Le meilleur moyen de ne pas faire d’erreur, c’est de ne rien faire

Une équipe peut sembler prudente alors qu’elle est surtout devenue experte dans l’attente : attendre une validation, demander une permission, escalader une décision que le terrain pourrait prendre. Le problème n’est pas l’absence de bonne volonté. C’est un système dans lequel l’évitement de l’erreur devient plus important que l’apprentissage et l’action responsable.

Cette prudence apparente a un coût. Les décisions s’éloignent de l’information, les signaux faibles remontent tard et chacun apprend à protéger sa position plutôt qu’à résoudre le problème. Le défi n’est donc pas de choisir entre contrôle et autonomie, mais de construire des conditions où l’on peut agir sans banaliser le risque.

Quand éviter l’erreur devient l’objectif

La maîtrise des erreurs est indispensable dans les activités à risque. Mais une organisation se bloque lorsque ne pas se tromper devient son objectif dominant. Les personnes apprennent alors à attendre une instruction, à éviter les décisions réversibles et à transférer le risque vers la hiérarchie.

Le paradoxe est simple : plus l’organisation exige une certitude préalable, plus elle ralentit la circulation de l’information. La décision remonte vers des personnes souvent moins proches du contexte réel. En retour, celles qui détiennent l’information cessent progressivement de préparer leurs propres décisions.

Une culture du « zéro erreur » ne supprime pas nécessairement les erreurs. Elle peut surtout les rendre moins visibles. Si reconnaître une incertitude ou signaler un écart menace la réputation, chacun a intérêt à présenter une situation rassurante jusqu’au moment où le problème ne peut plus être contenu.

Permission et intention : deux systèmes différents

Dans un système centré sur la permission, une personne demande ce qu’elle doit faire et le responsable fournit la réponse. Dans un système centré sur l’intention, la personne formule l’action qu’elle envisage, les observations qui la justifient et les limites qu’elle compte respecter.

Ce déplacement ne consiste pas à retirer toute supervision. Il change l’objet du contrôle. Au lieu de contrôler chaque geste avant qu’il ne soit pensé, le système contrôle la qualité du raisonnement, le niveau de compétence, la compréhension du cap et la capacité à revenir en arrière.

Ce qu’enseigne l’expérience du Santa Fe

À bord de l’USS Santa Fe, une expérience de commandement a montré les limites du modèle traditionnel « leader-follower ». Un ordre techniquement impossible a été transmis puis exécuté sans contestation, précisément parce que l’équipage avait appris à suivre la personne supposée savoir. Le problème n’était pas un manque de discipline : c’était une discipline qui séparait l’autorité de l’information. [1]

Le modèle « leader-leader » décrit dans cette expérience cherche à développer la capacité de leadership à plusieurs niveaux. Le contrôle est progressivement distribué à ceux qui possèdent l’information, à condition que leur compétence et leur compréhension des objectifs soient suffisantes. [1]

La leçon utile pour une organisation n’est pas d’imiter un sous-marin. Elle est de reconnaître qu’un responsable qui doit donner toutes les réponses devient rapidement un goulot d’étranglement. Plus le contexte change vite, plus ce goulot dégrade à la fois la vitesse et la qualité des décisions.

De la permission à l’intention

Le changement de langage est concret. Au lieu d’attendre une réponse à « Que dois-je faire ? », une personne peut annoncer : « J’ai l’intention de… », puis exposer son observation, le résultat recherché, le risque perçu et la manière dont elle surveillera les conséquences.

Cette formulation oblige à préparer la décision. Elle empêche de transférer silencieusement le raisonnement au supérieur et rend visibles les hypothèses avant l’action. L’autorité se rapproche ainsi de l’information au lieu d’exiger que toute l’information remonte vers l’autorité. [1]

Une intention n’est pas un permis automatique. Le responsable peut demander une vérification, rappeler une contrainte, apporter une information manquante ou arrêter une action dangereuse. La différence tient à la posture : il n’est plus la source obligatoire de toute solution, mais le garant des conditions dans lesquelles une décision locale devient fiable.

Deux conditions : compétence et clarté

Distribuer le contrôle sans capacité crée du risque. Deux conditions doivent donc progresser avec l’autonomie : la compétence et la clarté. [1]

La compétence permet de comprendre les conséquences techniques d’une action. Elle inclut le savoir-faire, l’expérience, la connaissance des procédures et la capacité à détecter qu’une situation dépasse son domaine. Une personne autonome sait aussi quand elle doit demander de l’aide.

La clarté relie l’action locale au but du système. Elle porte sur l’intention stratégique, les priorités, les contraintes non négociables et les arbitrages acceptables. Sans clarté, une équipe peut prendre une décision localement cohérente qui détériore pourtant le résultat global.

La délégation robuste peut donc se lire comme une relation : contrôle distribué + compétence + clarté = décision responsable. Si l’une de ces composantes manque, l’autonomie affichée risque de devenir dépendance cachée, incohérence ou prise de risque mal maîtrisée.

Sécurité psychologique : rendre le signal possible

La sécurité psychologique complète cette architecture. Elle désigne un climat où les personnes peuvent poser une question, signaler un problème, reconnaître une erreur ou contredire une hypothèse sans craindre une sanction sociale disproportionnée. Les recherches montrent son lien avec les comportements d’apprentissage dans les équipes. [3]

Dans un environnement où dire « je ne sais pas », « je vois un risque » ou « je me suis trompé » est dangereux, la délégation reste théorique. L’organisation peut afficher de l’autonomie tout en conservant une culture de silence. Les décisions paraissent rapides, mais les informations qui devraient les contester ne circulent plus.

La sécurité psychologique ne signifie pas l’absence d’exigence. Une équipe peut demander des preuves, fixer des standards élevés et examiner sévèrement un raisonnement sans attaquer la dignité de la personne. Le point décisif est de rendre le signal utile au système, même lorsqu’il révèle une faiblesse.

Toutes les erreurs ne se valent pas

Parler d’apprentissage ne doit pas conduire à mettre toutes les erreurs dans la même catégorie. Une erreur évitable dans une opération parfaitement connue n’a pas le même statut qu’un résultat inattendu issu d’une expérimentation correctement bornée.

On peut distinguer au moins quatre situations :

• la négligence, lorsque des règles connues et pertinentes ne sont pas appliquées ;
• l’erreur de compétence, lorsque la personne ne maîtrise pas encore l’action ;
• l’erreur de système, lorsque l’organisation rend le mauvais comportement probable ;
• l’échec expérimental, lorsqu’une hypothèse plausible est testée dans un cadre contrôlé.

Cette distinction évite deux excès. Le premier consiste à punir indistinctement tout écart et à bloquer l’apprentissage. Le second consiste à appeler « expérimentation » une action mal préparée dont les conséquences auraient pu être anticipées. Une culture mature adapte sa réponse à la nature du problème.

Réversible ou irréversible : calibrer le contrôle

Une décision réversible peut être petite, observée et corrigée rapidement. Elle justifie souvent une délégation plus large. Une décision difficilement réversible, réglementée ou susceptible de produire un dommage grave nécessite davantage de preuves, de revue et parfois une autorisation explicite.

Pour une équipe produit, un test limité à un segment, protégé par un mécanisme d’arrêt et accompagné d’une mesure claire n’appelle pas le même niveau de contrôle qu’une migration définitive de données sensibles. Pour une équipe opérationnelle, un réglage facilement restaurable diffère d’une intervention qui engage la sécurité des personnes.

Le rôle du responsable est donc aussi de concevoir la réversibilité. Réduire la taille des changements, automatiser le retour arrière, isoler les impacts et définir des seuils d’arrêt permet d’accorder davantage d’autonomie sans augmenter aveuglément l’exposition au risque.

Apprendre sans chercher un coupable

Dans les systèmes numériques à grande échelle, les incidents sont inévitables. Les pratiques de post-mortem sans blâme partent du principe que les personnes ont agi avec les informations et les incitations disponibles au moment des faits. Leur objectif est de comprendre pourquoi l’action paraissait raisonnable, puis de corriger les conditions qui pourraient reproduire l’incident. [2]

Chercher trop vite un coupable produit une explication simple mais faible. On remplace une personne, on rappelle une règle et l’on conserve parfois le même contexte, la même pression, la même ambiguïté ou le même défaut d’outillage. Le système reste vulnérable.

Une analyse utile examine la chronologie, les signaux disponibles, les décisions, les protections qui ont fonctionné ou échoué et les facteurs organisationnels. Elle débouche sur des actions suivies, pas sur une formule rassurante. Le but n’est pas d’excuser toute conduite, mais d’empêcher que la peur réduise la qualité de l’information collectée. [2]

Transposer le mécanisme à une équipe agile

Le langage de l’intention peut être utilisé sans copier le contexte militaire. Il sert à rendre visibles le raisonnement et les limites d’une décision.

Au lieu de demander « Est-ce que je peux déployer cette modification ? », une personne peut dire : « J’ai l’intention de la déployer sur 5 % du trafic. Les tests sont verts, les métriques sont en place et le retour arrière est automatisé. » Le manager peut alors examiner les conditions plutôt que produire lui-même le plan.

Au lieu de demander « Quelle solution dois-je développer ? », une équipe produit peut annoncer : « Nous avons l’intention de tester cette hypothèse avec ce segment pendant une semaine. Nous arrêterons si le signal attendu n’apparaît pas. »

En planification, l’équipe peut expliciter les dépendances qu’elle accepte et celles qu’elle refuse. En revue, elle peut distinguer le résultat observé du jugement porté sur les personnes. En rétrospective, elle peut transformer une erreur récurrente en amélioration du système plutôt qu’en rappel moral.

Une pratique simple : demander l’intention

Lorsqu’une personne demande « Qu’est-ce que je dois faire ? », répondre immédiatement entretient parfois la dépendance. Une autre question est possible : « Quelle est ton intention ? »

La discussion peut ensuite suivre cinq questions :

• Qu’as-tu observé ?
• Quel résultat cherches-tu ?
• Quel risque vois-tu ?
• Qu’est-ce qui rend la décision réversible ou sûre ?
• De quelle information ou compétence as-tu encore besoin ?

L’objectif n’est pas de transformer une phrase en rituel. Une intention vague ne vaut pas une décision préparée. La qualité vient des éléments rendus visibles : faits, hypothèses, but, limites, signaux de contrôle et seuil d’escalade.

Le responsable doit aussi accepter que la réponse diffère de celle qu’il aurait choisie. S’il corrige systématiquement toute divergence de style, l’équipe comprend vite que l’intention n’est qu’une permission déguisée.

Mesurer une culture d’action responsable

Le nombre brut d’erreurs est un indicateur insuffisant. Une baisse peut signifier une meilleure maîtrise, mais aussi une diminution des initiatives ou une moindre transparence. Il faut croiser plusieurs signaux.

Une équipe peut observer le délai entre la détection d’un risque et son signalement, la proportion de décisions prises au bon niveau, le temps nécessaire pour revenir en arrière, le nombre d’actions de post-mortem réellement terminées et la répétition des mêmes catégories d’incidents.

Elle peut également regarder la qualité des intentions formulées. Contiennent-elles un résultat attendu, une contrainte, un risque et un mécanisme de contrôle ? Les escalades apportent-elles un problème nu ou une recommandation argumentée ? Les responsables répondent-ils par une question utile ou reprennent-ils immédiatement la décision ?

Ces mesures ne doivent pas devenir un nouveau système de surveillance individuelle. Elles servent à voir si l’architecture encourage réellement la compétence, la clarté et la circulation des signaux.

Synthèse systémique

Cette lecture montre que l’autonomie n’est pas une permission générale. C’est une propriété du système : elle dépend simultanément du langage, des compétences, du cap, de la sécurité relationnelle et de la conception technique des décisions.

Conclusion

Une organisation ne devient pas autonome parce qu’elle donne moins d’ordres. Elle devient capable de distribuer les décisions lorsqu’elle construit simultanément compétence, clarté, droit d’agir, réversibilité et capacité à signaler les problèmes.

Le leadership par l’intention déplace alors la question centrale. On ne demande plus seulement « Qui a l’autorité ? », mais « Où se trouve l’information, et quelles conditions permettent à la personne qui la possède de décider de manière responsable ? »

Le meilleur moyen de ne jamais faire d’erreur serait peut-être de ne rien faire. Mais une organisation vivante ne peut pas choisir l’immobilité. Elle doit apprendre à rendre l’action suffisamment sûre, les erreurs suffisamment visibles et l’apprentissage suffisamment concret pour progresser sans nier le risque.

Index terminologique

Leadership par l’intention — mécanisme dans lequel une personne formule l’action qu’elle prévoit, son raisonnement et ses conditions de contrôle plutôt que de demander systématiquement une permission.

Leader-leader — modèle visant à développer la capacité de leadership à plusieurs niveaux plutôt qu’à maintenir une relation permanente entre décideurs et exécutants.

Compétence — capacité technique et contextuelle nécessaire pour exercer une autorité distribuée de manière sûre.

Clarté — compréhension du but, des priorités et des contraintes permettant d’aligner une décision locale sur le système.

Sécurité psychologique — climat permettant de questionner, signaler et reconnaître une erreur sans craindre une sanction sociale disproportionnée.

Post-mortem sans blâme — analyse structurée d’un incident visant à comprendre les conditions de sa survenue et à réduire sa répétition sans rechercher d’abord un coupable.

Réversibilité — capacité à limiter, arrêter ou annuler une décision lorsque les effets observés ne correspondent pas aux attentes.

Sources

1. L. David Marquet, Turn the Ship Around! — page officielle du livre — https://davidmarquet.com/books/turn-the-ship-around-book/

2. Google SRE, John Lunney et Sue Lueder, « Postmortem Culture: Learning from Failure » — https://sre.google/sre-book/postmortem-culture/

3. Amy C. Edmondson, « Psychological Safety and Learning Behavior in Work Teams », Harvard DASH — https://dash.harvard.edu/entities/publication/13a7b031-0fdd-45ec-a7e0-2b80e2bc679f