ISO 45001 : le management de la santé-sécurité au travail en étapes

Chaque année, des millions de personnes meurent de causes liées au travail, et une grande part de ces décès tient à des maladies plus qu’à des accidents spectaculaires. Face à ce constat, les organisations disposent d’un outil de gestion : l’ISO 45001, qui ne décrit pas une liste de mesures techniques, mais une manière d’organiser la prévention pour qu’elle soit pilotée, mesurée et corrigée dans la durée.

Ce que l’ISO 45001 est, et ce qu’elle n’est pas

L’AFNOR présente l’ISO 45001 comme la première norme internationale consacrée au système de management de la santé et de la sécurité au travail, souvent abrégé en SMSST. Elle s’adresse à tout type d’organisation, quels que soient sa taille ou son secteur, et propose un cadre pour réduire les lésions et les atteintes à la santé liées à l’activité professionnelle. Le texte a été approuvé par 93 % des pays représentés lors du vote final du 25 janvier 2018, ce qui explique son statut de référence commune.

Il faut en revanche écarter un malentendu fréquent : la norme ne fixe pas de valeurs limites d’exposition, ne remplace pas la réglementation et ne garantit pas, en soi, un niveau donné de sécurité. Elle exige qu’une organisation identifie ses dangers, connaisse les règles qui lui sont applicables, se donne des objectifs et vérifie qu’elle les atteint. Le contenu de la prévention reste donc défini par les risques réels de chaque site et par le droit en vigueur.

Une démarche volontaire, bâtie sur une structure commune

La mise en place d’un système de management de la santé-sécurité n’est pas une obligation légale pour une entreprise : la démarche est volontaire, comme le rappelle l’AFNOR. Les obligations de l’employeur en matière de prévention, elles, s’appliquent dans tous les cas. L’ISO 45001 sert alors de cadre pour organiser ces obligations plutôt que d’y ajouter une couche réglementaire.

Comme les autres normes de management, elle repose sur une logique d’amélioration continue : planifier, mettre en œuvre, vérifier, corriger. Cette architecture commune est détaillée dans l’article consacré à la norme ISO 14001 et au système de management environnemental, ce qui permet de comprendre pourquoi les organisations déjà familières avec l’un de ces référentiels retrouvent des repères dans l’autre et peuvent intégrer plusieurs systèmes dans un même dispositif.

Les étapes de mise en place

Aucune séquence unique n’est imposée, mais la plupart des démarches suivent un enchaînement logique, qui part du diagnostic pour aboutir à la revue de direction.

1. Cadrer le projet : définir le périmètre du système, les sites et activités concernés, et désigner un pilote disposant d’une légitimité suffisante.
2. Obtenir l’engagement de la direction : une politique de santé-sécurité formalisée, des moyens alloués et des responsabilités clairement attribuées.
3. Analyser le contexte : identifier les parties intéressées (salariés, représentants du personnel, sous-traitants, clients, autorités) et leurs attentes.
4. Identifier les dangers et évaluer les risques, puis recenser les exigences légales applicables.
5. Fixer des objectifs mesurables et planifier les actions, avec des indicateurs, des échéances et des responsables.
6. Mettre en œuvre : formation, communication, maîtrise des opérations, préparation aux situations d’urgence, gestion des sous-traitants.
7. Évaluer : surveillance des indicateurs, audit interne, analyse des incidents et des écarts.
8. Réviser : revue de direction, actions correctives et relance du cycle.

Participation des travailleurs et maîtrise opérationnelle

Deux exigences distinguent nettement l’approche de la norme d’une simple liste de consignes. La première est la consultation et la participation des travailleurs : ceux qui exécutent les tâches connaissent les situations dangereuses, les contournements habituels et les défauts d’organisation. Les associer à l’identification des dangers améliore la qualité de l’analyse et l’adhésion aux mesures retenues.

La seconde est la maîtrise opérationnelle, qui consiste à traduire l’analyse en pratiques concrètes. La logique de prévention privilégie d’abord la suppression du danger à la source, puis sa réduction par des moyens techniques ou organisationnels, et seulement en dernier recours la protection individuelle. Cette hiérarchie évite de reporter sur l’opérateur un risque qui aurait pu être traité en amont. La traçabilité de ces choix suppose par ailleurs une gestion rigoureuse des informations documentées, un sujet proche de celui des systèmes d’information et de la gestion des données en entreprise.

Le document unique, pivot de l’évaluation des risques en France

En France, l’évaluation des risques débouche sur le document unique d’évaluation des risques professionnels, ou DUERP. Il constitue naturellement la base de la phase d’identification des dangers d’un système ISO 45001, mais il ne la remplace pas : la norme demande en plus des objectifs, des indicateurs, des audits et une revue périodique.

Le cadre juridique comporte plusieurs repères utiles. Selon l’INRS, les versions successives du document doivent être conservées et archivées pendant 40 ans à compter de leur élaboration. Depuis le 31 mars 2022, l’employeur doit consulter l’instance représentative du personnel sur le DUERP et sur ses mises à jour. Le code du travail n’impose en revanche aucune mention obligatoire de date ou de signature, ce qui laisse de la souplesse sur la forme, d’après un focus juridique de l’INRS.

Ce que montre la recherche sur l’efficacité de ces systèmes

Une étude de l’INRS consacrée aux systèmes de management de la santé-sécurité apporte un éclairage nuancé. Selon ses conclusions, l’efficacité d’un tel système dépend d’abord de l’organisation de l’entreprise et de ses stratégies de prévention. L’institut en tire que le résultat tient moins au référentiel choisi qu’aux conditions de mise en œuvre des politiques. On peut consulter l’étude de l’INRS pour en lire le détail.

Cette lecture invite à considérer la norme comme un instrument et non comme une fin. Un référentiel structuré aide à ne rien oublier, à répartir les responsabilités et à garder une trace des décisions. Mais la qualité du dialogue avec les équipes, la disponibilité des moyens et la place réelle donnée à la prévention dans les arbitrages quotidiens pèsent davantage que le choix d’un label.

Enjeux, certification et révision en cours

L’enjeu est loin d’être théorique. Selon l’Organisation internationale du Travail, près de trois millions de travailleurs meurent chaque année d’accidents ou de maladies liés au travail, soit une hausse de plus de 5 % par rapport à 2015. Les maladies circulatoires, les tumeurs malignes et les maladies respiratoires figurent parmi les trois premières causes de ces décès, ce qui rappelle que les expositions chroniques et l’organisation du travail comptent autant que les accidents immédiats. Ces données figurent dans une publication de l’OIT.

La certification par un organisme tiers est une option, pas une étape obligatoire du système : une organisation peut appliquer la norme et s’auto-évaluer sans demander d’attestation. Lorsqu’une certification est envisagée, ses conditions et son coût dépendent de l’organisme choisi et de la taille du périmètre, et doivent être demandés directement aux certificateurs.

Enfin, la norme évolue. Une version 2027 est en préparation et a fait l’objet d’une enquête publique en France de la mi-juin à la mi-août 2026. Les organisations déjà engagées dans la démarche devront donc suivre les changements, puis évaluer l’écart entre leur système actuel et les nouvelles exigences, sans attendre la publication pour consolider leurs fondamentaux.

Questions fréquentes