Contexte

Statistique Canada a été établi pour veiller à ce que les Canadiens aient accès à une source fiable de statistiques sur le Canada, afin de répondre à leurs besoins d'information prioritaires.

Le mandat de l'organisme découle principalement de la Loi sur la statistique. Aux termes de celle-ci, Statistique Canada doit recueillir, compiler, analyser et publier des renseignements statistiques sur les conditions économiques, sociales et générales du pays et de sa population. La Loi établit également que Statistique Canada doit mener un recensement de la population et un recensement de l'agriculture tous les cinq ans, et qu'il doit protéger la confidentialité de l'information qui lui est confiée.

Les priorités organisationnelles de Statistique Canada comprennent notamment l'exécution d'un ensemble exhaustif de programmes statistiques, en conformité avec le cadre d'assurance de la qualité de l'organisme, pour que les Canadiens aient accès à des renseignements statistiques actuels, pertinents et de qualité sur l'économie et la société canadienne en pleine évolution, de manière à alimenter les débats de fond ainsi qu'à étayer la recherche et la prise de décisions sur des questions d'ordre social et économique, ce qui englobe la statistique économique, la statistique sociale et la statistique du recensement, de la démographie et autochtone.

Le budget de fonctionnement de Statistique Canada s'établit à 400 millions de dollars environ. Le programme statistique de l'organisme compte deux sources de financement : les crédits parlementaires directs, et les activités à frais recouvrables. Ces dernières années, la part des ressources totales de Statistique Canada constituée par les revenus disponibles qui sont tirés des activités à frais recouvrables a oscillé en gros entre 90 millions et 100 millions de dollars par année. Une fraction importante de ces revenus – qui servent à financer des projets statistiques particuliers – provient de ministères et d'organismes fédéraux.

Effectif de l'organisme

Le tableau qui suit fait état du nombre actuel d'employés (à temps plein et à temps partiel) faisant partie de l'effectif de Statistique Canada en date du 30 septembre 2014^{Note de bas de page 1}.

La plupart des employés de l'organisme travaillent au bureau central d'Ottawa. Les autres endroits où travaillent des employés de Statistique Canada en dehors du complexe principal sont les suivants :

• les bureaux régionaux situés à Vancouver, Edmonton, Winnipeg, Sturgeon Falls, Toronto, Montréal, Sherbrooke et Halifax;
• 27 centres de données de recherche établis dans des universités à travers le pays;
• le Centre des opérations des données du recensement, situé à Gatineau.

Entre le 18 octobre 2013 et le 30 septembre 2014, 163 846 transactions de congé ont été approuvées. Au cours de cette même période, la rémunération versée aux employés au titre des heures supplémentaires s'est chiffrée à 4 093 761 $, ce qui équivaut à 11 681 jours; cela inclut les heures supplémentaires au titre des fonctions de disponibilité, demandées par 172 employés et qui représentent environ 1 400 jours.

La gestion des congés et des heures supplémentaires est régie par la LEFP, la LGFP et plusieurs politiques du CT, de même que par les conventions collectives applicables. Il incombe aux employés de présenter en temps opportun des demandes de congé et d'heures supplémentaires contenant des renseignements exacts. Les superviseurs doivent s'assurer que les dispositions relatives aux congés des employés sont appliquées en concordance avec les fins prévues, telles qu'énoncées dans les conventions collectives, et en conformité avec les politiques et procédures applicables; également, il leur faut tenir compte des besoins opérationnels avant d'approuver les demandes de congé.

Objectifs de l'audit

Les objectifs de l'audit étaient de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) l'assurance que:

• le caractère approprié du cadre de contrôle en place à l'appui de la gestion des congés et des heures supplémentaires;
• l'efficacité des contrôles internes afin de s'assurer que les opérations relatives aux congés et aux heures supplémentaires sont conformes aux lois, aux politiques du CT, aux lignes directrices et aux conventions collectives applicables.

Portée

La portée de l'audit incluait les éléments suivants du cadre de contrôle de gestion : les rôles, les responsabilités, les obligations redditionnelles, les autorités, les politiques, les procédures et les mécanismes de surveillance associés à l'application des articles 32, 33 et 34 de la LGFP ainsi qu'à la gestion des conventions collectives. Elle a porté sur les employés embauchés en vertu de la LEFP et travaillant au bureau central, de même que sur des transactions exécutées entre octobre 2013 et novembre 2014.

Approche et méthodologie

L'audit a comporté l'examen de documents, des entrevues avec des membres clés de la haute direction et du personnel, et un examen de la conformité aux politiques et aux lignes directrices pertinentes. Le travail mené sur le terrain a aussi compris l'examen, l'évaluation et la mise à l'essai des processus et des procédures de gestion des congés et des heures supplémentaires en vigueur.

On a sélectionné des échantillons de transactions de congés et d'heures supplémentaires pour effectuer des tests. On a eu recours à une combinaison de techniques d'échantillonnage – aléatoire, stratifié, discrétionnaire – afin d'évaluer l'efficacité des différents contrôles (c'est-à-dire de déterminer que les contrôles fonctionnent comme prévu et de façon uniforme au cours de la période visée par l'examen). De ce fait, les résultats ne sont pas censés être statistiquement représentatifs s'ils sont extrapolés sur la population.

Cet audit a été mené conformément aux Normes relatives à la vérification interne au sein du gouvernement du Canada, qui comprennent les Normes internationales pour la pratique professionnelle de l'audit interne de l'Institute of Internal Auditors (IIA).

Autorité

L'audit a été mené en vertu des autorités confiées dans le Plan intégré d'audit et d'évaluation fondé sur les risques pour 2014-2015 à 2018-2019, tel qu'approuvé par Statistique Canada.

Gestion des congés

Si l'on veut s'assurer que les congés des employés sont gérés efficacement, il doit exister un cadre de contrôle approprié et conforme à la LGFP, aux politiques du CT, aux lignes directrices de Statistique Canada et aux conventions collectives applicables.

À Statistique Canada, les congés, notamment les congés annuels, les congés de maladie, les congés compensatoires, les congés pour obligations familiales et les congés personnels ou de bénévolat, sont approuvés par le superviseur immédiat de chaque employé ou par un gestionnaire de niveau plus élevé. Les congés accordés dans certaines circonstances particulières doivent être approuvés au niveau du directeur ou à un niveau supérieur. Le SGT permet aux utilisateurs de connaître le niveau d'approbation requis pour chaque type de congé; toutefois, l'employé doit choisir manuellement le superviseur disposant du pouvoir approprié, car le système n'est pas programmé pour pouvoir établir le lien applicable en fonction du poste.

Les congés payés et non payés dont peuvent se prévaloir les employés entrent dans 43 catégories. Entre le 18 octobre 2013 et le 30 septembre 2014, 163 846 transactions de congé ont été approuvées. Les deux catégories de congé les plus courantes sont celles des congés annuels payés (35 %) et des congés de maladie sans certificat (29,5 %), qui totalisent environ 64 % des transactions de congé à Statistique Canada au cours de la période visée par l'audit.

Le SGT permet aux employés, aux superviseurs et aux gestionnaires des centres de coûts d'effectuer les opérations – enregistrement, suivi et examen – relatives aux frais de projet quotidiens, aux demandes de congé, aux heures supplémentaires et à l'horaire de travail des employés. Les employés doivent rendre compte de l'utilisation de leur temps de travail en entrant dans le SGT des codes pour indiquer le temps consacré à des projets. Le Système transmet aux employés un rappel afin qu'ils entrent leurs codes de temps si des données n'ont pas été saisies pour rendre compte de leurs activités quotidiennes. Si après deux semaines, l'employé n'a pas encore entré des codes pour indiquer le temps consacré à des projets, le SGT envoie des rappels au superviseur immédiat, puis au poste de niveau supérieur suivant, pour que toutes les zones de temps soient remplies.

Les outils et les pratiques de surveillance organisationnelle des congés sont adéquats.

Une fonction de surveillance doit être en vigueur à l'intérieur de l'organisme pour s'assurer que les ressources et les fonds publics sont utilisés de façon responsable et que les gestionnaires de programmes gèrent les congés de façon proactive. La direction et les organismes de surveillance doivent avoir des mandats qui énoncent notamment les rôles relatifs à la surveillance et à la gestion courante des congés, et ces mandats doivent être communiqués clairement.

Des initiatives sont mises de l'avant par Statistique Canada pour surveiller et examiner les transactions de congé ainsi que pour rendre compte à ce sujet. L'équipe des relations de travail de la Direction des ressources humaines (RH) exerce une surveillance continue des demandes de congé de longue durée non payé. Pour sa part, la Sous-section de la rémunération reçoit les demandes portant sur les différents types de congés non payés, car des rajustements salariaux sont requis. Différents rapports relatifs aux congés de maladie sont produits, et la haute direction les examine ponctuellement au niveau de l'organisme.

Lorsqu'un superviseur reçoit une demande de congé par l'intermédiaire du SGT, les renseignements suivants sont affichés : le type de congé, les dates, le nombre d'heures de congé, les commentaires (le cas échéant), et le solde résiduel des congés ou les congés accumulés pour l'exercice financier. Le SGT maintient une piste de vérification à l'égard de chaque étape du processus d'approbation, enregistre les modifications apportées à la demande, et indique l'utilisateur ayant soumis ou approuvé l'opération dans le cadre du processus.

Le SGT permet aux superviseurs de prendre connaissance de la somme annuelle de temps imputée à chaque projet, de toutes les demandes de congé présentées, des demandes d'heures supplémentaires – sur une base quotidienne et mensuelle –, de même que des horaires de travail des employés qui ont été enregistrés. Les superviseurs peuvent consulter des renseignements sur leurs employés pour l'exercice financier où ces derniers relèvent d'eux; en d'autres termes, ils n'ont pas accès aux données antérieures concernant les employés – horaires de travail, temps imputé aux projets, demandes de congé et d'heures supplémentaires.

Les employés de la Direction des finances, qui doivent veiller à ce que les demandes de congé soient traitées en temps opportuns, ont accès à plusieurs rapports de surveillance des congés produits par le SGT.

Les congés servent aux fins prévues et sont pris conformément aux conventions collectives.

Un cadre de contrôle efficace doit être mis en application de façon uniforme à l'échelle de l'organisme pour la gestion des congés. Lors de l'approbation des demandes de congé, les gestionnaires et les employés des Finances et des RH doivent s'assurer que les congés servent aux fins prévues et sont pris en conformité avec les conventions collectives.

L'équipe d'audit a effectué une analyse exhaustive ainsi que des tests portant sur les différents types de congé afin de vérifier si ceux-ci avaient été approuvés par les personnes dûment autorisées à le faire. Pour effectuer l'examen des demandes de congé approuvées –163 846 en tout –, on a utilisé une approche fondée sur le risque. Pour la plupart des types de congés, un échantillon de 20 employés a été sélectionné au hasard à des fins d'examen. Des tests ont été effectués afin de vérifier l'exactitude et la validité des codes de congé utilisés ainsi que la conformité aux politiques du CT applicables et aux dispositions pertinentes des conventions collectives.

Des analyses et des tests ont été menés à l'égard des 15 types de congés suivants :

• Congés annuels
• Congés de maladie sans certificat
• Congés de maladie avec certificat
• Congés spéciaux
• Congés pour rendez-vous d'un membre de la famille
• Congés pour prendre soin de membres de la famille
• Congés pour assister à une activité scolaire
• Congés pour rendez-vous avec un professionnel
• Congés de bénévolat
• Congés personnels
• Congés de perfectionnement professionnel
• Congés de sélection du personnel
• Congés pour rendez-vous médical
• Autres congés payés
• Congés compensatoires.

Il ressort des analyses, des tests et des entrevues que les demandes de congé enregistrées dans le SGT ont été approuvées par les personnes dûment autorisées à le faire, conformément aux politiques du CT applicables et dans les limites des conventions collectives. Les opérations étaient exactes, valides et correctement codées. Le SGT est un outil efficace pour enregistrer les opérations de congé.

Le cadre de contrôle utilisé pour la gestion des congés est efficace et est mis en application de façon uniforme. Les congés sont accordés en conformité avec les conventions collectives.

Aucune recommandation n'est formulée au sujet de la gestion des congés.

Gestion des heures supplémentaires

Pour assurer une gestion efficace des heures supplémentaires, un cadre de contrôle adéquat doit être en mis en place afin de s'assurer que les heures supplémentaires ont fait l'objet d'une autorisation préalable et ont été dûment approuvées. Ce cadre de contrôle doit être conforme à la LGFP, aux politiques du CT, aux lignes directrices de Statistique Canada et aux dispositions des conventions collectives.

Les heures supplémentaires sont assujetties aux conditions particulières, suivantes, telles qu'énoncées dans la Directive sur les conditions d'emploi du CT :

« La personne doit être rémunérée pour les heures supplémentaires, conformément aux dispositions de la convention collective pertinente ou aux conditions d'emploi applicables, seulement lorsque les conditions suivantes sont réunies :

• la personne ayant le pouvoir délégué a ordonné à la personne de faire des heures supplémentaires;
• la personne ne contrôle pas la durée de la période durant laquelle sont effectuées les heures supplémentaires;
• la personne ayant le pouvoir délégué a confirmé la durée des heures supplémentaires et en a autorisé la rémunération. »

Au cours de l'exercice 2013-2014, la rémunération versée aux employés au titre des heures supplémentaires a totalisé 4 093 761 $, ce qui équivaut à 11 681 jours : les congés compensatoires ont représenté 1 516 420 $, et la rémunération additionnelle versée, 2 577 341 $.

Les rôles, les responsabilités et les procédures recommandées dans le contexte de la LGFP, des autres lois et des instruments stratégiques du gouvernement du Canada sont décrits dans la Ligne directrice sur le processus opérationnel commun en gestion financière 5.1 – administration de la paye du CT. Cette ligne directrice présente le modèle recommandé d'administration de la paye, ce qui inclut les heures supplémentaires.

La gestion des heures supplémentaires à Statistique Canada est exercée conformément à la ligne directrice en question et comporte les trois contrôles clés suivants, qui s'appliquent avant le paiement : l'autorisation préalable des heures supplémentaires (LGFP, article 32); l'attestation des travaux exécutés (LGFP, article 34); et la demande de paiement (LGFP, article 33), si la compensation des heures supplémentaires prend la forme d'un paiement à l'employé.

Le cadre de contrôle prévoit les exigences suivantes :

1. L'autorisation préalable des heures supplémentaires (à l'heure actuelle, aux termes des conventions collectives, l'autorisation préalable peut être donnée verbalement ou par écrit par les chefs, par une division cliente dans certains cas, ou encore par les détenteurs de budget).
2. L'attestation des travaux exécutés, le droit aux taux des heures supplémentaires appliqués, et le respect des politiques et des conventions collectives, ce qui implique un processus d'examen à trois niveaux :
   • Niveau 1 : attestation des travaux exécutés, ce processus se situant au niveau de la division (recommandation aux fins d'approbation par le superviseur, puis par le détenteur de budget); avant d'approuver les demandes d'heures supplémentaires, les détenteurs de budget doivent effectuer un examen pour pouvoir attester que les heures supplémentaires déclarées sont valides et que l'employé a produit les résultats attendus au cours des heures en question.
   • Niveau 2 : examen des demandes mensuelles par la Direction des finances; le personnel des Finances vérifie que les personnes ayant approuvé les demandes ont les autorités déléguées requises;
   • Niveau 3 : examen des demandes mensuelles par la Sous-section de la rémunération; le personnel des RH vérifie que le système applique les taux appropriés pour le calcul de la rémunération des heures supplémentaires.
3. Les demandes de paiement effectuées par les employés de la Direction des finances à qui est confiée la tâche de s'assurer que les dépenses ont été autorisées au préalable et que les travaux exécutés ont fait l'objet d'une attestation.

Il incombe aux superviseurs et aux directeurs de gérer les heures supplémentaires. On tient pour acquis que les heures supplémentaires seront gérées en conformité avec les politiques, les lignes directrices et les conventions collectives applicables, que les modalités entourant les heures supplémentaires seront mises en application de façon équitable et uniforme à l'échelle de l'organisme, et que la gestion des heures supplémentaires concordera avec les buts organisationnels, les objectifs opérationnels ainsi que les valeurs et l'éthique de l'organisme. Les employés doivent s'assurer que les heures supplémentaires travaillées sont enregistrées et soumises par l'intermédiaire du SGT.

Notre analyse a permis de constater qu'il existe un cadre de contrôle adéquat à l'appui de la gestion des heures supplémentaires, et que ce cadre de contrôle est conforme à la LGFP, aux politiques du CT, aux lignes directrices de Statistique Canada et aux conventions collectives en vigueur. Des contrôles clés sont incorporés au cadre organisationnel et au SGT.

Les outils et les activités de surveillance à l'appui de la gestion des heures supplémentaires doivent être renforcés et dûment mis en œuvre.

Une fonction de surveillance efficace au niveau de l'organisation fait en sorte que les ressources et les fonds publics sont utilisés de façon responsable, et que les gestionnaires exercent une gestion active des heures supplémentaires dans une optique d'optimisation des ressources. La direction et les organismes de surveillance doivent avoir des mandats qui énoncent notamment les rôles relatifs à la surveillance et à la gestion courante des heures supplémentaires, et ces mandats doivent être communiqués clairement. L'établissement de budgets des dépenses ayant trait aux heures supplémentaires constitue un moyen efficace de fixer des cibles opérationnelles et de s'assurer que les ressources sont utilisées avec efficience et pour les fins prévues; cela aide aussi à déterminer, mesurer et adresser les circonstances qui entraînent des coûts additionnels au niveau des heures supplémentaires.

À Statistique Canada, la planification des heures supplémentaires s'inscrit dans le processus annuel de planification budgétaire, et elle fait l'objet d'une surveillance visant à s'assurer de disposer de fonds opérationnels suffisants dans l'éventualité où les congés compensatoires accumulés par les employés ne peuvent être pris et doivent être payés à la fin de l'exercice, comme le prévoient les conventions collectives. Les divisions qui fournissent des services établissent leur budget d'heures supplémentaires en fonction du coût estimatif des fonctions de disponibilité prévues, d'après les ententes de service conclues avec leurs divisions clientes.

La Division de la divulgation financière de la Direction des finances examine les rapports mensuels d'heures supplémentaires en attente d'approbation dans le SGT pour s'assurer que ces opérations sont traitées en temps opportuns, et elle veille à ce que les coûts relatifs aux heures supplémentaires soient approuvés par la personne disposant des autorités requises. Le processus de rapport sur les écarts financiers (REF), qui est exécuté périodiquement, donne l'occasion aux gestionnaires d'examiner les dépenses et d'expliquer les écarts par rapport aux dépenses prévues. À la période 6 de chaque exercice (août), les cibles relatives aux articles d'exécution, dont les heures supplémentaires sont rajustées en fonction des nouvelles projections. Les prévisions établies à la période 6 servent de fondement pour la prise de décisions. À la fin de l'exercice, les coûts réels sont comparés aux prévisions de la période 6, et les écarts sont justifiés.

Dans le but d'évaluer l'efficacité et la pertinence de ces processus, des entrevues ont été menées auprès de gestionnaires et de membres du personnel de la Direction des Finances. Les entrevues ont permis de déterminer que l'analyse des écarts et les prévisions sont effectuées au niveau des divisions – les conseillers en gestion financière fournissant une orientation dans le cadre d'une gestion financière active –, aux fins des transferts de fonds en cours d'exercice. L'équipe d'audit a également examiné l'information financière disponible concernant les heures supplémentaires. Pour l'exercice 2013-2014, le budget initial au titre des heures supplémentaires était de 430 840 $; les prévisions ont été révisées à la période 6, ce montant étant porté à 1 332 000 $, et la charge réelle au titre des heures supplémentaires pour l'exercice a finalement totalisé 1 516 420 $.

Les services organisationnels de surveillance et de soutien fournis aux divisions de programme sont axés sur la gestion des fonds disponibles. Cependant, les dépenses reliées aux heures supplémentaires ne font pas l'objet d'un contrôle efficace durant l'année pour s'assurer que les coûts réels n'excèdent pas le budget établi. Même si des secteurs de l'organisme ne dépassent pas leurs enveloppes budgétaires respectives et que les écarts par rapport aux projections révisées de la période 6 sont justifiés, les dépassements des coûts des heures supplémentaires au niveau des programmes par rapport au budget établi au départ ne sont pas expliqués ni justifiés.

Si l'on n'établit pas des cibles financières fiables dans le budget initial, ou si l'on ne surveille pas ces cibles au niveau organisationnel, il y a un risque que des erreurs importantes se produisent sans qu'elles ne soient détectées, et que des tendances ou des anomalies ne soient pas décelées ou ne fassent pas l'objet d'un suivi.

La direction doit surveiller l'utilisation des heures supplémentaires par rapport aux plans établis afin que les coûts connexes soient réalistes. Pour étayer la prise de décisions, les superviseurs et les directeurs doivent avoir accès à des renseignements complets et actuels afin de pouvoir discerner les enjeux opérationnels et administratifs ainsi que les tendances entourant les heures supplémentaires.

Les superviseurs et les directeurs disposent des renseignements suivants à l'appui de la gestion des heures supplémentaires :

• Le SGT produit plusieurs rapports relatifs aux heures supplémentaires, ce qui comprend des rapports sur les heures supplémentaires en attente d'approbation, sur les congés compensatoires excédentaires et sur les transactions relatives aux heures supplémentaires qui n'ont pas encore fait l'objet de mesures par les RH. Ces rapports sont accessibles par les employés des Finances et des RH, qui veillent à ce que les demandes d'heures supplémentaires soient traitées en temps opportuns et que les soldes de congés compensatoires soient payés conformément aux dispositions des conventions collectives en vigueur.
• Le Système de rapports financiers (SRF) est un outil Web qui fournit un accès à tous les renseignements financiers essentiels sur les budgets au niveau des divisions et des programmes, y compris les projets à frais recouvrables. Les renseignements financiers peuvent être examinés selon différentes perspectives, car l'utilisateur peut afficher aussi bien des renseignements de nature générale que des opérations détaillées.
• Les gestionnaires doivent demander ou créer eux-mêmes des rapports dans le SRF selon leurs besoins et leurs préférences. Les renseignements sont disponibles, mais d'autres rapports prédéfinis pourraient être élaborés afin de simplifier la consultation et l'analyse d'indicateurs utiles (p. ex., employés ayant accumulé le plus d'heures supplémentaires, ou heures supplémentaires travaillées par des employés donnés lors d'exercices antérieurs).
• Les gestionnaires reçoivent le budget de leur division, les prévisions révisées à la lumière des tendances et les chiffres réels pour leur division avec chaque trousse d'examen financier mensuel. Les agents financiers (FI) examinent et analysent l'information afin de déterminer les tendances, et, s'il y a lieu, ils discutent avec les gestionnaires de la nécessité de rajuster les prévisions.

Les entrevues ont permis de confirmer que la plupart des détenteurs de budget gèrent les heures supplémentaires à partir d'une somme limitée de renseignements détaillés, et qu'ils s'en remettent aux analyses effectuées par leurs conseillers en gestion financière. La plupart d'entre eux étaient au courant du fait que des rapports personnalisés pouvaient être produits au moyen du SRF; cependant ils ignoraient comment produire ou demander de tels rapports. Ils utilisent donc plutôt l'interface du SGT, qui ne fournit pas suffisamment de renseignements pour qu'il soit possible de repérer les tendances et les irrégularités, de faire des comparaisons ou des remises en question à l'égard des heures supplémentaires demandées, ou encore de déceler les valeurs éloignées.

La direction et les organismes de surveillance n'ont pas de mandat clairement communiqué qui énonce les rôles en matière de surveillance et d'administration courante des heures supplémentaires. On n'a pas recours à l'établissement de budgets des dépenses au titre des heures supplémentaires pour fixer des cibles opérationnelles ou pour s'assurer que les ressources sont utilisées de façon efficiente et pour les fins prévues. Il y a un manque d'efficacité au niveau organisationnel lorsqu'il faut déterminer, mesurer et adresser les circonstances qui entraînent des coûts additionnels au niveau des heures supplémentaires.

L'autorisation préalable des heures supplémentaires est le plus souvent donnée verbalement, de sorte qu'il n'y a pas d'éléments probants documentés.

Un cadre de contrôle efficace doit être mis en application de façon uniforme à l'échelle de l'organisme à l'appui de la gestion des heures supplémentaires. Les gestionnaires de programmes responsables de l'autorisation préalable des heures supplémentaires et de l'attestation des travaux exécutés doivent veiller à ce que les heures supplémentaires soient consacrées aux fins prévues, et les employés des Finances et des RH doivent s'assurer que la rémunération est accordée conformément à la LGFP et que les modalités connexes sont conformes aux conventions collectives.

Autorisation préalable (article 32 de la LGFP)

À l'heure actuelle, les autorisations préalables des heures supplémentaires ne sont pas gérées ni consignées par l'intermédiaire du SGT. Les entrevues ont permis de confirmer que les détenteurs de budget ont donné une autorisation préalable écrite des heures supplémentaires lorsque cela est possible sur le plan opérationnel ou dans le cas de projets planifiés; toutefois, lorsque les heures supplémentaires sont requises à bref préavis, la responsabilité de donner l'autorisation préalable est souvent déléguée aux directeurs adjoints et aux chefs, et l'autorisation préalable est le plus souvent donnée verbalement.

Les activités entourant l'attestation des travaux exécutés sont inefficaces.

Attestation des travaux exécutés et droits (article 34 de la LGFP)

Deux échantillons discrétionnaires ont été sélectionnés afin de vérifier l'efficacité des contrôles clés touchant les heures supplémentaires :

• Un premier échantillon de 30 employés a été constitué parmi les 100 employés de l'organisme ayant accumulé le plus d'heures supplémentaires, ce qui assurait la couverture de tous les secteurs, aussi bien les programmes d'enquête essentiels que ceux non essentiels à la mission, les divisions qui fournissent les services et les fonctions intégrées.
• Le deuxième échantillon était composé de 14 des 25 employés qui ont accumulé le plus d'heures supplémentaires, ceux-ci ayant déclaré un nombre important d'heures supplémentaires sur une période de cinq ans.

Les techniques d'échantillonnage utilisées pour cet audit ont été déterminées en conformité avec des normes d'audit pertinentes en vue d'évaluer l'efficacité des différents contrôles (c'est-à-dire de déterminer que les contrôles fonctionnent comme prévu et de façon uniforme au cours de la période visée par l'examen). De ce fait, les résultats ne devraient pas être extrapolés sur la population, car les techniques d'échantillonnage en question ne donnent pas des résultats statistiquement représentatifs.

Au total, 14 divisions sont représentées dans ces échantillons. Des entrevues ont aussi été menées auprès de certains directeurs et directeurs adjoints ainsi qu'avec des employés clés des Finances et de la Sous-section de la rémunération (RH) afin de documenter le processus correspondant à chacun des trois niveaux d'examen en vue de l'attestation des heures supplémentaires.

Les procédures d'audit ont confirmé que les détenteurs de budget disposent des moyens requis pour surveiller les travaux exécutés et recueillir des données probantes portant sur des résultats mesurables. Parmi les exemples notés, mentionnons l'examen des résultats une fois les périodes de travail supplémentaire terminées, les courriels envoyés à la fin de ces périodes et l'examen des rapports de progrès. Malgré le fait que les travaux exécutés peuvent être surveillés par les détenteurs de budget, le processus présentait les lacunes suivantes :

• La plupart des détenteurs de budget n'examinaient pas d'éléments probants appuyant l'autorisation préalable ou n'en avaient pas la possibilité, étant donné que l'autorisation préalable était le plus souvent donnée verbalement.
• En général, avant qu'une approbation soit donnée, les horaires des employés ne sont pas examinés en ce qui touche l'absentéisme, les modifications apportées à ces horaires et les congés, ce qui peut donner lieu à une utilisation inefficace des heures supplémentaires.
• La plupart des détenteurs de budget ayant pris part à une entrevue ont déclaré que les employés étaient habituellement encouragés à demander des congés compensatoires plutôt qu'un paiement pour leurs heures supplémentaires, ce qui vise à atténuer l'incidence des heures supplémentaires sur les budgets.
• Les tests ont permis d'apprendre que, dans certains cas, des employés devant être présents pour accomplir leur travail avaient demandé des heures supplémentaires pour des périodes où ils étaient absents.
• Il y a eu des cas où des demandes de congé et d'heures supplémentaires ont été présentées et ont été approuvées pour la même journée.

L'absence de documentation concernant l'autorisation préalable des heures supplémentaires et le manque de diligence dans l'attestation du travail exécuté durant les heures supplémentaires sont des facteurs qui font augmenter le risque d'erreurs non détectées et qui peuvent donner lieu à une utilisation inefficiente des ressources. De plus, l'absence de données sur les résultats du processus de vérification limite l'examen des possibilités de recourir au processus de demande de paiement (article 33 de la LGFP).

Les détenteurs de budget et les superviseurs n'effectuent pas d'examen périodique des horaires des employés à des fins d'optimisation des ressources.

Statistique Canada doit rendre compte au public de l'utilisation efficace et efficiente de ses ressources. Afin de s'assurer d'une utilisation responsable des ressources et des fonds publics, les gestionnaires de programmes doivent exercer une gestion active des heures supplémentaires dans le but d'en faire une utilisation optimale.

Statistique Canada appuie ses employés et les encourage à concilier comme il se doit travail et vie personnelle, recourant à cette fin à différents mécanismes, comme les horaires de travail variables et les horaires comprimés. De telles modalités doivent être approuvées par les chefs (ou un responsable de niveau supérieur), elles doivent dépendre des besoins opérationnels, et elles doivent être conformes à la fois aux conventions collectives et aux principes directeurs de Statistique Canada. Les conventions collectives font également mention de la mise en œuvre d'horaires de travail variables, indiquant que cette mise en œuvre « ne doit pas entraîner des heures supplémentaires additionnelles ni une rémunération supplémentaire du seul fait du changement d'horaire ». Une fois qu'un horaire de travail modifié est approuvé, l'horaire révisé doit être saisi dans le SGT.

Environ 1000 employés ont travaillé selon un horaire variable quelconque à un moment ou à un autre entre le 18 octobre 2013 et le 28 novembre 2014.

Afin d'évaluer l'efficacité des contrôles entourant la gestion des heures supplémentaires et des horaires variables, l'équipe d'audit a sélectionné un échantillon composé de 14 des 25 employés qui ont accumulé le plus d'heures supplémentaires. Les tests ont permis de faire les constatations suivantes, qui ont ensuite été testés sur un échantillon de plus grande taille pour l'ensemble de l'organisme :

• La rémunération gagnée par les employés de l'échantillon au titre des heures supplémentaires totalisait 40 jours ou plus par année lors de chacune des cinq années précédentes. Pour la moitié de ces employés, la rémunération reçue pour les heures supplémentaires a donné lieu à une hausse de plus de 30 % de leur salaire annuel.
• Les horaires variables ou comprimés entraînent une hausse exponentielle des heures supplémentaires.
• Un grand nombre d'heures supplémentaires sont accumulées sous forme de congés compensatoires qui entraînent une hausse exponentielle des heures supplémentaires.
• Les heures supplémentaires associées aux fonctions de disponibilité ont fait en sorte que 6 employés se sont retrouvés parmi les 25 ayant accumulé le plus d'heures supplémentaires.
• Des situation où des heures supplémentaires avaient été demandées pour le deuxième jour de congé – qui sont rémunérées à un taux plus élevé (2,0) – même si les employés concernés n'avaient pas travaillé lors de leur premier jour de congé – où le taux de rémunération est plus bas (1,5) –, et ce, sans qu'une justification soit fournie.

La convention collective du groupe EC autorise les employés à travailler selon un horaire variable, avec le consentement de leur superviseur. La disposition 28.01 d(i) énonce ce qui suit :

(…) sur demande du fonctionnaire et avec l'approbation de son Employeur, le fonctionnaire peut effectuer sa durée de travail hebdomadaire au cours d'une période autre que celle de cinq (5) jours, à condition que, au cours d'une période dont l'horaire de travail variable, le fonctionnaire travaille en moyenne trente-sept virgule cinq (37,5) heures par semaine. Dans le cadre des dispositions du présent paragraphe, la méthode de relevé des présences doit être acceptée mutuellement par le fonctionnaire et l'Employeur. Au cours de chaque période donc l'horaire de travail variable, ledit fonctionnaire doit bénéficier de jours de repos pendant les jours qui ne sont pas à son horaire de travail normal.

Cela permet aux employés de la classification EC de modifier leur horaire de travail de telle sorte que leurs heures additionnelles de travail puissent être accumulées au taux normal afin de pouvoir être utilisées ultérieurement. Les horaires modifiés doivent être saisis dans le SGT.

Le SGT enregistre les modifications des horaires de travail des employés. Lorsque les heures quotidiennes et les heures hebdomadaires totales diffèrent de la norme, soit 7,5 heures et 37,5 heures, respectivement, le système envoie un courriel pour informer le superviseur de l'employé au sujet de la modification. Le système enregistre le nombre d'heures inscrites à l'horaire des employés, mais il ne fait pas le suivi du nombre total d'heures additionnelles travaillées au cours d'une période, et il ne repère pas et ne calcule pas les écarts par rapport aux heures régulières. Par exemple, si l'employé choisi d'entrer 9,5 heures de travail chaque jour pendant une période de cinq jours, le SGT ne fait aucun suivi des 10 heures accumulées en sus des heures régulières, ni du fait que l'employé dispose ainsi de 10 heures au taux normal dont il peut se prévaloir ultérieurement. Des entrevues avec des employés des Finances et des membres du personnel des TI ont permis de confirmer qu'il n'y a pour le moment aucun mécanisme servant au suivi des heures dans le cas des horaires de travail modifiés, si ce n'est que le gestionnaire reçoit un avis par courriel lorsqu'un horaire est modifié, tandis que les employés tiennent leur propre registre de leurs heures travaillées.

Un suivi systématique et exact des horaires de travail modifiés des employés donnerait à la direction la capacité de surveiller efficacement les ressources et d'en faire une utilisation optimale.

Les directeurs rencontrés en entrevue ont déclaré qu'ils n'examinent pas les demandes des employés en vue de la modification de leur horaire en fonction de l'incidence que cela peut avoir sur les coûts à assumer par l'organisme au titre des heures supplémentaires, et qu'aucune préoccupation n'est soulevée, sauf s'il y a de sérieux problèmes de rendement de la part de l'employé ou si le budget global du programme affiche un déficit.

Un certain nombre d'employés ne travaillent pas le temps additionnel requis chaque jour aux termes de leurs ententes d'horaire de travail comprimé.

Les employés de Statistique Canada peuvent se prévaloir d'un horaire de travail comprimé. Cela leur permet d'organiser leur horaire de manière à travailler, par exemple, 50 minutes de plus chaque jour, ce qui leur donne droit à une journée de congé aux deux semaines, qui est enregistrée dans le SGT à titre de jour de congé modifié. Environ 600 employés ont travaillé selon un horaire de travail comprimé à un moment ou à un autre entre le 18 octobre 2013 et le 28 novembre 2014.

Dans le cadre de l'audit, on a vérifié si les employés travaillaient effectivement le temps additionnel requis chaque jour aux termes de leurs modalités de travail comprimé. Un échantillon de 23 employés a été testé pour confirmer leur présence à leur lieu de travail pendant les 8 heures et 20 minutes requises.

Les techniques d'échantillonnage utilisées pour cette vérification ont été déterminées en conformité avec des normes d'audit pertinentes en vue d'évaluer l'efficacité des différents contrôles (c'est-à-dire de déterminer que les contrôles fonctionnent comme prévu et de façon uniforme au cours de la période visée par l'examen). De ce fait, les résultats ne devraient pas être extrapolés sur la population, car les techniques d'échantillonnage en question ne donnent pas des résultats statistiquement représentatifs.

Selon les résultats obtenus, 13 des 23 employés inclus dans l'échantillon ne faisaient pas le temps additionnel de travail requis chaque jour.

Les entrevues ont permis d'apprendre qu'il existe une culture fondée sur la confiance à l'intérieur de l'organisme, et que les gestionnaires comptent sur leurs employés pour travailler les heures additionnelles quotidiennes convenues avec une supervision limitée.

Plusieurs divisions gèrent les heures supplémentaires à l'extérieur du cadre de contrôle.

Un certain nombre d'anomalies et de tendances similaires ont été observés lors des tests d'audit. La comparaison des heures de travail des employés saisies dans le SGT et de la présence réelle des employés à leur lieu de travail a mis en lumière un nombre élevé d'écarts.

Des entrevues ont été menées avec des directeurs et des employés de six divisions où des anomalies ont été constatées, et l'on a pu confirmer que les heures supplémentaires ne sont pas toujours gérées à partir du SGT. Les superviseurs et les employés concluent des ententes informelles, selon lesquelles des heures supplémentaires peuvent être travaillées et des congés compensatoires peuvent être pris par la suite, sans que les heures supplémentaires soient saisies dans le SGT.

On a pu observer que les méthodes suivantes étaient utilisées :

• La rémunération des heures supplémentaires prend la forme d'une annulation de congés déjà pris dans le SGT, avec l'approbation du superviseur – qui n'est pas nécessairement le détenteur de budget dûment autorisé à approuver les heures supplémentaires. Ainsi, les heures supplémentaires sont portées au crédit du solde des congés, puis des frais de projet sont enregistrés dans le SGT alors que, en réalité, l'employé est en congé compensatoire.
• L'employé présente une demande de congé dans le SGT pour une date future, puis il demande à son superviseur de ne pas approuver la demande mais de la laisser en suspens jusqu'à ce que le jour de congé soit pris. Lorsque l'employé reprend le travail, la demande de congé est annulée dans le SGT. Les tests d'audit ont révélé des profils clairs correspondant à la saisie de données dans le SGT à cette fin. Dans certains cas, les remarques inscrites à la demande de congé établissaient explicitement qu'il s'agissait d'une demande de congé annulée pour fins de compensation au titre des heures supplémentaires travaillées.

Afin d'estimer la mesure dans laquelle les heures supplémentaires sont gérées sans l'utilisation du SGT de l'organisme, l'équipe d'audit a vérifié un échantillon de transactions de congé supprimées et annulées qui se rapportaient à 72 employés travaillant au sein de 43 des 77 divisions, ayant été tirés sur l'ensemble des secteurs. Les résultats montrent que près de la moitié des opérations contrepassées présentaient le même profil que celui observé à l'égard du suivi des modalités informelles. Des entrevues de suivi ont été menées auprès de directeurs et de directeurs adjoints des divisions où l'on comptait le plus grand nombre de transactions de congé contrepassées, et il a été confirmé que les ententes informelles entre les chefs et les employés à l'égard des heures supplémentaires constituent une pratique connue dans bon nombre de divisions réparties dans tous les secteurs.

Bien que les employés soient tenus d'inscrire dans le SGT l'utilisation de leur temps de travail durant les heures régulières, l'approbation du superviseur n'est pas requise. L'approbation des heures bimensuelles des employés serait réputée constituer une attestation des travaux exécutés, conformément à l'article 34 de la LGFP, dans le contexte de la paye. En conséquence, les superviseurs ne sont pas obligés de procéder à l'examen, à l'approbation et à l'attestation des codes de projet qui sont saisis dans le SGT pour l'imputation du temps, ce qui servirait à attester la validité du temps de travail entré dans le système et aiderait à détecter les erreurs, par l'exemple l'omission de codes de congé lorsque l'employé est absent.

Le cadre de contrôle de la gestion des heures supplémentaires n'est pas mis en application de façon uniforme à l'échelle de l'organisme. Le processus d'autorisation préalable des heures supplémentaires et d'attestation des travaux exécutés présente des lacunes. La gestion des heures supplémentaires à l'extérieur au cadre de contrôle va à l'encontre de la LGFP et crée des occasions de contourner les dispositions des conventions collectives. En outre, cela conduit à une sous-estimation des coûts réels au titre des heures supplémentaires et compromet l'intégrité de l'information sur laquelle se fonde la direction pour la prise de décisions.

Un resserrement est requis au niveau de la gestion des heures supplémentaires découlant des fonctions de disponibilité.

Des heures supplémentaires sont également générées lorsque l'on demande à des employés de rester disponibles pour travailler en dehors de leurs heures de travail – ce que l'on appelle la « disponibilité ». Ce sont les besoins opérationnelles qui font qu'un programme relatif aux fonctions de disponibilité est requis, et un tel programme présente plusieurs avantages; des employés qualifiés sont disponibles lorsque se produisent des urgences pouvant avoir des répercussions importantes sur les opérations de base.

Les conditions entourant les fonctions de disponibilité et l'application de la rémunération connexe sont énoncées dans les conventions collectives. En règle générale, ces dernières exigent que les employés en disponibilité soient rémunérés à un taux correspondant à une demi-heure par période de quatre heures (ou une portion d'une telle période) où ils doivent être disponibles. Elles précisent aussi que, pour avoir droit à une indemnité de disponibilité, l'employé doit être désigné par lettre ou par inscription sur une liste, et que l'employé appelé qui se trouve dans l'impossibilité de se présenter au travail ne reçoit aucune indemnité de disponibilité.

Entre le 1er avril 2013 et le 31 octobre 2014, 12 763 demandes d'indemnité de disponibilité ont été approuvées à l'égard de 172 employés. À l'heure actuelle, il n'y a pas de documentation de référence ni de lignes directrices à l'appui de l'autorisation préalable et de l'attestation des fonctions de disponibilité. Statistique Canada a mis de l'avant les pratiques communes suivantes afin de s'assurer de la conformité à la LGFP et aux conventions collectives.

L'autorisation préalable des fonctions de disponibilité se situe à deux niveaux décisionnels :

1. Le directeur ou le détenteur de budget détermine la nécessité de prévoir des fonctions de disponibilité en dehors des heures régulières dans le cadre d'un programme à la lumière des risques opérationnels; il documente les raisons expliquant ce besoin et approuve formellement l'horaire global pour la période où les fonctions de disponibilité sont requises, ce qui se fait au moyen d'une entente sur les niveaux de service (ENS) entre le directeur de la division de programme cliente et celui de la division fournissant les services. Les besoins opérationnels et les fonctions de disponibilité doivent être réexaminés afin d'en déterminer la pertinence, et les ententes conclues doivent être renouvelées périodiquement.
2. Le directeur adjoint ou encore le chef ou un gestionnaire de même niveau détermine quels sont les employés qualifiés qui peuvent assurer les fonctions de disponibilité. Les horaires relatifs aux fonctions de disponibilité doivent être communiqués aux employés qualifiés en fonction de leur disponibilité, ce qui sert de point de référence pour établir l'admissibilité des employés et leur droit à une indemnité de disponibilité.

Une fois que l'employé a terminé sa période de disponibilité en conformité avec l'horaire établi, il doit enregistrer cette information dans le SGT pour qu'elle soit approuvée et que la rémunération correspondante soit accordée. À la fin de chaque mois, un rapport sur les heures supplémentaires est produit et est présenté au superviseur de l'employé, qui recommande l'approbation de la demande au directeur du programme client (le cas échéant). Ultimement, une recommandation est présentée au détenteur de budget en vue de l'approbation de la demande.

Avant d'approuver les heures supplémentaires découlant des fonctions de disponibilité, le gestionnaire du centre de responsabilité financière doit s'assurer que les heures passées en disponibilité qui sont enregistrées par l'employé concordent avec les heures de disponibilité prévues dans l'ENS et dans l'horaire relatif aux fonctions de disponibilité. Il doit aussi vérifier que l'employé était disponible pour travailler durant cette période. En conformité avec les autorités déléguées, les superviseurs peuvent gérer les horaires relatifs aux fonctions de disponibilité, mais les gestionnaires doivent disposer des autorités de signature de documents financiers en application de l'article 34 de la LGFP aux fins d'approuver les demandes d'heures supplémentaires.

Les programme relatif aux fonctions de disponibilité ne sont pas approuvés formellement et ne sont pas réexaminées périodiquement pour en déterminer la pertinence.

Un cadre de contrôle efficace doit être mis en application de façon uniforme aux fins de la gestion des programmes relatifs aux fonctions de disponibilité. Lorsqu'un gestionnaire de programme donne une autorisation préalable afin que des employés soient disponibles en dehors des heures de travail régulières et qu'il atteste que les employés ont droit à une rémunération au titre de leurs fonctions de disponibilité, il doit s'assurer que la demande relative aux fonctions de disponibilité est rattachée aux fins prévues au programme, et les employés des Finances et des RH doivent veiller à ce que la rémunération correspondante soit accordée en conformité avec la LGFP et avec les conventions collectives.

Autorisation préalable (article 32 de la LGFP)

Afin de vérifier si les fonctions de disponibilité font l'objet d'une autorisation préalable, l'équipe d'audit a sélectionné de façon discrétionnaire 19 employés ayant demandé des heures supplémentaires au titre de fonctions de disponibilité. L'équipe d'audit a aussi demandé que les directeurs ayant approuvé les heures supplémentaires fournissent des documents établissant qu'il était nécessaire de compter sur des employés disponibles en dehors des heures régulières, de même que les horaires cycliques permettant de justifier le nombre d'heures de disponibilité déclarées par ces employés. Au total, sept divisions ont été prises en compte dans l'échantillon.

Les résultats ont montré que la nécessité de prévoir des employés en disponibilité a été établie et a été documentée dans les ENS pour cinq des sept divisions; toutefois, une seule des ententes avait été dûment signée par la personne ayant les autorités requises. Dans le cas d'une division, l'ENS était encore dans une version provisoire, et son contenu n'avait pas été établi de façon définitive. La liste des employés autorisés à demander des heures supplémentaires au titre des fonctions de disponibilité avait été établie conformément aux conventions collectives pour chacune des sept divisions. Bien que des horaires cycliques soient prévus, les demandes d'heures supplémentaires au titre des fonctions de disponibilité ayant été enregistrées par les employés de trois des sept divisions ne concordaient pas avec les horaires approuvés. Les tests ont en outre révélé que 17 employés ayant accumulé un nombre élevé de transactions relatives aux fonctions de disponibilité (entre 125 et 425 au cours de la période examinée) n'avaient inscrit aucun rappel au travail.

La nécessité de compter sur des employés en disponibilité en dehors des heures de travail régulières n'est pas toujours documentée de manière formelle, et les fonctions de disponibilité ne sont pas toujours approuvées ou réexaminées périodiquement pour en assurer la pertinence. Lorsque les besoins opérationnels ne sont pas réexaminés de façon périodique, des solutions plus optimales en vue de combler les besoins en dehors des heures de travail régulières ne sont pas prises en compte, et des opportunités de réaliser des économies de coûts sont omises.

L'attestation de l'admissibilité et du droit à une rémunération au titre des fonctions de disponibilité (article 34 de la LGFP) est donnée par une personne dûment autorisée à le faire.

L'attestation de l'admissibilité et du droit à une rémunération au titre des fonctions de disponibilité doit être donnée par un détenteur de budget. Avant d'approuver des demandes d'heures supplémentaires rattachées à des fonctions de disponibilité, les gestionnaires des centres de responsabilité financière doivent vérifier que les heures de disponibilité enregistrées par les employés concordent avec les heures de disponibilité prévues dans l'ENS, que les activités des employés qui sont enregistrées correspondent aux horaires établis, et que les employés étaient disponibles pour exécuter leurs tâches s'ils devaient être appelés à le faire durant la période en question.

Pour vérifier si les demandes d'heures supplémentaires avaient été approuvées par des personnes disposant des autorités requises, l'échantillon de 19 employés ayant servi à la vérification du processus d'autorisation préalable a été utilisé. Les résultats ont montré que, dans tous les cas, les demandes d'heures supplémentaires avaient été approuvées par la personne dûment autorisée à partir du SGT. Toutefois, l'absence de documentation à l'appui, constatée lors de l'examen du processus d'autorisation préalable, a donné lieu à des lacunes quant à l'objet des autorisations préalables en vertu de l'article 32 de la LGFP à l'égard des fonctions de disponibilité – qui, quand, pendant combien de temps, et pour quels services.

Une plus grande diligence doit être exercée dans la gestion des horaires de disponibilité à des fins d'optimisation des ressources.

Les lignes directrices en vigueur à Statistique Canada autorisent généralement les employés à choisir leurs heures de travail, tant et aussi longtemps que leurs horaires n'engendrent pas des coûts additionnels pour l'organisme. Les horaires de travail des employés doivent être pris en compte avant que des fonctions de disponibilité soient attribuées à des employés donnés, de manière à s'assurer que ceux-ci sont disponibles pour fournir les services requis et que leurs heures de travail ne donnent pas lieu à des coûts additionnels au titre des heures supplémentaires.

Afin de vérifier si les horaires de disponibilité des employés étaient gérés efficacement à des fins d'optimisation des ressources, on a procédé à l'analyse et à la vérification des données entrées au titre des fonctions de disponibilité au cours de la période examinée, ce qui a permis de faire les observations suivantes :

• Il y a eu 12 763 transactions relatives aux fonctions de disponibilité saisies dans le SGT; 3 072 d'entre elles (24 %) découlaient de périodes de disponibilité d'une heure ou moins et ont donné lieu à une rémunération de 30 minutes par période enregistrée, conformément aux conventions collectives.
• Tout dépendant des horaires des employés (début et fin des heures de travail), les périodes de disponibilité enregistrées étaient souvent courtes – 10, 30, 45 et 60 minutes avant le début ou après la fin de l'horaire de travail des employés. Chaque fois qu'un employé déclare une période aussi courte, il a droit à 30 minutes de rémunération au titre des heures supplémentaires.
• Parmi les 172 employés ayant déclaré des fonctions de disponibilité au cours de la période examinée, 20 (11,6 %) ont déclaré entre 60 et 320 périodes de disponibilité de moins d'une heure. Cela a donné lieu à l'accumulation d'heures supplémentaires totalisant entre 4 et 21 jours au cours de la période de 13 mois à l'étude.

Les directeurs et les directeurs adjoints ayant participé à des entrevues ont confirmé qu'ils n'examinent pas et ne gèrent pas les horaires des employés dans une optique d'optimisation des ressources lorsqu'ils planifient et approuvent les fonctions de disponibilité.

Les tests ont aussi mis en lumière plusieurs demandes douteuses dans le SGT :

• Dans certains cas, des employés ont demandé des heures de disponibilité pour un jour où ils avaient pris un congé de maladie ou lors de périodes où ils étaient en vacances à l'étranger.
• Certains des employés ont demandé des heures de disponibilité au cours de périodes où ils avaient également déclaré des heures supplémentaires. Or, de nombreuses conventions collectives comportent une disposition interdisant le cumul de paiements au titre des heures supplémentaires en parallèle avec des demandes relatives à des fonctions de disponibilité.

Le cadre de contrôle entourant la gestion des fonctions de disponibilité n'est pas appliqué de façon uniforme. Le processus d'autorisation préalable des fonctions de disponibilité en dehors des heures régulières de travail présente des lacunes. Les procédures mises en application par les gestionnaires de programmes et par les employés des Finances et des RH n'assurent pas à ce que les fonctions de disponibilité servent aux fins prévues. La rémunération au titre des fonctions de disponibilité est accordée en conformité avec la LGFP et avec les conventions collectives.

Annexe A : Critères d'audit

Annexe B : Acronymes

Contexte

La Politique sur les marchés du Secrétariat du Conseil du Trésor s'applique à tous les ministères et organismes fédéraux. Elle a comme objectif de faire en sorte que les acquisitions de biens et de services soient effectuées « d'une manière qui contribue à accroître l'accès, la concurrence et l'équité, qui soit la plus rentable ou, le cas échéant, la plus conforme aux intérêts de l'État et du peuple canadien ».

Cette politique énonce ce qui suit : « Les marchés publics doivent être organisés de façon prudente et intègre, et ils doivent :

• résister à l'examen du public au chapitre de la prudence et de l'intégrité, faciliter l'accès, encourager la concurrence et constituer une dépense équitable de fonds publics;
• donner la primauté aux éléments fondamentaux du mécanisme d'acquisition;
• favoriser le développement industriel et régional à long terme et les autres objectifs nationaux pertinents, incluant les objectifs de développement économique autochtones;
• être conformes aux obligations de l'État aux termes de l'Accord de libre-échange nord-américain, de l'Accord relatif aux marchés publics – Organisation mondiale du commerce, et de l'Accord sur le commerce intérieur. »

Des exigences d'approvisionnement très variées sont en vigueur à Statistique Canada selon le type d'activité, par exemple la gestion des enquêtes, les services de transport, les services professionnels ou d'experts-conseils, les biens destinés au programme du recensement ainsi que les logiciels et le matériel de technologies de l'information (TI).

Statistique Canada doit se conformer au RME pour ses acquisitions de biens et de services. Également, les directives du CT sur les marchés et d'autres annexes et dispositions régissent la passation de marchés dans le secteur public. La réglementation et directives comportent à la fois des exigences obligatoires et d'autres qui sont facultatives.

À l'intérieur de Statistique Canada, la Section des services du matériel et des contrats (SMC) facilite le processus d'approvisionnement; toutefois une part importante des responsabilités entourant la gestion des marchés incombe aux gestionnaires des centres de coûts, qui sont considérés comme étant les chargés de projet. Les SMC ont pour mission d'aider les chargés de projet à conclure des marchés de biens et de services. Leur rôle consiste à appuyer les chargés de projet en vue d'assurer l'acquisition, l'utilisation et l'élimination des biens matériels de façon efficiente, en mettant à profit des connaissances spécialisées portant sur les politiques et procédures applicables du gouvernement du Canada et de Statistique Canada.

Objectifs de l'audit

Les objectifs de l'audit étaient de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) l'assurance que :

• le cadre qui sous-tend les activités d'approvisionnement et de passation de marchés est approprié, complet et efficace;
• les activités d'approvisionnement et de passation de marchés sont conformes aux politiques, aux procédures, aux accords commerciaux, aux lois et aux règlements applicables.

Portée

L'audit a englobé les rôles, les responsabilités, les obligations redditionnelles, les pouvoirs, les politiques, les procédures et les mécanismes de surveillance associés à l'application des articles 32, 41 et 34 de la LGFP. Il a porté sur les acquisitions à la fois de biens et de services. L'équipe d'audit a examiné les acquisitions effectuées entre le 1er avril 2014 et le 30 septembre 2015 en vertu des pouvoirs délégués de Statistique Canada. On a supposé que les acquisitions effectuées au moyen des cartes d'achat des Services du matériel et des contrats (SMC) étaient immatérielles et présentaient un faible risque, de sorte qu'elles ont été exclues de la portée de l'audit.

Approche et méthodologie

Le travail d'audit a comporté l'examen de documents, des entrevues avec des membres clés de la haute direction et du personnel, et l'examen de la conformité aux politiques et aux lignes directrices pertinentes.

Les travaux sur le terrain ont compris l'examen, l'évaluation et la mise à l'essai des processus et des procédures ayant trait aux activités d'approvisionnement. Dans le but d'effectuer des tests, un échantillon d'opérations a été sélectionné. La stratégie d'échantillonnage a comporté à la fois une approche systématique et une approche discrétionnaire, de manière à assurer une couverture adéquate de l'environnement d'approvisionnement, qui comprend les différents mécanismes d'approvisionnement utilisés, les seuils monétaires en vigueur et les différents types de services professionnels acquis.

Autorité

L'audit a été mené en vertu des autorités confiés dans le Plan intégré d'audit et d'évaluation fondé sur les risques pour 2014-2015 à 2018-2019, tel qu'approuvé par Statistique Canada.

Cadre à l'appui des activités d'approvisionnement et de passation de marchés

Les activités d'approvisionnement et de passation de marchés doivent être étayées par un cadre comportant des pouvoirs clairs, des lignes directrices et un environnement de contrôle à la fois adéquat, exhaustif et efficace. Les principaux éléments de l'environnement de contrôle incluent la définition des rôles et des responsabilités des intervenants clés, l'établissement d'obligations redditionnelles claires pour les personnes à qui des pouvoirs sont délégués, des systèmes, des procédures et des outils, de même que la surveillance de la direction, dans le but de s'assurer de l'uniformité et la rigueur de l'ensemble du processus.

Les pouvoirs et les lignes directrices sont clairement définis et assurent une exécution rigoureuse de l'ensemble du processus d'approvisionnement.

Les politiques et les directives régissant les activités d'approvisionnement sont établies par le Conseil du Trésor, tandis que les ministères et les organismes définissent des lignes directrices et des procédures. La délégation des pouvoirs de signature en matière de finances constitue l'instrument de délégation utilisé dans l'ensemble de l'administration publique fédérale pour gérer les risques entourant les approvisionnements et l'engagement de dépenses. On l'utilise aussi pour la communication officielle des pouvoirs établis. À Statistique Canada, les pouvoirs d'approbation de marchés sont clairement définis et sont communiqués par ce moyen.

Un guide du client préparé par les SMC contient un résumé des exigences de la Politique sur les marchés du CT et expose le processus de passation de marchés. On y trouve également une description des méthodes normalisées de passation de marchés et d'acquisition dans l'administration fédérale, de même qu'un aperçu des principes, des règles et de la réglementation régissant la passation de marchés. De plus, le Carrefour libre-service, qui est un portail constamment mis à jour et qui permet de consulter des descriptions de toutes les procédures administratives, présente chaque étape des procédures à suivre pour soumettre une demande de marché ou pour obtenir des services d'aide temporaire. Les politiques, les directives, les lignes directrices et les normes sont communiquées efficacement à tous les intervenants et sont examinées de façon continue par l'entremise du Carrefour.

Les rôles, les responsabilités et les obligations redditionnelles sont clairement définis.

Le Guide du client préparé par les SMC définit de façon claire et détaillée les rôles, les responsabilités et les obligations redditionnelles entourant les aspects suivants :

• l'approbation des demandes de marché;
• l'approbation des paiements;
• l'élaboration d'énoncés des travaux (EDT) et des critères d'évaluation connexes;
• l'obtention de soumissions;
• la gestion des marchés;
• la clôture des dossiers.

Les rôles, les responsabilités et les obligations redditionnelles de l'autorité contractante et du chargé de projet sont clairement définis dans la Politique sur les marchés du CT et dans le Guide du client de Statistique Canada. Ces principes directeurs font également partie de la formation obligatoire à l'intention des chargés de projet, des personnes à qui on a délégué des pouvoirs de dépenser, des autorités contractantes et des conseillers en matière de marchés. Les responsabilités et les obligations redditionnelles de l'autorité contractante et du chargé de projet sont établies, documentées et communiquées aux intervenants.

Chargé de projet

Le chargé de projet est le responsable du programme qui veut acquérir des biens et des services en vue de l'exécution des opérations de son programme. Ses responsabilités consistent à définir les exigences à incorporer au marché, ce qui comprend la détermination des ressources financières, les qualifications que doivent posséder les ressources requises et le moment où les besoins visés par le marché doivent être comblés, de même que l'obtention des autorisations requises pour engager des fonds et l'attestation que les biens et les services ont été reçus. L'EDT (dans le cas de services) ou la spécification des exigences (dans le cas de biens) est utilisé pour documenter ces besoins et sert de fondement pour évaluer le fournisseur et gérer le marché.

Le chargé de projet doit se conformer au processus établi et mentionné dans les différents liens que l'on retrouve sur le Carrefour. Il présente une demande de services d'approvisionnement au Centre de soutien pour les acquisitions (CSA). Dès réception de la demande, le CSA crée un dossier, et la demande est transmise pour signature d'engagement de dépenses (article 32 de la LGFP), en conformité avec l'instrument de délégation des pouvoirs de signature en matière de finances. Une fois que la demande lui est retournée, le CSA envoie le dossier complet aux SMC à des fins de traitement.

Pour certains marchés, il faut faire appel à une expertise technique afin de s'assurer que les biens et les services acquis possèdent les propriétés, les composantes et les qualifications requises pour répondre aux objectifs opérationnels prévus. À Statistique Canada, il y a cinq domaines où l'on fait appel à des autorités techniques dans le cadre du processus d'approvisionnement :

• achats de logiciels et de matériel de TI;
• services professionnels en TI;
• services de traduction et de communications;
• achats de livres;
• services d'impression et de publication.

L'autorité technique remplit un rôle de facilitation en fournissant les compétences qui sont nécessaires dans le cas de certains types de biens et de services. L'autorité technique fournit une aide technique aux chargés de projet lors de la rédaction de l'EDT et des critères d'évaluation pour les demandes de propositions. Le mandat de la sous-section responsable de la prestation de services professionnels de TI est énoncé dans les procédures d'acquisition de services professionnels de TI, que l'on peut consulter sur le Réseau de communications internes (RCI) et à partir du Carrefour.

Autorité contractante

L'autorité contractante – ce rôle étant rempli par un conseiller en matière de marchés des SMC – dispose des pouvoirs délégués lui permettant de passer des marchés en vertu de l'article 41 de la LGFP. L'autorité contractante a comme responsabilité d'assurer l'ouverture, l'équité et la transparence du processus d'octroi des marchés, et il lui incombe aussi d'autoriser les modifications des marchés.

Les bureaux régionaux comptent des membres à qui sont délégués les pouvoirs d'autorité contractante. Ces employés relèvent de la Direction de la collecte et des services régionaux, et non des SMC. Ces derniers fournissent une formation en approvisionnement et en passation de marchés au personnel régional, mais ils n'exercent pas de fonction de surveillance directe des activités d'approvisionnement au niveau régional.

Les responsabilités de l'autorité contractante sont notamment les suivantes :

• élaborer des stratégies d'approvisionnement innovatrices, souples et adaptées aux besoins;
• comprendre les besoins des clients et collaborer avec ces derniers afin qu'ils puissent atteindre leurs objectifs opérationnels;
• s'assurer que les approvisionnements envisagés s'inscrivent dans le mandat des clients;
• examiner et classer les soumissions, en collaboration avec le chargé de projet;
• veiller à ce que la réglementation et les politiques applicables soient respectés dans le cas des besoins exigeant des offres concurrentielles;
• veiller à ce que les pouvoirs de signature en vigueur à l'intérieur de l'organisme soient respectés;
• veiller à ce que les politiques et la réglementation applicables soient respectées.

Lorsqu'ils reçoivent une demande de service, les SMC examinent les besoins énoncés par le chargé de projet et déterminent la stratégie d'approvisionnement qui convient. Si l'approvisionnement n'excède pas les pouvoirs délégués de Statistique Canada, les SMC font des démarches pour obtenir les approbations requises de la stratégie d'approvisionnement, notamment l'approbation du CEM, selon la nature du marché. L'information relative à l'approvisionnement est ensuite saisie dans le Système financier ministériel commun (SFMC). Les SMC doivent gérer les processus tant concurrentiels que non concurrentiels. Si l'opération d'approvisionnement excède les pouvoirs délégués de l'organisme, les SMC envoient une demande de traitement à SPAC au moyen du SFMC. Dans un tel cas, c'est SPAC qui remplit le rôle d'autorité contractante, tandis que les SMC constituent l'autorité technique.

Les entrevues menées auprès d'autorités techniques et d'autorités contractantes ont permis de confirmer que, l'autorité contractante est responsable de l'ouverture, de l'équité et de la transparence du processus de passation de marchés. Les conseillers en matière de marchés des SMC ont confirmé que leur rôle consiste à remplir une fonction de remise en question de base afin de s'assurer que les règles sont respectées. Ils ont aussi un rôle consultatif, car ils veillent à ce que les clients qui veulent obtenir des biens et des services connaissent leurs responsabilités à titre de chargés de projet. Toutefois, ils ont aussi indiqué qu'il existe une certaine ambiguïté concernant, d'une part, la manière de donner suite de façon officielle aux questions, aux préoccupations ou aux différends éventuels, et d'autre part la question de savoir si ces situations doivent être portées à l'attention des organismes de surveillance afin de s'assurer qu'elles sont réglées comme il se doit. Le directeur général de la Direction des opérations, qui est responsable des SMC, a déclaré que, lorsque des différends surviennent, les conseillers en matière de marchés et leur chef collaborent avec les clients pour régler la situation. Ils suivent toutes les règles, et ils déterminent, documentent et communiquent tous les risques qui se posent à l'organisme.

Les principaux contrôles intégrés au processus d'approvisionnement sont appropriés et sont généralement efficaces.

Différents systèmes et contrôles clés sont en vigueur pour s'assurer que les opérations d'approvisionnement sont traitées à l'intérieur du cadre de contrôle et en conformité avec la Politique sur les marchés du SCT, la réglementation applicable, les politiques de SPAC et de Statistique Canada, et la LGFP.

Le système de gestion des demandes de service (GDS) sert à communiquer avec les clients internes et à entreposer la documentation. Ce système est utilisé pour différentes opérations à Statistique Canada. Il sert surtout pour les demandes de services de TI, mais on l'utilise aussi pour gérer les demandes et les activités relatives à l'approvisionnement ainsi que pour consigner toutes les mesures pertinentes. On établit ainsi une piste d'audit à l'égard des approbations, et on assure la conformité aux politiques et aux directives pertinentes.

Les autorités contractantes au bureau central utilisent en outre deux outils de contrôle pour s'acquitter de leurs responsabilités durant le processus : le formulaire Planification des achats et examen préalable (PAEP), et la liste de vérification des opérations. Ces outils ont été examinés dans le but d'en évaluer la pertinence et l'exhaustivité.

Le formulaire PAEP est un outil de planification obligatoire pour tous les approvisionnements d'une valeur supérieure à 25 000 $, à l'exclusion des commandes d'achat local, des commandes subséquentes et des opérations d'approvisionnement devant être traitées par SPAC. Le formulaire PAEP fait partie du processus de planification des approvisionnements; il sert à documenter officiellement les approbations préalablement à la mise en œuvre de la stratégie d'approvisionnement à l'égard des marchés d'acquisition. Les tests ont révélé que, dans le cas de 15 des 16 dossiers où l'on retrouvait un formulaire PAEP, les signatures d'approbation requises avaient été obtenues.

La liste de vérification est un outil de suivi qui énumère toutes les étapes requises du processus d'approvisionnement. Elle sert à s'assurer de la conformité aux politiques applicables et à s'assurer que les approbations requises sont obtenues. Les conseillers en passation de marchés doivent donner leur approbation lors de chaque étape, une fois celle-ci terminée. Les SMC exigent qu'une liste de vérification soit utilisée pour chaque dossier d'approvisionnement, car cette liste est considérée comme étant un contrôle clé dans le cadre du processus.

L'équipe d'audit a examiné la liste de vérification afin de voir si elle était complète et pertinente. Bien qu'il s'agisse d'une liste détaillée et pertinente des étapes à suivre, il y manque une étape, soit l'examen de l'ouverture et de l'équité des aspects techniques de l'EDT et des critères d'évaluation. L'équipe d'audit a procédé à un examen portant sur les listes de vérification dans les dossiers de marchés et a constaté que, souvent, ces listes étaient incomplètes, voire absentes. Lorsque des contrôles clés, comme la liste de vérification, ne sont pas utilisés de façon échelonnée avec les autres éléments du processus, il existe un risque que les conseillers en passation de marchés n'appliquent pas une approche cohérente pour la gestion des dossiers d'approvisionnement. Cela pourrait avoir comme conséquence le non-respect des politiques et directives en vigueur.

Les SMC ont établi un régime d'assurance de la qualité comportant l'examen d'un échantillon de dossiers après l'exécution des marchés afin de déterminer, d'évaluer, d'atténuer et de gérer les risques associés aux activités d'approvisionnement et d'assurer le respect de la LGFP, de la Politique sur les marchés du CT et du RME.

Les SMC sélectionnent un échantillon d'environ 90 dossiers par année. Des dossiers de chaque conseiller en passation de marchés sont inclus à des fins d'examen détaillé par les pairs. On détermine les correctifs à apporter, le cas échéant, et les conseillers en passation de marchés sont informés en conséquence, de manière à pouvoir améliorer leurs résultats subséquents. Il convient de noter que ce processus d'assurance de la qualité des SMC, axé sur l'examen des dossiers après l'exécution des marchés ne s'étend pas à des dossiers rattachés aux activités d'approvisionnement régionales. Le fait d'incorporer des dossiers de marchés régionaux à l'échantillon examiné à des fins d'assurance de la qualité permettrait de fournir un certain degré d'assurance quant à la conformité de ces dossiers aux politiques et directives applicables.

Le Conseil d'examen des marchés remplit un rôle de surveillance clé, mais dont la portée pourrait être élargie afin d'offrir un degré d'assurance accru à l'égard des activités d'approvisionnement.

Le CEM est chargé de formuler des recommandations à la au statisticienne en chef adjointe, Secteur du recensement, des opérations et des communications, à l'appui des décisions et des activités reliées aux approvisionnements et à la passation de marchés. Il s'agit d'un comité permanent dont le statisticien en chef adjoint, Secteur du recensement, des opérations et des communications, a approuvé la mise sur pied.

Le mandat, les termes de références ainsi que les rôles et les responsabilités du CEM sont clairement communiqués, et cette information est disponible sur le RCI. Son mandat inclut la gestion des éléments de risque, de même que la formulation d'une orientation stratégique et l'exercice d'une surveillance à l'égard des marchés à risque élevé. Les responsabilités du CEM telles que décrites dans son mandat sont les suivantes :

• Surveillance : examiner, évaluer et préapprouver les marchés à risque élevé.
• Gestion du risque : déterminer, évaluer, atténuer et gérer les risques associés aux activités d'approvisionnement, et assurer la conformité à la LGFP, à la Politique sur les marchés du CT et au RME.
• Orientation stratégique : examiner les changements proposés qui découlent des nouvelles stratégies de passation de marchés et des résultats des audits, et formuler des recommandations.

Les membres du CEM examinent les renseignements relatifs à chaque dossier qui leur est soumis et font part de leur décision (approbation ou rejet) par courriel aux SMC. Le CEM examine, évalue et préapprouve les types suivants de marchés, de commandes subséquentes à une offre à commandes et de modifications que l'organisme met de l'avant :

• Les marchés de biens et services d'une valeur de plus de 200 000 $ (taxes comprises) requis directement par Statistique Canada, qu'il s'agisse de marchés concurrentiels ou à fournisseur unique, y compris les offres à commandes et les arrangements en matière d'approvisionnement.
• Tous les marchés devant être adjugés à d'anciens fonctionnaires recevant une pension de retraite en vertu de la Loi sur la pension de la fonction publique (au sens de la Politique sur les marchés).
• Tous les marchés dont la valeur se situe en deçà de 10 % des pouvoirs délégués de Statistique Canada aux termes de la Directive du Conseil du Trésor sur les marchés, énoncée à l'appendice C de la Politique sur les marchés du Conseil du Trésor.
• Tous les marchés non concurrentiels de biens et de services lorsque les deux conditions suivantes sont réunies :
  • la valeur de ces marchés se situe en deçà de 10 % du seuil de 25 000 $ (en tenant compte des taxes applicables);
  • l'exception prévue à l'alinéa 6b) du RME s'applique (le montant estimatif de la dépense ne dépasse pas 25 000 $, taxe sur les produits et services ou taxe de vente harmonisée comprise).
• Tous les préavis d'adjudication de contrat.
• Les modifications apportées aux marchés adjugés sur une base non concurrentielle et qui portent la valeur de ces marchés à plus de 25 000 $ (taxes comprises).

L'examen du mandat du CEM montre que, outre les points mentionnés précédemment, les SMC choisissent des marchés à « risque élevé » aux fins du processus d'examen, d'évaluation et d'approbation préalable par le CEM. Il n'y a pas de définition concernant ce que l'on entend par « risque élevé ». Le chef des SMC, qui est responsable du contrôle des dossiers à risque élevé afin de déterminer si des mesures de suivi progressives sont requises, définit les marchés à risque élevé comme étant les marchés qui présentent une forte probabilité d'échec, soit dans l'exécution du marché, soit dans la mise en œuvre de la stratégie d'approvisionnement. Au cours de la période visée par l'audit, 61 dossiers d'approvisionnement ont été soumis au CEM pour examen, dont trois signalés par le chef à titre de dossiers à risque élevé.

Les entrevues avec les membres du personnel et de la direction prenant part au processus d'approvisionnement ont mis en lumière d'autres éléments de risque qui ne figurent pas dans le mandat du CEM mais qui pourraient soulever des risques de conformité :

• L'un de ces éléments de risque a trait à la gestion et au règlement des différends relatifs aux aspects techniques des processus d'approvisionnement.
• Un autre élément de risque se situe au niveau de l'acquisition de biens et de services en dehors du cadre d'approvisionnement en place (non-conformité justifiée). L'équipe de surveillance à la Direction des finances détermine quelles sont les opérations qui doivent faire l'objet d'une justification parce qu'elles ne sont pas conformes au cadre d'approvisionnement, mais ces opérations ne sont pas portées à l'attention du CEM. Du fait qu'il ne dispose pas de cette information, le CEM ne peut se faire une idée complète des risques entourant les approvisionnements à l'intérieur de l'organisme, de sorte qu'il n'est pas possible d'apporter ou d'envisager des correctifs.
• Le CEM ne remplit pas de rôle officiel concernant l'examen des différends contractuels ou des contestations émanant des fournisseurs ou faisant suite à des désaccords entre l'autorité contractante, le chargé de projet et l'autorité technique. Les SMC ont confirmé qu'il n'y a pas de processus en vigueur pour le règlement des conflits relatifs aux approvisionnements, et que le CEM n'intervient pas en cas de différends. Il serait utile que le CEM dispose de cette information dans le cadre de sa fonction de supervision et de surveillance. À l'heure actuelle, ces situations sont réglées au moyen de rencontres et de discussions entre les parties concernées, sans que le CEM participe au processus.

À partir du moment où l'on veut renforcer le rôle du CEM en matière de gestion du risque et d'orientation stratégique, les pratiques en vigueur dans l'industrie laissent penser que les organismes de gouvernance devraient examiner l'information suivante :

• les résultats du processus d'examen effectué par les SMC à des fins d'assurance de la qualité, notamment à l'égard des activités d'approvisionnement menées dans les régions;
• les rapports obligatoires que produisent actuellement les SMC à l'intention d'entités externes, ce qui comprend :
  • les rapports trimestriels (au ministre) sur tous les marchés de services adjugés à d'anciens fonctionnaires recevant une pension de retraite en vertu de la Loi sur la pension de la fonction publique;
  • le rapport annuel sur les activités d'approvisionnement (à SPAC);
  • la Stratégie d'approvisionnement auprès des entreprises autochtones (à Affaires autochtones et du Nord Canada);
  • le rapport sur le rendement (à SPAC);
• les rapports faisant état des justifications à l'égard des cas de non-conformité (information sur les opérations exécutées en dehors du cadre d'approvisionnement).

L'équipe d'audit a observé que, à l'heure actuelle, le CEM n'examine pas ces sources d'information produites par les SMC, alors qu'elles lui seraient utiles pour exécuter son mandat. Cette information servirait à renforcer le rôle du CEM en matière de gestion du risque et permettrait à ce dernier de situer en contexte les tendances générales rattachées aux activités d'approvisionnement à Statistique Canada. Cela pourrait être utile lorsqu'il faut formuler des recommandations au sujet des nouvelles stratégies de passation de marchés.

La surveillance exercée par la Direction des finances à l'appui du processus d'approvisionnement est efficace.

La Direction des finances veille à ce que les opérations d'approvisionnement et de passation de marchés soient enregistrées et soient gérées au moyen du SFMC, et ce, à trois points de vérification :

1. vérification préalable à l'engagement de fonds (article 32 de la LGFP);
2. vérification de l'assurance de la qualité préalablement aux paiements (article 34);
3. vérification de surveillance après paiement.

À partir de ces points de contrôle, le personnel des Finances s'assure que toute la documentation requise figure au dossier, notamment l'approbation de l'autorité contractante en application de l'article 41 de la LGFP, ainsi que les autorisations et les approbations requises du chargé de projet.

Au cours de la période visée par l'audit (avril 2014 à septembre 2015), le processus de dépenses en matière d'approvisionnements était exécuté manuellement et comportait l'acheminement de documents écrits (formulaires et documentation à l'appui). Ce processus nécessitaite jusqu'à six signatures par opération (sans compter la signature du receveur général une fois qu'une demande de paiement est transmise à SPAC).

Il existe une séparation claire des tâches concernant les pouvoirs d'engagement de dépenses et d'engagement de fonds (article 32 de la LGFP), le pouvoir de conclure des opérations (article 41), le pouvoir d'attestation (article 34) et le pouvoir d'effectuer des paiements (article 33). Les contrôles incorporés au module du SFMC sont efficaces aux fins d'assurer que les demandes de marchés et les marchés qui en découlent sont approuvés exclusivement par les personnes dûment autorisées à le faire.

C'est dans le but de simplifier le processus de dépenses que le système d'approbation électronique des demandes (AED) a été créé et a été mis en service dans le cadre d'un projet pilote en juin 2015. Ce système est devenu entièrement fonctionnel en décembre 2015, et toutes les autorisations en application des articles 32 et 34 de la LGFP sont désormais enregistrées électroniquement. Étant donné que l'étape d'exécution de l'audit s'est terminée en septembre 2015, l'échantillon de dossiers à examiner ne contenait qu'un petit nombre de marchés ayant été traités au moyen de ce système d'AED. Les dossiers en question étaient conformes aux politiques, aux directives et aux lignes directrices en matière de marchés.

L'équipe de surveillance à la Direction des finances procède à un examen des opérations après paiement pour vérifier la conformité à la LGFP. Cette équipe n'évalue pas le caractère approprié du mécanisme d'approvisionnement utilisé, car cette tâche incombe aux SMC. Lorsque des problèmes relatifs aux approbations en application des articles 32 et 34 de la LGFP sont décelés, le chargé de projet est informé de la situation par courriel, et il doit apporter des correctifs afin d'apporter une solution. Cela vaut aussi pour les opérations menées en dehors du cadre d'approvisionnement (où il n'y a pas de signature de l'autorité contractante en application de l'article 41). Ces situations sont consignées officiellement par la Direction des finances, et l'on indique qu'une justification doit être fournie concernant ces cas de non-conformité. L'équipe de surveillance à la Direction des finances signale les cas de non-conformité aux SMC et au dirigeant principal des finances (DPF). Après avoir analysé la situation, le DPF décide s'il y a lieu de prévoir des mesures de suivi progressives ou des mesures correctives.

L'équipe d'audit a examiné les opérations pour lesquelles une justification de la non-conformité était requise. La majorité d'entre elles découlaient du renouvellement d'abonnements et de règlements interministériels, tandis que d'autres étaient attribuables à des imprévus ou à des urgences nécessitant des mesures immédiates. Conséquemment, le DPF doit alors décider s'il y a lieu d'effectuer un paiement en dehors du cadre d'approvisionnement.

Les cas de non-conformité repérés par la Direction des finances ne font pas l'objet d'un examen par le CEM à l'heure actuelle. De ce fait, les personnes détenant un pouvoir de signature en matière d'approvisionnements ne sont pas entièrement au fait des risques reliés aux approvisionnements et à la passation de marchés qui se posent à l'organisme.

Conformité aux politiques, aux procédures, aux lois et aux règlements applicables

Les activités d'approvisionnement et de passation de marchés doivent être conformes aux exigences législatives applicables, aux politiques du CT et de SPAC, au RME et à la Directive sur la sécurité des renseignements statistiques de nature délicate de Statistique Canada.

En règle générale, les pratiques d'approvisionnement en vigueur à Statistique Canada sont conformes à la Politique sur les marchés du Conseil du Trésor, aux directives applicables ainsi qu'à la Loi sur la gestion des finances publiques.

Les exigences relatives aux activités de passation de marchés dans l'administration publique fédérale sont énoncées dans un large éventail d'instruments législatifs et stratégiques. Cela comporte des exigences législatives, comme des règlements sur les marchés et des accords commerciaux, de même que des exigences énoncées dans des politiques et des procédures du CT et de SPAC.

L'administration fédérale a pris l'engagement d'assurer l'ouverture, l'équité et la transparence des opérations d'approvisionnement et des opérations immobilières. L'exigence voulant que toutes les activités d'approvisionnement et de passation de marchés soient traitées par l'intermédiaire de conseillers en passation de marchés constitue le contrôle essentiel aux fins de déterminer, d'évaluer et d'atténuer les risques administratifs et opérationnels rattachés aux approvisionnements et aux marchés. Ces risques incluent le recours excessif à des marchés à fournisseur unique, le fractionnement de marchés, l'utilisation inappropriée de méthodes ou de mécanismes de passation de marchés, sans oublier les risques associés aux exigences de la Politique sur la sécurité du gouvernement.

Dans le but de vérifier la conformité des activités d'approvisionnement exécutées à Statistique Canada, un échantillon de 59 dossiers d'approvisionnement a été sélectionné, soit 50 dossiers du bureau central (SMC) et 9 des bureaux régionaux. Cet échantillon a été sélectionné au moyen d'une approche systématique combinée à une approche discrétionnaire fondée sur le risque, de manière à assurer une couverture adéquate des différents types d'opérations. Plus précisément, l'échantillon a permis de couvrir les mécanismes d'approvisionnement et les méthodes d'acquisition de la façon suivante :

• Dans le cas des SMC au bureau central, l'échantillon comprenait des processus concurrentiels (5), des offres à commandes concurrentielles ou des arrangements en matière d'approvisionnement (8), des processus non concurrentiels n'incluant pas d'offres à commandes ni d'arrangements en matière d'approvisionnement (21), des dossiers d'utilisation de l'outil d'approvisionnement automatisé Services professionnels en ligne (1) et des Services professionnels en informatique centrés sur les tâches (4), des processus concurrentiels traditionnels (5) et des approvisionnements effectués par l'intermédiaire de SPAC (6)
• Pour ce qui est des bureaux régionaux, l'échantillon comptait des processus concurrentiels (5), des processus non concurrentiels (3) et des approvisionnements traités dans le cadre d'offres à commandes concurrentielles ou d'arrangements en matière d'approvisionnement (1).

Les principales constatations faites lors de l'examen des dossiers de marchés ont été les suivantes :

• Mécanisme d'approvisionnement utilisé
  
  L'examen des 59 dossiers d'approvisionnement a montré que, dans chaque cas, le mécanisme d'approvisionnement utilisé était conforme aux politiques, aux directives et aux lignes directrices en matière de passation de marchés. Cela comprenait également dix dossiers où des offres à commandes obligatoires étaient en vigueur.
• Justification du recours à des marchés à fournisseur unique et examen visant à trouver des indices de fractionnement de marchés
  
  L'échantillon comprenait 23 dossiers relatifs à des marchés à fournisseur unique. L'équipe d'audit a observé que, dans chaque cas, la justification de ces marchés était bien documentée et que cette information avait été versée au dossier.
  
  Les entrevues menées auprès de membres du personnel des SMC ont permis d'apprendre que ces employés ne consultent pas la base de données du fournisseur afin de trouver des données historiques pouvant donner une indication d'un éventuel fractionnement de marchés. L'équipe d'audit a examiné les données historiques figurant aux dossiers à propos de chacun de ces fournisseurs et n'a pas trouvé de signe d'éventuel fractionnement de marchés.
• Exigences en matière de sécurité
  
  Il incombe à Statistique Canada de protéger la confidentialité de tous les renseignements statistiques de nature délicate, de manière à s'acquitter de ses responsabilités aux termes de la loi et de maintenir sa réputation d'organisme professionnel et digne de confiance. Les exigences de sécurité établies par le chargé de projet doivent correspondre au caractère délicat des renseignements auxquels ont accès les entrepreneurs, conformément à la Directive sur la sécurité des renseignements statistiques de nature délicate de Statistique Canada.
  
  L'examen des 59 dossiers d'approvisionnement a permis d'apprendre qu'il existe un processus dans le cadre duquel le personnel des services de sécurité de Statistique Canada et de SPAC exerce une fonction de remise en question des exigences de sécurité mises de l'avant par le chargé de projet. Au total, 56 des 59 dossiers examinés comprenaient la documentation requise. Pour ce qui est des trois autres dossiers, l'équipe d'audit a confirmé que la documentation relative à la vérification de sécurité était disponible sous forme de confirmation transmise par courriel aux conseillers en passation de marchés. Dans tous les cas, le niveau de sécurité exigé était conforme à la Directive sur la sécurité des renseignements statistiques de nature délicate et correspondait au caractère délicat des renseignements auxquels les fournisseurs avaient accès.
• Énoncés des travaux et critères d'évaluation des soumissionnaires
  
  L'examen des 59 dossiers d'approvisionnement a permis de conclure que les EDT et les critères d'évaluation étaient correctement établis et bien documentés, et que les justifications requises étaient documentées et versées à chaque dossier d'approvisionnement.
  
  La documentation relative au processus d'évaluation était en général détaillée et complète. Sauf dans le cas de deux dossiers, l'évaluation avait été menée conformément aux critères figurant dans la demande de propositions, et le formulaire d'évaluation était signé et figurait au dossier comme cela est exigé. L'audit a aussi montré que les SMC font preuve de rigueur dans la documentation des cas où des différends surviennent entre l'autorité contractante et un chargé de projet, ou encore entre l'autorité contractante et les fournisseurs. Cela constitue une pratique exemplaire, car elle permet d'établir une piste de vérification en cas d'examen par des parties externes.
  
  Dans le cas de 2 des 59 dossiers examinés, il y a eu un différend concernant l'application des critères d'évaluation, une plainte étant déposée par la collectivité des fournisseurs par l'entremise de SPAC à propos de l'utilisation ou de l'application des critères d'évaluation. À la suite de l'examen de ces deux dossiers et des entrevues avec des membres du personnel des SMC, l'équipe d'audit a confirmé que les différends avaient été réglés; cela dit, il n'y a pas de protocole établi à Statistique Canada pour le règlement des conflits.
• Approbation du Conseil d'examen des marchés
  
  Pour 9 des 59 dossiers d'approvisionnement examinés, l'approbation du CEM était requise conformément aux procédures documentées. Dans ces neuf dossiers, l'approbation du CEM a été obtenue et a été documentée en bonne et due forme dans le dossier.
• Autorisation par une personne détenant les pouvoirs délégués appropriés
  
  Dans 58 des 59 dossiers examinés, une personne détenant les pouvoirs délégués appropriés a approuvé le formulaire 1920, Demande de biens ou services, et a autorisé le marché. Il y a un cas où le formulaire 1920 ne figurait pas au dossier : il s'agissait d'une opération de faible montant traitée par l'intermédiaire de la bibliothèque et visant à renouveler un abonnement. Les opérations de ce genre sont repérées dans le cadre du processus d'examen après paiement mené par la Direction des finances à partir d'échantillons.
• Apports de modifications aux marchés
  
  Dans 14 des 59 dossiers d'approvisionnement examinés, des modifications avaient été apportées aux marchés. L'équipe d'audit a examiné la documentation versée aux dossiers à l'appui de ces modifications et a constaté que, dans chaque cas, les modifications étaient justifiées et avaient été mises de l'avant avant la date d'expiration du marché.
• Divulgation proactive des marchés
  
  >La Politique sur les marchés du CT requiert la divulgation des marchés d'une valeur supérieure à 10 000 $. Elle exige aussi la divulgation des modifications dont la valeur dépasse 10 000 $ ou qui ont comme effet de changer la valeur initiale du marché et de la porter à un montant supérieur à 10 000 $.
  
  Un processus d'examen est en vigueur pour vérifier que les exigences de divulgation proactive sont respectées. Le chef des SMC et le directeur général de la Direction des opérations examinent la liste des marchés avant que celle-ci soit transmise afin que l'information soit affichée sur le site Web. L'information devant être affichée à des fins de divulgation proactive est saisie sur le site Web par le personnel de la Division de la diffusion. Une fois cette tâche accomplie, et avant d'être officiellement rendue publique, l'information sur les marchés est examinée de nouveau par les SMC dans le but de s'assurer qu'elle est exacte et complète.
  
  L'équipe d'audit a vérifié que tous les marchés devant faire l'objet d'une divulgation proactive avaient bien été affichés sur le site Web de SPAC. Parmi les 59 marchés composant l'échantillon, 28 étaient d'une valeur supérieure au seuil de 10 000 $ et devaient faire l'objet d'une divulgation. Les résultats de l'examen montrent que l'information relative à 5 de ces 28 marchés sur le site Web était inexacte. Plus précisément, le mécanisme d'approvisionnement affiché n'était pas celui ayant été utilisé. De plus, deux des marchés n'avaient pas été affichés sur le site Web comme l'exige la politique applicable.
• Preuves de résultats aux fins de l'attestation en application de l'article 34 de la Loi sur la gestion des finances publiques
  
  Relativement à chaque marché faisant partie de l'échantillon, des données probantes avaient été obtenues et examinées aux fins d'attester que les biens et les services avaient été reçus, en application de l'article 34 de la LGFP. Ces données probantes provenaient au départ des fichiers de paiement de la Direction des finances. Dans certains cas, on a demandé au chargé de projet de fournir des données additionnelles concernant les biens et services reçus, compte tenu des résultats attendus tels que décrits dans l'EDT. L'audit a confirmé que les dossiers contenaient suffisamment de données probantes pour établir que les biens et les services avaient été reçus, ce qui est exigé aux fins d'attestation des paiements en application de l'article 34 de la LGFP.
  
  Les activités d'approvisionnement et de passation de marchés de Statistique Canada étaient pour la plupart conformes aux exigences législatives applicables, aux politiques du CT et de SPAC ainsi qu'au RME. Les dispositions relatives aux approvisionnements et aux marchés concordaient avec la Directive sur la sécurité des renseignements statistiques de nature délicate deStatistique Canada. Le processus en vigueur pour se conformer aux exigences de divulgation proactive doit être amélioré.

Appendix A: Audit criteria

Annexe B : Acronymes

Contexte

Aux termes de l'article 3 de la Loi sur la statistique, le mandat de Statistique Canada consiste notamment à « recueillir, compiler, analyser, dépouiller et publier des renseignements statistiques sur les activités commerciales, industrielles, financières, sociales, économiques et générales de la population et sur l'état de celle‑ci », de même qu'à « collaborer avec les ministères à la collecte, à la compilation et à la publication de renseignements statistiques ».

Le Centre canadien d'élaboration de données et de recherche économique (CDRE) a été mis sur pied dans le but d'encourager l'utilisation d'information et de données statistiques canadiennes dans le cadre d'initiatives de recherche. Fonctionnant entièrement en régime de recouvrement des coûts depuis 2011, le CDRE estime que les montants recouvrés sur une base annuelle se situeront entre 700 000 $ et 1,1 million de dollars. Le principal objectif visé par le programme du CDRE consiste à offrir aux chercheurs dont les projets ont été approuvés un accès sécurisé à des microdonnées sur les entreprises et à des microdonnées économiques à des fins de recherche analytique. Le CDRE est un entrepôt contenant à la fois des fichiers de microdonnées sur les entreprises et des fichiers de microdonnées économiques, tous ces fichiers étant suffisamment détaillés pour se prêter à des analyses complexes.

Lancé en décembre 2011, le programme du CDRE se limitait aux entités affiliées à l'administration publique fédérale. En octobre 2012, sa portée a été étendue à d'autres institutions. Jusqu'ici, plus de 60 projets ont été menés, et une centaine de chercheurs ont pu utiliser les installations du CDRE. Le programme du CDRE repose sur un modèle similaire à celui du Programme des CDR de la Division de l'accès aux microdonnées de Statistique Canada, qui comporte le traitement de microdonnées sociales confidentielles; le programme du CDRE fait de même avec des microdonnées sur les entreprises et des microdonnées économiques.

Le CDRE est situé au bureau central de Statistique Canada et relève de la Division de l'analyse économique (DAE). Il permet à Statistique Canada de combler certaines lacunes sur le plan des données et des capacités qui ont comme effet de limiter l'élaboration et l'analyse des microdonnées sur les entreprises et des microdonnées économiques. Plus précisément, le CDRE a été conçu de manière à permettre à des économistes et chercheurs hautement qualifiés de mener des travaux de recherche et d'analyse économiques portant sur des sujets d'intérêt stratégique, comme la productivité, le commerce international, les profils d'investissement et la dynamique des entreprises, et ce, tout en préservant la confidentialité et la sécurité des données utilisées. Le CDRE compte un seul emplacement.

Le chercheur souhaitant avoir accès aux données du CDRE doit soumettre un projet de recherche et être en mesure d'assumer tous les coûts reliés au projet. Le Comité de coordination de l'analyse (CCA) évalue les projets proposés en fonction de leur concordance avec le mandat de Statistique Canada. Le processus d'examen des projets comporte aussi une évaluation des résultats prévus du projet et de l'incidence de ce dernier sur la confidentialité des fournisseurs de données. Aucun projet de recherche ne sera accepté s'il est susceptible d'entraîner un manquement aux obligations de confidentialité à l'égard des fournisseurs de données.

Lorsqu'un projet de recherche est approuvé, seules les données requises pour le projet sont fournies aux chercheurs. D'abord, les données sont dépouillées de tout renseignement d'identification, comme les noms et les coordonnées, les numéros d'entreprise, la région géographique détaillée et l'industrie des fournisseurs de données, puis elles sont décalées de manière à créer une base de données synthétiques. On utilise également un mode de traitement par lots comportant un processus de contrôle exécuté par un analyste économique désigné de la DAE, dans le but de s'assurer que les chercheurs ne pourront pas identifier des observations individuelles dans leur base de données.

Outre les protocoles d'entente (PE) conclus avec d'autres ministères et organismes, tous les chercheurs doivent signer un contrat de recherche pour l'utilisation de microdonnées (CRM), qui énonce leurs responsabilités et leurs obligations redditionnelles ainsi que la nature des services fournis par Statistique Canada. Ces CRM précisent que les chercheurs ont le statut de personnes réputées être employées aux termes de la Loi sur la statistique, et qu'ils doivent se conformer à toutes les exigences de confidentialité applicables aux employés de Statistique Canada, ce qui comprend un processus d'enquête de sécurité, le serment de Statistique Canada et le respect du Code de valeurs et d'éthique de la fonction publique.

Objectifs de l'audit

Les objectifs de l'audit sont de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) l'assurance que le programme du CDRE :

• a mis en place un cadre redditionnel approprié afin de préserver la confidentialité des renseignements et des données statistiques de nature délicate;
• a établi des mécanismes de contrôle efficaces pour préserver la confidentialité des sources de données et pour assurer la conformité aux politiques et lignes directrices du Secrétariat du Conseil du Trésor (SCT) et de Statistique Canada en matière de sécurité des technologies de l'information (TI) et de sécurité matérielle dans le contexte de la prestation de ses services.

Portée

L'audit a comporté un examen détaillé de la pertinence et de l'efficacité des systèmes et processus établis pour assurer la protection et la confidentialité des renseignements et des données statistiques de nature délicate détenus par le CDRE. Les points examinés comprennent ce qui suit :

• l'attribution des rôles, des responsabilités et des obligations redditionnelles, notamment ceux des chercheurs;
• les processus d'examen, d'évaluation et d'approbation des projets de recherche;
• la conclusion des contrats de recherche pour l'utilisation de microdonnées (CRM) et la procédure suivie pour obtenir les autorisations de sécurité requises à l'égard des chercheurs;
• les processus de masquage et de contrôle des données;
• les contrôles physiques et informatiques en place dans le cadre du programme du CDRE.

On a également évalué la conformité aux politiques et aux lignes directrices du SCT et de Statistique Canada en matière de sécurité et de confidentialité des données.

Approche et méthodologie

L'audit a englobé un examen de la documentation pertinente, des entrevues avec des cadres supérieurs et des employés clés, de même que des tests de contrôle détaillés de fichiers associés à des projets afin de s'assurer de la conformité aux politiques et aux lignes directrices applicables.

Le travail mené sur le terrain a aussi compris l'examen, l'évaluation et la mise à l'essai des contrôles de sécurité matérielle et des contrôles informatiques en place afin de garantir la sécurité et la confidentialité des renseignements et des données de nature délicate que détient le CDRE dans les locaux de ce dernier au bureau central de Statistique Canada.

Afin de tester l'efficacité et l'uniformité des principaux contrôles, on a sélectionné un échantillon de projets de recherche menés au cours des deux dernières années.

Cet audit a été mené conformément aux Normes relatives à la vérification interne au sein du gouvernement du Canada, qui comprennent les Normes internationales pour la pratique professionnelle de l'audit interne de l'Institute of Internal Auditors (IIA).

Autorité

L'audit a été mené en vertu de l'autorité conférée par le Plan intégré de vérification et d'évaluation fondé sur les risques pour 2014‑2015 à 2018‑2019 de Statistique Canada.

Environnement de contrôle entourant l'administration du programme du CDRE

L'administration du programme du CDRE repose sur une combinaison de responsabilités et de procédures destinées à contrôler l'accès aux données mises à la disposition de chercheurs externes ainsi qu'à protéger la confidentialité de ces données. L'accès aux locaux doit être limité aux chercheurs détenant une autorisation de sécurité valide et ayant signé un contrat valide. Les chercheurs doivent avoir uniquement accès aux données dont l'utilisation a été approuvée aux termes de leur contrat.

Instruments habilitants

Le programme du CDRE mène ses activités en vertu des dispositions de la Loi sur la statistique et en conformité avec les règles et exigences de confidentialité qui régissent Statistique Canada. Seuls les chercheurs dont le projet a été approuvé et qui ont prêté serment à titre de personnes réputées être employées en application de la Loi sur la statistique peuvent avoir accès au programme.

Les rôles et les responsabilités du personnel clé du programme du CDRE ont été définis, ont été communiqués et sont compris comme il se doit.

Les rôles, les responsabilités, les procédures et les pratiques de gestion et d'exécution du CDRE sont définis et documentés dans la note du 23 juin 2015 énonçant les lignes directrices applicables au CDRE ainsi que dans la note décrivant chaque étape des tâches et fournissant des conseils sur les pratiques exemplaires à l'intention des analystes du CDRE, qui date également du 23 juin 2015.

Ces deux documents décrivent les rôles et les responsabilités des personnes suivantes : l'analyste de la DAE désigné à titre de responsable d'un chercheur au CDRE; le personnel administratif, le personnel responsable des TI et les gestionnaires du CDRE; les chercheurs (personnes réputées être employées); la division responsable des TI et les divisions spécialisées (autres que la DAE); les comités internes et externes. Également, ils traitent en détail des procédures et pratiques entourant la présentation, l'évaluation et l'approbation des projets de recherche, les enquêtes de sécurité, l'établissement des contrats, les modalités aux fins de devenir une personne réputée être employée, l'essai des systèmes, l'exécution des projets et la prolongation des contrats.

Les données recueillies lors des entrevues ont permis de confirmer que le personnel du programme du CDRE ainsi que les intervenants clés comprennent comme il se doit les rôles, les responsabilités et les modalités redditionnelles des principaux employés responsables du programme.

Les éléments composant la structure opérationnelle du CDRE et assurant la viabilité du programme n'ont pas entièrement été mis en place.

Le programme du CDRE est établi dans les locaux de la DAE. À titre de gestionnaire du programme, le directeur de la DAE est responsable de l'élaboration et du fonctionnement de ce dernier. Il compte sur l'aide d'un économiste à temps plein et de quatre analystes de la DAE, dont les multiples responsabilités comprennent le CDRE en plus des responsabilités fonctionnelles de leur poste au sein de la Division. Cela revient à dire que la gestion du programme est assurée par deux membres du personnel à temps plein.

Les entrevues ont révélé qu'il peut y avoir jusqu'à six chercheurs, ou même plus, qui utilisent les installations du programme lors des périodes de pointe. Un examen du profil de risque sectoriel pour la DAE nous apprend que l'un des risques a trait au roulement élevé du personnel, ce qui donne lieu à des lacunes au niveau des compétences requises au CDRE pour fournir les services aux clients.

Au fil de l'expansion du programme et à mesure que des infrastructures additionnelles deviennent nécessaires pour garantir la confidentialité et la sécurité des données fournies par le programme, il serait possible d'évaluer l'orientation stratégique de ce dernier, ses besoins opérationnels généraux et le partage de connaissances requis, de manière à en assurer la viabilité à long terme.

Les rôles, les responsabilités et les obligations redditionnelles des chercheurs ont été clairement définis et sont compris comme il se doit.

Les chercheurs sont des personnes réputées être employées aux termes de la Loi sur la statistique, ainsi que le prévoit le contrat de recherche pour l'utilisation de microdonnées (CRM) qu'ils ont conclu avec le programme. Une fois qu'un CRM est en vigueur, un processus est prévu afin de s'assurer que l'autorisation de sécurité requise (cote de fiabilité) a été attribuée à chaque chercheur par l'organisme gouvernemental ou non gouvernemental parrain, et ce, avant que le chercheur puisse avoir accès aux données du CDRE.

Le CRM énonce les rôles, les responsabilités et les obligations redditionnelles du chercheur ainsi que la nature des recherches devant être menées. Une fois le CRM signé, le chercheur doit participer à une séance d'orientation officielle du CDRE, qui porte sur le cadre réglementaire régissant le CDRE, sur les lignes directrices et les opérations du Centre ainsi que sur les responsabilités des personnes réputées être employées dans ce contexte. Bien que ces séances soient menées par un analyste de la DAE et ne se déroulent qu'à l'occasion, le gestionnaire du programme du CDRE fournira une orientation informelle aux nouveaux chercheurs jusqu'à ce qu'ils puissent assister à la séance officielle. Cette dernière réitère l'information communiquée de façon formelle au moyen du CRM et sert de rappel des obligations des chercheurs en application des politiques et des lignes directrices en vigueur, notamment la Politique sur la protection des renseignements personnels et la confidentialité et la Directive sur l'utilisation de personnes réputées être employées de Statistique Canada

Il ressort des entrevues menées auprès d'un échantillon de cinq chercheurs que les chercheurs sont informés de leurs rôles, de leurs responsabilités et de leurs obligations redditionnelles; l'audit a en outre confirmé que ces chercheurs avaient assisté à la séance d'orientation avant d'obtenir l'accès aux données.

Un processus robuste d'examen et d'approbation de projets ainsi que des mécanismes de gouvernance ont été établis, mais ils n'étaient pas toujours étayés par une documentation complète.

Le processus d'examen, d'évaluation et d'approbation des projets comprend les quatre éléments suivants, décrits dans le document de juin 2015 qui portait sur les projets du CDRE et l'examen du processus d'approbation et qui est intitulé Projects in CDER - Review of approval process – June 2015 : (1) une évaluation de la faisabilité et des coûts du projet; (2) un examen par les pairs ou un autre type d'examen professionnel afin d'évaluer la valeur du projet sur le plan professionnel ainsi que les qualifications du chercheur; (3) une évaluation de la concordance du projet avec le mandat de Statistique Canada; (4) une procédure d'approbation officielle.

Dans le cadre de l'audit, on a examiné un échantillon de 11 des 65 CRM conclus de juillet 2013 à juillet 2015. Le choix de ces projets, dont cinq étaient en cours et six étaient terminés, a reposé sur le jugement professionnel. Parmi les cinq projets en cours, deux ont été soumis par des institutions affiliées à une administration publique et les trois autres, par des institutions sans affiliation à une administration publique. Cet échantillon a servi à évaluer la conformité au processus d'évaluation des projets de recherche en vigueur, le respect des exigences du programme du CDRE et l'obtention des approbations requises de la part des organes de gouvernance compétents.

Les tests effectués ont montré que le processus en vigueur était respecté dans l'ensemble, mais qu'il y avait un manque d'uniformité en ce qui concerne la documentation du déroulement et des résultats du processus d'examen et d'approbation des projets. Plus précisément, on disposait d'une documentation limitée à l'appui de l'examen des coûts et de la faisabilité des projets ainsi que de l'examen par les pairs et de l'examen institutionnel.

Les processus de renouvellement et d'approbation des projets étaient appliqués de façon uniforme, et les approbations requises étaient obtenues.

Conformément aux exigences de sécurité en vigueur à Statistique Canada, un CRM valide est requis pour qu'un chercheur obtienne un droit d'accès. De plus, les chercheurs, à titre de personnes réputées être employées, doivent se conformer aux modalités d'accès aux microdonnées qui sont énoncées dans la Politique sur l'accès aux microdonnées.

Il arrive à l'occasion que des projets soient prolongés et qu'une modification doive être apportée à des contrats. Dans un tel cas, le personnel du CDRE reçoit une demande de prolongation de la part du chercheur et vérifie si ce dernier demeure affilié à son parrain et détient une autorisation de sécurité valide pour l'ensemble de la période visée par la prolongation.

Le processus d'examen et d'approbation des demandes de prolongation de projets était appliqué de façon uniforme. Une demande de prolongation avait été présentée à l'égard de trois des cinq projets en cours ayant fait l'objet d'un examen. Dans les trois cas, malgré la présence d'écarts entre la date de fin de contrat et la date de modification du contrat, on disposait de documents démontrant que la prolongation avait été accordée conformément au processus approprié, et que les approbations requises avaient été obtenues. Les laissez‑passer des chercheurs concernés ont été suspendus lors des périodes correspondant aux écarts.

On a aussi constaté qu'un chercheur international avait pris part à l'un des trois projets examinés où une prolongation avait été demandée. L'examen de la documentation a révélé que l'information aux fins d'autorisation de sécurité de ce chercheur n'avait pas été confirmée par le programme pour la période de prolongation. L'enquête effectuée durant l'audit a confirmé que le chercheur disposait bien d'une autorisation de sécurité valide pour la période de prolongation du contrat.

Gérance des données, contrôle de confidentialité et couplage de données

Des protocoles internes et des contrôles assurant la saine gestion des données doivent être en place pour assurer la protection des données de Statistique Canada pendant l'ensemble de leur cycle de vie.

Gérance des données

Des processus efficaces ont été établis pour compiler et créer des bases de données synthétiques, mais ces processus ne sont pas documentés, et l'on ne procède pas à des examens formels.

Pour protéger la confidentialité des données, on ne communique jamais de microdonnées réelles aux chercheurs; ceux‑ci reçoivent uniquement des données synthétiques. Un analyste de la DAE compile les bases de données dont les chercheurs ont besoin une fois que leur projet est approuvé.

Les données synthétiques sont créées au moyen d'un algorithme élaboré par le directeur du programme du CDRE : on examine d'abord les données réelles afin de repérer tout problème possible sur le plan de la confidentialité et de déterminer quelles variables doivent être préservées. Tous les renseignements d'identification sont supprimés des bases de données, et les caractéristiques d'une société donnée sont réarrangées. Le nom du fichier de données synthétiques se termine par « _syn.dat ». Il s'agit de l'identificateur clé permettant de savoir que les données ont été converties. Toutes les données synthétiques sont considérées comme étant confidentielles, et elles ne peuvent être consultées que dans les locaux du programme du CDRE. Ce processus constitue un contrôle clé dans le cadre du programme pour protéger les sources de données et éviter tout problème de confidentialité.

Lors de l'audit, on a constaté que le processus de création de données synthétiques n'a pas été documenté en bonne et due forme, et que le directeur et l'employé affecté à temps plein au programme sont les seuls à connaître la méthodologie permettant d'utiliser l'algorithme. Étant donné le nombre restreint de personnes pouvant se servir de l'algorithme, il existe un risque de perte de connaissances concernant ce contrôle clé si les employés en question quittent la division ou l'organisation.

On a aussi noté l'absence d'examen formel des fichiers de données synthétiques dans le but de vérifier, non seulement que les données ont été suffisamment décalées afin de protéger la confidentialité de leurs fournisseurs, mais qu'elles ont été associées au code d'utilisateur correspondant au chercheur conformément au CRM approuvé.

Contrôle de confidentialité

Le contrôle de confidentialité est le processus de filtrage des produits de recherche, de fichiers de syntaxe ou de documents se rapportant à des données confidentielles pour évaluer le risque de divulgation non autorisée. Pour ce faire, on analyse s'il est possible d'inférer ou de déduire des données d'identification évidentes de cas particuliers ou des renseignements concernant des cas particuliers à partir des produits statistiques.

Le programme du CDRE est un entrepôt de fichiers de microdonnées sur les entreprises et de microdonnées économiques auxquels ont accès les chercheurs dont le projet a été approuvé. Il faut prévoir et appliquer des processus et des procédures efficaces et appropriés aux fins de contrôle de confidentialité afin de réduire les risques de divulgation non désirée. Le contrôle de confidentialité doit être exécuté soigneusement par l'analyste du programme, conformément aux protocoles établis, afin de veiller à ce que la confidentialité des données ne soit pas compromise.

Des pratiques et des procédures de contrôle de confidentialité sont mises en œuvre, mais elles n'ont pas été documentées. Il n'y a pas d'exigence d'examen formel et d'approbation des résultats de ce processus de contrôle de confidentialité des données.

Les chercheurs examinent et analysent leurs données synthétiques, puis ils demandent l'autorisation du programme du CDRE pour diffuser leurs travaux de recherche à l'extérieur de Statistique Canada. Ces travaux comprennent des analyses effectuées à partir des données synthétiques sous forme agrégée.

Préalablement à toute diffusion de données, le personnel du CDRE exécute un processus de contrôle de confidentialité. C'est à l'analyste désigné de la DAE qu'il incombe de déceler les situations où il existe un risque que la confidentialité des données soit compromise lors du traitement. Ces considérations relatives à la confidentialité sont intégrées dans un outil automatisé de contrôle de la divulgation mis au point à Statistique Canada et appelé G‑Confid. Cet outil assure le degré de protection approprié à l'égard des tableaux de données confidentielles tout en réduisant les pertes de données synthétisées. La formation et la documentation d'orientation destinées aux analystes se limitent à la façon d'utiliser G‑Confid. Or, le processus de contrôle de confidentialité fait intervenir un élément de subjectivité important, selon la complexité des travaux de recherche.

Les résultats des entrevues ont confirmé que l'on procède bien au contrôle de confidentialité des données; cependant, les tests ont révélé qu'il n'y avait pas à l'heure actuelle de documentation exposant les étapes à suivre pour procéder à ce contrôle, entre autres les hypothèses et les situations dont doit tenir compte l'analyste de la DAE. Il n'y avait pas de preuve documentaire de contrôle de confidentialité pour les cinq projets en cours qui ont été examinés et concernant lesquels l'équipe d'audit a demandé des données. On a aussi établi qu'il n'y avait pas d'information permettant d'établir que le gestionnaire du programme du CDRE avait approuvé officiellement les résultats du contrôle de confidentialité des données dans le cas de ces cinq projets.

L'équipe d'audit a été informée du fait que le CDRE élabore des lignes directrices ainsi qu'une liste de vérification à remplir par les analystes lors du contrôle de confidentialité des produits de données.

Couplage de données

Un processus de couplage de données robuste est en vigueur et est appliqué de façon uniforme.

Il arrive à l'occasion que des chercheurs présentent une demande de couplage de données. Le programme doit alors soumettre un formulaire de couplage d'enregistrements fournissant des renseignements détaillés sur le couplage proposé, et notamment sur les mesures de sécurité prévues afin de protéger la confidentialité des données couplées. Ces demandes sont préparées à la suite de consultations auprès du chercheur et du secteur de programme concerné de Statistique Canada. Les demandes sont ensuite examinées par le directeur du secteur de programme afin d'en évaluer l'incidence sur la confidentialité des sources de données. Le processus d'approbation des demandes fait intervenir la Division de la gestion de l'information (DGI) de Statistique Canada, le statisticien en chef adjoint (SCA) responsable du secteur de programme et, ultimement, le Conseil exécutif de gestion (CEG), soit l'étape où le statisticien en chef donne son consentement. Ce processus ainsi que les responsabilités des secteurs de programme concernés de Statistique Canada sont énoncés dans la Directive sur le couplage d'enregistrements, disponible sur le Réseau de communications internes (RCI) de Statistique Canada.

Dans l'un des cinq projets en cours qui ont été examinés, une demande de couplage a été présentée. L'équipe d'audit a demandé le formulaire de demande de couplage de données dans le cadre de ce projet, et elle a pu constater que la demande avait été approuvée par le SCA de la division et par le statisticien en chef avant que l'accès aux données soit accordé.

Dans l'ensemble, l'audit a permis de constater qu'un processus robuste est en vigueur et est appliqué de façon uniforme afin de vérifier que les demandes de couplage de données ne soulèvent pas de risque que des sources de données soient révélées; on a aussi observé que le processus d'approbation était respecté à l'égard des demandes émanant du programme du CDRE.

Sécurité matérielle et sécurité des technologies de l'information (TI)

Les contrôles physiques et informatiques à l'intérieur du programme du CDRE doivent être conformes aux politiques et aux lignes directrices applicables du Conseil du Trésor et de Statistique Canada.

L'accès physique aux locaux de Statistique Canada est protégé, mais les chercheurs présents ne font pas toujours l'objet d'une surveillance active par le personnel du CDRE.

Une fois qu'un CRM a été signé, le chercheur participant au programme du CDRE reçoit, à titre de personne réputée être employée de Statistique Canada, une carte d'identité avec photo qui lui donne accès aux locaux du programme du CDRE; ces locaux font partie de la DAE de Statistique Canada, à l'immeuble R.-H.-Coats.

L'audit a révélé que, malgré le fait que le programme du CDRE mène ses activités dans le même environnement de sécurité matérielle que les programmes réguliers, il ne dispose pas de son propre espace désigné à titre de zone à accès physique restreint. Les postes de travail réservés aux chercheurs sont aménagés dans des cubicules ouverts; certains de ces postes de travail sont regroupés, tandis que d'autres sont isolés ou sont mélangés à ceux d'employés de la DAE travaillant sur le même étage.

Les entrevues ont permis d'apprendre que les chercheurs doivent être supervisés par l'analyste désigné de la DAE lorsqu'ils se trouvent dans les locaux du CDRE entre 8 h et 18 h du lundi au vendredi. Les lignes directrices actuelles ne traitent pas de la surveillance des activités des chercheurs. Il ressort des entrevues avec des analystes de la DAE et avec un échantillon de chercheurs que la plupart des analystes finissent de travailler entre 16 h et 18 h, mais qu'ils ne vérifient pas si le chercheur qui leur a été confié est encore dans les locaux avant de partir, et que les chercheurs vont parfois rester sur place sans supervision jusqu'à 18 h.

À titre de mesure de contrôle compensatoire, on procédait à la fermeture automatique des ordinateurs à 18 h, de sorte que les chercheurs ne pouvaient avoir accès aux données après les heures d'activité du CDRE. Toutefois, par suite d'une migration entre systèmes au cours de l'exercice 2015‑2016, cette fonctionnalité a été désactivée et n'a pas été réactivée. Les chercheurs pourraient donc rester sur place et poursuivre leurs travaux de recherche après les heures d'activité du programme sans être supervisés.

Les chercheurs ne sont pas autorisés à utiliser des téléphones cellulaires, mais les employés du CDRE ont indiqué lors des entrevues qu'ils n'imposaient pas le respect de cette règle et qu'ils n'exerçaient pas de surveillance à cet égard.

Des contrôles d'accès et des mesures d'identification et d'authentification efficaces sont en place.

Le programme du CDRE compte sur un processus aux termes duquel un compte peut être créé pour un chercheur uniquement lorsqu'un CRM est approuvé et entre en vigueur. À la date d'expiration du CRM, le compte informatique d'utilisateur du chercheur est supprimé; il peut être rétabli uniquement si le directeur de la DAE autorise la prolongation du CRM.

L'établissement d'un compte informatique d'utilisateur assorti d'un mot de passe permet au chercheur d'avoir accès au répertoire de son projet de recherche sur le serveur du CDRE. Ce répertoire contient les ensembles de données approuvés et créés spécialement pour le projet par l'analyste désigné de la DAE. Les opérations exécutées sur le serveur du programme font l'objet de vérifications au hasard à l'aide d'un système de répertoires actifs dans Microsoft.

Pour confirmer que les chercheurs ont accès uniquement aux ensembles de données approuvés ainsi que cela est prévu dans leur CRM, l'équipe d'audit a effectué une sélection discrétionnaire et a examiné les privilèges d'utilisateurs de cinq chercheurs à partir de 65 CRM conclus de juillet 2013 à juillet 2015. Les résultats confirment que les chercheurs n'avaient accès qu'au répertoire de leur projet de recherche, et que les ensembles de données conservés dans le répertoire de leur projet concordaient avec leur CRM. Les tentatives en vue de consulter les répertoires d'autres projets de recherche sur le serveur en utilisant leur compte d'utilisateur et leur mot de passe n'ont pas fonctionné.

Une piste d'audit a été établie dans le cadre du système d'envoi par lots aux fins de consigner les activités des chercheurs lorsqu'ils ont accès à des microdonnées réelles. Une fois les données mises à la disposition des chercheurs, les membres du personnel de la DAE affectés au programme du CDRE ont comme tâche de surveiller l'accès des chercheurs aux microdonnées; cependant, il n'y a pas encore de protocole officiel établissant la manière dont cette surveillance doit être exercée et dont les résultats doivent être documentés.

Les mécanismes de protection des systèmes de TI fonctionnent comme prévu.

Les tests menés ont montré que les postes de travail des chercheurs ne permettent pas d'accéder à l'Internet ni aux imprimantes de la DAE. Il y a seulement un poste de travail désigné, situé dans un endroit isolé, qui offre l'accès à l'Internet. Les ports USB sont désactivés, et les postes de travail ne sont pas munis de claviers ni de souris sans fil.

On n'a pas effectué d'évaluation des contrôles informatiques en place pour le programme.

Il ressort des entrevues qu'aucune évaluation de la menace et des risques (EMR) n'a été menée à l'égard de la sécurité des TI avant le lancement du programme du CDRE, et qu'il n'y a pas eu d'inspections périodiques du programme. En l'absence d'EMR et d'inspections périodiques portant sur la sécurité, il est difficile d'évaluer ou d'atténuer les vulnérabilités découlant de la surveillance inadéquate des chercheurs, ce qui fait entrave à la saine gestion et à la protection de la confidentialité des renseignements du CDRE.

Annexe A – Critères d'audit

Annexe B – Acronymes

Contexte

La Division de la statistique de la santé (DSS) de Statistique Canada a le mandat de fournir des données exactes, à jour et pertinentes sur la santé des Canadiens. La DSS fournit de l'information statistique sur la santé de la population, les déterminants de la santé ainsi que la portée et l'utilisation des ressources en soins de santé au Canada. Cette information aide planificateurs et décideurs du secteur de la santé de tous ordres de gouvernement à soutenir la recherche démographique et épidémiologique et à rendre compte à la population canadienne de sa santé collective et du système de soins de santé. La DSS travaille en partenariat avec les registres provinciaux et territoriaux de la statistique de l'état civil et du cancer, de même qu'avec des fournisseurs et des utilisateurs de données aux niveaux fédéral (Santé Canada et l'Agence de la santé publique du Canada), provincial (ministères provinciaux de la Santé) et régional (régions sociosanitaires).

Pour réaliser son mandat, la DSS conclut des accords de partage de données (APD) avec d'autres organisations en vertu des articles 11 et 12 de la Loi sur la statistique. Ces accords touchent presque toutes les enquêtes-entreprises ainsi que la majorité des enquêtes-ménages et prévoient certaines exceptions concernant la diffusion des renseignements confidentiels sur les répondants, avec ou sans leur consentement, à la condition que toutes les parties respectent les exigences prévues par la loi en matière de fourniture de renseignements sur le partage des données, de droits liés au consentement et de protection de la confidentialité. En général, il y a partage de données à des fins statistiques lorsqu'une enquête statistique et d'information est entreprise par les partenaires d'une enquête conjointe, ou qu'une source de données communes est la propriété à parts égales d'au moins deux partenaires. On procède au partage de données lorsque celui-ci entraîne une réduction importante du fardeau de réponse et des coûts de participation pour les partenaires du partage des données, ainsi que des améliorations de l'exactitude, de la couverture, de la pertinence et de l'actualité des données statistiques.

Les APD constituent un processus opérationnel clé en raison des défis liés à la confidentialité et à la protection des données. Statistique Canada a conclu un accord général de partage de données couvrant les enquêtes sur la santé avec le ministère de la Santé du Nouveau-Brunswick (MSNB), en application de l'article 12 de la Loi sur la statistique. Les enquêtes sur la santé menées dans le cadre de l'Enquête sur la santé dans les collectivités canadiennes (ESCC), de l'Enquête nationale sur la santé de la population (ENSP) et de l'Enquête sur les personnes ayant une maladie chronique au Canada (EPMCC) sont visées par cet accord.

L'ESCC a pour objet de recueillir des renseignements sur l'état de santé, l'utilisation des soins de santé et les déterminants de la santé pour la population canadienne. Le premier volet de l'ESCC est une enquête annuelle (ESCC – Composante annuelle) réalisée auprès d'un vaste échantillon de répondants et conçue pour fournir des estimations fiables à l'échelle de la région sociosanitaire. Le deuxième volet est une enquête axée sur un sujet spécifique lié à la santé tel que la nutrition, la santé mentale ou le vieillissement en santé, qui est réalisée à peu près tous les trois ans. L'enquête annuelle doit son caractère unique à la nature régionale de son contenu et de sa mise en œuvre.

L'ENSP est une enquête longitudinale qui fournit des renseignements uniques sur la santé des Canadiens. Le cycle final de cette enquête couvrait la période de 2010 à 2011. Dans le cadre de cette enquête bisannuelle, les mêmes personnes fournissent des renseignements détaillés et à jour sur leur état de santé physique et mentale, leur utilisation des services de soins de santé, leurs activités physiques, leur vie au travail et leur environnement social. L'ENSP vise à recueillir des renseignements sur la santé de la population canadienne ainsi que des renseignements sociodémographiques connexes. La dernière édition permettra aux chercheurs d'accéder à neuf cycles de données longitudinales sur la santé afin d'examiner l'évolution de l'état de santé de la population canadienne entre 1994-1995 et 2010-2011.

L'EPMCC est une enquête transversale menée pour le compte de l'Agence de la santé publique du Canada qui permet de recueillir des renseignements sur l'expérience des Canadiens qui ont des problèmes de santé chroniques. L'EPMCC est produite tous les deux ou trois ans et couvre deux maladies chroniques par cycle d'enquête. Les objectifs de l'enquête consistent à : déterminer l'impact des problèmes de santé chroniques sur la qualité de vie; fournir plus de renseignements sur la façon dont les gens gèrent leurs problèmes de santé chroniques; déterminer les comportements influant sur la santé qui ont une incidence sur les effets de la maladie; identifier les obstacles à l'autogestion des problèmes de santé chroniques. La dernière enquête remonte à 2014.

Le milieu de la recherche et d'autres professionnels de la santé font une grande utilisation de ces données. Les ministères fédéraux et provinciaux de la Santé et des Ressources humaines, les organismes de services sociaux et d'autres organismes gouvernementaux utilisent l'information recueillie auprès des répondants pour planifier, mettre en œuvre et évaluer les programmes visant à améliorer la santé de la population et l'efficacité des services de santé. Des organismes sans but lucratif et des chercheurs universitaires utilisent l'information pour réaliser des travaux de recherche sur les façons d'améliorer la santé.

Objectif de l'audit

L'objectif de l'audit consistait à fournir au statisticien en chef et au Comité de vérification de Statistique Canada l'assurance que :

• les modalités de l'accord sur le partage de données conclu par Statistique Canada et le ministère de la Santé du Nouveau-Brunswick sont respectées.

Portée

La portée comportait un examen de la conformité aux modalités stipulées dans l'APD afin d'assurer la protection de la confidentialité et de la nature délicate des renseignements recueillis. L'audit a porté plus particulièrement sur les mesures de protection de la confidentialité et de la sécurité (accès physique, stockage et transmission des données électroniques, entreposage physique, copie et rétention de l'information et gestion des dossiers) au MSNB afin d'assurer la protection des données et le respect de la confidentialité.

Approche et méthodologie

Le travail d'audit comprenait un examen des documents, des entrevues avec des cadres supérieurs et des membres du personnel, et un examen de la conformité aux politiques et lignes directrices applicables (pour plus de détail, voir l'Annexe A - Critères d'audit).

Les travaux suivants sur le terrain ont été exécutés :

• un examen et une évaluation des processus et procédures décrits dans les modalités de l'APD conclu avec le MSNB, l'accent étant mis sur la présence et le respect des exigences de sécurité et sur le maintien de la confidentialité des données;
• la mise à l'essai des contrôles de l'application des systèmes et des procédures d'authentification et d'accès;
• un examen du modèle d'entente de partage des données avec des tiers.

L'audit s'est déroulé conformément aux Normes de vérification du gouvernement du Canada, qui comprennent les Normes internationales pour la pratique professionnelle de l'audit interne de l'Institute of Internal Auditors.

Pouvoirs

L'audit a été mené en vertu des pouvoirs prévus dans le Plan intégré de vérification et d'évaluation fondé sur les risques pour 2015-2016 à 2019-2020, qui a été approuvé par Statistique Canada.

Environnement de contrôle pour la gestion de l'accord sur le partage de données

Les pouvoirs, responsabilités et obligations redditionnelles doivent être clairement définis et compris à tous les niveaux pour appuyer une gestion efficace des modalités de l'AGPD. Il faut mettre en place un mécanisme de surveillance des pratiques, comme le stipulent les modalités de l'AGPD, de manière à prévenir toute divulgation non désirée des données de Statistique Canada.

Les pouvoirs sont définis

Dans l'exercice de son mandat, Statistique Canada conclut des APD statistiques avec d'autres organisations aux termes des articles 11 et 12 de la Loi sur la statistique. Les rôles et responsabilités liés aux exigences en matière d'élaboration, de mise en œuvre et de surveillance des APD sont énoncés dans la Directive sur le partage des données en vertu des articles 11 et 12. Cette directive précise que la Division de la gestion de l'information (DGI), de concert avec les Services juridiques, rédige les APD à la demande des directeurs des programmes statistiques. La DGI doit également fournir le soutien nécessaire aux gestionnaires au moment de l'élaboration de nouveaux APD ou d'APD modifiés avec les destinataires, en application de l'article 12 de la Loi sur la statistique. Les divisions spécialisées sont chargées de communiquer avec les organisations destinataires durant les négociations et la rédaction des accords.

Des processus et des procédures pour la gestion de l'APD ont été établis au MSNB

Les données confidentielles de Statistique Canada sont gérées par deux directions du MSNB : la Direction de l'analytique assume la responsabilité du cycle de vie des données de Statistique Canada; la Direction des solutions de santé, d'affaires et de technologies fournit des services techniques liés aux données de Statistique Canada, comme les privilèges d'accès aux TI, le stockage de données électroniques, la maintenance et la sécurité ainsi que le processus de transmission des données électroniques utilisé pour recevoir les données de Statistique Canada. Les deux entités relèvent du sous-ministre adjoint (SMA) des Services ministériels, qui assume la responsabilité ultime des données tirées des enquêtes sur la santé de Statistique Canada.

Les données de Statistique Canada sont gérées par des employés de longue date qui comprennent leurs rôles et responsabilités en matière de réception, de stockage et de partage des données de Statistique Canada. L'administrateur de données occupe ce poste depuis 11 ans. Cependant, il a récemment été affecté à un autre projet dans un autre ministère et devra transférer ses responsabilités d'administrateur de données au directeur de la Direction de l'analytique au moment de son départ. En outre, les responsabilités de l'administrateur de données et les processus à utiliser pour satisfaire aux exigences stipulées dans l'APD n'ont pas été documentés. Bien qu'il ne s'agisse pas d'une exigence stipulée dans l'APD, le MSNB a convenu, comme bonne pratique de gestion, de documenter ces responsabilités et processus.

Les pratiques en matière d'administration et d'utilisation des renseignements confidentiels de Statistique Canada doivent être renforcées au MSNB

Au MSNB, six utilisateurs ont accès aux données de Statistique Canada data – deux analystes de programmes et quatre analystes statistiques à la Direction de l'analytique qui sont responsables de l'analyse des données et de la production de données agrégées pour le compte des programmes internes du MSNB et d'organisations externes.

Pendant les 11 dernières années, l'administrateur de données a exercé les fonctions associées à la gestion et au stockage des données de Statistique Canada et à l'approbation des accès à ces données. Les demandes d'accès formulées par les utilisateurs sont reçues par courriel ou par téléphone par l'administrateur de données, qui en retour communique avec le groupe des TI par courriel ou par téléphone afin d'accorder les privilèges d'accès à l'utilisateur approuvé. Il s'agit d'une pratique informelle qui ne comporte aucune preuve d'un processus documenté d'approbation, tel que stipulé dans les modalités de l'APD.

La section 5 de l'APD comporte des lignes directrices strictes régissant l'utilisation de l'information. Au MSNB, les analystes statistiques ont normalement accès aux données afin de pouvoir les analyser et de produire des données agrégées à l'interne à des fins de recherche statistique ou dans le cadre du mandat du MSNB qui doit réaliser des évaluations de la santé des collectivités. Le comité responsable de la gérance des données a élaboré un protocole pour l'examen des données du Ministère en fonction d'une liste d'identificateurs avant la diffusion ou la distribution de données agrégées. Les entrevues ont révélé que des examens informels peuvent être exécutés pour des rapports de données agrégées avant leur distribution, cependant ces examens ne sont pas appuyés par un processus document d'examen et d'approbation. Cette situation n'est pas conforme avec l'APD.

L'accord général de partage des données et le modèle d'entente de partage des données avec des tiers du MSNB comportent une clause de surveillance

Des clauses visant la surveillance sont prescrites dans l'AGPD conclu par Statistique Canada avec le MSNB. L'APD stipule de plus que les accords que le MSNB conclut avec de tierces parties « doivent comporter une clause stipulant le droit de Statistique Canada ou de l'organisation réceptrice de vérifier la conformité aux modalités du présent accord ».

Le MSNB exige des organisations externes avec lesquelles il partagera des données de Statistique Canada qu'elles signent un APD. Un examen du modèle d'APD utilisé par le MSNB a révélé qu'il inclut une clause d'audit stipulant que « Le sous-traitant donnera au MSNB ou à ses représentants un accès raisonnable au sous-traitant et à ses installations aux fins d'examen des mesures de sécurité et d'autres enregistrements ou renseignements afin de mener les audits et les examens de la sécurité jugés nécessaires par l'AG et pour vérifier le respecter par le sous-traitant des modalités du présent accord. »

L'administrateur de données approuve toutes les demandes de partage de données avec des tiers. Au moment de l'audit, le MSNB ne partageait pas de données sur la santé tirées d'enquêtes de Statistique Canada avec des régies régionales de la santé, des chercheurs liés par contrat, des instituts de recherche provinciaux, territoriaux ou universitaires ni aucune autre organisation.

Gérance des données

Des protocoles et contrôles internes pour une saine gestion des données doivent être en place afin d'assurer la protection des données tirées des enquêtes sur la santé de Statistique Canada pendant toute la durée du cycle de vie.

Des processus sont en place et surveillés afin de satisfaire aux exigences stipulées dans l'APD

Statistique Canada transmet les fichiers de données par voie électronique à l'administrateur de données du MSNB. Ces fichiers sont protégés par mot de passe et chiffrés durant le transfert. Lorsqu'un fichier de données est reçu de Statistique Canada, l'administrateur de données est avisé de la présence du fichier dans le coffre-fort électronique et demande un mot de passe à Statistique Canada afin de pouvoir accéder au fichier et le déchiffrer. Par la suite, il envoie un accusé de réception à Statistique Canada.

Le fichier de données est téléversé par l'administrateur de données sur son lecteur réseau personnel sécurisé, puis sauvegardé dans un dossier à accès restreint à l'intérieur d'un dossier Microsoft SharePoint, dans lequel toutes les données de Statistique Canada sont conservées et gérées. Après la sauvegarde du fichier dans SharePoint, l'administrateur de données supprime la copie du fichier sur son lecteur réseau personnel. Des essais ont révélé que les « fichiers de partage de données » reçus de Statistique Canada sont enregistrés dans un dossier SharePoint auquel peuvent accéder les employés autorisés à accéder aux données, tandis que les « fichiers de couplage » sont enregistrés dans un dossier SharePoint privé auquel seul l'administrateur de données peut accéder. L'administrateur de données est la seule personne qui peut approuver un accès au dossier SharePoint.

L'administrateur de données ne s'acquitte pas de toutes les responsabilités stipulées dans l'APD

Comme il est stipulé à l'Annexe C de l'APD, l'administrateur de données est responsable du respect de trois exigences clés : 1) préparer un document sur la confidentialité et s'assurer que toutes les personnes autorisées à accéder aux données de Statistique Canada signent ce document; 2) tenir à jour un registre officiel des fichiers de données reçus de Statistique Canada; et 3) tenir à jour le Registre des accès aux fichiers de données per toutes les personnes autorisées à accéder aux données de Statistique Canada.

Document sur la confidentialité

L'Annexe C stipule que l'administrateur de données doit « préparer un document à l'intention des employés et des sous-traitants de la partie destinataire dans lequel on décrit les modalités régissant l'usage des renseignements, ainsi que les procédures à respecter pour envoyer, recevoir, manipuler et stocker les renseignements (ci-après appelé le « document sur la confidentialité ») ». Avant d'accorder un accès à des renseignements de Statistique Canada, l'administrateur de données doit s'assurer que tous les employés et sous-traitants qui doivent accéder à ces renseignements ont convenu par écrit de respecter les modalités de l'APD, en reconnaissant par leur signature qu'ils ont lu et compris les modalités de l'APD telles qu'elles sont stipulées dans le document sur la confidentialité et qu'ils s'engagent à les respecter.

L'équipe d'audit a constaté que le document sur la confidentialité utilisé par le MSNB n'est pas à jour et n'a pas été actualisé de manière à refléter l'ensemble des exigences stipulées à l'Annexe C de l'accord général signé le 10 mars 2014, spécifiquement les sections 4, 5, 6 et 10, et celles stipulées à l'Annexe A et à l'Annexe B de l'APD. Par conséquent, les employés ne sont pas familiers avec les exigences stipulées dans ces sections. Tous les utilisateurs approuvés, à l'exception de l'administrateur de données, ont signé le document sur la confidentialité périmé.

Registre des fichiers de données

L'équipe d'audit a constaté que le registre des fichiers de données reçus de Statistique Canada n'a pas été tenu à jour, comme il est pourtant stipulé. Le MSNB avait supposé erronément que tous les renseignements nécessaires à tenir à jour étaient enregistrés dans le dossier SharePoint. Cependant, l'examen du site SharePoint a révélé que plusieurs renseignements étaient absents, notamment le nom de l'employé qui a reçu le fichier de Statistique Canada, le nom de la personne à Statistique Canada qui a envoyé le fichier ainsi que le nom de l'employé responsable de la garde du fichier.

Registre des accès aux fichiers de données

Le Registre des accès aux fichiers de données n'a pas non plus été tenu à jour, comme il est pourtant stipulé. Le MSNB a fourni la liste de tous les employés qui ont eu accès aux données de Statistique Canada dans le dossier SharePoint, toutefois la liste ne mentionne pas tous les renseignements requis, notamment le nom du fichier et la période de référence, le nom de l'employé ou du sous-traitant à qui un accès a été accordé, le nom de la personne qui a autorisé l'accès, la date d'autorisation ainsi que les dates de début et de fin de la période pour laquelle l'accès avait été autorisé.

Le MSNB a mis en place un processus de gestion des risques afin de cerner et de surveiller les risques

L'équipe d'audit a constaté que les risques pour le ministère de la Santé du Nouveau-Brunswick (MSNB) sont gérés par l'entremise de son cadre de politique fondamental (Politique du ministère sur la vie privée; Guide sur la protection de la vie privée et la sécurité; Politique sur le cadre de sécurité de l'information), qui est fondé sur la Loi sur le droit à l'information et la protection de la vie privée et la Loi sur l'accès et la protection en matière de renseignements personnels, ainsi que sur la Politique sur la sécurité des systèmes d'information du gouvernement du Nouveau-Brunswick et les normes et directives connexes.

Le chef de la protection des renseignements personnels (CPRP) supervise le programme de gestion des renseignements personnels du MSNB, la composante responsable de la surveillance et de la gestion à l'échelle du Ministère des risques et des responsabilités du MSNB en matière de renseignements personnels. Un comité responsable de la gérance des données, présidé par le CPRP, est responsable des changements apportés aux politiques et des demandes d'accès à des volumes importants de données, et un groupe de travail est chargé d'évaluer les lacunes à l'échelle du Ministère et de s'assurer que les recommandations à l'égard de ces lacunes sont bien mises en œuvre.

Les employés doivent suivre la formation générale sur la Loi sur l'accès et la protection en matière de renseignements personnels au cours des six semaines suivant leur embauche et tous les ans par la suite; ils doivent également reconnaître par leur signature qu'ils ont lu et compris les politiques relatives à la protection des renseignements personnels et à l'accès à l'information, aux conflits d'intérêts et aux accès à Internet à l'occasion de leurs évaluations annuelles du rendement.

Des processus pour la déclaration des atteintes à la vie privée sont en place et sont régis par la Politique du ministère sur la vie privée administrée par le CPRP, qui fait enquête sur tous les incidents en matière de protection de la vie privée. Les entrevues et un examen du Rapport sur les incidents pour 2014 du MSNB n'ont révélé aucun incident en matière de protection de la vie privée touchant les données de Statistique Canada.

Sécurité matérielle et sécurité des technologies de l'information

Les renseignements, sur papier ou sous forme électronique, doivent être contrôlés et protégés contre les pertes, les vols, les incidents compromettants et les divulgations inappropriées. L'accès aux données doit uniquement être accordé aux employés ou aux sous-traitants au besoin pour produire un produit ou service lié à une enquête au seul bénéfice du MSNB et en application de son mandat.

Les accès physiques et les systèmes de stockage sont sécurisés

Les bureaux du MSNB sont situés au centre-ville de Fredericton, et son centre de données (où est hébergé le serveur de données de Statistique Canada) est situé hors site dans une installation appartenant au gouvernement du Nouveau-Brunswick qui est administrée par l'Agence des services d'information du Nouveau-Brunswick. Des contrôles rigoureux des accès physiques sont en place aux deux emplacements, notamment des portes verrouillées en tout temps et un système d'accès par carte utilisé à la fois pour l'ascenseur et pour le reste des installations. Aucun accès par carte n'est accordé aux invités, et les visiteurs doivent être escortés par une personne autorisée du MSNB en tout temps. Les entrevues ont révélé que les cartes d'accès sont régulièrement mises à jour afin de refléter les départs des employés.

La visite du centre de données a révélé que les entrées du bâtiment sont équipées de caméras de sécurité. Il est nécessaire d'obtenir une autorisation au préalable pour visiter le centre de données, et à la signature du registre des visiteurs à la réception, les visiteurs doivent aussi signer un document de non-divulgation. Un audit du registre des visiteurs est exécuté chaque année et le registre est comparé aux billets d'accès remis aux visiteurs. Tous les serveurs et équipements sont installés dans des armoires verrouillées, et des caméras de sécurité sont installées le long de certains rangs de serveurs. La salle des serveurs comporte un système d'extinction des incendies, des systèmes de refroidissement et un générateur électrique de secours. L'aire physique où sont hébergés les serveurs est protégée par des murs, des plafonds et des planchers en béton.

Des clauses régissant l'élimination et le retour ou la destruction des données partagées qui ne sont plus utilisées sont incluses dans l'APD. Avant la mise en œuvre du processus de transmission des données électroniques, les fichiers de Statistique Canada files étaient transmis au MSNB par l'entremise de CD-ROM chiffrés. Bien que toutes les données de Statistique Canada reçues sur CD-ROM ou par transmission électronique soient encore utilisées et stockées sur le réseau du MSNB, l'administrateur de données a indiqué que les CD-ROM avaient été détruits.

Des mesures de sécurité efficaces sont en place pour les mesures d'identification et d'authentification, les systèmes TI de stockage et la transmission des données électroniques

Les essais des contrôles d'accès logique menés avec l'administrateur de données et d'autres employés du groupe d'études analytiques a révélé que seuls les employés à qui on avait accordé un accès aux données de Statistique Canada peuvent accéder au dossier SharePoint dans lequel les données de Statistique Canada sont hébergées, et que seul l'administrateur de données a accès à son dossier SharePoint seuls les employés dans lequel les fichiers couplés de Statistique Canada sont hébergés. Un mot de passe est nécessaire pour accéder au réseau du MSNB, qui permet un accès automatique au dossier SharePoint. L'accès aux données de Statistique Canada dans SharePoint est restreint aux seuls employés approuvés par l'administrateur de données. Seuls l'administrateur de données et le directeur de la Direction de l'analytique ont des privilèges d'accès en mode lecture-écriture aux données stockées dans les dossiers SharePoint. Les six autres utilisateurs ont seulement des privilèges d'accès en mode lecture. Les analystes téléchargent une copie du fichier voulu sur leur lecteur personnel sécurisé pour travailler sur les données aux fins statistiques ou de recherche; ils ont confirmé qu'une fois leur analyse achevée, ils suppriment le fichier de leur lecteur personnel.

L'accès réseau aux fichiers de données de Statistique Canada ne respecte pas les modalités de l'APD

Les modalités de l'APD stipulent que l'accès aux renseignements confidentiels de Statistique Canada au MSNB doit être accordé aux employés au besoin pour produire un produit ou service lié à une enquête au seul bénéfice du MSNB et en application de son mandat. L'équipe d'audit a testé cette exigence en vérifiant quels employés avaient des privilèges d'accès au dossier dans lequel sont conservés les fichiers de données de Statistique Canada, ainsi que l'objet et la fréquence de ces accès. L'équipe d'audit a constaté qu'une fois que des privilèges d'accès sont accordés à un employé, ces privilèges sont seulement révoqués lorsqu'ils changent de poste ou quittent le MSNB. Les privilèges d'accès ne sont pas réexaminés périodiquement.

La section 1 de l'Annexe A de l'APD stipule que « L'accès aux renseignements partagés doit se faire uniquement dans un emplacement sécurisé accessible uniquement à des personnes autorisées. » Les entrevues ont révélé qu'un utilisateur approuvé des données de Statistique Canada peut accéder à ces données à distance depuis sa résidence. L'administrateur de données a informé l'équipe d'audit qu'on avait avisé verbalement l'utilisateur de cesser d'accéder aux données de Statistique Canada à distance. L'employé a affirmé qu'il n'avait pas accédé aux données de Statistique Canada, ni travaillé sur de telles données, au cours des trois ou quatre dernières années, mais qu'il était toujours en mesure d'accéder aux données depuis sa résidence. Cette situation ne respecte pas les exigences de l'APD et pourrait permettre un accès et une utilisation non autorisés des données, ainsi que la compromission de renseignements confidentiels.

De saines mesures de sécurité sont en place pour la copie et la rétention des renseignements et la gestion des enregistrements

Les renseignements conservés sur les serveurs de bases de données sont sauvegardés quotidiennement sur des bandes chiffrées qui sont elles-mêmes conservées hors-site dans un immeuble sécurisé. L'examen du Cadre de la politique de sécurité du MSNB a révélé que sa politique sur la sécurité interdit la transmission de données par télécopieur ou par courriel, ainsi que le stockage des données sur des dispositifs transportables (CD-ROM, clé USB, disque dur, ordinateur portable). Les données ne doivent quitter pas les locaux du Ministère ni être copiées. Les employés doivent s'assurer que les renseignements confidentiels sont placés dans des bacs verrouillés de documents à déchiqueter, dont le contenu est géré par une entreprise privée de déchiquetage.

Annexe A : Critères d'audit

Annexe B : Acronymes

Principales constatations

Statistique Canada mène constamment à bien ses projets et l'organisme ne cesse d'évaluer les façons d'améliorer ses pratiques opérationnelles. Le CGPO, mis au point par le BGPO, fait part des attentes ainsi que de l'orientation stratégique adoptée pour la gestion des projets de l'organisme. Il décrit les pouvoirs, les rôles et les responsabilités du BGPO, des principaux responsables au sein des équipes de gestion de projet, des comités de surveillance et des autres intervenants clés.

Le BGPO soutient les fonctions de gestion des projets et des portefeuilles de l'organisme, ainsi que ses comités de gouvernance, en servant de ressource; en fournissant des processus, des pratiques et des outils normalisés; et en assurant la gestion du portefeuille des projets. L'audit a révélé des incohérences dans les pratiques de gouvernance. Ces incohérences, conjuguées à l'expérience ou l'expertise limitées des gestionnaires de projet en matière de gestion de projets, obligent le BGPO à consacrer une quantité substantielle de temps à assurer un suivi auprès des gestionnaires de projet par rapport aux livrables manquants au lieu de fournir un soutien stratégique en matière de gestion de projets à l'organisme.

Le CGPO reconnaît l'importance de la gestion des risques et des enjeux dans le cadre d'une gestion robuste des projets, mais il fournit actuellement une orientation limitée par rapport aux processus de détermination, d'évaluation, de communication et de contrôle des risques liés aux projets et de leurs interdépendances au sein du cycle de vie des projets. De plus, les rôles et les responsabilités des principaux membres des équipes de projet et des comités de surveillance relativement à la gestion des risques et au contrôle des interdépendances des projets n'ont pas été clairement définis à l'intérieur du CGPO.

Le BGPO a créé et adopté l'Outil de gestion des changements, des enjeux et des risques (OGCER) pour mieux documenter et contrôler les risques et les enjeux liés aux projets, mais son utilisation n'est pas devenue obligatoire pour tous les projets. On faisait en outre, au moment de l'audit, l'essai d'un outil de suivi des interdépendances des projets limité aux projets liés à l'Architecture opérationnelle du Bureau.

Le CGPO exige actuellement la documentation des bases de référence des projets, notamment les coûts estimatifs et les gains de rendement prévus, à divers points du cycle de vie des projets. Il prévoit également le remplissage de modèles par l'équipe du projet. Les hypothèses faites au cours de la détermination des bases de référence des coûts et des gains de rendement ne sont pas systématiquement documentées de façon officielle.

L'équipe d'audit n'a pas pu évaluer la fiabilité et l'intégralité de ces bases de référence ni déterminer si tous les intervenants des projets ont été consultés lors de la détermination ou de l'examen des hypothèses relatives aux coûts et aux gains de rendement. Les modifications apportées aux bases de référence de la portée d'un projet, au calendrier ou aux coûts et gains de rendement ne sont pas constamment documentées de façon officielle comme prévu, ce qui affecte la transparence des modifications aux projets – c.-à-d. le nombre de modifications apportées à un projet et son coût final global ou les gains de rendement anticipés.

Comme le précise le CGPO, les tableaux de bord mensuels de la direction pour les projets doivent être préparés et vérifiés suivant la structure de gouvernance établie pour chaque projet. Comme l'équipe d'audit a relevé des faiblesses dans la fiabilité et l'intégralité des rapports préparés parmi un échantillon de tableaux de bord, le BGPO est en train de revoir son modèle de Tableau de bord de la direction pour les projets afin de rendre l'état de chaque projet plus transparent.

La preuve conservée pour démontrer que les comités de surveillance des projets examinent et approuvent systématiquement les tableaux de bord de la direction mensuels pour les projets de façon opportune est limitée.

Les résultats opérationnels prévus sont documentés dans l'analyse de rentabilisation, mais dans certains cas, ces résultats ne sont pas suffisamment détaillés pour permettre une compréhension des avantages du projet pour l'organisme, et ils ne sont pas non plus mesurables. Sans résultats mesurables clairement définis, il est difficile d'évaluer si un projet a atteint les objectifs qu'il devait atteindre.

L'équipe d'audit a noté parmi l'échantillon de projets vérifiés ayant été menés à bien/clos que les gestionnaires de projet n'effectuent pas systématiquement une évaluation intégrale des résultats par rapport aux objectifs initiaux ou revus.

Conclusion

L'organisme a créé et implanté, par le truchement du BGPO, un cadre de gestion des projets correspondant aux exigences détaillées dans la Politique sur la gestion des projets du Conseil du Trésor et il encourage une approche systématique de gestion des projets. L'établissement du cadre s'avérait essentiel compte tenu des projets de transformation déterminants et complexes réalisés au sein de l'organisme.

Il faut clarifier davantage les rôles et les responsabilités, fournir une orientation à tous les intervenants et obliger l'utilisation de l'OGCER au sein des divers domaines de gestion des risques pour renforcer la capacité des organismes de gouvernance et des principaux participants de déterminer, d'évaluer, de communiquer et de contrôler efficacement les risques des projets, les enjeux pertinents, et leurs interdépendances. De telles mesures assureront une gestion efficiente et efficace des projets, et aboutiront à une conformité accrue avec le CGPO. Elles contribueront en outre à assurer l'établissement des bases de référence des projets, notamment les coûts et les gains de rendement prévus, dans le cadre d'une saine administration, à assurer une surveillance plus efficace de l'état des projets et à améliorer les résultats obtenus comparativement aux résultats escomptés.

Conformité avec les normes professionnelles

L'audit a été réalisé conformément aux Normes de vérification du gouvernement du Canada, qui comprennent les Normes internationales pour la pratique professionnelle de l'audit interne de l'Institute des auditeurs internes.

Des procédures d'audit suffisantes et appropriées ont été suivies. Les éléments probants recueillies appuient l'exactitude des constatations et des conclusions du présent rapport et procurent une assurance de niveau audit. Les constatations et les conclusions reposent sur une comparaison de la situation prévalant au moment de l'audit avec des critères d'audit préétablis. Les constatations et les conclusions s'appliquent à l'entité examinée selon la portée et la période de référence de l'audit.

Patrice Prud'homme
Dirigeant principal de l'audit

Contexte

Statistique Canada a, à titre de bureau national de la statistique du Canada, le mandat de servir les besoins de tous les ordres de gouvernement, institutions canadiennes et Canadiens en matière de statistique. La fourniture de données de haute qualité à l'appui des principaux programmes de statistique économique, environnementale et sociale a un impact déterminant sur la répartition du budget de Statistique Canada. L'organisme a fait état, dans son Plan d'investissement, d'un investissement de 512 millions de dollars dans des projets (tous à partir des niveaux de référence existants) au cours des exercices 2011-2012 à 2015-2016 pour répondre à ses besoins opérationnels. Le projet le plus important était le Recensement de la population de 2011 et l'Enquête nationale auprès des ménages de 2011, d'un coût estimatif de 360 millions de dollars.

En avril 2010, Statistique Canada a créé le Bureau de gestion des projets de l'organisme (BGPO) afin d'assurer une direction, une formation et un soutien dans l'élaboration de processus et d'outils de gestion de projets communs devant être employés par tous les projets aux fins de l'amélioration de l'exécution opportune des projets tout en respectant les coûts, la portée des projets et les normes de qualité prescrites.

Le BGPO a lancé en avril 2011 le Cadre de gestion des projets de l'organisme (CGPO) et il a mis en application la Politique sur la gestion des projets du Conseil du Trésor. Le Cadre représente une série de processus, de modèles et d'outils de gestion de projets normalisés qui sont utilisés tout au long du cycle de vie d'un projet pour l'amorçage, la planification, l'exécution, la surveillance et la clôture d'un projet.

Tous les projets de Statistique Canada d'un coût total de 150 000 $ et plus doivent être conformes au CGPO, mais l'emploi du cadre est également recommandé dans le cas des projets de moins de 150 000 $. Statistique Canada a mis au point le CGPO en se fondant sur les normes internationales de l'industrie, notamment le Guide du Corpus des connaissances en management de projet, publié par le Project Management Institute.

Ces dernières années, plus d'un millier de participants ont assisté à des séances de formation et d'information visant une sensibilisation graduelle à l'utilisation et à l'importance du CGPO.

Les processus d'approbation des projets de Statistique Canada sont intégrés par le truchement du CGPO et ils sont harmonisés avec son Processus intégré de planification stratégique (PIPS). Le PIPS englobe la gouvernance de la gestion des projets, la surveillance du rendement et la gestion des risques. Le PIPS est assujetti à un calendrier d'activités annuel définissant clairement la gouvernance, les éléments, les activités et les produits prévus pertinents au cours de chacune des phases de planification.

Le CGPO comporte six stades : 1) la définition du concept; 2) l'évaluation du projet; 3) le lancement du projet; 4) la planification du projet; 5) l'exécution du projet et 6) la clôture du projet. Lorsque le projet est terminé, on réalise un examen ultérieur au lancement. Les livrables et les exigences relatives à la gestion des projets sont définis dans le CGPO en fonction du niveau d'évaluation des risques et de la complexité du projet visé et de son stade courant. Des documents clés doivent être préparés et soumis à l'examen et à l'approbation des points de contrôle à chacun des stades.

Une gestion efficace des projets est primordiale pour que Statistique Canada assure une optimisation des ressources et fasse preuve d'une administration avisée dans la mise en œuvre des programmes. Pour être plus précis, une approche détaillée de gestion des projets intégrée à l'échelle de l'organisme et correspondant au niveau de risque et de complexité des projets améliorera la probabilité de l'atteinte des résultats des projets.

Objectifs de l'audit

Les objectifs de l'audit étaient de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) l'assurance que :

• l'organisme dispose d'un cadre de gestion des projets efficace et adéquat pour assurer l'emploi d'une approche systématique de gestion de ses projets et des interdépendances connexes en conformité avec la Politique sur la gestion des projets du Conseil du Trésor;
• les projets sont gérés conformément au CGPO et aux outils connexes, et qu'ils font l'objet d'un suivi par rapport aux jalons établis et aux résultats escomptés.

Portée

S'insérait dans la portée de cet audit un examen de la pertinence et de l'efficacité des pratiques de gouvernance et de contrôle à l'appui d'une responsabilisation claire et des fonctions de surveillance, d'examen minutieux et de remise en question. Était également prévu un examen de l'efficacité des processus de gestion des risques pour la détermination des principaux risques auxquels sont exposés les projets, notamment pour l'élaboration et le contrôle des stratégies de gestion des risques.

Finalement, la portée de l'audit prévoyait un examen des processus et des contrôles opérationnels permettant l'utilisation uniforme d'un cadre commun de gestion des projets ainsi que des outils, de la formation et des pratiques de gestion de l'information soutenant des décisions éclairées en matière de gestion de projets.

L'audit prévoyait une évaluation des activités de gestion des projets au cours de la période du 1er avril 2011 au 31 mars 2014.

Approche et méthodologie

Les travaux d'audit ont comporté un examen de documents; un examen des procédures, des lignes directrices et des cadres pertinents du processus de gestion des projets; et la tenue d'entrevues avec des représentants clés de la haute direction, un échantillon de gestionnaires de projet, des représentants du BGPO et un échantillon de membres de comités de surveillance. Les travaux sur le terrain ont par ailleurs comporté un examen d'un échantillon de dossiers de projets visant une évaluation de l'uniformité des activités de gestion de projets et leur conformité avec le CGPO.

La sélection de l'échantillon de 12 projets a reposé sur une approche d'échantillonnage au jugé tenant compte de la taille, du nombre de rajustements et de la complexité de chaque projet. Le tableau qui suit présente une ventilation de l'échantillon.

Cet audit a été réalisé conformément aux Normes internationales pour la pratique professionnelle de l'audit interne de l'Institute des auditeurs internes et à la Politique sur la vérification interne du Conseil du Trésor.

Pouvoirs

L'audit a été mené en vertu des pouvoirs prévus dans le Plan d'audit et d'évaluation fondé sur les risques de Statistique Canada pour la période de 2014 à 2019.

Gouvernance, rôles et responsabilités

L'orientation stratégique de Statistique Canada en matière de gestion de projets devrait être documentée et communiquée adéquatement au moyen d'un cadre définissant clairement les pouvoirs, les responsabilités et les obligations de rendre compte en ce qui a trait au lancement, à la planification, à l'exécution et à la clôture des projets. Le BGPO devrait en plus munir les employés des outils, des ressources, de l'information et de la formation nécessaires pour qu'ils s'acquittent de leurs responsabilités et atteignent les résultats escomptés.

L'orientation stratégique en matière de gestion de projets et les rôles et responsabilités clés à cet égard ont été clairement définis et documentés dans le CGPO.

L'orientation stratégique en matière de gestion de projets au sein de l'organisme a officiellement été documentée et communiquée au moyen des lignes directrices du CGPO. Non seulement le CGPO définit-il la gestion des projets à l'intention de l'organisme, mais il a également mis en place un ensemble de processus, de modèles et d'outils de gestion de projets normalisés pour guider les activités de gestion de projets à l'échelle de l'organisme. Le CGPO a en outre défini les livrables liés à la gestion des projets requis à chaque stade d'un projet : 1) la définition du concept; 2) l'évaluation du projet; 3) le lancement du projet; 4) la planification du projet; 5) l'exécution du projet et 6) la clôture du projet.

L'audit a révélé que le CGPO a défini clairement les rôles, les responsabilités et les pouvoirs de l'équipe du projet, notamment ceux du gestionnaire de projet, de la direction et des parrains opérationnels. Il a aussi défini les responsabilités des principaux comités de surveillance, notamment les comités directeurs des projets, le Comité de gestion de l'Architecture opérationnelle du Bureau (AOB) (CGAOB) et les conseils de planification de secteur (CPS).

L'équipe d'audit a toutefois relevé des possibilités de clarification des rôles, des responsabilités et des pouvoirs des comités de surveillance, des gestionnaires de projet et d'autres intervenants par rapport aux aspects de la gestion des risques, de la détermination, l'évaluation et la communication des interdépendances des projets, et de la détermination des coûts des projets et des prévisions pertinentes. Les possibilités en question sont exposées plus en détail dans les sections « Gestion des risques et des enjeux, et interdépendances des projets » et « Bases de référence des projets, notamment coûts et gains de rendement prévus » du présent rapport.

Le BGPO n'a pas tenu de liste complète des projets courants, y compris leurs budgets et dépenses totaux approuvés.

L'audit a révélé que le BGPO a récemment créé une base de données pour suivre tous les projets et initiatives en cours à l'échelle de Statistique Canada. Vu les limites du Système de gestion du budget et des recettes, du système de budget de l'organisation et du Système de rapports financiers, l'information financière peut seulement être produite pour un seul exercice à la fois.

En conséquence, plusieurs rapports doivent être produits pour l'analyse lorsqu'on souhaite obtenir le budget total approuvé d'un projet et les dépenses engagées dans le cadre du projet. Au moment de l'audit, le BGPO n'assurait pas la tenue de données de référence sur le budget approuvé total et les dépenses de chaque projet.

La gouvernance et la surveillance des projets est uniforme dans le cas des projets liés à l'AOB, mais les pratiques divergeaient dans le cas des projets non liés à l'AOB.

Même si le CGPO décrit les attentes de l'organisme quant au niveau de gouvernance et de surveillance auquel doivent être assujettis les projets selon leur niveau de complexité, l'équipe d'audit a relevé des incohérences dans les pratiques de gouvernance et de surveillance établies dans le cas des projets non liés à l'AOB.

En particulier, même si l'équipe d'audit a noté que des comités directeurs avaient été créés pour les projets liés à l'AOB et que les CPS assuraient une surveillance systématique des projets de l'AOB, le niveau de surveillance fourni par les comités directeurs des projets et les CPS variait dans le cas des projets non liés à l'AOB. Par exemple, même si le CGPO exige que tous les projets mettent sur pied un comité directeur, l'équipe d'audit a repéré trois projets (sur sept projets vérifiés) n'ayant pas fait l'objet d'une surveillance d'un comité directeur, mais qui se trouvaient seulement sous la surveillance du parrain du projet.

L'audit a de plus révélé que du 4e au 6e stade du cycle de vie de gestion des projets, les rôles et les responsabilités des CPS ont varié en fonction du type de projet et de son domaine, décelant notamment des incohérences dans le niveau de documentation tenue en guise de preuve des prises de décisions et du franchissement des points de contrôle à ces stades, nommément dans le cas des projets non liés à l'AOB.

L'audit a démontré que le cadre supérieur responsable du CGPO ne fait pas partie des comités de gouvernance de la gestion clés. L'inclusion du statisticien en chef adjoint responsable de cette fonction au sein de tels comités assurerait l'inclusion régulière des considérations relatives au CGPO dans les délibérations du Comité, assurerait un examen plus détaillé et plus robuste, et accroîtrait la rigueur de la fonction de remise en question de la gestion des projets.

Sans l'établissement d'une gouvernance et d'une surveillance convenables de tous les projets, y compris les projets non liés à l'AOB, il subsiste un risque accru que les livrables de gestion des projets ne soient pas remis en question et approuvés à l'échelon pertinent, ce qui entraîne une utilisation inefficace des ressources de l'organisme.

On n'a pas établi d'attentes en ce qui a trait à l'expérience des gestionnaires de projet et à leurs titres.

Le CGPO n'établit actuellement pas d'exigences minimales quant au niveau d'expérience ou aux titres des gestionnaires de projet. Ces derniers sont généralement affectés à des projets en fonction de leur disponibilité et de leur expertise spécialisée dans le domaine du projet plutôt qu'en fonction de leur expérience ou expertise en matière de gestion de projets. La majorité des gestionnaires de projet rencontrés en entrevue ont ainsi indiqué avoir peu ou pas d'expérience antérieure en gestion de projets, et seulement un gestionnaire de projet (sur les 12 interviewés) était titulaire de titres connexes. Dans certains cas, les personnes en question géraient des projets complexes de grande envergure.

L'absence d'un niveau minimal d'expérience de la gestion de projets (ou de titres) des personnes gérant des projets complexes au nom de l'organisme accroît le risque que les gestionnaires de projet gèrent de façon inefficiente et inefficace leurs projets selon les attentes décrites dans le CGPO.

Une formation sur la gestion des projets a été préparée pour des rôles clés, mais elle n'est pas devenue obligatoire.

Une série de programmes de formation ont été préparés et mis à la disposition des gestionnaires de projet et des cadres supérieurs. On offre expressément à l'intention des gestionnaires de projet une séance de formation de trois jours sur les techniques de base de la gestion des projets et une séance de formation interne d'une journée sur les exigences du CGPO, le processus des points de contrôle et la façon de préparer les livrables de gestion des projets. Le BGPO a aussi préparé des séances de formation individuelles sur des outils clés de gestion de projets, comme l'Outil de gestion des changements, des enjeux et des risques (OGCER) et le Tableau de bord de la direction pour les projets.

L'audit a révélé que les gestionnaires de projet responsables des projets vérifiés n'avaient en général pas suivi les séances de formation sur la gestion des projets qui leur étaient offertes, car celles-ci ne sont actuellement pas obligatoires. L'absence de formation des gestionnaires de projet, conjuguée à l'absence d'imposition aux gestionnaires de projet d'exigences minimales en fait d'expérience de la gestion de projets ou de titres liées à la complexité des projets a abouti à des incohérences dans le niveau de compréhension et d'utilisation du CGPO et des outils connexes. Ces incohérences ont transparu dans l'utilisation irrégulière des outils de gestion de projets faite par les gestionnaires de projet et le niveau de raffinement de certains livrables de gestion des projets observés lors de la vérification des projets échantillonnés.  

On a de plus créé en 2012, un cours intitulé Cadre de gestion des projets de l'organisme pour gestionnaires visant à familiariser les cadres supérieurs au CGPO et à leurs rôles et responsabilités. Outre certains autres sujets, le cours couvre les aspects suivants : l'interprétation et l'approbation des tableaux de bord de projets, les enjeux pertinents et la gestion des risques, la raison pour laquelle la gouvernance est cruciale dans le cadre de la gestion de projets, les stades du CGPO et le processus des points de contrôle. Comme ce cours a été mis sur pied en tant que projet pilote, il n'est actuellement pas offert aux cadres supérieurs et, à l'exemple de la formation offerte aux gestionnaires de projet, il n'est pas devenu obligatoire pour les cadres supérieurs qui assument normalement des responsabilités relativement à la surveillance de projets.

Gestion des risques et des enjeux, et interdépendances des projets

Le CGPO devrait exiger et fournir des outils permettant une détermination, une évaluation, un contrôle et une communication continus des risques et des interdépendances des projets, internes et externes.

Le CGPO fournit une orientation limitée sur la gestion des risques et le contrôle des interdépendances des projets au sein du cycle de vie des projets.

Le CGPO fournit actuellement une orientation de haut niveau sur le processus de gestion des risques et des enjeux, mais l'audit a permis de constater que le Cadre ne fournit pas de détails sur le mode d'intégration des pratiques escomptées pour la gestion des risques aux divers stades du cycle de vie des projets. Il a également été noté que le CGPO ne fournit aucune orientation sur la façon de déterminer, d'évaluer, de communiquer et de contrôler les interdépendances des projets.

Même si le CGPO définit les rôles et les responsabilités des membres de l'équipe de projet dans le cadre d'autres activités de gestion du projet, il ne précise les rôles et les responsabilités du gestionnaire de projet que par rapport aux activités de gestion des risques clés. Les rôles des autres membres clés de l'équipe de projet et le rôle des comités de surveillance pour ce qui est de la gestion des risques dans le contexte d'un projet n'ont pas été officiellement documentés.

Dans le même ordre d'idées, le CGPO définit seulement le rôle du Secrétariat de l'AOB en ce qui a trait à la surveillance des interdépendances des projets dans le cas des projets liés à l'AOB et il ne précise pas les rôles, les responsabilités et les obligations de rendre compte des autres intervenants clés des projets, notamment ceux du gestionnaire de projet, en ce qui concerne la détermination, la communication et le contrôle des interdépendances des projets.

Les membres clés des équipes de projet et les comités de surveillance pourraient, en raison de cette absence d'orientation, avoir une compréhension contradictoire de leurs rôles en ce qui a trait à la détermination, l'évaluation, la communication et le contrôle efficaces et rapides des risques, des enjeux et des interdépendances des projets. L'équipe d'audit a en conséquence relevé des incohérences dans le niveau de documentation tenue à l'appui de la détermination et de la surveillance des enjeux, des risques et des interdépendances des projets.

L'audit a en particulier mis au jour six projets (sur 12) présentant de l'information factuelle limitée sur les activités de gestion des risques, notamment la détermination des risques propres au projet. L'audit a en plus relevé quatre projets dans le cas desquels on ne disposait d'aucun élément probant ou d'information limitée démontrant que les interdépendances du projet avaient été considérées dans la planification du projet et la gestion des enjeux et des risques liés au projet.

On a créé l'OGCER, mais son utilisation n'est pas devenue obligatoire.

Le BGPO a adopté en 2013 l'OGCER comme outil organisationnel de suivi de la gestion des risques et des enjeux pour la documentation des enjeux, des risques et des changements à la portée, au calendrier, aux coûts et aux gains de rendement prévus d'un projet. L'emploi d'un outil organisationnel de suivi de la gestion des risques et des enjeux oblige un certain niveau de discipline pour la détermination et l'évaluation des enjeux et des risques d'un projet. Selon le BGPO, tous les projets liés à l'AOB et projets clés non liés à l'AOB devaient faire l'objet d'une migration au nouvel outil avant le 31 mars 2013, mais l'utilisation de l'outil n'est pas devenue obligatoire pour tous les projets.

Il a été déterminé, à partir d'un examen de l'emploi de l'OGCER parmi un échantillon de 12 projets sélectionnés, que seulement sept projets utilisaient l'outil et que seulement quatre de ces sept projets l'utilisaient de façon systématique. Les cinq autres projets utilisaient d'autres outils, comme des tableurs Excel ou des bases de données Access, pour la consignation et la surveillance des enjeux, des risques et des changements. Le niveau de documentation tenue à l'appui des changements apportés aux projets ainsi qu'aux activités de gestion des enjeux et des risques a toutefois varié dans le cas des cinq projets.

Même si ces projets ont utilisé un outil de rechange, peu de documentation, sinon aucune, n'a été conservé à l'appui des modifications apportées aux projets et on dispose de peu d'information factuelle, sinon aucune, témoignant de la réalisation des activités de gestion des risques et des enjeux. En l'absence de l'utilisation systématique d'un outil obligeant un certain niveau de discipline dans la détermination et l'évaluation des risques et des enjeux, il est possible que l'analyse et la documentation à l'appui de la gestion des risques et des enjeux soient insuffisantes.

Un outil de gestion des interdépendances permettant de suivre et de contrôler les interdépendances des projets fait actuellement l'objet d'essais auprès des projets liés à l'AOB.

Le BGPO a mis au point un outil de gestion des interdépendances pour documenter les interdépendances existant entre les projets. L'outil en était à son stade d'essai au moment de l'audit et il est actuellement limité aux projets liés à l'AOB.

Le BGPO assure la gestion de l'outil, mais on a demandé aux gestionnaires des projets liés à l'AOB de vérifier les interdépendances de leurs projets chaque mois et de faire rapidement part des changements au BGPO. Même si ce dernier continue à évaluer l'outil dans le cadre de l'essai, les meilleures pratiques de gestion de projets indiquent qu'il faudrait maintenir un outil de gestion des interdépendances des projets pour tous les projets.

Bases de référence des projets, notamment coûts et gains de rendement prévus

Il faudrait définir clairement des bases de référence fiables pour les projets en consultant tous les intervenants concernés; les modifications effectuées devraient être documentées et approuvées suivant la structure de gouvernance établie.

Il faut améliorer la documentation des hypothèses sur lesquelles reposent les prévisions des coûts financiers et des gains de rendement des projets.

L'audit a révélé que les gestionnaires de projet documentent généralement les coûts estimatifs des projets ainsi que les gains de rendement prévus grâce au projet à l'intérieur du modèle de chiffrage de l'analyse de rentabilisation et du plan du projet, tous deux assujettis au processus des points de contrôle de gestion des projets. Dans la majorité des cas, toutefois, l'équipe d'audit a été incapable d'obtenir de la documentation décrivant les hypothèses formulées pour déterminer les bases de référence des coûts et des gains de rendement, ainsi que les coûts d'entretien courants associés à l'initiative. Dépourvue de ces hypothèses, l'équipe d'audit n'a pas pu évaluer la pertinence et l'intégralité des hypothèses faites et, en conséquence, la fiabilité et l'intégralité des coûts et des gains de rendement des projets.

De plus, comme les gestionnaires de projet ont indiqué que les hypothèses et les risques sur lesquels reposent les bases de référence des coûts et des gains de rendement n'avaient pas fait l'objet de discussions officielles avec les intervenants concernés, l'équipe d'audit n'a pas pu confirmer que tous les intervenants concernés des projets avaient été consultés lors de la détermination ou de l'examen des hypothèses relatives aux coûts et aux gains de rendement, comme les besoins liés à l'architecture du système.

Les meilleures pratiques en matière de gestion de projets recommandent que les hypothèses sous-jacentes aux projets soient non seulement officiellement documentées, examinées et approuvées pour témoigner d'une administration avisée, mais aussi que les gestionnaires de projet soient obligés de réaliser une analyse de sensibilité des hypothèses relatives aux coûts (c.-à-d. qu'ils fournissent des scénarios sur le chiffrage qu'on obtiendrait si des hypothèses particulières changeaient). Une telle analyse aiderait les gestionnaires de projet, les parrains des projets et les comités de surveillance à comprendre ce qui adviendrait des prévisions relatives au projet si les hypothèses perdaient de leur fiabilité ou étaient modifiées au cours du projet.

Une analyse de sensibilité consiste à modifier les hypothèses utilisées dans le calcul du coût-efficacité pour vérifier l'incidence du changement sur le budget du projet. L'analyse aide les intervenants à prendre des décisions d'investissement plus éclairées.

Des incohérences ont été relevées dans la documentation tenue à l'appui des modifications apportées à la portée, au calendrier, aux coûts et aux gains de rendement.

Même si toutes les modifications apportées aux bases de référence de la portée, du calendrier, des coûts et des gains de rendement devaient être documentées dans l'Outil de gestion des changements, des enjeux et des risques (OGCER) et à l'annexe A du plan du projet, l'équipe d'audit a éprouvé des difficultés à rapprocher les corrections apportées et les bases de référence des projets. En l'absence de pistes d'audit officielles à l'appui des mises à jour effectuées aux bases de référence de la portée, du calendrier, des coûts et des gains de rendement, l'équipe d'audit a été forcée d'examiner de la correspondance électronique, de vérifier d'autres livrables de gestion des projets et de consulter les gestionnaires de projet pour déterminer les modifications apportées aux projets.

Même en recourant à ces démarches supplémentaires, l'équipe d'audit a été incapable de rapprocher les bases de référence des coûts et des gains de rendement rapportés dans les tableaux de bord de la direction pour les projets et le rapport sur les résultats des projets avec les rajustements approuvés dans le cas de quatre des 12 projets sélectionnés pour l'examen.

Les modifications proposées au Tableau de bord de la direction pour les projets (décrites plus en détail ci-dessous) par le Bureau de gestion des projets de l'organisme (BGPO) obligeront les gestionnaires de projet à documenter les modifications qu'ils projettent apporter aux bases de référence de la portée, du calendrier, des coûts et des gains de rendement dans l'OCGER, qui sera ensuite inséré directement dans le Tableau de bord de la direction pour les projets. Ce dernier suivra par ailleurs le nombre de modifications apportées au projet, en fera rapport et exigera que le gestionnaire de projet annexe une preuve de l'approbation de toutes les modifications directement dans le tableau de bord.

Le CGPO fournit une orientation limitée sur les rôles, les responsabilités et les obligations de rendre compte des principaux membres des équipes de projet et des comités de surveillance par rapport aux activités de gestion des coûts.

Le CGPO décrit le processus des points de contrôle employé dans le cas du modèle de chiffrage des analyses de rentabilisation et du plan de projet, qui font tous deux état des coûts et gains de rendement prévus. Le CGPO ne décrit actuellement pas les attentes relatives aux rôles, aux responsabilités et aux obligatoires de rendre compte de chaque intervenant des projets – notamment le gestionnaire de projet, l'analyste de la gestion financière, les parrains des projets et les comités de surveillance – dans la contribution ou l'examen et l'approbation des estimations des coûts et des gains de rendement et de leurs hypothèses sous-jacentes. L'audit a ainsi révélé des incohérences dans le niveau de participation de ces intervenants clés à la détermination et l'examen des coûts et des gains de rendement prévus, notamment le niveau de participation de l'analyste de la gestion financière.

Contrôle des projets et résultats

Les organes de surveillances établies devraient assurer un contrôle adéquat des projets et conserver de l'information factuelle témoignant de leur examen et approbation des tableaux de bord mensuels de la direction pour les projets. Les résultats des projets pertinents devraient en plus être officiellement définis et les projets devraient être évalués en fonction des résultats escomptés.

On est actuellement en train de mettre à jour le modèle du Tableau de bord de la direction pour les projets afin d'améliorer sa fiabilité et son intégralité en vue d'assurer une surveillance efficace des projets.

Le tableau de bord mensuel de la direction pour les projets est le principal outil utilisé pour faire rapport de l'état d'un projet dans le cadre de sa structure de gouvernance établie, notamment par la communication des nouveaux risques et enjeux. Le tableau de bord comporte cinq indicateurs de contrôle : la portée, le calendrier, le coût, les risques et les enjeux. Au moment de l'audit, le Tableau de bord de la direction pour les projets ne livrait que des rapports sur l'exercice courant fournis par le Système de rapports financiers et le gestionnaire de projet. Il faut effectuer une évaluation en fonction de chacun des cinq indicateurs (rouge, jaune et vert) et réaliser une compilation pour en dégager l'état de santé général du projet.

Le BGPO a modifié le modèle du tableau de bord pour rendre l'information présentée dans les tableaux de bord plus fiable et plus complète. Le modèle modifié – qui provient directement du Système de rapports financiers – fera état de l'écart entre les coûts réels du projet au cours de l'exercice et le budget établi, chaque trimestre, et il comprendra un graphique illustrant le même écart pour tous les exercices financiers.

Cette amélioration permettra aux comités de gouvernance de vérifier les coûts totaux engagés dans le projet jusqu'à la date courante comparativement au budget approuvé, au lieu de se limiter aux coûts de l'exercice. De plus, les modifications apportées aux risques, aux enjeux et aux projets signalées dans le tableau de bord proviendront directement de l'Outil de gestion des changements, des enjeux et des risques (OGCER). Une telle façon de faire contribuera à assurer une communication intégrale des modifications visant les risques, les enjeux et le projet. Le modèle du Tableau de bord de la direction pour les projets révisé devrait être accessible à tous les gestionnaires de projet à compter d'avril 2015.

L'équipe d'audit croit que les modifications projetées au Tableau de bord de la direction pour les projets – en particulier le fait que les modifications des risques, des enjeux et du projet seront liées à l'OGCER et que le tableau présentera de l'information financière visant tous les exercices – pourraient rectifier certaines des incohérences relevées au cours de l'examen des tableaux de bord des 12 projets sélectionnés à des fins de vérification.

L'équipe d'audit a, en particulier, éprouvé dans le cas d'un certain nombre de projets des difficultés à rapprocher l'information financière présentée dans les tableaux de bord des budgets approuvés et les risques et enjeux décrits à l'intérieur de l'OGCER. Toutefois, comme les données présentées dans le modèle révisé proviendront directement des outils de gestion de projets organisationnels, le contenu sera plus fiable, ce qui assurera la transparence de l'état du projet.

De plus, le nouveau modèle pourrait aider les gestionnaires de projet à tenir à jour le contenu des outils de gestion de projets, car le comité de gouvernance en prendra connaissance au moyen du Tableau de bord de la direction pour les projets.

Les comités de gouvernance ont mentionné exercer leurs responsabilités en matière de surveillance des projets, mais la documentation existante pour confirmer ces activités cruciales est limitée.

Un certain nombre de comités ont été chargés d'assurer la surveillance de projets, notamment le comité directeur de chacun des projets et les conseils de planification de secteur (CPS), ainsi que le Comité de gestion de l'Architecture opérationnelle du Bureau (AOB) (CGAOB) dans le cas des projets liés à l'AOB et des projets complexes ou d'importance, lorsque le demande la haute direction. L'audit a révélé que les comités exercent généralement leurs responsabilités de contrôle, mais que cela se fait de façon officieuse.

Les entrevues tenues ont plus précisément révélé que les tableaux de bord mensuels de la direction pour les projets sont généralement présentés aux comités directeurs de projets et aux CPS, ainsi que discutés par ceux-ci. L'équipe d'audit a été incapable, dans le cas de sept projets sur neuf (pour trois projets, le Tableau de bord de la direction pour les projets n'a pas été préparé), d'obtenir d'information factuelle témoignant de la tenue de telles discussions parce que les procès-verbaux des rencontres et les mesures de suivi ou décisions consécutives n'avaient pas fait l'objet d'une documentation systématique.

Dans le même ordre d'idées, on conserve de l'information factuelle limitée pour démontrer que le CGAOB a examiné et approuvé les rapports sommaires du portefeuille de la direction et les rapports périodiques sur les risques préparés par le BGPO dans le cas des projets liés à l'AOB et des projets d'importance.

Les résultats opérationnels escomptés sont difficiles à évaluer et à mesurer.

L'équipe d'audit a noté que les gestionnaires de projet documentent les résultats opérationnels escomptés dans l'analyse de rentabilisation du projet. Les résultats opérationnels n'étaient pas suffisamment détaillés, dans le cas de trois projets sur 12, pour permettre une compréhension des avantages du projet pour Statistique Canada, et ils n'étaient pas non plus mesurables. En l'absence de résultats clairement définis et mesurables ainsi que d'une approche d'évaluation de leur mesure et des objectifs escomptés, il est difficile d'évaluer si un projet a atteint les buts qu'il devait atteindre.

Le rapport de clôture de projet est le mécanisme employé pour communiquer les résultats du projet en fonction des avantages prévus. Si les résultats opérationnels escomptés ne sont pas atteints, le gestionnaire de projet bénéficie d'une possibilité d'expliquer les écarts survenus à l'intérieur de ce rapport. Quatre des 12 projets sélectionnés pour l'examen avaient été menés à bien. L'équipe d'audit a noté qu'on n'avait pas effectué une évaluation complète des résultats des projets réalisés par rapport à tous les résultats opérationnels escomptés (comme il était initialement précisé à l'intérieur de l'analyse de rentabilisation ou suivant les modifications apportées dans les autres documents relatifs au projet) dans le cas de deux projets.

Le rapport sur les résultats réalisés fait partie de l'examen ultérieur au lancement au sein du cycle de vie du projet et il complète le rapport de clôture de projet, car il nous permet de continuer à mesurer les résultats opérationnels et à en faire rapport au-delà de la durée du projet. Ce rapport est particulièrement important parce qu'il permet de mesurer les résultats qui pourraient ne pas pouvoir être mesurés à court terme.

Même si on ne disposait pas, comme mentionné ci-dessus, d'une évaluation des résultats par rapport à tous les résultats opérationnels escomptés dans le cadre de la clôture du projet dans le cas de deux projets, les responsables n'avaient pas préparé de rapport sur les résultats réalisés. L'audit a par ailleurs révélé que les gestionnaires de projet n'étaient généralement pas au courant de la nécessité de préparer ce rapport et qu'ils n'en comprenaient pas non plus l'objet.

Annexe A : Critères de l'audit

Annexe B : Sigles

Contexte

Depuis 1981, les sous-ministres fédéraux, provinciaux et territoriaux responsables du système de justice du Canada travaillent avec le statisticien en chef à l'Entreprise nationale relative à la statistique juridique (ENRSJ). L'ENRSJ a pour mandat de fournir à la communauté juridique et au public des renseignements sur la nature et l'étendue de la criminalité et de la victimisation, ainsi que sur l'administration de la justice pénale et civile au Canada.

Par l'entremise du Centre canadien de la statistique juridique (CCSJ), une division de Statistique Canada, l'ENRSJ produit des données afin d'éclairer les programmes législatifs, de politique, de gestion et de recherche des partenaires fédéraux, provinciaux et territoriaux et d'informer le public. Le CCSJ s'emploie à élaborer, à recueillir, à intégrer et à analyser des données permettant d'illustrer les tendances au Canada, ainsi qu'à mettre au point des indicateurs au niveau du pays et de chaque secteur de compétence.

Le CCSJ englobe trois programmes statistiques : le Programme des services policiers, le Programme des tribunaux et le Programme des services correctionnels. Ces programmes sont responsables des enquêtes vedettes suivantes :

• Programme des services policiers : Le Programme de déclaration uniforme de la criminalité (DUC) vise à recueillir des données auprès des services de police de tout le Canada sur les incidents, les victimes et les personnes accusées des crimes déclarés à la police, y compris les crimes motivés par la haine.
• Programme des tribunaux : L'Enquête intégrée sur les tribunaux de juridiction criminelle (EITJC) vise à recueillir des microdonnées détaillées sur chaque comparution devant les tribunaux de juridiction criminelle pour adultes et les tribunaux de la jeunesse, lesquelles sont agrégées au niveau des accusations et des causes.
• Programme des services correctionnels : L'Enquête intégrée sur les services correctionnels vise à recueillir des microdonnées sur les adultes et les jeunes qui sont sous la surveillance des systèmes correctionnels fédéraux, provinciaux et territoriaux.

À ces trois programmes du CCSJ s'ajoutent d'autres groupes et unités :

• La Section de l'analyse travaille avec les membres du Comité des agents de liaison de l'Entreprise nationale relative à la statistique juridique (CALENRSJ) à l'analyse des sujets qui présentent un intérêt particulier pour l'ENRSJ. Elle procède également, en régime de recouvrement des coûts, à des analyses sur des questions liées à la justice pour les partenaires de l'initiative et pour d'autres ministères.
• La Sous-section de l'accès aux données et de la diffusion des données travaille avec les secteurs de programme et d'autres secteurs de Statistique Canada afin d'accroître l'accès aux produits de données du CCSJ, par exemple au moyen de la mise à disposition des données sur la justice par le truchement des centres de données de recherche.
• La Sous-section du développement des données (ancienne Sous-section des projets intégrés et spéciaux) travaille avec les membres du CALENRSJ à un projet pluriannuel visant à examiner les nouveaux contacts avec le système de justice. Ce projet créera une série d'indicateurs propres au secteur, qui fourniront aux décideurs et aux chercheurs de l'information sur la portée des nouvelles arrestations, des nouvelles condamnations et des nouvelles interactions avec les services de police, les tribunaux et les secteurs correctionnels au Canada, ainsi que la capacité d'analyser les facteurs intersectoriels qui influencent les nouveaux contacts. La Sous-section est aussi responsable de certains autres projets visant à préserver la pertinence des rapports produits par le CCSJ dans les années à venir.
• Au Secrétariat de la qualité de Statistique Canada, qui a pour mission de promouvoir de saines pratiques de gestion de la qualité fondées sur les Lignes directrices concernant la qualité dans les secteurs de programme de l'organisme, s'ajoute le Secrétariat de la qualité des données (SQD) du CCSJ, qui a récemment été créé pour évaluer la qualité des données et aider les secteurs de programme du Centre à améliorer les procédures d'assurance de la qualité des données. Le SQD compte continuer d'évaluer la qualité des données et les risques clés et de documenter les pratiques exemplaires pour les différents programmes de données du CCSJ; élaborer un plan de protection des principaux secteurs de vulnérabilité touchant la qualité des données; et commencer à mettre en œuvre les initiatives recommandées de qualité des données.

Les trois programmes du CCSJ comptent sur les données administratives provenant des partenaires du milieu juridique, dont les services policiers, les tribunaux et les établissements correctionnels, appelés « fournisseurs de données ». Un certain nombre de comités de gouvernance et de groupes de travail — qui se composent de membres clés du personnel du CCSJ, de fournisseurs de données et d'autres intervenants du système de justice — ont été établis afin d'assurer la qualité des données et des produits de données du CCSJ. Par exemple, le CALENRSJ surveille le travail du CCSJ pour le compte de l'ENRSJ. Le CALENRSJ se compose de fonctionnaires ministériels nommés par les sous-ministres, du directeur général de Statistique Canada responsable du CCSJ, ainsi que d'un représentant de l'Association canadienne des chefs de police. Le comité apporte des éclaircissements sur des sujets d'intérêt dans la collectivité, passe en revue des articles de Juristat en cours de préparation et d'autres rapports, et constitue une voie de communication entre les fournisseurs de données et le CCSJ pour la discussion des questions liées à la qualité des données.

Objectifs de l'audit

Les objectifs de l'audit étaient de fournir au statisticien en chef et au Comité ministériel de vérification l'assurance que :

• Statistique Canada a établi un cadre de gouvernance approprié à l'appui de la qualité des données statistiques juridiques;
• des mécanismes de contrôle efficaces ont été établis et sont appliqués de façon uniforme, afin d'assurer la diffusion de données de qualité conformément aux Lignes directrices concernant la qualité de Statistique Canada.

Portée

La portée de cet audit comprenait un examen du caractère adéquat et de l'efficacité du cadre d'assurance de la qualité des statistiques juridiques. L'audit visait notamment à déterminer si :

• la gouvernance, les rôles, les responsabilités et les obligations redditionnelles en lien avec la qualité des données au CCSJ sont clairement définis et bien communiqués;
• l'équipe de direction détermine et évalue les risques qui pourraient empêcher d'offrir des produits de qualité;
• des mécanismes de contrôle efficaces ont été établis et sont appliqués de manière cohérente afin d'assurer la qualité des données provenant des fournisseurs de données de l'EITJC et du Programme DUC, ainsi que la qualité de l'information diffusée dans les publications Juristat et Le Quotidien.

La portée initiale de l'audit incluait une évaluation des activités liées à la production des statistiques juridiques qui se sont déroulées entre le 1er janvier 2014 et le 31 décembre 2014. La portée de l'audit a ensuite été étendue à une évaluation des activités liées à la production des statistiques juridiques concernant le Programme des tribunaux qui se sont déroulées entre le 1er janvier 2013 et le 31 décembre 2013, car le Programme des tribunaux n'a traité aucune donnée depuis 2013 en raison de la transition en cours à l'Environnement pour le traitement des enquêtes sociales.

Les critères d'audit sont présentés à l'annexe A.

Approche et méthodologie

Les travaux d'audit comprenaient un examen exhaustif et une analyse de documents pertinents, des entrevues avec des membres clés de la direction et du personnel, ainsi qu'une évaluation de l'efficacité des processus en place.

Les travaux sur le terrain comprenaient l'examen et la mise à l'essai des processus et procédures du CCSJ liés à la qualité et à l'exactitude des données statistiques juridiques.

L'audit mettait l'accent sur l'évaluation des principaux contrôles et processus établis pour deux des trois enquêtes clés du CCSJ : le Programme DUC et l'EITJC.

Cet audit a été réalisé conformément aux Normes relatives à la vérification interne au sein du gouvernement du Canada, qui comprennent les Normes internationales pour la pratique professionnelle de l'audit interne de l'Institute of Internal Auditors.

Pouvoirs

L'audit a été mené en vertu des pouvoirs prévus dans le Plan intégré de vérification et d'évaluation fondé sur les risques pour 2014-2015 à 2018-2019, qui a été approuvé par Statistique Canada.

Gouvernance à l'appui de la qualité des statistiques juridiques

Étant donné le nombre d'intervenants internes et externes, un cadre de gouvernance robuste est essentiel pour assurer la qualité des statistiques juridiques. Les rôles, responsabilités et obligations redditionnelles liés à la qualité des données au Centre canadien de la statistique juridique (CCSJ), y compris le Secrétariat de la qualité des données (SQD), doivent être clairement documentés et bien compris. De plus, des organismes de surveillance compétents et efficaces doivent être établis afin de surveiller la qualité des données du CCSJ en ce qui a trait aux environnements interne et externe du Centre.

Les rôles, responsabilités et obligations redditionnelles sont bien compris au sein du CCSJ et par les principaux intervenants externes. Il existe toutefois des possibilités d'améliorer l'officialisation de leurs rôles, responsabilités et interdépendances.

Un élément clé des structures de gouvernance est l'établissement des rôles, responsabilités et obligations redditionnelles des intervenants. L'équipe d'audit a constaté que les rôles, responsabilités et obligations redditionnelles des principaux employés responsables de la qualité des statistiques juridiques semblaient appropriés et bien compris au sein du CCSJ et par les principaux intervenants externes, mais qu'ils n'étaient pas officiellement documentés. En effet, les seuls documents énonçant les rôles et responsabilités au niveau du personnel sont les descriptions de travail, qui sont génériques et ne reflètent donc pas pleinement l'ensemble des rôles et responsabilités du personnel clé ou qui sont périmées.

La structure de gouvernance du CCSJ est unique en ce sens que le Centre rend compte aux intervenants non seulement internes mais aussi externes, en participant à l'Entreprise nationale relative à la statistique juridique (ENRSJ), qui travaille avec lui à la production de renseignements utiles afin d'éclairer les programmes législatifs, de politique, de gestion et de recherche des partenaires fédéraux, provinciaux et territoriaux et d'informer le public. Les intervenants externes sont des partenaires importants pour assurer la qualité des données et des produits de données du CCSJ. En conséquence directe de l'ENRSJ, plusieurs comités de gouvernance ont été établis afin de surveiller la qualité des données du CCSJ. Ces comités de gouvernance comprennent le Comité des agents de liaison de l'Entreprise nationale relative à la statistique juridique et le Comité des informations et statistiques policières (CISP), un sous-comité du comité de l'Association canadienne des chefs de police, et se composent de représentants des programmes pertinents du CCSJ et des intervenants externes tels que les gouvernements et les fournisseurs de données. La structure des comités favorise une compréhension commune des attentes relatives à la qualité des produits de données, des définitions de données et des exigences des parties relatives à la qualité des données, entre autres. Des mandats officiels ont été définis pour les différents comités de gouvernance, mais il n'existe aucun cadre de responsabilisation officiel énonçant les rôles, responsabilités et obligations redditionnelles des différents comités de gouvernance, y compris leur structure hiérarchique et autres interdépendances. Comme bon nombre des employés clés du CCSJ sont en poste depuis un bon moment et connaissent bien l'organisation, on ne ressent pas le besoin de documenter ces rôles et responsabilités.

Cependant, comme le CCSJ n'a pas de cadre de gouvernance unique et intégré incluant une surveillance au niveau de l'organisme et par l'entremise des différentes organisations partenaires de l'extérieur, il existe un risque de chevauchement ou de couverture lacunaire en l'absence de cadre de responsabilisation officiel. Un tel cadre permettrait aussi de s'assurer que le personnel clé et les intervenants externes connaissent leurs responsabilités et obligations redditionnelles respectives concernant la qualité des données.

Les rôles, responsabilités et obligations redditionnelles du Secrétariat de la qualité des données du CCSJ n'ont pas été officiellement définis ni communiqués.

Le SQD a été créé en 2014 pour aider le CCSJ à répondre aux préoccupations relatives à la qualité découlant du fait que certains numéros de Juristats^{Note de bas de page 1} ont dû être rétractés en raison d'erreurs de données. Le SQD, qui fait partie de la Sous-section de l'accès aux données et de la diffusion des données du CCSJ, est décrit dans le Plan opérationnel du CCSJ de 2015-2016 comme étant un « nouveau secrétariat [qui] a été créé pour évaluer la qualité des données et aider les programmes à améliorer leurs procédures relatives à la qualité des données ».

Bien que le SQD travaille à un certain nombre d'examens de la qualité au CCSJ, ses autres rôles, responsabilités et obligations redditionnelles n'ont pas encore été bien définis ni documentés. De plus, les personnes interviewées ont fait état d'une certaine confusion entourant le rôle du SQD du CCSJ par rapport à celui du Secrétariat de la qualité de Statistique Canada, qui a récemment effectué un examen de la qualité du Programme des tribunaux du CCSJ. Selon l'intranet de Statistique Canada, le Secrétariat de la qualité appuie le développement et la mise en place de politiques et de procédures encourageant l'utilisation de pratiques éprouvées de gestion de la qualité, conçoit et gère des études portant sur la gestion de la qualité, et donne des conseils et de l'aide en gestion de la qualité aux secteurs de programme.

Le personnel du SQD se limite actuellement au chef de la sous-section, et aucun autre poste n'a été doté. Entre-temps, le travail de la sous-section est effectué par le chef et des représentants de la Sous‑section de l'accès aux données et de la diffusion des données.

En l'absence de documentation officielle sur ses rôles et responsabilités, il existe un risque accru que le SQD ne réponde pas aux attentes de la haute direction et des intervenants en améliorant la qualité des données dans l'ensemble de la division du CCSJ. Il existe également un risque accru de chevauchement des efforts, particulièrement avec le Secrétariat de la qualité de Statistique Canada. Comme il est mentionné plus haut, l'élaboration d'un cadre de responsabilisation et de gouvernance permettrait de définir les rôles et responsabilités du SQD et de préciser comment ils diffèrent de ceux du Secrétariat de la qualité de Statistique Canada.

Gestion des risques à l'appui de la qualité des statistiques juridiques

Il faut établir un cadre efficace de gestion des risques afin d'identifier, d'évaluer, d'atténuer et de surveiller les risques potentiels et émergents susceptibles d'altérer la qualité des données et produits de données du Centre canadien de la statistique juridique (CCSJ).

Il n'existe aucun processus officiel de gestion des risques au niveau de la division ou du programme du CCSJ afin de repérer et d'évaluer les risques pour la qualité des données.

La direction du CCSJ participe à l'exercice de gestion des risques de Statistique Canada, qui consiste à cerner et à évaluer périodiquement les risques de haut niveau liés à l'atteinte de ses objectifs dans le cadre de l'exercice du Profil de risque organisationnel. Toutefois, aucun processus officiel de gestion des risques n'a été établi pour cerner et évaluer régulièrement les risques au niveau de la division ou du programme du CCSJ.

Bien que divers documents décrivent les risques de haut niveau auxquels fait face la division du CCSJ, le registre détaillé des risques pour la division n'a pas été mis à jour depuis mars 2012. Les chefs et le directeur du CCSJ sont en train de revoir et de mettre à jour le registre des risques afin de refléter les risques actuels pour les trois programmes du CCSJ. Cet exercice se poursuivait au moment de l'audit.

L'équipe d'audit a constaté par ailleurs que certains risques et problèmes font l'objet de mesures informelles d'atténuation et de surveillance pour chaque programme, mais qu'aucun processus officiel n'a été établi pour élaborer et surveiller les stratégies d'atténuation des risques au niveau de la division ou du programme. L'ancien registre des risques, qui date de mars 2012, attribue une cote à l'efficacité des stratégies d'atténuation actuelles. Cependant, il n'inclut pas de renseignements précis sur les stratégies d'atténuation ni sur la façon dont elles permettront de réduire les risques cernés. En outre, aucune documentation n'a été conservée comme preuve de la surveillance continue des risques cernés et de l'efficacité des stratégies d'atténuation.

En l'absence de processus officiel d'identification et d'évaluation systématiques et continues des risques pour la qualité des données et des produits connexes du CCSJ, il existe une possibilité accrue que ces risques potentiels ne soient pas renvoyés au niveau approprié ni atténués en temps opportun par le propriétaire (identifié) du ou des risques.

Mécanismes de contrôle du traitement des données

Selon les Lignes directrices concernant la qualité de Statistique Canada, les principaux indicateurs de qualité des données administratives telles que celles utilisées par le Centre canadien de la statistique juridique (CCSJ) sont la pertinence, l'exactitude, l'actualité et la cohérence. Les contrôles effectués lors du traitement des données reçues des fournisseurs permettent de s'assurer que les données satisfont à ces critères de qualité. Il faut offrir une orientation et une formation adéquates aux fournisseurs de données afin d'assurer la fiabilité, l'intégralité, l'exactitude et l'actualité des données recueillies et établir des voies de communication par lesquelles les fournisseurs peuvent passer pour signaler toute modification apportée à leurs systèmes et processus ou aux définitions des données administratives qui affectent les données fournies au CCSJ. Il faut aussi établir des processus efficaces de nettoyage et de vérification des données pour assurer la fiabilité et la pertinence des données recueillies, ainsi qu'un processus de validation efficace pour confirmer la fiabilité, l'intégralité et l'exactitude des données fournies.

Une orientation et une formation adéquates sont offertes aux fournisseurs afin d'assurer la fiabilité, l'intégralité, l'exactitude et l'actualité des données recueillies.

En collaboration avec les fournisseurs de données, le CCSJ a déterminé les Besoins nationaux en données pour chacune des enquêtes examinées. Ce document contient les définitions et paramètres approuvés pour chaque champ de données requis pour le Programme de déclaration uniforme de la criminalité (DUC) et l'Enquête intégrée sur les tribunaux de juridiction criminelle (EITJC). Il tient lieu de référence pour les fournisseurs et le personnel des programmes et assure une compréhension uniforme des définitions des données. Outre les Besoins nationaux en données, le Programme des services policiers a élaboré le Manuel du Programme de déclaration uniforme de la criminalité fondé sur l'affaire afin de donner des directives additionnelles aux fournisseurs dans l'exercice de leurs responsabilités relatives à la qualité de leurs données.

Étant donné le nombre important de fournisseurs de données (plus de 100 fournisseurs couvrant plus de 1 000 détachements de police) dont ils dépendent, les responsables du Programme des services policiers ont mis au point une formation normalisée, qui est offerte à tous les fournisseurs, et ont créé le poste d'agent de formation nationale, dont les principales responsabilités englobe la prestation de conseils, d'un soutien et d'une formation aux fournisseurs.

Étant donné le nombre limité de fournisseurs de données et l'éventail de systèmes d'information utilisés pour recueillir et transférer des données au CCSJ, les responsables du Programme des tribunaux n'ont pas élaboré de formation normalisée à l'intention des fournisseurs sauf pour les Besoins nationaux en données. Ils comptent plutôt sur leur relation continue avec leurs 13 fournisseurs de données et leur participation au groupe de travail sur la qualité des données de l'EITJC du Comité des agents de liaison de l'Entreprise nationale relative à la statistique juridique (CALENRSJ) pour offrir une orientation et un soutien continus aux fournisseurs.

L'équipe d'audit a constaté que le Programme des services policiers et le Programme des tribunaux avaient établi des voies de communication pour que les fournisseurs de données puissent signaler les modifications apportées à leurs systèmes et processus ou aux définitions de leurs données administratives qui affectent les données fournies au CCSJ. Elle a particulièrement noté que les deux programmes avaient des mécanismes en place pour favoriser de solides relations de travail avec les fournisseurs de données par l'entremise du CALENRSJ, du Comité des informations et statistiques policières et de certains de leurs sous-comités respectifs, ainsi que par des contacts continus avec chaque fournisseur.

Des processus adéquats de nettoyage et de vérification de données ont été établis pour assurer la fiabilité et la pertinence des données recueillies, mais les pratiques de vérification variaient entre les programmes.

Comme le Programme DUC et l'EITJC dépendent entièrement des données administratives provenant des fournisseurs de données, ils doivent utiliser des programmes de contrôle et d'imputation afin de nettoyer et de vérifier les données reçues de façon efficace. Les processus de nettoyage et de vérification des données aident à détecter et à corriger (ou à supprimer) les enregistrements corrompus, inexacts ou en double d'un ensemble d'enregistrements. Des programmes de contrôle et d'imputation ont été mis au point conjointement avec la Direction de la méthodologie de Statistique Canada afin de produire des données au niveau de qualité requis pour le Programme DUC et pour l'EITJC.

Deux types de fournisseurs de données sont spécifiques au Programme DUC :

• DUC1 : Les répondants ne sont pas en mesure de fournir des microdonnées numériques parce que leurs systèmes sont incompatibles avec ceux du CCSJ. Ils fournissent plutôt des chiffres agrégés sur papier au CCSJ.
• DUC2 : Les répondants utilisent généralement un des deux systèmes de gestion des données qui sont compatibles avec ceux du CCSJ et fournissent des microdonnées au programme en extrayant des données de leur système.

En 2011, pour tirer parti de l'expertise disponible à Statistique Canada, la Division des opérations et de l'intégration (DOI) a commencé à jouer un rôle dans le traitement des données DUC1 et DUC2. Plus précisément, le Programme DOI est responsable de la saisie des données agrégées reçues sur papier des répondants du Programme DUC1 et du traitement des données reçues par les fournisseurs de données du Programme DUC2.

En général, selon les informations fournies par un échantillon de 5 répondants du Programme DUC1 et de 10 répondants du Programme DUC2, les données sont saisies manuellement par un représentant de la DOI. L'équipe d'audit a remarqué que certains contrôles avaient été intégrés au processus de saisie des données, comme des vérifications totales par lots, mais que les données saisies n'étaient pas vérifiées par un pair ou un superviseur. Comme les répondants du Programme DUC1 ne représentent qu'un faible pourcentage des fournisseurs de données (environ 4 %), la vérification des données saisies par un pair ou un superviseur pourrait aider à réduire le risque que les problèmes d'intégrité des données ne soient pas détectés.

Les données DUC2 sont traitées au moyen d'un programme SAS de contrôle et d'imputation. Ce programme effectue des contrôles et des imputations de nettoyage et de vérification des données et indique les champs qui débordent les paramètres prévus aux fins de vérification. Le système de traitement générera alors un rapport de contrôle et d'imputation (C&I), dans lequel seront consignés les contrôles, les imputations ou les avertissements découlant du traitement des données. Comme les suppressions, les contrôles et les imputations des enregistrements peuvent affecter la qualité globale des données, les responsables du Programme des services policiers ont indiqué qu'il était essentiel d'assurer un suivi auprès des fournisseurs afin de prévenir certains problèmes potentiels liés à l'intégrité des données.

L'équipe d'audit a pu examiner des preuves que les responsables du programme et la DOI avaient procédé à des activités de suivi. Cependant, différents niveaux de documentation ont été fournis pour 7 des 10 rapports de C&I échantillonnés. Il faut donc conclure que les activités de suivi auprès des fournisseurs de données ne sont pas systématiquement consignées et qu'un processus ou modèle normalisé que les analystes du Programme DUC pourraient suivre pour surveiller ces activités n'avait pas encore été mis au point. D'ailleurs, la direction du programme n'est actuellement pas tenue d'examiner les mesures prises par les analystes qui assurent un suivi auprès des fournisseurs de données.

Le suivi effectué auprès des fournisseurs de données du Programme DUC2 ne fait pas l'objet d'une surveillance systématique et officielle fondée sur les résultats des rapports de C&I générés par le système de traitement, et les mesures prises par l'analyste pour régler les problèmes de données ne sont pas examinées par la direction du programme du CCSJ. Cette absence de surveillance fait augmenter le risque que le suivi ne soit pas effectué ou que les problèmes ne soient pas corrigés conformément aux attentes.

À l'instar des responsables du Programme DUC2, l'EITJC reçoit ses données par voie électronique sous forme de microdonnées, puis les traite au moyen d'un programme SAS. Là encore, comme pour les données DUC2, les rapports automatiquement générés par le système présentent au CCSJ un résumé des contrôles et imputations effectués par le programme et des avertissements subséquents.

Lorsque cela est jugé important, les analystes assurent un suivi des contrôles, des imputations et des avertissements du système auprès des fournisseurs de données de l'EITJC. Les responsables du programme ont indiqué que, dans le passé, les enregistrements supprimés ou imputés des données de l'EITJC ne représentaient qu'un faible pourcentage des enregistrements de données reçus. L'équipe d'audit a toutefois noté qu'aucun paramètre officiel (p. ex. des nombres ou pourcentages limites) n'avait été établi pour indiquer à l'équipe du Programme des tribunaux responsable de l'EITJC quand il y aurait lieu d'examiner de plus près les contrôles, les imputations, les avertissements ou les tendances du traitement. La décision de procéder à des activités de suivi est plutôt laissée à la discrétion de l'analyste responsable, qui se fonde sur l'examen d'une feuille de suivi du nombre et du type de contrôles, d'imputations et d'avertissements générés par le système pour chaque fournisseur de données au cours des années écoulées.

L'absence de paramètres établis (nombres et/ou pourcentages) pour l'examen des contrôles, des imputations, des avertissements et des tendances de traitement de l'EITJC fait augmenter le risque que les graves problèmes d'intégrité des données ne fassent pas l'objet d'une enquête ou que des données clés soient supprimées, ce qui affecterait la qualité des produits de données.

Un processus de validation efficace a été créé afin de confirmer la fiabilité, l'intégralité et l'exactitude des données fournies.

Pour améliorer la fiabilité, l'intégralité et l'exactitude des données, le CCSJ demande aux fournisseurs de données de valider leurs ensembles de données chaque année avant la diffusion des statistiques juridiques. Dans le cadre du processus, le CCSJ préparera des tableaux de données exposant l'ensemble complet de données du fournisseur pour l'année et expliquant les tableaux et leur signification. Les fournisseurs de données disposent alors d'un certain temps pour examiner les ensembles de données et pour apporter des corrections au programme applicable du CCSJ ou expliquer les écarts imprévus. Une fois les modifications apportées, les fournisseurs de données sont censés approuver l'ensemble de données.

L'équipe d'audit a observé que les fournisseurs attestent systématiquement que leurs données sont raisonnables et, dans la mesure du possible, exactes et complètes. Elle a examiné un échantillon de 18 fournisseurs de données du Programme DUC et de l'EITJC et déterminé que tous les ensembles de validation annuels avaient été approuvés pour l'année en question.

Mécanismes de contrôle de la production des produits de statistique de la justice

Des mécanismes de contrôle efficaces de la production des produits de données statistiques juridiques permettent au Centre canadien de la statistique juridique (CCSJ) de répondre aux attentes en matière de qualité des intervenants. Conformément aux Lignes directrices concernant la qualité de Statistique Canada, il est essentiel de mettre des contrôles en place pour s'assurer que les données diffusées par le CCSJ sont pertinentes, exactes, à jour et cohérentes. Un processus d'examen efficace doit donc être établi afin de repérer les erreurs qui pourraient être présentes dans les produits de données et de les corriger en temps opportun. Il faut aussi établir un cadre efficace pour que les erreurs de données détectées après examen soient signalées et corrigées à temps.

Un processus d'examen efficace a été mis en place afin d'identifier les erreurs présentes dans les produits de données préliminaires en temps opportun. Toutefois, des preuves que des examens internes et externes ont été effectués ne sont pas conservées de façon systématique.

Les responsables du Programme des tribunaux et du Programme des services policiers utilisent les ensembles de données validés par les fournisseurs pour créer des produits de données (dans Juristat et Le Quotidien). Les analystes de programme du CCSJ sont chargés de créer les produits de données qui, une fois terminés, sont soumis à un robuste processus d'examen interne incluant (1) un examen par les pairs durant lequel toutes les données sont recalculées et analysées; (2) un examen par le gestionnaire de l'enquête et le chef du programme, qui scrutent l'analyse effectuée par l'analyste et les tendances imprévues des données; et (3) des examens par les chefs des autres programmes du CCSJ et le directeur ou directeur général, qui vérifient si les données sont généralement raisonnables et si leur présentation est conforme à celle des autres produits de données du CCSJ.

Afin d'améliorer la fiabilité des données fournies, le CCSJ soumet les produits de données non seulement à un processus d'examen interne, mais aussi à l'examen et à la validation des intervenants externes, y compris les fournisseurs de données. Plus précisément, les publications Juristat de l'Enquête intégrée sur les tribunaux de juridiction criminelle (EITJC) sont soumises aux agents de liaison (AL) associés, tandis que les publications Juristat du Programme de déclaration uniforme de la criminalité (DUC) sont soumises aux représentants du Comité des informations et statistiques policières et aux AL représentants pour qu'ils confirment que l'information figurant dans la publication semble exacte.

Quoique satisfaite du niveau d'examen interne et externe, l'équipe d'audit a observé un manque de cohérence dans la documentation conservée pour prouver que des examens internes et externes ont été effectués et indiquer comment les problèmes et les erreurs ont été réglés ou corrigés.

Aucun processus officiel interne n'a été établi pour communiquer et corriger les erreurs de données repérées après l'examen (avant ou après la diffusion).

Les processus à suivre lorsqu'une erreur est repérée après l'examen (avant ou après la diffusion) n'ont pas été officiellement documentés. Au contraire, l'équipe d'audit a constaté que des processus informels sont suivis lorsqu'une erreur est détectée à l'interne ou signalée par des intervenants externes. Plus précisément, la Division de la diffusion de Statistique Canada a mis au point un journal des erreurs pour suivre les erreurs relevées dans les publications. Ce journal contient les résultats d'une évaluation de l'impact de l'erreur, indique si les données ont été corrigées et précise la date de rechargement de la publication. Toutefois, l'équipe d'audit a noté un manque de cohérence dans la documentation conservée pour indiquer comment les erreurs ont été repérées, communiquées et corrigées. Pour certaines des erreurs repérées, le CCSJ a élaboré et tenu à jour un plan de communication afin de décrire l'erreur et son impact et de comparer les données originales aux données révisées et de mettre en place une stratégie pour corriger l'erreur et communiquer son impact aux intervenants concernés. Cependant, pour d'autres erreurs, aucune preuve indiquant que le problème avait été communiqué à l'interne et renvoyé à un échelon supérieur n'a été conservée.

Une fois les erreurs corrigées et les publications rechargées sur le site Web externe de Statistique Canada, une note explicative est affichée sur le site Web pour indiquer la nature de l'erreur corrigée et la date de rechargement de la publication.

L'équipe d'audit a également remarqué que le CCSJ corrige et communique les erreurs relevées après l'examen et que la Directive sur les corrections apportées aux communiqués du Quotidien et aux produits statistiques de Statistique Canada est respectée au moment de la correction des erreurs repérées le jour de production ou après la diffusion ou de leur renvoi à un échelon supérieur.

Annexe A : Critères d'audit

Annexe B : Acronymes

Contexte

La Division de la statistique de la santé (DSS) de Statistique Canada a pour mandat de fournir des données exactes, à jour et pertinentes sur la santé des Canadiens. La DSS fournit de l'information statistique sur la santé de la population, les déterminants de la santé ainsi que la portée et l'utilisation des ressources en soins de santé au Canada. L'information sur la santé sert à aider et à appuyer les planificateurs et les décideurs de tous les ordres de gouvernement dans le domaine de la santé, à soutenir les recherches démographiques et épidémiologiques, et à renseigner le public canadien sur l'état de santé de la population et le système de soins de santé. La DSS travaille en partenariat avec les registres provinciaux et territoriaux de la statistique de l'état civil et du cancer, de même qu'avec des fournisseurs et des utilisateurs de données aux niveaux fédéral (Santé Canada et l'Agence de la santé publique du Canada), provincial (ministères provinciaux de la Santé) et régional (régions sociosanitaires).

Pour réaliser son mandat, Statistique Canada conclut des accords de partage de données (APD) avec d'autres organisations en vertu des articles 11 et 12 de la Loi sur la statistique. Ces accords touchent presque toutes les enquêtes-entreprises ainsi que la majorité des enquêtes-ménages et prévoient certaines exceptions concernant la diffusion des renseignements confidentiels sur les répondants, avec ou sans leur consentement, à la condition que toutes les parties respectent les exigences prévues par la loi en matière de fourniture de renseignements sur le partage des données, de droits liés au consentement et de protection de la confidentialité. En général, il y a partage de données à des fins statistiques lorsqu'une enquête statistique et d'information est entreprise par les partenaires d'une enquête conjointe, ou qu'une source de données communes est la propriété à parts égales d'au moins deux partenaires. On procède au partage de données lorsque celui-ci entraîne une réduction importante du fardeau de réponse et des coûts de participation pour les partenaires du partage des données, ainsi que des améliorations de l'exactitude, de la couverture, de la pertinence et de l'actualité des données statistiques.

Au cours des dernières années, les APD sont devenus un processus opérationnel clé en raison des défis liés à la protection des données et de leur confidentialité. Statistique Canada a conclu deux accords couvrant les enquêtes sur la santé avec Santé Manitoba, en application de l'article 12 et du paragraphe 17(2) de la Loi sur la statistique. Les enquêtes sur la santé menées dans le cadre de l'Enquête sur la santé dans les collectivités canadiennes, de l'Enquête nationale sur la santé de la population (ENSP) et de l'Enquête sur les personnes ayant une maladie chronique au Canada (EPMCC) sont visées par ces accords. Le deuxième accord concerne expressément la divulgation de l'information sur le volet nutrition de l'ESCC.

L'ESCC a pour objet de recueillir des renseignements sur l'état de santé, l'utilisation des soins de santé et les déterminants de la santé pour la population canadienne. Le premier volet de l'ESCC est une enquête annuelle réalisée auprès d'un vaste échantillon de répondants et conçue pour fournir des estimations fiables à l'échelle de la région sociosanitaire. Le deuxième volet est une enquête axée sur des sujets liés à la santé tels que la nutrition, la santé mentale et le vieillissement en santé, qui est réalisée à peu près tous les trois ans. L'enquête annuelle doit son caractère unique à la nature régionale de son contenu et de sa mise en œuvre.

L'ENSP est une enquête longitudinale qui fournit des renseignements uniques sur la santé des Canadiens. Le cycle final de cette enquête couvrait la période 2010-2011. Dans le cadre de cette enquête bisannuelle, les mêmes personnes fournissent des renseignements détaillés et à jour sur leur état de santé physique et mentale, leur utilisation des services de soins de santé, leurs activités physiques, leur vie au travail et leur environnement social. L'ENSP vise à recueillir des renseignements sur la santé de la population canadienne ainsi que des renseignements sociodémographiques connexes. La dernière édition permettra aux chercheurs d'accéder à neuf cycles de données longitudinales sur la santé afin d'examiner l'évolution de l'état de santé de la population canadienne entre 1994-1995 et 2010-2011.

L'EPMCC est une enquête transversale menée pour le compte de l'Agence de la santé publique du Canada qui permet de recueillir des renseignements sur l'expérience des Canadiens qui ont des problèmes de santé chroniques. L'EPMCC est produite tous les deux ou trois ans et couvre deux maladies chroniques par cycle d'enquête. Les objectifs de l'enquête sont les suivants :

• déterminer l'impact des problèmes de santé chroniques sur la qualité de vie;
• fournir plus de renseignements sur la façon dont les gens gèrent leurs problèmes de santé chroniques;
• déterminer les comportements influant sur la santé qui ont une incidence sur les effets de la maladie;
• identifier les obstacles à l'autogestion des problèmes de santé chroniques.

La dernière enquête remonte à 2014.

Le milieu de la recherche et d'autres professionnels de la santé font une grande utilisation de ces données. Les ministères fédéraux et provinciaux de la Santé et des Ressources humaines, les organismes de services sociaux et d'autres organismes gouvernementaux utilisent l'information recueillie auprès des répondants pour planifier, mettre en œuvre et évaluer les programmes visant à améliorer la santé de la population et l'efficacité des services de santé. Des organismes sans but lucratif et des chercheurs universitaires utilisent l'information pour réaliser des travaux de recherche sur les façons d'améliorer la santé.

Objectif de l'audit

L'objectif de l'audit est de fournir au statisticien en chef et au Comité de vérification de Statistique Canada l'assurance que les modalités des accords sur le partage de données conclus par Statistique Canada et Santé Manitoba sont respectées.

Portée

La portée englobe un examen de la conformité aux modalités stipulées dans les APD afin d'assurer la protection de la confidentialité des renseignements de nature délicate recueillis. L'audit a porté plus particulièrement sur les mesures de protection de la confidentialité et de la sécurité (accès physique, stockage et transmission des données électroniques, entreposage physique, copie et rétention de l'information et gestion des dossiers) à Santé Manitoba afin d'assurer la protection des données et le respect de la confidentialité.

L'équipe d'audit a examiné tous les accords et contrats conclus avec de tierces parties par Santé Manitoba depuis la signature des deux nouveaux APD.

Approche et méthodologie

Le travail d'audit comprenait un examen des documents, des entrevues avec des cadres supérieurs et des membres du personnel, et un examen de la conformité aux politiques et lignes directrices applicables (voir l'annexe A – Critères de vérification pour connaître les détails.)

Les travaux sur le terrain suivants ont été exécutés :

• un examen et une évaluation des processus et procédures décrits dans les modalités des APD conclus avec Santé Manitoba, l'accent étant mis sur la présence et le respect des exigences de sécurité et sur le maintien de la confidentialité des données;
• la mise à l'essai des contrôles de l'application des systèmes et des procédures d'authentification et d'accès;
• un examen de l'accord conclu avec la seule tierce partie destinataire des données de Statistique Canada au moment de l'audit.

L'audit s'est déroulé conformément aux Normes de vérification du gouvernement du Canada, qui comprennent les Normes internationales pour la pratique professionnelle de l'audit interne de l'Institute of Internal Auditors.

Pouvoirs

L'audit a été mené en vertu des pouvoirs prévus dans le Plan intégré de vérification et d'évaluation fondé sur les risques pour 2014-2015 à 2018-2019, qui a été approuvé par Statistique Canada.

Environnement de contrôle pour la gestion des accords sur le partage de données

Les pouvoirs, responsabilités et obligations redditionnelles doivent être clairement définis et compris à tous les niveaux pour appuyer une gestion efficace des modalités des APD généraux. Il faut mettre en place un mécanisme de surveillance des pratiques, comme le mentionnent les modalités des APD généraux, afin de détecter les divulgations non désirées qui feraient augmenter les risques sur le plan opérationnel.

Les pouvoirs sont définis

Dans l'exercice de son mandat, Statistique Canada conclut des APD statistiques avec d'autres organisations aux termes des articles 11 et 12 de la Loi sur la statistique.Les rôles et responsabilités liés aux exigences en matière d'élaboration, de mise en œuvre et de surveillance des APD sont énoncés dans la Directive sur le partage des données en vertu des articles 11 et 12. Cette directive précise que la Division de la gestion de l'information (DGI), de concert avec les Services juridiques, rédige les accords de partage de données à la demande des directeurs des programmes statistiques. La DGI doit également fournir le soutien nécessaire aux gestionnaires au moment de l'élaboration de nouveaux accords sur le partage de données ou d'accords modifiés avec les destinataires, en application de l'article 12 de la Loi sur la statistique. Les divisions spécialisées sont chargées de communiquer avec les organisations destinataires durant les négociations et la rédaction des accords.

Les rôles et procédures liés à la gestion des données de Statistique Canada sont clairement établis à Santé Manitoba, mais ils doivent être documentés.

Les données confidentielles de Statistique Canada sont gérées par deux directions de Santé Manitoba —la Direction de la gestion de l'information sur la santé (DGIS) et la Direction des systèmes d'information (DSI) — comme suit :

• Le directeur général de la DGIS à Santé Manitoba assume la responsabilité globale du cycle de vie des données de Statistique Canada. La gestionnaire, Systèmes d'information de gestion, gestion de données et développement, qui relève du directeur général de la DGIS, est l'administratrice de données chargé de gérer les APD et les données de Statistique Canada.
• L'administrateur des bases de données, qui relève de l'administratrice de données, s'occupe du traitement et du stockage des données, contrôle l'accès au serveur UNIX où les données de Statistique Canada sont stockées, et prépare la transmission des données de Statistique Canada à envoyer à de tierces parties.
• Deux analystes statistiques principaux relevant du directeur, Analytique et recherche, à la DGIS sont chargés d'analyser les données de Statistique Canada et parfois de fournir des données agrégées à d'autres divisions internes au besoin.
• La DSI de Santé Manitoba est chargée d'assurer la maintenance et la sécurité du serveur UNIX.

La DGIS de Santé Manitoba est un groupe stable depuis quelques années. Il n'y a pas eu beaucoup de roulement du personnel exerçant des fonctions liées à la gestion des données de Statistique Canada, et les employés comprennent leurs rôles. Cependant, ces rôles, responsabilités et procédures n'ont pas été officiellement documentés. Bien que ce manque de documentation n'ait pas causé de problème jusqu'ici, l'équipe d'audit a appris que l'administratrice de données avait annoncé qu'elle prendrait sa retraite dans l'année à venir. Il est donc essentiel de transférer les connaissances et de documenter les rôles et responsabilités avant sa retraite.

Les responsabilités de l'administratrice de données prescrites dans les APD ont été mises en œuvre, mais celle-ci n'a pas encore signé d'entente de confidentialité.

Comme il est stipulé dans l'annexe C des APD, l'administratrice de données doit satisfaire à trois exigences clés :

1. préparer un document sur la confidentialité et veiller à ce que toutes les personnes qui auront accès aux données de Statistique Canada le signent;
2. tenir un registre des fichiers de données reçus de Statistique Canada;
3. tenir un registre de toutes les personnes autorisées à accéder aux fichiers de données.

L'annexe C stipule que l'administratrice de données doit « préparer un document à l'intention des employés et des sous-traitants de la partie destinataire dans lequel on décrit les modalités régissant l'usage des renseignements, ainsi que les procédures à respecter pour envoyer, recevoir, manipuler et stocker les renseignements (ci-après appelés le "document sur la confidentialité") ». Avant d'accorder un accès à des renseignements de Statistique Canada, l'administratrice de données doit s'assurer que tous les employés et sous-traitants qui doivent accéder à ces renseignements ont convenu par écrit de respecter les modalités des APD, en reconnaissant par leur signature qu'ils ont lu et compris les modalités des APD telles qu'elles sont stipulées dans le document sur la confidentialité et qu'ils s'engagent à les respecter.

L'équipe d'audit a constaté qu'il existe un document sur la confidentialité, qui définit les modalités régissant l'utilisation des renseignements, et que ce document a été signé par tous les employés autorisés à accéder aux données de Statistique Canada, à une exception près : l'administratrice de données avait supposé, à tort, que certains documents signés avec Statistique Canada au moment de la nomination à son poste lui évitaient d'avoir à signer le document sur la confidentialité.

Le registre des fichiers de données reçus de Statistique Canada et le registre des personnes autorisées à accéder aux fichiers de données de Statistique Canada ont été mis en œuvre et sont utilisés à Santé Manitoba.

Ce n'est que récemment que le personnel concerné a été informé des exigences des APD en matière de conformité.

La DSI de Santé Manitoba est responsable de la maintenance et de la sécurité du serveur UNIX où les données de Statistique Canada sont stockées. La DSI doit se conformer aux exigences globales de Santé Manitoba en ce qui concerne la sécurité des renseignements à diffusion restreinte afin de réduire le risque de non-conformité aux exigences en matière de sécurité des APD. Ce n'est que récemment que les employés de la DSI ont été informés de l'existence des APD et de leurs exigences en matière de sécurité, ce qui pouvait entraîner un risque que les infractions potentielles aux modalités des APD passent inaperçues.

Il existe des processus pour l'activation de l'accès au serveur UNIX et pour le partage des données agrégées avec des divisions internes de la DGIS.

Des entrevues ont révélé que le directeur général de la DGIS avait approuvé la création d'un nouveau compte UNIX pour les nouveaux employés et que l'administrateur des bases de données avait présenté une demande en ce sens par écrit à la DSI. Ce processus n'a pas été éprouvé, car cela fait plusieurs années qu'il n'y a pas eu d'employés ayant besoin d'accéder au serveur UNIX. Une fois qu'un nouveau compte UNIX a été créé par la DSI, l'administrateur des bases de données peut activer ou désactiver l'accès de l'employé au serveur UNIX. Tous les accès au serveur UNIX sont consignés par l'administrateur des bases de données.

Les principaux utilisateurs des données de Statistique Canada à la DGIS sont deux analystes statistiques principaux. Un examen du registre d'accès pour les deux dernières années a indiqué que l'accès avait été accordé aux analystes seulement trois fois durant cette période. L'audit a révélé que, lorsque les analystes demandent que leur accès au serveur UNIX soit activé, la demande est présentée de vive voix directement à l'administrateur des bases de données, sans que l'autorisation écrite d'un superviseur soit nécessaire. Comme leurs bureaux respectifs sont très proches les uns des autres, les analystes n'ont qu'à traverser le corridor pour se rendre au bureau de l'administrateur des bases de données et demander l'accès. Bien qu'il ne s'agisse pas nécessairement d'une exigence des APD, il serait prudent de mettre en place des contrôles plus conventionnels de l'accès aux données de Statistique Canada.

Les analystes doivent avoir accès aux données de Statistique Canada stockées sur le serveur UNIX afin d'analyser et de fournir des données agrégées à l'interne à Santé Manitoba, par exemple dans le cadre de son mandat de participer aux évaluations quinquennales de la santé des collectivités. Des entrevues ont révélé que les analystes demandent parfois à un collègue ou à leur superviseur d'examiner les données avant de les envoyer à l'interne par courriel et que le superviseur est mis en copie sur le courriel. Les analystes ne sont toutefois pas tenus d'obtenir l'approbation de leur superviseur avant d'envoyer des données agrégées. Bien qu'il ne s'agisse pas d'une exigence des APD, il serait prudent d'exiger que les employés obtiennent l'autorisation écrite d'un superviseur avant de distribuer des données agrégées. L'équipe d'audit a examiné un rapport de données agrégées fourni à l'interne et constaté que celui-ci ne contenait aucun identificateur personnel.

Les accords de Santé Manitoba avec de tierces parties contiennent une clause prévoyant des inspections ou des audits.

Les clauses touchant la surveillance sont prescrites dans les APD par Statistique Canada. Les APD stipulent de plus que les accords que Santé Manitoba conclut avec de tierces parties « doivent comporter une clause stipulant le droit de Statistique Canada ou de l'organisation réceptrice de vérifier la conformité aux modalités du présent accord ».

Le paragraphe 6.2.4 des APD permet à Santé Manitoba de partager l'information avec le Centre d'élaboration de la politique des soins de santé du Manitoba (CEPSSM) à l'Université du Manitoba. Le CEPSSM n'est pas une entité légale à part entière, mais une section de recherche de l'Université du Manitoba et la seule tierce partie destinataire des données de Statistique Canada.

En novembre 2006, Santé Manitoba a signé une entente de partage de l'information et de protection des renseignements personnels avec l'Université du Manitoba, qui permet à Santé Manitoba de partager l'information avec le CEPSSM. Le CEPSSM est censé aider Santé Manitoba à coordonner l'exécution, la planification, l'évaluation et la surveillance des recherches sur la santé en faisant office de point de contact pour un programme d'analyse des données pour la recherche, la planification, la surveillance et l'évaluation de la prestation des soins de santé, les questions de santé émergentes et les déterminants généraux de la santé, principalement au Manitoba.

Outre le contrat susmentionné, en octobre 2014, Santé Manitoba et l'Université du Manitoba ont signé une lettre d'entente expressément pour le transfert des données de l'Enquête sur la santé dans les collectivités canadiennes et leur utilisation par le CEPSSM. Cette lettre stipule que le CEPSSM doit se conformer aux exigences en matière de confidentialité et de sécurité des APD signés entre Santé Manitoba et Statistique Canada en février 2014. Ces exigences sont annexées à la lettre d'entente.

L'entente de partage de l'information et de protection des renseignements personnels conclue entre Santé Manitoba et l'Université du Manitoba contient une clause d'audit qui autorise Santé Manitoba à accéder aux locaux du CEPSSM et lui donne le pouvoir d'inspecter, d'examiner ou d'auditer les enregistrements ou renseignements, les pratiques en matière de protection des renseignements personnels, les politiques, les procédures et les dispositions de sécurité du CEPSSM. Cependant, Santé Manitoba n'a pas établi de plan pour exercer son droit d'inspecter ou d'auditer la conformité du CEPSSM.

Gérance des données

Des protocoles et contrôles internes pour une saine gestion des données doivent être en place afin d'assurer la protection des données tirées des enquêtes sur la santé de Statistique Canada sur toute la durée du cycle de vie.

Des processus sont en place et surveillés afin de satisfaire aux exigences stipulées dans les accords sur le partage de données.

L'audit a révélé que des processus sont en place à Santé Manitoba pour satisfaire aux exigences stipulées dans les accords sur le partage de données (APD), mais qu'ils ne sont pas officiellement documentés, et que les employés de la Direction de la gestion de l'information sur la santé (DGIS) comprennent et suivent les processus de réception, de stockage, de traitement et de transmission des données de Statistique Canada. Ces membres du personnel sont des employés de longue date qui connaissent très bien leurs fonctions.

Statistique Canada transmet les fichiers de données par voie électronique à l'administratrice de données à Santé Manitoba. Les fichiers en question sont protégés par mot de passe et chiffrés durant le transfert. Lorsqu'un fichier de données est reçu de Statistique Canada, l'administratrice de données est avisée de la présence du fichier dans le coffre-fort électronique et demande un mot de passe à Statistique Canada afin de pouvoir accéder au fichier. Elle envoie ensuite un accusé de réception à Statistique Canada et met à jour le registre des fichiers reçus de Statistique Canada.

Le fichier de données est téléversé par l'administratrice de données sur un lecteur réseau sécurisé dans un dossier distinct de Statistique Canada réservé à la DGIS. L'administrateur des bases de données accède à ces fichiers à partir du dossier réseau et les enregistre dans la base de données UNIX où toutes les données de Statistique Canada sont stockées. L'administrateur des bases de données, qui est la seule personne à pouvoir activer l'accès au serveur UNIX, tient un registre de tous les employés auxquels l'accès a été accordé.

Partage des données de Statistique Canada avec de tierces parties

Toutes les données partagées avec des parties de l'extérieur doivent être approuvées par l'administratrice de données de Santé Manitoba, qui prend les dispositions matérielles nécessaires pour que les données de Statistique Canada soient transmises sur un CD chiffré au Centre d'élaboration de la politique des soins de santé du Manitoba (CEPSSM) de l'Université du Manitoba. L'administrateur des bases de données stocke les données compressées et protégées par mot de passe sur un CD chiffré. L'administratrice de données fait ensuite livrer le CD au CEPSSM par messager cautionné. La personne-ressource du CEPSSM qui reçoit le CD doit contacter l'administratrice de données de Santé Manitoba pour obtenir un mot de passe afin de pouvoir ouvrir le fichier.

Bien que le paragraphe 6.2.4 des APD autorise Santé Manitoba à partager des identificateurs personnels avec le CEPSSM, l'examen du fichier de l'Enquête sur la santé dans les collectivités canadiennes 2012 envoyé au CEPSSM en 2013 (seul fichier partagé au cours des deux dernières années) a révélé que celui-ci ne contenait aucun identificateur personnel.

Un processus de gestion des risques est en place à Santé Manitoba pour identifier et surveiller les risques.

L'audit a révélé qu'un processus de gestion des risques avait été mis en œuvre à Santé Manitoba au cours des deux dernières années. La Direction des services de gestion est chargée de fournir le cadre global de gestion des risques à l'organisation et d'aider les autres directions à préparer la section « gestion des risques » de leurs plans de travail annuels. Le processus prévoit que chaque direction cerne les risques auxquels elle est exposée et prépare des plans d'action afin d'atténuer ceux-ci.

Le directeur général de chaque direction et le sous-ministre adjoint devant rendre des comptes doivent signer une déclaration au sous-ministre des responsabilités liées au plan de gestion des risques qui atteste que toutes les catégories de risques, les plans d'action appropriés et les stratégies d'atténuation ont été pris en compte dans l'évaluation des risques et que le sous-ministre adjoint a été mis au courant et veillera à ce que la direction procède à une mise à jour périodique de son évaluation des risques.

À l'heure actuelle, le processus d'évaluation des risques de Santé Manitoba en est à l'étape où chaque direction cerne ses risques mais où les risques n'ont pas encore été regroupés au niveau du ministère dans son ensemble. Il n'y a ni comité de gestion des risques ni politique intégrée officielle de gestion des risques; ce processus en est encore à un stade précoce de développement. La direction a indiqué qu'elle était en train d'examiner ces outils et d'évaluer les risques à l'échelle du ministère.

L'équipe de direction de la DGIS cerne et évalue les risques de non-conformité aux APD de manière proactive.

La DGIS a atténué les risques de non-conformité aux exigences en matière de sécurité des APD en faisant une analyse approfondie des exigences mises à jour des nouveaux APD généraux et, au besoin, en mettant à jour les procédures opérationnelles internes afin d'assurer la conformité aux modalités des APD. La DGIS a également demandé au CEPSSM d'effectuer une analyse semblable afin de vérifier s'il se conformait lui aussi aux APD. L'équipe d'audit a examiné ces deux analyses et constaté que chaque organisation répondait aux exigences en matière de sécurité des APD.

Santé Manitoba a élaboré des politiques et offre une formation continue afin d'atténuer l'exposition aux risques.

Un document clé utilisé à Santé Manitoba — qui énonce les politiques et procédures que les employés doivent suivre en vertu de la Loi sur les renseignements médicaux personnels (LRMP) — est le manuel de la LRMP. Ce document de politique en usage à Santé Manitoba vise à protéger les renseignements personnels de nature délicate au sein de l'organisation. Par exemple, la politique VIII, qui porte sur la sécurité des renseignements médicaux personnels, répertorie les procédures et mesures de protection en place pour protéger les renseignements personnels. La politique IX précise les procédures à suivre en cas d'infraction à la sécurité des renseignements médicaux personnels. Cette politique permet à Santé Manitoba, en tant que dépositaire en vertu de la LRMP, de répondre aux plaintes et de mener des enquêtes sur les infractions à la sécurité des renseignements médicaux personnels, en conformité avec les exigences de la LRMP et du Règlement sur les renseignements médicaux personnels. La politique expose les mesures à prendre pour les différents types d'infractions, explique comment procéder à une enquête sur les infractions à la sécurité et indique les formulaires à remplir. En cas d'infraction, la direction concernée doit remplir un formulaire de rapport d'infraction à la sécurité et le remettre au sous-ministre adjoint et au secrétariat législatif, avec les constatations de l'enquête. Les entrevues menées n'ont révélé aucun infraction liée aux données de Statistique Canada.

Le secrétariat législatif de Santé Manitoba fournit des directives au ministère afin d'assurer sa conformité aux nombreuses lois dont il est responsable, y compris la LRMP. Il offre une formation obligatoire sur la LRMP à tous les nouveaux employés et une formation d'appoint triennale à tout le personnel.

Sécurité matérielle et sécurité des technologies de l'information (TI)

Les renseignements, sur papier ou sous forme électronique, doivent être contrôlés et protégés contre les pertes, les vols, les incidents compromettants et les divulgations inappropriées. L'accès aux données doit être accordé uniquement aux employés ou sous-traitants qui ont « besoin de savoir » afin de pouvoir exercer leurs fonctions.

Des contrôles d'accès logique sont en place à Santé Manitoba.

La mise à l'essai des contrôles d'accès logique avec l'administrateur des bases de données a révélé qu'il fallait entrer un mot de passe pour accéder au réseau du gouvernement du Manitoba et un mot de passe distinct pour accéder au serveur UNIX où les données de Statistique Canada sont stockées. L'accès au serveur UNIX est réservé à un nombre limité d'employés, et l'administrateur des bases de données désactive l'accès des membres du personnel qui n'utilisent pas les données. L'administrateur des bases de données met à jour le registre chaque fois qu'une personne est autorisée à accéder aux données du serveur UNIX, comme l'exigent les accords sur le partage de données (APD).

L'accès au dossier partagé de Statistique Canada sur le lecteur réseau de Santé Manitoba doit être limité aux personnes qui ont besoin d'accéder aux données de Statistique Canada.

Lorsque l'administratrice de données reçoit un fichier de données de Statistique Canada, elle téléverse ce fichier sur un lecteur réseau sécurisé temporaire dans un dossier désigné de Statistique Canada à l'intérieur du répertoire de la Direction de la gestion de l'information sur la santé (DGIS). L'administrateur des bases de données accède au fichier à partir du dossier et l'enregistre dans la base de données UNIX où toutes les données de Statistique Canada sont stockées. Une fois le fichier enregistré sur le serveur UNIX, l'administrateur des bases de données le supprime du dossier sur le lecteur réseau. En général, il ne se passe pas plus d'un ou deux jours entre le moment où les fichiers sont stockés temporairement dans le dossier du lecteur par l'administratrice de données et celui où ils sont supprimés par l'administrateur des bases de données. Cependant, durant cette période, les données sont accessibles à une vingtaine d'employés de la DGIS.

Les essais effectués durant l'audit ont révélé que deux fichiers de données n'avaient pas été supprimés du dossier réseau partagé et que les données étaient accessibles à tous les employés de la DGIS. Les deux fichiers ont été supprimés du dossier partagé lorsque cette omission a été découverte durant l'audit. L'accès doit être limité aux personnes qui doivent travailler avec les données de Statistique Canada et qui ont signé une entente de confidentialité.

L'accès matériel est sécurisé.

Les données de Statistique Canada sont stockées à deux endroits à Santé Manitoba : la salle des serveurs de la Direction des services d'information (DSI), qui abrite le serveur UNIX où les données de Statistique Canada sont stockées, et la DGIS, où le personnel accède aux données.

L'accès physique aux locaux de Santé Manitoba est contrôlé par des systèmes d'accès par carte. Chaque zone sécurisée (DSI et DGIS) est protégée par des portes fermées à clé munies d'un lecteur de cartes. Les employés doivent balayer leurs cartes pour entrer dans la zone d'accès restreint. Les visiteurs doivent signer le registre au poste de sécurité du hall principal, obtenir un badge de visiteur et être accompagnés en tout temps par un membre autorisé du personnel.

Les interviews ont révélé que des gardiens de sécurité sont de service chaque jour de 6 h à minuit (pour un total de 18 heures) dans le hall principal de l'immeuble de Santé Manitoba. Les gardiens de sécurité de l'immeuble doivent surveiller l'accès à l'immeuble et tenir un registre de tous les visiteurs. Lorsqu'ils ne sont pas de service, l'immeuble est fermé à clé et accessible uniquement aux détenteurs de cartes d'accès. Les registres d'accès sont vérifiés par les gardiens de sécurité de l'immeuble, et des caméras de sécurité sont installées dans les corridors. En cas de licenciement d'un employé, les gestionnaires doivent prendre les mesures indiquées sur la liste de contrôle pour le personnel partant et veiller à ce que l'employé licencié n'ait plus accès aux systèmes ni aux locaux physiques.

Le serveur UNIX où les données de Statistique Canada sont stockées se trouve dans la salle des serveurs, et il faut passer par le centre de contrôle pour y accéder. L'accès à ces pièces est limité à une trentaine d'employés de la DSI et parfois à quelques entrepreneurs et fournisseurs inscrits. Tous les visiteurs qui entrent doivent signer le registre des visiteurs qui se trouve au centre de contrôle.

Des caméras sont placées à l'extérieur de chacune de ces zones sécurisées pour surveiller les personnes qui y entrent. Toute personne qui entrerait par effraction dans une de ces pièces serait détectée par une alarme, qui alerterait le personnel de sécurité de l'immeuble. Un registre de l'accès par carte au centre de contrôle est généré et examiné chaque mois par l'agent de sécurité des TI de la DSI.

Des mesures de sécurité sont en place pour la copie et la rétention des renseignements et la gestion des enregistrements.

La politique VIII du manuel sur la Loi sur les renseignements médicaux personnels exige que les données de nature délicate retirées d'un environnement sécurisé soient chiffrées. En outre, la politique de Santé Manitoba sur les processus d'utilisation secondaire et de divulgation pour les demandes spéciales stipule que seules les données agrégées peuvent être transmises. Les données qui contiennent des quasi identificateurs doivent être transmises sur un CD chiffré.

Il est impossible d'accéder directement aux données de Statistique Canada ou de les supprimer directement des serveurs, car ceux-ci n'ont pas de ports USB. La sécurité des serveurs est assurée par de multiples pare-feu, des routeurs, des commutateurs, des détecteurs d'intrusion, des détecteurs de virus et la surveillance du réseau. Le contenu du serveur UNIX est sauvegardé chaque jour sur des bandes chiffrées entreposées sur place et envoyées chaque semaine à une entreprise d'entreposage privée.

Il y a trois niveaux de sécurité des données à Santé Manitoba : public, interne et à diffusion restreinte. Les données de Statistique Canada sont classées comme étant à diffusion restreinte (plus haut niveau de sécurité). Tous les documents sont déchiquetés et détruits conformément aux exigences applicables aux données à diffusion restreinte qui sont énoncées dans les normes et procédures de destruction des médias électroniques du gouvernement du Manitoba. On utilise les services d'une entreprise privée de déchiquetage pour la destruction sécurisée des renseignements confidentiels.

Des clauses régissant l'élimination et le retour ou la destruction des données partagées qui ne sont plus utilisées sont incluses dans les APD ainsi que dans l'accord avec le Centre d'élaboration de la politique des soins de santé du Manitoba de l'Université du Manitoba.

Annexe A : Critères d'audit

Annexe B : Acronymes

Contexte

En tant qu'organisme statistique national, Statistique Canada doit « recueillir, compiler, analyser, dépouiller et publier » des renseignements statistiques sur l'économie et la société canadiennes, qui jouent un rôle essentiel pour appuyer la prise de décisions fondées sur des données probantes et éclairer les débats.

Le Quotidien est l'organe de diffusion officiel de Statistique Canada et appuie le mandat relatif à la publication de données statistiques sur le Canada. La diffusion officielle (DO) est régie par la Politique sur la diffusion officielle de Statistique Canada. En vertu de cette politique, chaque nouveau cycle de chaque programme statistique, qu'il soit fondé sur des données d'enquête ou sur des données administratives, et qu'il soit financé au moyen du budget des dépenses ou grâce au recouvrement des coûts, doit être diffusé dans Le Quotidien avant de pouvoir être communiqué au public. Jusqu'à la diffusion officielle, l'ensemble de données ou le produit est « protégé », conformément à la définition de la Politique du gouvernement sur la sécurité. L'exigence minimale s'appliquant à la DO est un énoncé dans Le Quotidien indiquant qu'un ensemble de données est disponible. Cette pratique fait en sorte que tous les utilisateurs possibles ont accès aux résultats et aux produits du programme statistique en même temps. Cela crée des règles du jeu équitables, qui renforcent la réputation de neutralité de Statistique Canada.

En vertu de la Politique sur la diffusion officielle, il existe certains cas où Statistique Canada peut communiquer l'information à des parties de l'extérieur, avant la DO dans Le Quotidien. Cela se produit lorsque :

• Des fonctionnaires fédéraux ont accès à un petit nombre de communiqués clés, avant leur diffusion officielle, afin de pouvoir préparer des réponses appropriées pour les ministres, étant donné que les commentaires de ces derniers peuvent influer sur les marchés financiers.
• Des ensembles de données, des produits analytiques et des produits d'information en cours d'élaboration doivent être fournis avant la DO à des représentants désignés d'organismes externes, afin qu'ils puissent valider les données.
• Des produits analytiques doivent être mis à la disposition de personnes ou d'organismes externes avant la DO, à des fins de révision institutionnelle et d'évaluation par les pairs.
• Des fichiers de microdonnées ou de données agrégées confidentielles, desquels sont tirés les ensembles, doivent être fournis à un tiers avant la DO.
• La diffusion anticipée (DA) de l'information s'applique aux programmes de collaboration (programmes à frais recouvrables, fichiers de données administratives et structure de gouvernance commune).
• Le statisticien en chef doit autoriser la diffusion de l'information avant la diffusion officielle, dans des circonstances particulières, si les avantages justifient l'exception.

La supervision de l'application de la Politique sur la diffusion officielle est du ressort de la Division des communications de Statistique Canada. Les directeurs des secteurs de programme sont chargés de s'assurer que les données protégées sont transmises de façon sécuritaire à l'extérieur de Statistique Canada et qu'elles sont couvertes par une entente de confidentialité qui exige de l'organisme destinataire qu'il se conforme aux exigences décrites dans la politique. Par ailleurs, les organisations de l'extérieur qui reçoivent les données de DA doivent accuser réception des données protégées qu'ils reçoivent, les protéger, en limiter l'accès et les détruire une fois l'examen terminé.

Objectifs de l'audit

Les objectifs de l'audit étaient de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) l'assurance que :

• Statistique Canada dispose de structures de gouvernance et d'un cadre de gestion des risques appropriés à l'appui de la diffusion officielle.
• Des mécanismes de contrôle efficaces sont établis et sont appliqués de façon uniforme pour veiller à ce que la diffusion anticipée des produits de Statistique Canada soit conforme à la Politique sur la diffusion officielle et à d'autres politiques et directives pertinentes de Statistique Canada.

Portée

La portée de cet audit comprenait un examen de la pertinence et de l'efficacité des contrôles de la DO. Les domaines particuliers qui ont été examinés incluent les suivants :

• pratiques de gouvernance et de contrôle à l'appui de fonctions claires de reddition de comptes, de supervision, d'examen minutieux et de remise en question;
• processus efficaces de gestion des risques pour la détermination des risques principaux de la DO, ainsi que pour l'élaboration et le contrôle de stratégies de gestion des risques; et
• processus et contrôles opérationnels en place pour assurer la confidentialité et l'intégrité des données statistiques de nature délicate, en vue de leur diffusion anticipée.

La portée des travaux d'audit comprenait une évaluation des activités de DA, du 1^er janvier 2013 au 1^er juillet 2014.

Approche et méthodologie

Les travaux d'audit comprenaient un examen exhaustif et une analyse de documents pertinents, des entrevues avec des membres clés de la haute direction et du personnel, ainsi qu'un examen de la conformité aux politiques et aux lignes directrices pertinentes.

Les travaux sur le terrain comprenaient un examen et un essai des processus et des procédures de DO en place pour assurer la protection des données statistiques de nature délicate jusqu'à leur diffusion dans Le Quotidien.

Cet audit a été réalisé conformément aux Normes relatives à la vérification interne au sein du gouvernement du Canada, qui comprennent les Normes internationales pour la pratique professionnelle de l'audit interne de l'Institute of Internal Auditors (IIA).

Pouvoirs

Cet audit a été mené en vertu des pouvoirs compris dans le Plan d'audit et d'évaluation fondé sur les risques de Statistique Canada pour 2013-2014 à 2017-2018.

Gouvernance et gestion des risques

Un cadre robuste de gouvernance et de gestion des risques est essentiel pour veiller à ce que les documents destinés à la diffusion officielle soient protégés de façon appropriée, tant au niveau interne, à Statistique Canada, que lorsque l'information est transmise à des tiers. Les rôles, responsabilités et obligations de reddition de comptes pour la diffusion officielle devraient être clairs, communiqués et compris. Des organismes de supervision compétents et efficaces devraient être établis, et leurs rôles et responsabilités officialisés. Les employés devraient comprendre leurs obligations en vertu du Code de valeurs et d'éthique, et celui‑ci devrait être facilement accessible et expliquer la façon de procéder pour le cas où des actes répréhensibles seraient observés.

Les rôles, responsabilités et obligations de reddition de comptes des employés travaillant à la DO sont définis et communiqués.

Un des résultats attendus de la Politique sur la diffusion officielle est que des structures de gouvernance, des mécanismes et des ressources sont en place pour assurer la gestion continue et efficace des données de Statistique Canada, avant leur diffusion. La supervision de l'application de la Politique sur la diffusion officielle est du ressort de la Division des communications de Statistique Canada. Aux termes de la politique, les directeurs des secteurs de programme sont chargés de s'assurer que les données protégées sont transmises de façon sécuritaire à l'extérieur de Statistique Canada et qu'elles sont couvertes par une entente de confidentialité qui exige de l'organisme destinataire qu'il se conforme aux exigences décrites dans la politique.

Dans le cadre de l'audit, on a examiné plusieurs descriptions de poste et documents de procédures et on a déterminé qu'ils faisaient état de façon appropriée des diverses tâches liées à la préparation des documents pour la DO.

Les organismes de supervision ont des mandats clairement définis pour régir le processus de DO.

Le Comité de rédaction du Quotidien est responsable de la supervision du contenu du Quotidien et guide l'équipe qui est chargée du Quotidien en ce qui a trait aux questions stratégiques et opérationnelles liées à la publication. Un examen des comptes rendus de réunions et des entrevues avec les employés ont fait ressortir que le Comité de rédaction remplit son mandat en tant que tribune pour assurer une approche cohérente et uniforme en ce qui a trait à la rédaction et à la publication des DO. Par ailleurs, un examen du mandat et des comptes rendus de réunions a révélé que le Comité contribue à assurer une fonction de supervision, compte tenu du fait que le contenu et le format du Quotidien ont grandement évolué au cours des dernières années. Dans le cadre de l'audit, on a déterminé que la Division des communications suit un organigramme de processus étape par étape pour les diffusions dans Le Quotidien, ce qui aide les divisions spécialisées (DS) à comprendre les étapes à suivre et les approbations requises pour la rédaction d'un communiqué pour leur division.

Le Comité sur la gouvernance de l'utilisation du STEF pour la diffusion a été établi pour assurer la conformité aux exigences énoncées dans la Directive sur la transmission de renseignements protégés. Des entrevues avec les membres du Comité ont permis de noter qu'ils assurent un deuxième niveau d'examen, afin de veiller à ce qu'une demande soit faite pour la création d'un coffre-fort du STEF, mais que les contrôles principaux continuent d'être assurés par les divisions spécialisées, qui conservent la responsabilité du respect de toutes les exigences lorsque des données de DA sont communiquées à des tiers, conformément à la Politique sur la diffusion officielle. L'audit a déterminé que bien que ce comité soit en place et opérationnel, il ne comporte pas de mandat officiel ni de liste de membres, et ne publie pas les comptes rendus de ses réunions. Sans mandat officiel, l'efficacité de la supervision prévue pourrait être réduite.

Le cadre de gestion du risque organisationnel doit être mis à jour.

Les gestionnaires de Statistique Canada doivent périodiquement déterminer et évaluer les risques pour leur division, et cela se fait dans le cadre d'un exercice annuel de registre des risques. La Division des communications a déterminé des risques liés à la DO dans son registre des risques. Celui‑ci fait aussi état du caractère essentiel de la protection des données avant leur diffusion, de la restriction de l'accès aux données avant leur diffusion, tout au long du processus, ainsi que de la tenue par les gestionnaires de vérifications périodiques de la conformité, à la Division des communications, afin de veiller à ce que l'accès soit restreint.

L'audit a fait ressortir qu'en ce qui a trait à la DO, les registres des risques des divisions spécialisées examinées n'étaient pas suffisamment détaillés pour rendre compte des risques propres à la DO. De même, les plans de poursuite des activités correspondants des divisions spécialisées qui ont été évalués se situaient à un niveau trop élevé pour porter sur les risques propres aux objectifs de la DO, et ne comportaient pas de directives quant aux plans d'action à adopter si des risques liés à la DO se produisaient.

Pendant les entrevues, un certain nombre de risques ont été soulevés de façon informelle par les employés, tant au niveau de la direction qu'au niveau opérationnel, dans les divisions spécialisées. Parmi les risques soulevés figuraient les suivants : le risque pour l'actualité de la DO, du fait des échéances serrées et des petites équipes; le risque que des changements de dernière minute aux textes du Quotidien modifient le sens de la diffusion ou ne soient pas rendus de façon appropriée au moment de la traduction dans la deuxième langue officielle; le risque de diffusion non autorisée d'information avant la DO; et le risque que présentent les droits d'accès périmés dans les divisions.

Dans le cadre de l'audit, on a déterminé que le processus de diffusion officielle englobe les activités de plusieurs divisions ainsi que des organisations de l'extérieur. Le cadre de gestion du risque actuellement utilisé dans l'ensemble de Statistique Canada n'oblige pas les gestionnaires à tenir compte des interdépendances entre les risques, ni à appliquer une optique intégrée à la gestion des risques. Par conséquent, des risques importants notés par les divisions spécialisées ne sont pas pris en compte dans le registre des risques de la Division des communications, ce qui pourrait limiter l'efficacité des stratégies d'atténuation possibles.

Recommandations :

Il est recommandé que le statisticien en chef adjoint, Recensement, Opérations et Communications veille à ce que :

• Soit établi un mandat officiel pour le Comité sur la gouvernance de l'utilisation du Service de transfert électronique de fichiers pour la diffusion, avec une liste de membres, incluant les rôles et responsabilités de chacun.

Réponse de la direction :

La direction souscrit à la recommandation formulée.

• Le directeur, Division de la diffusion, élaborera un document officiel incluant le mandat, la composition et les rôles et responsabilités du Comité sur la gouvernance de l'utilisation du Service de transfert électronique de fichiers pour la diffusion.
  
  Produits livrables et échéancier : Un document officiel incluant le mandat, la composition et les rôles et responsabilités du Comité sur la gouvernance de l'utilisation du Service de transfert électronique de fichiers pour la diffusion, d'ici juin 2015.

Il est recommandé que l'agent du risque ministériel veille à ce que :

• Le cadre de gestion du risque organisationnel soit mis à jour, afin de permettre l'intégration des interdépendances entre les risques dans les divisions de Statistique Canada.

Réponse de la direction :

La direction souscrit à la recommandation formulée.

• Le registre des risques et le profil de risque organisationnel sont élaborés chaque année et ont évolué, grâce aux améliorations qui sont apportées d'une année à l'autre. L'agent du risque organisationnel entreprendra un examen des processus opérationnels courants, afin de rendre compte de façon plus efficace et efficiente des risques opérationnels et stratégiques. Cet examen mènera à un cadre de risque amélioré et apportera plus de rigueur à l'élaboration du registre des risques, y compris la détermination des interdépendances qui ont des répercussions sur les résultats.
  
  Produits livrables et échéancier : Un processus opérationnel documenté pour le cadre de gestion du risque organisationnel; l'élaboration d'un cadre de risque et d'un registre des risques; et des outils à l'appui de l'élaboration du registre des risques, d'ici mars 2016.

Objectif 2 : Des mécanismes de contrôle efficaces sont établis et sont appliqués de façon uniforme pour veiller à ce que la diffusion anticipée des produits de Statistique Canada soit conforme à la Politique sur la diffusion officielle et à d'autres politiques et directives pertinentes de Statistique Canada.

Contrôle en place pour protéger les données diffusées de façon anticipée aux organismes externes

Des activités de contrôle efficaces comprennent des pratiques de sécurité des TI et d'autres activités qui permettent d'assurer une gestion efficace des relations avec les tiers, prescrivent comment les tâches connexes devraient être exécutées, empêchent les mesures inappropriées et fournissent la limite des mesures acceptables que les tiers devraient comprendre clairement et suivre.

Le système utilisé pour assurer la protection des données de la diffusion anticipée et leur envoi uniquement aux parties à l'extérieur autorisées doit être amélioré.

En vertu de la Politique sur la diffusion officielle, tous les nouveaux ensembles de données, produits analytiques et produits d'information de Statistique Canada sont diffusés par l'entremise du Quotidien, qui est l'organe de DO de Statistique Canada. Aux termes de la politique, cinq conditions doivent être respectées pour permettre la diffusion de l'information avant la DO. Les conditions dans lesquelles la DA est autorisée sont les suivantes :

• autorisation du greffier du Conseil privé, sur recommandation du statisticien en chef;
• autorisation du statisticien en chef;
• entente touchant les données en cours d'élaboration (aux fins de la validation des données);
• DA à des fins d'information^{Note de bas de page 1} (données à frais recouvrables et données administratives renvoyées à l'organisme source); et
• gouvernance commune.

Pour obtenir une autorisation du greffier du Conseil privé pour une DA, le statisticien en chef lui envoie une lettre à cet effet, au nom de Statistique Canada. Le greffier du Conseil privé renvoie une lettre à Statistique Canada autorisant les DA selon cette condition. En date de juin 2014, six ministères et organismes fédéraux disposaient d'une autorisation du greffier du Conseil privé pour la DA de diverses enquêtes essentielles à la mission et indicateurs économiques majeurs.

On n'a pas noté de dispositions pour la DA autorisées par le statisticien en chef.

La majorité des DA appartiennent à la catégorie des données en cours d'élaboration (91 demandes) et sont des DA à des fins d'information (47 demandes). Dans tous les cas, sauf la gouvernance commune (8 demandes), lorsque des organisations demandent la DA d'information, leurs demandes doivent être approuvées par les divisions spécialisées, ainsi que par le directeur général de la Division des communications.

Un formulaire de demande de reconnaissance de structure de gouvernance commune doit être rempli dans le cadre d'un programme de collaboration officiel qui a été désigné par le Conseil exécutif de gestion dans une structure de gouvernance commune reconnue avec des organismes partenaires. Pour la période visée par l'audit, 8 reconnaissances de structure de gouvernance commune étaient en place.

Aux termes de la politique, dans le cas des demandes de DA approuvées, les partenaires de l'extérieur doivent reconnaître leurs responsabilités. À cette fin, des formulaires d'Entente de confidentialité (EC) ont été créés et doivent être signés par les destinataires. Ces formulaires visent à :

• accuser réception de l'information;
• assurer la confidentialité de l'information protégée destinée à la diffusion qui leur est confiée;
• restreindre l'accès à l'information protégée aux représentants désignés de leur organisme, pour des raisons d'ordre professionnel (selon le principe de l'accès sélectif);
• s'engager à ne pas diffuser l'information protégée destinée à la diffusion;
• détruire l'information protégée une fois que l'examen est terminé, avant la diffusion officielle.

En outre, la politique note que lorsque l'on a recours à la DA pour informer un ministre, l'information ne peut pas avoir lieu avant 17 h, HNE, le jour ouvrable précédant le jour de la publication de l'information dans Le Quotidien.

Dans le cas des DA assujetties aux conditions d'information et d'ententes sur les données en cours d'élaboration, de nouvelles EC doivent être signées tous les 15 mois. Les responsables de l'audit ont été informés par le personnel de la Division des communications qu'il n'y a pas d'exigence de renouvellement pour les DA autorisées par le greffier ou celles pour la gouvernance commune. Dans le cadre de l'audit, on a noté que les modalités des EC ont changé au fil du temps. Par conséquent, s'il n'y a pas d'exigence de renouvellement des EC avec les destinataires, ceux‑ci n'auront pas reconnu leurs nouvelles responsabilités, en cas de modification des responsabilités du répondant figurant dans les EC (c.‑à‑d. si les modalités des EC étaient modifiées), et on ne leur rappellera pas périodiquement leurs responsabilités en ce qui a trait à la protection des données statistiques de nature délicate.

La politique note que la Division des communications est responsable de tenir un registre de toutes les DA et de recueillir périodiquement de l'information concernant les résultats et les avantages de DA approuvées précédemment par les gestionnaires de programme de l'organisation. Cela vise à assurer une gestion efficace et continue des données de la diffusion anticipée de Statistique Canada, conformément à la politique. La Division des communications conserve aussi des copies des EC signées.

Dans le cadre de l'audit, on a examiné les registres de DA en place à la Division des communications pour 2012-2013 et 2013-2014, et on a déterminé qu'il existait un registre pour toutes les conditions de la DA, sauf la DA autorisée par le greffier du Conseil privé.

Même si le bureau du statisticien en chef avait une liste de tous les ministères recevant de l'information en vertu d'une autorisation du greffier, la Division des communications n'avait pas de registre pour les diffusions anticipées autorisées par le greffier du Conseil privé, conformément à la politique. Par conséquent, la gestion de la DA en vertu de cette condition n'est pas pleinement efficace. L'audit a permis de noter que, pour l'un des deux indicateurs principaux échantillonnés, des formulaires incorrects étaient signés et des EC n'avaient pas été signées par tous les destinataires désignés de l'information. Pour une division spécialisée qui fournissait des données de DA en vertu d'une autorisation du greffier du Conseil privé, il n'y avait aucune EC en place (tableau 1).

Aux termes de la Politique sur la diffusion officielle, les résultats et les avantages des diffusions anticipées approuvées précédemment doivent être documentés, afin de veiller à ce qu'il existe un avantage évident à autoriser des organisations de l'extérieur à recevoir des documents de diffusion anticipée. La politique prévoit aussi que la Division des communications recueille périodiquement ces données auprès des divisions spécialisées. Dans le cadre de l'audit, on a noté que les divisions spécialisées contactées ne documentent pas cette information et que la Division des communications ne recueille pas cette information. En l'absence de preuve documentée des avantages de l'autorisation de l'accès aux données protégées avant la diffusion officielle, il se peut que l'organisation ne soit pas en mesure de mener de façon adéquate l'exercice de risque/récompense, ce qui pourrait entraîner l'accès inutile à des diffusions anticipées, avec peu d'avantages pour l'organisation, voire pas du tout.

Au cours de la mise à jour annuelle des registres de la diffusion anticipée, la Division des communications effectue un exercice dans lequel les divisions spécialisées fournissent une justification pour la diffusion anticipée continue en vertu de la gouvernance commune, des données en cours d'élaboration et à des fins d'information. Dans le cadre de l'audit, on a noté que ces justifications se situent à un niveau élevé et comprenaient des motifs comme : le destinataire est un partenaire; le destinataire assure la validation; données fournies à des fins d'information. Les justifications se situent à un niveau élevé, et sont génériques et ne comportent pas suffisamment de renseignements pour démontrer un avantage manifeste.

Dans le cadre de l'audit, on a vérifié des demandes de DA et les EC correspondantes pour chacune de ces conditions, pour la période du 1^er janvier 2013 au 1^er juillet 2014, avec pour résultat, que pour 13 des 14 demandes de DA vérifiées selon les quatre conditions pour lesquelles des EC étaient en place, les divisions spécialisées faisaient signer les bons formulaires aux destinataires. Dans le cadre de l'audit, on a aussi tenté de déterminer si toutes les demandes pour des données en cours d'élaboration, à des fins d'information et pour la gouvernance commune comportaient les Ententes de confidentialité signées requises (tableau 1). Les résultats globaux des tests ont révélé que certaines des EC n'étaient pas en place. De façon plus particulière, pour chaque condition de diffusion anticipée, les tests de l'audit ont révélé ce qui suit :

• Ententes pour des données en cours d'élaboration : parmi les cinq demandes d'entente pour des données en cours d'élaboration échantillonnées, quatre comportaient le nombre requis d'Ententes de confidentialité.
• Diffusion anticipée à des fins d'information : quatre des quatre demandes échantillonnées comportaient toutes les Ententes de confidentialité requises.
• Gouvernance commune : deux des deux demandes échantillonnées comportaient toutes les Ententes de confidentialité requises.
• Diffusion anticipée en vertu d'une autorisation du greffier : parmi les deux demandes échantillonnées, ni l'une ni l'autre n'utilisait les formulaires appropriés de demande de DA, et une comportait le nombre requis d'Ententes de confidentialité.

Par ailleurs, dans le cadre de l'audit, on a noté que dans deux des EC signées en place, les destinataires de la DA avaient modifié les modalités des ententes sans l'approbation de la Division des communications.

Même si un processus est en place pour que les parties à l'extérieur reconnaissent officiellement leurs responsabilités en ce qui a trait aux données statistiques de nature délicate, le processus actuel n'est pas pleinement efficace et pourrait augmenter le risque pour la protection de l'information statistique de nature délicate.

La salle d'information à huis clos est sécuritaire.

Lorsqu'il y a une diffusion économique majeure, ou encore une diffusion du recensement ou de l'Enquête nationale auprès des ménages, les journalistes qui détiennent un laissez-passer valide de la tribune de la presse parlementaire peuvent participer à une séance à huis clos. La séance d'information à huis clos se fait dans un environnement où les journalistes peuvent accéder aux documents de la DO environ une heure avant la diffusion officielle, en vue de rédiger un article.

La salle d'information à huis clos a été rénovée pour la dernière fois en septembre 2013 et est protégée contre toutes les communications sans fil ou radio. En outre, sauf pour le téléphone qui est installé sur le bureau de contrôle du personnel des Relations avec les médias, toutes les autres lignes terrestres sont désactivées pendant la séance d'information. Pendant une séance d'information des médias, la salle est fermée à clé du début de la séance (habituellement 7 h 30) jusqu'à l'heure de diffusion officielle, soit 8 h 30. Lorsqu'une séance se déroule et que la porte de la salle est fermée, aucune communication avec des parties à l'extérieur n'est autorisée jusqu'au moment de la diffusion. Les journalistes doivent remettre tous leurs téléphones cellulaires, qui sont placés dans une boîte en plomb sécuritaire. Pendant la séance d'information, les journalistes reçoivent une copie des documents de la DO, une fois que la salle a été sécurisée, et ils rédigent leurs articles. À 8 h 30 exactement (selon l'heure du Conseil national de recherches), les portes de la salle sont déverrouillées, et les journalistes peuvent soumettre leurs articles pour publication.

Dans le cadre de l'audit, on a vérifié la salle d'information à huis clos et ses procédures de fonctionnement et on a déterminé que les éléments de sécurité de la salle étaient efficaces et permettaient d'assurer la protection de l'information.

Recommandations :

Il est recommandé que le statisticien en chef adjoint, Recensement, Opérations et Communications veille à ce que :

• La Division des communications collabore avec les divisions spécialisées pour améliorer le registre des demandes de diffusion anticipée, afin de permettre la gestion efficace des demandes et de veiller à ce que les documents de DA soient limités aux personnes autorisées seulement.
• Toutes les diffusions anticipées soient gérées par une seule entité (c.‑à‑d. la Division des communications), et les exigences s'appliquant aux Ententes de confidentialité soient uniformes, afin que des mises à jour périodiques des Ententes de confidentialité aient lieu et permettent de confirmer que les destinataires comprennent la situation et leurs responsabilités en ce qui a trait à la confidentialité de l'information protégée.
• Il y ait un avantage manifeste associé aux diffusions anticipées des données en cours d'élaboration, qui devrait être documenté par les divisions spécialisées et recueilli par la Division des communications.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

• Le directeur général, Communications, collaborera avec les directeurs des divisions spécialisées pour confirmer l'exactitude des données des registres, recueillir des copies signées des Ententes de confidentialité pour toutes les ententes de diffusion anticipée, et les intégrer au registre des ententes de diffusion anticipée et de gouvernance commune de Statistique Canada.
  
  Produits livrables et échéancier : Un registre amélioré et exact pour les demandes de diffusion anticipée, d'ici juin 2015.
• Le directeur général, Communications, s'assurera qu'un registre des diffusions anticipées autorisées par le greffier du Conseil privé est établi et mis à jour par la Division des communications.
  
  Produits livrables et échéancier : Un registre des diffusions anticipées autorisées par le greffier du Conseil privé, mis à jour par la Division des communications, d'ici juin 2015.
• Le directeur général, Communications, s'assurera que la Politique sur la diffusion officielle est modifiée, afin de préciser les mises à jour périodiques pour les Ententes de confidentialité concernant des diffusions anticipées autorisées par le greffier du Conseil privé et pour les ententes en vertu de la structure de gouvernance commune. Les formulaires « Entente de confidentialité pour les diffusions anticipées autorisées par le greffier du Conseil privé » et « Entente de confidentialité pour la gouvernance commune » seront modifiés en conséquence.
  
  Produits livrables et échéancier : Une Politique sur la diffusion officielle modifiée, d'ici juin 2015.
• Le directeur général, Communications, s'assurera que la Division des communications collabore avec les divisions spécialisées pour s'assurer que les avantages associés aux ententes sur les données en cours d'élaboration (diffusions anticipées à des fins de validation) sont énoncés de façon particulière dans le registre.
  
  Produits livrables et échéancier : Documentation plus précise dans le registre des avantages des diffusions anticipées pour les données en cours d'élaboration, d'ici juin 2015.

Contrôles à Statistique Canada pour assurer la confidentialité des données diffusées de façon anticipée

Des mécanismes et des processus de contrôle efficaces appuient l'organisation pour la gestion des risques et l'atteinte des objectifs établis, en faisant en sorte que les actifs soient protégés et que les mesures et décisions de l'organisation soient conformes aux lois, politiques et directives pertinentes.

Les privilèges d'accès aux répertoires partagés nécessitent une mise à jour régulière.

Aux termes de la Directive sur la sécurité des renseignements statistiques de nature délicate et du Manuel des pratiques de sécurité, Statistique Canada considère toutes les données statistiques de nature délicate dont il est chargé et dont il assure le contrôle comme Protégées B. Ainsi, ces renseignements devraient faire l'objet d'un contrôle, afin d'être protégés contre les pertes, les vols, les compromissions et les divulgations inappropriées. À Statistique Canada, ces renseignements ne peuvent être transmis aux personnes que selon le principe de l'accès sélectif.

Les divisions spécialisées ont noté que tous les renseignements protégés sont entreposés sur des disques partagés sécuritaires. Les disques partagés sont dans le Réseau A sécuritaire et l'accès à ces disques est limité selon le principe de l'accès sélectif. L'audit a confirmé que lorsqu'un examen de l'information doit avoir lieu, un hyperlien avec l'information est communiqué au moyen d'un courriel, les versions électroniques de l'information n'étant pas envoyées.

Dans le cadre de l'audit, on a examiné les répertoires de fichiers et les autorisations connexes pour les données de diffusion anticipée de l'Enquête sur la population active (EPA), l'Enquête mensuelle sur le commerce de détail (EMCD) et la Division des communications, afin de déterminer si l'accès aux fichiers est limité uniquement à ceux qui ont besoin de savoir. Même si l'accès est restreint dans les répertoires de diffusion anticipée, l'audit a déterminé que les autorisations n'étaient pas régulièrement mises à jour et que certaines personnes autorisées à accéder à deux répertoires de diffusion anticipée des divisions spécialisées examinées ne travaillaient plus à la division.

L'application du Quotidien intelligent permet aux divisions spécialisées de télécharger des textes de diffusion anticipée du Quotidien dans une application qui formate les documents de diffusion officielle. Toutes les divisions spécialisées qui procèdent à des diffusions officielles utilisent cette application; toutefois, l'accès est limité aux utilisateurs autorisés seulement des divisions. La Division des communications gère l'accès et les autorisations liés à cette application. Dans le cadre de l'audit, on a examiné l'application du Quotidien intelligent pour s'assurer que les employés des divisions spécialisées qui sont autorisés à l'utiliser ont accès uniquement à leurs propres documents et que les données de diffusion anticipée des autres secteurs sont limitées. Dans le cadre de l'audit, on a déterminé que les employés de la Division des communications limitent l'accès et que les utilisateurs peuvent uniquement accéder à leurs propres renseignements et ne peuvent pas consulter les données des autres programmes ou divisions.

Les porte-parole auprès des médias pour les diffusions de données n'ont pas tous suivi la formation obligatoire sur les médias.

Avant de parler aux représentants des médias, les personnes désignées comme porte-parole doivent avoir suivi le cours « Face aux médias ». Cette formation est conçue pour aider le personnel de Statistique Canada à se préparer aux demandes des médias et vise à faire en sorte que les porte-parole comprennent leurs responsabilités lorsqu'ils sont désignés à ce titre.

Statistique Canada a adopté une politique pour accepter les demandes d'entrevues des médias et pour fournir des commentaires sur les enjeux de programme et l'interprétation des données et, pour chaque DO, désignera certaines personnes des divisions spécialisées comme porte-parole pour les médias ou contacts d'information. Selon la Politique sur la diffusion officielle et la Politique sur les relations avec les médias : Porte-parole et réponse aux médias, la Division des communications est chargée de fournir de la formation sur les médias aux personnes-ressources aux fins de la DO, et les directeurs des divisions spécialisées doivent s'assurer que les porte-parole désignés ont suivi la formation requise.

Il existe un plan de formation et de perfectionnement pour traiter et gérer les relations avec les médias; toutefois, dans le cadre de l'audit, on a pris un échantillon de 25 personnes qui ont été désignées comme porte-parole pour les médias au cours de la période visée par l'audit et on a déterminé que 28 % d'entre elles n'avaient pas suivi la formation requise sur les médias. Les entrevues avec les employés de la Division des communications qui assurent la formation ont permis de noter que des cours de recyclage et des entrevues simulées peuvent être organisés avec les Communications, sur une base ponctuelle, mais que ces cours informels ne sont pas considérés comme un substitut du cours officiel.

Lorsque les porte-parole auprès des médias n'ont pas suivi la formation formelle requise sur les médias, cela augmente le risque que les employés ne comprennent pas leurs rôles et responsabilités en ce qui a trait à la fonction de porte-parole officiel de Statistique Canada.

Le contrôle du transfert de l'information du réseau sécuritaire au réseau public fait en sorte que les défectuosités des TI sont traitées au moment opportun.

L'infrastructure des TI qui est utilisée pour préparer et organiser les documents de DO relève de Services partagés Canada. Parallèlement, les employés de Statistique Canada doivent s'assurer que les documents de DO (Le Quotidien) sont diffusés au moment de la DO, soit 8 h 30 HNE (heure normale de l'Est). Étant donné que l'infrastructure des TI ne relève plus de Statistique Canada, les employés de la Division des systèmes d'administration et de diffusion (DSAD) contrôlent le processus de diffusion pour chaque jour de diffusion, à partir de 7 h jusqu'à la DO, à 8 h 30.

L'environnement des TI est complexe, étant donné qu'il y a plusieurs serveurs et que le transfert d'information doit se faire au moment opportun. En outre, certains serveurs transfèrent l'information entre la zone protégée et la zone d'accès public, là où les renseignements deviennent disponibles pour le public au moment de la DO, soit à 8 h 30.

Le personnel de la DSAD a élaboré une série de protocoles et d'avis automatisés pour chaque transfert de données, afin de veiller à ce que les employés soient au courant de toutes les défectuosités du processus et qu'ils sachent où la défectuosité s'est produite. Le protocole indique aussi à chaque étape les interventions manuelles qui doivent être lancées en cas de défectuosité des TI. Ces protocoles sont évolutifs et sont mis à jour lorsque des changements sont apportés à l'infrastructure des TI.

La DSAD a un horaire des employés responsables de veiller à ce qu'un contrôle approprié ait toujours lieu. En outre, le chef chargé du contrôle du transfert de l'information a souligné qu'il y a toujours deux personnes présentes sur place. Il a été noté qu'il s'agit d'un contrôle important. Si une défectuosité se produit, une personne peut se concentrer sur le lancement de contrôles manuels et l'autre peut s'assurer de communiquer le problème à la direction, à la division spécialisée et au personnel de Services partagés.

Dans le cadre de l'audit, on a observé le contrôle du transfert de l'information et on a déterminé que le processus énoncé dans le protocole est suivi, que des avis automatisés sont produits, conformément à la description, et que le contrôleur de la DSAD vérifie si les données correctes ont été transférées, ce qui constitue une méthode efficace pour atténuer les risques d'une défectuosité des TI.

Les pratiques de passation de marchés pour l'acquisition de services de traduction doivent être raffermies.

Tous les documents de diffusion officielle sont publiés dans les deux langues officielles. Statistique Canada donne à contrat les services de traduction à des traducteurs professionnels. Les politiques de sécurité et de passation des marchés du gouvernement du Canada prévoient que, lorsque des données protégées sont accessibles à des parties à l'extérieur de l'organisation, plusieurs mesures de sécurité sont requises. Il faut notamment s'assurer que les personnes qui ont accès aux données protégées ont la cote de sécurité appropriée et que les capacités de protection de l'installation et des documents correspondent au niveau de sécurité de l'information reçue. Dans le cadre du processus d'approvisionnement, les ministères envoient la Liste de vérification des exigences relatives à la sécurité (LVERS) à Travaux publics et Services gouvernementaux Canada (TPSGC) aux fins de confirmation. La LVERS fait état de la classification de l'information à traiter et TPSGC confirme que l'entrepreneur proposé détient les cotes de sécurité appropriées correspondant au niveau de sécurité de l'information à laquelle il aura accès. TPSGC mène aussi des inspections de sécurité des documents et des installations, dans le cas de celles qui traiteront des données protégées du gouvernement du Canada. En outre, la Politique sur les marchés du gouvernement du Canada souligne que : « la politique gouvernementale en matière de sécurité s'applique aux marchés de la même façon qu'aux opérations internes ».

Dans le cadre de l'audit, on a examiné les contrats de traduction, afin de déterminer s'ils comportaient des exigences de sécurité appropriées et si les entrepreneurs avaient les autorisations de sécurité appropriées. Une vérification a permis de déterminer que 28 % des contrats de traduction échantillonnés (10 sur 36) ne comportaient pas d'exigences en matière de sécurité. Par conséquent, aucun renseignement protégé ou secret ne devrait être traduit en vertu de ces contrats. Dans le cadre de l'audit, on a noté que dans 66 % (6 sur 9) des contrats sous-échantillonnés qui ne comportaient pas d'exigences en matière de sécurité, des données protégées ont été fournies à des entrepreneurs qui n'avaient pas les dispositifs appropriés de protection des installations et des documents ou, dans certains cas, de cote de sécurité personnelle.

Les responsables de projet sont chargés de fixer les modalités des contrats, y compris la LVERS au besoin. Dans le cadre des entrevues avec les responsables des contrats et la Sécurité du Bureau, on a noté qu'ils n'assuraient pas de fonction de remise en question auprès des responsables des projets concernant la nécessité d'inclure des exigences en matière de sécurité dans les contrats.

Dans le cadre de l'audit, on a noté plusieurs autres faiblesses et incohérences. Certains contrats de traduction, mais pas tous, exigent que les personnes qui ont accès à des données protégées signent une entente sur les valeurs et l'éthique et prêtent serment de discrétion. Il n'y avait pas de preuve de l'un ou l'autre de ces documents dans les contrats échantillonnés. Pour certains contrats de traduction, le responsable de projet a souligné que les entrepreneurs doivent signer un « énoncé de sécurité », plutôt que d'obtenir une cote de sécurité. Le document d'« énoncé de sécurité » a été élaboré à l'interne à Statistique Canada, avec la collaboration de la Sécurité du Bureau, pour compenser l'absence d'exigences en matière de sécurité dans certains contrats. Il n'y avait pas de preuve de l'un ou l'autre de ces documents dans les contrats échantillonnés.

Dans le cadre de l'audit, on a déterminé des faiblesses importantes au chapitre du contrôle pour l'acquisition des services de traduction, et on a trouvé plusieurs cas de non-conformité, qui augmentent considérablement le risque pour la confidentialité de l'information statistique de nature délicate.

Recommandations :

Il est recommandé que le statisticien en chef adjoint, Recensement, Opérations et Communications veille à ce que :

• Les divisions spécialisées et le personnel des relations avec les médias s'assurent que les personnes-ressources auprès des médias chargées de la diffusion officielle ont reçu la formation sur les médias et connaissent leurs rôles et responsabilités en vertu de la Politique sur les relations avec les médias : Porte-parole et réponse aux médias, avant la diffusion.
• Les contrats d'acquisition de services de traduction comprennent des exigences de sécurité correspondant au niveau de sécurité de l'information à laquelle les entrepreneurs auront accès.

La direction souscrit aux recommandations formulées.

Réponse de la direction :

• Le directeur général, Communications, en collaboration avec les directeurs des divisions spécialisées, s'assurera que tous les porte-parole suivent la formation officielle sur les médias avant de s'adresser aux médias. À cette fin, on utilisera :
  • des courriels trimestriels envoyés aux directeurs par le directeur général, Communications, avec des suivis au besoin;
  • des séances de formation sur les médias fournies par la Division des communications, tout au long de l'année;
  • le soutien de la formation obligatoire confirmé par le Comité de l'apprentissage et du perfectionnement.
  Dans les cas où un porte-parole ne suit pas la formation requise, le directeur de la division spécialisée agira comme porte-parole.
  
  Produits livrables et échéancier : Tous les porte-parole auront suivi de la formation officielle sur les médias avant de parler aux médias, d'ici juillet 2015.
• La direction souscrit à la recommandation formulée et reconnaît que l'autorisation de sécurité de certains de ses fournisseurs de services de traduction a été délivrée par la Sécurité du Bureau et non pas par TPSGC, alors que cela aurait dû être le cas. Même s'il s'agit d'un écart par rapport aux procédures, l'audit n'a pas déterminé de cas particulier où l'information envoyée pour la traduction a été utilisée de façon inappropriée.
  
  Une fois la situation connue, deux mécanismes ont été établis pour y remédier :
  • les documents Protégés B sont envoyés aux fournisseurs qui ont la cote de sécurité requise;
  • on a établi un processus pour confirmer la cote de sécurité des fournisseurs de services, à la Division des communications.
  Les demandes de propositions (DP) pour la sélection de fournisseurs pour 2015-2016 comprendront les exigences de sécurité appropriées. Les clauses de sécurité requises (reçues de TPSGC) seront incluses dans tous les contrats.
  
  Produits livrables et échéancier : Les mécanismes visant à faire en sorte que les fournisseurs de services de traduction aient les cotes de sécurité requises ont été mis en œuvre le 5 décembre 2014, et les DP pour sélectionner les fournisseurs pour 2015-2016 comprendront les exigences de sécurité appropriées, d'ici avril 2015.

Il est recommandé que le statisticien en chef adjoint, Services intégrés (et DPF), veille à ce que :

• Les privilèges d'accès aux répertoires partagés comprenant des renseignements protégés soient mis à jour de façon régulière, afin que seules les personnes ayant besoin de savoir accèdent à l'information.

Réponse de la direction :

• La direction souscrit à la recommandation formulée.
  
  Un rappel soulignant l'importance et la nécessité de passer en revue et de mettre à jour les privilèges d'accès aux répertoires partagés comprenant des renseignements protégés sera envoyé par le dirigeant principal de l'information (DPI) à tous les cadres. On explorera aussi des options pour automatiser la gestion des privilèges d'accès.
  
  Produits livrables et échéancier : Un rappel générique sera transmis par le DPI chaque année, à partir de maintenant. Un groupe de travail sera établi, de concert avec le projet Examen et automatisation des processus administratifs (EAPA), afin d'explorer des options pour automatiser la gestion des privilèges d'accès. Une recommandation sera soumise au Comité de gestion de l'information, d'ici septembre 2015.

Annexe A : Critères d'audit

Annexe B : Sigles

Contexte

Statistique Canada a été créé afin de veiller à ce que les Canadiens aient accès à une source fiable de statistiques canadiennes pour répondre à leurs besoins les plus prioritaires. L'accès à des renseignements statistiques fiables est essentiel dans une société démocratique, en vue d'appuyer la prise de décisions fondée sur des données probantes par les secteurs public et privé, ainsi que pour alimenter les débats de fond sur les questions de politique publique. En vertu de la Loi sur la statistique, Statistique Canada doit « recueillir, compiler, analyser, dépouiller et publier des renseignements statistiques sur les activités et les conditions commerciales, industrielles, financières, sociales, économiques et générales de la population et sur l'état de celle-ci », ce qui exige de lui qu'il recueille des données auprès d'une gamme variée d'entreprises et de ménages canadiens.

À Statistique Canada, la Direction de la collecte et des services régionaux (DCSR) est responsable de la majorité des activités de collecte des données. Son mandat consiste à :

• fournir des services de collecte de données aux programmes statistiques de Statistique Canada (enquêtes auprès des ménages, enquêtes auprès des entreprises et collecte du recensement);
• fournir la structure de gestion pour l'employeur distinct – les Opérations des enquêtes statistiques (OES) – qui est constituée des intervieweurs de Statistique Canada;
• promouvoir la disponibilité et l'utilisation efficace des produits et des services de Statistique Canada, par l'entremise des programmes des Services consultatifs et des Communications dans les régions.

Au sein de la Direction générale, la Division de la planification et de la gestion de la collecte (DPGC) est responsable de la planification coordonnée des capacités de collecte, ainsi que de celles de l'infrastructure de collecte. Le DPGC agit aussi comme point d'accès pour la plupart des partenaires d'enquête qui ont besoin d'un soutien pour la collecte. La DPGC assure l'interface entre les divisions spécialisées et les régions et conçoit des activités de collecte en réponse aux spécifications des clients, fournit des estimations de coûts, acquiert les services requis auprès des divisions qui les fournissent à l'intérieur du secteur, en vue de l'exécution de l'enquête, contrôle les progrès de l'enquête et en rend compte, et procède à des analyses rétrospectives des projets terminés.

Au total, trois régions gèrent des opérations de collecte des données d'enquête : la région de l'Est, qui a des bureaux à Halifax, Montréal et Sherbrooke; la région du Centre, avec des bureaux à Ottawa, Toronto et Sturgeon Falls; et la région de l'Ouest et des Territoires du Nord, avec des bureaux à Edmonton, Regina, Calgary, Winnipeg et Vancouver. Dans ces régions, on compte environ 2 000 intervieweurs et fonctionnaires qui fournissent des services et qui mènent des enquêtes.

La DCSR a entrepris un projet pilote de renouvellement, en janvier 2014, dont la mise en œuvre complète est prévue pour le 1er avril 2014. En vertu de ce projet, les rôles et responsabilités des bureaux régionaux et de la DPGC changeront. La DPGC transférera la gestion des enquêtes aux régions, et les secteurs spécialisés communiqueront directement avec elles. La DPGC continuera d'effectuer la planification et de préparer les documents de formation pour les enquêtes, tandis que les bureaux régionaux seront pleinement responsables de la résolution des problèmes de collecte.

Objectifs de l'audit

Les objectifs de l'audit étaient de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) l'assurance que :

• Statistique Canada a des mécanismes de gouvernance appropriés pour appuyer la planification et l'affectation des ressources de Collecte et Services régionaux.
• des mécanismes appropriés d'assurance de la qualité ont été établis et sont appliqués de façon uniforme, afin que la Direction de la collecte et des services régionaux recueille des données de qualité et se conforme aux Lignes directrices concernant la qualité de Statistique Canada.

Portée

La portée de cet audit comprenait un examen de la pertinence et de l'efficacité des contrôles de qualité en place pour la collecte des données assurée par la Direction de la collecte et des services régionaux. Parmi les domaines particuliers qui ont été examinés figurent les contrôles d'assurance de la qualité actuellement en place dans les environnements de collecte d'interviews téléphoniques assistées par ordinateur (ITAO) et d'interviews sur place assistées par ordinateur (IPAO), afin d'assurer la conformité avec les Lignes directrices concernant la qualité de Statistique Canada.

Dans le cadre de l'audit, on a aussi examiné l'efficacité et la pertinence de la gouvernance et de la planification de la capacité pour la Direction de la collecte et des services régionaux. Au cours de l'audit, l'équipe d'audit a examiné la Division de la planification et de la gestion de la collecte au bureau central, ainsi que les bureaux régionaux d'Edmonton, de Sherbrooke et de Sturgeon Falls. L'audit a couvert la période de janvier 2013 à janvier 2014. Il n'a pas inclus d'éléments d'infrastructure liés à Services partagés Canada, qui feront l'objet d'une mission distincte.

Approche et méthodologie

L'audit a pris la forme d'un examen exhaustif et d'une analyse de la documentation pertinente, ainsi que d'entrevues avec des gestionnaires et du personnel clés de la DCSR au bureau central et dans les bureaux régionaux. Le travail sur le terrain comprenait un examen, une évaluation et un essai des processus et des procédures en place pour veiller à ce que Statistique Canada fournisse des données statistiques de qualité.

Cet audit comprenait des entrevues avec du personnel dans toutes les régions, les divisions spécialisées, ainsi que des entrevues avec le personnel de la DCSR travaillant au bureau central. L'examen des documents a inclus les rapports d'enquête et la documentation de chacune des régions et du bureau central. Un échantillon aléatoire d'intervieweurs a été tiré à chacun des emplacements visités. L'essai comprenait un échantillonnage aléatoire de fichiers d'intervieweurs de chacun des trois emplacements visités et l'examen des rapports du Système de rétroaction du contrôle de la qualité (SRCQ) pour les mois particuliers compris dans la période examinée, ainsi qu'une validation, afin de s'assurer que la formation appropriée était donnée aux intervieweurs avant les activités de collecte. L'audit a aussi consisté à vérifier les procédures en place pour s'assurer que les employés des OES connaissaient et acceptaient les codes d'éthique et de conduite s'appliquant à eux. En outre, étant donné que le bureau régional d'Edmonton a été le seul bureau visité responsable d'intervieweurs d'IPAO, un échantillon de fichiers d'intervieweurs d'IPAO a été examiné.

Cet audit a été mené conformément aux Normes relatives à la vérification interne au sein du gouvernement du Canada, qui comprennent les Normes internationales pour la pratique professionnelle de l'audit interne de l'Institute of Internal Auditors (IIA).

Pouvoirs

Cet audit a été mené en vertu des pouvoirs prévus dans le Plan de vérification et d'évaluation fondé sur les risques de Statistique Canada pour 2013-2014 à 2017-2018.

Gouvernance

Un cadre de gouvernance robuste est essentiel pour s'assurer que la Direction de la collecte et des services régionaux (DCSR) fournit des services de collecte de données de qualité aux programmes statistiques de Statistique Canada. Les pouvoirs, responsabilités et obligations de reddition de comptes devraient être clairement définis et compris à tous les niveaux, afin d'appuyer la gestion efficace de la collecte et de la capacité, et une approche bien établie de gestion des risques devrait être en place.

Les responsabilités et les obligations de reddition de comptes pour le personnel de la DPGC et des BR sont définies et communiquées

Les responsabilités et les obligations de reddition de comptes de la Division de la planification et de la gestion de la collecte (DPGC) et des bureaux régionaux (BR) ont été clairement définies dans l'Entente de service concernant la collecte et les opérations (ESCO), une entente formelle qui a été établie pour définir les rôles, responsabilités et obligations de reddition de comptes des intervenants clés du processus d'enquête.

L'ESCO décrit le projet, dresse une liste détaillée des activités de collecte et d'exploitation, souligne les secteurs responsables de chaque activité et fournit des échéanciers. Elle comprend en outre des détails sur les produits livrables et sur la façon dont ils seront mesurés et contrôlés, y compris les rapports de gestion de l'information qui seront utilisés. L'ESCO comprend des détails sur les processus de gouvernance et de communication qui seront mis en œuvre pour gérer les activités de collecte et de fonctionnement. Toutes les nouvelles enquêtes doivent avoir une ESCO remplie et signée, mais comme cette entente est nouvelle et qu'elle est mise en œuvre par étapes, la plupart des enquêtes permanentes n'ont pas d'ESCO approuvée en place.

Les rôles et responsabilités du personnel régional de la collecte sont énoncés dans le Manuel des employés des OES. Celui-ci fait état des principales tâches, attentes et responsabilités pour les intervieweurs sur le terrain et au bureau central et pour les intervieweurs principaux.

Des mandats clairement définis ont été élaborés pour les comités de supervision de la collecte

Des organismes de supervision efficaces sont importants pour s'assurer que l'orientation, les plans et les mesures de la direction sont appropriés et responsables. Afin que les organismes de supervision puissent être efficaces, ils devraient recevoir des renseignements à jour et précis pour mieux remplir leur fonction de supervision.

L'audit a fait ressortir que trois comités de supervision ont été établis pour la collecte des enquêtes, notamment :

• Comité de planification de la collecte (CPC);
• Comité directeur de la collecte des données sociales (CDCDS); et
• Comité directeur de la collecte des données d'enquêtes-entreprises et d'enquêtes agricoles (CDCEEEA).

Le mandat du Comité de planification de la collecte consiste principalement à passer en revue et à recommander des stratégies pour la collecte, les relations avec les répondants et l'efficacité opérationnelle liées aux coûts, à la qualité et à l'actualité des données. Le comité est aussi responsable de passer en revue les demandes et les priorités des services de collecte, afin de recommander des ajustements de la capacité. Le CPC tient des réunions mensuelles et est présidé par deux directeurs généraux. Les membres comprennent des directeurs et des directeurs adjoints de la DCSR, ainsi que des divisions intervenantes clés de l'infrastructure statistique, de l'informatique et des divisions spécialisées. Ce comité relève du Conseil exécutif de gestion de Statistique Canada.

L'audit a permis de déterminer que le comité remplit ses objectifs en ce qui a trait aux stratégies de collecte, aux relations avec les répondants, à la qualité, à l'actualité et aux examens des demandes de capacité. Un examen des comptes rendus des réunions du comité et des entrevues avec des membres clés du CPC ont révélé que divers problèmes liés au mandat sont abordés, et que des mesures de suivi sont affectées à des responsables au besoin, afin de garantir qu'elles sont réellement prises. En outre, des représentants de groupes de travail sont invités aux réunions du CPC, afin de faire des présentations éclairées concernant la situation d'initiatives ou de recherches.

Le Comité directeur de la collecte des données sociales (CDCDS) et le Comité directeur de la collecte des données d'enquêtes-entreprises et d'enquêtes agricoles (CDCEEEA) ont des mandats clairement définis. Les deux comités assurent la supervision de la collecte des enquêtes auprès des ménages, des entreprises et sur l'agriculture et doivent rendre compte au CPC des problèmes de collecte des enquêtes auprès des entreprises et des ménages, des initiatives du comité ou des décisions. Les membres du CDCDS et du CDCEEEA comprennent des directeurs ou leurs remplaçants et proviennent de divisions spécialisées et de divisions d'infrastructure statistique, ainsi que des représentants de la DCSR. L'audit a permis de passer en revue les comptes rendus des réunions des comités au cours du dernier exercice, et on a constaté que le CDCDS et le CDCEEEA répondent aux obligations comprises dans leurs mandats.

Planification efficace de la capacité

Les Lignes directrices concernant la qualité de Statistique Canada soulignent que la planification de la capacité est une étape importante du processus d'enquête, et qu'une planification efficace de la capacité devrait servir d'outil pour aider à assurer la qualité des activités de collecte.

L'audit a permis de déterminer que la planification de la capacité à la DPGC est officialisée et correspond à la planification de la collecte des données dans les régions. Des entrevues et un examen des documents ont révélé que des règles opérationnelles sont en place et que des hypothèses de planification sont documentées. Les besoins actuels et futurs de recherche sont évalués sur une base régulière, et les renseignements fournis par le bureau central sont suffisants pour que les bureaux régionaux puissent entreprendre leurs activités de planification. Dans les régions, la situation du marché du travail est contrôlée, afin de veiller à ce que les bureaux aient une capacité de dotation appropriée pour mener à bien les activités de collecte.

Les activités de gestion des risques de la DCSR et des bureaux régionaux doivent être élaborées davantage

Une approche bien élaborée en matière de gestion des risques devrait comprendre la détermination et l'évaluation des risques, l'élaboration de plans d'atténuation pour réduire la probabilité des risques et le contrôle permanent de la situation, afin de s'assurer que les stratégies de gestion des risques fonctionnent comme prévu.

À Statistique Canada, la gestion intégrée des risques se fait au niveau du programme, de la division ou de la direction. Chaque année, les secteurs déterminent les risques qui pourraient avoir des répercussions sur la capacité de Statistique Canada d'atteindre ses objectifs, ainsi que la probabilité possible, l'incidence et les stratégies d'atténuation.

L'audit a permis de noter que la gestion des risques est établie au niveau de la Direction de la collecte et des services régionaux. Huit risques clés auxquels fait face la Direction, et qui pourraient empêcher l'atteinte des objectifs, ont été notés. De façon générale, ces risques peuvent être organisés en risques liés aux relations avec les répondants, risques pour les ressources humaines, priorités concurrentes, interdépendances et gérance de l'information. Des stratégies d'atténuation de haut niveau ont été déterminées, mais ne font pas état des activités de gestion des risques particulières à exécuter et ne comportent pas d'obligations de reddition de comptes ou d'échéanciers pour la mise en œuvre.

Recommandations :

Le statisticien en chef adjoint, Secteur du recensement, des opérations et des communications, devrait s'assurer que :

• des activités d'atténuation des risques particulières sont établies, des obligations de reddition de comptes sont affectées et des échéances pour la mise en œuvre sont documentées.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

• Le directeur général, DCSR, modifiera le profil de risque exhaustif au niveau de la Direction, afin de fournir des détails additionnels, y compris des activités particulières d'atténuation des risques, des obligations de reddition de comptes désignées et des échéances particulières.
  
  Produits livrables et échéancier : Le profil de risque révisé de la DCSR sera terminé au plus tard en mars 2015.

Objectif 2 : Des mécanismes appropriés d'assurance de la qualité ont été établis et sont appliqués de façon uniforme, afin que la Direction de la collecte et des services régionaux recueille des données de qualité et se conforme aux Lignes directrices concernant la qualité de Statistique Canada.

Gestion de la collecte d'enquête

Les Lignes directrices concernant la qualité de Statistique Canada soulignent que la collecte des données et les opérations de saisie ont des répercussions sur l'exactitude des données. Compte tenu de cela, il devrait y avoir un équilibre entre les outils de mesure de la qualité et du rendement utilisés pour gérer la collecte des données, afin d'aider à assurer l'exactitude de l'information. Les Lignes directrices soulignent plusieurs rapports qui peuvent être utilisés comme mesures de la qualité et mentionnent en outre que ces mesures contribuent à appuyer les décisions relatives à la nécessité de modifier le processus de collecte ou de remanier les outils de collecte.

Les bureaux régionaux et la DPGC ont des approches de gestion de la collecte d'enquête non uniformes

La gestion de la collecte d'enquête comprend le suivi et le contrôle des activités de collecte. On doit s'assurer que les plans de production des enquêtes sont mis en œuvre et que les corrections ou rajustements nécessaires sont apportés et communiqués aux intervenants spécialisés et autres intervenants compétents. Le personnel des bureaux régionaux gère les activités de collecte au niveau régional et les agents de projet de la DPGC gèrent la collecte, contrôlent le progrès global des enquêtes et en rendent compte.

Les rapports relatifs aux activités globales de collecte sont préparés dans les régions par les gestionnaires de la collecte des données (GCD), les gestionnaires de district et les gestionnaires de programme régional (GPR). À l'intérieur de la DPGC, les agents de projet sont responsables de la préparation des rapports à l'appui de la gestion des enquêtes. L'audit a aussi permis de déterminer que, pour certaines des enquêtes examinées, les divisions spécialisées préparent et utilisent les rapports de collecte. Ces rapports analysent les taux de réponse, les codes de résultat et d'autres paradonnées, afin d'appuyer la gestion de la collecte d'enquête.

Les GCD et les GPR des bureaux régionaux préparent et passent en revue un certain nombre de rapports produits par un système qui visent à contrôler le rendement des enquêtes et la productivité des intervieweurs. Ces rapports comprennent des codes de résultat et des rapports d'étape quotidiens, le temps par unité et des rapports sur les coûts et les demandes. L'audit a permis de trouver des incohérences dans l'utilisation et dans la fréquence d'examen de ces rapports. Par exemple, certains GCD ont mentionné passer en revue une partie ou la totalité de ces rapports et, dans certains cas, les GCD ne passaient en revue aucun de ces rapports. La variation dans les approches de gestion des enquêtes à l'intérieur des régions augmente le risque de divergences dans les rapports créés par les régions pour la DPGC et d'autres partenaires, ce qui pourrait avoir des répercussions sur la capacité de la DPGC de prendre des décisions efficaces.

Par ailleurs, les rapports utilisés par la DPGC aux fins de la gestion de la collecte varient selon l'agent de projet. L'audit a permis de déterminer que certains agents de projet de la DPGC se fient uniquement aux rapports sur le taux de réponse quotidiens pour contrôler leurs enquêtes. D'autres ont indiqué qu'ils passaient en revue toute une gamme de rapports, par exemple, des rapports sur les résultats des conversions et les efforts de dépistage. Aucune documentation de procédure existante ne fait état des rapports qui devraient être passés en revue par les agents de projet de la DPGC pour une gestion efficace de la collecte.

Les entrevues avec les représentants de divisions spécialisées ont permis de noter que les différences dans les approches de gestion de la collecte affectent l'utilité de l'information qu'ils reçoivent concernant la situation et la qualité des activités de collecte d'enquête, ce qui donne lieu à des problèmes de qualité qui pourraient passer inaperçus.

On ne tire pas suffisamment parti des outils d'assurance de la qualité pour la gestion des activités de collecte

Les Lignes directrices concernant la qualité de Statistique Canada font état de plusieurs rapports qui peuvent être utilisés comme outils de gestion de la collecte d'enquête par la DPGC et les bureaux régionaux. Ces rapports comprennent les taux d'erreur de traitement, les taux de suivi, les taux de non-réponse selon la raison, les taux de réponse et les taux d'erreur de saisie/codage.

La direction a noté que, pour de nombreuses enquêtes, les taux de réponse sont en baisse. L'audit a permis de déterminer que, par suite de cette baisse, des efforts importants sont consacrés à obtenir des taux de réponse appropriés pour les enquêtes, ces taux étant des indicateurs du rendement et de la qualité des données. Parallèlement, des taux de réponse appropriés ne garantissent pas à eux seuls la qualité des données. Les Lignes directrices concernant la qualité de Statistique Canada soulignent qu'un cadre efficace de gestion de la collecte devrait aussi inclure des outils conçus de façon particulière pour contrôler la qualité.

L'équipe d'audit a examiné les rapports préparés par la DPGC et les régions. À l'intérieur de chacune des trois régions examinées, l'accent était mis principalement sur les rapports d'enquête qui sont préparés et passés en revue pour faire en sorte que les cibles de taux de réponse sont respectées et que les intervieweurs respectent leurs objectifs de productivité. Parmi les rapports particuliers utilisés figurent les suivants : codes de résultat, temps par unité et coûts par rapport aux demandes. Même si ces rapports font partie d'un ensemble global d'indicateurs d'assurance de la qualité, ils sont utilisés comme outils de gestion du rendement et ne sont pas suffisamment exploités dans la gestion de la qualité des données.

À l'intérieur de la DPGC, l'audit n'a pas trouvé d'indication que des rapports particuliers sur la qualité des données recueillies sont créés ou que la qualité fait l'objet d'un contrôle. Les rapports conçus pour examiner la qualité globale de la collecte permettraient de déterminer de façon précoce les enjeux ayant des répercussions sur la qualité des données recueillies et de les atténuer.

Le Système de rétroaction du contrôle de la qualité (SRCQ) sert à contrôler les intervieweurs individuels, mais comporte aussi des capacités qui permettent aux utilisateurs de créer des rapports, lesquels favorisent à leur tour l'analyse de la qualité de la collecte des données, grâce à la création et à l'analyse de rapports selon le type d'erreur, les erreurs selon l'enquête, les tendances dans le rendement des intervieweurs, etc. L'audit a souligné que ce type d'analyse ne se fait pas à la DPGC, ni dans les régions, mais aiderait les intervieweurs à comprendre les exigences des enquêtes et pourrait être utilisé comme un outil pour contrôler le rendement des intervieweurs au chapitre de la collecte.

Afin de résoudre les faiblesses au chapitre de la gestion des enquêtes et des rapports sur la qualité, l'audit a remarqué qu'une division spécialisée a demandé des rapports additionnels de la DPGC, afin de procéder à sa propre analyse de paradonnées, en vue de déterminer les problèmes de qualité. Grâce à cette analyse, on a pu fournir de la rétroaction à la DPGC sur les domaines nécessitant une recherche plus poussée. Cet exercice s'est révélé utile et, dans un cas, a entraîné la détermination de lacunes graves dans les interviews.

Un processus efficace de rétroaction et de mesures de suivi progressives a été établi

La communication des problèmes entre le bureau régional et la DPGC se fait sur une base quotidienne. De façon plus particulière, l'audit a permis de constater que les problèmes propres aux enquêtes ayant des répercussions possibles sur les activités de collecte font l'objet de rapports et de mesures de suivi progressives dans les régions et à la DPGC, afin que des mesures soient prises. Ces problèmes comprennent notamment la capacité et les budgets, des problèmes de main-d'œuvre et d'environnement, des problèmes techniques et des demandes d'informations propres à une enquête.
L'audit a permis de déterminer que la DPGC et les bureaux régionaux ont établi un processus efficace de rétroaction et de mesures de suivi progressives pour les problèmes. La communication se fait sur une base quotidienne, et l'application des mesures de suivi progressives se fait au niveau approprié.

Recommandations :

Le statisticien en chef adjoint, Secteur du recensement, des opérations et des communications, devrait s'assurer que :

• l'on établit et communique une approche de gestion de la collecte comprenant la détermination des rapports à produire, afin d'assurer l'uniformité des services de collecte fournis aux partenaires;
• des indicateurs de qualité, comme ceux énoncés dans les Lignes directrices concernant la qualité de Statistique Canada, sont inclus dans les exigences de rapports obligatoires et des données du SRCQ sont analysées régulièrement, afin de déterminer les faiblesses au chapitre de la formation et d'autres problèmes liés aux enquêtes.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

• Le directeur, Division de la planification et de la recherche en matière de collecte, élaborera un ensemble d'indicateurs et de rapports de qualité qui pourront servir à déterminer les problèmes pendant ou après les activités de collecte, ainsi qu'à maintenir ou améliorer la qualité de la collecte des données. L'élaboration de ces indicateurs se fera en collaboration avec le Comité directeur de la collecte des données sociales et le Comité directeur de la collecte des données d'enquêtes-entreprises et d'enquêtes agricoles. Si la Direction n'est pas en mesure d'absorber les coûts liés à l'élaboration, à la mise en œuvre et au maintien d'indicateurs de qualité élargis, une proposition opérationnelle sera soumise par l'entremise du processus de planification à long terme de Statistique Canada.
  
  Produits livrables et échéancier : L'élaboration du cadre de données de collecte sera terminée au plus tard en décembre 2014.

Formation et contrôle de soutien de la qualité

Formation et outils

Les Lignes directrices concernant la qualité de Statistique Canada soulignent que les manuels et la formation des intervieweurs doivent être préparés et planifiés avec soin, étant donné qu'ils constituent la meilleure façon de garantir la qualité des données (p. ex., taux de réponse élevé et réponses exactes), la compréhension des concepts des enquêtes et des sujets spécialisés, et des réponses appropriées aux questions par les répondants.

De la formation et des outils efficaces de base et propres aux enquêtes pour les intervieweurs sont en place; toutefois, la formation relative au Registre des entreprises devrait être améliorée, afin de s'assurer que les intervieweurs comprennent les exigences

Dans le cadre de l'audit, on a examiné la formation de base donnée à tous les intervieweurs au moment de leur recrutement. Cette formation souligne efficacement le mandat et les objectifs de Statistique Canada, les rôles et responsabilités des intervieweurs et des intervieweurs principaux et l'importance de la collecte des données. Elle décrit en outre les activités de collecte et le contrôle de la qualité.

De la formation propre à une enquête doit être donnée aux intervieweurs affectés à cette enquête. Afin que les intervieweurs comprennent les méthodes et les concepts d'enquête, ainsi que l'application de l'enquête, et qu'ils aient la possibilité d'effectuer des interviews fictives, de la formation doit avoir lieu avant qu'ils commencent à travailler aux enquêtes. L'audit a examiné deux enquêtes auprès des entreprises et trois enquêtes sociales et a déterminé que les documents de formation font état des procédures, applications et concepts particuliers. Conformément aux Lignes directrices concernant la qualité de Statistique Canada, la formation d'enquête comprenait aussi plusieurs approches en matière de formation, y compris l'étude à la maison, la formation en salle de classe et les interviews fictives. L'essai effectué dans le cadre de l'audit a confirmé que les intervieweurs reçoivent de la formation de base et de la formation propre aux enquêtes et que cela se fait avant qu'ils commencent leurs activités de collecte.

Le Registre des entreprises est la base de sondage des enquêtes auprès des entreprises et des enquêtes agricoles. Avant 2011, tous les changements à la base de sondage étaient effectués par le personnel de la Division du registre des entreprises et étaient sujets à une validation par les secteurs spécialisés. À partir de 2012, la responsabilité de mise à jour directe du registre a été transférée aux intervieweurs des régions. Les intervieweurs de toutes les régions visitées ont souligné que la formation relative au Registre des entreprises actuellement fournie ne les prépare pas efficacement à effectuer avec confiance les changements nécessaires au registre. Des entrevues avec des secteurs spécialisés ont confirmé cela, en soulignant que des changements incorrects ont été apportés à la base de sondage par des intervieweurs dans les régions, ce qui a donné lieu à des changements erronés à la base de sondage. Dans le cadre de l'audit, on a examiné les documents de formation relatifs au Registre des entreprises et on a noté qu'ils reposaient sur une connaissance de l'organisation et de la classification des industries que le personnel des régions n'a peut-être pas. Sans formation efficace des intervieweurs, il y a un risque que des changements non valables soient apportés au Registre des entreprises, passent inaperçus et aient des répercussions sur la qualité des enquêtes auprès des entreprises et des enquêtes agricoles.

Contrôle

Les Lignes directrices concernant la qualité de Statistique Canada soulignent qu'« il est important d'évaluer les compétences des intervieweurs, afin de s'assurer qu'ils respectent une liste de critères préétablie », et que ce procédé « permettra de cerner les forces et les faiblesses de l'intervieweur, du point de vue de ses compétences, de lui faire part de commentaires et d'axer sa formation sur ses points faibles ».

Le SRCQ est conçu pour rendre compte des résultats des opérations de contrôle de la qualité, tant pour les interviews téléphoniques assistées par ordinateur (ITAO) que pour les interviews sur place assistées par ordinateur (IPAO), ainsi que pour fournir des estimations de la qualité et des rapports de rétroaction aux intervieweurs et aux gestionnaires. Le système produit aussi des plans d'échantillonnage des intervieweurs requis pour l'administration efficace des procédures de contrôle de la qualité et la surveillance. Chaque intervieweur d'ITAO et d'IPAO est affecté à un plan de contrôle selon son rendement passé. Les plans des intervieweurs et le nombre requis de séances de contrôle mensuelles pour les intervieweurs d'ITAO et d'IPAO dans chaque plan sont classés de la façon suivante dans le SRCQ :

Pendant une séance de contrôle donnée, la qualité du travail des intervieweurs est évaluée par rapport à un ensemble prédéterminé de critères. Si un intervieweur fait une erreur ou utilise de mauvaises pratiques d'interview pour une question en particulier, les renseignements sont consignés dans le SRCQ.

Les intervieweurs d'ITAO travaillent à partir de bureaux régionaux partout au pays et, au moyen d'une application d'enquête informatique, appellent les répondants pour procéder à l'interview. Le contrôle est effectué par les intervieweurs principaux qui écoutent, observent et évaluent l'interaction directe entre l'intervieweur et le répondant, tout en utilisant un outil d'écoute téléphonique et en observant une image simultanée de l'écran d'ordinateur de l'intervieweur. Les répondants sont informés que l'appel peut être écouté par un superviseur.

Les intervieweurs d'IPAO travaillent sur le terrain et se rendent aux résidences des répondants pour procéder aux interviews. Les réponses d'enquête sont saisies par l'intervieweur dans une application d'enquête informatique. Le contrôle est effectué au moyen d'un examen de segments d'interview enregistrés sur support numérique. Chaque question enregistrée est sauvegardée dans un fichier audio distinct et transmise quotidiennement aux bureaux régionaux, où les activités de contrôle ont lieu. L'intervieweur demande aux répondants s'ils consentent à être enregistrés et leur donne la possibilité de refuser. Si le consentement n'est pas donné, l'enregistrement est interrompu.

L'équipe d'audit a observé huit séances de contrôle et a confirmé que les activités de contrôle sont effectuées selon le processus du SRCQ. Dans le cadre de l'audit, on a noté que les contrôleurs écoutent activement les intervieweurs, afin de s'assurer que les données sont codées de la bonne façon, que les intervieweurs posent les questions comprises dans le questionnaire et que la conduite des intervieweurs est professionnelle. Les erreurs et les commentaires découlant de chaque séance de contrôle sont par la suite entrés dans le système et, pour les séances de contrôle d'ITAO, de la rétroaction est fournie immédiatement après chaque séance.

Le contrôle des intervieweurs d'ITAO devrait être amélioré pour optimiser la qualité

Dans le cadre de l'audit, on a évalué les activités de contrôle de chaque emplacement visité, afin de déterminer si un contrôle était assuré, s'il était pertinent et si de la rétroaction était donnée aux intervieweurs. Parmi les 53 fichiers d'intervieweurs d'ITAO vérifiés dans les régions, seulement trois intervieweurs étaient contrôlés aussi fréquemment que requis selon leurs plans de contrôle. Les entrevues avec les gestionnaires régionaux ont fait ressortir que les intervieweurs principaux ont des responsabilités au quotidien, outre les activités de contrôle, et que les objectifs de contrôle sont encore considérés comme lourds, en dépit des réductions récentes dans les cibles de contrôle requises. Les gestionnaires régionaux ont aussi indiqué que les plans relatifs aux intervieweurs qui ont besoin de plus de contrôle en raison de problèmes de qualité déterminés ne sont pas passés en revue, d'assurer leur mise en œuvre comme prévu.

Dans le cadre de l'audit, on a noté que la rétroaction des séances de contrôle est fournie aux intervieweurs d'ITAO au moment opportun. Toutefois, les régions n'utilisent pas le SRCQ pour déterminer les tendances au chapitre du rendement des intervieweurs, ce système étant considéré comme un outil d'encadrement uniquement et non pas comme un outil de gestion du rendement. Les gestionnaires des régions ont souligné que le contrôle du SRCQ devrait mettre l'accent sur le respect des objectifs de contrôle établis par le bureau central et ont expliqué que, étant donné que de la rétroaction est fournie aux intervieweurs après chaque séance de contrôle, la qualité est assurée. Sans analyse des résultats du contrôle, il se peut que l'on ne puisse pas déterminer les besoins de formation particulière ou les problèmes d'enquête particuliers, ni y donner suite.

Le contrôle des IPAO n'est pas uniforme d'une région à l'autre

Il existe plusieurs méthodes pour contrôler les interviews par IPAO, afin d'assurer la qualité des données recueillies par les intervieweurs, y compris le contrôle au moyen du SRCQ, le contrôle de validation et le contrôle d'observation. Parmi les 15 enquêtes par IPAO actuellement en cours, le SRCQ est utilisé pour contrôler les intervieweurs d'IPAO pour deux enquêtes seulement, l'Enquête sur la santé dans les collectivités canadiennes (ESCC) et l'Enquête sur les dépenses des ménages (EDM). Par conséquent, seuls les intervieweurs d'IPAO qui travaillent à ces deux enquêtes peuvent être contrôlés au moyen du SRCQ.

Dans le cadre de l'audit, on a examiné le rapport sur le taux de consentement du SRCQ pour l'EDM, qui est produit par la DPGC et qui comporte des détails, pour chaque intervieweur d'IPAO, sur les taux de consentement en ce qui a trait à l'enregistrement des interviews. Le rapport montre qu'en moyenne, 29 % des répondants des IPAO refusent de donner leur consentement. Toutefois, dans le cadre de l'audit, on a noté une variation importante d'un intervieweur à l'autre. Par exemple, l'examen du rapport de consentement a révélé que 24 % des intervieweurs d'IPAO avaient des taux de refus de plus de 50 %. Par conséquent, l'échantillon disponible pour le contrôle est souvent petit. Le GCD responsable des intervieweurs d'IPAO dans la région d'Edmonton a noté que ces rapports étaient fournis à titre d'information seulement et qu'aucune mesure n'est prise pour déterminer pourquoi les taux de consentement varient. Pendant les entrevues, il a été noté qu'il y a plusieurs cas d'intervieweurs qui incitent les répondants à refuser que l'interview soit enregistrée.

Les intervieweurs d'IPAO ne sont pas contrôlés aussi fréquemment que requis selon leur plan. La raison indiquée était la petitesse de l'échantillon disponible pour le contrôle et l'option pour les répondants de refuser d'être enregistrés. Par ailleurs, les contrôleurs des IPAO ont indiqué qu'il est difficile de fournir rapidement de la rétroaction aux intervieweurs d'IPAO. Étant donné que ces intervieweurs travaillent sur le terrain, le contrôleur doit appeler et laisser un message demandant à l'intervieweur de rappeler. De nombreux intervieweurs d'IPAO sont réticents à rappeler et évitent de recevoir de la rétroaction parce que cela est perçu de façon négative. Sans mécanismes de rétroaction efficaces pour les intervieweurs d'IPAO, il est peu probable que les risques pour la qualité des données recueillies découlant de compétences d'interview inefficaces fassent l'objet d'un suivi approprié.

Le contrôle de validation consiste à téléphoner aux répondants pour vérifier si un employé de Statistique Canada s'est rendu à leur résidence et a procédé à une interview. Les données clés sont confirmées et le répondant est questionné concernant l'impression professionnelle générale de l'intervieweur. Dans le cadre de l'audit, on a vérifié et confirmé que le contrôle de validation a lieu au bureau régional d'Edmonton; il s'agissait du seul parmi les trois emplacements visités qui était responsable d'intervieweurs d'IPAO.

Le contrôle d'observation se produit lorsqu'un intervieweur principal accompagne un intervieweur d'IPAO sur le terrain et observe les activités de collecte. Le manuel destiné aux employés des Opérations des enquêtes statistiques (OES) chargés des IPAO souligne que le contrôle d'observation doit être effectué au moins une fois tous les deux ans. Dans les régions de l'Est et de l'Ouest, l'audit a confirmé que le contrôle d'observation a lieu. Dans la région du Centre, les employés ont noté que le contrôle d'observation a été suspendu et n'est pas effectué depuis 2010.

Recommandations :

Le statisticien en chef adjoint, Secteur du recensement, des opérations et des communications, et le statisticien en chef adjoint, Secteur des études analytiques, de la méthodologie et de l'infrastructure statistique, devraient s'assurer que :

• la formation relative au Registre des entreprises est adaptée au personnel des OES, afin d'assurer le maintien d'une base de sondage de qualité.

Réponse de la direction :

La direction souscrit à la recommandation formulée.

• Le directeur de la Division de la planification et de la recherche en matière de collecte, de concert avec le directeur de la Division du registre des entreprises, s'assurera que la formation relative au Registre des entreprises pour les intervieweurs est adaptée pour répondre aux besoins des utilisateurs.
  
  Produits livrables et échéancier :
  • Nouveau cours rationalisé fondé sur les besoins déterminés par suite de consultations avec la DGSR. Terminé en décembre 2013.
  • Première itération d'un nouveau cours donné au niveau national. Terminé en mars 2014.
  • Nouveaux documents de formation mis à la disposition des OES/de la DCSR. Terminé en mai 2014.
  • Pour assurer la formation appropriée de tous les intervieweurs et intervieweurs principaux, la DCSR et les régions utilisent une liste en Excel des employés formés ou à former relativement au RE. Il s'agira d'une activité permanente.

Recommandations :

Le statisticien en chef adjoint, Secteur du recensement, des opérations et des communications, devrait s'assurer que :

• les objectifs du plan de contrôle des intervieweurs d'ITAO et d'IPAO sont respectés et les résultats du contrôle sont examinés au niveau de l'intervieweur et de l'enquête, afin d'assurer la qualité des activités;
• pour les activités d'IPAO, la rétroaction du contrôle du SRCQ soit fournie aux intervieweurs rapidement, les intervieweurs et les répondants étant sensibilisés à l'importance du contrôle comme outil d'assurance de la qualité pour réduire les refus de contrôle, et les exigences du contrôle d'observation étant précisées.

Réponse de la direction :

La direction souscrit à la recommandation formulée.

• Pour les ITAO, les directeurs adjoints/Opérations collaboreront avec la Division de la planification et de la recherche en matière de collecte, afin de mettre à jour les objectifs de contrôle et élaboreront un plan pour s'assurer que ces objectifs sont respectés et suivis. Des mécanismes de rétroaction pour les intervieweurs seront examinés dans le cadre du plan.
  
  Produits livrables et échéancier : Objectifs et plan de contrôle des ITAO mis à jour pour l'évaluation du programme, au plus tard en mars 2015.
• Pour les IPAO, les directeurs régionaux collaboreront avec la Division de la planification et de la recherche en matière de collecte pour élaborer un programme de contrôle révisé et en établir le coût, programme similaire au programme des ITAO, et élaboreront un plan de mise en œuvre. Au besoin, une proposition de PLT peut être élaborée pour financer le contrôle des IPAO. Ce plan énoncera les exigences de temps pour la rétroaction et précisera les exigences de contrôle pour les intervieweurs d'IPAO.
  
  Produits livrables et échéancier : La proposition de programme de contrôle des IPAO et le plan de mise en œuvre seront élaborés au plus tard en mars 2015.