Audit des contrôles internes à l'égard des accords de partage de données

Orientation stratégique et supervision

Il existe un cadre de supervision et d'orientation stratégique en rapport à la gestion et au traitement des APD à l'échelle des opérations et à l'échelle de Statistique Canada.

L'orientation et la supervision générales sont assurées par le Comité de coordination de la sécurité. Celui-ci examine l'ensemble des propositions de transmissions électroniques avant leur approbation finale par le Comité des politiques. Le nouveau Comité de gouvernance sur la diffusion par transfert de fichiers électroniques, créé par la Division de la diffusion à l'été 2012, offre une orientation stratégique au niveau opérationnel. Ce comité a pour mandat d'établir des normes uniformes pour l'ensemble des données confidentielles d'entrée et de sortie et d'approuver la diffusion des données d'enquête régies par un APD. Il est actif dans l'approbation de la publication des données d'enquête depuis 2012.

Rôles et responsabilités

Division de la gestion de l'information et autres intervenants

La responsabilité principale de la mise en œuvre de la Directive revient au directeur de la Division de la gestion de l'information (DGI). Les responsabilités des autres intervenants figurent également dans la Directive, comme celles des directeurs des programmes statistiques, des gestionnaires de la sécurité physique et informatique, des statisticiens en chef adjoints, du statisticien en chef, du dirigeant principal de la vérification, et des chefs des organisations qui reçoivent des données de la part de Statistique Canada en vertu d'un APD. La fonction de surveillance doit être partagée entre la DGI et les gestionnaires des programmes statistiques.

L'audit a révélé que, bien qu'un grand nombre de responsabilités décrites dans la Directive aient été mises en œuvre par la DGI, il y a certains articles qui n'ont pas encore été mis en place ni appliqués. L'actuelle base de données de la DGI, les Services d'accès et de contrôle des données (SACD), a des fonctions limitées de capacité, de configuration et de rapports pour maintenir les renseignements que doivent obligatoirement fournir les divisions sur le statut des APD et les données partagées en vertu d'un APD. Le défaut de mettre en œuvre et d'appliquer les exigences stipulées dans la Directive augmente le risque que ne soient pas atteints les objectifs de la Directive et les résultats attendus.

Programmes statistiques

Les rôles et responsabilités de la mise en œuvre et de la gestion opérationnelles des accords de partage de données en vertu des articles 11 et 12 reviennent aux directeurs des programmes statistiques. L'article 6.2 et les annexes B et C de la Directive décrivent en détail les exigences et les processus que doivent observer le directeur et le gestionnaire opérationnel d'un programme statistique. Par conséquent, chaque directeur est responsable de veiller à ce que sa division se conforme aux exigences de la Directive. En établissant les rôles et responsabilités à l'égard de la préparation des renseignements statistiques, Statistique Canada, par ses Lignes directrices concernant la qualité, recommande que la certification ou la validation soient séparées, de sorte que la validation soit effectuée par les personnes qui n'ont pas pris part à la production ni à la préparation des données.

On a observé lors des entrevues que chaque division s'est dotée d'une structure selon sa taille et son volume d'activité d'APD. Dans les divisions où l'on observait peu d'activité d'APD, seulement une ou deux personnes effectuent l'ensemble des tâches liées à la gestion des APD et à la diffusion et à la transmission des données, tandis que les divisions où l'on remarque un volume élevé d'activité d'APD font appel à plusieurs employés. Certaines divisions où l'on observe un volume élevé d'activité d'APD misent sur un processus décentralisé où chaque unité exerce elle-même ses fonctions de gestion, de diffusion et de transmission des données, tandis que d'autres divisions ont choisi de centraliser ces fonctions à l'intérieur de la division par souci d'efficacité et d'uniformité.

L'audit a révélé que peu importe la taille ou la structure de la division, ou le volume d'activité d'APD, les rôles des employés qui prennent part aux APD ont évolué au fil du temps, plutôt que d'être formellement définis, et que ces rôles sont en majeure partie bien exécutés. Cependant, on remarque une absence de séparation de fonctions incompatibles dans certaines divisions. Qu'une division ait centralisé ou décentralisé ses fonctions d'APD, il y a des cas où le même employé préparait et transmettait un fichier partagé sans vérification ni approbation indépendante. La séparation des tâches est un contrôle interne clé pour prévenir les erreurs non intentionnelles et veiller à la détection rapide des erreurs susceptibles de se produire.

Technologie de l'information

La principale responsabilité du groupe de la TI relativement à la gestion des APD est la transmission sécurisée des données par voie de transfert de fichiers électroniques, le mécanisme général utilisé par Statistique Canada pour transmettre des renseignements protégés. Les exigences des utilisateurs par rapport à ce mécanisme sont décrites dans un guide intitulé Système de transfert de fichiers électroniques— Guide de l'utilisateur interne de StatCan (le Guide). En raison de la nature technique du guide, celui-ci n'est pas maintenu dans le site intranet et est distribué principalement aux divisions qui ont reçu la formation sur le transfert de fichiers électroniques. En raison des contraintes de temps et d'une augmentation de la demande de transferts de fichiers électroniques, ce ne sont pas toutes les divisions qui ont reçu cette formation.

L'audit a révélé que, bien que les rôles et responsabilités des utilisateurs du système de transfert de fichiers électroniques soient décrits dans le Guide, ceux de la Division des systèmes de collecte (DSC), de la Division de la planification et de la gestion de la collecte (DPGC) et de la Division des opérations de la technologie de l'information (DOTI) ont besoin d'éclaircissements. Les entrevues ont révélé qu'il existe à Statistique Canada un manque de clarté sur la responsabilité opérationnelle officielle du système de transfert de fichiers électroniques, notamment la fonction de formation. Au cours des deux dernières années, certains services ont été transférés de la DSC à la DPGC, et d'autres, comme la prestation des services et la formation, que l'on planifiait transférer, ne l'ont pas encore été.

Le manque de clarté entourant le processus de transferts de fichiers électroniques s'est traduit par un modèle incohérent pour les programmes statistiques. Certains ne sont pas encore configurés pour le transfert de fichiers électroniques, et d'autres sont préoccupés par la nature chronophage et la complexité du processus de configuration du système. Au moment de l'audit, la DSC et la DPGC prévoyaient se réunir pour déterminer la marche à suivre. Un manque de clarté sur la propriété opérationnelle du service de transfert électronique fait en sorte que les utilisateurs ne comprennent pas parfaitement leurs tâches, si bien que les processus sont appliqués de façon inefficace et inefficiente.

Lignes directrices concernant la gestion des accords de partage de données

À Statistique Canada, les lignes directrices et l'orientation sur le traitement et la gestion des accords de partage de données sont contenues dans plusieurs textes législatifs et instruments de politique. Il s'agit des suivants :

• La Directive concernant le partage de données en vertu des articles 11 et 12, qui propose des lignes directrices sur l'élaboration, la mise en œuvre, la gestion et la surveillance des accords de partage de données.
• La Loi sur la statistique, la Loi sur la protection des renseignements personnels, la Politique sur les évaluations des facteurs relatifs à la vie privée, la Politique d'information des répondants aux enquêtes, la Politique sur la sécurité des renseignements statistiques de nature délicate, la Politique sur la sécurité informatique, la Politique sur la diffusion des microdonnées, la Politique sur la révélation discrétionnaire, et le Manuel des pratiques de sécurité, qui proposent des lignes directrices sur la confidentialité des APD, et les exigences de diffusion et de transmission.
• La Politique sur la diffusion officielle indique le moment où les renseignements peuvent être rendus publics et dans quelles conditions, par rapport à la date précisée dans Le Quotidien, le véhicule officiel de diffusion des données de Statistique Canada, de même que les circonstances dans lesquelles les renseignements peuvent être publiés avant la date de diffusion officielle dans Le Quotidien.

L'audit a révélé que les utilisateurs ont du mal à suivre et à rassembler les renseignements contenus dans les nombreux instruments de politique. Parfois, les consignes données dans les nombreux instruments de politique se chevauchent, sans que rien n'indique clairement quel instrument a préséance sur les autres. Cette situation, combinée au manque de clarté découlant de la terminologie juridique et non définie, crée des inefficacités opérationnelles, car les utilisateurs font souvent appel aux divisions spécialisées pour obtenir des précisions, comme la DGI, la TI, les Communications et la Diffusion. Par exemple, un examen de la Directive daté du 15 mai 2013 a révélé qu'il n'y avait pas de section sur les modifications récentes attribuables à la mise en œuvre le 1er avril 2013 de deux nouveaux formulaires : le formulaire 1 — Confirmation de transfert par les directeurs, qui doit être signé par le directeur d'un programme statistique chaque fois que des renseignements doivent être communiqués avec un partenaire, et le formulaire 2 — Confirmation de transfert par les partenaires externes, qui doit être signé par le partenaire et renvoyé à Statistique Canada dès la réception des données partagées. Les entrevues ont révélé que les utilisateurs n'avaient été mis au courant que récemment des nouveaux formulaires, et la plupart d'entre eux ont indiqué qu'ils avaient communiqué ou qu'ils entendaient communiquer avec la DGI pour obtenir des précisions et de plus amples renseignements sur les nouvelles exigences.

On connaît la Directive et la Politique sur la diffusion officielle, mais on n'est pas familier avec la totalité de leur contenu. Les utilisateurs s'inquiètent de la formation limitée sur le processus d'APD et sur les exigences de la Directive et de la Politique sur la diffusion officielle. La DGI a donné une formation pilote sur les contrôles de la divulgation des renseignements confidentiels à l'été 2013 à certains groupes (à l'échelle des directeurs), et prévoit offrir cette formation aux divisions à compter de l'automne 2013. La Division des communications a aussi programmé des séances d'information en octobre 2013 pour le personnel de Statistique Canada sur la mise à jour de la Politique sur la diffusion officielle.

Procédures et processus documentés pour la gestion des APD

Chaque division s'est dotée, selon ses besoins respectifs, de pratiques qui, pour la plupart, fonctionnent bien. Pour certaines divisions, la transmission de données au moyen d'un APD est peu fréquente, par exemple, une fois par année, une fois par deux ans, voire une fois par dix ans. Dans ces cas, les cadres et les membres du personnel ont indiqué qu'ils se fiaient normalement beaucoup à la DGI et/ou à la TI pour les aider à franchir les étapes nécessaires. Les autres divisions transmettent des données régulièrement, notamment chaque trimestre, chaque mois, voire chaque semaine. Généralement, ces employés, surtout ceux qui occupent leur poste depuis de nombreuses années, ont indiqué qu'ils connaissent passablement bien le processus, si bien qu'ils n'auraient pas besoin d'un processus documenté.

La Division de la fabrication et de l'énergie (DFE), qui mise sur un volume important d'APD, s'est dotée de procédures et de processus minutieusement documentés. Elle a centralisé la section de la diffusion pour créer une capacité permanente à l'aide d'employés formés et d'expérience. Elle a créé un document Excel stocké sur un lecteur partagé dans lequel on décrit les procédures spécifiques de partage de données de différents types selon plusieurs formes d'APD. Ce mécanisme aide l'expert en la matière à consulter facilement les procédures et à informer dès le départ le partenaire de ce qui peut être partagé ou non, donc à promouvoir une meilleure relation avec le partenaire.

Une feuille de travail récapitulative décrit les règles et les exigences pour chaque type d'APD (c.-à-d. les articles 11, 12, 12+) et les travaux en cours (TEC) ou les autres publications anticipées. On y trouve également des hyperliens vers d'autres feuilles de travail, dans lesquelles on décrit les règles propres à chaque situation.

On utilise des feuilles de travail séparées pour maintenir un inventaire des APD pour les enquêtes de la DFE par année, et un inventaire des TEC de la DFE par année et en cours, ou pour un statut ponctuel. Une liste de contrôle appelée Liste de contrôle pour les demandes de chiffrement doit être remplie par l'analyste avant d'être soumise à la section de la diffusion pour demander le chiffrement et le transfert de fichiers électroniques de données au partenaire. La section de la diffusion traite le transfert et maintient un journal de chiffrement de données pour répondre aux exigences de la Directive. Un document, Procédures — transmission des fichiers, présente les étapes détaillées de préparation d'un fichier à transmettre, accompagné de copies d'écran d'Entrust pour le chiffrement et la protection par mot de passe des fichiers, de même que les étapes à suivre pour préparer et partager des fichiers de données par voie électronique ou sur CD.

Des procédures et processus documentés clairement aideraient les programmes statistiques à établir des pratiques uniformes pour la gestion des APD et la diffusion et la transmission de données confidentielles. Les processus documentés sont particulièrement utiles lorsqu'il y a du roulement personnel et réduiraient le recours accru des divisions à la TI et à la DGI lorsque les transmissions de données sont peu nombreuses et espacées, ce qui rendrait les processus plus efficients. Les responsables des programmes statistiques pour lesquels on n'a pas documenté de processus pourraient envisager d'élaborer les leurs en mettant à profit et en adaptant les procédures et processus documentés de la DFE pour répondre aux pratiques et aux besoins respectifs de leur programme.

Activités de surveillance

La Section des ententes statistiques, des dispositions législatives et de l'octroi de licences (ESDLOL) de la DGI a la responsabilité fonctionnelle de la gestion des APD en vertu des articles 11 et 12 de la Loi sur la statistique et doit tenir compte des autorisations légales données par le statisticien en chef pour la collecte et la diffusion des renseignements confidentiels. Les secteurs de programmes statistiques se fient à l'ESDLOL pour maintenir un inventaire de leurs accords de partage de données et leur fournir les renseignements dont ils ont besoin pour gérer leurs responsabilités vis-à-vis des APD.

L'ESDLOL utilise la base de données des Services d'accès et de contrôle des données (SACD) pour maintenir un inventaire de l'ensemble des accords de partage de données actuellement valides signés par Statistique Canada en vertu des articles 11 et 12.

Dans le cadre de l'audit, on a remarqué qu'il n'y avait pas d'inventaire des APD valides en vertu des articles 11 et 12 signés par Statistique Canada à un moment bien précis dans le temps et qu'il n'y a pas d'analyse ni de comparaison continue des renseignements contenus dans la base de données avec les APD actuels. La DGI a reçu l'approbation pour le renouvellement de la base de données des SACD dans le cadre du processus de planification à long terme de Statistique Canada. L'initiative de renouvellement s'amorcera en avril 2014.

L'annexe C de la Directive sur la surveillance des accords de partage de données présente les grandes lignes des responsabilités liées à la surveillance de la conformité aux APD pour veiller à ce qu'une diligence raisonnable soit exercée et à ce que les exigences légales soient respectées, en particulier à l'égard de la protection de la confidentialité et des renseignements donnés par les répondants. La Directive stipule que la DGI et les responsables des programmes statistiques se partagent la responsabilité de la surveillance des APD. La section 6.1.10 et l'annexe B présentent les étapes à suivre pour la modification, le renouvellement ou la clôture d'un APD actuel en vertu de l'article 12, de même que les responsabilités relatives à la surveillance des limitations de la durée des APD, et informe les gestionnaires de programme sur les accords dont la date de clôture approche (au moins tous les six mois).

L'audit a révélé que 317 APD sur 495 (64 %) en vertu de l'article 12 ne sont pas actifs, mais que les données partagées en vertu de ces APD appartiennent toujours aux partenaires, et qu'ils ne sont pas considérés comme « actifs » du point de vue juridique. Ces modèles d'APD n'avaient pas de date de clôture définie, comparativement aux APD s'appuyant sur le nouveau modèle (en date de 2010), pour lesquels on précise une période de clôture au bout de six ans. La majorité de ces APD appartiennent à deux divisions. Les entrevues avec les directeurs de ces divisions ont révélé que ceux-ci n'étaient pas au courant du grand nombre d'anciens APD dans leur division, ni du statut de ces APD, et ne pouvaient pas dire clairement quelles étaient les attentes à leur égard quant à la gestion et l'examen continu du statut des APD, ni à la façon de procéder pour exécuter cette tâche.

L'audit a permis de conclure qu'il existe un manque de surveillance et d'analyse continue du statut des APD. Cette situation augmente le risque d'incapacité de déceler les cas d'atteinte à la vie privée imputables aux exigences stratégiques et législatives des APD et le risque de défaut de mettre en œuvre des mesures correctives rapides et efficaces.

Recommandations

Le statisticien en chef adjoint, Secteur des études analytiques, de la méthodologie et de l'infrastructure, doit s'assurer que :

• la séparation des tâches liées à la préparation et à l'approbation des données à transmettre est effectuée, lorsque c'est possible;
• les instruments de gouvernance liés à la gestion et à l'application des APD font l'objet de recoupements et indiquent quelle politique prévaut sur une autre en cas de chevauchement, par souci de compréhension uniforme et d'application efficace des exigences des APD;
• la pertinence continue de l'inventaire actuel des APD en vertu de l'article 12 fait l'objet d'une évaluation, et les exigences de la Directive relatives au partage de renseignements, à la surveillance et à l'examen continu du statut des APD se font régulièrement et conformément à la Directive concernant le partage de données en vertu des articles 11 et 12.

Réponse de la direction

La direction accepte les recommandations.

• Le directeur de la DGI fournira des lignes directrices et des exigences pour les programmes de partage de données sur la gestion des APD, y compris la séparation des tâches lorsque cela est possible, dans le contexte de la gestion des accords de partage de données. Les directeurs des programmes d'APD seront responsables de veiller à la mise en œuvre.
  
  Produits livrables et échéancier : On préparera une trousse d'APD d'ici mars 2014.
• Le directeur de la DGI procédera à un examen des instruments de gouvernance utiles pour veiller à la clarté de la formulation et établir des précédents au besoin.
  
  Produits livrables et échéancier : Des mises à jour de la suite de politiques de Statistique Canada et de la trousse d'APD seront produites d'ici décembre 2014.
• Le directeur de la DGI établira et mettra en place un processus d'examen régulier et continu des APD en vertu de l'article 12 et mettra en œuvre des modifications au système d'accès et de contrôle des données (SACD) pour faciliter l'examen, la surveillance et l'évaluation.
  
  Produits livrables et échéancier : Mettre en œuvre un processus d'examen régulier et continu des APD en vertu de l'article 12 d'ici janvier 2014. Mettre en œuvre des modifications au système d'accès et de contrôle des données (SACD) d'ici décembre 2015.

Recommandation

Le statisticien en chef adjoint, Opérations et communications, doit s'assurer que :

• la gouvernance relative au système de transfert de fichiers électroniques est clarifiée.

Réponse de la direction

La direction accepte la recommandation.

• La Directive sur la transmission de renseignements protégés sera renforcée et communiquée aux gestionnaires de l'ensemble des organisations par le directeur de la Division de la diffusion et le directeur de la DGI.
  
  Produits livrables et échéancier : Mise à jour de la Directive sur la transmission de renseignements protégés d'ici le 31 décembre 2013.
• Toutes les exemptions de l'utilisation du système de transfert de fichiers électroniques seront désormais approuvées par le Comité de coordination de la sécurité.
  
  Produits livrables et échéancier : LeComité de coordination de la sécurité élaborera une stratégie de communication pour informer les gestionnaires de StatCan des modifications à la Directive sur la transmission de renseignements protégés et du processus de demande d'exemption. Cette tâche sera effectuée d'ici janvier 2014.

Objectif 2 : Les accords de partage de données à Statistique Canada font l'objet d'une gestion interne garantissant leur conformité aux politiques du SCT, aux politiques de Statistique Canada, ainsi qu'aux exigences législatives.