Tout allait très bien la veille

Un mercredi, dans un pays européen, un industriel de l’agroalimentaire rappelle plusieurs millions d’unités d’un produit courant. La contamination avérée concerne, au mieux, quelques lots. On rappelle tout — non parce que tout est contaminé, mais parce que personne ne sait quoi.

Le plus troublant n’est pas le rappel. C’est la veille du rappel. La veille, tous les indicateurs étaient au vert. Des années sans incident majeur. Des audits conformes. Une confiance solide, étayée par un long historique.

Cette chaîne n’était pas solide. Elle était non testée — et la différence entre les deux est le sujet de cet article, parce qu’un homme a passé sa vie à la creuser.

Le problème de la dinde

Nassim Taleb classe les choses en trois familles, et la troisième n’avait pas de nom avant lui. Le fragile casse aux chocs : le verre, le château de cartes. Le robuste y résiste : le roc, indifférent. Et l’antifragile s’en nourrit : le muscle, qui a besoin de l’effort pour croître ; le système immunitaire, qui a besoin de l’exposition pour apprendre. La question à poser à tout système n’est donc pas « est-il performant ? » mais « que lui font les chocs ? ».

Pour montrer pourquoi cette question est si mal posée d’ordinaire, Taleb raconte une dinde. Mille jours durant, un éleveur la nourrit, la protège, la soigne. Au millième jour, la dinde dispose de mille points de données démontrant, avec une signification statistique écrasante, la bienveillance de l’espèce humaine. Sa confiance culmine très exactement la veille du réveillon.

La leçon dépasse la basse-cour : l’absence d’accident n’est pas une preuve de sécurité. C’est parfois juste un compteur qui tourne. Et l’opacité est une machine à fabriquer des dindes : une chaîne dont on ne voit pas l’intérieur produit exactement le même signal rassurant qu’une chaîne saine — des années de calme, des audits verts, rien à signaler. Jusqu’au jour où. Le calme d’un système opaque n’informe sur rien, sinon sur la patience de ce qui s’y accumule.

Ce que l’optimisation vend sans le dire

Pourquoi les chaînes alimentaires modernes sont-elles des dindes de compétition ? Parce qu’elles sont optimisées — et que l’optimisation, au sens de Taleb, est un échange dont on ne montre qu’une colonne.

Chaque progrès d’efficacité — le flux tendu, la source unique moins chère, la massification des lots, le stock zéro — retire quelque chose du système : du jeu, du mou, de la redondance, du temps. Le gain est visible chaque jour, en centimes par unité, sur un tableau de bord. Le coût, lui, est invisible — jusqu’au jour où il arrive, entier, d’un coup : la source unique défaille, le lot massifié contamine tout ce qu’il a touché, le flux tendu propage la rupture en heures.

Il faut le dire sans morale, car il n’y en a pas : optimiser n’est pas une faute. C’est un échange — de la robustesse contre de l’efficacité — et cet échange peut être parfaitement raisonnable. Le problème talebien est ailleurs : l’échange est caché. Dans une chaîne opaque, personne ne peut dire combien de fragilité a été vendue, ni à quel prix, ni où elle s’est logée. On n’achète jamais une chaîne fragile en connaissance de cause. On achète une chaîne dont personne ne peut dire si elle l’est — ce qui, au moment de payer, revient au même, et au moment de casser, coûte bien plus.

Casser petit : l’aviation contre l’assiette

Car voici le point que le mot « antifragilité » fait rater quand on le réduit à un slogan de résilience : un système ne gagne pas à l’erreur par magie. Il n’y gagne que si l’erreur enseigne — et une erreur n’enseigne que si elle est attribuable : reliée à un lieu, un moment, un geste, une cause.

Le cas d’école tient dans le ciel. L’aviation commerciale est, statistiquement, l’activité la plus sûre à laquelle un être humain puisse participer — et elle l’est devenue précisément ainsi : chaque incident, même mineur, même sans conséquence, est enregistré, tracé, attribué, analysé, puis réinjecté dans le système entier. Un moteur qui tousse au-dessus d’un océan modifie des procédures sur cinq continents. La boîte noire d’un avion est l’exact inverse de la boîte noire au sens courant : elle n’existe que pour être ouverte à chaque défaillance. L’aviation est antifragile parce qu’elle a industrialisé l’apprentissage par l’erreur — chaque petit choc rend le système plus sûr que la veille.

La chaîne alimentaire, elle, casse à l’aveugle. L’erreur non attribuable ne peut pas enseigner ; elle ne peut que se propager. Alors elle devient rappel massif — on rappelle tout parce qu’on ne sait pas quoi — le rappel devient perte sèche, la perte devient communication de crise, et personne n’apprend rien : la même défaillance reviendra sous un autre nom, dans une autre filière, l’an prochain. Des incidents, les deux systèmes en auront toujours. La différence est ce qu’ils en font.

C’est ici que la traçabilité change de nature. Elle n’est pas un outil de contrôle, ni un supplément de conformité : elle est la condition de l’apprentissage — ce qui permet à une chaîne de casser petit, tôt, localement, au lieu de casser grand, tard, partout. Une chaîne lisible transforme ses incidents en information. Une chaîne opaque les transforme en catastrophes.

La fragilité des autres

Reste la question que Taleb pose à tout système, et qui est devenue le titre de son dernier grand livre : qui a sa peau en jeu ? Autrement dit : la fragilité cachée, quelqu’un la porte — qui ?

Jamais celui qui l’a créée. C’est la propriété la plus sombre de l’opacité, et elle n’exige aucune malveillance pour fonctionner : celui qui retire le mou du système empoche le gain en centimes, visible et quotidien ; celui qui mange porte le risque, invisible et différé ; et entre les deux, les maillons étant indistincts, personne n’est identifiable — donc personne n’est responsable. L’opacité est une machine à transférer la fragilité vers ceux qui ne décident rien. Il n’y a pas de coupable à ce transfert. Il y a une structure, et la structure suffit.

La preuve inverse le sens du transfert. Celui qui inscrit sa pratique dans un registre ouvert fait une chose que le calme statistique ne fera jamais : il s’expose. Son geste est daté, situé, attribuable — vérifiable par n’importe qui, y compris le jour où quelque chose tourne mal. Prouver, c’est engager. Et c’est exactement ce qui rend son signal crédible, quand tant d’autres ne coûtent rien à émettre : la promesse qui n’engage pas son auteur ne vaut que l’encre de son étiquette.

Il faut alors aller au bout de la logique, car elle a une conséquence économique : ce qui engage mérite salaire. Celui qui remet sa peau dans le jeu — qui prend sur lui le risque d’être vérifié — rend un service à toute la chaîne : il la rend apprenante, assurable, digne de confiance. Un système bien construit rémunère ce service, comme il rémunère tout ce qui réduit sa fragilité. Un système mal construit le facture — et s’étonne ensuite que personne ne prouve rien.

Rejouons le rappel du début, dans une chaîne lisible. Mercredi, 9h : alerte sur un lot. 11h : trois lots identifiés, leur chemin exact reconstitué, les points de vente concernés notifiés — le retrait est chirurgical, pas massif. Vendredi : la cause est remontée jusqu’à son maillon, la procédure corrigée, la correction propagée. L’incident a eu lieu ; le système est meilleur qu’avant l’incident.

Le but n’a jamais été une chaîne qui ne casse pas. Elle n’existe pas — et la promettre, c’est fabriquer la prochaine dinde. Une chaîne opaque casse en silence, puis d’un coup. Une chaîne lisible casse petit — et apprend.

—

Nassim Nicholas Taleb : le problème de la dinde est exposé dans Le Cygne noir (2007) ; la triade fragile/robuste/antifragile dans Antifragile (2012) ; la question de l’exposition au risque dans Skin in the Game (2018, trad. Jouer sa peau). L’exemple de l’aviation comme système apprenant lui doit beaucoup, ainsi qu’à des décennies de culture du retour d’expérience dans l’aéronautique civile.