Rapport d’audit final de Plains Midstream Canada ULC sur la gestion de l’intégrité des installations CV2526-018

Rapport d’audit final de Plains Midstream Canada ULC sur la gestion de l’intégrité des installations [PDF 1213 ko]

Sommaire

La Régie de l’énergie du Canada s’attend à ce que les pipelines et les installations connexes du ressort du gouvernement du Canada soient construits et exploités de manière sûre et sécuritaire, sans poser de danger aux personnes, aux biens ou à l’environnement, et à ce que leur cessation d’exploitation se déroule de la même façon. À cette fin, elle mène diverses activités de surveillance de la conformité, comme des audits.

L’article 103 de la Loi sur la Régie canadienne de l’énergie (LC 2019, c 28, art 10) (« LRCE ») autorise des inspecteurs de la Régie à mener des audits des sociétés réglementées, pour évaluer la conformité à la LRCE et aux règlements pris en application de celle ci.

Les audits opérationnels visent à s’assurer que les sociétés réglementées ont établi et mis en œuvre un système de gestion et les programmes connexes, comme l’exige le Règlement de la Régie canadienne de l’énergie sur les pipelines terrestres (DORS/99-294) (« RPT »).

La Régie a réalisé un audit opérationnel de la gestion de l’intégrité des installations (« audit ») de Plains Midstream Canada ULC (« PMC » ou « la société ») entre le 4 septembre 2025 et le 13 janvier 2026.

L’audit visait à déterminer si le programme de gestion de l’intégrité (« PGI ») de la société, tel qu’il s’applique aux installations, permettait d’éviter et de maîtriser des événements pouvant être préjudiciables aux personnes, aux biens ou à l’environnement. Le PGI de la société pour les installations a été évalué en regard de certaines exigences du RPT dans les domaines suivants :

• identification des dangers, évaluation des risques et mécanismes de contrôle;
• inspection et surveillance;
• signalement des dangers et des incidents et mise en place de mesures correctives et préventives;
• intégration du PGI au système de gestion de la société;
• gestion du changement.

Les six exigences réglementaires visées par l’audit ont été jugées non conformes.

Dans les 30 jours civils suivant la réception du rapport d’audit final, la société doit déposer devant la Régie un plan de mesures correctives et préventives (« PMCP ») qui décrit la façon dont les non‑conformités constatées seront corrigées. La Régie fera un suivi et évaluera la mise en œuvre du PMCP pour s’assurer de sa réalisation dans les meilleurs délais.

Il convient de noter que toutes les constatations se rapportent à l’information évaluée dans le cadre de la portée de l’audit, au moment où celui‑ci a été mené.

Malgré le fait que les constatations de non‑conformité persistent, la société a été en mesure de démontrer que des éléments de son PGI donnent les résultats attendus. Cependant, ces derniers n’indiquent pas que le programme dans son ensemble est conforme. La société doit s’attaquer aux lacunes relevées pour satisfaire aux exigences visant à protéger les personnes, la propriété et l’environnement.

La Régie rendra publique la version définitive du rapport d’audit dans son site Web.

Table des matières

• Sommaire
• 1.0 Contexte
• 1.1 Introduction
• 1.2 Objet de l’audit
• 1.3 Présentation générale de la société
• 2.0 Objectifs et portée de l’audit
• 3.0 Méthodologie
• 4.0 Résumé des constatations
• 5.0 Analyse
• 6.0 Conclusion
• 7.0 Étapes suivantes
• Annexe I : Évaluation de l’audit
  • PA-01 : Gestion du changement
  • PA-02 :Identification des dangers
  • PA-03 : Évaluation des risques
  • PA-04 :Mécanismes de contrôle
  • PA-05 :Signalement des dangers et des incidents et intervention
  • PA-06 :Inspection et surveillance autochtone
• Annexe II : Glossaire et abréviations

Liste des tableaux et figures

• Figure 1 – Carte de l’infrastructure de l’entité auditée dans le centre du Canada
• Figure 2 – Carte de l’infrastructure de la société auditée en Ontario
• Tableau 1 – Portée de l’audit
• Tableau 2 – Résumé des constatations

1.0 Contexte

1.1 Introduction

La Régie de l’énergie du Canada s’attend à ce que les pipelines et les installations connexes du ressort du gouvernement du Canada soient construits et exploités de manière sûre et sécuritaire, sans poser de danger aux personnes, aux biens ou à l’environnement, et à ce que la cessation de leur exploitation se déroule de la même façon.

L’article 103 de la LRCE autorise les inspecteurs de la Régie à mener des audits des sociétés réglementées, pour évaluer la conformité à la LRCE et aux règlements pris en application de celle‑ci.

Les audits opérationnels visent à s’assurer que les sociétés réglementées ont établi et mis en œuvre un système de gestion et des programmes connexes qui sont conformes aux exigences du RPT.

La Régie a réalisé un audit de la gestion de l’intégrité des installations de PMC entre le 4 septembre 2025 et le 13 janvier 2026.

1.2 Objet de l’audit

Le RPT exige que les sociétés établissent un PGI pour leurs pipelines et les installations connexes. L’objectif d’un tel programme est de fournir aux sociétés exploitantes un mécanisme formel pour préserver l’intégrité des actifs gérés, qui démontre un engagement à protéger la santé et la sécurité des employés, du public et de l’environnement. La gestion de l’intégrité d’une installation vise à assurer l’exploitation sécuritaire, en prévenant les défaillances pouvant entraîner un rejet de produit.

La gestion de l’intégrité des installations vise un large éventail de matériel comme les pompes, les moteurs principaux, les réservoirs, les appareils sous pression, la tuyauterie, les composantes électriques et les instruments qui se trouvent dans le périmètre de l’installation. L’évaluation des risques est un aspect crucial de la gestion de l’intégrité et, pour une installation donnée, la société doit tenir compte des interactions complexes entre les différents équipements et entre les diverses composantes de ceux‑ci, ainsi que des possibilités de défaillance en cascade.

L’annexe 1.0 explique les attentes de la Régie relativement à l’audit.

1.3 Présentation générale de la société

Plains Midstream Canada ULC (« PMC ») est une filiale indirecte de Plains All American (« PAA ») Pipeline, L.P. La société se spécialise dans les solutions de transport, de stockage, de traitement et de commercialisation de pétrole brut, de gaz naturel et de liquides de gaz naturel (« LGN ») et relie les producteurs pétroliers aux raffineurs et à d’autres clients par pipeline, camion et train. Elle exploite aussi des installations de stockage de pétrole brut et de LGN, de séparation des LGN du gaz naturel et de fractionnement des LGN en produits conformes à certaines caractéristiques techniques. Le siège social de PMC est situé à Calgary, en Alberta. La société exploite des installations dans quatre provinces au Canada et ses activités commerciales s’étendent dans huit provinces. Son réseau de pipelines relève de la réglementation provinciale et de la réglementation fédérale.

À l’heure actuelle, la Régie réglemente environ 704 kilomètres de pipelines de PMC, ainsi que ses installations de stockage à Windsor, Ontario.

Les pipelines de PMC relevant de la Régie sont les suivants :

• réseau de transport Plains Petroleum Transmission Company
• Wascana
• Empress-Kerrobert
• Bodo
• Aurora^{Footnote 1}
• réseaux de livraison de l’Est, tronçons nord et sud
• pipeline de Windsor à Sarnia
• Kalkaska
• pipeline en aval de Sarnia

En 2023, PMC a lancé un projet de convergence pour fusionner son système de gestion et celui de sa société mère (PAA). Ce projet est analysé en détail dans le rapport d’audit sur la prévention des dommages CV2223-228. Le projet est achevé, et les systèmes de gestion ont été amalgamés. La société s’affaire actuellement à se départir de ses actifs de LGN, mais aucune date n’a encore été fixée pour la conclusion de cette opération. Pour cette raison, la phase terrain de l’audit de la Régie a consisté en une inspection des activités de liquides au terminal de Regina.

Les figures 1 et 2 présentent les actifs de la société réglementés par la Régie.

2.0 Objectifs et portée

L’audit visait à évaluer si le PGI des installations de la société permettait d’éviter et de maîtriser les événements pouvant être préjudiciables aux personnes, aux biens ou à l’environnement. Il a été évalué en regard de certaines exigences du RPT dans les domaines suivants :

• Identification des dangers, évaluation des risques et mécanismes de contrôle;
• Inspection et surveillance;
• Signalement des dangers et des incidents et mise en place de mesures correctives et préventives;
• Intégration du PGI au système de gestion de la société;
• Gestion du changement.

Le tableau ci‑dessous présente l’objet de l’audit, les étapes du cycle de vie et les programmes sélectionnés pour cet audit.

L’audit portait sur le PGI en place à ce moment et sur les processus, les procédures et les instructions de travail que la société a mis en œuvre pour gérer l’intégrité de toutes ses installations pendant tout leur cycle de vie, comme l’exige le RPT.

Il convient de noter que, même si l’audit s’attachait principalement aux exigences et aux éléments énumérés dans le tableau 2, s’il avait relevé des non‑conformités potentielles à d’autres exigences, sa portée aurait été élargie en conséquence.

Tableau 1. Portée de l’audit

3.0 Méthodologie

Le 4 septembre 2025, la Régie a informé la société par lettre de son intention de mener un audit opérationnel. L’auditeur principal a fait parvenir le protocole d’audit et une première demande de renseignements à la société le 8 septembre 2025, et a fait un suivi lors d’une rencontre avec le personnel de celle‑ci pour discuter des plans et du calendrier de l’audit. L’examen des documents a commencé le 17 octobre 2025, et des entrevues ont été menées entre le 17 et le 25 novembre 2025.

Une inspection a eu lieu le 3 décembre 2025.

Pour leur vérification de la conformité, les auditeurs ont :

• examiné des documents;
• étudié un échantillon de dossiers;
• réalisé des entrevues;
• mené une inspection.

L’examen des documents vise à déterminer lesquels servent à répondre aux exigences liées aux protocoles d’audit. Il permet de vérifier si le processus est établi. Des dossiers ont également été examinés pour déterminer si le processus est mis en œuvre. Les dossiers sont des extrants, ou des produits, d’un processus. La présence de dossiers correctement tenus indique qu’on applique le processus. Les auditeurs ont examiné environ 130 documents et dossiers totalisant quelque 1 600 pages.

Les entrevues visent à établir dans quelle mesure les processus sont mis en œuvre. Si les réponses concordent avec les documents écrits, les auditeurs supposent que le personnel est au courant du processus et l’applique. La première série d’entrevues a été menée principalement auprès de membres de la direction et de cadres supérieurs pour discuter de chacun des protocoles d’audit. La deuxième a été organisée en fonction des postes, allant du personnel de bureau au personnel sur le terrain, et les auditeurs ont posé des questions sur tous les protocoles d’audit lors de chacune des entrevues. Les auditeurs ont mené environ dix entrevues.

La liste des documents consultés, des dossiers échantillonnés et des personnes rencontrées est conservée dans les dossiers de la Régie.

L’audit a aussi compris une inspection du terminal Regina, qui a été réalisée par deux membres de l’équipe de l’intégrité des pipelines de la Régie accompagnés des deux auditeurs. L’inspection a eu lieu le 3 décembre 2025, durant laquelle la Régie a examiné divers éléments de l’installation qui cadraient avec la portée de l’audit. Elle a consisté à examiner des dossiers pertinents et à mener d’autres entrevues avec des membres du personnel. Les constatations détaillées faites durant l’inspection sont exposées dans le rapport de l’inspecteur de l’activité de vérification de la conformité CV2526‑099.

Conformément au processus d’audit établi par la Régie, l’auditeur principal a présenté à la société un résumé des résultats préalables à la clôture de l’audit le 19 décembre 2025. Il lui a alors accordé cinq jours ouvrables pour qu’elle lui transmette tout document ou dossier additionnel qui renfermerait les renseignements manquants ou démontrerait la conformité.

Il a ensuite reçu de la société de nouvelles informations pour permettre l’évaluation ultime de la conformité. L’auditeur principal a tenu une réunion de clôture finale avec la société le 13 janvier 2026.

4.0 Résumé des constatations

L’auditeur principal a fait l’une des constatations suivantes pour chaque protocole d’audit.

• Rien à signaler – D’après l’information fournie par la société et examinée par l’auditeur en fonction de la portée de l’audit, aucune non‑conformité n’a été relevée.
• Non conforme – La société n’a pas démontré qu’elle satisfait aux exigences prévues par la loi. Elle doit établir, puis mettre en œuvre, un PMCP pour redresser la situation.

Toutes les constatations se rapportent à l’information évaluée en regard de la portée de l’audit, au moment de celui‑ci.

Ces constatations sont résumées dans le tableau qui suit. Voir l’annexe 1 – Analyse de l’audit pour plus d’information.

Tableau 2. Résumé des constatations

5.0 Analyse

Bien que la gestion de l’intégrité d’un pipeline et d’une installation vise dans les deux cas à assurer leur exploitation sans danger en prévenant les défaillances, les principales différences entre les deux tiennent aux composantes et aux risques particuliers qui sont évalués. La gestion de l’intégrité d’un pipeline comprend des menaces qui sont propres aux pipelines, tandis que celle des installations s’attache à des menaces particulières à celles‑ci, qui peuvent ne pas être entièrement les mêmes, les installations abritant des équipements plus nombreux comme les pompes, les moteurs principaux, les réservoirs, les appareils sous pression, la tuyauterie, les composantes électriques et les instruments se trouvant dans le périmètre de l’installation, lesquels ont des modes de défaillance potentielle plus larges. L’évaluation des risques est un aspect crucial de la gestion de l’intégrité et, pour une installation donnée, la société doit tenir compte des interactions complexes entre les différents équipements et entre les diverses composantes de ceux‑ci, ainsi que des possibilités de défaillance en cascade.

Le système de gestion des opérations de PMC comprend cinq éléments qui sont conçus pour établir le cadre de gestion de ses opérations, mesurer son rendement et constamment améliorer ses activités en vue d’atteindre ses objectifs et de gérer le risque. Ce système couvre l’ensemble des activités des employés de PMC et de ses entrepreneurs et est lié aux exigences établies pour chaque sous‑élément. La gestion de l’intégrité relève de l’intégrité de l’actif du sous‑élément du système de gestion des opérations et mise sur le soutien de nombreux autres domaines, dont les opérations et l’entretien du sous‑élément. Puisque les programmes d’intégrité de PMC s’attachent aux types d’actifs, la gestion de l’intégrité de l’installation relève de processus établis pour ce qui suit :

• les systèmes de gestion de l’intégrité des pipelines au Canada de la société‑mère;
• la gestion de l’équipement et de la tuyauterie sous pression;
• la gestion de l’équipement électrique, des instruments, des systèmes de contrôle et des autres équipements de l’installation;
• la gestion des cavernes et des puits;
• la maintenance de l’intégrité des réservoirs.

Bien que PMC gère actuellement l’intégrité de ses installations au moyen des quatre derniers programmes ci‑dessus, la société a indiqué qu’un programme intégré de gestion de l’intégrité des installations était en préparation et qu’il montrerait plus clairement son accord avec l’annexe N2 de la norme Z662 du Groupe CSA. Or, l’évaluation visée par l’audit portait sur les programmes déjà en place et était faite en regard des protocoles d’audit indiqués dans le tableau 2.

Globalement, il est ressorti de l’audit des thèmes récurrents qui dénotent des faiblesses systémiques dans la mise en œuvre par PMC de ses processus de gestion de l’intégrité de l’installation. En dépit de l’existence de nombreux documents de la société‑mère et de documents portant sur l’exploitation, la mise en pratique de ces processus à l’installation même n’était pas uniforme, était partielle et, dans plusieurs cas, n’était pas conforme aux attentes de la Régie. Une tendance notable a été observée pour de nombreux protocoles d’audit, à savoir la présence de processus qui se recoupent ou se contredisent, en particulier pour répertorier les dangers et évaluer les risques, avec comme conséquence que le personnel de la société et l’équipe d’audit de la Régie avaient du mal à savoir quelles exigences s’appliquaient dans des situations données. Le problème s’est accentué dans plusieurs cas, où on a fourni à l’équipe d’audit de la Régie des informations contradictoires ou inexactes, notamment un inventaire des dangers incorrect ou dépassé, des explications incohérentes sur l’application du programme relatif à l’équipement sous pression dans les installations de pétrole brut et des affirmations contradictoires sur la question de savoir si l’inspection ou les méthodes fondées sur le risque, comme l’analyse des modes de défaillance et leurs effets, étaient mises en pratique.

Ces incohérences font ressortir des problèmes plus larges de contrôle des versions, de gestion des documents et de connaissance par le personnel de la société des processus liés à l’intégrité. Les entrevues ont révélé un manque de concertation entre ce que le personnel cadre qualifiait de pratique de longue date et ce que le personnel sur le terrain comprenait ou exécutait. Par exemple, le personnel de supervision a indiqué que le personnel sur le terrain faisait des évaluations des dangers et des risques sur les sites, alors que ce même personnel ne semblait pas connaître ces attentes. De même, des dangers importants liés à l’intégrité, en particulier pour les réservoirs, les appareils sous pression et les conduites souterraines vieillissantes, n’étaient pas répertoriés, analysés ou intégrés uniformément à un programme complet qui rendait compte de la complexité des opérations à l’installation.

L’équipe d’audit a aussi observé un manque de concordance entre les processus documentés et les outils utilisés pour les exécuter. Par exemple, des procédures renvoyaient à des fonctionnalités ou des flux de travail qui ne correspondaient pas à la façon dont les plateformes logicielles étaient configurées ou employées dans la réalité. Cette incohérence accroît les risques de rapports incomplets, de mesures correctives omises et d’écarts entre des dangers et la gestion des incidents. Dans plusieurs secteurs, des documents critiques sur l’intégrité étaient dépassés ou ne concordaient pas avec les exigences de la Régie ou les normes CSA, minant ainsi davantage la pertinence et la traçabilité des mécanismes de contrôle, les méthodes d’inspection et la prise de décisions d’ordre technique.

Ces tendances portent à croire que, bien que PMC ait produit un bon nombre des éléments fondamentaux d’un programme de gestion de l’intégrité des installations, l’intégration, l’uniformité et la mise en œuvre de ces éléments demeurent insuffisantes.

6.0 Conclusion

En résumé, la Régie a mené un audit opérationnel de PMC portant sur la gestion de l’intégrité des installations. Les six exigences réglementaires visées par l’audit ont été jugées non conformes, ce qui correspond à un score de 0 %.

La Régie s’attend à ce que PMC corrige ces lacunes par la mise en œuvre d’un PMCP. Elle surveillera et évaluera la mise en œuvre du PMCP, puis enverra une lettre de clôture de l’audit à la société une fois la mise en œuvre terminée.

7.0 Étapes suivantes

La société est tenue de remédier à toutes les non‑conformités par la mise en place d’un PMCP. Les prochaines étapes du processus d’audit sont les suivantes :

• Dans les 30 jours civils suivant la réception du rapport d’audit final, la société doit déposer auprès de la Régie un PMCP qui explique en détail comment elle remédiera aux non‑conformités observées.
• La Régie fera ensuite un suivi et évaluera la mise en œuvre du PMCP pour s’assurer qu’il a été réalisé :
• dans les meilleurs délais;
• d’une manière sûre et sécuritaire qui protège les personnes, les biens et l’environnement.
• Une fois la mise en œuvre terminée, la Régie enverra une lettre de clôture de l’audit à la société.

Annexe I – Évaluation de l’audit PA‑01 : Gestion du changement

Évaluation détaillée

La société n’a pas satisfait aux attentes énoncées dans le protocole d’audit PA‑01. La présente section traite d’abord du processus documenté, puis s’attarde aux lacunes.

La société a mis en place un processus officiel de gestion du changement, assisté par le module Maximo et toute une série de documents de formation et de référence. Ensemble, ces documents établissent le cycle de la gestion du changement, à savoir :

• l’identification et la classification des types de changements (techniques, administratifs, procéduraux et organisationnels);
• les rôles et les responsabilités à chaque étape du processus;
• les exigences pour les évaluations des dangers et des risques;
• l’intégration du programme de gestion de l’intégrité et des autres éléments du système de gestion des opérations.

Le document portant sur le processus de gestion du changement expose la portée et l’objet du programme en la matière, y compris son application pour des changements dans la conception, les opérations, les exigences réglementaires et la technologie. On y trouve aussi des exemples détaillés de ce qui constitue un changement par rapport à un remplacement du même ordre, ainsi que des arbres de décision pour assister dans la classification.

La procédure de gestion du changement renferme des directives détaillées sur la façon de gérer des changements dans Maximo, dont le lancement, la définition de la portée, la révision, l’approbation, la mise en œuvre et la clôture. On y traite aussi des changements urgents et des changements temporaires, accompagnés de délais et d’exigences de documentation.

Le guide de référence rapide de Maximo sur la gestion du changement permet de mettre en œuvre le processus et illustre la façon dont les acteurs interagissent avec le système, dont les actions sont attribuées et suivies et dont les flux de travail sont acheminés pour approbations.

Le personnel de soutien a accès aux documents de formation comme MOC 101 et les guides sur Maximo pour comprendre et exécuter le processus.

Pour ce qui est du programme d’intégrité de l’installation même, les éléments documentés portent sur l’équipement sous pression et les réservoirs et indiquent que le processus de gestion du changement vise à relever et à gérer les changements, en plus d’établir un lien avec le cadre de gestion des processus du système de gestion des opérations.

La société a fait la preuve de la mise en œuvre du processus de gestion du changement par ce qui suit :

• des formulaires remplis sur la gestion du changement;
• des dossiers de Maximo indiquant l’acheminement des flux de travail, des commentaires des réviseurs et des autorisations;
• une preuve des examens de la sécurité préalable au démarrage et des mesures prises après le démarrage;
• des dossiers de formation et des guides de référence distribués au personnel.

Les commentaires recueillis lors des entrevues et les documents examinés portent à croire que le personnel connaît bien le processus de gestion du changement et son application pour les changements d’ordre technique et administratif. Le processus semble être utilisé de manière uniforme pour les changements touchant l’installation, dont les modifications au matériel, l’examen des dangers et les mises à jour de la réglementation.

La société a donc établi et mis en œuvre un processus pour relever et gérer le changement, qui définit les méthodes à employer. Les répercussions sur le système de gestion de la société et son programme de gestion de l’intégrité des installations sont relevées et évaluées.

Le processus de gestion du changement est toutefois lacunaire en ce qu’il ne traite pas adéquatement des changements aux procédures documentées, puisque ces changements sont gérés par l’application The Source et non dans Maximo.

Les lacunes suivantes ont été relevées :

• Le document sur le processus de gestion du changement fournit certaines informations sur la procédure, mais ne décrit pas les étapes du processus visant à gérer les changements apportés à la procédure. Seules les étapes relatives aux changements techniques et administratifs dans Maximo sont documentées. PMC a fourni des guides de formation qui servent à gérer les changements de procédure, or, ces documents s’attachent aux tâches seulement et sont accompagnés de saisies d’écran sur la façon d’utiliser l’application The Source.

Rien dans les guides n’indique qu’ils ont été approuvés par les personnes autorisées ni qu’ils sont l’objet d’un contrôle, et il n’y a pas de gouvernance définie. De ce fait, ils ne satisfont pas à la définition d’un processus comme l’entend la Régie. Le lien avec le document portant sur le processus de gestion du changement n’est pas évident. Bien que la norme de la société‑mère relative à la gestion des documents tienne compte des processus de gestion du changement et attribue les rôles et les responsabilités pour le suivi, elle ne renferme pas de renvois détaillés au flux de travail sur la procédure dans The Source. Dans sa forme actuelle, elle ne satisfait pas aux attentes en matière de système de gestion pour ce qui est du contrôle des changements à des procédures.

• Les documents dépassés sur l’intégrité (p. ex., maintenance, programme de fiabilité et d’inspection et processus de gestion des données sur l’intégrité), tout en étant pris en compte dans la gestion des processus généraux découlant du projet de convergence, indiquent que le suivi actuel des changements à des procédures ne garantit pas leur réalisation en temps opportun et d’une manière qui réponde aux attentes à l’égard du processus de gestion du changement de PMC.

Conclusion

La société n’a pas établi de processus de gestion du changement permettant d’obtenir les résultats escomptés lors de la modification de documents établissant des procédures. La procédure actuelle de la gestion des changements aux documents ne satisfait pas à la définition d’un processus comme l’entend la Régie, et aucun processus de gestion du changement n’est lié aux documents. Des documents dépassés sur l’intégrité liés à la gestion des changements administratifs généraux résultant de la convergence révèlent par ailleurs des lacunes dans le contrôle des modifications aux procédures.

PA‑02 : Identification des dangers

Évaluation détaillée

La société n’a pas atteint les résultats attendus du PA‑02. La présente section traite d’abord du processus documenté, puis s’attarde aux lacunes.

La société a établi et mis en œuvre un processus pour répertorier et analyser les dangers, qui consiste en une série de documents intégrés chapeautés par le programme de gestion des risques opérationnels et, par conséquent, du système de gestion des opérations. Il est censé s’arrimer sur l’alinéa 6.5(1)c) du RPT et les dispositions qui s’y rattachent.

Le processus de la société‑mère pour gérer les dangers trace les grandes lignes de l’approche devant servir à répertorier et à analyser les dangers et les dangers potentiels pour tous les actifs en service. Il établit une méthode structurée qui comprend les dangers nouveaux et aggravants, depuis les activités à la fois courantes et non courantes, y compris ceux découlant de conditions d’exploitation normales et anormales. Le processus repose sur des informations provenant, entre autres, des évaluations des dangers associés aux tâches, d’analyses de la sécurité des tâches, d’études sur les dangers et l’exploitabilité, d’examens de la sécurité préalables au démarrage, de plans d’intervention d’urgence, de la gestion du changement, d’audits, d’inspections et de leçons retenues. Ces informations sont adaptées à la nature, à l’importance, à l’échelle et à la complexité des activités de la société.

Le processus et la procédure de la société‑mère pour analyser les dangers liés aux processus définissent par ailleurs des exigences pour analyser les dangers liés aux processus, plus particulièrement pour les installations visées par la gestion de la sécurité des processus. La méthode d’analyse des dangers liés aux processus comprend des études sur les dangers et l’exploitabilité, des études de cas et des techniques d’analyse des modes de défaillance et de leurs effets. Elle renferme aussi des instructions détaillées sur la façon de déterminer les causes, les conséquences, les mesures de protection et le classement des risques à partir de la matrice des risques opérationnels.

La procédure d’analyse des dangers liés aux processus comprend une approche pour analyser les risques non atténués, atténués et résiduels, et explique quand et comment des recommandations sont formulées et suivies dans Maximo.

Le processus d’obtention de permis de travail rend opérationnelle l’identification des dangers liés aux tâches et prend en compte ceux ayant trait à la sécurité, mais pas ceux se rapportant à l’intégrité générale de l’installation. Il réunit dans un seul processus l’évaluation des dangers, la vérification du contrôle et l’autorisation d’exécuter des travaux. L’établissement d’un inventaire des dangers associés aux tâches et des évaluations formelles de ceux‑ci assure que les dangers sont répertoriés et leur contrôle en fonction des rôles et des tâches des travailleurs. Le processus comprend des exigences d’analyse de la sécurité des tâches, des réunions de chantier et des réévaluations des dangers quand les conditions changent, de sorte que les dangers sont constamment évalués et communiqués à tout le personnel concerné. Bien que PMC ait transmis des documents sur le processus d’obtention des permis de travail pour satisfaire au PA‑02, les auditeurs de la Régie ont relevé que ce processus s’applique davantage à l’identification des dangers pour le programme de la sécurité que pour la gestion de l’intégrité de l’installation.

Le programme de signalement des incidents et d’enquêtes de la société‑mère assure que les dangers relevés lors d’incidents et de quasi‑incidents sont consignés et analysés et qu’ils servent par la suite à répertorier les dangers et à maîtriser les risques. Il comporte l’obligation d’analyser les causes fondamentales des incidents dont les risques sont élevés et très élevés, et les mesures correctives et préventives font l’objet d’un suivi au moyen d’un processus de gestion de ces mesures. Les leçons retenues sont communiquées à la grandeur de l’organisation pour permettre une amélioration continue.

Les dangers sont classés et analysés au moyen d’une matrice des risques opérationnels. Les processus sont intégrés à d’autres éléments du système de gestion, dont l’évaluation des risques (al. 6.5(1)e) du RPT), l’élaboration de mécanismes de contrôle (al. 6.5(1)f) du RPT), la gestion du changement (al. 6.5(1)i) du RPT) et la préparation de rapports d’incidents (al. 6.5(1)r) du RPT). Le processus relatif aux dangers prévoit aussi que les plans d’intervention d’urgence doivent contribuer à l’identification des nouveaux dangers, ce qui correspond à l’exigence de l’alinéa 6.5(1)t) du RPT. Cependant, la planification des mesures d’urgence n’est pas clairement rattachée au processus d’évaluation des risques, ce qui est abordé sous le PA‑03 du présent rapport.

La société a donc établi et mis en œuvre un processus pour répertorier et analyser les dangers, et s’est dotée de méthodes pour répertorier les dangers et les dangers potentiels. Elle a réuni de nombreuses sources d’information – analyses des dangers liés aux processus, évaluations des dangers associés aux tâches et à la sécurité des tâches, gestion du changement et enquêtes sur les incidents – qui permettent de répertorier les dangers pour ses activités d’exploitation. Elle a aussi analysé et répertorié les dangers et dangers potentiels au moyen de méthodes structurées et d’outils pour classer les risques, afin d’évaluer le type et la gravité de leurs conséquences.

Malgré ce qui précède, plusieurs lacunes ont été relevées, dont celles‑ci :

• Il existe de nombreux autres processus qui permettent de répertorier et d’analyser les dangers à l’échelle du système de gestion des opérations, et on ne comprend pas toujours comment ils sont reliés. Le processus de gestion des risques opérationnels et le processus relatif aux dangers renferment des étapes pour répertorier et analyser les dangers. Cependant, les étapes sont différentes dans les deux cas, et on ne sait pas trop lesquelles priment.
• La société n’a pas démontré que les dangers et les dangers potentiels liés à l’intégrité ont tous été répertoriés et analysés pour l’ensemble de l’installation. Dans le cas des installations utilisées pour le pétrole brut, l’inventaire des dangers liés à l’intégrité des actifs (Asset Integrity – Hazard Register, 19 novembre 2025) ne fait mention que du programme de gestion de l’intégrité des installations comme mécanisme de contrôle pour les dangers de corrosion interne et externe de la conduite, sans mentionner les autres types d’actifs, comme les réservoirs et les appareils sous pression. De plus, plusieurs dangers liés à l’intégrité reconnus par l’industrie – fissuration, dommages mécaniques, défauts de fabrication et de construction, défaillance du matériel, mauvaise exploitation, répercussion des conditions météorologiques et forces extérieures – sont omis pour les actifs des installations utilisées pour le pétrole brut. Bien que le rapport d’étude sur les dangers et l’exploitabilité au terminal Regina traite de certains dangers liés à des processus (défaillance du matériel, conditions de fonctionnement anormales, certains scénarios météorologiques), il n’englobe pas tous les dangers liés à l’intégrité pour tous les types d’actifs différents.
• L’utilisation du système de gestion des conditions de l’usine pour répertorier les dangers n’est pas documentée.
• La société n’a pas démontré qu’elle avait intégré tous les dangers à l’échelle de l’installation dans le cadre de travail du système de gestion des opérations. PMC a démontré qu’elle utilise les fonctionnalités du système de gestion des conditions de l’usine pour répertorier et analyser les dangers à l’installation, mais les dangers liés à celle‑ci ne sont pas tous consignés dans l’inventaire des dangers de la société‑mère (et aucun lien n’y est fait). Le processus permettant de réaliser des évaluations des risques uniformes pour ces dangers n’est pas clair.
• Des incohérences dans les définitions des dangers d’un document à l’autre pourraient nuire à la capacité de la société d’évaluer les risques de manière exhaustive et de façon à ce qu’ils puissent être comparés.

Conclusion

Des lacunes ont été constatées dans les processus permettant de répertorier et d’analyser les dangers à l’installation. De nombreux chevauchements et une uniformisation ou intégration déficiente ont été constatés dans les processus du système de gestion des opérations, qui font en sorte que l’identification des dangers liés à l’intégrité de divers types d’équipements est non uniforme et incomplète. La société ne dispose pas d’une méthode d’analyse des dangers documentée et conforme aux exigences de la Régie à l’installation, et les dangers à cet endroit ne sont pas tous répertoriés ou croisés avec l’inventaire des dangers de la société-mère. Ces incohérences – jumelées aux diverses définitions de danger et à une intégration nébuleuse au cadre de travail du système de gestion des opérations – nuisent à la capacité de la société de répertorier les dangers de façon complète, cohérente et comparative et de faire des évaluations des risques conséquentes.

PA‑03 : Évaluation des risques

Évaluation détaillée

La société n’a pas atteint tous les résultats attendus du PA‑03. La présente section traite d’abord du processus documenté, puis s’attarde aux lacunes.

Le cadre du système de gestion et des programmes de la société est étayé par une série de documents qui, ensemble, établissent et mettent en œuvre un processus pour évaluer les risques associés aux dangers et dangers potentiels répertoriés, notamment ceux liés aux conditions d’exploitation normales et anormales. Les documents examinés relèvent du système de gestion des opérations de la société et visent à s’arrimer aux normes obligatoires comme la norme CSA Z662, la pratique recommandée 1173 (« Recommended Practice 1173 ») de l’American Petroleum Institute (« API ») et le RPT.

Le cadre du système de gestion de la société est structuré et exhaustif. Le processus de gestion des risques opérationnels (« Operational Risk Management Process ») décrit en détail une méthode pour répertorier, analyser, évaluer et gérer ces risques. Il comprend ce qui suit :

• Identification des dangers – Se fait au moyen d’outils comme des évaluations des dangers associés aux tâches, des dossiers sur les dangers et l’exploitabilité et des examens sur la sécurité préalable au démarrage.
• Analyse et évaluation des risques – Se font au moyen de la matrice des risques opérationnels, qui définit les conséquences et les catégories probables, ce qui permet de classer les risques résiduels.
• Élaboration de mécanismes de contrôle des risques – Comprend des mesures de prévention et d’atténuation, et la priorité est établie en fonction de la priorité donnée des mécanismes.
• Critères d’acceptation des risques – Établis au moyen de seuils définis de ce qui constitue des risques acceptables, qui doivent être communiqués et approuvés.
• Intégration au processus de gestion du changement – Le processus de gestion du changement assure que tout changement qui se répercute sur les risques est évalué et géré en conséquence.
• Examen périodique – Le processus d’examen des risques et celui de prévention des risques élevés procurent les mécanismes permettant la surveillance, l’établissement de tendances et la réévaluation des risques.

Le processus de la société‑mère pour l’évaluation des dangers renforce davantage l’identification et l’évaluation des dangers, et inclut explicitement les conditions d’exploitation normales et anormales. Il commande aussi la mise à jour de l’inventaire des dangers et établit des liens avec le processus de gestion du changement quand de nouveaux mécanismes doivent être ajoutés ou des mécanismes existants doivent être adaptés.

Le processus de la société‑mère pour l’examen des risques comporte une méthode structurée, répétitive et axée sur les données pour évaluer les risques associés aux dangers et dangers potentiels relevés. Il exige du personnel de première ligne qu’il répertorie les dangers, les quasi‑incidents et les incidents, et qu’il les consigne dans Maximo ou Velocity de manière à créer une base de données essentielle pour l’évaluation des risques. Ces informations sont analysées durant les examens des risques, au cours desquels l’équipe centrale évalue les tendances et détermine si les mécanismes de contrôle en place gèrent les risques et prennent en compte les conditions d’exploitation normales et anormales par le truchement de mécanismes comme des procédures d’exploitation, une surveillance au moyen du système SCADA, de systèmes d’alerte et de détection des fuites et de programmes d’entretien intégrés aux plans de gestion des risques.

Quand des risques ne sont pas gérés correctement, le processus commande qu’on formule des recommandations sur ceux‑ci, qu’on adapte les mécanismes de contrôle et qu’on surveille les mesures correctives et préventives en vue du suivi et d’une amélioration constante. La société a donc établi des processus d’évaluation documentés, défini des méthodes pour évaluer les risques et mis en place des mécanismes permettant un examen périodique et la gestion des risques.

Bien que la société ait démontré qu’elle a établi des bases solides pour l’évaluation des risques, des lacunes ont été relevées dans ce qui suit :

• Il existe des processus pour évaluer les risques à l’échelle du système de gestion des opérations, mais les liens entre eux et la primauté ne sont pas clairs.
• Aucune preuve n’a été produite pour démontrer que l’évaluation des risques à l’échelle de l’installation suit un processus documenté pour les dangers autres que ceux liés au processus. Bien que les dangers liés au processus indiquent comment celui‑ci fonctionne et peut dévier, les dangers se rapportant à l’intégrité de l’installation ont aussi des liens avec les conditions physiques et la fiabilité à long terme du matériel lui‑même. Il est ressorti des entrevues que les évaluations des risques sont faites à la discrétion des personnes, ce qui peut être attribuable à des lacunes dans la mise en œuvre ou la formation.
• Aucune évaluation des risques exhaustive de tous les dangers liés à l’intégrité applicables n’a été réalisée sur l’ensemble de l’installation. La société n’a pas démontré que des évaluations des probabilités et des conséquences ont été faites entre les divers actifs pour tous les dangers liés à l’intégrité applicables. Bien que le rapport sur les dangers et l’exploitabilité au terminal renferme des évaluations pour certains risques liés à l’intégrité, il n’englobe pas tous les dangers applicables (voir l’évaluation sous le PA‑02). De plus, l’inventaire des dangers ne fournit qu’une évaluation générale des risques pour toute la société concernant la corrosion interne et externe, ce qui est insuffisant pour démontrer l’acceptabilité des risques et l’efficacité des mécanismes de contrôle dans toute l’installation et pour les divers types d’actifs.
• Il n’a pas été démontré que la méthode fondée sur le risque utilisée pour le programme d’entretien, de fiabilité et d’inspection a été formellement approuvée ou qu’elle est suivie, comme cela est exigé. L’organisation n’a pas démontré non plus que cette méthode comprenait une évaluation critique et une classification des actifs, des données sur la fiabilité sur terre et en mer, et que l’apport du spécialiste de ces questions les avait formellement approuvées et qu’elles étaient traçables, conformément à ses propres exigences. Les documents actuels ne mentionnent pas clairement que cette méthode est celle qui a été approuvée ni la façon dont on l’applique.
• Cela constitue une lacune dans l’intégration, compte tenu des renvois limités entre les documents portant sur l’évaluation des risques. Cette lacune peut empêcher les utilisateurs de comprendre l’interaction entre les diverses composantes devant former un programme cohérent.
• Le processus n’explique pas comment et quand les critères d’évaluation des risques commandent des mises à jour des plans d’intervention d’urgence. Bien qu’il y ait des renvois aux processus d’intervention d’urgence et de planification des urgences dans les documents du cadre de gestion des risques opérationnels, le lien avec l’évaluation des risques n’est pas explicite. L’inclusion des plans d’intervention d’urgence et des examens de la sécurité préalable au démarrage dénote que des scénarios d’urgence et de conditions anormales sont pris en compte durant l’identification des dangers. Cependant, le processus n’explique pas explicitement comment on utilise les évaluations des risques (p. ex., scénarios de haut risque ou risques résiduels inacceptables) pour alimenter ou pour déclencher des mises à jour des plans d’intervention d’urgence.

Conclusion

De multiples lacunes ont été relevées dans l’évaluation des risques de la société, dont des chevauchements dans les processus du cadre du système de gestion des opérations, l’absence d’un processus d’évaluation des risques à l’échelle de l’installation documenté et appliqué de manière uniforme et l’absence d’une méthode d’évaluation exhaustive pour tous les risques liés à l’intégrité applicables. La société n’a pas fait la preuve que des évaluations des probabilités et des conséquences ont été faites pour tous les types de matériel, et les dossiers comme ceux sur les dangers et l’exploitabilité du terminal Regina et l’inventaire des dangers ne fournissent que des évaluations partielles ou générales.

De plus, la méthode fondée sur le risque utilisée dans le cadre du programme d’entretien, de fiabilité et d’inspection n’a pas été formellement approuvée ou n’est pas traçable, et les renvois limités entre les documents relatifs aux dangers entraînent une intégration déficiente. Enfin, bien qu’il y ait des renvois aux processus de mesures d’urgence et à la planification des interventions d’urgence, les liens vers l’évaluation des risques ne sont pas explicites, ce qui réduit l’arrimage aux exigences du RPT.

PA‑04 : Mécanismes de contrôle

Évaluation détaillée

La société n’a pas atteint tous les résultats attendus du PA 04. La présente section traite d’abord du processus documenté, puis s’attarde aux lacunes.

La société a établi un processus pour élaborer et mettre en œuvre des mécanismes de contrôle pour gérer et atténuer les risques. Le processus est décrit dans de nombreux documents, dont ceux‑ci :

• processus de la société‑mère pour l’évaluation des dangers;
• programme de la société pour la gestion de l’intégrité des pipelines au Canada (applicable uniquement au pipeline et donc non expliqué davantage);
• processus de la société‑mère pour l’examen des risques.

Comme cela est expliqué sous le PA 02, le processus de la société‑mère pour l’évaluation des dangers trace les grandes lignes d’une démarche structurée pour répertorier les dangers, analyser les conséquences, examiner les mécanismes de contrôle et élaborer de tels mécanismes. Des étapes portent spécifiquement sur les mécanismes de contrôle actuels, la détermination du risque résiduel et l’élaboration de nouveaux mécanismes ou l’adaptation de mécanismes existants. Des liens sont faits entre les changements apportés à ces mécanismes et le processus de gestion des opérations.

Le processus de la société‑mère pour examiner les risques complète cette démarche en établissant un cadre pour évaluer l’efficacité des mécanismes de contrôle et recommander des améliorations. Ce processus consiste à analyser l’efficacité des mécanismes de contrôle et à établir la façon dont on parvient aux recommandations sur les risques quand on constate que les mécanismes ne sont pas suffisants.

Les processus de la société‑mère pour évaluer les dangers et examiner les mesures de contrôle exigent tous les deux que l’on consigne ces informations dans l’inventaire des dangers et qu’on les communique au personnel concerné. Par ailleurs, le processus de la société‑mère pour évaluer les dangers indique les exigences en matière de communication et de formation pour les nouveaux mécanismes ou les mécanismes modifiés.

La communication concernant les mécanismes de contrôle se fait de diverses façons. Les changements, comme des rajustements des points de déclenchement, sont communiqués par l’entremise des processus de gestion des opérations, dans lesquels les équipes compétentes (centre de commande, hydraulique technique, entretien et opérations) passent en revue et approuvent les mises à jour. Des communications ciblées sous forme de présentations (séances PowerPoint sur Microsoft Teams) permettent d’informer tous les membres du personnel exposés. Des réunions mensuelles sur la sécurité permettent d’approfondir la connaissance des mécanismes de contrôle. On y revoit les procédures, on traite des procédures opérationnelles normalisées, on émet des alertes de sécurité, on discute des leçons retenues et on se penche sur les risques émergents. La participation est vérifiée pour des raisons de reddition de comptes.

Pour ce qui est des programmes portant spécifiquement sur les actifs, la société a instauré des cadres de travail pour la mise en place et la communication des mécanismes de contrôle qui comportent des exigences définies en matière d’inspection, d’entretien, de surveillance, de réparation et de dispositifs de protection, le tout complété par des procédures documentées, du personnel accrédité, des flux de travail et des processus de gestion des opérations.

Les entrevues menées et les documents consultés confirment que des mécanismes sont en place pour atténuer les risques répertoriés lors des évaluations des dangers, des enquêtes sur les incidents et dans le cadre des processus de gestion des opérations. Voici quelques exemples :

• mises à jour de l’inventaire des dangers;
• procès‑verbal des réunions d’examen des risques et recommandations;
• dossier de la gestion du changement pour le contrôle des modifications;
• documents de formation et modules d’apprentissage en ligne;
• intégration avec Maximo et SharePoint pour le suivi et la communication.

Le processus de la société‑mère pour l’examen des risques assure qu’on évalue l’efficacité des mécanismes de contrôle et qu’on fait un suivi des recommandations jusqu’à la clôture. Les mécanismes de contrôle font l’objet d’une surveillance à partir d’indicateurs de rendement clés, comme des retards dans la mise en place des recommandations et l’efficacité des mécanismes de contrôle. Cependant, le suivi de la mise en œuvre des recommandations au moyen des indicateurs clés a cessé à la fin de 2022 en raison de rajustements fréquents qui nuisaient à leur efficacité.

La société dispose donc d’un processus documenté pour élaborer et mettre en œuvre des mécanismes de contrôle qui comporte des étapes structurées pour faire l’examen de ceux‑ci, identifier le risque résiduel, élaborer de nouveaux mécanismes ou adapter ceux qui existent et créer des liens entre les changements et le processus de gestion du changement pour la direction. Le processus fournit aussi un mécanisme de surveillance périodique permettant de réévaluer l’efficacité du mécanisme de contrôle de manière à s’assurer que les mécanismes mis en place sont examinés et rajustés en fonction de changements de situation.

En dépit de l’existence d’un processus documenté et partiellement mis en œuvre, plusieurs lacunes ont été relevées, dont les suivantes :

• Les mécanismes de contrôle sont trop vastes pour être mis en pratique et manquent de spécificité (p. ex., liste d’un document de programme). Par exemple, le programme de gestion de l’intégrité figurait comme mesure de protection après avoir répertorié et analysé un danger concernant l’intégrité d’un actif durant une étude sur les dangers et l’exploitabilité au terminal Dewdney. On mentionnait des mécanismes de contrôle généraux comme le programme de gestion de l’intégrité des pipelines dans l’inventaire des dangers pour l’intégrité de l’actif comme mécanisme singulier, en dépit du fait qu’il comprend des mesures de contrôle multiples et ciblées. Ces mesures de contrôle (p. ex., dispositifs de protection contre les surpressions, inspections pour détecter la présence de corrosion) devraient être énumérées individuellement et être explicitement liées aux dangers et risques particuliers qui s’y rattachent.
• Le processus de contrôle ne fait de renvois à aucune méthode qui a servi à élaborer ces mécanismes de contrôle et s’attache plutôt au type de document qui s’appliquerait. Aucune information n’est fournie sur la façon dont la société a mis au point les mécanismes de contrôle pour les installations. De plus, la prévalence accordée aux mécanismes de contrôle axés sur la procédure ou ceux d’ordre administratif ne permet pas de déterminer si une hiérarchisation de mécanismes de contrôle a été envisagée. Rien dans les dossiers n’indique que la société a tenu compte de facteurs contextuels comme le type d’actif, qui peut influer sur la pertinence des mécanismes de contrôle. Par exemple, des types d’actifs différents (pipelines, réservoirs de stockage, installations de traitement) ont des modes de défaillance, des conditions d’exploitation et des expositions environnementales uniques. Les mécanismes de contrôle qui conviennent à un type d’actif peuvent ne pas être suffisants pour un autre type. Le processus ne démontre pas comment on a adapté la fréquence ou le type de vérifications à ces variables.
• Les documents sur la gestion de l’intégrité sont inadéquats, car ils n’intègrent pas les exigences réglementaires pertinentes, comme le RPT et la norme CSA Z662, pour les actifs réglementés par la Régie, ou ne sont pas tenus à jour conformément aux exigences internes de la société, dont ceux‑ci :
• plan d’inspection de la tuyauterie et d’essais de la société pour le matériel sous pression;
• système de gestion de l’intégrité de la société pour le matériel sous pression;
• Le document portant sur l’entretien, la fiabilité et les inspections est dépassé et renferme des incohérences avec des exigences documentées et les activités réalisées sur le terrain. La société n’a pas démontré que les modifications aux procédures relatives à l’entretien ou aux procédures sont étayées par une méthode d’analyse des défaillances formellement approuvée, documentée et traçable (p. ex., analyse des modes de défaillance et leurs effets, RCM ou équivalent). Bien que l’on mentionne, dans la réponse à la demande de renseignements, l’utilisation de l’évaluation critique et de la classification des actifs (« ACAR »), des données sur la fiabilité sur terre et en mer et de l’apport du spécialiste de ces questions, cette méthode n’est pas consignée dans les systèmes de gestion, et aucune preuve n’a été fournie que l’ACAR est officiellement reconnue comme la méthode approuvée axée sur le risque pour le programme d’entretien, de fiabilité et d’inspection. Par conséquent, on n’a pas fait la preuve de l’approbation et de la traçabilité exigées pour justifier des modifications aux activités d’entretien et d’inspection.
• Le processus de gestion des données relatives à l’intégrité est dépassé.
• Le manuel de gestion de l’intégrité et du programme de gestion de l’intégrité figure au nombre des mécanismes de contrôle. Or, ces documents sont en préparation et ne sont pas utilisés dans la pratique.

Conclusion

Les méthodes de travail de la société en matière de contrôle de gestion présentent des lacunes sur les divers plans de la spécificité, de la communication et du contexte, des éléments essentiels à un cadre de gestion des risques efficace et conforme. Les mécanismes de contrôle sont consignés par écrit dans un programme trop large qui les rend difficiles à mettre en œuvre et à associer à des dangers spécifiques et des mesures conçues pour les atténuer.

Aucune preuve n’a été fournie pour démontrer que ces mécanismes de contrôle ont été adaptés pour rendre compte des différences entre les types de matériel, les conditions d’exploitation ou les modes de défaillance. Par ailleurs, plusieurs documents sur la gestion de l’intégrité sont dépassés ou ne concordent pas aux exigences réglementaires et aux normes CSA, ce qui mine davantage la pertinence et la fiabilité du cadre de gestion de la société.

PA‑05 : Signalement des dangers et des incidents et intervention

Évaluation détaillée

La société n’a pas atteint tous les résultats attendus du PA 05. La présente section traite d’abord du processus documenté, puis s’attarde aux lacunes.

La société se sert des documents contrôlés ci‑dessous dans son processus de rapports internes des dangers, dangers potentiels, incidents et quasi‑incidents, et pour prendre des mesures correctives et préventives :

• programme de rapports et d’enquêtes des incidents;
• procédure pour la gestion des incidents;
• processus pour faire rapport et répertorier les dangers;
• processus pour l’examen des risques.

Comme cela est décrit dans ces documents, la société a instauré un processus qui regroupe l’identification, les rapports, les enquêtes et la résolution des dangers et incidents. Le programme explique les exigences relatives aux rapports sur les incidents et quasi‑incidents, notamment l’analyse et l’élaboration des mesures correctives et préventives nécessaires. La procédure fournit des instructions détaillées pour mener des enquêtes, recueillir des éléments de preuve et assurer un suivi approprié. Le processus pour répertorier les dangers et faire rapport sur ceux‑ci décrit la façon de répertorier et de consigner les dangers de façon proactive et la façon dont les mesures correctives sont déterminées et suivies. Le processus relatif à l’examen des risques intègre les données sur les incidents aux activités plus larges de gestion des risques, dont l’évaluation de l’efficacité des mécanismes de contrôle et l’élaboration de recommandations sur les risques.

Le processus comprend les éléments clés suivants :

• Outils de production de rapports – Maximo IM et VelocityEHS sont utilisés pour consigner les incidents et les quasi‑incidents et identifier les dangers. Ces systèmes favorisent une progression du flux de travail, le suivi des mesures correctives et les notifications automatisées.
• Méthode d’enquête – Les incidents sont classés en fonction du degré de risque au moyen de la matrice de gestion des risques opérationnels. Les incidents à risque élevé et très élevé doivent faire l’objet d’une analyse des causes fondamentales en appliquant des méthodes structurées (p. ex., Apollo, TapRoot). Dans le cas des incidents dont les risques sont moins élevés, les causes et les facteurs contributifs doivent minimalement être répertoriés.
• Mesures correctives et préventives – Pour tous les incidents et les dangers relevés autres que « Fast Path » (« HID »), au moins une mesure corrective ou préventive doit être adoptée et suivie jusqu’à la clôture. Le processus assure la cohérence et la reddition de comptes.
• Communication et leçons retenues – Les leçons retenues sont communiquées au moyen de bulletins, de réunions sur la sécurité et de modules de formation. Cette communication relève du groupe fonctionnel de la santé, de la sécurité et de l’environnement.
• Intégration au système de gestion des opérations – Le processus est lié à d’autres éléments du système de gestion, dont l’évaluation des risques, l’élaboration de mécanismes de contrôle, la communication et la coordination des opérations.

La société a fourni des dossiers pour le pipeline Wascana et le terminal Regina qui dénotaient la mise en œuvre du procédé, qui renferment l’identification de dangers, des incidents et des mesures correctives correspondantes. Voici quelques exemples :

• installation de chaînes de retenue de porte pour corriger des dangers liés à des enceintes d’appareillages;
• remplacement de vannes et de raccords défectueux pour prévenir des fuites;
• programmation logique pour activer des alarmes sur de nouveaux systèmes;
• enquête sur des franchissements non autorisés;
• reclassification des quasi‑incidents en incidents avec suivi médical approprié.

Ces dossiers confirment que les dangers et les incidents donnent lieu à des rapports et des enquêtes et qu’ils sont résolus. La société dispose donc d’un processus documenté pour faire rapport sur les dangers, les dangers potentiels, les incidents et les quasi‑incidents. Les dangers, les incidents et les quasi‑incidents font l’objet de rapports et d’enquêtes et des mesures correctives et préventives sont prises. Les mesures sont suivies jusqu’à la clôture par l’entremise de systèmes comme Maximo IM et VelocityEHS. La société a aussi recours à des méthodes d’enquête adaptées à la gravité de l’incident, et intègre les leçons retenues aux réunions sur la sécurité et aux communications, ce qui démontre que des enquêtes sont menées et que des mesures correctives sont gérées de manière systématique et traçable.

Le processus comprend des mécanismes pour diffuser les leçons retenues, et on trouve un critère défini pour établir quand et comment les conclusions d’une enquête doivent être communiquées aux parties concernées internes et externes en appliquant le processus de la société en la matière.

En dépit de l’existence d’un processus documenté et partiellement mis en œuvre, plusieurs lacunes ont été relevées, dont les suivantes :

• Le processus n’est pas mis en œuvre de la façon dont il est consigné. Il y a des incohérences entre les procédures documentées sur la gestion des incidents et la plateforme informatique utilisée à l’interne pour faire rapport sur les incidents et les quasi‑incidents. Ces incohérences peuvent créer de la confusion et rendre lacunaires le suivi et la résolution des incidents.
• L’information fournie sur les dangers imminents est limitée aux exigences de rapport et ne comprend pas d’étapes détaillées pour gérer le danger, par exemple une identification immédiate, des mesures de contrôle et des protocoles de communication.
• Le processus de rapport interne de la société repose sur l’identification des dangers, qui ne correspond pas aux définitions de danger et danger potentiel mentionnées dans le processus de gestion des risques opérationnels, ce qui se traduit par une compréhension inégale et l’établissement de rapports incorrects ou incomplets de dangers ou dangers potentiels.

Conclusion

L’audit a révélé des lacunes entre les processus de gestion des incidents et des dangers documentés de la société et leur mise en pratique. Le manque de cohérence entre les procédures écrites et le logiciel servant à établir les rapports entraîne un manque d’uniformité susceptible de mener à un suivi incomplet et inexact des incidents.

Les directives pour gérer les dangers imminents sont limitées et manquent de clarté sur le plan des mesures de contrôle immédiates et des attentes en matière de communication. Le processus interne de rapports ne concorde pas aux définitions de danger et de danger potentiel utilisées ailleurs dans l’organisation ou dans les normes applicables, ce qui accroît la probabilité que les rapports soient incorrects ou non uniformes.

AP‑06 : Inspection et surveillance

Évaluation détaillée

La société n’a pas atteint tous les résultats attendus du PA 06. La présente section traite d’abord du processus documenté, puis s’attarde aux lacunes.

Un processus a été établi en vue de l’inspection et de la surveillance des activités et des installations dans le but d’évaluer le caractère adéquat et l’efficacité des programmes et de prendre des mesures correctives et préventives en cas de lacunes. La société dispose de plusieurs « couches » de documents qui, ensemble, décrivent la façon dont les inspections et la surveillance sont menées à la grandeur des activités.

Les processus du système de gestion des opérations décrivent le cadre général pour l’assurance, la gestion des résultats et l’amélioration constante. Ils comprennent d’autres processus comme la gestion des conclusions de la vérification interne et des mesures correctives, la gestion des mesures relatives aux lacunes et à l’amélioration et la gestion des résultats. Ces processus sont renforcés lors de réunions sur la gouvernance, la planification stratégique et les examens de la direction.

Le processus entourant les mesures correctives et préventives établit une démarche en huit étapes pour répertorier, mettre en place et vérifier ces mesures. La société utilise le critère SMARTER pour l’élaboration des mesures et décrit les activités d’assurance permettant d’évaluer l’efficacité. Ce processus est intégré aux enquêtes sur les incidents et aux conclusions des vérifications internes.

Le programme de gestion de l’intégrité des réservoirs comporte une démarche structurée pour arriver à cette fin. Il établit les intervalles entre les inspections pour les réservoirs satisfaisant aux normes API 653 et du Steel Tank Institute (« STI »), décrit les mécanismes qui déclenchent des évaluations techniques critiques et prévoit un processus permettant de modifier les intervalles. Le programme est aussi intégré au processus de gestion du changement et mentionne les exigences de compétences des inspecteurs.

Les programmes de gestion de l’intégrité du matériel sous pression et d’entretien, de fiabilité et d’inspection établissent les cadres pour assurer l’exploitation sécuritaire, conforme et fiable des actifs de PMC en définissant des processus structurés pour l’inspection, la surveillance, l’entretien, la documentation et les mesures correctives du matériel. Le programme de gestion de l’intégrité de l’équipement sous pression s’attache principalement au matériel sous pression — appareils sous pression, chaudières, tuyauterie, dispositifs de sécurité et systèmes de protection s’y rattachant — pour lequel il explique les exigences en matière de contrôle de la conception, d’évaluation de l’intégrité, de protection contre les surpressions et d’interactions d’ordre réglementaire pour maintenir le matériel à la pression de service pendant tout son cycle de vie.

Par ailleurs, le programme d’entretien, de fiabilité et d’inspection a une portée plus vaste et vise toutes les catégories d’actifs. Il décrit les principes de l’entretien, l’exécution des travaux visant le système de gestion de l’entretien informatisé, les pratiques d’entretien prédictif et préventif, les caractéristiques techniques particulières au matériel en matière d’intégrité mécanique et d’entretien, et les exigences d’inspection pour soutenir d’autres programmes du système de gestion des opérations (p. ex., sécurité du processus, intégrité des pipelines, gestion de l’environnement et sécurité). Ensemble, ces documents constituent une approche intégrée de système de gestion qui assure l’intégrité du matériel, la conformité à la réglementation, la détection rapide des défauts et la mise en œuvre efficace de mesures correctives et préventives à la grandeur de l’organisation.

L’examen annuel 2024 de la gestion (« 2024 Annual Management Review ») présenté durant l’audit évaluait les résultats du sous‑élément de l’intégrité des actifs, dont les activités d’inspection et de surveillance. On y trouvait des facteurs clés de rendement, des tendances dans les résultats et des mesures d’amélioration.

PMC a fourni des documents sur les intervalles d’inspection, les procédures d’évaluation et les flux de travail pour les mesures correctives. Elle conserve des dossiers pour de multiples systèmes, notamment le système de gestion des conditions de l’usine (PCMS), Maximo, VelocityEHS, IRAS, Cambio et SharePoint.

La société a donc établi et mis en œuvre un processus pour les inspections, la surveillance et les mesures correctives par l’entremise de ses programmes, qui établit les intervalles d’inspection, les exigences d’entretien et de surveillance, les procédures d’évaluation et les flux de travail pour les mesures correctives et préventives. Ces programmes exposent aussi les méthodes pour relever les lacunes et mettre en place des mesures correctives, dont l’intégration au processus de gestion du changement et des étapes structurées de vérification. La société mène de nombreuses activités d’inspection et de surveillance — étayées par des documents comme des dossiers sur les intervalles d’inspection, les procédures d’évaluation et d’entretien — et conserve des dossiers de ces activités pour tous les systèmes, lesquels confirment que les résultats des inspections et les mesures correctives et préventives sont consignés et sauvegardés.

En dépit de l’existence du processus, il existe plusieurs lacunes :

• Le cadre du système de gestion des opérations ne définit pas les exigences pour mener des inspections de l’installation et établir les besoins d’inspection. Bien que la société mène des inspections, il n’existe aucun document indiquant la façon dont les résultats servent à évaluer le caractère adéquat et l’efficacité de la gestion de l’intégrité des installations.
• Le processus d’inspection de la tuyauterie souterraine n’est pas documenté, et on ne trouve aucun plan formel d’inspection de l’intégrité. On ne sait pas trop ce qui amène à faire une inspection. Certaines conduites sous terre ont plus de 50 ans et n’ont jamais été inspectées. De plus, PMC n’a pas démontré qu’elle avait des plans d’inspection des conduites souterraines.
• Les méthodes pour évaluer le caractère adéquat et l’efficacité ne sont pas appliquées de manière uniforme d’un programme à l’autre, et les plans d’assurance des sous‑éléments ne sont pas obligatoires, ce qui fait que les activités en la matière ne sont pas toutes menées de la même manière.
• Les procédures pour mener certaines inspections ne sont pas documentées (p. ex., conduites sous terre, inspections mensuelles). Les inspections servant à déterminer le caractère adéquat et l’efficacité du programme devraient être documentées, mais aucun document n’a été fourni sur la façon de mener ces inspections.

Conclusion

Les exigences du cadre de travail du système de gestion des opérations ne sont pas clairement documentées pour mener des inspections de l’installation ou utiliser les conclusions de celles ci pour évaluer la pertinence et l’efficacité du programme. Les méthodes d’inspection des conduites souterraines de la station sont particulièrement déficientes et ne comportent aucun plan, aucune procédure ni aucun élément déclencheur formels.

De plus, les méthodes de vérification sont appliquées de manière non uniforme en raison de l’absence de sous-éléments obligatoires dans les plans. Par ailleurs, les principales procédures d’inspection, dont celles entourant les conduites souterraines et les inspections mensuelles, ne sont pas documentées, ce qui limite la capacité de la société à démontrer l’existence d’une surveillance systématique de sa gestion de l’installation conforme aux attentes de la Régie.

Annexe II – Termes et abréviations

Pour des définitions générales applicables à tous les audits opérationnels, veuillez consulter l’annexe I de la publication intitulée Exigences relatives au système de gestion de la Régie et guide de vérification du système de gestion de la Régie, qui se trouve à l’adresse www.cer-rec.gc.ca.

Date de modification :

2026-06-08