⏱ Temps de lecture : 10 minutes | WRM Solutions — Rodolfo Liuzzi, CEO
⬇ Télécharger l’article en PDF
Après trois décennies passées à analyser, cartographier et tenter de maîtriser les risques opérationnels dans des secteurs à haute criticité, je dois vous l’avouer : peu de dossiers m’ont autant glacé le sang que celui du Boeing 737 MAX.
346 morts. Plus de 20 milliards de dollars de pertes directes. Deux avions neufs précipités au sol en quelques minutes. Et pourtant, tout avait été murmuré, écrit, signalé, des années avant les crashs du vol Lion Air 610 et du vol Ethiopian Airlines 302.
Le MCAS : anatomie d’un système mal conçu
En 2010, Airbus lançait l’A320neo avec de nouveaux moteurs plus efficaces. La pression commerciale sur Boeing fut immédiate et brutale. Le 30 août 2011, Boeing approuva le projet du 737 MAX — avec le seul moteur CFM LEAP-1B — pour rattraper son retard. Les nouveaux moteurs CFM LEAP-1B, plus grands et plus puissants, devaient être positionnés plus en avant et plus haut sur l’aile pour garantir la distance au sol.
Cette modification altérait les caractéristiques aérodynamiques de l’avion, augmentant la tendance à cabrer — faire pivoter un aéronef autour de son axe transversal pour lever le nez par rapport à la ligne d’horizon — à angle d’attaque élevé, avec le risque concret d’entrer en décrochage.
Boeing choisit une solution logicielle plutôt que de reconcevoir structurellement l’avion. Un choix qui aurait nécessité des années de développement et une nouvelle certification complète. Le MCAS (Maneuvering Characteristics Augmentation System) était programmé pour abaisser automatiquement le plan de queue lorsque le système détectait un angle d’attaque anormal, ramenant le nez vers le bas et compensant ainsi la tendance au cabrage.
Un an avant que le 737 MAX ne soit finalisé, Boeing rendit le système encore plus agressif. Alors que la version originale s’appuyait sur les données d’au moins deux capteurs différents, la version finale n’en utilisait qu’un seul — laissant le système sans aucune protection contre les défaillances d’un composant unique.
La FAA, dans son rapport final de novembre 2020, a identifié trois safety issues fondamentaux liés au MCAS.
Safety Issue #1 — Le capteur unique : le MCAS dépendait d’un unique capteur d’angle d’attaque (AOA), sans redondance ni système de vérification croisée. Dans l’aviation, le principe de redondance est sacré. Aucun système critique ne devrait dépendre d’un seul point de défaillance. Ici, cette règle fondamentale a été délibérément violée — pour des raisons de coût et de calendrier.
Safety Issue #2 — La réactivation toutes les 5 secondes : quand le capteur fournissait des données erronées, le MCAS s’activait de manière répétée, poussant le nez de l’avion vers le bas avec une force croissante. Les pilotes pouvaient le contrer manuellement, mais le système se réactivait automatiquement toutes les 5 secondes. Le contrôle de l’appareil devenait progressivement impossible — exactement ce qui s’est produit sur les vols Lion Air 610 et Ethiopian Airlines 302.
Safety Issue #3 — Les pilotes ne savaient pas que le MCAS existait : Boeing avait délibérément omis de mentionner le système dans les manuels de vol originaux, pour éviter l’obligation d’une formation supplémentaire sur simulateur. Une formation qui aurait augmenté les coûts pour les compagnies aériennes et réduit l’attrait commercial du 737 MAX face à l’A320neo. Les pilotes se sont retrouvés à combattre un système dont ils ignoraient l’existence, le fonctionnement et les procédures de désactivation. Ce n’était pas une erreur technique. C’était un choix délibéré, documenté, validé à tous les niveaux de la chaîne de commandement.
Les signaux faibles, tous ignorés
1. Les remontées internes étouffées
La pression commerciale ne se limitait pas aux échelons supérieurs du management. Elle imprégnait chaque niveau de l’organisation Boeing — jusqu’aux ingénieurs qui travaillaient directement sur le programme 737 MAX.
L’enquête de la Commission des Transports de la Chambre des Représentants américaine, conduite pendant 18 mois et basée sur plus de 600 000 documents internes, a révélé un tableau glaçant. Les employés de Boeing étaient soumis à une pression constante pour respecter les calendriers de production et de livraison. La précipitation était symbolisée par des “horloges à rebours” accrochées aux murs des salles de réunion — un message implicite mais extrêmement puissant : le temps compte plus que la sécurité.
Dans ce climat, plusieurs ingénieurs avaient exprimé des préoccupations concrètes sur la conception du MCAS. Leurs signalements portaient sur trois points précis : la sous-estimation de la criticité du système, la dépendance à un seul capteur AOA, et l’absence de formation dédiée pour les pilotes.
Ces signalements ne se sont pas perdus par hasard. Ils ont été systématiquement marginalisés. La décision de ne pas intégrer les modifications proposées n’était pas dictée par l’incompétence, mais par la conscience que leur mise en œuvre aurait entraîné un ralentissement du programme, la nécessité d’une nouvelle certification et l’obligation d’imposer une formation sur simulateur aux compagnies aériennes. Un tel choix aurait engendré des pertes de milliards de dollars et aurait permis à l’A320neo d’Airbus de gagner du terrain sur le marché.
La déclaration la plus révélatrice a émergé lors des enquêtes du Congrès américain en 2020. Un ingénieur de Boeing avait décrit en interne le MCAS comme “conçu par des clowns, supervisés par des singes”. Une phrase brutale — mais qui cachait quelque chose de plus profond qu’une simple frustration. C’était la voix d’un professionnel qui voyait des standards de sécurité fondamentaux compromis, et qui savait que personne n’écoutait.
La déclaration de l’Administrateur FAA Michael Whitaker devant le Sénat américain en septembre 2024 a confirmé que ce problème culturel ne se limitait pas aux crashs de 2018-2019. Boeing “doit maintenir des programmes robustes de signalement de la sécurité et promouvoir une culture de signalement sûre et proactive au sein de ses organisations”. Six ans après, le régulateur imposait encore à Boeing ce qui aurait dû être le point de départ.
En gestion des risques opérationnels, il existe un principe fondamental : une organisation dans laquelle celui qui signale un risque est perçu comme un obstacle au business — et non comme un garant de la sécurité — a déjà choisi, inconsciemment, son prochain désastre. Boeing l’a démontré deux fois. En cinq mois.
Le coût de l’aveuglement
Quand les signaux de risque sont ignorés systématiquement, la facture finale ne se règle pas seulement en argent. Elle se règle en vies humaines, en réputation détruite, en organisations décimées, en sanctions. Le cas Boeing 737 MAX a produit l’un des bilans les plus dévastateurs de l’histoire de l’aviation commerciale.
Le coût humain
346 personnes ont perdu la vie en cinq mois. Pas dans deux accidents séparés — mais dans le même accident, répété deux fois. Le vol Lion Air 610 du 29 octobre 2018 et le vol Ethiopian Airlines 302 du 10 mars 2019 ont suivi la même séquence d’événements, produite par le même système défaillant, ignoré par les mêmes personnes. Derrière chaque statistique se cache un individu, une famille, une vie irrémédiablement perdue.
Le coût financier
Le 737 MAX est resté cloué au sol pendant 20 mois — de mars 2019 à novembre 2020 — l’immobilisation la plus longue de l’histoire de l’aviation commerciale. Le coût total pour Boeing a été estimé à plus de 20 milliards de dollars, entre indemnisations aux familles des victimes, remboursements aux compagnies aériennes, perte de commandes, coûts de reconception et de recertification.
En janvier 2021, Boeing a conclu un accord avec le Département de Justice américain pour 2,5 milliards de dollars — reconnaissant avoir trompé la FAA lors du processus de certification du MCAS. En septembre 2022, Boeing a été condamné à payer une amende supplémentaire de 200 millions de dollars à la SEC pour déclarations trompeuses aux investisseurs. Le coût de ne pas avoir écouté les ingénieurs qui soulevaient des préoccupations ? Une fraction de ces chiffres.
Le coût réputationnel
Boeing était une icône de l’ingénierie américaine. Un symbole de précision, de fiabilité, d’excellence technique. Le cas 737 MAX a fissuré cette réputation de manière durable. La confiance du public dans l’aviation commerciale a été ébranlée. Les compagnies aériennes ont dû gérer des passagers qui refusaient de monter à bord d’un 737 MAX. Certains pilotes ont demandé formellement à ne pas être affectés à ce type d’appareil. Une marque construite en décennies a été endommagée en quelques mois.
Le coût opérationnel et systémique
Les chaînes d’approvisionnement ont été déstabilisées. Les fournisseurs qui dépendaient des programmes Boeing ont subi d’énormes pertes. Le conseil d’administration a été décimé — le PDG Dennis Muilenburg a été licencié en décembre 2019.
Mais le coût le plus profond, celui qui n’apparaît pas dans les bilans, est le coût culturel. Comme l’a déclaré l’Administrateur FAA Michael Whitaker devant le Sénat américain en septembre 2024, six ans après les désastres Boeing doit encore être obligé d'”encourager ses employés à s’exprimer sans crainte de représailles”. Une organisation dans laquelle le silence est encore la norme n’a pas encore payé la facture la plus importante. Celle de la culture.
Conclusion
Le Boeing 737 MAX ne s’est pas effondré à cause d’une faille technique soudaine. Il s’est effondré à cause d’une chaîne de choix délibérés, documentés, validés à tous les niveaux d’une organisation qui avait cessé d’écouter.
Les signaux existaient. Les ingénieurs avaient parlé. Les quasi-accidents avaient été enregistrés. Le capteur unique était une hérésie connue. Les pilotes ne savaient pas que le MCAS existait. Et pourtant, rien n’a changé — jusqu’à ce que deux avions s’écrasent au sol en cinq mois.
Ce que ce cas nous enseigne, avec une brutalité rare, c’est que le risque opérationnel n’est pas une fonction support. C’est un enjeu de survie. Un système de gestion des risques digne de ce nom ne se contente pas de cartographier les risques sur un tableau. Il garantit la remontée non filtrée des signaux faibles. Il protège ceux qui élèvent la voix. Il impose une réelle indépendance du contrôle. Et — surtout — il refuse de subordonner la sécurité à la performance financière.
Comme l’a déclaré l’Administrateur FAA Michael Whitaker devant le Sénat américain en septembre 2024 — six ans après les crashs — Boeing doit encore être obligé de construire une culture dans laquelle les employés peuvent signaler les risques sans craindre les représailles. Six ans. Deux désastres. 346 morts. Et la leçon n’a pas encore été entièrement apprise.
Quand vous entendez “c’est sous contrôle” ou “il ne faut pas s’inquiéter” ou des phrases similaires, posez-vous toujours trois questions : qui le dit, avec quelle preuve, et sous quel angle mort ?
Les plus grands désastres opérationnels ne viennent pas de l’inconnu. Ils viennent de risques identifiés, documentés — et délibérément mis de côté.
Rester en veille. Écouter le terrain. Traiter chaque signal comme un précurseur de crise potentielle. Voilà l’ADN du risk manager. Le jour où l’on cesse de le faire, le prix se chiffre en vies humaines et en milliards.
Sources : FAA Summary of the Review of the Boeing 737 MAX (novembre 2020) — ITAFSC, Boeing B737 MAX: The SMS Would Have Avoided Two Fatal Accidents (mai 2021) — Il Sole 24 Ore, Les vicissitudes du Boeing 737 MAX (janvier 2024) — Rapport de la Commission des Transports de la Chambre des Représentants américaine (septembre 2020) — U.S. Department of Transportation, FAA Oversight of Boeing’s Broken Safety Culture, Déclaration de Michael Whitaker, Administrateur FAA, Sénat américain (septembre 2024).