La responsabilité dans l'analyse des risques machine est un mécanisme juridique à double détente : le fabricant qui signe la déclaration CE répond devant les autorités de marché, tandis que le bureau d'études sécurité/conformité machine prestataire répond devant son client, et potentiellement devant la justice pénale. L'Art. 18 du Règlement (UE) 2023/1230, applicable au 20 janvier 2027, désigne comme fabricant la personne réalisant une modification substantielle, et l'expert externe n'est pas exonéré par le simple fait d'avoir rendu un rapport. Cet article décrypte précisément où s'arrête la protection contractuelle et où commence l'exposition réelle du sous-traitant technique.
La double couche de responsabilité : réglementaire vs civilo-pénale
Définition rapide
La responsabilité dans l'analyse des risques machine est la désignation juridique de l'entité qui répond d'un dommage causé par une déficience dans l'évaluation ou la réduction des risques, distincte selon qu'on se place sur le terrain réglementaire, civil ou pénal.En pratique, trois questions différentes appellent trois réponses différentes, et confondre les registres est la source de la plupart des malentendus entre donneurs d'ordre et prestataires.
Qui est « fabricant » au sens du Règlement 2023/1230 ?
L'Art. 18 du Règlement 2023/1230 crée un mécanisme central pour la sous-traitance : la personne qui apporte une modification substantielle au sens de l'Art. 3(16) est considérée comme fabricant et est soumise aux obligations de l'Art. 10 pour cette machine, y compris l'analyse des risques et la procédure d'évaluation de la conformité de l'Art. 25 §2, 3 et 4. Deux nuances comptent : lorsque la modification n'affecte la sécurité que d'une machine au sein d'un ensemble, la portée est limitée à la machine affectée telle que l'évaluation des risques le démontre ; et l'utilisateur non professionnel modifiant sa machine pour son propre usage est expressément exclu de ce statut.
Art. 10 · Règlement 2023/1230
Le constructeur OEM (fabricant originel)
Produit et commercialise la machine sous sa marque. Réalise ou commande l'analyse des risques. Signe la déclaration UE de conformité et appose le marquage CE. C'est le cas standard.
Art. 10 · Règlement 2023/1230
L'intégrateur de ligne ou d'ensemble
Assemble plusieurs machines, même CE marquées individuellement, en un ensemble fonctionnel. Devient fabricant de la ligne entière et doit analyser les risques d'interface et d'intégration. Le CE de chaque composant ne couvre pas la ligne.
Art. 18 · Règlement 2023/1230
L'exploitant réalisant une modification substantielle
La qualification suppose plusieurs conditions cumulatives (Art. 3(16)) : une modification physique ou numérique, postérieure à la mise sur le marché ou en service, non prévue ni planifiée par le fabricant, affectant la sécurité en créant un nouveau danger ou en augmentant le risque existant, et rendant nécessaire soit (a) l'ajout de protecteurs ou dispositifs de protection dont la mise en œuvre exige de modifier le système de commande de sécurité existant, soit (b) des mesures supplémentaires de stabilité ou de résistance mécanique. Toute augmentation de risque n'est donc pas une modification substantielle.
Art. 10 · Règlement 2023/1230
L'industriel produisant pour son propre usage
Un atelier qui conçoit un équipement sur mesure pour sa propre production est soumis aux mêmes obligations qu'un OEM, y compris l'analyse des risques, le dossier technique et le marquage CE interne.
Art. 12 · Règlement 2023/1230
Le mandataire éventuel du fabricant
Un fabricant peut désigner par mandat écrit un mandataire établi dans l'Union : ce n'est pas une obligation systématique. Le mandataire exécute uniquement les tâches prévues au mandat, au minimum tenir la documentation technique et la déclaration UE à disposition des autorités pendant 10 ans (Art. 12 §2 a). Les obligations de conception conforme (Art. 10 §1), l'Art. 11 §1 et l'établissement de la documentation technique de l'Annexe IV ne peuvent pas être transférés au mandataire.
« Toute personne physique ou morale qui modifie substantiellement une machine ou un produit assimilé déjà mis sur le marché ou mis en service est considérée comme fabricant au sens du présent règlement. »Règlement (UE) 2023/1230, Art. 18 · Applicable au 20 janvier 2027
Ce que l'Art. 18 change pour le sous-traitant technique
Lorsqu'un bureau d'études réalise une analyse des risques pour un client en contexte de modification substantielle, il produit le document technique qui va directement fonder le statut de « fabricant réputé » de son client et la conformité du marquage CE résultant. La qualité de l'analyse n'est plus seulement une question de satisfaction client : elle conditionne la validité réglementaire de toute la chaîne.
Pour en savoir plus sur les déclencheurs de la modification substantielle, consultez notre logigramme de gestion des modifications de machines et notre page dédiée à la modification substantielle.
La responsabilité civile du sous-traitant : obligation de conseil
La nature de l'obligation de conseil en ingénierie machine
L'obligation de conseil d'un bureau d'études spécialisé en sécurité/conformité machine ne se limite pas à répondre aux questions posées. Elle comprend trois dimensions qui peuvent chacune fonder une mise en cause :
Les cas typiques de mise en cause civile du sous-traitant
L'expérience terrain révèle trois scénarios récurrents dans lesquels la responsabilité civile du bureau d'études est actionnée après livraison de l'analyse :
Scénario A : l'analyse incomplète. Le périmètre était défini, mais l'analyse n'a pas couvert l'ensemble des phénomènes dangereux du périmètre. Une phase de maintenance, un mode dégradé, ou une intervention de réglage ont été omis. Lors d'un contrôle ou d'un accident, le manque est documenté. Le client engage la responsabilité contractuelle du prestataire pour surcoût de mise en conformité.
Scénario B : la sous-estimation du niveau de risque. L'estimation de la probabilité d'occurrence ou de la gravité du dommage dans la grille ISO 12100 était manifestement sous-évaluée. La mesure de protection retenue était insuffisante au regard du risque réel. Un accident survient, révélant l'erreur d'estimation. Le prestataire est actionné pour faute dans l'exécution de sa prestation.
Scénario C : l'alerte non transmise. Le bureau d'études a identifié, lors de sa mission, des risques graves hors périmètre, mais ne les a pas signalés formellement par écrit. Un accident survient sur ce point non couvert. Le client démontre que l'expert était présent sur site et aurait dû détecter et signaler le risque.
La responsabilité pénale : faute caractérisée et homicide involontaire
La notion de faute caractérisée en droit pénal
Depuis la loi Fauchon du 10 juillet 2000 (codifiée à l'Art. 121-3 du Code pénal), la responsabilité pénale des personnes physiques n'ayant pas directement causé le dommage, comme un sous-traitant technique, est conditionnée à la démonstration d'une faute caractérisée ou d'une faute délibérée.
« Il y a [...] délit, lorsque la loi le prévoit, en cas de faute d'imprudence, de négligence ou de manquement à une obligation de prudence ou de sécurité prévue par la loi ou le règlement, s'il est établi que l'auteur des faits n'a pas accompli les diligences normales compte tenu, le cas échéant, de la nature de ses missions ou de ses fonctions, de ses compétences ainsi que du pouvoir et des moyens dont il disposait. »Art. 121-3 al. 3, Code pénal · Loi du 10 juillet 2000 dite « loi Fauchon »
Pour un expert en sécurité/conformité machine, la « faute caractérisée » peut résulter de :
- L'omission d'un phénomène dangereux identifiable avec la méthode ISO 12100
- Une sous-estimation manifeste du niveau de risque
- La recommandation d'une mesure de protection insuffisante au regard du niveau de risque estimé
- L'absence de signalement d'un risque grave détecté hors périmètre
- L'utilisation d'une méthode non conforme aux normes en vigueur sans en informer le client
La distinction auteur direct / auteur indirect ne protège pas toujours le prestataire
La loi Fauchon distingue l'auteur direct du dommage (celui qui a actionné la machine) de l'auteur indirect (celui dont la faute a créé les conditions du dommage). Pour les auteurs indirects, la faute caractérisée est requise, ce qui constitue un filtre. Mais ce filtre joue différemment selon le profil : l'Art. 121-3 impose une appréciation concrète tenant compte de la nature des missions, des compétences, du pouvoir et des moyens dont disposait la personne. Un expert en sécurité/conformité machine est précisément missionné pour identifier les risques de sa discipline. Selon les circonstances, l'omission d'un risque grave qu'un professionnel normalement diligent aurait dû identifier peut donc contribuer à caractériser une faute au sens de l'Art. 121-3 du Code pénal.
Pour aller plus loin sur la chaîne de responsabilités post-accident, consultez notre article sur les obligations liées au Règlement 2023/1230.
Ce que le contrat peut faire, et ce qu'il ne peut pas faire
Ce que le contrat peut faire
Délimiter le périmètre. Un contrat précis sur le périmètre de la mission (quelle machine, quelles phases du cycle de vie, quelles limites d'utilisation couvertes) est la première protection du prestataire. Si le client subit un dommage sur un point hors périmètre contractuel explicitement défini, la responsabilité du bureau d'études est moins facile à établir, à condition que le prestataire ait également respecté son obligation d'alerte sur ce point.
Plafonner l'indemnisation B2B. Les clauses limitatives de responsabilité sont valides entre professionnels (Art. 1170 Code civil), à condition qu'elles ne vident pas la prestation de sa substance, qu'elles ne couvrent pas la faute lourde ou le dol, et qu'elles soient rédigées avec précision. Un plafond d'indemnisation fixé à un multiple du montant de la prestation est typiquement défendable.
Formaliser les données d'entrée. Contractualiser l'obligation du client de fournir des informations techniques exactes et complètes (plans à jour, historique des modifications, conditions réelles d'utilisation) est indispensable. Leur absence ou leur inexactitude peut limiter ou déplacer la responsabilité du prestataire, notamment lorsqu'il a demandé les informations nécessaires, signalé leur absence et documenté ses réserves. Cette protection n'est pas absolue : un bureau d'études ne peut pas exploiter sans réagir une donnée manifestement incohérente.
Ce que le contrat ne peut pas faire
Tableau de synthèse : qui répond de quoi selon le registre juridique
Ce tableau est une synthèse à visée pédagogique. Chaque situation réelle doit faire l'objet d'une analyse juridique documentée. Contactez ASI Industrie pour une analyse de votre situation spécifique.
Les précautions méthodologiques indispensables pour le sous-traitant
Précaution contractuelle
Définir le périmètre par écrit avant toute intervention
Formaliser contractuellement : quelle machine ou ensemble, quelles limites d'utilisation (au sens ISO 12100 §5.3), quelles phases du cycle de vie couvertes (utilisation normale, maintenance, réglage, nettoyage, défaillances prévisibles), avec ou sans évaluation des interfaces. Tout point hors périmètre doit être explicitement listé comme exclu.
Précaution documentaire
Tracer chaque décision technique de l'analyse
Pour chaque phénomène dangereux identifié, documenter : la méthode d'identification (ISO 12100 §5.4), l'estimation du risque (paramètres S, E, A ou P selon la méthode retenue), la mesure de protection retenue (ISO 12100 §6), et le risque résiduel jugé acceptable. Cette traçabilité est la première ligne de défense en contentieux.
Précaution d'alerte
Formaliser par écrit toute alerte hors périmètre
Si une déficience grave est identifiée hors périmètre pendant la mission, la signaler dans un écrit formel adressé au client, avec demande de confirmation écrite sur la décision de gestion. Ne jamais se contenter d'une remarque orale. L'absence de trace écrite équivaut à une absence de signalement.
Précaution de rapport
Rédiger les limites de la mission dans le rapport livré
Le rapport final doit comporter une section explicite sur les hypothèses retenues, les informations reçues du client (et leur date), les points non évalués et les raisons, ainsi que les conditions de validité de l'analyse (si la machine est modifiée après livraison du rapport, l'analyse n'est plus valide). Cette section n'est pas une clause d'exonération : c'est une information professionnelle obligatoire.
Les 5 idées reçues sur la sous-traitance d'analyse des risques
FAQ : responsabilité dans l'analyse des risques machine externalisée
Si mon client signe la déclaration CE, suis-je déchargé de toute responsabilité en tant que bureau d'études ?
Non. La déclaration UE de conformité décharge le bureau d'études de la responsabilité réglementaire vis-à-vis des autorités de marché (DREETS, douanes). Mais elle ne crée aucun écran entre vous et votre client sur le plan civil, ni entre vous et la justice sur le plan pénal. En droit civil, vous êtes tenu d'une obligation de diligence, d'information et de conseil, appréciée au regard de vos compétences professionnelles et du périmètre de votre mission : si l'analyse est lacunaire et génère un surcoût de mise en conformité ou un dommage, votre responsabilité contractuelle peut être engagée (Art. 1231-1 Code civil). En droit pénal, le parquet recherche les auteurs de la faute technique ayant contribué au dommage, et non le seul signataire d'un document administratif. Pour une personne physique n'ayant pas directement causé le dommage, l'Art. 121-3 du Code pénal exige la démonstration d'une violation manifestement délibérée d'une obligation particulière de prudence ou de sécurité, ou d'une faute caractérisée exposant autrui à un risque d'une particulière gravité qu'elle ne pouvait ignorer. La responsabilité de la personne morale peut également être recherchée (Art. 121-2).
Quelle est la différence entre la responsabilité réglementaire du fabricant et la responsabilité civile du sous-traitant ?
La responsabilité réglementaire (Art. 10 et Art. 18 du Règlement 2023/1230) désigne l'entité qui répond devant les autorités de surveillance du marché : c'est le fabricant, ou l'entité réputée fabricant, qui signe la déclaration CE et appose le marquage. Le bureau d'études sous-traitant n'est jamais cité à ce titre dans le règlement. La responsabilité civile, en revanche, est régie par le droit commun des contrats (Art. 1231-1 Code civil) : toute partie ayant contribué à un dommage par une exécution défectueuse de sa mission peut être actionnée. Si l'analyse des risques sous-traitée présente des lacunes qui conduisent à un accident, la victime, ou son assureur, peut attaquer simultanément le fabricant (via la déclaration CE) et le bureau d'études (via le contrat de prestation). Les deux responsabilités sont indépendantes et cumulables.
L'obligation de conseil du bureau d'études s'arrête-t-elle à la livraison du rapport d'analyse des risques ?
Pas nécessairement. La jurisprudence française en matière d'expertise technique reconnaît une obligation de conseil active, qui inclut l'alerte proactive sur les risques non sollicités que l'expert aurait dû identifier dans le cadre de sa mission. Si, lors de la réalisation d'une analyse des risques ISO 12100 sur une presse hydraulique, le bureau d'études constate des déficiences graves de sécurité hors périmètre contractuel initial, il a l'obligation de les signaler explicitement à son client, même si ce n'était pas prévu dans la commande. Ne pas le faire peut constituer un manquement à l'obligation de conseil susceptible d'engager sa responsabilité. Cette exigence découle des principes généraux du droit des contrats et a été précisée dans plusieurs arrêts de la Cour de cassation en matière de responsabilité des prestataires d'ingénierie.
Comment le Règlement 2023/1230 modifie-t-il la répartition des responsabilités par rapport à la Directive 2006/42/CE ?
Le Règlement (UE) 2023/1230, applicable au 20 janvier 2027 en remplacement de la Directive 2006/42/CE, renforce deux mécanismes qui impactent directement la sous-traitance de l'analyse des risques. Premièrement, l'Art. 3(16) définit formellement la modification substantielle par des conditions cumulatives : modification physique ou numérique postérieure à la mise sur le marché, non prévue par le fabricant, créant un nouveau danger ou augmentant le risque existant, et rendant nécessaire soit l'ajout de protecteurs exigeant de modifier le système de commande de sécurité, soit des mesures de stabilité ou de résistance mécanique. L'Art. 18 fait alors de la personne qui réalise cette modification un fabricant soumis aux obligations de l'Art. 10. Un bureau d'études réalisant l'analyse pour une modification substantielle devient donc l'expert technique dont les conclusions fondent directement le statut de fabricant de son client. Deuxièmement, le règlement exige une documentation plus exhaustive du processus d'évaluation des risques (Annexe IV, dossier technique), ce qui augmente la traçabilité des décisions, et donc la surface d'exposition juridique du sous-traitant dont les méthodes seraient lacunaires.
Un contrat de prestation peut-il limiter la responsabilité du bureau d'études sous-traitant ?
Partiellement. En droit civil français, les clauses limitatives de responsabilité entre professionnels (B2B) sont valides, sous réserve qu'elles ne vident pas la prestation de sa substance (Art. 1170 Code civil) et ne couvrent pas le dol ou la faute lourde. Un bureau d'études peut donc contractuellement plafonner sa responsabilité financière vis-à-vis de son client, à condition que ce plafond soit significatif et que la clause soit rédigée avec précision. En revanche, ces clauses sont inopposables aux tiers victimes d'un accident : un opérateur blessé peut agir directement contre le bureau d'études sur le fondement de la responsabilité délictuelle (Art. 1240 Code civil), quelle que soit la limitation contractuelle convenue avec le client. Et elles sont totalement inopérantes en matière pénale : on ne s'exonère pas contractuellement d'une faute caractérisée.
Quelles précautions contractuelles et méthodologiques doit prendre un bureau d'études avant d'accepter une mission d'analyse des risques ?
Quatre précautions sont indispensables. Premièrement, définir contractuellement le périmètre exact de la mission : quelle machine, quelles limites d'utilisation, quelles phases du cycle de vie, avec ou sans évaluation des interfaces. Deuxièmement, formaliser les données d'entrée : le bureau d'études doit obtenir par écrit les informations techniques nécessaires (plans, historique des modifications, conditions d'utilisation). Leur absence ou leur inexactitude peut limiter ou déplacer la responsabilité du prestataire, à condition qu'il ait demandé ces informations, signalé leur absence et documenté ses réserves. Troisièmement, tracer chaque décision de l'analyse selon ISO 12100 (identification du phénomène dangereux, estimation du risque, mesures retenues, résidu acceptable) : cette traçabilité est la première ligne de défense en cas de contentieux. Quatrièmement, intégrer dans le rapport une clause d'alerte explicite signalant tout risque identifié hors périmètre et toute limite de la mission, avec demande de confirmation écrite du client sur la gestion de ces points.
Qui est responsable de l'analyse des risques pour une ligne de production assemblée à partir de machines portant déjà un marquage CE ?
L'intégrateur de la ligne est réputé fabricant de l'ensemble et doit réaliser une nouvelle analyse des risques portant spécifiquement sur les interfaces entre machines et les risques émergents de leur assemblage. Les marquages CE individuels des machines constituantes couvrent chaque machine prise isolément ; ils ne couvrent pas les risques créés par leurs interactions (zones d'interface, séquences de commande, accumulation d'énergie entre postes, risques d'accès pendant les transitions). Si le bureau d'études mandaté pour réaliser cette analyse d'intégration produit une évaluation incomplète des interfaces, il s'expose aux mêmes risques juridiques que pour toute autre analyse défaillante. Le Règlement 2023/1230 ne crée pas d'exception pour les ensembles de machines : l'Annexe I §1 s'applique à la ligne dans son ensemble.
Ce que tout bureau d'études doit retenir
Sous-traiter l'analyse des risques machine ne crée pas de transfert de responsabilité : elle crée une distribution de responsabilités entre des acteurs différents, sur des registres juridiques différents. Le fabricant signe et répond aux autorités. Le bureau d'études répond de la qualité de son travail : envers son client, envers les tiers victimes, et potentiellement devant le juge pénal. La protection réelle n'est pas dans une clause contractuelle bien tournée, mais dans la rigueur méthodologique, la traçabilité des décisions, et la formalisation des limites de mission. Avec le Règlement 2023/1230 applicable au 20 janvier 2027, la documentation du processus d'évaluation des risques va être encore plus scrutée, et l'exposition du sous-traitant en cas de déficience encore plus grande.
- Trois registres indépendants : réglementaire, civil et pénal ne se neutralisent pas. Le bureau d'études est absent du premier et exposé dans les deux autres.
- Obligation de conseil active : signaler les risques identifiables hors périmètre est une obligation professionnelle, pas une option. L'absence de trace écrite équivaut à une absence de signalement.
- Auteur indirect : des conditions précises. L'Art. 121-3 du Code pénal subordonne les poursuites contre l'auteur indirect à une violation manifestement délibérée d'une obligation particulière de prudence ou de sécurité, ou à une faute caractérisée, appréciées concrètement au regard des missions, compétences et moyens de la personne.
- Le contrat protège partiellement : la clause limitative vaut entre parties B2B, pas contre les tiers victimes ni en pénal, où la personne morale est également exposée (Art. 121-2). Elle ne remplace pas la qualité du travail.
- Règlement 2023/1230 : nouvelle donne. La définition formelle de la modification substantielle (Art. 3(16)) et l'obligation de documentation renforcée du dossier technique (Annexe IV) augmentent la traçabilité, et donc l'exposition, de toute analyse sous-traitée déficiente.
Sources et références officielles
Article rédigé sur la base des références publiques suivantes.
- Règlement (UE) 2023/1230 du Parlement européen et du Conseil · EUR-Lex · CELEX:32023R1230
- Directive 2006/42/CE relative aux machines · EUR-Lex · CELEX:02006L0042
- ISO 12100:2010 · Sécurité des machines : principes généraux de conception · ISO.org
- Code pénal · Art. 121-2 (personne morale), Art. 121-3 (faute caractérisée), Art. 131-38 (amendes personnes morales), Art. 221-6, Art. 222-19 · Légifrance
- Code civil · Art. 1170, Art. 1231-1, Art. 1240 (responsabilité civile) · Légifrance
- Code du travail · Art. L4121-1 (obligation générale de sécurité de l'employeur) · Légifrance
Vous confiez une analyse des risques à un prestataire, ou vous la réalisez pour un client ? Découvrez notre approche de l'analyse des risques ISO 12100.