General Motors: l'escalade du défaut du commutateur d'allumage, un test de responsabilité sur le calendrier des rappels

Résumé

• Le défaut physique confirmé était un commutateur d'allumage dont la performance de couple pouvait tomber en dessous des spécifications de General Motors. Le poids supplémentaire du porte-clés, les conditions de la route ou le contact avec la clé pouvaient le faire tourner hors de la position Run. Le moteur pouvait s'arrêter et l'assistance de puissance être perdue; si la rotation se produisait avant la fin de la détection de collision, les airbags frontaux pouvaient ne pas se déployer. Ce mécanisme créait un risque. Il n'établit pas que le commutateur a causé chaque accident impliquant un véhicule rappelé.
• Le contrôle commençait à l'intérieur de GM. L'entreprise possédait la spécification du véhicule, la publication de la conception, la validation, la discipline des numéros de pièces, l'analyse sur le terrain, le processus de détermination des défauts, l'avis au régulateur et l'étendue du rappel même si Delphi fabriquait le commutateur. Un ingénieur de conception avait une autorité inhabituellement concentrée sur le composant, mais l'échec plus large était institutionnel: la validation indépendante, la contestation du fournisseur, la traçabilité et l'escalade interfonctionnelle n'ont pas limité de manière fiable cette autorité.
• La chronologie est documentée par des aveux d'entreprise, des dossiers réglementaires et une enquête commandée par le conseil d'administration. Un faible couple est apparu pendant le développement; des calages ont été signalés dans les véhicules de production; le commutateur a été reconçu en 2006 sans nouveau numéro de pièce; des preuves d'accidents et de non-déploiement d'airbags se sont accumulées; et vers 2012, certains employés de GM comprenaient le lien avec la sécurité. Le processus formel de rappel n'a toujours pas abouti à un dépôt avant février 2014.
• La NHTSA était une deuxième couche de détection défaillante, pas le propriétaire principal des contrôles de GM. L'agence possédait des plaintes, des enquêtes sur les accidents et une analyse d'un agent de l'État mais ne les a pas reliées en une enquête. L'Inspecteur général du Département des Transports a ensuite trouvé des faiblesses dans le filtrage des plaintes, la qualité des données, l'analyse, la formation et la documentation. Ces échecs ne transfèrent pas les responsabilités de conception et de déclaration de GM au régulateur.
• Les résolutions ultérieures répondent à des questions différentes. GM a admis des faits dans un accord de poursuite différée fédéral et a confisqué 900 millions de dollars; la NHTSA a imposé des pénalités civiles; la SEC a réglé des accusations de contrôle comptable sans admission ni démenti; les États ont réglé des allégations de protection des consommateurs; les affaires civiles ont traité de l'avis de faillite et de la perte économique; et un mécanisme d'indemnisation volontaire a fait des offres sur les réclamations éligibles. Aucun de ces documents n'est une conclusion judiciaire qui fixe un nombre total de décès ou de blessures causalement complet.
• Les preuves de réparation et de réforme sont substantielles mais limitées. Les commutateurs de remplacement, les contrôles en fin de ligne, les avis aux propriétaires, les décomptes historiques de réparation, une fonction de sécurité réorganisée, un programme d'alerte, une surveillance fédérale et des changements à la NHTSA montrent une réponse réelle. Les documents publics n'établissent pas le nombre actuel de véhicules affectés non réparés, ne reproduisent pas un cas équivalent de signal faible sous observation contrôlée, ni ne prouvent que chaque frontière informationnelle identifiée en 2014 reste fermée.
• Une responsabilité durable exige plus qu'une déclaration de politique. Elle nécessite une base de conception traçable, une approbation indépendante des écarts liés à la sécurité, un dossier de cas unique reliant les preuves de terrain, d'accident, de garantie et de litige, des déclencheurs d'escalade limités dans le temps, des raisons documentées de ne pas ouvrir une enquête sur un défaut, une vérification de réparation au niveau du propriétaire et des tests indépendants périodiques pour savoir si les employés peuvent transmettre des preuves ambiguës aux personnes ayant autorité de rappel.

Le rappel a commencé après que les contrôles décisifs avaient déjà échoué

General Motors a déposé le premier rapport de rappel de commutateur d'allumage auprès de la National Highway Traffic Safety Administration le 7 février 2014. Lerapport original Part 573décrivait un commutateur dont la performance de couple pourrait ne pas répondre aux spécifications de GM. Il indiquait que le poids supplémentaire sur le porte-clés, les conditions de la route ou un autre événement brusque pouvaient déplacer le commutateur hors de Run. La puissance du moteur, l'assistance de direction assistée et l'assistance de freinage pouvaient être perdues. Si le commutateur bougeait avant que l'algorithme de détection de collision ait terminé son travail, les airbags pourraient ne pas se déployer.

Ce dépôt est le début officiel du rappel 14V-047, pas le début de l'historique du défaut. Les tests de développement avaient identifié un faible couple plus d'une décennie plus tôt. Les clients ont signalé des calages. Les ingénieurs ont envisagé des réponses de conception. Un commutateur révisé est entré en production. Des preuves d'accidents mortels et d'analyse de non-déploiement d'airbags ont suivi. Le contentieux a ensuite permis une comparaison externe des composants du commutateur. Au moment où la décision formelle sur le défaut est arrivée, de multiples opportunités de contenir, identifier ou escalader le risque étaient passées.

Cette distinction définit le problème de responsabilité. La rapidité des rappels est souvent mesurée à partir du moment où un fabricant décide qu'un défaut lié à la sécurité existe. La loi fédérale exige alors une notification dans les cinq jours ouvrables. Mais une entreprise peut retarder le début de ce délai si les preuves n'atteignent jamais la personne ou le comité habilité à prendre la décision. Un processus peut donc sembler formellement conforme à sa dernière étape tandis que l'institution passe des mois ou des années à maintenir le problème en dessous de cette étape. L'ordonnance de consentementultérieure de la NHTSA a fermé cette voie d'évitement pour ce cas: GM a admis qu'il n'avait pas notifié l'agence dans les cinq jours ouvrables et a accepté l'amende civile alors maximale de 35 millions de dollars.

Le déclencheur visible était la rotation d'un commutateur depuis Run. La cause racine directe de conception était un couple de détente insuffisant dans les commutateurs affectés. Les conditions contributives comprenaient une solution peu coûteuse qui n'a pas été adoptée dans l'ensemble de la population, la classification des calages comme un problème de commodité pour le client, et des pratiques d'approbation qui donnaient à un ingénieur de composant une large discrétion.

L'échec de détection était plus large: les signaux détenus par l'ingénierie, la garantie, les enquêteurs d'accident, les avocats externes et les régulateurs n'étaient pas combinés. L'échec d'escalade était que le travail s'est poursuivi en dehors du chemin normal de décision de sécurité même après que la conséquence sur les airbags a été comprise. Le défi de réponse a ensuite été de fabriquer suffisamment de pièces de remplacement, d'identifier la population complète, d'avertir les propriétaires et de prouver la réparation.

Ces couches ne doivent pas être résumées en une seule affirmation sur le motif. Le dossier public soutient des conclusions sur les décisions, les flux d'information et les contrôles manqués. Il ne prouve pas ce que chaque employé croyait privément, ni que chaque retard reflétait une intention de cacher un danger mortel. La responsabilité institutionnelle n'a pas besoin de cette inférence. Une entreprise peut être responsable d'un résultat dangereux parce que sa répartition de l'autorité, des preuves et des délais a empêché à plusieurs reprises une réponse que ses propres dossiers rendaient de plus en plus nécessaire.

Un petit commutateur a créé une conséquence de sécurité couplée

Le commutateur d'allumage remplissait plus qu'une fonction de commodité. Dans les véhicules affectés, son mécanisme de détente était censé maintenir la clé dans la position sélectionnée contre les forces ordinaires. Si le couple était trop faible, un porte-clés lourd, une route cahoteuse ou un contact du genou pouvait faire tourner la clé de Run vers Accessory ou Off. L'arrêt du moteur qui en résultait pouvait supprimer l'assistance de puissance. Plus critique, l'état électrique du véhicule pouvait affecter le chemin de détection et de déploiement des airbags frontaux.

La conséquence de sécurité était conditionnelle. Le non-déploiement des airbags dépendait du moment du mouvement du commutateur par rapport à la détection de collision et du fait que la collision était d'un type dans lequel le déploiement aurait autrement eu lieu. Un calage du véhicule ne produisait pas automatiquement un accident. Un accident dans un véhicule affecté ne prouvait pas automatiquement une rotation du commutateur. Un airbag qui ne s'est pas déployé n'était pas en soi une preuve de ce défaut car les algorithmes de déploiement considèrent la direction, la gravité et d'autres entrées.

L'affaire a donc nécessité que les enquêteurs combinent des preuves physiques du commutateur, la position de la clé, les informations de l'enregistreur de données d'événement, la géométrie de la collision, l'état électrique et l'historique du véhicule.

Cette chaîne conditionnelle aide à expliquer pourquoi les premiers signaux étaient plus faciles à classer étroitement. Une plainte de client concernant un calage pouvait être orientée comme un problème de conduite ou de satisfaction client. Un enquêteur d'accident pouvait observer un non-déploiement sans savoir que le commutateur avait bougé. Un avocat pouvait voir un rapport d'expert dans une affaire sans le traiter comme une preuve de flotte. Un ingénieur de composant pouvait se concentrer sur la sensation de détente tandis qu'un ingénieur d'airbags se concentrait sur les données de détection.

Chaque interprétation locale pouvait être défendable isolément tandis que le modèle combiné était dangereux.

La condition rendait également le contrôle des spécifications décisif. La question n'était pas de savoir si chaque commutateur tournait sous chaque test. C'était de savoir si les commutateurs de production respectaient systématiquement l'enveloppe de couple approuvée sur la durée de vie du véhicule et l'utilisation prévisible. La propreenquête du conseil d'administration de GM, décrite dans la déclaration d'Anton Valukas au Congrès, a conclu que le commutateur d'origine était bien en dessous des spécifications GM et qu'un ingénieur l'avait approuvé. C'est une preuve plus forte qu'une affirmation rétrospective selon laquelle la conception se comportait simplement différemment des attentes des clients.

Le mécanisme limite également le contrefactuel. Un commutateur qui répondait aux spécifications ou un système de clé moins susceptible au contact aurait réduit la rotation involontaire. On ne peut pas en déduire que chaque accident ultérieur aurait été évité, car les conducteurs, les conditions de la route et la dynamique de collision comptaient toujours. Inversement, l'absence de certitude concernant chaque accident ne justifiait pas d'attendre une preuve causale parfaite avant de traiter les calages récurrents plus le non-déploiement des airbags comme un signal de sécurité.

La gouvernance de la sécurité existe précisément parce que l'action sur la population doit souvent précéder l'adjudication cas par cas.

Le contrôle pratique était distribué, mais il n'était pas réparti uniformément

Delphi fabriquait le commutateur d'allumage. Ce rôle de fournisseur importait: il produisait des composants, communiquait les résultats des tests et mettait en œuvre le changement de conception ultérieur. Il ne possédait pas le dossier de sécurité du véhicule complet. GM fixait la spécification de performance, publiait la conception, intégrait le commutateur avec les systèmes électriques et de retenue du véhicule, contrôlait le numéro de pièce, recevait les informations de garantie et de terrain, décidait si un défaut existait, sélectionnait l'étendue du rappel et faisait rapport à la NHTSA.

La responsabilité du fournisseur est donc réelle mais subordonnée à l'autorité système du constructeur automobile.

Au sein de GM, l'ingénieur de publication de conception avait un contrôle direct sur le dessin du composant, les décisions d'acceptation et les correctifs proposés. L'enquête Valukas a dépeint ce rôle comme inhabituellement conséquent dans cette histoire. Pourtant, attribuer le cas à un seul ingénieur sous-estimerait la conception du contrôle. Un système mature ne devrait pas permettre à l'approbation d'une seule personne de rendre un écart lié à la sécurité durable sans vérification indépendante, challenge de la qualité fournisseur, contrôle des modifications et surveillance de la flotte.

Une autorité concentrée est devenue dangereuse parce que les contrôles environnants ne l'ont pas détectée ou inversée de manière fiable.

Les comités d'enquête sur les produits et de sécurité contrôlaient l'escalade ultérieure. Ils pouvaient ouvrir des enquêtes formelles, exiger des analyses interfonctionnelles, présenter des questions aux organes de décision et initier une détermination de défaut. Les ingénieurs, le personnel terrain et les avocats contrôlaient des pièces de preuve dont ces comités avaient besoin. Les systèmes de garantie contenaient des informations de réparation répétée et de plainte. Les enquêteurs d'accident contenaient des données d'événement. Les équipes de litige recevaient des analyses d'experts et des découvertes.

Le personnel financier contrôlait la reconnaissance des coûts probables de rappel. L'échec n'était pas que personne n'avait aucun contrôle; c'était que personne n'avait l'obligation d'agréger ces sources sur un calendrier et d'expliquer une décision de ne pas escalader.

La haute direction et le conseil d'administration contrôlaient la gouvernance, les ressources et la responsabilité après l'escalade. Ils pouvaient demander si les comités de sécurité recevaient des preuves de litige défavorables, si les modifications de pièces étaient traçables, si les cas non résolus vieillissaient visiblement, et si les recommandations de rappel étaient indépendantes des préoccupations de coût et de réputation. On n'attendait pas d'eux qu'ils inspectent chaque commutateur.

Leur responsabilité était de rendre le système de contrôle capable de faire remonter un commutateur que les équipes locales n'avaient pas réussi à résoudre.

La NHTSA contrôlait l'enquête réglementaire, les demandes d'information, l'application civile et la supervision du rappel. Elle n'approuvait pas la publication interne de composants de GM ni ne voyait chaque dossier de litige en temps réel. Les concessionnaires contrôlaient la planification des réparations, l'installation des pièces et le contact direct avec les clients dans le cadre de la campagne; ils ne fixaient pas la population nationale ni ne produisaient l'offre de remplacement.

Les propriétaires pouvaient répondre aux avis et présenter les véhicules pour réparation, mais ils avaient le moins d'informations et ne pouvaient pas valider l'analyse de flotte du constructeur. La responsabilité doit suivre ces limites. La partie qui a le plus de conséquences n'est pas toujours celle qui a le plus de contrôle.

2001 à 2006: un faible couple accepté, puis un changement de conception sans traçabilité

L'Exposé des faitsdu Département de la Justice, que GM a admis dans le cadre de son accord de poursuite différée de 2015, reconstitue la période de développement. Au cours des travaux de préproduction en 2001 et 2002, les ingénieurs ont observé qu'un commutateur prototype pouvait sortir de Run. Les tests ont montré un couple inférieur à la spécification minimale de l'entreprise. La conception a néanmoins été approuvée pour la production. Il ne s'agissait pas d'un effet de vieillissement caché découvert seulement après des années de service; l'écart de performance existait au stade de l'approbation.

Des plaintes de production ont suivi. En 2004, le personnel de GM a rencontré une Chevrolet Cobalt qui calait après que le genou du conducteur ait touché le porte-clés. Des rapports similaires sont apparus en 2005. Les ingénieurs ont envisagé de changer la tête de clé d'une fente à un trou plus petit, réduisant l'effet de levier et le mouvement du porte-clés. Le dossier du DOJ indique que le changement aurait coûté moins d'un dollar par véhicule, mais il n'a pas été adopté comme remède pour la population.

GM a plutôt diffusé des informations aux concessionnaires et a ensuite rendu une pièce rapportée disponible pour réduire le mouvement du porte-clés pour les clients se plaignant.

L'estimation historique exacte du coût est moins importante que la structure de décision. Un remède a été évalué par rapport au coût de garantie et à l'inconvénient pour le client alors que le problème était encore classé comme non lié à la sécurité. Une fois cette classification établie, chaque plainte ultérieure pouvait être traitée comme une autre instance d'un problème déjà délimité. Il n'y avait pas de règle efficace exigeant la réouverture de la classification lorsque des calages apparaissaient dans la conduite réelle ou lorsque des conséquences sur le système de retenue devenaient plausibles.

En avril 2006, la conception du commutateur a changé. Un piston de détente plus long et des changements internes connexes ont augmenté le couple. Lemémorandum d'enquête du Comité de l'énergie et du commerce de la Chambredécrit un formulaire de modification d'ingénierie autorisant le piston reconçu. L'ordre de travail n'enregistrait pas clairement le changement de couple, et le commutateur révisé conservait l'ancien numéro de pièce. Cela entrait en conflit avec la pratique acceptée d'attribuer un nouveau numéro lorsque l'ajustement, la forme ou la fonction changeaient.

Le numéro de pièce manquant n'était pas une simple trivia administrative. Les numéros de pièce sont une infrastructure de preuve. Ils permettent aux ingénieurs de déterminer quelle conception se trouve dans quel véhicule, de comparer les taux de défaillance, d'isoler les fenêtres de production, de définir l'étendue du rappel et d'empêcher que les composants anciens et nouveaux soient traités comme interchangeables. Lorsqu'un changement interne lié à la sécurité partage un identifiant avec la conception antérieure, les bases de données et les enquêteurs perdent une clé de jointure fiable.

L'objet physique change tandis que l'enregistrement de l'entreprise dit qu'il n'a pas changé.

Le changement semble avoir amélioré le couple, mais il n'a pas réparé la population installée. Il n'a pas non plus créé une enquête rétrospective claire sur les véhicules déjà équipés du commutateur antérieur. L'inférence étayée est qu'une identification correcte du changement aurait rendu les comparaisons ultérieures plus rapides et les limites de rappel plus claires. Il n'est pas possible de prouver qu'un nouveau numéro seul aurait provoqué un rappel plus précoce. Un identifiant traçable crée l'opportunité de détection; des personnes responsables et des règles d'escalade doivent encore l'utiliser.

2006 à 2011: des preuves d'accidents se sont accumulées sans un dossier responsable unique

En octobre 2006, une Chevrolet Cobalt a eu un accident dans le Wisconsin et ses airbags frontaux ne se sont pas déployés. Une reconstitution d'un agent de l'État, plus tard disponible pour la NHTSA et GM, a noté que le contact était sur Accessory et a identifié la position du commutateur comme pertinente pour le non-déploiement. La NHTSA a mené une enquête spéciale sur les accidents. L'agence disposait d'un événement concret reliant l'état du contact, une collision frontale et la performance des retenues, mais n'a pas ouvert d'enquête sur un défaut.

GM a également enquêté sur les non-déploiements d'airbags. En 2007, le personnel examinait des accidents dans lesquels le contact avait quitté Run. En 2009, selon les faits du DOJ et le dossier Valukas, le commutateur d'allumage était compris comme une explication probable dans au moins certains cas. Le défi n'était plus simplement de savoir si les clients n'aimaient pas un calage. C'était de savoir si un état électrique causé par un commutateur à faible couple pouvait désactiver un système principal de protection contre les collisions.

Les preuves restaient divisées par fonction et par cas. Un groupe d'accidents pouvait résoudre pourquoi les airbags ne s'étaient pas déployés dans un véhicule. Un ingénieur de commutateur pouvait savoir qu'un composant révisé avait un couple plus élevé. Le personnel de garantie pouvait voir des calages intermittents. Les avocats pouvaient recevoir des demandes alléguant un défaut de produit. Aucun dossier de cas autorisé n'exigeait que ces faits soient conciliés avec la spécification d'origine, le changement de conception non numéroté et la population de la flotte.

Sans cet objet commun, chaque équipe pouvait clore ou porter sa partie pendant que la question d'entreprise restait sans propriétaire.

La faillite de 2009 a ajouté une limite juridique mais n'a pas effacé l'historique d'ingénierie. La vente des actifs de Old GM à la nouvelle entité General Motors a affecté quelle entité pouvait être tenue responsable pour certaines conduites et demandes antérieures à la vente. L'Exposé des faits du DOJ distingue expressément les actes antérieurs au 10 juillet 2009 et déclare que ses admissions n'impliquent pas, par elles-mêmes, une responsabilité légale pour la conduite de Old GM à New GM ou n'altèrent pas l'ordonnance de vente en faillite.

Une analyse prudente sépare donc la continuité des preuves techniques de l'attribution de la responsabilité légale. Les mêmes véhicules et commutateurs continuaient d'exister même si les passifs de l'entreprise étaient réorganisés.

En 2010, Brooke Melton est décédée après que sa Cobalt a perdu de la puissance et a eu un accident. Sa famille a poursuivi une affaire de responsabilité du fait des produits. L'audience de surveillance de la Chambre de 2014a conservé le témoignage sur l'historique d'entretien du véhicule et l'enquête de la famille. Ce témoignage est une preuve importante de ce que les parties extérieures ont mis au jour, mais il ne remplace pas une conclusion technique dans chaque autre accident.

En 2011, le personnel de GM avait reconnu un schéma impliquant la position du commutateur et le non-déploiement des airbags, et les avocats externes avaient soulevé une exposition potentielle à des dommages punitifs dans les litiges. Pourtant, le problème de sécurité n'est pas passé proprement dans une détermination formelle de défaut. Cette période montre pourquoi les preuves de litige ont besoin d'une voie de sécurité définie.

Les avocats peuvent protéger le privilège et défendre les demandes tout en veillant à ce que les allégations techniques, les tests d'experts et les comparaisons de composants atteignent les ingénieurs et les décideurs de sécurité. Traiter ces objectifs comme mutuellement exclusifs peut faire du service juridique un dépôt de preuves de risque que le système de produit n'évalue jamais.

2012 à janvier 2014: un lien de sécurité connu est resté en dehors du chemin normal de rappel

Le DOJ a admis qu'au printemps 2012, certains employés de GM comprenaient à la fois le défaut de sécurité et le lien entre le mouvement du commutateur et le non-déploiement des airbags. La connaissance avait dépassé une préoccupation de composant isolée pour atteindre les superviseurs et les avocats. Pourtant, l'entreprise n'a pas notifié la NHTSA avant février 2014. L'intervalle de vingt mois est central car il ne peut pas être expliqué uniquement par la difficulté de découvrir le mécanisme.

Le travail s'est poursuivi, mais une grande partie est restée en dehors du processus de sécurité normal. Le dossier du DOJ décrit une enquête maintenue "hors ligne" plutôt que présentée rapidement aux comités formels qui pouvaient prendre une décision de rappel. Les présentations à la NHTSA n'ont pas divulgué l'état complet de la compréhension interne. Cela importe car l'activité n'est pas la même chose que l'escalade. Une entreprise peut tenir des réunions, demander des pièces, consulter des avocats et analyser des accidents tout en empêchant la question d'atteindre l'organe responsable d'une détermination oui ou non de défaut.

La percée est venue en partie de l'extérieur. Lors du litige Melton, un expert a utilisé des radiographies et une comparaison physique pour montrer que des commutateurs portant le même numéro de pièce avaient des composants internes différents. Une déposition du 29 avril 2013 a confronté l'ingénieur responsable à cette différence. La documentation de Delphi a ensuite confirmé le changement de 2006. Lecompte rendu officiel de l'audience de la Chambre de juin 2014retrace comment la découverte du côté du demandeur a résolu un fait que le propre système de contrôle des pièces de GM avait obscurci.

Il s'agissait d'une reconstruction externe d'un échec de contrôle interne. Elle n'a pas créé le défaut. Elle a fourni une comparaison manquante et a forcé l'organisation à concilier deux dossiers de pièces apparemment identiques. L'événement démontre pourquoi les litiges, les retours de garantie et les dossiers des fournisseurs devraient être consultables dans un dossier de sécurité commun même lorsque les documents juridiques restent à accès contrôlé.

Une équipe de sécurité n'a pas besoin de chaque communication privilégiée; elle a besoin d'une alerte obligatoire lorsqu'un expert démontre un changement physique non enregistré dans une pièce impliquée dans des accidents.

Les comités formels de GM ont reçu une présentation sur la performance sur le terrain en décembre 2013. Le 31 janvier 2014, le comité exécutif de décision d'action sur le terrain a décidé de rappeler certains véhicules. Le dépôt initial du 7 février couvrait une population plus restreinte, incluant les Chevrolet Cobalt des années modèles 2005 à 2007 et les Pontiac G5 de 2007. GM a élargi le rappel plus tard en février pour inclure des modèles et années supplémentaires, et en mars a décrit une population mondiale d'environ 2,6 millions de véhicules.

La séquence soulève deux questions de calendrier distinctes. Une fois que le comité de janvier a formellement décidé, le dépôt a suivi rapidement. Mais l'ordonnance de consentement de la NHTSA a établi que l'obligation légale de notification était née plus tôt que le dépôt de GM. Plus fondamentalement, le système de gouvernance a permis que des preuves suffisantes pour une détermination de sécurité restent en dessous du comité de détermination. Une mesure durable de rapidité doit donc commencer avant le vote du comité.

Elle devrait mesurer l'âge à partir d'événements déclencheurs définis: un échec de spécification de sécurité, une allégation d'accident impliquant une perte de protection, des incidents de terrain répétés, un changement de conception non enregistré confirmé par le fournisseur, ou une conclusion d'expert qui modifie matériellement l'image causale.

L'étendue du rappel s'est élargie pendant que les propriétaires et les concessionnaires attendaient les pièces

Le premier rappel n'était pas l'étendue finale. GM a ajouté des véhicules Saturn Ion, Chevrolet HHR, Pontiac Solstice et Saturn Sky et étendu les années modèles après un examen plus approfondi. L'ordonnance spécialedu 4 mars 2014 de la NHTSA a demandé des documents sur les spécifications, les modifications, les changements de numéros de pièces, les incidents, les décisions des comités et l'efficacité du remède. L'ordonnance montre que le régulateur testait non seulement si un défaut existait, mais si la population et la chronologie de GM étaient complètes.

Les propriétaires ont d'abord été invités à retirer les objets non essentiels des porte-clés et à n'utiliser que la clé de contact jusqu'à la réparation. Cette mesure provisoire pouvait réduire l'effet de levier et le contact accidentel. Elle ne rendait pas un commutateur hors spécifications conforme, et elle transférait une partie de la réponse au risque aux clients qui ne pouvaient pas inspecter le composant.

Les instructions provisoires sont appropriées lorsque les pièces sont rares, mais elles ont besoin d'une condition d'expiration claire, d'une communication répétée et d'alternatives de transport pour les propriétaires qui ne peuvent pas compter en toute sécurité sur une atténuation comportementale.

L'offre de remplacement était une contrainte majeure. GM et Delphi ont dû produire des commutateurs à grande échelle, les distribuer aux concessionnaires et s'assurer que le remplacement correspondait à la conception corrigée. Lebulletin de réparation aux concessionnairesde la NHTSA spécifiait le remplacement du commutateur d'allumage et, si nécessaire, des clés de contact. Il documentait également les paramètres de vérification en fin de ligne pour le nouveau composant. C'est une preuve tangible de remédiation: une pièce définie, une procédure d'installation et des contrôles de production.

Les pièces et les procédures ne prouvent pas l'achèvement de la flotte. Une population de rappel comprend des véhicules vendus, revendus, mis à la casse, exportés, volés et inaccessibles. Les réclamations des concessionnaires montrent qu'une réparation remboursée a eu lieu, mais les taux d'achèvement dépendent d'un dénominateur fiable et d'une identification correcte du véhicule. Un véhicule peut également changer de propriétaire après l'envoi des avis.

La responsabilité de réparation exige donc une réconciliation par VIN entre les dossiers du constructeur, du concessionnaire et de l'immatriculation tout en protégeant les données du propriétaire.

Lerapport trimestriel de campagne publicde la NHTSA pour le deuxième trimestre 2016 indiquait une population de rappel aux États-Unis de 2 190 934, 1 571 075 véhicules réparés et 43 613 catégorisés comme inaccessibles à ce point de rapport. Ces chiffres sont historiques. Ils n'établissent pas le nombre actuel fonctionnant toujours sans réparation, et ils ne doivent pas être combinés mécaniquement avec le chiffre mondial de 2,6 millions car la géographie et la base de déclaration diffèrent.

La distinction entre le lancement de la campagne et la retraite du risque est essentielle. Un rappel peut être annoncé une fois. La réparation nécessite des années d'identification du propriétaire, de disponibilité des pièces, de capacité des concessionnaires et de suivi. La NHTSA indique dans sesdirectives actuelles sur les rappelsque les rappels de sécurité n'expirent pas et dirige les propriétaires vers une vérification par VIN. Ce droit continu est utile, mais la responsabilité publique serait renforcée si les campagnes héritées publiaient des données de cohorte actuelles: véhicules immatriculés non réparés, taux d'achèvement récent, raisons d'inaccessibilité, concentration géographique et vérifications indépendantes par échantillon que les pièces installées correspondent au remède.

La NHTSA était une deuxième couche de détection, et elle a également échoué

Les constructeurs ont un accès plus précoce et plus riche aux preuves de conception, de garantie, de fournisseur et de litige. La NHTSA fournit une couche indépendante via les plaintes des consommateurs, les rapports d'alerte précoce, les enquêtes spéciales sur les accidents, les enquêtes sur les défauts, les ordonnances d'information et les pénalités. Dans ce cas, cette deuxième couche disposait de preuves pertinentes mais ne les a pas agrégées efficacement.

Lerapport du personnel du comité de la Chambre sur les échecs de la NHTSAa indiqué que l'agence disposait du rapport de l'agent du Wisconsin, de trois enquêtes spéciales sur les accidents et de preuves de non-déploiement d'airbags, mais n'a pas réussi à identifier le défaut du commutateur. L'agence a envisagé d'ouvrir des enquêtes sur les non-déploiements d'airbags des Cobalt mais n'a pas donné suite. Le problème ressemblait à la fragmentation interne de GM: les enregistrements existaient dans des systèmes séparés et étaient interprétés cas par cas plutôt que comme une hypothèse de contrôle croissante.

L'audit de 2015de l'Inspecteur général du Département des Transports a trouvé des faiblesses plus larges dans le Bureau des enquêtes sur les défauts de la NHTSA. Les filtres de plaintes manquaient de formation et de supervision adéquates; les contrôles de qualité des données étaient faibles; les défauts potentiels n'étaient pas toujours filtrés en profondeur; les méthodes statistiques étaient limitées; et les décisions concernant les enquêtes étaient insuffisamment documentées. L'audit a fait dix-sept recommandations. La page du OIG les marque maintenant comme closes, ce qui signifie que le département a accepté une action en réponse. La clôture est une preuve d'achèvement administratif, pas la preuve qu'aucun échec de détection similaire ne peut se reproduire.

L'échec réglementaire n'annule pas l'échec du constructeur. La NHTSA n'a pas sélectionné le couple du commutateur, approuvé la production, omis le changement de numéro de pièce ou détenu le dossier complet des litiges de GM. GM avait également l'obligation légale de divulguer un défaut de sécurité connu plutôt que d'attendre que le régulateur le déduise de données publiques éparses. Les deux couches sont censées être redondantes. Lorsque les deux échouent, la responsabilité est cumulative, pas transférable.

La réponse d'exécution de la NHTSA a traité du calendrier et de la coopération. En plus de la pénalité de 35 millions de dollars pour rappel tardif, lerésumé des pénalités civilesde l'agence enregistre 441 000 $ liés à l'incapacité de GM à répondre pleinement et à temps à l'ordonnance spéciale. L'ordonnance de consentement exigeait un accès amélioré aux informations de sécurité, des mécanismes de signalement des employés, des procédures de comité renforcées, une communication plus rapide avec le régulateur et une supervision supplémentaire. Les pénalités marquent une infraction; les engagements opérationnels sont le test le plus pertinent pour savoir si la voie d'information a changé.

Des audits ultérieurs montrent que la réforme du régulateur restait un travail en cours. Lerapport de 2018 sur la supervision des rappelsdu OIG a constaté que la NHTSA ne vérifiait pas adéquatement les taux d'achèvement déclarés par les constructeurs et manquait d'un processus basé sur les risques pour surveiller les rappels. Sonexamen de 2023 des processus d'enquête sur les défautsa crédité la restructuration et la modernisation mais a trouvé des objectifs de rapidité manqués, une documentation et une escalade incohérentes, et l'absence d'un système d'information entièrement intégré. Les recommandations sur les deux pages sont maintenant présentées comme closes. Ce dossier soutient l'amélioration, tout en montrant aussi pourquoi les actions closes ne doivent pas être traitées comme un substitut à des preuves de performance sous un nouveau cas à fortes conséquences.

L'enquête du conseil d'administration a expliqué l'échec du processus, mais ce n'était pas un procès pénal

Le conseil d'administration de GM a retenu les services d'Anton Valukas et de Jenner & Block pour mener une enquête interne. Valukas a déclaré au Congrès que l'équipe avait interrogé plus de 230 personnes, examiné environ 41 millions de documents et avait accès au personnel et aux documents pertinents de l'entreprise. Le rapport qui en a résulté est inhabituellement détaillé sur les décisions, la culture et le flux d'information. La NHTSA conserve le rapport via sasalle de lecture électronique, aux côtés de documents sur la rapidité des requêtes et l'alerte précoce.

L'enquête n'a trouvé aucun moment unique où un cadre supérieur a reçu un dossier complet et a rejeté un rappel. Elle a plutôt décrit un schéma de responsabilité fragmentée, d'évitement de la propriété individuelle, de comités lents et de normalisation des problèmes non résolus. L'expression souvent associée au rapport, le "GM nod", décrivait un accord sans action efficace. Une autre description culturelle, le "GM salute", capturait la responsabilité pointée ailleurs.

Ces étiquettes sont mémorables, mais la valeur de responsabilité réside dans les documents sous-jacents: contrôle des modifications manquant, transferts échoués, pas de date limite pour une réponse de sécurité et aucun dossier de preuve commun.

Le rapport a également attribué des échecs graves à des employés identifiables. GM a déclaré que quinze personnes n'étaient plus employées en conséquence et que cinq autres avaient été disciplinées. LeFormulaire 10-K 2014de l'entreprise a divulgué ces actions et un ensemble de réformes. Une action sur l'emploi n'est pas une conclusion de culpabilité pénale. Le rapport Valukas a été commandé par GM, non produit par une découverte et un procès contradictoires. Son accès et son échelle en font une preuve primaire importante; son origine institutionnelle et son objectif juridique restent pertinents lors de l'évaluation de l'indépendance.

La responsabilité individuelle est également limitée par la répartition de la preuve dans les affaires d'entreprise. Une personne peut porter un mauvais jugement technique sans posséder la connaissance requise pour la fraude. Un avocat peut mal gérer une escalade sans avoir l'intention de cacher une inférence fédérale. Un gestionnaire peut hériter d'une classification erronée. Inversement, l'absence de condamnation individuelle ne rend pas l'architecture de contrôle adéquate. Les systèmes d'entreprise existent pour empêcher qu'un état mental ambigu unique détermine si un danger atteint l'autorité compétente.

L'inférence institutionnelle étayée est plus forte qu'une affirmation de motif non étayée. La structure de GM a permis que les preuves soient localisées, retardées et recadrées jusqu'à ce qu'un procès externe résolve la divergence de pièces. Des considérations de coût et de responsabilité étaient présentes dans le dossier, mais les documents publics ne prouvent pas que chaque acteur a choisi le retard pour économiser de l'argent.

La responsabilité devrait se concentrer sur les devoirs observables: qui a reçu chaque signal, ce qu'ils étaient tenus de faire, s'ils l'ont fait, qui a examiné l'exception et combien de temps elle est restée ouverte.

La résolution pénale fédérale a établi des aveux, pas tous les faits contestés

En septembre 2015, les États-Unis ont accusé General Motors d'avoir dissimulé un défaut de sécurité à la NHTSA et de fraude électronique. Dans le cadre de l'accord de poursuite différée annoncé par le Département de la Justice, GM a admis l'Exposé détaillé des faits, accepté un accord de trois ans, accepté un superviseur fédéral indépendant et confisqué 900 millions de dollars. Les charges devaient être rejetées si l'entreprise respectait les termes de l'accord.

Les aveux sont puissants car ils émanent de l'entreprise dans le cadre d'une résolution pénale fédérale. Ils établissent que GM n'a pas divulgué un défaut de sécurité connu en temps opportun et a fait des déclarations trompeuses sur la sécurité des véhicules. Ils établissent également la séquence d'approbation à faible couple, de réponses sur le terrain échouées, de reconception non numérotée, de retard dans la reconnaissance de sécurité et de divulgation incomplète au régulateur décrite dans l'accord.

La forme procédurale compte toujours. Un accord de poursuite différée n'est pas un verdict de jury après un procès contradictoire. Il résout des accusations d'entreprise dans des conditions négociées. Il ne statue pas sur la culpabilité de chaque employé mentionné dans les documents sous-jacents, ne décide pas de la causalité pour chaque accident ni ne remplace la répartition par le tribunal des faillites des passifs de Old GM et New GM. L'Exposé des faits lui-même réserve cette distinction d'historique d'entreprise.

Le mandat du superviseur indépendant s'est concentré sur les voies d'information que le défaut a exposées. Lapage du cas GM du Département de la Justicedécrit l'examen des déclarations de sécurité, la conformité des rappels, le partage des analyses d'ingénierie développées dans les litiges et le traitement des défauts connus dans les véhicules certifiés d'occasion. Ces sujets ne sont pas des éléments de conformité périphériques. Ils correspondent directement aux points de défaillance de la chronologie.

Les preuves publiques concernant une supervision sont inévitablement partielles. L'existence d'un superviseur, de réunions de direction et de recommandations achevées montre qu'une couche d'assurance formelle a fonctionné. Elle ne permet pas aux étrangers de reconstruire chaque test, exception ou désaccord. La conclusion la plus défendable est que la résolution a exigé une remédiation ciblée et un examen externe.

Une affirmation plus forte, selon laquelle la supervision a prouvé que la culture était définitivement réparée, nécessiterait des résultats publiés montrant comment un nouveau défaut ambigu s'est déplacé à travers les mêmes limites sous une pression réelle.

Les résolutions en valeurs mobilières, étatiques et civiles répondent à des questions plus étroites

L'historique du commutateur d'allumage a également atteint les rapports financiers. En 2017, la Securities and Exchange Commission a émis uneordonnance administrativeconcluant que les contrôles comptables de GM n'avaient pas garanti que les informations de sécurité atteignent le personnel comptable responsable des pertes éventuelles. Selon l'ordonnance, certains employés comprenaient le problème de sécurité au printemps 2012, tandis que le personnel comptable n'a été informé qu'en novembre 2013. GM a payé 1 million de dollars et a réglé sans admettre ni nier les conclusions.

Cette ordonnance importe car elle révèle une deuxième conséquence de l'escalade fragmentée. Lorsque les preuves de sécurité n'atteignent pas les décideurs de rappels, elles peuvent également ne pas atteindre les contrôleurs financiers qui doivent évaluer les pertes probables et estimables. La même limite organisationnelle peut retarder la protection des propriétaires et fausser le calendrier de la reconnaissance financière. Le règlement ne prouve pas une fraude en valeurs mobilières, et sa forme sans admission ni déni doit être énoncée.

Il montre bien que l'architecture d'information de sécurité fait partie du contrôle de divulgation, pas seulement une préoccupation d'ingénierie.

Quarante-neuf États et le district de Columbia ont conclu un règlement de protection des consommateurs de 120 millions de dollars avec GM en 2017. L'annonce officielle du procureur général de Californiedécrit les exigences concernant les déclarations de sécurité et la vente de véhicules rappelés, y compris les obligations de réparation pour les véhicules désignés comme certifiés d'occasion. Il s'agissait de recours négociés à des allégations, et non de conclusions de procès attribuant une causalité dans des accidents individuels.

Le litige en faillite a traité une autre limite. En 2016, la Second Circuit a statué dansIn re Motors Liquidation Companyque les demandeurs de commutateur d'allumage connus ou connaissables n'avaient pas reçu un avis constitutionnellement adéquat avant que l'ordonnance de vente de 2009 ne leur soit appliquée. La cour a conclu que Old GM savait ou aurait dû savoir qu'un défaut existait et qu'un avis direct par courrier était requis pour certains demandeurs. Elle n'a pas statué sur le fond ou la valeur de chaque demande de produit sous-jacente.

Des actions collectives pour perte économique ont ensuite abouti à un règlement recevant l'approbation finale en décembre 2020. L'ordonnance d'approbation fédéralecouvrait plusieurs catégories de rappels, des renonciations et des paiements de New GM et du GUC Trust. Elle contenait également des dispositions de non-admission. Un règlement peut apporter une indemnisation et une finalité tout en laissant la responsabilité contestée non résolue. Il ne doit pas être converti en conclusion que chaque véhicule de la catégorie a subi le même défaut, la même diminution ou la même histoire causale.

L'affaire a donc plusieurs registres de responsabilité, chacun avec sa propre norme. La NHTSA a traité du calendrier de rappel et de la coopération. Le DOJ a traité de la conduite criminelle d'entreprise. La SEC a traité des contrôles comptables. Les États ont traité de la protection des consommateurs. Les tribunaux des faillites ont traité des effets de l'avis et de l'ordonnance de vente. Les règlements civils ont alloué de l'argent et des renonciations.

Combiner tous les montants en dollars en un seul "coût du commutateur" serait trompeur car les périodes, les types de demandes, les entités et les charges de rappel plus larges se chevauchent.

Le préjudice ne peut pas être réduit à un seul nombre de décès non qualifié

Les conséquences humaines ont été graves. Des familles ont perdu des proches; les occupants ont subi des blessures catastrophiques et moins graves; les propriétaires ont fait face à l'incertitude et à la perte d'usage; les concessionnaires ont géré des pénuries de pièces et des contacts répétés; les employés ont travaillé sous une surveillance publique et juridique; et les investisseurs ont absorbé les coûts de rappel, de litige et de conformité. La responsabilité nécessite un impact mesurable, mais un chiffre principal doit préserver la façon dont il a été produit.

GM a créé la Ignition Switch Compensation Claims Resolution Facility, administrée par Kenneth Feinberg, pour évaluer les demandes de décès et de blessures physiques. Lerapport finalde la facilité indique qu'elle a examiné 4 343 demandes et en a trouvé 399 éligibles, comprenant 124 demandes de décès, 18 demandes de blessures de catégorie un et 257 demandes de blessures de catégorie deux. Elle a déclaré des offres globales de 594 535 752 $.

Ce sont des résultats de programme confirmés. Ils ne sont pas équivalents à des conclusions causales adjugées. La méthodologie publiée de la facilité permettait un processus d'éligibilité simplifié et n'a pas effectué la même analyse exhaustive de causalité scientifique et d'ingénierie qu'un litige contesté pourrait exiger. Les demandeurs qui ont accepté les offres ont libéré les demandes. Le programme excluait la pure perte économique et était conçu comme une alternative volontaire au litige. Son nombre de décès éligibles n'est donc ni un minimum universel ni un total scientifiquement final de décès causés par le commutateur.

D'autres sources ont utilisé des filtres différents. Les dépôts de rappel précoces de GM listaient les incidents connus de l'entreprise à l'époque. Les dossiers de litige incluaient des blessures alléguées et des pertes économiques. Les régulateurs décrivaient les accidents associés aux véhicules affectés. Les décomptes médiatiques changeaient souvent à mesure que les demandes étaient soumises et examinées. Ces ensembles de données ne doivent pas être fusionnés sans dédupliquer les personnes, les véhicules, le statut juridique, la norme causale et la date de déclaration.

Le préjudice contrefactuel est encore plus difficile. Pour un accident avec un airbag non déployé, il faudrait estimer si le déploiement aurait eu lieu en l'absence de mouvement du commutateur et s'il aurait changé l'issue de décès ou de blessure. Les retenues réduisent le risque; elles ne garantissent pas la survie. Pour un véhicule calé, il faudrait séparer la perte d'assistance de la réponse du conducteur et des conditions de la route.

L'énoncé défendable est que le défaut a créé une voie prévisible vers la perte de contrôle et la perte de protection par airbag, et que le programme d'indemnisation a reconnu des centaines de demandes éligibles selon ses règles. Des affirmations exactes sur des vies qui auraient certainement été sauvées dépassent les preuves publiques.

L'impact financier a également besoin de limites. Les dépôts de GM ont enregistré des milliards de dollars de charges de rappel et de transport de courtoisie en 2014, mais cette année comprenait de nombreuses campagnes au-delà du commutateur d'allumage. LeFormulaire 10-K 2015de l'entreprise a divulgué séparément la résolution fédérale de 900 millions de dollars, les charges juridiques liées au commutateur d'allumage et les provisions de règlement civil. Ce sont des catégories comptables, pas une estimation propre du coût social. Elles excluent certains préjudices familiaux, le temps des consommateurs et les ressources du régulateur tout en incluant des coûts juridiques et de programme qui peuvent chevaucher une activité de rappel plus large.

Les preuves de réparation existent, mais le dénominateur final n'est pas public

Les preuves de remédiation les plus fortes sont physiques. GM a remplacé les commutateurs et clés affectés, spécifié des composants corrigés, augmenté la capacité de fabrication et introduit plusieurs tests en fin de ligne. Les dossiers de réclamation des concessionnaires ont créé une piste de transaction pour les réparations achevées. Les lettres aux propriétaires et la recherche par VIN ont rendu la campagne actionnable. Le rapport trimestriel montre que plus de 1,5 million de véhicules dans la population déclarée aux États-Unis avaient été réparés à la mi-2016.

Les preuves restent incomplètes de trois manières. Premièrement, le fichier trimestriel public est un instantané historique. Il n'identifie pas combien de véhicules non réparés restent immatriculés et opérationnels en 2026. Deuxièmement, un décompte d'achèvement agrégé ne montre pas si les véhicules restants sont concentrés parmi des propriétaires difficiles à atteindre, des zones rurales, des ménages à faible revenu, des canaux de voitures d'occasion ou des juridictions avec un appariement d'immatriculation plus faible.

Troisièmement, les données de remboursement des concessionnaires vérifient une réclamation d'installation, pas nécessairement la performance sur le terrain à long terme de chaque pièce.

Un dossier de clôture responsable préserverait le dénominateur par cohorte. Pour chaque année modèle et région, il montrerait la population éligible d'origine, les exclusions avec raisons, les réparations par trimestre, les véhicules nouvellement identifiés par changements de titre, les retours de courrier, les mises à la casse, les exportations et les VIN non résolus actuels. Des échantillonnages indépendants pourraient comparer les réparations déclarées aux identifiants de pièces installées et tester la performance du couple.

Les contraintes de confidentialité limiteraient la publication des données au niveau du propriétaire, mais elles n'empêchent pas des preuves agrégées auditées.

La campagne illustre également pourquoi l'avertissement au propriétaire doit être traité comme un contrôle, pas une tâche de publipostage. Une lettre doit énoncer clairement le danger, distinguer le comportement provisoire de la réparation permanente, expliquer les options de transport ou de prêt, survivre au transfert de propriété et être répétée jusqu'à la réparation ou l'élimination vérifiée. L'efficacité de la communication devrait être mesurée par les réparations achevées et l'échantillonnage de compréhension, pas par le nombre d'enveloppes envoyées.

Les canaux de véhicules d'occasion créent un risque continu. Une voiture rappelée peut être vendue plusieurs fois, et les acheteurs peuvent ne pas connaître son statut de campagne. Le superviseur fédéral et le règlement étatique ont tous deux traité des rappels ouverts connus dans les ventes certifiées d'occasion. Une règle plus durable empêcherait toute certification par le constructeur d'un véhicule avec un rappel de sécurité ouvert et exigerait une divulgation visible avant les autres ventes chez les concessionnaires, tout en préservant la réparation gratuite pour les propriétaires ultérieurs.

Parce que les rappels de sécurité n'expirent pas, un propriétaire peut toujours obtenir le remède. C'est une protection significative. L'inconnu n'est pas de savoir si la campagne reste légalement ouverte; c'est de savoir si chaque véhicule affecté encore capable de transporter des occupants a été réparé ou retiré du service. La clôture publique de la campagne devrait exiger des preuves sur cette population résiduelle plutôt que de permettre à un volume annuel décroissant de réparations de disparaître de la vue.

GM a changé la gouvernance, mais l'auto-déclaration de réforme n'est pas une preuve de durabilité

GM a déclaré des changements substantiels après 2014. Son Formulaire 10-K a déclaré avoir créé une organisation mondiale de sécurité des véhicules dirigée par un vice-président rapportant directement au chef de la direction, ajouté plus de cent enquêteurs et spécialistes de la sécurité en Amérique du Nord, restructuré le processus de décision de sécurité et introduit le programme Speak Up for Safety. Il a également décrit des ressources supplémentaires pour l'intégrité des produits et une escalade plus directe.

Ces changements répondent à des faiblesses identifiables. Plus d'enquêteurs peuvent réduire l'arriéré. Un responsable de sécurité senior peut donner aux problèmes un accès à l'autorité exécutive. Un canal de signalement protégé peut contourner une hiérarchie bloquée. Un comité réorganisé peut réduire la distance entre les preuves techniques et une détermination de défaut. Les vérifications de commutateur en fin de ligne traitent de l'échec de contrôle de production d'origine. Le superviseur du DOJ et l'ordonnance de consentement de la NHTSA ont ajouté un examen externe et des obligations exécutoires.

Les limites de la source et de la mesure importent. Une grande partie du récit public provient des propres dépôts de titres de GM. Les effectifs démontrent la capacité, pas la qualité du jugement. Un canal d'alerte démontre la disponibilité, pas si les employés lui font confiance ou si les rapports substantiés produisent une action en temps opportun. Une refonte de comité démontre un organigramme changé, pas si les preuves ambiguës reçoivent un propriétaire et une date limite.

Les preuves de durabilité devraient tester le chemin, pas seulement la politique. Un examinateur indépendant pourrait introduire ou échantillonner des cas réels contenant des preuves faibles mais convergentes: un écart de spécification, des défaillances de terrain intermittentes, une allégation d'accident, une incohérence de fournisseur et une analyse de litige. Le test demanderait si les systèmes créent un identifiant de cas, si les fonctions requises rejoignent, si l'incertitude est étiquetée, si les délais s'escaladent automatiquement, si la dissidence est conservée et si la décision finale cite les preuves considérées.

Les mesures de résultats devraient également être publiées sous forme délimitée. Les mesures utiles incluent l'âge médian et extrême des enquêtes de sécurité, le nombre de cas escaladés en raison de la corrélation des litiges ou des garanties, les décisions en retard, les classifications rouvertes, les modifications de fournisseur manquant de nouveaux identifiants, les rapports d'employés substantiés, le temps entre la connexion de sécurité probable et l'avis à la NHTSA, et l'achèvement des réparations par cohorte.

Les décomptes bruts ont besoin de dénominateurs et d'explications de tendance afin qu'une augmentation des signalements ne soit pas mal interprétée comme une détérioration alors qu'elle peut montrer une plus grande confiance.

La bonne conclusion est que GM a mis en œuvre des réformes ciblant des points de défaillance connus et a fonctionné sous des obligations externes. Le dossier public ne soutient pas la conclusion plus forte que le risque d'escalade a été définitivement éliminé. Les contrôles institutionnels restent responsables seulement lorsque leur performance peut être observée dans le temps et lorsque les échecs ou les quasi-accidents entraînent une nouvelle modification de la conception.

La réforme réglementaire a amélioré les outils tout en préservant les risques familiers

La NHTSA a également changé après l'affaire. La clôture des recommandations du OIG, les procédures d'enquête révisées, l'expansion des données et les efforts de modernisation ultérieurs sont des preuves de réponse. Le Congrès et l'agence ont examiné les rapports d'alerte précoce, les enquêtes spéciales sur les accidents et la rapidité des constructeurs. Lerapport de 2023 au Congrès sur les améliorations des rapports d'alerte précocede la NHTSA décrit les changements proposés en matière de données, de technologie et d'analyse destinés à améliorer l'identification des défauts.

Les données d'alerte précoce ne sont utiles que si les définitions, la qualité et les seuils analytiques sont fiables. Les rapports des constructeurs peuvent montrer des décès, des blessures, des demandes de garantie et des rapports de terrain, mais les différences de codage et les récits incomplets peuvent cacher un schéma intersystème. Le filtrage automatisé peut classer les anomalies, mais les modèles reproduiront des données sources faibles et peuvent manquer une défaillance rare avec des conséquences graves.

Les enquêteurs humains ont toujours besoin de l'autorité pour relier le langage des plaintes, les dossiers d'accidents, l'historique des composants et les preuves de litige externes.

La documentation est un contrôle de sécurité. Si une agence envisage et refuse une enquête, le dossier doit énoncer l'hypothèse, les données examinées, l'incertitude, le groupe de comparaison et la condition qui rouvrirait la question. Cela permet aux examinateurs ultérieurs de distinguer une décision raisonnable sur des preuves limitées d'un problème qui a disparu entre les bureaux. Cela permet également à de nouvelles preuves de mettre à jour un jugement antérieur au lieu de repartir de zéro.

Les horloges d'escalade sont tout aussi importantes. Une file d'attente de plaintes peut atteindre des objectifs de traitement moyens tandis qu'un petit ensemble de cas de gravité élevée vieillit. Les conclusions ultérieures du OIG sur la rapidité et l'escalade incohérente montrent que les améliorations organisationnelles n'ont pas automatiquement résolu le flux de cas. Des mesures pondérées par le risque devraient exposer les cas non résolus les plus anciens impliquant une perte de propulsion, une perte de protection par retenue ou des décès multiples, même si le décompte statistique est faible.

La transparence réglementaire a des limites car les enquêtes contiennent des informations commerciales confidentielles et personnelles. La NHTSA peut toujours publier des raisons agrégées, des dates jalons et une logique de clôture. Elle peut indiquer quand un constructeur a divulgué une théorie pour la première fois, quand l'agence a obtenu des preuves critiques, quels tests indépendants ont été effectués et pourquoi la portée a changé. L'affaire du commutateur d'allumage montre que la surveillance perd de sa force lorsque le régulateur doit reconstruire la chronologie d'un constructeur seulement après une crise publique.

Le rôle durable du régulateur est le défi indépendant. Il ne devrait jamais dépendre du fait qu'une entreprise a déjà agrégé correctement ses preuves. En même temps, aucune quantité de modernisation de l'agence ne peut remplacer la traçabilité et la déclaration en temps opportun du constructeur. La redondance signifie que les deux couches devraient être capables de trouver le danger, pas que chacune peut supposer que l'autre le fera.

Les faits confirmés, les inférences étayées et les inconnues doivent rester séparés

Plusieurs faits sont confirmés par des admissions d'entreprise et des documents officiels. Les commutateurs affectés pouvaient fonctionner en dessous de la spécification de couple de GM. La conception a changé en 2006 sans nouveau numéro de pièce. GM a reçu des informations de calage et d'accident pendant des années. Le lien commutateur-airbag était compris par certains employés au printemps 2012. L'entreprise n'a pas commencé le rappel avant février 2014 et a admis une notification tardive. La NHTSA disposait de preuves d'accident pertinentes mais n'a pas ouvert d'enquête efficace.

Des pièces de rechange ont été produites et des millions de véhicules ont été rappelés. Les résolutions fédérales, étatiques et civiles ont imposé de l'argent, une surveillance, des obligations de processus ou une indemnisation.

L'inférence étayée est qu'aucun mystère technique unique n'explique le retard. Le mécanisme physique était conditionnel, mais l'institution a affaibli à plusieurs reprises sa capacité à le voir: une approbation en dessous des spécifications, une classification étroite, un enregistrement de modification de conception incomplet, des preuves d'accident et juridiques séparées, une enquête hors ligne et un accès tardif au comité. Le même schéma est apparu à la NHTSA, où les données et les enquêtes sont restées insuffisamment connectées.

Cette inférence découle de lacunes de contrôle documentées sans nécessiter une allégation selon laquelle tous les entités partageaient un plan de dissimulation.

Une autre inférence étayée est qu'une numérotation correcte des pièces aurait considérablement amélioré la traçabilité. Elle aurait exposé deux populations de composants et permis une comparaison sur le terrain plus fiable. On ne peut pas dire avec certitude que la numérotation seule aurait produit un rappel plus précoce. Les organisations peuvent aussi ignorer des preuves bien étiquetées. La traçabilité est une infrastructure nécessaire, pas une décision automatique.

Des faits importants restent inconnus ou non résolus dans les documents publics. Il n'y a pas de décompte complet et adjugé des décès et des blessures causés par le mouvement du commutateur. Le nombre actuel de véhicules affectés fonctionnant toujours sans réparation n'est pas établi par le rapport de campagne historique cité. Les sources publiques ne révèlent pas chaque test du superviseur ou chaque cas de sécurité post-réforme. Elles n'établissent pas la connaissance privée ou le motif de chaque individu. Elles ne peuvent pas montrer quels accidents spécifiques auraient eu des résultats différents si les airbags s'étaient déployés.

Certains contrefactuels sont plausibles mais non prouvables. Respecter la spécification de couple d'origine aurait probablement réduit la rotation accidentelle. Adopter la reconception de la tête de clé ou remplacer les premiers commutateurs aurait pu réduire l'exposition. Un nouveau numéro de pièce aurait probablement accéléré la comparaison technique. Une enquête de la NHTSA après l'accident du Wisconsin aurait pu forcer des tests et une divulgation plus tôt. Une référence obligatoire du litige à la sécurité en 2012 aurait pu déplacer le problème vers le comité de rappel.

Chaque intervention supprime une barrière documentée, mais aucune ne garantit le calendrier ou le résultat de chaque événement ultérieur.

L'incertitude devrait modifier la force d'une affirmation, pas suspendre l'action. Un constructeur n'a pas besoin de connaître le total final des blessures avant de corriger un composant qui échoue à sa spécification de sécurité et peut désactiver la protection par airbag. Un régulateur n'a pas besoin de prouver chaque accident avant d'ouvrir une enquête. Le seuil de décision pour une action protectrice est approprié inférieur au seuil de preuve pour attribuer une causalité légale ou une culpabilité pénale individuelle.

Un modèle de responsabilité durable commence avant l'horloge de rappel

Le premier contrôle devrait être une ligne de base de sécurité traçable. Chaque composant lié à la sécurité a besoin d'une spécification approuvée, d'un propriétaire nommé, d'un validateur indépendant, d'une approbation du fournisseur et d'un identifiant versionné. Un écart devrait enregistrer qui l'a accepté, les preuves, la durée et les contrôles compensatoires. Tout changement affectant l'ajustement, la forme, la fonction, le matériau ou la performance devrait créer une nouvelle révision qui reste liée à l'identification du véhicule et aux lots du fournisseur.

Le deuxième contrôle devrait être un dossier de sécurité d'entreprise unique. Les demandes de garantie, les plaintes des clients, les rapports de terrain, les analyses de données d'événement, les écarts fournisseur, les enquêtes d'ingénierie, les poursuites et les conclusions d'experts externes devraient être attachés à une hypothèse de danger commune lorsqu'ils partagent un composant, un symptôme ou une conséquence. L'accès peut rester basé sur les rôles, mais le système doit révéler que des preuves pertinentes existent.

Une limite de privilège juridique devrait protéger les conseils, pas empêcher une alerte de sécurité énonçant l'allégation technique et l'examen requis.

Le troisième contrôle devrait être une logique d'escalade explicite. Des événements définis devraient démarrer une horloge: échec à respecter une spécification de sécurité, accident impliquant une perte de systèmes de protection, calages inexpliqués répétés, changement de pièce non enregistré, contradiction de fournisseur ou test externe crédible. Le propriétaire devrait soit escalader, documenter une clôture motivée ou demander une extension courte et visible. Le vieillissement devrait atteindre automatiquement la direction de la sécurité indépendante. Le coût devrait être séparé de la détermination initiale de sécurité.

Le quatrième contrôle devrait préserver la qualité des décisions. Les dossiers du comité ont besoin des preuves considérées, de la dissidence, des inconnues, de la population affectée, du délai légal et des conditions qui changeraient la portée. Une cause racine incomplète ne devrait pas empêcher un avertissement provisoire ou un rappel progressif lorsqu'un danger crédible et une population délimitée sont connus. Inversement, une décision de rappel large devrait expliquer la logique d'inclusion afin que l'expansion ne soit pas confondue avec une réaction arbitraire.

Le cinquième contrôle devrait traiter l'avis au régulateur comme un flux d'information, pas un dépôt cérémoniel. La NHTSA devrait recevoir la chronologie matérielle, les théories concurrentes, les changements de pièce non enregistrés, les preuves d'accident et l'incertitude de portée au fur et à mesure qu'ils évoluent. Les ordonnances spéciales ne devraient pas être nécessaires pour extraire l'historique que le constructeur a déjà utilisé. Les régulateurs devraient maintenir leur propre dossier intégré et documenter les raisons d'ouvrir, de refuser ou d'étendre une enquête.

Le sixième contrôle devrait maintenir le dossier ouvert jusqu'à la réparation. L'avis au propriétaire, la capacité en pièces, l'installation chez le concessionnaire, les changements de titre, la mise à la casse et les véhicules résiduels appartiennent à la même chaîne de responsabilité. La clôture devrait exiger des décomptes de réparation vérifiables indépendamment et des preuves que la pièce corrigée fonctionne comme spécifié. Un taux de réparation en baisse devrait déclencher un ciblage proactif plutôt qu'un silence administratif.

Enfin, les conseils d'administration et les régulateurs ont besoin d'une assurance récurrente. Ils devraient échantillonner les quasi-accidents, pas seulement les rappels majeurs, et publier suffisamment de preuves agrégées pour montrer si les signaux faibles ont franchi les limites à temps. L'affaire du commutateur d'allumage n'est pas correctement répondue en disant qu'une pièce défectueuse a été remplacée.

Elle est répondue lorsque le système peut démontrer qu'aucun ingénieur, avocat, fournisseur, comité ou régulateur ne peut plus détenir un fragment critique pendant des années sans un propriétaire visible, une horloge en marche et une décision vérifiable.

La conclusion de responsabilité

General Motors avait le contrôle pratique sur les premières sauvegardes décisives: spécification de couple, approbation de production, traçabilité des composants, agrégation sur le terrain et escalade formelle des défauts. Il n'a pas exercé ces contrôles de manière adéquate. Un commutateur a été approuvé en dessous des spécifications, une reconception significative a été cachée par un numéro de pièce inchangé, et les preuves de calages, d'accidents et de non-déploiement d'airbags sont restées fragmentées.

Au moment où les poursuites extérieures ont aidé à exposer la différence physique, l'organisation avait passé des années à traiter des preuves liées comme des problèmes séparés.

La NHTSA a indépendamment échoué à transformer les informations disponibles d'accident et de plainte en une enquête en temps opportun. Cet échec a augmenté la durée de l'exposition publique, mais il n'a pas déchargé GM de sa connaissance antérieure, de ses données plus riches ou de son obligation de déclaration légale. Les concessionnaires et les propriétaires ont porté la charge opérationnelle de la réparation sans contrôler la conception ou la portée.

Les tribunaux, les procureurs, les régulateurs et les administrateurs d'indemnisation ont ensuite imposé différentes formes de responsabilité, aucune ne fournissant un grand livre causal universel.

La réponse a produit des preuves réelles: pièces corrigées, procédures de réparation, données historiques d'achèvement, pénalités, faits admis, surveillance et fonctions de sécurité réorganisées. La lacune de preuve restante concerne la durabilité et la retraite finale du risque. Les documents publics ne montrent pas la population actuelle non réparée ni ne fournissent un test indépendant reproductible prouvant qu'un danger ambigu similaire se déplacerait maintenant rapidement des preuves locales à l'autorité de rappel.

La leçon durable est procédurale et mesurable. La responsabilité de sécurité commence lorsque les preuves défient une spécification pour la première fois, pas lorsqu'un comité vote enfin. Elle se poursuit à travers le contrôle de version, la propriété de cas interfonctionnelle, l'avis au régulateur, la communication avec le propriétaire et la réparation vérifiée. Une entreprise qui peut montrer ces liens dans l'incertitude a plus qu'un programme de rappel. Elle a un système de contrôle capable d'apprendre avant que des avertissements dispersés ne deviennent une chronologie rétrospective de retard évitable.