Le diagnostic sécurité entreprise sert à mesurer le niveau réel de maîtrise des risques, à repérer les écarts réglementaires et à transformer des constats parfois diffus en décisions concrètes. Pour une TPE, une PME, une collectivité ou un site industriel, c’est un point de départ utile pour structurer la prévention, préparer un audit, alimenter le DUERP ou prioriser des investissements.
Les approches varient selon l’objectif recherché. Certaines portent surtout sur la santé et la sécurité au travail, d’autres sur la conformité au Code du travail, la sécurité économique, la cybersécurité ou une démarche QSE plus large. Le principe reste le même, obtenir une vision claire des points forts, des fragilités et des actions à engager.
Qu’est-ce qu’un diagnostic sécurité entreprise ?
Un diagnostic sécurité entreprise est une évaluation structurée de l’organisation, des pratiques, des équipements, des procédures et des risques auxquels une entreprise est exposée. Il peut couvrir la santé et sécurité au travail, la conformité réglementaire, la sûreté-malveillance, la cybersécurité ou encore la sécurité économique.
Concrètement, il s’agit d’un état des lieux fondé sur des documents, des entretiens, des observations terrain et une analyse des écarts. L’objectif n’est pas seulement de constater, mais de qualifier les vulnérabilités et de proposer un plan d’action crédible.
Des acteurs comme Apave distinguent par exemple plusieurs niveaux de lecture :
- un diagnostic de l’organisation santé-sécurité-environnement, basé sur environ 170 questions et couvrant 10 domaines, dont 7 en santé-sécurité et 3 en environnement
- un diagnostic réglementaire sécurité-santé, centré sur l’état de conformité au Code du travail, avec un périmètre pouvant aller jusqu’à 1500 exigences réparties en 34 domaines
Cette distinction est utile. Une entreprise peut avoir une organisation plutôt solide, mais présenter des non-conformités précises sur les formations, les vérifications périodiques, les équipements de travail ou le risque chimique.
À quoi sert un diagnostic sécurité entreprise ?
Le diagnostic sert d’abord à faire apparaître la réalité opérationnelle. Les procédures écrites ne disent pas toujours ce qui se passe sur le terrain. Une visite d’atelier, un échange avec les encadrants ou l’analyse d’un accident bénin révèlent souvent des écarts que les tableaux de bord ne montrent pas.
Il permet aussi de répondre à plusieurs enjeux très concrets :
- prioriser les risques et éviter de disperser les moyens
- préparer un plan d’action avec des échéances réalistes
- alimenter ou fiabiliser le DUERP
- préparer une certification, comme ISO 45001 ou MASE
- réduire l’exposition juridique de l’employeur en cas d’accident ou de contrôle
- améliorer le dialogue interne entre direction, managers, CSE et salariés
- sécuriser une reprise d’entreprise en révélant les coûts cachés de mise en conformité
Dans le cadre d’une reprise, Bpifrance Création présente le diagnostic QSE comme un outil stratégique. Il sert à identifier les risques cachés, à évaluer les obligations réglementaires et à anticiper des charges futures, par exemple en sécurité incendie, en accessibilité, en traitement des déchets ou en formation du personnel.
Le diagnostic peut aussi avoir un angle plus ciblé. Côté sécurité économique, l’outil public DIAGSECO, porté dans l’écosystème du ministère de l’Économie et relayé par les DREETS, aide à détecter en quelques minutes des vulnérabilités liées à l’information stratégique, aux partenariats, à la chaîne d’approvisionnement ou à la réputation. Cet auto-diagnostic n’a aucune valeur réglementaire, mais il éclaire des zones de fragilité souvent sous-estimées.
| Type de diagnostic | Objectif principal | Exemple de périmètre | Résultat attendu |
|---|---|---|---|
| Santé et sécurité au travail | Évaluer l’organisation de la prévention | Formations, équipements, consignes, accidents, DUERP | Priorités d’amélioration et plan de prévention |
| Réglementaire | Mesurer la conformité aux textes applicables | Code du travail, vérifications, affichages, obligations employeur | Liste des non-conformités priorisées |
| QSE | Articuler qualité, sécurité et environnement | Processus, conformité, impacts, culture d’entreprise | Vision globale des forces et axes de progrès |
| Cybersécurité | Évaluer la protection de l’information | Interviews, organisation, mesures en place, reprise d’activité | Photo du niveau de sécurité et actions prioritaires |
| Sécurité économique | Repérer les vulnérabilités stratégiques | Information sensible, partenaires, SI, actifs immatériels | Rapport personnalisé et recommandations |
Le diagnostic sécurité entreprise est-il obligatoire ?
Le diagnostic sécurité entreprise n’est pas, en tant que tel, toujours imposé par un texte sous cette appellation. En revanche, une partie de ce qu’il recouvre relève d’obligations légales très claires, notamment en matière d’évaluation des risques professionnels.
Le site travail-emploi.gouv.fr rappelle que l’évaluation des risques est une obligation de l’employeur. Elle constitue un diagnostic systématique et exhaustif des risques auxquels les travailleurs peuvent être exposés. Les résultats doivent être transcrits et mis à jour dans le document unique d’évaluation des risques professionnels, le DUERP, en application des articles L.4121-3 et L.4121-3-1 du Code du travail.
Autrement dit, le diagnostic n’est pas toujours obligatoire sous forme d’audit externe, mais l’analyse des risques, elle, l’est.
Quels liens avec le document unique d’évaluation des risques
Le DUERP est le socle réglementaire de la prévention. Il répertorie l’ensemble des risques professionnels et assure la traçabilité collective des expositions. Le diagnostic sécurité entreprise vient souvent :
- préparer la création du DUERP
- mettre à jour une évaluation devenue trop théorique
- compléter un document unique incomplet
- hiérarchiser les risques avant définition des actions
- associer davantage les acteurs internes au processus
Le cadre public est clair sur la contribution de plusieurs parties prenantes, notamment le CSE, les salariés compétents en prévention et le service de prévention et de santé au travail. Le diagnostic devient alors un outil de travail collectif, et pas seulement un document produit pour un contrôle.
Pour faciliter cette démarche, l’Assurance Maladie et l’INRS mettent à disposition un outil gratuit d’évaluation des risques professionnels, rappelé par Ameli dans un contenu publié le 17 juin 2024. L’outil permet de faire un diagnostic des risques liés à l’activité, de proposer des actions de prévention et d’éditer un DUERP sur mesure. Il fonctionne à partir d’un questionnaire anonyme et s’adapte selon le métier.
Quelles obligations de l’employeur vérifier
Un diagnostic sérieux doit vérifier si l’employeur remplit ses obligations au-delà du seul DUERP. Le champ peut être large :
- évaluation des risques liée aux procédés de fabrication
- prise en compte des équipements de travail
- analyse des substances chimiques
- impact de l’aménagement des lieux de travail
- effets de l’organisation du travail et des postes
- prise en compte de l’impact différencié selon le sexe
- formations obligatoires et formations au poste
- vérifications et maintenance des équipements
- consignes d’urgence, incendie, évacuation, premiers secours
- gestion des entreprises extérieures et de la coactivité
Le diagnostic réglementaire d’Apave donne une bonne idée de l’étendue possible du contrôle, avec 34 domaines couvrant par exemple les AT/MP, l’ambiance de travail, les travaux en hauteur, l’incendie explosion, le risque chimique, le risque électrique, la manutention manuelle, les EPI, les RPS ou encore l’amiante.
Quels risques couvre un diagnostic sécurité entreprise ?
Le périmètre dépend de l’activité, de la taille de l’entreprise et du niveau de maturité de la prévention. Le diagnostic peut rester centré sur la santé et sécurité au travail, ou intégrer des sujets plus larges de continuité, d’information et de conformité globale.
Parmi les risques le plus souvent couverts, on retrouve :
- risques physiques, chutes, manutentions, bruit, vibrations
- risques mécaniques, machines, équipements, organes en mouvement
- risques électriques
- risques chimiques, exposition, stockage, étiquetage, ventilation
- risque incendie et explosion
- risques liés aux circulations et au risque routier
- risques psychosociaux et organisation du travail
- risques biologiques, selon le secteur
- espaces confinés, travaux spécifiques, hyperbare, radioprotection, si concernés
- sûreté-malveillance, accès, biens matériels, intrusions
- cybersécurité et protection de l’information
- sécurité économique, fuite d’information, dépendances critiques, réputation
L’outil DIAGSECO structure son questionnaire en 9 rubriques, parmi lesquelles les relations commerciales, les actifs immatériels, les systèmes d’information, la chaîne d’approvisionnement, la réputation et les locaux. Cette approche montre qu’un diagnostic sécurité entreprise ne se limite plus aux seuls accidents du travail.
Sur le volet cybersécurité, Dstny présente un diagnostic réalisé sans intervention technique sur les systèmes, via des interviews des personnes clés, pour évaluer la capacité de l’entreprise à résister puis à redémarrer après un événement majeur. C’est particulièrement utile quand une entreprise a besoin d’une première photographie sans mobiliser lourdement ses équipes internes.
Quels écarts de sécurité repérer en priorité
Certains écarts doivent remonter immédiatement dans le diagnostic car ils combinent forte gravité et fréquence élevée, ou exposent directement l’employeur à une non-conformité manifeste.
- absence ou obsolescence du DUERP
- formations sécurité manquantes ou non tracées
- équipements de travail non vérifiés ou mal maintenus
- consignes d’urgence inadaptées, exercices absents, matériel incendie non suivi
- travaux en hauteur sans protections adaptées
- gestion insuffisante des produits chimiques, fiches de données, stockage, ventilation
- coactivité mal maîtrisée avec les entreprises extérieures
- EPI disponibles mais mal choisis, non portés ou non contrôlés
- signaux faibles de RPS, absentéisme, tensions d’équipe, surcharge chronique
- droits d’accès, mots de passe, sauvegardes ou reprise d’activité non cadrés sur le plan numérique
Le diagnostic gagne en pertinence quand il distingue les écarts de papier et les écarts de terrain. Une procédure peut exister, mais être inconnue des équipes, impossible à appliquer ou déconnectée des contraintes réelles.
Quelle méthode utiliser pour un diagnostic sécurité entreprise
Une méthode efficace combine trois dimensions, la collecte d’informations, l’observation réelle du travail et la hiérarchisation argumentée des risques. Le niveau de profondeur varie selon le besoin. QHSE Concept évoque par exemple une prestation de 1 à 2 jours d’audit pour un premier diagnostic, selon le périmètre, la taille et les activités de l’entreprise.
Pour un diagnostic plus structurant, plusieurs outils publics ou privés peuvent servir de base :
- GPSST de l’INRS, un diagnostic partagé des pratiques de prévention, fondé sur 7 domaines d’évaluation
- outil d’évaluation des risques Assurance Maladie et INRS, orienté DUERP
- DIAGSECO, pour la sécurité économique
- référentiels internes ou matrices d’audit construites à partir du Code du travail, d’ISO 45001 ou de MASE
Quelles données collecter avant le diagnostic
La phase préparatoire conditionne la qualité du diagnostic. Avant toute visite, il faut rassembler les données qui permettront de comprendre l’activité et de cibler les points sensibles.
- organigramme et répartition des responsabilités
- DUERP existant et historiques de mise à jour
- plans de prévention, protocoles, permis, consignes
- registre des accidents du travail, presque accidents, maladies professionnelles
- plan de formation sécurité et habilitations
- rapports de vérifications périodiques
- inventaire des équipements, machines, produits chimiques et EPI
- plan des locaux, flux, zones à risques, stockages
- résultats d’audits précédents et actions non soldées
- indicateurs RH utiles, turnover, absentéisme, restrictions médicales
Cette préparation permet d’éviter le diagnostic superficiel qui se limite à une promenade dans les locaux. Chez Apave, la logique de périmètre modulable est intéressante, l’entreprise choisit les domaines et sous-domaines à auditer selon son contexte et ses priorités.
Comment conduire les entretiens et les observations
Les entretiens doivent croiser plusieurs niveaux de perception. La direction ne voit pas les mêmes difficultés que le manager de proximité ou l’opérateur. L’INRS insiste d’ailleurs sur la valeur du diagnostic partagé comme support au dialogue dans l’entreprise.
Une trame d’entretien utile couvre :
- les tâches réelles réalisées
- les écarts entre procédure et pratique
- les situations d’urgence déjà rencontrées
- les difficultés de matériel, d’espace ou de temps
- les besoins de formation
- les incidents passés et presque accidents
- les idées d’amélioration proposées par les équipes
L’observation terrain doit porter sur les postes, les circulations, les manutentions, l’usage des EPI, le rangement, la signalisation, la coactivité, la maintenance et la capacité à réagir en cas d’incident. Dans certains diagnostics, comme ceux cités par Dstny ou QHSE Concept, les interviews des personnes clés constituent une source centrale d’information, à condition de les confronter au terrain.
Comment hiérarchiser les risques selon leur criticité
Un bon diagnostic ne livre pas une simple liste. Il classe les risques pour aider à décider. La hiérarchisation peut reposer sur une grille intégrant :
- la gravité potentielle du dommage
- la probabilité ou fréquence d’exposition
- le nombre de personnes exposées
- le niveau de maîtrise existant
- l’urgence réglementaire
- l’impact sur l’activité, la production, l’image ou la continuité
Dans les outils publics récents orientés DUERP, la logique suit généralement cinq étapes, préparer l’évaluation, identifier les risques, hiérarchiser, proposer des actions de prévention, puis éditer le document. Cette séquence a l’avantage d’éviter le plan d’action générique.
| Critère | Question à se poser | Exemple d’effet sur la priorité |
|---|---|---|
| Gravité | Quel dommage peut survenir ? | Accident grave ou incendie, priorité haute |
| Fréquence | À quelle cadence l’exposition existe-t-elle ? | Exposition quotidienne, priorité renforcée |
| Maîtrise | Les protections sont-elles fiables et appliquées ? | Mesures absentes ou contournées, priorité haute |
| Conformité | Y a-t-il une obligation réglementaire non respectée ? | Non-conformité explicite, traitement rapide |
| Impact activité | Le risque peut-il bloquer l’exploitation ? | Arrêt de production ou perte de données, priorité stratégique |
Qui peut réaliser un diagnostic sécurité entreprise ?
Le diagnostic peut être réalisé en interne, en externe ou selon une formule mixte.
En interne, les acteurs les plus légitimes sont :
- le responsable HSE ou QSE
- la direction de site ou de production
- le salarié compétent en prévention
- le CSE, dans son rôle d’analyse des risques
- le service de prévention et de santé au travail, en appui
En externe, un consultant spécialisé apporte un regard neuf, une meilleure lecture réglementaire et une capacité de comparaison avec d’autres organisations. Apave met clairement en avant la valeur ajoutée d’un consultant expert pour prioriser les non-conformités et cibler les investissements. QHSE Concept positionne aussi le diagnostic comme une porte d’entrée vers un référentiel adapté, qu’il soit réglementaire, ISO 45001, MASE ou intégré.
Pour des besoins ciblés, d’autres intervenants sont pertinents :
- un spécialiste cybersécurité pour la protection de l’information et la résilience numérique
- un conseil en sécurité économique pour les actifs stratégiques et les vulnérabilités d’ingérence
- un expert technique sur l’amiante, la radioprotection, le biologique ou les espaces confinés
Le bon choix dépend du périmètre. Un audit sécurité généraliste ne remplacera pas une expertise hyper spécialisée, et un auto-diagnostic en ligne ne remplacera pas toujours une visite terrain.
Comment formaliser un rapport clair et exploitable
Un rapport de diagnostic doit permettre une décision rapide. S’il empile les constats sans classement ni preuve, il restera dans un dossier. Un format efficace comprend :
- le périmètre du diagnostic
- la méthode utilisée, documents, entretiens, visites
- les écarts constatés, illustrés et localisés
- les risques associés et leur niveau de criticité
- les références applicables, réglementaires ou normatives
- les points forts à consolider
- les actions recommandées, avec priorité, responsable et délai
Le fond compte autant que la forme. Un bon rapport distingue :
- les actions immédiates, liées à un danger sérieux ou à une non-conformité nette
- les actions à court terme, qui sécurisent l’exploitation
- les actions structurantes, comme la refonte d’une procédure, d’une formation ou d’une organisation
- les actions de maturité, utiles pour préparer une certification ou un pilotage plus avancé
L’intérêt des approches comme GPSST de l’INRS est de combiner des mesures quantifiées et des commentaires circonstanciés. Ce format aide à objectiver la situation tout en gardant le contexte réel de l’entreprise.
Comment transformer le diagnostic en plan d’action
Le passage au plan d’action est le vrai test du diagnostic. Chaque recommandation doit devenir une action suivie, budgétée et attribuée. Sans cela, le rapport reste descriptif.
Un plan d’action exploitable comporte au minimum :
- une action formulée clairement
- un objectif précis
- un responsable désigné
- une échéance
- les moyens nécessaires
- un indicateur de résultat
- un statut de suivi
Exemples d’actions concrètes :
- mettre à jour le DUERP avec analyse par unité de travail d’ici 30 jours
- planifier les vérifications périodiques manquantes sur les équipements de levage
- revoir la formation au poste sur une ligne présentant plusieurs presque accidents
- sécuriser le stockage des produits chimiques et mettre à jour les procédures associées
- formaliser le pilotage des accès informatiques et des sauvegardes
- réaliser un exercice d’évacuation et corriger les écarts de temps de réaction
Le suivi dans le temps est essentiel. Dstny parle de photos à intervalles réguliers pour mesurer l’amélioration du niveau de sécurité, et l’INRS souligne aussi l’intérêt d’un usage répété des outils de diagnostic pour suivre les actions engagées. Cette logique transforme le diagnostic en outil de pilotage, pas seulement en contrôle ponctuel.
Un diagnostic sécurité entreprise devient vraiment utile quand il relie trois niveaux, obligation réglementaire, réalité du terrain et décision managériale. C’est cette articulation qui permet d’éviter les plans d’action théoriques, de renforcer la prévention et de protéger durablement l’activité, les salariés et les actifs sensibles de l’entreprise.
