Audit des certificats de péréquation

Rapport d'audit

22 avril 2013
Numéro de projet : 80590-75

Résumé

Le programme de péréquation existe depuis 1957 et est enchâssé dans la Constitution (paragraphe 36(2) de la Loi constitutionnelle de 1982). L'autorité statutaire de la péréquation se trouve dans la Loi sur les arrangements fiscaux entre le gouvernement fédéral et les provinces (la LAFFP ou la Loi) et le règlement y afférent. La péréquation a beaucoup changé depuis son instauration initiale, et l'on continue d'y opérer des changements au gré des examens périodiques qu'on en fait. Il est prévu que la Loi et son règlement soient réexaminés en 2013.

Le programme de péréquation examine, par habitant, la capacité d'une province de générer ses propres revenus par rapport à la capacité fiscale de toutes les provinces. Outre la péréquation pour les provinces, il y a aussi la formule de financement des territoires, qui constitue un paiement annuel de transfert sans condition aux trois gouvernements territoriaux. Ce financement permet aux territoires d'offrir à leurs habitants un éventail de services publics comparables à ceux offerts par les gouvernements provinciaux, à des niveaux d'imposition comparables, et ces données sont incluses dans les certificats de péréquation.

Le rôle de Statistique Canada dans la péréquation est précisé dans la LAFFP et son règlement. Statistique Canada a la responsabilité de préparer les certificats portant sur l'assiette et les certificats portant sur les sources de revenu. Ces certificats sont utilisés par le ministère des Finances pour calculer les paiements de péréquation aux provinces et les paiements au titre de la formule de financement des territoires. En 2012, environ 18,5 milliards de dollars ont été versés aux provinces et territoires bénéficiaires au titre des programmes provinciaux et territoriaux de paiements de transfert.

Les objectifs de l'audit étaient de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) l'assurance que Statistique Canada dispose des outils appropriés, de l'effectif, des ressources et des mécanismes d'assurance de la qualité nécessaires pour établir des certificats de péréquation exacts et complets qui sont conformes à ce que prescrit la LAFFP.

Constatations clés

Le programme des certificats de péréquation représente une entreprise modeste mais complexe pour Statistique Canada. Les certificats de péréquation nécessitent plus d'une centaine de séries de données provenant de 11 divisions de l'organisme. En 2012, la Division de l'intégration et du développement de la comptabilité nationale (DIDCN) s'est vu confier la responsabilité de coordonner et de préparer les certificats de péréquation. À la DIDCN et aux divisions fournissant les données (DFD), les rôles et responsabilités des personnes qui préparent l'information sont clairement communiqués et compris.

Si l'on a constaté que les processus et outils en place à la DIDCN sont efficaces et minimisent les risques qui se posent à qualité et à l'actualité des certificats, l'audit a révélé qu'il était possible de renforcer l'environnement du cadre des certificats en vérifiant périodiquement les autorisations d'accès aux systèmes à la DIDCN, de manière que l'accès à l'information soit accordé selon le principe du « besoin de connaître ». En outre, la DIDCN devrait surveiller activement l'environnement opérationnel à Statistique Canada afin d'évaluer et de traiter les risques externes à la division qui pourraient avoir des répercussions sur les certificats de péréquation.

À la DIDCN, des points efficaces de contrôle de la qualité des données ont été intégrés au processus opérationnel de la préparation des certificats. L'équipe d'audit a remarqué que l'on pourrait améliorer le cadre de gestion de la qualité élaboré par la DIDCN en s'assurant de valider les formules utilisées dans les versions finales des certificats et en configurant les modèles de manière à protéger des données, afin que données et formules ne puissent être effacées par inadvertance.

Cinq des six DFD examinées pendant l'audit ont des documents efficaces sur les procédures qui sont adaptés aux besoins des programmes particuliers en ce qu'ils permettent de répondre aux exigences du programme de péréquation, et l'on a relevé des preuves de l'existence d'un mécanisme d'examen de la qualité. Toutefois, dans l'une des DFD examinées, l'équipe d'audit a remarqué l'absence d'une documentation sur les processus aux fins de la préparation et de l'examen de la qualité des données. L'équipe d'audit a observé que cette division avait déjà été exposée à des anomalies de données dans ses livraisons passées. En documentant les processus et procédures de préparation des données, d'examen de la qualité et de signature des soumissions de données, on peut réduire les risques d'anomalies dans les futures transmissions de données.

La majorité des DFD examinées avaient en place des pratiques efficaces de gestion de la qualité pour assurer une validation adéquate de l'information figurant dans les modèles des divisions. L'évaluation de l'examen de la qualité à l'interne et de la fonction d'interrogation et d'approbation des données par les directeurs de programme a révélé qu'il serait possible de renforcer le cadre si l'on officialisait les processus et si l'on documentait les preuves de l'examen de la qualité et de l'interrogation. En outre, les DFD devraient séparer les tâches de la préparation et de la validation des données et s'assurer d'avoir des plans pour éventualités afin de garantir l'achèvement avec exactitude de leurs soumissions de données.

Le cycle de préparation des certificats s'étend sur plusieurs mois et les demandes de données aux divisions sont faites de manière à correspondre aux dates de publication de données d'enquêtes particulières. Bien que le processus d'établissement des certificats soit conçu en sorte d'assurer le caractère final des données fournies, l'équipe d'audit a remarqué que le manque d'uniformité dans la déclaration des révisions de données à la DIDCN, pendant le processus annuel des certificats, révélait l'existence d'une certaine incertitude chez les DFD quant aux définitions et aux exigences en matière de déclaration qui sont énoncées dans la Directive sur les corrections apportées aux communiqués du Quotidien et aux produits statistiques. Cela accroît le risque que les données figurant dans les certificats puissent ne pas correspondre à l'information la plus exacte et à jour. L'équipe d'audit a constaté qu'il serait possible de renforcer les pratiques de gestion de la qualité si l'on veillait à ce que les DFD mettent au point des procédures pour aviser la DIDCN des révisions ou corrections apportées aux données fournies dans les modèles divisionnaires pendant le cycle de préparation des certificats de péréquation.

Conclusion générale

À l'issue de l'audit, il a été déterminé que les certificats de péréquation préparés par Statistique Canada en 2011 et 2012 comportaient des données exactes et que les outils, l'effectif, les ressources et les mécanismes d'assurance de la qualité nécessaires étaient en place pour appuyer l'établissement des certificats aux termes de la LAFPP. Bien que l'équipe d'audit ait relevé quelques anomalies mineures dans les données sur les assiettes et sur les sources de revenu dans les certificats établis en 2011 et 2012, ces écarts n'ont pas eu d'incidence sur l'information de péréquation concernant les provinces ou territoires pour les années examinées.

De façon générale, le cadre d'établissement des certificats et les contrôles de gestion de la qualité en place à la DIDCN sont efficaces; il demeure néanmoins possible de renforcer ces cadres de contrôle au sein de la division qui prépare les certificats.

On pourrait améliorer les cadres de gestion de la qualité et de la préparation des certificats dans les DFD en veillant à ce que, dans toutes les DFD, des documents sur les processus soient rédigés ainsi qu'en renforçant et en documentant les mécanismes en place d'assurance de la qualité.

Conformité aux normes professionnelles

Cette mission d'audit a été exécutée en conformité avec les Normes de vérification interne du gouvernement du Canada, comme en attestent les résultats du Programme d'assurance et d'amélioration de la qualité. On a effectué des tests suffisants pour corroborer les constatations et les recommandations connexes.

Patrice Prud'homme
Dirigeant principal de la vérification

Introduction

Contexte

Le programme de péréquation existe depuis 1957 et fait partie de la législation sur les arrangements fiscaux entre les gouvernements fédéral et provinciaux. Le visage de la péréquation a sensiblement changé depuis sa mise en œuvre initiale et il continue d'être sujet à des examens périodiques. Le prochain examen de la Loi sur les arrangements fiscaux entre le gouvernement fédéral et les provinces (LAFFP) et du règlement y afférent est prévu pour 2013.

De façon générale, la péréquation est un programme fédéral de paiements de transfert qui a été conçu pour évaluer la capacité fiscale des provinces et aplanir les disparités. Elle est enchâssée dans le paragraphe 36(2) de la Loi constitutionnelle de 1982, qui stipule ce qui suit :

Le parlement et le gouvernement du Canada prennent l'engagement de principe de faire des paiements de péréquation propres à donner aux gouvernements provinciaux des revenus suffisants pour les mettre en mesure d'assurer les services publics à un niveau de qualité et de fiscalité sensiblement comparable.

Le programme de péréquation examine, en la mesurant par habitant, la capacité d'une province de générer ses propres revenus par rapport à la capacité fiscale de toutes les provinces. Outre la péréquation pour les provinces, la LAFFP prévoit une formule de financement des territoires qui prend la forme de paiements de transfert annuels sans condition faits aux trois gouvernements territoriaux. Cette formule permet aux territoires de fournir des services publics comparables à ceux que fournissent les provinces en tenant compte du coût plus élevé d'exécution des programmes et services dans les territoires.

L'autorité statutaire de la péréquation et du financement des territoires se trouve dans la LAFFP et son règlement. Cette loi souligne le rôle du statisticien en chef en ce qui concerne les paiements de péréquation fiscale faits aux provinces et le financement des territoires. Statistique Canada est responsable de la préparation des certificats comportant de l'information sur les assiettes et sur les sources de revenu. Le Règlement sur les arrangements fiscaux entre le gouvernement fédéral et les provinces (le Règlement) comporte une interprétation spécifique et précise les calculs et les exigences en matière de données.

Le programme des certificats de péréquation est une entreprise modeste mais complexe pour Statistique Canada; plus d'une centaine de séries de données sont obtenues de 11 divisions pour préparer les certificats de péréquation. Les examens des données sont effectués par les onze divisions fournissant les données (DFD), par la division qui prépare les certificats, par les coordonnateurs provinciaux et territoriaux et par le ministère fédéral des Finances. Le programme de péréquation a d'importants effets sur le pays; en 2012, environ 18,5 milliards de dollars ont été transférés aux provinces en vertu de la LAFFP.

Jusqu'en 2012, la Division de la statistique du secteur public (DSSP), qui fait partie du Secteur des études analytiques et des comptes nationaux, faisait la compilation des données que la Loi requiert pour son application. À partir de 2012, la responsabilité de la préparation des certificats, pour Statistique Canada, a été transférée à la Division de l'intégration et du développement de la comptabilité nationale (DIDCN), aux Comptes nationaux. Le 1er avril 2013, la DIDCN a été greffée à la Division des comptes des revenus et des dépenses, se retrouvant ainsi dans le secteur de la statistique économique.

Objectifs de l'audit

Les objectifs de l'audit étaient de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) l'assurance de ce qui suit :

  • Statistique Canada dispose des outils, de l'effectif et des autres ressources nécessaires pour préparer des certificats à jour, exacts et complets, conformément aux exigences de la Loi sur les arrangements fiscaux entre le gouvernement fédéral et les provinces.
  • Statistique Canada a en place des mécanismes appropriés d'assurance de la qualité pour le programme des certificats de péréquation afin de se conformer aux exigences de la Loi sur les arrangements fiscaux entre le gouvernement fédéral et les provinces.

Portée

La portée de cet audit comprenait un examen du caractère adéquat et de l'efficacité des contrôles en place pour la préparation des certificats de péréquation. Parmi les aspects examinés, il y avait celui des contrôles de la préparation et de l'assurance de la qualité des données et des certificats en tant que tels, et l'on a aussi examiné la suffisance et l'efficacité des contrôles en place pour assurer la conformité aux exigences en matière de données du Règlement. L'audit a couvert l'information statistique des certificats préparés en 2011 et 2012.

Approche et méthodologie

L'audit a été exécuté en conformité avec les Normes de vérification interne du gouvernement du Canada, lesquelles comprennent les Normes internationales pour la pratique professionnelle de l'audit interne de l'Institute of Internal Auditors (IIA – Institut des auditeurs internes).

Le travail d'audit a consisté en un examen de documents, en des entrevues avec des membres clés de la haute direction et du personnel et en un examen des politiques et lignes directrices applicables à des fins de conformité.

La méthodologie a consisté en un examen des politiques applicables, des procédures et de l'information liées à la qualité, l'exactitude et l'approbation des certificats et des données soumises par les sources. On a également testé un échantillon des mécanismes en place d'assurance de la qualité en ce qui a trait aux certificats et aux soumissions de données. Entre autres tests effectués, mentionnons les suivants : tests de validation pour confirmer que les données fournies dans les certificats satisfaisaient aux règlements en vigueur sur la péréquation concernant les certificats portant sur les sources de revenu et les certificats portant sur l'assiette; confirmation que toutes les formules utilisées dans les certificats portant sur les sources et sur les assiettes étaient équivalentes pour chaque province et territoire; vérification que les données finales des certificats correspondaient aux données fournies par les DFD; tests de validation pour confirmer que les formules dans les chiffriers concernant les certificats de péréquation étaient cohérentes et exactes; tests de validation pour confirmer l'équivalence des versions anglaise et française des certificats et que les unités de mesure ont été notées avec exactitude. L'équipe d'audit a aussi examiné les éléments de preuve confirmant que des activités d'assurance de la qualité avaient été menées aux DFD et à la DIDCN.

Autorité

L'audit a été effectué en vertu des pouvoirs prévus dans le Plan de vérification et d'évaluation axé sur les risques de Statistique Canada pour la période de 2012-2013 à 2016-2017, plan qui a été recommandé par le Comité ministériel de vérification puis approuvé, en avril 2012, par le statisticien en chef.

Constatations, recommandations et réponses de la direction

Objectif n° 1 : Statistique Canada dispose des outils, de l'effectif et des autres ressources nécessaires pour établir des certificats à jour, exacts et complets, en conformité avec les exigences de la Loi sur les arrangements fiscaux entre le gouvernement fédéral et les provinces.

Cadre des certificats

Division qui prépare les certificats :
À la DIDCN, les rôles et responsabilités du personnel qui coordonne la préparation des certificats sont clairs et communiqués. Des outils et documents de procédures adéquats et efficaces sont en place pour appuyer la préparation des certificats. Cependant, les autorisations d'accès aux systèmes internes devraient être vérifiées périodiquement pour faire en sorte que l'accès soit accordé selon le principe du « besoin de connaître ».

Les nombreux changements liés au transfert de la responsabilité du programme des certificats et à la perte d'expérience et de savoir à l'échelle de l'organisme accroissent le risque posé à la qualité et à l'actualité des certificats de péréquation. La DIDCN devrait activement surveiller l'environnement opérationnel de manière à évaluer et traiter les risques externes à la division qui pourraient avoir des répercussions sur les certificats de péréquation.

Divisions fournissant les données (DFD) :
Les rôles et responsabilités du personnel des DFD pour les certificats sont clairs et communiqués.

La majorité des DFD examinées avaient en place des documents efficaces de procédures pour répondre aux exigences du programme des certificats de péréquation. Toutefois, il serait possible de renforcer les outils en place par une documentation claire des processus et procédures relatifs à la préparation, à l'examen de la qualité et à l'approbation des données soumises.

Un cadre efficace d'établissement des certificats passe par des procédures et processus adéquats permettant aux personnes qui préparent et valident l'information de disposer des outils nécessaires pour produire des certificats de péréquation de qualité. Cela comprend des documents détaillés sur les processus qui expliquent comment les données doivent être préparées et quels mécanismes de validation des données sont requis pour assurer la qualité de l'information. Les rôles et responsabilités doivent être clairement définis et communiqués et l'on devrait surveiller les environnements opérationnels eu égard aux changements qui s'y opèrent. Au moyen des contrôles en place, on doit s'assurer que l'accès aux fichiers est limité aux seuls utilisateurs autorisés.

Cadre des certificats : aperçu du processus

Les certificats de péréquation sont produits à la lumière de plus d'une centaine de séries de données que soumettent onze divisions de Statistique Canada. La Division de l'intégration et du développement de la comptabilité nationale (DIDCN) s'est vu confier la responsabilité de coordonner la préparation et d'établir les certificats de péréquation, lesquels comprennent les certificats portant sur l'assiette, sur les sources de revenu et sur la population.

La DIDCN sollicite les données des DFD en utilisant des modèles structurés précisant les données à fournir. Les demandes sont programmées de manière à suivre la diffusion officielle des données. Le personnel des DFD prépare l'information requise, effectue une assurance de la qualité sur l'information préparée et fait approuver (avec signature) par le directeur de programme le modèle rempli.

L'information transmise à la DIDCN est compilée dans les certificats et revue. La DIDCN procède aux vérifications de base de la qualité de l'information fournie par les DFD, puis coordonne l'examen des travaux en cours (TEC) avec les coordonnateurs provinciaux et territoriaux et le ministère des Finances. Une fois réexaminés et finalisés, les certificats sont envoyés au directeur général de la DIDCN et au statisticien en chef adjoint pour examen, puis au statisticien en chef pour approbation. Les versions finales approuvées des certificats sont envoyées au ministère des Finances, qui calcule les paiements de péréquation aux provinces et de financement des territoires à l'aide de ces données.

Figure 1 : Processus de la préparation des certificats

Figure 1 : Processus de la préparation des certificats

Description de la Figure 1 : Processus de la préparation des certificats

Cadre des certificats : Division qui prépare les certificats

Rôles et responsabilités

Durant l'audit, on a constaté que les rôles et responsabilités à la DIDCN avaient été clairement définis et communiqués. Le chef de la section de la péréquation, à la DIDCN, est le principal point de contact avec le ministère des Finances, les coordonnateurs provinciaux et territoriaux et les DFD. L'économiste en poste dans cette section est chargé de coordonner et de préparer les certificats en demandant, compilant et validant l'information reçue des DFD et en assurant la liaison avec les DFD lorsqu'il y a des questions.

À la DIDCN, des rôles et responsabilités clairement définis existent pour le programme des certificats de péréquation, à l'appui d'une gestion efficace de la qualité des certificats. Les tâches et responsabilités afférentes à la préparation, à la validation et à l'examen des certificats sont exécutées par le personnel de la DIDCN.

Procédures et outils

Un document détaillé intitulé « Equalization and Territorial Formula Financing » (Paiements de péréquation et au titre de la formule de financement des territoires) existe à la DIDCN. Ce document a été conçu comme un outil de transfert des connaissances lorsque la DIDCN a appris que c'est elle qui allait désormais s'occuper de la préparation des certificats de péréquation et non plus la Division de la statistique du secteur public. Le document trace l'historique de la péréquation et détaille les données requises pour l'établissement des certificats. Il renferme des échéanciers détaillés pour ce qui est de demander, de compiler et de valider les données, y compris pour les examens des TEC qui sont effectués par les coordonnateurs provinciaux et territoriaux et par le ministère des Finances. Ce document est une ressource efficace pour les employés qui travaillent au programme des certificats de péréquation.

Les certificats sont créés et préparés à l'aide du logiciel Microsoft Excel. Chaque rangée de données du certificat comporte un renvoi aux dispositions pertinentes du Règlement, le nom des données et les unités de mesure (kilowatts, tonnes, dollars, etc.) pour chaque point de données. Les deux cahiers (l'un traitant des certificats portant sur les sources de revenu, et l'autre, des certificats portant sur l'assiette) renferment plusieurs chiffriers avec lien qui comportent les données des modèles finalisés soumis par la division. L'utilisation d'un cahier avec lien pour la préparation des certificats permet aux préparateurs de certificats de ne pas avoir à transcrire les données et de se reporter facilement aux données fournies par les DFD pour valider et mettre à jour l'information.

Surveiller l'environnement de risques

À la DIDCN, on détermine les risques au niveau de la division et les risques pour l'actualité et la qualité des certificats de péréquation qui ne sont pas spécifiquement ou formellement définis dans le registre des risques. À l'issue des entrevues, l'équipe d'audit a constaté que les risques propres au programme de péréquation avaient été cernés de façon informelle et étaient gérés au moyen des processus opérationnels, ce qui comprenait un examen de la qualité et le respect d'un calendrier détaillé pour s'assurer que l'on mette la dernière main aux certificats avant la date à laquelle le ministère des Finances les demande.

La DIDCN doit compter sur les DFD pour obtenir toutes les données qui seront incluses dans les certificats de péréquation et en effectuer une assurance complète de la qualité. Les questions de qualité et d'actualité des données transmises ont une incidence sur l'information consignée dans les certificats ainsi que sur le programme de péréquation. Le registre des risques de la division mentionne cette dépendance comme constituant un risque pour la pertinence, la qualité, l'exactitude et l'actualité des données des programmes divisionnaires; cependant, aucune mesure formelle d'évaluation, d'atténuation ou de surveillance de ce risque n'est en place à la DIDCN. Par conséquent, la DIDCN devrait activement surveiller l'environnement opérationnel à l'échelle de l'organisation afin de mesurer et de traiter les risques externes à la division pouvant avoir des répercussions sur les certificats de péréquation. L'équipe d'audit a remarqué, par exemple, qu'à la suite d'importants changements de personnel au sein de l'organisation (y compris des changements au sein de l'équipe chargée de préparer des certificats), une grande partie des connaissances et de l'expérience liées au programme de péréquation avait été perdue. En 2012, le personnel chargé de préparer les certificats n'avait pas d'expérience préalable du processus, tout comme celui responsable de préparer les modèles divisionnaires dans trois des six DFD examinées pendant l'audit. Cette perte d'expérience et de savoir accroît les risques pour la qualité et/ou l'actualité de l'information figurant dans les certificats, puisque des employés pourraient ne pas mesurer pleinement l'importance de l'information qu'ils transmettent ou ignorer que des changements peuvent survenir dans les exigences en matière de données.

Contrôles de l'accès aux systèmes

Il existe, à la DIDCN, des contrôles efficaces d'accès électronique pour la transmission externe, aux destinataires autorisés, de l'information des certificats. Parmi les coordonnateurs provinciaux et territoriaux et les fonctionnaires du ministère des Finances chargés d'examiner les TEC, seuls des représentants désignés ont accès aux versions préliminaires des certificats. Un système de transfert électronique de fichiers (TEF) avec mécanismes et procédures d'authentification de l'accès a été implanté pour assurer la transmission sécuritaire de l'information des certificats provisoires entre la DIDCN et les parties externes autorisées.

À la DIDCN, l'information – soit les données et l'information sur la production – requise pour les certificats de péréquation est stockée sur un serveur Solaris avec répertoire désigné. Les personnes travaillant au Secrétariat de la taxe de vente harmonisée (TVH) ont accès au répertoire de la péréquation, mais les autorisations d'accès ne sont pas vérifiées pour garantir que seules les personnes autorisées ont accès à ce dossier. Lors de l'audit, on a appris que, sur les onze personnes de ce groupe qui avaient une autorisation d'accès, une ne travaillait plus à la division, deux travaillaient à la DIDNC mais pas à la section des certificats de péréquation et une ne travaillait plus à Statistique Canada. Il serait possible de resserrer le système des autorisations d'accès en procédant à une vérification régulière et en s'assurant de limiter l'accès aux seuls employés ayant un « besoin de connaître », comme le prescrit le Manuel des pratiques de sécurité de Statistique Canada.

Cadres des certificats : divisions fournissant les données (DFD)

L'équipe d'audit a examiné six des onze divisions fournissant des données aux fins des certificats de péréquation. On a sélectionné les divisions afin de couvrir tous les secteurs qui fournissent des données au programme des certificats. De plus, on a inclus les divisions dont les précédentes soumissions de données avaient comporté des anomalies.

Rôles et responsabilités

L'équipe d'audit a constaté que les rôles et responsabilités afférents à la préparation et à l'assurance de la qualité des données consignées dans les modèles divisionnaires des six DFD examinées étaient bien définis et communiqués. Les données inscrites dans les modèles divisionnaires sont préparées par des économistes, des analystes et/ou des membres du personnel des services clients. Aux six DFD examinées, les personnes travaillant au programme de la péréquation comprennent qu'elles assument la responsabilité de la préparation et de l'exactitude de l'information. Des vérifications de qualité sont effectuées avant l'examen par le directeur du programme.

Au sein des DFD, ce sont les directeurs qui approuvent, en les signant, les modèles remplis des divisions. Ils comprennent qu'ils sont responsables de la qualité de l'information qui sort de leurs divisions. Ainsi, leur examen tient lieu d'interrogation finale des données avant qu'elles soient envoyées à la DIDNC pour être consignées dans les certificats.

L'équipe d'audit a constaté que les DFD avaient des rôles et responsabilités clairement définis pour appuyer une gestion efficace de la qualité des données soumises aux fins des certificats de péréquation.

Procédures et outils

L'équipe d'audit a examiné tous les documents et outils sur les procédures relatifs aux certificats de péréquation dans les six DFD incluses dans l'audit. Elle a constaté qu'il existait des documents dans cinq des six divisions examinées et que les procédures et processus variaient d'une division à l'autre. Aux divisions nécessitant des totalisations spéciales pour les modèles, des documents sur les processus précisent les fichiers à utiliser, les fichiers de programmation statistique et les logiciels requis pour coder correctement les totalisations, ainsi que les activités appropriées d'assurance de la qualité pour vérifier que les données sont correctes. Aux divisions dans lesquelles les données peuvent être directement extraites de tableaux CANSIM, la documentation précise les tableaux CANSIM dont on peut extraire les données, ce qu'il faut vérifier pour s'assurer que les données sont correctes et la façon de préparer les modèles. Bien que les procédures et outils différaient d'une division à l'autre, parmi les cinq divisions ayant des documents, chacun de ces outils et procédures était adapté pour répondre aux besoins du programme particulier, permettant de satisfaire aux exigences réglementaires du programme de péréquation, et représentait un outil efficace d'assurance de la qualité de l'information.

L'audit a révélé qu'à l'une des DFD examinées, il n'y avait pas de documents sur les processus pour la préparation, l'assurance de la qualité ou l'approbation, par le directeur du programme, des données préparées pour le modèle. La personne qui coordonnait la soumission de données pour cette division ne possédait pas l'expérience du processus en 2012; s'il y avait eu des documents faisant état des étapes à suivre pour extraire les données et les valider, il aurait été plus facile de s'assurer que toutes les étapes requises ont été franchies avant la soumission au directeur pour approbation. En outre, du fait que cette division a été exposée à des anomalies dans les données par le passé, la création de documents sur les exigences en matière de préparation des données et d'examen de la qualité aiderait à réduire le risque d'anomalies dans les futures livraisons de données de cette division.

Dans la majorité des DFD examinées, il y avait en place des procédures et processus efficaces pour répondre aux exigences du programme des certificats de péréquation. Néanmoins, on pourrait accroître la qualité des données de péréquation provenant des DFD en ayant des documents sur les procédures qui précisent les données à produire, la méthodologie à suivre ainsi que les pratiques requises d'assurance de la qualité dans les divisions qui ne disposent pas de tels outils.

Recommandations :

Il est recommandé que le statisticien en chef adjoint pour le Secteur de la statistique économique s'assure de ce qui suit :

  • Les autorisations d'accès aux systèmes sont vérifiées périodiquement et mises à jour, au besoin.
  • Le personnel chargé de préparer les certificats surveille activement et régulièrement l'environnement opérationnel externe à la division pour s'assurer que les risques qui se posent à la qualité des données de péréquation sont cernés, évalués et atténués.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

  • Le directeur adjoint du Secrétariat de la TVH et des programmes de péréquation, à la DCEN, veillera à ce que les accès aux systèmes soient régulièrement vérifiés.

    Livrables et échéanciers : Un rapport trimestriel sur les droits d'accès au répertoire désigné est préparé. On commencera à le produire immédiatement.
  • Le directeur adjoint du Secrétariat de la TVH et des programmes de péréquation, à la DCEN, s'assurera qu'un processus est en place pour surveiller les risques liés à la qualité des données de péréquation.

    Livrables et échéanciers : Préparer et présenter un exposé sur le processus de la préparation des certificats de péréquation et mener des consultations biennales auprès des divisions fournissant les données (DFD) et de Finances Canada, avec la production subséquente d'un rapport biennal sur les conditions opérationnelles ayant des incidences sur les données des certificats de péréquation. L'exposé sera conçu et présenté aux DFD avant la fin de l'exercice 2013-2014. Les consultations biennales commenceront au cours de l'exercice 2013-2014, avec production du rapport par la suite.

Recommandation :

Il est recommandé que le statisticien en chef adjoint pour le Secteur de la statistique économique et le statisticien en chef adjoint pour le Secteur de la statistique sociale, de la santé et du travail s'assurent de ce qui suit :

  • Les procédures et processus relatifs à la préparation des données, à l'assurance de la qualité et à l'approbation des soumissions de données sont officiellement documentés.

Réponse de la direction :

La direction souscrit à la recommandation formulée.

  • Les directeurs des DFD établiront, pour la préparation des données, l'assurance de la qualité et l'approbation, des processus normalisés qui seront bien documentés.

    Livrables et échéanciers : Pratiques exemplaires et processus seront définis et normalisés à l'échelle des DFD. Des procédures et processus, notamment sur l'assurance de la qualité et l'approbation des données, seront documentés et instaurés. Le travail de définition et de normalisation sera achevé d'ici septembre 2013. Les processus et procédures touchant l'assurance de la qualité et l'approbation des données aux DFD seront documentés et instaurés d'ici mars 2014.

Objectif n° 2 : Statistique Canada a en place des mécanismes appropriés d'assurance de la qualité liés au programme des certificats de péréquation afin d'assurer la conformité aux exigences de la Loi sur les arrangements fiscaux entre le gouvernement fédéral et les provinces.

Gestion de la qualité

Division qui prépare les certificats :
À la DIDCN, des points efficaces de contrôle de la qualité des données ont été incorporés au processus opérationnel de la préparation des certificats, et les données incluses dans les certificats sont généralement complètes, cohérentes et exactes. Cependant, il serait possible de renforcer les pratiques de gestion de la qualité en s'assurant d'une validation des formules employées dans les certificats et en veillant à ce que les certificats soient configurés de manière à protéger les données et à empêcher que l'on efface les formules ou les données par inadvertance.

Les données produites sur les certificats portant sur l'assiette et les certificats portant sur les sources de revenu correspondent aux données spécifiées dans le Règlement.

Divisions fournissant les données :
Les données incluses dans les soumissions des divisions sont approuvées par des personnes dûment habilitées à cet égard.

Dans la majorité des DFD examinées, il existait des pratiques efficaces de gestion de la qualité pour assurer comme il se doit la validation de l'information consignée dans les modèles divisionnaires. De l'évaluation des processus d'examen de la qualité à l'interne et d'interrogation et d'approbation des données par les directeurs de programme, il est ressorti que le cadre pourrait être renforcé si l'on officialisait ces processus et si l'on documentait la preuve des examens de la qualité et des interrogations dans toutes les DFD.

On pourrait améliorer les pratiques de gestion de la qualité dans les DFD en séparant les tâches de la préparation des données de celles de la validation des données et en mettant en place des plans pour éventualités afin de veiller à ce que les soumissions de données des DFD soient faites avec exactitude.

Les pratiques de gestion de la qualité dans les DFD pourraient être renforcées avec l'élaboration de procédures pour aviser la DIDNC des éventuelles révisions ou corrections apportées aux données fournies dans les modèles divisionnaires pendant le cycle de production des certificats de péréquation.

Le cadre de gestion de la qualité pour le programme de péréquation devrait comprendre des consignes documentées sur les activités d'examen de la qualité et d'approbation, une séparation claire des tâches de préparation des données et d'examen de la qualité, ainsi qu'un processus formel d'interrogation des données avant que le certificat soit signé pour attester de la qualité des données. Des processus de gestion de la qualité devraient être intégrés aux pratiques opérationnelles existantes pour la préparation des certificats de péréquation. Dans le document Statistique Canada : lignes directrices concernant la qualité, il est indiqué que la certification ou la validation de l'information statistique devrait comprendre une fonction d'interrogation des données plutôt que de rationalisation de l'information. Au moyen de cette interrogation, on devrait s'assurer que les mouvements de données, les événements inhabituels ou les augmentations irrégulières soient compris et puissent être expliqués.

Cadre de gestion de la qualité : division qui prépare les certificats

L'équipe d'audit a constaté que les points de contrôle de la qualité des données à la DIDCN sont efficaces et ont été intégrés au processus opérationnel de la préparation des certificats. La division qui prépare les certificats demande habituellement des données qui ont été publiées dans Le Quotidien. En demandant des données finalisées, on s'assure que l'information a été soumise à des pratiques internes d'assurance de la qualité dans chaque DFD. Lorsqu'elle demande des données, la DIDCN fournit des modèles structurés à chaque DFD. Ces modèles précisent les données à fournir et comportent une section dans laquelle les DFD peuvent consigner des remarques sur la méthodologie, la classification ou d'autres changements susceptibles d'avoir une incidence sur les données. L'audit a confirmé que ces modèles sont utilisés par les DFD.

Après qu'on lui a retourné les modèles remplis, la DIDCN procède à un certain nombre de vérifications de base de la validité, effectuant notamment des vérifications par rapport aux soumissions antérieures et aux données de l'année précédente (analyse de la croissance) et, s'il y a lieu, une validation par rapport aux données des tableaux CANSIM et d'autres publications, ainsi qu'une vérification des totaux. Pour soutenir cette activité, il existe une liste de contrôle que l'on peut consulter pour les examens de la qualité. Les mouvements inhabituels, les variations et les autres problèmes font l'objet de questions posées à la DFD concernée et sont documentés.

La division qui prépare les certificats coordonne trois examens de TEC : un examen avec les coordonnateurs provinciaux et territoriaux et deux examens avec le ministère des Finances. Les coordonnateurs examinent les données provinciales et territoriales à consigner dans le certificat portant sur les sources de revenu, et le ministère des Finances examine des versions à différentes dates des certificats portant sur les assiettes et sur les sources de revenu, en septembre et en novembre. Ces examens représentent une vérification de la cohérence et du caractère raisonnable des données. Lors de l'audit, on a relevé la trace de points soulevés lors des examens de TEC, dont des interrogations de données, des demandes d'explication et des avis de mise à jour pour des renseignements manquants demandés aux DFD, ainsi que de réponses documentées.

Le statisticien en chef adjoint, Direction du système de comptabilité nationale, envoie les versions finales des modèles au Bureau du statisticien en chef (BSC) pour signature. L'audit a confirmé que le BSC se fie aux examens de données effectués à la DIDCN et aux DFD. Cela souligne encore plus l'importance, dans les pratiques mises en place par la DIDCN et les DFD, d'atténuer les risques potentiels à la qualité de l'information fournie par Statistique Canada pour que l'organisme puisse s'acquitter de ses obligations prévues par la LAFFP et son règlement.

L'équipe d'audit a effectué des tests pour obtenir confirmation que les données fournies par Statistique Canada aux fins des certificats portant sur l'assiette et sur les sources de revenu correspondent aux séries de données précisées dans le Règlement. L'audit a aussi examiné chaque renvoi aux dispositions du Règlement dans le modèle 2011-2012 de certificat portant sur l'assiette et dans les onglets provinciaux appuyant les modèles de certificats portant sur les sources de revenu de 2009-2010. Chaque renvoi inscrit dans les modèles a été validé par la vérification de l'article correspondant dans le Règlement.

L'équipe d'audit a examiné les données fournies dans les certificats portant sur les assiettes et sur les sources de revenu pour en vérifier la cohérence, le caractère complet et l'exactitude. Après avoir effectué des tests, l'équipe d'audit a constaté que les données figurant dans la version finale des certificats correspondaient à celles consignées dans les modèles des DFD. L'audit a aussi confirmé l'équivalence des données trouvées dans les versions française et anglaise des certificats ainsi que la notation correcte des unités de mesure (kilowatts, tonnes, dollars, etc.) et des blocs de paramètres, blocs titres et blocs de notes dans les tableaux.

Les certificats finalisés comportent un lien vers les chiffriers correspondants. Ces chiffriers contiennent les données et les calculs précis qu'exige le Règlement. L'équipe d'audit a testé les calculs faits dans les certificats portant sur l'assiette et sur les sources de revenu préparés en 2011 et 2012 et a constaté que les calculs figurant dans les chiffriers correspondants étaient cohérents et exacts et que les formules pour les provinces et les territoires étaient équivalentes.

Lors de l'audit, on a constaté que la DIDCN ne vérifiait pas si les formules consignées dans chaque cellule des certificats de péréquation s'accompagnaient d'un renvoi au chiffrier source correspondant ou si elles n'avaient pas été effacées (par écrasement), ce qui fait augmenter les risques pour la qualité de l'information. Les tests d'audit effectués sur les formules des certificats portant sur l'assiette et sur les sources de revenu préparés en 2011 et 2012 ont révélé des cas de renvoi incorrect et de formules écrasées dans les certificats de péréquation finalisés. Bien que des anomalies dans les données et dans les formules de données aient été relevées dans la version finale des certificats, l'équipe d'audit a remarqué que ces écarts n'avaient pas d'impact sur les chiffres finaux pour les années examinées.

Dans l'ensemble, la DIDCN a intégré d'efficaces points de contrôle de la qualité au processus de préparation des certificats de péréquation pour veiller à la qualité de l'information. Il serait possible de renforcer les pratiques de gestion de la qualité en s'assurant d'une validation des formules employées dans les certificats et en veillant à ce que les certificats soient configurés de manière à protéger les données et à empêcher que l'on efface les formules ou les données par inadvertance.

Cadre de gestion de la qualité : divisions fournissant les données

Dans le document Statistique Canada : lignes directrices concernant la qualité, il est indiqué que la certification ou la validation de l'information statistique devrait comprendre une fonction d'interrogation des données plutôt que de rationalisation de l'information, afin de mieux garantir la qualité de l'information. En outre, les lignes directrices recommandent que les activités de validation/certification doivent être exécutées par des analystes qui ne prennent pas part à la production des données. L'audit a révélé que les pratiques de gestion de la qualité suivies par les DFD pour les activités de préparation, de validation et d'approbation variaient d'une division à l'autre. Dans cinq des six DFD examinées, les tâches de préparation des données et de validation des données avaient été séparées. Dans une division dont la soumission de données de 2011 avait comporté des anomalies, les processus s'appuient sur une même personne pour exécuter les deux tâches d'extraction et de validation des données, et seule une personne en poste à cette division possède les connaissances requises pour fournir l'information. Il n'existe pas de plan pour éventualités en cas d'absence de l'une de ces personnes. Cette dépendance expose les données à des risques potentiels quant à leur qualité ou leur actualité

Les DFD sont responsables de la qualité de l'information qu'elles transmettent. L'équipe d'audit a trouvé des preuves qu'une validation des données est effectuée et qu'elle est documentée dans cinq des six divisions. Les éléments de preuve de cette validation consistaient en des comparaisons de chiffriers avec ceux des années précédentes, des explications documentées pour les importantes variations de données, une validation par rapport aux autres ensembles de données ou provinces et des vérifications des totaux. À la division qui n'avait pas de documents sur les processus, il n'y avait aucune preuve documentée de l'existence d'une activité de validation des données.

Les directeurs de programme sont tenus de signer le modèle divisionnaire à titre d'attestation de leur approbation de l'information soumise par leur division. Dans cinq des six DFD examinées, l'examen, par la direction, des modèles divisionnaires, est informel et non documenté, mais la direction a fait observer qu'avant de donner leur approbation signée, les directeurs de programme doivent avoir l'assurance que les données sont de qualité suffisante. Ce processus informel d'examen était variable : dans certains cas, l'examen était général, tandis que l'on demandait seulement aux directeurs s'il y avait eu une assurance de la qualité (pas d'interrogation particulière de données) avant qu'ils n'apposent leur signature; dans d'autres cas, il y avait une fonction plus détaillée d'interrogation des données, qui confirmait les types de vérifications effectués et précisait en quoi les données différaient par rapport aux années précédentes, avant la signature d'approbation des directeurs.

Dans l'une des six divisions examinées, l'examen de la direction est officialisé. Une présentation formelle est faite au directeur de programme dans laquelle sont précisés les données, les changements d'importance, les plus gros contributeurs et les raisons des grandes variations. Le directeur de programme effectue une interrogation de données pour l'information présentée. Les questions posées par le directeur de programme pendant l'activité d'interrogation de données sont documentées, et l'analyste doit ensuite y répondre par écrit. Lorsque le directeur est satisfait des explications, il signe les modèles. Lors de l'audit, on a constaté que des processus de signature étaient en place pour tous les modèles divisionnaires en 2011 et en 2012, dans les six DFD examinées dans le cadre de l'audit.

L'équipe d'audit a constaté que la majorité des DFD examinées avaient en place des pratiques efficaces de gestion de la qualité pour assurer une validation adéquate de l'information figurant dans les modèles divisionnaires. L'évaluation des examens de la qualité à l'interne et des fonctions d'interrogation et d'approbation des données par les directeurs de programme a révélé qu'il serait possible de renforcer le cadre si l'on officialisait les processus et si l'on documentait les preuves de l'examen de la qualité et de l'interrogation. En outre, les DFD devraient séparer les tâches de la préparation et de la validation des données et s'assurer d'avoir des plans pour éventualités afin de garantir la production avec exactitude de leurs soumissions de données.

Communication des corrections ou révisions

La Directive sur les corrections apportées aux communiqués du Quotidien et aux produits statistiques vise à appliquer une approche uniforme et cohérente au repérage, à la communication, à la documentation, à l'approbation et à l'affichage des corrections postérieures à la diffusion et des révisions non planifiées. La Directive définit comme suit les corrections, les révisions et les révisions non planifiées :

  • Une correction est l'« action d'éliminer une erreur dans les données, le texte ou les métadonnées, laquelle a été introduite par une erreur dans la conception, la mise en œuvre ou l'exécution d'un processus statistique ».
  • Une révision est « une activité statistique planifiée par laquelle les données provisoires sont recompilées lorsqu'un plus grand nombre de sources de données de meilleure qualité deviennent accessibles, ou lorsque des données diffusées précédemment sont recompilées en suivant les instructions de nouveaux cadres, classifications et méthodologies ».
  • Enfin, une révision non planifiée est « l'action de recompiler les données diffusées précédemment en réponse à un événement extérieur au processus statistique et aux activités statistiques planifiées, ce qui entraîne une amélioration considérable de la qualité des données et des analyses publiées ».

Dans la Directive, il est indiqué que les révisions non planifiées doivent être traitées avec le même degré de diligence raisonnable et de rigueur que les corrections. La politique indique que les révisions non planifiées doivent être communiquées à la haute direction responsable du domaine et que les intervenants doivent être proactivement informés des mises à jour de données.

Lors de l'audit, on a remarqué que, parmi les DFD examinées pendant le processus des certificats de 2012, il y a eu deux cas où les données ont été révisées et les modèles divisionnaires ont dû être à nouveau signés par les directeurs de programme et resoumis à la DIDCN. Dans le premier cas, l'équipe d'audit a constaté, après avoir mené ses entrevues et examiné les documents, que la révision avait été qualifiée de « non planifiée » et que l'on avait suivi le processus décrit dans la Directive, avec l'envoi, à l'intention du BSC, d'une note émanant du directeur pour souligner l'incidence de la révision sur les données ainsi que l'incidence de la révision sur les données fournies aux fins du certificat de péréquation. Dans le second cas, bien que la révision ne fût pas planifiée, la division n'a pas jugé que la révision répondait à la définition d'une révision non planifiée, si bien qu'elle n'a pas suivi les procédures énoncées dans la Directive. Cette révision n'a donc pas été communiquée, et elle n'a été repérée que lors de l'examen de qualité effectué à la DIDCN. Le manque d'uniformité dans la façon de communiquer à la DIDCN les révisions apportées aux données pendant le processus annuel d'établissement des certificats souligne l'existence d'une certaine incertitude, chez les DFD, en ce qui concerne les définitions et les exigences de communication énoncées dans la Directive. Cela accroît le risque que les données figurant dans les certificats ne tiennent pas compte de l'information la plus exacte et à jour.

L'équipe d'audit a estimé que l'on pourrait améliorer les pratiques de gestion de la qualité en s'assurant que les DFD élaborent des procédures de notification à la DIDCN lorsque des révisions ou des corrections sont apportées aux données fournies dans les modèles divisionnaires, pendant le cycle de préparation des certificats de péréquation.

Recommandation :

Il est recommandé que le statisticien en chef adjoint pour le Secteur de la statistique économique s'assure de ce qui suit :

  • Les modèles de certificat de péréquation sont validés et configurés de manière à prévenir des modifications apportées par inadvertance aux données ou aux formules.

Réponse de la direction :

La direction souscrit à la recommandation formulée.

  • Le directeur adjoint du Secrétariat de la TVH et des programmes de péréquation, à la DCEN, mettra en œuvre un mécanisme de protection des cellules afin de verrouiller les formules et données incluses dans les chiffriers de péréquation.

    Livrables et échéanciers : Cellules protégées après la validation des données dans les chiffriers de péréquation. Cela a été effectué.

Recommandations :

Il est recommandé que le statisticien en chef adjoint pour le Secteur de la statistique économique et le statisticien en chef adjoint pour le Secteur de la statistique sociale, de la santé et du travail s'assurent de ce qui suit :

  • Les documents sur les processus et les pratiques sont mis à jour pour s'assurer que le personnel chargé de préparer les certificats soit avisé des révisions ou des changements apportés aux données pendant le cycle des certificats de péréquation.
  • Les tâches de préparation des données et d'assurance de la qualité des données sont séparées pour la production des certificats, et des plans pour éventualités sont en place pour s'assurer de la production avec exactitude des soumissions des DFD.
  • Le processus des examens de la qualité à l'interne et la fonction d'interrogation des données par le directeur de programme avant son approbation des modèles divisionnaires sont officialisés, et il existe une preuve documentée de la conduite de ces vérifications.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

  • Les directeurs des DFD s'assureront qu'il existe des procédures de notification lorsque des révisions sont faites dans les données de péréquation.

    Livrables et échéanciers : Des procédures de notification seront instaurées d'ici novembre 2013.
  • Les directeurs des DFD s'assureront que les activités de préparation des données et d'assurance de la qualité des données figurant dans les certificats sont dûment séparées et qu'il existe des plans pour éventualités.

    Livrables et échéanciers : Mettre en œuvre, dans les DFD, des processus assurant que les fonctions de préparation des données, d'assurance de la qualité et d'approbation soient exécutées par des équipes distinctes. S'assurer que les processus soient documentés et que les remplaçants soient identifiés et formés. Ces activités seront terminées d'ici mars 2014.
  • Les directeurs des DFD s'assureront que les examens à l'interne de la qualité des données figurant dans les modèles divisionnaires sont documentés et qu'une fonction officialisée et documentée d'interrogation des données figurant dans les modèles par le directeur soit exécutée avant l'approbation des modèles par le directeur.

    Livrables et échéanciers : Les DFD documenteront les résultats des examens de la qualité qui sont effectués avant de soumettre les modèles au directeur pour interrogation et examen finaux. Sur le modèle de la pratique exemplaire actuellement suivie, instaurer une fonction officialisée d'interrogation des données des modèles divisionnaires par le directeur avant l'approbation et la soumission. Ces activités seront terminées d'ici mars 2014.

Annexes

Annexe A : Critères d'audit

Annexe A : Tableau 1 Critères d'audit
Sommaire du tableau
Le tableau de l'Annexe A identifie les critères de vérification, les sous-critères et les instruments de politiques qui ont servit de source pour les critères.
Objectif / Contrôles de base / Critères Sous-critères Instrument de politique
1) Statistique Canada dispose des outils, de l'effectif et des autres ressources nécessaires pour préparer des certificats à jour, exacts et complets, conformément aux exigences de la Loi sur les arrangements fiscaux entre le gouvernement fédéral et les provinces.
THÈME : Cadre des certificats
CRITÈRES : effectif

1.1 Statistique Canada offre à ses employés la formation, les outils, les ressources et les renseignements dont ils ont besoin dans l'exercice de leurs fonctions.		 1.1.1 Les employés ont accès à des outils appropriés, notamment des logiciels, de l'équipement, des méthodes de travail et des procédures normales d'exploitation. Cadre de responsabilisation de gestion
1.1.2 Il existe des processus pour déterminer les changements qui ont une incidence sur les données des certificats de péréquation et pour mettre à jour les outils (lignes directrices, procédures, modèles) en temps opportun.
1.1.3 Statistique Canada détermine les ressources dont il a besoin pour la production des certificats de péréquation et analyse ces besoins en fonction des compétences et capacités des ressources humaines dont il dispose.
1.1.4 Un processus de planification des RH existe pour remédier à toute lacune dans l'analyse susmentionnée et assurer la planification de la relève.
Responsabilisation

1.2 Les pouvoirs, responsabilités et obligations redditionnelles afférents au programme des certificats de péréquation sont clairs et communiqués.		 1.2.1 Les rôles et responsabilités en matière de soumission de données, d'assurance de la qualité des données, de préparation des certificats et d'approbation des données sont définis et communiqués. Cadre de responsabilisation de gestion
Gérance

1.3 Des mécanismes de contrôle des applications de système existent.		 1.3.1 Des contrôles d'applications sont en place pour limiter les accès non autorisés et les risques de changements inappropriés. Manuel des pratiques de sécurité de Statistique Canada
1.3.2 Il existe des procédures assurant l'efficacité des contrôles d'applications.
Gestion des risques

2.3 La gestion des risques est appliquée au programme des certificats de péréquation.		 2.3.1 Les risques posés à l'actualité et à la qualité des certificats sont définis, évalués, traités et surveillés. Cadre de responsabilisation de gestion
2) Statistique Canada a en place des mécanismes appropriés d'assurance de la qualité pour le programme des certificats de péréquation, de manière à se conformer aux exigences de la Loi sur les arrangements fiscaux entre le gouvernement fédéral et les provinces.
THÈME : Gestion de la qualité
Gérance

2.1 Les données des certificats font l'objet d'examens d'assurance de la qualité.		 2.1.1 Les activités nécessaires à l'assurance de la qualité des données sont documentées et ont été intégrées au processus de production des données des certificats.

Statistique Canada : lignes directrices concernant la qualité

Loi sur les arrangements fiscaux entre le gouvernement fédéral et les provinces

Directive sur les corrections apportées aux communiqués du Quotidien et aux produits statistiques
2.1.2 La qualité des données des certificats est surveillée.
2.1.3 Les défaillances dans le contrôle de la qualité sont signalées à la direction.
Responsabilisation

2.2 Les certificats de péréquation sont examinés et approuvés.		 2.2.1 On examine les rapports établis pour en assurer la qualité (caractère complet, exactitude, pertinence, actualité, bien-fondé et caractère raisonnable).

Statistique Canada : lignes directrices concernant la qualité

Loi sur les arrangements fiscaux entre le gouvernement fédéral et les provinces
2.2.2 L'approbation est attestée (signature, courriel, comptes rendus, etc.).

Annexe B : Acronymes

Annexe B : Acronymes
Acronym Description
SCA Statisticien en chef adjoint
SC Statisticien en chef
CMV Comité ministériel de vérification
DFD division(s) fournissant les données
TEF Système de transfert électronique de fichiers
LAFFP Loi sur les arrangements fiscaux entre le gouvernement fédéral et les provinces
TVH taxe de vente harmonisée
IIA Institute of Internal Auditors (Institut des auditeurs internes)
DIDCN Division de l'intégration et du développement de la comptabilité nationale
BSC Bureau du statisticien en chef
PDF format PDF
DSSP Division de la statistique de secteur public
TEC travaux en cours
DCEN Division des comptes économiques nationaux

Audit du Recensement de la population – Système de gestion sur le terrain

Rapport d'audit

22 avril 2013
Numéro de projet : 80590-71

Résumé

Aux termes de la Loi sur la statistique, Statistique Canada doit procéder à un Recensement de la population (le Recensement) tous les cinq ans. Le Recensement est le programme le plus important, le plus complexe et ayant la plus grande visibilité qui permet de recueillir des données auprès de l'ensemble de la population du Canada. En juin 2010, le gouvernement a décidé de maintenir le Recensement de la population de 2011 sous forme de recensement de base au moyen d'un questionnaire court. Toutes les autres questions qui étaient comprises dans le questionnaire long du Recensement ont été incluses dans une nouvelle enquête à participation volontaire, l'Enquête nationale auprès des ménages (ENM).

Les opérations de collecte pour le programme du Recensement/de l'ENM ont eu lieu à l'échelle du pays, grâce à trois bureaux régionaux, cinq centres régionaux du recensement (CRR) et de nombreux bureaux locaux du recensement (BLR) situés partout au pays. Les activités de suivi des cas de non-réponse (SCNR) ont été menées sur une période de 11 à 15 semaines. Des défis distincts et inhérents se posent lorsqu'il s'agit de gérer les activités de SCNR d'environ 30 000 agents recenseurs travaillant dans chaque région du pays, tout en tentant d'obtenir le taux de réponse souhaité, tant pour le Recensement que pour l'ENM. Afin de répondre aux objectifs du programme du Recensement, les gestionnaires du recensement avaient comme tâche d'obtenir un équilibre approprié entre une vigilance et une diligence raisonnable et le contrôle des coûts, tout en gérant la complexité des opérations de collecte, afin d'obtenir un taux de réponse satisfaisant selon un échéancier rigide.

La pratique de gestion du temps des agents recenseurs a vu le jour en 2011. Par le passé, les agents recenseurs étaient rémunérés à la pièce. Afin d'améliorer le recrutement et le maintien en poste des agents recenseurs pour le Recensement de 2011, l'approche a été modifiée pour rémunérer les agents recenseurs selon un taux horaire. La gestion du temps est devenue un élément important et a été intégrée au Système de gestion sur le terrain (SGT). Les employés sur le terrain ont utilisé le SGT pour déclarer les heures effectuées chaque jour et entrer leurs demandes de rémunération et de remboursement de dépenses. Les coûts totaux gérés par l'intermédiaire du SGT se sont chiffrés à environ 128 millions de dollars.

Cet audit a eu lieu après la fin des opérations de collecte du Recensement et a mis l'accent sur les contrôles et les processus clés en place pour faire en sorte que la rémunération des agents recenseurs soit raisonnable. Il était destiné à ajouter de la valeur en évaluant les pratiques en place pour le Recensement de 2011, en vérifiant si les risques déterminés par suite d'un examen mené par les gestionnaires s'étaient concrétisés, et en déterminant les possibilités d'amélioration dans le cadre de l'étape de planification du Recensement de 2016 par les gestionnaires.

Le présent rapport vise à fournir au statisticien en chef et aux cadres supérieurs de Statistique Canada des données pertinentes à l'appui des observations et des recommandations de la mission. Ainsi, l'accent du présent rapport est mis sur les domaines qui nécessiteront l'attention des gestionnaires. Les domaines où le rendement a été considéré comme satisfaisant ont fait l'objet d'un résumé et ont été mentionnés dans la conclusion générale.

Principales constatations

Les gestionnaires ont déterminé un certain nombre de risques qui pourraient empêcher l'atteinte des objectifs et ont évalué les contrôles en place. Toutefois, les risques financiers découlant de changements considérables à la structure de rémunération du recensement ont été pris en compte, mais n'ont pas été inclus dans le cadre de gestion du risque.

La modification de la rémunération des agents recenseurs, c'est-à-dire le passage d'un taux à la pièce à un taux horaire, a ajouté de la complexité à la planification financière des opérations de collecte, en raison du manque de données historiques. On a demandé aux régions de mener les opérations sur le terrain et de rendre compte des dépenses du programme, selon le principe que des fonds additionnels seraient affectés au besoin pour terminer les opérations de collecte du Recensement et de l'ENM, par suite d'un contrôle actif des taux de réponse. L'absence de données historiques combinée aux changements liés à la nouvelle ENM a rendu difficile pour les gestionnaires du recensement d'établir des objectifs financiers éclairés pour le Recensement de 2011. Cette vulnérabilité augmente le risque que les gestionnaires régionaux soient moins incités à contrôler les coûts du SCNR pour les activités de collecte.

Le SGT et le Système d'information de la gestion (SIG) ont fourni des données de gestion à jour pour la gestion des cas et la rémunération/les dépenses des agents recenseurs. La qualité des données comprises dans ces rapports peut être améliorée, grâce à la détermination et à l'explication des écarts financiers, afin que les gestionnaires puissent contrôler le rendement réel par rapport aux résultats prévus et procéder à des rajustements au besoin.

La formation et les directives relatives au contrôle des coûts et à l'utilisation des rapports du SIG ont permis de déterminer les rôles et responsabilités qui auraient profité de directives ou de lignes directrices plus claires sur l'approche à adopter pour les fonctions de supervision.

Les activités de planification et de contrôle étaient principalement axées sur l'atteinte des objectifs de collecte. Les chefs d'équipe (CE) et les chargés des opérations sur le terrain (COT) ont passé en revue les demandes et les rapports de productivité, afin de s'assurer qu'ils étaient raisonnables. Ce contrôle clé, auquel se fient les chefs des bureaux locaux du recensement (CBLR) pour approuver les demandes de rémunération et de remboursement de dépenses en vertu de l'article 34 de la LGFP, comporte un faible niveau d'assuranceque les coûts sont raisonnables.

Les résultats des tests d'audit effectués ont démontré que le Processus de rémunération du recensement est respecté. Tous les employés examinés dans l'échantillon étaient considérés comme en règle; toutes les demandes de remboursement de frais de voyage examinés ont été approuvées au préalable et signées par les personnes possédant les pouvoirs appropriés; et les paiements ont été versés dans les comptes bancaires des agents recenseurs concernés. Les demandes de rémunération et de remboursement de dépenses des agents recenseurs ont été mises en lots et approuvées par les personnes détenant les pouvoirs nécessaires en vertu des articles 33 et 34 de la LGFP. Toutefois, dans la plupart des cas, il n'y avait pas de preuve d'analyse ou de demande de renseignements concernant l'exactitude et le caractère raisonnable des lots, comme l'exige l'approbation en vertu de l'article 34. Par conséquent, les personnes qui approuvent des paiements en vertu de l'article 33 n'avaient pas toujours de preuve suffisante que les procédures requises en vertu de l'article 34 avaient été appliquées.

Conclusion générale

Le Recensement est le programme le plus important, le plus complexe et ayant la plus grande visibilité à Statistique Canada. Il s'agit d'une initiative de collaboration faisant intervenir à la fois le programme national et les opérations régionales. Les activités de collecte sont menées sur une très courte période. Le Système de gestion sur le terrain (SGT) a été élaboré principalement pour résoudre les problèmes de communication qui se sont posés dans le Recensement de 2006. Un changement important a eu lieu pour le Recensement de 2011; la rémunération des agents recenseurs était fondée sur un taux horaire plutôt que sur un taux à la pièce, et la gestion du temps est devenue un élément important et a été intégrée au SGT.

Même si Statistique Canada dispose d'un cadre de contrôle approprié pour les dépenses traitées par l'intermédiaire du SGT, il existe des possibilités de raffermir les contrôles concernant les coûts du SCNR.

Les procédures d'audit n'ont pas révélé de cas d'activité frauduleuse, de malfaisance ou de détournement de fonds.

Les contrôles clés utilisés par les chefs des bureaux locaux du recensement (CBLR) pour approuver les demandes de rémunération et de remboursement de dépenses en vertu de l'article 34 de la LGFP comportent un faible niveau d'assurance que les coûts sont raisonnables.

Conformité aux normes professionnelles

Cette mission d'audit est conforme aux Normes relatives à la vérification interne au sein du gouvernement du Canada selon les résultats du Programme d'assurance et d'amélioration de la qualité.

Patrice Prud'homme
Dirigeant principal de la vérification

Introduction

Contexte

Aux termes de la Loi sur la statistique, Statistique Canada doit procéder à un recensement de la population (le Recensement) tous les cinq ans. Le Recensement est le programme le plus important, le plus complexe et ayant la plus grande visibilité qui permet de recueillir des données auprès de l'ensemble de la population du Canada. Il diffère des autres enquêtes, du fait que chaque ménage au Canada est tenu, en vertu de la loi, de remplir le formulaire du Recensement; par conséquent, il obtient un niveau plus élevé de couverture et d'exactitude que les enquêtes à participation volontaire. En juin 2010, le gouvernement a décidé de maintenir le Recensement de la population de 2011 sous forme de recensement de base au moyen d'un questionnaire court. Toutes les autres questions qui étaient comprises dans le questionnaire long du recensement ont été incluses dans une nouvelle enquête à participation volontaire, l'Enquête nationale auprès des ménages (ENM).

Les changements apportés au questionnaire du Recensement et l'avènement de l'Enquête nationale auprès des ménages ont aussi entraîné des changements dans les décisions concernant l'échantillon, qui ont donné lieu à une augmentation significative du nombre de logements recevant les questionnaires du Recensement et de l'Enquête nationale auprès des ménages. Le questionnaire du Recensement a été envoyé à 100 % des logements au Canada, tandis que l'Enquête nationale auprès des ménages a été distribuée dans 33 % des logements au Canada.

Outre le financement initial reçu pour le Recensement de la population de 2011, Statistique Canada a reçu du financement additionnel qui devait servir à trois fins :

  • apporter des changements aux questionnaires et aux systèmes de traitement;
  • compenser l'augmentation des coûts liée à l'impression et à l'envoi par la poste de questionnaires additionnels (tant du Recensement que de l'ENM);
  • augmenter le suivi, au besoin, pour assurer un taux de réponse de 98 % au Recensement.

Statistique Canada a recruté environ 30 000 agents recenseurs en vertu de la Loi sur la statistique pour procéder aux opérations de collecte sur le terrain pour le Recensement et l'ENM de 2011.

Le calendrier des activités de suivi des cas de non-réponse (SCNR) était très court. Des défis distincts et inhérents se posent lorsqu'il s'agit de gérer les activités de SCNR d'environ 30 000 agents recenseurs travaillant dans chaque région du pays, tout en tentant d'obtenir le taux de réponse souhaité, tant pour le Recensement que pour l'ENM. Afin de répondre aux objectifs du programme du Recensement, les gestionnaires du recensement avaient comme tâche d'obtenir un équilibre approprié entre une vigilance et une diligence raisonnable et le contrôle des coûts, tout en gérant la complexité des opérations de collecte, afin d'obtenir un taux de réponse satisfaisant selon un échéancier rigide.

Les échéances pour le Recensement et l'ENM étaient les suivantes :

  • Dénombrement anticipé : le 1er février 2011 au 20 mai 2011 (15 semaines)
  • SCNR du Recensement : le 20 mai 2011 au 5 août 2011 (11 semaines)
  • SCNR de l'ENM : le 8 juin 2011 au 24 août 2011 (11 semaines)

Les opérations de collecte pour le programme du Recensement/de l'ENM ont eu lieu à l'échelle du pays, grâce à trois bureaux régionaux, cinq centres régionaux du recensement (CRR) et de nombreux bureaux locaux du recensement (BLR) situés partout au pays

L'une des innovations les plus importantes ayant touché la gestion du Recensement de 2011 a été le Système de gestion sur le terrain (SGT). Ce système a été élaboré principalement pour résoudre les problèmes de communication qui se sont posés en 2006, mais aussi pour inclure d'autres éléments à l'appui des travaux de collecte sur le terrain.

La pratique de gestion du temps des agents recenseurs a vu le jour en 2011. Par le passé, les agents recenseurs étaient rémunérés à la pièce. Afin d'améliorer le recrutement et le maintien en poste des agents recenseurs pour le Recensement de 2011, l'approche a été modifiée pour rémunérer les agents recenseurs selon un taux horaire. La gestion du temps est devenue un élément important et a été intégrée au Système de gestion sur le terrain (SGT). Les employés sur le terrain ont utilisé le SGT pour déclarer les heures effectuées chaque jour et entrer leurs demandes de rémunération et de remboursement de dépenses.

Les coûts totaux gérés par l'intermédiaire du SGT se sont chiffrés à environ 128 millions de dollars.

Tableau 1 : Coûts totaux gérés par l'intermédiaire du SGT
Région Demandes Salaires ($) Déplacements locaux ($) Repas et dépenses ($) Total ($)
Est 681 016 37 730 179 5 291 290 123 028 43 144 496
Centre 696 349 35 777 213 3 968 622 101 008 39 846 843
Ouest 705 949 39 199 572 5 672 516 331 447 45 203 535
TOTAL 2 083 314 112 706 963 14 932 427 555 483 128 194 874
*Source : POT (Recensement de 2011 – Projet des opérations sur le terrain)

En novembre 2011 et février 2012, deux examens menés par la direction ont été effectués relativement au Système de rémunération du recensement : conception et mise en œuvre et efficacité opérationnelle. Les examens ont couvert la majeure partie des contrôles des TI intégrés dans le SGT, dans le cadre de l'évaluation globale des contrôles internes de la rémunération du recensement. Les résultats de ces examens ont révélé un certain nombre de faiblesses importantes concernant le SGT; toutefois, aucun essai n'a été mené pour vérifier si les contrôles compensatoires existants étaient efficaces pour atténuer ces risques, ou si les risques déterminés pour 2011 s'étaient concrétisés. Les gestionnaires prévoient résoudre ces préoccupations dans le cadre de l'étape de planification du Recensement de 2016.

Mis à part les contrôles des TI intégrés dans le SGT, d'autres contrôles clés étaient en place pour s'assurer que la rémunération des agents recenseurs était raisonnable, par exemple, un examen du rendement des agents recenseurs avant l'approbation du remboursement des heures et des kilomètres et un contrôle étroit des progrès. Le contrôle des résultats et le règlement rapide des problèmes de rendement sont d'autres contrôles clés qui ont servi à s'assurer que les objectifs du programme étaient respectés. Tout au long de la collecte du recensement, le SGT a aussi fourni une vaste gamme de rapports et de données, mis à jour quotidiennement, et accessibles pour les superviseurs et les gestionnaires du programme pour la prise de décisions opportunes.

Cet audit a eu lieu après la fin des opérations de collecte du Recensement et a mis l'accent sur les contrôles et les processus clés en place pour faire en sorte que la rémunération des agents recenseurs soit raisonnable. Il était destiné à ajouter de la valeur en évaluant les pratiques en place pour le Recensement de 2011, en vérifiant si les risques déterminés par suite d'un examen mené par les gestionnaires s'étaient concrétisés, et en déterminant les possibilités d'amélioration dans le cadre de l'étape de planification du Recensement de 2016 par les gestionnaires.

Objectifs de l'audit

Les objectifs du présent audit était de fournir au statisticien en chef et au Comité ministériel de vérification (CMV) de Statistique Canada l'assurance que :

  • Le cadre de contrôle en place entourant la planification financière, le contrôle et le rapport des dépenses traitées par le SGT était approprié.
  • Les contrôles clés intégrés dans le processus de rémunération entourant les paiements versés aux employés recrutés en vertu de la Loi sur la statistique, dans le cadre du Recensement/de l'ENM de 2011, y compris ceux gérés par l'intermédiaire du Système de gestion sur le terrain (SGT), étaient efficaces.

Portée

L'audit a été axé sur les mécanismes en place pour s'assurer que la rémunération des agents recenseurs était raisonnable. Cela comprend la conformité aux procédures décrites dans la Formule 49-F Manuel du bureau des finances, la qualité des pratiques de planification financière, de contrôle et de rapport essentielles pour une saine gestion financière des programmes, ainsi que les rapports produits pour la prise de décisions de haut niveau relativement au programme.

Deux régions ont été sélectionnées pour la tenue de cet audit : les régions de l'Est et de l'Ouest. Ces deux régions offraient la couverture la plus grande au niveau national du processus de collecte du recensement. Deux visites sur place ont eu lieu pendant la tenue de l'audit. Les bureaux régionaux de Montréal et d'Edmonton ont été au centre de cet audit.

Approche et méthodologie

Cet audit a été effectué suivant les Normes internationales pour la pratique professionnelle de l'audit interne de l'Institut des auditeurs internes (IAI) et en conformité avec la Politique sur la vérification interne du SCT. L'approche de l'audit a été inspirée par le Cadre de responsabilisation de gestion (CRG) du gouvernement du Canada et par les lignes directrices des Contrôles de gestion de base du Conseil du Trésor publiées par le Bureau du contrôleur général.

Les travaux d'audit ont consisté à examiner des documents, à interviewer des cadres supérieurs et du personnel clés de Statistique Canada, y compris à la Direction de la collecte et des services régionaux (DCSR), ainsi que des anciens employés recrutés en vertu de la Loi sur la statistique, à passer en revue les processus et les procédures énoncés dans les politiques et divers manuels régionaux et lignes directrices, et à procéder à des tests exhaustifs fondés sur un échantillon discrétionnaire d'opérations.

Autorité

L'audit a été mené en vertu des pouvoirs prévus dans le Plan de vérification et d'évaluation axé sur les risques de Statistique Canada pour 2012-2013 à 2014-2015 recommandé par le Comité ministériel de vérification en avril 2012 et approuvé ensuite par le statisticien en chef.

Constatations, recommandations et réponses de la direction

Objectif no 1 : Le cadre de contrôle en place entourant la planification financière, le contrôle et le rapport des dépenses traitées par le SGT est approprié.

Cadre de contrôle de gestion

Les gestionnaires ont déterminé un certain nombre de risques qui pourraient empêcher l'atteinte des objectifs et ont évalué les contrôles en place. Toutefois, les risques financiers découlant de changements considérables à la structure de rémunération du recensement ont été pris en compte, mais n'ont pas été inclus dans le cadre de gestion du risque.

L'absence de données historiques concernant la façon dont les agents recenseurs sont rémunérés, combinée aux changements liés à la nouvelle ENM, a rendu difficile pour les gestionnaires du recensement d'établir des objectifs financiers éclairés pour le Recensement de 2011. Cette vulnérabilité augmente le risque que les gestionnaires régionaux soient moins incités à contrôler les coûts du SCNR pour les activités de collecte.

Le SGT et le Système d'information de la gestion (SIG) ont fourni des données de gestion à jour pour la gestion des cas et la rémunération/les dépenses des agents recenseurs. La qualité des données comprises dans ces rapports peut être améliorée, grâce à la détermination et à l'explication des écarts financiers, afin que les gestionnaires puissent contrôler le rendement réel par rapport aux résultats prévus et procéder à des rajustements au besoin.

Un cadre approprié de contrôle de gestion devrait être en place pour gérer efficacement les opérations du Recensement et les risques connexes. L'examen et le contrôle du rendement des agents recenseurs, qui sont considérés comme un contrôle clé, devraient être effectués sur une base quotidienne, et les cas de rendement insatisfaisant devraient être traités rapidement. Des examens continuels, analyses et rapports des résultats financiers par rapport au budget établi devaient être effectués pour veiller à ce que le rendement des opérations régionales soit géré de façon approprié et communiqués aux intervenants pertinents pour la prise de décisions concernant le programme.

Gestion du risque

Les rôles, les responsabilités et la reddition de comptes pour la gestion du risque ont été clairement définis au niveau des gestionnaires de l'Équipe de projet du recensement (EPR). Les risques déterminés englobaient la plupart des types de risques pertinents et tenaient compte à la fois des sources de risques internes et externes. Des risques ont aussi été déterminés au niveau régional et intégrés au Système de gestion du risque (SGR) par les gestionnaires du POT au BC.

Le Système de gestion du risque (SGR), qui a été créé spécifiquement pour le Recensement, par l'intermédiaire d'un registre principal des risques du Recensement (RPRR), a été utilisé comme système officiel de gestion du risque pour le Recensement de 2011. Les risques déterminés et les stratégies d'atténuation connexes ont été consignés officiellement dans le SGR. Chaque risque a été catégorisé selon sa probabilité et son incidence, et un registre des risques a été élaboré pour tous les risques à forte incidence auxquels le programme a fait face. Des options particulières et des stratégies d'atténuation ont été élaborées, examinées, approuvées et documentées officiellement à l'avance par l'Équipe de projet du recensement.

Pour chaque risque déterminé, les renseignements suivants ont été documentés : responsable du risque, date de détermination du risque, catégorie (interne ou externe), probabilité, incidence, éléments d'activité et projets touchés, élément d'activité supérieur (gestionnaire responsable) auquel le risque est transféré, échéance, description détaillée du risque, évaluation de l'incidence, plan d'atténuation et fichier joint pour les plans des éventualités. Une réponse définitive a aussi été fournie à la fin du Recensement.

L'audit a révélé que les risques financiers découlant des changements significatifs apportés à la structure de rémunération du Recensement n'étaient pas inclus dans le SGR. Toutefois, ces risques ont été identifiés par le POT et le personnel des opérations régionales et documentés dans le cadre des documents de planification et de l'analyse. Parmi les exemples des risques documentés par le programme ou mentionnés par le personnel régional pendant les interviews figuraient les suivants : incapacité de gérer efficacement les coûts du système de rémunération horaire; possibilité de collusion entre les CE et agents recenseurs; absence de compréhension de l'importance des contrôles en place; et manque de ressources pour l'administration financière du programme. Même si des efforts ont clairement été déployés pour évaluer les répercussions des changements dans la rémunération, soit le passage d'un taux à la pièce à un taux horaire, ces risques n'ont pas été documentés dans le SGR.

Par conséquent, les risques financiers clés ont été envisagés, mais ils n'ont pas été inclus dans le cadre de gestion officiel du risque et n'ont pas profité de la rigueur du SGR du Recensement, dans le cadre duquel des stratégies d'atténuation auraient été élaborées et communiquées aux employés, les responsabilités auraient été affectées à un gestionnaire et un contrôle de l'efficacité aurait été assuré.

Budget et reddition de comptes

Le Bureau de gestion du recensement (BGR) était responsable de l'ensemble de l'enveloppe financière du Recensement de 2011. On a affecté environ 130 millions de dollars au POT pour les opérations sur le terrain, et ses responsables étaient chargés de déterminer les objectifs financiers pour les opérations sur le terrain du Recensement et de contrôler les progrès relatifs à l'exécution du programme, y compris les dépenses totales du programme. Les opérations sur le terrain du Recensement ont été axées sur l'obtention d'un taux de réponse de 100 % pour le Recensement, et d'un taux de réponse suffisamment élevé pour l'ENM, afin d'assurer la qualité des données.

Un changement important s'est produit pour le Recensement de 2011; la rémunération des agents recenseurs a été fondée sur un taux horaire plutôt que sur un taux à la pièce. Ce changement a compliqué la planification financière des opérations de collecte, en raison du manque de données historiques. On a demandé aux régions de mener les opérations sur le terrain et de rendre compte des dépenses du programme, selon le principe que les objectifs financiers initiaux étaient insuffisants et que des fonds additionnels seraient affectés pour compléter les opérations de collecte du recensement et de l'ENM, par suite d'un contrôle actif des taux de réponse. Les objectifs de taux de réponse pour l'ENM ont été communiqués par le BGR en juillet 2011. À ce moment-là, les coûts du programme dans certaines régions dépassaient les objectifs financiers. Le BGR a demandé aux régions de poursuivre les activités de collecte du Recensement et de l'ENM jusqu'à l'obtention d'un taux de réponse satisfaisant à l'échelle du pays. Compte tenu des décisions quotidiennes requises pour obtenir des taux de réponse équilibrés, les gestionnaires régionaux et le BGR ont assuré un suivi des modèles de dépenses et des coûts sur une base quotidienne, mais ont choisi de ne pas mettre à jour les budgets sur la même base. Les gestionnaires du Recensement ont indiqué que les coûts faisaient partie intégrante du processus de décision concernant les activités de suivi, qui ont été gérées de façon centralisée avec des représentants du BGR, de la DCSR et de la Direction de la méthodologie.

L'absence de données historiques concernant la façon dont les agents recenseurs sont rémunérés, combinée aux changements liés à la nouvelle ENM, a rendu difficile pour les gestionnaires du Recensement d'établir des objectifs financiers éclairés pour le Recensement de 2011. Cette vulnérabilité augmente le risque que les gestionnaires régionaux soient moins incités à contrôler les coûts du SCNR pour les activités de collecte.

Rapports du Système de gestion sur le terrain et du SIG utilisés pour la prise de décisions

L'intégration d'objectifs de rendement tout au long du processus de production de rapports produit de meilleures données pour la planification, les prévisions et la gestion des ressources. Elle permet aussi aux gestionnaires de suivre le rendement réel par rapport aux résultats prévus et d'apporter des rajustements, au besoin.

Le SGT a été élaboré par suite du Recensement de 2006, en vue de résoudre les problèmes liés aux opérations sur le terrain dans le domaine de la répartition des cas et de la gestion. Les fonctions les plus essentielles du SGT ont été élaborées et mises à l'essai; les résultats ont été soumis dans le cadre de l'évaluation du test du recensement du SGT, en septembre 2009. Ils comprenaient la création et la gestion des affectations de SCNR, les caractéristiques d'entrée et de gestion de la rémunération, l'accès aux demandes de suivi des répondants et la gestion de ces demandes, l'accès aux données de gestion, la saisie des données des registres des visites et la saisie des données sur les logements collectifs.

Le SGT est une application Web que tous les employés sur le terrain peuvent utiliser à partir de leur propre ordinateur personnel et d'un branchement Internet. Il permet au personnel sur le terrain d'avoir accès aux listes de logements nécessitant un suivi de la non-réponse, aux listes d'avis concernant les questionnaires reçus au Centre des opérations des données, aux demandes de suivi, aux rapports d'information de gestion et à des instructions et messages des gestionnaires au moment opportun. Le personnel sur le terrain l'utilise aussi pour entrer sa productivité et ses demandes de rémunération et de remboursement de dépenses, sur une base quotidienne.

Le Système d'information de la gestion (SIG) était la principale source d'information pour contrôler les opérations régionales du Recensement. Alors que le SGT est le système qui a été utilisé pour recueillir les données concernant la productivité et le temps/les dépenses des agents recenseurs, le SIG a servi à compiler les résultats à partir des données du SGT. La majorité des rapports disponibles dans cet entrepôt de données comprennent des renseignements sur les progrès des opérations par rapport aux objectifs établis. Les données sur le dénombrement étaient entrées dans le SGT et des rapports configurés au préalable étaient accessibles pour les superviseurs et les gestionnaires du BC et dans les régions, par l'intermédiaire du portail du SIG.

Les rapports pouvant être produits à partir de ce système comprenaient des renseignements concernant :

  • les progrès réalisés au chapitre du recrutement, de l'embauche et des heures de formation,
  • le nombre cumulatif d'heures demandées par les agents recenseurs,
  • les progrès réalisés relativement aux diverses activités de dénombrement, y compris le dénombrement anticipé et le SCNR,
  • le coût cumulatif de chaque opération au niveau du POT et du BLR, et
  • les progrès réalisés concernant l'acheminement des formulaires sur papier remplis.

Des rapports sommaires du SIG ont été produits quotidiennement par les DA du Recensement pour l'examen par les directeurs régionaux et ont servi à contrôler les progrès par rapport aux objectifs opérationnels établis pour la région, les valeurs aberrantes supérieures à la moyenne pour la productivité et/ou les coûts, et le pourcentage des fonds affectés dépensé à ce jour. Toutefois, ces rapports ne présentaient pas d'éléments de coût par rapport à des objectifs financiers établis. Par exemple, le Rapport sur les indicateurs clés (RIC) du coût par opération fournit les dépenses quotidiennes et cumulatives totales, y compris : le nombre d'heures et de kilomètres accumulés pour un jour donné, la valeur monétaire connexe, d'autres dépenses et la somme totale de toutes les dépenses. Ces montants ne sont comparés à aucune cible ni attente. L'absence de données historiques pour le dénombrement fondé sur un taux horaire ne permet pas de tirer profit de repères ou d'indicateurs comme base d'évaluation de la productivité. Cela a nui à la capacité de déterminer si les montants cumulatifs fournis se situaient à l'intérieur des attentes ou non, et les explications des déficits budgétaires n'étaient pas documentées.

L'équipe du Projet des opérations sur le terrain (POT) a servi de lien entre les opérations régionales et le programme du Recensement. Les responsables du POT rencontraient les régions sur une base quotidienne, dans le cadre de conférences téléphoniques, pour discuter des résultats des rapports du SIG. Ils rencontraient ensuite l'équipe du Bureau de gestion du recensement (BGR), sur une base hebdomadaire, pour faire le point sur les opérations régionales. Le Comité des opérations du SIG, constitué de tous les membres de l'Équipe de projet du recensement, a aussi passé en revue les données du SIG, au fur et à mesure du déroulement des opérations, pour suivre les progrès des différents projets. Même si les rapports de gestion étaient passés en revue, des rapports clés, comme les coûts réels par rapport aux coûts prévus et le RIC du coût par opération ne comportaient pas d'explication sur la cause des écarts financiers ou leurs répercussions sur les opérations. Cela a nui à la capacité des gestionnaires de déterminer la source des problèmes, de prendre des mesures correctives et de profiter peut‑être des leçons apprises, à l'avenir.

Dans l'ensemble, le SGT et le SIG ont fourni des données de gestion à jour pour la gestion des cas et la rémunération/les dépenses des agents recenseurs. La qualité des données peut être améliorée grâce à la détermination et à l'explication des écarts financiers, afin que les gestionnaires puissent suivre le rendement réel par rapport aux résultats prévus et procéder à des rajustements au besoin.

Recommandations :

Il est recommandé que le statisticien en chef adjoint, Recensement, Opérations et Communications, veille à ce que :

  • Les risques financiers découlant des changements importants apportés à la structure de rémunération du recensement fassent partie du cadre de gestion du risque.
  • Les données financières et non financières recueillies dans le cadre du Recensement de 2011 servent de repères pour la planification et l'établissement d'objectifs, à un niveau approprié, pour les activités du programme du Recensement de 2016.
  • La qualité des données comprises dans le rapport du SIG soit améliorée, afin de déterminer et d'expliquer les écarts financiers, pour que les gestionnaires puissent contrôler le rendement réel par rapport aux résultats prévus et procéder à des rajustements au besoin.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

Le Recensement de la population représente l'activité la plus importante en temps de paix du gouvernement fédéral et, de loin, le programme le plus complexe de Statistique Canada. Les opérations sur le terrain sont la composante du programme qui pose le plus de défis, et plus particulièrement l'activité de suivi de la non-réponse pour des millions de logements non répondants. La planification et l'exécution des activités de suivi de la non-réponse exigent une structure de gouvernance bien établie, dynamique et efficace. Statistique Canada ne peut déterminer, au début des opérations, qui répondra et ne répondra pas et où, géographiquement, les non-répondants se retrouveront. Les activités liées à la non-réponse sont planifiées initialement à partir des tendances de réponse des cycles précédents du Recensement. L'objectif des opérations sur le terrain consiste à obtenir rapidement, efficacement et de la façon la plus efficiente possible des réponses des ménages qui n'ont pas répondu au moment du contact initial.

Les gestionnaires doivent avoir suffisamment de souplesse pour déplacer l'effectif de collecte et/ou la charge de travail et investir dans les activités de suivi, afin d'assurer des taux de réponse équilibrés partout au pays. En tirant parti de leurs années d'expérience relativement à la tenue du recensement, les responsables du Bureau de gestion du recensement, en collaboration avec le Projet des opérations sur le terrain de la Direction de la collecte et des services régionaux, déterminent les repères de productivité et gèrent les risques financiers liés à la réussite à l'échelle de Statistique Canada.

En juin 2010, le gouvernement a décidé de maintenir le Recensement de la population de 2011 sous forme de recensement de base au moyen d'un questionnaire court. Toutes les autres questions qui étaient comprises dans le questionnaire long du Recensement ont été incluses dans une nouvelle enquête à participation volontaire, l'Enquête nationale auprès des ménages (ENM). Par conséquent, la complexité des opérations sur le terrain s'est accrue en 2011, avec l'avènement de l'Enquête nationale auprès des ménages, la plus importante enquête à participation volontaire jamais menée par Statistique Canada.

Les changements apportés au questionnaire du Recensement et l'avènement de l'Enquête nationale auprès des ménages ont aussi entraîné des changements dans l'échantillon, qui ont donné lieu à une augmentation significative du nombre de logements recevant les questionnaires du Recensement et de l'Enquête nationale auprès des ménages. Le questionnaire du Recensement a été envoyé à 100 % des logements au Canada, comparativement à l'échantillon de 80 % prévu, et l'Enquête nationale auprès des ménages a été distribuée dans 33 % des logements au Canada, comparativement à l'échantillon de 20 % pour le questionnaire long du Recensement.

Outre le financement initial reçu pour le Recensement de la population de 2011, Statistique Canada a reçu du financement additionnel qui devait servir à trois fins :

  • apporter des changements aux questionnaires et aux systèmes de traitement;
  • compenser l'augmentation des coûts liée à l'impression et à l'envoi par la poste de questionnaires additionnels (tant du Recensement que de l'ENM);
  • augmenter le suivi, au besoin, pour assurer un taux de réponse de 98 % au Recensement.

Le financement additionnel a été conservé et géré par le Bureau de gestion du recensement. Environ 50 % des fonds étaient requis pour mettre en œuvre les changements et pour financer les coûts additionnels d'impression et d'envoi par la poste. Les 50 % qui restent ont été conservés comme fonds pour les éventualités et gérés par le Bureau de gestion du recensement. La répartition de ces fonds a été fondée sur les décisions prises par le Comité des politiques, par suite de la recommandation des gestionnaires du programme du Recensement. Les recommandations ont été formulées sur la base de discussions quotidiennes entre le Bureau de gestion du recensement, la Direction de la collecte et des services régionaux et la Direction de la méthodologie.

Compte tenu des décisions quotidiennes requises pour obtenir une réponse équilibrée à l'échelle du pays, il était à peu près impossible de mettre à jour les budgets pour chaque bureau local du recensement sur une base quotidienne. Au niveau local, on s'attend à ce que les gestionnaires gèrent la productivité. Toutefois, le contrôle des dépenses fait partie intégrante du processus de décision, afin d'assurer un rendement constant des investissements. Les tendances de dépenses et les coûts font l'objet d'un suivi quotidien par les gestionnaires régionaux, en collaboration avec le Bureau de gestion du recensement. Les décisions quant aux priorités de collecte des données et aux affectations budgétaires doivent être gérées de façon centralisée, avec l'intervention de la Direction de la collecte et des services régionaux, de la Direction de la méthodologie et du Bureau de gestion du recensement.

Les opérations de collecte du Recensement de 2011 se sont extrêmement bien déroulées et, au bout du compte, les fonds pour éventualités n'ont pas été utilisés pour assurer le succès de cette activité de collecte. L'obtention de taux de réponse équilibrés à l'échelle du pays est alors devenue l'objectif principal de l'Enquête nationale auprès des ménages, et les fonds pour éventualités ont été utilisés à cette fin. Une fois qu'il a été déterminé qu'un suivi additionnel n'améliorerait pas davantage la qualité des taux de réponse, le Comité des politiques a décidé de cesser les activités de suivi, et les fonds restants du budget d'éventualités ont été renvoyés au Conseil du Trésor.

  • Le Bureau de gestion du recensement s'assurera que les risques financiers liés aux aspects importants du programme du Recensement seront inclus dans le cadre de gestion du risque du Recensement.

    Produits livrables et échéances : Le registre des risques sera tenu à jour pour le programme de 2016, sur une base permanente.
  • Comme cela a été fait pour les recensements précédents, les données du Recensement de 2006 ayant, par exemple, servi de repères pour appuyer la gestion des opérations en 2011, le Bureau de gestion du recensement et l'équipe du Projet de la recherche, de l'évaluation et de la gestion de la qualité s'assureront qu'une approche similaire sera élaborée pour les opérations pertinentes du programme de 2016. L'approche doit être souple, tout en appuyant des pratiques de gestion financière saine, et des objectifs doivent être établis aux niveaux appropriés pour tenir compte du caractère non prévisible des opérations liées à la non-réponse. Dans la foulée des pratiques établies pour les opérations de collecte de 2011, les gestionnaires des bureaux régionaux, du Bureau de gestion du recensement et de la Direction de la méthodologie collaboreront pour rajuster les priorités des opérations quotidiennes, afin d'obtenir des taux de réponse optimaux et de respecter les budgets affectés.

    Produits livrables et échéances : Une approche détaillée de gestion de l'information sera élaborée et mise à l'essai à temps pour les opérations de 2016.
  • Le Bureau de gestion du recensement et l'équipe du Projet des opérations sur le terrain s'assureront qu'à partir des données du programme du Recensement de 2011, les indicateurs/objectifs de rendement seront rajustés et le SIG financier sera amélioré, afin de produire de meilleurs outils pour améliorer la gestion des coûts variables de la collecte (par exemple, d'autres solutions seront envisagées pour réduire les coûts liés aux kilomètres parcourus).

    Produits livrables et échéances : Une approche détaillée en matière d'information de gestion sera élaborée et mise à l'essai à temps pour les opérations de 2016. Cette tâche se déroulera pendant la période d'essai de 2014.

Objectif no 2 : Les contrôles clés intégrés dans le processus de rémunération entourant les paiements versés aux employés recrutés en vertu de la Loi sur la statistique, dans le cadre du Recensement/de l'ENM de 2011, y compris ceux gérés par l'intermédiaire du Système de gestion sur le terrain (SGT), sont efficaces.

Gérance

La formation et les directives relatives au contrôle des coûts et à l'utilisation des rapports du SIG ont permis de déterminer les rôles et responsabilités qui auraient profité de directives ou de lignes directrices plus claires sur l'approche à adopter pour les fonctions de supervision.

Les activités de planification et de contrôle étaient principalement axées sur l'atteinte des objectifs de collecte. Les chefs d'équipe (CE) et les chargés des opérations sur le terrain (COT) ont passé en revue les demandes et les rapports de productivité, afin de s'assurer qu'ils étaient raisonnables. Ce contrôle clé, auquel se fient les chefs des bureaux locaux du recensement (CBLR) pour approuver les demandes de rémunération et de remboursement de dépenses en vertu de l'article 34 de la LGFP,comporte un faible niveau d'assurance que les coûts sont raisonnables.

Les résultats des tests d'audit effectués ont démontré que le processus de rémunération du recensement est respecté. Tous les employés examinés dans l'échantillon étaient considérés comme en règle; toutes les demandes de remboursement de frais de voyage examinés ont été approuvées au préalable et signées par les personnes possédant les pouvoirs appropriés; et les paiements ont été versés dans les comptes bancaires des agents recenseurs concernés. Les demandes de rémunération et de remboursement de dépenses des agents recenseurs ont été mises en lots et approuvées par les personnes détenant les pouvoirs nécessaires en vertu des articles 33 et 34 de la LGFP. Toutefois, dans la plupart des cas, il n'y avait pas de preuve d'analyse ou de demande de renseignements concernant l'exactitude et le caractère raisonnable des lots, comme l'exige l'approbation en vertu de l'article 34. Par conséquent, les personnes qui approuvent des paiements en vertu de l'article 33 n'avaient pas toujours de preuve suffisante que les procédures requises en vertu de l'article 34 avaient été appliquées.

Le processus d'approbation des paiements versés aux agents recenseurs comprenait deux contrôles utilisés dans le processus de rémunération du recensement : examen quotidien des demandes soumises par les CE et examen et analyse des rapports de productivité menés par les CE, les COT, les surveillants de la rémunération et les CBLR, avant que le paiement des demandes de rémunération et de remboursement de dépenses soit approuvé. À cette fin, les rapports obtenus par suite de l'examen et du contrôle des demandes de rémunération et de remboursement de dépenses doivent comporter des données exactes et à jour pour chaque niveau de supervision, afin de déterminer les erreurs ou les cas de demandes déraisonnables soumises par les agents recenseurs.

Contrôle de la rémunération et des dépenses des agents recenseurs

Pour le Recensement de 2011, les agents recenseurs ont été rémunérés selon un taux horaire, afin d'améliorer le recrutement et le maintien en poste. Par conséquent, la gestion du temps est devenue un élément important et a été intégrée au SGT. Les agents recenseurs ont utilisé le SGT pour rendre compte de leur productivité et pour entrer leurs heures de travail et leurs demandes de remboursement de dépenses sur une base quotidienne.

Chaque CE était responsable de la supervision du travail de 8 à 14 agents recenseurs. On s'attendait à ce que les CE passent en revue chaque demande de rémunération et de remboursement de dépenses, avant d'en recommander l'approbation dans le SGT. Le système comprenait une fonction optionnelle, grâce à laquelle les agents recenseurs pouvaient entrer des détails ou des justifications à l'appui de leurs demandes. Pour appuyer les activités de contrôle des CE, le SGT signalisait aussi les 25 % supérieurs des montants les plus élevés de TPC dans un BLR donné.

Par conséquent, on a beaucoup dépendu des CE pour assurer le caractère raisonnable des demandes des agents recenseurs, grâce à un examen de leur rendement avant l'approbation des heures et des kilomètres demandés et à un contrôle étroit des progrès réalisés. Le contrôle des résultats et le règlement rapide des problèmes de rendement étaient des contrôles clés dont on dépendait pour assurer le respect des objectifs du programme. Des procédures efficaces de contrôle des coûts sont essentielles pour fournir des assurances aux personnes ayant les pouvoirs délégués en vertu des articles 34 et 33 de la LGFP, avant qu'elles approuvent les paiements aux agents recenseurs.

Les attentes en ce qui a trait au contrôle des coûts devant être assuré par les CE ont été énoncées dans la Directive 08 : Contrôle des coûts et gestion financière des opérations sur le terrain, de la façon suivante :

« Les chefs d'équipe doivent organiser des séances d'examen avec leurs agents recenseurs peu après le début de chaque opération. Ils ont accès aux formules G et aux rapports du SIG pour surveiller la productivité et le temps consacré à chaque cas. Ils doivent communiquer avec leurs agents recenseurs tous les jours. Il incombe aux chefs d'équipe de faire part de leurs attentes à leurs agents recenseurs. Si la production est inférieure aux attentes, ou si le kilométrage déclaré est déraisonnablement élevé, une supervision étroite s'impose, une mesure correctrice doit être prise et, s'il y a lieu, un employé peut être remplacé. Les chefs d'équipe ne doivent pas hésiter à consulter leur COT pour obtenir de l'aide lorsqu'ils ne parviennent pas à résoudre un problème. »

Dans le cadre de cette directive, on détermine les rôles et responsabilités en matière de contrôle des coûts, mais on aurait profité de directives ou de lignes directrices plus claires quant à l'approche à adopter. Le document indique que des discussions devraient se tenir pour les personnes dont le rendement n'est pas satisfaisant; toutefois, la directive ne porte pas de façon explicite sur la nécessité de contrôler les heures demandées et ne comporte pas de lignes directrices claires sur ce qui est considéré comme raisonnable et sur ce qui ne l'est pas.

Tout au long de la période de collecte du recensement, le SGT a aussi produit une gamme variée de rapports et de données de gestion, mis à jour quotidiennement et accessibles pour les superviseurs et les gestionnaires du programme, en vue de prendre des décisions opportunes. Les rapports de productivité étaient considérés comme un outil de contrôle clé devant être utilisé par les CE, les COT, les GAOT et les CBLR. Les rapports produits à partir des données du SGT comprenaient des renseignements selon la région géographique, y compris le TPC, le nombre de tentatives, le nombre de kilomètres demandés, les cas terminés, la moyenne de TPC par DCE, la moyenne de TPC par BLR. Toutefois, les documents de procédure et de formation n'expliquaient pas comment utiliser les rapports du SIG pour assurer les fonctions de supervision concernant l'exactitude et le caractère raisonnable des coûts.

Grâce aux interviews et aux tests, l'équipe d'audit a évalué les processus d'examen des CE concernant la rémunération/les dépenses, ainsi que les rapports de productivité, afin de déterminer leur efficacité pour fournir l'assurance que les coûts sont contrôlés. L'examen d'environ 50 demandes a révélé que près des deux tiers d'entre elles ne comprenaient pas de commentaires pour expliquer le nombre d'heures/de kilomètres, même dans les cas, par exemple, où les demandes comprenaient plus de 100 KM et qu'aucun questionnaire n'avait été recueilli.

L'absence de justification fait en sorte qu'il revient aux CE d'assurer un suivi auprès des agents recenseurs signalés automatiquement par le SGT comme ayant un mauvais rendement. Par ailleurs, les CE interviewés ont indiqué que lorsqu'ils communiquaient avec les agents recenseurs pour les interroger sur leur temps et leurs dépenses, ils rejetaient rarement des demandes parce que les agents recenseurs étaient en mesure des fournir des explications plausibles (par exemple, congestion routière excessive, travaux routiers, etc.) pour justifier les demandes considérées comme excessives. Dans la plupart des cas, les CE n'ont pas été en mesure de remettre en question les demandes exagérées, et seules celles qui étaient considérablement gonflées ont fait l'objet d'une enquête ou d'un examen plus poussé ou d'une attention particulière.

Comme il est mentionné précédemment, le SGT signalait automatiquement les montants élevés de TPC et produisait un rapport déterminant les 25 % supérieurs des montants les plus élevés de TPC dans un BLR donné. Les CE avaient accès aux rapports de contrôle et devaient utiliser ces données avant de recommander le remboursement des demandes. Le contrôle devait permettre de déterminer rapidement les demandes considérées comme déraisonnables comparativement à celles des autres agents recenseurs de la même région. Les tests ont révélé que si un agent recenseur ne déclarait aucun questionnaire recueilli, les heures demandées pour tenter de recueillir des questionnaires n'étaient pas signalées dans les rapports du système. Le système ne signalait pas les cas de TPC élevé, tant que les questionnaires n'étaient pas recueillis dans l'unité de collecte.

Après un examen et des interviews avec le personnel régional, l'équipe d'audit a noté que le temps et les dépenses des agents recenseurs, ainsi que les données des questionnaires, n'étaient pas toujours téléchargés simultanément dans le SGT. Selon le moment du jour auquel les agents recenseurs entraient leur temps dans le SGT, le chargement des données sur les cas ne se produisait pas toujours le même jour que l'entrée des données sur le temps et les dépenses. Cette situation a eu des répercussions sur l'exactitude des statistiques de TPC pour les unités de collecte, en produisant des résultats variés. Certains CE interviewés ont mentionné qu'ils n'assuraient pas toujours de suivi des cas signalés, étant donné que de nombreuses fois, ils avaient noté que les chiffres finissaient pas s'équilibrer. Cela a eu des répercussions sur l'actualité et l'intégrité des données utilisées pour identifier les personnes ayant un mauvais rendement et a réduit l'efficacité du contrôle. Les résultats de l'évaluation du recensement ont indiqué que 95 % de toutes les demandes étaient remboursées sans contrôle par les CE, ce qui démontre que peu de changements ont découlé du contrôle des demandes par les CE.

Les chargés des opérations sur le terrain (COT) sont les superviseurs de première ligne responsables de comparer la productivité et les coûts au moyen des rapports du SIG pour chaque opération. Leur rôle consiste principalement à contrôler les rapports de leurs chefs d'équipe et à fournir des directives, au besoin. Les COT supervisaient entre 7 et 12 CE travaillant tous dans des endroits ou des contextes différents. Les interviews avec les COT ont révélé qu'ils ne contrôlaient pas l'efficacité des examens menés au niveau des CE et qu'ils se concentraient principalement sur l'optimisation de la répartition du personnel, selon les niveaux de productivité atteints. Qui plus est, ils ont indiqué qu'il n'était pas réaliste de s'attendre à ce que les COT effectuent cette analyse, compte tenu du court délai du SCNR.

Les tests d'audit ont montré que les agents recenseurs signalés par le système en raison de leur faible productivité sont demeurés actifs, même si aucune amélioration significative ne s'était produite. Il n'y avait pas de preuve qu'un suivi avait été effectué pour l'une ou l'autre de ces personnes ayant un mauvais rendement. De même, l'évaluation du rendement de ces agents recenseurs indiquait qu'ils avaient « atteint » ou « dépassé » les objectifs, en mentionnant leur capacité à recueillir des questionnaires, sans jamais commenter leur productivité ou leur rentabilité.

L'audit a révélé que les activités de planification et de contrôle étaient principalement axées sur l'atteinte des objectifs de collecte. L'examen des demandes de remboursement et des rapports de productivité du SGT par les chefs d'équipe et les chargés des opérations sur le terrain ont fait ressortir qu'un contrôle clé utilisé par les chefs des bureaux locaux du recensement (CBLR) pour l'approbation des demandes de rémunération et de remboursement de dépenses en vertu de l'article 34 de la LGFP comporte un faible niveau d'assurance que les coûts étaient raisonnables.

Conformité au processus de rémunération du recensement

Les pouvoirs de signature en vertu de l'article 34 de la LGFP pour la rémunération versée aux agents recenseurs reviennent aux CBLR. On s'attendait à ce que les procédures énoncées dans la Formule 49-F Manuel du bureau des finances soient suivies et appliquées.

Une fois les demandes des agents recenseurs recommandées par les CE, un sommaire des demandes (lots) était préparé dans chaque BLR, en vue de l'approbation par le CBLR en vertu de l'article 34, après quoi il était envoyé au groupe régional des finances et aux sous-sections de la paie respectives pour l'approbation en vertu de l'article 33. Les détails du processus de rémunération en place au cours du Recensement de 2011 se trouvent à l'annexe B.

Les attributs de la Formule 49-F Manuel du bureau des finances et du Guide des chefs des bureaux locaux du recensement ont servi à élaborer nos procédures d'audit. Les tests visaient à fournir l'assurance que des contrôles étaient en place pour veiller à ce que :

  • Les agents recenseurs qui recevaient des paiements soient en règle et aient été recrutés selon les procédures établies;
  • l'approbation en vertu de l'article 32 de la LGFP pour les formulaires d'autorisation de voyage soit documentée et appuyée;
  • l'approbation en vertu de l'article 34 de la LGFP soit documentée et appuyée;
  • l'approbation en vertu de l'article 33 de la LGFP soit documentée et appuyée; et
  • les paiements soient versés dans le compte bancaire de l'agent recenseur concerné.

L'équipe chargée de l'audit a sélectionné un échantillon de 25 demandes de rémunération d'agents recenseurs pour chaque région, couvrant deux périodes de paie, pendant la période de pointe du SCNR. Au total, dix districts de chef d'équipe (DCE) ont été sélectionnés de façon aléatoire dans ces régions et comprenaient des agents recenseurs qui avaient demandé un nombre important d'heures. L'échantillon incluait des agents recenseurs dont le temps par cas (TPC) se situait dans la moyenne et d'autres pour lequel il dépassait la moyenne.

L'audit a révélé ce qui suit :

Conformément aux directives du programme, les dossiers d'employés ont été téléchargés dans le SGT, à partir des dossiers de demande originaux créés dans le Système de recrutement automatisé du recensement (SRAR). Conformément à la Formule 46-F – Directive 14 : Recrutement pour le Recensement de 2011, les formulaires de demande des employés ont fait l'objet d'une répartition efficace des tâches tout au long du processus d'approbation, avant le recrutement. Les dossiers des candidats ont été récupérés dans le SRAR et examinés, afin de s'assurer de l'approbation électronique de chaque niveau par les personnes compétentes. Les processus d'approbation comportant des niveaux multiples constituent une mesure efficace pour prévenir la création d'employés fictifs. Les formulaires de demande originaux et d'autres documents requis, y compris des photos des employés, figuraient dans les dossiers. Tous les employés examinés dans l'échantillon étaient considérés comme des employés en règle.

Les demandes de remboursement de frais de voyage soumises par les agents recenseurs étaient approuvées avant le voyage. Les formulaires d'autorisation de voyager étaient signés par les personnes à qui les pouvoirs étaient délégués en vertu de l'article 32 de la LGFP.

Les demandes de rémunération et de remboursement de dépenses des agents recenseurs étaient mises en lot et approuvées par les personnes détenant les pouvoirs en vertu des articles 34 et 33 de la LGFP. Toutefois, dans la plupart des cas, il n'y avait pas de preuve d'analyse ou de demande de renseignements concernant l'exactitude et le caractère raisonnable des lots, conformément à l'article 34. Par conséquent, les personnes approuvant les paiements en vertu de l'article 33 n'avaient pas toujours suffisamment de preuve que les procédures requises en vertu de l'article 34 avaient été suivies.

Les superviseurs de la paie avaient la possibilité de modifier les données de compte de paie d'un employé dans le SGT. Les tests ont démontré que les paiements avaient été versés aux comptes bancaires des agents recenseurs concernés. Les formulaires prescrits requis pour modifier les données des comptes de paie des agents recenseurs figuraient dans les dossiers et toutes les signatures requises correspondaient.

Recommandations :

Il est recommandé que le statisticien en chef adjoint, Recensement, Opérations et Communications, veille à ce que :

  • La formation et les directives relatives au contrôle des coûts et à l'utilisation des rapports du SIG soient révisées de manière à fournir des directives et des lignes directrices claires sur l'approche à adopter pour les fonctions de supervision.
  • Les contrôles clés utilisés pour l'approbation des demandes de rémunération et de remboursement de dépenses en vertu de l'article 34 de la LGFP soient révisés pour en assurer l'applicabilité et l'efficacité, en tenant compte du court délai des activités de SCNR.
  • Les procédures requises en vertu de l'article 34 de la LGFP soient appliquées de façon uniforme et produisent suffisamment de preuve et d'assurance pour l'approbation des paiements en vertu de l'article 33.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

  • L'équipe du Projet des opérations sur le terrain s'assurera que les indicateurs/objectifs de rendement sont rajustés et que les processus sont définis pour veiller à ce que les gestionnaires disposent des outils dont ils ont besoin pour mieux gérer les coûts variables de la collecte. La formation et les directives sur l'utilisation des rapports du SIG seront mises à jour et les responsabilités seront précisées, afin de faire en sorte que les gestionnaires comprennent leurs obligations financières et s'y conforment.

    Produits livrables et échéances : Une approche détaillée en matière d'information de gestion sera élaborée et mise à l'essai pour les opérations de 2016, y compris la formation des personnes concernées. Cette tâche se déroulera pendant la période d'essai de 2014.
  • L'équipe du Projet des opérations sur le terrain s'assurera que les pouvoirs en vertu de l'article 34 sont revus et corrigés, au besoin. Les processus de contrôle clés seront précisés et de la formation appropriée sera fournie pour s'assurer que les personnes qui approuvent les dépenses en vertu de l'article 34 se conforment aux pouvoirs qui leur sont délégués.

    Produits livrables et échéances : Une approche détaillée en matière d'information de gestion est élaborée et mise à l'essai pour les opérations de 2016, y compris des données pertinentes en ce qui a trait aux obligations prévues dans la LGFP. Cette tâche se déroulera pendant la période d'essai de 2014.
  • L'équipe du Projet des opérations sur le terrain s'assurera que les pouvoirs prévus à l'article 34 sont passés en revue et corrigés, au besoin. Les procédures requises en vertu de l'article 34 de la LGFP seront précisées et de la formation appropriée sera fournie. En collaboration avec la Direction des finances, les personnes qui approuvent les demandes de rémunération et de remboursement de dépenses feront l'objet d'un contrôle, afin de déterminer si elles se conforment aux pouvoirs qui leur sont délégués.

    Produits livrables et échéances : Une approche détaillée en matière d'information de gestion sera élaborée et mise à l'essai pour les opérations de 2016, y compris des données pertinentes en ce qui a trait aux obligations prévues dans la LGFP. Cette tâche se déroulera pendant la période d'essai de 2014.

Annexes

Annexe A : Structure sur le terrain du Recensement de 2011

Figure 1 - Structure sur le terrain du Recensement de 2011

Description de la figure - Structure sur le terrain du Recensement de 2011

Annexe B : Processus de rémunération selon la Formule 49-F – Manuel du bureau des finances

Chapitre 3 – Classement

  1. À moins d'indication contraire, les procédures normalisées de classement des bureaux régionaux sont respectées.
  2. Les employés embauchés en vertu de la Loi sur la statistique auront un dossier pour toute leur documentation (p. ex., formule de nomination et formule relative à la paie). Ces dossiers seront conservés en ordre alphabétique dans le BLR, au sein de la Sous-section de l'administration ou de la paie. Tous les états de compte, formules d'embauche et pièces justificatives seront conservés.
  3. Le dossier de chaque employé recruté en vertu de la Loi sur la statistique doit contenir les éléments suivants :
    1. Liste de contrôle – Embauche du personnel recruté en vertu de la Loi sur la statistique, formule 21B;
    2. Formule de présélection pour le candidat recruté en vertu de la Loi sur la statistique, formule 22A;
    3. Recommandation et attribution du personnel recruté en vertu de la Loi sur la statistique, formule 23;
    4. Statistique Canada – Serment ou affirmation d'office et de discrétion, formule 24;
    5. Signification du serment ou de l'affirmation d'office et de discrétion, formule 24A;
    6. Conditions d'emploi, série des formules 25;
    7. Demande d'emploi au recensement, formule 26 (si la demande n'a pas été remplie en ligne), curriculum vitae et autres notes découlant du processus de sélection;
    8. Épreuve de sélection, formule 27 ou 27B) / Feuille de réponses de la CFP, formule PSC2256;
    9. Livret d'évaluation du candidat à un poste sans fonctions de supervision, formule 27C / Barème de correction - Épreuve de sélection, formule 27D;
    10. Vérification de fiabilité du recensement, formule 26B;
    11. Contrat d'utilisation pour le Système de gestion sur le terrain, formule 26;
    12. Changement d'adresse, formule 30B (le cas échéant);
    13. une photo;
    14. Registre des heures et des dépenses hebdomadaires recommandé, formule 32 (nécessaire uniquement en cas de demande de remboursement des dépenses ou d'entrée des heures et de la productivité par une autre personne);
    15. la formule 32 doit être accompagnée de reçus;
    16. Évaluation du rendement, formule 38;
    17. Renseignements pour le dépôt direct, formule 39;
    18. Déclaration pour les retenues, formulaire 39B, TD1 applicable, TP-1015.3 ou TD1-IN;
    19. test linguistique (le cas échéant);
    20. autres documents pertinents (correspondance, notes de réunions de comités disciplinaires, etc.).

Le contenu de ces documents est hautement confidentiel et les formules doivent être gardées en lieu sûr, dans un classeur fermé à clé auquel l'accès est restreint et qui est verrouillé après les heures de travail et lorsqu'il n'est pas utilisé.

  1. On devrait créer des dossiers régulièrement et le classement devrait être à jour afin de permettre aux employés de retrouver les documents rapidement et facilement.
  2. Les rapports d'autorisation de paiements en lots, les rapports de confirmation de paiement (SFMC) et les rapports sommaires (SFMC) devraient être classés en fonction de la date et du numéro de lot.
  3. Le système de classement doit être organisé de façon à ce qu'on puisse obtenir une piste de vérification par personne, par rapport d'autorisation de paiements en lots ou par rapport de confirmation de paiement.
  4. La formule 31 et les autres documents autorisant les dépenses au préalable sont envoyés au centre régional du recensement (CRR) aux fins de paiement et une copie est conservée et classée au BLR d'origine. Ces dossiers sont conservés en ordre de province, de district de recensement et d'unité de collecte afin de faciliter l'accès en cas de besoin à une date ultérieure.
  5. Tous les renseignements protégés doivent être rangés dans un classeur verrouillé. Les classeurs doivent être fermés à clé, notamment à la fin de chaque journée. La clé ou la combinaison doit être conservée dans un lieu sûr et central. S'il vous faut classer une grande quantité de documents protégés, communiquez avec la Sécurité du Bureau.

Annexe C : Critères d'audit

Annexe C : Critères d'audit
Sommaire du tableau
Le tableau de l'Annexe C identifie les critères de vérification, les contrôles (existants et prévus) et les instruments de politiques qui ont servit de source pour les critères.
Secteur d'intérêt / Contrôles de base / Critères Contrôles (existants et prévus) Instrument de politique
1) Le cadre de contrôle en place entourant la planification financière, le contrôle et le rapport des dépenses traitées par le SGT est approprié.
Gestion du risque
1.1 Les gestionnaires déterminent les risques qui pourraient empêcher l'atteinte des objectifs et évaluent les contrôles en place. (GR-2 et 3) 1.1.1 Les gestionnaires sont conscients des répercussions possibles des changements dans la structure du recensement (ENM), ainsi que des changements opérationnels importants (p. ex., rémunération horaire) et disposent d'outils pour gérer ces risques. Cadre de responsabilisation de gestion

Guide de l'utilisateur du SRG – Recensement

Guide de gestion du Recensement de 2011

Loi sur la statistique

Formule 46-F – Directive 08 : Contrôle des coûts et gestion financière des opérations sur le terrain.
Budget et reddition de comptes / Rapports du SGT et du SIG utilisés pour la prise de décisions
1.2 Les politiques et les directives de gestion financière sont conçues de façon appropriée pour les opérations sur le terrain du recensement, afin de veiller à ce que les coûts prévus dans le budget et les coûts réels soient déclarés et contrôlés au niveau du programme (GER-5)

Des examens sont menés pour analyser, comparer et expliquer les écarts financiers entre les chiffres réels et les chiffres planifiés. (GER-15)		 1.2.1 Des lignes directrices sont fournies par les Finances concernant la structure d'information financière, les outils de rapport disponibles et les pratiques de gestion financière qui doivent être suivies pour le recensement. Cadre de responsabilisation de gestion

Suite du portail du SIG
1.2.2 Des examens et des analyses sont effectués concernant les résultats financiers et sont comparés au budget, afin de veiller à ce que les opérations régionales soient gérées de façon appropriée. Cadre de responsabilisation de gestion

Suite du portail du SIG
1.2.3 Des rapports sont préparés et communiqués aux intervenants visés concernant les résultats des opérations régionales. Cadre de responsabilisation de gestion

Suite du portail du SIG
2) Les contrôles clés intégrés dans le processus de rémunération entourant les paiements versés aux employés recrutés en vertu de la Loi sur la statistique, dans le cadre du Recensement/ de l'ENM de 2011, y compris ceux gérés par l'intermédiaire du Système de gestion sur le terrain (SGT), sont efficaces.
Contrôle de la rémunération et des dépenses des agents recenseurs
2.1 Les données utilisées pour approuver les demandes des agents recenseurs sont exactes et à jour. Les rapports de productivité sont passés en revue et analysés par les COT, les superviseurs de la paie et les CBLR avant que les demandes de rémunération et les remboursements des dépenses connexes soient approuvés, afin d'assurer l'exactitude et l'actualité des paiements (GER-10/18) 2.1.1 On procède à un examen et à un contrôle du rendement sur une base quotidienne et les personnes qui ont un mauvais rendement sont identifiées et traitées rapidement. Cadre de responsabilisation de gestion

Loi sur la gestion des finances publiques

Analyse du RIC de la productivité des agents recenseurs du SCNR

Guide de l'utilisateur et formules du SGT-Superviseur

Loi sur la statistique
2.1.2 Avant de recommander les paiements, les superviseurs doivent recommander les demandes ou consulter les employés pour préciser et/ou corriger les écarts, au besoin. Cadre de responsabilisation de gestion

Loi sur la gestion des finances publiques

Analyse du RIC de la productivité des agents recenseurs du SCMR

Guide de l'utilisateur et formules du SGT-Superviseur

Loi sur la statistique
2.2 Les rapports obtenus pour l'examen et le contrôle des demandes de rémunération et remboursement de dépenses pourraient permettre de déterminer les erreurs ou les cas de demandes déraisonnables soumises par les agents recenseurs. (GER-20) 2.2.1 Les demandes sont examinées par les superviseurs et approuvées en conséquence. Cadre de responsabilisation de gestion

Formule 46.39 Recommandation des demandes et autorisation des paiements par le COT et le CBLR
2.3 Les employés ont reçu la formation, les outils, les ressources et l'information nécessaires pour appuyer la prise en charge de leurs responsabilités de contrôle et de supervision. (PER-4) 2.3.1 La formation destinée aux employés ayant des fonctions de supervision dans les opérations sur le terrain comprend des directives sur la supervision des activités financières qui relèvent d'eux, par exemple, l'examen des demandes de rémunération et de remboursement de dépenses, la productivité, les approbations en vertu des articles 34 et 33. Cadre de responsabilisation de gestion

Bibliothèque électronique - en.STCwiki

Loi sur la statistique
Conformité au processus de rémunération du recensement
2.4 Les demandes de rémunération et de remboursement de dépenses sont passées en revue, afin de s'assurer qu'elles sont exactes et raisonnables et qu'elles sont approuvées par les personnes appropriées (article 34 de la LGFP et article 33 de la LFGP). (GER-15/18) 2.4.1 L'examen et l'approbation en vertu de l'article 34 de la LGFP sont documentés et fondés sur les données permettant la détermination des erreurs possibles. Cadre de responsabilisation de gestion

Pouvoirs de signature en matière de finances et processus d'acquisition pour les gestionnaires régionaux du recensement

Loi sur la gestion des finances publiques

Formule 49-F - Manuel du bureau des finances

Article 33 – Agents financiers régionaux du recensement

Formule 32 – Directive
2.4.2 Une séparation des tâches en vertu de l'article 33 de la LGFP est en place et contrôlée par la DOSGF. Cadre de responsabilisation de gestion

Pouvoirs de signature en matière de finances et processus d'acquisition pour les gestionnaires régionaux du recensement

Loi sur la gestion des finances publiques

Formule 49-F – Manuel du bureau des finances

Article 33 – Agents financiers régionaux du recensement

Formule 32 – Directive

Formule 46-F – Directive 14 : Recrutement pour le Recensement de 2011

Annexe D : Acronymes

Annexe D : Acronymes
Acronyme Description
BC Bureau central
BGR Bureau de gestion du recensement
BLR Bureau local du recensement
CBLR Chef du bureau local du recensement
CE Chef d'équipe
COT Chargé des opérations sur le terrain
CRG Cadre de responsabilisation de gestion
CRR Centre régional du recensement
CTD Centre de traitement des données
DCE District de chef d'équipe
DCSR Direction de la collecte et des services régionaux
DGR Division de la gestion des ressources
ENM Enquête nationale auprès des ménages
EPR Équipe de projet du recensement
GAOT Gestionnaire adjoint – Opérations sur le terrain
IAI Institut des auditeurs internes
KM Kilomètres
LEFP Loi sur l'emploi dans la fonction publique
LGFP Loi sur la gestion des finances publiques
POT Projet des opérations sur le terrain
SCNR Suivi des cas de non-réponse
SCT Secrétariat du Conseil du Trésor
SGR Système de gestion du risque
SGT Système de gestion sur le terrain
SI Secteur d'intérêt
SIG Système d'information de la gestion
SRAR Système de recrutement automatisé du recensement
TPC Temps par cas

Description de la Figure 1 : Processus intégré de planification stratégique (PIPS)

Le graphique représente un organigramme descriptif du Processus intégré de planification stratégique (PIPS), qui comprend six étapes. Les quatre premières étapes du PIPS sont appelées processus de PLT, et représentent la première phase du PIPS, les étapes cinq et six ayant lieu pendant la mise en œuvre du projet, qui représente la deuxième phase du PIPS.

L'organigramme commence par la première colonne qui s'appelle Étapes du processus de PLT. La première case de la colonne du processus de PLT, soit l'étape 1 : Définition du concept, montre que la première étape du PIPS commence en avril de chaque année par une séance d'orientation stratégique, afin de faire correspondre cette dernière et les priorités et enjeux émergents, et que la deuxième étape du PIPS va de mai à juin et permet aux gestionnaires d'élaborer une proposition opérationnelle de haut niveau, en vue d'obtenir du financement par l'intermédiaire du processus de PLT. Les propositions sont regroupées en trois grandes catégories pour les décisions : améliorations et initiatives de l'Architecture opérationnelle du Bureau (AOB); continuité et maintien de la qualité (CMQ) des programmes existants; et nouvelles initiatives/améliorations. Les propositions soumises à un examen plus poussé par le Conseil d'examen de la haute direction passent dans la deuxième case de la colonne des Étapes du processus de PLT. La deuxième case du processus de PLT, soit l'étape 2 : Évaluation du projet, montre que la troisième étape du PIPS va de juin à octobre et permet aux programmes d'élaborer des propositions d'investissement qui sont soumises à l'étape 4, en novembre, à la Conférence d'examen de la haute direction pour approbation. Cela marque la fin du processus de PLT.

Les projets approuvés en novembre à partir de ce point passent dans la colonne de mise en œuvre, qui représente la deuxième étape du PIPS. Les deux premières cases de la colonne Mise en œuvre du projet, soit l'étape 3 : Lancement du projet et l'étape 4 : Planification du projet, montrent que la cinquième étape du PIPS va de décembre à mars, lorsque les responsables des programmes lancent les nouveaux projets de PLT, les planifient et communiquent avec les intervenants à ce sujet. Les deux dernières cases de la colonne de mise en œuvre du projet, soit l'étape 5 : Exécution du projet et l'étape 6 : Clôture du projet, montrent que la sixième et dernière étape du PIPS correspond au contrôle permanent des projets de PLT.

Description de la Figure 2 : Étapes du processus PLT

Contrôles financiers clés: explication du processus

Ce graphique illustre les deux étapes du processus de PLT qui s'intègrent au Processus intégré de planification stratégique (PIPS). Les quatre premières étapes du PIPS sont appelées Processus de PLT. Elles ont été réparties en deux étapes dans l'organigramme. Les deux premières étapes correspondent à la première étape du processus de PLT, soit la définition du concept, et les deux autres étapes correspondent à la deuxième étape du processus de PLT, soit l'évaluation du projet.

L'organigramme commence avec l'étape 1, Définition du concept, où les propositions opérationnelles de l'AOB et non parrainées par l'AOB sont préparées par les responsables des programmes pour examen et approbation. Le graphique montre que les propositions de l'Architecture opérationnelle du Bureau (AOB) sont soumises à un processus d'approbation par le Comité de gestion de l'AOB et les conseils de planification du secteur (CPS). L'organigramme montre aussi que les projets non parrainés par l'AOB ne sont soumis qu'aux CPS pour approbation. Les propositions de l'AOB et non parrainées par l'AOB qui ont été approuvées vont au CEHD pour l'approbation de la porte de décision 1 et l'examen du financement. Les propositions approuvées passent à l'étape 2, Évaluation du projet. À cette étape, les responsables des programmes doivent préparer un modèle d'Évaluation de la complexité et des risques des projets (ECRP), d'analyse de rentabilisation et d'établissement des coûts de l'analyse de rentabilisation (ECAR) pour toutes les propositions de l'AOB et non parrainées par l'AOB. L'organigramme illustre que les propositions de l'AOB sont distinctes de celles non parrainées par l'AOB et doivent être soumises au Comité de gestion de l'AOB pour approbation. Une fois cette approbation donnée, les propositions de l'AOB sont fusionnées avec les autres propositions, puis sont soumises aux CPS, pour que les formulaires d'analyse de rentabilisation et d'ECAR soient approuvés. Les propositions approuvées passent à la porte de décision 2 du CEHD pour approbation et financement. Toutes les propositions de PLT approuvées sont consignées dans le Registre des décisions de Statistique Canada, appelé le Livre bleu.

Audit du Processus de planification à long termede Statistique Canada

Rapport d'audit

22 avril 2013
Numéro de projet : 80590-76

Résumé

Statistique Canada, qui a comme mandat de répondre aux besoins statistiques de tous les niveaux de l'administration publique, des institutions canadiennes et de tous les Canadiens, tente de s'assurer que les Canadiens ont accès à une source fiable de données statistiques sur le Canada, qui répondent à leurs besoins d'information les plus prioritaires. La fourniture de données de grande qualité à l'appui des programmes de base de statistiques économiques, environnementales et sociales, joue un rôle clé dans la détermination de la façon dont Statistique Canada affecte ses ressources. Ainsi, l'établissement des priorités stratégiques et le financement des investissements se font par l'intermédiaire du Processus intégré de planification stratégique (PIPS) établi en 2010-2011. Le PIPS est constitué d'un cycle annuel à six étapes, les quatre premières étant désignées comme le processus de planification à long terme (PLT), qui a vu le jour en 1984.

Statistique Canada prévoit investir 134 millions de dollars dans les actifs, 171 millions de dollars dans les services acquis et 512 millions de dollars dans les projets (le projet le plus important étant le Recensement de la population et l'Enquête nationale auprès des ménages de 2011), au cours de la période de planification de 2011-2012 à 2015-2016. Les investissements prévus répondent aux exigences opérationnelles de Statistique Canada et se situent à l'intérieur des niveaux de référence existants de StatCan.Footnote 1

Les objectifs du présent audit étaient de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) de Statistique Canada l'assurance que des mécanismes de gouvernance sont en place pour appuyer la planification, l'affectation des ressources et le contrôle des projets de PLT, et que la détermination et l'approbation des projets de PLT sont soumises à un processus structuré et systématique.

L'audit a été effectué par la division de vérification interne, en conformité avec la Politique sur la vérification interne du gouvernement du Canada.

Principales constatations

Statistique Canada dispose d'un processus officiel de PLT, qui est documenté et généralement compris par les participants. Toutefois, certains rôles et responsabilités importants ne sont pas bien définis, ce qui mène à un manque de clarté en ce qui a trait à la façon dont les intervenants clés participent au processus. Dans d'autres cas, les rôles et responsabilités des organismes de gouvernance clés ne sont pas bien définis, ou leur définition comporte un degré élevé de souplesse, ce qui crée des possibilités de manque d'uniformité dans la gouvernance au cours du processus de planification.

Il n'existe actuellement aucune exigence de documentation officielle des hypothèses de planification à l'appui des estimations des coûts et des gains d'efficience, ni de directives officielles pour la préparation de l'estimation des coûts, ainsi que des gains d'efficience prévus et réels. Par conséquent, les approches utilisées pour produire et suivre ces estimations ne sont pas uniformes.

À l'heure actuelle, les projets de l'Architecture opérationnelle du Bureau (AOB) ne tiennent pas toujours compte des interdépendances qui existent dans l'environnement matriciel de Statistique Canada. Cela peut entraîner la perte de possibilités de gains d'efficience plus grands. Un « modèle d'interdépendance » a été élaboré par la Division de la planification intégrée (DPI) pour mieux définir et gérer les interdépendances. Lorsque le modèle sera approuvé, il sera obligatoire pour les projets de l'AOB, en vue de suivre, déterminer, gérer et contrôler officiellement les interdépendances entre les projets de l'AOB.

Les pratiques de gouvernance et les pratiques opérationnelles pour l'examen minutieux et la remise en question varient d'un secteur à l'autre, les données financières et non financières des formulaires de PLT faisant l'objet d'un examen exhaustif et d'une remise en question limités par les AP et les CGF. Les remises en question par les participants clés et à l'intérieur des organismes de gouvernance ne sont pas documentées. Cela peut donner lieu à une évaluation non uniforme des propositions d'un secteur à l'autre et à des données incomplètes à l'appui de décisions de planification et d'approbation défendables.

On se conforme en général au processus de PLT énoncé et la valeur de ce processus est de plus en plus reconnue, du fait de l'évolution considérable de l'utilisation du CGPO et d'outils connexes. Toutefois, les estimations originales des coûts de base et des gains d'efficience des projets devraient être incluses dans le tableau de bord de la direction, en vue de suivre, contrôler, comprendre et remettre en question systématiquement les répercussions des rajustements de projet par rapport aux estimations originales des coûts et des gains d'efficience.

Les pratiques d'archivage et de gestion de l'information liées à la propriété, au contrôle des versions et à la transmission devraient être raffermies, afin d'assurer une saine gérance et l'intégrité des données.

Conclusion générale

Le processus de PLT existe depuis un certain temps, mais a connu récemment une évolution majeure, avec l'avènement du CGPO et des exigences connexes. Les nouveaux outils et structures pour le processus de PLT fournissent une bonne base pour la prise de décisions défendables de façon disciplinée, mais d'autres progrès doivent être réalisés, tant du point de vue des processus que de la culture.

Une plus grande clarté des rôles et responsabilités, des directives concernant les estimations des coûts et des gains d'efficience, et de la documentation officielle concernant les hypothèses de planification pour les estimations des coûts et des gains d'efficience augmenteront la capacité des organismes de gouvernance et des participants clés de s'acquitter de leurs responsabilités en matière d'examen minutieux et de remise en question. L'inclusion des coûts de base originaux dans les tableaux de bord de projet améliorera la capacité des parrains des projets et des organismes de gouvernance de suivre et de contrôler efficacement les répercussions cumulatives des rajustements de projet, afin d'assurer une saine gérance des ressources.

Il existe des possibilités de raffermir les pratiques d'archivage et de gestion de l'information liées à la propriété, au contrôle des versions et à la transmission, afin d'assurer une saine gérance et l'intégrité des données.

Conformité aux normes professionnelles

L'audit a été effectué en conformité avec les Normes relatives à la vérification interne au sein du gouvernement du Canada, lesquelles comprennent les Normes internationales pour la pratique professionnelle de l'audit interne de l'Institut des auditeurs internes.

Patrice Prud'homme
Dirigeant principal de la vérification

Introduction

Contexte

En tant que bureau national de la statistique, Statistique Canada a comme mandat de répondre aux besoins statistiques de tous les niveaux de l'administration publique, des institutions canadiennes et de tous les Canadiens. Statistique Canada contribue à la plupart des résultats de l'administration fédérale dans les domaines des affaires économiques, sociales, internationales et gouvernementales. Ce faisant, il tente de s'assurer que les Canadiens ont accès à une source fiable de données statistiques sur le Canada, qui répondent à leurs besoins d'information les plus prioritaires.

L'affectation des ressources à l'appui du mandat et des priorités de StatCan se fait par l'intermédiaire du Processus intégré de planification stratégique (PIPS) établi en 2010-2011. Le PIPS décrit comment les décisions sont prises dans le cadre du processus de planification à long terme (PLT). Le PIPS est un processus annuel constitué de six étapes. Les quatre premières étapes correspondent au processus de PLT, et les cinquième et sixième étapes ont trait à la communication des plans et au contrôle des projets de PLT. Établi officiellement en 1984, le processus de PLT a évolué au fil des ans et s'est adapté récemment à l'application des outils mis en œuvre dans le Cadre de gestion des projets de l'organisme (CGPO), qui a lui-même été lancé comme projet pilote, en 2011-2012. Les fonctions de gestion de projet sont appuyées par le Bureau de gestion des projets de l'organisme (BGPO).

Dans le cadre du processus de PLT, Statistique Canada évalue chaque année ses programmes et ressources, afin de les ajuster en fonction de l'évolution des besoins et des priorités des clients. Le processus fournit aussi une tribune pour la détermination et l'examen des enjeux transversaux, favorise de plus grands gains d'efficience et encourage l'innovation. Afin d'assurer la continuité et la qualité permanente des programmes, l'exercice du PIPS comporte un horizon de planification de dix ans, appelé « Financer l'avenir », afin d'aider Statistique Canada à planifier à l'avance les dépenses importantes, à gérer les risques opérationnels et à aligner ses programmes sur les besoins des Canadiens. Par l'intermédiaire du PIPS, Statistique Canada intègre de saines pratiques de gestion, comme la gestion du risque, la planification des investissements ainsi que la gestion et l'évaluation de projet, dans le processus de planification.

Figure 1 : Processus intégré de planification stratégique (PIPS)

Description de la Figure 1 : Processus intégré de planification stratégique (PIPS)

Figure 1 : Processus intégré de planification stratégique (PIPS)

La première étape du processus de PLT commence en avril de chaque année par une séance d'« orientation stratégique », afin de faire correspondre cette dernière et les priorités et enjeux émergents, de mettre à jour le Profil de risque organisationnel et de mettre l'accent sur les discussions entourant l'atténuation des risques organisationnels importants. À la deuxième étape, de mai à juin, les gestionnaires mettent à jour leurs perspectives d'investissement sur dix ans, afin de tenir compte des renseignements les plus à jour disponibles, et élaborent une proposition opérationnelle de haut niveau, en vue d'obtenir du financement par l'intermédiaire du processus de PLT. Les propositions sont regroupées en trois grandes catégories pour la prise de décisions :

  1. Améliorations et initiatives de l'Architecture opérationnelle du Bureau (AOB);
  2. Continuité et maintien de la qualité(CMQ) des programmes existants;
  3. Nouvelles initiatives/améliorations.

Chaque catégorie rend compte des différents aspects de la planification stratégique. Les initiatives de l'AOB permettent de trouver des façons nouvelles et améliorées de mener les activités et générer des gains d'efficience dans les processus opérationnels intégrés ou d'améliorer leur robustesse et leur capacité de réaction. Les gains d'efficience nets découlant des projets de l'AOB servent à maintenir la continuité et la qualité des programmes existants par l'intermédiaire des projets de CMQ, par exemple, la mise en œuvre de nouvelles normes et classifications internationales, le remaniement des systèmes, le remaniement des échantillons, etc. Les nouvelles initiatives ou améliorations des programmes sont financées grâce à la réaffectation du budget existant ou à de nouveaux fonds (affectations du Conseil du Trésor ou recouvrement des coûts).

Au cours de la troisième étape, de juillet à octobre, une analyse de rentabilisation détaillée pour chaque proposition approuvée est élaborée par les gestionnaires. On détermine l'ensemble des coûts, les options en matière d'investissement et les économies prévues, en vue de leur examen et de leur approbation par les conseils de planification du secteur (CPS).

À la quatrième étape, en novembre, les analyses de rentabilisation sont présentées au Comité d'examen de la haute direction (CEHD). Ce dernier veille à ce que toutes les données et répercussions aient été dûment prises en compte et détermine les investissements qui seront financés. Les décisions finales sont consignées dans le Registre des décisions (Livre bleu), qui est distribué à l'équipe des cadres supérieurs de StatCan à la fin du processus.

Objectifs de l'audit

Les objectifs du présent audit étaient de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) de Statistique Canada l'assurance que :

  • Statistique Canada dispose de mécanismes de gouvernance appropriés pour appuyer la planification, l'affectation des ressources et le contrôle des projets de PLT.
  • La définition et l'approbation des projets de PLT sont facilitées par un processus structuré et systématique, appuyé par des connaissances appropriées et des données défendables.

Portée

La portée de cet audit comprenait un examen du caractère adéquat et de l'efficacité des contrôles en place concernant le processus de planification à long terme. Parmi les domaines particuliers examinés figuraient les suivants :

  • pratiques de gouvernance et de contrôle à l'appui de fonctions claires de reddition de comptes, de supervision, d'examen minutieux et de remise en question; et
  • processus et contrôles opérationnels qui permettent l'application uniforme d'une méthode commune de PLT, ainsi qu'outils, formation et pratiques de gestion de l'information qui appuient des décisions de PLT éclairées.

La portée de l'audit comprenait tous les secteurs de Statistique Canada et incluait un échantillon de 20 dossiers de projets approuvés en 2010-2011, pour le financement de PLT de 2011-2012. Les responsables de l'audit reconnaissent que l'exercice choisi pour l'essai correspondait à la première année suivant le lancement du CGPO comme projet pilote et à une période d'adaptation des programmes et du BGPO au nouveau processus.

Approche et méthodologie

Les travaux d'audit ont consisté à examiner des documents, à interviewer des cadres supérieurs et du personnel clés et à passer en revue les procédures, Lignes directrices et cadres pertinents concernant le processus de planification à long terme.

Les travaux sur le terrain ont compris un examen des procédures et de la documentation pertinentes, afin d'appuyer les pratiques de gouvernance et de contrôle, ainsi que la mise à l'essai de processus et de procédures opérationnels, afin de vérifier si des pratiques de gestion de l'information appropriées et robustes sont en place, si le processus de PLT est suivi par tous les intervenants clés, et si des mécanismes robustes d'examen minutieux et de remise en question existent et sont appliqués à l'appui de décisions de planification et d'approbation défendables.

Cet audit a été effectué suivant les Normes internationales pour la pratique professionnelle de l'audit interne de l'Institut des auditeurs internes (IAI) et en conformité avec la Politique sur la vérification interne du SCT.

Autorité

L'audit a été mené en vertu des pouvoirs prévus dans le Plan de vérification et d'évaluation axé sur les risques de Statistique Canada pour 2012-2013 à 2014-2015 recommandé par le Comité ministériel de vérification en avril 2012 et approuvé ensuite par le statisticien en chef.

Constatations, recommandations et réponses de la direction

Objectif no 1 : Statistique Canada dispose de mécanismes de gouvernance appropriés pour appuyer la planification, l'affectation des ressources et la surveillance des projets de PLT.

Environnement de contrôle du processus de planification à long terme

Statistique Canada dispose d'un processus officiel de PLT, qui est documenté et généralement compris par les participants. Toutefois, certains rôles et responsabilités des AP, des CGF et des GPS ne sont pas définis, ce qui amène un manque de clarté en ce qui a trait à la façon dont les intervenants clés participent au processus. Dans d'autres cas, la définition des rôles et responsabilités des CPS comporte un degré élevé de souplesse, ce qui crée des possibilités de manque d'uniformité dans la gouvernance au cours du processus de planification.

Il n'existe actuellement aucune exigence de documentation officielle des hypothèses de planification à l'appui des estimations des coûts et des gains d'efficience, ni de directives officielles pour la préparation de l'estimation des coûts, ainsi que des gains d'efficience prévus et réels. Par conséquent, les approches utilisées pour produire et suivre ces estimations ne sont pas uniformes.

À l'heure actuelle, les projets de l'AOB ne tiennent pas toujours compte des interdépendances qui existent dans l'environnement matriciel de Statistique Canada. Cela peut entraîner la perte de possibilités de gains d'efficience plus grands. Un « modèle d'interdépendance » a été élaboré par la DPI pour mieux définir et gérer les interdépendances. Lorsque le modèle sera approuvé, il sera obligatoire pour les projets de l'AOB, en vue de suivre, déterminer, gérer et contrôler officiellement les interdépendances entre les projets de l'AOB.

Aux termes de la Politique de planification des investissements – Actifs et services acquis du Conseil du Trésor, les administrateurs généraux doivent veiller à ce que des mesures de gouvernance, des systèmes et des ressources appropriés pour la planification des investissements soient en place et soient maintenus selon des principes de saine gérance et d'optimisation. Par ailleurs, un cadre efficace de gestion des investissements, y compris des procédures, processus et systèmes ministériels, devrait être mis en œuvre.

Processus de planification à long terme

Une description du processus de planification à long terme est intégrée dans deux documents clés, « Processus intégré de planification stratégique à Statistique Canada : Aperçu » et « Lignes directrices du Cadre de gestion de projets de l'organisme(CGPO) » (les Lignes directrices), élaborés par la Division de la planification intégrée (DPI).

Le document Processus intégré de planification stratégique à Statistique Canada : Aperçu fournit une explication du PIPS, une description de la structure de gouvernance propre au PIPS et une description des responsabilités clés des comités de gouvernance. Il comprend une section distincte pour chacune des six étapes, ainsi qu'une description des activités particulières, des intervenants clés, des responsabilités et des documents, des produits livrables et des produits liés à chaque activité.

Le processus de PLT représente deux étapes du cadre de gestion de projets, et les Lignes directrices fournissent une description des concepts de gestion des projets, de la gestion des risques des projets, des étapes de gestion des projets, des produits livrables et de la documentation, des processus de gouvernance, des comités de gouvernance et de leurs rôles et responsabilités, ainsi que des rôles et responsabilités du gestionnaire de projet et des équipes de projet.

Les deux documents sont facilement accessibles pour tous les participants clés au processus dans le site intranet de Statistique Canada. De la formation relative au PIPS est en place et a été fournie sur une base pilote. Les documents de formation fournissent un bon aperçu et une description du processus de PLT et sont conformes aux Lignes directrices.

Figure 2 : Étapes du processus PLT

Les deux étapes du processus de PLT sont illustrées ci-dessous.

Description de la Figure 2 : Étapes du processus PLT

Figure 2 : Étapes du processus PLT

À l'étape 1, les responsables des programmes élaborent une proposition opérationnelle (PO) pour approbation. Les propositions de l'Architecture opérationnelle du Bureau (AOB) sont approuvées à la fois par le Comité de gestion de l'AOB et les CPS, et les projets non parrainés par l'AOB sont approuvés par les CPS. Les propositions approuvées par les CPS sont par la suite soumises au CEHD, en juin, pour l'approbation de la porte de décision 1 et l'examen du financement de PLT. Les propositions dont l'examen est approuvé en juin passent à l'étape 2. À l'étape 2 les responsables des programmes préparent une Évaluation de la complexité et des risques des projets (ECRP) et un modèle d'analyse de rentabilisation et d'établissement des coûts de l'analyse de rentabilisation (ECAR). Ces formulaires subissent alors le même processus d'approbation qu'à l'étape 1 et sont soumis au CEHD en novembre, pour l'approbation de la porte de décision 2.

Rôles et responsabilités

Les rôles, les responsabilités et la reddition des comptes pour les comités de gouvernance suivants qui participent au processus de PLT sont définis et documentés officiellement dans le document du PIPS et dans les Lignes directrices :

  • Conseils de planification du secteur (CPS)
  • Comité de gestion de l'Architecture opérationnelle du Bureau (AOB)
  • Secrétariat de l'Architecture opérationnelle du Bureau
  • Conseil d'examen de la haute direction (CEHD)
  • Comité directeur de la Direction et
  • Comité directeur de projet.

Le rôle du CPS est défini en termes généraux dans les Lignes directrices. Ces dernières stipulent que

« chaque CPS a toute la latitude quant à la façon de procéder aux examens de porte de décision ».

Cela entraîne un manque d'uniformité dans le processus de planification, y compris les échéances de présentation des documents du CGPO pour le processus de PLT. Cela pourrait avoir des répercussions négatives sur l'uniformité des pratiques de gouvernance d'un secteur à l'autre.

Dans le cadre de l'audit, on a noté qu'il n'existe pas de mandat officiel pour l'un ou l'autre des organismes de supervision, même si un des secteurs a élaboré un document de « modèle de gouvernance » qui décrit l'objectif du CPS et d'autres organismes de supervision au niveau de la direction, ainsi que leurs rôles et responsabilités en ce qui a trait au processus de PLT. Le mandat prend la forme de Lignes directrices écrites qui précisent le rôle, l'objectif et les responsabilités d'un comité. Le CEHD est responsable en dernier ressort des décisions prises par les organismes de gouvernance; par conséquent, il est important d'établir un mécanisme de rapport clair et de fixer les paramètres selon lesquels les pouvoirs sont délégués aux CPS et au Comité de gestion de l'AOB.

Les interviews avec les GPS des autres secteurs ont révélé leur intention de reprendre le « modèle de gouvernance » pour leurs propres secteurs. Le Secrétariat de l'AOB a aussi confirmé son intention d'élaborer un mandat officiel pour le Comité de gestion de l'AOB.

Les rôles, les responsabilités et la reddition des comptes pour le gestionnaire de projet (GP) et l'équipe de projet sont définis et documentés officiellement dans les Lignes directrices. Cela n'est pas le cas pour l'analyste de planification (AP), le gestionnaire de portefeuille de secteur (GPS) et le conseiller en gestion financière (CGF), ce qui a donné lieu à de la confusion et à un chevauchement des activités.

Le rôle et les responsabilités des GP varient selon le secteur et le programme en ce qui a trait au processus de PLT. Les GP au niveau du directeur adjoint et aux niveaux supérieurs ont davantage participé au processus, à partir de l'étape de la détermination et de la définition du concept, et ils ont participé aux comités de gestion de la direction et de la division, ainsi qu'aux CPS. Le rôle des GP au niveau du chef commence généralement par la préparation des documents du CGPO pour l'étape 2 du processus de PLT, et ils n'ont pas une connaissance du cycle de vie complet de la proposition.

L'analyste de planification est considéré comme le propriétaire du processus de PLT, mais il n'existe pas de définition commune de la nature de l'examen minutieux qu'il devrait exercer. En tant que propriétaires du processus de PLT, ils exercent leur connaissance des processus en veillant à ce que les documents présentés aux CPS correspondent aux objectifs intégrés et aux exigences du CGPO, en mettant l'accent sur leur caractère complet et raisonnable, mais pas sur leur substance ou le contenu de l'information soumise. Les interviews avec les parrains de projet (niveau du DG) ont confirmé que les AP aident à l'entrée des données et assurent la comparabilité des propositions soumises, ainsi que l'application d'une approche commune à tous les projets, mais n'exercent pas de fonction de remise en question.

Le poste de GPS, qui relève des statisticiens en chef adjoints (SCA), est nouveau et a vu le jour en raison de l'augmentation des exigences de supervision et de documentation par suite de l'adoption du CGPO. Les GPS aident à la gestion et au contrôle des activités de projet dans leur secteur. De ce fait, ils passent en revue la documentation du CGPO, afin de déterminer si elle est complète, avant de la soumettre au CPS et de présenter la version finale au BGPO. Il existe un chevauchement et un double emploi dans les rôles et responsabilités des AP et des GPS.

Le rôle des GPS, comme celui des AP, varie selon le secteur. Par exemple, dans certains secteurs, ils doivent obligatoirement être présents au Conseil de planification du secteur. Dans d'autres cas, ils sont invités au besoin. Leurs rôles et responsabilités en ce qui a trait à l'examen minutieux et à la remise en question des estimations financières pendant le processus de PLT ne sont pas clairs.

Un processus officiel de PLT est documenté et généralement compris par les participants, mais certains des rôles et responsabilités clés ne sont pas bien définis, ce qui mène à un manque de clarté en ce qui a trait à la façon dont les intervenants clés participent et contribuent au processus.

Directives

Le processus de PLT fait partie des directives plus larges entourant le PIPS et le CGPO, et il est décrit à un niveau élevé, étape par étape, dans la partie des mécanismes du CGPO des Lignes directrices liée au processus de PLT. Les directives concernant chaque étape sont axées sur les formulaires à préparer et décrivent qui est responsable, chargé de rendre des comptes, consulté et informé pour chaque produit livrable.

Dans le cadre des interviews, on a déterminé que les directives étaient insuffisantes concernant la préparation des estimations des coûts et l'estimation des gains d'efficience prévus et des gains d'efficience réels (pour les projets de l'AOB). Un examen des Lignes directrices a confirmé que cela était le cas et a révélé que les hypothèses n'ont pas à être documentées comme explication à l'appui de la façon dont les estimations des coûts ou des gains d'efficience ont été obtenues. Les données d'interview laissent supposer que des discussions concernant les hypothèses de planification ont lieu de façon informelle et bilatérale à diverses étapes du processus de PLT. Les discussions sont fondées sur l'expérience et les connaissances accumulées et combinées des intervenants clés du processus; toutefois, il existe peu de preuves documentées, voire pas du tout, de ces discussions.

L'examen des documents du CGPO pour le processus de PLT (les modèles de proposition opérationnelle, d'analyse de rentabilisation et d'établissement des coûts de l'analyse de rentabilisation) a révélé que chaque modèle de formulaire est appuyé par un guide, qui comprend des instructions détaillées sur la façon de remplir chaque formulaire. Dans le guide du modèle de proposition opérationnelle, la définition qui est incluse pour une hypothèse est la suivante :

« qui ferait de la proposition une réussite ou un échec ».

On ne précise toutefois pas que les hypothèses de planification des estimations de coûts et de gains d'efficience devraient être incluses.

Au moment de l'audit, la DPI a indiqué qu'elle mettra en œuvre un modèle « d'établissement de coûts du projet », qui nécessitera de la documentation des données financières et non financières, ainsi que des hypothèses sous-jacentes. Cela réduira le risque d'une approche non uniforme et non comparable en ce qui a trait aux estimations des coûts et des gains d'efficience et augmentera la capacité de suivre la concrétisation de ces gains.

En tant qu'organisation matricielle, les responsabilités fonctionnelles à Statistique Canada sont organisées en six secteurs, la gestion des processus d'élaboration de produits des grands projets étant assurée par les différents secteurs. Par conséquent, la plupart des projets sont interdépendants et nécessitent des consultations dans l'ensemble de l'organisation, afin de déterminer les synergies possibles, de permettre les liens appropriés et de gérer les changements d'un secteur à l'autre. Les projets qui ne sont pas gérés de façon interdépendante pourraient donner lieu à un chevauchement, un dédoublement et des coûts inutiles.

L'audit a déterminé que, lorsque les estimations des ressources sont préparées, les Lignes directrices ne précisent pas d'exigences particulières pour la collecte des données ou les consultations entre les secteurs ou avec les fournisseurs de services internes. En pratique, certaines consultations entre les secteurs ont lieu de façon informelle ou bilatérale au niveau du projet, mais il n'existe pas de preuves documentées laissant supposer que cela se fait. Par conséquent, une piste de vérification limitée est en place en ce qui a trait à la nature et à la portée des délibérations et des discussions qui se tiennent, ainsi que des hypothèses qui sont faites. L'approbation par des secteurs interdépendants constituait une exigence des processus de supervision par le passé, mais avec le CGPO, les formulaires sont maintenant soumis sous forme électronique et des approbations sur papier par les partenaires ne sont plus requises.

Un « modèle d'interdépendance » a été élaboré par la DPI, pour mieux définir et gérer les interdépendances. Lorsque le modèle sera approuvé, il sera obligatoire pour les projets de l'AOB, en vue de suivre, déterminer, gérer et contrôler officiellement les interdépendances entre les projets de l'AOB.

Recommandations :

Le Statisticien en chef adjoint, Services intégrés devrait  veiller à ce que :

  • Les rôles et responsabilités de l'analyste de planification, du gestionnaire de portefeuille de secteur, du conseiller en gestion financière, du gestionnaire de programme et des Conseils de planification du secteur soient clairement définis, documentés et communiqués dans les Lignes directrices et à ce qu'un mandat officiel pour les organismes de gouvernance (Conseil d'examen de la haute direction, Comité de gestion de l'AOB et CPS) soit élaboré, approuvé et passé en revue périodiquement pour établir le rôle, l'objectif et les responsabilités et inclure des échéances clairement définies entre les intervenants pour la production des documents clés du processus de PLT.
  • Les modèles du processus de PLT du CGPO (proposition opérationnelle, analyse de rentabilisation et établissement des coûts de l'analyse de rentabilisation) soient mis à jour pour que les hypothèses de planification et les justifications des estimations de coûts et de gains d'efficience (le cas échéant) soient documentées et à ce qu'un modèle d'établissement des coûts du projet soit élaboré et adopté pour appliquer une approche uniforme et comparable à l'estimation des coûts et des gains d'efficience.
  • Des Lignes directrices soient élaborées pour la tenue et la documentation des consultations d'interdépendance entre les secteurs, y compris les fournisseurs de services internes, afin de suivre, déterminer, gérer et contrôler officiellement les interdépendances.

Réponse de la direction :

La direction souscrit à la recommandation formulée.

  • Le directeur de la DPI assurera la documentation des rôles et responsabilités de l'analyste de planification, du gestionnaire de portefeuille de secteur, du conseiller en gestion financière, du gestionnaire de programme et des Conseils de planification du secteur, et cette démarche est en cours.

    Produit livrable et échéance : Le document « Rôles et responsabilités du Conseil de planification du secteur : Mandat » sera mis à la disposition de tous les gestionnaires dans le site du RCI de la DPI, au plus tard le 30 juin 2013.
  • Le directeur de la DPI s'assurera que la documentation du mandat officiel des organismes de gouvernance (Conseil d'examen de la haute direction, Comité de gestion de l'AOB et CPS), comportant des échéances clairement déterminées pour la production des documents clés pour le processus de PLT, soit élaborée.

    Produit livrable et échéance : Le mandat officiel sera mis à la disposition de tous les gestionnaires dans le site du RCI de la DPI, au plus tard le 31 octobre 2013.
  • Le directeur de la DPI a lancé un processus et un outil pour suivre et contrôler les risques, enjeux et interdépendances du portefeuille de l'AOB pour les projets de l'AOB et 16 projets non parrainés par l'AOB, en date du 28 février 2013.

    Produit livrable et échéance : Le chiffrier des interdépendances et l'analyse des produits livrables et des échéances clés de projet doivent être terminés d'ici le 30 juin 2013. La formation et le soutien des gestionnaires des projets doivent être complets, au plus tard le 31 août 2013, et les mises à jour trimestrielles du Comité de gestion de l'AOB, d'ici le 31 octobre 2013.

Objectif no 2 : La définition et l'approbation des projets de PLT sont facilitées par un processus structuré et systématique, appuyé par des connaissances appropriées et des données défendables.

Supervision et examen minutieux pour la prise de décisions

Les pratiques de gouvernance et les pratiques opérationnelles pour l'examen minutieux et la remise en question varient d'un secteur à l'autre, les données financières et non financières des formulaires de PLT faisant l'objet d'un examen exhaustif et d'une remise en question limités par les AP et les CGF. Les remises en question par les participants clés et à l'intérieur des organismes de gouvernance ne sont pas documentées. Cela peut donner lieu à une évaluation non uniforme des propositions d'un secteur à l'autre et à des données incomplètes à l'appui de décisions de planification et d'approbation défendables.

On se conforme en général au processus de PLT énoncé et la valeur de ce processus est de plus en plus reconnue, du fait de l'évolution considérable de l'utilisation du CGPO et d'outils connexes. Toutefois, les estimations originales des coûts de base et des gains d'efficience des projets devraient être incluses dans le tableau de bord de la direction, en vue de suivre, contrôler, comprendre et remettre en question systématiquement les répercussions des rajustements de projet par rapport aux estimations originales des coûts et des gains d'efficience.

Les pratiques d'archivage et de gestion de l'information liées à la propriété, au contrôle des versions et à la transmission devraient être raffermies, afin d'assurer une saine gérance et l'intégrité des données.

Des pratiques de gérance appropriées et robustes, ainsi que des mécanismes d'examen minutieux et de remise en question, devraient exister pour appuyer des décisions de PLT défendables, assurer la gérance des ressources des projets, assurer la reddition des comptes pour les projets et aligner les projets sur les résultats stratégiques ministériels.

Dans le cadre de l'audit, on a examiné un échantillon de 20 fichiers de projets de PLT approuvés en 2010-2011, pour du financement de PLT en 2011-2012, afin de vérifier si des pratiques de gestion de l'information appropriées et robustes étaient en place, si le processus de PLT était suivi par tous les intervenants clés, et si des mécanismes robustes d'examen minutieux et de remise en question existaient et étaient appliqués à l'appui de décisions de planification et d'approbation défendables. Dans le cadre de l'audit, on a reconnu que l'exercice sélectionné pour l'essai représentait la première année du lancement du CGPO comme projet pilote et on a noté que les deux programmes et le BGPO étaient en train de s'adapter au nouveau processus.

Au total, 7 projets de l'AOB et 13 projets non parrainés par l'AOB ont été sélectionnés de façon discrétionnaire pour l'essai, afin d'assurer la couverture des trois catégories de projets de tous les secteurs. Les formulaires remplis de proposition opérationnelle (PO), d'analyse de rentabilisation et d'établissement des coûts de l'analyse de rentabilisation pour chaque projet ont été obtenus de la Division de la planification intégrée (DPI), qui joue le rôle de

« répertoire central de toutes les copies électroniques des documents finaux »,

selon les Lignes directrices.

Gestion de l'information

Un examen des Lignes directrices a révélé que, même si la gestion des documents y est abordée, l'accent est mis dans une large mesure sur les modèles à utiliser, et non pas sur les pratiques de gestion de l'information liées à la propriété, au contrôle des versions, à la transmission contrôlée et à l'intégrité des données. Dans le cadre de l'audit, on a tenté de suivre les formulaires de PO, d'analyse de rentabilisation et d'établissement des coûts de l'analyse de rentabilisation échantillonnés qui sont conservés dans le répertoire central, et on a confirmé qu'ils étaient conformes aux dossiers détenus par le gestionnaire de projet. Ce test n'a pas pu être achevé parce que l'équipe d'audit a eu de la difficulté à obtenir les documents finaux. Dans le cas des projets de l'AOB, la DPI a pu fournir uniquement les deux tiers des documents demandés, et dans le cas des projets non parrainés par l'AOB, elle n'a pu fournir que la moitié des documents demandés. Un répertoire commun pour les projets non parrainés par l'AOB n'était pas requis pour l'année sélectionnée pour notre test d'audit, mais a été établi l'année suivante.

Un examen de la structure du répertoire du BGPO a révélé qu'il est configuré pour suivre les étapes du PIPS, et que tous les dossiers des projets de PLT sont reliés de façon uniforme à cette structure. Comme il est noté précédemment, les répertoires de projets de l'AOB ne comprenaient pas la documentation complète des projets. Un examen plus poussé a révélé que les défis au chapitre de l'archivage ont été attribués au roulement des AP et au volume de projets à gérer. L'audit a permis de noter qu'avec l'arrivée des GPS, le rôle de l'AP comme coordonnateur et gestionnaire de l'information n'est pas clair et pourrait entraîner de la confusion en ce qui a trait au contrôle des versions et à la propriété des documents de PLT.

Conformité au processus de PLT

  • Les formulaires de PO reçus pour six projets de l'AOB et neuf projets non parrainés par l'AOB ont été remplis en conformité avec les instructions des directives incluses dans le formulaire.
  • Seulement trois projets de l'AOB et six projets non parrainés par l'AOB comportaient une analyse de rentabilisation. Pour les projets de l'AOB, un des formulaires avait été rempli au moyen des hypothèses fournies, tandis que ceux relatifs aux deux autres semblaient être en voie d'élaboration, avec de nombreuses sections incomplètes.
  • Parmi les projets échantillonnés, deux ne comportaient pas de formulaires d'établissement du coût de l'analyse de rentabilisation. L'autre comprenait les coûts estimés et les gains d'efficience prévus.

Dans le cas des projets qui comportaient des formulaires remplis, l'audit a souligné que peu de documentation de soutien des hypothèses ou d'analyse de soutien, voire pas du tout, n'était disponible pour les estimations des coûts et des gains d'efficience.

L'audit a permis de noter qu'il y a eu une évolution considérable dans l'utilisation du CGPO et d'outils connexes, particulièrement en ce qui a trait aux projets de l'AOB, et que la valeur de ce processus se concrétise de plus en plus. Dans le cas des projets non parrainés par l'AOB, le processus de PLT est encore perçu comme une exigence de « conformité », plutôt que comme une pratique de gestion utile. Toutefois, les pratiques d'archivage et de gestion de l'information liées à la propriété, au contrôle des versions et à la transmission devraient être raffermies pour assurer une saine gérance et l'intégrité des données.

Mécanismes d'examen minutieux et de remise en question

L'examen minutieux et la remise en question d'une proposition de projet de PLT, à partir de la définition du concept jusqu'aux approbations de la porte de décision 1 et de la porte de décision 2, se déroulent au niveau du secteur et au niveau de Statistique Canada. Compte tenu du volume de propositions de projet déterminées pour le financement de PLT, une part importante de l'examen minutieux et de la remise en question a lieu avant les réunions de gouvernance au niveau de Statistique Canada. Cela est approprié, tant du point de vue du déroulement des processus que des gains d'efficience.

Au niveau du secteur, les données des interviews ont révélé qu'une somme considérable de discussions bilatérales a lieu de diverses façons chez les participants clés, au moment de l'examen minutieux et de la remise en question des propositions de projet et des documents de PLT. Les cadres supérieurs font preuve de rigueur et de diligence (directeurs adjoints, directeurs, DG, SCA), dans le cadre des diverses réunions de direction et de division. Les parrains de projet, c'est-à-dire les DG, participent à partir de l'étape de la définition du concept et supervisent tous les projets dans le cadre des décisions préliminaires qui sont prises dans leur secteur. Selon eux, les hypothèses ne sont pas documentées dans les formulaires du CGPO, mais sont discutées verbalement et remises en question dans le cadre des diverses réunions au niveau du secteur, des réunions du Comité directeur de projet et, enfin, du CPS. La nature de l'examen minutieux exercé par les participants clés n'a pu faire l'objet d'un examen indépendant en raison du manque de preuves documentaires.

La façon dont les AP, les GPS et les CGF interagissent les uns avec les autres et avec la direction à l'intérieur d'un secteur au chapitre de l'examen minutieux et de la remise en question des propositions de projet, ainsi que des documents de PLT, varie et est fondée sur le secteur en question et la personnalité des intervenants.

Les interviews ont révélé que les AP n'ont pas toujours l'impression d'avoir les pouvoirs pour faire preuve de diligence raisonnable ou le temps pour procéder à un examen exhaustif et à une remise en question des données financières et non financières des formulaires de PLT. La participation des CGF dans le processus de PLT commence principalement au moment de la mise en œuvre du projet. Comme les AP, ils croient ne pas toujours avoir les pouvoirs nécessaires pour faire preuve de diligence raisonnable, ni le temps pour procéder à un examen exhaustif et à une remise en question des données financières des formulaires de PLT. Les GPS jouent de plus en plus un rôle de coordination et d'examen minutieux similaire à celui des AP.

Au niveau du secteur, des CPS sont en place et jouent un rôle actif dans la fonction d'examen minutieux et de remise en question des propositions de projet de PLT. Toutefois, les Lignes directrices stipulent que

« chaque CPS a toute la latitude quant à la façon de procéder aux examens de porte de décision ».

Cela entraîne un manque d'uniformité dans le processus de planification, qui pourrait donner lieu à des pratiques de gouvernance variables d'un secteur à l'autre. Un examen des présentations et des comptes rendus des réunions des CPS ont révélé que leurs pratiques varient de l'un à l'autre.

Au niveau de Statistique Canada, il y a un Comité de gestion de l'AOB et un CEHD. Les données des interviews, l'examen des présentations dans le cadre des réunions des gestionnaires de l'AOB et la participation comme observateurs par l'équipe d'audit au Comité de gestion de l'AOB et à la conférence du CEHD, en novembre 2012, ont révélé que des discussions verbales et des délibérations bilatérales ont lieu et permettent d'obtenir de la rétroaction. Des données, des connaissances et de l'expertise sont échangées, et les hypothèses concernant les estimations de coûts et de gains d'efficience sont abordées, remises en question et examinées et, finalement, sont approuvées, et les décisions sont documentées dans les comptes rendus des décisions et les procès-verbaux des réunions. L'audit a permis de conclure que le Comité de gestion de l'AOB joue un rôle actif et rigoureux pour l'examen minutieux et la remise en question des projets de PLT de l'AOB.

Dans le cadre de l'audit, on a passé en revue les procès-verbaux des CPS et du Comité de gestion de l'AOB chargés de l'approbation des projets de notre échantillon, afin de vérifier si les portes de décision et les décisions clés étaient approuvées officiellement en vue du financement de PLT. L'audit a permis de noter que le Comité de gestion de l'AOB a passé en revue et approuvé officiellement tous les projets de l'AOB à l'étape 1 et à l'étape 2. Les CPS ont passé en revue et examiné les projets dans le cadre de plusieurs séances, avant de les approuver officiellement et de les soumettre au CEHD pour l'approbation des portes de décision 1 et 2.

Les pratiques de gouvernance et les pratiques opérationnelles pour l'examen minutieux et la remise en question varient d'un secteur à l'autre, les données financières et non financières des formulaires de PLT faisant l'objet d'un examen exhaustif et d'une remise en question limités par les AP et les CGF. Les remises en question par les participants clés et à l'intérieur des organismes de gouvernance ne sont pas documentées. Cela peut donner lieu à une évaluation non uniforme des propositions d'un secteur à l'autre et à des données incomplètes à l'appui de décisions de planification et d'approbation défendables.

Contrôle : Boucle de rétroaction postérieure à l'approbation pour les écarts et les rajustements

Dans le cadre de l'audit, on a examiné, à l'étape 4 de la mise en œuvre des projets, la nature des contrôles qui permettent aux organismes de gouvernance chargés de l'approbation de comprendre et de superviser les rajustements subséquents aux variables clés des projets. Cela n'a pas pris la forme d'un examen complet des contrôles de projet, mais plutôt d'un essai ciblé de la boucle de rétroaction qui informe les organismes de gouvernance des écarts importants par rapport aux engagements originaux. On a procédé ainsi parce qu'il existe un risque inhérent que les propositions de projet soient présentées de façon optimiste aux fins de l'approbation du projet, les estimations de coût faisant par la suite l'objet de rajustements à la hausse, ou les estimations de gains d'efficience, de rajustements à la baisse, après l'approbation.

Dans le cadre de l'audit, on a déterminé qu'une fois le projet en production, le contrôle des variables de projet est assuré grâce à une gamme variée de mécanismes.

Pour les projets non parrainés par l'AOB, la responsabilité du contrôle relève du comité directeur de projet et d'autres organismes de gouvernance établis pour un projet particulier. Des rajustements des niveaux de base originaux (coûts, échéances, etc.) sont requis avant la présentation au CPS pour examen et approbation. Cela se fait dans le cadre d'un processus de rajustement officiel, dans le cadre duquel le rajustement est assujetti au processus de PLT comme une nouvelle proposition et suit l'ensemble du processus (c.-à-d., utilise les mêmes modèles et structures de gouvernance, etc.). Étant donné que les hypothèses qui sous-tendent les estimations de coût originales ne sont pas officiellement documentées, le CPS se fie à la mémoire institutionnelle des personnes concernées. Il s'agit d'un contrôle compensatoire, mais faible, étant donné qu'il dépend de la permanence et de la disponibilité des participants clés, qui pourrait par conséquent limiter le degré et la capacité de remise en question et d'examen minutieux efficaces des changements par les CPS. En avril 2012, dix projets principaux non parrainés par l'AOB ont dû, à la demande du BGPO, utiliser le tableau de bord de la direction pour un examen et un contrôle par le Comité de gestion de l'AOB.

Pour les projets de l'AOB, les comités directeurs et les CPS exercent aussi des responsabilités de contrôle. Le Comité de gestion de l'AOB exerce aussi des responsabilités d'examen, et utilise à cette fin les tableaux de bord et le sommaire de portefeuille de la direction, ainsi que le rapport périodique des risques, comme principaux outils. Les tableaux de bord fournissent des rapports au cours de l'exercice, et sont alimentés par le SRF et les gestionnaires de projet eux-mêmes. Les écarts au cours de l'exercice, en ce qui a trait aux coûts ou aux gains d'efficience projetés, font l'objet d'un suivi, mais aucun lien avec les données de base originales n'est présenté ou contrôlé. Par conséquent, la santé du projet est comparée aux estimations rajustées des coûts et des gains d'efficience, et non pas aux coûts de base originaux. Au moment de l'examen du degré d'examen minutieux exercé par le Comité de gestion de l'AOB concernant les rajustements, dans le cadre de l'audit, on a passé en revue les procès-verbaux et on a déterminé qu'un examen minutieux des facteurs non financiers et financiers était mené. Néanmoins, parce que les estimations originales des coûts de base et des gains d'efficience ne sont pas notées dans le tableau de bord du projet, la capacité des organismes de gouvernance de suivre systématiquement, de contrôler, de comprendre et de remettre en question les changements est limitée et diminue la qualité de l'information requise pour la prise de décisions judicieuses et défendables.

Les mesures correctives et la boucle de rétroaction semblent servir d'étapes de suivi, et non pas à mesurer si le financement demandé était suffisant et si les estimations des gains d'efficience étaient réalistes. Il existe aussi un risque les gains d'efficience d'un secteur de programme soient « récoltées », selon l'hypothèse qu'ils ont été réalisés, mais compte tenu de l'incapacité de les mesurer efficacement, qu'ils ne l'aient pas été. Cela pourrait « pénaliser » de façon injuste l'organisation et pourrait avoir des conséquences négatives du point de vue de l'intégrité du programme.

Recommandations :

Le Statisticien en chef adjoint, Services intégrés devrait  veiller à ce que :

  • Les pratiques d'archivage soient raffermies en ce qui a trait au contrôle des versions et à l'accès aux données de planification clés (c.-à-d. les hypothèses, approbations, plans de mesures correctives, etc.).
  • Le tableau de bord de la direction soit amélioré, en vue d'inclure les estimations originales des coûts de base et des gains d'efficience des projets, afin de permettre le contrôle des répercussions cumulatives des rajustements de projet découlant des estimations originales des coûts et des gains d'efficience.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

  • Le directeur de la CPI mène actuellement un examen de la structure révisée du répertoire du BGPO et, sur une base annuelle, procédera à un examen officiel pour s'assurer que le répertoire est à jour.

    Produit livrable et échéance : Documentation concernant la structure de répertoire révisée du BGPO d'ici le 31 octobre 2013.
  • Le directeur de la DPI procédera à un contrôle régulier, afin de veiller à ce que les versions correctes des documents soient entreposées dans le répertoire du BGPO.

    Produit livrable et échéance : Contrôle permanent des versions correctes des documents dans le répertoire du BGPO.
  • L'utilisation du tableau de bord de la direction et l'établissement des bases de référence des coûts de projet prennent effet à l'étape 4 (Planification du projet) du CGPO. Le directeur de la DPI s'assurera que le tableau de bord de la direction est amélioré, en vue d'intégrer les changements recommandés pendant l'examen et la mise à jour majeurs du tableau de bord de la direction prévus dans le cadre du PICMQ de la Division de la planification intégrée en 2014-2015. Les exigences et les améliorations additionnelles au tableau de bord, y compris les estimations des coûts de base et des gains d'efficience originaux des projets, seront recueillies et intégrées en conséquence.

    Produit livrable et échéance : Tableau de bord de la direction mis à jour d'ici le 31 octobre 2014.

Annexes

Annexe A : Critères d'audit

Annexe A : Tableau 1 Critères d'audit
Sommaire du tableau
Le tableau de l'Annexe A identifie les critères de vérification, les sous-critères et les instruments de politiques qui ont servit de source pour les critères
Objectifs / Contrôle de base / Critères Sous-critères Instrument de politique
1) Statistique Canada dispose de mécanismes de gouvernance appropriés pour appuyer la planification, l'affectation des ressources et le contrôle des projets de PLT.
THÈME : Gouvernance
1.1 Les pouvoirs, les responsabilités et la reddition de comptes en rapport avec la planification, la surveillance et le suivi des projets de PLT sont clairs, communiqués et appliqués comme prévu. 1.1.1 Les pouvoirs, les responsabilités et la reddition de comptes des organismes de supervision et des personnes clés participant au processus de PLT sont clairement définis et communiqués. Contrôles de gestion de base du SCT

Cadre de responsabilisation de gestion

Politique sur la gestion des projets du SCT

Politique de planification des investissements du SCT

« Plan d'investissement ministériel pour 2011-2012 à 2015-2016 » de Statistique Canada

« Processus intégré de planification stratégique à Statistique Canada : Aperçu » de Statistique Canada

« Lignes directrices du Cadre de gestion de projets de l'organisme » de Statistique Canada
1.1.2 Les pouvoirs, les responsabilités et la reddition de comptes sont exercés comme prévu.
1.2 Une fonction officielle et opportune de remise en question constructive et exhaustive existe en rapport avec les intrants de planification (données financières et données non financières), avant que ceux ci soient revus par les organismes de gouvernance. 1.2.1 Il existe des Lignes directrices et de la documentation concernant les étapes du processus et les responsabilités clés.
1.2.2 Il existe une fonction de remise en question et d'examen minutieux des intrants de planification (données financières et données non financières) à tous les niveaux (p. ex., projet, secteur, direction, Statistique Canada).
1.2.3 Il existe des Lignes directrices et une rétroaction aux programmes concernant les coûts déterminés et les gains d'efficience prévus.
1.3 Les organismes de surveillance au niveau de Statistique Canada, du secteur, de la direction et du projet reçoivent des données suffisantes (c.-à-d. complètes et exhaustives), opportunes et justifiées à l'appui de leurs décisions de planification et d'approbation. 1.3.1 Les données à l'appui des décisions d'examen et d'approbation des organismes de surveillance sont définies.
1.3.2 Les organismes de surveillance reçoivent des données suffisantes, justifiées et opportunes à l'appui de leurs décisions de planification et d'approbation.
1.4 Les projets de PLT sont officiellement approuvés et appuyés par les structures de gouvernance appropriées. 1.4.1 Les portes de décision et les décisions clés sont officiellement appuyées et notées comme des approbations.
1.5 Les données financières et non financières utilisées pour le suivi de projet sont examinées de façon minutieuse et sont fiables, défendables et utiles. 1.5.1 Les organismes de gouvernance exercent un suivi pendant l'étape d'exécution du projet.
1.5.2 Les données et l'information comprises dans les formulaires de PLT sont intègres.
1.6 Des mesures correctives sont prises et suivies de façon utile et systématique lorsque des écarts matériels dans le rendement d'un projet sont notés. La direction est tenue responsable de la mise en œuvre des mesures correctives. 1.6.1 Il existe un processus établi et bien compris de gestion des écarts matériels dans les variables de projet.
1.6.2 Des plans de mesures correctives sont en place lorsque des écarts sont notés par l'intermédiaire des tableaux de bord.
2) La définition et l'approbation des projets de PLT sont facilitées par un processus structuré et systématique, appuyé par des connaissances appropriées et des données défendables.
THÈME : Gérance
2.1 Statistique Canada a un processus commun et bien défini pour la planification à long terme, qui est suivi par tous les intervenants concernés. 2.1.1 Un processus commun et bien compris existe. « Processus intégré de planification stratégique à Statistique Canada : Aperçu » de Statistique Canada

« Lignes directrices du Cadre de gestion de projets de l'organisme » de Statistique Canada
2.1.2 Le processus de PLT est respecté.
2.2 Les intervenants de la PLT reçoivent la formation, les outils, les ressources et les données nécessaires à l'appui de leurs responsabilités. 2.2.1 Des Lignes directrices et des documents de formation existent et sont fournis aux participants de la PLT.
2.2.2 Des Lignes directrices et des méthodes communes existent concernant l'établissement des coûts et la détermination/la mesure des gains d'efficience.
2.3 Statistique Canada dispose de pratiques de gestion de l'information appropriées et robustes, afin d'assurer la transmission opportune et contrôlée des données, le contrôle des versions et la propriété claire des données, ainsi que l'intégrité des données. 2.3.1 Les rôles et responsabilités en matière de gestion de l'information sont clairs.
2.3.2 Les données sont transmises et gérées de façon rigoureuse.

Annexe B : Acronymes

Annexe B : Tableau 2 Acronymes
Acronyme Description
AOB Architecture opérationnelle du Bureau
AP Analyste de planification
BGPO Bureau de gestion des projets de l'organisme
CEHD Conseil d'examen de la haute direction
CGF Conseiller en gestion financière
CGPO Cadre de gestion de projets de l'organisme
CMQ Continuité et maintien de la qualité
CMV Comité ministériel de vérification
CPS Conseil de planification du secteur
DG Directeur général
DPI Division de la planification intégrée
ECAR Établissement des coûts de l'analyse de rentabilisation
ECRP Évaluation de la complexité et des risques des projets
GP Gestionnaire de projet
GPS Gestionnaire de portefeuille de secteur
IAI Institut des auditeurs internes
Lignes directrices Ligne directrices du Cadre de gestion de projets de l'organisme
PIPS Processus intégré de planification stratégique
PLT Planification à long terme
PO Proposition opérationnelle
SC Statisticien en chef
SCA Statisticien en chef adjoint
SCT Secrétariat du Conseil du Trésor
SGIMS Système de gestion des informations non salariales
SGT Système de gestion du temps
SRF Système de rapports financiers
TI Technologies de l'information

Footnotes

Footnote 1

Plan d'investissement ministériel de 2011-2012 à 2015-2016.

Return to footnote 1 referrer

Audit de l'Accord de partage de données
Ministère de la Santé de la Colombie Britannique

Rapport d'audit

22 avril 2013
Numéro de projet : 80590-77

Résumé

Les accords de partage de données (APD) sont un processus opérationnel clé de Statistique Canada. Ces dernières années, le partage de données a pris de l'ampleur et sa gestion est devenue de plus en plus complexe. Assurer la confidentialité des données présente un défi. La Division de la statistique de la santé (DSS) conclut des APD avec des ministères provinciaux de la Santé en application de l'article 12 de la Loi sur la statistique. Les APD actuellement conclus avec le ministère de la Santé de la Colombie-Britannique (le Ministère) permettent le partage de données statistiques sur la santé tirées de l'Enquête sur la santé dans les collectivités canadiennes (ESCC) et de l'Enquête nationale sur la santé de la population (ENSP).

Statistique Canada est en train de remplacer ses APD existants par un accord général de partage des données (AGPD) qui régit la collecte et le partage, avec le Ministère, d'informations tirées de plusieurs enquêtes sélectionnées sur la santé. L'AGPD s'accompagne de modalités qui régissent l'utilisation, la confidentialité, l'accès, la surveillance et la conformité de l'information ainsi que la sécurité matérielle et des TI. Le présent audit a été réalisé tandis que le Ministère se préparait à appliquer les modalités de l'AGPD dans le but de déterminer dans quelle mesure les pratiques en place répondaient aux exigences énoncées dans l'AGPD.

L'objectif du présent audit est de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) de Statistique Canada l'assurance que :

  • les modalités de l'accord général de partage des données conclu entre Statistique Canada et le ministère de la Santé de la Colombie-Britannique sont respectées.

L'audit a été effectué par les Services de vérification interne en conformité avec la Politique sur la vérification interne du gouvernement du Canada.

Principales constatations

Les pouvoirs, responsabilités et obligations redditionnelles afférents à la gestion et à la manipulation de données d'enquêtes sur la santé de Statistique Canada sont séparés de la manière appropriée et sont formellement définis, documentés et communiqués au niveau de la haute direction du Ministère; cependant, du travail reste à faire pour s'assurer que les rôles et responsabilités fonctionnels sont documentés, communiqués et compris au niveau opérationnel.

Le Ministère a établi des protocoles internes appropriés qui répondent aux exigences énoncées dans l'AGPD. Le Ministère a transféré la responsabilité de la gestion des données d'enquêtes sur la santé de Statistique Canada hors de son secteur des programmes (à qui elle incombait auparavant) pour la confier à sa Division de la gestion de l'information et des technologies de l'information du secteur de la santé. Le Ministère a élaboré un ensemble de pratiques visant à assurer la protection et la bonne garde des données d'enquêtes sur la santé de Statistique Canada qui lui sont communiquées.

Il reste encore au Ministère à mettre en place des modèles révisés d'entente avec les tiers qui tiennent compte des exigences énoncées dans l'AGPD. C'est là une tâche importante que doit accomplir le Ministère pour s'assurer de la mise en place de mesures appropriées de protection pendant toute la durée du cycle de vie de l'information tirée des enquêtes sur la santé de Statistique Canada.

Des contrôles efficaces de l'accès physique aux locaux du Ministère et à ses espaces physiques d'entreposage et de stockage ont été mis au point. Le Manuel des politiques et procédures (Policies and Procedures Manual) du Ministère fournit des consignes et des directives concernant l'accès physique et électronique, les mesures de protection de l'identification et de l'authentification, l'entreposage/stockage et la transmission TI des données, la reproduction et la conservation de l'information ainsi que la gestion des dossiers afin de satisfaire aux exigences énoncées dans l'AGPD de Statistique Canada. Il importe de mentionner qu'au moment de l'audit, le Ministère était en train de répondre à ces exigences.

Conclusion générale

Statistique Canada est en train de remplacer ses APD existants par un accord général de partage des données (AGPD) qui régit la collecte et le partage, avec le ministère de la Santé de la Colombie-Britannique, de données tirées de plusieurs enquêtes sélectionnées sur la santé. L'AGPD comporte des modalités régissant l'utilisation, la confidentialité, l'accès, la surveillance et la conformité de l'information et de la sécurité matérielle et des TI.

À l'examen du caractère suffisant et, le cas échéant, de l'efficacité des processus et pratiques mis en place par le Ministère pour se conformer aux exigences énoncées dans l'AGPD, on a constaté que le Ministère avait pris des mesures pour concevoir des pratiques, des politiques et des procédures permettant de répondre aux exigences énoncées dans l'AGPD. Toutefois, du travail reste à faire sur deux fronts avant que l'on transmette au Ministère de l'information tirée d'enquêtes statistiques sur la santé : 1) les rôles et responsabilités fonctionnels afférents à la gestion et à la manipulation des données d'enquêtes sur la santé de Statistique Canada doivent être clairement définis et communiqués au personnel des opérations; 2) les modèles d'entente avec un tiers doivent tenir pleinement compte des exigences de l'AGPD qui est en train d'être conclu entre Statistique Canada et le ministère de la Santé de la Colombie-Britannique.

Conformité aux normes professionnelles

L'audit a été effectué en conformité avec les Normes relatives à la vérification interne au sein du gouvernement du Canada, lesquelles comprennent les Normes internationales pour la pratique professionnelle de l'audit interne (NIPPAI) de l'Institute of Internal Auditors (IIA –Institut des auditeurs internes).

Introduction

Contexte

La Division de la statistique de la santé (DSS) de Statistique Canada a mandat de fournir des données exactes, à jour et pertinentes sur la santé des Canadiens. La DSS fournit de l'information statistique sur la santé de la population, les déterminants de la santé ainsi que la portée et l'utilisation des ressources en soins de santé au Canada. Cette information aide planificateurs et décideurs du secteur de la santé de tous ordres de gouvernement à soutenir la recherche démographique et épidémiologique et à rendre compte à la population canadienne de sa santé collective et du système de soins de santé. La DSS travaille en partenariat avec les registres provinciaux et territoriaux de la statistique de l'état civil et du cancer, de même qu'avec des fournisseurs et des utilisateurs de données aux niveaux fédéral (Santé Canada et l'Agence de la santé publique du Canada), provincial (ministères provinciaux de la Santé) et régional (régies régionales de la santé, autorités sanitaires, offices régionaux de la santé).

Pour s'acquitter de son mandat, Statistique Canada peut, en vertu de l'article 12 de la Loi sur la statistique (la Loi), conclure un accord portant sur la communication des renseignements recueillis d'un intéressé, et le statisticien en chef peut, en application de l'alinéa 17(2)a) de la Loi, révéler les renseignements recueillis par des personnes, des organisations ou des ministères, pour leur propre usage, et communiqués à Statistique Canada. Ces accords touchent la majorité des enquêtes-ménages et prévoient certaines exceptions concernant la diffusion des renseignements confidentiels sur les intéressés, à la condition que toutes les parties respectent les exigences légales en matière de fourniture de renseignements sur le partage des données, de droits liés au consentement et de protection de la confidentialité.

Statistique Canada est en train de remplacer ses APD conclus avec le ministère de la Santé de la Colombie-Britannique (le Ministère) par un accord général de partage des données (APGD) pour la collecte et la communication d'informations tirées du plusieurs enquêtes sélectionnées sur la santé, dont l'Enquête sur la santé dans les collectivités canadiennes (ESCC) et l'Enquête nationale sur la santé de la population (ENSP).

L'ESCC est une enquête transversale qui vise à recueillir des renseignements sur l'état de santé, l'utilisation des services de santé et les déterminants de la santé de la population canadienne. Elle est réalisée chaque année auprès d'un grand échantillon de répondants et est conçue pour fournir des estimations fiables à l'échelle de la région sociosanitaire. L'ESCC doit son caractère unique à la nature régionale de son contenu et de sa mise en œuvre. Ces aspects permettent d'analyser les données sur la santé au niveau régional, partout au Canada.

L'ENSP recueille des renseignements sur la santé de la population canadienne ainsi que des renseignements sociodémographiques connexes. Tous les deux ans, les mêmes personnes fournissent des renseignements à jour et détaillés sur leur état de santé physique et mentale, leur utilisation des services de santé, leurs activités physiques, leur vie au travail et leur environnement social. L'ENSP a maintenant été éliminée.

Les données recueillies au moyen de l'ESCC et de l'ENSP sont abondamment utilisées par la communauté des chercheurs et d'autres professionnels de la santé. Les ministères fédéraux et provinciaux de la Santé et des Ressources humaines, des organismes de services sociaux et d'autres agences gouvernementales utilisent l'information recueillie pour planifier, mettre en œuvre et évaluer des programmes visant à améliorer la santé des Canadiens et l'efficacité des services de santé. Des organisations sans but lucratif et des chercheurs universitaires utilisent l'information pour réaliser des travaux de recherche sur les façons d'améliorer la santé.

Objectifs de l'audit

L'objectif du présent audit est de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) de Statistique Canada l'assurance que :

  • les modalités de l'accord général de partage des données conclu entre Statistique Canada et le ministère de la Santé de la Colombie-Britannique sont respectées.

Portée

Aux termes de l'AGPD, le Ministère peut partager les données avec des tiers bénéficiaires, tels que les offices régionaux de la santé relevant de sa compétence, des organisations ou instituts de recherche provinciaux ou universitaires reconnus et des chercheurs qu'il a sous contrat. Pour protéger le caractère confidentiel et délicat des données recueillies par Statistique Canada, l'accord s'accompagne de modalités prévoyant que la confidentialité de l'information ne doit pas être compromise.

La portée de cet audit comprenait un examen du caractère adéquat et, le cas échéant, de l'efficacité des processus et pratiques mis en place par le Ministère pour respecter les exigences énoncées dans l'AGPD. L'audit a porté plus particulièrement sur les mesures de protection de la confidentialité et de sécurité (accès physique, stockage et transmission TI, entreposage physique, reproduction de l'information, conservation des données et gestion des dossiers) que le Ministère a mises en place pour assurer la protection et la confidentialité des données.

Approche et méthodologie

Une visite sur place a été effectuée en décembre 2012 pour évaluer les processus et procédures que le Ministère a mis en place pour veiller au respect des modalités de l'AGPD conclu avec Statistique Canada en prévision de la réception de données confidentielles tirées d'enquêtes sur la santé de Statistique Canada. L'approche a consisté en des entrevues avec des cadres supérieurs et des membres du personnel clé et en un examen des processus, procédures et lignes directrices élaborés par le Ministère pour respecter les modalités de l'accord conclu avec Statistique Canada.

Cet audit a été effectué suivant les Normes internationales pour la pratique professionnelle de l'audit interne de l'Institute of Internal Auditors (IIA – Institut des auditeurs internes) et en conformité avec la Politique sur la vérification interne du SCT.

Autorité

Cet audit a été effectué à la suite d'une demande de la haute direction axée sur les risques.

Constatations, recommandations et réponses de la direction

Objectif : Les modalités de l'Accord de partage de données (APD) entre Statistique Canada et le Ministère sont respectées.

Environnement de contrôle pour la gestion de l'Accord

Les pouvoirs, responsabilités et obligations redditionnelles afférents à la gestion et à la manipulation de données d'enquêtes sur la santé de Statistique Canada sont séparés de la manière appropriée et sont formellement définis, documentés et communiqués au niveau de la haute direction du Ministère; cependant, du travail reste à faire pour s'assurer que les rôles et responsabilités fonctionnels sont documentés, communiqués et compris au niveau opérationnel.

Pouvoirs, responsabilités et obligations redditionnelles doivent être clairement définis et compris à tous les niveaux pour appuyer une gestion efficace des modalités de l'AGPD. Un mécanisme de surveillance des pratiques, tel que le mentionnent les modalités de l'AGPD, devrait être en place pour repérer les erreurs ou erreurs potentielles qui, si on ne les rectifie pas, feraient augmenter les risques sur le plan opérationnel.

Autorité

Statistique Canada exerce son mandat qui consiste à conclure des accords de partage de données statistiques avec d'autres organisations aux termes des articles 11 et 12 de la Loi sur la statistique. Les données statistiques tirées d'enquêtes sur la santé qui sont transmises au Ministère l'aident à élaborer ses politiques, à évaluer ses programmes en vue d'améliorer la santé de la population et l'efficience des services de santé, ainsi qu'à soutenir la recherche démographique et épidémiologique.

En application de l'article 12 de la Loi sur la statistique, Statistique Canada procède au remplacement de ses APD conclus avec le Ministère par un accord général de partage des données en vue de la collecte et de la communication d'informations tirées de plusieurs enquêtes sélectionnées sur la santé.

Rôles et responsabilités

L'audit a permis de constater que les rôles et responsabilités afférents à la gestion et à la manipulation de l'information tirée des enquêtes sur la santé de Statistique Canada sont formellement définis dans deux documents clés, le CCHS Secure Lab Process (document sur le processus du laboratoire protégé pour les données de l'ESCC) et le Ministry of Health Statistique Canada Health Survey Information: Policies and Procedures Manual (Manuel des politiques et procédures du ministère de la Santé concernant les données d'enquêtes sur la santé de Statistique Canada).

Trois niveaux de pouvoir de signature ont été définis pour la manipulation de l'information des enquêtes sur la santé de Statistique Canada, soit ceux du sous-ministre adjoint, du coordonnateur en chef de la gérance des données et de l'administrateur de données.

Le coordonnateur en chef de la gérance des données et directeur exécutif, Gestion de l'information et services du savoir (GISS), à la Division de la gestion de l'information et des technologies de l'information du secteur de la santé (GITISS) du Ministère sera le représentant désigné de l'« organisation réceptrice », étant chargé de s'assurer que procédures et processus soient en place pour satisfaire aux exigences énoncées dans l'APD et de veiller à ce qu'il existe une protection adéquate pour assurer la sécurité des données d'enquêtes sur la santé.

Le directeur de l'accès et de la gérance des données, en tant qu'administrateur de données, sera responsable de la réception et de la distribution des données d'enquêtes sur la santé de Statistique Canada. Il assumera les responsabilités énoncées dans l'annexe C de l'AGPD pendant toute la durée du cycle de vie des données d'enquêtes sur la santé de Statistique Canada, soit la réception, la manipulation, le stockage/l'entreposage et la transmission des données. En outre, l'administrateur de données assumera les responsabilités énoncées dans les politiques, les procédures et les pratiques de gestion de l'information du Ministère.

Le groupe de l'accès et de la gérance des données est soutenu, dans la manipulation et la gestion de l'information d'enquêtes sur la santé de Statistique Canada, par les Opérations d'entrepôts de données. Le directeur des opérations d'entrepôts de données assure la relève de l'administrateur de données. Les Opérations d'entrepôts de données fournissent un soutien TI aux services GISS et fourniront un soutien pour le laboratoire protégé où sont hébergées les données d'enquêtes sur la santé de Statistique Canada. Ce soutien comprend l'aménagement physique du laboratoire protégé et des activités continues de traitement et de manipulation des données.

Au niveau opérationnel, la responsabilité de la gestion des contrats passés avec des tiers incombe au groupe de l'accès et de la gérance des données. Un chef d'équipe au sein de ce groupe s'occupera des instituts de recherche universitaires provinciaux et des offices régionaux de la santé de la Colombie-Britannique et un second chef d'équipe s'occupera des ententes de partage de renseignements pour les chercheurs dont les services sont retenus par les secteurs de programme. Les membres des équipes s'occuperont de toutes les demandes que le Ministère reçoit d'organisations ou d'instituts de recherche universitaires provinciaux reconnus, des offices régionaux de la santé et des chercheurs. L'équipe se prononcera sur les demandes de données, en collaboration avec des experts travaillant dans les secteurs de programme, pour déterminer si l'information sollicitée correspond bien aux seuls renseignements nécessaires pour accomplir le travail.

L'équipe d'audit a constaté que, si les rôles et responsabilités étaient définis et compris au niveau de la haute direction du Ministère, on n'observait pas le même degré de clarté et de compréhension au niveau opérationnel. Les rôles et responsabilités fonctionnels des chefs d'équipe et des membres d'équipe au sein du groupe de l'accès et de la gérance des données ne sont pas clairement définis et documentés. Les membres des équipes ne sont pas certains de la façon dont leurs rôles évolueront une fois en place l'AGPD et dont les données confidentielles d'enquêtes sur la santé de Statistique Canada seront reçues.

Des rôles et responsabilités fonctionnels qui ne sont pas assez clairement définis et documentés au niveau opérationnel pourraient se traduire par des modalités non respectées et de l'information confidentielle d'enquêtes sur la santé de Statistique Canada non suffisamment ou efficacement protégée.

Surveillance

Les clauses touchant la surveillance sont prescrites par Statistique Canada dans l'AGPD. Dans l'AGPD, il est stipulé que Statistique Canada sera « en droit, s'il le juge nécessaire, d'effectuer un examen de conformité au présent accord. » L'APD stipule aussi que les accords que le Ministère conclut avec des tiers

« doivent comporter une clause stipulant le droit de Statistique Canada ou du Ministère (l'organisation réceptrice) de vérifier la conformité aux modalités du présent accord. »

À l'audit, il a été constaté que le Ministère n'avait pas exercé de surveillance sur les accords conclus antérieurement avec des tiers.

Les entrevues ont révélé que le Ministère avait l'intention d'ajouter une clause touchant la surveillance des tiers au moment où il réviserait ses modèles d'entente avec un tiers. Toutefois, lors de l'audit, il n'avait pas encore procédé à ces révisions; ainsi, l'équipe d'audit n'a pu prendre connaissance des modèles d'entente avec un tiers pour vérifier s'il y avait ou non une clause de surveillance. (Cette constatation est abordée dans les recommandations formulées sous la rubrique « Gérance des données ».)

Recommandation :

Le statisticien en chef adjoint (SCA) pour le Secteur de la statistique sociale, de la santé et du travail doit communiquer avec le Ministère pour veiller à la mise en œuvre de ce qui suit :

  • les rôles et responsabilités fonctionnels au niveau opérationnel liés à la manipulation de données d'enquêtes sur la santé de Statistique Canada sont définis, documentés et communiquées.

Réponse de la direction :

La direction souscrit à la recommandation formulée.

  • Le directeur de la DSS demandera une liste de tous les employés précisant leurs rôles et responsabilités afférents à la manipulation des données d'enquêtes sur la santé de Statistique Canada.

    Livrable et échéance : lettre au Ministère d'ici avril 2013.
  • Dans le cadre du processus de la statistique de la santé qui sera mis en œuvre pour la surveillance continue de l'accès, le Ministère sera tenu de produire une liste de ses employés ayant accès aux données d'enquêtes sur la santé de Statistique Canada dans laquelle sont précisés leurs rôles et responsabilités.

    Livrable et échéance : une liste des employés ayant accès aux données d'enquêtes sur la santé de Statistique Canada, avec leurs rôles et responsabilités, tous les six mois.

Gérance des données

Le Ministère a établi des protocoles internes appropriés qui répondent aux exigences énoncées dans l'AGPD. Le Ministère a transféré la responsabilité de la gestion des données d'enquêtes sur la santé de Statistique Canada hors de son secteur des programmes (à qui elle incombait auparavant) pour la confier à sa Division de la gestion de l'information et des technologies de l'information du secteur de la santé. Le Ministère a élaboré un ensemble de pratiques visant à assurer la protection et la bonne garde des données d'enquêtes sur la santé de Statistique Canada qui lui sont communiquées.

Il reste encore au Ministère à mettre en place des modèles révisés d'entente avec les tiers qui tiennent compte des exigences énoncées dans l'AGPD. C'est là une tâche importante que doit accomplir le Ministère pour s'assurer de la mise en place de mesures appropriées de protection pendant toute la durée du cycle de vie de l'information tirée des enquêtes sur la santé de Statistique Canada.

Le Ministère a établi un cadre approprié de gestion des exigences énoncées dans l'AGPD. Des protocoles internes assurant la saine gestion des données doivent être en place pour assurer la protection et la bonne garde des données d'enquêtes sur la santé de Statistique Canada pendant toute la durée de leur cycle de vie.

Gestion des données

Le ministère de la Santé de la Colombie-Britannique a transféré la responsabilité de la gestion des données d'enquêtes sur la santé de Statistique Canada de sa Division de la population et de la santé publique à sa Division de la gestion de l'information et des technologies de l'information du secteur de la santé (GITISS). Il s'agit là d'un contrôle clé, puisque c'est la Division de la GITISS qui, au Ministère, s'occupe de la gestion des données sur la santé, et non les utilisateurs finaux de ces données.

Au sein de la Division de la GITISS, la responsabilité de l'administration et de la gestion des données a été répartie de façon appropriée entre deux secteurs, soit celui de l'accès et de la gérance des données et celui des opérations d'entrepôts de données.

Tel que décrit dans l'Environnement de contrôle pour la gestion de l'APD, le directeur de l'accès et de la gérance des données sera l'administrateur de données désigné et destinataire et assurera la liaison entre Statistique Canada et le Ministère. Trois agents de recherche (AR) relevant de l'administrateur de données auront un accès autorisé aux locaux du laboratoire protégé pour utiliser les données confidentielles de Statistique Canada. Le rôle des AR comprendra le couplage initial des enregistrements pour les répondants à l'enquête ayant consenti au couplage des renseignements qu'ils ont fournis, le travail de validation, la mise à jour de l'information, la mise en œuvre des paramètres des études et le travail au laboratoire protégé pour préparer les dépouillements de travaux de recherche.

Trois analystes de base de données (ABD) relevant du directeur du groupe des opérations d'entrepôts de données auront un accès autorisé aux installations du laboratoire protégé où ils apporteront les compétences techniques nécessaires à la préparation des fichiers de données qu'utiliseront les AR.

Partage avec un tiers

Le Ministère peut fournir accès aux données confidentielles d'enquêtes sur la santé de Statistique Canada à :

  • des chercheurs avec lesquels le Ministère sous-traite directement en vue d'obtenir un produit ou un service lié aux enquêtes dont lui seul sera le destinataire;
  • des instituts de recherche universitaires ou provinciaux/territoriaux avec lesquels il sous-traite directement en vue d'obtenir un produit ou un service lié aux enquêtes dont il sera le seul destinataire;
  • six offices régionaux de la santé (ORS) de la Colombie-Britannique. Toutefois, les données tirées d'enquêtes sur la santé de Statistique Canada ne peuvent être communiquées à des ORS que si les répondants ont été avisés que les réponses qu'ils ont fournies dans le cadre de l'enquête seraient transmises aux ORS ou régies régionales de la santé de leur province de résidence. Sinon, l'ORS peut uniquement travailler sous contrat pour le Ministère pour produire un produit ou service lié aux enquêtes dont seul le Ministère sera le destinataire.

Le Ministère a confirmé que les tiers destinataires susmentionnés auront uniquement accès aux données confidentielles d'enquêtes sur la santé de Statistique Canada dont les identificateurs personnels (c.-à-d. les nom, adresse et numéro de téléphone de l'intéressé ou d'autres moyens directs d'identifier une personne) ont été supprimés, comme le stipule l'accord général. Le Ministère a également confirmé que ces tiers n'auront pas accès aux installations de son laboratoire protégé où sont hébergées les données confidentielles sur la santé de Statistique Canada.

Si l'accès aux données d'enquêtes sur la santé de Statistique Canada est permis dans les locaux des instituts de recherche universitaires ou des ORS, le Ministère est alors tenu d'inclure dans les ententes qu'il a passées avec eux les mesures de sécurité matérielle et de sécurité des TI qui sont stipulées dans l'AGPD, à savoir que

« La partie réceptrice (le Ministère) doit veiller à ce que les modalités du présent accord concernant l'utilisation, la confidentialité, la protection et la sécurité de l'information soient incluses dans tous les arrangements et ententes qu'elle (le Ministère) conclut et en vertu desquelles toute autre organisation qui se voit accorder un accès à ladite information obtienne cet accès aux termes du paragraphe 6.2 du présent accord. »

Les entrevues ont révélé que le Ministère était en train de revoir ses modèles d'entente avec un tiers. Toutefois, au moment de l'audit, il n'avait pas encore terminé ses révisions. Ainsi, l'équipe d'audit n'a pu prendre connaissance des modèles d'entente avec un tiers pour obtenir confirmation de la présence ou de l'absence des exigences concernant l'utilisation, la confidentialité, la protection et la sécurité des données d'enquêtes sur la santé de Statistique Canada dans les modèles d'entente.

Recommandations :

Le statisticien en chef adjoint (SCA) pour le Secteur de la statistique sociale, de la santé et du travail, doit communiquer avec le Ministère pour s'assurer de ce qui suit :

  • les modèles d'entente avec un tiers sont élaborés et renferment les exigences énoncées dans l'accord général de partage de données conclu avec Statistique Canada.

Réponse de la direction :

La direction souscrit à la recommandation.

  • Le directeur de la DSS demandera au Ministère de lui produire ses modèles proposés d'entente avec un tiers pour s'assurer qu'ils renferment les exigences énoncées dans l'AGPD conclu avec Statistique Canada.

    Livrable et échéance : le directeur de la DSS doit demander au ministère de la Santé de la Colombie-Britannique de lui produire ses modèles proposés d'entente avec un tiers d'ici avril 2013.
  • Le directeur de la DSS surveillera régulièrement les privilèges d'accès accordés aux tiers pour s'assurer que les modèles d'entente avec un tiers sont utilisés de façon appropriée.

    Livrable et échéance : obtenir tous les six mois du Ministère un rapport sur les privilèges d'accès accordés aux tiers.

Le statisticien en chef adjoint (SCA) pour le Secteur de la statistique sociale, de la santé et du travail doit s'assurer de ce qui suit :

  • on a procédé à un examen des modèles d'entente avec un tiers pour s'assurer qu'ils renferment les modalités de l'AGPD touchant l'utilisation, la confidentialité, la protection et la sécurité de l'information ainsi que les clauses de surveillance avant que soient transmises au Ministère des données confidentielles d'enquêtes sur la santé de Statistique Canada.

Réponse de la direction :

La direction souscrit à la recommandation.

  • Les données d'enquêtes sur la santé de Statistique Canada ne seront communiquées qu'une fois que le directeur de la DSS aura soigneusement examiné les modèles proposés d'entente avec un tiers et sera convaincu qu'ils respectent les modalités de l'AGPD.

    Livrable et échéance : le directeur de la DSS informera le Ministère de toute lacune dans ses modèles et, une fois les modèles conformes et immédiatement après les avoir reçus, il en avisera la haute direction de Statistique Canada.

Sécurité matérielle et des technologies de l'information (TI)

Des contrôles efficaces de l'accès physique aux locaux du Ministère et à ses espaces physiques d'entreposage et de stockage ont été mis au point. Le Manuel des politiques et procédures (Policies and Procedures Manual) du Ministère fournit des consignes et des directives concernant l'accès physique et électronique, les mesures de protection de l'identification et de l'authentification, l'entreposage/stockage et la transmission TI des données, la reproduction et la conservation de l'information ainsi que la gestion des dossiers afin de satisfaire aux exigences énoncées dans l'AGPD de Statistique Canada. Il importe de mentionner qu'au moment de l'audit, le Ministère était en train de répondre à ces exigences.

Les données fournies au Ministère sont désignées comme de l'information « Protégée B », conformément à la définition qu'en donne la Politique sur la sécurité du gouvernement fédéral. Le Ministère doit veiller à ce que le contrôle et la protection des renseignements sous forme matérielle ou électronique soient assurés de façon à protéger contre la perte, le vol, la compromission ou la divulgation inappropriée.

Accès physique aux locaux et aux espaces physiques d'entreposage du Ministère

Une inspection physique des locaux du Ministère a été effectuée pendant l'étape d'examen de l'audit. L'équipe d'audit a remarqué que le Ministère avait pour politique de donner accès à ses locaux aux personnes munies d'une carte de visiteur non accompagné une fois qu'elles avaient signé le registre d'entrée dans l'immeuble, mais pas l'accès à sa salle de serveur ni au laboratoire protégé hébergeant les données d'enquêtes sur la santé de Statistique Canada. À la porte d'entrée de chaque zone sécurisée se trouve un scanneur de cartes. Les membres du personnel et les visiteurs doivent glisser leur carte d'accès dans le scanneur pour pénétrer dans la zone sécurisée.

Les données d'enquête sur la santé de Statistique Canada seront stockées, utilisées, couplées et analysées dans un laboratoire protégé situé dans les locaux de la Division de la GITISS du Ministère. Une caméra de sécurité sensible au mouvement, qui peut fonctionner sur une source d'alimentation sans interruption en cas de panne de courant, est pointée sur la porte d'entrée du laboratoire de manière à enregistrer toute activité devant la porte du laboratoire. Les services de gestion des installations sont responsables de la surveillance de cette caméra et seuls le coordonnateur en chef de la gérance des données et le directeur exécutif ont accès aux enregistrements vidéo.

Seules des personnes « identifiées » peuvent avoir accès au laboratoire protégé. Les personnes munies d'une carte de visiteur ne peuvent accéder seules au laboratoire. Les visiteurs du laboratoire doivent être accompagnés d'une personne « identifiée ». Les visiteurs qui se font accompagner pour accéder au laboratoire protégé doivent signer un registre des visiteurs en indiquant leur nom, la date ainsi que l'heure d'entrée et de sortie.

Lors de l'audit, on a vérifié si seules des personnes « identifiées » pouvaient effectivement accéder au laboratoire protégé. Nous avons demandé à trois employés n'étant pas censés avoir accès au laboratoire protégé de glisser leur carte d'accès dans le scanneur situé à l'entrée du laboratoire. L'accès au laboratoire leur a été interdit. Les auditeurs ont aussi testé leur carte de visiteur, et là non plus cette carte ne leur a pas donné accès aux locaux du laboratoire protégé.

On a aussi vérifié si la caméra de sécurité placée à l'extérieur de l'entrée du laboratoire fonctionnait comme elle était censée fonctionner. L'équipe d'audit a visionné l'enregistrement vidéo de l'activité des trois employés à qui elle avait demandé de tenter d'accéder au laboratoire. Elle a noté que la caméra de sécurité sensible au mouvement avait effectivement enregistré l'activité des trois employés à la porte du laboratoire.

Accès physique et électronique aux fichiers de données d'enquêtes sur la santé

Il existe au Ministère une procédure officielle selon laquelle une personne voulant accéder au laboratoire protégé doit en faire la demande à l'administrateur de données. Chaque personne « identifiée » doit remplir et signer un formulaire de demande d'accès à une zone sécurisée, puis faire signer ce formulaire par l'administrateur de données pour obtenir l'autorisation d'accéder au laboratoire protégé.

En outre, la personne « identifiée » doit confirmer par écrit qu'elle respectera les modalités de l'APD en signant une attestation. Dans cette attestation, il est indiqué que la personne a lu, compris et accepté de respecter les modalités de l'APD conclu entre le Ministère et Statistique Canada, conformément à ce qui est souligné dans le Manuel des politiques etprocédures du Ministère, et la personne doit également signer une « Entente de protection des données confidentielles pour les employés du ministère de la Santé », comme l'exige l'annexe C de l'APD. Le Ministère a déclaré que la lecture de son Manuel des politiques et procédures serait obligatoire pour toutes les personnes « identifiées ».

Le laboratoire protégé a été configuré comme un réseau isolé doté d'un serveur autonome Oracle sur un ordinateur de bureau et deux postes de travail qui sont reliés au serveur par un port de communication et un câble Ethernet. Il n'y a pas d'accès Internet, comme l'exige l'annexe A de l'ADP, et les câbles électriques sont les seuls câbles extérieurs au laboratoire. Les données de Statistique Canada seront stockées sur le serveur Oracle et seules les personnes « identifiées » pourront y accéder à partir du serveur ou des deux postes de travail.

Dans une armoire sécurisée munie d'une serrure qui se trouve dans le laboratoire sont entreposés les supports transportables et impressions des données d'enquêtes sur la santé de Statistique Canada. C'est l'administrateur de données qui a la clé de cette armoire.

Mesures d'identification et d'authentification, entreposage et transmission TI

Le serveur autonome Oracle qui héberge les données d'enquêtes sur la santé de Statistique Canada ainsi que les deux ordinateurs de bureau auront des « comptes d'utilisateurs personnels » pour chaque personne « identifiée ». Les personnes « identifiées » seront tenues d'entrer leur numéro d'identification de compte d'utilisateur personnel et numéro d'utilisateur d'Oracle, de même qu'un mot de passe complexe (comportant au moins huit caractères alphanumériques avec au moins une lettre majuscule, une lettre minuscule et un chiffre) pour ouvrir une séance et accéder aux données d'enquêtes sur la santé de Statistique Canada.

Le scanneur de cartes situé à l'entrée du laboratoire et le registre des visiteurs créeront une piste d'audit des accès physiques au laboratoire. En outre, le numéro de compte d'utilisateur personnel et l'ID d'utilisateur d'Oracle seront enregistrés pour produire une piste d'audit sur les deux ordinateurs de bureau et le serveur.

Dans le Manuel des politiques et procédures du Ministère, il est indiqué que les fichiers de données d'enquêtes sur la santé que Statistique Canada transmet au Ministère par TEF (transfert électronique de fichiers) seront téléchargés sur un disque dur portatif par l'administrateur de données, puis sauvegardés sur le serveur Oracle dans le laboratoire protégé. Aucun autre type de support transportable, comme des clés USB, des ordinateurs portatifs, etc., ne sera utilisé pour transporter les fichiers téléchargés. Un chiffrement complet et un mot de passe devront être utilisés pour accéder au disque dur portatif. Une fois le transport effectué, le contenu du disque dur portatif sera écrasé de façon sécuritaire afin d'empêcher toute personne non autorisée de tenter de récupérer le contenu. Le disque dur portatif ne servira pas à stocker des données d'enquêtes sur la santé de Statistique Canada. Lorsqu'il n'est pas utilisé, le disque dur sera entreposé dans l'armoire sécurisée.

Si des fichiers de données d'enquêtes sont transportés sur des CD, leur contenu sera téléchargé sur le serveur, puis les CD seront remisés dans l'armoire à serrure qui se trouve dans le laboratoire protégé. Dans le manuel des politiques et procédures du Ministère, il est précisé qu'aucune sauvegarde du serveur Oracle n'est effectuée. Au cas où les lecteurs du serveur seraient endommagés lors d'un incident et que leur contenu ne serait pas récupérable, le Ministère devrait demander de nouvelles données à Statistique Canada. De plus, la transmission électronique de données par télécopieur ou par courriel n'est pas autorisée.

Reproduction et conservation des données et gestion des documents

Le Manuel des politiques et procédures du Ministère interdit la reproduction sur support papier ou électronique d'extraits de données d'enquêtes sur la santé de Statistique Canada. Lors de l'audit, il n'y avait aucune imprimante dans le laboratoire protégé. L'impression hors du laboratoire protégé ne sera pas permise. La politique d'utilisation d'une imprimante sera affichée bien en évidence dans le laboratoire et communiquée aux personnes « identifiées » à qui l'on aura accordé un privilège d'accès. Les données de Statistique Canada ne sortiront pas du laboratoire protégé et leur transmission ou leur transport n'importe où ailleurs ne seront pas permis. La transmission électronique de données par télécopieur ou par courriel ne sera pas non plus autorisée.

En vertu de l'APD, l'administrateur de données doit tenir un registre de tous les fichiers de données reçus de Statistique Canada. Au moment de l'audit, cette tâche figurait dans la liste des responsabilités de l'administrateur de données dressée dans le Manuel despolitiques et procédures. L'équipe d'audit a corroboré cela lors de l'entrevue avec l'administrateur de données.

Il existe, au Ministère, des contrôles efficaces de l'accès physique à ses locaux et à ses espaces physiques d'entreposage et de stockage. Le Manuel des politiques et procédures (Policies and Procedures Manual) du Ministère fournit des consignes et des directives concernant l'accès physique et électronique, les mesures de protection de l'identification et de l'authentification, l'entreposage/stockage et la transmission TI des données, la reproduction et la conservation de l'information ainsi que la gestion des dossiers afin de satisfaire aux exigences énoncées dans l'AGPD de Statistique Canada. Il importe de mentionner qu'au moment de l'audit, le Ministère était en train de répondre à ces exigences.

Recommandation :

Le statisticien en chef adjoint (SCA) pour le Secteur de la statistique sociale, de la santé et du travail, doit s'assurer de ce qui suit :

  • s'il y a eu signature du nouvel accord général de partage de données, un audit de suivi a été effectué à la conclusion de cet accord et les données ont été partagées avec le Ministère.

Réponse de la direction :

La direction souscrit à la recommandation.

  • Une fois l'AGPD signé et les données partagées avec le Ministère, le statisticien en chef adjoint (SCA) pour le Secteur de la statistique sociale, de la santé et du travail en informera le Comité des politiques de Statistique Canada.

    Livrable et échéance : les membres du Comité des politiques se prononceront sur la nécessité éventuelle et la date d'un audit de suivi.

Annexes

Annexe A : Critères d'audit

(Le tableau de l'Annexe A identifie les critères de vérification, les sous-critères et les instruments de politiques qui ont servit de source pour les critères.)

Annexe A Critères d'audit
Objectif/contrôles clés/critères Sous-critères Instrument de politique
1.1 Les pouvoirs, responsabilités et obligations redditionnelles sont définis et communiqués, et la séparation des tâches est faite de la manière appropriée. 1.1.1 Les responsabilités sont officiellement définies et clairement communiquées, et les pouvoirs sont délégués en fonction des responsabilités de chacun.

1.1.2 Les pouvoirs sont officiellement délégués, en fonction des responsabilités de chacun. Le cas échéant, les fonctions incompatibles ne sont pas combinées.		 Contrôles de gestion de base du SCT

Accord général de partage des données
1.2 L'équipe de direction du Ministère définit les contrôles existants et en évalue la pertinence de manière à gérer efficacement ses risques, et elle s'attaque aux risques pouvant nuire à la réalisation de ses objectifs. 1.2.1 Les risques sont déterminés aux niveaux des programmes et des régions respectivement, et ils tiennent compte des environnements interne et externe du Programme des CRD.

1.2.2 Il existe des processus et des lignes directrices officiels touchant l'évaluation des contrôles en place pour gérer les risques déterminés.
1.3 Les biens/actifs sont protégés au Ministère. 1.3.1 Seules les personnes autorisées ont accès aux données, et cet accès est dûment sécurisé en conformité avec la législation sur la protection des renseignements personnels.

1.3.2 L'accès physique est limité.

1.3.3 Lorsque les tâches d'un employé sont modifiées, des procédures de protection des données partagées existent et sont suivies.

1.3.4 Des procédures existent pour prévenir l'utilisation abusive ou frauduleuse des données.

1.3.5 Des contrôles d'accès logiques existent pour veiller à ce que seuls des utilisateurs autorisés aient accès aux systèmes et aux données, p. ex., le système exige un nom d'utilisateur et un mot de passe uniques pour ouvrir une session.

1.3.6 Il existe des procédures pour assurer l'efficacité des mécanismes d'authentification et d'accès et elles sont appliquées.
1.4 La direction surveille le rendement réel par rapport aux résultats escomptés et modifie au besoin son plan d'action pour mieux répondre aux exigences et besoins du programme 1.4.1 La responsabilité de la surveillance est clairement établie et communiquée et les résultats sont communiqués aux niveaux d'autorisation requis.


1.4.2 La surveillance active est manifeste.

Annexe B : Acronymes

Annexe B Acronymes
Acronyme Description
ABD analyste de bases de données
APD Accord de partage de données
AR agent(s) de recherche
CD disque(s) compact(s)
CMV Comité ministériel de vérification
CRD centre(s) de données de recherche
DSS Division de la statistique de la santé
ENSP Enquête nationale sur la santé de la population
EPD entente de partage de données
ESCC Enquête sur la santé dans les collectivités canadiennes
GISS Gestion de l'information et services du savoir
GITISS Division de la gestion de l'information et des technologies de l'information du secteur de la santé du Ministère
ID Identificateur ou numéro d'identification
IIA Institute of Internal Auditors (organisme international)
ORS office(s) régional(aux) de la santé (aussi appelés autorités sanitaires)
SC statisticien en chef
SCA statisticien en chef adjoint
SCT Secrétariat du Conseil du Trésor
TEF transfert électronique de fichiers
TI technologie(s) de l'information

Description pour Évaluation du CIRF

Contrôles financiers clés: explication du processus

La description graphique ci-dessous du processus d'évaluation des contrôles internes en matière de rapports financiers (CIRF) présente les quatre activités de base qui y sont menées, avec une description, juste en dessous de chaque activité, de ce qu'elles produisent. Les activités et leurs résultats/extrants sont différenciés par la couleur et la forme. Le graphique est structuré en cinq étapes clés alignées avec des flèches pointées vers la droite. Un encadré regroupe les quatre activités de base de l'évaluation des CIRF. Le graphique commence par la première étape, à gauche, qui est celle de la planification et de la définition de la portée. Les extrants de cette activité sont les plans stratégiques pour les CIRF et CGTI et les plans de travail. De là, le processus passe, à droite, à la documentation des processus opérationnels inclus dans la portée. Les extrants de cette activité sont les descriptifs ou graphiques de processus. En continuant vers la droite, le processus arrive à la troisième étape, l'activité des tests de conception des contrôles clés, qui produit, s'il y a lieu, des lettres de recommandations (LR) sur la conception. Enfin, les tests d'efficacité du fonctionnement (TEF) des contrôles clés représentent la dernière activité exécutée dans le processus d'évaluation des CIRF. Des LR sont également produites comme extrants à cette étape. Avec les flèches allant du haut vers le bas, le graphique illustre l'exécution continue d'une surveillance et d'une gestion des risques à chaque étape du processus d'évaluation. À l'issue du processus d'évaluation des CIRF, on trouve une étape décrite à l'extérieur de l'encadré, à droite. Les rapports faits au SC, au DPF et à la haute direction de chaque secteur comprennent la communication des progrès accomplis dans l'atteinte de la conformité à la PCI, des résultats de l'évaluation des CIRF et de l'état de préparation à l'audit. Finalement, une flèche est pointée vers l'extrant des rapports, qui est la Déclaration de responsabilité de la direction englobant le CIRF, laquelle comporte les signatures du SC et du DPF.

Audit des contrôles financiers clés
Déclaration de responsabilité de la direction englobant le contrôle interne en matière de rapports financiers (CIRF)

Rapport d'audit

22 avril 2013
Numéro de projet : 80590-74

Résumé

La Politique sur le contrôle interne du Secrétariat du Conseil du Trésor (SCT) a pris effet le 1er avril 2009 et est émise en vertu de l'article 7 de la Loi sur la gestion des finances publiques (LGFP). L'objectif de la Politique est de faire que les risques liés à la gérance des ressources publiques soient gérés adéquatement grâce à des contrôles internes efficaces, y compris les contrôles internes en matière de rapports financiers (CIRF). La Politique exige du statisticien en chef (SC) et du statisticien en chef adjoint (SCA) de Statistique Canada qu'ils signent tous les ans une Déclaration de responsabilité de la direction englobant le contrôle interne en matière de rapports financiers attestant que des systèmes de contrôle interne efficaces, basés sur les risques, sont en place dans l'organisme.

L'objectif du présent audit était de fournir au SC et au Comité ministériel de vérification (CMV) de Statistique Canada l'assurance du caractère adéquat des activités de soutien du cadre mis en place aux fins de l'évaluation annuelle fondée sur les risques que la Direction des finances (Finances) fait de l'efficacité du système de contrôle interne en matière de rapports financiers, et ce, à l'appui de la Déclaration de responsabilité de la direction englobant le contrôle interne en matière de rapports financiers (la Déclaration).

Cet audit a été effectué suivant les Normes internationales pour la pratique professionnelle de l'audit interne de l'Institute of Internal Auditors (IIA – Institut des auditeurs internes) et en conformité avec la Politique sur la vérification interne du CT.

Principales constatations

Statistique Canada a satisfait aux exigences liées à la mise en œuvre d'un cadre appuyant la Politique sur le contrôle interne (PCI). La charte de projet et le processus global d'évaluation de l'efficacité du CIRF de Statistique Canada intègrent toutes les composantes principales de la trousse de diagnostic élaborée par le Bureau du contrôleur général.

Statistique Canada a élaboré un document de stratégie clé intitulé « Stratégie proposée pour répondre aux exigences de la Politique sur le contrôle interne (mars 2010) », qui fonde l'approche suivie par l'organisme pour mettre en œuvre la PCI. Ce document comprend l'ensemble des principaux éléments recommandés dans la trousse de diagnostic. Ces deux dernières années, Finances a ajusté certains éléments de gouvernance de son cadre pour l'évaluation du CIRF; cependant, on n'a pas revu ni actualisé, depuis sa première mouture, le plan stratégique de Statistique Canada pour la conformité à la PCI en vue d'en maintenir la pertinence opérationnelle continue.

Pour répondre aux exigences des politiques, il est nécessaire de fournir une assurance durable concernant tout le régime de CIRT. Finances a mené toutes les activités liées aux tests d'efficacité du fonctionnement (TEF) des contrôles selon le calendrier de tests établi pour sa stratégie relative à la PCI¸ sauf pour les processus et systèmes dont la modification est prévue ou en cours. Les contrôles compensatoires n'ont pas été testés par Finances pendant les périodes de transition.

Statistique Canada a établi des processus de surveillance et de production de rapports sur la conformité à la PCI. L'équipe de Finances qui s'occupe de la conformité à la PCI (l'équipe PCI) surveille le degré d'achèvement des plans d'action correctifs faisant suite à chaque cycle de tests de conception (TC) et de TEF; cependant, dans certains cas, le moment où sont menées les activités de validation ne permet pas à l'équipe PCI de fournir une assurance durable concernant le CIRF. Les tests d'audit effectués sur les mesures correctives déjà apportées pour les plans d'action de deux processus opérationnels ont confirmé que les recommandations avaient été mises en œuvre.

En conformité avec la PCI, Statistique Canada a produit sa première annexe à la Déclaration de responsabilité de la direction englobant le contrôle interne en matière de rapports financiers pour l'exercice 2011-2012 et travaille actuellement à la préparation de sa deuxième déclaration pour l'exercice 2012-2013. La Déclaration suit la structure proposée dans la trousse de diagnostic du BCG; cependant, des secteurs nécessitant des mesures correctives pour atteindre l'état de préparation à l'audit et des secteurs pour lesquels l'assurance n'a pu être fournie pour une période donnée n'ont pas été explicitement déclarés.

Conclusion générale

Statistique Canada a mis en œuvre un cadre détaillé à l'appui de son évaluation annuelle fondée sur les risques de l'efficacité du système de contrôle interne en matière de rapports financiers.

Si les activités qui soutiennent le cadre existant sont adéquates, il existe encore des possibilités de s'assurer que l'organisme puisse tenir à jour le cycle de son processus d'évaluation du CIRF, tandis qu'il continue de progresser vers l'atteinte de l'état de préparation à l'audit. Une attention particulière devrait être portée à l'actualisation de la stratégie de l'organisme et à une communication claire des secteurs nécessitant des mesures correctives et des secteurs pour lesquels on n'a pas été en mesure de fournir une assurance.

Conformité aux normes professionnelles

L'audit a été effectué en conformité avec les Normes relatives à la vérification interne au sein du gouvernement du Canada, lesquelles comprennent les Normes internationales pour la pratique professionnelle de l'audit interne (NIPPAI) de l'Institute of Internal Auditors, (IIA - Institut des auditeurs internes).

Patrice Prud'homme
Dirigeant principal de la vérification

Introduction

Contexte

La Politique sur le contrôle interne du Secrétariat du Conseil du Trésor (SCT) a pris effet le 1er avril 2009 et est émise en vertu de l'article 7 de la Loi sur la gestion des finances publiques (LGFP). L'objectif de la Politique est de faire que les risques liés à la gérance des ressources publiques soient gérés adéquatement grâce à des contrôles internes efficaces, y compris les contrôles internes en matière de rapports financiers (CIRF).

En vertu de la PCI, l'administrateur général (en l'occurrence, le statisticien en chef) et le dirigeant principal des finances (DPF) de Statistique Canada doivent signer tous les ans une Déclaration de responsabilité de la direction englobant le contrôle interne en matière de rapports financiers (la Déclaration). Cette déclaration préface les états financiers de l'organisme et :

  • reconnaît la responsabilité de la direction d'assurer le maintien d'un système efficace de contrôle interne en matière de rapports financiers;
  • reconnaît l'exécution d'une évaluation annuelle du système de contrôle interne en matière de rapports financiers qui est basée sur les risques afin de déterminer l'efficacité continue du système;
  • reconnaît l'établissement d'un plan d'action;
  • comprend un résumé des résultats de l'évaluation et fait état des mesures prises pour corriger les problèmes.

Les résultats attendus aux termes de la PCI sont les suivants :

  • des systèmes de contrôle interne efficaces, basés sur les risques, sont en place dans chaque ministère et sont adéquatement maintenus, suivis et évalués, avec des mesures correctives apportées en temps opportun lorsque des problèmes sont relevés;
  • un système de contrôle interne efficace en matière de rapports financiers est en place dans chaque ministère tel que démontré par la Déclaration de responsabilité de la direction englobant le contrôle interne en matière de rapports financiers du ministère.

Le Bureau du contrôleur général (BCG) a élaboré en 2010 un document préliminaire d'outil diagnostic à l'intention des ministères et organismes relativement à la Politique sur le contrôle interne (ci-après appelé la « trousse de diagnostic »), qui présente aux ministères une méthode pratique qu'ils peuvent suivre, étape par étape, pour planifier et réaliser une évaluation fondée sur les risques de l'efficacité des systèmes de CIRF, comme l'exige la PCI. Ce document indique que la mise en œuvre de la PCI n'exige pas d'évaluer l'ensemble des contrôles, mais plutôt d'évaluer les contrôles clés en fonction des risques. L'approche proposée comprend une planification pluriannuelle des évaluations qui tient compte des capacités des ministères.

La Division des services financiers et administratifs (DSFA) (l'ancienne DOSGF – Division des opérations et des systèmes de gestion financière) est responsable de l'élaboration d'un cadre pour évaluer l'efficacité des CIRF et des CGTI (contrôles généraux de la technologie de l'information)Footnote 1. Le personnel à qui sont confiées ces responsabilités (l'équipe PCI) comprend un poste ETP responsable de coordonner les tests menés par des sous-traitants et de voir aux activités de suivi, ainsi que deux niveaux de supervision (à temps partiel) qui voient aux activités d'appui à la conformité à la PCI, dont un chef et un directeur adjoint. L'équipe PCI relève du directeur par intérim de la DFSA et du directeur général de la Direction des finances (le DPF adjoint). L'équipe de Finances a commencé les premières étapes du processus de planification et d'établissement de portée en 2009. Depuis, le premier cycle complet d'évaluation du CIRF a été mené à son terme. L'organisme a produit sa première Déclaration pour l'exercice se terminant le 31 mars 2012. À partir de là, le projet de mise en œuvre de la PCI est devenu un processus permanent nécessitant des activités de surveillance et de tenue de documents en collaboration avec les propriétaires des processus, la réalisation de tests du CIRF et la production de rapports sur l'état de préparation à l'audit.

À Statistique Canada, les statisticiens en chef adjoints (SCA) sont tenus de signer une Déclaration de responsabilité de la direction pour leurs champs respectifs. Cette initiative a été instaurée comme pratique exemplaire par l'équipe de Finances. En signant cette déclaration, les SCA acceptent d'offrir leur pleine coopération et leur soutien entier à l'évaluation annuelle du CIRF de leur secteur.

L'évaluation d'un CIRF comprend quatre (4) activités fondamentales, qui sont entreprises en fonction du calendrier établi et selon une stratégie définie par l'organisme. Vous trouverez ci-dessous une brève description de chaque activité. Les processus afférents à chaque activité sont décrits plus en détail dans la section des constatations du présent rapport.

Figure 1: Évaluation du CIRF

Description pour Évaluation du CIRF

Figure 1: Évaluation du CIRF

La planification et la définition de la portée représentent la première étape de l'évaluation d'un CIRF de l'organisme. Les plans stratégiques touchant le CIRF et les CGTI ainsi que les plans de travail connexes précisent la portée du CIRF qui sera couvert et la fréquence à laquelle on le testera. Ces plans présentent les résultats d'un exercice d'évaluation des risques sur lequel reposent les décisions qui sont prises quant à la sélection des processus opérationnels inclus dans la portée.

Documenter les processus et contrôles à l'intérieur de chaque processus opérationnel inclus dans la portée constitue l'approche suivie pour définir les contrôles clés mis en place pour atténuer les risques afin de les ramener à un niveau acceptable. En fin de compte, cette étape permet de mieux cibler les tests effectués sur les secteurs présentant les plus hauts risques.

L'évaluation de la conception des contrôles implique l'identification des contrôles clés qui sont en place pour prévenir ou déceler une anomalie significative dans les états financiers et atténuer les risques importants. Le but des tests de conception est de confirmer que ces contrôles clés correspondent aux risques élevés qu'ils visent à atténuer dans les états financiers.

L'évaluation de l'efficacité du fonctionnement des contrôles implique l'évaluer la mesure dans laquelle un contrôle clé a fonctionné de la manière prévue pendant une période donnée. Les TEF visent à démontrer la fiabilité des contrôles, pendant une période donnée, pour ce qui est de réduire les risques en matière de rapports financiers.

Les contrôles clés qui nécessitent d'être améliorés sont communiqués à chaque propriétaire de processus opérationnel par des lettres de recommandation(s) (LR). Les activités permanentes de surveillance et de production de rapports de Finances, de même que de saines pratiques de gestion des risques, assurent une progression continue vers l'état de préparation à l'audit.

Objectif de l'audit

L'objectif du présent audit était de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) de Statistique Canada l'assurance du caractère adéquat :

  • des activités de soutien au cadre mis en place aux fins de l'évaluation annuelle fondée sur les risques que la Direction des finances fait de l'efficacité du système de contrôles internes en matière de rapports financiers, à l'appui de la Déclaration de responsabilité de la direction englobant le contrôle interne en matière de rapports financiers.

Portée

La portée de cet audit comprenait un examen des processus et mécanismes en place aux fins de certaines étapes clés du processus de mise en œuvre de la PCI, tel que décrit dans la trousse de diagnostic du BCG. L'audit comprenait des entrevues avec des membres de l'équipe dirigeante et du personnel de la Direction des finances et d'autres divisions influant sur la conformité à la PCI. La portée de l'audit comprenait un examen des processus et mécanismes en place pendant les exercices 2011-2012 et 2012-2013 jusqu'à décembre 2012.

Approche et méthodologie

L'audit a été effectué suivant les Normes internationales pour la pratique professionnelle de l'audit interne (NIPPAI) de l'Institute of Internal Auditors (IIA - Institut des vérificateurs internes) et en conformité avec la Politique sur la vérification interne du CT. Le travail d'audit a consisté à examiner des documents, à mener des entrevues auprès de membres clés de la direction et du personnel de Statistique Canada, à passer en revue des procédures et processus liés aux contrôles internes et à vérifier l'éxécution d'un échantillon de mesures correctives. L'approche d'audit s'inspirait de la Politique sur le contrôle interne du CT et de l'outil diagnostic préliminaire à l'intention des ministères et organismes relativement à la Politique sur le contrôle interne de 2010, que le Bureau du contrôleur général a diffusé en juillet 2010.

Autorité

L'audit a été effectué dans le cadre du plan pluriannuel de vérification fondée sur les risques de Statistique Canada pour la période de 2012-2013 à 2016-2017, plan que le CMV a approuvé en avril 2012.

Constatations, recommandations et réponses de la direction

Objectif : Caractère adéquat des activités appuyant le cadre en place aux fins de l'évaluation annuelle fondée sur les risques que la Direction des finances fait de l'efficacité du système de contrôle interne en matière de rapports financiers, à l'appui de la Déclaration de responsabilité de la direction englobant le contrôle interne en matière de rapports financiers.

Cadre appuyant l'évaluation de l'efficacité du CIRF

Statistique Canada a satisfait aux exigences liées à la mise en œuvre d'un cadre appuyant la Politique sur le contrôle interne (PCI). La charte de projet et le processus global d'évaluation de l'efficacité du CIRF de Statistique Canada intègrent toutes les composantes principales de la trousse de diagnostic élaborée par le Bureau du contrôleur général.

Statistique Canada a élaboré un document de stratégie clé intitulé « Stratégie proposée pour répondre aux exigences de la Politique sur le contrôle interne (mars 2010) », qui fonde l'approche suivie par l'organisme pour mettre en œuvre la PCI. Ce document comprend l'ensemble des principaux éléments recommandés dans la trousse de diagnostic. Ces deux dernières années, Finances a ajusté certains éléments de gouvernance de son cadre pour l'évaluation du CIRF; cependant, on n'a pas revu ni actualisé le plan stratégique de Statistique Canada pour la conformité à la PCI en vue d'en maintenir la pertinence opérationnelle depuis sa première mouture.

Pour répondre aux exigences des politiques, il est nécessaire de fournir une assurance continue concernant tout le régime de CIRT. Finances a mené toutes les activités liées aux TEF selon le calendrier de tests établi pour sa stratégie relative à la PCI¸ sauf pour les processus et systèmes dont la modification est prévue ou en cours. Les contrôles compensatoires n'ont pas été testés par Finances pendant les périodes de transition.

Le processus d'évaluation de l'efficacité du CIRF commence aux premiers stades de la planification, ce qui va de la décomposition des états financiers à la détermination des risques clés et des contrôles clés en passant par les exigences en matière de documents pour appuyer des évaluations adéquates, les tests de conception et d'efficacité de fonctionnement, l'exécution des mesures correctives et les activités permanentes de surveillance au moyen de tests fondés sur les risques réalisés périodiquement. Ce processus vise à permettre aux ministères de mieux comprendre leur état de préparation à l'audit et leur niveau de conformité à la PCI.

Charte de projet

Selon la méthode décrite dans la trousse de diagnostic du BCG, les activités, échéanciers et ressources nécessaires à la réalisation des objectifs de conformité à la PCI devraient être documentés, et des ressources suffisantes devraient être affectées aux efforts de conformité à la PCI. Les responsabilités afférentes à la mise en œuvre du CIRF devraient être clairement définies et assignées. Dans le cadre de ce processus, l'organisme devrait avoir dressé un plan pour procéder à l'évaluation de l'efficacité du CIRF que requiert la PCI. Ce plan documenté devrait préciser la portée, l'échéancier, les jalons, les coûts/capacités et les étapes à franchir pour évaluer l'efficacité du CIRF. Pour le traitement des cas relatifs aux valeurs et à l'éthique, il devrait y avoir un mécanisme indépendant de surveillance permettant le signalement anonyme d'irrégularités soupçonnées.

Statistique Canada a élaboré deux documents clés de stratégie d'orientation à la PCI. Le premier s'intitule « Stratégie proposée pour répondre aux exigences de la Politique sur le contrôle interne (mars 2010) » et le second, « Stratégie proposée pour répondre aux exigences de la Politique sur le contrôle interne – CGTI (janvier 2012) », ce dernier document traitant plus particulièrement des contrôles généraux de la technologie de l'information. Ces deux documents de stratégie fondent l'approche suivie par l'organisme pour mettre en œuvre la PCI et comprennent tous les éléments principaux recommandés dans la trousse de diagnostic, à l'exception des coûts et des capacités, ces dimensions étant abordées dans le plan de travail dressé chaque année pour donner suite aux documents de stratégie sur le CIRF et les CGTI.

Les responsabilités relatives à la conformité à la PCI sont clairement définies et assignées dans le document de mars 2010 sur la Stratégie proposée pour satisfaire aux exigences de la Politique sur le contrôle interne. Ce document de stratégie identifie quatre intervenants au sein de l'organisme qui ont d'importants rôles et responsabilités, soit le SC, le DPF, le CMV et la Division des opérations et des systèmes de gestion financière (aujourd'hui la DSFA). Les rôles et responsabilités décrits correspondent à ceux de la PCI. En outre, l'annexe à la Déclaration de responsabilité de la direction englobant le CIRF décrit les rôles des trois comités qui participent à la surveillance du programme de conformité à la PCI :

  • Le CMV est un comité consultatif qui présente des points de vue objectifs sur les cadres de gestion des risques, de contrôle et de gouvernance de l'organisme.
  • Le Comité de la planification intégrée (CPI) est présidé par le SC et est le plus haut comité directeur de l'organisme, fournissant des orientations stratégiques générales. Il sert d'organe décisionnel pour toutes les décisions liées à la gestion globale de l'organisme, notamment les décisions touchant la planification stratégique globale, l'affectation de ressources, la gestion financière, la gestion des ressources humaines, les communications et la diffusion d'information,  l'évaluation de programme et la GI-TI.
  • Le Comité des pratiques administratives (CPA) supervise l'élaboration, la mise en œuvre et l'application des pratiques administratives, de gestion financière, de gestion des risques et d'évaluation.

Statistique Canada dispose aussi d'un mécanisme indépendant de surveillance qui permet le signalement anonyme d'irrégularités soupçonnées. Si des employés entendent parler ou sont témoins de ce qu'ils pourraient soupçonner être un comportement impropre ou une irrégularité, ils peuvent faire part de leurs préoccupations à cet égard au moyen du cadre de valeurs et d'éthique établi à Statistique Canada.

La charte de projet de l'organisme cadre avec la PCI et suit l'approche décrite dans la trousse de diagnostic du BCG.

Gestion des risques

La direction devrait avoir instauré des pratiques adéquates de gestion des risques afin de prendre en considération et d'atténuer les risques liés à la mise en œuvre du CIRF et parvenir à la conformité à la PCI. La mise en œuvre et le maintien d'un cadre pour la PCI comportent des risques inhérents qui peuvent faire obstacle à l'atteinte d'une conformité à la Politique.

Il est ressorti des entrevues que la conformité à la PCI repose sur quatre grands facteurs : 1) les services fournis par un consultant externe; 2) le personnel de Finances affecté aux activités liées à la PCI; 3) la collaboration des propriétaires de processus opérationnels à la documentation des processus, à la détermination des contrôles clés et à la mise en œuvre de mesures correctives lorsque des faiblesses sont repérées dans les contrôles; 4) le soutien de la haute direction à l'échelle de l'organisme.

Les risques liés à la mise en œuvre du CIRF ont été pris en compte et atténués à Finances. La DSFA a défini un certain nombre de stratégies d'atténuation à court et à long terme en vue de gérer les risques associés à ces facteurs de dépendance, notamment les suivantes :

  • retenir par contrat des services professionnels pour l'obtention de ressources qu'on affecte à la réalisation du plan de travail pour la PCI;
  • des activités de surveillance pour s'assurer de la qualité du travail effectué par les consultants;
  • l'accès à un bassin d'employés permutants de Finances pouvant se pencher sur les besoins actuels et futurs en ressources de connaissance aux fins des activités liées à la PCI;
  • des lettres officielles de confirmation de responsabilité à l'égard de la mise œuvre de la PCI signées par les SCA de chaque secteur;
  • des présentations aux membres de la haute direction à l'échelle de l'organisme pour leur expliquer les exigences de la politique ainsi que leurs responsabilités et rôles respectifs.

Depuis sa première année d'activité, la Direction des Finances surveille l'efficacité des stratégies d'atténuation en place et est en train d'élaborer d'autres stratégies pour accroître le degré de collaboration des propriétaires de processus opérationnels. Ainsi, la DSFA a repéré certaines difficultés en ce qui concerne les activités de suivi et envisage actuellement de mettre sur pied un comité directeur auquel siégeraient des intervenants clés aux niveaux du directeur et du directeur général (DG), afin d'accroître le soutien et l'engagement de la direction à l'égard de la conformité à la PCI dans l'ensemble de l'organisme. Cette nouvelle initiative devrait être mise en œuvre en 2013.

Finances suit une approche adéquate pour gérer les risques inhérents associés à la mise en œuvre d'un cadre pour l'évaluation annuelle fondée sur les risques de l'efficacité du système de CIRF.

Planification et définition de la portée

Avec l'évolution du processus d'évaluation du CIRF à Statistique Canada, lequel est passé d'un projet initial de mise en œuvre à un processus permanent, il faudrait que le DPF et le SC réexaminent périodiquement et valident la pertinence continue du plan stratégique pour la conformité à la PCI et du plan de travail. Comme l'exige la PCI, le CMV devrait être consulté au sujet des plans d'évaluation fondée sur les risques aux fins de l'évaluation annuelle de l'efficacité du système de contrôle interne de l'organisation.

Statistique Canada a en place des mécanismes de planification et de définition de la portée de sa stratégie relative à la conformité à la PCI afin de s'attaquer aux problèmes d'importance et d'assurer une amélioration continue. Les deux documents de stratégie relatifs à la PCI décrivent l'approche à suivre pour tester le CIRF, les rôles et responsabilités, les obligations redditionnelles, les étapes suivantes, un plan de travail comportant un calendrier défini ainsi que des évaluations de risques détaillées pour chaque processus opérationnel inclus dans la portée.

Dans l'élaboration des documents de stratégie et du plan de travail qui s'y rapporte, l'organisme a identifié les risques clés qui se posent à l'intégrité des états financiers, ainsi qu'aux importants comptes des états financiers, et a déterminé quels processus opérationnels sont considérés comme étant inclus dans la portée.

Les processus opérationnels que l'on considère comme inclus dans la portée sont les suivants :

  • clôture financière et rapports;
  • paie et avantages sociaux;
  • paie du recensement;
  • rémunération des intervieweurs;
  • revenus;
  • dépenses de fonctionnement;
  • immobilisations;
  • contrôles au niveau de l'entité, y compris la budgétisation et les prévisions;
  • contrôles informatiques généraux (CIG).

Pour chacun des processus opérationnels inclus dans la portée, l'organisme a précisé les unités opérationnelles d'importance, les systèmes et les contrôles au niveau de l'entité qui sont déclarés dans les états financiers. Les documents de planification précisent le secteur à tester, les risques inhérents, la justification des tests à effectuer sur les secteurs de risques inhérents, les objectifs de contrôle, l'ampleur des tests et la fréquence des tests.

En mars 2013, Statistique Canada aura terminé sa deuxième année d'évaluation du CIRF suivant la stratégie initiale de conformité à la PCI. La stratégie oriente les décisions touchant la détermination des processus, des comptes des états financiers et des risques les plus pertinents à prendre en considération pour les tests à effectuer, de même qu'aux fins de l'affectation des ressources. Ces deux dernières années, Finances a ajusté certaines composantes de gouvernance de son cadre pour l'évaluation du CIRF; cependant, le plan stratégique de Statistique Canada pour la conformité à la PCI n'a pas été revu ni actualisé depuis son élaboration initiale en vue du maintien de sa pertinence opérationnelle. En réexaminant périodiquement et en actualisant l'environnement de stratégies et de risques, on s'assurera de la pertinence durable d'une stratégie tenant compte de l'environnement opérationnel de l'organisme.

Au terme de chaque exercice, le SC et le DPF sont responsables de signer la Déclaration. Par conséquent, une fois que la stratégie de tests aura été mise à jour, en la soumettant officiellement à la validation du SC et du DPF, on s'assurerait qu'ils aient l'occasion de l'examiner et de commenter les plans proposés. La teneur de la stratégie et la Déclaration ont été présentées au DPF, à la haute direction et au CMV en mars 2012, mais le document sur la stratégie de tests n'a pas été présenté dans son intégralité, de sorte que l'on ne peut effectuer de comparaisons entre les tests qui ont déjà été effectués et les tests que l'on prévoit de faire. La signature de la Déclaration annuelle exige de confirmer la conduite d'une évaluation annuelle fondée sur les risques du CIRF, en précisant tout écart par rapport à la stratégie relative à la PCI.

Documentation des processus opérationnels inclus dans la portée

Un processus adéquat devrait être en place pour documenter les processus opérationnels inclus dans la portée et déterminer les contrôles au niveau des processus qui atténuent les risques qui se posent à l'intégrité des états financiers. Des descriptifs et graphiques de processus opérationnels sont utilisés pour définir les contrôles clés et faire des mises en correspondance entre ces contrôles et les risques qui se posent pour les états financiers. Les documents tenus pour les processus opérationnels inclus dans la portée devraient être constamment mis à jour pour tenir compte, dans les processus et/ou les systèmes, des changements significatifs ayant une incidence sur le CIRF.

Statistique Canada a achevé sa ronde initiale de tenue de documents pour chaque processus opérationnel inclus dans la portée. En prenant connaissance des documents tenus pour quatre processus opérationnels inclus dans la portée (Paie, Clôture et rapports financiers, Revenus et CIG – Gestion du changement), l'équipe d'audit a constaté que l'organisme suivait une approche normalisée en matière de documentation (descriptifs des processus) qui comprend une description du processus et de ses sous-processus, des systèmes connexes et des contrôles clés ainsi que l'identification des propriétaires de processus responsables de chaque processus opérationnel inclus dans la portée. Les principaux points de contrôle et responsabilités afférentes ont été précisés dans les descriptifs ou directement dans les matrices de tests, avec mise en correspondance avec les risques clés. Pour trois des quatre processus inclus dans la portée qui ont été examinés, les descriptifs ont été rédigés sous forme standard. Quant au processus des CIG – Gestion du changement, il a été documenté au moyen d'un graphique, ses sous-processus ayant été documentés dans les matrices de tests. C'est là une solution de rechange acceptable aux descriptifs de processus.

Les propriétaires de processus conçoivent leurs propres descriptifs, lesquels sont ensuite validés par l'équipe PCI. La documentation des processus devrait être constamment actualisée, et donc, périodiquement validée auprès des propriétaires de processus pour s'assurer que les documents restent à jour. Par cette pratique, on s'assure que Statistique Canada puisse travailler avec des processus exacts et à jour lorsqu'il détermine et surveille les contrôleurs clés et les facteurs de risques et lorsqu'il détermine les aspects du CIRF à tester. Actuellement, on compte sur les propriétaires de processus pour communiquer à l'équipe PCI les changements qu'ils apportent à leurs processus, et un important suivi est nécessaire, car les propriétaires de processus opérationnels ne communiquent pas systématiquement à l'équipe PCI leurs changements. Il est indispensable de disposer d'une information exacte et à jour pour les décisions concernant l'approche et la méthodologie des tests.

Tests de conception (TC) des contrôles clés

Évaluer la  conception des contrôles clés implique la définition des contrôles clés, avec leur correspondance aux risques clés, et de tester leur conception. On effectue des TC pour vérifier que les contrôles clés existants sont utilisés de la façon décrite dans les descriptifs de processus.

Statistique Canada a précisé les contrôles clés afférents aux processus opérationnels inclus dans la portée, les a mis en correspondance avec les risques qu'ils atténuent et a procédé à des TC. L'équipe d'audit a sélectionné, pour les examiner, trois sous-processus pour chacun des quatre processus opérationnels sélectionnés inclus dans la portée. L'audit a confirmé que chaque sous-processus avait un contrôle clé précisé et était mis en correspondance avec chaque contrôle clé. Lorsque des contrôles ont été jugés inefficaces à la suite de TC, les constatations/faiblesses ont été consignées dans une lettre de recommandation(s) (LR), et une réponse de la direction a été rédigée en vue de donner suite aux constatations particulières et de remédier aux faiblesses.

Tests d'efficacité du fonctionnement (TEF) des contrôles clés

Un processus devrait exister pour déterminer la mesure dans laquelle les contrôles clés, y compris les CGTI et les contrôles au niveau de l'entité, fonctionnent comme prévu sur une période donnée. Ce processus s'appelle un test d'efficacité du fonctionnement (TEF). La stratégie d'exécution des tests devrait être documentée et préciser les techniques d'échantillonnage, les emplacements, les dates et les contrôles d'applications de TI à tester.

Statistique Canada a élaboré et documenté sa stratégie d'exécution de TEF des contrôles clés. La stratégie de tests décrit la portée, l'approche, la méthodologie, la base de l'échantillonnage et la fréquence et énumère les contrôles d'applications à évaluer. Les deux documents de stratégie de Statistique Canada sur la PCI comportent des sections consacrées à l'approche suivie par l'organisme pour l'exécution des TEF. Dans chaque document, cette approche est décrite avec suffisamment de détails, précisant les renseignements clés, dont l'information liée aux risques, la mesure dans laquelle on se fie aux contrôles, une stratégie d'exécution des tests pour chaque processus opérationnel inclus dans la portée, un plan d'exécution des tests assorti d'un calendrier et la taille des échantillons. Les matrices de tests explicitent davantage encore les stratégies de tests et d'échantillonnage pour chaque contrôle clé attesté et, le cas échéant, précisent les divers emplacements où sont exécutés les tests.

À ce chapitre, l'organisme a satisfait aux exigences de la PCI. Les processus en place suivent l'approche recommandée dans la trousse de diagnostic.

Gestion des changements

La Politique sur le contrôle interne exige que soit fournie de façon continue une assurance quant au système de CIRF. Pour répondre à cette exigence, l'organisme doit suivre sa stratégie d'évaluation des contrôles clés pour les processus opérationnels inclus dans la portée, et ce, en respectant les échéanciers établis. La stratégie devrait inclure la prise en compte et le testage des situations dans lesquelles des changements sont prévus ou en cours dans les processus et systèmes. Les activités de tests devraient être adaptées à ces situations pour s'assurer d'une surveillance de l'efficacité des contrôles compensatoires pendant la réalisation des tests. Au cas où l'on choisirait de suspendre ou d'annuler des tests à effectuer sur un processus opérationnel inclus dans la portée, cette décision devrait être communiquée au SC et au DPF, car cela influe sur la capacité de l'organisme de surveiller continuellement l'efficacité de tout le système de CIRF, comme l'exige la PCI.

Les entrevues avec des membres de la direction et l'examen de documents ont révélé qu'il y avait un certain nombre de projets en cours qui impliquaient des changements significatifs aux processus et systèmes influant sur le CIRF. Certains projets étaient des initiatives de l'organisme, tandis que d'autres émanaient de tiers fournissant des services à l'organisme. Entre autres exemples de changements significatifs, mentionnons les suivants :

  • les processus opérationnels touchés par l'Examen et l'automatisation des processus administratifs (EAPA);
  • le transfert de technologies à Services partagés Canada (SPC);
  • les changements que Travaux publics et Services gouvernementaux Canada apporte au Système financier ministériel commun (SFMC) avec l'implantation d'un module sur les immobilisations;
  • les changements aux processus opérationnels résultant des lettres de recommandation(s) sur la correction des faiblesses dans les contrôles financiers clés (p. ex., le processus de gestion des changements dans les TI, le passage du système des RH de l'application GLOBAL au logiciel GALAXY).

Lorsque les changements apportés aux processus ou systèmes émanent de l'organisme, l'équipe PCI examine proactivement la conception des processus en développement pour s'assurer qu'ils incorporent des contrôles clés. Il est ressorti des entrevues que certains tests avaient été annulés pour 2012-2013 du fait qu'ils se rapportaient à des processus opérationnels touchés par l'EAPA.

Lorsque les changements opérés dans les processus aux systèmes sont l'initiative de tiers fournisseurs de services, l'équipe PCI surveille l'évolution de ces initiatives en participant à des réunions ou au moyen d'une communication continue avec les représentants désignés de Statistique Canada qui siègent à des comités directeurs.

Lorsque des changements d'importance à des processus ou systèmes sont planifiés ou en train d'être apportés par des tiers fournisseurs de services, la capacité de fournir une assurance durable concernant tout le système de CIRF doit être maintenue pour répondre aux exigences de la politique. En pareilles situations, la pratique courante consiste à suspendre, à reporter ou à annuler les tests. Par exemple, le processus opérationnel des immobilisations avait été testé pour la dernière fois en 2009 et était programmé pour la prochaine batterie de tests, au cours de l'exercice 2011-2012. En raison de changements qu'on prévoyait d'apporter au SFMC, les tests à effectuer sur les immobilisations ont été reportés à l'exercice 2014-2015. Lorsque des tests à effectuer sur un secteur sont annulés, l'équipe PCI ne confirme pas si le système de contrôle interne reste le même ni s'il demeure efficace. Si une assurance continue ne peut être fournie pour une période donnée, cette situation doit être clairement indiquée dans la Déclaration.

Pour le transfert de technologies à SPC, Finances et SPC entament des discussions pour déterminer la façon dont Statistique Canada obtiendra, de SPC, une assurance concernant le CIRF. Des ministères à l'échelle du gouvernement fédéral sont touchés par ce transfert de services à SPC, et l'on s'attend à ce que chaque ministère amorce des négociations avec SPC en vue d'obtenir le degré d'assurance jugé nécessaire par chaque ministère. Comme on pouvait s'y attendre, les échéanciers relatifs à l'inclusion d'une assurance concernant le CIRF touchant les processus opérationnels gérés par SPC n'avaient pas encore été établis.

À l'examen du plan d'action de suivi pour la conformité à la PCI, on a constaté que certains contrôles clés qui devaient être testés lors de la dernière batterie de tests n'avaient pas été testés. Des entrevues avec du personnel de Finances ont confirmé que les tests à effectuer sur certains contrôles clés avaient été reportés du fait que l'on prévoyait effectuer des changements dans les processus ou systèmes. Les contrôles compensatoires en place pendant les périodes de transition n'ont pas été testés. Le report ou l'annulation de tests à effectuer sur des contrôles clés peut avoir une incidence sur la capacité de l'organisme de surveiller de façon continue l'efficacité de tout le système de CIRF, comme l'exige la PCI.

Recommandations :

Il est recommandé que le statisticien en chef adjoint, Services intégrés et DPF s'assure de ce qui suit :

  • La stratégie pour la conformité à la PIC est régulièrement mise à jour et validée par le DPF et le SC.
  • Les contrôles compensatoires en place pendant une période de changements apportés à des processus ou systèmes sont pris en considération aux fins des tests, pour ce qui est de fournir une assurance continue sur le CIRF.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

  • Le directeur, Division de la divulgation financière, s'assurera que la stratégie pour la conformité à la PCI soit mise à jour annuellement et validée par le DPF, le SC et le CMV.

    Livrables et échéancier : présentation annuelle de la stratégie pour la CPI au Comité des politiques et au CMV en mars-avril de chaque année.
  • Le directeur, Division de la divulgation financière, veillera à la prise en compte des contrôles compensatoires et à leur inclusion dans la stratégie de tests, au besoin, en fonction des risques.

    Livrables et échéancier : tests effectués sur les contrôles compensatoires comme le prévoit la stratégie de tests, au besoin.

Surveillance continue et rapports sur l'état du CIRF

Statistique Canada a établi des processus de surveillance et de production de rapports sur la conformité à la PCI. L'équipe PCI surveille le degré d'achèvement des plans d'action correctifs faisant suite à chaque cycle de TC et de TEF; cependant, dans certains cas, le moment où sont menées les activités de validation ne permet pas à l'équipe PCI de fournir une assurance durable concernant le CIRF. Les tests d'audit effectués sur les mesures correctives déjà apportées pour les plans d'action de deux processus opérationnels ont confirmé que les recommandations avaient été mises en œuvre.

En conformité avec la PCI, Statistique Canada a rempli sa première annexe à la Déclaration de responsabilité de la direction englobant le contrôle interne en matière de rapports financiers pour l'exercice 2011-2012 et travaille actuellement à la préparation de sa deuxième déclaration pour l'exercice 2012-2013. La Déclaration suit la structure proposée dans la trousse de diagnostic du BCG; cependant, des secteurs nécessitant des mesures correctives pour atteindre l'état de préparation à l'audit et des secteurs pour lesquels l'assurance n'a pu être fournie pour une période donnée n'ont pas été explicitement déclarés.

Selon l'approche suggérée dans la trousse de diagnostic du BCG concernant la surveillance continue et les rapports sur l'état du CIRF et les progrès accomplis vers l'atteinte de l'état de préparation à l'audit, la direction a besoin de tenir compte de l'incidence potentielle que les faiblesses au niveau des contrôles peuvent avoir sur l'intégrité des états financiers et surveiller la mise en œuvre des correctifs requis pour remédier aux lacunes particulières dans les contrôles. Dans le cadre de ce processus, il faut remettre en temps opportun au DPF et à la haute direction des rapports sur la nature des résultats des évaluations, avec une attention portée aux plans d'action connexes. Aux moments opportuns, il faudrait solliciter les conseils du CMV en ce qui concerne les constatations et les réponses.

Les sections qui suivent présentent une évaluation des activités de surveillance et de production de rapports qui sont en place à Finances et qui découlent du premier cycle complet d'évaluation de l'efficacité des contrôles au moyen de tests, de mesures correctives et de communication de résultats au sein de l'organisme.

Progrès de la surveillance en vue de l'atteinte de l'état de préparation à l'audit

Une fois les TEF terminés, Finances reçoit les mesures correctives proposées des propriétaires concernés de processus opérationnels, et les correctifs que l'on n'a pas fini d'apporter sont marqués en vue d'un suivi. L'équipe PCI surveille le degré d'achèvement des plans d'action correctifs résultant de chaque cycle de TC et de TEF. Pour ce faire, le degré d'achèvement des mesures correctives est évalué par le propriétaire du processus opérationnel visé, puis communiqué à l'équipe PCI, qui l'inscrira dans le chiffrier du Plan d'action de suivi pour la conformité à la PCI.

Les plans d'action correctifs ont été examinés par l'équipe d'audit et des entrevues ont été menées auprès de propriétaires de processus opérationnels pour vérifier que les mesures correctives avaient bien été apportées et que les mises à jour du plan avaient été communiquées à l'équipe PCI de Finances. Lors de l'audit, on a constaté que les échéanciers de mise en œuvre des mesures correctives dépassaient parfois la date prévue des prochains tests, de sorte que l'on avait retardé les TEF de ces processus.

L'équipe d'audit a aussi sélectionné deux mesures correctives apportées dans les plans d'action des processus opérationnels des revenus et des CIG – Gestion des changements pour vérifier que des changements aux processus avaient bien été apportés. Un échantillon de 11 opérations de contrôle a été sélectionné pour chacun de ces deux processus opérationnels.

  • Le premier contrôle testé a été le processus d'approbation des rapprochements mensuels entre les encaissements dans le Système financier ministériel commun (SFMC) et le Système corporatif de gestion des ventes (SCGV), en utilisant le Système de gestion des informations non salariales (SGINS). Le résultat de notre test a confirmé que le contrôle recommandé avait été mis en œuvre dans le processus. L'achèvement de cette mesure corrective avait aussi été validé par l'équipe PCI lors de la dernière batterie de tests.
  • Le second contrôle testé a été le processus d'approbation des changements aux systèmes consignés dans le logiciel Team Foundation Server (TFS). Les résultats ont confirmé que le contrôle recommandé pour les demandes de modification avait été mis en œuvre dans le processus.

Une exécution rapide des mesures correctives est essentielle pour assurer le fonctionnement d'un système efficace de CIRF au sein de l'organisme. Dans les deux cas, les contrôles recommandés avaient été mis en œuvre et les mesures correctives avaient été exécutées.

L'approche actuellement suivie par l'équipe PCI pour valider l'état d'exécution des mesures correctives consiste à effectuer les tests pendant la prochaine batterie de tests prévue, laquelle figure dans le calendrier de tests de la stratégie, ce qui peut représenter un intervalle de trois ans entre deux batteries de tests. Ainsi, il peut ne pas être possible, pour l'équipe PCI, de fournir une assurance sur l'efficacité des changements opérés par le propriétaire d'un processus opérationnel, comme cela est exigé aux fins des rapports annuels.

Une validation rapide des mesures correctives exécutées permettra à l'équipe PCI de fournir une assurance continue concernant le CIRF.

Rapports sur l'état du CIRF et progression vers l'état de préparation à l'audit

Pour s'acquitter de leurs responsabilités prévues par la Politique, le SC et le DPF doivent absolument disposer d'une description claire de l'état général du contrôle interne à Statistique Canada, et les domaines nécessitant des mesures correctives doivent être portés à leur attention. Aux termes de la trousse de diagnostic,

« il faut remettre en temps opportun au DPF et à la haute direction des rapports sur la nature des résultats des évaluations, avec une attention portée aux plans d'action connexes. Aux moments opportuns, il faudrait solliciter les conseils du CMV en ce qui concerne les constatations et les réponses. »

L'équipe PCI est responsable de faire rapport à la haute direction et au CMV sur les résultats des tests effectués sur le CIRF et sur les progrès accomplis dans l'exécution des plans de tests et des mesures correctives. L'équipe PCI a fait plusieurs présentations au CMV, au CTI et au CPA pour son premier exercice de rapport sur la conformité à la PCI. L'information présentée était centrée sur les exigences de la Politique et renfermait des renseignements détaillés sur les résultats des tests.

En conformité avec la Politique, l'organisme a rempli sa première annexe à la Déclaration pour l'exercice 2011-2012 et travaille actuellement à la préparation de sa deuxième déclaration pour l'exercice 2012-2013. L'annexe, qui est jointe aux états financiers de l'organisme pour l'exercice se terminant le 31 mars 2012, reprend la structure suggérée dans la trousse de diagnostic du BCG. La section consacrée aux progrès de l'organisme renferme de l'information sur les éléments du calendrier de tests dont l'exécution est terminée.

L'intention de la Déclaration, telle que le précise la trousse de diagnostic, est

« de faire rapport au Comité ministériel de vérification, à la haute direction et aux organismes centraux sur l'état de la gestion du CIRF, de communiquer l'importance de l'amélioration continue des contrôles internes au sein de l'organisation, et de servir de source d'information pour les plans d'évaluation du CIRF des futurs exercices »

Pour atteindre cet objectif, l'information présentée dans l'annexe devrait aborder la nature du travail requis pour atteindre l'état de préparation à l'audit, relativement aux éléments de mesures correctives dont l'exécution n'est pas encore terminée. Ce processus permet aux décideurs de disposer de suffisamment d'information pour assurer une mise en œuvre rapide des mesures correctives.

À l'inverse, lorsqu'il n'a pas été possible de procéder aux tests du CIRF pendant des périodes de transition, l'annexe devrait clairement indiquer quels processus opérationnels inclus dans la portée ou périodes n'ont pas fait l'objet d'une évaluation. L'équipe d'audit a analysé l'information communiquée dans la première Déclaration de l'organisme, produite pour l'exercice 2011-2012. Cette Déclaration comprend une section traitant des prochaines étapes dans laquelle des renseignements généraux sur les processus et systèmes en transition sont fournis. Les décisions de reporter ou d'annuler des tests à effectuer sur le CIRF n'ont pas été clairement communiquées dans la Déclaration. Le DPF, le SC et le CMV se fient à l'information tirée de la Déclaration, car elle peut influer sur les décisions touchant les secteurs pour lesquels une assurance n'a pu être fournie pour une période donnée.

La Déclaration suit la structure proposée dans la trousse de diagnostic du BCG, mais des secteurs nécessitant des mesures correctives pour atteindre l'état de préparation à l'audit et des secteurs pour lesquels une assurance n'a pas été fournie pour une période donnée ne sont pas explicitement déclarés.

Recommandations :

Il est recommandé que le statisticien en chef adjoint, Services intégrés et DPF s'assure de ce qui suit :

  • Le processus de surveillance comprend une validation rapide de l'état d'exécution des mesures correctives déclarées par les propriétaires de processus opérationnels ainsi que des lignes directrices et protocoles formels pour communiquer les questions d'importance, comme un écart par rapport à la législation ou à la politique du CT concernant le CIRF.
  • L'annexe à la Déclaration de responsabilité de la direction englobant le contrôle interne en matière de rapports financiers communique clairement les secteurs nécessitant des mesures correctives en vue d'atteindre l'état de préparation à l'audit, ainsi que les secteurs pour lesquels une assurance n'a pas été fournie pour une période donnée.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

  • Un comité directeur de la conformité à la PCI a été mis sur pied avec pour membres les DG des Finances, des TI, des RH, de l'Approvisionnement et de la gestion des actifs et du Recensement. Le directeur, Division de la divulgation financière, veillera à ce que ce comité de gestion de base assume le leadership et la supervision de l'état d'exécution de toutes les mesures correctives déclarées et de la communication des questions d'importance.

    Livrables et échéancier: Des réunions régulières du Comité directeur de la conformité à la PCI et une validation rapide de l'état d'exécution des mesures correctives par un examen des preuves de mesures prises par les propriétaires de processus opérationnels et/ou des tests effectués pour attester que les contrôles ont été appliqués. Les réunions et les activités de validation seront trimestrielles ou se tiendront, au besoin, selon le degré d'avancement de l'exécution des mesures correctives, dans le respect des échéanciers de communication d'informations sur la conformité à la PCI. La première réunion du Comité directeur de la conformité à la PCI est prévue pour mai 2013.
  • Le directeur, Division de la divulgation financière, veillera à ce que l'état d'avancement de la stratégie relative au CIRF ainsi que tous les renseignements pertinents dans la description de l'état de préparation de l'organisation à l'audit soient clairement communiqués.

    Livrables et échéancier : Dans le cadre de l'annexe à la Déclaration de responsabilité de la direction englobant le contrôle interne en matière de rapports financiers, qui est produite chaque année, dans le respect des échéanciers de communication de l'information sur la conformité à la PCI.

Annexes

Annexe A : Critères d'audit

Le tableau montre les résultats de annexe a : critères de vérification . Les données sont présentées selon secteur d'intérêt/contrôles de base/critères (titres de rangée) et sous-critères et instrument de politique, calculées selon 4.2.1 la surveillance active est manifeste. et modèle de contrôle de gestion de base (cgb) du bureau du contrôleur général unités de mesure (figurant comme en-tête de colonne).
Objectif/contrôles de base/critères Sous-critères Instrument de politique
1) Caractère adéquat des activités de soutien au cadre qui est en place aux fins de l'évaluation annuelle fondée sur les risques que la Direction des finances fait de l'efficacité du système de contrôle interne en matière de rapports financiers, à l'appui de la Déclaration de responsabilité de la direction englobant le contrôle interne en matière de rapports financiers.
1.1 Surveillance de la conformité à la PCI

La direction a des processus de surveillance et des pratiques de gestion du risque adéquats pour ce qui est des progrès de l'organisation dans la mise en œuvre de sa stratégie pour la conformité à la PCI.		 1.1.1 Les progrès accomplis dans la mise en œuvre de la stratégie proposée pour répondre aux exigences de la PCI sont régulièrement évalués, et il est remédié rapidement à toute difficulté relevée.

1.1.2 Les responsabilités liées à la mise en œuvre du CIRF ont été clairement définies et assignées au sein de l'organisme.

1.1.3 La gouvernance de projet a été documentée pour surveiller l'exécution du programme relatif à la PCI.

1.1.4 Les risques liés à la mise en œuvre du CIRF ont été pris en compte, documentés et atténués.

1.1.5 La direction a un processus documenté de surveillance des activités de la stratégie pour la conformité à la PCI et du plan de travail connexe, lesquelles comprennent toute difficulté relevée, les mesures requises pour résoudre ces difficultés, l'identification des personnes qui seront chargées d'exécuter ces mesures et le calendrier d'exécution des mesures correctives.

1.1.6 Le processus de détermination des risques est rigoureux, et les événements de risque sont définis aux niveaux de l'entité et des activités, tout comme le processus utilisé pour définir la portée, planifier et exécuter le régime de conformité à la PCI.		 Politique sur le contrôle interne (PCI)

Outil diagnostic préliminaire à l'intention des ministères et organismes, juillet 2010

Cadre de responsabilisation de gestion (CRG)
1.2 Processus global d'évaluation de l'efficacité du fonctionnement des contrôles internes en matière de rapports financiers (CIRF)

Les activités, calendriers et ressources nécessaires à la réalisation des objectifs de conformité à la PCI ont été documentés et intégrés dans le budget de l'organisme.		 1.2.1 L'organisme a un plan de projet documenté qui précise la portée, le calendrier, les jalons, les coûts et la capacité ainsi que les diverses étapes à franchir pour évaluer l'efficacité du fonctionnement du CIRF, comme le recommande la trousse de diagnostic. Politique sur le contrôle interne (PCI)

Outil diagnostic préliminaire à l'intention des ministères et organismes, juillet 2010
1.3 Planification et définition de la portée

L'organisme dispose d'un processus adéquat de planification et de définition de la portée de sa stratégie pour assurer la conformité à la PCI.		 1.3.1 Un plan assorti d'échéanciers existe pour résoudre les questions d'importance et assurer l'amélioration continue.

1.3.2 L'organisme a défini les risques clés qui se posent à l'intégrité des états financiers et a précisé les comptes d'importance des états financiers.

1.3.3 L'organisme a précisé les unités opérationnelles, les systèmes, les processus opérationnels et les contrôles au niveau de l'entité principaux qui sont liés aux comptes d'importance qui sont déclarés dans les états financiers.

1.3.4 L'organisme a documenté sa planification et sa définition de portée pour le CIRF.

1.3.5 Le plan d'évaluation a été validé par la haute direction, le DPF et le SC.

1.3.6 On revoit de temps à autre le plan stratégique relatif à la conformité à la PCI et la progression du plan de travail pour en maintenir la pertinence.		 Politique sur le contrôle interne (PCI)

Outil diagnostic préliminaire à l'intention des ministères et organismes, juillet 2010
1.4 Documentation

L'organisme a en place un processus adéquat de documentation des processus opérationnels et de détermination des risques au niveau des processus qui ont une incidence sur l'intégrité des états financiers.		 1.4.1 L'organisme a documenté le processus opérationnel pour chaque processus inclus dans la portée.

1.4.2 L'organisme a suivi une approche normalisée pour documenter les processus opérationnels.

1.4.3 La documentation précise les points et responsabilités relatifs aux contrôles clés.

1.4.4 L'organisme a défini les risques en matière de rapports qui se posent aux états financiers pour chaque processus opérationnel inclus dans la portée, puis a documenté et classé ces risques par ordre de priorité.

1.4.5 Les processus documentés ont été validés par les propriétaires de processus pour attester de l'exactitude de la documentation et des contrôles.

1.4.6 L'identification des risques clés a été validée par la haute direction.		 Politique sur le contrôle interne (PCI)

Outil diagnostic préliminaire à l'intention des ministères et organismes, juillet 2010
1.5 Test de conception (TC)

L'organisme a en place un processus adéquat de détermination des contrôles clés à tous les niveaux et les met en correspondance avec les risques clés pour l'intégrité des états financiers.		 1.5.1 L'organisme a précisé les contrôles clés.

1.5.2 L'organisme a établi la correspondance entre les risques et les contrôles clés qui sont en place pour atténuer les risques.

1.5.3 L'organisme a procédé à un test de conception en suivant une approche étape par étape pour les contrôles clés.

1.5.4 Les résultats du test de conception ont été communiqués aux niveaux appropriés de la haute direction et au CMV.

1.5.5 Les éléments significatifs déterminés des plans correctifs ont été précisés et exécutés.

1.5.6 La direction intervient rapidement et de façon appropriée en cas d'écarts par rapport aux politiques approuvées ou aux procédures ou en cas d'infraction aux codes de conduite. Les mesures disciplinaires prises en cas d'infraction sont communiquées à l'échelle de l'organisation.		 Politique sur le contrôle interne (PCI)

Outil diagnostic préliminaire à l'intention des ministères et organismes, juillet 2010
1.6 Test d'efficacité du fonctionnement (TEF)

L'organisme dispose d'un processus adéquat pour déterminer la mesure dans laquelle les contrôles clés, y compris les contrôles généraux de la TI (CGTI) et les contrôles au niveau de l'entité, ont fonctionné comme prévu au cours d'une période donnée.		 1.6.1 L'organisme a élaboré et documenté sa stratégie de tests, précisant les techniques d'échantillonnage, les emplacements, les dates des tests et les contrôles d'applications TI, aux fins de l'exécution du TEF de ces contrôles clés.

1.6.2 L'organisme a procédé à un TEF de tous les contrôles clés, y compris les CGTI et les contrôles au niveau de l'entité, pour tous les processus opérationnels inclus dans la portée.

1.6.3 Un rapport sur les résultats de ce test et le plan d'action qui s'y rapporte a été rédigé et communiqué à la haute direction et au CMV.

1.6.4 Le ministère surveille ou a la capacité de surveiller le degré d'exécution des mesures correctives qui peuvent être requises pour remédier à toutes faiblesses relevées lors des tests

1.6.5 Les mesures correctives sont exécutées.		 Politique sur le contrôle interne (PCI)

Outil diagnostic préliminaire à l'intention des ministères et organismes, juillet 2010
1.7 Rapports

L'organisme a en place un processus adéquat de communication des résultats de l'évaluation de l'efficacité du fonctionnement du CIRF et des plans d'action qui s'y rapportent, et il existe des voies officielles de communication pour le signalement d'irrégularités soupçonnées.		 1.7.1 L'organisme a mis sur pied un groupe central qui se penche sur la gestion du CIRF de l'organisme au moyen de la surveillance des processus d'évaluation de l'organisme, ainsi que des résultats et plans d'action à l'appui du DPF et du SC, et qui saisi les résultats de tous les tests effectués et fait rapport à cet égard.

1.7.2 L'apport du CMV a été sollicité au sujet des plans d'évaluation fondée sur les risques et des résultats de l'évaluation annuelle de l'efficacité du fonctionnement du système de contrôle interne de l'organisme.

1.7.3 L'organisme a en place un processus de mise à jour de la documentation des processus, procède à des tests sur une base continue (TC et TEF) et communique régulièrement les résultats des tests.

1.7.4 L'organisme surveille l'exécution des mesures correctives liées aux contrôles dans le cadre de son plan d'action officiel approuvé.

1.7.5 L'organisme a produit son sommaire à annexer à sa Déclaration de responsabilité de la direction englobant le contrôle interne en matière de rapports financiers.

1.7.6 L'organisme a en place un mécanisme indépendant de surveillance pour traiter les cas concernant l'éthique et les valeurs et permettre le signalement anonyme d'irrégularités soupçonnées.		 Politique sur le contrôle interne (PCI)

Outil diagnostic préliminaire à l'intention des ministères et organismes, juillet 2010
1.8 Gestion des changements

L'organisation a en place un processus de détermination des possibilités/exigences de changement à l'égard de son cadre pour la conformité à la PCI.		 1.8.1 Une stratégie pour la prise en compte et les tests à effectuer est en place lorsque des changements à apporter aux processus et systèmes sont planifiés ou en cours.

1.8.2 Du travail supplémentaire est accompli pour s'assurer que les contrôles compensatoires fonctionnent pendant ce temps.

1.8.3 Lorsque la déclaration d'un contrôle interne ou les tests à effectuer sur ce contrôle interne ne sont pas possibles pendant une période de transition, la Déclaration indique clairement quels secteurs ou périodes n'ont pas été couverts.

1.8.4 Les résultats des tests sont communiqués lorsqu'un contrôle ne fonctionne pas.		 Cadre de responsabilisation de gestion (CRG)

Politique sur le contrôle interne (PCI)

Outil diagnostic préliminaire à l'intention des ministères et organismes, juillet 2010

Annexe B : Acronymes

Annexe B : Acronymes
Acronyme Description
CIRF Contrôle(s) interne(s) en matière de rapports financiers
CT Conseil du Trésor
PCI Politique sur le contrôle interne
LGFP Loi sur la gestion des finances publiques
CGTI Contrôles généraux de la technologie de l'information
SC Statisticien en chef
CMV Comité ministériel de vérification
IIA Institute of Internal Auditors (Institut des auditeurs internes)
DPF Dirigeant principal des finances
CRG Cadre de responsabilisation de gestion
BCG Bureau du contrôleur général
ADPF Adjoint au dirigeant principal des finances
CPA Comité des pratiques administratives
CPI Comité de la planification intégrée
LR Lettre(s) de recommandation(s)
SFMC Système financier ministériel commun
SCA Statisticien(s) en chef adjoint(s)
DPV Dirigeant principal de la vérification
TEF Test(s) d'efficacité du fonctionnement (des contrôles)
TC Test(s) de conception (et de mise en œuvre des contrôles)
CIG Contrôles informatiques généraux
TI Technologie(s) de l'information
DG Directeur général
DOSGF Division des opérations et des systèmes de gestion financière
EAPA Examen et automatisation des processus administratifs
SCGV Système corporatif de gestion des ventes
SGINS Système de gestion des informations non salariales
TFS Team Foundation Server (logiciel)
SPC Services partagés Canada

Footnotes

Footnote 1

Les contrôles généraux de la technologie de l'information sont considérés comme faisant partie du régime du contrôle interne en matière de rapports financiers. Dans la suite du présent rapport, lorsque le ou les CIRF seront mentionnés, cela comprendra les CGTI.

Return to footnote 1 referrer

Vérification du Centre de données de recherche (CDR) de l'Université de l'Alberta

Rapport de vérification

13 novembre 2012
Numéro de projet : 80590-72

Sommaire

Le Centre de données de recherche (CDR) de l'Université de l'Alberta est l'un des 24 CDR situés sur les campus d'universités à travers le Canada. Ces CDR ont été mis sur pied par Statistique Canada, le Conseil de recherches en sciences humaines du Canada, les Instituts de recherche en santé du Canada et des consortiums d'universités dans le but de renforcer la capacité en recherche sociale du Canada et de soutenir le milieu de la recherche sur les politiques. Le CDR de l'Université de l'Alberta faisait partie du groupe de neuf CDR qui ont ouvert leurs portes en 2001; il est situé au troisième étage de la bibliothèque Rutherford de l'Université de l'Alberta. En 2011, le nombre de contrats conclus par le CDR a connu une croissance de près de 44 %. Cette année-là, environ 59 chercheurs ont accédé en moyenne chaque mois à des données par l'entremise du CDR de l'Université de l'Alberta.

Les CDR sont dotés d'employés de Statistique Canada et sont exploités en vertu de la Loi sur la statistique. Ils doivent donc avoir en place des mesures de sécurité pour protéger la confidentialité des données dans la même mesure que si elles se trouvaient dans les locaux de Statistique Canada.

La vérification visait à fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) l'assurance que le CDR de l'Université de l'Alberta :

  • respecte les politiques et normes pertinentes du Secrétariat du Conseil du Trésor (SCT) et de Statistique Canada concernant la sécurité des technologies de l'information (TI) et la sécurité matérielle, afin de veiller à ce que la confidentialité des données soit protégée dans la prestation des services;
  • dispose de pratiques et de mécanismes efficaces, afin de veiller à ce que la confidentialité des données soit protégée dans la prestation des services.

La vérification a été effectuée par les Services de vérification interne, en conformité avec la Politique sur la vérification interne du gouvernement du Canada.

Principales constatations

Le centre de données de recherche (CDR) de l'Université de l'Alberta met en place des mesures de sécurité des TI et de sécurité matérielle efficaces pour assurer la protection de l'accès, de l'identification et de la confidentialité des renseignements statistiques de nature délicate. L'accès au CDR de l'Université de l'Alberta est limité au personnel autorisé, c'est-à-dire les personnes réputées être employées, les chercheurs ayant un contrat de recherche pour l'utilisation de microdonnées (CRM) valide et le personnel de soutien des TI de l'université.

La vérification a révélé qu'il pourrait encore être possible de renforcer l'environnement de contrôle des TI en s'assurant que la fonction de fermeture automatique de session des postes de travail des chercheurs soit activée afin de garantir l'efficacité de ce mécanisme de contrôle.

La vérification a aussi révélé que les documents décrivant les procédures relatives à l'utilisation des dispositifs électroniques personnels dans les CDR n'étaient pas cohérents. Plusieurs documents énonçaient des procédures différentes, allant d'une autorisation à une interdiction complète. La décision des mesures à appliquer revient au personnel du CDR.

Les rôles, les responsabilités et les obligations redditionnelles sont définis et communiqués dans les secteurs suivants : administration des contrats de recherche pour l'utilisation de microdonnées, contrôle de confidentialité, sécurité matérielle et sécurité des TI dans le CDR.

Les pouvoirs sont officiellement délégués au niveau du programme et des opérations. Des processus et des procédures sont en place pour le contrôle de confidentialité et les demandes de contrôle de confidentialité sont administrées et évaluées avec soin par l'analyste du CDR, afin de veiller à ce que la confidentialité des données ne soit pas compromise. Des mesures de sécurité matérielle et d'accès aux TI pertinentes, ainsi que des mesures de protection de l'identification et de l'authentification, sont en place et sont appliquées pour la sauvegarde et la protection des données confidentielles de Statistique Canada.

Conclusion générale

Les mesures de sécurité matérielle et d'accès aux TI, ainsi que les mesures de protection de l'identification et de l'authentification, sont conformes aux politiques et normes pertinentes du SCT et de Statistique Canada. Les contrats de recherche pour l'utilisation de microdonnées sont gérés comme il se doit et le processus de propositions de recherche est efficace. Les processus et procédures en matière de contrôle de confidentialité des produits en place sont appropriés et efficaces et permettent de garantir la confidentialité des renseignements statistiques de nature délicate.

Les résultats de la vérification ont fait ressortir des possibilités d'amélioration des pratiques et des mécanismes en place pour que la confidentialité des données soit protégée dans la prestation des services. Les secteurs à améliorer sont les suivants : 1) assurance que la fonction de fermeture automatique de session des postes de travail inactifs est activée; 2) cohérence des procédures et des pratiques concernant l'utilisation de dispositifs électroniques personnels dans le CDR.

Conformité aux normes professionnelles

La vérification est conforme aux Normes relatives à la vérification interne au sein du gouvernement du Canada, selon les résultats du Programme d'assurance et d'amélioration de la qualité.

Patrice Prud'homme
Dirigeant principal de la vérification

Introduction

Contexte

Les décideurs doivent avoir une compréhension à jour et approfondie de la société canadienne, non seulement pour répondre aux besoins de l'heure, mais aussi pour prévoir les besoins futurs. Cela entraîne une demande croissante à l'égard des produits analytiques découlant des riches sources de données recueillies par Statistique Canada.

En 1998, dans le cadre de l'Initiative canadienne sur les statistiques sociales, on a examiné les défis auxquels fait face la collectivité des chercheurs au Canada. Dans son rapport sur l'avancement de la recherche utilisant les statistiques sociales, le groupe de travail national recommandait notamment de créer des installations de recherche pour améliorer l'accès des chercheurs universitaires aux fichiers de microdonnées de Statistique Canada.

Les centres de données de recherche (CDR) font partie d'une initiative de Statistique Canada, du Conseil de recherches en sciences humaines (CRSH), des Instituts de recherche en santé du Canada (IRSC) et de consortiums d'universités dans le but de renforcer la capacité en recherche sociale du Canada et de soutenir le milieu de la recherche sur les politiques. Le CRSH est l'organisme fédéral qui assure la promotion et le soutien de la recherche universitaire et de la formation en sciences sociales et humaines. Les IRSC sont le principal organisme fédéral chargé du financement de la recherche en santé au Canada.

Au total, 24 CDR sont installés dans un environnement protégé sur les campus d'universités canadiennes et permettent aux chercheurs d'accéder à des microdonnées découlant d'enquêtes sur la population et auprès des ménages. Les chercheurs n'ont pas à se rendre à Ottawa pour accéder aux microdonnées de Statistique Canada. Un Centre fédéral de données de recherche (CFDR) situé à Ottawa permet aux chercheurs d'avoir accès aux microdonnées de ministères stratégiques fédéraux.

Les CDR permettent de donner une vue d'ensemble du paysage social canadien, d'offrir des installations de recherche en sciences sociales partout au pays dans les grandes collectivités comme dans les petites, de former une nouvelle génération de spécialistes canadiens dans le domaine de la recherche quantitative en sciences sociales et d'accroître la collaboration entre Statistique Canada et les intervenants – le CRSH, le Réseau canadien des centres de données de recherche (RCCDR), les IRSC et les chercheurs universitaires.

Les CDR sont dotés par des employés de Statistique Canada et sont exploités en vertu de la Loi sur la statistique; ils sont en outre tenus d'exercer leurs activités en conformité des règles et restrictions établies par Statistique Canada en matière de protection de la confidentialité et d'accès (p. ex., seuls des chercheurs dont le projet a été approuvé et ayant prêté serment à titre de « personnes réputées être employées » en vertu de la Loi sur la statistique peuvent avoir accès à un CDR).

L'accès aux microdonnées fait l'objet d'une demande croissante de la part des chercheurs universitaires et gouvernementaux de l'extérieur de Statistique Canada. La Division de l'accès aux microdonnées (DAM) offre un accès restreint à des microdonnées confidentielles par l'entremise des CDR des universités partout au pays et du CDR fédéral à Ottawa. Elle est aussi responsable de veiller à la confidentialité des renseignements fournis par les Canadiens.

En vertu du plan de vérification axé sur les risques de Statistique Canada, les Services de vérification interne doivent effectuer la vérification d'un CDR par année. En 2010, une vérification visant à examiner la gouvernance générale de tous les CDR a été menée; l'exercice comprenait une visite dans cinq CDR. En 2011, les centres de données de recherche des Prairies (Université de Calgary et Université de Lethbridge) ont fait l'objet d'une vérification. Le CDR de l'Université de l'Alberta est le deuxième à faire l'objet d'une vérification axée sur un CDR particulier. Cette vérification ajoutera de la valeur en veillant à ce que les mesures de protection de la confidentialité soient respectées et efficaces.

Objectifs de la vérification

Les objectifs de la vérification sont de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) l'assurance que le CDR de l'Université de l'Alberta :

  • respecte les politiques et normes pertinentes du Secrétariat du Conseil du Trésor (SCT) et de Statistique Canada concernant la sécurité des technologies de l'information (TI) et la sécurité matérielle, afin de veiller à ce que la confidentialité des données soit protégée dans la prestation des services;
  • dispose de pratiques et de mécanismes efficaces, afin de veiller à ce que la confidentialité des données soit protégée dans la prestation des services.

Portée

La vérification comprenait un examen détaillé des systèmes et des pratiques du CDR de l'Université de l'Alberta en matière de protection des données, d'utilisation des technologies et de sécurité matérielle.

La vérification a été axée sur l'analyse des risques de divulgation et le contrôle de confidentialité des données par les employés de Statistique Canada sur place, le statut de personne réputée être employée et les exigences en matière d'autorisation de sécurité pour l'accès aux microdonnées, le processus des propositions de recherche des CDR, l'administration des contrats de recherche pour l'utilisation de microdonnées (CRM), la sécurité matérielle dans les locaux du CDR conformément aux politiques et normes pertinentes du SCT et de Statistique Canada, et la protection des TI conformément aux politiques et normes pertinentes du SCT et de Statistique Canada.

Approche et méthodologie

Le travail sur le terrain a été exécuté en deux étapes, la première ayant consisté en la réalisation d'entrevues et en l'examen et l'évaluation des processus et procédures relatifs à la sécurité matérielle, à l'utilisation des technologies et à la protection des données. La deuxième étape a pris la forme d'une visite sur place au CDR de l'Université de l'Alberta afin de vérifier les contrôles de protection des fichiers de microdonnées, y compris l'accès logique et les contrôles de sécurité informatique, et de mener des tests de conformité des centres pour évaluer les mesures de sécurité matérielle en place. L'administration des CRM et le contrôle de confidentialité ont aussi été vérifiés pour s'assurer que des mécanismes de contrôle appropriés sont en place.

La vérification a été menée conformément aux Normes internationales pour la pratique professionnelle de la vérification interne de l'Institut des vérificateurs internes (IVI) et de la Politique sur la vérification interne du Conseil du Trésor.

Autorité

La vérification a été menée en vertu des pouvoirs prévus dans le Plan pluriannuel de vérification axé sur les risques pour 2012-2013 à 2014-2015 de Statistique Canada recommandé par le Comité ministériel de vérification en avril 2012 et approuvé ensuite par le statisticien en chef.

Conclusions, recommandations et réponses de la direction

Secteur d'intérêt n° 1 : Le CDR de l'Université de l'Alberta respecte les politiques et les normes du SCT et de Statistique Canada en vigueur en ce qui concerne la sécurité des technologies de l'information et la sécurité matérielle, afin de veiller à ce que la confidentialité des données soit protégée dans la prestation des services.

Sécurité des technologies de l'information

Les rôles et responsabilités au niveau du programme et de la région sont définis et communiqués.
Des essais concernant les mesures de protection de l'accès, de l'identification et de l'authentification ont révélé que de telles mesures sont en place et sont efficaces.
L'évaluation des mesures de protection des systèmes et des communications a révélé qu'il existe des possibilités de renforcer l'environnement informatique en veillant à ce que la fonction de fermeture automatique de session soit activée sur tous les postes de travail des chercheurs du CDR.

La sécurité des technologies de l'information dans les CDR doit être conforme aux politiques pertinentes du SCT, comme les Normes de sécurité opérationnelle : Gestion de la sécurité des technologies de l'information et le Manuel des pratiques de sécurité de Statistique Canada. Les rôles, les responsabilités et les obligations redditionnelles doivent être clairement définis et communiqués. Dans le contexte des CDR, la sécurité des TI doit inclure la protection des systèmes et des communications : des contrôles de sécurité qui appuient la protection du système d'information proprement dit, ainsi que les communications avec ce système; le contrôle de l'accès : des contrôles de sécurité qui permettent d'accorder ou de refuser aux utilisateurs l'accès aux ressources d'un système d'information; et l'identification et l'authentification : des contrôles de sécurité qui appuient l'identification des utilisateurs et l'authentification de ces utilisateurs lorsqu'ils tentent d'accéder au système d'information.

Rôles et responsabilités

La vérification a révélé qu'au niveau du programme, les pouvoirs fonctionnels sont officiellement délégués au gestionnaire/directeur du Programme des CDR et, au niveau régional, à l'analyste du CDR. L'analyste du CDR de l'Université de l'Alberta relève du gestionnaire régional du CDR, qui se trouve à Winnipeg, alors que l'adjoint statistique relève de l'analyste à temps plein du CDR.

La Sécurité du Bureau (SB) et les Services de technologie informatique au bureau central de Statistique Canada prodiguent orientation et directives en matière de sécurité des TI et de sécurité matérielle. Ils réalisent les inspections de la sécurité matérielle et de la sécurité des TI dans les CDR et fournissent des recommandations au directeur/gestionnaire du Programme des CDR. La première inspection de la sécurité des TI et de la sécurité matérielle au CDR de l'Université de l'Alberta a eu lieu juste avant l'ouverture du centre en 2001. Une deuxième inspection a été faite en février 2011. Des inspections périodiques de chaque CDR sont prévues tous les quatre ans.

Mesures de protection du système et des communications

L'environnement informatique au CDR de l'Université de l'Alberta a été récemment mis à niveau et le nouveau serveur utilise un système d'exploitation MAC. Il est situé dans une armoire protégée, dans le CDR. Le serveur est configuré en mode autonome avec Open Directory et fait appel à une liste de contrôle d'accès (norme ACL [Access Control List] de l'industrie) pour l'octroi des privilèges d'accès. Outre un lien au réseau étendu (RE), le serveur n'a pas de connexion externe. Il n'est donc pas possible d'accéder au serveur depuis l'extérieur du CDR. Les données qui se trouvent sur le serveur sont par ailleurs stockées en mode RAID (de l'anglais Redundant Array of Independent Disks, regroupement redondant de disques indépendants), une méthode de stockage en vertu de laquelle les données sont découpées en blocs et enregistrées sur plusieurs disques durs. Le mode RAID offre un niveau de sécurité supérieur; si un ou même plusieurs des disques durs du serveur étaient volés, il serait impossible de répliquer les données.

Huit postes de travail autonomes sont mis à la disposition des chercheurs. Ces postes ne sont pas reliés à l'Internet (seuls les employés du CDR ont accès à l'Internet, dans le bureau de l'analyste), et aucun système d'exploitation ou programme n'y est installé. Ces postes de travail font partie d'un système de clients lourds virtualisés. Au démarrage, le système BIOS (de l'anglais Basic Input/Output System, système élémentaire d'entrée/sortie) envoie une requête directement au serveur pour obtenir une image.

L'examen des configurations des postes de travail réalisé dans le cadre de la vérification a révélé que les ports USB sont désactivés et que les ports Ethernet sont configurés en fonction des numéros de série des postes de travail. Ainsi, si un autre dispositif est branché dans un port Ethernet, celui-ci est automatiquement désactivé et doit être rétabli manuellement. Les postes de travail des chercheurs ne sont pas configurés pour permettre l'impression, et les chercheurs ne peuvent pas changer les paramètres de configuration de l'imprimante car ils sont verrouillés.

La fermeture automatique de session des postes de travail était fixée à 10 minutes. Toutefois, la vérification a révélé que cette fonction de verrouillage ne fonctionnait pas; après 10 minutes, un écran de veille s'affichait mais la session de l'utilisateur ne se verrouillait pas. Il n'était donc pas nécessaire d'entrer un mot de passe pour réactiver la session, ce qui accroît le risque d'accès non autorisé aux microdonnées confidentielles de Statistique Canada à partir des postes de travail non occupés.

Mesures de protection de l'accès, de l'identification et de l'authentification

Les procédures précisent que des comptes d'utilisateurs doivent être créés uniquement lorsqu'un contrat est approuvé et devient actif; l'accès doit être supprimé si le compte est inactif. En outre, la configuration des mots de passe doit être conforme aux normes établies par Statistique Canada. La création de comptes d'utilisateur et l'octroi de l'accès aux fichiers de microdonnées étaient étayés par des contrats actifs approuvés pour tous les contrats échantillonnés.

L'analyste du CDR et le personnel de soutien des TI affecté au CDR détiennent les privilèges administratifs. À la demande de l'analyste, le personnel de soutien des TI crée des codes d'utilisateur et des comptes et définit les droits d'accès aux ensembles de données. L'analyste du CDR et le personnel de soutien des TI effectuent ensuite des essais pour s'assurer que les chercheurs peuvent accéder uniquement aux ensembles de données précisés dans le CRM. Les chercheurs ne peuvent pas consulter des données qui ne sont pas prévues dans leur CRM, et ne peuvent pas déplacer des fichiers d'un projet à l'autre. La configuration des mots de passe au CDR de l'Université de l'Alberta est conforme aux normes de Statistique Canada.

Dans le cadre de la vérification, les mesures de contrôle de l'accès ont été mises à l'essai par un examen des trois éléments suivants :

  • les codes d'utilisateur;
  • la liste de contrôle d'accès par enquête;
  • la liste de contrôle d'accès par numéro de projet.

On comptait 74 codes d'utilisateurs actifs au CDR de l'Université de l'Alberta; sept servaient à des fins administratives et les 67 autres ont été validés pour s'assurer qu'ils étaient associés à des contrats en vigueur. L'équipe de vérification a constaté que lorsqu'un même chercheur est associé à plus d'un projet de recherche, un code d'utilisateur distinct lui est attribué pour chaque projet.

Un sous-échantillon de 29 chercheurs a été établi à partir des 71 chercheurs dont les noms figuraient dans les 26 contrats échantillonnés afin de s'assurer que seuls des chercheurs ayant un contrat en vigueur ont un code d'utilisateur valide et qu'ils peuvent accéder uniquement aux données précisées dans leur CRM. La vérification a révélé que neuf codes d'utilisateur actifs étaient associés aux 26 contrats (huit codes d'utilisateur étaient associés aux ensembles de données figurant dans des CRM en vigueur et un code d'utilisateur avait été établi sans être associé à un ensemble de données, en attendant que le contrat final soit signé). Sept autres chercheurs du sous-échantillon avaient un contrat en vigueur dont le chercheur principal était rattaché à l'Université de l'Alberta, mais comme ils travaillaient depuis d'autres CDR, ils n'avaient pas de code d'utilisateur au CDR de l'Université de l'Alberta. Les 13 autres noms étaient associés à des contrats échus et n'avaient pas de code d'utilisateur actif.

Les listes de contrôle d'accès par enquête ont été examinées pour s'assurer que seuls des chercheurs ayant un CRM associé aux enquêtes en question étaient autorisés à accéder aux données. Deux enquêtes ont été sélectionnées pour la validation. Les listes de contrôle d'accès pour ces enquêtes indiquaient que l'accès était restreint aux codes d'utilisateur de chercheurs autorisés seulement.

Une dernière validation des listes de contrôle d'accès par numéro de projet a été effectuée pour déterminer si les projets avaient été configurés pour autoriser l'accès uniquement aux données associées au projet en question. Deux projets distincts et les codes d'utilisateurs qui y étaient associés ont été examinés dans le cadre de la vérification; cet examen a permis de confirmer que les utilisateurs ne pouvaient pas accéder à des données qui n'étaient pas associées à leur projet.

La vérification a permis de déterminer que des mesures de sécurité des TI pertinentes sont en place et sont appliquées pour la sauvegarde et la protection des données confidentielles de Statistique Canada. Des mesures de protection de l'accès, de l'identification et de l'authentification sont en place dans les CDR et fonctionnent comme prévu.

Recommandations :

Il est recommandé que le statisticien en chef adjoint, Statistique sociale, de la santé et du travail, s'assure que :

  • la fonction de fermeture automatique de session sur les postes de travail des chercheurs dans tous les CDR est activée, afin de garantir la sécurité des renseignements statistiques de nature délicate.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

  • Le directeur, DAM, veillera à ce que tous les postes de travail soient reconfigurés de façon que la fonction de fermeture automatique de session soit activée.

    Produit livrable et échéance : Validation de l'activation de la fonction de fermeture automatique de session sur tous les postes de travail. Cela a été fait.
  • Le directeur, DAM, veillera à ce que la liste de contrôle des TI fournie dans les lignes directrices sur la vérification de la sécurité des TI, qui fournissent des renseignements pertinents sur les paramètres de sécurité à vérifier et la façon de le faire dans le domaine, les serveurs et les postes de travail, soit mise à jour pour inclure la vérification de la fonction de fermeture automatique de session.

    Produit livrable et échéance : La liste de contrôle des TI est mise à jour pour inclure la vérification de la fonction de fermeture automatique des postes de travail. Cela a été fait. Les éléments de la liste de contrôle feront l'objet d'une vérification une fois par session universitaire.
  • Le directeur, DAM, veillera à ce qu'une fonction de fermeture automatique de session après 10 minutes soit automatiquement activée sur les postes de travail des CDR qui ont migré vers le domaine principal unique par l'application d'un objet de stratégie de groupe à l'échelle du domaine.

    Produit livrable et échéance : La gestion centralisée de la fermeture automatique de session sera achevée d'ici mars 2014.

Sécurité matérielle

Les rôles et responsabilités au niveau du programme et de la région sont définis et communiqués.
Des mesures de sécurité matérielle conformes aux politiques et normes pertinentes du SCT et de Statistique Canada sont en place et appliquées pour la sauvegarde et la protection des données confidentielles.
L'évaluation des pratiques et des procédures relatives à l'utilisation, par les chercheurs, de dispositifs électroniques personnels dans les CDR a révélé qu'il existe des possibilités de renforcer l'environnement informatique en veillant à ce que les procédures documentées concernant l'utilisation d'un téléphone cellulaire dans les CDR soient claires et cohérentes.

La sécurité matérielle dans les CDR doit être conforme aux politiques pertinentes du SCT, comme la Politique sur la sécurité du gouvernement (PSG) et le Manuel des pratiques de sécurité de Statistique Canada. Les rôles, les responsabilités et les obligations redditionnelles doivent être clairement définis et communiqués. Dans le contexte des CDR, la sécurité matérielle doit inclure des contrôles concernant l'accès aux locaux, la détection des intrusions et les activités de suivi.

Rôles et responsabilités

La vérification a révélé qu'au niveau du programme, les pouvoirs fonctionnels sont officiellement délégués au gestionnaire/directeur du Programme des CDR et, au niveau régional, à l'analyste du CDR. L'analyste du CDR de l'Université de l'Alberta relève du gestionnaire régional du CDR, qui se trouve à Winnipeg, alors que l'adjoint statistique relève de l'analyste à temps plein du CDR. La Sécurité du Bureau (SB) et les Services de technologie informatique au bureau central de Statistique Canada prodiguent orientation et directives en matière de sécurité matérielle. Ils réalisent des inspections de sécurité matérielle dans les CDR et fournissent des recommandations au directeur/gestionnaire du Programme des CDR. La première inspection de de sécurité matérielle au CDR de l'Université de l'Alberta a eu lieu juste avant l'ouverture du centre en 2001. Une deuxième inspection a été faite en février 2011. Des inspections périodiques de chaque CDR sont prévues tous les quatre ans.

Contrôle de la sécurité du périmètre

Le CDR de l'Université de l'Alberta est situé au troisième étage de la bibliothèque Rutherford de l'Université de l'Alberta. La vérification a révélé que le centre est conforme aux exigences du SCT et de Statistique Canada en ce qui a trait à la sécurité du périmètre, pour ce qui est des « étages partagés », c'est-à-dire la séparation et la construction des murs, ainsi que des portes pleines en bois dotées de quincaillerie et d'accessoires robustes.

Contrôles de sécurité à l'entrée

L'accès au CDR de l'Université de l'Alberta se fait par un point d'entrée unique, afin de permettre un filtrage et des contrôles efficaces par le personnel du CDR. Chaque porte d'entrée est dotée d'une alarme électronique en cas d'intrusion et d'un cadenas dont seuls les membres du personnel du CDR et de la sécurité du campus ont les clés. Cela est conforme aux exigences du SCT et de Statistique Canada.

Contrôles de la sécurité de l'accès

Afin de respecter les exigences du SCT et de Statistique Canada, un système d'accès avec carte à bande magnétique, c'est-à-dire une carte d'identité renfermant des données électroniques permettant d'identifier le détenteur, est en place dans le CDR pour contrôler l'accès aux installations. Le système enregistre toutes les entrées, sorties et tentatives infructueuses, ainsi que le numéro de la carte utilisée, qui est associé à l'utilisateur. Le personnel du CDR peut, au besoin, consulter et imprimer un registre de tous les accès indiquant le numéro de la carte, l'heure et le résultat. Les visiteurs non autorisés ne peuvent pas aller au-delà de la porte d'entrée des installations du CDR. Le système a été mis à l'essai dans le cadre de la vérification et le registre des accès pour quatre jours distincts entre mai et juillet 2012 a été examiné; toutes les entrées, sorties et tentatives infructueuses ont été consignées et associées à des cartes d'accès spécifiques.

Contrôles du câblage de télécommunications et des zones à accès restreint

La vérification a montré que le câblage des TI passe dans les murs et les plafonds du CDR, dans des conduits protégés. Il y a une salle de serveur sécurisée, qui est toujours verrouillée, ainsi que des armoires verrouillées pour l'entreposage des disques compacts et des fichiers archivés des chercheurs, afin de protéger les données confidentielles, classifiées et protégées. L'accès au réseau B est disponible uniquement dans le bureau de l'analyste du CDR. Il y a une salle de réunion distincte à l'intention des chercheurs et du personnel du CDR. L'imprimante et le télécopieur-photocopieur du centre se trouvent dans une pièce distincte, dont la porte est fermée. Les fonctions de télécopie et de numérisation sont en outre limitées; pour les utiliser, il faut entrer un mot de passe que seuls l'analyste et l'adjoint statistique connaissent.

Contrôles de la détection des intrusions et des activités de suivi

Les responsables de la sécurité du campus assurent un contrôle 24 heures sur 24 et sept jours sur sept des installations du CDR. Ces responsables ont une carte d'accès et un code de sécurité pour le système d'alarme. Un système de détection de mouvement est également installé pour améliorer la sécurité. Ce système est en fonction entre 18 h et 7 h. Si l'alarme ou le système de détection de mouvement est déclenché, les responsables de la sécurité du campus en sont informés à titre de premiers répondants. L'analyste du CDR et le directeur universitaire sont ensuite informés.

Les CDR ne peuvent être laissés sans surveillance. Si l'analyste du CDR ou l'adjoint statistique doivent quitter le CDR pendant les heures d'ouverture normales, les chercheurs doivent aussi le faire, la porte doit être fermée à clé et une affiche doit être placée sur la porte.

L'inspection physique du CDR de l'Université de l'Alberta a permis de déterminer que des mesures pertinentes de sécurité matérielle sont en place et sont respectées pour la sauvegarde et la protection des données confidentielles de Statistique Canada et que l'accès au CDR est limité au personnel autorisé, c'est-à-dire les personnes réputées être employées, comme les chercheurs et le personnel de soutien des TI de l'université.

Contrôles des activités de nettoyage et d'entretien

En conformité des exigences du SCT et de Statistique Canada, l'équipe de vérification a confirmé auprès du personnel du CDR que les membres du personnel d'entretien et de nettoyage n'ont pas de carte d'accès au CDR. Le personnel de nettoyage peut accéder au CDR uniquement pendant les heures d'ouverture normales et est escorté par le personnel du CDR.

Utilisation de dispositifs électroniques dans les CDR

La vérification a révélé que la documentation préparée par le CDR concernant l'utilisation de dispositifs électroniques personnels (téléphones cellulaires, assistants numériques personnels, ordinateurs portatifs) dans le CDR n'est pas cohérente. Un document intitulé Security in the RDC (La sécurité au CDR) précise que « les chercheurs ne sont pas autorisés à apporter quelque dispositif électronique personnel que ce soit dans les locaux du centre [traduction libre] ». Le document interne intitulé Description of security measures to protect data (Description des mesures de sécurité visant à protéger les données) indique qu'« il est interdit aux chercheurs d'apporter des dispositifs électroniques à un poste de travail [traduction libre] ». Enfin, le Guide à l'intention des chercheurs remis à tous les chercheurs ayant un CRM signé stipule ce qui suit : « Les chercheurs peuvent apporter des appareils électroniques dans le CDR. Toutefois, ils ne sont pas autorisés à utiliser un appareil de traitement de texte, de messagerie ou de saisie d'images/de texte […] au poste de travail ou dans la zone sécuritaire du CDR. […]. En cas d'urgence, le chercheur peut laisser son téléphone cellulaire ouvert (de préférence en mode de vibration) pendant qu'il est dans le centre. Pour répondre à un appel, le chercheur doit s'éloigner du poste de travail et mener la conversation à l'extérieur de la zone sécuritaire du CDR. »

Les lignes directrices concernant l'utilisation de dispositifs électroniques par les chercheurs dans le CDR auraient avantage à être cohérentes et claires en ce qui concerne les téléphones cellulaires et les autres dispositifs électroniques. La confusion quant au traitement approprié des dispositifs électroniques personnels peut accroître le risque pour la confidentialité des renseignements détenus dans le CDR.

Recommandations :

Il est recommandé que le statisticien en chef adjoint, Statistique sociale, de la santé et du travail, s'assure que :

  • les politiques et directives concernant l'utilisation de téléphones cellulaires et d'autres dispositifs électroniques dans les CDR sont cohérentes et définissent clairement les pratiques approuvées.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

  • Le directeur, DAM, veillera à ce que les versions plus anciennes des documents des CDR soient mise à jour pour s'assurer que les documents sont conformes au Guide à l'intention des chercheurs en ce qui concerne l'utilisation des téléphones cellulaires dans les CDR.

    Produit livrable et échéance : Les documents plus anciens sont mis à jour pour tenir compte des pratiques énoncées dans le Guide à l'intention des chercheurs à propos de l'utilisation de téléphones cellulaires. Cela a été fait.
  • Le directeur, DAM, veillera à ce que les gestionnaires régionaux rappellent aux analystes des CDR, dans le cadre des communications régionales, les procédures en vigueur en ce qui concerne l'utilisation appropriée des téléphones cellulaires et des dispositifs électroniques.

    Produit livrable et échéance : Les gestionnaires régionaux communiqueront aux analystes des CDR les procédures en vigueur concernant l'utilisation appropriée des téléphones cellulaires et des dispositifs électroniques. L'information sera transmise à tous les analystes des CDR au plus tard le 30 novembre 2012.

Secteur d'intérêt n° 2 : Le CDR de l'Université de l'Alberta dispose de pratiques et de mécanismes efficaces, afin de veiller à ce que la confidentialité des données soit protégée dans la prestation des services.

Administration des contrats de recherche pour l'utilisation de microdonnées et contrôle de la confidentialité

Les pouvoirs requis pour l'administration des contrats de recherche pour l'utilisation de microdonnées (CRM) et l'analyse des risques pour la confidentialité sont officiellement délégués au niveau du programme et des opérations, et les rôles et responsabilités sont formellement définis et communiqués.
Les processus, procédures et activités propres à chaque enquête liés au contrôle de la confidentialité des extrants produits par les chercheurs sont efficaces et protègent la confidentialité des données.

Administration des contrats de recherche pour l'utilisation de microdonnées (CRM)

L'administration des CRM comporte un ensemble de responsabilités et de procédures pour contrôler et protéger l'information détenue dans les CDR. Les pratiques mises en œuvre comprennent la restriction de l'accès aux installations aux seuls chercheurs détenant une cote de sécurité valide et un contrat en vigueur, ainsi que l'établissement et la tenue à jour de répertoires de données administratives sur chaque projet de recherche.

Autorité

Le CDR de l'Université de l'Alberta est exploité en vertu des dispositions de la Loi sur la statistique et est administré en conformité des règles de confidentialité qui régissent Statistique Canada. Seuls les chercheurs dont le projet a été approuvé et qui ont prêté serment à titre de « personnes réputées être employées » en vertu de la Loi sur la statistique peuvent avoir accès au CDR.

Rôles et responsabilités

Les rôles et responsabilités relativement à la gestion des CRM, à l'accès aux microdonnées confidentielles et au contrôle de confidentialité sont définis et communiqués à tous les intervenants dans des politiques, lignes directrices, normes et guides détaillés. Au niveau du programme, les pouvoirs sont officiellement délégués au gestionnaire des CDR dans le Manuel des pratiques de sécurité de Statistique Canada, qui stipule que le gestionnaire des CDR est chargé d'établir et de tenir à jour un relevé des renseignements administratifs sur les projets de recherche auxquels prennent part les personnes réputées être employées pour le bureau central, les bureaux régionaux et les centres de données de recherche. Ces renseignements comprennent les propositions de recherche et les autres renseignements acquis tout au long du cycle de vie du projet ainsi que l'attestation signifiant que les formalités prescrites ont été observées.

Tous les renseignements sur les contrats des CDR ont été transférés dans le Système de gestion des relations avec les clients (SGRC). Cette base de données sert à gérer les renseignements sur les CRM et les personnes autorisées à accéder aux microdonnées dans les CDR et au bureau central. Ces renseignements comprennent l'état du contrat, les dates d'approbation, les noms des chercheurs, les noms des examinateurs et les résultats des examens, les dates de fin des contrats et les données que les chercheurs sont autorisés à consulter.

En outre, aux termes de la Politique sur la sécurité des renseignements statistiques de nature délicate, les directeurs doivent contrôler et protéger tous les renseignements statistiques de nature délicate que leur secteur a obtenus ou qu'il garde pour réaliser les objectifs de leur programme. Lorsque l'accès à de tels renseignements est accordé au niveau d'un centre de données de recherche ou d'une entité équivalente, cette responsabilité incombe au gestionnaire, Programme des centres de données de recherche.

Procédures de traitement des contrats

Les CDR sont régis par les dispositions de la Loi sur la statistique en application de toutes les règles de confidentialité. Ce mode d'accès est approprié lorsque le chercheur ne peut trouver de réponse à une question de recherche qu'en procédant à une analyse statistique inférentielle des microdonnées confidentielles. En outre, le chercheur doit être disposé à devenir une « personne réputée être employée » de Statistique Canada ainsi qu'à effectuer l'analyse des données dans le laboratoire informatique protégé du CDR. L'accès au CDR est approprié dans les cas où :

  • le chercheur a besoin d'accéder à des variables de nature délicate qui ne sont pas fournies dans les fichiers de microdonnées à grande diffusion (FMGD) pour effectuer son analyse;
  • il n'existe pas de FMGD;
  • des données longitudinales sont nécessaires à l'analyse;
  • l'analyse est de nature complexe et ne convient pas à un autre mode d'accès aux données.

Si l'on détermine que le CDR est le mode d'accès approprié, le chercheur doit préparer un projet de recherche. Le projet précise la portée de la recherche proposée par le chercheur ainsi que les bases des données dont il aura besoin pour son analyse. Dans sa proposition, le chercheur doit préciser la ou les questions et objectif(s) de recherche ainsi que les méthodes statistiques et les logiciels à utiliser dans les analyses.

Les chercheurs potentiels soumettent leurs propositions de recherche qui doivent être évaluées par les pairs suivant l'une de deux procédures suivantes : au Conseil de recherches en sciences humaines (CRSH) ou, dans le cas de travaux liés aux politiques, à l'évaluation par les « coordonnateurs statistiques provinciaux et territoriaux » de la province dans chaque ministère des gouvernements fédéral, provinciaux et territoriaux. Une révision institutionnelle de Statistique Canada accompagne chacun de ces types de demande.

Dans le cas d'un projet assujetti au processus d'examen par les pairs du CRSH, une fois le processus d'examen achevé, le chercheur principal reçoit une lettre du CRSH l'informant de la décision du comité et lui fournissant une copie des commentaires des examinateurs.

Si la proposition est approuvée, la lettre du CRSH demande au chercheur principal de communiquer avec l'analyste du CDR pour amorcer le processus administratif conduisant à l'accès au CDR. Le chercheur dispose de 12 mois à compter de la date de la lettre pour entreprendre le projet; après cette date, l'accès accordé aux fins du projet de recherche prend fin et le chercheur doit présenter une nouvelle demande au CRSH. La proposition approuvée est intégrée au CRM (appelé « le contrat ») conclu entre le chercheur principal et Statistique Canada.

Alors que la proposition établit la portée de la recherche à effectuer en vertu du contrat, le contrat précise les modalités d'accès ci-dessous :

  • Objet et portée du projet de recherche tels qu'établis dans la proposition de recherche approuvée;
  • Consentement de Statistique Canada à fournir l'accès aux microdonnées confidentielles;
  • Consentement des chercheurs à se conformer aux exigences du CDR en matière de sécurité et de confidentialité;
  • Consentement du chercheur à effectuer le travail au CDR et à produire des résultats correspondants aux objectifs énoncés dans le projet de recherche;
  • Entente en ce qui a trait à la durée du contrat;
  • Consentement du chercheur principal à remettre un produit final à Statistique Canada à la fin du contrat.

Avant que Statistique Canada ne signe un CRM, le chercheur qui souhaite avoir accès à un CDR doit devenir une « personne réputée être employée » et faire l'objet d'une enquête de sécurité afin d'obtenir une cote de fiabilité en vertu des paragraphes 5(2) et 5(3) de la Loi sur la statistique, et il doit prêter serment ou affirmation d'office et de discrétion en vertu du paragraphe 6(1) de la Loi sur la statistique. Il doit aussi signer le Code de valeurs et d'éthique de la fonction publique de Statistique Canada. Ces étapes doivent être franchies avant que Statistique Canada ne signe le CRM. Une fois que le chercheur satisfait à ces exigences et qu'il a assisté à une séance d'orientation, il est officiellement une « personne réputée être employée » de Statistique Canada. Les chercheurs des CDR et les autres personnes réputées être employées doivent réaffirmer leur serment de discrétion dans le deux cas suivants : 1) lorsqu'un chercheur souhaite avoir de nouveau accès aux données alors qu'il ne détient aucun contrat actif depuis un an ou plus, ou 2) lorsque la cote de sécurité arrive à expiration.

Le contrat de recherche pour l'utilisation de microdonnées est également signé par Statistique Canada, soit par le gestionnaire du Programme des CDR ou par le directeur de la division chargé de l'enquête. Sur réception de cette signature, le chercheur peut ensuite avoir accès aux microdonnées confidentielles et commencer son analyse des données au CDR.

La vérification a permis de vérifier la conformité aux procédures de traitement des contrats, grâce à l'examen d'un échantillon de vingt contrats terminés ou en cours, ainsi que de six propositions en cours de traitement, approuvées mais en attente d'un contrat final ou retirées, pour le CDR de l'Université de l'Alberta. La vérification a révélé que pour tous les contrats en cours et terminés de l'échantillon, la proposition de projet et une liste d'ensembles de données ainsi qu'une copie signée du CRM et des modifications et révisions qui y ont été apportées figuraient dans le dossier et étaient complets. En ce qui concerne les propositions en attente de contrat ou retirées, des documents attestant de l'examen et de l'approbation de la proposition figuraient aux dossiers. La vérification a aussi révélé des propositions qui ont été approuvées mais dont les extrants finaux ont été rejetés ou ont dû être modifiés, ce qui montre que l'analyse des risques pour la confidentialité se poursuit pendant toute la durée du contrat.

Dans le cadre de la vérification, on a vérifié que tous les documents requis ont été établis et sont valides et signés pour chacun des 71 chercheurs associés aux 26 CRM de l'échantillon. La vérification a révélé que tous les chercheurs avaient signé les formulaires de serment et le Code de valeurs et d'éthique et détenaient une cote de sécurité valide.

Contrôle de confidentialité

Les CDR sont les dépositaires des fichiers de microdonnées de Statistique Canada, qui sont accessibles pour les chercheurs dont les projets sont approuvés. Des processus et des procédures efficaces et appropriées pour le contrôle de confidentialité devraient être en place et appliqués, afin de réduire de façon significative les risques de divulgation non désirée. Le contrôle de confidentialité doit être administré soigneusement par l'analyste du CDR, conformément aux protocoles établis, afin de veiller à ce que la confidentialité des données ne soit pas compromise.

Le contrôle de confidentialité est le processus de filtrage des produits de recherche, de fichiers de syntaxe ou de documents se rapportant aux données confidentielles pour évaluer le risque de divulgation non autorisée. Pour ce faire, on tente de déterminer s'il est possible d'inférer ou de déduire des données d'identification évidentes de cas individuels ou des renseignements concernant des cas individuels, à partir des produits statistiques. Il existe trois types de divulgation : divulgation d'identité; divulgation d'attribut; et divulgation par recoupement.

Rôles et responsabilités

La vérification a confirmé que l'analyste à temps plein du CDR de l'Université de l'Alberta s'acquitte du contrôle de la confidentialité pour le CDR. Elle travaille au CDR depuis son ouverture en 2001 et a des connaissances et de l'expérience concernant les techniques et les logiciels d'échantillonnage statistique. La documentation souligne que la première responsabilité de l'analyste du CDR lorsqu'il procède à un contrôle de confidentialité consiste à s'assurer que des renseignements confidentiels ne sont pas divulgués dans les résultats de recherche qui sortiront du CDR. L'analyste examine tous les documents que le chercheur souhaite sortir du CDR; la responsabilité finale et la décision de sortir du CDR les résultats des analyses lui reviennent.

Le contrôle de confidentialité se fait au moyen des lignes directrices propres aux enquêtes pour toutes les enquêtes auxquelles les CDR donnent accès. Les questions ou préoccupations concernant le processus de contrôle ou les techniques statistiques sont réglées par le gestionnaire régional des CDR ou par le comité de contrôle de confidentialité du CDR.

Les chercheurs reçoivent de la formation pendant leur séance d'orientation concernant le processus de contrôle de confidentialité et les documents requis, y compris les diverses méthodes d'analyse et la façon de remplir le formulaire de demande de divulgation pour chaque demande de produits.

Processus et procédures

Une ébauche de document détaillé et exhaustif intitulé Guide de l'analyse des risques de divulgation à l'intention des analystes des CDR fournit à l'analyste du CDR des instructions détaillées étape par étape, ainsi que des illustrations et des diagrammes, sur la façon de procéder à un contrôle de confidentialité. Des lignes directrices sur l'analyse des risques de divulgation pour les divers types de données et produits descriptifs ou tabulaires, ainsi que des matrices de variance-covariance et de corrélation, des graphiques, des modèles et un exemple de « formulaire de demande de divulgation » sont aussi inclus.

Une partie importante du processus consiste pour les chercheurs à remplir le Formulaire de demande de contrôle de confidentialité (anciennement le Formulaire de demande d'analyse de divulgation), dans lequel ils doivent fournir les renseignements nécessaires à l'analyste pour effectuer un contrôle de confidentialité et consigner la démarche effectuée. Le chercheur doit indiquer le nom du fichier de sortie, le nom de l'enquête et les cycles d'enquête visés par son analyse, les caractéristiques de la population analysée, la méthode statistique, les poids utilisés et, s'il y a lieu, vérifier l'étendue du risque de divulgation par recoupement. Il doit aussi fournir une description des variables sur le formulaire de demande ou dans un document distinct et produire les mêmes extrants avec poids (en appliquant les poids d'échantillonnage) et sans poids (extrants tirés des données brutes) pour appuyer le contrôle de confidentialité. Les analystes s'appuient sur les extrants non pondérés pour confirmer que les résultats satisfont le seuil minimal de répondants nécessaire pour produire des estimations pouvant être diffusées. Une fois le contrôle effectué, les extrants pondérés sont communiqués au chercheur par le CDR.

Les lignes directrices et les processus en matière de contrôle de confidentialité sont énoncés dans le Guide à l'intention des chercheurs. L'impression est acheminée à l'imprimante de réseau, qui est contrôlée par l'analyste du CDR. Du papier de couleur est utilisé pour l'impression, et tout ce qui est imprimé sur du papier de couleur ne peut pas être emporté à l'extérieur du CDR. Ce contrôle permet au personnel du CDR de vérifier visuellement ce qui sort du CDR.

Dans le cadre de la vérification, 16 contrats actifs ou terminés ont fait l'objet d'une vérification afin de s'assurer que des processus et procédures efficaces de contrôle de confidentialité sont en place. Pour trois des contrats de l'échantillon, aucune donnée n'avait fait l'objet d'une demande de contrôle de confidentialité. Pour les 13 contrats associés à des produits exigeant un contrôle de confidentialité, les documents pertinents (c.-à-d. la demande de contrôle de confidentialité, la liste des variables, les extrants pondérés et non pondérés, les données ayant fait l'objet d'un contrôle antérieur et, dans certains cas, les fichiers de syntaxe) figuraient aux dossiers. La vérification a révélé que les dossiers contrôlés connexes renfermaient les preuves à l'appui de l'exécution d'un contrôle de confidentialité pour les 13 contrats, y compris une vérification des fréquences par cellule, l'élimination des extrants non pondérés et la suppression des extrants pondérés lorsque la confidentialité risquait d'être compromise.

La vérification a permis de déterminer que l'analyste du CDR s'assure que les données confidentielles de Statistique Canada ne sont pas compromises en administrant et en évaluant avec soin toutes les demandes de contrôle de confidentialité.

Annexes

Annexe A : Critères de vérification

Le tableau montre les résultats de annexe a : critères de vérification . Les données sont présentées selon secteur d'intérêt/contrôles de base/critères (titres de rangée) et sous-critères et instrument de politique(figurant comme en-tête de colonne).
Secteur d'intérêt/contrôles de base/critères Sous-critères Instrument de politique
1) Le CDR de l'Université de l'Alberta respecte les politiques et normes pertinentes du Secrétariat du Conseil du Trésor (SCT) et de Statistique Canada concernant la sécurité des technologies de l'information (TI) et la sécurité matérielle, afin de veiller à ce que la confidentialité des données soit protégée dans la prestation des services.
Gérance
1.1 Des contrôles pertinents de la sécurité matérielle et de la sécurité des TI sont en place. (ST-11) 1.1.1 Des contrôles d'accès logique sont en place pour veiller à ce que seuls les utilisateurs autorisés aient accès aux systèmes, aux données et aux programmes. SCT – Politique sur la sécurité du gouvernement

SCT – Norme sur la sécurité matérielle

SCT – Directive sur la gestion de la sécurité ministérielle

Manuel des pratiques de sécurité de Statistique Canada

Politique sur la sécurité des TI de Statistique Canada

Documents internes des CDR sur la sécurité matérielle et la sécurité des TI
1.1.2 L'accès physique aux installations du CDR est restreint pour la protection des biens de nature délicate. Politique sur la sécurité des renseignements statistiques de nature délicate

SCT – Norme sur la sécurité matérielle

Manuel des pratiques de sécurité de Statistique Canada

Loi sur la statistique

Directive sur la révélation discrétionnaire
1.1.3 Des procédures et des mécanismes d'authentification et d'accès sont en place dans les installations du CDR . Documents internes des CDR sur la sécurité matérielle et la sécurité des TI

Politique sur la sécurité des renseignements statistiques de nature délicate

Politique sur l'utilisation de personnes réputées être employées

Loi sur la statistique

Documents internes des CDR sur la sécurité matérielle et la sécurité des TI
1.2 Les dossiers, les renseignements et les autres biens de nature délicate sont protégés par des systèmes d'information maintenus conformément aux lois et aux règlements en vigueur. (ST-12) 1.2.1 Des procédures visant à sauvegarder et à protéger l'utilisation des biens (c.-à-d. utilisation autorisée seulement) sont en place et sont respectées. Politique sur la sécurité des renseignements statistiques de nature délicate

Directive sur la révélation discrétionnaire

Documents internes des CDR sur la sécurité matérielle et la sécurité des TI

Documents internes des CDR en matière de confidentialité
1.2.2 Les mesures de sécurité matérielle et de sécurité des TI sont conformes aux politiques du SCT et aux politiques et procédures de Statistique Canada pertinentes. SCT – Directive sur la gestion de la sécurité ministérielle

Documents internes des CDR sur la sécurité matérielle et la sécurité des TI

Manuel des pratiques de sécurité de Statistique Canada

Politique sur la sécurité des TI de Statistique Canada

SCT – Politique sur la sécurité du gouvernement

SCT – Norme sur la sécurité matérielle
1.2.3 Les dérogations aux politiques et procédures du SCT et de Statistique Canada sont repérées et les mesures qui s'imposent sont prises. Politique sur la sécurité des TI de Statistique Canada

SCT – Politique sur la sécurité du gouvernement

SCT – Norme sur la sécurité matérielle

Directive sur la révélation discrétionnaire

Manuel des pratiques de sécurité de Statistique Canada
1.3 Les gestionnaires ont établi des processus pour élaborer et gérer les ententes, les protocoles d'entente et (ou) les contrats pertinents aux fins du Programme des CDR dans la région. (ST-22) 1.3.1 Les processus régissant l'accès aux données respectent les politiques pertinentes du SCT et de Statistique Canada en matière de sécurité des TI. Cadre de responsabilisation de gestion

SCT – Directive sur la gestion de la sécurité ministérielle

Manuel des pratiques de sécurité de Statistique Canada

Loi sur la statistique

Politique sur la sécurité des renseignements statistiques de nature délicate

Directive sur la révélation discrétionnaire

Politique sur l'utilisation de personnes réputées être employées
1.3.2 Les gestionnaires ont mis en œuvre un programme de surveillance des activités des fournisseurs externes assurant la prestation de services de TI. SCT – Directive sur la gestion de la sécurité ministérielle

Manuel des pratiques de sécurité de Statistique Canada

Politique sur la sécurité des TI de Statistique Canada

Documents internes des CDR
1.4 Les gestionnaires ont désigné et mis en œuvre des contrôles généraux efficaces des systèmes informatiques des CDR. (ST-23) 1.4.1 Les responsables hiérarchiques pertinents ont conçu et mis en œuvre des processus, des procédures et des contrôles pour la protection des fichiers de microdonnées de Statistique Canada, y compris :
  • des contrôles d'accès logique – pour contrôler l'accès aux fichiers de microdonnées, conformément aux modalités des contrats de recherche pour l'utilisation de microdonnées.
  • des mesures de sécurité des systèmes informatiques – pour assurer la protection électronique des données et prévenir et déceler les vulnérabilités au chapitre de la sécurité.
 Cadre de responsabilisation de gestion

Rapports d'inspection de la sécurité des CDR

Manuel des pratiques de sécurité de Statistique Canada
1.4.2 Les contrôles du Programme des CDR de la région comprennent un ensemble de contrôles automatisés et manuels, dont l'efficacité opérationnelle fait périodiquement l'objet d'une vérification. Rapports d'inspection de la sécurité des CDR

Manuel des pratiques de sécurité de Statistique Canada
2) Le CDR de l'Université de l'Alberta dispose de pratiques et de mécanismes efficaces, afin de veiller à ce que la confidentialité des données soit protégée dans la prestation des services au CDR régional.
Responsabilisation
2.1 Les pouvoirs, les responsabilités et les obligations redditionnelles sont officiellement et clairement définis et communiqués. (AC-1) 2.1.1 Les responsabilités et les obligations redditionnelles sont officiellement et clairement définies et communiquées aux employés de Statistique Canada, aux chercheurs et aux partenaires des CDR . Cadre de responsabilisation de gestion

Manuel des pratiques de sécurité

Documents internes des CDR sur les rôles et les responsabilités

Politique sur l'utilisation de personnes réputées être employées

Loi sur la statistique

Politique sur la sécurité des renseignements statistiques de nature délicate
2.1.2 Tous les documents et ententes pertinents définissent clairement les rôles, les responsabilités et les obligations redditionnelles de toutes les parties en ce qui concerne les CDR et la protection de la confidentialité des données de Statistique Canada. Modèles de CRM

Serment ou affirmation de discrétion

Documents sur les valeurs et l'éthique

Manuel des CDR à l'intention des chercheurs
2.1.3 Les pouvoirs sont officiellement délégués, en fonction des responsabilités de chacun. Le cas échéant, les fonctions incompatibles ne sont pas combinées. Politique sur la sécurité des renseignements statistiques de nature délicate

Documents internes sur le contrôle de confidentialité
Obligations redditionnelles
2.2 Le Programme des CDR est doté d'une structure organisationnelle claire, efficace et documentée. (AC-2,3) 2.2.1 Les pouvoirs fonctionnels liés à la sécurité des TI et à la sécurité matérielle dans le contexte du programme des CDR font l'objet d'une approbation appropriée et sont exercés par les chefs fonctionnels tant à l'échelle de l'ensemble du programme que des CDR régionaux. Manuel des pratiques de sécurité

Politique sur l'utilisation de personnes réputées être employées

Procédures d'ouverture d'un CDR

Procédures d'exploitation d'un CDR
2.2.2 La structure organisationnelle du Programme des CDR , tant à l'échelle du programme qu'à l'échelle régionale, permet le maintien de voies de communication claires et efficaces avec les partenaires externes et une reddition de comptes en matière de confidentialité, de sécurité des TI et de sécurité matérielle. Documents organisationnels et organigrammes des CDR

Documents des CDR à l'intention du personnel

Documents des CDR à l'intention des directeurs universitaires

Documents des CDR à l'intention des chercheurs
Gestion des risques
2.3 Les gestionnaires cernent et évaluent les risques qui pourraient nuire à l'atteinte des objectifs et prennent les mesures qui s'imposent. (RM-2) 2.3.1 Les risques sont cernés à l'échelle du programme et à l'échelle régionale et tiennent compte des contextes interne et externe du Programme des CDR . Registre des risques de la Division

Cadre de responsabilisation de gestion
2.3.2 Des évaluations des contrôles de la sécurité matérielle et de la sécurité des TI sont menées par les gestionnaires, avec la contribution des fonctions des services intégrés pertinentes. Manuel des pratiques de sécurité de Statistique Canada

Politique sur la sécurité des TI de Statistique Canada

Inspections de la sécurité des CDR
2.4 Les gestionnaires déterminent et évaluent le caractère approprié des contrôles en place pour gérer efficacement les risques. (RM-3) 2.4.1 Il existe des processus et des lignes directrices officiels afin d'évaluer les contrôles en place pour gérer les risques déterminés. Guide des CDR à l'intention des chercheurs

Politique sur la sécurité des renseignements statistiques de nature délicate

Documents internes sur le contrôle de confidentialité

Inspections de la sécurité des CDR
Valeurs de la fonction publique
2.5 Les employés attestent formellement et périodiquement qu'ils se conforment aux politiques de Statistique Canada en matière de protection de la confidentialité des renseignements statistiques de nature délicate. (PSV-5) 2.5.1 À leur entrée en fonction, tous les employés et personnes réputées être employées de Statistiques Canada signent une déclaration (Loi sur la statistique / serment de Statistique Canada) en vertu de laquelle ils reconnaissent comprendre et se conformer aux politiques pertinentes du Programme des CDR . Loi sur la statistique

Serment de discrétion

Documents sur les valeurs et l'éthique

Guide des CDR à l'intention des chercheurs

Politique sur la sécurité des renseignements statistiques de nature délicate

Guide à l'intention des chercheurs des CDR

Politique sur l'utilisation de personnes réputées être employées
2.5.2 Les employés, les personnes réputées être employées et les partenaires externes de Statistique Canada renouvellent périodiquement leur attestation de conformité. Manuel des pratiques de sécurité de Statistique Canada

Documents internes des CDR sur la sécurité

Annexe B : Acronymes

Acronymes
Acronyme Description
ACL Active Control Listing, liste de contrôle d'accès
BIOS Basic Input/Output System, système élémentaire d'entrée/sortie
CDR Centre de données de recherche
CFDR Centre fédéral de données de recherche
CMV Comité ministériel de vérification
CRM Contrat de recherche pour l'utilisation de microdonnées
CRSH Conseil de recherches en sciences humaines
DAM Division de l'accès aux microdonnées
FMGD Fichier de microdonnées à grande diffusion
IRSC Instituts de recherche en santé du Canada
IVI Institut des vérificateurs internes
RAID Redundant Array of Independent Disks, regroupement redondant de disques indépendants
RCCDR Réseau canadien des centres de données de recherche
RE Réseau étendu
SB Sécurité du Bureau
SC Statisticien en chef
SCT Secrétariat du Conseil du Trésor
SGRC Système de gestion des relations avec les clients
TI Technologies de l'information
USB Universal Serial Bus, bus universel en série

Vérification de l'Accord de partage de données
Ministre de l'Énergie de l'Alberta

Rapport de vérification

17 décembre 2012
Numéro de projet : 80590-73

Résumé

Pour remplir son mandat, la Division de la fabrication et de l'énergie (DFE) conclut des accords de partage de données statistiques avec des organisations en vertu de l'article 12 de la Loi sur la statistique. En général, il y a partage de données à des fins statistiques lorsqu'une enquête statistique et d'information est entreprise par les partenaires d'une enquête conjointe, ou qu'une source de données communes est la propriété en parts égales d'au moins deux partenaires. Les accords de partage de données (APD) sont un processus opérationnel clé. Ces dernières années, la gestion du partage des données a pris de l'ampleur et est devenue de plus en plus complexe. Assurer la confidentialité des données présente un défi.

Afin de protéger la confidentialité et la nature délicate des renseignements recueillis, les APD comprennent des modalités pour faire en sorte que la confidentialité des renseignements ne soit pas compromise.

L'objectif de la présente vérification est de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) de Statistique Canada l'assurance que :

  • les modalités de l'Accord de partage de données (APD) entre Statistique Canada et le Ministre de l'Énergie de l'Alberta sont respectées.

La vérification a été effectuée par la Division de la vérification interne en conformité avec la Politique sur la vérification interne du gouvernement du Canada.

Bien que la portée de la vérification ait été limitée à un APD en particulier, il a été déterminé que la nature des constatations avait un impact sur le processus plus large de la gestion des accords de partage de données au sein de lagence. Conséquemment, le Comité des politiques de Statistique Canada a contribué à la réponse de la direction et le plan d'action pour donner suite aux conclusions et recommandations au niveau corporatif.

Principales constatations

À Statistique Canada, les rôles et responsabilités en matière de mise en œuvre et de gestion de l'APD avec le Ministre de l'Énergie de l'Alberta sont définis et les pratiques à cet égard sont en place, mais la vérification a montré qu'on ne s'y conforme pas toujours parce que les lignes directrices internes au niveau du programme ne sont pas suffisamment claires.

Il y a lieu de renforcer les pratiques de gestion de l'APD à la DFE pour faire en sorte que les renseignements confidentiels communiqués au ministère de l'Énergie de l'Alberta portent seulement sur les années auxquelles il est fait référence dans l'APD.

La vérification a montré que des pratiques et des procédures de partage des renseignements confidentiels de Statistique Canada existent mais qu'il y a lieu de les renforcer. Le cadre stratégique pour la gestion des APD et la diffusion anticipée des microdonnées confidentielles devrait être plus clair et mieux intégré de manière à en assurer l'application uniforme et appropriée.

Au ministère de l'Énergie de l'Alberta, les protocoles internes de gestion et de traitement des renseignements confidentiels de Statistique Canada n'ont pas toujours été suivis parce que les employés ne comprenaient pas bien leurs rôles et responsabilités.

Des contrôles efficaces de l'accès physique aux locaux du ministère de l'Énergie de l'Alberta sont en place. Des contrôles d'accès logique et des mesures d'identification et d'authentification sont en place et contrôlées par le groupe des technologies de l'information (TI). Toutefois, il existe des possibilités de renforcer les contrôles d'accès aux données en veillant à ce que les microdonnées de Statistique Canada soient entreposées de façon sécuritaire et accessibles seulement aux personnes autorisées au ministère de l'Énergie de l'Alberta, conformément aux modalités de l'APD.

Conclusion générale

Le Ministre de l'Énergie de l'Alberta a conclu un accord de partage de données statistiques avec Statistique Canada à des fins statistiques et de recherche et pour faciliter la prise de décisions portant sur le secteur de l'énergie dans la province.

Même si Statistique Canada a énoncé les rôles et responsabilités en matière de gestion des APD, il est nécessaire de fournir plus de précisions sur les rôles et responsabilités afin d'assurer la bonne gestion des microdonnées confidentielles. Améliorer le cadre stratégique pour la gestion des APD et la diffusion anticipée des microdonnées confidentielles aurait pour effet de garantir l'application uniforme et appropriée des politiques et des directives.

Des mesures de gérance des données sont en place au ministère de l'Énergie de l'Alberta mais il y a lieu de les appliquer pour faire en sorte que seules les personnes autorisées aient accès aux microdonnées confidentielles de Statistique Canada et que celles-ci soient entreposées conformément aux modalités énoncées dans l'APD.

Conformité aux normes professionnelles

La vérification est conforme aux Normes relatives à la vérification interne au sein du gouvernement du Canada, selon les résultats du Programme d'assurance et d'amélioration de la qualité.

Patrice Prud'homme
Dirigeant principal de la vérification

Introduction

Contexte

Le secteur de la statistique de l'énergie est l'un des deux programmes spécialisés de la Division de la fabrication et de l'énergie (DFE) à Statistique Canada ayant pour mandat de recueillir, compiler, analyser, dépouiller et publier des renseignements statistiques sur les activités des entreprises canadiennes dans le secteur de l'énergie. Les statistiques sur les caractéristiques financières, industrielles, opérationnelles et liées à l'emplacement du secteur de l'énergie sont obtenues au moyen de 23 enquêtes sur l'offre et la demande d'énergie, soit 8 enquêtes mensuelles, 2 enquêtes trimestrielles et 13 enquêtes annuelles. Les principales formes d'énergie couvertes sont le pétrole brut, le gaz naturel, le charbon, l'électricité et les produits pétroliers raffinés. La Section de la statistique de l'énergie produit des données sur les industries de production et de distribution d'énergie, la consommation de formes d'énergie particulières, l'exploitation et les technologies.

Le secteur de l'énergie a pris de l'importance en raison de nouveaux enjeux tels que la hausse des prix de l'énergie, la déréglementation des marchés de l'électricité et du gaz naturel, la sécurité énergétique et les dépendances, ainsi que les émissions de gaz à effet de serre résultant de la production et de la consommation de combustibles fossiles.

Pour remplir son mandat, la DFE conclut des accords de partage de données statistiques (APD) avec des organisations en vertu de l'article 12 de la Loi sur la statistique. En général, il y a partage de données à des fins statistiques lorsqu'une enquête statistique et d'information est entreprise par les partenaires d'une enquête conjointe, ou qu'une source de données communes est la propriété à parts égales d'au moins deux partenaires. On procède au partage de données lorsqu'il entraîne une réduction importante du fardeau de réponse et des coûts de participation pour les partenaires du partage des données, ainsi que des améliorations de l'exactitude, de la couverture, de la pertinence et de l'actualité des données statistiques. L'APD avec le ministère de l'Énergie de l'Alberta a été signé en 2010 et porte sur 21 enquêtes mensuelles et annuelles sur l'énergie.

Les enquêtes mensuelles permettent de recueillir des données volumétriques détaillées sur la production, les importations, les exportations, le transport par pipeline et les ventes intérieures de diverses ressources énergétiques. Les enquêtes trimestrielles et annuelles sur la destination de l'énergie fournissent des données sur la consommation des ressources énergétiques par les secteurs clés, notamment l'exploitation minière et l'extraction du pétrole et du gaz, la fabrication, l'exploitation forestière, la construction, le transport et l'agriculture ainsi que les secteurs résidentiel, commercial et institutionnel. D'autres enquêtes annuelles fournissent des renseignements opérationnels et techniques, par exemple sur les capacités de production des centrales électriques, les émissions de gaz à effet de serre des grandes exploitations industrielles ou les états financiers de l'industrie énergétique.

Dans le cas de la plupart des enquêtes, les données sont recueillies directement auprès des répondants. Font exception les données sur la production mensuelle d'électricité, de pétrole brut et de gaz naturel ainsi que celles sur les importations et les exportations d'énergie lorsque ces données proviennent de sources administratives fédérales et provinciales.

Le ministère de l'Énergie de l'Alberta peut utiliser les renseignements communiqués en application de l'APD se rapportant à un répondant identifiable à des fins statistiques et de recherche seulement. La vérification permettra de s'assurer que la confidentialité des renseignements n'est pas compromise et que les données sont protégées.

Objectifs de la vérification

L'objectif de la vérification est de fournir au statisticien en chef (SC) et au Comité ministériel de vérification (CMV) de Statistique Canada l'assurance que :

  • les modalités de l'Accord de partage de données (APD) entre Statistique Canada et le Ministre de l'Énergie de l'Alberta sont respectées.

Portée

La portée de la présente vérification comprenait un examen des modalités prévues dans l'APD pour faire en sorte que la confidentialité des renseignements soit protégée. La vérification a porté plus particulièrement sur les mesures de protection de la confidentialité et de la sécurité (accès physique, entreposage et transmission des TI, entreposage physique, copie et rétention de l'information et gestion des dossiers) au ministère de l'Énergie de l'Alberta afin de s'assurer de la protection des données et du respect de la confidentialité.

Approche

La vérification comprenait un examen des politiques, procédures et renseignements pertinents pour l'administration et la gestion de l'accord avec le Ministre de l'Énergie de l'Alberta. On a procédé à des entrevues avec le personnel et la direction de la DFE et on a examiné, passé en revue et testé les processus et procédures en place à la DFE. L'approche au ministère de l'Énergie de l'Alberta comprenait des entrevues avec les cadres supérieurs clés, ainsi qu'un examen et une revue des processus et des procédures pour s'assurer que les modalités de l'APD entre Statistique Canada et le Ministre de l'Énergie de l'Alberta sont respectées, en mettant l'accent sur l'existence d'exigences en matière de sécurité, la conformité à ces exigences et le maintien de la confidentialité des données.

La présente vérification a été menée conformément aux Normes internationales pour la pratique professionnelle de l'audit interne de l'Institut des vérificateurs internes (IVI) et de la Politique sur la vérification interne du Conseil du Trésor.

Autorité

La vérification a été menée en vertu des pouvoirs prévus dans le Plan pluriannuel de vérification axé sur les risques pour 2012-2013 à 2014-2015 de Statistique Canada recommandé par le Comité ministériel de vérification en avril 2012 et approuvé ensuite par le statisticien en chef.

Conclusions, recommandations et réponses de la direction

Secteur d'intérêt no° 1 : Les modalités de l'Accord de partage de données (APD) entre Statistique Canada et le Ministre de l'Énergie de l'Alberta sont respectées.

Environnement de contrôle pour la gestion de l'APD

À la Division de la fabrication et de l'énergie (DFE), les rôles et responsabilités en matière de mise en œuvre et de gestion de l'APD sont définis et les pratiques à cet égard sont en place mais on ne s'y conforme pas toujours parce que les lignes directrices internes ne sont pas suffisamment claires.

Il y a lieu de renforcer les pratiques de gestion de l'APD en place à la DFE pour faire en sorte que les renseignements confidentiels communiqués au ministère de l'Énergie de l'Alberta portent seulement sur les années auxquelles il est fait référence dans l'accord.

Des pratiques et des procédures de partage des renseignements confidentiels de Statistique Canada existent mais il y a lieu de les renforcer. Le cadre stratégique pour la gestion des APD et la diffusion anticipée des microdonnées confidentielles devrait être plus clair et mieux intégré de manière à en garantir l'application uniforme et appropriée.

Les rôles, responsabilités et obligations de rendre compte à l'appui d'une bonne gestion des modalités des APD doivent être clairement définis de manière à assurer l'efficience et l'efficacité des opérations. Il faut surveiller le rendement opérationnel afin de détecter les erreurs éventuelles susceptibles d'accroître le risque opérationnel.

Autorité

Statistique Canada exerce son mandat qui consiste à conclure des accords de partage de données (APD) avec d'autres organisations en vertu des articles 11 et 12 de la Loi sur la statistique.

À l'appui de ses activités d'élaboration de politiques et de données, le ministère de l'Énergie de l'Alberta a besoin de renseignements exacts sur divers aspects de la production, de la consommation et de la production d'énergie dans la province. Par conséquent, en vertu de l'article 12 de la Loi sur la statistique, Statistique Canada a conclu avec le Ministre de l'Énergie de l'Alberta un APD pour le partage des renseignements tirés des 21 enquêtes sur l'énergie énumérées dans cet accord.

Politique cadre relative aux accords de partage de données

Les rôles et responsabilités liés aux exigences en matière d'élaboration, de mise en œuvre et de surveillance des APD sont énoncés dans la Directive sur le partage des données en vertu des articles 11 et 12. Cette directive précise que la Division de la gestion de l'information (DGI), de concert avec les Services juridiques, rédige les accords de partage de données à la demande des directeurs des programmes statistiques. La DGI doit également fournir le soutien nécessaire aux gestionnaires au moment de l'élaboration de nouveaux accords de partage de données ou d'accords modifiés avec les destinataires, en application de l'article 12 de la Loi sur la statistique. Les divisions spécialisées sont chargées de communiquer avec les organisations destinataires durant les négociations et la rédaction des accords.

Pratiques de gestion de l'Accord de partage de données

L'APD avec le Ministre de l'Énergie de l'Alberta a été rédigé par la DGI et signé en janvier 2010. La Section de la statistique de l'énergie (SSE) à la Division de la fabrication et de l'énergie (DFE) assure la liaison entre le ministère de l'Énergie de l'Alberta et Statistique Canada et est chargée de la mise en œuvre de l'APD. La Section des services de diffusion et de base de sondage (SDBS) à la DFE assure la liaison entre le ministère de l'Énergie de l'Alberta et la DGI en ce qui concerne la négociation et la rédaction de l'accord, et supervise la transmission sécuritaire des fichiers d'enquête préparés au ministère de l'Énergie de l'Alberta.

À la réception du ministère de l'Énergie de l'Alberta d'une demande de données en vertu de l'APD, la SSE prépare les fichiers de microdonnées demandés pour s'assurer qu'ils comprennent seulement les données portant sur la province et que les renseignements fiscaux ont été supprimés, et les dépose dans un répertoire sur l'unité partagée. Elle informe le personnel de la SDBS que les fichiers sont prêts à être transférés. Les fichiers de microdonnées sont ensuite préparés aux fins de transmission sécuritaire, soit sur disque d'ordinateur (CD), soit par transfert électronique de fichiers (TEF) par la SDBS.

Conformément à la Directive sur le partage des données en vertu des articles 11 et 12, la division spécialisée tient un registre de contrôle dans lequel sont indiqués l'organisation, l'article de la Loi sur la statistique en vertu duquel l'APD a été conclu, le nom du destinataire officiel, le nom de l'utilisateur final, la date d'envoi au destinataire, la date de réception par le destinataire et la méthode de transmission. Le registre contient également une description du contenu, soit le nom du fichier, la période de référence couverte, le numéro d'enquête, la date de réception de la demande, le spécialiste du domaine (SD) qui a préparé le fichier, le nom de la personne qui a préparé les microdonnées en vue de leur transmission et le délai de traitement de la demande.

Depuis la mise en œuvre de l'APD, le ministère de l'Énergie de l'Alberta a demandé deux ensembles de données sur CD. Le premier, contenant les données de l'Enquête mensuelle sur le charbon, a été demandé et envoyé en janvier 2011. Un examen du registre de contrôle de transmission a révélé que cette demande de microdonnées a été faite et transmise par la personne-ressource autorisée à la direction de l'économie et des marchés (EM pour Economics and Markets Branch) au ministère de l'Énergie de l'Alberta. Cette demande a été traitée à Statistique Canada par le spécialiste du domaine pour l'enquête à la Section de la statistique de l'énergie.

La deuxième demande portait sur les données de l'Enquête annuelle sur les mines de charbon, et le CD a été envoyé en octobre 2011. Le personnel de la SDBS est tenu d'apparier les coordonnées de la personne-ressource fournies par le spécialiste du domaine et de celle identifiée dans l'accord pour faire en sorte que les CD soient transmis seulement à la personne-ressource autorisée. Le registre de contrôle de transmission des données montre que cette demande a été faite directement par l'utilisateur final et non par la personne-ressource autorisée et l'administrateur de données. La demande a été traitée par la SSE et envoyée directement à l'utilisateur final et non à la personne-ressource autorisée comme l'exigent les modalités de l'APD. La vérification a montré que le document interne «Procédures – Transmission de fichiers» ne fournit pas de directive claire précisant qui est autorisé à recevoir les données.

La vérification a permis de conclure qu'à Statistique Canada, les rôles et responsabilités en matière de mise en œuvre et de gestion de l'APD sont définis et les pratiques à cet égard sont en place mais on ne s'y conforme pas toujours parce que les lignes directrices internes ne sont pas suffisamment claires.

Aux fins du partage des microdonnées de Statistique Canada en vertu de l'article 12 de la Loi sur la statistique, il est nécessaire de donner aux répondants préavis du partage proposé et de leur donner le droit de refuser d'autoriser le partage des renseignements les concernant. Il est tenu compte de cette exigence dans la disposition de l'APD avec le Ministre de l'Énergie de l'Alberta qui stipule que

«chaque questionnaire d'enquête utilisé par Statistique Canada contiendra une déclaration à l'effet que les renseignements fournis peuvent être communiqués par Statistique Canada au ministère de l'Énergie de l'Alberta, à moins que le répondant ne s'oppose à pareil partage, tel que requis par la Loi sur la statistique fédérale». [Traduction]

L'examen du deuxième fichier de données (de l'Enquête annuelle sur les mines de charbon) préparé et acheminé au ministère de l'Énergie de l'Alberta a révélé que Statistique Canada a transmis au ministère de l'Énergie de l'Alberta des données pour des années civiles qui n'étaient pas visées par l'APD. L'APD couvre les données de l'Enquête sur le charbon à compter de 2010, mais des microdonnées confidentielles portant sur les années 2006, 2007 et 2008 ont été transmises au destinataire.

Les répondants à l'enquête n'ont pas eu la possibilité de s'opposer au partage de renseignements avec le ministère de l'Énergie de l'Alberta portant sur ces années, ce qui est contraire tant à la Loi sur la statistique fédérale qu'à l'Accord de partage de données avec le Ministre de l'Énergie de l'Alberta.

Partage des renseignements confidentiels de Statistique Canada

Les renseignements confidentiels transmis aux destinataires désignés dans l'APD avant leur diffusion officielle dans Le Quotidien sont assujettis à la Politique sur la diffusion officielle dans Le Quotidien. Cette politique énonce quatre conditions que doivent satisfaire les organisations afin d'avoir accès à de nouveaux ensembles de données ou produits d'information avant leur diffusion officielle dans Le Quotidien et précise les types d'arrangements et les formules de demande qui doivent être en place pour permettre la diffusion anticipée de renseignements statistiques de nature délicate. Ces conditions comprennent ce qui suit :

  • autorisation du greffier du Conseil privé sur recommandation du statisticien en chef;
  • ententes sur les données en cours d'élaboration ou évaluations par les pairs;
  • partenariats externes dans le cadre de programmes de collaboration (programmes en régime de recouvrement des coûts, gouvernance commune et programmes administratifs);
  • autorisation par le statisticien en chef de la diffusion de l'information avant la publication officielle dans des circonstances spéciales, lorsque les avantages justifient l'exception.

La vérification a permis de déterminer que des données provisoires de l'Enquête annuelle sur le charbon pour 2010 qui n'avaient pas été traitées entièrement ont été communiquées au ministère de l'Énergie de l'Alberta en octobre 2011, avant leur diffusion officielle dans Le Quotidien en mai 2012. Dans ce cas, aux fins de la diffusion préalable des données, un formulaire de demande de diffusion anticipée aurait dû être rédigé et présenté à la Division des communications pour approbation, conformément à la Politique. Cela n'a pas été fait.

La vérification a montré que, selon le personnel du secteur de programme à la DFE, la diffusion anticipée de microdonnées est acceptable lorsqu'il existe un APD en vertu de l'article 11 ou de l'article 12. À la Sous-section de la diffusion, il est entendu qu'en raison de la portée de la Politique, les conditions régissant la diffusion anticipée ne sont pas applicables aux APD. Il s'agit d'une interprétation de la disposition qui porte sur le champ d'application de la Politique selon laquelle

«le partage de microdonnées d'enquête en vertu des articles 11 et 12 de la Loi sur la statistique est régi par les dispositions de la Loi sur la statistique ainsi que par celles des ententes de partage de données».

Selon les responsables du programme, cette disposition est une clause d'exclusion. Les responsables de la vérification ont confirmé auprès de la Division des communications et de la Division de la gestion de l'information que les APD sont visés par la Politique et que pareille diffusion anticipée de microdonnées est donc assujettie à cette Politique. La vérification a révélé également que la Directive sur le partage des données en vertu des articles 11 et 12 ne fournit pas de lignes directrices sur les différentes exigences dont les responsables des programmes devraient être au courant au moment de diffuser des renseignements protégés comprenant des microdonnées ou des agrégats statistiques à un niveau confidentiel.

Une deuxième source de confusion dans l'APD avec le Ministre de l'Énergie de l'Alberta a été portée à l'attention de l'équipe de vérification. Selon le personnel de la DFE, l'APD comprend une clause laissant entendre que le partage de microdonnées est permis. Les clauses 4 et 5(1) de l'APD avec le ministère de l'Énergie de l'Alberta énoncent ce qui suit :

4. Le Ministère (ministère de l'Énergie de l'Alberta) peut diffuser ou publier seulement des agrégats statistiques tirés des renseignements qui lui sont fournis en application du présent accord. Toutefois :

5.(1) Le Ministère (ministère de l'Énergie de l'Alberta) ne procédera pas à leur diffusion ou publication avant leur diffusion officielle par Statistique Canada. [Traduction]

Selon les responsables du programme, étant donné que l'accord précise que le Ministère (ministère de l'Énergie de l'Alberta) convient de diffuser ou de publier les données seulement après leur diffusion officielle par Statistique Canada, il est permis de communiquer des microdonnées confidentielles avant leur publication officielle par Statistique Canada.

Un examen des nouveaux modèles d'APD approuvés pour les accords avec les provinces, y compris les accords généraux, le gouvernement fédéral et les sociétés d'État a révélé que tous les modèles comprennent des clauses semblables et donc laissent supposer par inadvertance le partage de microdonnées avec des partenaires externes avant la diffusion officielle par Statistique Canada dans Le Quotidien. Cela est contraire à la Politique sur la diffusion officielle dans Le Quotidien de Statistique Canada.

La vérification a permis de conclure que des pratiques et des procédures de partage des renseignements confidentiels de Statistique Canada existent mais qu'il y a lieu de les renforcer. Le cadre stratégique pour la gestion des APD et la diffusion anticipée de microdonnées confidentielles devrait être plus clair et mieux intégré de manière à en assurer l'application uniforme et appropriée.

Gestion des risques et surveillance

La DFE procède annuellement à un exercice formel d'évaluation des risques, en vue d'évaluer et de surveiller l'environnement interne (processus d'enquête) et l'environnement externe afin de déterminer les risques et de fournir un apport à l'exercice de planification intégrée. L'Examen de rendement de programme de 2010 a permis de déterminer que la gestion de tous les APD conclus par la DFE devrait être centralisée. À la suite de cet examen, la fonction de gestion de tous les APD à la DFE a été centralisée et confiée à la Section des services de diffusion et de base de sondage (SDBS) au sein de la Division.

La surveillance est prescrite par Statistique Canada dans une clause de vérification incluse dans l'APD. La direction EM est chargée de la surveillance de l'APD au ministère de l'Énergie de l'Alberta. Étant donné que le ministère de l'Énergie de l'Alberta a demandé seulement deux ensembles de données et qu'aucun contrat n'a été passé avec un chercheur pour fournir des produits ou services liés aux enquêtes dans les locaux de l'énergie de l'Alberta, la direction EM n'a procédé à aucun contrôle.

L'APD de Statistique Canada avec le Ministre de l'Énergie de l'Alberta comprend une disposition énonçant les exigences en cas d'accès non autorisé. Aucun cas d'accès non autorisé n'a été déclaré à Statistique Canada par le ministère de l'Énergie de l'Alberta.

Recommandations :

Le statisticien en chef adjoint (SCA), Statistique du commerce et des entreprises, doit veiller à ce que :

  • les employés comprennent leurs rôles et responsabilités en ce qui a trait au traitement et à la gestion des renseignements confidentiels de Statistique Canada;
  • seuls les renseignements confidentiels se rapportant aux enquêtes dont il est fait mention dans un accord de partage de données valide et aux cycles de ces enquêtes, et du partage desquels les répondants ont été informés, soient partagés avec des partenaires externes en vertu de l'article 12 de la Loi sur la statistique;
  • les conditions énoncées dans la Politique sur la diffusion officielle dans Le Quotidien d'accès aux ensembles de données et produits d'information diffusés par anticipation aux partenaires de l'extérieur soient respectées.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

La DFE a conclu des APD avec un grand nombre (30 et croissant) de partenaires et d'organisations utilisatrices dans tout le pays. En 2012, la Division a cerné comme risque et priorité stratégique dans son RPP la nécessité d'améliorer la gestion de ces APD en raison de leur nombre croissant, de la complexité de ce travail, du taux élevé de roulement du personnel et des répercussions éventuellement importantes des problèmes qui pourraient survenir. Au cours du dernier exercice, la DFE a reçu du financement du processus de planification à long terme pour lui permettre de prendre de mesures pour relever ce défi. Plusieurs des stratégies connexes aideront à garantir que les problèmes qui se sont posés dans le cas du ministère de l'Énergie de l'Alberta ne se poseront pas à l'avenir.

  • Le directeur de la DFE demandera au ministère de l'Énergie de l'Alberta de détruire les données qu'il a reçues portant sur les années 2006 à 2008 (enquête annuelle sur le charbon) et les années 2006 à 2009 (enquête mensuelle sur le charbon) et demandera de recevoir par écrit confirmation de la date à laquelle les données ont été détruites.

    Produits livrables et échéance : Lettre du directeur de la DFE au ministère de l'Énergie de l'Alberta en novembre 2012
  • Centralisation de la gestion des APD à la Section des services de diffusion et de base de sondage (SDBS) de la DFE. Cela permettra d'acquérir les compétences spécialisées, l'expérience et les ressources d'appui nécessaires, de se doter de procédures de contrôle et de suivi améliorées et d'accroître la responsabilisation.

    Produits livrables et échéance : Le directeur de la DFE a établi la nouvelle section centralisée chargée de gérer les APD pour le compte de la DFE en mars 2012.
  • Le personnel de la nouvelle section centralisée reçoit une formation périodique portant sur les règles et procédures de gestion des APD.

    Produits livrables et échéance : Le chef de la Section des services de diffusion et de base de sondage est chargé de veiller à ce qu'une formation périodique soit assurée au personnel. Jusqu'ici, la formation a été fournie en mai et octobre 2012.
  • La DGI présentera aux employés de la DFE annuellement de l'information sur la confidentialité et la sécurité.

    Produits livrables et échéance : Le chef de la SDBS est chargé de s'assurer que des séances d'information sont données par la DGI aux employés de la DFE à toutes les réunions du personnel, sur une base annuelle. La première séance a eu lieu en juin 2012.
  • L'information sur les nouveaux processus et l'organisation est communiquée à la direction de la DFE.

    Produits livrables et échéance : Le chef de la SDBS a envoyé des instructions à tous les gestionnaires de la DFE en juillet 2012.
  • Des procédures détaillées et une liste de contrôle pour le personnel s'occupant des APD seront élaborées.

    Produits livrables et échéance : Le chef de la SDBS a préparé et a assuré la mise en œuvre de la liste de contrôle en mai 2012. La liste de contrôle a été mise à jour en octobre 2012.
  • Un nouveau certificat obligatoire d'enregistrer la conformité de l'information partagée sera signé par les directeurs de programme à chaque fois qu'un fichier est fourni à un partenaire externe.

    Produits livrables et échéance : Une nouvelle procédure, les dossiers et la documentation seront élaborés par la DGI et suivie par les directeurs de programme d'ici juin 2013.
  • Une nouvelle exigence obligatoire afin que les partenaires externes accusent réception de l'information et soient conscients des conditions énoncées dans l'accord de partage de données à chaque fois qu'un fichier partagé leur est fournie.

    Produits livrables et échéance : Une nouvelle procédure, les dossiers et la documentation seront élaborés par la DGI et suivie par les directeurs de programme d'ici juin 2013.
  • Une nouvelle session de formation obligatoire pour les directeurs de programme à propos des accords de partage de données.

    Produits livrables et échéance : Formation par la DGI et la Division du Perfectionnement des Ressources Humaines (DPRH) d'ici juin 2013.
  • Rappels aux gestionnaires de programme afin qu'ils suivent le protocole de communication et de signaler rapidement les incidents au niveau de gestion approprié.

    Produits livrables et échéance : Rappels aux programmes par les SCA et les équipes de direction d'ici décembre 2012.

Recommandations

Le statisticien en chef adjoint (SCA), Statistique du commerce et des entreprises, de concert avec le SCA, Informatique et Méthodologie et le SCA, Recensement, Opérations et Communications, doit veiller à ce que :

  • de concert avec la DGI, l'APD avec le Ministre de l'Énergie de l'Alberta soit modifié de manière à préciser que les microdonnées ne peuvent être communiquées au ministère de l'Énergie de l'Alberta avant leur diffusion officielle par Statistique Canada;
  • la clause dans les nouveaux modèles d'APD pour les accords avec les provinces, y compris les accords généraux, le gouvernement fédéral et les sociétés d'État soit modifiée de manière à préciser que les microdonnées ne peuvent pas être partagées avec les partenaires externes avant leur diffusion officielle par Statistique Canada à moins que les conditions de diffusion préalables énoncées dans la Politique sur la diffusion officielle dans Le Quotidien soient remplies;
  • les conditions énoncées dans la Directive sur le partage des données en vertu des articles 11 et 12 de la Loi sur la statistique soient conformes à celles énoncées dans la Politique sur la diffusion officielle dans Le Quotidien que les divisions spécialisées doivent remplir aux fins de la diffusion anticipée de renseignements statistiques de nature délicate.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

  • Le directeur de la DGI et le directeur de la DFE prépareront un modèle d'APD mis à jour qui remplacera l'APD avec le ministère de l'Énergie de l'Alberta.

    Produits livrables et échéance : Un modèle d'APD mis à jour signé par Statistique Canada et le ministère de l'Énergie de l'Alberta d'ici le printemps 2013
  • Le directeur de la DGI préparera un modèle d'APD mis à jour.

    Produits livrables et échéance : Un modèle d'APD mis à jour d'ici le printemps 2013
  • Le directeur de la DGI et le directeur général de la Division des communications assureront l'uniformité recommandée.

    Produits livrables et échéance : Mises à jour requises de la Directive sur le partage des données en vertu des articles 11 et 12 et de la Politique sur la diffusion officielle dans Le Quotidien d'ici mars 2013

Gérance des données

Au ministère de l'Énergie de l'Alberta, les protocoles internes de gestion et de traitement des renseignements confidentiels de Statistique Canada n'ont pas toujours été suivis parce que les employés ne comprenaient pas bien leurs rôles et responsabilités.

Des protocoles internes précisant les rôles et responsabilités en matière de bonne gestion des données ainsi que les pratiques et procédures à cet égard doivent être mis en place de manière à assurer la protection et la bonne garde des renseignements confidentiels de Statistique Canada.

Rôles et responsabilités du destinataire des données

Au ministère de l'Énergie de l'Alberta, la responsabilité fonctionnelle de l'administration et de la gestion des données des enquêtes sur l'énergie de Statistique Canada est confiée à la direction de l'économie et des marchés (EM pour Economics and Markets Branch) qui est l'administrateur de données et le destinataire désigné. La direction EM assure la liaison entre Statistique Canada et toutes les personnes au ministère de l'Énergie de l'Alberta qui demandent de l'information à Statistique Canada.

Dans le cadre des modalités de l'APD, au ministère de l'Énergie de l'Alberta l'accès aux renseignements confidentiels de Statistique Canada doit être accordé selon le principe du besoin de savoir aux employés dont les responsabilités professionnelles exigent pareil accès afin de permettre au Ministère de répondre à ses besoins statistiques et de recherche. La vérification a montré que le ministère de l'Énergie de l'Alberta a établi des protocoles internes précisant les procédures de transmission, de réception, de traitement et d'entreposage des microdonnées confidentielles de Statistique Canada au sein du Ministère. Les dispositions prévues dans l'APD sont incluses dans un protocole d'entente (PE) préparé par la direction EM. Les personnes qui présentent une demande d'accès doivent s'engager à respecter les dispositions en signant le PE.

Un examen du modèle de PE au ministère de l'Énergie de l'Alberta a révélé qu'en plus des dispositions ci-dessus, il contenait des dispositions précisant que la direction EM recevra toutes les microdonnées confidentielles de Statistique Canada et les transmettra ensuite aux personnes autorisées au sein du Ministère, et que les microdonnées confidentielles seront entreposées en lieu sûr pendant qu'elles sont en la possession de la direction EM et de toute personne au ministère de l'Énergie de l'Alberta.

Dans le cadre de la vérification, tous les PE signés devaient faire l'objet d'un examen en vue d'apparier et de confirmer les signatures des utilisateurs finals et les noms figurant dans les PE. On devait s'assurer que les noms des utilisateurs finals sur les formules étaient conformes aux noms figurant dans le registre de contrôle de transmission des données tenu par la SDBS. Par conséquent, on a trouvé un seul PE signé au ministère de l'Énergie de l'Alberta. Un examen de la situation au ministère de l'Énergie de l'Alberta a révélé que le premier utilisateur final ne comprenait pas son rôle et ses responsabilités et qu'il avait par conséquent donné accès à des microdonnées confidentielles à un employé dans sa direction pour lequel une demande d'approbation n'avait pas été présentée en bonne et due forme. Cela est contraire à l'exigence dans l'accord avec le ministère de l'Énergie de l'Alberta selon laquelle tous les utilisateurs de microdonnées confidentielles de Statistique Canada doivent recevoir l'approbation formelle de la direction EM et signer le PE pour indiquer leur engagement à respecter les dispositions de l'accord.

Au ministère de l'Énergie de l'Alberta, des protocoles internes de gestion et de traitement des renseignements confidentiels de Statistique Canada ont été documentés mais ils n'ont pas toujours été suivis parce que les employés ne comprenaient pas bien leurs rôles et responsabilités.

Tiers bénéficiaires

Aux termes de l'accord en vigueur, il est interdit au ministère de l'Énergie de l'Alberta de partager ou de communiquer des renseignements confidentiels de Statistique Canada à des tiers bénéficiaires de l'extérieur. Seuls les chercheurs travaillant à contrat directement pour le ministère de l'Énergie de l'Alberta, qui fournissent des produits ou services liés à une enquête dans les locaux du ministère de l'Énergie de l'Alberta sont autorisés à avoir accès aux microdonnées confidentielles de Statistique Canada.

La vérification a révélé que, conformément aux dispositions de l'accord, les renseignements confidentiels de Statistique Canada n'ont pas été communiqués à des tiers bénéficiaires de l'extérieur et le ministère de l'Énergie de l'Alberta n'a conclu aucun contrat avec un chercheur en vue de fournir un produit ou un service lié à une enquête dans les locaux du Ministère, tel que permis par l'accord.

Les microdonnées reçues de Statistique Canada doivent servir à des fins statistiques de recherche seulement et sont réservées à l'usage interne. La vérification a confirmé que les agrégats statistiques qui permettent d'identifier directement ou indirectement une personne, une entreprise commerciale ou un produit ne sont jamais diffusés ni publiés.

Recommandations :

Le statisticien en chef adjoint (SCA), Statistique du commerce et des entreprises, doit communiquer avec le ministère de l'Énergie de l'Alberta pour veiller à ce que :

  • les employés comprennent leurs rôles et responsabilités en ce qui a trait au traitement et à la gestion des renseignements confidentiels de Statistique Canada et signent le PE interne énonçant ces responsabilités.

Réponse de la direction :

La direction souscrit à la recommandation formulée.

  • Le directeur de la DFE s'assurera que le modèle d'APD mis à jour comprend tous les renseignements nécessaires que le modèle d'APD actuel englobe déjà.

    Produits livrables et échéance : Un modèle d'APD mis à jour signé par Statistique Canada et par le ministère de l'Énergie de l'Alberta et une réunion en personne dans les locaux du ministère de l'Énergie de l'Alberta en vue de fournir d'autres renseignements et conseils d'ici le printemps 2013

Sécurité matérielle et des technologies de l'information (TI)

Des contrôles de l'accès physique et logique efficaces sont en place au ministère de l'Énergie de l'Alberta, mais il y a lieu de renforcer les contrôles d'accès aux données en s'assurant que les microdonnées de Statistique Canada sont sous la garde de l'administrateur de données désigné, entreposées de façon sécuritaire et accessibles aux personnes autorisées seulement.

Les renseignements fournis au ministère de l'Énergie de l'Alberta sont désignés comme étant des renseignements « Protégés B », conformément à la définition de la Politique sur la sécurité du gouvernement fédérale. Le ministère de l'Énergie de l'Alberta est tenu de veiller à ce que le contrôle et la protection des renseignements matériels ou électroniques soient assurés de façon à protéger contre la perte, le vol, la violation ou la divulgation inappropriée. L'accès devrait être accordé uniquement aux employés selon le principe du « besoin de savoir » dans le cadre de leurs fonctions.

Accès physique aux locaux du ministère de l'Énergie de l'Alberta

Une inspection physique des locaux du ministère de l'Énergie de l'Alberta a été menée au cours de l'étape d'examen de la vérification. La vérification a montré que tous les étages du ministère de l'Énergie de l'Alberta sont sécuritaires et que seul le personnel autorisé y a accès. Un lecteur de cartes se trouve à l'extérieur de chaque série de portes et le personnel doit y glisser sa carte d'identité pour entrer. Les visiteurs doivent signer le registre à la réception; ils reçoivent un laissez-passer de visiteur qui doit être visible en tout temps mais qui n'autorise pas l'accès aux zones protégées; en outre, ils doivent être accompagnés en tout temps par une personne autorisée.

Accès physique aux fichiers de données

L'accès aux fichiers d'enquête de Statistique Canada est accordé seulement selon le principe du « besoin de savoir ». Au moment de la vérification, seulement deux employés avaient accès aux CD.

La vérification a montré que les CD des deux ensembles de données envoyés au ministère de l'Énergie de l'Alberta (Enquête annuelle sur le charbon et Enquête mensuelle sur le charbon) en application de l'APD conclu en vertu de l'article 12 sont conservés dans un coffre-fort verrouillé à clé dans la zone protégée de l'utilisateur final, conformément aux modalités de l'APD. Pour que le personnel puisse avoir accès à la clé du coffrer-fort, celle-ci est conservée dans un tiroir non fermé à clé du bureau d'un membre du personnel situé dans une aire ouverte, ce qui accroît le risque que des personnes non autorisées au ministère de l'Énergie de l'Alberta aient accès aux données.

Des données confidentielles de Statistique Canada sont conservées sur les CD originaux et ne sont pas transférées à un serveur, un ordinateur ou un autre support électronique.

Mesures d'identification et d'authentification, entreposage et transmission des TI

Au ministère de l'Énergie de l'Alberta, les appareils et les réseaux sont protégés par des contrôles d'accès logique et administrés par le groupe des TI. Des mots de passe sont requis pour avoir accès aux réseaux informatiques du ministère de l'Énergie de l'Alberta et doivent être mis à jour toutes les six semaines.

La « Policy for Maintaining Security of Government Data Stored on Electronic Data Storage Devices » (politique sur la sécurité des données du gouvernement entreposées sur dispositifs électroniques d'entreposage des données) du gouvernement de l'Alberta ne recommande pas le stockage des données de nature très délicate sur un ordinateur portatif ou une clé mémoire ou leur transmission au moyen d'un tel dispositif. Les clés USB sont utilisées seulement pour entreposer les présentations aux intervenants aux conférences et, lorsqu'elles sont utilisées,  elles sont protégées par un mot de passe. L'accès à distance aux renseignements ministériels est permis au moyen du système Citrix.

Des contrôles efficaces de l'accès physique et électronique aux locaux du ministère de l'Énergie de l'Alberta sont en place. Toutefois, il est possible de renforcer les contrôles d'accès aux espaces d'entreposage en s'assurant que les CD originaux de Statistique Canada sont sous la garde de l'administrateur de données désigné seulement et que la clé du coffre-fort contenant les CD est gardée en lieu sûr comme il se doit, conformément aux modalités de l'APD.

Recommandation :

Le statisticien en chef adjoint (SCA), Statistique du commerce et des entreprises, doit communiquer avec le ministère de l'Énergie de l'Alberta pour veiller à ce que :

  • les fichiers de microdonnées transmis par Statistique Canada soient conservés de façon sécuritaire et accessibles seulement aux personnes autorisées conformément aux modalités de l'APD.

Réponse de la direction :

La direction souscrit à la recommandation formulée.

  • Le directeur de la DFE s'assurera que le modèle d'APD mis à jour comprend tous les renseignements nécessaires que le modèle d'APD actuel englobe déjà.

    Produits livrables et échéance : Un modèle d'APD mis à jour signé par Statistique Canada et par le ministère de l'Énergie de l'Alberta et une réunion en personne dans les locaux du ministère de l'Énergie de l'Alberta en vue de fournir d'autres renseignements et conseils d'ici le printemps 2013

Annexes

Annexe A : Critères de vérification

Le tableau montre les résultats de annexe a : critères de vérification . Les données sont présentées selon secteur d'intérêt/contrôles de base/critères (titres de rangée) et sous-critères et instrument de politique, calculées selon 4.2.1 la surveillance active est manifeste. et modèle de contrôle de gestion de base (cgb) du bureau du contrôleur général unités de mesure (figurant comme en-tête de colonne).
Secteur d'intérêt/contrôles de base/critères Sous-critères Instrument de politique
Les modalités de l’Accord de partage de données (APD) entre Statistique Canada et le ministère de l’Énergie de l’Alberta sont respectées.
Reddition de comptes
1.1 Les pouvoirs et responsabilités sont clairement établis et communiqués et la séparation des fonctions est établie de la manière appropriée au niveau du programme et au ministère de l'Énergie de l'Alberta. (RC-1) 1.1.1 Les pouvoirs et responsabilités sont clairement établis et communiqués et la séparation des fonctions est établie de la manière appropriée au niveau du programme et au ministère de l'Énergie de l'Alberta. (RC-1) Modèle de contrôle de gestion de base (CGB) du Bureau du contrôleur général

Loi sur la statistique

APD avec le Ministre de l'Énergie de l'Alberta

Politique sur la sécurité des renseignements statistiques de nature délicate

Directive sur les accords de partage de données en vertu des articles 11 et 12
1.1.2 Les pouvoirs sont officiellement délégués, en fonction des responsabilités de chacun. Le cas échéant, les fonctions incompatibles ne sont pas combinées. CGB

Loi sur la statistique

Politique sur la sécurité des renseignements statistiques de nature délicate

Directive sur les accords de partage de données en vertu des articles 11 et 12

Procédures – transmission de fichiers de la DFE
1.2 Le ministère de l'Énergie de l'Alberta a établi des processus pour déterminer, solliciter, évaluer et gérer l'accord. (GE-22) 1.2.1 Les processus sont compris et suivis. CGB

Loi sur la statistique

APD avec le Ministre de l'Énergie de l'Alberta

Directive sur les accords de partage de données en vertu des articles 11 et 12

Modèle de protocole d'entente préparé par le ministère de l'Énergie de l'Alberta
Gestion des risques
2.1 La direction à la Division de la fabrication et de l'énergie (DFE) et au ministère de l'Énergie de l'Alberta détermine et évalue les risques qui pourraient entraver l'atteinte de ces objectifs et prend les mesures qui s'imposent. (GR-2 et 4) 2.1.1 Les risques sont déterminés et tiennent compte des environnements interne et externe. CGB

Registre des risques de la Division

Rapport de rendement de programme de la Division de la fabrication et de l'énergie
2.2 La direction détermine et évalue le caractère approprié des contrôles en place pour gérer ses risques. (GR-3) 2.2.1 Il existe des processus et des lignes directrices officiels afin d'évaluer les contrôles en place pour gérer les risques déterminés. Directive sur les accords de partage de données en vertu des articles 11 et 12

Politique sur la diffusion officielle dans Le Quotidien

APD avec le Ministre de l'Énergie de l'Alberta
Gérance
3.1 Les actifs sont protégés à la DFE et au ministère de l'Énergie de l'Alberta. (GE 9) 3.1.1 L'accès aux données est limité aux personnes autorisées et fait l'objet de contrôles de sécurité appropriés en conformité avec les dispositions des accords de partage de données (APD). SCT – Politique sur la sécurité du gouvernement

SCT – Norme sur la sécurité matérielle

SCT – Directive sur la gestion de la sécurité ministérielle

Manuel des pratiques de sécurité
3.1.2 L'accès est limité. SCT – Politique sur la sécurité du gouvernement

SCT – Norme sur la sécurité matérielle

Manuel des pratiques de sécurité

Politique sur la sécurité des renseignements statistiques de nature délicate
3.1.3 Il existe des procédures pour sauvegarder les données partagées à la suite de la résiliation d'un accord. SCT – Politique sur la sécurité du gouvernement

SCT – Norme sur la sécurité matérielle

Manuel des pratiques de sécurité

Politique sur la sécurité des renseignements statistiques de nature délicate
3.1.4 Il existe des procédures pour protéger l'utilisation des données contre les abus ou les fraudes. SCT – Politique sur la sécurité du gouvernement

SCT – Norme sur la sécurité matérielle

Manuel des pratiques de sécurité
3.2 Des contrôles des systèmes d'application appropriés sont en place au ministère de l'Énergie de l'Alberta. (GE-11) 3.2.1 Il existe des procédures pour assurer l'efficacité des mécanismes d'authentification et d'accès et elles sont appliquées. SCT – Politique sur la sécurité du gouvernement

SCT – Norme sur la sécurité matérielle

Manuel des pratiques de sécurité

Exigences de sécurité de base des technologies de l'information du gouvernement de l'Alberta

SCT – Politique sur la sécurité du gouvernement

SCT – Norme sur la sécurité matérielle
3.2.2 Il existe des procédures pour assurer l'efficacité des mécanismes d'authentification et d'accès et elles sont appliquées. Manuel des pratiques de sécurité de StatCan

Politique sur la sécurité des TI du gouvernement de l'Alberta

Politique sur l'utilisation d'internet et du courrier électronique du gouvernement de l'Alberta,

Politique sur la sécurité des renseignements statistiques de nature délicate
Résultats et rendement
4.1 La direction surveille le rendement réel en fonction des résultats escomptés et modifie son plan d'action, au besoin, de manière à mieux répondre aux exigences/besoins du programme (RR-3) 4.1.1 La responsabilité de la surveillance est clairement établie et communiquée et les résultats sont communiqués aux niveaux d'autorisation requis. Modèle de contrôle de gestion de base (CGB) du Bureau du contrôleur général
4.2.1 La surveillance active est manifeste. Modèle de contrôle de gestion de base (CGB) du Bureau du contrôleur général

Annexe B : Acronymes

Acronymes
Acronyme Description
CD Disque d'ordinateur (ou disque compact)
SC Statisticien en chef
CMV Comité ministériel de vérification
SDBS Services de diffusion et de base de sondage
APD Accord de partage de données
e-FT Transfert électronique de fichiers
EM Economics and Markets (direction de l'économie et des marchés)
SSE Section de la statistique de l'énergie
IVI Institut des vérificateurs internes
DGI Division de la gestion de l'information
TI Technologies de l'information
DFE Division de la fabrication et de l'énergie
PE Protocole d'entente
RPP Rapport de rendement de programme
SD Spécialiste du domaine
SCT Secrétariat du Conseil du Trésor
S'abonner à
Date de modification :