Mes chers collègues, nous accueillons maintenant M. Dominique Minière, directeur du parc nucléaire et thermique d'EDF.

EDF exploite 19 centrales productrices d'électricité d'origine nucléaire en France, totalisant 58 réacteurs en activité et un en construction. Elle est également propriétaire d'une dizaine de réacteurs arrêtés, en cours ou en attente de démantèlement. L'entreprise est également présente à l'étranger, où elle vend, construit et exploite des réacteurs nucléaires au profit d'autres États.

Avec un effectif de près de 160 000 agents, un chiffre d'affaires de 69 milliards d'euros et un résultat net de 3 milliards d'euros en 2017, EDF est l'un des leaders mondiaux de l'électricité en général et de l'électricité nucléaire en particulier. À ce titre, son audition devant notre commission d'enquête, sur les sujets de sûreté et de sécurité, revêt une importance toute particulière.

Nous avons, monsieur Minière, beaucoup de questions à vous poser – vous avez d'ailleurs reçu un questionnaire indicatif –, et il est probable que cette audition durera un peu plus longtemps que la moyenne. L'article 6 de l'ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires imposant aux personnes auditionnées de déposer sous serment, je vous demande de jurer de dire la vérité, toute la vérité, rien que la vérité.

Monsieur le président, madame la rapporteure, mesdames et messieurs les députés, je vous remercie de me donner l'opportunité de venir vous présenter tant nos convictions que la manière dont nous assurons la sûreté de notre parc nucléaire au quotidien, notamment dans la période que nous traversons. Comme vous le savez, nous avons aujourd'hui la responsabilité de l'exploitation du premier parc nucléaire du monde. Une sûreté normale étant appelée à progresser en permanence, notre responsabilité consiste à améliorer périodiquement la sûreté de notre parc, en toute transparence avec l'Autorité de sûreté qui, in fine, en tant que gendarme du nucléaire, agit en cohérence avec les pouvoirs que lui confère la loi.

Je vais d'abord aborder le sujet de la sûreté nucléaire, étant précisé que la sécurité nucléaire au sens de la protection physique de nos installations n'est qu'un des aspects de la sûreté, que j'aborderai dans une deuxième partie de mon propos introductif.

Progresser en matière de sûreté nucléaire, c'est progresser en matière de conception des centrales – y compris des centrales existantes –, en matière d'exploitation des centrales, en matière de culture sûreté, mais également en termes de résultats.

Pour ce qui est de la conception de nos centrales, j'entends souvent parler de durée de fonctionnement des réacteurs. Il me semble important d'être très clair sur ce point : la réglementation française n'impose pas de durée limite de fonctionnement des réacteurs, contrairement à la réglementation américaine, par exemple. En fait, elle impose bien plus, puisqu'elle exige non seulement de maintenir en bonne condition de fonctionnement tous les matériels, dans les situations normales comme dans les situations accidentelles, de maintenir le niveau de sûreté initial des réacteurs – comme c'est le cas aux États-Unis –, mais également et surtout d'améliorer en permanence le niveau de sûreté de nos réacteurs.

EDF se conforme bien volontiers à cette exigence, et s'imposait d'ailleurs le principe de l'amélioration constante du niveau de sûreté bien avant que la loi Transparence et sûreté nucléaire de 2006 ne l'impose. Nous avons la forte conviction que nous devons le faire, afin de prendre en compte trois aspects.

Le premier aspect est le retour d'expérience des incidents et accidents survenus dans le monde. Suite au premier accident grave, survenu à Three Miles Island aux USA en 1979, nous avons pu constater de visu que le début de fusion d'un coeur nucléaire, dans les cas d'accidents très graves, pouvait entraîner l'apparition d'hydrogène. Nous avions donc installé des recombineurs passifs d'hydrogène dans tous nos réacteurs dès les années 1980.

En 1986, l'accident de Tchernobyl nous a conduits à considérer que, dans le cas extrême d'une fusion du coeur d'un réacteur, il fallait pouvoir garantir la solidité des enceintes de nos réacteurs et être en mesure en dernière extrémité d'ouvrir ces enceintes, mais sans rejets de produits radioactifs pouvant provoquer une contamination à long terme des territoires. Dans les années 1990, nous avons donc mis en place des filtres à sable sur nos enceintes, afin de retenir tous les produits radioactifs à long terme qui pourraient être émis dans ce type de scénario.

Je le dis clairement : si ces équipements avaient été présents à Fukushima, vous n'auriez pas vu ces explosions d'hydrogène que le monde entier a vues en direct à la télévision, car les recombineurs les auraient empêchées, et grâce aux filtres à sable, le peuple japonais ne se serait pas retrouvé avec toutes ces zones contaminées à nettoyer.

Deuxième aspect à prendre en compte : l'amélioration des connaissances. Nous disposons de possibilités de calcul que nous ne l'avions pas au moment nos centrales ont été construites. Cela nous a conduits, dans le cadre des troisièmes visites décennales du palier de 900 mégawatts, à effectuer des renforcements sur certains réacteurs afin d'être en mesure de faire face à des situations non prises en compte au départ – et qui peuvent sembler étranges au premier abord –, notamment des phénomènes de torsion du sol en cas de séisme, qu'il est désormais possible de modéliser.

Troisièmement, le changement climatique nous conduit à envisager des hypothèses basées sur la survenue de phénomènes d'agression d'un niveau inédit par rapport aux hypothèses initiales. Ainsi, c'est suite à la tempête de 1999, que l'on peut qualifier de quasi tropicale, et au début d'inondation d'une partie de la centrale du Blayais, que nous avons lancé un vaste plan anti-inondation sur l'ensemble de nos centrales : nous avons donc renforcé nos sites vis-à-vis de ce type d'agressions, tant pour les sites en bord de mer que pour les sites en bord de rivière. Contrairement à ce que j'entends ici ou là, nous avons bien pris en compte, je l'affirme, les conséquences qui pourraient résulter de la rupture d'un barrage tel que celui de Vouglans, dans l'Ain.

Notre approche en termes d'amélioration de la sûreté nous conduit régulièrement à revisiter l'état initial de nos installations ; c'est à cette occasion que nous pouvons mettre en évidence non seulement les éventuelles non-conformités à l'état initial, qui résulteraient en quelque sorte d'un problème apparu en cours d'exploitation, mais aussi les non-conformités à ce qui aurait dû être fait à l'origine – ce qui est tout de même un peu différent. En 2017, cela nous a conduits à déclarer deux événements de niveau deux sur l'échelle internationale de classement des événements nucléaires (INES), qui en compte sept. Le premier était relatif à l'ancrage de composants auxiliaires du diesel de secours, le second au renforcement d'une petite partie de la digue de Tricastin – ce qui nous a valu un certain nombre d'articles dans la presse. Dans les deux cas, les éléments visés étaient conformes à leur état initial, mais celui-ci ne répondait pas aux exigences des rapports de sûreté : il s'agissait bien d'une non-conformité d'origine.

Le maintien en bonnes conditions de fonctionnement ne pose pas de difficultés pour les matériels qui peuvent et doivent être rénovés. Les changements ou les rénovations ont plutôt lieu autour de la trentième année de fonctionnement : c'est ce qui ressort de l'expérience internationale. Ainsi, après avoir remplacé plus de 80 % des générateurs d'origine des réacteurs de 900 mégawatts, 90 % des stators équipant les alternateurs d'origine, et près de 70 % des transformateurs de puissance du parc, nous travaillons aujourd'hui au remplacement d'équipements plus classiques, tels que des tuyauteries.

Seuls deux équipements ne sont pas remplaçables : la cuve du réacteur et l'enceinte de confinement. Pour ce qui est de la cuve, nous en maîtrisons le vieillissement par irradiation de manière à ce qu'au bout de soixante ans de fonctionnement, elles n'aient pas subi d'irradiations supérieures à celles prévues au démarrage à quarante ans. Contrairement à ce qu'indique un livre récemment paru, il n'y a pas de nouveaux défauts sur certaines cuves de notre parc : seuls les défauts présents dès l'origine, résultant de la fabrication des cuves, sont présents, mais leur analyse a montré qu'ils ne présentaient pas de risque, et les contrôles décennaux ont mis en évidence qu'ils n'évoluaient pas. En ce qui concerne les enceintes de confinement, nous en suivons de près les potentielles évolutions en matière de taux d'étanchéité.

J'en viens à l'exploitation des réacteurs, en commençant par dire qu'une bonne exploitation repose sur des équipements en bon état, des hommes et des femmes en nombre suffisant et formés, et des organisations permettant une mise en oeuvre efficace de l'ensemble. Il est nécessaire de rappeler qu'à l'aube des années 2010, nous nous apprêtions à entrer dans une période de fort challenge, tant en termes de bon état des équipements – nous devions alors rattraper des sous-investissements datant du début des années 2000, qui nous avaient conduits à rencontrer des difficultés sur certains matériels, essentiellement non nucléaires, tels que des alternateurs ou des transformateurs – qu'en termes d'anticipation du renouvellement des compétences – entre 2007 et 2016, plus de 40 % de nos personnels sont partis en retraite : il nous revenait de les remplacer tout en continuant d'améliorer le niveau de sûreté.

Enfin, nous devions préparer les quatrièmes visites décennales de la fin des années 2010 avec un vrai challenge : faire en sorte que le niveau de sûreté de nos réacteurs se rapproche, autant que possible, de celui des réacteurs de troisième génération, comme le demandait déjà l'Autorité de sûreté. L'affaire s'est compliquée en 2011, quand nous avons pris en compte le retour d'expérience de l'accident de Fukushima, qui a conduit à d'autres travaux. En 2010, la mise en oeuvre du grand carénage avait pour objectif de faire face aux besoins d'investissements à venir, tant en matière de rénovation et de remplacement d'équipements que d'amélioration du niveau de sûreté à l'occasion des quatrièmes visites décennales. La nécessité d'une amélioration s'est trouvée renforcée par le retour d'expérience de l'accident de Fukushima, survenu juste après.

Nous avons toujours poursuivi le même objectif emblématique au sujet des améliorations de sûreté : si l'hypothèse extrêmement faible d'un accident nucléaire ne peut être écartée, on peut garantir très solidement que nous n'aurons jamais de contamination à long terme des territoires. C'est précisément, je le sais, cette hypothèse de contamination à long terme qui peut conduire au rejet du nucléaire – ce que, personnellement, je comprends -, et c'est aussi, lorsqu'elle devient réalité, ce qui explique les coûts exorbitants d'accidents tels que ceux de Tchernobyl et Fukushima.

Cet effort d'investissements et donc de travaux supplémentaires s'est mis en place dans le contexte de renouvellement de compétences du début des années 2010. En effet, au-delà de l'investissement, la sûreté en exploitation, c'est aussi et même avant tout des compétences humaines et collectives dans les équipes de travail, où le facteur socio-organisationnel et humain joue un rôle clé. C'est ce qui a justifié notre effort de formation sans précédent depuis le début du parc, avec notamment la création de l'académie de métiers, afin d'apprendre la sûreté – ce qu'elle est, d'où elle vient –, mais aussi que nous maintenions nos exigences en matière de formation des opérateurs de centrales, avec plus de trois semaines de formation de type pilote d'avion, où les personnels s'entraînent à faire face à des situations accidentelles sur des simulateurs dont chaque site est équipé. Nous avons par ailleurs mené des efforts supplémentaires avec la création de chantiers-écoles et de chantiers-maquettes, où les prestataires eux-mêmes sont invités sont invités à venir se former. Un salarié EDF travaillant dans le nucléaire consacre en moyenne chaque année, même s'il est présent depuis plusieurs années, 10 % de son temps à se former.

Dans le contexte post-Fukushima, nous avons également renforcé la formation aux situations accidentelles pour tous les personnels mobilisés lors de crises, et nous avons créé la Force d'action rapide nucléaire (FARN), composée de 300 équipiers formés et entraînés, capables d'intervenir pour permettre de rétablir l'électricité et l'eau en moins de 24 heures sur n'importe quelle centrale.

Nous ne connaissons pas d'équivalent dans le monde de cette force – ni par sa taille, ni par le professionnalisme de ses acteurs. Le grand carénage lui-même s'est traduit par des investissements plus importants, de l'ordre de 1 milliard d'euros par an sur notre parc en plus des 3 milliards d'euros nécessaires à l'entretien correct d'une flotte telle que la nôtre, comme le montre le benchmark international. Aujourd'hui, ces financements sont réalisés et inscrits dans les chroniques budgétaires d'EDF pour les années à venir, pour un montant total de l'ordre de 4 milliards d'euros par an environ – ces chiffres sont vérifiables.

J'entends parfois des gens se demander qui paye tout cela. Ce qui paye, c'est tout simplement la commercialisation des mégawattheures (MWh) produits par le parc nucléaire existant. En effet, même en intégrant ses investissements, l'exploitation du parc permet d'obtenir des coûts de l'ordre de 32 euros par MWh, inférieurs aux prix du marché et de très loin inférieurs à tous les coûts de moyens neufs, quels qu'ils soient, qui viendraient s'y substituer. Bien évidemment, ce coût ne constitue pas un prix, dans la mesure où il est normal d'attendre une rentabilité de tels actifs.

Comme dans toute industrie dont le volume de marché progresse peu – c'est le cas aujourd'hui de l'électricité –, il est d'ailleurs tout à fait habituel que la poursuite de l'exploitation des actifs existants soit le meilleur investissement. Le grand carénage est le programme industriel d'EDF qui présente aujourd'hui le meilleur taux de retour sur investissement. Nous réalisons des investissements beaucoup plus importants que ceux de n'importe quel autre exploitant mondial en matière de retour d'expérience de l'accident de Fukushima. La plupart des autres exploitants se sont arrêtés à la mise en place de structures et d'équipements proches de notre force d'action rapide nucléaire ; pour notre part, nous allons beaucoup plus loin, en choisissant de procéder à des renforcements par des équipements en dur : nous investissons ainsi de l'ordre de 200 millions d'euros par réacteur, contre environ 20 millions d'euros pour la plupart des autres exploitants.

Un grand nombre des mesures que nous avons mises en oeuvre par le passé, qu'il s'agisse de l'installation de recombineurs d'hydrogène ou de filtres à sable, ou des moyens de détection et de prévention de rupture du générateur de vapeur, se sont ensuite répandues un peu partout dans le monde, contribuant à faire notre réputation en matière d'exploitation à l'international. Aujourd'hui, EDF assume la présidence de l'Association mondiale des exploitants nucléaires et son expertise est sollicitée dans nombre de pays. En effet, parmi les quatre parcs les plus grands du monde, seul le parc français existant, composé de nos cinquante-huit réacteurs, n'a jamais connu aucun accident grave – ni même d'incident grave. Si la France peut être légitimement fière que sa compétence en matière de nucléaire soit ainsi reconnue, en tant qu'exploitant, EDF estime que cette reconnaissance lui donne toujours plus de responsabilités, qu'il lui revient d'assumer avec humilité – car sûreté rime avec humilité.

Quelques mots sur les progrès en matière de culture sûreté. Une bonne culture sûreté consiste avant tout à privilégier des attitudes interrogatives et prudentes de notre personnel et de nos partenaires industriels. Nous y avons largement travaillé au cours des années précédentes, notamment via des formations ad hoc. C'est aussi la culture de la transparence et de la responsabilité : c'est nous qui avons poussé l'Areva de l'époque à aller jusqu'au bout de l'analyse des affaires du Creusot – tant celle, technique, du sujet ségrégation carbone, que celle, plus managériale, des dossiers de fabrication non conformes aux standards de nos industries. C'est nous qui avons décidé l'an passé d'arrêter nos réacteurs malgré l'hiver, enfin de faire contrôler la teneur en carbone des fonds de générateurs de vapeur – décision reprise ensuite dans une prescription de l'ASN. C'est nous qui avons souhaité que l'audit portant sur les dossiers de fabrication d'usines du Creusot soit poussé jusqu'au bout, quelles qu'en soient les conséquences : pour nous, il n'était pas question d'avoir le moindre doute quant à la qualité des matériels que nous exploitons. Aujourd'hui, alors que plus de 80 % des dossiers ont été relus, nous sommes confiants sur l'issue des analyses menées.

Je souhaite terminer ce chapitre sur la sûreté par les résultats, en ne me limitant pas à l'écume des jours, mais en portant le regard sur les dix dernières années, qui ont représenté pour nous un fort challenge, comme je vous l'ai dit, tant sous l'angle technique que sous l'angle du renouvellement des compétences. Dans une telle période, nous avons donné la priorité à la sûreté, à la radioprotection et à la sécurité des travailleurs, quitte à être moins performants en matière de production : pour nous, la priorité a toujours été claire. Nous avons donc progressé en matière de sûreté, ce qui s'est traduit par une réduction du nombre d'arrêts automatiques des réacteurs – qui constitue l'indicateur international de référence en matière de sûreté, car il est représentatif de la sollicitation ultime de la protection des réacteurs. Ces arrêts automatiques sont passés, pour l'ensemble du parc, de cinquante-trois à vingt-deux, ce qui représente un facteur de réduction de 2,5 en dix ans. Pour ce qui est de l'indisponibilité fortuite – le taux de panne en quelque sorte de nos réacteurs –, elle est passée de plus de 5 % en 2010 à 2 % en 2016, ce qui représente encore une réduction d'un facteur 2,5. Dans le même temps, alors que les critères de déclaration d'événements significatifs – notamment en matière de sûreté – se durcissaient, le nombre d'événements de niveau 1 sur l'échelle INES n'a pas augmenté, restant aux environs d'un événement par réacteur et par an.

Contrairement à ce que l'on entend parfois dire, il n'y a pas de multiplication des incidents. Pour ce qui est de la radioprotection des travailleurs, la dose collective prise par l'ensemble des travailleurs, EDF et prestataires, a été stabilisée, en dépit d'une augmentation des travaux, tandis que les doses individuelles maximales diminuaient drastiquement : non seulement aucun personnel – EDF ou prestataires – ne dépasse la dose limite réglementaire annuelle de 20 millisieverts (mSv), mais plus personne ne prend une dose supérieure à 14 mSv – alors qu'environ vingt travailleurs dépassaient 16 mSv en 2007.

Pour ce qui est de la sécurité enfin, le taux de fréquence des accidents du travail, prestataires inclus – ils le sont systématiquement – est passé de 4,6 à 2,2 en dix ans, ce qui représente encore une amélioration de plus d'un facteur 2. Par ailleurs les inspections internationales de l'Agence internationale de l'énergie atomique (AIEA) en matière de sûreté, appelées Operational Safety Review Team (OSART), ont confirmé nos progrès quant à l'état de nos installations. Cela ne signifie pas que nous n'avons pas de marge de progrès : nous considérons simplement que nous avons encore trop de non-qualités, trop de travaux non faits de manière adéquate du premier coup, et que nous devons poursuivre et amplifier notre travail sur les revues de conformité. Si les marges de progrès ne doivent pas masquer les résultats obtenus, notre conviction reste celle dont je vous ai fait part dès le début de mon intervention : la seule sûreté qui vaille, c'est une sûreté qui progresse en permanence ; et vous pouvez légitimement compter sur nos 30 000 salariés et 20 000 prestataires pour y veiller au quotidien.

Je vais maintenant aborder la manière dont, en tant qu'opérateur, nous prenons en compte la protection physique de nos centrales nucléaires, ce qui fait appel à la fois aux notions de sûreté et de sécurité. Je tiens tout d'abord à souligner que les mesures mises en place ont notamment pour objectif d'éviter tout accident grave, c'est-à-dire susceptible d'entraîner des relâchements importants de radioactivité dans l'environnement. En ce sens, les mesures que nous prenons en matière de sécurité ont bien pour objectif de garantir la sûreté nucléaire dans nos installations – les deux sujets sont liés, les agressions au titre de la sécurité étant un type d'agressions qui vient s'ajouter à celles que pourraient constituer des événements tels qu'un séisme ou une inondation.

De par leur nature, les agressions au titre de la sécurité relèvent du code de la défense. Sans entrer dans le détail des événements relevant de la protection du secret de la défense nationale, je veux vous décrire aussi précisément que possible les mesures que nous prenons pour faire face aux enjeux de la sécurité nucléaire sur nos sites. Dans un premier temps, la démarche de sécurité s'apparente, dans sa méthodologie, à la démarche de sûreté. Les objectifs à assurer sont définis par la loi et les agressions à prendre en compte le sont dans le cadre d'une directive de l'État, qui définit une menace comme étant « tout événement physique, phénomène ou activité humaine qui pourrait conduire à une détérioration, notamment de l'environnement ». Dans le cadre de la démarche de sécurité de notre secteur d'activité, les menaces sont réputées avoir un caractère malveillant ou être de nature terroriste. Les menaces peuvent se présenter sous deux formes : soit celle d'une menace externe, ce qui correspond typiquement aux intrusions, soit celle d'une menace interne – l'exemple type serait un acte de malveillance commis depuis l'intérieur par des salariés ou des prestataires.

En matière de sécurité, nous visons toujours le même objectif : la sûreté nucléaire, qui consiste à éviter, quelle que soit la menace, tout accident grave pouvant conduire à des rejets de radioactivité importants dans l'environnement. Dans un second temps, EDF établit périodiquement un plan de sécurité pour ses activités. Le premier plan de sécurité a été validé par l'État en 2012, et le dernier, daté de 2017, est en cours de validation par les services de l'État. Enfin, chaque centrale réalise un plan de protection communiqué aux autorités préfectorales, dans lequel sont définies les mesures mises en place pour faire face aux menaces – aujourd'hui, chaque centrale dispose d'un tel plan.

Par ailleurs, des démonstrations de sécurité sont établies, afin de s'assurer qu'avec les mesures mises en place dans les plans, les objectifs de sécurité sont bien atteints. Des exercices, réalisés à plusieurs niveaux, permettent de vérifier la bonne adéquation des plans et des tactiques d'intervention et, dans un dernier temps, l'autorité de contrôle en la matière – en l'occurrence le Haut fonctionnaire de défense et de sécurité (HFDS) du ministère de la transition écologique et solidaire (MTES) – s'assure, avec l'appui de l'Institut de radioprotection et de sûreté nucléaire (IRSN), que les démonstrations effectuées sont solides ; il vérifie ensuite régulièrement, au moyen d'inspections sur site, que les dispositions décrites dans les plans sont effectivement mises en place. Au total, vingt-quatre visites de surveillance du HFDS ont eu lieu en 2017, et autant sont prévues en 2018.

Au-delà de cette approche sécurité prévue par la loi, il est nécessaire de souligner, en prenant plus de champ, que si la définition des mesures à prendre pour faire face aux menaces et à leur implémentation relèvent bien de l'opérateur, les mesures de prévention pour les éviter dans la mesure du possible relèvent, elles, de l'État. Il en est ainsi de la prévention du terrorisme, de l'interdiction de survol des sites sensibles – tels que nos centrales –, du renseignement, de la surveillance rapprochée des sites – toutes actions qui relèvent de l'État. La sécurité des centrales doit donc se voir comme une coproduction entre l'opérateur et l'État.

Un autre élément clé relève du domaine législatif : il s'agit de la caractérisation légale d'une intrusion dans nos centrales et des peines pénales encourues par les contrevenants. Avant la loi du 2 juin 2015, dite loi de Ganay, les peines encourues pour de tels faits étaient, de fait, inférieures à celles encourues en cas de cambriolage chez un particulier, ce qui ne peut que paraître choquant au vu de la gravité de tels actes. On ne peut que se féliciter du fait que la représentation nationale se soit emparée du sujet avec la loi du 2 juin 2015, adoptée par un large consensus à l'Assemblée nationale comme au Sénat. Cette loi a vocation, comme l'a indiqué le Gouvernement au moment de son adoption, à mettre fin à la confusion entre le droit à la manifestation, qui est légitime, et les violations de procédures de protection antiterroriste, qui sont irresponsables. La loi a été complétée en octobre 2015 par un décret, qui définit pour chaque centrale nucléaire une zone dite « zone nucléaire à accès réglementé » (ZNAR), délimitée par un arrêté du ministre chargé de l'énergie, dont la protection est assurée par un dispositif pénal spécifique, proportionné à la gravité de l'acte.

Tous les arrêtés ont été pris par toutes les centrales et les zones nucléaires à accès réglementé sont désormais physiquement délimitées au moyen d'une clôture équipée de pancartes ad hoc. Dans une approche avant tout dissuasive, l'esprit de ces dispositions est de renforcer les interdictions d'accès aux installations nucléaires de base, en totale complémentarité avec le programme de sécurisation que nous développons. À la suite des intrusions de 2017, deux audiences judiciaires ont été programmées – dont une, celle de Thionville, vient de se tenir, avec le résultat que vous connaissez.

En matière de réponse aux menaces externes, plusieurs modèles existent dans le monde, tous conçus autour de trois axes : détection des intrus, retardement des intrus et interception des intrus. Ces modèles sont presque toujours conçus sous la forme de trois zones concentriques, en forme de poupées gigognes : en partant de l'extérieur, on trouve d'abord la zone à accès contrôlé (ZAC), qui délimite la zone de propriété de la centrale, puis la zone à protection renforcée (ZPR), qui délimite les bâtiments industriels, et enfin la zone vitale (ZV), où sont situés les équipements dont la destruction pourrait entraîner, dans certaines circonstances, des accidents graves : c'est dans cette zone que se situe l'îlot nucléaire et c'est donc la zone la plus importante d'une centrale, si ce n'est la seule zone importante. Sur les centrales françaises, la ZNAR a été fixée, d'après le décret, au niveau de la ZAC, c'est-à-dire de la première zone.

Il existe principalement trois modèles de protection de par le monde. Le premier est celui du bunker, qui privilégie fortement le retardement via la bunkérisation de l'îlot nucléaire, donc de la ZV, par l'interposition d'une barrière à haute résistance faite de murs et de portes. Dans ce modèle, retenu entre autres pour les centrales allemandes, la détection et l'interception sont peu développées, et l'intervention des forces régaliennes se fait souvent sous trente minutes.

Le deuxième modèle, très répandu, est celui du château fort, qui privilégie fortement l'interception, généralement au niveau de la ZPR. Dans ce modèle, retenu en Russie, en Chine et aux USA, tout endroit de la ZPR est sous le feu immédiat de deux miradors. Aux USA, il est également prévu un retardement sur les clôtures et les portes de l'îlot nucléaire, ainsi qu'un complément de forces armées dans l'îlot nucléaire. Un tel modèle comporte évidemment le risque que des personnes n'ayant aucune intention de nuire se trouvent blessées, voire tuées.

Enfin, le modèle dit « de protection active », basée sur un concept de défense en profondeur, privilégie fortement la détection, associée à un retardement réparti sur la ZPR et la ZV, ce qui permet la projection rapide d'une force armée locale au bon endroit et au bon moment, en interposition, pour éviter une intrusion dans la ZV. Les forces se concentrent sur les cibles potentielles importantes pour la sûreté, dans des délais compatibles avec les démonstrations de sécurité. C'est le modèle retenu en France, mais aussi dans de nombreux autres pays européens. Pour les centrales appartenant à EDF, la force armée locale retenue est la gendarmerie, sous la forme des fameux pelotons spécialisés de protection de la gendarmerie (PSPG). Chez d'autres exploitants, il s'agit de forces locales de sécurité, des équipes internes à l'exploitant, spécialisées en la matière. L'organisation globale s'appuie donc, d'une part, sur des équipes EDF chargées de surveiller, détecter et retarder, et d'autre part, sur les PSPG, chargés d'intercepter et d'empêcher l'endommagement des cibles potentielles à l'intérieur de la zone vitale.

Il est fondamental de comprendre que les démonstrations de sécurité conduisent, en cas de détection d'une intrusion, au positionnement des PSPG pour empêcher la destruction des cibles potentielles à l'intérieur des zones vitales. Il s'agit de neutraliser ou de fixer la menace sur ses cibles potentielles à l'intérieur de la zone vitale. En cas d'intrusion autre que terroriste, le rôle des PSPG est de restreindre, autant que possible, la capacité de mouvement sur les sites, mais ce n'est pas leur rôle fondamental. Par ailleurs, les interventions sont coordonnées avec les unités de gendarmerie du département. Les PSPG sont le dernier maillon interne de la réponse de l'opérateur, et le premier maillon de l'État. En cas d'action malveillante vis-à-vis d'un site, le PSPG concerné est en effet placé sous le contrôle opérationnel du GIGN, qui peut intervenir si nécessaire.

Comme pour la sûreté des centrales nucléaires, les grands principes en matière de sécurité nucléaire sont définis par l'AIEA, qui réalise des inspections dans les pays concernés. Après le Royaume-Uni, le deuxième pays à avoir été retenu pour une telle inspection sécuritaire a été la France, et le premier exploitant français inspecté a été EDF. Cette inspection, appelée International Physical Protection Advisory Service (IPPAS), a eu lieu en 2011. Ces inspections internationales partagées portent à la fois sur les dispositifs mis en place par les États et sur leur mise en oeuvre sur le site. Le site visité en 2011 était celui de Gravelines : ayant participé directement à cette inspection, je me souviens parfaitement du satisfecit global exprimé par l'AIEA.

Comme pour la sûreté, la sécurité de nos centrales s'appuie donc sur des moyens humains – en l'occurrence, des équipes EDF renforcées par des équipes d'entreprises prestataires, mais aussi des gendarmes – plus de 1 000 gendarmes sont affectés à la sécurité des sites. Au total, EDF dépense plus de 250 millions d'euros chaque année, ce qui couvre notamment les rémunérations et les matériels des 1 000 gendarmes – le dispositif de sécurité ne coûte donc pas un euro au contribuable.

Par ailleurs, tous les ans, chaque centrale procède à des exercices et des entraînements et l'État organise également des exercices de protection et d'évaluation de sécurité (EPEES) pour les opérateurs nucléaires, faisant intervenir le GIGN et les forces armées. Les résultats en matière de sécurité sont suivis de très près par le HFDS comme par l'opérateur. Sur le plan qualitatif, il a été noté une nette amélioration de la culture sécurité sur les dix dernières années, et les entraînements réguliers permettent de développer de bonnes complémentarités entre les équipes de protection de sites et les PSPG. Sur un plan quantitatif, les exercices réalisés en 2016 sont, en matière d'objectifs de sécurité, deux fois mieux réussis que les exercices réalisés en 2013.

Surtout, aucune intrusion réelle n'a jamais permis aux personnes qui s'y sont essayées de pénétrer à l'intérieur d'une zone vitale. Les intrusions de Greenpeace n'ont donc jamais pris en défaut les démonstrations de sécurité : aucune n'a permis d'atteindre l'intérieur d'une zone vitale. Les conditions d'interception de Greenpeace sont conformes à la logique de protection du site ; elles ne démontrent rien, si ce n'est qu'elles perturbent les conditions d'exercice de la mission des PSPG, qui ne sont pas là pour faire du maintien de l'ordre face à des manifestants.

Parmi les principales mesures, on a lancé, suite aux directives de 2009 et aux dispositions complémentaires de 2011, un programme de renforcement en matière de conception de nos installations. La mise en place de ce plan de 750 millions d'euros est en cours de déploiement.

Le sujet des piscines à combustible est souvent évoqué en matière de sécurité, notamment par Greenpeace. Sur ce point, il est nécessaire de souligner que les assemblages de combustibles sont déposés dans des racks spéciaux au fond des piscines, sous sept à huit mètres d'eau. Comme vous pouvez le voir sur le schéma qui vous a été remis, les éléments clés pour assurer le refroidissement des assemblages ne sont donc pas les parties situées au-dessus de la piscine, mais bien les murs qui entourent la piscine elle-même. Or les parois de la piscine proprement dite, c'est-à-dire de la partie chargée de retenir l'eau, sont en béton, d'une épaisseur cumulée supérieure à celle des bâtiments abritant les réacteurs. Des tests - que je ne détaillerai pas – ont montré l'absence de risques de conséquences en matière de sûreté, même face à des armes de guerre modernes, du type de celles dont pourraient disposer des terroristes. Les personnes qui évoquent, devant la représentation nationale, des murs de trente centimètres d'épaisseur, ne parlent pas des parois chargées de retenir l'eau des piscines, mais d'autre chose.

Par ailleurs, d'importantes dispositions sont prises pour s'assurer la permanence de la fonction de refroidissement, aujourd'hui assurée par deux circuits indépendants – étant précisé qu'au titre du renforcement des moyens de sécurité, nous étudions actuellement des moyens complémentaires.

La menace dite interne enfin ne doit pas être négligée : je veux parler de la menace qui pourrait provenir de personnels EDF ou de prestataires mal intentionnés. Dans un contexte de montée de la radicalisation que l'on peut constater chez certains de nos personnels, il est fondamental de disposer de moyens de prévention et de détection efficaces. Le processus d'accès sur nos sites fait l'objet d'un renforcement des procédures de sécurité : nous passons de l'enquête administrative, effectuée avant toute délivrance de badge par les préfectures des départements où sont implantées nos centrales, à un dispositif d'enquête spéciale recentrée sur un dispositif unique, le Commandement spécialisé pour la sécurité nucléaire (COSSEN). Par ailleurs, la périodicité des enquêtes a été augmentée pour notre propre personnel, passant de trois ans à un an. Enfin, nous avons formé notre personnel à une démarche de sécurité visant à ce que nous soit signalé tout indice relevant un écart potentiel en matière de sécurité, y compris un quelconque début ou même soupçon de radicalisation.

Monsieur Minière, outre le questionnaire qui vous a été envoyé – et auquel, nous vous en remercions, vous répondrez par écrit –, nous avons de nombreuses questions à vous poser auxquelles il serait appréciable que vous répondiez de manière concise et précise. Tout d'abord, même si vous avez un peu abordé le sujet, comment expliquez-vous que des non-conformités présentes depuis la construction n'aient pas été détectées pendant des décennies, malgré les visites décennales et des évaluations complémentaires de sûreté portant parfois sur ces sujets ? Je pense, par exemple, aux casse-siphons des piscines de Cattenom.

La loi française nous oblige à obtenir, tous les dix ans, pour chacun de nos réacteurs, une nouvelle autorisation décennale, qui s'apparente à une sorte de nouveau permis de produire. À cette fin, nous devons démontrer que nos installations sont conformes au référentiel existant et que nous allons améliorer le niveau de sûreté. Un programme d'examen de conformité au référentiel est appliqué au moment de chacune de ces visites décennales. Il est réalisé par sondages sur un périmètre partagé avec l'ASN et l'IRSN, présenté à un groupe permanent « Réacteurs » qui réunit des experts de toutes origines, puis validé par l'ASN, sur la base d'un échange technique qui a lieu en amont, puis dans le cadre du groupe permanent en question, et qui intègre non seulement les événements passés et le retour d'expérience issu de nos programmes mais aussi tous les champs complémentaires pertinents.

Plusieurs événements déclarés en 2017 concernent, en effet, des non-conformités d'équipements non détectées lors des examens de conformité passés. Nous en avons tiré un retour d'expérience, en lien avec l'autorité de sûreté : plusieurs de ces écarts auraient pu être identifiés en réalisant des revues sur le terrain, en associant des salariés chargés de la maintenance sur les centrales et des experts nationaux chargés de la conception.

Nous avons présenté, au mois de février, le retour d'expérience de ce qui s'est passé en 2017 à l'Autorité de sûreté et à l'IRSN et nous leur avons proposé un plan d'action d'envergure pour compléter la démarche historique d'examen de conformité. Ce plan d'action fait actuellement l'objet d'échanges techniques entre nos experts et ceux de l'IRSN et de l'ASN. Comme je l'ai indiqué tout à l'heure, en matière de sûreté, il est des domaines dans lesquels nous pouvons progresser ; c'est le cas du champ des examens de conformité. Tel est le sens des propositions que nous avons remises à l'ASN et à l'IRSN.

Autrement dit, ces non-conformités n'ont donc pas été détectées parce qu'elles n'ont pas été détectées…

Lors de chaque visite décennale, un programme d'examen de conformité est défini et validé avec l'autorité de sûreté et l'IRSN. Il est effectué par sondages : on examine, non pas l'ensemble des éléments, mais un certain nombre d'entre eux, sur la base de retours d'expérience, les nôtres ou ceux d'autres exploitants au plan mondial, et de ce que nous avons appris depuis, puis nous en discutons avec l'Autorité de sûreté et l'IRSN, qui valident in fine ce programme. Toutefois, les événements de 2017 montrent que nous devons et que nous pouvons faire mieux en matière d'examen de conformité, notamment, par exemple, à l'occasion des quatrièmes visites décennales. C'est dans cet esprit-là que nous réalisons un certain nombre de travaux que nous venons de présenter à l'autorité de sûreté.

Sur ce point, le rapport 2017 de votre inspecteur général de la sûreté nucléaire et de la radioprotection indique que des « cartes d'identité du design des tranches » sont en cours d'élaboration afin de synthétiser, pour chacune des tranches, l'état de sa conformité au design de référence. Est-ce à dire que cette information synthétique n'existe pas encore ?

C'est un peu plus compliqué que cela. Comme je viens de l'indiquer, nous avons tiré les enseignements des non-conformités identifiées sur le terrain l'an passé et élaboré un plan d'action que nous venons de présenter à l'ASN. Les échanges techniques vont se poursuivre ; nous avons pour objectif de mettre en oeuvre les conclusions des échanges en cours dès 2019. Par ailleurs, pour tenir compte des meilleures pratiques internationales sur le sujet et de la forte évolution que connaît notre programme industriel, EDF a décidé, il y a moins de trois ans, de créer une équipe spécifique – la Design authority, basée à Marseille – qui doit permettre à l'exploitant d'accroître sa maîtrise de la conformité de ses installations au référentiel de conception. Notre Design authority a ainsi élaboré, dans le cadre de sa montée en puissance, une « carte d'identité du design des tranches » qui décrit, pour chacune d'entre elles, l'état de sa conformité au design de référence. Ce système permet, en complément de ce qui existait déjà pour chacun des réacteurs afin que chaque exploitant local puisse connaître la liste de ses accords locaux, de disposer au niveau national de cartes d'identité génériques, complétées des accords locaux, et, surtout, de faciliter l'analyse de ce qu'on appelle l'impact du cumul de tous ces écarts sur l'état de sûreté des réacteurs. Même si aucun cumul ne remet en cause la sûreté des réacteurs, il s'agit bien là d'améliorer nos organisations pour mieux maîtriser ce sujet et garantir en permanence une sûreté de haut niveau. Nous y travaillons actuellement.

Vous avez déclaré, au 1er décembre 2017, un incident concernant des écarts affectant la préparation et la réalisation de travaux de soudure sur plusieurs réacteurs, que l'ASN a rendu public il y a trois jours. Les problèmes de qualité sont pourtant survenus dès 2010 et l'ASN indique qu'EDF a identifié deux cas de modifications volontaires par une entreprise prestataire. Je reviendrai plus longuement sur la question des prestataires tout à l'heure, mais cet incident suscite à nouveau d'importants doutes sur votre capacité à maîtriser la conformité de vos installations. Au vu de ces constats, pouvez-vous nous garantir qu'à ce jour, aucune non-conformité, qu'elle soit due à une défaillance des programmes de suivi ou de maintenance ou à une dissimulation, n'est susceptible de remettre gravement en cause la sûreté de vos installations ?

Si j'avais le moindre soupçon d'une non-conformité susceptible de remettre en cause la sûreté d'un réacteur, celui-ci serait à l'arrêt. Nous tenons informée l'Autorité de sûreté au fur et à mesure de nos détections et nous produisons nos propres analyses. L'événement auquel vous faites référence – je suppose qu'il ne s'agit pas de celui qui concerne Flamanville – a été mis en évidence dans le cadre de la démarche que nous avons initiée suite à la fameuse affaire des dossiers du Creusot. Ceux-ci nous ont en effet clairement montré que la maîtrise de la manière dont nos sous-traitants travaillent à la conformité de leur dossier pouvait être améliorée. Un certain nombre de dossiers, barrés ou non barrés, ont dû être revus, et certains d'entre eux nous ont même conduits à arrêter un certain nombre de réacteurs, dont celui de Fessenheim.

Nous avons donc décidé, dans le cadre du retour d'expérience de l'affaire du Creusot, d'élaborer un plan de renforcement destiné à lutter principalement contre les fraudes ou les erreurs de ce type. Ce plan a été présenté et il est progressivement mis en oeuvre. Dans ce cadre, nous pouvons tirer, ici ou là, un ou deux événements que nous présentons à l'autorité de sûreté et que nous analysons. Celui auquel vous faites sans doute référence - celui que j'ai en tête, en tout cas – concerne principalement Flamanville 3, où un sous-traitant a utilisé un mauvais certificat de qualification d'un procédé de soudage. Cet événement a été signalé à l'autorité de sûreté et nous sommes en train d'examiner ses éventuelles conséquences tant pour Flamanville 3 que pour le parc en exploitation. Nous avons écarté l'hypothèse d'un impact sur la sûreté de notre parc en exploitation, car le procédé de soudage contrefait n'a pas été utilisé en la circonstance. Mais l'agent étant intervenu sur d'autres procédés de soudage, nous sommes allés jusqu'au bout des vérifications pour voir si d'autres installations pouvaient être concernées. Nous avons communiqué récemment nos conclusions à l'autorité de sûreté : les constats que nous avons faits ne remettent pas en cause la sûreté de nos installations.

Vos propos ouvrent de nombreuses portes… Confirmez-vous ce qu'EDF a affirmé le 23 février à Reuters, à savoir que la découverte d'une qualité de fabrication insuffisante des tuyauteries de vapeur du circuit secondaire de l'EPR n'aura aucun impact sur le calendrier du chantier et de la mise en service ? Quand avez-vous découvert ce problème et que s'est-il passé entre cette découverte en usine, en 2015, et aujourd'hui ? Comment expliquer que la question de la qualité des équipements au regard des exigences de sûreté n'ait été posée qu'une fois ces équipements en place ?

Tout d'abord, l'événement dont il s'agit concerne la ligne qui évacue la vapeur produite par les générateurs de vapeur et rejoint la salle des machines. Comme il y a quatre boucles, nous parlons de quatre fois la même tuyauterie, et de soixante-six soudures au total. L'ensemble de ces soudures ont été conçues suivant le principe dit d'exclusion de rupture : leur très haut niveau de qualité doit permettre d'exclure, dans les études de sûreté, leur rupture brutale. Ce principe et cette démarche ont été présentés, à l'époque de la conception de l'EPR, à l'Autorité de sûreté, qui les a validés. Or nous nous sommes aperçus, en 2017, que toutes les exigences de haute qualité n'avaient pas été retranscrites dans l'ensemble de la chaîne de sous-traitance. EDF a donc déclaré un événement significatif à l'autorité de sûreté le 30 novembre 2017, et nous avons convenu avec celle-ci de produire un dossier pour justifier que, si toutes les obligations de moyen au titre de la haute qualité n'avaient pas été mises en oeuvre, les caractéristiques mécaniques des soudures étaient néanmoins conformes à l'attendu. Les premiers résultats sont plutôt satisfaisants ; nous entendons livrer à l'Autorité de sûreté l'ensemble du dossier justificatif d'ici à la fin du mois d'avril. L'ASN instruira ensuite le dossier et désignera en septembre un groupe permanent d'experts, avant de rendre ses conclusions. Du point de vue d'EDF, le calendrier est donc compatible avec la date souhaitée de démarrage du réacteur.

Que s'est-il passé entre 2015 et 2017 ? En 2015, l'écart constaté ne concernait qu'une soudure de préfabrication en usine, soit quatre des soixante-six soudures que j'évoquais. À l'époque, l'ensemble des experts cherchaient plutôt un écart à la conformité réglementaire. Du reste, en 2015, l'incident avait été déclaré à l'autorité de sûreté comme un écart à la réglementation des équipements sous pression nucléaires (ESPN). Or, il s'avère qu'aujourd'hui, 100 % de ces soudures respectent le code de conception et de fabrication nucléaire ainsi que la réglementation ESPN. Il ne s'agit donc pas d'un écart réglementaire ; il s'agit d'un écart d'obligation de moyens pour garantir la haute qualité. Mais nous allons démontrer – nous sommes confiants – que la haute qualité des soudures est assurée.

Pourquoi cela ne sort-il qu'une fois que les pièces sont installées ?

Les quatre pièces de préfabrication étaient en cours de livraison, mais non encore installées. Toutes les autres soudures ont été faites à partir de 2016, et sont encore en cours d'ailleurs, sur site. La plupart d'entre elles ont été réalisées en 2017 et s'achèveront en 2018.

À propos de malfaçons sur des pièces déjà installées, l'usine Creusot Forge vous a fourni du matériel en modifiant à votre insu, et dans de très nombreux dossiers de fabrication, les données de fabrication. Avez-vous intenté un recours contre votre fournisseur et, si non, pourquoi ?

Je peux vous répondre très précisément sur les sujets relatifs à la sûreté des installations et sur les aspects relatifs à la sécurité. En revanche, sur les aspects juridiques, voire commerciaux, relevant des relations d'affaires entre EDF et ses fournisseurs, je préférerais, si le sujet vous préoccupe vraiment, vous répondre par écrit. Notre président, que vous allez auditionner dans quelque temps, pourra également revenir sur ce point, si vous le souhaitez.

En une phrase, sur les trois problèmes les plus manifestes, qui concernent le générateur de vapeur de Fessenheim 2…

Puisque vous abordez le sujet, je vais d'ores et déjà vous interroger sur Fessenheim 2. L'ASN vient de décider de rétablir le certificat d'épreuve du générateur de vapeur de Fessenheim 2, dont la fabrication avait fait l'objet d'une grossière malfaçon et d'une dissimulation. Alors que votre fournisseur semble, encore une fois, vous avoir ouvertement trompé, vous l'aviez chargé de démontrer que le générateur de vapeur était malgré tout apte au service, en lui commandant des pièces sacrificielles… Pourquoi votre politique ne consiste-t-elle pas, en pareil cas, de vous retourner pour réparation vers votre fournisseur, dont la responsabilité est engagée ?

Nous nous retournons vers notre fournisseur pour les problèmes les plus manifestes. Dans le cas du générateur de vapeur de Fessenheim 2, une anomalie de fabrication au regard des exigences fixées par nous et par le code nous a manifestement été cachée. Il y a donc là un sujet entre nous et notre fournisseur – qui, à l'époque, s'appelait Areva –, de même que pour le remplacement d'un générateur de vapeur de Gravelines 5 et, dans une moindre mesure, pour un générateur de Flamanville 3. Sur ces trois sujets, un certain nombre d'actions ont été lancées par EDF pour préserver nos droits et nos intérêts. Nous avons donc agi. Mais, puisque vous allez auditionner notre président dans quelque temps, je préférerais que, sur ces aspects juridiques, vous lui posiez directement la question.

En ce qui concerne Fessenheim 2, comment aborde-t-on généralement ce type de problèmes ? Il faut avoir en tête que notre première préoccupation, c'est toujours la sûreté du réacteur. Ce n'est pas parce que nous détectons une non-conformité ou une anomalie que la pièce concernée n'est pas apte au fonctionnement. Par exemple, pour être certain qu'une pièce ait les bonnes caractéristiques mécaniques, la part de tel composant chimique doit être inférieure à tel pourcentage. Si la valeur est légèrement supérieure à celle prévue, la question se pose de savoir si la pièce est bonne, mais ses caractéristiques mécaniques ne seront pas pour autant forcément insatisfaisantes. Dans un tel cas, nous vérifions donc systématiquement que les caractéristiques mécaniques de la pièce sont bien conformes à celles attendues, même si la teneur en tel ou tel produit n'est pas conforme à celle exigée au départ. Si ses caractéristiques ne sont pas bonnes non plus, nous la remplaçons ; si elles sont bonnes, s'il n'y a pas de conséquences sur la sûreté et si l'équipement peut être exploité, nous la conservons. Nous procédons au cas par cas. Nous évaluons les conséquences d'un remplacement, dont vous comprenez qu'il peut entraîner des coûts et des délais assez longs, au regard des conséquences industrielles d'un maintien en l'état, qui peut impliquer un suivi en exploitation plus important et donc avoir un impact différé sur les coûts, voire sur les durées d'arrêt de tranche.

À titre d'exemple, nous préférons généralement remplacer les équipements à faible coût, faible impact et délai immédiat, voire non montés, comme les générateurs de vapeur prévus pour Gravelines 5. Dans ce dernier cas, nous aurions probablement pu démontrer que les caractéristiques de ces générateurs étaient bonnes mais, puisqu'ils n'étaient pas montés, autant les remplacer. En revanche, nous pouvons être amenés à maintenir en service les équipements déjà en place, comme les générateurs de Fessenheim 2 et de Flamanville 3, qui nécessiteront de toute façon un suivi en service complémentaire par la suite. En tout état de cause, la première question que nous nous posons est celle de savoir si la solution envisagée est ou non acceptable du point de vue de la sûreté. Si elle ne l'est pas, il n'y a pas lieu de discuter : on remplace.

Vous avez évoqué l'ensemble de la chaîne de sous-traitance. Or, selon nos informations, il ne peut y avoir plus de deux niveaux de sous-traitance. Est-ce effectivement le cas ? Avez-vous la garantie que l'entreprise sous-traitante à laquelle vous recourez ne s'adresse pas elle-même à des sous-traitants à divers niveaux, ce qui, si tel était le cas, pourrait créer des points de vulnérabilité ?

Je vous répondrai en prenant l'exemple des soudures en exclusion de rupture de Flamanville. En l'espèce, il n'y a que deux niveaux de sous-traitance : un titulaire de rang 1, Framatome, qui sous-traite la fabrication et le soudage de la tuyauterie à deux entreprises en groupement qui sont par ailleurs qualifiées par EDF sur le parc. Il y a donc bien deux niveaux ; tout cela est surveillé par EDF et par l'autorité de sûreté. En outre, nous savons qu'il n'y a pas de sous-traitance supplémentaire cachée ou ignorée, ne serait-ce que parce que chacune des personnes concernées est identifiée et habilitée par EDF à accéder au site. Les soudeurs, en particulier, sont suivis individuellement car leur niveau de qualification est contrôlé. Le site de Flamanville 3 a fait l'objet de quatorze inspections de l'ASN en 2017, dont huit inopinées, sans compter les trente inspections supplémentaires qu'elle a réalisées au titre de l'inspection du travail et du contrôle du respect de la réglementation.

De façon plus générale, les évaluations complémentaires de sûreté (ECS) réalisées juste après Fukushima ont soulevé la question des éventuelles conséquences d'une sous-traitance en cascade en matière de sûreté. EDF s'est engagée, dès les ECS, à la limiter à trois niveaux. Pourquoi ne pas faire mieux ? Parce que la limiter davantage pourrait avoir un impact négatif sur la sûreté : lorsqu'on remplace un générateur de vapeur, par exemple, on confie l'intervention globale à Areva qui, pour ce faire, s'appuiera sur les meilleures entreprises de soudage, qui elles-mêmes font appel, pour le contrôle de leurs soudures, aux meilleures entreprises de contrôle non destructif. Du coup, restreindre de manière excessive les niveaux de sous-traitance pourrait être préjudiciable à la sûreté. Mais si l'on tombe dans l'excès inverse, c'est-à-dire si les niveaux de sous-traitance sont trop nombreux, il est évident que nous pouvons perdre le contrôle.

La proposition d'EDF de limiter à trois les niveaux de sous-traitance a été reprise dans les travaux du comité stratégique de la filière nucléaire, qui a élaboré un cahier des charges sociales applicable à toute sous-traitance dans le domaine nucléaire. Au titre de ce cahier des charges sociales, EDF impose, depuis mi-2012, la limitation des niveaux de sous-traitance à trois : le titulaire du contrat et deux niveaux de sous-traitance successifs. Cette limitation est désormais encadrée par un décret du 28 juin 2016.

Par ailleurs, notre principal souci est d'organiser en permanence le recours aux entreprises prestataires de manière à conserver la maîtrise technique industrielle des opérations de maintenance. Cela nous a conduits, ici ou là, dans tel ou tel domaine, à renforcer les actions que nous réalisions nous-mêmes ; je pense, par exemple, aux opérations de robinetterie pour lesquelles nous avons renforcé nos effectifs en interne afin de préserver des compétences et pouvoir mieux contrôler ensuite nos sous-traitants.

Au-delà des exigences de sûreté, qui sont, globalement et plus précisément par palier, les mêmes pour toutes et censées être respectées par chacun, diriez-vous que tous vos réacteurs en France présentent exactement le même niveau de sûreté et, si tel n'est pas le cas, pouvez-vous nous indiquer sur quelle base des différences s'établissent et quelle vision vous avez de cette hiérarchie ? Vous imaginez bien que je vous interrogerai ensuite sur l'aspect financier de la question…

Il faut tout d'abord savoir si l'on parle de niveau de sûreté de conception ou de niveau de sûreté d'exploitation. Pour ce qui est de la sûreté de conception, les choses sont simples : ou bien la conception de la centrale répond aux exigences de sûreté et elle fonctionne, ou bien elle ne l'est pas et elle ne fonctionne pas. Les intercomparaisons ne sont pas possibles dans ce domaine.

Elles le sont en revanche pour ce qui concerne le niveau de sûreté en exploitation, puisque celui-ci dépend directement de la manière dont les centrales sont dirigées et dont chacune d'entre elles progresse. Lorsqu'un industriel possède plusieurs usines, l'approche managériale classique consiste à les intercomparer. Nous intercomparons donc la manière dont nos dix-neuf sites sont exploités, non pas pour désigner les bons et les mauvais élèves, mais pour que les bonnes pratiques des meilleurs profitent à ceux dont la situation est moins bonne. Pour cela, nous nous fondons sur leurs résultats, bien entendu, mais aussi sur nos inspections, ainsi que sur les revues par les pairs réalisées dans le cadre de l'Organisation internationale des opérateurs nucléaires, sur les revues de l'OSART (Operational Safety Review Team) et sur le rapport de l'Inspection générale pour la sûreté nucléaire et la radioprotection (IGSNR). Ces différents éléments nous permettent d'identifier les centrales qui ont le plus besoin d'un appui pour rester dans le peloton. Aucune centrale n'est jamais restée longtemps la dernière de la classe. On constate parfois qu'une centrale qu'il a fallu aider est ensuite revenue parmi les meilleures de la classe avant de connaître à nouveau une baisse de forme. Le rôle du management national est alors de comprendre pourquoi et de renforcer l'équipe managériale du site, voire de la changer – c'est arrivé –, ou de lui adjoindre des compétences particulières. J'ajoute que l'autorité de sûreté publie des rapports sur l'état de sûreté de chacune de nos centrales, en indiquant lesquelles se trouvent dans une situation intermédiaire, lesquelles se distinguent positivement, lesquelles se distinguent négativement. Aujourd'hui, parmi celles qui se distinguent positivement par leur niveau de sûreté d'exploitation, on trouve Fessenheim.

Et parmi celles qui se distinguent négativement ?

Dans le rapport qu'elle publie chaque année, l'ASN indique clairement quelles sont les centrales qui se situent en deçà de la moyenne de l'ensemble du parc. Nous procédons nous-mêmes à une évaluation, mais pour les besoins du management de notre parc : vous comprenez bien que nous ne souhaitons pas mettre tout cela sur la place publique. Nous ne cherchons pas à établir une sorte de « classement des hôpitaux », mais simplement en sorte que les bonnes pratiques des meilleures profitent à celles qui sont en moins bonne forme.

Avant de vous interroger plus précisément sur la situation financière, je me référerai au rapport de Mme Romagnan et de M. Aubert, qui relevait qu'en juin 2016, le conseil d'administration d'EDF avait comptablement porté à cinquante ans la durée d'exploitation de dix-sept réacteurs de 900 mégawatts dont l'amortissement était auparavant calculé sur quarante ans. Sont concernées Le Bugey, Dampierre, Le Blayais, Cruas et Chinon. EDF n'a donc pas attendu la décision de l'ASN, qui sera prise au cas par cas, d'ici à trois ans. S'agit-il d'un artifice comptable ou d'un acte de foi dans l'avenir ? Pouvez-vous nous en dire plus ?

Nous discutons de manière régulière avec l'Autorité de sûreté de ce qu'il nous faudrait faire au moment de la quatrième visite décennale pour nous rapprocher du niveau requis. Nous avons engagé ces discussions dès 2010, de sorte qu'il y a une incrémentation progressive du niveau des discussions et du niveau de confiance dans les moyens à déployer en vue de la quatrième visite décennale afin de prolonger la durée de fonctionnement des réacteurs en question. Ainsi, en avril 2016, nous avons reçu un courrier de l'autorité de sûreté dans lequel elle relevait clairement environ quatre-vingts points sur lesquels elle attendait des améliorations et des réponses précises dans l'hypothèse d'une prolongation. Après analyse de ces questions et examen des éléments que nous avions prévu de lui apporter, nous sommes confiants dans l'aboutissement des discussions que nous avons avec l'autorité de sûreté sur la poursuite de l'exploitation après la quatrième visite décennale. C'est sur cette base-là et dans le cadre de l'incrémentation progressive que j'évoquais qu'il a été proposé au conseil d'administration d'EDF, où siègent des représentants de l'État, de prolonger l'amortissement comptable de nos installations de quarante à cinquante ans. À ma connaissance, les membres du conseil d'administration se sont tous prononcés en faveur de cette disposition qui, je le rappelle, concerne tous les réacteurs de 900 mégawatts, à l'exception de Fessenheim.

Vous pouvez donc nous confirmer la déclaration suivante, que vous avez faite le 20 février 2014 devant la commission d'enquête sur les coûts du nucléaire : « En tant qu'industriel, compte tenu de ce que je sais, j'estime que 100 % de nos réacteurs pourront être exploités jusqu'à soixante ans. Je n'ai sur ce point, d'un point de vue technique, aucun état d'âme ». La position d'EDF est-elle encore aujourd'hui la même ou des éléments nouveaux sont-ils intervenus ?

Je confirme que, d'un point de vue technique et du point de vue de la sûreté, je suis tout à fait confiant dans la capacité de nos réacteurs à être exploités jusqu'à soixante ans. Cela ne signifie pas pour autant qu'ils le seront : encore une fois, nous nous conformerons aux décisions qui seront prises notamment dans le cadre de la programmation pluriannuelle de l'énergie. Si, dans le cadre de cette programmation, il nous est demandé d'arrêter un certain nombre de réacteurs avant qu'ils n'atteignent cet âge, bien évidemment, nous appliquerons ces décisions.

Nous sommes heureux de l'entendre…

Au-delà du raisonnement d'EDF sur le coût restant à engager, qui est difficilement comparable à d'autres, quel est l'impact financier de la poursuite du fonctionnement de vos réacteurs au-delà de quarante ans ? Ma question a trait au coût économique du nucléaire – nous vous interrogerons ultérieurement sur votre situation financière, car nous avons besoin de ces éléments. J'ajoute que les réacteurs ne coûtent pas tous autant – leur coût de fonctionnement varie en fonction de différents facteurs – et le même raisonnement vaut pour leurs prolongations respectives. Au-delà du coût moyen de chaque parc, êtes-vous en mesure de déterminer aujourd'hui les coûts de prolongation, réacteur par réacteur ? Si oui, dans quelle fourchette de différenciation se situent-ils ? Dès lors, le raisonnement tenu par EDF à l'échelle du parc fonctionne-t-il également réacteur par réacteur, pour tous les réacteurs ?

Le coût restant à engager est, de mon point de vue et du point de vue comptable également d'ailleurs, le plus simple à comprendre et à mesurer : il recouvre les dépenses d'exploitation, les dépenses d'investissement et les dépenses de combustible. Dans le cadre d'une politique énergétique ou de la politique d'investissement d'une entreprise comme la nôtre, on compare des scénarios : faut-il poursuivre l'exploitation, auquel cas on s'expose à ces coûts restant à engager, ou faut-il la cesser, et donc remplacer les équipements de production par d'autres équipements ? C'est donc bien aux coûts d'équipements neufs qu'il faut comparer les coûts restant à engager dans le cas d'une prolongation. Encore une fois, ces coûts sont en moyenne de 32 euros par mégawattheure à l'échelle du parc ; il n'y a pas d'alternative moins chère, et ces coûts sont en général inférieurs aux prix de marché, qui tournent plutôt autour de 40 euros le mégawattheure.

Ensuite, une fois que vous avez ces coûts, vous n'êtes pas rémunéré : se pose la question du taux de rentabilité que vous attendez du capital investi. Du reste, quel est exactement ce capital investi ? Faut-il considérer le capital investi au départ ou, par exemple, la valeur nette comptable de votre outil de production tel qu'il se présente aujourd'hui ?

Tous ces sujets avaient été mis en avant lorsque se sont engagés les débats sur le dispositif d'accès régulé à l'électricité nucléaire historique (ARENH), c'est-à-dire la possibilité pour d'autres fournisseurs d'électricité d'avoir accès à notre électricité nucléaire : à quel niveau de juste rémunération pour EDF fallait-il fixer le prix de l'ARENH, de sorte non seulement que l'entreprise couvre les coûts restant à engager mais aussi que le capital investi soit rentable ? Ces discussions ont donné lieu au rapport de la Cour des comptes qui a considéré que compte tenu du montant du capital investi et des taux de rendement de ses actifs, EDF aurait dû toucher un montant donné. Elle a abouti à la notion de coût complet économique qui permettait en quelque sorte de mesurer la juste rémunération à laquelle EDF pouvait prétendre en vendant son électricité à ses concurrents : c'est ainsi que l'on est arrivé, en fonction de la méthode utilisée, aux 56 ou 63 euros par mégawattheure selon les méthodes. L'écart avec les 32 euros par mégawattheure dont je parlais plus haut s'explique principalement par la diminution progressive de nos dépenses d'exploitation et dépenses d'investissement au cours des cinq dernières années, mais surtout par la rémunération attendue de notre capital. En clair, la notion de coût complet économique couvre pour l'essentiel les coûts restant à engager et la rémunération du capital investi – d'où des discussions entre experts, certains estimant possible de jouer non seulement sur le montant du capital réellement investi, étant entendu que la valeur nette comptable du capital initialement investi, et amorti depuis, a changé, mais aussi sur son taux de rémunération.

Quant aux coûts restant à engager par réacteur dans le parc existant, soit 32 euros par mégawattheure, ils ne varient pas à l'ordre 1 au sein d'un même palier technique – 900, 1 300 ou 1 500 mégawatts. Naturellement, plus un palier est puissant, plus le coût par mégawattheure est bas. Au palier à 900 mégawatts, le coût de production est légèrement plus élevé que la moyenne de 32 euros ; il est plus bas au palier de 1 300 mégawatts et encore plus bas au palier à 1 500 mégawatts. Mais il n'y a pas de différences entre les réacteurs de 900 mégawatts.

Pourrez-vous nous communiquer les montants précis ?

Bien sûr.

Permettez-moi une dernière question avant que mes collègues ne prennent la parole. Pourquoi EDF envisage-t-elle de créer une piscine centrale de refroidissement du combustible usagé ? Pourquoi préférer cette solution à celle du refroidissement à sec du combustible irradié, que vous avez déjà retenue et pratiquée pour votre réacteur Sizewell B au Royaume-Uni ?

Dans le cadre du plan national de gestion des matières et des déchets radioactifs (PNGMDR) pour 2016-2018, l'ASN et la direction générale de l'énergie et du climat (DGEC) ont demandé à EDF de proposer une solution visant à disposer de nouvelles capacités d'entreposage de combustibles usés à l'horizon 2025-2035. En effet, de nouvelles capacités d'entreposage seront nécessaires vers 2030, quel que soit le scénario retenu dans la programmation pluriannuelle de l'énergie (PPE). Ces capacités permettront d'entreposer les matières concernées jusqu'à leur réutilisation dans de futurs réacteurs ou, si cette option industrielle n'est pas confirmée, jusqu'à leur stockage définitif dans Cigéo. Sur le plan financier, c'est le scénario prudent de non-réutilisation qui a été provisionné dans les comptes d'EDF.

EDF travaille actuellement à la conception d'une piscine d'entreposage correspondant aux exigences de la troisième génération ; le dossier d'options de sûreté concernant cette installation a été transmis à l'ASN en avril 2017. Seraient stockés dans cette piscine les assemblages MOX usés ainsi que les assemblages d'uranium de retraitement enrichi (URE) usés issus du retraitement. Précisons que le retraitement permet grosso modo de réduire d'un facteur 25 les déchets finaux directement issus des combustibles usés et d'isoler quelque 95 % de l'uranium de retraitement de 4 % de déchets destinés à être vitrifiés et de 1 % de plutonium. Le plutonium est réutilisé dans les assemblages MOX. Quant aux 95 % d'uranium de retraitement, ils ont un temps été utilisés pour produire de l'uranium enrichi sur les réacteurs de Cruas, mais cette opération a été interrompue au début des années 2010 ; nous nous apprêtons à la relancer dans le cadre de plusieurs contrats en cours de conclusion.

Il existe dans le monde trois grandes familles de méthodes d'entreposage à sec. Les deux premières consistent soit en silos horizontaux, soit en emballages métalliques massifs : ce sont les plus répandues, aux États-Unis notamment. Sur le plan de la sécurité, il faut garder à l'esprit le fait que les silos et emballages sont placés en surface et à l'air libre, souvent sur des sortes d'aires de stationnement proches des centrales – ce qui ne semble guère apporter de garanties supplémentaires par rapport à l'entreposage sous eau, loin s'en faut : le président de l'ASN l'a d'ailleurs souligné lors de son audition.

Sur le plan de la sûreté, le combustible usé, quel que soit l'endroit où l'on se trouve dans le monde, doit d'abord être entreposé sous eau suffisamment longtemps pour réduire sa puissance résiduelle avant de pouvoir, le cas échéant, être entreposé à sec, car il est alors moins bien refroidi, dans la mesure où ce n'est pas l'assemblage lui-même qui est refroidi mais la coquille dans laquelle il est enfermé. Autrement dit, si la solution de l'entreposage à sec était retenue, comme l'a prôné ici même Yves Marignac, il faudrait laisser les assemblages d'uranium entre cinq et sept ans dans les piscines avant de pouvoir les entreposer à sec, et même pendant vingt ans pour les combustibles MOX. Pour ce faire, les exploitants qui utilisent cette pratique ont augmenté, via une opération dite de « rerackage », l'entreposage en piscine combustible sur chaque réacteur : sans changer le volume de piscines, ils ont réorganisé les racks afin d'entreposer davantage d'assemblages combustibles sous eau en attendant de pouvoir les entreposer à sec.

Nous n'avons pas opté pour cette solution parce que nous avons estimé qu'une augmentation supplémentaire d'assemblages en piscine dans les bâtiments combustibles, alors qu'ils sont destinés à terme à être entreposés ailleurs, n'allait pas dans le sens de la sûreté - appréciation que partage plutôt l'ASN. En tout état de cause, si l'option de l'entreposage à sec était retenue et compte tenu du temps de refroidissement des assemblages MOX usés, c'est-à-dire vingt ans, une piscine centrale restera toujours nécessaire…

Ces sujets seront examinés lors du débat public qui se déroulera en fin d'année dans le cadre du Plan national de gestion des matières et des déchets radioactifs (PNGMDR). Nous en attendrons les conclusions pour prendre les décisions finales, y compris concernant le choix d'un site. À ce stade, celui-ci n'est pas arrêté, contrairement à ce que j'ai lu ici ou là. Quant à la décision de construire ou non une piscine, elle ne sera prise qu'à l'issue du débat public ; nous n'entendons brûler aucune étape. En revanche, nous avons remis à l'ASN, à sa demande, un dossier d'options de sûreté.

Question subsidiaire : avez-vous estimé le coût de la construction de cette piscine ? Sera-t-elle conçue sur le modèle du schéma que vous nous avez présenté ? Incidemment, j'apprécie le fait que vous nous apportiez des documents, mais ceux-ci sont si simples qu'ils pourraient être source de confusion ; de plus, nous avons dépassé le niveau de l'école primaire. Les plans de vos piscines vous seront demandés de manière officielle afin que nous disposions d'un état des lieux plus clair de vos installations.

Encore une fois, nous venons de remettre un dossier d'options de sûreté à l'ASN ; nous allons donc attendre qu'elle se prononce sur leur caractère satisfaisant ou non. Calculer un coût sans savoir si l'option de sûreté proposée sera retenue serait procéder dans le mauvais ordre. Il est trop tôt pour chiffrer un coût ; nous le ferons une fois que l'ASN aura donné son avis.

S'agissant des types de piscines, Flamanville et tous les nouveaux réacteurs que nous allons installer sont de troisième génération. La piscine centrale envisagée dans notre dossier d'options de sûreté est aussi de troisième génération – autrement dit, il s'agit globalement d'une piscine semblable à celle de Flamanville, à ceci près qu'elle ne sera pas proche d'un bâtiment réacteur.

J'en viens au caractère confidentiel défense de certaines informations. Le directeur de la sécurité ici présent, M. Émile Perez, a déjà admis que j'entre dans les détails au point de vous indiquer que l'épaisseur des murs est supérieure à celle des bâtiments réacteurs ; en revanche, je suis quelque peu embarrassé à l'idée de vous communiquer des plans qui relèvent du secret défense – nous avons déjà eu cette discussion avec l'OPECST. C'est un sujet gênant. EDF a plutôt appliqué la proposition de l'ASN : quelle que soit l'autorité de contrôle concernée, nous souhaitons que soit mise en place une formation ad hoc de parlementaires habilités à accéder aux informations relevant du confidentiel défense, avec lesquels nous pourrions aller beaucoup plus loin concernant les mesures de sécurité prises sur nos sites. Nous pourrions alors vous transmettre un certain nombre de données que nous ne pouvons pas présenter dans une instance publique, a fortiori ouverte à la presse, comme celle-ci. Si j'en disais trop dans un tel cadre, ma responsabilité pénale pourrait être engagée.

La loi autoriserait-elle Mme la rapporteure à consulter ces éléments sur place, à défaut qu'ils lui soient communiqués ?

Oui, si Mme la rapporteure est habilitée à accéder à des informations classées confidentiel défense.

Ma question portera tout à la fois sur sûreté et la sécurité, en attendant de pouvoir citer le rapport de Mme Pompili lors de prochaines auditions. La sûreté, tout d'abord : il se vérifie que le battement des ailes d'un papillon peut provoquer Fukushima. Cela explique pourquoi des citoyens manifestent devant Tricastin au motif qu'une fissure dans le réacteur n° 1 pourrait, en cas de rupture de la digue, entraîner un accident du même type. Cependant, le discours que vous tenez – incident, fissure, écart réglementaire et d'obligation de moyens, malfaçon, non-conformité, défectuosité, défaillance, qualité insuffisante ou encore événement significatif – est en décalage avec la capacité qu'ont les citoyens, face à un langage parfois peu compréhensible, d'évaluer la dangerosité du problème. D'où ma première question : étant donné la fissure existant sur le réacteur n° 1 de Tricastin, la rupture de la digue pourrait-elle en effet provoquer un nouveau Fukushima ? D'autre part, ne serait-il pas opportun de créer un indicateur synthétique de la sûreté permettant, à périmètre égal, d'une année sur l'autre, de constater l'évolution de la situation en justifiant de certains événements ?

J'en viens à la sécurité. N'étant pas habilité à accéder au confidentiel défense, j'ai apprécié vos schémas, qui sont à mon niveau. Ils utilisent principalement le modèle de l'intrusion – le cas Greenpeace. D'autres rapports, également secrets, analysent plutôt les effets d'un tir au lance-roquettes, par exemple. Votre système de protection active repose-t-il vraiment sur le meilleur modèle ? Ne vaudrait-il pas mieux privilégier le modèle du château fort ou du bunker pour éviter qu'une attaque à distance ne provoque des dégâts sur les piscines ?

Question complémentaire, monsieur Minière : lors de notre précédente audition, M. Gadault, journaliste, vous a personnellement mis en cause, estimant que le deuxième entretien qu'il a eu avec vous a été écourté, ce qui laisse entendre qu'EDF ne veut pas livrer d'informations. Pouvez-vous éclairer la commission d'enquête sur les circonstances de cet entretien ?

Je vous interrogerai moi aussi tour à tour sur la sûreté et la sécurité. La sûreté d'abord : après l'accident de Fukushima, l'ASN a émis un certain nombre de recommandations, notamment pour renforcer les capacités d'alimentation en eau afin d'assurer le refroidissement des réacteurs et le remplissage des piscines de refroidissement en toutes circonstances. Plus de sept ans après Fukushima, pouvez-vous nous préciser l'état d'avancement de ces travaux ? Toutes les centrales sont-elles sécurisées ? Le cas échéant, lesquelles ne le sont pas ?

En matière de sécurité, l'OPECST a déjà eu un débat que je relance devant cette commission d'enquête : le choix du modèle de sécurité en profondeur, et non de bunkérisation, a pour conséquence de laisser la possibilité à des individus de s'introduire dans la centrale avant d'être repérés et arrêtés. Plusieurs recommandations ont été formulées concernant la surveillance périmétrique des zones. Quels sont ces systèmes de surveillance ? Ont-ils été installés partout en France ? À partir de quel moment pouvez-vous repérer un individu avant même qu'il ne franchisse le premier grillage de sécurité ?

En matière de sécurité, vous avez évoqué le peloton spécialisé de protection de la gendarmerie (PSPG) et les mille gendarmes présents sur les différents sites nucléaires du territoire national. Sur ces mille gendarmes, certains peuvent être en congé, d'autres éventuellement en arrêt maladie, d'autres encore mobilisés ailleurs pour participer à des opérations de sécurité. Quel est donc le nombre moyen de gendarmes physiquement présents dans chaque centrale ?

Ensuite, la question de la prolongation des centrales fait débat depuis plusieurs années et, à mon sens, discrédite la parole de la puissance publique : l'échéance de la prolongation semble varier au gré des gouvernements, qui font tantôt un pas en avant, tantôt deux en arrière : cela ne favorise guère la sérénité. Vous n'avez aucun doute sur la possibilité technique de prolonger la durée de vie des centrales jusqu'à soixante ans. Est-ce pour vous une borne ? Sinon, où se situe la borne ? À partir de quelle durée de vie n'y a-t-il plus de rentabilité ? À partir de quelle durée de vie une centrale entre-t-elle dans une zone grise d'incertitude ? Tout automobiliste sait qu'il vient un moment où il devient plus onéreux de changer une pièce défectueuse que d'acheter un nouveau véhicule, et qu'il faut se résoudre à l'évidence. Quand viendra le moment où le changement d'une pièce deviendra plus onéreux que celui de la centrale elle-même ?

Les défauts relevés sur le réacteur de Tricastin sont des défauts dits de sous-revêtement qui n'ont pas évolué : nous sommes en mesure de les contrôler et d'établir qu'ils sont restés stables, contrairement aux contrevérités publiées dans un livre récent. Ces défauts existent depuis la construction, ils ont été détectés et sont suivis régulièrement. La machine d'inspection en service est passée tous les dix ans : les défauts n'évoluent pas et sont globalement stables. Ils ne présentent donc pas de problème. J'ajoute qu'il n'existe aucun défaut dû à l'hydrogène dans nos centrales : sur ce point, tout ce qui est écrit dans un livre récent est complètement faux. Au contraire, c'est grâce à nos machines d'inspection et à nos méthodes que les Belges ont pu mettre en évidence des défauts dus à l'hydrogène dans leurs centrales – défauts que nous avions nous-mêmes éliminés dès le stade de la fabrication de nos propres centrales.

Toutes les informations relatives aux défauts de sous-revêtement sont publiques depuis l'origine ; nous communiquons sur ce sujet sans rien en cacher. Quant aux défauts liés à l'hydrogène, ils n'existent que sur certaines cuves belges – quoique parfois par milliers, il est vrai –, mais, encore une fois, ces défauts ont été mis en évidence grâce au passage de nos machines, les Belges n'ayant pas appliqué de méthodes aussi approfondies que celles que nous employons dès le départ.

Il va de soi que ces défauts ne présentent aucun risque similaire à Fukushima. Au fond, qu'est-ce que Fukushima ? Le réacteur s'est arrêté automatiquement. Or, dans un tel cas, il faut toujours évacuer la puissance résiduelle. Cela ne demande pas forcément beaucoup d'eau, mais il en faut. La perte de l'alimentation en eau et en électricité, comme cela s'est produit à Fukushima, vous met dans une situation extrêmement critique. Je me permets de vous conseiller la lecture du récit de l'accident par le directeur de la centrale, Masao Yoshida : dès les premières vingt-quatre heures après l'accident, il avait parfaitement conscience de ce qui allait se produire. Il a, de sa propre initiative – preuve qu'il s'agissait d'un exploitant responsable –, pris des décisions, allant jusqu'à désobéir à des ordres venus du Premier ministre, pour éviter un désastre supplémentaire. Dans un tel cas de figure, la priorité consiste à trouver de l'eau et de l'électricité dans les premières vingt-quatre heures, ce qui évite même d'atteindre le stade où le filtre à sable doit être ouvert – étant précisé que même en cas d'ouverture du filtre à sable dans nos installations, il ne se produirait pas de contamination à long terme du territoire. Le mieux, cependant, est de ne pas atteindre ce stade et, pour ce faire, de rétablir l'alimentation en eau et en électricité.

C'est la raison pour laquelle après Fukushima, nous avons décidé de créer une force d'action rapide nucléaire (FARN). En cas d'événement très improbable mais à fort impact – le « cygne noir » de Taleb –, et même s'il est par définition impossible de concevoir l'inconcevable, comme l'a rappelé un précédent directeur général de l'IRSN, il est néanmoins possible de prendre des mesures d'organisation en moyens et en hommes pour rétablir l'eau et l'électricité sous vingt-quatre heures et, ainsi, sauver toute situation. La FARN dont nous avons décidé la mise sur pied n'est pas composée de sous-traitants mais de personnels d'EDF qui connaissent nos installations et qui, en cas de problème extrême et à très faible probabilité, pourront se projeter sur le site concerné, rétablir l'eau et l'électricité et éviter un accident comme Fukushima.

La deuxième mesure de sûreté que nous prenons consiste à ajouter « en dur » sur chaque site des moyens supplémentaires et diversifiés en eau et en électricité qui soient capables de résister à des agressions encore supérieures. À l'heure actuelle, l'électricité de nos centrales est fournie par les lignes externes et avec deux moteurs diesel ; nous équipons donc chacun de nos réacteurs d'un diesel de secours différent installé sur des plots capables de résister à des séismes d'une puissance incomparable. L'eau, quant à elle, provient ordinairement des stations de pompage, dans la mer ou dans un fleuve. Dans des circonstances extrêmes, les besoins en eau ne sont pas très importants ; nous dotons donc chaque site de moyens d'alimentation en eau diversifiés. Sur les sites qui se trouvent en pied de falaise comme Penly ou Flamanville, l'eau proviendra du plateau – et les dispositions sont déjà prises. Dans d'autres centrales, nous forons un accès à la nappe phréatique pour pomper l'eau afin, en cas d'accident grave, de refroidir les réacteurs.

Le déploiement de ces moyens supplémentaires de sûreté en eau et en électricité devrait être achevé en 2021 – soit une date somme toute assez proche compte tenu du défi technique et industriel que représente l'installation de cinquante-huit moteurs diesel de secours de plusieurs mégawatts et de moyens d'alimentation en eau sur chaque réacteur.

J'en viens à la sécurité. S'agissant des piscines, nous avons mené un certain nombre d'essais – que je ne pourrais hélas détailler que devant des parlementaires habilités à accéder à des informations classées confidentiel défense – concernant l'absence de conséquence de tout tir provenant d'armes utilisées par des terroristes. Travaillant avec le PSPG et le GIGN, nous avons une idée assez claire des types d'armes que des terroristes pourraient utiliser. Nous avons donc fait des tests à des épaisseurs et sur des métaux représentatifs de nos installations : nous sommes confiants quant à l'absence de conséquences de tels tirs sur les piscines.

Il est vrai, monsieur Saulignac, que les mille gendarmes ne sont pas toujours tous présents simultanément : certains sont en congé, d'autres en roulement ; disons que plusieurs dizaines de gendarmes sont présents sur chaque site. Pour nous, l'essentiel est de calibrer en permanence un nombre de gendarmes suffisant face à chaque cible potentielle : nos gendarmes ne sont pas là pour courir après les individus qui parviendraient à entrer, mais pour se positionner sur les cibles potentielles. C'est en fonction du nombre de cibles potentielles que l'on établit le nombre de gendarmes devant être présents en permanence – c'est-à--dire vingt-quatre heures sur vingt-quatre et sept jours sur sept – sur nos sites pour faire face à ce type de menaces.

La surveillance périmétrique, madame Cariou, est prise en compte dans le plan de 750 millions d'euros dont je vous parlais plus tôt et dont l'objectif est de renforcer deux domaines : améliorer la détection dans la ZAC, encore insuffisante à notre avis, et mieux protéger et retarder dans la ZPR en complétant les dispositions existantes. Tout cela est prévu par le plan de 750 millions d'euros qui est en cours de déploiement, 150 millions ayant déjà été investis à ce jour. Si vous l'interrogiez, le haut fonctionnaire de défense et de sécurité vous répondrait sans doute que le plan d'EDF est le plan d'opérateur le plus avancé et le plus efficace – c'est en tous cas ce qu'il nous dit régulièrement.

Effectivement, monsieur Aubert, j'ai reçu M. Gadault à deux reprises ; la deuxième fois, je me suis engagé à répondre à toutes ses questions pendant une heure, mais il a mis plus d'une demi-heure à régler les caméras qu'il avait apportées afin de me filmer… C'est ce qui explique que l'entretien n'a en fait duré qu'une vingtaine de minutes, car j'ai moi aussi des obligations et j'ai ensuite dû me rendre à une autre réunion. En général, les journalistes qui m'interrogent font preuve d'un peu plus de professionnalisme…

Quant à la question de l'indicateur de sûreté, elle n'est pas simple. Nous y réfléchissons souvent avec d'autres opérateurs dans le cadre des réunions de l'Association mondiale des exploitants nucléaires (WANO). Nous avons identifié plusieurs indicateurs importants, mais il est très difficile de mettre au point un indicateur intégré. Deux paramètres sont tout de même essentiels : le premier est le nombre d'arrêts automatiques de réacteurs parce que le mécanisme de protection a été sollicité pour une raison ou pour une autre, qui est symptomatique du niveau de sûreté atteint – le nombre de sollicitations de cette nature était de 53 il y a dix ans, soit moins d'une par réacteur et par an, alors qu'il n'est plus que de 22 aujourd'hui, c'est-à-dire moins de 0,5 par an. Deuxième indicateur utile : le taux d'indisponibilité fortuite, c'est-à-dire le nombre de pannes conduisant à l'arrêt d'un réacteur. Là encore, ce taux est passé de 5 % il y a dix ans à moins de 2 % aujourd'hui.

Depuis 2015, des équipements de sécurité complémentaires ont été mis en place sur tous les sites nucléaires en France. Confirmez-vous que ces moyens mettent l'ensemble des réacteurs du parc français à l'abri d'une catastrophe du type de celle de Fukushima ?

D'autre part, pensez-vous que les mesures de sécurité prises par EDF et par les autorités sur les sites nucléaires français permettent de se prémunir contre une attaque du type de celle du 11 septembre 2001 ou contre des menaces extérieures utilisant des armes modernes ?

Vous avez évoqué la menace terroriste, monsieur Minière, le PSPG étant là pour y faire face, et non pour exercer des missions de maintien de l'ordre. Mais comment définissez-vous la menace terroriste ? Est-il envisagé qu'un terroriste prenne les traits de Greenpeace ? Comment faites-vous la différence ?

S'agissant de l'acceptabilité des caractéristiques mécaniques, ensuite, quid de la spécification initiale des pièces ? Les calculs étaient-ils bons ? Vous dites que les centrales peuvent fonctionner sans problème jusqu'à soixante ans : cette durée inclut-elle ou non les aléas techniques ? Enfin, vous avez insisté sur le caractère primordial en matière de sûreté de l'apport en eau et en électricité. Quelles mesures de vérification prenez-vous à l'égard de vos fournisseurs ? Je pense à l'incident de l'usine Creusot Forge : si les mêmes faiblesses se reproduisent, les mesures prises seront-elles en conformité avec l'exigence de sûreté ?

Ma première question concerne les moyens de contrôle des déchets en sortie de site. La deuxième porte sur le transport des matières combustibles nécessaires au bon fonctionnement du site, en particulier le transport d'hexachlorure d'uranium qui est dangereux du fait des propriétés toxiques et corrosives du fluorure d'hydrogène au contact de l'eau. Quel regard portez-vous sur les mesures et les moyens déployés pour assurer la sécurité et la sûreté de ce transport ?

Un accident comme Fukushima est-il possible en France ? Depuis le milieu des années 1990, la réponse est non, à l'évidence. Les recombineurs d'hydrogène – qui sont passifs et fonctionnent sans électricité – installés dans les réacteurs empêchent toute explosion à l'hydrogène susceptible d'endommager les enceintes en cas de début de fusion du coeur d'un réacteur. Le fonctionnement d'un recombineur est simple : il mélange l'hydrogène avec de l'oxygène et cette réaction chimique produit de l'eau. Quelques semaines seulement après Fukushima, les exploitants japonais nous demandaient d'ailleurs quel type de recombineurs nous avons installés dans nos centrales pour en commander et en équiper rapidement leurs propres centrales. S'ils avaient consenti l'effort que nous avons déployé au milieu des années 1980 pour équiper toutes nos centrales de recombineurs d'hydrogène, vous n'auriez pas vu ces explosions à l'hydrogène, qui ont été l'élément déclencheur de l'accident de Fukushima.

De même, lorsque la pression monte à l'intérieur d'une enceinte, il en résulte un risque de fissure de l'enceinte ou de rejet – qu'il faut maîtriser – vers l'extérieur des produits qui peuvent entraîner la contamination à long terme du territoire. Nous avons opté pour le rejet contrôlé vers l'extérieur en récupérant les substances en question par un filtre qui éviterait toute contamination à long terme. Les produits dispersés entraîneraient certes une contamination à court terme mais, après une évacuation de quatre-vingts jours, les riverains pourraient revenir s'installer dans la zone sans difficulté. Il ne se produirait aucune contamination à long terme du territoire.

En clair, nous pouvions garantir dès le milieu des années 1990 qu'il ne se produirait pas d'accident comme celui de Fukushima. Suite aux évaluations complémentaires de sûreté, nous avons peu à peu fait en sorte de nous éloigner de la nécessité même d'avoir à ouvrir le filtre : si la FARN parvient à ramener l'eau et l'électricité sous vingt-quatre heures, il n'est même plus nécessaire d'ouvrir le bâtiment réacteur et le filtre à sable. Si, de surcroît, nous équipons les centrales de moyens diversifiés et « en dur » d'alimentation en eau et en électricité, nous n'aurons même plus besoin de la FARN dans la plupart des cas. Autrement dit, nous nous éloignons de plus en plus du risque maximum qui consisterait à ouvrir l'enceinte. Quoi qu'il arrive, un accident nucléaire en France ne ressemblerait pas à Fukushima et ne produirait pas de contamination à long terme du territoire. Cela ne signifie pas, comme l'a rappelé Pierre-Franck Chevet, qu'il ne pourra jamais y avoir d'accident nucléaire, mais il ne se produira pas de contamination à long terme.

Le Premier ministre japonais qui, à l'époque, a géré la crise de Fukushima, a déclaré en conférence de presse que trois heures après l'arrêt du refroidissement, le coeur du réacteur 1 avait commencé sa fusion. En avez-vous tenu compte ?

Les résultats publics des évaluations complémentaires de sûreté sont clairs : en l'absence d'alimentation en eau et en électricité dans des réacteurs à eau pressurisée comme les nôtres, la fusion du coeur peut commencer environ quatre heures après l'incident. Cela étant, un début de fusion n'entraîne pas immédiatement l'augmentation de la pression dans l'enceinte et la nécessité, le cas échéant, de l'ouvrir : une telle situation se produit une cinquantaine d'heures après l'incident. Or, nous avons prévu une FARN capable d'intervenir pour ramener l'eau et l'électricité sous vingt-quatre heures sur un site au complet – sur les six tranches de Gravelines en parallèle, par exemple – afin de rattraper ce genre de situation. Lors de la conception du dispositif, nous avons supposé qu'en cas d'incident inconnu, plus personne ne se trouverait sur la centrale, que le personnel d'astreinte ne serait pas en mesure de s'y rendre et que l'ensemble des opérateurs se trouvant à proximité et susceptibles de prendre le contrôle de la centrale auraient été tués par l'événement ; la seule méthode consisterait alors à projeter une force préparée, entraînée et prête. Cette force ne peut venir que de nous, car nous sommes les responsables de la sûreté. Voilà pourquoi nous voulons qu'il s'agisse d'une force EDF. Et contrairement aux Japonais, nous profitons d'un effet de palier et de réacteurs identiques – situation plus facile à maîtriser que lorsque les réacteurs sont différents.

Je vous confirme donc ce qu'a dit le Premier ministre japonais : c'est bien au bout de quatre heures environ, comme indiqué dans les évaluations complémentaires de sûreté, que peut intervenir le début de fusion du coeur. En fait, tout se joue dans les premières quarante-huit heures : ramener de l'eau et de l'électricité, c'était l'obsession du directeur du site de Fukushima. Mais quand cela n'a pas été anticipé, pas préparé, quand vous n'avez pas de force d'action rapide, vous vous retrouvez obligé de vous débrouiller au dernier moment et vous vous trouverez dans une situation de fragilité encore plus grande. La gestion de la crise se prépare et se gagne en amont : c'est ce que nous avons fait en mettant sur pied la Force d'action rapide nucléaire. Mais nous allons un cran plus loin, en diversifiant les dispositifs d'approvisionnement en eau et en électricité et en renforçant encore davantage la défense en profondeur de nos centrales. Notre obsession est de ne jamais, jamais, être confrontés à un accident comme celui de Fukushima.

C'est d'ailleurs pour cela que nous nous impliquons dans l'organisation internationale WANO (World Association of Nuclear Operators) : nous avons mis en place une commission post-Fukushima, les effectifs de WANO ont été multipliés par cinq afin que toute centrale, dans le monde, soit fortement contrôlée. WANO est agréée par tous les opérateurs, qui s'autocontrôlent.

La faiblesse de la sûreté, c'est la faiblesse de son maillon le plus faible. On ne veut donc pas de maillon faible. Au-delà de ce qui s'est passé au Japon, la première conséquence de l'accident de Fukushima a été l'arrêt du nucléaire en Allemagne. Un accident nucléaire dans le monde, c'est un accident nucléaire partout dans le monde : tout le monde est impacté. C'est toute la différence entre le nucléaire et l'industrie chimique ou autre.

Pour ce qui est du risque lié une attaque du type des attentats du 11 septembre, nous avons évidemment regardé de près les dispositions à prendre – je ne peux entrer dans les détails – sur le plan technique, notamment en cas de feu de kérosène, ou sur le plan organisationnel.

Sur la menace terroriste, Mme Rauch a tout à fait raison : nous sommes là pour nous protéger du terrorisme. Et pour nous toute personne qui entre dans notre centrale est a priori un terroriste – sauf s'il appelle et se manifeste en brandissant de grandes pancartes Greenpeace. Moi, je sais ce que je fais : quand quelqu'un se présente, il est « criblé » par le COSSEN pour s'assurer qu'il a un badge et qu'il est autorisé à entrer. Mais je vous invite à poser la question à Greenpeace : procèdent-ils au criblage de leurs gentils manifestants qui entrent dans nos centrales ? J'espère que oui, mais honnêtement, je ne sais pas.

Que ce soit bien clair : je n'ai absolument pas mis en cause Greenpeace. Je l'ai prise comme exemple, mais ce pourrait être toute autre organisation de ce type.

Je vous explique simplement que toute personne qui entre normalement sur notre site passe par un système de criblage : elle présente son badge et le badge est vérifié. Mais pour les personnes qui entrent de façon illégale sur notre site, je ne sais pas ce qu'il en est. Je ne sais pas ce que font les associations qui organisent ce genre d'opérations : c'est en cela que l'on dit que c'est irresponsable. Et si elles ne contrôlent personne, c'est encore plus irresponsable.

Pour ce qui est des caractéristiques mécaniques, on peut remplacer tout équipement, à l'exception de la cuve et de l'enceinte de confinement. Si l'on s'interroge sur un équipement – on a parlé des cheminées de Fessenheim 2 ou du générateur de vapeur de Flamanville 3 –, on regarde s'il est possible de continuer à l'exploiter en toute sûreté et jusqu'à quand. Sinon, on le remplace. Cela n'empêche pas les réacteurs de continuer à fonctionner. La seule chose qui peut effectivement conduire à s'interroger, c'est le critère de rentabilité économique. Mais la plupart de nos équipements ont été remplacés au bout de trente ans environ : vous retrouvez alors un potentiel de trente ans supplémentaires avant d'avoir à procéder à un nouveau remplacement. Voilà pourquoi je réponds que, globalement, je n'ai pas d'inquiétude sur notre capacité à amener nos réacteurs à soixante ans, sachant que deux éléments peuvent limiter leur durée de vie : la capacité de la cuve à subir des irradiations et la résistance de l'enceinte de confinement. Ce sont les deux seules choses qui ne sont pas remplaçables. Mais je sais d'ores et déjà que, compte tenu des dispositions que nous avons prises, le niveau d'irradiation supporté par la cuve au bout de soixante ans sera de l'ordre de ce qui avait été initialement prévu pour quarante ans. Certains ont demandé pourquoi on n'envisagerait pas, comme aux États-Unis, de les prolonger jusqu'à quatre-vingts ans ; en l'état actuel de nos connaissances techniques, je ne suis pas en mesure de garantir qu'on peut aller au-delà de soixante ans. Je ne saurai donc corroborer de tels propos. En revanche, je suis confiant sur le fait que nous pourrons mener nos cuves et nos enceintes de confinement à soixante ans.

À la suite de ce qui s'est passé au Creusot, nous avons renforcé nos pratiques de surveillance des fabrications. Nous avons mis en place un plan de lutte contre les fraudes chez nos fournisseurs, qui nous permet aujourd'hui de prévenir nos fournisseurs que, dorénavant, nous pourrons aller chez eux, prendre des pièces et les analyser nous-mêmes, et procéder à un certain nombre d'audits. Et nous ne nous priverons pas de le faire. Nous renforçons clairement notre dispositif de détection et de lutte anti-fraude. Il n'y a aucun doute dans notre esprit. Nous avons présenté notre plan à l'autorité de sûreté qui elle-même prendra un certain nombre de dispositions de renforcement, ce qui me paraît tout à fait normal.

S'agissant du cas relevé par Mme la rapporteure tout à l'heure, je peux vous dire que nous l'avons creusé et que la compagnie concernée, dont je ne veux pas citer le nom, a décidé de creuser elle aussi. C'est elle qui a détecté un point de faiblesse chez un de ses opérateurs, qui était à l'origine de l'anomalie.

Lorsqu'un tel cas se présente, on prend certaines dispositions. Si l'anomalie a des conséquences sur la sûreté, on arrête éventuellement les réacteurs et on remplace les équipements. S'il n'y en a pas, on peut continuer de fonctionner. Mais on procède systématiquement à une analyse. Il faut toutefois relativiser : ces cas ne se comptent pas par milliers. Sur les 6 000 dossiers du Creusot que sommes en train d'étudier, pour l'instant, trois seulement posent problème – à Fessenheim 2, Gravelines 5 et Flamanville 3. Quoi qu'il en soit, c'est dans ce sens-là qu'on travaille, et il n'est pas question de laisser tourner une centrale si nous avons le moindre doute sur notre équipement.

Je m'aperçois que je n'ai pas répondu à la question relative au transport de combustible – en l'occurrence d'hexafluorure d'uranium. Mais je suis un peu ennuyé pour vous répondre : cela ne relève pas directement d'EDF.

Mais quel regard portez-vous sur la question ?

La réglementation sur les transports de matériel dangereux est assez stricte, qu'il s'agisse de matériel nucléaire ou chimique. Sur les transports de matériel nucléaire, elle précise ce que l'on peut faire on ne pas faire, suivant qu'il s'agit de combustible neuf ou usé, de plutonium, de MOx, d'assemblages combustibles neufs ou irradiés. Pour ce qui est des transports dont nous avons la charge, nous appliquons la réglementation et nous faisons en sorte que les transporteurs qui travaillent pour nous l'appliquent.

Qu'en est-il du contrôle d'échéance de sortie de site ?

Pour les déchets issus de la vie courante de la maintenance, il existe un certain nombre de systèmes de détection, des balises, qui permettent de détecter ceux qui n'ont pas à sortir. Cela arrive de temps en temps. Dans ce cas-là, bien entendu, les déchets ne quittent pas le site.

Détectés et identifiés ?

Quand ils sont détectés en sortie de site, on regarde ce que c'est et d'où cela peut provenir.

On vous accuse parfois d'entretenir une certaine opacité sur les informations – sur la façon dont vous traitez la chaîne d'information publique et confidentielle et sur la façon dont elle s'organise – et même de faire de la rétention d'information. Tout à l'heure on a fait état des images satellites du barrage de Vouglans, que vous ne voudriez pas communiquer. Ces données de surveillance sont-elles transmises ? J'imagine que oui. Mais à qui ? Et comme s'organise cette surveillance ?

Sans vouloir en faire une obsession, je reviens sur la question de l'épaisseur des murs de piscine. Certaines associations, que nous qualifierons d'antinucléaires, ne tarissent pas d'informations sur le sujet. Si toutes ces informations sont classées confidentielles, de deux choses l'une : soit tout ce qu'elles nous racontent – rapport, films, livres – est totalement faux ; soit on s'apercevra un jour ou l'autre qu'il y a une faille dans la chaîne de confidentialité des centrales nucléaires.

Par ailleurs, pensez-vous avoir, d'une manière directe ou indirecte, une influence sur la position de l'Autorité de sûreté nucléaire et ses recommandations ?

Enfin, à titre d'indication, pouvez-vous m'indiquer – en pourcentages, pas en valeur absolue – la part de votre chiffre d'affaires dédiée à la sûreté et à la sécurité de vos établissements ?

Je voudrais revenir sur la nécessité d'être toujours en mesure d'apporter de l'eau et de l'électricité sur un site. Vous avez parlé de la Force d'action rapide nucléaire. Mais j'observe que sur la centrale de Fessenheim, deux niveaux d'installation de générateurs électriques, de pompes, ont été installés à la suite de l'accident de Fukushima. Autrement dit, le « dur » est fait, aussi bien en eau qu'en électricité. Pouvez-vous nous donner le calendrier de déploiement ? Il me semble que pour Fessenheim, c'est terminé depuis deux ans. On est allé très vite.

Pouvez-vous détailler votre processus interne de circulation des incidents sur les différents sites, et les conséquences de cette circulation en termes d'amélioration de la sûreté et de retour d'expérience collective ?

Quel regard portez-vous sur la circulation des informations en matière de sécurité ? Sur certains points, le secret défense constitue-t-il un frein ? Comment se passent vos relations institutionnelles autour des centrales ? Y a-t-il des freins que nous devrions lever en tant que législateurs ?

Enfin, la politique des déchets en France est radicalement opposée à ce qui se pratique ailleurs dans le monde. Comment envisagez-vous la gestion des déchets administratifs ? Comment les gérez-vous aujourd'hui ? Et quelles sont les quantités auxquelles on doit s'attendre dans les années à venir, au regard des orientations politiques auxquelles on réfléchit ?

J'ai la chance d'avoir une FARN sur ma circonscription. Je l'ai visitée il n'y a pas très longtemps et une question m'est venue à l'esprit. Ces derniers mois, certains départements français ont été paralysés par seulement deux centimètres de neige. Les FARN utilisent des véhicules roulants. En cas de catastrophe naturelle, de multiplication des risques, comment ferez-vous pour projeter cette force sur certains sites français ?

J'ai parlé tout à l'heure de Vouglans, parce que je savais qu'il en avait été question dans un livre dont vous avez reçu l'auteur il y a peu. Il s'agit là clairement d'un sujet de sûreté, non d'un sujet de sécurité.

Suite à l'inondation du site de Blayais, nous avons procédé à un certain nombre de renforcements, y compris sur le site du Bugey, nous avons étudié ce qui se passerait en cas d'effacement du barrage de Vouglans, cumulé avec une crue millénale de l'Ain et une crue historique du Rhône. Nous nous sommes aperçus que la survenue concomitante de ces trois phénomènes pourrait provoquer une petite montée d'eau sur la plateforme. Cela nous a conduits à renforcer périphériquement le site du Bugey, et à opérer une modification sur les autres sites au début des années 2010. Tous ces éléments sont publics, et n'importe quel citoyen peut y avoir accès, dans la mesure où ils sont relatifs à la sûreté. Depuis la relative à la transparence et à la sécurité en matière nucléaire, si on nous pose des questions, nous sommes tenus d'y répondre.

Exercez-vous un suivi régulier du barrage ? Les données de ce suivi sont-elles communiquées aux autorités compétentes ?

Oui, bien sûr. Ce suivi est exercé par l'exploitant du barrage.

Pour être tout à fait honnête, une des difficultés que nous avons rencontrées en analysant les suites de l'inondation de Blayais était liée aux conséquences que pourrait avoir l'effacement du barrage de Vouglans. Je vous rappelle que le barrage de Vouglans est sur l'Ain, la centrale de Bugey sur le Rhône, et que les deux fleuves se rejoignent à Lyon. Le barrage de Vouglans n'est donc pas en amont de Bugey. Cela signifie que les premières conséquences de l'effacement du barrage de Vouglans affecteraient plutôt les centrales en aval de Lyon, principalement Saint-Alban, Cruas-Meysse et Tricastin. Pour y faire face, il nous a fallu mener un certain nombre d'études et modifier, avec son accord, un certain nombre d'ouvrages hydrauliques de la CNR (Compagnie nationale du Rhône). Ce que nous avons fait à la fin des années 2000 et au début des années 2010, et c'est nous qui avons payé. Tous ces éléments sont bien évidemment accessibles ; et encore une fois, tous les exploitants de barrages ne sont pas EDF.

M. Cellier revenu sur la question de l'épaisseur des murs de piscine. Je vous invite à vous référer à mon petit schéma. À mon avis, ceux qui parlent d'une épaisseur de trente centimètres pensent plutôt à la partie de mur située au-dessus de la piscine. Mais l'important est de garder l'eau dans la piscine, et donc de s'assurer de l'épaisseur des murs qui entourent le bassin d'eau. Le reste a moins d'intérêt, sauf si l'on veut faire peur en disant qu'il n'y a que 30 centimètres. Je précise qu'autour du bassin d'eau, il y a parfois plusieurs murs dans certaines centrales, ce qui est encore plus efficace sur le plan de la sécurité.

J'imagine que vous avez eu connaissance du fameux rapport de Greenpeace, qui élabore un certain nombre de scénarios d'attaques visant notamment à transpercer ces murs. Sans rentrer dans les détails, pour éviter les problèmes de confidentialité, pouvez-vous nous garantir qu'il ne peut pas y avoir de dénoyage par ce biais, et que cette hypothèse avancée par Greenpeace est fausse ?

Ce qui est faux, c'est de dire que les murs entourant le bassin d'eau de nos piscines font trente centimètres. Ils ont une épaisseur supérieure, en cumulé, à l'épaisseur des bâtiments réacteur.

On a regardé, avec un certain nombre de moyens de la défense nationale, les équipements dont pouvaient bénéficier les terroristes. Puis on a procédé à des tests, au-delà même de ce que la réglementation demande, pour apprécier les conséquences sûreté qui pourraient résulter de l'emploi de ces armes. Et on a clairement vu qu'il n'y aurait pas de conséquence en termes de sûreté si ces armes étaient utilisées.

Maintenant, si vous envisagez l'hypothèse d'une guerre, avec l'envoi de bombes de je ne sais quelle puissance, voire d'une bombe atomique, je ne sais plus vous répondre. On entre dans une autre dimension : cela devient une question de défense nationale.

Non, je parle simplement des armes que peuvent se procurer aujourd'hui des terroristes, soit en France, soit au Moyen-Orient – on sait qu'il y a une certaine porosité.

Je ne suis pas un spécialiste des armes que peuvent employer les terroristes un peu partout dans le monde. Je fais plutôt confiance à ceux avec lesquels nous travaillons, en général des gens de la défense nationale et du ministère de l'intérieur.

Je voudrais répondre à votre question, et à celle qui concerne la manière avec laquelle nous traitons des dossiers classifiés avec les différentes autorités.

À ce niveau-là, nous le faisons en toute transparence. Il se trouve que je suis moi-même commissaire général de la police nationale, simplement détachée auprès d'EDF par le ministère de l'intérieur. Lorsque nous avons à traiter de ces dossiers qui portent sur la menace, sur les dispositifs de protection, sur le détail des mesures à mettre en place avec les différents services étatiques, nous sommes en capacité, parce qu'ils ont eux-mêmes des représentants habilités, soit confidentiel défense, soit secret défense, de pouvoir entrer dans le détail. J'ajoute que l'État a la responsabilité de tout ce qui relève de la protection extérieure, de l'évaluation de la menace, de la détermination des potentiels terroristes, et qu'il effectue de son côté toute une série de tests et de mesures qui pourront vous être expliqués et qui nous permettent, ensuite, d'adapter nos dispositifs de protection au sein de la Mission de sécurité de la direction de la protection nucléaire.

Cette coproduction se fait au quotidien, et c'est mon rôle principal en tant que garant de la relation avec les services de l'État en matière de défense nationale et de sécurité intérieure. Elle se fait avec le secrétariat général de la défense et de la sécurité nationale (SGDSN), avec le ministère de tutelle de la transition écologique et solidaire, avec le ministère de l'intérieur et ses différents services, que ce soit ceux de la gendarmerie nationale qui fournissent les pelotons spécialisés de protection de la gendarmerie (PSPG), ou ceux de la police nationale qui sont appelés à intervenir sur le secteur de Gravelines puisque la centrale est sur une zone de police nationale. Elle se fait également avec le ministère de la défense. Et bien entendu, nous travaillons aussi avec tous les services qui sont en charge d'évaluer la menace terroriste. Cela nous permet de disposer de toute une série d'informations qui nous permettent ensuite d'adapter les dispositifs nécessaires, et de renforcer, si besoin est, le programme sécuritaire sur certains aspects – les problématiques de détection et autres, évoquées par M. Minière.

Ainsi, comme M. Minière l'a dit tout à l'heure, il y a une véritable coproduction en la matière. Nous ne chercherons jamais à nous substituer à ce que fait l'État. Au contraire, mon rôle est d'essayer de créer le lien entre les services de l'État et les services d'EDF.

Je me permets de revenir sur ma première question. Vous vous êtes référé aux trente centimètres au-dessus de la piscine. Moi, je m'intéresse à l'épaisseur des murs là où cela devient compliqué à gérer, en tout cas là où c'est dangereux, c'est-à-dire au niveau de la piscine, ou en dessous du niveau de l'eau de la piscine. Or Greenpeace a fait état des dimensions et de l'épaisseur des murs en donnant des chiffres précis. Ou bien c'est faux, ou bien la confidentialité est toute relative…

C'est faux. Encore une fois, il peut y avoir plusieurs épaisseurs de murs les uns à côté des autres. Tout dépend comment Greenpeace raisonne. On peut prendre en compte l'épaisseur d'un seul de ces murs. Mais l'essentiel, c'est la somme des épaisseurs. L'important, vous en conviendrez, c'est ce qui sépare l'eau de l'extérieur. Or à cet endroit, la somme des épaisseurs des murs, quel que soit le réacteur, est bien supérieure à l'épaisseur du bâtiment réacteur. Et vous connaissez l'épaisseur des bâtiments réacteurs : elle n'est pas de trente centimètres.

Oui, mais avez-vous vu leur rapport ? Il ne part pas d'une hypothèse générale : il indique que dans telle centrale, les murs sont de telle épaisseur et qu'en cas de transpercement, il y a dénoyage de la piscine. Il donne des exemples. Est-ce à dire que tous les exemples et les chiffres dont il est question dans ce rapport sont faux ? Et qu'ils ne proviennent d'aucune fuite ? Il est tout de même important de savoir s'il y a ou non des fuites, ou si d'autres personnes que nous ont accès à un certain nombre d'informations, celles-là mêmes que vous êtes en train de nous refuser.

Je n'ai pas eu accès au rapport de Greenpeace et mes services pas davantage ; je ne sais pas si M. Émile Perez, en tant que directeur de la sûreté, en a eu connaissance. Nous avons eu accès seulement aux petites conclusions qui figuraient en tête du rapport, selon lesquelles, effectivement, il y avait tel ou tel risque. Mais ce que je peux vous garantir, c'est que la somme des murs qui entourent les piscines des bâtiments réacteur des réacteurs français en exploitation est bien supérieure à l'épaisseur des murs des bâtiments réacteur. Et cela, c'est vrai.

Par ailleurs, je vous confirme, mais vous comprendrez que je ne peux pas aller trop loin dans le détail, que nous avons réalisé des tests avec un certain nombre d'armes que, de l'avis des spécialistes avec lesquels nous travaillons et qui viennent tout de même du ministère de l'intérieur et de la défense, les terroristes pourraient se procurer. Or ces tests ont montré que cela n'aurait pas de conséquences de sûreté sur nos installations.

Vous parlez de la somme des épaisseurs des murs. Cela veut donc dire qu'aucun mur n'est directement accessible ? De toutes les façons, c'est aisément vérifiable puisque, si certaines de vos centrales nucléaires sont floutées sur Google Earth, d'autres sont tout à fait visibles – vous pourrez d'ailleurs nous en parler. Lorsque l'image n'est pas floutée, on peut très bien, ne serait-ce que de visu, se faire une idée.

Je vais laisser M. Perez répondre sur le floutage, mais je vous ferai remarquer qu'on ne peut pas se rendre compte de l'épaisseur des murs sur Google. Encore une fois, quand je parle de la somme des épaisseurs des murs, c'est parce que ce sont des murs en forme de poupée gigogne placés les uns derrière les autres, ce qui, du point de vue de la protection contre le tir d'armes, est beaucoup plus efficace qu'un seul mur – je sors un peu de mon domaine. Quand le premier mur prend l'impact, la charge est ralentie, et quand elle arrive sur le deuxième mur, l'impact est nettement moindre. Ce sont des choses assez connues.

Donc, globalement, ce qui importe, c'est la somme des épaisseurs, et je réaffirme que la somme des épaisseurs des murs, placés les uns derrière les autres, avant d'arriver à la piscine, est bien supérieure à l'épaisseur des bâtiments réacteur.

Donc, il n'y a aucun mur simple ?

Parfois, il y a des murs simples, et parfois plusieurs murs.

En fait, ce sont les murs simples qui nous inquiètent.

Quand il y a un seul mur simple, son épaisseur est supérieure à l'épaisseur du bâtiment réacteur. En revanche, quand il y a plusieurs murs en forme de poupée gigogne les uns autour des autres en se rapprochant de la piscine, ce qui est important, c'est la somme de l'épaisseur des murs.

Sur le schéma de la partie basse de la piscine que je vous ai fait tout à l'heure, vous pouvez imaginer que cette partie basse n'est pas constituée d'un seul mur, mais de plusieurs murs les uns derrière les autres. Et quand je parle de la somme des épaisseurs, je vise la somme des épaisseurs de béton. Je prends uniquement le béton – pas l'air.

Nous allons faire un certain nombre de visites. Les piscines nous seront-elles accessibles ? On n'ira pas jusqu'à les mesurer devant vous, mais est-ce que l'on pourra se rendre compte de ces choses-là ? Et pour compléter ces questions, est-ce que l'association Greenpeace a les bons chiffres ?

Je ne peux pas vous en dire davantage. Je ne sais pas ce qu'ils ont. J'imagine – je suis très prudent, car j'ai prêté serment – que lorsqu'ils parlaient des trente centimètres, ils visaient plutôt les épaisseurs au-dessus de la piscine. Mais je me trompe peut-être.

Cela étant, vous êtes tout à fait bienvenus dans les bâtiments « combustible », qui sont accessibles en permanence. Ce sont même les endroits les plus accessibles. En revanche, pour se rendre compte de l'épaisseur des murs, ce sera un peu plus compliqué.

Maintenant, si l'un d'entre vous est habilité confidentiel défense, nous sommes tout à fait disposés à présenter les plans en question. C'est une contrainte légale, je n'y peux rien : nous sommes tenus par les dispositions du code de la défense, et il faut savoir que je m'expose en allant trop loin. Du reste, j'ai fait contrôler très précisément mes propos par mon voisin de gauche, pour être sûr que je n'allais pas trop loin.

Et sur le floutage ?

Toutes les situations existent, cela dépend des fournisseurs d'image. Certaines centrales sont floutées, d'autres pas. Tout dépend des banques d'images qui ont été fournies. Il en est de même, malheureusement, pour d'autres sites que ceux d'EDF, qui peuvent ne pas être floutés. J'ai encore vérifié cette semaine : l'Élysée, par exemple, n'est pas flouté…

Je pense que les services de l'État ont fait des démarches auprès des fournisseurs d'images pour que les sites les plus sensibles soient floutés. La preuve, certains sites le sont aujourd'hui, mais d'autres, en raison du renouvellement des banques de données d'images, ne le sont pas encore. Mais vous pourrez le demander aux fournisseurs d'images.

Nous devons recevoir Google. On pourra en parler.

On sait qu'une attaque de type 11 septembre est possible puisque c'est déjà arrivé… La semaine dernière, le directeur général d'Orano nous a expliqué que les piscines de La Hague, qui ont pourtant été conçues avant les attentats, ne risquaient pas le dénoyage grâce aux poutres composant la structure de leur plafond. Elles empêcheraient, nous a-t-on dit, qu'un avion puisse pénétrer à l'intérieur des piscines. Seuls un moteur, une nacelle, bref, les plus grosses pièces pourraient passer, mais sans provoquer de dénoyage pour autant.

Les poutres des plafonds de vos piscines sont-elles aussi efficaces que celles de La Hague ? Les tours du World Trade Center en avaient certainement du même type, et cela ne les a empêchées de s'effondrer… J'ai franchement du mal à croire que ces poutres permettraient de protéger des piscines d'un dénoyage. En tout cas, nous reposerons la question à Orano. Vos piscines sont-elles suffisamment solides pour résister à une attaque de type 11 septembre ? Si ce n'est pas le cas, cela pose la question des mesures complémentaires à prendre.

Comme je l'ai dit tout à l'heure, après le 11 septembre 2001, nous avons fait notre travail d'exploitant et nous avons vérifié si un avion pouvait endommager les piscines. Des dispositions sont prises par ailleurs avec l'armée de l'air, pour faire en sorte que les zones d'interdiction de survol soient respectées, notamment par les gros avions : c'est plus facile à faire respecter pour les gros avions que pour les petits drones. C'est la première parade, le meilleur moyen de faire en sorte qu'aucun avion ne vienne s'écraser sur une centrale nucléaire.

Et si un avion réussissait à passer ? Des études ont été réalisées dès 2002-2003 en la matière, qui ont conduit à mettre en évidence les risques supplémentaires qu'entraînerait la chute d'un avion et à prendre des dispositions. Nous avons mis en place des dispositions organisationnelles mais aussi d'ordre technique, notamment pour lutter plus efficacement contre les feux de kérosène. Lorsqu'un un avion s'écrase, la première conséquence, la plus importante, c'est l'incendie. Nous nous appuyons sur les forces des sapeurs-pompiers qui sont proches de chez nous pour disposer de moyens spécifiques de lutte contre les feux de kérosène. Les sapeurs-pompiers qui travaillent avec nous dans le cadre de la protection incendie de nos centrales vous confirmeront que des dispositions supplémentaires ont été prises.

Nous avons effectivement vérifié si un tel phénomène pouvait entraîner un risque de dénoyage des piscines : l'étude a montré qu'il n'y avait de risque, en termes de sûreté, de dénoyage des assemblages de combustibles. C'est cela qui est important : ils n'affleurent pas, ils sont à sept ou huit mètres sous l'eau.

Soyons bien précis : si un avion de ligne s'écrase aujourd'hui sur une piscine d'EDF, indépendamment de mesures de sécurité de type interdiction, interception, etc., vos études montrent qu'il n'y a pas de risque de dénoyage. Est-ce bien cela ?

Nous avons mené ces études dans les années 2002-2003. Si elles concernent purement la sûreté, elles sont tout à fait accessibles – il faut que je vérifie si elles sont classées confidentiel défense ou pas. Je pourrai vous faire une réponse beaucoup plus précise par écrit si vous le souhaitez. En tout cas, en tant qu'exploitant responsable, nous les avons réexaminées. Globalement, il n'y a pas de risque de dénoyage des assemblages de combustibles. C'est cela qu'il faut absolument éviter.

Nous aurons certainement des questions complémentaires à vous poser. Nous recevrons vos responsables plus tard.

Passons à la cybercriminalité. Faites-vous régulièrement l'objet d'attaques cybercriminelles ? En avez-vous estimé le nombre ? Quelles mesures prenez-vous pour les éviter ?

Ce qui est important, c'est le lien entre la cybersécurité et la sûreté nucléaire.

Comme toute entreprise de ce pays, nous faisons régulièrement l'objet de cyberattaques. Nos systèmes d'information, nos systèmes de gestion de données sont attaqués parfois plusieurs fois par jour. Notre entreprise n'est pas différente des autres en la matière. Ce qu'il est important de regarder, c'est s'il y a des cyberattaques sur le cerveau de nos centrales nucléaires, à savoir le contrôle-commande de nos réacteurs.

Quelqu'un peut prendre le contrôle ou affecter le contrôle-commande et les protections de nos réacteurs ? Il n'y a jamais eu d'attaque sur le contrôle-commande pour une raison simple : nos centrales ont été plutôt conçues dans les années soixante-dix et fonctionnent de ce fait avec des cartes électroniques ou des relais électroniques… Du coup, nos centrales, qu'elles soient de 900 ou de 1 300 mégawatts, sont totalement protégées du risque d'une cyberattaque. Mais cela ne nous a pas empêchés, après la catastrophe de Fukushima, de vérifier, à la demande de l'État, avec l'Agence nationale de la sécurité des systèmes d'information (ANSSI), le « degré de vulnérabilité » de nos installations en matière de cybersécurité, en distinguant bien le contrôle-commande des autres installations de gestion.

Quelques recommandations ont été faites sur le contrôle-commande, qui ont toutes été suivies d'effets ; toutefois, elles montraient qu'il n'y avait pas de difficulté pour la raison toute simple que je viens de vous exposer. Sur les systèmes de gestion de données en revanche, nous avons pris un certain nombre de dispositions et nous continuons d'être vigilants sur ce point en matière de cybersécurité.

Le risque peut venir aussi d'une personne qui viendrait faire du sabotage, comme cela a déjà été le cas dans une centrale belge – en la matière, ce n'était pas un sabotage informatique, mais ça aurait pu l'être. Avez-vous pris des mesures spécifiques ? Avez-vous également pris en compte la possibilité d'attaques par les ondes ?

J'ai suivi le dossier belge : cela concernait la partie secondaire des installations – de mémoire, c'était un robinet qui avait été délibérément ouvert. Cela renvoie à la menace interne, c'est-à-dire au contrôle des gens qui rentrent dans nos centrales, qu'il s'agisse des exploitants ou des prestataires, pour que l'on soit sûr de ne pas laisser n'importe pénétrer dans nos centrales nucléaires. Pour l'heure, nous n'avons jamais enregistré d'attaque sur le parc nucléaire français liée à la menace interne.

Cela étant, bon nombre de choses sont désormais gérées via des données : il faut être prudent sur la manière dont ces données sortent. Certaines données sont transportées dans des sacs et il peut y avoir parfois des vols dans des trains, etc. Nous avons sensibilisé nos personnels pour que tout incident de ce type soit détecté et rapporté au plus tôt ; nous regardons alors avec eux quelle était la nature des informations volées ou perdues, de manière à déterminer les mesures à prendre. C'est tout un ensemble de la chaîne de la sécurité, plutôt pilotée par M. Émile Perez.

Des mesures ont été mises en place pour éviter le survol des centrales par les drones. Pensez-vous qu'elles sont satisfaisantes ou qu'il faille au contraire y retravailler ?

À la fin de 2014, nous avions relevé plus d'une trentaine de violations de l'espace, surtout au-dessus de nos centrales. Nous avons alors demandé une vigilance accrue et nous en avons parlé avec l'État pour voir quelles mesures pouvaient être prises. Nous avons rappelé que tous ces survols étaient parfaitement illégaux et passibles d'une peine d'emprisonnement et d'une amende. Du coup, nous avons constaté qu'en 2016 et 2017 de tels survols sont devenus plus épisodiques. Certes, nous avons eu systématiquement actionné nos dispositifs d'alerte et porté plainte. Mais globalement, les charges qui pourraient être amenées par des petits drones restent très faibles : lorsque nous avons étudié les conséquences d'une potentielle chute d'avion après le 11 septembre 2001, nous avons couvert largement le champ des conséquences possibles.

Les drones pourraient permettre de descendre des armes.

Ce qui nous importe, c'est que qu'elles n'entrent pas dans la zone vitale. Tant qu'ils ne peuvent atteindre des cibles potentielles situées dans la zone vitale, il ne peut pas y avoir de conséquences en termes de sûreté, comme je vous l'ai exposé tout à l'heure.

Messieurs, je vous remercie pour le temps que vous nous avez consacré. Cette audition était un peu exceptionnelle dans sa longueur, mais se justifiait par nos attentes et nos questionnements.

Nous vous invitons à nous répondre par écrit sur l'ensemble des questions dans des délais les plus raisonnables possibles. Et nous nous réservons le droit de vous inviter à nouveau pour échanger avec nous si nous avons besoin d'informations complémentaires.

Nous sommes à la disposition de votre commission d'enquête. Et nous vous enverrons par écrit l'ensemble des réponses à vos questions.