débat ne porte jamais sur ceux qui comptent.
Est-ce un programme complet de cadenassage?
Non, et la distinction mérite d’être faite avec précision. Ce qui existe est réel : un type de permis peut exiger une consignation, un permis consigne si elle a été confirmée, les points sont écrits en mots, et une consignation non confirmée signifie que le permis n’autorise rien. Ce qui n’existe pas : un registre de cadenas, des états cadenassage-étiquetage-vérification par point, une boîte de cadenassage de groupe, des cadenas par personne ou une étape de déconsignation. C’est nettement plus qu’une case à cocher, et nettement moins qu’un programme de cadenassage.
L’absence de permis empêche-t-elle quelqu’un de commencer le travail?
Non, et voici la réalité, honnêtement. Le moteur de sécurité refuse exactement une action : émettre un permis, pour sept raisons nommées. Il ne bloque ni le début d’une intervention, ni l’inscription d’heures, ni sa fin. Ce qu’il fait plutôt, c’est mettre au dossier ce qui peut vous blesser, ce qu’il faut porter, ce qui doit être signé et ce qui est déjà signé, avant que quelqu’un s’approche de la machine — c’est là que cette information change une décision.
Qu’est-ce qui empêche un bon de travail de se fermer?
Quatre choses, et ce sont des règles de bons de travail plutôt que de sécurité : personne n’y a inscrit d’heures; l’équipement est encore inscrit comme arrêté; il n’y a pas de codage de défaillance sur une intervention qui l’exige; et la personne qui a fait le travail ne peut pas être celle qui le vérifie. Cette dernière règle procède du même instinct que « l’émetteur n’est pas le titulaire » — un deuxième regard, imposé plutôt qu’encouragé.
Où se trouvent les certifications?
Dans vos dossiers du personnel, qui déterminent ce qu’est une certification et quand elle expire. La sécurité interroge ces dossiers plutôt que d’en garder une copie — une attestation qui expire expire donc partout à la fois, et la réponse que reçoit un permis est la même que celle que reçoit une gamme de travail. La validité est évaluée au moment où le permis a été émis, pas aujourd’hui : un permis rédigé sous une attestation alors valide reste explicable par la suite.
Les dangers d’un bâtiment s’appliquent-ils à l’équipement qu’il contient?
Les dangers descendent dans l’arborescence des emplacements — un danger sur un bâtiment s’applique à chaque pièce qu’il contient, et le panneau de la pièce indique de quel bâtiment il vient. Un actif n’hérite pas automatiquement de la pièce où il se trouve : consignez-le sur l’actif, ou sur son modèle lorsque chaque unité le porte. Il vaut la peine de le savoir au moment de configurer le registre, et c’est le genre de détail que nous préférons vous dire maintenant plutôt que de vous le laisser découvrir plus tard.
Que se passe-t-il quand rien n’est consigné pour une machine?
Il le dit : « Aucun danger n’est consigné ici. Le silence plutôt qu’un crochet rassurant : personne ne l’a évalué. » Un onglet de sécurité vide qui a l’air propre est pire qu’un onglet qui avoue être vide — parce qu’un crochet vert sur une machine non évaluée est une affirmation que personne n’a faite et que tout le monde lit.
Peut-on utiliser nos propres mots et nos propres dangers?
Le vocabulaire, oui — permis, danger, consignation, autorisation de travail — et il se retrouve dans les titres, les onglets et les noms de types. Les registres sont livrés avec une bibliothèque de départ : sept dangers, onze articles d’EPI avec leurs normes, et cinq types de permis avec de vrais plafonds et de vraies exigences d’attestation. La modification de cette bibliothèque n’a pas encore d’écran; aujourd’hui, elle est configurée avec vous plutôt que par vous.
Y a-t-il une piste d’audit?
Pas encore, et sur une page de sécurité, cela mérite une réponse franche plutôt qu’une réponse adoucie. Les registres sont un état de session jusqu’à l’arrivée de la couche de persistance, ce qui veut dire qu’il n’y a pas d’historique durable de qui a émis quoi et quand. Pour un système de permis, c’est ce qui doit arriver avant qu’on s’y fie dans un environnement réglementé, et cela fait partie de la même phase serveur que la connexion et l’identité.
Par où commencer?
Avec une machine et un type de permis. Dites-nous ce qui peut y blesser quelqu’un, qui a le droit de signer, quelle attestation chaque côté doit détenir, combien de temps le permis peut durer et s’il exige une consignation — nous le modéliserons devant vous, puis nous essaierons d’en émettre un incorrectement et le regarderons refuser pour la bonne raison.
Voyez-le sur de l’équipement sur lequel vous travaillez déjà

Apportez le permis que personne n’a fermé.

Chaque site en a un — le bout de papier encore affiché au tableau pour une intervention terminée mardi. Montrez-nous l’équipement, le type de permis et qui a le droit de le signer, et nous le modéliserons : la fenêtre, les attestations dont chaque côté a besoin, et la consignation qui doit être confirmée avant qu’il autorise quoi que ce soit.

Demander une démo Parler à notre équipe
Zenith · Sécurité Fait partie de la plateforme Zenith d’opérations de maintenance et d’actifs

Guides sectoriels canadiens

Les normes sont citées uniquement par numéro, titre et portée. Les publications CSA et ULC sont payantes — lisez la norme elle-même avant de bâtir un programme de conformité sur un résumé.