Vérification de la gestion de l'accès à l'information et de la protection des renseignements personnels (AIPRP)

Contexte

Une vérification de la gestion de l'accès à l'information et de la protection des renseignements personnels (AIPRP) est prévue dans le Plan de vérification axé sur le risque de 2014-2015 à 2016-2017 d'Affaires autochtones et Développement du Nord Canada (AADNC), qui a été approuvé par le sous-ministre le 6 février 2014. Cette vérification était considérée comme une priorité, étant donné l’absence de vérification récente dans ce domaine ainsi que la complexité inhérente à la gestion de l'AIPRP, attribuable à plusieurs facteurs, dont les suivants :

• les exigences prévues par la loi;
• le nombre de personnes impliquées dans le processus;
• l'imprévisibilité des demandes en matière de volume et de complexité;
• la visibilité et les répercussions possibles sur le Ministère.

Les exigences législatives applicables à l'AIPRP sont énoncées dans la Loi sur l'accès à l'information et laLoi sur la protection des renseignements personnels. Ces deux lois sont en vigueur au Canada depuis 1983 et s'appliquent à toutes les institutions gouvernementales énumérées à l'Annexe I de chacune des lois. Le but de la Loi sur l'accès à l'information est de donner un droit d'accès à l’information qui est sous le contrôle du gouvernement du Canada, en partant du principe que cette information devrait être accessible au public et que les rares exceptions à ce droit devraient être précises et limitées. En outre, la Loi prévoit que les décisions relatives à la divulgation d’information devraient faire l'objet d'un examen indépendant par le Commissariat à l'information du Canada (CIC). La Loi sur la protection des renseignements personnels a été adoptée pour élargir la portée des lois qui protègent les renseignements personnels qui sont détenus et contrôlés par le gouvernement du Canada, et pour donner un droit d'accès à ces renseignements.

Au sein d’AADNC, la gestion des demandes d’AIPRP est assurée par la Direction de l’AIPRP, qui est sous la responsabilité du Secrétariat du Ministère. Le Directeur de l'AIPRP relève du secrétaire, qui lui, relève du sous-ministre. La Direction a la responsabilité générale de fournir un éventail diversifié de mesures de soutien et de services, notamment les réponses aux demandes d'accès à l'information et aux renseignements personnels. La Direction établit les politiques, les procédures et les pratiques permettant d'assurer la conformité du Ministère à la Loi sur l'accès à l'information et la Loi sur la protection des renseignements personnels. Elle traite toutes les demandes soumises en vertu de ces lois, avec l’aide de de différents secteurs compétents ou régions du Ministère qui sont concernés. Chaque secteur et région dispose d'un agent de liaison de l'AIPRP, ou AL, qui travaille directement avec la Direction de l’AIPRP. Cette personne est responsable de coordonner les activités d'extraction, d'examen et de soumission pour l'information requise à la Direction de l’AIPRP.

La Section de la politique sur la protection des renseignements personnels de la Direction de l’AIPRP offre de l’aide et des conseils au Ministère sur plusieurs sujets liés à la protection des renseignements personnels, comme l'exécution des évaluations d'impact sur la vie privée ou les activités d'éducation et de sensibilisation à la protection des renseignements personnels et aux enjeux connexes à l'échelle du Ministère.

Objectif et portée de la vérification

L’objectif de la vérification était d'évaluer la pertinence du cadre de gouvernance, de la gestion des risques et des mesures de contrôle en place pour soutenir la gestion de l'AIPRP et la mesure dans laquelle elles favorisent la conformité aux exigences législatives, celles du Conseil du Trésor et celles du Ministère. Également, l’objectif de la vérification était d’évaluer l'efficacité opérationnelle des contrôles en place pour gérer le traitement des demandes d’AIPRP et pour en favoriser l'amélioration continue.

La portée de la vérification couvrait les activités relevant de la responsabilité du Ministère en lien avec la gestion de l'AIPRP. Plus particulièrement, la vérification a évalué la pertinence et l’efficacité opérationnelle du cadre de gouvernance, de la gestion des risques et des mesures de contrôle en place pour soutenir la gestion de l’AIPRP.

Conformément à l'objectif fixé, la vérification a examiné les quatre éléments suivants :

1. La pertinence du cadre de gouvernance, de la gestion des risques et des mesures de contrôle en place pour s’assurer que la gestion des demandes d’AIPRP est conforme aux exigences législatives, celles du Conseil du Trésor et du Ministère et pour réduire le risque que de l'information exclue ou exemptée soit divulguée.
2. L'efficacité opérationnelle du cadre de gouvernance, de la gestion des risques et des mesures de contrôle en place pour s’assurer que la gestion des demandes d’AIPRP soit conforme aux exigences prescrites par les lois, celles du Conseil du Trésor et du Ministère et pour réduire le risque que de l'information exclue ou exemptée soit divulguée.
3. La pertinence du cadre de gouvernance, de la gestion des risques et des mesures de contrôle en place pour assurer que la gestion des demandes d’AIPRP est conforme aux exigences provenant des lois, du Conseil du Trésor et du Ministère et pour réduire le risque d’infractions à la Loi sur la protection des renseignements personnels.
4. La pertinence des procédures en place aux fins d’un traitement efficient des demandes d’AIPRP.

La vérification ne comprenait aucun examen de :

• l'exactitude ou l'intégralité des demandes d'AIPRP complétées;
• les responsabilités en lien avec la protection des renseignements personnels qui sont à l'extérieur de la portée des responsabilités de la Direction de l’AIPRP.

Énoncé de conformité

La vérification de la gestion de l’AIPRP est conforme aux Normes relatives à la vérification interne au sein du gouvernement du Canada, comme en témoignent les résultats du programme d'assurance et d'amélioration de la qualité.

Observations

Avant 2011-2012, le Commissariat à l'information du Canada avait indiqué que le Ministère présentait des lacunes importantes au chapitre de la gestion de l'AIPRP et qu'il avait manqué de façon régulière à ses obligations prévues par la Loi. En 2011-2012, AADNC a orienté ses efforts vers une amélioration du processus de gestion des demandes d’AIPRP. Comme en fait état le présent rapport, ces efforts ont eu un effet positif durant les dernières années sur la capacité du Ministère à s'acquitter de ses obligations prévues par la loi., et les lacunes cernées par le CIC ont été en grande partie réglés.

Étant donné l’attention que la Direction de l’AIPRP a récemment portée à la conformité aux exigences législatives et politiques, peu de ressources ont été consacrées à l'identification et à l’exploitation des possibilités de réaliser des gains d'efficience dans le cadre de la gestion des demandes au titre de l’AIPRP à l'échelle du Ministère. Même si la Direction a réalisé des progrès dignes de mention, il est important de souligner qu'elle est maintenant tout à fait en mesure d’aller au-delà de la simple conformité et de viser aussi des gains d'efficience.

Conclusion

La vérification a révélé que dans l'ensemble, le cadre de gouvernance, de gestion des risques, et des mesures de contrôle en place pour s’assurer que la gestion des demandes présentées au titre de l’AIPRP est conforme aux exigences des lois, du Conseil du Trésor et du Ministère, est adéquat et fonctionne de façon efficace. En revanche, elle a également mis en lumière certaines possibilités d'amélioration dans les domaines suivants : politiques et procédures; formation et orientation; efficience et amélioration continue.

Recommandations

L’équipe de vérification a également relevé des secteurs où les pratiques et les processus de contrôle de la gestion pourraient être améliorés, ce qui a donné lieu aux trois recommandations suivantes :

1. Le secrétaire du Ministère devrait entreprendre un examen approfondi des politiques et des procédures d'AIPRP dans la perspective d’y repérer les lacunes, les irrégularités ou autres possibilités d'amélioration, et de prendre les mesures qui s’imposent. Outre la pratique actuelle qui consiste à régler les problèmes à mesure qu'ils surviennent, il conviendrait d'établir un calendrier qui exigerait un examen périodique approprié des politiques et procédures.
2. Le secrétaire du Ministère devrait examiner, et mettre à jour au besoin, les programmes de formation offerts par la Direction de l’AIPRP, par exemple :
   • Améliorer l'accès des secteurs et des régions à la formation et aux orientations pratiques, de préférence après consultation des représentants des secteurs et des régions;
   • Évaluer si le programme de formation sur la protection des renseignements personnels, en lien avec la responsabilité qui incombe à la Direction, d'éduquer et de sensibiliser à la protection des renseignements personnels et aux enjeux connexes à l'échelle du Ministère, est suffisant tel qu’il est.
3. Le secrétaire du Ministère devrait préciser les attentes, les rôles et les responsabilités, afin d’améliorer l'efficience en matière de gestion de l'AIPRP, et établir des objectifs et des pratiques connexes conçus pour accroître l'efficience des processus. Ces pratiques pourraient comprendre la facilitation de la mise en commun des pratiques exemplaires entre les régions et les secteurs, l'établissement de rapports sur le rendement de la Direction de l’AIPRP au regard des normes de services internes et le suivi du niveau d'effort requis à l’échelle du Ministère pour traiter les demandes afin de contrôler et de cerner les gains d'efficience.

Réponse de la direction

La direction est d’accord avec les constations, a accepté les recommandations contenues dans le rapport, et a élaboré un plan d’action de la direction afin d’y répondre. Le plan d’action de la direction a été intégré au présent rapport.

1.1 Résumé des lois

1.2 Accès à l'information et protection des renseignements personnels au gouvernement fédéral

En 2012-2013, il y a eu 110 500^{Notes en bas de page 1} demandes d’AIPRP à l'échelle du gouvernement fédéral. Près de la moitié d’entre elles avaient trait à l'accès à l'information et l'autre moitié, à l'accès aux renseignements personnels.

Au cours de la même année, AADNC a reçu 793 demandes d’AIPRP, dont 648 (81,7 %) étaient des demandes d'accès à l'information. Le tableau ci-dessous, établi à partir de l'information fournie dans les rapports des ministères au Parlement, présente des chiffres pour une sélection de ministères fédéraux, dont AADNC. Ces chiffres montrent combien il est difficile de prévoir le nombre de demandes et le nombre de pages examinées par demande dans un échantillon de ministères fédéraux. Il souligne également qu’AADNC se distingue par le nombre présumé de refus, lequel se maintient à 0 %, et ce, même si le nombre de demandes au titre de l’AIPRP concernant le Ministère pour 2012-2013 était très semblable à celui de Patrimoine canadien ainsi que de Ressources humaines et Développement des compétences Canada (RHDCC). On peut y voir aussi que le nombre d'équivalents temps plein (ETP) à la Direction de l’AIPRP d'AADNC se situe à l'intérieur de la fourchette d'organisations comparables, selon le volume de demandes. Enfin, il indique que le Ministère a reçu un ratio de plaintes par rapport aux demandes relativement plus élevé que d'autres organisations.

* Le paragraphe 10(3) sur l'accès à l'information prévoit que lorsqu'une institution gouvernementale omet de consentir l'accès à un document, ou de fournir un avis expliquant les raisons d'un refus d'accès à l'intérieur des délais précisés, celle-ci est présumée avoir refusé l'accès.

1.3 Aperçu du processus relatif aux demandes d’AIPRP

Le processus de traitement d’une demande d'AIPRP comporte 11 étapes. La Direction de l’AIPRP du Ministère, de même que les secteurs et les régions, doit suivre chacune de ces étapes. Afin de respecter l'exigence d'un délai de réponse de 30 jours en vertu de la loi, la Direction de l’AIPRP a établi un calendrier et un chemin critique pour l'achèvement de ces étapes comme il est illustré dans le graphique suivant:

Comme on a pu le voir dans les pages précédentes, dès la réception d'une demande d’AIPRP, la Direction de l’AIPRP en fait une évaluation et détermine quelles régions ou quels secteurs sont responsables de fournir l'information demandée. L'agent de liaison de l'AIPRP (« AL ») de la région/du secteur responsable examine la demande et l'achemine au personnel approprié de la région/du secteur dans le but de rassembler les renseignements demandés.

Chaque région/secteur responsable remplit un énoncé d'impact qui est signé par le cadre supérieur responsable (sous-ministre adjoint principal, sous-ministre adjoint, directeur général régional, etc.), et l'achemine à la Direction de l’AIPRP. Cet énoncé indique les principaux renseignements relatifs à la demande, y compris l'information jugée délicate ou encore susceptible d'être exemptée ou exclue. Les exemptions visent à protéger les éléments se rapportant à des intérêts publics ou privés, par exemple, les renseignements confidentiels fournis par une tierce partie ou toute information pouvant porter atteinte à la défense du Canada. Certains renseignements sont précisément exclus de la portée de la loi, notamment ceux que contiennent les documents confidentiels du Conseil privé de la Reine pour le Canada et ceux qui sont mis en vente dans le public.

Même si les demandes doivent habituellement être remplies et communiquées dans les 30 jours suivant la réception par le Ministère, la loi prévoit des prolongations qui peuvent être accordées dans différentes situations. Par exemple, il est possible d'accorder une période supplémentaire de 60 jours si le Ministère doit consulter d'autres ministères gouvernementaux, ou des tierces parties comme une Première Nation, pour remplir la demande.

1.4 Rôle de la Direction de l’AIPRP

Au sein d’AADNC, la gestion des demandes d’AIPRP est assurée par la Direction de l’AIPRP, qui est sous la responsabilité du Secrétariat du Ministère. Le Directeur de l'AIPRP relève du secrétaire, qui lui, relève du sous-ministre. La Direction a la responsabilité générale de fournir un éventail diversifié de mesures de soutien et de services, notamment les réponses aux demandes d'accès à l'information et aux renseignements personnels.

Outre le directeur, on dénombre environ 21 ETP au sein de la Direction de l’AIPRP, y compris des consultants et du personnel d'agences de dotation. Environ 15 ETP sont responsables du traitement des demandes et 6 sont affectés à la Section de la politique sur la protection des renseignements personnels. La Direction de l’AIPRP établit les politiques, les procédures et les pratiques permettant d’assurer la conformité du Ministère à la Loi sur l'accès à l'information et de la Loi sur la protection des renseignements personnels. Elle traite toutes les demandes soumises en vertu de ces lois, à l’aide de la contribution des différents secteurs et régions du Ministère qui sont concernées. Bien qu'il incombe au Secrétariat de coordonner les réponses aux demandes d’AIPRP, tous les membres de la haute direction du Ministère ont un rôle à jouer pour faire en sorte que les documents demandés sont transmis au Secrétariat dans les meilleurs délais.

La Section de la politique sur la protection des renseignements personnels de la Direction de l’AIPRP offre de l’aide et des conseils au Ministère sur divers aspects de la protection des renseignements personnels, comme l’exécution des évaluations d'impact sur la vie privée ou d’effectuer des activités d'éducation et de sensibilisation à la protection des renseignements personnels et aux enjeux connexes à l'échelle du Ministère.

1.5 Rôle des régions et des secteurs

Chaque secteur et chaque région du Ministère joue un rôle au chapitre du traitement des demandes d’AIPRP qui visent des dossiers détenus au sein de leurs organisations respectives. Comme on a pu le voir dans les pages précédentes, dès la réception d'une demande de production de documents provenant de la Direction de l’AIPRP, il incombe à la région/au secteur de retracer ces documents et d'obtenir l'approbation du SMA concernant les répercussions rattachées à la demande. Ils doivent également collaborer avec la Direction générale des communications du Ministère pour tout élément de nature délicate pouvant justifier des infocapsules. Chaque secteur et chaque région a désigné un agent de liaison qui est affecté directement à la Direction de l’AIPRP. Cet agent y coordonne la consultation, l'examen et la production de l'information requise.

1.6 Contexte

Avant 2011-2012, le Commissariat à l'information du Canada avait signalé que le Ministère présentait des lacunes importantes au chapitre de la gestion de l'AIPRP et qu'il avait de façon régulière manqué à ses obligations prévues par la loi. En 2011-2012, AADNC a orienté ses efforts vers une amélioration du processus de gestion des demandes d’AIPRP. En plus d'apporter des changements aux effectifs et au niveau de leadership au sein de la Direction de l’AIPRP, le Ministère a mis à jour et a amélioré ses politiques et ses procédures d'AIPRP, la formation offerte et ses pratiques de surveillance. Le tableau A illustre les changements apportés de 2010-2011 jusqu'à 2013-2014. Il fait état d'une hausse importante du nombre de demandes traitées par à peu près le même nombre d'ETP à la Direction de l’AIPRP. Il importe de mentionner la proportion accrue de demandes achevées à l'intérieur du délai initial de 30 jours, et en particulier l'augmentation continue des demandes achevées dans les 15 premiers jours (longtemps avant le délai initial de 30 jours). Comme on le verra plus loin, l'effet positif de ces changements dans la capacité du Ministère de s'acquitter de ses obligations statutaires est confirmé par les résultats de cette vérification.

Tableau A

2.1 Objectif de la vérification

L’objectif de la vérification était d'évaluer la pertinence du cadre de gouvernance, de la gestion des risques et des mesures de contrôle en place pour soutenir la gestion de l'AIPRP et la mesure dans laquelle elles favorisent la conformité aux exigences législatives, celles du Conseil du Trésor et celles du Ministère. Également, l’objectif de la vérification était d’évaluer l'efficacité opérationnelle des contrôles en place pour gérer le traitement des demandes d’AIPRP et pour en favoriser l'amélioration continue.

2.2 Portée de la vérification

La portée de la vérification comprenait les activités relevant de la responsabilité du Ministère ayant trait à la gestion de l'AIPRP. Plus particulièrement, la vérification a évalué la pertinence et l’efficacité opérationnelle du cadre de gouvernance, de la gestion des risques et des mesures de contrôle en place pour soutenir la gestion de l’AIPRP.

Conformément à l'objectif fixé, la vérification a examiné les quatre éléments suivants :

1. La pertinence du cadre de gouvernance, de la gestion des risques et des mesures de contrôle en place pour s’assurer que la gestion des demandes d’AIPRP est conforme aux exigences législatives, celles du Conseil du Trésor et du Ministère et pour réduire le risque que de l'information exclue ou exemptée soit divulguée.
2. L'efficacité opérationnelle du cadre de gouvernance, de la gestion des risques et des mesures de contrôle en place pour s’assurer que la gestion des demandes d’AIPRP est conforme aux exigences provenant des lois, du Conseil du Trésor et du Ministère et pour réduire le risque que de l'information exclue ou exemptée soit divulguée.
3. La pertinence du cadre de gouvernance, de la gestion des risques et des mesures de contrôle en place pour s’assurer que la gestion des demandes d’AIPRP est conforme aux exigences provenant des lois, du Conseil du Trésor et du Ministère et pour réduire le risque d’infractions à la Loi sur la protection des renseignements personnels.
4. La pertinence des procédures en place aux fins d’un traitement efficient des demandes d’AIPRP.

La vérification couvrait la période du 1er avril 2012 au 31 mars 2014.

La vérification ne comprenait aucun examen de:

• l'exactitude ou l'intégralité des demandes d'AIPRP complétées;
• les responsabilités en lien avec la protection des renseignements personnels qui sont à l'extérieur de la portée des responsabilités de la Direction de l’AIPRP.

5.1 Gouvernance et surveillance

L'équipe de vérification s'attendait à ce que le Ministère ait déjà mis en place des mécanismes permettant de faire un suivi et de contrôler de façon régulière la gestion des demandes soumises au titre de l’AIPRP. Ces activités devraient s’appuyer sur des rapports précis et opportuns, et faciliter l'identification, l'évaluation et la gestion des risques liés au traitement des demandes d’AIPRP.

La vérification a permis de constater que le secrétaire du Ministère et le directeur de l'AIPRP ainsi que le sous-ministre adjoint dirigent des réunions hebdomadaires en lien avec l’AIPRP. Ces réunions servent de tribune principale aux fins d’une surveillance de haut niveau du processus de gestion des demandes d’AIPRP. D'autres intervenants peuvent participer à ces réunions, notamment des représentants du cabinet du sous-ministre, de la Direction générale des communications, et de la Direction générale de la gestion et du règlement des litiges. Au cours de ces réunions, les activités relatives à l'AIPRP et l'état d'avancement des demandes sont discutés avec le directeur de l'AIPRP. Même si l'on passe en revue chaque nouvelle demande, on porte une attention particulière aux demandes pouvant viser des renseignements de nature délicate ou, pour quelque autre raison, importants. Cet examen des activités d'AIPRP et des demandes constitue une étape importante de la gestion des risques inhérents aux demandes d’AIPRP reçues, de même qu’un excellent mécanisme qui permet d’assurer que les intervenants internes appropriés sont avertis et engagés en temps opportun lorsque des renseignements de nature potentiellement délicate sont demandés.

En ce qui a trait à la production de rapports, la vérification a permis de constater que des rapports sommaires sont rédigés en prévision des réunions hebdomadaires. Ils donnent un résumé des demandes d’AIPRP et font état des changements apportés depuis le dernier rapport hebdomadaire (p.ex., sommaires de l'ensemble des nouvelles demandes, des demandes achevées, des prolongations, etc.). En outre, la vérification a révélé que la fonction d'AIPRP fournit des renseignements permettant d'établir le plan d'activités annuel du Secrétariat du Ministère, et rend compte de ces éléments dans les rapports trimestriels du Ministère. Enfin, la Direction de l’AIPRP doit produire à l’intention du Parlement des rapports annuels détaillés concernant la conformité aux obligations prévues dans la Loi sur l'accès à l'information et la Loi sur la protection des renseignements personnels.

À la lumière de ce qu’elle a pu observer, l'équipe de vérification a conclu que les mécanismes de gouvernance et de surveillance en place permettaient d'exercer une gestion appropriée et efficace de la fonction d'AIPRP.

5.2 Politiques et procédures ministérielles relatives à l'AIPRP

Évaluation de la conception/pertinence

L'équipe de vérification s'attendait à ce que le Ministère ait mis en place des politiques et des procédures bien conçues et communiquées de manière appropriée pour faciliter la gestion des demandes soumises au titre de l’AIPRP. Ces politiques et procédures devaient refléter notamment les exigences applicables à l'échelle pangouvernementale (c. -à -d., celles qui sont établies par le Conseil du Trésor) et l'approche du Ministère à l'égard de la gestion des risques inhérents à la communication de renseignements de nature délicate.

La vérification a permis de constater que la Direction de l’AIPRP avait déjà mis en place plusieurs politiques et procédures devant servir à faciliter la gestion des demandes d’AIPRP. Dans l'ensemble, elles se sont avérées concises, faciles à comprendre et décrivent en termes clairs les rôles et les responsabilités. Ces politiques et procédures sont accessibles à tous les employés à partir du site intranet du Ministère.

L'équipe de vérification a aussi procédé à une évaluation approfondie des politiques et procédures ministérielles relatives à l'AIPRP par rapport aux exigences du Conseil du Trésor (CT). Ces exigences proviennent de la Directive concernant l'administration de la Loi sur l'accès à l'information du CT, de la Politique sur l'accès à l'information du CT, et de la Directive sur les demandes de renseignements personnels et de correction du CT. En examinant les 21 exigences provenant de ces documents, la vérification a permis de constater que les politiques et les procédures satisfaisaient entièrement à 17 d’entre elles. Quatre des exigencesont été évalué comme étant partiellement satisfaits, comme suit:

• les politiques et procédures visées donnent peu d’information concernant l'entrave au droit d'accès à l'information^{Notes en bas de page 2};
• le guide de l'employé pour l'AIPRP ne prévoit aucune procédure devant servir à aviser le Commissaire à l'information qu’une prolongation supérieure à 30 jours a été consentie pour une demande; et,
• le guide de l’employé contient peu d’information sur la façon de fermer un dossier complété (par exemple, l’établissement d’une liste de vérification de fermeture), y compris sur les documents que l'on doit conserver dans le dossier et sur les procédures relatives à la publication des résumés de demandes dans le site Web du Ministère (comme l'exigent les lois).

La Direction de l’AIPRP a également élaboré des politiques et des procédures se rapportant à sa responsabilité de protéger les renseignements personnels. L'un des documents clés est le Manuel sur la politique et les procédures d’évaluation des facteurs relatifs à la vie privée (le « Manuel »). Bien qu'il ait été établi que ce manuel comporte des directives utiles, certains problèmes liés à l'Évaluation des facteurs relatifs à la vie privée (EFVP) ont été relevés :

Responsabilité de veiller à l'exécution des évaluations des facteurs relatifs à la vie privée :

• Le Manuel indique qu'il incombe à la Direction de l’AIPRP de procéder aux EFVP. Cependant, cette pratique est contraire à l'interprétation de la Direction de l’AIPRP voulant que sa responsabilité consiste à assumer à cet égard un rôle consultatif.

Comité directeur sur la protection des renseignements personnels :

• Le Manuel indique que le Direction de l’AIPRP est responsable de soumettre les EFVP dûment remplis au Comité directeur sur la protection des renseignements personnels pour approbation, et de s'assurer que les recommandations approuvées par le Comité sont mises en œuvre. Il appert toutefois qu’aucun comité de cette nature n’a encore été mis en place.

Approbation des évaluations des facteurs relatifs à la vie privée :

• Le Manuel n'indique pas qui est responsable d'approuver une EFVP, dans un secteur ou une région, avant qu'elle ne soit soumise à la Direction de l’AIPRP. En pratique, il semble que ces approbations sont habituellement fournies par le promoteur du programme ou du projet.

Les questions en lien avec les EFVP dont traite le Manuel augmentent la probabilité que les EFVP requises ne soient pas achevées ou que celles qui ont été effectuées ne soient pas assujetties aux fonctions d'approbation et de surveillance appropriées. Dans ce scénario, les renseignements personnels recueillis et conservés par le Ministère risquent de ne pas être protégés de manière adéquate.

Enfin, la vérification a révélé qu'il n'existait aucun processus officiel ou calendrier établi pour mettre à jour les politiques et les procédures d'AIPRP. Même si le Direction a indiqué que ces instruments avaient été actualisés au cours des deux dernières années, aucun examen ni aucune mise à jour devant permettre de répondre aux besoins ponctuels n'ont été prévus.

5.3 Formation et soutien

L'équipe de vérification s'attendait à constater que des programmes de formation avaient été mis en place pour s'assurer que les principaux intervenants comprennent et connaissent leurs rôles et leurs responsabilités au chapitre de l’accès à l’information et de la protection des renseignements personnels, et que les secteurs et les régions bénéficient de l’aide dont il peuvent avoir besoin sur des questions d’interprétation et d’exercice de leurs responsabilités.

La Direction de l’AIPRP a élaboré une séance de formation intitulée AIPRP 101, qui passe en revue les exigences législatives et les responsabilités qui se rapportent à la gestion des demandes d’AIPRP. Cette formation est accessible à partir du site intranet du Ministère et des étapes supplémentaires ont été prises récemment afin de rendre la formation plus formelle. En fait, la formation AIPRP 101 est maintenant gérée par la Direction de l'apprentissage et du perfectionnement du Ministère et fait partie des « formations recommandées » du Ministère. La gestion des séances de formation par l'entremise de la Direction de l'apprentissage et du perfectionnement a permis d'accroître l'accessibilité de la formation ainsi que la responsabilisation des participants en les amenant à prendre les mesures nécessaires pour une formation complète et continue. En outre, la classification de la formation AIPRP 101 comme formation « recommandée » continue à rehausser le profil et la demande pour cette formation à l'échelle d'AANDC. Le tableau ci-dessous fait le point sur les séances de formation sur l'AIPRP qui ont été présentées en 2013 -2014 :

Bien que les secteurs et les régions aient exprimé des commentaires positifs à l'équipe de vérification concernant la formation actuelle, bon nombre des personnes interrogées ont également indiqué qu'il serait profitable d'en élargir le volet pratique. Cela permettrait de mieux comprendre comment s'acquitter correctement des responsabilités relatives à l'AIPRP dans les différents secteurs et régions. Ces responsabilités sont diverses : recherche de documents, gestion/coordination des demandes, gestion du calendrier de traitement des demandes reçues au titre de l’AIPRP. Les personnes interrogées à ce sujet y voient une occasion d’uniformiser plus encore les pratiques établies à l'échelle du Ministère et de d’indiquer les points à améliorer dans le processus. Dans la mesure où la formation actuelle n’aide pas suffisamment les responsables régionaux et sectoriels à bien s’acquitter de leurs fonctions, il y a un risque accru que les pratiques ne soient pas aussi uniformes qu’elles devraient l’être ou que les possibilités d'amélioration du processus ne soient pas cernées.

Outre la formation conçue pour la gestion des demandes au titre de l’AIPRP, la Direction en a élaboré une autre visant à promouvoir la sensibilisation et la responsabilisation au chapitre de la protection des renseignements personnels et des exigences à respecter en cas d'atteinte à la sécurité de ces renseignements. Bien qu'une telle formation existe et qu’elle soit généralement offerte sur « demande », elle n'a pas été donnée récemment. Étant donné que la Direction de l’AIPRP a pour mission d'éduquer et de sensibiliser les employés en ce qui a trait à la protection des renseignements personnels et aux problèmes connexes à l'échelle du Ministère, il y a un risque qu'une formation ponctuelle à cet égard ne suffise pas à s'acquitter de cette responsabilité, et que la sécurité des renseignements personnels s’en trouve compromise.

En ce qui a trait au rôle de soutien, les intervenants des secteurs et des régions interrogés ont formulé des commentaires positifs quant au soutien fourni par la Direction de l’AIPRP. Une majorité d’entre eux ont indiqué qu'ils n’hésitaient pas à contacter le directeur de l'AIPRP pour obtenir de l'aide lorsqu'ils en ont besoin. Ils ont également souligné que si le besoin d'obtenir une formation émergeait et qu'aucune séance de formation sur l'AIPRP n'était prévue, la Direction de l’AIPRP était disposée à fournir une formation individuelle.

La vérification a révélé que la formation et le soutien offerts aux intervenants ministériels satisfaisaient, d'une façon générale, aux exigences; toutefois, il y a place à un élargissement du volet pratique de la formation AIPRP 101, et il est possible de déterminer plus clairement que la formation dispensée est bien à la hauteur du rôle de sensibilisation confié à la Direction de l’AIPRP.

Recommandation :

2. Le secrétaire du Ministère devrait examiner, et mettre à jour au besoin, les programmes de formation offerts par la Direction de l’AIPRP par exemple :

• Améliorer l'accès des secteurs et des régions à la formation et aux orientations pratiques. Pour ce faire, il est recommendé que les représentants des secteurs et des régions soient consultés;
• Évaluer si le programme de formation sur la protection des renseignements personnels, en lien avec la responsabilité de la Direction à éduquer et sensibiliser à la protection des renseignements personnels et aux enjeux connexes à l'échelle du Ministère, est suffisant tel qu’il est.

5.4 Efficience et amélioration continue

AADNC, de concert avec de nombreux autres ministères fédéraux, doit constamment s'efforcer de bien s'acquitter de son mandat tout en soutenant le gouvernement dans l’engagement qu’il a pris de réduire et de limiter les coûts, et d'optimiser l'utilisation des ressources financières. Étant donné l’attention que la Direction de l’AIPRP a portée récemment à la conformité aux exigences législatives et politiques, peu de ressources ont été consacrées à l'identification et à l’exploitation des possibilités de réaliser des gains d'efficience dans le cadre de la gestion des demandes au titre de l’AIPRP à l'échelle du Ministère. Même si la Direction a réalisé des progrès dignes de mention et il est important de souligner qu'elle est maintenant tout à fait en mesure d’aller au-delà de la simple conformité et de viser aussi des gains d'efficience.

Évaluer l'impact ministériel du traitement des demandes d’AIPRP

Dans le cadre de l'analyse des mesures favorisant l'efficience et l'amélioration continue, la vérification a d’abord commencé par bien comprendre les coûts réels pour le Ministère de traiter des demandes d’AIPRP. Même si des données volumétriques étaient disponibles à cet égard (p.ex., nombre de demandes et nombre de pages), de même que les coûts de fonctionnement directement rattachés aux activités de la Direction de l’AIPRP, les méthodes actuellement en place pour la collecte et le suivi des données relatives aux demandes d’AIPRP ont été jugées insuffisantes pour calculer le niveau d'effort précis ou pour établir une estimation de coûts, car toutes les données relatives au processus de traitement des demandes ne font pas l’objet d’un suivi. L’équipe de vérification a donc entrepris un exercice indépendant pour estimer ces coûts pour le plus récent exercice financier complet, 2013-2014.

En plus des coûts rattachés aux activités de la Direction de l’AIPRP, l'équipe de vérification a aussi identifié les répercussions pour les régions/les secteurs pour ce qui est des deux principales activités relatives à l'AIPRP, la collecte d'information et l’examen de l'information. Afin de bien établir les coûts des activités de collecte d'information, l'équipe a examiné un échantillon de 21 énoncés d'impact préparés par divers secteurs/régions, afin de déterminer le temps de recherche estimé et le niveau des employés chargés de la recherche. Quant à l'examen de l'information, elle a préparé et distribué un court questionnaire sur l'établissement des coûts à cinq régions/secteurs. Ce questionnaire a fait ressortir les estimations des secteurs/régions concernant le temps requis pour examiner une demande d'AIPRP, et le niveau de l'employé chargé de cet examen. À l'aide de ces données, ainsi que des données volumétriques disponibles et de celles touchant les salaire/avantages, l'équipe de vérification a calculé le coût de traitement des demandes d’AIPRP, dans l’ensemble et pour chaque demande.

La méthode d'estimation des coûts décrite ci-dessus ne couvrait pas tous les intrants du processus de traitement des demandes au titre de l’AIPRP. Par exemple, les coûts et le temps consacrés aux examens des communications, à la coordination des activités de l'agent de liaison, à l'acheminement et à l'approbation des énoncés d'impact par les SMA ou le temps consacré par le secrétaire du Ministère n’ont pas été pris en compte. Les estimations qui en ont résulté, présentées dans le tableau suivant, sont considérées comme « minimales ».

Selon les résultats de l'exercice d'estimation des coûts effectué par l'équipe de vérification, le coût minimum de traitement des demandes d’AIPRP en 2013-2014 s'élevait à environ 1,8 million de dollars. Cette estimation indique également que les régions/les secteurs assument un coût d'opportunité de près de 9 000 heures.