Registre des incidents lors d'un événement : que consigner et comment

Modèle pratique de journal des incidents : ce qu'il faut consigner, comment attribuer un niveau d'urgence, transmettre les tâches entre les équipes et protéger les données sensibles.

Un message sur la radio, une photo dans le chat et une consigne orale du responsable d'équipe peuvent se rapporter au même incident. Une heure plus tard, l'équipe dispose déjà de trois versions : quand tout a commencé, qui a pris la décision et si la cause a été éliminée. Le journal des incidents sur un événement rassemble cette chaîne en une seule entrée vérifiable.

Chez Aventura, nous utilisons ce journal comme un registre opérationnel, et non comme une recherche de coupables ni comme un substitut aux documents spécialisés. Il conserve les faits, les décisions, les responsables et les actions en cours. S'il faut aider des personnes ou appeler les services d'urgence, l'équipe réagit d'abord. L'entrée est créée en parallèle ou immédiatement après les premières actions.

Pourquoi tenir un registre des incidents ?

Le registre conserve une chronologie unique de l'événement. Il montre ce qui a été remarqué, quelles informations ont été confirmées, ce qui a été fait immédiatement, à qui la tâche a été transmise et comment elle s'est terminée. Une telle consignation aide à piloter l'équipe en cours et fournit la matière pour le débriefing après l'événement. La valeur principale du registre réside dans une version à jour unique du statut pour tous les rôles responsables.

Nous n'avons trouvé dans les sources réglementaires russes aucune forme obligatoire portant le nom de « registre des incidents de l'événement ». L'organisateur approuve généralement un modèle interne tenant compte du site, du contrat, de la composition des invités et des exigences spécifiques. Le registre opérationnel ne remplace pas la documentation incendie, les dossiers médicaux, l'enquête sur un accident du travail impliquant un salarié ou les pièces des forces de l'ordre.

Il est préférable de définir le contour général des rôles et des actions dans le plan de sécurité de l'événement. Pour les conférences, cette mécanique est liée à l'organisation de conférences et de forums, au plan du site et au travail du poste de commandement. Le registre commence à fonctionner là où apparaît un écart observable, une décision ou une tâche qu'il ne faut pas perdre.

Qu'est-ce qui constitue un incident et qu'est-ce qui reste dans le canal de travail ?

Une entrée est nécessaire si l'événement affecte ou peut affecter les personnes, l'accès au site ou le déroulement du programme. Les défaillances de service et de matériel, les dommages aux biens et les risques contractuels sont également consignés dans le registre. Le deuxième critère est que le travail se poursuit après le premier message : il faut un responsable, un nouveau statut ou une transmission à l'équipe suivante. Une simple question sans conséquence reste dans le canal de travail.

Nous utilisons une vérification simple :

1. Y a-t-il un impact réel ou potentiel sur la sécurité et le déroulement de l'événement ?
2. Un responsable de l'action suivante est-il nécessaire ?
3. Le poste de commandement doit-il recevoir un nouveau statut après un certain temps ?
4. L'écart se répète-t-il et révèle-t-il un problème systémique ?
5. Faut-il conserver l'épisode pour le débriefing final ?

Si la réponse à toutes les questions est négative, le message ne doit pas gonfler le registre. Par exemple, la livraison planifiée d'eau ou la confirmation de la disponibilité d'un microphone restent dans la checklist de l'équipe. L'arrêt de l'entrée, la panne du système d'enregistrement, la chute d'une structure, la perte de biens, une plainte pour menace ou une défaillance récurrente reçoivent un ID distinct.

Il est utile de consigner aussi les événements dangereux sans victimes. Un léger changement de circonstances aurait pu entraîner une blessure, un dommage aux biens ou un arrêt du programme. Un tel épisode aide à repérer un point faible avant un incident grave. Le terme et la procédure de vérification ultérieure doivent être convenus avec le service compétent, et non décidés de manière autonome.

Champs d'enregistrement : modèle minimal

Une bonne entrée répond aux questions « quand, où, que s'est-il passé, qu'a-t-on fait et qui est responsable de la suite ». Nous avons réuni ces champs à partir du formulaire officiel FEMA ICS 214, des recommandations HSE et de notre pratique de gestion du poste de commandement. Il s'agit d'un modèle interne, et non d'un formulaire officiel.

Il est préférable d'enregistrer l'heure de manière univoque et de synchroniser les horloges des appareils de travail. Pour un journal électronique, le format 2026-10-29T18:42:16+03:00 conviendra. Si le message a été saisi plus tard, l'heure de l'événement et l'heure de la saisie sont indiquées séparément.

Le formulaire doit être relié au travail du poste de commandement et à la radiocommunication. La radio et le chat transmettent le signal, tandis que le journal conserve une version unique du statut et de la décision.

Comment définir le niveau d'urgence ?

Le niveau d'urgence doit déclencher automatiquement une action claire. Une couleur ou un numéro sans itinéraire est inutile. Les seuils sont validés avant l'événement avec le site, le service de sécurité, le responsable technique, l'équipe médicale et les autres fonctions concernées. L'équipe doit comprendre immédiatement le destinataire du message, le délai de réaction autorisé et le statut de contrôle suivant.

L'échelle interne peut se présenter ainsi :

Cette échelle à quatre niveaux n'est pas établie par l'ISO, l'HSE ou le MChS. C'est un exemple de modèle interne. Les noms peuvent être modifiés, mais la relation « niveau - destinataire - action - délai » doit rester univoque.

Nous prenons en compte deux paramètres : ce qui s'est réellement produit et quel dommage était possible. Un couloir vide bloqué une minute par un chariot et le même couloir bloqué pendant une sortie massive diffèrent par leur impact réel. Le potentiel de l'événement doit néanmoins être conservé pour que l'équipe élimine la cause.

Si vous avez besoin d'un circuit unique pour le site, les prestataires et le poste de commandement, consultez l'organisation d'événements d'entreprise. Nous convenons à l'avance des rôles, des points d'escalade et des solutions de repli, et nous contrôlons leur application sur le site.

Nous publions également des analyses pratiques des processus opérationnels dans la chaîne Telegram d'Aventura.

Fait, décision et résultat : des champs distincts

Une entrée doit séparer l'observation de l'hypothèse sur la cause. La phrase « le prestataire a bloqué l'accès » contient déjà une accusation. Un fait vérifiable se formule autrement : « à 09h18, deux des quatre scanners ont cessé d'accepter les QR codes ; la file d'attente a dépassé la limite dans le hall ». Cette séparation aide à prendre des décisions sur des données confirmées et à mettre à jour correctement la chronologie.

Nous distinguons quatre niveaux :

1. Fait : ce qui a été observé et par quoi cela est confirmé.
2. Vérification : quelle question reste ouverte et qui la vérifie.
3. Décision : quelle action a été validée par une personne habilitée.
4. Résultat : ce qui a changé après l'action et si le critère de clôture est rempli.

Si l'information initiale s'avère inexacte, l'entrée d'origine n'est pas effacée. On ajoute une précision avec l'auteur et l'heure. Cette version conserve le fil des décisions et montre sur quelles données l'équipe s'est appuyée à un moment donné.

Le chat ne convient pas comme journal unique. Les messages sont modifiés, se perdent dans un long fil et n'ont pas de propriétaire. Le chat est utile pour la notification, mais le lien vers l'ID de l'entrée doit ramener l'équipe à une seule fiche à jour.

Comment escalader un incident sans retarder les secours ?

Le remplissage du formulaire ne doit pas retarder le sauvetage de personnes, l'appel des services ou l'arrêt d'une action dangereuse. Le message initial peut être court, et les champs sont complétés après stabilisation de la situation. L'équipe doit disposer au préalable de l'autorité nécessaire pour agir sans longue chaîne de validations. On transmet d'abord le lieu, la menace et l'aide requise, puis on précise les autres champs du journal.

Pour un message grave, nous utilisons une structure courte en sept points. Elle est proche de la mnémotechnique britannique M/ETHANE, utilisée pour le message initial aux services d'urgence :

1. Un incident majeur est-il déclaré ou faut-il s'y préparer.
2. Le lieu exact.
3. Le type d'événement.
4. Les dangers actuels et possibles.
5. L'accès et l'itinéraire sûr vers le lieu.
6. Le nombre et l'état des victimes, si cela est connu.
7. Quels services sont déjà à l'œuvre et lesquels sont nécessaires.

En cas d'incendie, les Règles du régime de sécurité incendie en vigueur à la date de publication exigent de prévenir immédiatement les pompiers en indiquant l'objet, l'adresse, le lieu du sinistre et le nom de la personne qui signale, ainsi que de prendre des mesures d'évacuation. Le journal peut consigner l'heure de l'appel, les informations transmises et le rôle de l'appelant, mais ne remplace pas l'appel lui-même.

Pour les événements réunissant 50 personnes ou plus, les locaux sont vérifiés au préalable quant au respect des exigences de sécurité incendie. Des responsables de permanence sont désignés sur scène et dans les salles. Le décret du gouvernement de la Fédération de Russie n° 1479 est en vigueur jusqu'au 31 décembre 2026 inclus ; avant un nouveau projet, il faut donc vérifier la version en vigueur et l'acte qui l'a remplacé ou prolongé.

Données personnelles et application à accès restreint

Le journal opérationnel commun doit contenir le minimum de données nécessaire au PC de crise. Les informations sur la santé, le contenu d'une plainte, les documents et les coordonnées ne doivent pas être montrées sans nécessité aux prestataires ni à tous les participants du canal de travail. Pour les cas sensibles, mieux vaut utiliser une fiche distincte à accès limité. Le tableau commun conserve alors un ID neutre, l'action, le responsable et le statut.

Modèle sécurisé à deux niveaux :

• dans le journal commun : ID, heure, zone, catégorie neutre, urgence, action opérationnelle, responsable et statut ;
• dans l'application à accès restreint : les informations nécessaires pour contacter, aider, vérifier ou exécuter une obligation spécifique ;
• entre les documents : un ID de référence, sans copier le texte sensible.

La loi fédérale n° 152-FZ exige que les finalités du traitement soient précises et licites, et que le volume de données ne soit pas excessif. Les informations sur l'état de santé relèvent des catégories spéciales de données personnelles. C'est pourquoi, dans l'enregistrement commun, il suffit généralement de mentionner le fait du signalement, les premiers secours prodigués et le transfert aux équipes médicales, sans le diagnostic ni l'historique médical détaillé.

Un seul consentement ne suffit pas toujours. La base juridique, la composition des données, les rôles d'accès et la durée de conservation sont déterminés au cas par cas, pour chaque projet. Pour les plaintes et les signalements sensibles, utilisez un processus distinct, semblable à celui décrit dans le code de conduite de l'événement.

Comment tenir le journal pendant une équipe ?

Le journal est ouvert avant l'accès des invités et clôturé après le démontage et la transmission des questions restantes. Des incidents sont possibles lors du montage, de l'enregistrement, dans le programme, à la sortie du public, lors du démontage et du départ des prestataires. Le responsable du journal doit avoir un remplaçant et un accès à la version à jour sans dépendre d'un seul appareil.

Cycle de travail d'une entrée :

1. Le signal parvient au PC de commandement ou au rôle désigné.
2. Le répartiteur vérifie les données minimales et crée un ID.
3. Le responsable désigne un niveau préliminaire et un itinéraire.
4. L'équipe exécute la première action de limitation.
5. Le responsable reçoit la tâche et l'heure du prochain statut.
6. L'entrée est mise à jour en cas de changement d'impact, de décision ou de responsable.
7. La clôture est confirmée par un résultat observable.
8. L'entrée ouverte est transmise à l'équipe suivante.

Une panne corrigée sur place n'est pas supprimée. Elle peut révéler un point faible récurrent : une entrée est régulièrement surchargée, un câble ressort dans le passage, les collaborateurs manquent de droits dans le système ou les prestataires comprennent différemment le signal d'arrêt.

Avant l'ouverture du site, il est pratique de rassembler les contraintes initiales et les réserves dans un audit technique du site. Le journal enregistre alors les écarts par rapport au plan convenu, plutôt que de le reconstituer après coup.

Comment transmettre les entrées ouvertes à la nouvelle équipe ?

La passation d'équipe préserve les décisions et engagements en cours. Il n'est pas nécessaire de lire tout le journal à voix haute. L'équipe prenante reçoit les entrées ouvertes et les entrées graves récemment clôturées, les limitations temporaires, les responsables, les prochains points de contrôle et les actions attendues des services ou des prestataires. La nouvelle équipe confirme avoir compris le contexte et pouvoir poursuivre le travail.

Ce qu'il faut transmettre à l'équipe suivante :

1. L'heure de la passation.
2. Le cédant et le prenant, leurs rôles.
3. Les entrées ouvertes et le niveau actuel.
4. Ce qui est limité en ce moment.
5. Qui a déjà été notifié et ce qu'il doit faire.
6. Quel prochain statut est nécessaire et quand.
7. Où se trouvent les documents associés.
8. La confirmation du prenant.

L'ancienne équipe ne doit pas considérer une tâche comme transmise simplement parce qu'elle a envoyé un message. Le prenant confirme le contexte et la possibilité de poursuivre le travail. Si le système ou la zone reste instable, cela est précisé séparément.

Preuves et documents associés

Photos, vidéos, relevés du système et enregistrements des communications aident à vérifier la chronologie, mais le journal général ne doit pas devenir un dépôt de fichiers. La fiche indique l'ID du document, la source et l'heure de réception. L'auteur et le lieu de conservation à accès restreint sont consignés séparément. Ainsi, l'équipe maintient le lien entre l'enregistrement et la confirmation, sans copier de fichiers sensibles.

L'équipe commence par aider les personnes et écarter la menace immédiate. Ensuite, elle limite l'accès superflu au lieu, consigne les modifications et préserve les documents d'origine. Il ne faut pas maintenir une « image parfaite de l'incident » au prix d'un retard des secours.

Pour les documents numériques, on peut appliquer le principe de traçabilité : conserver l'origine de l'enregistrement, l'heure des actions, le responsable et la transmission du fichier entre les rôles. Cette approche est utilisée par le National Institute of Standards and Technology des États-Unis (NIST) dans son guide sur les cyberincidents. L'ensemble de champs ci-dessus est notre adaptation pour le journal d'un événement, et non une exigence du NIST pour les événements russes.

N'envoyez pas les originaux contenant des données personnelles dans un chat commun. Les communications radio et les enregistrements vidéo ne peuvent être conservés qu'en présence d'un fondement légal et d'un régime d'accès défini au préalable. Le journal conserve un lien vers le document et la raison de sa conservation.

Débriefing après l'événement

Le débriefing final cherche les conditions de répétition, et non un coupable commode. L'équipe compare le plan et les événements réels, vérifie les réserves qui ont fonctionné, les signaux récurrents et la qualité de la transmission des statuts. Le journal brut n'est pas diffusé à tous les participants du projet. L'objectif du débriefing est de désigner des changements concrets, des responsables et un mode de vérification du résultat.

L'OMS propose pour l'After Action Review la séquence suivante : ce qui était attendu, ce qui s'est produit, ce qui a fonctionné, ce qui n'a pas fonctionné, pourquoi et ce qu'il faut améliorer. Pour un événement, nous ajoutons un responsable, un délai et un critère vérifiable pour chaque changement.

Le débriefing se déroule ainsi :

1. Sélectionner les événements dangereux graves et récurrents, même si personne n'a été blessé.
2. Vérifier la chronologie, les faits et les documents associés.
3. Séparer la cause immédiate des conditions du système.
4. Déterminer quelles réserves ont fonctionné et où se situait la faille.
5. Formuler une action corrective.
6. Désigner un responsable, un délai et un mode de vérification.
7. Mettre à jour le brief, l'audit, la répétition, le plan de communication ou la formation de l'équipe.

Le rapport final reprend des catégories anonymisées, l'impact sur le programme ou le service, les décisions qui ont fonctionné et les actions ouvertes. Les détails médicaux, le contenu des plaintes confidentielles et les versions non confirmées restent dans un périmètre restreint. Le processus général de clôture du projet est détaillé dans l'article sur le budget, les documents et le rapport final de l'événement.

Check-list de préparation du journal

Si vous êtes responsable d'un événement avec un site complexe ou plusieurs prestataires, vérifiez le journal avant l'arrivée du premier invité. Une courte liste permet de repérer les lacunes dans les rôles, les accès, les délais de statut et les critères de clôture. Cette vérification prend moins de temps que la reconstitution de la chronologie après un incident, et elle montre si l'équipe est prête à transmettre les enregistrements entre les équipes.

1. Le critère d'enregistrement est clair pour toutes les équipes et tous les prestataires.
2. Les catégories ne remplacent pas une qualification juridique ou médicale.
3. Chaque niveau d'urgence est associé à une action et à un destinataire.
4. Un responsable du journal et son remplaçant sont désignés.
5. Les horloges des appareils sont synchronisées.
6. Le journal commun est séparé des applications sensibles.
7. Chaque enregistrement a un responsable et un prochain point de contrôle.
8. Les corrections préservent la chronologie d'origine.
9. Les documents sont conservés dans un espace de stockage contrôlé.
10. La passation de consignes exige la confirmation du destinataire.
11. La clôture repose sur un résultat observé.
12. Après l'événement, le journal devient un plan d'actions, et non une archive sans suite.

Sources

• Règles du régime de sécurité incendie en Fédération de Russie
• Loi fédérale n° 152-FZ « Sur les données personnelles »
• HSE : gestion de la sécurité d'un événement
• HSE : incidents et situations d'urgence
• FEMA : formulaires officiels de l'Incident Command System
• JESIP : structure du message initial M/ETHANE
• NIST SP 800-61 Rev. 3 : guide de réponse aux incidents
• OMS : méthode After Action Review
• W3C : format univoque de date et d'heure