Gouvernance VGP : répartir les rôles siège et établissements

La mise en œuvre d'une solution VGP au sein d'une organisation multisite ne se limite pas au déploiement d'un outil technique ; elle exige une définition chirurgicale des rôles entre les services centraux et les directions d'établissements. En tant qu'expert HSE, j'observe trop souvent des zones grises où le siège pense que le terrain contrôle, tandis que le terrain attend les directives du siège, créant ainsi des failles critiques dans la traçabilité des vérifications périodiques.

La dualité des responsabilités : qui fait quoi ?

Le Code du travail est explicite : l'employeur est responsable de la sécurité de ses travailleurs. Dans une structure complexe, cette responsabilité est souvent déléguée, mais la preuve du contrôle doit rester accessible. L'enjeu est de savoir où placer le curseur de l'administration des données.

• Le Siège (Direction HSE/Achats) : Il définit la politique globale, choisit la méthodologie de contrôle et assure la veille réglementaire. C'est ici que l'on configure les référentiels métiers, par exemple en se basant sur la recommandation R.489 pour les chariots automoteurs de manutention ou la R.486 pour les PEMP.
• L'Établissement (Responsable de site/Maintenance) : Il gère le quotidien. C'est lui qui accueille l'inspecteur, s'assure que les machines sont disponibles pour le contrôle et, surtout, lève les réserves notifiées dans les rapports.

Pour un consultant ou un inspecteur indépendant, l'utilisation d'un logiciel VGP pour indépendant permet de clarifier ces échanges dès la prestation de service, en structurant les livrables de manière homogène pour le client final.

Gouvernance des accès et preuve de conformité

Un point de friction majeur réside dans la gestion des droits d'accès. Une gouvernance efficace repose sur le principe du "moindre privilège". Le responsable d'un site A ne doit pas nécessairement pouvoir modifier les inventaires du site B. En revanche, le siège doit disposer d'une vue consolidée (dashboard) pour identifier les taux de retard de vérification à l'échelle du groupe.

La question de la preuve est centrale. L'article R.4323-23 du Code du travail impose que les résultats des vérifications soient consignés dans le registre de sécurité. Dans une organisation moderne, ce registre peut être dématérialisé, à condition que l'intégrité des documents soit garantie et que l'accès soit immédiat en cas de contrôle de l'Inspection du Travail ou de la CARSAT.

Critères de décision pour le choix de la solution

Le passage à une gestion numérique nécessite d'évaluer plusieurs critères contractuels et techniques, sans présumer des fonctionnalités intégrées par défaut. Voici les points de vigilance lors de l'audit d'une solution :

L'hébergement et la souveraineté des données

Pour les grands comptes, la question du stockage est primordiale. Il peut être pertinent de s'orienter vers une solution VGP en SaaS privé afin de garantir un cloisonnement strict des données et de répondre aux exigences des politiques de cybersécurité internes (DSI).

La flexibilité des workflows

Chaque entreprise a ses propres circuits de validation. La solution doit pouvoir s'adapter à la réalité du terrain : qui valide la levée d'une observation critique ? Le technicien de maintenance ou le responsable HSE ? Si le processus est trop rigide, les utilisateurs contourneront l'outil, rendant la traçabilité caduque.

Audit et revue de performance : le rôle du siège

Le siège ne doit pas être un simple spectateur. Son rôle est d'auditer régulièrement la qualité des saisies et la pertinence des plans d'actions. L'utilisation d'un logiciel VGP facilite cette revue de direction en extrayant des données brutes exploitables pour les revues de management ISO 45001.

Exemple fictif : L'entreprise "Industrie-X" dispose de 15 usines. Le siège constate via sa console de supervision que 30% des réserves concernant les appareils de levage (soumis à l'arrêté du 1er mars 2004) ne sont pas clôturées sous 3 mois. Cette donnée permet de déclencher une action de sensibilisation ciblée sur les sites concernés plutôt que de mener une campagne globale coûteuse et inefficace.

Erreurs fréquentes lors du déploiement

• Absence de définition des rôles dans le contrat : Ne pas préciser qui est responsable de l'archivage légal et de la disponibilité des données en cas de résiliation.
• Oublier les accès "Consultation seule" : Ne pas prévoir d'accès pour les organismes de contrôle ou les assureurs, ce qui oblige à des extractions manuelles fastidieuses.
• Négliger la formation des opérationnels : Penser qu'une interface intuitive suffit pour que les techniciens comprennent l'importance juridique de la clôture des observations dans l'outil.

À retenir

• Responsabilité partagée : Le siège définit le cadre et le référentiel (normes, périodicités), tandis que les sites assurent l'exécution et le suivi des levées de réserves.
• Traçabilité juridique : La solution doit garantir l'accès immédiat aux rapports conformément à l'article R.4323-23 du Code du travail.
• Gouvernance des données : Le choix du mode d'hébergement (SaaS public vs privé) doit être aligné avec la politique de sécurité informatique de l'entreprise.

Vérifié le 17/10/2026