Débats et chiffres sur l'amélioration globale de la sécurité

La Health Foundation a chargé Charles Vincent et ses collègues de rédiger un audit complet sur la mesure de la sécurité en médecine.

Les chiffres de la sécurité du patient ne s’améliorent pas malgré l’énergie des actions entreprises.  La mesure de la sécurité du patient pose une série de difficiles problèmes. Par exemple, on ne sait pas trop s’il faut se focaliser sur les erreurs, ou sur les conséquences sur le patient, ou sur la fiabilité du système, ou d’autres cibles.

La méthode adoptée procède par revues, audits et interviews de différents systèmes hospitaliers au RU et aux USA, chaque fois avec une équipe de consultants ou de correspondants qui vont utiliserLee m un cadre d’analyse commun. Les sites  incorporés dans l’étude sont :  Le Great Ormond Street Hospital for Children London, l’University College London Hospitals, l’Anesthetic Services d’Imperial College London, le Geriatric Services The Hillington Hospitals London, les Central and North West Hospitals London, le NHS South West Hospital London, au Pays de Galles l’Aneurin Bevan Health board, en région anglaise l’Avon and Wiltshire Mental Health, l’ Obstetrics Services North Bristol Trust, et aux USA le réseau Intermountain Healthcare et un hôpital Medicare,

Chapitre 1 : Concepts, définitions, et défis. On ne manque pas de statistiques de fréquence d’EIG en médecine. Elles  ont contribué à se préoccuper de la sécurité, mais paradoxalement, nous n’avons toujours pas amené une grande certitude sur le fait que la sécurité se soit améliorée, ni même que ces statistiques aient du sens.

La définition de la sécurité reste très difficile.

La plus simple reste The avoidance, prevention and amélioration of adverse outcomes or injuries stemming from the process of healthcare. On voit clairement que sécurité ne veut pas dire juste éviter, mais aussi bien prendre en charge. La résilience de l’organisation et des individus, les rendant capables de gérer les variations impondérables aux systèmes complexes, doit faire partie de la définition.

La sécurité ne peut pas non plus être totalement séparée de la Qualité et du Coût du soin.  L’accès à tous à un coût acceptable est l’objectif prioritaire de la santé, même s’il doit être réalisé de façon sûre (objectif secondaire).  On notera que l’absence d’accès est aujourd’hui aussi associé à un EIG.

Certains auteurs proposent de faire une distinction entre événement justement sur la base des liens perçus entre erreur et conséquences en distinguant les causes évidentes liées à une erreur et à sa conséquence immédiate (erreur de dose ou de produit par exemple), et celles liés à des stratégies omises (pas prescrire de bétabloquants après un infarctus) dont les conséquences sont différées, plus ou moins indirectes et parfois considérées différemment entre professionnels. Cette dernière catégorie est appelée Problème de sécurité (safety issue). Le risque d’une telle approche (hélas trop souvent adoptée en médecine) est évidemment de ne prioriser que la première catégorie dans les politiques de sécurité du patient (parce que l’évidence est facile et partagée), alors que la réalité des EIG dépendent en nombre et en gravité surtout de la seconde catégorie. 

Une solution pour clarifier une définition plus consensuelle pourrait consister à regarder la définition de la sécurité sous son angle social : qu’est ce qui est acceptable . Bien sûr cette acceptabilité varie avec le temps, et la compréhension des maîtrises des gestes et protocoles. Les infections associées aux soins étaient encore vues comme systématiquement des aléas il n’y a pas si longtemps ; alors qu’elle sont vues aujourd’hui souvent comme des fautes. En même temps, si l’on adopte cette voie, on augmente mécaniquement et progressivement le périmètre de ce qui est inacceptable, et donc le volume d’EIG, et la pression sur les professionnels, même (et c’est un autre problème) si plus on va, moins le professionnel isolément est responsable de l’événement et plus le groupe ou le collectif l’est par son défaut d’organisation ou de synchronisation.

Un autre piège habituel est de faire un lien entre erreur et sécurité du patient, de sorte qu’il vienne comme logique de dire que supprimer les erreurs va résoudre le problème de la sécurité. Evidemment c’est inexact. Les Evènements indésirables touchant le patient sont très nombreux (complications, infections, surdoses, etc ) et seulement une fraction d’entre eux sont objectivement liés à des erreurs caractérisés de professionnels. Si l’on attaque le problème de la sécurité par le seul lien erreur-conséquences inacceptables , on risque ne sous estimer considérablement la question de la sécurité du patient, et surtout des innombrables cas mixtes où la combinaison maladie-prise en charge n’est pas optimale (donc améliorable) sans que l’on retrouve des erreurs grossières de l’un ou l’autre des professionnels en charge. Inversement, un autre biais à la même approche est que la très grande majorité des erreurs (grossières) sont finalement sans conséquences sur le patient (imaginons une étude qui montrerait que l’on retrouve une erreur flagrante chez 60% des patients subissant un problème de transfusion. Supposons maintenant que nous ayons 60% d’erreurs dans les transfusions réussies et sans conséquences pour le patient. Pourrait-on dire que l’erreur cause l’EIG ?, Hofer, Keer, Hayward, 2000, What is an error ? Clinical Practice)

On sait aussi qu’il y a bien d’autres facteurs qui vont affecter le codage de l’erreur à l’hôpital, notamment sa culture et les caractéristiques de son personnel, sa direction et de la tutelle. Une étude très récente conduite sur la variabilité intra hospitalière anglaise des déclarations de vigilance sur les infections est particulièrement claire sur ce point. L’étude montre que chaque hôpital a finalement des interprétations de définitions différentes pour inclure ou exclure des déclarations, certains vont déclarer ce que d’autres ne déclarent pas, et ils vont le faire de façon différente quand ils le font, en indexant la gravité et les conséquences différemment. Au total, le système de vigilance national anglais, malgré son apparent formalisme théorique et son caractère obligatoire, ressort de ce constat avec une étonnante instabilité et une absence patente de standardisation qui nuit gravement à la connaissance de l’incidence du vrai risque (Dixon-Woods M, Leslie M, Bion J, Tarrant C. What counts? An ethnographic study of infection data reported to a patient safety program. Milbank Q. 2012;90(3):548-91.).

Chapitre 2 : le développement de la sécurité du patient au NHS a permis dès 2000 d’adopter 4 priorités : un système unifié de signalement national, une action nationale forte pour faciliter les signalements en les dépénalisant, un mécanisme continue d’analyse de ces signalements et de mise au point de solutions d’amélioration retournées aux professionnels, et une capacité globale d’apprendre des erreurs du passé.  L’arrivée de Lord Darzi comme ministre en 2008 a été marquée par une logique complémentaire de mise en place de tableau de bord et d’indicateurs du risque, ainsi que le rapprochement avec plusieurs programmes OMS de type check list. En 2010, dans la même logique, le NICE a développé en lien avec les professionnels et les associations de patients un système global de mesure de performance (Commissioning Outcomes Framework) qui est censé mesurer les performances du système de santé anglais et la qualité des soins. Ce système est supposé donner lieu à améliorations continues sur les 5 ans avec une série d’incitations financières à la clé (Pay for Performance, P4P). Un thermomètre de sécurité du NHS (NHS safety Thermometer) a même était retenu, avec 4 données : la fréquence des escarres (Stade 2 et plus), les chutes avec blessures , les infections urinaires sur sondes, et les thrombo-embolies induites. Par ailleurs de nombreuses informations sur les risques sont relayées au public par le NHS et des institut comme Dr Foster.

Chapitre 3 : que peut-on apprendre des industries ? Les industries ont commencé par mesurer leur sécurité en réaction à des évènements (Lagging indicators : taux d’incidents, d’accidents, de journées perdues de travail par accidents de travail, de signalements…), puis ont développé des indicateurs plus proactifs sur les précurseurs des accidents (Leading indicators). Les mesures ont par la suite étaient rapportées à des unités de compte qui font sens pour chaque domaine (mort par kilomètre passager jour, ou par heure de fonctionnement, taux d’accident de travail par heure travaillée…) afin de pouvoir faire du benchmark avec pertinence dans chaque domaine. Les difficultés de la mesure ont été multiples : sous déclaration, correction ou non des données en fonction des entreprises (taille, exposition), décision d’inclusion, lien aléatoire entre accident du travail et accident du processus industriel ; tous ces points critiques ne sont pas totalement résolus, mais ont indiscutablement progressés avec le temps. Des mesures des attitudes et comportements ont aussi été tentées via des questionnaires et audits ciblés (Behaviour based safety, behavioural markers, questionnaire de culture, de climat). Enfin des techniques d’audits approfondis pour la certification, la mise en route des installations à risques (safety cases), et le maintien des autorisations, sont devenues la norme pour les industries les plus sûres avec une cartographie des risques étendue et très appuyée sur des méthodes formelles. On retiendra au final deux différences très importantes avec le monde médical : une analyse des incidents et accidents beaucoup plus sophistiquée, et surtout le fait que malgré la valeur de cette analyse, ce n’est qu’un modeste aspect de la stratégie globale de sécurité.

Chapitre 4 : quelles approches pour une sécurité systémique ? 5 modèles systémiques sont considérés.

• Le plus ancien est celui de James Reason et des défenses en profondeur. Les accidents sont causés par une combinaison entre erreurs patentes (des opérateurs front line) et d’erreurs latentes (de la gouvernance et l’organisation du système). Ce modèle permet de repérer les chemins les plus fréquents que peuvent prendre les histoires d’accidents à travers les diverses plaques de production du risque puis d’amortissement (les défenses), mais il ne prédit rien avec certitude, car les liens entre erreurs latentes et patentes ne sont jamais totalement précisés. Toutefois, l’application historique dans exemple de l’industrie pétrolière (SHELL) a permis d’isoler un tripode de conditions latentes en lien plus fréquemment avec la production d’erreurs patentes (Tripod Delta, du nom de la plateforme qui avait explosée en mer du Nord : mauvaise maintenance technique, problèmes organisationnels sur la formation et la standardisation des procédures, et conflit entre incitation de productivité et consignes de sécurité)
• Le modèle de sécurité systémique en santé de Vincent : construit sur la base du modèle de Reason, le protocole ALARM (aussi appelé London Protocol) permet d’évaluer la contribution de plusieurs facteurs profonds ou racines à l’origine des accidents. L’analyse d’un événement par ce protocole et l’isolement de causes profonde sont censés avoir une portée et une leçon plus large qui reflète des points faibles systémiques permanents de l’exercice médical.
• Le cadre des HRO (High reliability Organizations) trouve son origine en sociologie. IL décrit des caractéristiques culturelles d’un groupe professionnels, qui, si elles existent, vont permettre une sécurité réelle : engagement de tous sur la perception du risque (collective mindfullness), rôles et compétences reconnues et précisées à chacun, capacité d’alerte ouverte à tous pour signaler l’entrée dans des conditions non nominales (sense making), décision au plus près du niveau efficace pour être suivie d’effet, formations aux situations dégradées et à l’adaptation en  groupe des procédures, flexibilité des objectifs, etc. Des cadres d’audit ont été développé sur ces qualités du groupe pour évaluer quelle est leur niveau de maîtrise, et orienter les priorités de sécurité.
• Le modèle dynamique de sécurité systémique (Amalberti) : ces modèles ne se limitent pas à donner une série de caractéristiques souhaitables pour un haut niveau de sécurité, mais développent la problématique du contrôle dynamique et du maintien de ces caractéristiques dans le temps.  Dans ce contexte, les violations (aux limites imposées par le système) deviennent plus importantes à auditer  pour la évaluer la sécurité que les erreurs car elles sont le symptôme de la qualité de l’adaptation (par l’organisation) plus ou moins maîtrisée de l’enveloppe de sécurité acceptable.
• Le modèle de résilience (Hollnagel) est assez proche du modèle précédent an introduisant une importante différente entre deux visions sur la sécurité : chercher ce qui n’a pas marché (what can go wrong) ou regarder pouquoi le système marche bien (et s’adapte en dépis d’écarts) (What goes right). Dans le premier cas, la solution consiste à supprimer des conditions, dans le second à favoriser des récupérations.

On le sait, en santé comme ailleurs, les indicateurs, les stratégies de signalements, comme les incitations financières de sécurité, ne sont cohérentes que si elles relèvent d’un modèle théorique clair.

Or si on peut concevoir que l’implication stratégique pour une politique de sécurité puisse varier un peu selon les modèles considérés précédemment, on conçoit encore plus aisément que l’absence totale de référence à un modèle théorique (aucun de ceux précédents, et un choix implicite jamais clair ou immensément naïf : la sécurité c’est l’absence d’événement indésirable) puisse rendre totalement instables les politiques de santé et de sécurité du patient.

Chapitre 5 : un cadre pour la mesure et la surveillance du risque en santé : Il faudrait si l’on veut mesurer, pouvoir comparer la réalité actuelle au passé, et se donner des objectifs pour le future, autant de questions bien difficiles. Les auteurs proposent de considérer 5 dimensions pour ce faire : Considérer le risque passé, les marqueurs de la fiabilité actuelle (attitudes), la sensitivité aux opérations (les indicateurs sur le risque dont on peut disposer), l’anticipation  pour faire face à des problèmes potentiels, et notre capacité d’apprentissage systémique.

Chapitre 6 : la mesure de la sécurité dans le passé : les auteurs proposent un typologie des EIG : Liés directement à une prise en charge  que ce soit redouté (AVC post op) ou non imaginé (mauvais patient),  Liés à un excès de traitement (résistance aux antibiotiques, chutes par excès de sédatifs), Généraux liés à l’hospitalisation (infections, chute, confusion), Liés à l’absence de traitement en dépit d’une indication indiscutable (pas d’antibioprophylaxie, pas de prévention du risque thrombo-embolique), Liés à des délais ou des erreurs de diagnostic, liés à des préjudices purement psychologiques  et sociologiques (perte d’emploi, image corporelle). Le choix de la stratégie de mesure reste plus difficile en médecine que dans l’industrie par le fait des variations de conditions et par l’existence d’un processus pathologique sous jacent qui induit en permanence des gravités variables de la même erreur.  On a donc un problème de numérateur du risque (qui doit être stable et comparable en dépit de la grande variété de cas de patients) et on aussi un considérable problème de dénominateur (car beaucoup d’évènements redoutés sont rares, mal définis, sans pondération par le risque spécifique des populations concernés, ou le temps d’exposition au risque (et du jour…) . Par exemple le risque de surdose sédative est il à rapporter au patient jour, à la totalité du traitement  prescrit , à la totalité des doses de sédatifs… Supposons qu’un patient ait reçu 10 médicaments par jour, reste 10 jours, et soit victime d’un surdosage pendant son séjour. ON pourrait dire que le risque de surdosage est de 1/100, ou si on ramène le calcul au risque jour, de 1/10, ou si on le ramène à l’hospitalisation de 100%.

Les auteurs nous propose un cadre de mesures existantes regroupées sous 4 grands types :

• Les mesures de mortalité standardisés à 3o jours après sortie (mais le scandale récent du Mid Strafforshire montre toute la relativité de ces mesures quand elles sont considérées comme un indicateur de sécurité piloté par l’état),
• Les analyses systématiques de risque sur dossiers, soit en ciblant tous les décès par exemple dans une politique étendue de RMMs, soit à grande échelle par des méthodes semi rapides comme les global-triggers tools (mais avec le risque de croire que la présence de précurseurs détectés par la méthode dans les dossiers signifie forcément EIG, voire pire est corrélée à leur survenue)
• Les analyses des systèmes de signalement sont soit basés sur les systèmes de signalement généraux (tout venant, peu efficace dans l’ensemble), soit locaux, souvent volontaires, et à l’initiative des collèges (du type registre, plus efficace), soit encore très spécifiques et imposés à tous comme le signalement des événements inacceptables (28 never events anglais, ce qui est bien pour les faire connaître à tous et baisser leur risque, mais avec le risque secondaire de concentrer tous les efforts de sécurité sur ces seuls évènements)
• Les analyses continues des bases de données médicales publiques (de tout ordre y compris de facturation) : elles peuvent détecter des évolutions du risque et des faille dans la Qualité des soins par des critères directs ou indirects comme les allongements de séjour ou le glissement des coûts facturés, Une extraction sous forme de tableau de bord  est réalisé avec 300 indicateurs sous surveillance au RU, réduits à 12 indicateurs cibles.

Quelle que soit la méthode de mesure, à cause d’une immaturité de réflexion et de modèle, il reste difficile de faire une mesure claire du risque, et encore plus difficile de juger d’une amélioration  dans le temps (variation des critères d’inclusions, des numérateurs, et des dénominateurs)

Chapitre7 : est ce que notre système de santé est fiable (reliable) ? la réponse spontanée est plutôt modeste quand on se base sur des audits Qualité çà et là, et dans la capacité du système à suivre les recommandations (souvent 50% de non observance). Mais la vraie question pour une mesure de la fiabilité médicale devient la mesure de la construction de l’observance et de ses exceptions acceptées pour prendre en compte la variété des pathologies et la non faisabilité d’un cadre unique de référence. La variété des patients n’explique quand même pas toute la non observance (le lavage des mains varie entre 18 et 81% selon les études (Pittet D. Compliance with hand disinfection and its impact on hospital-acquired infections. J Hospital Infection 2001;48 Suppl A:S40-6. Review.), les erreurs de médicaments sont présentes dans 3 à 8% des prescriptions, et les erreurs de contenu, de doses ou de voies d’injection dans les injectables sont proches de 50% dans certaines études de terrain (Taxis K, Barber N. Ethnographic study of incidence and severity of intravenous drug errors, BMJ 2003;326:684). La plupart des méthodes actuelles d’évaluation de la fiabilité reposent sur des enquêtes ciblées. Mais il faut aussi se méfier des fausses conformités où l’action est réalisée mais sans tout le contenu espéré (check-list opératoire)

Si l’on accepte ce saut conceptuel qui ne limiterait pas la fiabilité à la mesure de l’observance, la notion même de fiabilité telle que définie par l’industrie nécessiterait soit d’être abandonnée soit être complètement reconsidérée.

On pourrait notamment reconsidérer la mesure de la fiabilité en se centrant sur des caractéristiques de l’organisation, de sa culture de traçabilité, sa transparence vis à vis des patients, l’absence de stratégie partagée entre médecins de même spécialité, bref la mesure de sa culture, autant de facteurs qui ne dépendent pas au sens propre de la variabilité clinique des patients et du respect des protocoles.  La mise en place de Bundles of care (ensemble de mesures contributives à un niveau de sécurité particulier) est une autre voie considérée comme un moyen important de progresser vers une mesure raisonnable de la sécurité.

Chapitre 8 : La sensitivité du système médical aux risques, et sa réaction aux signaux faibles et forts.  On a vu que la sensibilité de tous les membres d’une organisation aux signaux de risque reste une défense essentielle du système. Cette sensibilité est très variable aujourd’hui. Certaines stratégies comme les visites de risques (safety walk rounds, ward rounds) ou les pratiques spécifiques de partage de l’infirmation avant et après chaque phase difficile (briefings et debriefings) sont des bons moyens de l’augmenter, de même que la nomination de personnes plus particulièrement en charge de ‘l’écoute du risque’ :  safety managers, coordinateurs ou autres. La question du délai d’intégration de ces signaux avant action reste problématique, variable, et souvent encore très excessive

Chapitre 9 : serons-nous plus sûr dans le futur ? L’anticipation des risques futurs fait totalement partie de la sécurité du patient. L’idée est à décliner à différents niveaux : risques redoutés dans l’intervention chirurgicale de ce jour, ou risques émergents en médecine de demain, y compris en anticipant les nouvelles organisations. Les applications des concepts de Human Relaibility Assessments peuvent être positives de même que l’analyse des cas qui prédisent des évolutions futures, ou le travail sur la culture de sécurité.

Chapitre 10 : où en sommes-nous ? Les difficultés restent nombreuses/ la première consiste à intégrer correctement l’information disponible pour construire une mesure correcte, apprendre du passé, et imaginer des actions efficaces.  La synthèse dans un tableau de bord du risque interprété correctement dans chaque établissement, avec une vision globale (big picture) reste un objectif plus qu’une réalité (encore que les hôpitaux ont de plus en plus des tableaux de bords, mais leurs interprétations restent factuelles et réactives et non systémiques et proactives  faute de maturité suffisante). Cette réalité des hôpitaux est encore plus vraie au niveau du pilotage régional et national où l’on se doit d’intégrer des pondérations en fonction des bassins de population et du maillage territorial des équipements et professionnels de santé. Certaines bonnes idées sont aussi des pièges pour le pilotage de la sécurité, notamment les effets de boite à Pandore où on considère normal qu’un indicateur de sécurité augmente plutôt que baisse quand il en est à son début.

Chapitre 11 : 10 principes à retenir 

• Une mesure unique pour la sécurité serait dans tous les cas une stupidité, voire plus car elle serait très vulnérable à la réassurance trompeuse, voire à la fraude
• L’identification et encore plus le partage des leçons tirés des évènements est une clé du succès d’une politique de sécurité mais elle n’est pas encore une priorité en médecine. Les patients peuvent avoir un rôle renforcé à ce niveau
• L’anticipation et les stratégies proactives de sécurité doivent significativement augmenter dans la construction des politiques de sécurité
• La technologie, particulièrement l’informatique, peut permettre de détecter mieux et plus efficacement les évènements indésirables et encore plus les indicateurs de risques proactifs
• Le lien entre (qualité du) Processus et Outcomes doit être beaucoup plus présent dans les mesures
• Même si on vu que les mesures doivent toujours être pondérées et particularisées aux situations locales, certaines mesures peuvent être conduites de l’extérieur sur des bases nationales.
• Une mesure n’est acceptable, fiable, et utile que si l’on sait à quoi (progression interne, maintien d’autorisation, régulation, etc.) et à qui elle sert (équipe, hôpital, région, tutelle). Ce point est loin d’être clair en médecine
• On doit clairement identifier des responsabilité, des personnes et des rôles dans ces mesures, dans le management et dans leur technique
• La collaboration étroite entre tutelle, régulateur, et régulés (services, docteurs) est essentielle pour que la mesure prenne tout son sens
• Il faut se méfier des incitations particulièrement financière qui peuvent donner lieu à des effets pervers plus importants que le bénéfice supposé attendu.