BP Texas City: la discipline des coûts de sécurité des processus, un test de responsabilité

Résumé

• Le 23 mars 2005, lors du redémarrage de l'unité d'isomérisation de la raffinerie BP de Texas City, la tour du séparateur de raffinat a été remplie pendant plus de trois heures sans que du liquide en soit retiré. Une instrumentation de niveau défectueuse ou trompeuse et des alarmes inappropriées n'ont pas révélé l'inventaire réel. Le liquide est entré dans la canalisation de tête, a ouvert les soupapes de sécurité, a submergé un pot de décharge atmosphérique et une cheminée, et a formé un nuage de vapeur inflammable qui s'est enflammé. Le Bureau d'enquête sur les risques chimiques et la sécurité des États-Unis (CSB) recense 15 morts, 180 blessés et des pertes financières dépassant 1,5 milliard de dollars sur sa page d'enquête à l'adressehttps://www.csb.gov/bp-america-texas-city-refinery-explosion/et dans son rapport final à l'adressehttps://www.csb.gov/file.aspx?DocumentId=5596.
• La question centrale de responsabilité n'est pas de savoir si des erreurs de première ligne se sont produites. Elles ont eu lieu. Il s'agit de savoir qui avait le contrôle pratique sur les conditions qui ont rendu ces erreurs catastrophiques: décider de démarrer avec des instruments défaillants, si les procédures correspondaient à l'exploitation réelle, si un opérateur de tableau supplémentaire et une supervision compétente étaient présents, si les démarrages anormaux répétés étaient enquêtés, si un système d'évacuation atmosphérique obsolète était remplacé par une torche, si des remorques occupées étaient autorisées à l'intérieur du périmètre de danger lié à l'explosion, et si les budgets d'entretien, de personnel et de formation reflétaient le risque connu.
• Le dossier causal le plus solide est l'enquête du CSB. Sa publication des conclusions en 2007 à l'adressehttps://www.csb.gov/u-s-chemical-safety-board-concludes-organizational-and-safety-deficiencies-at-all-levels-of-the-bp-corporation-caused-march-2005-texas-city-disaster-that-killed-15-injured-180/attribue la catastrophe à des déficiences organisationnelles et de sécurité à tous les niveaux de BP, pas à un seul acte. Le rapport du panel Baker, présidé de manière indépendante, disponible à l'adressehttps://www.csb.gov/assets/1/20/baker_panel_report1.pdf, a également constaté des lacunes matérielles en matière de sécurité des processus dans les cinq raffineries américaines de BP et a mis en garde contre le fait que l'amélioration des taux de blessures personnelles avait créé une fausse confiance quant au risque de processus catastrophique.
• L'application de la loi a produit des montants inhabituellement élevés, mais ils ne doivent pas être confondus. Le dossier public de l'OSHA comprend un paiement de règlement de 21 361 500 $ en 2005, un règlement ultérieur de 50,61 millions de dollars pour défaut de correction, et un accord de 2012 de 13 027 000 $ couvrant la plupart des 439 citations supplémentaires. Le DOJ a annoncé un plaidoyer de culpabilité pour crime en vertu de la Clean Air Act avec une amende pénale de 50 millions de dollars et trois ans de probation. D'autres réclamations civiles en vertu de la Clean Air Act dans la même raffinerie ont donné lieu à une pénalité distincte de 15 millions de dollars. Les pénalités proposées, les règlements définitifs, les dépenses de remédiation, les réclamations civiles privées et la perte économique totale sont des mesures différentes qui ne peuvent être additionnées en toute sécurité comme s'il s'agissait d'une seule facture.
• Les preuves de réparation sont substantielles mais pas absolues. L'OSHA enregistre le déclassement de l'unité ISOM, des centaines d'actions correctives, des audits indépendants, des examens de la couche de protection et de la décharge de pression, des changements de formation et un financement dédié. Les normes de l'industrie ont changé concernant l'implantation des bâtiments mobiles, les indicateurs de sécurité des processus, la fatigue et les rejets atmosphériques. Pourtant, le digest du CSB de mars 2025 à l'adressehttps://www.csb.gov/assets/1/6/CSB_BPTC_Investigation_Digest_v3_%28004%29.pdfindique que l'une des 26 recommandations restait ouverte: l'OSHA n'avait toujours pas explicitement exigé un examen de gestion du changement pour les changements organisationnels, d'effectifs et budgétaires pouvant affecter la sécurité des processus. Une responsabilité durable exige donc plus que des mesures correctives closes. Elle exige la preuve que les décisions de coût ne peuvent plus supprimer silencieusement les marges de sécurité.

Pourquoi Texas City est un cas de discipline des coûts

Qualifier Texas City de cas de discipline des coûts ne signifie pas qu'une seule instruction budgétaire a mécaniquement provoqué une explosion. Cela signifie que les décisions en matière d'argent, de personnel, de calendrier, d'entretien, de formation et de conception ont déterminé quelles barrières de sécurité existaient lorsque le démarrage a mal tourné.

Le CSB a documenté une chaîne dans laquelle un ancien système de décharge atmosphérique est resté ouvert, des défauts d'instrumentation ont persisté jusqu'au démarrage, les procédures ne reflétaient pas la façon dont l'unité était couramment exploitée, le personnel et la formation avaient été réduits, et des remorques temporaires étaient positionnées à proximité d'équipements de traitement dangereux. Chaque condition avait un propriétaire et une conséquence en termes de ressources.

Cette expression protège également contre une explication facile mais incomplète: l'erreur de l'opérateur. Les opérateurs ont fermé ou n'ont pas ouvert des vannes, ont continué à remplir et n'ont pas reconnu le véritable niveau de la tour. Ce sont des éléments confirmés de la séquence. Mais une analyse de responsabilité demande pourquoi le système dépendait tellement d'une action humaine parfaite lors d'un démarrage dangereux. La norme actuelle de gestion de la sécurité des processus (Process Safety Management, PSM) de l'OSHA à l'adressehttps://www.osha.gov/laws-regs/regulations/standardnumber/1910/1910.119exige que l'analyse des risques du processus examine les contrôles techniques et administratifs, les conséquences d'une défaillance des contrôles, l'implantation des installations et les facteurs humains. Elle exige également des travaux d'intégrité mécanique, des procédures d'exploitation, une formation, un examen avant démarrage, une enquête sur les incidents, une gestion du changement et des audits de conformité. Cette architecture existe parce qu'aucun opérateur ne devrait porter seul le fardeau de contenir un inventaire catastrophique.

La question de la discipline des coûts est donc opérationnelle: lorsqu'un site sait que les instruments ne sont pas fiables, que le comportement au démarrage s'écarte systématiquement de la procédure écrite, que les travaux d'entretien restent ouverts et qu'un rejet de décharge peut former un nuage de vapeur, qui peut autoriser le dollar suivant et qui peut arrêter le démarrage suivant? Les gestionnaires de site peuvent retarder le démarrage, réparer les instruments, ajouter de la supervision, déplacer les personnes et escalader les besoins en capital. Les responsables d'unité commerciale peuvent fixer les effectifs et les dépenses.

Les dirigeants d'entreprise peuvent rejeter les coupes sombres qui ne tiennent pas compte de l'état du site. Le conseil d'administration peut exiger des indicateurs de sécurité des processus plutôt que d'accepter un faible taux de blessures personnelles comme preuve que le risque d'accident majeur est maîtrisé. Les régulateurs peuvent inspecter et faire appliquer la loi. Les organismes de normalisation peuvent définir la base technique acceptée. Les travailleurs dans les remorques voisines ne contrôlaient presque aucune de ces décisions.

Cette répartition inégale du contrôle est le fait central de responsabilité. Les personnes les plus exposées à l'explosion avaient le moins de pouvoir pour inspecter la tour du séparateur, reconcevoir le système de décharge, fixer le calendrier des révisions ou contester le plan d'investissement de la raffinerie. Un dossier durable doit donc suivre le contrôle en amont de la source d'inflammation.

Une chronologie vérifiable de l'alerte à l'application

1999-2000: intégration de fusion et pression sur les coûts fixes.BP a acquis la raffinerie lors de sa fusion avec Amoco. Le rapport final du CSB mentionne un objectif d'entreprise visant à réduire les coûts de trésorerie de l'unité commerciale d'au moins 25 % par rapport aux niveaux de 1998 pour 2001. Son examen d'une rétrospective de la raffinerie de 2002 a également révélé que les dépenses d'entretien avaient déjà considérablement diminué au cours des années 1990 et que les réductions ne reflétaient pas adéquatement les besoins d'entretien spécifiques de la raffinerie. Il s'agit d'une histoire documentaire confirmée. Cela n'établit pas que chaque défaut ultérieur résultait d'une ligne budgétaire, mais cela établit que la pression sur les ressources a précédé la catastrophe et a touché l'entretien, la formation, le personnel, l'inspection et les travaux de révision.

2002-2004: les avertissements s'accumulent.Des examens internes ont décrit des problèmes d'intégrité mécanique, de formation, de fiabilité, de reporting et de culture. Les démarrages précédents de l'ISOM montraient à plusieurs reprises des niveaux et des pressions anormaux, mais les écarts n'ont pas été convertis en une boucle d'apprentissage efficace. Un examen des risques de 2003 a recommandé un deuxième opérateur de tableau lors des démarrages, selon le CSB, mais la recommandation n'a pas été mise en œuvre avant mars 2005. Deux incidents mortels se sont produits dans la raffinerie en 2004, et d'autres événements graves ont ajouté des signaux d'alerte. L'importance en termes de responsabilité n'est pas seulement le recul: la direction avait des preuves de la détérioration des conditions avant le démarrage fatal.

Fin 2004 à début 2005: un autre défi budgétaire a rencontré une usine fragile.Le CSB a rapporté que la direction du raffinage du groupe a émis un nouveau défi de réduction de capital de 25 % pour 2005. La direction de Texas City a fait valoir que la coupe était trop profonde et a récupéré une partie, mais pas la totalité, de la réduction proposée. Une présentation de février 2005 aux hauts dirigeants du raffinage incluait des préoccupations concernant l'état de l'usine, la pression sur la production, une formation inadéquate, une mauvaise clôture des actions correctives en matière de sécurité des processus et une faible disponibilité mécanique. Le même dossier public décrit un plan d'affaires de la raffinerie avertissant que le site pourrait tuer quelqu'un dans les 12 à 18 mois. Ces faits font de l'escalade des risques une question de gouvernance: le risque n'était pas totalement invisible.

10 mars 2005: un problème d'instrument connu est resté.La recommandation urgente du CSB reproduite par le panel Baker indique qu'un ordre de travail reconnaissait qu'un transmetteur de niveau du séparateur nécessitait une réparation et que cette réparation avait été reportée après le démarrage. Les preuves publiques ne révèlent pas toutes les conversations ni la justification technique entourant ce report. Elles montrent que l'autorisation de démarrage et l'achèvement de l'entretien étaient des décisions liées sous le contrôle de la direction.

23 mars 2005: l'unité redémarre et la tour est trop remplie.Lors du démarrage du matin, des hydrocarbures sont entrés dans le séparateur de raffinat de 170 pieds pendant plus de trois heures sans que du liquide ne sorte par le fond. L'instrumentation a donné aux opérateurs une image fausse. Trois soupapes de sécurité se sont ouvertes pendant environ six minutes, envoyant du liquide dans un système de décharge atmosphérique sous-dimensionné ou inadapté. Le pot s'est rempli et a expulsé une libération en geyser de sa cheminée. Un grand nuage de vapeur s'est formé et, selon le CSB, a très probablement été enflammé par un pick-up diesel à l'arrêt à proximité. Vers 13 h 20, des explosions et des incendies ont frappé l'unité et les remorques environnantes. Les 15 personnes tuées étaient des entrepreneurs travaillant dans ou autour de remorques temporaires positionnées aussi près que 121 pieds du pot de décharge.

Août et septembre 2005: examen urgent et premier règlement.Le 17 août, le CSB a recommandé de toute urgence que le conseil d'administration mondial de BP commande un examen indépendant de la surveillance et de la culture de sécurité de l'entreprise. En septembre, l'OSHA et BP ont conclu un règlement suite à plus de 300 lacunes citées. Le hub des dossiers BP de l'OSHA à l'adressehttps://obis.osha.gov/dep/bp/bp.htmlconserve la séquence des inspections, des citations, des accords et de la vérification ultérieure.

Janvier et mars 2007: deux enquêtes majeures rendues publiques.Le panel Baker a publié son examen en janvier. Il a été commandé et financé par BP en réponse à la recommandation du CSB, mais son président externe et le panel ont pris la responsabilité des conclusions. Il a examiné la culture de sécurité des processus et la surveillance des raffineries américaines, non la cause racine détaillée de l'explosion de mars 2005. Le 20 mars, le CSB a approuvé son rapport d'enquête final après avoir examiné plus de 30 000 documents, mené 370 entretiens, testé des équipements et analysé les données du système de contrôle et les démarrages précédents.

Octobre 2007 à 2009: responsabilité pénale et procès des droits des victimes.Le DOJ a annoncé que BP Products North America plaiderait coupable d'une infraction criminelle en vertu de la Clean Air Act et paierait une amende pénale de 50 millions de dollars, avec trois ans de probation, danshttps://www.justice.gov/archive/opa/pr/2007/October/07_ag_850.html. La Cinquième Circuit a ensuite examiné si les victimes avaient été consultées avant l'accord de plaider-coupable. Son avis àhttps://www.ca5.uscourts.gov/opinions/pub/08/08-20125-CV0.wpd.pdfa constaté une violation légale de la loi sur les droits des victimes d'actes criminels parce que les victimes auraient dû avoir une opportunité significative de s'exprimer avant la conclusion de l'accord, bien que la cour ait refusé le bref de mandamus demandé. La responsabilité s'est donc étendue au-delà de l'équipement et de l'argent à la procédure par laquelle les personnes lésées ont été entendues.

2009-2012: le suivi de l'application a testé si la réparation était réelle.L'inspection de surveillance de l'OSHA en 2009 a produit 270 avis de défaut de correction et 439 violations supplémentaires prétendues délibérées. Le total proposé initial était de 87,43 millions de dollars, comme indiqué dans le communiqué du ministère du Travail àhttps://www.dol.gov/intelligence team/releases/osha/osha20091030. Une duplication de bureau a ensuite réduit la composante de défaut de correction, et BP a réglé cette partie pour 50,61 millions de dollars en 2010. En 2012, un autre accord a résolu 409 des 439 citations supplémentaires pour 13,027 millions de dollars, tandis que les problèmes groupés de soupape de sécurité restaient contestés. Cette séquence est importante car elle montre pourquoi une annonce de réforme est une preuve plus faible qu'une inspection de suivi par un régulateur.

1er février 2013: le contrôle opérationnel a changé de mains.Le rapport annuel 2013 de Marathon Petroleum àhttps://www.marathonpetroleum.com/content/documents/Investors/Annual_Report/MPC_Annual_Report_2013_with10-K.pdfenregistre son acquisition de la raffinerie et des actifs connexes de BP. La responsabilité historique pour les décisions de l'époque de BP ne s'est pas transférée, mais le contrôle opérationnel actuel l'a fait. Toute affirmation au présent sur les conditions du site doit donc distinguer la responsabilité historique de BP des obligations du propriétaire ultérieur.

Mars 2025 à juillet 2026: la plupart des recommandations ont été closes, une lacune structurelle demeure.L'examen du vingtième anniversaire du CSB a rapporté que 25 des 26 recommandations avaient été closes avec succès. La recommandation ouverte restante demandait que la règle PSM de l'OSHA exige un examen de gestion du changement pour les fusions, réorganisations, changements de personnel et réductions budgétaires pouvant affecter la sécurité des processus. La page d'enquête du CSB affichait encore 25 recommandations closes et une ouverte lors de la vérification du 15 juillet 2026. L'élément non résolu va directement au titre de cette affaire: les décisions de coût et d'organisation doivent-elles passer un examen de sécurité formel avant de réduire la capacité de contrôle?

La séquence physique était technique, mais pas mystérieuse

La séquence immédiate peut être décrite sans spéculation. Le séparateur de raffinat était redémarré après un entretien. L'alimentation est entrée dans la tour alors que la route qui aurait dû déplacer le liquide restait fermée. Le transmetteur de niveau de la tour ne mesurait qu'une plage étroite près du fond d'un récipient de 170 pieds de haut. Il était mal calibré, et une alarme de haut niveau séparée n'a pas fourni l'avertissement nécessaire. Les opérateurs ont vu des indications qui ne révélaient pas l'inventaire croissant.

Au moment où le véritable niveau s'approchait de la partie supérieure de la tour, du liquide est entré dans la tuyauterie de tête et a augmenté la pression aux soupapes de sécurité.

Les soupapes de sécurité ont fait ce pour quoi elles sont conçues: elles se sont ouvertes pour protéger l'équipement contre la pression. Mais la destination de la décharge était dangereuse pour l'événement qui s'est produit. Les soupapes ont envoyé du matériel inflammable dans un pot de décharge et une cheminée atmosphérique datant des années 1950. Le pot n'a pas pu contenir la charge liquide. La cheminée a ensuite libéré des milliers de gallons d'hydrocarbures volatils à l'air libre, où un nuage de vapeur s'est formé près des véhicules, des équipements de traitement et des remorques occupées.

La chaîne a transformé un trop-plein en une explosion de masse.

La distinction entre une soupape de sécurité et un système d'évacuation sûr est essentielle. Ouvrir une soupape peut empêcher un récipient de se rompre tout en créant un danger différent si le matériel déchargé n'est pas contenu, récupéré ou brûlé en toute sécurité. Le CSB a conclu que le système atmosphérique était archaïque et dangereux et que des opportunités de connecter la décharge du séparateur à une torche avaient été manquées.

Le digest ultérieur de 2025 enregistre que l'API a révisé ses directives sur la décharge de pression pour traiter le trop-plein de récipient et favoriser des alternatives intrinsèquement plus sûres lorsque la décharge atmosphérique présente un risque d'explosion de nuage de vapeur.

L'implantation des remorques a converti l'explosion en une catastrophe humaine. Les remorques étaient pratiques pour les travaux de révision, mais la commodité a placé du personnel non essentiel à proximité d'une unité dangereuse. Le CSB a constaté que 13 remorques ont été détruites et 27 autres endommagées; des personnes dans les remorques ont été blessées à des centaines de pieds du pot de décharge. Ce n'était pas une propriété chimique cachée. C'était une décision d'implantation. La page actuelle de l'API RP 753 àhttps://www.api.org/products-and-services/standards/important-standards-announcements/rp753reflète la norme post-incident spécifiquement consacrée aux bâtiments mobiles près des usines de traitement.

La séquence avait donc de multiples opportunités de prévention ou d'atténuation: arrêter le remplissage, établir un niveau précis, alerter indépendamment, arrêter automatiquement, maintenir la voie de drainage ouverte, retarder le démarrage, ajouter une supervision, envoyer la décharge vers une torche, éliminer les sources d'inflammation et maintenir les personnes hors de la zone de souffle. La catastrophe a nécessité que plusieurs couches soient absentes, dégradées, contournées ou inefficaces en même temps.

Le contrôle pratique se situait à plusieurs niveaux

Les opérateurs de première ligne contrôlaient les actions immédiates, mais pas l'architecture de sécurité.Les opérateurs manipulaient les vannes, surveillaient les écrans, communiquaient entre les quarts et répondaient aux alarmes. Ils auraient pu interrompre le démarrage s'ils avaient reconnu le trop-plein. Pourtant, leurs décisions ont été façonnées par des lectures d'instruments fausses, des procédures incomplètes ou inexactes, une communication incohérente entre les quarts, la fatigue, des déviations normalisées et une conception de salle de contrôle qui n'affichait pas un bilan matière efficace. Traiter leur comportement comme l'explication complète reviendrait à assigner la responsabilité aux personnes opérant dans des conditions qu'elles n'ont pas conçues ni financées.

La supervision de quart et d'unité contrôlait la préparation au démarrage.Les superviseurs et le personnel techniquement compétent pouvaient exiger un examen avant démarrage, vérifier que les instruments et les alarmes fonctionnaient, confirmer la capacité du réservoir et les voies d'écoulement, s'assurer que les procédures reflétaient les conditions réelles, doter un deuxième opérateur et arrêter le démarrage lorsque la préparation était incertaine. Les recommandations du CSB concernaient spécifiquement une supervision compétente pendant les phases dangereuses et un personnel de tableau supplémentaire lors des démarrages. Cela montre que la supervision n'était pas cérémonielle; c'était une couche de protection manquante.

La direction de la raffinerie contrôlait l'entretien, les procédures, le personnel, l'implantation et l'escalade locale.Les dirigeants du site pouvaient prioriser les ordres de travail, interdire le démarrage avec des équipements critiques défaillants, enquêter sur les démarrages anormaux précédents, mettre à jour les procédures, déplacer les remorques, installer une protection de niveau indépendante et faire remonter les risques non résolus à la direction de l'entreprise. Il contrôlait également comment les objectifs de production et les calendriers de révision étaient traduits en choix quotidiens. Le site ne contrôlait pas tous les objectifs budgétaires de l'entreprise, mais il contrôlait si les dangers non résolus étaient rendus explicites et si les opérations continuaient.

La direction du raffinage nord-américain et du groupe contrôlait les enveloppes de ressources.Les dirigeants d'entreprise et d'unité commerciale fixaient les défis budgétaires, les priorités en capital, les modèles de personnel, les contrats de performance et l'autorité des fonctions de sécurité. Le CSB a retracé les avertissements et les études vers le haut et a conclu que les réductions budgétaires et la pression sur la production avaient altéré la formation, le personnel, l'entretien et l'intégrité mécanique. Le panel Baker a également constaté que BP n'avait pas toujours fourni les ressources et le leadership en matière de sécurité des processus nécessaires dans ses raffineries américaines. C'est pourquoi la responsabilité pratique ne s'arrête pas à la porte de la raffinerie.

Le conseil d'administration contrôlait la conception de la surveillance.Un conseil d'administration n'étalonne pas un transmetteur de niveau. Il détermine si la direction doit présenter des indicateurs de sécurité des processus avancés et retardés, si les dangers majeurs reçoivent le même examen discipliné que les contrôles financiers, si les conclusions d'audits indépendants restent ouvertes, si les dirigeants sont responsables de la clôture, et si les décisions de ressources qui affaiblissent les garanties sont visibles. Avant Texas City, les mesures de blessures personnelles recevaient plus d'attention que la performance en matière de sécurité des processus. Un faible taux de glissades, trébuchements et blessures ordinaires ne pouvait pas montrer si une tour pourrait trop se remplir ou si un système de décharge pourrait créer un nuage de vapeur.

Les régulateurs contrôlaient les normes et l'application, mais pas l'exploitation quotidienne.L'OSHA pouvait inspecter, citer, régler, surveiller et exiger des correctifs. L'EPA et le DOJ pouvaient faire respecter les obligations en matière de rejets accidentels de la Clean Air Act. Les régulateurs ne pouvaient pas exploiter l'unité le 23 mars, mais le CSB a constaté que la capacité d'inspection complète en matière de sécurité des processus était limitée avant la catastrophe. Le programme national d'accent sur les raffineries ultérieur et le suivi approfondi de Texas City ont renforcé le défi externe. Le texte actuel de l'EPA du 40 CFR Part 68 est disponible viahttps://www.epa.gov/rmp/general-rmp-guidance-appendix-40-cfr-68; il fournit le cadre du programme de gestion des risques qui complète les exigences PS M axées sur les travailleurs.

Les organismes professionnels contrôlaient la base technique partagée.L'API pouvait réviser les directives sur les bâtiments mobiles, l'évacuation des décharges de pression, la fatigue et les métriques de sécurité des processus. Les normes consensuelles ne remplacent pas les obligations légales d'une entreprise ni l'analyse des risques spécifique au site, mais elles influencent ce qui est considéré comme une bonne pratique d'ingénierie reconnue et généralement acceptée. Les révisions post-Texas City sont donc importantes en tant que réparation au niveau du système.

Les entrepreneurs, travailleurs, familles et voisins portaient l'exposition sans contrôle équivalent.Les entrepreneurs effectuaient des travaux de révision et occupaient des remorques sélectionnées ou approuvées par d'autres. Les familles n'avaient aucun rôle dans l'autorisation de démarrage. Les résidents voisins dépendaient des systèmes de confinement et d'urgence de la raffinerie. L'asymétrie est la base morale et opérationnelle pour assigner les devoirs les plus forts à ceux qui ont le plus grand pouvoir de prévention.

La pression sur les coûts a eu un impact à travers les contrôles qu'elle a affaiblis

Le CSB n'a pas simplement noté que les budgets étaient serrés. Il a lié les choix de dépenses et d'organisation à la capacité de sécurité des processus. Son rapport a décrit des réductions dans l'entretien, la formation, l'ingénierie, l'inspection, la supervision et les dépenses de révision. Il a constaté que la raffinerie avait accepté des réductions sans une analyse suffisamment structurée des besoins d'entretien spécifiques au site et que la pression sur les dépenses avait affecté les décisions de ne pas remplacer le système de décharge ISOM.

Il a également constaté que les hauts dirigeants avaient reçu des avertissements sur l'état de l'usine et les faiblesses de la sécurité des processus.

L'inférence correcte n'est pas que le contrôle des coûts est intrinsèquement dangereux. Les raffineries doivent gérer les coûts, les calendriers, la fiabilité et la production. L'inférence étayée est que les coupes sombres deviennent dangereuses lorsqu'elles ne sont pas testées par rapport à l'état et au profil de danger de chaque installation. Un objectif de 25 % appliqué à un actif relativement sain et le même objectif appliqué à une raffinerie vieillissante et peu fiable ne suppriment pas la même marge de sécurité.

La discipline des coûts devient une discipline de sécurité des processus uniquement lorsque l'organisation peut démontrer quelles inspections, réparations, niveaux de personnel, exercices de formation et barrières de sécurité resteront adéquats après le changement.

C'est pourquoi la recommandation toujours ouverte du CSB sur la gestion organisationnelle du changement est si importante. La règle de l'OSHA couvre expressément les modifications apportées aux produits chimiques, à la technologie, à l'équipement, aux procédures et aux installations affectant un processus couvert. Elle ne répertorie pas expressément une fusion, une réduction d'effectifs, une réorganisation ou une réduction budgétaire. Pourtant, ces changements peuvent modifier la capacité humaine et financière qui rend fiable chaque barrière de sécurité physique.

La recommandation ouverte obligerait les organisations à se demander si une décision non technique modifie le risque technique.

Les métriques étaient une autre forme de contrôle des coûts. Le panel Baker a constaté que BP mettait l'accent sur la sécurité personnelle et interprétait l'amélioration des taux de blessures comme une preuve d'une sécurité des processus acceptable. La sécurité personnelle est importante, mais elle mesure une classe de défaillance différente. Une raffinerie peut réduire les blessures courantes tout en accumulant de la corrosion, des tests en retard, des défauts d'alarme, des actions d'études de risques ouvertes, des faiblesses du système de décharge et des démarrages anormaux. La page de l'API RP 754 àhttps://www.api.org/products-and-services/standards/important-standards-announcements/754décrit le cadre ultérieur à quatre niveaux pour les indicateurs de sécurité des processus avancés et retardés. La leçon n'est pas d'abandonner les métriques de blessures; c'est d'empêcher une métrique facile de masquer un risque catastrophique.

La fatigue illustre le même point au niveau de la main-d'œuvre. Le CSB a constaté que des opérateurs clés avaient travaillé en quarts de 12 heures pendant 29 jours consécutifs ou plus, et son digest de 2025 indique que certains personnels clés avaient travaillé jusqu'à 39 jours consécutifs. La fatigue a été évaluée comme un contributeur probable, pas la cause unique. L'API RP 755, décrite àhttps://www.api.org/products-and-services/standards/important-standards-announcements/recommended-practice-755, est issue de la recommandation post-incident et fournit un cadre pour la gestion des risques de fatigue. La planification est un choix de coût et de capacité; la traiter comme simplement un problème de sommeil individuel élude le contrôle de l'employeur sur les heures de travail.

L'erreur de l'opérateur est une conclusion, pas un point d'arrêt

Le dossier public confirme des écarts par rapport à la procédure de démarrage écrite. Le débit de fond est resté fermé. L'alimentation a continué. Les opérateurs n'ont pas détecté le véritable niveau. Ces faits sont importants pour la compétence, la formation et la procédure. Mais s'arrêter là contredirait la structure de l'enquête.

Premièrement, les pratiques de démarrage anormales étaient devenues normales. Les démarrages précédents montraient des niveaux élevés, des variations de pression et des écarts par rapport à la procédure. Lorsqu'une solution de contournement réussit à plusieurs reprises sans catastrophe immédiate, une organisation peut confondre survie et validation. Un système de sécurité des processus mature enquête sur la déviation, corrige la procédure ou l'opération, et vérifie la barrière. Texas City n'a pas converti ces avertissements préalables en amélioration du contrôle.

Deuxièmement, les opérateurs ont reçu des informations faibles. Le transmetteur de niveau ne montrait qu'une petite partie de la hauteur de la tour et était mal calibré. Une alarme redondante a mal fonctionné. L'affichage ne fournissait pas un bilan matière efficace montrant que la matière entrait sans sortir. La communication entre les quarts n'a pas conservé de manière fiable les instructions critiques. La performance humaine ne peut pas être séparée de la conception de l'interface, de l'instrumentation, du personnel et de la communication.

Troisièmement, la procédure était utilisée comme la barrière de sécurité la plus faible contre le trop-plein. Une procédure peut guider l'action, mais elle ne peut pas physiquement arrêter l'alimentation lorsque le véritable niveau devient dangereux. Un déclencheur de haut-haut indépendant, une indication diversifiée, une isolation automatique de l'alimentation ou une couche technique équivalente ne dépendrait pas d'un opérateur fatigué qui concilie correctement des signaux trompeurs.

Les recommandations du CSB préconisaient une instrumentation efficace, des indicateurs de niveau multiples, des commandes automatiques appropriées et un affichage clair du bilan matière de la tour.

Enfin, même un échec complet à prévenir le trop-plein n'aurait pas dû tuer des personnes. Un système de torche fermé aurait pu gérer en toute sécurité ou réduire considérablement le danger de rejet. Un emplacement approprié aurait pu maintenir les remorques et le personnel non essentiel hors de la zone de souffle. Le contrôle de l'inflammation aurait pu réduire la probabilité. La responsabilité est superposée précisément pour qu'une erreur ne se traduise pas par 15 morts.

Cela n'absout pas chaque décision de première ligne. Cela place ces décisions dans la même carte causale que les choix qui définissaient la charge de travail, l'information, l'équipement et les conséquences. La responsabilité devrait être proportionnelle au contrôle pratique et aux preuves, pas à la proximité de la dernière vanne actionnée.

Le préjudice et le coût ne peuvent pas être compressés en une amende

Le préjudice principal était humain. Quinze travailleurs ne sont pas rentrés chez eux. Cent quatre-vingts personnes ont été blessées selon le décompte final du CSB. Les familles ont perdu des proches, des revenus, des soins et du temps futur. Les survivants ont subi des conséquences physiques et psychologiques. Les entrepreneurs et les employés ont appris que les bâtiments mis à leur disposition pour leur travail pouvaient accroître leur vulnérabilité. La communauté plus large de Texas City a été alarmée par un événement industriel qui a envoyé fumée, feu, activité d'urgence et incertitude au-delà de l'unité.

Le CSB a estimé les pertes financières à plus de 1,5 milliard de dollars. Ce chiffre capture une échelle économique, pas la valeur de la vie. Il ne doit pas non plus être combiné de manière nonchalante avec les montants ultérieurs de l'application ou des actions correctives, car les catégories peuvent se chevaucher. La perte de production, les dégâts matériels, les réclamations, les frais juridiques, la remédiation, les amendes et les investissements ultérieurs répondent à des questions différentes.

L'accord de 2005 avec l'OSHA comprenait un paiement de 21 361 500 $, enregistré dans les pièces finales de l'OSHA àhttps://www.osha.gov/enforcement/bp/final-exhibits-to-bp-agreement. Le règlement de 2010 pour défaut de correction exigeait 50,61 millions de dollars et au moins 500 millions de dollars alloués à un programme de sécurité des raffineries; l'annonce du ministère du Travail est àhttps://www.dol.gov/intelligence team/releases/osha/osha20100805-0, et la fiche d'information de l'OSHA est àhttps://obis.osha.gov/dep/bp/bpsettlementfactsheet.html. Le règlement de 2012 a ajouté 13 027 000 $ pour la plupart des citations supplémentaires, documenté àhttps://www.dol.gov/intelligence team/releases/osha/osha20120712. Ce sont des montants d'application définitifs ou réglés, contrairement au précédent titre de 87,43 millions de dollars proposé.

La résolution pénale du DOJ a ajouté une amende de 50 millions de dollars et une probation. Un règlement civil distinct de 2010 en vertu de la Clean Air Act concernant d'autres incendies, une fuite et des violations de déclaration dans la raffinerie a imposé 15 millions de dollars; le DOJ et l'EPA l'ont décrit àhttps://www.justice.gov/archives/opa/pr/bp-products-pay-largest-single-facility-clean-air-act-penalty-releases-hazardous-pollutants. Cette annonce indiquait également que BP avait effectué environ 1,4 milliard de dollars d'actions correctives et dépenserait environ 500 millions de dollars supplémentaires dans le cadre des exigences de l'OSHA et de la résolution pénale. Ces déclarations gouvernementales documentent l'échelle, mais elles ne prouvent pas que chaque dollar a produit une barrière de sécurité efficace.

La réparation civile privée n'est pas entièrement vérifiable à partir des sources utilisées ici. Les règlements peuvent être confidentiels, différemment classifiés ou liés à des réclamations individuelles. L'article ne donne donc pas un total global d'indemnisation des victimes. Cette inconnue doit rester visible plutôt que d'être comblée par un nombre non étayé.

L'application a montré à la fois la responsabilité et le retard

Le dossier juridique est important car il a testé plusieurs devoirs distincts. L'OSHA a traité des exigences de sécurité des processus sur le lieu de travail. Le DOJ et l'EPA ont traité des obligations de prévention des rejets et environnementales de la Clean Air Act. Les tribunaux ont traité du plaidoyer pénal et des droits légaux des victimes. Aucun de ces dossiers ne remplace l'enquête technique, et le rapport technique ne détermine pas toutes les questions juridiques.

L'affaire pénale a établi une responsabilité légale de l'entreprise au-delà d'une citation administrative. Le DOJ a déclaré que BP avait admis que, de 1999 jusqu'au matin de l'explosion, plusieurs procédures nécessaires pour assurer l'intégrité mécanique et un démarrage en toute sécurité n'avaient pas été établies ou étaient ignorées. Le plaidoyer, l'amende pénale et la probation n'ont pas identifié un seul coupable humain pour chaque échec. Ils ont attaché une conséquence criminelle à la conduite de l'entité corporative en vertu de la Clean Air Act.

La contestation des victimes a exposé un deuxième problème de responsabilité: qui participe à la résolution. DansIn re Dean, la Cinquième Circuit a estimé que le gouvernement et le tribunal de district n'avaient pas accordé aux victimes la pleine jouissance des droits prévus par la loi sur les droits des victimes d'actes criminels lorsque les négociations de plaidoyer se sont déroulées sans consultation en temps voulu. La cour a refusé une réparation extraordinaire car les victimes ont eu par la suite des opportunités significatives de s'exprimer et le tribunal de district devait encore examiner l'accord. Les deux parties sont importantes. Une violation des droits a été constatée; le plaidoyer n'a pas été automatiquement annulé. Un compte rendu équitable ne devrait pas rapporter seulement la moitié.

Le suivi de l'OSHA a révélé pourquoi les preuves de clôture sont essentielles. L'accord de 2005 exigeait une évaluation et une correction étendues. Quatre ans plus tard, l'agence a allégué 270 défauts de correction et 439 nouvelles violations délibérées. BP a contesté certaines parties de ce dossier, et les règlements ultérieurs ont reclassifié, regroupé, retiré ou laissé certaines citations contestées. La fiche d'information de l'OSHA de 2012 àhttps://obis.osha.gov/dep/bp/FactSheet-BP-2012-Agreement.htmlconcilie la séquence et indique que les inspections de vérification ont trouvé les éléments de défaut de correction corrigés dans le cadre de l'accord de 2010. Elle précise également que certaines citations concernant les soupapes de sécurité restaient dans le cadre d'un litige séparé.

Ce n'est pas la preuve que rien n'a changé après 2005. C'est la preuve que la réforme initiale était incomplète et que la vérification externe a forcé plus de travail. Le retard dans l'application a également transféré le risque aux travailleurs qui sont restés dans la raffinerie pendant la période de correction. Un système durable ne devrait pas exiger un événement catastrophique, un règlement record, une constatation de suivi de centaines de lacunes et un autre règlement record avant que les bases de l'ingénierie ne deviennent manifestement actuelles.

Le dossier réglementaire plus large a également produit des apprentissages. L'OSHA a créé un programme national d'accent sur les raffineries. L'API et les syndicats ont élaboré des normes. Pourtant, la recommandation du CSB sur le changement organisationnel reste ouverte. La responsabilité réglementaire est donc mitigée: inspection et application solides après la catastrophe, développement significatif de normes, et une lacune réglementaire non résolue au point où les choix d'entreprise en matière de coûts et de personnel entrent dans le système de danger.

Ce que le dossier de réparation prouve réellement

Le dossier de réparation présente plusieurs niveaux de force probante. Les preuves les plus solides spécifiques au site proviennent des accords réglementaires, des travaux d'experts indépendants, des inspections et de la clôture des recommandations du CSB. Les rapports annuels de l'entreprise ajoutent des détails utiles mais restent autodéclarés.

Les pièces finales de l'OSHA de 2010 indiquent que BP a achevé environ 660 actions correctives imposées par l'accord de 2005. Les travaux listés comprenaient l'arrêt et le déclassement de l'unité ISOM; la correction de plus de 300 lacunes en matière de sécurité des processus, d'électricité et autres; l'expansion de la formation en santé et sécurité; la réalisation d'un audit complet du PSM; la réponse à 220 des 228 recommandations d'experts qu'il avait acceptées; et la mise en œuvre de 100 recommandations d'un examen des décharges de pression d'unités sélectionnées.

La même pièce a conservé les allégations de l'OSHA selon lesquelles quatre recommandations sur les systèmes instrumentés de sécurité n'avaient pas été mises en œuvre et que l'examen des décharges aurait dû être étendu. Les preuves doivent inclure à la fois l'achèvement et le litige.

Le règlement de 2010 exigeait plus: évaluation des dispositifs et systèmes de décharge de pression, correction des écarts par rapport aux bonnes pratiques d'ingénierie, analyses robustes de la couche de protection, contrôles intérimaires, calendriers sur l'ensemble des 28 unités de procédé, experts indépendants, mises à jour trimestrielles et liaison au niveau du conseil pour les préoccupations de l'OSHA. L'allocation de 500 millions de dollars était importante car la correction sans ressources n'est pas un plan.

La vérification de 2012 que les éléments de défaut de correction avaient été corrigés est plus forte qu'une promesse, même si elle n'établit pas que chaque décision opérationnelle future est restée sûre.

Le rapport annuel 2007 de BP déposé auprès de la SEC àhttps://www.sec.gov/Archives/edgar/data/313807/000115697308000263/u54999_20f.htmindiquait qu'il avait retiré les bâtiments temporaires des zones à haut risque, mis hors service 17 cheminées de décharge de raffinerie pertinentes, réalisé 50 évaluations des risques d'accident majeur, renforcé l'audit et embauché environ 640 personnes dans les raffineries américaines en ingénierie, inspection et soutien à la sécurité des processus. Ces déclarations sont la preuve de ce que BP a publiquement affirmé et s'est engagé à faire à l'époque. Elles doivent être lues parallèlement, et non à la place, des conclusions de suivi de l'OSHA.

La clôture des recommandations du CSB fournit une autre couche. Les recommandations à BP concernaient l'expertise du conseil, le signalement des incidents, les indicateurs de sécurité des processus, l'instrumentation, l'historique d'entretien, le signalement des quasi-accidents avec le syndicat, la formation aux situations anormales, le personnel de démarrage, la supervision compétente et les procédures de démarrage actuelles. La page d'enquête répertorie ces éléments dirigés vers BP comme clos par action acceptable ou action alternative acceptable.

La clôture signifie que le CSB a jugé que la réponse répondait ou traitait de manière acceptable l'objectif de la recommandation. Ce n'est pas une garantie contre la récurrence et n'équivaut pas à une conformité continue dans chaque installation.

La réparation de l'industrie a élargi l'impact. L'API RP 753 a traité de l'implantation des bâtiments mobiles. La RP 754 a créé des indicateurs de performance en matière de sécurité des processus. La RP 755 a traité de la fatigue. L'API a également révisé la RP 521 sur les systèmes de décharge de pression et de dépressurisation. Ces changements transforment la catastrophe d'une seule entreprise en une base technique partagée.

Leur valeur réelle dépend de l'adoption, de l'audit, de la mise en œuvre sur le terrain et de la question de savoir si les régulateurs et les opérateurs utilisent les normes pour contester des arrangements pratiques mais faibles.

La réparation nécessite également une limite temporelle. BP a vendu la raffinerie de Texas City à Marathon en 2013. BP est resté responsable de sa conduite historique et de ses obligations légales, tandis que Marathon a assumé le contrôle opérationnel actuel sur l'actif acquis. Une affirmation selon laquelle « BP a réparé Texas City pour toujours » ignorerait le changement de propriétaire et la nécessité d'un entretien continu. Une affirmation selon laquelle les conditions ultérieures du site prouvent automatiquement la réparation de BP serait tout aussi non étayée.

La conclusion défendable est plus étroite: les dossiers publics montrent des réparations techniques, organisationnelles, d'application et basées sur les normes substantielles, suivies d'un transfert de contrôle opérationnel.

Faits confirmés, inférences étayées et inconnues

Faits confirmés.Le démarrage de l'ISOM a trop rempli le séparateur de raffinat. Les fonctions d'indication et d'alarme critiques n'ont pas montré aux opérateurs la véritable condition. Les soupapes de sécurité ont déchargé dans un système de décharge atmosphérique, un nuage de vapeur s'est formé et l'inflammation a produit des explosions et un incendie. Quinze travailleurs ont été tués et 180 blessés. Les remorques occupées étaient à l'intérieur de la zone dangereuse. Les démarrages précédents avaient montré un comportement anormal. Des problèmes de personnel, de fatigue, de procédure, d'entretien, d'implantation et de surveillance d'entreprise ont été documentés. Le CSB a attribué la catastrophe à des déficiences organisationnelles et de sécurité à plusieurs niveaux. L'OSHA a émis des citations étendues et a ensuite constaté des défauts de correction. BP a conclu des résolutions pénales, administratives et civiles. La plupart des recommandations du CSB ont ensuite été closes, tandis que la recommandation sur la gestion organisationnelle du changement restait ouverte à la date d'accès.

Inférences étayées.La pression sur les coûts et la production a réduit la marge de sécurité car les décisions documentées en matière de dépenses et de personnel ont affecté la formation, l'entretien, les travaux de révision, la supervision et le remplacement d'équipements dangereux. L'événement aurait probablement été évité ou considérablement atténué si une protection indépendante contre le trop-plein, une indication fiable, un système de torche fermé, une préparation disciplinée au démarrage ou un emplacement sûr des remorques avaient été en place. La dépendance aux taux de blessures personnelles a réduit la visibilité des dirigeants sur le risque d'accident majeur. Ces inférences découlent des conclusions officielles et de la logique de contrôle; elles ne nécessitent pas d'attribuer un motif privé à chaque gestionnaire.

Inconnues.Le dossier public utilisé ici ne révèle pas chaque discussion interne, motif subjectif, décision d'ordre de travail, modèle de hiérarchisation des investissements, condition de règlement juridique, recouvrement d'assurance, résultat médical individuel ou condition opérationnelle post-vente. Il ne permet pas une répartition complète de la perte de plus de 1,5 milliard de dollars entre les biens, l'interruption, les réclamations, la remédiation et autres catégories. Il ne prouve pas que chaque raffinerie BP ou chaque propriétaire ultérieur a mis en œuvre chaque leçon avec une qualité égale. Il ne peut pas non plus isoler la contribution de chaque couche défaillante à la gravité de l'explosion en un pourcentage causal numérique.

La distinction protège à la fois la rigueur et l'équité. Les faits confirmés peuvent soutenir des conclusions institutionnelles solides. L'inférence étayée peut expliquer pourquoi la conception du contrôle est importante. Les inconnues empêchent l'analyse de devenir une histoire sur l'intention cachée. La responsabilité ne nécessite pas l'omniscience; elle nécessite une correspondance fondée sur des preuves entre la responsabilité et le contrôle.

Comparaison contrefactuelle: les contrôles qui modifient la conséquence

Un contrefactuel utile demande quel contrôle disponible aurait brisé la chaîne, pas si une organisation parfaite aurait pu éviter toute erreur.

Suspension du démarrage.Si la direction avait exigé la réparation et le test de la fiabilité du transmetteur de niveau et des alarmes avant le redémarrage, les opérateurs auraient eu une image plus fiable et le démarrage n'aurait peut-être pas eu lieu du tout. L'incertitude est de savoir si ces réparations seules auraient empêché chaque action ultérieure. Le contrefactuel le plus fort combine une indication précise avec un contrôle formel de préparation.

Protection indépendante contre le trop-plein.Si un dispositif de haut-haut séparé ou une protection du bilan matière avait automatiquement arrêté l'alimentation, la tour n'aurait pas pu continuer à se remplir simplement parce que l'indication primaire était fausse. C'est plus fort que de demander au même opérateur d'interpréter une autre alarme générée par la même chaîne de défaillance. Cela répond directement au risque de cause commune et de réponse humaine.

Évacuation fermée de la décharge.Si les soupapes de sécurité avaient déchargé dans une torche correctement conçue ou un autre système fermé, la protection contre les surpressions n'aurait pas éjecté un grand inventaire inflammable dans la zone de travail. Le CSB a déclaré qu'une torche aurait évité ou considérablement réduit la gravité de l'accident. Ce contrefactuel ne dépend pas de la prédiction du véhicule qui a enflammé le nuage car il empêche la formation du nuage là où se trouvaient des personnes et des sources d'inflammation.

Emplacement sûr.Si les remorques temporaires et les travailleurs non essentiels avaient été en dehors de la zone de souffle modélisée, l'événement aurait pu encore endommager l'équipement, mais l'exposition à une catastrophe de masse aurait été radicalement différente. Le dossier officiel de l'explosion de la raffinerie Husky Superior de 2018 àhttps://www.csb.gov/husky-energy-superior-refinery-explosion-and-fire/fournit une comparaison imparfaite mais instructive. Trente-six travailleurs ont été blessés et l'événement a causé des dégâts majeurs, mais le CSB a noté que de nombreux travailleurs s'étaient déplacés dans des bâtiments résistants aux explosions ou s'étaient éloignés de l'unité pendant une pause. Son digest du vingtième anniversaire de Texas City note également que la raffinerie Superior avait relocalisé les remorques des entrepreneurs et avait ensuite exigé des unités résistantes aux explosions. Il ne s'agit pas d'une expérience contrôlée et ne prouve pas que l'emplacement seul explique l'absence de décès. Cela soutient l'inférence plus étroite que séparer les personnes des dangers du processus modifie l'exposition lorsque la prévention échoue.

Personnel et gestion des situations anormales.Un deuxième opérateur de tableau formé, un superviseur compétent, un transfert de quart efficace et une pratique de simulateur réaliste auraient pu remettre en cause la fixation sur la lecture de niveau trompeuse. Les limites de fatigue auraient pu améliorer l'attention et le jugement. Ce sont des contrôles administratifs et de performance humaine, donc moins indépendants qu'un déclencheur automatique, mais ils ajoutent de la diversité à la défense.

Gestion organisationnelle du changement.Si les décisions budgétaires, de personnel et de réorganisation avaient exigé un examen documenté de la sécurité des processus, les décideurs auraient dû identifier quelles barrières, compétences, inspections et clôtures d'actions correctives étaient affectées par les coupes. L'examen aurait pu rejeter le changement, financer des contrôles compensateurs ou exposer le risque restant à une autorité supérieure. On ne peut pas affirmer avec certitude que la paperasse aurait empêché l'événement. Le contrefactuel dépend d'un examen doté d'une autorité réelle, de données précises et d'une clôture exécutoire.

Ces comparaisons montrent pourquoi l'accident était évitable sans prétendre qu'une seule solution miracle existait. Plusieurs contrôles étaient disponibles, et plusieurs auraient empêché le rejet ou séparé les travailleurs de ses conséquences. Une responsabilité durable exige de préserver cette redondance.

Les preuves ultérieures testent si l'apprentissage s'est propagé

La question de la durabilité s'étend au-delà d'une unité réparée. En septembre 2022, un dégagement mortel de naphta et un incendie se sont produits à la raffinerie de Toledo exploitée par BP. La page d'investigation du CSB àhttps://www.csb.gov/bp---husky-oregon-chemical-release-and-fire-/enregistre deux morts, une perte matérielle majeure, une inondation d'alarmes, un débordement de liquide, une gestion faible des situations anormales et un apprentissage manqué d'un événement antérieur. Le CSB a explicitement identifié des similitudes entre les scénarios de débordement de Toledo et de Texas City.

Cette comparaison doit être limitée. Toledo impliquait un équipement différent, une séquence différente, des personnes différentes et une raffinerie acquise ultérieurement par une autre société. Cela ne prouve pas que le travail de règlement de Texas City était faux ou que les mêmes gestionnaires ont pris les mêmes décisions. Cela montre que l'apprentissage d'entreprise ne peut pas être déduit uniquement de la clôture d'actions correctives sur un site.

Si une entreprise prétend qu'une leçon est d'entreprise, le test est de savoir si l'analyse des risques, la gestion des alarmes, la protection contre les débordements, l'autorité d'arrêt et l'apprentissage des incidents se propagent à travers les installations et survivent aux changements de direction et de propriété.

Le dossier de Toledo renforce également la hiérarchie des contrôles. Les opérateurs ont fait face à des milliers d'alarmes et à une situation anormale en cascade. Lorsqu'un processus dépend d'une réponse humaine improvisée après la défaillance des barrières, le même schéma de responsabilité revient: qui a conçu la philosophie des alarmes, qui a assuré une protection indépendante contre les débordements, qui a transformé les constatations antérieures en actions, et qui avait l'autorité d'arrêter?

La comparaison est pertinente car le schéma de défaillance, et non le matériel exact, est ce que la gouvernance de la sécurité des processus est censée apprendre.

Les normes de l'industrie fournissent un autre mécanisme de propagation. Les règles sur les bâtiments mobiles, les systèmes de fatigue, les métriques de sécurité des processus et les directives de décharge plus sûres peuvent atteindre des entreprises qui n'ont pas fait partie de l'incident original. Le digest 2025 du CSB traite ces changements comme des résultats positifs pour l'industrie. Mais une norme publiée n'est qu'un contrôle potentiel.

La vérification nécessite des études de risques du site, des dossiers d'ingénierie, la participation des travailleurs, des inspections, des tests, des exercices et la preuve que les conclusions sont closes avant l'exploitation.

Le test de responsabilité durable

Texas City réussit un test de responsabilité durable uniquement si les preuves restent utilisables après les gros titres, les règlements, les changements de direction et la vente de la raffinerie.

Premièrement, ledossier techniquedevrait prouver la sécurité au démarrage. Il devrait identifier les scénarios crédibles de trop-plein; montrer une indication de niveau indépendante et correctement calibrée; documenter les points de consigne des alarmes et les tests de fiabilité; démontrer une action de protection automatique ou des alternatives justifiées; montrer le bilan matière entrée-sortie; valider les procédures par rapport à la pratique opérationnelle réelle; et exiger un examen avant démarrage pouvant interrompre le travail. Une action correctrice close sans résultats de test ne suffit pas.

Deuxièmement, ledossier de contrôle des conséquencesdevrait prouver qu'une couche de prévention défaillante ne devient pas un événement de masse. Les études de décharge devraient couvrir les scénarios de liquide ainsi que de vapeur, l'évacuation devrait éviter les rejets atmosphériques inflammables lorsqu'il existe un risque de nuage de vapeur, le contrôle de l'inflammation devrait être crédible, et les bâtiments occupés devraient être situés ou construits pour les dangers modélisés d'incendie, de toxique, de projectiles et de souffle. La commodité temporaire ne doit jamais l'emporter sur la sécurité des vies.

Troisièmement, ledossier de performance humainedevrait montrer un personnel adéquat, une supervision, un transfert de quart, des limites de fatigue, une évaluation des compétences, des exercices de situations anormales, des affichages utilisables en salle de contrôle et l'autorité du travailleur pour arrêter un démarrage. Il devrait distinguer le blâme de l'apprentissage. Une organisation qui discipline le dernier opérateur mais laisse des instruments trompeurs et une charge de travail impossible inchangés n'a pas réparé le système.

Quatrièmement, ledossier d'intégrité mécaniquedevrait montrer que les défauts critiques pour la sécurité sont réparés avant utilisation ou gérés via des contrôles documentés et limités dans le temps qui assurent réellement un fonctionnement sûr. L'âge des ordres de travail, les inspections en retard, les dégradations d'alarmes, les contournements de systèmes instrumentés de sécurité, l'état des dispositifs de décharge et les défaillances répétées devraient parvenir à la direction comme indicateurs avancés. Le travail différé devrait identifier qui a accepté le risque, pour combien de temps, sur quelles preuves et avec quelle protection compensatoire.

Cinquièmement, ledossier des coûts et de l'organisationdevrait soumettre les réductions budgétaires, les changements de personnel, les fusions, les réorganisations, l'externalisation et la compression des révisions à un examen formel de sécurité. L'examen devrait quantifier les barrières et compétences affectées, inclure l'expertise des travailleurs et de la sécurité des processus, nommer les approbateurs responsables, préserver la dissidence et empêcher la reprise de la production jusqu'à ce que les actions requises soient closes. C'est la leçon réglementaire non résolue dans le dossier du CSB.

Sixièmement, ledossier de gouvernancedevrait permettre aux dirigeants et au conseil d'administration de voir directement le risque catastrophique. Les indicateurs avancés devraient inclure les travaux critiques en retard, les actions d'analyse des risques ouvertes, les couches de protection dégradées, les inondations d'alarmes, les pertes de confinement, les incidents répétés, les écarts de procédure, l'exposition à la fatigue et la qualité de clôture des audits. Les taux de blessures personnelles retardés restent utiles, mais ils ne peuvent pas se substituer à ces mesures. La rémunération et l'avancement ne devraient pas récompenser la performance de production ou de coût obtenue en portant un risque de processus caché.

Septièmement, ledossier réglementaire et de redressementdevrait préserver les citations, les règlements, les points contestés, les résultats de vérification, la participation des victimes et l'impact sur la communauté sans les effondrer en un total de relations publiques. Le dossier de la Cinquième Circuit montre que les personnes affectées doivent être entendues avant qu'une résolution pénale ne devienne effectivement définitive. Le dossier de l'OSHA montre que l'inspection de suivi est nécessaire pour distinguer la correction promise de la correction achevée.

Enfin, ledossier d'apprentissagedevrait se propager. Une leçon de Texas City devrait apparaître dans chaque installation pertinente de l'époque BP, dans les systèmes du propriétaire successeur, dans les normes de l'industrie et dans la pratique d'inspection des régulateurs. Les incidents ultérieurs devraient déclencher une comparaison avec les conclusions originales, et non être traités comme des surprises isolées. Le transfert de propriété devrait inclure le statut et les preuves des engagements critiques pour la sécurité, afin qu'une vente ne réinitialise pas la mémoire institutionnelle.

Le dossier jusqu'au 15 juillet 2026 soutient une conclusion sobre. BP et l'industrie ont effectué des réparations substantielles; les régulateurs ont imposé des conséquences significatives; les normes ont changé; et le CSB a clos la plupart des recommandations. Le même dossier montre également une correction retardée, une violation des droits des victimes, des parallèles ultérieurs de débordement dans une autre raffinerie exploitée par BP, et une recommandation réglementaire toujours ouverte à l'intersection des coûts, du personnel et de la sécurité.

C'est pourquoi Texas City reste un test de responsabilité plutôt qu'un épisode historique clos. La sécurité des processus n'est durable que lorsque l'autorité de dépenser moins est assortie d'un devoir documenté de prouver qu'une moindre dépense n'a pas acheté plus de risque.