L’architecture du second pouvoir

---

I. L'explication reposante

Nous aimons les mauvais chefs. Plus exactement, nous aimons croire qu'ils sont mauvais.

Si le pouvoir se dérègle, ce serait parce qu'un narcissique, un pervers ou un homme incapable d'accepter ses limites s'en est emparé. Il suffirait alors de mieux choisir les personnes. Nos institutions seraient saines ; quelques individus malades les auraient contaminées.

Cette explication est reposante parce qu'elle ne demande rien : aucune règle à changer, aucun circuit à revoir. Seulement quelqu'un à désigner.

Or une cour n'a besoin d'aucun monstre. Il lui suffit d'un poste qui distribue une ressource rare — promotion, visibilité, protection, accès — et de plusieurs personnes qui ne peuvent l'obtenir ailleurs. Le premier n'a pas besoin de briller davantage : il peut organiser l'ombre, et ses proches obtiennent une part de lumière en participant à l'effacement des autres.

Placez à ce poste un homme sobre et bien élevé. En trois ans, il aura appris quels silences facilitent son travail, quelles informations menacent sa position, et quels collaborateurs savent rendre leurs objections socialement digestes. Il ne se sera pas corrompu : il aura appris son métier tel que l'organisation le lui enseigne.

Ce qui produit le dérèglement n'est donc pas le caractère du chef. C'est le barème — l'ensemble des promotions accordées, des carrières interrompues, des objections oubliées et des sanctions qui ne disent pas leur nom. Le barème apprend à chacun ce qu'il est rentable de voir.

Il travaille d'ailleurs en amont de la sincérité. Produire un modèle exact du monde coûte cher : il faut chercher, comparer, supporter l'incertitude, parfois renoncer à une position avantageuse. Produire un modèle compatible avec sa place ne coûte presque rien et rapporte tout de suite. À force d'être récompensé pour certaines descriptions et exposé pour d'autres, on n'a même plus besoin de mentir : on devient sincère dans la langue qui protège sa position.

C'est pourquoi les appels à la vertu produisent si peu. On demande à quelqu'un de supporter seul le coût d'une lucidité dont l'organisation récoltera peut-être le bénéfice, en lui faisant payer immédiatement la perturbation qu'il provoque.

La question change donc de forme. Non plus qu'est-ce qui ne va pas chez ce chef ? — indécidable, et le remplaçant reproduira le comportement — mais :

Quel comportement cette organisation rend-elle avantageux, même chez quelqu'un d'ordinaire ?

La psychologie ne disparaît pas pour autant. Quelqu'un maintient le barème, accepte une exception, ouvre une archive ou détourne le regard. Le mécanisme n'innocente personne : il évite seulement d'attribuer aux caractères ce que la structure récompense déjà.

→ 01 — Le barème plutôt que l'ego

II. Identité et obligation

L'individu commence nécessairement par lui-même. L'égotisme n'est pas seulement un défaut moral : il construit une limite, une continuité, une volonté de persister. Il y a pourtant une différence entre posséder une identité et exiger que le monde entier serve à la confirmer.

Un enfant, un métier, une charge introduisent la première résistance : ils obligent à tenir compte de besoins qui ne coïncident pas avec les siens. Le clan élargit encore le cercle du moi — il produit fidélité, mémoire, transmission, parfois sacrifice — mais il peut devenir un égoïsme coordonné, donc plus puissant. Grandir politiquement ne consiste pas à supprimer les appartenances, mais à les emboîter : individu, famille, communauté, cité, humanité. Chaque cercle crée des obligations concrètes ; le suivant empêche qu'elles deviennent un droit illimité d'externaliser les coûts.

La technocivilisation n'a pas aboli les clans : elle les a détachés de la parenté, du territoire et de la nécessité matérielle, puis réorganisés autour de centres d'attention. Leur dérèglement tient dans une formule :

Riches en identité, pauvres en obligations.

L'identité produit des signes — appartenance, conformité, prestige, vertu affichée. L'obligation impose des coûts — entretenir, protéger, supporter la frustration, contredire, réparer, transmettre, répondre de ce qu'on fait.

Un groupe reste fonctionnel tant que la reconnaissance et le droit de décider demeurent liés à une part suffisante des charges. Il se dérègle quand ces éléments se séparent : les uns définissent le bien, d'autres exécutent, d'autres encore paient.

Le critère n'est donc pas le contenu des passions — nous sommes tous le cas social de quelqu'un, et se moquer de ce qui anime les autres est le premier des signaux gratuits. Le critère est un rapport : signes émis sur coûts assumés. Il se mesure dans un forum comme dans un ministère.

→ 02 — Identité et obligation

III. Toutes les vérités ne coûtent pas le même prix

Une organisation ne refuse pas la vérité. Elle trie les vérités selon ce qu'elles menacent.

La vérité opérationnelle aide à réparer : une pièce fatigue, un protocole échoue, une information n'est pas arrivée. La vérité distributive révèle qui décide, qui bénéficie, qui supporte le risque et qui paie. La vérité constitutionnelle conteste le barème lui-même.

La première est souvent récompensée : un technicien peut être félicité pour avoir découvert une panne grave. Mais s'il montre qu'une panne bien moins grave résulte d'un avantage consenti à la direction, sa carrière se complique brutalement. Le fait est moins grave ; l'information est plus dangereuse.

Cela rend la thèse vérifiable, ce qui est rare pour ce genre de raisonnement : le coût supporté par le porteur d'information devrait augmenter moins avec la gravité technique du problème qu'au moment où l'information change d'étage. Si les représailles suivaient la gravité, la théorie du barème serait fausse.

Et il existe une version pauvre, utilisable partout, sans données ni enquête : que sont devenues les cinq dernières personnes qui ont soulevé un problème important ? Si personne ne sait, c'est déjà une information. Si tout le monde sait mais ne le dit pas devant un supérieur, c'est l'information complète.

Reste le procédé le plus courant, et le moins coûteux pour qui l'emploie. Échapper à un fait gênant ne demande pas de le cacher : il suffit de changer son étiquette. Le même incident devient « un problème technique en cours de traitement » quand il implique un proche, et « la preuve d'un dysfonctionnement de fond » quand il implique un rival. Un dépassement devient un ajustement de périmètre ; des démissions en série, un renouvellement des équipes.

Le fait peut être publié. Sa qualification décide de qui devra répondre — et cette qualification ne se discute presque jamais. Une requalification isolée ne prouve d'ailleurs rien : la preuve exige deux dossiers comparables, même autorité, étiquette inverse selon la personne mise en cause.

→ 03 — Les trois vérités · 04 — La requalification

IV. Le second pouvoir

Nous savons regarder les décisions : elles sont annoncées, débattues, contestées. Nous savons regarder les sanctions : elles sont visibles, et souvent attaquables. Entre les deux se trouve une opération que presque personne ne regarde — dire ce qui s'est passé.

Cette opération n'a pas l'air d'un pouvoir. C'est précisément pour cela qu'elle n'a jamais été séparée.

décider → le réel produit un écart → qualification causale
                                   → qualification normative → sanctionner

Quatre pouvoirs, pas un. Décider : engager l'action. Qualifier causalement : établir les circonstances et la chaîne — une opération de connaissance. Qualifier normativement : convertir cette chaîne en imputation — une opération d'autorité. Sanctionner : distribuer titres, carrières, disgrâces.

Deux de ces pouvoirs dans la même main constituent déjà un régime à risque. Les quatre réunis définissent la corruption institutionnelle, sans qu'aucun vol ni aucun mensonge ne soit nécessaire.

D'où la règle de conception, en deux clauses — l'une d'ordre, l'autre de personne :

La qualification causale précède la qualification normative, et n'est pas produite par celui qui produira la seconde.

L'ordre compte autant que la séparation : une reconstitution causale établie après l'attribution des fautes n'est plus une enquête, c'est une justification.

Montesquieu a séparé les fonctions de gouvernement — faire la loi, l'appliquer, juger. Il n'a pas séparé décider de sa propre notation. C'est la séparation manquante, et le triptyque note à peu près tout ce qui se présente : il suffit de demander, pour une situation donnée, qui décide, qui établit les causes, qui impute, qui sanctionne. Plus le même nom revient, plus la situation est fermée.

Il explique aussi des phénomènes qu'on croyait distincts. La cour est la fusion de qualifier et sanctionner : un régime d'évaluation où la valeur des subordonnés dépend du jugement du centre, tandis que la valeur du centre échappe à toute comparaison. La requalification est la capture du seul pouvoir de qualifier. Et la punition déniée est un acte normatif habillé en constat causal.

Car les phrases sont connues : vous n'êtes pas sanctionné, votre évolution correspond aux besoins du service ; ce n'est pas une mise à l'écart, le périmètre du poste a changé ; personne ne vous reproche d'avoir parlé, nous constatons seulement une perte de confiance. Ce ne sont pas des mensonges sur les faits : ce sont des actes d'autorité présentés comme des états du monde. La personne visée subit deux opérations — le coût, puis la confiscation du sens de ce qu'elle vient de subir.

La manœuvre symétrique existe : un nœud causal habillé en faute. Le technicien a mal serré, donc le technicien est fautif — alors que l'absence de double contrôle est la cause. C'est le bouc émissaire, décrit sans psychologie ni méchanceté.

Les deux abus sont la même opération en sens inverse, et tous deux exigent de tenir les deux qualifications à la fois. Séparez-les, et ni l'une ni l'autre n'est disponible. C'est le meilleur argument du dossier, parce qu'il ne demande à personne d'être honnête : il rend deux tricheries structurellement indisponibles.

→ 05 — Le second pouvoir · 09 — Conséquence, qualification, punition

V. Napoléon, ou la capture des preuves

On convoque habituellement Napoléon pour parler de vanité. L'intérêt du cas est ailleurs : c'est l'exemple le plus net d'un système où le chef finit par tenir tous les instruments qui permettraient de l'évaluer.

Deux récits sont également faux. Le récit héroïque, où la guerre sélectionnerait mécaniquement les meilleurs. Et le récit de la loterie, où les survivants ne devraient leur place qu'au hasard — car ce n'est pas le hasard qui tue davantage que le combat, c'est l'ignorance sanitaire de l'époque : eau souillée, distance aux convois, absence de soins, qui tuent environ deux morts sur trois de façon systémique, non aléatoire. Le filtre principal n'est donc pas le jugement tactique, mais des causes structurelles que personne ne maîtrisait alors. L'issue d'une bataille dépend elle aussi d'un enchevêtrement dont le mérite est attribué au vainqueur, parce que c'est lui qui rédige le compte rendu. Le résultat est donc extrêmement bruité — ce qui n'efface pas toute compétence, mais rend l'indice collectif, probabiliste et difficilement attribuable.

Ce qui compte est la conversion d'un signal incertain en certitude politique, en quatre temps. Une victoire collective et partiellement contingente est attribuée au chef. Le chef devient celui qui distribue les titres attestant la compétence des autres. Ses bulletins qualifient eux-mêmes les résultats. Et la cour finit par dépendre matériellement de la conservation de la légende.

Au terme du quatrième temps, il n'existe plus aucun point d'où l'évaluation pourrait venir.

Les Bulletins de la Grande Armée ne servent d'ailleurs pas seulement à embellir : la retraite devient mouvement, les pertes deviennent sacrifice nécessaire, l'échec devient trahison ou météo. Leur réputation était telle que « mentir comme un bulletin » est passé dans la langue. La propagande ne falsifie pas seulement le passé : elle lui retire sa fonction de sanction. Puisque toute issue peut être requalifiée, plus aucun résultat ne peut réfuter le chef.

Le bruit seul ne produit pourtant pas une cour. Il en faut trois, et c'est leur produit qui compte :

bruit du résultat × monopole de l'évaluation × dépendance envers l'évaluateur

Quand le résultat est illisible mais que plusieurs évaluateurs indépendants peuvent se contredire, l'incertitude demeure sans devenir une cour. Quand l'évaluation est centralisée, les signes de loyauté deviennent rationnels — non par servilité, mais parce que la faveur est le seul signal dont la valeur soit certaine.

La recherche le vérifie de l'intérieur d'un même métier : le chercheur titulaire, multi-financé, évalué par des comités changeants, ne fait pas cour ; le doctorant dont un seul directeur signe la thèse, écrit les lettres et contrôle l'accès au terrain les présente tous.

La conséquence n'est pas que la compétence serait illusoire, mais qu'elle est assez incertaine et assez difficile à attribuer pour qu'aucune institution ne doive dépendre de la reconnaissance préalable d'un génie. Popper a fixé le déplacement : cesser de demander qui mérite de gouverner, et organiser les institutions de façon que les dirigeants incompétents ne fassent pas trop de dégâts.

La rotation courte ne suffit pourtant pas — elle produit l'irresponsabilité et la perte de mémoire. Trois mécanismes distincts sont nécessaires : la falsifiabilité, critères et prévisions enregistrés avant le résultat ; la révocabilité, possibilité de corriger avant l'irréversible ; la rotation, possibilité de remplacer sans violence. La durée convenable n'est donc pas forcément courte : assez longue pour que le décideur apprenne, assez bornée pour qu'il ne devienne pas propriétaire du système d'évaluation.

→ 06 — Napoléon

VI. L'aéronautique, ou la séparation industrialisée

Un seul secteur a construit ce que Montesquieu n'avait pas prévu, et il ne l'a pas fait par philosophie : les avions tombaient.

En sécurité aérienne, un incident n'est pas défini par le dommage produit, mais comme un événement qui affecte ou pourrait affecter la sécurité — l'incident grave se caractérisant par une forte probabilité d'accident, même si la catastrophe n'a pas eu lieu. L'absence de victime peut tenir au fonctionnement d'une défense, à une intervention tardive, ou simplement à la chance. La question n'est donc pas seulement qu'est-il arrivé ? mais qu'aurait-il raisonnablement pu arriver, et quelles barrières ont empêché la progression ?

L'invention principale, cependant, est la séparation des deux qualifications. L'enquête de sécurité reçoit la qualification causale et renonce délibérément à la normative : son objet déclaré est la prévention, non l'attribution des fautes ou des responsabilités, et elle doit rester séparée des procédures destinées à établir celles-ci. C'est ce renoncement qui permet d'établir des causes sans transformer chaque information en pièce à charge.

L'aéronautique n'a pas supprimé le pouvoir de sanctionner. Elle a créé, entre l'écart et la sanction, un espace protégé dans lequel un événement peut être compris avant d'être imputé.

Le circuit n'est donc pas décision → conséquence → punition du décideur, mais activité → écart → signalement protégé → analyse indépendante → correction. Une voie séparée établit ensuite si une conduite franchit le seuil de la faute grave ou délibérée. Confondre les deux les détruit tous les deux : l'enquête devient un tribunal prématuré, le témoin devient un suspect, et l'organisation perd ce dont elle a besoin pour apprendre.

Quatre dispositifs méritent d'être retenus, parce qu'ils sont transposables.

On protège la matière première, on publie la conclusion. Déclarations, enregistrements et avis sont soustraits à tout autre usage ; le rapport final est public. Protéger la conclusion produirait un secret de plus ; exposer la matière première ferait taire tout le monde. La plupart des procédures internes font exactement l'inverse, et c'est ce qui les tue.

Le nom ne vous appartient pas. Certains signalements sont obligatoires, l'événement est codé selon une taxonomie internationale commune, versé dans une base que d'autres consultent. La liste des catégories a été écrite ailleurs, avant votre cas, par des gens qui ignoraient votre existence. C'est la seule parade robuste à la requalification — bien plus forte qu'une promesse de rigueur.

On mesure les précurseurs, pas les résultats. Non par raffinement : parce que les accidents sont trop rares pour qu'on apprenne d'eux. Une organisation peut se dégrader dix ans avec un bilan parfait et lire ce bilan comme une validation — c'est la normalisation de la déviance décrite après Challenger. Ce qui rejoint exactement le cas Napoléon par l'autre bout : le résultat est trop bruité pour évaluer celui qui décide.

On scripte la contradiction. À Tenerife en 1977, le commandant le plus prestigieux de sa compagnie décolle sans autorisation ; le mécanicien navigant émet un doute, il est rabroué ; 583 morts. La correction n'a pas consisté à sélectionner des commandants plus modestes, mais à faire de la contradiction du supérieur une procédure enseignée, avec des formules imposées et une obligation de réponse tracée. Le script supprime l'exigence de courage — prononcer une phrase qu'on vous a apprise et que l'autre attend ne demande aucune bravoure. Créer un contradicteur officiel, à l'inverse, concentre le risque sur une personne et dispense tous les autres de parler.

→ 07 — L'aéronautique

VII. Où s'arrête le modèle

Il faut savoir quel problème l'aviation a résolu, et lequel elle n'a pas touché.

La just culture protège la vérité opérationnelle : j'ai mal serré, j'ai lu la mauvaise ligne. Elle ne protège pas la vérité distributive — la cadence imposée par la direction est le danger —, parce que la protéger reviendrait à protéger une accusation dirigée vers le haut. C'est précisément ce qu'a montré le groupe d'experts mandaté par la FAA sur Boeing en 2024 : des responsables intervenant dans l'évaluation, les salaires et les promotions pouvaient aussi participer aux investigations de sécurité. Le « pervers » n'est pas nécessaire ; il suffit que l'enquêteur soit aussi celui qui tient la carrière.

Plus gênant encore : le pilote meurt avec ses passagers, tandis que le dirigeant qui a fixé la cadence ne monte jamais dans l'avion. Dans le secteur le plus vertueux du monde industriel, le couplage est parfait en bas et nul en haut.

Le modèle a par ailleurs un prix — lent, cher, ossifiant, au point que le coût de certification est devenu une barrière à l'entrée qui affaiblit la concurrence, c'est-à-dire le gardien ultime du barème. Et il a une condition d'existence : il suppose que le dommage ait la forme d'un événement, avec une date, une épave et un enregistreur. Là où le dommage est diffus — un hôpital sous-doté, une réforme qui appauvrit lentement —, il tue davantage et ne déclenche aucune enquête. Les domaines qui en auraient le plus besoin sont structurellement ceux qui ne l'obtiendront pas.

Enfin, le pare-feu n'est pas un choix interne : son adversaire est extérieur et parfaitement légitime — le juge pénal, dont le mandat est d'établir les responsabilités. D'où une règle générale : le circuit d'apprentissage est attaqué le plus fort exactement au moment où il est le plus nécessaire, après la catastrophe, quand défendre la protection du témoin ressemble à protéger le coupable.

Si l'aviation a pu construire cet organe, c'est notamment qu'elle dispose d'un extérieur — un régime transnational qu'aucun État seul ne capture. Le modèle a essaimé vers le ferroviaire, le routier et le maritime ; il s'est arrêté avant la police, la justice, l'éducation et les décisions budgétaires. Il manque précisément aux deux niveaux où le pouvoir est le plus grand — la politique nationale et la finance souveraine — qui n'ont ni extérieur ni dommage-événement.

Et l'on n'a pas besoin d'inventer le contre-exemple : une institution qui réunit l'évaluation et la fonction juridictionnelle voit ses rapports reçus comme des mises en accusation, contre lesquelles on se défend au lieu de s'en servir. Ce n'est pas une question de probité, c'est une conséquence d'architecture.

Reste une question que la technique ne tranche pas. Une organisation peut être excellente à traiter l'humain comme composant faillible — fatigue, charge mentale, erreurs prévisibles — et médiocre à le traiter comme sujet : protéger le passager contre l'erreur du technicien tout en exposant le technicien à la pression et à la précarité.

L'organisation respecte-t-elle l'humain seulement lorsque sa défaillance pourrait faire tomber l'avion, ou également lorsque lui seul risque de tomber ?

→ 08 — Où s'arrête le modèle

VIII. Ce qu'il faut découpler, et qui garde le barème

« Recoupler pouvoir, connaissance, coût et capacité de répondre » est la bonne direction, et prise au pied de la lettre elle condamnerait le vote secret, l'indépendance du juge et la responsabilité limitée. Il manque une distinction :

Soustrait à ceux qui supportent le coût de la décision : captation. Soustrait à ceux qui pourraient exercer une représaille : indépendance.

Le juge est protégé du ministre, pas du justiciable : il doit motiver, et sa décision est attaquable. Un découplage est légitime quand il supprime un canal de représaille en laissant intact un canal de justification ; il devient captation quand il supprime les deux.

Symétriquement, le recouplage total a sa propre pathologie. Quand chaque décision devient intégralement imputable, le comportement optimal n'est pas de mieux décider mais de ne pas être le décideur identifiable : examen inutile prescrit pour se couvrir, note dont l'unique fonction est de désigner un autre signataire, comité qui produit une décision que personne n'a prise. On obtient une irresponsabilité distribuée, plus difficile à combattre parce qu'elle n'a pas de visage. Le paramètre de dosage n'est ni la gravité ni le rang : c'est la réversibilité. Et le vrai signe de dérèglement est son inversion — le décideur irréversible peu tenu, l'exécutant réversible très tenu.

Il existe par ailleurs des institutions très hiérarchiques et durablement fonctionnelles — armée en temps de paix, ordres monastiques, entreprises familiales. On les explique volontiers par la loyauté ; c'est inexact. Elles ne découplent pas le pouvoir de l'obligation, elles le couplent autrement : l'abbé est soumis à la règle qu'il applique et ne possède rien de plus, le chef mange en dernier, le patron a son patrimoine engagé dans la ville où travaillent ses salariés. D'où un levier très concret : celui qui décide subit-il matériellement ce qu'il décide ? Ce n'est pas une exigence morale mais un dispositif — et il couvre précisément les dangers pour lesquels aucune catégorie n'existe encore, là où le circuit de signalement est aveugle.

Reste l'objection de fond : toute instance de contrôle est elle-même une structure, avec le même défaut. La régression ne se ferme pas ; elle se ralentit, par trois moyens. La non-rétroactivité — une modification du barème ne s'applique pas au cas qui l'a motivée —, qui a l'avantage rare d'être vérifiable par un tiers ignorant tout du dossier : il compare deux dates. Le coût de coalition — combien d'acteurs indépendants doivent consentir, et la modification est-elle visible avant de produire effet. Et la sortie, qui est le gardien ultime, parce qu'elle est externe : là où l'on ne peut pas partir, tous les dispositifs internes portent seuls la charge. D'où une prédiction vérifiable — le dérèglement se concentre dans les relations captives, indépendamment de la qualité des personnes.

On décrit souvent cette dégradation comme organique : la solidarité fonde, le confort dissout, trois ou quatre générations. La métaphore porte une conclusion cachée — si c'est une vie, ça meurt. Or ce qui se corrompt n'est pas un organisme, ce sont des dispositifs, et ils se dégradent pour une raison banale : les maintenir coûte et ne rapporte rien de visible. Ouvrir une archive à l'échéance, conserver une pièce, refuser une requalification : aucun de ces actes ne produit un succès attribuable. Ils produisent des désastres qui n'ont pas eu lieu, et un désastre évité ne figure sur aucun bilan. Les dispositifs meurent de sous-entretien, presque jamais d'attaque — ce qui est une bonne nouvelle, car contrairement au vieillissement, cela se corrige.

→ 10 — Découpler, recoupler · 11 — Qui garde le barème · 12 — Les dispositifs

IX. Le registre des barrières retirées

Deux impasses restaient ouvertes, et elles sont sérieuses. La compétence de celui qui décide n'est pas mesurable dans les domaines bruités. Et les conséquences reviennent souvent après son départ. Si l'on ne peut ni mesurer, ni attendre, sur quoi juger ?

Le vrai apport de l'aéronautique n'est finalement ni la just culture ni la séparation des circuits : c'est un changement d'unité d'analyse. Elle a cessé de raisonner sur les résultats pour raisonner sur les barrières — laquelle a tenu, laquelle a cédé, laquelle avait été retirée. L'accident n'est pas une cause, c'est un alignement de trous.

Et cela change tout, pour une seule raison :

Le retrait d'une barrière est imputable, daté et signé — même quand le résultat ne l'est jamais.

Supprimer une étape de contrôle, réduire un corps d'inspection, raccourcir un délai de consultation, fusionner l'organe qui évalue avec celui qui exécute, transférer une décision vers un lieu non contestable, cesser de conserver une donnée, rendre facultatif ce qui était obligatoire : tout cela s'observe le jour où c'est fait, se rattache à une signature, et ne demande aucune attente de la catastrophe.

On n'a donc plus besoin de mesurer la compétence — on mesure une conduite. Un dirigeant peut être brillant ou chanceux, cela reste indécidable ; qu'il ait supprimé trois défenses en deux ans est établi. Et l'on n'a plus besoin d'attendre les conséquences : c'est une information disponible aujourd'hui sur des dommages qui arriveront dans trente ans.

Le registre tiendrait en cinq colonnes — date, barrière supprimée, signataire, argument énoncé sur le moment, risque déclaré. La dernière est la plus importante : c'est elle qui rend le passé capable de démentir. Sans elle, toute suppression sera réinterprétée après coup, et l'on retombe dans le bulletin.

Il ne sanctionne rien. Il ne dit pas qui a tort. Il maintient disponible ce qu'il faudrait pour en discuter — et c'est le seul pouvoir compatible avec sa fonction. L'organe qui manque existe d'ailleurs déjà dans les transports : un service qui établit ce qui avait été prévu, ce qui s'est produit et par quel enchaînement, et qui ne peut ni sanctionner, ni saisir, ni nommer de fautif. Sans aucun pouvoir il serait ignoré ; il lui faut donc le seul qui convienne — obliger à répondre par écrit, publiquement, dans un délai.

Une institution ne se juge ni à ses résultats, ni à la vertu de ses dirigeants, mais à sa capacité à dire qui a supprimé quelle défense, quand, et sur quel argument — et à obliger celui-là à répondre avant que le dommage n'arrive lui donner tort.

→ 13 — Le registre des barrières retirées

Coda

La tromperie n'est pas une avarie : c'est une fonction normale de tout système de signalisation, et l'on ment mieux quand on ne sait pas qu'on ment. Il n'y a donc pas d'organe malade à réséquer. Ce qui est pathologique n'est pas une substance mais un rapport d'échelle — réputation, réciprocité et coût de la représaille sont calibrés pour des groupes où l'on se revoit, et deviennent destructeurs portés à l'échelle anonyme.

On ne reproche pas au ver d'avoir mangé le fruit. On ne le laisse pas dans le verger pour autant. Retirer le blâme ne supprime pas la nécessité de la structure : cela la déplace du tribunal vers l'ingénierie. Reste une asymétrie qui ne se dissout pas — le ver ne peut pas se représenter le fruit fini, l'humain si. C'est pourquoi la seule chose qui mérite encore un jugement n'est pas de mentir aux autres, mais de s'arranger pour ne pas savoir.

Une société ne supprimera ni l'ego, ni les clans, ni les hiérarchies, ni le secret. Elle peut seulement empêcher que ces formes deviennent des abris permanents contre la contradiction. Les avions ne volent pas parce que les acteurs de l'aéronautique seraient vertueux : ils volent parce qu'une partie de ce monde a appris à traiter l'erreur comme une information, le quasi-accident comme un événement sérieux, le signalement comme une ressource, et la punition comme un circuit distinct.

Cette réussite reste partielle. Le même secteur peut protéger l'information indispensable à l'appareil et protéger insuffisamment celui qui la porte. Il peut respecter la faillibilité humaine sans respecter également tous les humains.

Mais il démontre une possibilité : nous savons construire des systèmes où la réalité résiste à la faveur, où la parole utile contourne la hiérarchie, et où l'absence de catastrophe ne suffit pas à déclarer que tout va bien.

Le critère n'est donc pas que le pouvoir souffre avec ceux qu'il gouverne. Il est qu'il ne puisse ni faire taire l'écart, ni punir son messager, ni se soustraire à l'obligation de corriger.

Une institution respecte l'humain lorsque celui qui dit ce qui s'est passé ne devient pas lui-même l'incident.

---

Le texte porte les affirmations ; les quatorze développements qui suivent portent les preuves — les tests, les objections et les limites de chaque mouvement. Ils se lisent indépendamment.

---

L'explication reposante

Quand une organisation se met à mal fonctionner, une explication s'impose presque toujours : quelqu'un en haut est un narcissique, un pervers, un homme incapable de supporter la contradiction. Il suffirait de mieux choisir les personnes. Nos institutions seraient saines ; quelques individus malades les auraient contaminées.

Cette explication est reposante parce qu'elle ne demande rien. Elle ne remet en cause aucune règle, aucun circuit, aucune habitude. Elle demande seulement de désigner.

Elle est aussi presque toujours fausse.

Une cour n'a besoin d'aucun monstre

Prenez un poste qui distribue une ressource rare : une promotion, une visibilité, une protection, un accès. Placez autour de lui plusieurs personnes qui ne peuvent obtenir cette ressource nulle part ailleurs.

Vous venez de construire une cour. Rien d'autre n'est nécessaire.

Le premier n'a pas besoin de briller davantage que les autres : il lui suffit d'organiser l'ombre. Ses proches obtiennent une part de lumière en participant à l'effacement des autres. Personne n'a décidé cela ; personne n'a eu besoin de le vouloir.

Placez maintenant à ce poste quelqu'un de sobre, honnête et bien élevé. En trois ans, il aura appris quels silences facilitent son travail, quelles informations menacent sa position, et quels collaborateurs savent rendre leurs objections socialement digestes. Il ne se sera pas corrompu : il aura appris son métier tel que l'organisation le lui enseigne.

La psychopathologie peut accélérer le mouvement. Le barème suffit à le produire.

Qu'est-ce qu'un barème

Le barème n'est pas le règlement intérieur. C'est ce qui paie réellement, et que tout le monde finit par savoir sans qu'on l'ait jamais écrit :

• qui a été promu, et après quoi ;
• qui a cessé d'être invité aux réunions qui comptent ;
• quelle objection a été « prise en compte » et n'a rien changé ;
• qui a été déplacé sans qu'aucune sanction ne soit prononcée.

Le barème apprend à chacun ce qu'il est rentable de voir.

Et il travaille en amont de la sincérité. Produire un modèle exact du monde coûte cher : il faut chercher, comparer, supporter l'incertitude et parfois renoncer à une position avantageuse. Produire un modèle compatible avec sa place coûte presque rien et rapporte tout de suite. À force d'être récompensé pour certaines descriptions et exposé pour d'autres, on n'a même plus besoin de mentir. On devient sincère dans la langue qui protège sa position.

C'est pourquoi les appels à la vertu ne produisent presque rien. On demande à une personne de supporter seule le coût d'une lucidité dont l'organisation récoltera peut-être le bénéfice, en lui faisant payer immédiatement la perturbation qu'elle provoque.

La psychologie ne disparaît pas pour autant

Il ne s'agit pas de dissoudre les personnes dans la structure. Ce serait l'erreur inverse, et elle est aussi paresseuse.

Certains individus recherchent activement les postes depuis lesquels on distribue les sanctions. Certaines structures sélectionnent précisément ceux qui les exercent sans hésiter. La fonction et le caractère se renforcent mutuellement.

Et surtout : les barèmes ne s'appliquent pas tout seuls. Quelqu'un conserve la pièce, ouvre l'archive à l'échéance, refuse de rebaptiser une affaire. Cette personne pouvait détourner le regard sans que nul le sache.

Une bonne institution ne rend donc pas la vertu inutile. Elle cesse d'exiger que tout le monde soit courageux en permanence — ce qui n'arrive jamais — et concentre cette exigence sur quelques postes identifiés, où elle devient vérifiable et où le manquement se sanctionne. On ne supprime pas le besoin de gens intègres : on réduit le nombre nécessaire et on les place là où leur intégrité se constate.

Le changement de question

La question n'est donc plus :

Qu'est-ce qui ne va pas chez ce chef ?

Elle devient :

Quel comportement cette organisation rend-elle avantageux, même chez quelqu'un d'ordinaire ?

La première question ne mène nulle part : on ne peut ni vérifier le diagnostic, ni agir dessus, et le remplaçant reproduira le comportement. La seconde se répond en observant des faits datés, et elle indique quoi modifier.

Ce qu'il faut retenir

• Une cour se forme mécaniquement dès qu'un poste concentre l'attribution d'une ressource rare et que les autres en dépendent sans recours.
• Le barème — ce qui paie réellement — précède les intentions et les façonne.
• Réduire le problème aux personnes empêche d'agir ; le dissoudre entièrement dans la structure fait disparaître ceux qui, seuls, maintiennent les dispositifs.

---

---

Le trajet ordinaire

L'individu commence nécessairement par lui-même. L'égotisme n'est pas seulement un défaut moral : il construit une limite, une continuité, une volonté de persister. Il y a pourtant une différence entre posséder une identité et exiger que le monde entier serve à la confirmer.

Un enfant, un métier, une terre, une charge introduisent la première résistance. Ils obligent à tenir compte de besoins qui ne coïncident pas avec les siens. La parentalité en est la forme la plus ordinaire et la plus radicale : maintenir en vie un être dépendant, préparer un avenir qu'on ne contrôlera pas, agir pour quelqu'un qui nous survivra.

Le clan élargit encore le cercle du moi. Il produit de la fidélité, de la mémoire, de la transmission, parfois du sacrifice. Il est en cela plus consistant que l'individualisme pur. Mais il peut devenir un égoïsme coordonné — donc plus puissant : réserver la protection aux siens, transmettre les avantages, faire supporter le prix aux autres.

Grandir politiquement ne consiste donc pas à supprimer les appartenances, mais à les emboîter :

individu → famille → communauté → cité → humanité

Chaque cercle crée des obligations concrètes envers ce qu'il contient. Le cercle suivant empêche ces obligations de devenir un droit illimité d'externaliser les coûts.

Le critère

La technocivilisation n'a pas aboli les clans. Elle les a détachés de la parenté, du territoire et de la nécessité matérielle, puis réorganisés autour de centres d'attention : causes, passions, identités, collections, indignations. Ces groupes peuvent être des ateliers qui conservent un savoir, des refuges qui accueillent une détresse, ou de petites juridictions morales.

Leur dérèglement tient dans une formule :

Riches en identité, pauvres en obligations.

L'identité produit des signes : appartenance, conformité, prestige, vertu affichée. L'obligation impose des coûts : entretenir, protéger, supporter la frustration, contredire, réparer, transmettre, répondre de ce qu'on fait.

Un groupe reste fonctionnel tant que la reconnaissance et le droit de décider demeurent liés à une part suffisante des charges. Il se dérègle quand ces éléments se séparent :

les uns définissent le bien, d'autres exécutent, d'autres encore paient.

Le clan à topic, la cour hiérarchique et certaines institutions politiques deviennent alors des expressions du même mécanisme : captation de la reconnaissance, externalisation des obligations.

Ce que le critère n'est pas

Il ne porte pas sur le contenu des passions. Nous sommes tous le cas social de quelqu'un, et se moquer de ce qui anime les autres est le premier des signaux gratuits — il ne coûte rien à qui l'émet et lui rapporte une appartenance immédiate. C'est exactement le mécanisme qu'on prétend dénoncer.

Le critère est un rapport : signes émis / coûts assumés. Il se mesure dans un groupe de collectionneurs comme dans un ministère.

Cela dit, un phénomène mérite d'être nommé sans être moqué. La passion sert parfois de surface acceptable à une détresse. L'incapacité à participer à une fonction se convertit en supériorité morale : le retrait devient résistance, la dépendance devient exigence adressée aux autres, et ce que je ne parviens pas à accomplir doit être déclaré mauvais. Dans les cas extrêmes, le groupe vit de mécanismes nourriciers, sécuritaires et sociaux qu'il contribue à délégitimer.

Ce n'est pas un défaut de caractère. C'est ce que produit un environnement où les signes se distribuent instantanément et gratuitement, tandis que les obligations, elles, demandent du temps, de la proximité et de la répétition.

Le test pratique

Trois questions suffisent à situer un groupe, quel qu'il soit :

1. Qui supporte un coût réel ici, et lequel ? Du temps, de l'argent, de la fatigue, du risque, de la contrariété acceptée.
2. Ce coût donne-t-il un droit de parole supérieur, ou aucun ? Dans un groupe vivant, celui qui porte pèse. Dans un groupe décoratif, celui qui signale pèse.
3. Que se passe-t-il pour celui qui cesse d'émettre les bons signes tout en continuant de porter les charges ? La réponse dit tout du barème.

Ce qu'il faut retenir

• Le clan n'est pas un progrès moral en soi : c'est un égoïsme mieux coordonné, ce qui peut le rendre plus dangereux et plus fécond à la fois.
• La formule opérante n'est pas « ces gens sont futiles » mais « quel est ici le rapport entre signes émis et coûts assumés ».
• Ce rapport est mesurable, et il s'applique aussi bien à un forum en ligne qu'à un conseil d'administration.

---

---

Trois étages, trois prix

La vérité opérationnelle aide à réparer le fonctionnement : une pièce fatigue, un protocole échoue, une information n'est pas arrivée.

La vérité distributive révèle qui décide, qui bénéficie, qui supporte le risque et qui paie.

La vérité constitutionnelle conteste le barème lui-même : pourquoi cette personne peut-elle décider, selon quelle règle, avec quel recours ?

La première est souvent récompensée. Un technicien peut être félicité pour avoir découvert une panne grave — l'information sert la production sans déplacer personne.

Mais s'il montre qu'une panne bien moins grave résulte d'un avantage consenti à la direction, sa carrière peut se compliquer brutalement. Le fait est moins grave ; l'information est plus dangereuse.

C'est tout le mécanisme. Ce qui déclenche la fermeture n'est pas la gravité du problème, c'est ce que sa révélation déplace.

Une prédiction qu'on peut tester

Cette distinction rend la thèse vérifiable, ce qui est rare pour ce genre de raisonnement.

Le coût supporté par celui qui apporte une information devrait augmenter moins avec la gravité technique du problème qu'au moment où l'information passe de l'opérationnel au distributif.

Si les représailles suivaient simplement la gravité, la théorie du barème serait fausse : les organisations puniraient les mauvaises nouvelles, ce qui est une explication plus simple et n'a pas besoin de nous.

Ce n'est pas une preuve automatique — le poste occupé, la solidité des éléments et la manière d'alerter comptent aussi. Mais c'est une épreuve sérieuse, et les données existent : les contentieux du travail et la jurisprudence sur les lanceurs d'alerte documentent à la fois la nature du fait signalé et le sort de la personne.

La version utilisable partout

Il existe une méthode pauvre, sans données, sans enquête, qui fonctionne dans n'importe quelle organisation :

Que sont devenues les cinq dernières personnes qui ont soulevé un problème important ?

Si personne ne sait, c'est déjà une information : les signalements n'ont pas de suite visible, donc le circuit n'existe pas.

Si tout le monde sait mais que personne ne le dit devant un supérieur, c'est l'information complète.

Pourquoi la lucidité est chère, et où elle ne l'est pas

Il serait excessif de dire que la lucidité coûte toujours. Elle est régulièrement récompensée à l'étage opérationnel, parce qu'elle améliore la production sans modifier la distribution du pouvoir. C'est même le cas ordinaire dans une bonne équipe technique.

Ce qui coûte, c'est de franchir l'étage. Et le coût n'est presque jamais formel : ce n'est pas une sanction, c'est une invitation qui cesse, un dossier qui change de main, une réputation d'être « difficile ».

Conséquence pratique, la seule qui vaille :

On n'obtient pas plus de vérité en réclamant plus de courage. On l'obtient en modifiant qui peut contredire sans perdre.

La classification est elle-même un enjeu

Dernier point, et c'est le plus retors. La frontière entre les trois étages n'est pas donnée : elle se dispute.

Celui qui veut enterrer une vérité distributive la reclasse en opérationnelle — « incident technique en cours de traitement ». Celui qui veut attaquer reclasse une panne ordinaire en vérité constitutionnelle — « la preuve que le système est pourri ».

L'observable n'est donc pas l'étage, c'est le mouvement de reclassement. C'est l'objet de l'article suivant.

Ce qu'il faut retenir

• Une organisation accepte les vérités qui la réparent et punit celles qui la redistribuent.
• La sanction suit le type d'information, pas la gravité du fait — et c'est testable.
• Question de terrain, valable partout : qu'est-il arrivé aux cinq dernières personnes qui ont parlé ?

---

---

Le mécanisme

On imagine le pouvoir dissimulant des informations. C'est rare, coûteux et risqué. Le procédé ordinaire est bien plus économique : laisser le fait visible, et décider de ce qu'il est.

• Le même incident devient « un problème technique en cours de traitement » quand il implique un proche, et « la preuve d'un dysfonctionnement de fond » quand il implique un rival.
• Un dépassement de budget devient « un ajustement de périmètre ».
• Une série de démissions devient « un renouvellement des équipes ».
• Un échec devient « un apprentissage ».
• Une décision annulée devient « une phase de concertation ».

Le fait peut être publié, chiffré, mis en ligne. Sa qualification décide de qui devra répondre — et cette qualification, elle, ne se discute presque jamais.

C'est le passage obligé entre le monde et l'action. Rien ne devient un problème tant que quelqu'un n'a pas dit que c'en était un.

Pourquoi c'est difficile à prouver

Une requalification isolée ne prouve rien. Un incident peut réellement être technique ; une série de démissions peut réellement être un hasard de calendrier. Accuser sur un seul cas, c'est faire soi-même ce qu'on reproche.

Le test exige deux dossiers :

Même type de fait · même organisation · même autorité de qualification · étiquette différente selon la personne mise en cause.

C'est la comparaison qui prouve, jamais l'examen d'un cas.

Le test, en pratique

Une méthode utilisable sans données confidentielles ni entretien :

1. Reprenez les cinq à dix derniers incidents publiquement traités par une organisation.
2. Notez pour chacun l'étiquette employée par la direction : technique, humain, exceptionnel, systémique, conjoncturel, réglementaire.
3. Notez qui était impliqué.
4. Regardez sur quoi porte la corrélation.

Si l'étiquette suit la nature du fait, il n'y a rien à dire. Si elle suit l'identité de la personne impliquée, vous n'avez plus besoin de discuter de la sincérité de qui que ce soit : le traitement différentiel est daté, écrit et attribuable.

Le confort intellectuel devient observable

« Refuser de savoir » est une intention intérieure, donc inutilisable. Mais l'aménagement de sa propre ignorance produit des conduites, et celles-ci se constatent :

• empêcher la collecte d'une donnée gênante ;
• changer le critère d'évaluation après avoir vu le résultat ;
• exiger davantage de preuves des objections que des confirmations ;
• sanctionner celui qui apporte l'information contraire ;
• répéter une décision après l'échec documenté de ses prédictions ;
• organiser l'impossibilité de répondre plus tard (pas d'archive, pas de trace, pas de date) ;
• requalifier en incident technique une information qui met en cause une répartition.

Aucune de ces conduites ne demande d'hypothèse sur l'état d'esprit de qui que ce soit. On ne juge plus la sincérité : on constate qu'un critère a bougé, et quand.

Ce qui rend la requalification possible

Une seule chose : le vocabulaire appartient à celui qui est mis en cause.

Quand la liste des catégories est écrite dans l'organisation, par ceux qui l'utiliseront, sur des cas qu'ils connaissent, le classement est libre. Quand elle est écrite ailleurs, avant, par des gens qui ignoraient l'existence du cas, et que le classement est comparé à celui de tiers, la marge disparaît.

C'est exactement ce que l'aéronautique a industrialisé, avec une nomenclature internationale obligatoire et des bases partagées entre opérateurs et entre États : le nom ne vous appartient pas. Voir 07 — L'aéronautique.

Et c'est ce qui manque partout ailleurs. Il n'existe aucune nomenclature partagée des écarts de gouvernement, d'entreprise ou d'administration. Chaque événement est nommé au cas par cas, par celui qu'il met en cause.

Tant qu'une telle liste n'existe pas, « définir les critères à l'avance » reste un engagement pris par l'intéressé envers lui-même.

Ce qu'il faut retenir

• Le pouvoir ordinaire ne cache pas les faits : il tient le vocabulaire.
• Une requalification isolée ne prouve rien ; deux dossiers comparables prouvent tout.
• La seule parade robuste est une nomenclature externe, obligatoire et partagée — pas une promesse de rigueur.

---

---

Le pouvoir qu'on ne surveille pas

Nous savons regarder les décisions : elles sont annoncées, débattues, contestées. Nous savons regarder les sanctions : elles sont visibles, et souvent attaquables.

Entre les deux se trouve une opération que presque personne ne regarde : dire ce qui s'est passé. Nommer l'événement, le classer, établir ce que le résultat prouve.

Cette opération n'a pas l'air d'un pouvoir. C'est précisément pour cela qu'elle n'a jamais été séparée.

La chaîne complète

     décider
        ↓
     le réel produit un écart
        ↓
     qualification causale     ← que s'est-il produit, par quel enchaînement ?
        ↓
     qualification normative   ← qui a commis une faute et doit en répondre ?
        ↓
     sanctionner

Quatre pouvoirs, pas trois. La qualification se dédouble, et cette division est peut-être le cœur de tout le dossier.

• Décider : engager l'action.
• Qualifier causalement : établir les circonstances, les facteurs, la chaîne. Une opération de connaissance.
• Qualifier normativement : convertir cette chaîne en imputation. Une opération d'autorité.
• Sanctionner : distribuer titres, carrières, disgrâces, réparations.

Deux de ces pouvoirs dans la même main constituent déjà un régime à risque. Les quatre réunis définissent la corruption institutionnelle — sans qu'aucun vol ni aucun mensonge ne soit nécessaire.

La règle de conception

Elle tient en deux clauses, l'une d'ordre, l'autre de personne :

La qualification causale précède la qualification normative, et n'est pas produite par celui qui produira la seconde.

L'ordre compte autant que la séparation. Une reconstitution causale établie après l'attribution des fautes n'est plus une enquête : c'est une justification. On sait déjà qui est responsable, il ne reste qu'à trouver par quel chemin.

La séparation manquante

Montesquieu a séparé les fonctions de gouvernement : faire la loi, l'appliquer, juger. Cette séparation est enseignée, inscrite, défendue.

Il n'a pas séparé décider de sa propre notation.

Un seul secteur l'a industrialisé, et il ne l'a pas fait par philosophie mais parce que les avions tombaient : l'aéronautique. Le BEA ne fait voler aucun avion et ne peut licencier personne. Il ne détient que la qualification causale, et renonce explicitement à la normative. Voir 07 — L'aéronautique.

La grille de lecture

Le triptyque note à peu près tout ce qui se présente. Il suffit de demander, pour une situation donnée : qui décide, qui qualifie les causes, qui impute, qui sanctionne ?

Le tableau se lit d'un coup d'œil : plus les cases d'une ligne contiennent le même nom, plus la situation est fermée.

Il explique aussi des phénomènes qu'on croyait distincts :

• La cour — régime d'évaluation où la valeur des subordonnés dépend du jugement du centre, tandis que la valeur du centre échappe à toute comparaison. C'est la fusion qualifier + sanctionner.
• La requalification — capture du seul pouvoir de qualifier, sans toucher aux faits (04).
• La punition déniée — un acte normatif habillé en constat causal (09).
• Le créancier souverain — détient un pouvoir de qualification (la note, la « soutenabilité ») sans être qualifiable par personne (11).

La formulation de la thèse

Le pouvoir se dérègle lorsqu'une même instance peut décider, établir ce qui s'est produit, dire qui en répond, distribuer la sanction — puis contrôler le récit qui en restera.

Ou, plus court :

Un chef devient véritablement souverain quand il peut décider de ce que sa décision prouve.

Une objection, et sa réponse

« Séparer la décision de son évaluation, n'est-ce pas déresponsabiliser celui qui décide ? »

Non : c'est l'inverse. Tant que le décideur qualifie lui-même son résultat, il n'est jamais tenu de répondre, puisqu'il n'existe jamais d'écart — il n'y a que des ajustements, des contextes et des circonstances. La séparation ne le protège pas : elle crée la seule chose à laquelle il devra répondre, un constat qu'il n'a pas écrit.

Ce qu'il faut retenir

• Le pouvoir dangereux n'est pas de décider, c'est de noter sa propre décision.
• Quatre pouvoirs, pas un : décider, établir les causes, imputer, sanctionner.
• Règle de conception : les causes avant l'imputation, et pas par la même personne.
• Test immédiat : sur une situation donnée, remplissez les quatre cases. Si le même nom revient, vous avez le diagnostic.

---

---

Pourquoi ce cas

On convoque habituellement Napoléon pour parler de vanité et de flatterie. La cour impériale se forme en effet très vite, avec ses titres, ses préséances et ses courtisans. Mais l'intérêt du cas est ailleurs, et il est plus profond : c'est l'exemple le plus net d'un système où le chef finit par tenir tous les instruments qui permettraient de l'évaluer.

Deux récits également faux

Le récit héroïque : la guerre sélectionnerait mécaniquement les meilleurs, et les maréchaux seraient la preuve vivante d'un tri par le réel.

Le récit de la loterie : les survivants ne devraient leur place qu'au hasard, et le génie serait une pure construction.

Les deux sont faux, et c'est l'écart entre eux qui est instructif.

Aux guerres napoléoniennes, la maladie a tué bien davantage que le combat — typhus, dysenterie, épuisement, environ deux morts sur trois. Le filtre principal n'est donc pas le jugement tactique : c'est l'ignorance sanitaire de l'époque — eau souillée, distance aux convois, absence de soins — un facteur systémique, non le hasard. Un colonel médiocre bien approvisionné survit ; un colonel remarquable dans une colonne infectée meurt en quinze jours sans avoir livré bataille. À quoi s'ajoute que l'issue d'une bataille dépend elle aussi d'un enchevêtrement — météo, ordre mal transmis, initiative d'un subordonné, faute de l'adversaire — dont le mérite est systématiquement attribué au vainqueur, parce que c'est lui qui rédige le compte rendu.

Le résultat est donc extrêmement bruité. Cela n'efface pas toute compétence : une série de résultats obtenus dans des situations différentes reste un indice. Mais l'indice est collectif, probabiliste et difficilement attribuable à une personne.

Le mécanisme réel

Ce qui est intéressant n'est pas le degré de génie. C'est la conversion d'un signal incertain en certitude politique, en quatre temps :

1. Une victoire collective et partiellement contingente est attribuée au chef.
2. Le chef devient ensuite celui qui distribue les titres attestant la compétence des autres.
3. Ses bulletins qualifient eux-mêmes les résultats.
4. La cour dépend matériellement de la conservation de la légende.

Au terme du quatrième temps, il n'existe plus aucun point d'où l'évaluation pourrait venir.

Sur l'outillage militaire, la même prudence s'impose : le système de corps d'armée, l'artillerie standardisée, la levée en masse sont des élaborations antérieures qu'il combine et exploite avec une rapidité réelle. Dire qu'il n'a rien inventé serait aussi réducteur que de lui attribuer seul les victoires. Le problème n'est pas l'absence de compétence, c'est l'impossibilité croissante de séparer sa compétence propre de l'appareil, du hasard et du récit.

Le bulletin comme technologie

Les Bulletins de la Grande Armée ne servent pas seulement à embellir. Ils suppriment la possibilité d'un verdict extérieur, en contrôlant le vocabulaire :

• la retraite devient mouvement stratégique ;
• les pertes deviennent sacrifice nécessaire ;
• la victoire coûteuse devient démonstration du génie ;
• l'échec devient trahison, météo, ou défaillance d'un subalterne.

Leur réputation était telle que « mentir comme un bulletin » est passé dans la langue. Puis, après 1815, le Mémorial de Sainte-Hélène transforme la défaite finale en destin historique, et devient l'un des grands succès de librairie du siècle.

La propagande ne consiste donc pas seulement à falsifier le passé. Elle retire au passé sa fonction de sanction : puisque toute issue peut être requalifiée, plus aucun résultat ne peut réfuter le chef.

C'est le même objet que la requalification ordinaire (04), exercé à l'échelle d'un empire, quotidiennement, avec le monopole de la source.

La formule de la cour

Le bruit ne produit pas automatiquement une cour. Il faut trois facteurs, et c'est leur produit qui compte :

Bruit du résultat × monopole de l'évaluation × dépendance envers l'évaluateur = intensité de la cour.

• Le résultat est collectif, différé ou difficile à attribuer.
• Une personne contrôle sa qualification.
• Les autres dépendent d'elle pour leur carrière, et disposent de peu de recours ou de sortie.

Quand le résultat est illisible mais que plusieurs évaluateurs indépendants peuvent se contredire, l'incertitude demeure sans devenir une cour. Quand l'évaluation est centralisée, les signes de loyauté deviennent rationnels : non parce que les gens seraient serviles, mais parce que la faveur est le seul signal dont la valeur soit certaine.

D'où la définition :

La cour est un régime d'évaluation dans lequel la valeur des subordonnés dépend du jugement du centre, tandis que la valeur du centre demeure soustraite à la comparaison.

La vérification par la recherche

On objecte parfois que le bruit ne suffit pas, puisque la recherche scientifique affronte des résultats incertains sans que tous les laboratoires deviennent des Versailles. C'est exact, et c'est en réalité la meilleure vérification de la formule, parce que la recherche en fait varier les termes à l'intérieur d'un même métier :

• Chercheur titulaire, multi-financé, publiable ailleurs, évalué par des comités extérieurs et changeants → bruit élevé, monopole faible, dépendance faible : pas de cour.
• Doctorant dont un seul directeur signe la thèse, écrit les lettres, contrôle l'accès au terrain, et que personne ne contredit → même bruit, monopole total, dépendance sans sortie : tous les phénomènes de cour, jusqu'à la captation de signature.

Ce n'est pas un contre-exemple. C'est l'expérience naturelle qui valide les trois facteurs.

Ce que Napoléon permet d'établir

• Que la compétence d'un dirigeant est, dans les domaines bruités, difficilement mesurable — ni avant, ni pendant, ni de façon fiable après.
• Que le chef qui contrôle la qualification rend cette mesure impossible en droit, et pas seulement difficile en fait.
• Que la solution ne peut donc pas être une meilleure sélection des chefs, puisque toute sélection suppose une mesure qui n'existe pas.

La conséquence politique n'est pas « la compétence est illusoire ». Elle est :

La compétence politique est assez incertaine et assez difficile à attribuer pour qu'aucune institution ne doive dépendre de la reconnaissance préalable d'un génie.

Popper a fixé le déplacement : cesser de demander qui mérite de gouverner, et organiser les institutions de manière que les dirigeants mauvais ou incompétents ne puissent pas faire trop de dégâts.

Mais la rotation courte ne suffit pas

Elle produit l'irresponsabilité, le court-termisme et la perte de mémoire. Trois mécanismes distincts sont nécessaires :

La durée convenable n'est donc pas nécessairement courte. Elle doit être assez longue pour que le décideur apprenne, assez bornée pour qu'il ne devienne pas propriétaire du système d'évaluation.

Ce qu'il faut retenir

• Napoléon n'est ni un génie révélé par le réel ni un gagnant de loterie : c'est le cas type de la conversion d'un signal incertain en certitude politique.
• Le bulletin est une technologie : il retire au passé sa capacité de démentir.
• Cour = bruit × monopole de l'évaluation × dépendance. Les trois facteurs sont nécessaires.
• Puisque la compétence n'est pas mesurable, la réponse rationnelle n'est pas de mieux choisir, mais de rendre falsifiable, révocable et remplaçable.

---

---

Ce qu'un incident veut dire

L'aéronautique oblige d'abord à corriger le vocabulaire.

Dire qu'une bonne institution doit « faire revenir les conséquences » jusqu'au décideur est trop vague, et parfois faux. En sécurité aérienne, un incident n'est pas défini par le dommage produit. L'OACI le définit comme un événement, distinct de l'accident, qui affecte ou pourrait affecter la sécurité. Un incident grave se caractérise par une forte probabilité d'accident — même si la catastrophe n'a pas eu lieu.

L'absence de victime peut tenir au fonctionnement d'une défense, à une intervention tardive, ou simplement à la chance. Elle ne rend pas l'événement insignifiant.

La question n'est donc pas seulement « qu'est-il arrivé ? » mais :

Qu'aurait-il raisonnablement pu arriver, et quelles barrières ont empêché — ou auraient dû empêcher — la progression ?

Une organisation ordinaire attend le dommage pour reconnaître le problème. L'aéronautique exploite l'écart avant que le dommage lui donne raison.

Les deux qualifications

C'est ici que se trouve l'invention principale, et elle est plus fine qu'il n'y paraît.

Il existe deux qualifications d'un même événement :

1. La qualification causale — que s'est-il produit, par quel enchaînement, dans quelles conditions ?
2. La qualification normative — qui a commis une faute et doit en répondre ?

L'enquête de sécurité reçoit la première et renonce délibérément à la seconde. L'objectif déclaré de l'enquête prévue par l'Annexe 13 de l'OACI est la prévention, non l'attribution des fautes ou des responsabilités ; le règlement européen 996/2010 impose que l'enquête de sécurité soit séparée des procédures judiciaires ou administratives destinées à établir les responsabilités.

C'est précisément ce renoncement qui permet d'établir des causes sans transformer chaque information en pièce à charge.

L'aéronautique n'a pas supprimé le pouvoir de sanctionner. Elle a créé, entre l'écart et la sanction, un espace protégé dans lequel un événement peut être compris avant d'être imputé.

Le modèle n'est d'ailleurs pas resté isolé : les enquêtes ferroviaires, routières et maritimes ont repris la même séparation, avec la même clause de non-recherche des fautes. L'aéronautique reste la version historique la plus aboutie.

Le circuit

Le circuit n'est donc pas celui qu'on imagine :

✗   décision → conséquence → punition du décideur

mais :

✓   activité → écart → signalement protégé → analyse indépendante → correction

Une voie séparée établit ensuite si une conduite franchit le seuil de la faute grave ou délibérée.

Confondre les deux circuits les détruit tous les deux : l'enquête devient un tribunal prématuré, le témoin devient un suspect, et l'organisation perd les informations dont elle a besoin pour apprendre.

Protéger le témoin

La just culture poursuit le même objectif à l'entrée du circuit. La réglementation européenne la définit comme une culture dans laquelle les opérateurs ne sont pas punis pour des actions, omissions ou décisions compatibles avec leur expérience et leur formation — sans pour autant tolérer la négligence grave, la violation délibérée ou l'acte destructeur. La frontière est explicite, et elle est le cœur du dispositif : ce n'est pas l'impunité, c'est la protection de l'erreur honnête.

Aux États-Unis, le système confidentiel ASRS, opéré par la NASA plutôt que par le régulateur, recueille les signalements et les dépersonnalise ; la FAA s'engage à ne pas les utiliser dans ses procédures de sanction et peut renoncer à certaines pénalités pour des violations involontaires déclarées sous conditions.

L'information de sécurité est jugée assez précieuse pour justifier une protection spécifique de celui qui la fournit.

Le détail de conception le plus transposable

Il y a dans ce régime une asymétrie qu'on remarque peu, et qui est décisive :

On protège la matière première, on publie la conclusion.

Les déclarations des personnes, les enregistrements de cockpit, les communications, les avis exprimés dans l'analyse sont soustraits à toute autre utilisation, sauf décision motivée d'une autorité compétente. Le rapport final, lui, est public et lisible par un concurrent comme par un journaliste.

Le partage est d'une justesse remarquable :

• protéger la conclusion produirait un secret de plus ;
• exposer la matière première ferait taire tout le monde ;
• protéger l'entrée et publier la sortie donne le seul régime où le témoignage reste possible et la conclusion opposable.

C'est ce que presque toutes les procédures internes ratent, en faisant exactement l'inverse : la parole recueillie circule, la conclusion reste confidentielle.

Le nom ne vous appartient pas

Deuxième dispositif rarement cité, et pourtant le plus efficace contre la requalification (04) :

• le signalement de certaines occurrences est obligatoire, pas volontaire ;
• l'événement est codé selon une taxonomie internationale commune ;
• il est versé dans une base que d'autres opérateurs et d'autres États consultent ;
• le rapport final est public.

Conséquence : un événement ne peut pas être discrètement rebaptisé, parce que la liste des catégories a été écrite ailleurs, avant votre cas, par des gens qui ignoraient votre existence — et que votre codage est comparable à celui de tous les autres.

Mesurer les précurseurs, pas les résultats

Pourquoi tant d'attention aux quasi-accidents ? Pas par raffinement moral : parce que les accidents sont trop rares pour qu'on puisse apprendre d'eux.

À ces taux, l'absence de catastrophe ne contient presque aucune information. Une organisation peut se dégrader pendant dix ans avec un bilan parfait et lire ce bilan comme une validation. C'est la normalisation de la déviance décrite après Challenger : chaque vol survécu servait de preuve que l'anomalie était acceptable.

La réponse est la seule connue : cesser de mesurer les résultats, mesurer les précurseurs — écarts entre ce qui était prévu et ce qui s'est produit, hypothèses déclarées puis démenties, alertes émises et leur traitement.

C'est exactement la conclusion à laquelle mène le cas Napoléon par l'autre bout (06) : le résultat est trop bruité pour évaluer celui qui décide. Les deux raisonnements se rejoignent.

Tenerife : la contradiction scriptée

En 1977 à Tenerife, le commandant de bord de KLM — le pilote le plus prestigieux de la compagnie, l'instructeur qui formait les autres — décolle sans autorisation. Le mécanicien navigant émet un doute. Il est brièvement rabroué. 583 morts.

La correction n'a pas consisté à sélectionner des commandants plus modestes. Elle a consisté à créer le CRM : la contradiction du supérieur devient une procédure enseignée, avec des formules graduées imposées, un moment prévu pour l'objection, et l'obligation pour le supérieur d'y répondre explicitement — le défaut de réponse étant lui-même un écart signalable.

C'est supérieur à l'idée d'un « poste de contradicteur », pour une raison décisive :

Le script supprime l'exigence de courage.

Prononcer une phrase qu'on vous a apprise, que l'autre attend, et dont l'absence serait remarquée, ne demande aucune bravoure. Créer un contradicteur officiel, à l'inverse, concentre le risque sur une personne et dispense tous les autres de parler : l'objection devient le métier de quelqu'un d'autre.

Transposition : ne cherchez pas qui, dans une organisation, ose contredire. Regardez s'il existe un moment obligatoire, un vocabulaire fourni et une obligation de réponse tracée.

Ce qu'il faut retenir

• Un incident se définit par ce qui aurait pu arriver, pas par le dommage subi.
• L'invention centrale est la séparation des deux qualifications : les causes d'abord, l'imputation ensuite et ailleurs.
• Protéger la matière première, publier la conclusion.
• Une taxonomie extérieure rend la requalification impossible.
• Mesurer les précurseurs, parce que les résultats sont trop rares ou trop bruités.
• Scripter la contradiction plutôt que d'espérer des courageux.

---

---

La just culture ne couvre qu'un étage

Reprenons les trois vérités (03).

La just culture protège la vérité opérationnelle : j'ai mal serré, j'ai lu la mauvaise ligne, j'ai oublié un point de checklist. C'est une information qui répare le fonctionnement sans mettre en cause aucune répartition.

Elle ne protège pas la vérité distributive : la cadence imposée par la direction est le danger, le calendrier commercial a mangé la marge de sécurité, la sous-traitance a détruit la compétence. Aucun règlement ne protège celui-là, parce que le protéger reviendrait à protéger une accusation dirigée vers le haut.

Et c'est exactement ce qu'a montré le groupe d'experts mandaté par la FAA sur Boeing en 2024 : des responsables pouvant intervenir dans l'évaluation, les salaires, les promotions et les sanctions pouvaient aussi participer aux investigations de sécurité ; les employés se défiaient de l'anonymat du dispositif interne et redoutaient des représailles par la rémunération ou le classement.

Ce qui était étouffé n'était pas l'erreur d'un opérateur. C'était l'information sur la structure de décision elle-même.

Le mécanicien mal informé est couvert. L'ingénieur qui met en cause la cadence ne l'est pas.

Le « pervers » n'est pas nécessaire. Il suffit que l'enquêteur soit aussi celui qui tient la carrière dans sa main.

Le couplage est parfait en bas, nul en haut

Observation plus gênante encore.

Le pilote meurt avec ses passagers. C'est la condition de vie partagée à l'état pur, le couplage le plus total qui existe entre une décision et ses conséquences.

Le dirigeant qui a fixé la cadence de production ne monte jamais dans l'avion.

L'inversion de la redevabilité se lit donc en clair, dans le secteur le plus vertueux du monde industriel : le décideur irréversible est peu tenu, l'exécutant réversible l'est totalement. Voir 10 — Découpler, recoupler.

Le prix du modèle

Ce dispositif n'est pas gratuit. Il est :

• cher — enquêtes longues, organismes permanents, formation continue ;
• lent — une enquête met un à trois ans ;
• ossifiant — le coût de certification est une barrière à l'entrée massive.

Cette dernière conséquence mérite d'être regardée en face : le régime de sécurité est devenu un fossé concurrentiel, donc il a réduit la pression de sortie que nous identifions par ailleurs comme le gardien ultime du barème (11). Boeing est difficile à sanctionner par le marché parce que le marché ne compte que deux constructeurs.

La condition d'existence : le dommage-événement

C'est la limite de transposition la plus importante.

Ce modèle suppose que le dommage ait la forme d'un événement : deux cents morts d'un coup, à une date, avec une épave et un enregistreur.

Là où le dommage est diffus et statistique — un hôpital chroniquement sous-doté, une réforme qui appauvrit lentement, un logement insalubre, une pollution chronique —, il tue davantage et ne déclenche aucune enquête, parce qu'il ne produit jamais d'événement.

Conséquence désagréable : les domaines qui auraient le plus besoin de ce dispositif sont structurellement ceux qui ne l'obtiendront pas spontanément.

Et transposer sans le voir produit la paperasse sans l'apprentissage : le formulaire d'incident dans un service qui n'a ni analyste indépendant, ni base comparable, ni budget de correction — c'est-à-dire du théâtre de sécurité, qui a un coût réel et un rendement nul.

Le pare-feu est attaqué de l'extérieur

La séparation des deux circuits n'est pas un choix interne qu'il suffirait de maintenir. Son adversaire principal est extérieur à l'organisation, et parfaitement légitime : le juge pénal, dont le mandat est précisément d'établir les responsabilités.

Périodiquement, une procédure judiciaire vient chercher le matériel d'enquête de sécurité, et chacun comprend que le pare-feu est une convention protégée par un texte, non une loi de la nature.

D'où une règle générale, valable bien au-delà de l'aviation :

Le circuit d'apprentissage est attaqué le plus fort exactement au moment où il est le plus nécessaire — après la catastrophe, quand la demande de punition est à son sommet, et que défendre la protection du témoin ressemble à protéger le coupable.

Un dispositif qui n'a pas été blindé juridiquement avant ne survit pas à sa première grande affaire.

Une convention, pas un effet

Il faut être honnête sur ce que la séparation ne produit pas. L'organisme d'enquête ne cherche ni faute ni responsabilité, mais son rapport est lu par les juges, les assureurs, les compagnies et la presse — et il détermine largement l'issue normative. La qualification causale est, en pratique, l'entrée décisive du circuit de responsabilité.

La séparation est procédurale ; elle n'est pas effective. L'espace protégé tient parce que tous les acteurs acceptent d'honorer une distinction que la réalité, elle, n'impose pas.

Cela ne disqualifie pas le modèle. Cela indique où porte l'entretien : le pare-feu se maintient parce que quelqu'un le défend au moment où c'est impopulaire.

Pourquoi ça existe là, et pas ailleurs

Une remarque structurelle qui manque à la plupart des discussions.

Si l'aéronautique a pu construire cet organe, c'est notamment parce qu'elle dispose d'un extérieur : convention internationale, régulation européenne, régime transnational qu'aucun État seul ne capture. La question « qui garde le gardien » y reçoit une réponse rare — quelqu'un du dehors.

Le modèle a essaimé : ferroviaire, routier, maritime. La santé en possède des équivalents partiels, avec la déclaration des événements graves et l'analyse des causes. Le nucléaire dispose d'une échelle de classement commune.

Mais regardez où il s'est arrêté. Il n'existe rien de tel pour la police, la justice, l'éducation, l'action sociale, ni pour les décisions budgétaires.

Le critère de diffusion est net, et il confirme tout ce qui précède : la séparation s'implante là où le dommage a la forme d'un événement, où la chaîne est physique, et où le lésé est un tiers qui n'est ni le décideur ni l'exécutant. Dès que le dommage devient distributif, aucun circuit ne se forme spontanément.

Le dispositif existe donc là où il y a un extérieur et un dommage-événement. Il manque précisément aux deux niveaux où le pouvoir est le plus grand — la politique nationale et la finance souveraine — qui n'ont ni l'un ni l'autre.

Le contre-exemple qui prouve la règle

Nous n'avons pas besoin d'inventer l'organe manquant : il suffit de regarder ce qui arrive quand on ne le sépare pas.

La Cour des comptes réunit dans la même institution l'évaluation — établir ce qui s'est passé, par quel enchaînement — et une fonction juridictionnelle qui attribue des responsabilités. Conséquence prévisible : ses rapports ne sont pas reçus comme des établissements de causes mais comme des mises en accusation, contre lesquelles les administrations se défendent au lieu de s'en servir.

La qualité du travail n'est pas en cause. C'est l'architecture qui produit ce résultat, et elle le produirait avec n'importe qui à sa tête.

L'aéronautique respecte-t-elle l'humain ?

Il faut distinguer deux traitements :

1. L'humain comme composant faillible du système. On étudie sa fatigue, sa charge mentale, ses erreurs prévisibles, parce qu'elles affectent la sécurité du vol.
2. L'humain comme sujet digne de considération. On protège sa santé, sa parole, sa carrière et sa capacité à refuser, même quand leur dégradation ne menace pas immédiatement l'appareil.

Une organisation peut être excellente dans le premier registre et médiocre dans le second : protéger le passager contre l'erreur du technicien tout en exposant le technicien à la pression, à la fatigue et à la précarité. Reconnaître le « facteur humain » comme risque tout en traitant l'être humain comme variable d'ajustement.

Les travaux européens sur les opérations d'assistance en escale relèvent d'ailleurs des marges d'amélioration sur la just culture, la communication, la visibilité de l'encadrement et la prise en compte de la pression temporelle, du stress et de la fatigue. La robustesse technique d'un secteur ne garantit pas l'égale qualité de toutes ses relations de travail.

La question critique devient :

L'organisation respecte-t-elle l'humain seulement lorsque sa défaillance pourrait faire tomber l'avion, ou également lorsque lui seul risque de tomber ?

Ce qu'il faut retenir

• La just culture protège la vérité opérationnelle. Elle ne protège pas la vérité distributive — d'où Boeing.
• Dans le secteur le plus vertueux, le couplage reste total en bas et nul en haut.
• Le modèle exige un dommage en forme d'événement et un extérieur qui garantisse l'indépendance. Les deux manquent en politique.
• Le pare-feu est une convention, attaquée précisément quand elle est le plus utile.
• Une institution qui tient à la fois l'évaluation et la sanction transforme ses rapports en accusations, quelle que soit sa probité.

---

---

Six mots qu'on confond

Une erreur peut avoir une conséquence sans mériter de punition. Une personne peut subir une punition sans qu'aucune règle ne la nomme ainsi.

Dans une organisation saine, l'écart ouvre d'abord la voie de l'apprentissage ; la punition, si elle devient nécessaire, emprunte une procédure distincte, avec un seuil connu, des faits discutables et un recours.

Dans une organisation dérèglée, le rapport s'inverse :

• l'erreur utilement signalée devient une faute personnelle ;
• la faiblesse du système devient l'insuffisance d'un exécutant ;
• la correction promise devient une sanction pour le porteur du message ;
• la punition décidée en haut est requalifiée en conséquence naturelle.

La septième entrée : la non-suite

Il manque une ligne au tableau, et c'est le mode de mort le plus courant de ces systèmes :

L'écart signalé, analysé — et suivi de rien.

Signaler a un coût immédiat et personnel. Le rendement est différé et invisible. Si l'auteur n'apprend jamais ce que son signalement est devenu, le calcul se règle tout seul en deux ans, sans qu'aucune représaille n'ait été nécessaire. Le système meurt de silence administratif, pas de répression.

C'est d'ailleurs l'un des constats du rapport FAA sur Boeing : des employés n'étaient pas informés des suites données à leurs alertes.

L'indicateur manquant est simple à produire :

Proportion des signalements ayant donné lieu à une modification traçable, et délai médian entre le signalement et cette modification.

Une organisation incapable de produire ce chiffre n'a pas de circuit d'apprentissage, quel que soit son manuel.

Les deux abus symétriques

Voici l'apport principal de cet article. La distinction entre qualification causale et qualification normative (05, 07) donne le mécanisme exact de deux manœuvres que l'on croyait sans rapport.

1. Le normatif habillé en causal → la punition déniée

« Vous n'êtes pas sanctionné ; votre évolution professionnelle correspond simplement aux besoins du service. » « Ce n'est pas une mise à l'écart ; le périmètre du poste a changé. » « Personne ne vous reproche d'avoir parlé ; nous constatons seulement une perte de confiance. »

Ces phrases ne sont pas des mensonges sur les faits. Ce sont des actes d'autorité présentés comme des états du monde. Le pouvoir ne nie pas la sanction : il la déplace dans le registre où l'on ne discute pas, celui des faits qui s'imposent à tous — y compris, prétend-il, à celui qui les énonce.

La personne visée subit alors deux opérations : le coût matériel ou relationnel, puis la confiscation du sens de ce qu'elle vient de subir.

2. Le causal habillé en normatif → le bouc émissaire

Le technicien a mal serré, donc le technicien est fautif — alors que l'absence de double contrôle est la cause. Un nœud causal est converti en imputation.

C'est le mécanisme du bouc émissaire, décrit ici sans psychologie ni méchanceté : une simple conversion de registre.

Ce que les deux ont en commun

C'est la même opération, en sens inverse. Et toutes deux exigent de tenir les deux qualifications à la fois.

Séparez-les, et ni l'une ni l'autre n'est disponible : celui qui établit les causes ne peut pas les convertir en fautes ; celui qui attribue les fautes doit partir d'un enchaînement causal qu'il n'a pas écrit.

C'est le meilleur argument de tout le dossier, parce qu'il ne demande à personne d'être honnête. Il rend deux tricheries structurellement indisponibles.

Le « pervers narcissique » : garder le phénomène, abandonner le diagnostic

Le stéréotype n'est pas vide. Il tente de nommer une expérience précise : quelqu'un distribue sélectivement l'ombre, le retrait, l'humiliation ou la perte, puis nie qu'une punition ait eu lieu. C'est exactement le premier abus décrit ci-dessus, et l'effet sur la personne est réel.

La caricature commence quand on transforme cette expérience en diagnostic de personnalité. Le comportement observé ne permet pas de savoir si le chef jouit de la punition, protège consciemment sa place, applique une routine, ou obéit à un barème qu'il a intériorisé.

Mais l'erreur inverse serait de dissoudre l'acteur dans la structure. Certains individus recherchent les postes depuis lesquels on distribue les sanctions ; certaines structures sélectionnent ceux qui les exercent sans hésiter.

On peut donc parler de fonction punitive déniée — sans parler de personnalité — lorsque plusieurs éléments sont observables :

• une décision défavorable suit une contradiction ou un signalement ;
• le critère appliqué n'était pas fixé à l'avance, ou varie selon la personne ;
• celui qui qualifie l'événement contrôle aussi la carrière ou les ressources ;
• aucune voie indépendante ne permet de contester la qualification ;
• l'effet est matériellement punitif, tandis que l'organisation nie toute sanction.

Ce n'est plus la psychologie supposée du chef qui fournit la preuve. C'est l'architecture de la décision et la comparaison des traitements.

Ce qui doit revenir jusqu'au pouvoir

Le vocabulaire des « conséquences qui reviennent » risquait de réintroduire une morale punitive — comme si la justice consistait à faire éprouver au décideur le mal qu'il a causé.

Ce n'est pas la leçon. Le système de sécurité ne cherche pas à faire souffrir le pilote qui a commis une erreur honnête ; il cherche à empêcher que la peur de souffrir fasse disparaître l'information.

Ce qui doit revenir jusqu'au pouvoir n'est donc pas la conséquence matérielle. C'est :

• l'existence documentée de l'écart ;
• l'obligation de l'expliquer ;
• l'impossibilité d'en modifier opportunément la qualification ;
• la capacité d'un tiers à contester ;
• et la contrainte de corriger.

La responsabilité retrouve son sens premier : non pas être puni, mais pouvoir et devoir répondre.

Deux circuits, jamais un tribunal permanent

Le circuit d'apprentissage reçoit les erreurs, les écarts, les quasi-accidents et les objections. Il protège le signalement, conserve la trace, analyse les barrières défaillantes et impose une correction au niveau capable d'agir. Son objectif n'est pas de trouver un innocent : c'est d'empêcher la répétition.

Le circuit de responsabilité examine séparément les conduites qui pourraient relever d'une violation délibérée, d'une négligence grave, d'une dissimulation ou d'une représaille. Il doit préciser le seuil, séparer l'enquêteur de l'autorité intéressée, permettre la contradiction et ouvrir un recours. Son objectif n'est pas d'améliorer le système : c'est de fixer les limites au-delà desquelles la protection de l'erreur honnête cesse.

La séparation n'est jamais absolue : une même affaire peut alimenter les deux. Mais les informations recueillies pour apprendre ne doivent pas être automatiquement transformées en armes disciplinaires — faute de quoi les incidents disparaissent des rapports et réapparaissent dans les accidents.

Protéger l'information de la punition immédiate, sans protéger la conduite de toute responsabilité.

La définition de la corruption institutionnelle

Une structure se corrompt lorsque ceux qui décident peuvent également qualifier l'écart, punir celui qui le signale, empêcher sa transformation en correction, et appeler « conséquence naturelle » la sanction qu'ils ont eux-mêmes distribuée.

Inversement, une institution saine n'est pas celle qui ne produit jamais d'erreur ni d'injustice. C'est celle dans laquelle une erreur peut devenir une information avant de devenir une victime, et dans laquelle une punition ne peut pas se dissimuler durablement sous le vocabulaire neutre de la gestion.

Ce qu'il faut retenir

• Conséquence, qualification, punition : trois choses distinctes, dont la seconde est invisible.
• Punition déniée et bouc émissaire sont la même opération, en sens inverse : une conversion de registre.
• Les deux exigent de tenir les deux qualifications ; les séparer les rend indisponibles.
• Ce qui doit remonter au pouvoir n'est pas la douleur, c'est l'obligation de répondre et de corriger.
• Le mode de mort le plus courant d'un circuit de signalement n'est pas la répression, c'est l'absence de suite.

---

---

Le piège de la formule

« Recoupler pouvoir, connaissance, coût et capacité de répondre » est la bonne direction. Prise au pied de la lettre, elle condamnerait pourtant des dispositifs qu'on ne veut surtout pas perdre :

• le vote secret découple la décision de sa conséquence pour l'électeur ;
• l'indépendance du juge le soustrait au retour politique de ses arrêts ;
• la responsabilité limitée découple l'entrepreneur du coût total de son échec — c'est la condition pour qu'il tente quelque chose ;
• le secret médical, l'anonymat du jury, l'inamovibilité du magistrat : autant de protections délibérées contre le retour de ce qu'on a fait ou su.

Ces découplages sont productifs. « Découplage = dérèglement » est donc faux, et il faut la distinction qui manque.

Découplé de qui ?

- Soustrait à ceux qui supportent le coût de la décision → captation. - Soustrait à ceux qui pourraient exercer une représaille sur le décideur → indépendance.

Le juge est protégé du ministre, pas du justiciable : il doit motiver son jugement, et sa décision est attaquable.

Le chef de service qui n'est exposé ni à sa hiérarchie ni à ses usagers bénéficie de la même protection apparente, en sens inverse.

D'où le critère praticable :

Un découplage est légitime quand il supprime un canal de représaille en laissant intact un canal de justification. Il devient captation quand il supprime les deux.

La configuration la plus insidieuse n'est pas la protection excessive, c'est l'absence d'asymétrie : protégé de tout le monde, y compris de ceux pour qui l'on décide.

Le sur-recouplage a sa propre pathologie

La formule initiale était monotone : plus de redevabilité vaudrait toujours mieux. C'est faux, et les contre-exemples sont banals.

Quand chaque décision devient intégralement imputable, le comportement optimal n'est pas de mieux décider. C'est de ne pas être le décideur identifiable :

• l'examen inutile prescrit pour se couvrir ;
• la note dont l'unique fonction est de désigner un autre signataire ;
• la commission qui produit une décision que personne n'a prise ;
• la délégation vers le bas des choix risqués, vers le haut des choix visibles.

On obtient une irresponsabilité distribuée au lieu d'une irresponsabilité concentrée. Elle est plus difficile à combattre, parce qu'elle n'a pas de visage.

Le paramètre de dosage : la réversibilité

Ce qui règle la bonne quantité de redevabilité n'est ni la gravité, ni le niveau hiérarchique. C'est la réversibilité de la décision.

Le vrai signe de dérèglement n'est donc pas le niveau de redevabilité, c'est son inversion :

Le décideur irréversible peu tenu, l'exécutant réversible très tenu.

C'est la configuration ordinaire — et c'est exactement ce qu'on observe dans l'aéronautique elle-même, où le pilote est couplé jusqu'à la mort et le dirigeant qui fixe la cadence ne l'est pas (08).

Les conditions de vie partagées

Il existe des institutions très hiérarchiques, peu contestables, et durablement fonctionnelles : armée en temps de paix, ordres monastiques, entreprises familiales. On les explique volontiers par la culture, la sélection et la loyauté. C'est inexact.

Ces institutions ne découplent pas le pouvoir de l'obligation : elles le couplent autrement. L'abbé est soumis à la règle qu'il applique, dort dans les mêmes conditions et ne possède rien de plus. Les officiers partagent le terrain et le risque, et dans beaucoup d'armées le chef mange en dernier. Le patron d'une entreprise familiale a son patrimoine engagé et vit dans la ville où travaillent ses salariés.

Ce que la contestabilité obtient ailleurs, elles l'obtiennent par les conditions de vie partagées.

D'où un levier très concret, et très facile à vérifier :

Celui qui décide subit-il matériellement ce qu'il décide ?

Le responsable qui réduit un service de soins y est-il soigné. Celui qui supprime la ligne d'assistance doit-il l'appeler. Celui qui allonge les délais attend-il dans la file. Celui qui impose un logiciel travaille-t-il avec.

Ce n'est pas une exigence morale, c'est un dispositif : quand la réponse est non, aucune bonne intention ne compense ; quand elle est oui, la correction est presque automatique et ne demande ni audit ni procédure.

Exposition et redevabilité ne font pas le même travail

Attention à ne pas substituer l'une à l'autre. Elles sont complémentaires, et se partagent le terrain :

• Le circuit de signalement traite les écarts que quelqu'un a su nommer.
• L'exposition matérielle traite ceux pour lesquels aucune catégorie n'existe encore.

L'abbé n'a pas besoin d'un rapport pour savoir que la nourriture est mauvaise. Toute taxonomie a un angle mort, et c'est là que vivent les dangers nouveaux.

Ce qu'il faut retenir

• La bonne question n'est pas « y a-t-il découplage » mais « découplé de qui ».
• Supprimer un canal de représaille en laissant un canal de justification : indépendance. Supprimer les deux : captation.
• Trop de redevabilité produit une irresponsabilité distribuée, pas de meilleures décisions.
• Le dosage se règle sur la réversibilité de la décision, pas sur sa gravité.
• L'exposition matérielle ne remplace pas le circuit d'analyse : elle couvre ce que le circuit ne sait pas encore nommer.

---

---

Le problème

On propose une instance capable d'exiger des comptes. Très bien : qui contrôle cette instance ? Une autre, qu'il faudra contrôler à son tour.

C'est une objection réelle, pas une astuce de rhétorique. Aucun dispositif interne ne peut se fonder lui-même. Il faut donc renoncer à fermer la régression, et chercher plutôt à la rendre coûteuse, lente et visible.

Trois moyens, du plus précis au plus fondamental.

1. La non-rétroactivité

C'est probablement la seule règle véritablement robuste :

Une modification du barème ne s'applique pas au cas qui l'a motivée.

Elle n'interdit pas de changer les règles — ce serait absurde et impossible. Elle interdit d'encaisser le changement sur l'affaire en cours. La capture devient alors un investissement lointain, incertain, dont on ne verra peut-être jamais le rendement : ce qui suffit à en éliminer la plus grande part.

Son avantage est rare : elle est vérifiable par un tiers qui ne connaît rien au fond du dossier. Il compare deux dates.

2. Le coût de coalition

Deux questions :

• Combien d'acteurs indépendants doivent consentir pour altérer le barème ?
• L'altération est-elle visible avant de produire effet ?

Un barème modifiable par une seule personne, ou modifiable en silence, n'est pas un barème : c'est une préférence.

3. La sortie

Le gardien ultime n'est pas interne.

Là où quitter est possible — changer d'employeur, de fournisseur, de juridiction, de laboratoire, de groupe —, le barème subit une pression qu'aucun dispositif ne remplace. Là où la relation est captive, tous les dispositifs internes portent seuls la charge.

Sont captives : la relation à l'État, l'école obligatoire, le monopole d'emploi local, la famille, la profession fermée, le doctorant et son directeur, l'État endetté et ses créanciers.

D'où une prédiction vérifiable, et à ma connaissance vérifiée :

Le dérèglement décrit dans ce dossier se concentre dans les relations sans sortie, indépendamment de la qualité des personnes.

C'est aussi pourquoi tout ce qui réduit la concurrence — y compris les régimes de sécurité les plus vertueux, dont le coût de certification devient une barrière à l'entrée — affaiblit indirectement le contrôle du barème (08).

Pourquoi les dispositifs meurent

La description classique de la corruption est organique : la solidarité fonde la dynastie, le confort la dissout, trois ou quatre générations, et l'on recommence. Ibn Khaldoun l'a formulée ; Polybe avait décrit le même cycle. Cette description est ancienne et solide.

Mais la métaphore organique porte une conclusion cachée : si c'est une vie, ça meurt, et il n'y a rien à faire.

Or ce qui se corrompt n'est pas un organisme, ce sont des dispositifs — et ils se dégradent pour une raison parfaitement banale, non biologique :

Les maintenir coûte, et ne rapporte rien de visible.

Ouvrir une archive à l'échéance, conserver une pièce, refuser une requalification, protéger un contradicteur : aucun de ces actes ne produit jamais un succès attribuable. Ils produisent des désastres qui n'ont pas eu lieu, et un désastre évité ne figure sur aucun bilan.

Les dispositifs meurent donc de sous-entretien, presque jamais d'attaque frontale. Ce qui est une bonne nouvelle : contrairement au vieillissement, le sous-entretien se corrige.

Et cela indique où placer l'effort. Il ne suffit pas de créer le dispositif : il faut que quelqu'un ait un intérêt à le maintenir, et que ce maintien soit visible. Un registre consulté, un rapport annuel court, un chiffre publié.

Le niveau où plus rien n'existe

Un dernier étage mérite d'être nommé, parce qu'il est la vérification extrême de tout ce qui précède.

Les souverains sont financés, et celui qui peut refuser de prêter détient un veto qui ne figure dans aucune constitution. Philippe II fait plusieurs banqueroutes et reste dépendant de ses banquiers. L'Angleterre l'emporte sur la France napoléonienne en grande partie parce qu'elle dispose d'une dette publique liquide et d'une place capable de la porter. La logique financière ne se contente pas d'accompagner la stratégie : elle la contraint.

Mais ce type d'explication demande une discipline, sinon il devient inutilisable. Une explication par l'argent qui explique tout n'explique rien. Elle doit prédire une décision que l'explication officielle rate. Si elle se contente de réinterpréter après coup, ce n'est pas une théorie, c'est un récit — et le genre a ses classiques, comme la fortune faite en un coup grâce à la nouvelle anticipée d'une bataille, très largement légendaire, alors que le pouvoir réel des créanciers de l'époque était parfaitement documenté et n'avait besoin d'aucun secret.

La reformulation utilisable ne porte donc pas sur l'existence d'un pouvoir caché — question invérifiable, donc stérile — mais sur les signatures :

Quelles décisions exigent un consentement qui n'est écrit nulle part, et qui le donne ?

Celui-là se trouve. Il a un nom, un bilan, des échéances.

Et il n'échappe pas au cadre : il en est le cas extrême. Un créancier détient un droit de décision réel sans aucune obligation de répondre — c'est « riche en identité, pauvre en obligations » transposé du groupe à la finance (02). Aucun des dispositifs n'y existe : pas d'échéance du pouvoir, pas d'instance de contestation, pas de non-rétroactivité, et surtout pas de sortie — un État endetté ne peut pas quitter ses créanciers.

Ce n'est donc pas un étage au-dessus de la théorie. C'est l'endroit où elle prédit le pire, et où c'est effectivement le pire.

Ce qu'il faut retenir

• La régression du contrôle ne se ferme pas ; elle se ralentit par la non-rétroactivité, le coût de coalition et la sortie.
• La non-rétroactivité est la seule règle vérifiable sans connaître le fond : on compare deux dates.
• Le vrai gardien est externe : là où l'on ne peut pas partir, tout repose sur des dispositifs internes, et ils cèdent.
• Les dispositifs ne meurent pas d'attaque mais de sous-entretien, parce que les désastres évités ne figurent nulle part.
• Le niveau du crédit est le cas extrême : droit de décision réel, aucune obligation de répondre, aucune sortie.

---

---

1. Qualifier selon des critères antérieurs au cas

Ce qui compte comme incident, faute, échec ou exception doit être défini avant de connaître l'identité de la personne concernée. Et une modification du barème ne s'applique jamais au cas qui l'a motivée.

Version forte : la liste des catégories est écrite à l'extérieur de l'organisation qui l'utilisera, et le classement est versé dans une base comparable. Le nom ne vous appartient pas (04, 07).

2. Séparer celui qui enquête de celui qui peut punir

Le responsable de la carrière, du salaire ou de la réputation ne doit pas contrôler la qualification de l'information qui le met en cause.

Et l'ordre compte : les causes d'abord, l'imputation ensuite, par une autre voie (05).

3. Protéger la matière première, publier la conclusion

Les déclarations, enregistrements et avis recueillis pour comprendre sont soustraits à tout autre usage. Le constat final est public.

L'inverse — la parole qui circule, la conclusion qui reste confidentielle — est ce que font la plupart des procédures internes, et c'est ce qui les tue.

4. Protéger le porteur, y compris des représailles discrètes

Une information qui menace celui qui la transporte n'atteint pas le système. La protection doit couvrir les sanctions formelles et leurs équivalents : retrait de missions, stagnation, déplacement, perte d'accès, exclusion des réunions qui comptent.

5. Rendre la correction obligatoire, et visible

Le dirigeant n'a pas à subir personnellement chaque dommage. En revanche il ne doit pas pouvoir empêcher l'écart documenté d'entraîner une révision, une justification ou une mesure corrective.

Indicateur associé, à publier : proportion des signalements ayant produit une modification traçable, et délai médian. Une organisation incapable de fournir ce chiffre n'a pas de circuit d'apprentissage (09).

6. Mesurer les précurseurs, pas les résultats

Les résultats sont trop rares, trop tardifs ou trop bruités pour évaluer qui décide. Ce qui s'observe à temps :

• les prévisions énoncées au moment de la décision, et conservées ;
• les hypothèses déclarées, puis démenties ;
• les objections formulées, et ce qu'elles sont devenues ;
• les écarts entre le prévu et l'observé, indépendamment du bilan final.

7. Scripter la contradiction

Tant que contredire reste un acte héroïque, on n'obtient que quelques héros. Deux formes, dans cet ordre de préférence :

• Le script (modèle CRM) : un moment obligatoire, un vocabulaire fourni, une obligation de réponse tracée. Le script supprime l'exigence de courage.
• La fonction : un contradicteur protégé de la ligne qu'il examine, mais évalué sur sa calibration — risques correctement anticipés, hypothèses réellement invalidées, erreurs évitées, capacité à abandonner une objection que les faits n'ont pas confirmée. Sans quoi l'on rémunère l'obstruction.

Protégé de la hiérarchie, exposé au réel.

8. Exposer matériellement celui qui décide

Celui qui impose un logiciel l'utilise. Celui qui réduit une assistance en dépend. Celui qui allonge les délais ne dispose pas d'un passage privé.

Ce n'est pas une punition : c'est le seul dispositif qui couvre les dangers pour lesquels aucune catégorie n'existe encore (10).

9. Donner une échéance aux secrets

Un secret légitime n'est pas nécessairement destiné à devenir public — identité d'un témoin, intimité d'un tiers, vulnérabilité de sécurité.

Mais il doit avoir un dépositaire identifiable, une justification et une procédure de réexamen. Sans réexamen, le secret cesse d'être un instrument et devient une propriété.

10. Préparer la succession sur des décisions qui comptent

« Après son départ, personne ne savait décider » est un indicateur de résultat, donc contaminé : le dirigeant pouvait être réellement remarquable, le successeur réellement mauvais.

Ce qui se constate pendant l'exercice :

• l'information était-elle partagée, ou fallait-il passer par lui ;
• a-t-il délégué autre chose que la mise en œuvre ;
• plusieurs successeurs ont-ils été exposés, ou un seul ;
• ont-ils appris sur des situations réelles, avec un vrai pouvoir.

Le test qui résiste au maquillage — car la délégation se simule très bien, on délègue le visible et le réversible en gardant l'irréversible :

Sur quel type de décisions a-t-il délégué ? Et quelqu'un lui a-t-il dit non, sur un sujet qui comptait, en restant en place ?

Si la réponse à la seconde question est non, tout le reste est décoratif.

Et sur la consultation : une inversion unique peut être théâtrale. Le test complet est que l'objectif, le budget ou le calendrier aient été modifiés sur un sujet important, que la modification soit attribuable à une objection identifiable, que l'auteur de l'objection soit resté en situation de parler, et que les raisons initiales du chef aient été conservées pour être comparées au résultat. Ce dernier point est le même objet que le levier 6 : rendre au passé sa capacité de démentir.

---

Les deux limites d'échelle

L'espace : proportionner la publicité au pouvoir

Restaurer à grande échelle les mécanismes calibrés pour les petits groupes conduit à deux voies : reconstruire du local sous le global, ou fabriquer des substituts artificiels de réputation — traçabilité, notation — qui sont l'outillage même du contrôle social qu'on prétend limiter.

La sortie tient dans la proportionnalité :

Les obligations de publicité doivent croître avec le pouvoir détenu, non avec l'appartenance.

Appliquée uniformément, la transparence est une surveillance. Appliquée au prorata des droits de décision, c'est un impôt sur le pouvoir.

Le renversement se constate sans théorie : quand l'allocataire doit justifier chaque euro et l'administration aucune de ses décisions, le rapport est inversé.

Le temps : au-delà de l'horizon, optimiser la révocabilité

Tout le dispositif suppose que la conséquence revienne pendant que le décideur est encore là. Dette, retraites, climat, aménagement : elle revient après, et aucune contestabilité ne rattrape un absent.

Verrouiller une part de son patrimoine à long terme aide un peu. Représenter les générations futures est faible, puisque le représentant n'est pas sanctionnable par les représentés.

Le seul recours solide est de changer d'objectif :

Au-delà de l'horizon de redevabilité, cesser d'optimiser la justesse de la décision pour optimiser sa révocabilité.

« Était-ce le bon choix ? » est indécidable au moment où on la pose. « Nos successeurs pourront-ils défaire ceci, et à quel coût ? » se décide aujourd'hui.

La réversibilité, qui réglait le dosage de la redevabilité (10), devient ici son substitut quand la redevabilité est impossible.

---

Ce qu'il faut retenir

• Aucun de ces leviers ne demande de sélectionner des individus moralement supérieurs.
• Les plus robustes sont ceux qu'un tiers peut vérifier sans connaître le dossier : deux dates, un chiffre publié, une liste écrite ailleurs.
• Les plus fragiles sont ceux qui reposent sur le courage d'une personne : il faut les remplacer par des scripts.
• À grande échelle, publicité proportionnelle au pouvoir. Au-delà de l'horizon, révocabilité plutôt que justesse.

---

---

Les deux impasses

Tout ce qui précède bute sur deux constats, et ils sont sérieux.

Premier. La compétence de celui qui décide n'est pas mesurable dans les domaines bruités — ni avant, ni pendant, ni de façon fiable après. Le résultat dépend d'un enchevêtrement dont le mérite est attribué au vainqueur parce que c'est lui qui rédige le compte rendu (06). Et l'aéronautique arrive à la même conclusion par l'autre bout : les accidents sont trop rares pour qu'on apprenne d'eux (07).

Second. Les conséquences reviennent souvent après le départ du décideur. Dette, retraites, climat, aménagement du territoire : aucune contestabilité ne rattrape un absent (12).

Prises ensemble, ces deux impasses semblent condamner tout le projet. Si l'on ne peut ni mesurer la compétence, ni attendre les conséquences, sur quoi juger ?

Le déplacement

Le vrai apport de l'aéronautique n'est ni la just culture, ni la séparation des circuits. C'est un changement d'unité d'analyse.

Elle a cessé de raisonner sur les résultats pour raisonner sur les barrières. Un événement s'analyse en défenses successives : laquelle a tenu, laquelle a cédé, laquelle avait été retirée. L'accident n'est pas une cause, c'est un alignement de trous.

Et cela change tout, pour une raison simple :

Le retrait d'une barrière est imputable, daté et signé — même quand le résultat ne l'est jamais.

Ce qui devient observable aujourd'hui

Toutes ces opérations sont datables, attribuables, discutables le jour où elles sont faites :

• supprimer une étape de contrôle ;
• réduire ou fusionner un corps d'inspection ;
• raccourcir un délai de consultation ;
• fusionner l'organe qui évalue avec celui qui exécute ;
• transférer une décision vers un lieu où elle n'est plus contestable ;
• retirer à un tiers le droit de saisir ;
• cesser de conserver une donnée ;
• réduire un effectif dont la seule fonction était la vérification ;
• rendre facultatif ce qui était obligatoire.

Aucune ne demande d'attendre la catastrophe. Aucune ne demande d'évaluer la compétence de quiconque. Aucune ne dépend de ce qu'on pense des intentions.

Ce sont des faits, avec une date et un signataire.

Ce que cela résout

Contre la première impasse : on n'a plus besoin de mesurer la compétence. On mesure une conduite. Un dirigeant peut être brillant, chanceux, malchanceux ou médiocre — cela reste indécidable ; qu'il ait supprimé trois défenses en deux ans est établi.

Contre la seconde : on n'a plus besoin d'attendre les conséquences. C'est une information disponible aujourd'hui sur des dommages qui arriveront peut-être dans trente ans.

La responsabilité politique n'a donc pas besoin d'attendre le jugement de l'histoire — qui n'arrive jamais, et qui de toute façon serait bruité. Elle a besoin d'un registre des barrières retirées.

À quoi ressemblerait ce registre

Rien d'exotique. Pour chaque suppression ou affaiblissement d'une défense existante, cinq colonnes :

La cinquième colonne est la plus importante : c'est elle qui rend le passé capable de démentir. Sans elle, la suppression sera toujours réinterprétée après coup — et l'on retombe dans le bulletin (06).

Le registre ne sanctionne rien. Il ne dit pas qui a tort. Il maintient seulement disponible ce qu'il faudrait pour en discuter — et c'est précisément le seul pouvoir compatible avec sa fonction.

L'organe qui manque

Nous n'avons pas besoin d'inventer une institution nouvelle : la forme existe, elle est éprouvée, et elle fonctionne depuis des décennies dans les transports.

Un organe qui établit, pour une décision publique, ce qui avait été prévu, ce qui s'est produit et par quel enchaînement — et qui ne peut ni sanctionner, ni saisir, ni nommer de fautif.

Sans aucun pouvoir, il serait ignoré. Il lui faut donc le seul pouvoir compatible avec sa fonction : obliger à répondre par écrit, publiquement, dans un délai.

La différence avec ce qui existe déjà est simple à énoncer : une institution qui tient à la fois l'évaluation et l'imputation voit ses rapports reçus comme des accusations, contre lesquelles on se défend, plutôt que comme des constats dont on se sert. Ce n'est pas une question de probité — c'est une conséquence de l'architecture (08).

Le critère final

Une institution ne se juge ni à ses résultats, ni à la vertu de ses dirigeants, mais à sa capacité à dire qui a supprimé quelle défense, quand, et sur quel argument — et à obliger celui-là à répondre avant que le dommage n'arrive lui donner tort.

Pour finir

Une société ne supprimera ni l'ego, ni les clans, ni les hiérarchies, ni le secret. Elle ne supprimera pas davantage la tromperie, l'erreur, ou le désir de préserver sa place. Elle peut seulement empêcher que ces formes deviennent des abris permanents contre la contradiction.

Les avions ne volent pas parce que tous les acteurs de l'aéronautique seraient vertueux. Ils volent parce qu'une partie de ce monde a appris à traiter l'erreur comme une information, le quasi-accident comme un événement sérieux, le signalement comme une ressource, et la punition comme un circuit distinct.

Cette réussite reste partielle. Le même secteur peut protéger l'information indispensable à l'appareil tout en protégeant insuffisamment l'ouvrier, le technicien ou l'ingénieur qui la porte. Il peut respecter la faillibilité humaine sans respecter également tous les humains.

Mais il démontre au moins une possibilité : nous savons construire des systèmes dans lesquels la réalité résiste à la faveur, où la parole utile peut contourner la hiérarchie, et où l'absence de catastrophe ne suffit pas à déclarer que tout va bien.

L'intérêt général n'est ni la somme des préférences privées, ni la parole supposément désintéressée d'un chef. Il est ce qui peut émerger lorsque les intérêts se confrontent, que les coûts cessent d'être invisibles, que les écarts peuvent être signalés sans devenir des fautes, et que ceux qui punissent ne peuvent plus nier qu'ils punissent.

Le critère n'est donc pas que le pouvoir souffre avec ceux qu'il gouverne. Il est qu'il ne puisse ni faire taire l'écart, ni punir son messager, ni se soustraire à l'obligation de corriger.

Une institution respecte l'humain lorsque celui qui dit ce qui s'est passé ne devient pas lui-même l'incident.

---

---

Pourquoi cette section existe

Un dossier qui reproche au pouvoir de présenter ses décisions comme des constats se doit de séparer, chez lui, ce qui est établi de ce qu'il construit. C'est la cinquième colonne du registre des barrières : le risque déclaré au moment où on l'écrit, pour qu'on puisse plus tard vérifier qui avait tort.

Trois listes, donc : les appuis factuels, ce qui relève de ma lecture, et ce que je n'ai pas vérifié moi-même.

---

1. Les appuis factuels

Aéronautique et sécurité

• Définition de l'incident et de l'incident grave — un événement qui affecte ou pourrait affecter la sécurité, l'incident grave se caractérisant par une forte probabilité d'accident. OACI, Annexe 13.
• L'enquête vise la prévention, non l'attribution des fautes, et doit rester séparée des procédures d'établissement des responsabilités. OACI Annexe 13 ; règlement (UE) 996/2010.
• Protection des enregistrements et déclarations, publication du rapport final. Annexe 13, dispositions de non-divulgation ; règlement 996/2010.
• Définition de la just culture — pas de sanction pour des actions compatibles avec l'expérience et la formation ; négligence grave, violation délibérée et acte destructeur exclus. Règlement (UE) 376/2014, article 2.
• Signalement obligatoire de certaines occurrences, taxonomie commune, base partagée entre États. Règlement (UE) 376/2014.
• ASRS — système confidentiel opéré par la NASA plutôt que par le régulateur ; la FAA s'engage à ne pas l'utiliser dans ses procédures de sanction. NASA ASRS ; FAA Advisory Circular 00-46.
• Rapport du groupe d'experts mandaté par la FAA sur Boeing, février 2024 — des responsables intervenant dans l'évaluation, la rémunération et les promotions pouvaient aussi participer aux investigations de sécurité ; défiance des salariés envers l'anonymat du dispositif ; alertes dont les suites n'étaient pas communiquées à leurs auteurs.
• Extension du modèle au ferroviaire, au routier et au maritime, avec la même clause de non-recherche des fautes. Cadre du BEA-TT.
• Tenerife, 1977 — commandant très expérimenté, décollage sans autorisation, doute exprimé en cockpit puis écarté, 583 morts ; à l'origine des programmes de Crew Resource Management.
• Normalisation de la déviance — l'anomalie survécue devient la preuve de son acceptabilité. Diane Vaughan, à propos de Challenger.
• Modèle des barrières et des défenses en profondeur. James Reason.

Napoléon

• La maladie tue davantage que le combat — environ deux morts sur trois dus au typhus, à la dysenterie, au froid et à la faim. Établi et chiffré dans Mourir sur ordre, sur ce même site, avec les données démographiques par classe d'âge.
• Origines sociales modestes de plusieurs maréchaux. Biographies standard.
• Les Bulletins de la Grande Armée comme instrument de propagande — « mentir comme un bulletin » est une expression attestée à l'époque.
• Le Mémorial de Sainte-Hélène (Las Cases, 1823), l'un des grands succès de librairie du siècle, construit rétrospectivement la légende.
• Héritages antérieurs — système de corps d'armée (Bourcet, Guibert), artillerie standardisée (Gribeauval), levée en masse. Historiographie consensuelle.
• Banqueroutes répétées de Philippe II et dépendance durable envers ses banquiers. Histoire économique.
• La fortune faite en un coup grâce à la nouvelle anticipée de Waterloo est une légende, amplifiée par un pamphlet du XIXᵉ siècle — alors que le pouvoir réel des créanciers de l'époque était parfaitement documenté et n'avait besoin d'aucun secret.

Autres appuis

• Règle bénédictine, chapitre 3 — l'abbé consulte toute la communauté, y compris les plus jeunes, puis décide seul.
• Popper — la question n'est pas qui doit gouverner, mais comment écarter sans violence les dirigeants incompétents. La Société ouverte et ses ennemis.
• Ibn Khaldoun (dissolution de la solidarité de clan en trois ou quatre générations) et Polybe (cycle des régimes).
• La Cour des comptes réunit dans la même institution l'évaluation et une fonction juridictionnelle. Organisation officielle.

---

2. Ce qui relève de ma lecture

Les énoncés qui suivent ne sont pas des faits établis. Ce sont des constructions de ce dossier, et il faut pouvoir les contester comme telles.

« Napoléon en vient à contrôler les preuves permettant de le juger. » Interprétation, appuyée sur les bulletins et le Mémorial. Un historien peut y voir une propagande de guerre ordinaire plutôt qu'un dispositif d'évaluation.

« Cour = bruit du résultat × monopole de l'évaluation × dépendance. » Formule construite ici. Elle organise des observations ; elle n'a été mesurée nulle part.

« Les rapports de la Cour des comptes sont reçus comme des mises en accusation plutôt que comme des constats. » Remarque d'architecture, pas une étude de réception. La qualité du travail de l'institution n'est pas en cause.

« Le coût supporté par celui qui apporte une information augmente au passage de la vérité opérationnelle à la vérité distributive, davantage qu'avec la gravité du fait. » C'est une hypothèse testable, non testée ici. Elle est formulée exprès de façon à pouvoir être démentie : si les représailles suivaient la gravité, la thèse du barème serait fausse. Les contentieux du travail et la jurisprudence sur les lanceurs d'alerte documentent les deux variables ; quelqu'un peut faire ce travail.

---

3. Ce que je n'ai pas vérifié moi-même

Par honnêteté, et parce que ce texte reproche précisément aux institutions d'aménager leur ignorance.

Les conditions exactes de la renonciation aux sanctions dans le dispositif ASRS m'ont été rapportées, non lues dans le texte réglementaire. Le principe — l'information de sécurité vaut assez cher pour justifier une protection spécifique du déclarant — n'est pas en doute ; le détail des conditions, si.

Les passages précis du rapport FAA 2024 sur Boeing sont cités de seconde main. C'est le point le plus chargé du dossier, puisqu'il sert à établir que la just culture ne protège pas la vérité distributive. Qui veut vérifier doit aller au rapport lui-même.

Les travaux européens sur l'assistance en escale sont évoqués sans référence précise. Ils illustrent un point secondaire — la robustesse technique d'un secteur ne garantit pas la qualité de ses relations de travail — et l'argument tient sans eux.

Le contraste entre le financement britannique par la dette et le financement napoléonien par contributions est exact en substance, et simplifié dans l'exposé.

Aucun de ces quatre points ne porte le raisonnement ; ils l'illustrent. Si l'un d'eux tombe, il faut le dire : le registre a une colonne pour ça.

---