Archivée - Vérification de système en voie d'élaboration pour le système de Paiements de transfert aux Premières nations et aux Inuits (PTPNI)

Contexte

Le système de Paiements de transfert aux Premières nations et aux Inuits (PTPNI) a été conçu pour remplacer le Système de gestion des paiements de transfert (SGPT). Le but du projet de PTPNI est de mettre en place sur le Web un système de gestion des paiements de transfert qui offrira aux collectivités des Premières nations et des Inuits une prestation intégrée de services ainsi que des outils de gestion améliorés. Le système a pour objectif d'améliorer la reddition de comptes en rehaussant les capacités de présentation de l'information financière et non financière des bénéficiaires des paiements de transfert.

Le système de PTPNI aidera Affaires indiennes et du Nord Canada (AINC) à gérer l'information sur les ententes de financement et à adopter des pratiques prudentes de gestion de la trésorerie qui sont conformes aux exigences du Conseil du Trésor. Le système de PTPNI permet entre autres :

• de faciliter le travail initial de préparation pour l'élaboration des ententes de financement (par ex., les activités liées à l'affectation budgétaire);
  
  
• de créer et de tenir à jour des ententes de financement;
  
  
• de gérer les rapports des bénéficiaires qui servent à justifier les dépenses, à enregistrer les résultats des activités et à identifier les besoins potentiels relatifs aux mesures correctives (par ex., advenant le défaut de se conformer aux modalités d'une entente de financement).
  
  

Le projet de PTPNI a vu le jour en 2004 et il devrait être complété en mars 2008 à un coût total de 13,3 millions de dollars (incluant les coûts de maintenane de la première année.)

La première version du système est présentement en production et, dès qu'elle aura été approuvée par le Comité d'orientation du projet de PTPNI, elle sera utilisée pour créer des ententes de financement pour l'exercice 2007-2008. L'objectif visé pour la première version était d'intégrer toutes les fonctionnalités nécessaires pour le début du cycle des paiements de transfert. Les autres fonctionnalités seront implantées corrélativement à l'évolution des premières ententes de financement de 2007-2008.

L'importance financière des paiements de transfert traités par le Ministère et le rôle clé que jouera le système de PTPNI dans la surveillance et le contrôle des transactions connexes ont poussé la Secteur de la vérification et de l'évaluation (SVE) à inclure la vérification de ce système en voie d'élaboration dans son plan de vérification interne.

Calendrier, objectifs et approche

Une activité préliminaire qui consistait à établir la portée de cette vérification a été réalisée entre les mois d'avril et juin 2006 afin de faciliter l'élaboration d'un plan de travail de projet détaillé. À la suite de l'activité d'établissement de la portée, il a été décidé que le travail de vérification sur le terrain serait réalisé en cinq volets qui se chevaucheraient du mois d'août au mois de décembre 2006. Au fur et à mesure que les tâches étaient complétées pour chaque volet, les résultats étaient présentés au Comité d'orientation du projet de PTPNI.

Les objectifs de la vérification, ainsi que les volets mis en oeuvre pour la réalisation des travaux nécessaires sur le terrain, sont identifiés dans le tableau suivant. Pour chacun des volets, le rapport détaillé contient une section distincte décrivant la méthodologie, le calendrier et la portée de la vérification, ainsi qu'une présentation des constatations correspondantes.

Portée

Étant donné que la majeure partie des procédés de vérification et d'examen ont été mis en oeuvre avant la mise en service de la première version de l'application le 11 décembre 2006, et que tous les tests de l'application PTPNI ont été effectués dans l'environnement d'essai, la portée de cette vérification inclut uniquement la conception des contrôles. Aucune opinion n'est offerte quant à la mise en oeuvre ou à l'absence de mise en oeuvre des contrôles dans l'environnement de production, ou à leur efficacité pour une période donnée. Ces éléments devraient être vérifiés dans le cadre d'un suivi du système.

Le travail de vérification réalisé pour deux des volets (contrôles de l'application PTPNI et contrôles informatiques généraux) avait un objectif de certification alors que le travail de vérification réalisé dans le cadre des trois autres volets a été davantage axé sur la consultation. La prudence est de mise lorsqu'on analyse les conclusions formulées pour ces trois volets étant donné que certaines des constatations peuvent être fondées uniquement sur des renseignements obtenus durant des entrevues.

Conclusions et énoncé d'assurance

Énoncé d'assurance

Les procédures de vérification suivies et les éléments de preuve recueillis sont appropriés et suffisants pour appuyer les opinions suivantes au sujet des contrôles informatiques généraux et des contrôles de l'application PTPNI :

Contrôles informatiques généraux

Selon notre opinion, bien qu'un certain nombre de points forts en matière de contrôle ont été identifiés durant la vérification, la conception des contrôles informatiques généraux nécessite d'importantes améliorations dans les domaines suivants : la sécurité logicielle, les essais, la conversion des données, la reprise après sinistre et la continuité des opérations.

Contrôle des applications PTPNI

Selon notre opinion, la conception des contrôles de l'application associés :

• au respect des dispositions des articles 32, 33 et 34 de la Loi sur la gestion des finances publiques (LGFP) présente des aspects qui nécessitent un degré moyen d'attention de la part de la direction;
  
  
• au Cadre de contrôle de gestion (CCG) de la Direction des paiements de transfert (DPT) nécessite d'importantes améliorations dans les domaines suivants : le degré d'utilisation du système pour automatiser les contrôles par rapport à la mise en place d'outils permettant d'exécuter des contrôles manuels indépendants du système, la séparation des tâches, les lacunes spécifiques en matière de contrôle qui ont été identifiées et les fonctionnalités qui n'ont pas encore été développées; et
  
  
• ces opinions sont fondées sur une comparaison des conditions, telles qu'elles existaient au moment de la vérification, avec les critères de vérification établis à l'avance et acceptés par la direction. Les éléments de preuve ont été recueillis conformément à la politique, aux directives et aux normes en matière de vérification interne du Conseil du Trésor, et les procédures utilisées répondaient aux normes professionnelles de l'Institut des vérificateurs internes.
  
  

Conclusions pour les volets non axés sur la certification

Contrôles de la gestion du projet : Selon notre opinion, les contrôles de la gestion du projet sont efficaces, mis à part l'absence, au moment où nous avons réalisé l'évaluation, d'un cadre décisionnel.

Contrôles associés à l'entrée et au traitement des données : Selon notre opinion, la conception des contrôles associés à l'entrée et au traitement des données avec le système de PTPNI présente des aspects qui nécessitent un degré moyen d'attention de la part de la direction. La plupart de ces problèmes seront résolus lorsque les recommandations formulées pour les volets concernant les contrôles informatiques généraux et les contrôles de l'application PTPNI seront mises en application.

Contrôles associés à la vulnérabilité technique : Selon notre opinion, la conception des contrôles permettant d'atténuer la vulnérabilité technique est efficace, mis à part quelques risques de niveau moyen qui peuvent facilement être corrigés.

Les gestionnaires ont établis un plan d'action détaillé pour faire le point aux problèmes soulevés dans le rapport. À notre avis, la mise en place du plan d'action va aborder tous les points à améliorer ainsi que d'atténuer les risques identifiés.

Recommandations

Au total, la vérification inclut 18 recommandations formulées en fonction des constatations décrites en détail dans le rapport de vérification. Étant donné que cinq grands domaines de contrôle ont été examinés et que l'on dispose d'un temps limité pour mettre en place les mesures correctives spécifiques avant l'entrée en service du système, il n'y a pas eu de tentative, dans le cadre de la vérification, de regrouper les recommandations à un niveau plus général.

Contrôles informatiques généraux

Sécurité des systèmes d'information

• Les privilèges de mise à jour des accès dans l'environnement de production devraient être retirés de tous les comptes des membres de l'équipe du projet de PTPNI.
  
  
• Il faudrait procéder à un examen afin de s'assurer que tous les formulaires de demande d'accès sont remplis et que les privilèges d'accès au système correspondent aux autorisations qui sont accordées en fonction des formulaires de demande d'accès. La direction devrait envisager de mettre en place un processus pour réviser de façon régulière les accès accordés aux utilisateurs afin de s'assurer en permanence du caractère adéquat de ces privilèges d'accès.
  
  
• Un processus officiel impliquant les ressources humaines devrait être mis en oeuvre afin de s'assurer que les comptes (au niveau du réseau, du serveur, de la base de données et de l'application PTPNI) des employés qui ont cessé d'exercer leur emploi, ou dont le rôle et les responsabilités ont été modifiés, sont révoqués ou modifiés en temps opportun.
  
  

Mise en oeuvre et maintenance des systèmes d'applications

• Il faudrait obtenir des approbations officielles de la part des utilisateurs (ou de leurs représentants) confirmant qu'ils sont d'accord avec la portée des essais (par ex. , leur exhaustivité, leur caractère adéquat). De plus, pour chaque jeu d'essais (jeux d'essais de l'équipe interne du projet de PTPNI et jeux d'essais pour l'acceptation des fonctionnalités par les utilisateurs), il faudrait obtenir des approbations confirmant que les jeux d'essais ont été utilisés et que les résultats correspondaient aux attentes.
  
  
• Toutes les activités de nettoyage des données devraient être approuvées par les gestionnaires responsables des utilisateurs ou le responsable du projet. Les gestionnaires responsables des utilisateurs ou le responsable du projet devraient également approuver les résultats des essais réalisés afin de confirmer le degré de précision des activités de nettoyage des données.
  
  
• La portée et les résultats des activités de rapprochement des données devraient être documentés au moyen d'une liste de vérification des conditions de la mise en place que le Comité d'orientation du projet de PTPNI devrait approuver.
  
  

Soutien du réseau et du logiciel d'exploitation

• Le Comité consultatif sur les changements (CCC) devrait s'assurer que les exigences du Guide sur la gestion du changement sont pleinement respectées, en particulier en ce qui a trait à l'exigence qui stipule qu'il faut fournir des plans et résultats d'essais documentés.
  
  

Planification de la continuité des opérateurs et procédures de sauvegarde

• Les plans de continuité des opérations et de reprise après sinistre d'AINC devraient être mis à jour pour inclure le système de PTPNI. Des processus devraient être mis en place afin de s'assurer que ces deux plans sont régulièrement testés et mis à jour.
  
  

Contrôles de l'application du système de PTPNI

• La fonctionnalité qu'offre le système de PTPNI devrait être mise à profit afin d'automatiser des contrôles qui sont, dans toute la mesure du possible, conformes aux exigences du Cadre de contrôle de gestion (CCG) de la DPT et de la Loi sur la gestion des finances publiques (LGFP) (articles 32, 33 et 34). Les options qui permettent de remplacer ou de contourner les formules des ententes de financement, de déléguer des pouvoirs, de créer plus d'une entente de financement par bénéficiaire pour un même exercice et de créer des ententes de financement sans utiliser des modèles qui ont été approuvés par la DPT devraient être supprimées. De plus, les modèles d'entente de financement devraient déjà comporter des blocs-signature qui sont conformes aux exigences des autorisations et politiques pertinentes. Comme alternative, des contrôles de surveillance manuels devraient être élaborés et mis en place afin de s'assurer que les exigences du Cadre de contrôle de gestion de la DPT ainsi que celles de la LGFP (articles 32, 33 et 34) sont respectées.
  
  
• Des contrôles manuels devraient être élaborés et mis en place pour toutes les exigences du Cadre de contrôle de gestion de la DPT auxquelles ne répondent pas entièrement les contrôles automatisés du système de PTPNI.
  
  
• Compte tenu des difficultés que présente la création dans le système de PTPNI de profils d'accès d'usager qui correspondent aux titres de poste, nous recommandons la création d'une matrice de séparation des tâches afin de documenter clairement les activités qui doivent être distinguées. Si des responsabilités concurrentes doivent être attribuées à des utilisateurs spécifiques, des contrôles de surveillance devraient être mis en place.
  
  
• Les utilisateurs ne devraient pas avoir la possibilité de modifier des variables du système de PTPNI qui peuvent entraîner des différences entre les données du système de PTPNI et celles qui apparaissent dans les ententes de financement sur support papier. De plus, tant que l'état des ententes de financement dans le système de PTPNI en permet la modification, les versions imprimées des ententes produites par le système devraient clairement porter la mention « ébauche ».
  
  
• Des rapports sur les exceptions devraient être élaborés et utilisés pour la surveillance des dérogations aux contrôles. De plus, le système de PTPNI devrait forcer les utilisateurs à enregistrer des commentaires lorsqu'ils dérogent aux exigences redditionnelles obligatoires.
  
  
• La conception des contrôles de l'application PTPNI pour les modules ou les fonctions qui n'ont pas encore été élaborés devrait être évaluée dès que les fonctionnalités et contrôles restants seront implantés et ce, avant leur mise en service.
  
  

Contrôles de la gestion du projet

• Un cadre décisionnel devrait être élaboré et approuvé par le Comité d'orientation du projet de PTPNI. Le cadre décisionnel devrait être utilisé pour évaluer l'état de préparation du projet en vue de la date de mise en service planifiée.
  
  
• Des activités de transfert des connaissances devraient être mises en oeuvre pour le bénéfice de l'équipe du projet afin de réduire la dépendance à l'égard du gestionnaire du projet. Une plus grande délégation des responsabilités devrait constituer une priorité.
  
  

Contrôles associés à l'entrée et au traitement des données

• Jusqu'à ce que le module de rapprochement soit élaboré et mis en oeuvre, les rapports produits par le système de PTPNI devraient régulièrement être comparés à ceux du système financier afin de s'assurer qu'il n'y a pas de divergences. Les rapports devraient être conservés pour les besoins de l'historique d'expertise.
  
  

Contrôles associés à la vulnérabilité technique

• Le Ministère devrait officiellement signifier qu'il reconnaît les risques associés à l'omission de mettre en oeuvre les recommandations formulées dans l'ÉRM avant la mise en service du système de PTPNI.
  
  

Contexte

Affaires indiennes et du Nord Canada (AINC) est le principal organisme, mais non le seul, qui est chargé de veiller à ce que le gouvernement respecte ses engagements constitutionnels, politiques et juridiques, ainsi que ses responsabilités en matière de traités, à l'endroit des Premières nations, des Inuits, des Métis et des résidents du Nord. AINC est présentement responsable des décaissements et de la surveillance de subventions et contributions annuelles totalisant environ 5,6 milliards de dollars. Des paiements de transfert (sous forme de subventions et contributions) sont remis aux Premières nations, aux Inuits, aux Métis et aux résidents du Nord, ainsi qu'à leurs organisations, pour permettre la prestation de services aux membres de leurs collectivités respectives, conformément à la Politique sur les paiements de transfert du Conseil du Trésor, et font l'objet d'un contrôle en vertu des exigences internes d'AINC en ce qui a trait à la responsabilité, la présentation de l'information sur le rendement et l'évaluation. Le Système de gestion des paiements de transfert (SGPT) est le système financier présentement utilisé pour gérer les 5,6 milliards $ confiés à AINC et destinés aux subventions, contributions et autres paiements de transfert. La plupart de ces paiements sont transférés directement à environ 2 000 bénéficiaires qui sont en majorité des collectivités et des organisations des Premières nations.

Le système de Paiements de transfert aux Premières nations et aux Inuits (PTPNI) a été conçu pour remplacer le SGPT. Le but du projet de PTPNI est de mettre en place sur le Web un système de gestion des paiements de transfert qui offrira aux collectivités des Premières nations et des Inuits une prestation intégrée de services ainsi que des outils de gestion améliorés. Le système améliorera également la reddition de comptes en rehaussant les capacités de présentation de l'information financière et non financière des bénéficiaires des paiements de transfert. Le nouveau système de PTPNI aidera AINC à gérer l'information sur les ententes de financement et à adopter des pratiques prudentes de gestion de la trésorerie, conformément aux exigences du Conseil du Trésor.

Le système de PTPNI permet entre autres de faciliter le travail de préparation des ententes de financement (par ex. , les activités liées à l'affectation budgétaire), de créer et de tenir à jour des ententes de financement et de gérer les rapports des bénéficiaires qui servent à justifier les dépenses, à enregistrer les résultats des activités et à identifier les besoins potentiels en ce qui a trait aux mesures correctives.

Le projet de PTPNI a vu le jour en 2004 et il devrait être complété en mars 2008 à un coût total de 13,3 millions de dollars (incluant les coûts de maintenance de la première année). La première version du système est présentement en production et, dès qu'elle aura été approuvée par le Comité d'orientation du projet de PTPNI, elle sera utilisée pour créer des ententes de financement pour l'exercice 2007-2008. L'objectif visé pour la première version était d'intégrer toutes les fonctionnalités nécessaires pour le début du cycle des paiements de transfert. Les autres fonctionnalités seront implantées au besoin d'ici la fin du premier cycle des ententes de financement créées dans le système de PTPNI pour l'exercice 2007-2008. La signification financière des paiements de transfert traités par le Ministère et le rôle clé que jouera le système de PTPNI dans la surveillance et le cntrôle des transactions connexes ont poussé le Secteur de la vérification et de l'évaluation (SVE) à inclure la vérification de ce système en voie d'élaboration dans son plan de vérification interne.

Calendrier, objectifs et approche

Une activité préliminaire d'établissement de la portée pour le projet de système de PTPNI en voie d'élaboration a été réalisée entre les mois d'avril et juin 2006 afin de faciliter l'élaboration d'un plan de travail de projet détaillé pour cette vérification.

Les objectifs de la vérification, ainsi que les volets mis en oeuvre pour la réalisation des travaux nécessaires sur le terrain, sont identifiés dans le tableau suivant. Pour chacun des volets, le rapport détaillé contient une section distincte décrivant la méthodologie, le calendrier et la portée de la vérification, ainsi qu'une présentation des constatations correspondantes.

Chaque volet de travail réalisé dans le cadre de la vérification avait un but spécifique :

• Contrôles informatiques généraux (CIG): Confirmer la qualité de la conception des CIG utilisés avec le système de PTPNI. Les CIG sont des contrôles associés au traitement de l'information dans l'environnement informatique.
  
  
• Contrôles de l'application PTPNI : Confirmer la qualité de la conception des activités de contrôle réalisées grâce au système de PTPNI et qui sont incluses dans le Cadre de contrôle de gestion (CCG) de la Direction des paiements de transfert (DPT). Cela comprend, par exemple, les fonctionnalités du système de PTPNI qui sont en cours d'élaboration afin de répondre aux exigences des articles 32, 33 et 34 de la Loi sur la gestion des finances publiques (LGFP) et conçues de manière à éviter les inexactitudes financières importantes.
  
  
• Contrôles de la gestion du projet : Formuler des commentaires sur la pertinence des contrôles de la gestion du projet.
  
  
• Contrôles associés à l'entrée et au traitement des données : Formuler des commentaires sur la pertinence des contrôles associés à l'entrée et au traitement des données.
  
  
• Analyse de la vulnérabilité technique : Apporter un complément à l'Évaluation du risque et de la menace (ÉRM) récemment effectuée par AINC au sujet du système de PTPNI en réalisant une analyse de la vulnérabilité technique de l'application Web du système de PTPNI.
  
  

Portée

Étant donné que la majeure partie des procédés de vérification et d'examen ont été mis en oeuvre avant la mise en service de la première version de l'application le 11 décembre 2006, et que tous les tests de l'application PTPNI ont été effectués dans l'environnement d'essai, la portée de cette vérification inclut uniquement la conception des contrôles. Aucune opinion n'est offerte quant à la mise en oeuvre ou à l'absence de mise en oeuvre des contrôles dans l'environnement de production, ou à leur efficacité pour une période donnée. Ces éléments devraient être vérifiés dans le cadre d'un suivi du système.

Pour les volets de travail ayant un objectif de certification, l'information recueillie durant les entrevues a été corroborée par l'examen des documents pertinents et/ou par des observations. Dans le cas des volets de travail axés sur la consultation, bien que certains éléments aient fait l'objet d'une corroboration de l'information, quelques-unes des constatations peuvent être fondées uniquement sur de l'information obtenue durant les entrevues.

Méthodologie

Cette évaluation a été réalisée au moyen d'une démarche axée sur le risque harmonisée avec le cadre COBIT de contrôle TI élaboré par l'IT Governance Institute. La méthode consistait à réaliser les activités de vérification suivantes pour chaque domaine de contrôle inclus dans l'examen :

• identifier les objectifs de contrôle pertinents pour chaque domaine à examiner;
  
  
• identifier les activités de contrôle pertinentes qui permettent de réaliser intégralement les objectifs de contrôle;
  
  
• évaluer la conception des activités de contrôle identifiées (avant la mise en service du système).
  
  

Portée et calendrier

Portée

Calendrier

L'évaluation des Contrôles informatiques généraux (CIG) a été réalisée entre les mois de juin et décembre 2006.

Conclusion

Bien qu'un certain nombre de points forts en matière de contrôle aient été identifiés durant la vérification, la conception des contrôles informatiques généraux nécessite, selon notre opinion, d'importantes améliorations.

Points forts

Parmi les points forts identifiés dans ce domaine, notons :

• le système de PTPNI est muni d'une fonctionnalité efficace permettant de surveiller les composantes et les erreurs du système;
  
  
• des règles fortes de gestion des mots de passe sont imposées au niveau réseau et au niveau application;
  
  
• un système de suivi des billets est utilisé pour gérer le développement du système et les modifications apportées à l'application
  
  
• un Comité consultatif sur les changements (CCC) est en place pour s'assurer que les risques associés aux changements apportés à l'environnement de production de la technologie de l'information d'AINC font l'objet d'une évaluation adéquate;
  
  
• les procédures de sauvegarde pour le système de PTPNI sont effectuées et les données sont sauvegardées dans une ville et un édifice distincts de ceux où sont situés les serveurs de l'environnement de production du système de PTPNI.
  
  

Méthodologie

L'objectif de ce volet de travail consistait à déterminer si la conception des contrôles de l'application PTPNI permettait de répondre adéquatement aux exigences du Cadre de contrôle de gestion (CCG) de la Direction des paiements de transfert (DPT) et des articles 32, 33 et 34 de la Loi sur la gestion des finances publiques (LGFP). Les activités de vérification suivantes ont été réalisées afin d'atteindre cet objectif :

• des énoncés de contrôle provenant du CCG de la DPT et des articles 32, 33 et 34 de la LGFP ont été utilisés pour la formulation des critères de vérification;
  
  
• les critères de vérification ainsi obtenus ont été validés conjointement avec le responsable du projet de PTPNI;
  
  
• les contrôles planifiés de l'application PTPNI qui répondent aux exigences des critères de vérification ont été identifiés. Cela a permis la création de la liste des contrôles du système de PTPNI répondant aux exigences du CCG de la DPT et des articles 32, 33 et 34 de la LGFP et la définition de la portée de ce volet de travail;
  
  
• on a procédé à des entrevues dans le but de comprendre de quelle façon les contrôles de l'application identifiés seront mis en oeuvre dans le système de PTPNI, et de déterminer les mesures qui seront prises pour s'assurer que ces contrôles fonctionnent adéquatement avant la mise en service de ce système (par ex. , mises à l'essai).
  
  
• la conception des contrôles de l'application PTPNI qui ont été identifiés a été documentée et mise à l'essai.
  
  

Portée et calendrier

Portée

La conception des contrôles de l'application PTPNI répondant aux exigences du Cadre de contrôle de gestion de la DPT et des articles 32, 33 et 34 de la Loi sur la gestion des finances publiques a permis de définir la portée de ce volet de travail. Les contrôles ont été évalués dans les domaines suivants :

• critères d'accès / Évaluation de la gestion;
• modalités des ententes de financement;
• présentation de l'information financière et de l'information relative au programme;
• surveillance active;
• intervention;
• Articles 32, 33 et 34 de la Loi sur la gestion des finances publiques

Calendrier

L'évaluation des contrôles de l'application PTPNI a été réalisée entre les mois de juin et décembre 2006.

Conclusion

Selon notre opinion, la conception des contrôles de l'application PTPNI relatifs aux exigences de la LGFP stipulées aux articles 32, 33 et 34 présente des problèmes de niveau moyen nécessitant l'attention de la direction.

Bien qu'un certain nombre de points forts en matière de contrôle aient été identifiés durant la vérification, selon notre opinion, la conception des contrôles de l'application PTPNI relatifs au CCG de la DPT nécessite d'importantes améliorations. Un bon nombre de contrôles manuels doivent toujours être utilisés pour compléter les contrôles du système de PTPNI et pour s'assurer que les objectifs liés au contrôle sont atteints.

Points forts

Parmi les points forts identifiés dans ce domaine, notons :

• le système de PTPNI fournit des outils qui permettent de s'acquitter plus efficacement des exigences en matière de présentation de l'information, notamment l'inclusion automatique des exigences obligatoires en matière de présentation de l'information durant le processus de préparation des ententes de financement.
  
  
• le système de PTPNI permet d'établir une interface avec le système financier afin de s'assurer que les obligations et les paiements associés au financement ne sont traités que si les fonds nécessaires sont disponibles.
  
  
• les contrôles de sécurité empêchent un utilisateur d'émettre simultanément des approbations en vertu de l'article 33 et de l'article 34 de la LGFP.
  
  

Méthodologie

Notre évaluation a été fondée principalement sur des examens des documents et des entrevues avec des intervenants clés du projet à AINC. Nous avons eu de nombreuses rencontres avec le gestionnaire de projet du système de Paiements de transfert aux Premières nations et aux Inuits (PTPNI), des intervenants du projet à l'administration centrale d'AINC (à savoir, le directeur des Services administratifs, un représentant du Bureau de gestion de projets de la Direction générale de la gestion de l'information, le responsable du projet de PTPNI), et trois coordonnateurs régionaux du pojet de PTPNI (à savoir, pour les régions du Québec, de la Saskatchewan et du Nunavut). Nous avons fondé notre évaluation sur une comparaison des pratiques présentement utilisées par rapport aux meilleures pratiques appliquées aux projets de mise en oeuvre de systèmes de TI de grande envergure.

Portée et calendrier

Portée

L'évaluation des contrôles de la gestion de projet a été axée sur les sept domaines clés suivants :

L'évaluation des contrôles de la gestion du projet était axée sur la consultation et, à ce titre, certaines constatations peuvent être fondées uniquement sur l'information recueillie durant les entrevues.

Calendrier

L'évaluation a été réalisée entre les mois de juillet et octobre 2006. Le rapport sur l'évaluation des contrôles de la gestion du projet a été déposé, à l'origine, le 31 octobre 2006.

Conclusion

Selon notre opinion, les contrôles de la gestion du projet sont bien établis, exception faite de l'absence, au moment où l'évaluation a été réalisée, d'un cadre décisionnel.

Points forts

Parmi les points forts relevés dans ce domaine, notons :

• un comité d'orientation est en place depuis le tout début du projet;
  
  
• les intervenants estiment qu'ils ont été consultés de manière appropriée durant la phase de définition de la portée du projet et qu'aucune modification majeure n'a été apportée au contenu du projet;
  
  
• les coordonnateurs régionaux du projet de PTPNI dans chaque région peuvent faciliter la communication entre les Premières nations, le personnel des bureaux régionaux d'AINC et l'équipe du projet de PTPNI;
  
  
• des normes et des lignes directrices documentées ont été élaborées par l'équipe du projet de PTPNI pour les besoins du développement de l'application, de la gestion du changement et de l'assurance de la qualité.
  
  

Étant donné que la vérification a été réalisée peu de temps avant la date de mise en service initiale, il est entendu que la possibilité de voir les risques identifiés se concrétisent est en partie réduite. Toutefois, considérant que le mandat de l'équipe du projet de PTPNI se poursuit jusqu'en mars 2008, nos observations pourraient être utilisées comme des leçons apprises pour la planification des développements à venir dans le cadre du projet de PTPNI.

Méthodologie

L'objectif de ce volet de travail était de déterminer si les contrôles associés à l'entrée et au traitement des données intégrés dans le système de PTPNI sont conformes aux meilleures pratiques relatives au contrôle. Pour cet examen, on a utilisé un sous-ensemble des objectifs recommandés par le cadre CobiT 4. 0 relativement au contrôle de l'application. CobiT est un cadre de gouvernance en matière de TI ainsi qu'un ensemble d'outils de soutien publié par l'IT Governance Institute. Les activités de vérification suivante ont été réalisées :

• l'identification des objectifs pertinents en matière de contrôle pour chaque catégorie;
  
  
• l'identification des contrôles de l'application pertinents qui répondent aux objectifs en matière de contrôle;
  
  
• l'évaluation de la conception des contrôles de l'application identifiés (avant la mise en service du système).
  
  

Portée et calendrier

Portée

Nous avons évalué les domaines et objectifs de contrôle suivants qui ont été tirés du cadre CobiT 4. 0 :

L'évaluation des contrôles associés à l'entrée et au traitement des données était axée sur la consultation et, à ce titre, certaines constatations peuvent être fondées uniquement sur l'information recueillie durant les entrevues.

Calendrier

L'évaluation des contrôles associés à l'entrée et au traitement des données a été réalisée entre les mois de juin et décembre 2006.

Conclusion

Selon notre opinion, la conception des contrôles associés à l'entrée et au traitement des données dans le système de PTPNI présente des problèmes de niveau moyen nécessitant l'attention de la direction.

Points forts

Parmi les points forts que nous avons relevés dans ce domaine, notons :

• les vérifications par épurement sont utilisées pour contrôler la qualité des données qui sont entrées et pour produire des messages d'erreur lorsque des problèmes sont identifiés. Les transactions ne sont pas traitées tant que les utilisateurs n'ont pas résolu les messages d'erreur.
  
  
• les transactions génèrent des pistes de vérification détaillées;
  
  
• les rapports présentés par les bénéficiaires sont uniquement considérés comme des rapports finaux après que le personnel d'AINC les ait révisés pour en déterminer la pertinence.
  
  

Méthodologie

L'analyse a inclus des évaluations de la vulnérabilité, tant à l'échelle du réseau qu'au niveau de l'application. La méthodologie utilisée pour l'évaluation de la vulnérabilité du réseau a été conçue de manière à identifier les lacunes des services du réseau et à minimiser le risque durant les essais portant sur le déni des services ou la corruption des données. Cette méthodologie incluait le profilage du système hôte, le profilage des services et l'identification des vulnérabilités. L'évaluation de la vulnérabilité au niveau de l'application a été effectuée en utilisant deux scénarios : 1) une attaque contre l'application par un pirate informatique anonyme ne possédant pas de compte et 2) une attaque contre l'application par un utilisateur possédant un compte valide.

Portée et calendrier

Portée

Les éléments suivants faisaient partie de la vérification : une évaluation de la vulnérabilité du réseau, une évaluation de la vulnérabilité de l'application et une mise à jour de l'état d'avancement du plan d'action concernant les recommandations présentées dans le rapport d'Évaluation du risque et de la menace (ÉRM) associés au système de PTPNI.

Les éléments suivants ne faisaient pas partie de la vérification : un examen complet de l'infrastructure de réseau sous-jacente et du module CASC (Corporate Application Security Controller) utilisés pour l'ouverture de session dans le système de PTPNI.

L'évaluation de la vulnérabilité technique était axée sur la consultation et, à ce titre, certaines constatations peuvent être fondées uniquement sur l'information recueillie durant les entrevues.

Calendrier

L'évaluation de vulnérabilité technique a été réalisée du 8 au 14 novembre 2006.

Conclusion

Selon notre opinion, la conception des contrôles permettant d'atténuer la vulnérabilité technique est efficace, mis à part les risques de niveau moyen décrits ci-dessous. Ces risques peuvent facilement être atténués en mettant en oeuvre les recommandations.

Points forts

Parmi les points forts que nous avons relevés dans ce domaine, notons :

• une évaluation du risque et de la menace et un énoncé de sensibilité ont récemment été réalisés pour le système de PTPNI.
  
  
• le protocole sécurisé de cryptage (SSL – Secure Socket Layer) est utilisé par l'application pour sécuriser la communication entre le serveur Web et les navigateurs Web des clients;
  
  
• un réseau privé virtuel offre une protection additionnelle aux utilisateurs qui accèdent au système de PTPNI de l'extérieur du réseau d'AINC (par ex., les utilisateurs membres des Premières nations).