Vérification de la planification de la continuité des activités

Contexte

La Direction générale des services de vérification et d'assurance d'Affaires autochtones et du Nord Canada (« AANC » ou « le Ministère ») a identifié la Vérification de la planification de la continuité des activités dans la mise à jour de mi-exercice du plan de vérification axé sur les risques 2016-2017 à 2018-2019 d'AANC, approuvée par la sous-ministre le 13 septembre 2016. La vérification a été jugée comme hautement prioritaire en raison d'événements récents qui ont nécessité le recours à un plan de continuité des activités. La vérification a débuté en décembre 2016, et le travail sur le terrain a pris fin en avril 2017. Le présent rapport expose les résultats de cette vérification.

Objectif et portée de la vérification

L'objectif de la vérification était d'évaluer la pertinence, l'efficience et l'efficacité de la conception du cadre de contrôle de gestion en place afin d'élaborer, de maintenir et d'exécuter le programme de planification de la continuité des activités (PCA) du Ministère.

La vérification a porté sur l'évaluation du cadre de gouvernance,^{Note de bas de page 1} sur l'élaboration de plans de continuité des activités, sur la sensibilisation au Programme de PCA d'AANC et sur son état de préparation, de même que sur les contrôles de gestion en place pour assurer que le Ministère est en mesure d'exécuter le Programme de PCA conformément aux lois et politiques en vigueur.

Le travail de vérification a tenu compte des processus de gestion des incidents et des urgences internes qui chevauchent le Programme de PCA ou qui en font partie. Il a également tenu compte des arrangements pris avec les fournisseurs de services externes, notamment d'autres ministères, à l'appui de la stratégie générale de planification de la continuité des activités du Ministère. La portée s'est limitée aux processus, aux ententes et aux contrôles qui recoupent ou qui chevauchent le Programme de PCA et exclue l'examen des programmes de gestion des urgences internes et des incidents dans leur intégralité. La portée exclue aussi le programme d'assistance à la gestion des urgences, qui vise les situations urgentes survenant dans les réserves des Premières nations.

Énoncé de conformité

La vérification est conforme aux Normes internationales pour la pratique professionnelle de l'audit interne, comme l'ont démontré les résultats du programme d'amélioration et d'assurance de la qualité.

Conclusion

Le Ministère a mis en place un cadre de contrôle de gestion afin d'élaborer, de maintenir et d'exécuter son plan de continuité des activités. Par ailleurs, le Programme de PCA fait actuellement l'objet d'une révision afin de renforcer sa sensibilisation et son état de préparation, en raison de problèmes survenus lors de récent incidents, notamment l'occupation des bureaux d'AANC.  

Comme des changements sont actuellement en cours, des éléments clés du cadre de contrôle de gestion de la PCA pouvant être améliorés ont été ciblés, notamment le renforcement de la structure de gouvernance et la surveillance du Programme de PCA; le processus d'élaboration des plans de continuité des activités, ainsi que la communication et la formation offerte au personnel qui participe aux activités de PCA.

Recommandations

Selon les faits observés, l'équipe de vérification recommande que le dirigeant principal des finances, des résultats et de l'exécution en collaboration avec la directrice générale, Services des ressources humaines et du milieu de travail et en consultation avec la Sous-ministre adjointe principale des Opérations Régionales et le Sous-ministre adjoint de l'Organisation des Affaires du Nord:

1. Renforcent le cadre de gouvernance de PCA :
   • en revoyant et évaluant les rôles et les responsabilités nécessaires pour mettre en œuvre les exigences du Programme de PCA;
   • en revoyant, mettant à jour et communicant la gouvernance, les politiques et les procédures de la PCA;
   • en revoyant et renforçant la façon dont le soutien est fourni aux coordonnateurs régionaux et sectoriels de la PCA, afin de promouvoir l'élaboration efficace des plans de continuité des activités;
   • en renforçant les activités de contrôle et de rapport sur l'efficacité de la PCA, et en officialisant un cadre de rapport axé sur les résultats pour favoriser la responsabilisation.
2. Renforcent les pratiques d'élaboration des plans de continuité des activités :
   • en revoyant, peaufinant, clarifiant et communicant les documents d'orientation de la PCA, notamment les services essentiels et les services de soutien essentiels définis par le Ministère, au personnel qui participe aux activités de PCA;
   • en revoyant et renforçant la façon dont les priorités précisées dans les plans de continuité des activités sectoriels et régionaux sont énoncées et harmonisées; 
   • en menant une évaluation afin de déterminer si la stratégie d'amélioration de la PCA favorise l'élaboration efficace et l'intégration des analyses des répercussions sur les opérations (ARO) et les plans de continuité des activités, tout en tenant compte des interdépendances des intervenants.
3. Renforcent la sensibilisation au Programme de PCA et son état de préparation :
   • en rendant officiel un programme de formation et de sensibilisation destiné aux coordonnateurs régionaux et sectoriels de la PCA, pour qu'ils puissent assumer les responsabilités relatives à la PCA;
   • en menant une évaluation afin de déterminer si la stratégie d'amélioration du Programme de PCA permet de contribuer efficacement à sa sensibilisation et à son état de préparation, notamment en veillant régulièrement à ce que les plans de continuité des activités soient à jour, accessibles et mis à l'essai.

Réponse de la direction

La direction a approuvé les observations, accepté les recommandations contenues dans le rapport et élaboré un plan d'action pour y donner suite. Le plan d'action de la direction a été intégré au présent rapport.

1.1 Contexte

La planification de la continuité des activités (PCA) est « un processus de planification proactif qui assure la prestation des services […] essentiels lors d'une interruption ».^{Note de bas de page 2} Un service essentiel est un service dont la compromission porterait un grave préjudice à la santé, à la sûreté, à la sécurité ou au bien-être économique des Canadiens, ou encore au fonctionnement efficace du gouvernement du Canada.^{Note de bas de page 3}

Un plan de continuité des activités comprend des plans, des mesures et des dispositions assurant la prestation continue de services et de produits essentiels, ce qui permet à l'organisation de recouvrer ses installations, ses données et ses biens. Il établit également les ressources nécessaires pour soutenir la continuité des activités, comme le personnel, l'information, l'équipement, les obligations financières, les conseillers juridiques, la protection de l'infrastructure et les locaux.^{Note de bas de page 4}

Les plans de continuité des activités ne sont pas censés couvrir tous les services ou activités d'une organisation; ils ne sont destinés qu'aux services essentiels ainsi qu'à tous les services qui appuient directement ou indirectement ces services essentiels, que l'on nomme « services de soutien essentiels ».

Des analyses des répercussions sur les opérations (ARO) doivent être réalisées afin d'évaluer les conséquences des interruptions sur l'organisation ainsi que déterminer les services essentiels ainsi que les biens et les services de soutien connexes, puis définir leur niveau de priorité. Les plans de continuité des activités devraient être élaborés en fonction des résultats des ARO. Le rendement des ARO et l'élaboration des plans de continuité des activités doivent être réalisés de façon uniforme à l'échelle de l'organisation, et les résultats de ces activités doivent être éclairés, exhaustifs et approuvés.^{Note de bas de page 5}

Pour respecter les exigences sécuritaires de base du gouvernement du Canada décrites dans la Politique sur la sécurité du gouvernement du Conseil du Trésor et la Norme de sécurité opérationnelle – Programme de planification de la continuité des activités (NSO-PPCA) connexe, les ministères doivent établir un Programme de PCA pour permettre la disponibilité continue des services et des biens afférents qui sont :^{Note de bas de page 6}

• jugés essentiels à la santé, la sûreté, la sécurité et le bien-être économique des Canadiens et des Canadiennes;
• jugés essentiels au fonctionnement efficace du gouvernement;
• dont la disponibilité est jugée importante selon une évaluation des menaces et des risques.

La NSO-PPCA précise qu'un Programme de PCA se compose de quatre éléments :^{Note de bas de page 7}

• l'établissement d'une structure de gouvernance pour le Programme de PCA;
• la tenue d'une ARO;
• l'élaboration de plans et de préparatifs pour la continuité des activités;
• la mise à jour de l'état de préparation du Programme de PCA. 

La PCA est complémentaire à la gestion des incidents, la discipline consistant à protéger le personnel et à contenir ou neutraliser les menaces et les dangers et à la gestion des urgences internes, la discipline consistant à prévenir et atténuer les urgences, tout en mettant l'accent sur les mesures de prévention et d'atténuation des urgences, de préparation, d'intervention et de rétablissement.^{Note de bas de page 8} La PCA permet de veiller à ce que les services essentiels puissent continuer d'être fournis pendant une perturbation, alors que la gestion des urgences tâche de minimiser les dégâts et de prendre le contrôle de l'incident le plus rapidement possible.^{Note de bas de page 9}

1.2 La PCA à AANC

À AANC, la PCA est reconnue comme un programme officiel, et est gérée comme telle, au sein de la Direction générale de la gestion de l'information du Secteur du dirigeant principal des finances, des résultats et de l'exécution. AANC précise les rôles et les responsabilités qui se rapportent à la mise en œuvre du Programme de PCA dans sa politique sur la gestion de la continuité des activités (GCA). La Politique sur la GCA adopte la NSO-PPCA du Conseil du Trésor. 

Conformément à la NSO-PPCA, l'agent de sécurité du Ministère (ASM) est responsable de diriger et coordonner le programme de sécurité, qui comprend la PCA. À AANC, l'ASM, de la Direction des services des ressources humaines et du milieu de travail, est chargé d'élaborer et diriger le programme ministériel de sécurité, qui assure la coordination et la mise en œuvre de toutes les exigences, questions et fonctions du Programme de PCA. Le dirigeant principal de l'information (DPI), du Secteur du DPFRE, est responsable de diriger et de gérer le Programme de PCA, puis de veiller au respect de la Politique sur la GCA. De même, conformément à la NSO-PPCA, AANC a nommé un coordonnateur ministériel à temps plein, affecté au Programme de PCA du Ministère et au maintien constant des liaisons avec l'ASM. Relevant du DPI, le coordonnateur ministériel de la PCA est responsable de la mise en place et de la mise à jour de l'ensemble du Programme de PCA.

Le Programme de PCA est coordonné à l'échelle nationale et s'applique à toutes les régions ainsi qu'à tous les secteurs d'AANC. L'élaboration de plans de continuité des activités propres aux régions et aux secteurs est la responsabilité des dirigeants régionaux et sectoriels (p. ex., les directeurs généraux régionaux et les sous-ministres adjoints). Plus précisément, les dirigeants régionaux et sectoriels doivent faire rapport au sous-ministre de l'efficacité et de la mise à jour de la PCA dans leurs organisations respectives. Ils sont responsables de voir à l'examen par un expert du Ministère et d'assurer le respect des exigences du Programme de PCA. Chaque région et secteur ont des coordonnateurs de la PCA pour soutenir la mise en œuvre, la mise à jour et les essais du Programme de PCA. Les coordonnateurs de la PCA de chaque région et secteur réalisent ces activités à temps partiel et assument d'autres tâches à temps plein, généralement dans le cadre des services ministériels de leur région ou secteur. La plupart des coordonnateurs régionaux ou sectoriels de la PCA assument également les fonctions d'agent de sécurité pour leur région ou secteur.

1.3 La PCA est en changement à AANC

Au moment de la présente vérification, plusieurs initiatives internes étaient déjà en cours à AANC afin de renforcer le Programme de PCA. Par exemple, un rapport sur les leçons tirées a récemment été produit à la suite des incidents « Occupons AANC »^{Note de bas de page 10} de 2016. Le rapport précisait les problèmes rencontrés au moment d'exécuter les plans de continuité des activités, et formulait des recommandations afin de prévenir et atténuer les conséquences des manifestations sur les activités opérationnelles d'AANC. Le rapport recommandait que les régions revoient leurs plans de continuité des activités pour s'assurer de leur pertinence dans le contexte de scénarios de manifestations et pour vérifier qu'ils tiennent compte de scénarios où les activités seraient perturbées sur une longue période de temps.

De façon plus générale, un projet de stratégie d'amélioration de la PCA est en cours d'élaboration en vue de renforcer l'exécution du Programme de PCA. On est notamment à revoir la façon dont les ARO sont réalisées à l'échelle du Ministère, afin d'assurer leur harmonisation aux services essentiels.

Le moment auquel la vérification est réalisée a permis d'éclairer certains de ces projets. De ce fait, les conclusions tirées à la suite de la vérification et les recommandations contenues dans le présent rapport pourront éclairer les mesures que la gestion prend afin de renforcer le Programme de PCA.

2.1 Objectif de la vérification

L'objectif de la vérification était d'évaluer la pertinence, l'efficience et l'efficacité de la conception du cadre de contrôle de gestion en place afin d'élaborer, de maintenir et d'exécuter le plan de continuité des activités du Ministère.

2.2 Portée de la vérification

La vérification portait sur la pertinence, l'efficience et l'efficacité de la conception du Programme de PCA d'AANC, ainsi que sur les contrôles de gestion connexes mis en place pour s'assurer que le Ministère :

• respecte toutes les politiques, procédures, directives et normes du gouvernement du Canada, y compris la PSG et la NSO-PPCA du Conseil du Trésor;
• dispose des processus et des contrôles nécessaires afin de maintenir les activités en cas d'événements qui exigeraient le recours au plan de continuité des activités.

La vérification comprenait l'évaluation des aspects hautement prioritaires qui suivent, et qui ont été déterminés à la suite d'une évaluation du risque réalisée au cours de la phase de planification de la vérification :

• le cadre de gouvernance, y compris les rôles et les responsabilités pour appuyer le Programme de PCA à l'échelle nationale, régionale et sectorielle;
• l'élaboration de plans de continuité des activités, notamment la mise en place de contrôles de gestion pour veiller à ce que les plans de continuité des activités, les ARO et les activités de planification connexes soient documentés, exhaustifs et approuvés;
• la sensibilisation au Programme de PCA et son état de préparation, y compris les contrôles de gestion en place pour garantir la bonne communication des plans de continuité des activités et veiller à ce qu'ils soient révisés, mis à l'essai et mis à jour régulièrement;
• les contrôles de gestion en place pour vérifier qu'AANC est en mesure d'exécuter le Programme de PCA conformément aux lois et politiques en vigueur.

Le travail de vérification a tenu compte des processus de gestion des incidents et des urgences internes qui chevauchent le Programme de PCA ou qui en font partie. Il a également tenu compte des arrangements pris avec les fournisseurs de services externes, notamment d'autres ministères, à l'appui de la stratégie générale de planification de la continuité des activités du Ministère. La portée s'est toutefois limitée aux processus, aux ententes et aux contrôles qui recoupent ou qui chevauchent le Programme de PCA et exclue l'examen des programmes de gestion des urgences internes et des incidents dans leur intégralité.

La portée exclue aussi le Programme d'assistance à la gestion des urgences survenant dans les communautés des Premières nations. Enfin, la portée s'est limitée à la conception du Programme de PCA et aux contrôles de gestion; les procédures permettant d'évaluer l'efficacité des plans de continuité des activités n'ont pas été vérifiées.

5.1 Gouvernance et exécution du Programme de PCA

L'élaboration d'un cadre de gouvernance est essentielle à l'exécution efficace d'un programme de PCA. Dans un cadre de gouvernance, il est important que la responsabilisation, les rôles et les responsabilités soient bien définis, documentés et compris.^{Footnote 11}

Le cadre de gouvernance du Programme de PCA est défini par la Politique sur la GCA d'AANC. Cette politique s'aligne sur les exigences de la Politique sur la sécurité du gouvernement et de la NSO-PPCA du Conseil du Trésor, et définit les résultats auxquels on s'attend du Programme de PCA. Elle précise également les rôles, les responsabilités et les responsabilisations qui se rapportent à la mise en œuvre des exigences du Programme de PCA. En plus de la politique, un document de référence sur les rôles et les responsabilités a été préparé à l'intention de la haute direction contenant les principaux points de décisions afin de recourir à un plan de continuité des activités en cas d'incident ou d'urgence.

Même s'il existe un cadre de gouvernance, les opportunités suivante peuvent renforcir la gouvernance du programme de PCA afin de parvenir aux résultats attendus de la politique. 

5.2 Élaboration des plans de continuité des activités

Selon les résultats de l'ARO, les plans de continuité des activités doivent comprendre suffisamment d'information pour que l'on puisse exécuter les mesures nécessaires en cas de perturbation des activités.^{Note de bas de page 15} Des documents d'orientations et des modèles du Ministère sont en place pour appuyer l'élaboration des plans de continuité des activités d'AANC. Par exemple, il existe des procédures et des modèles (dont la dernière mise à jour est en 2011-2012) pour aider les régions et les secteurs à réaliser les ARO et à élaborer des plans de continuité des activités. Ces documents sont maintenus par le coordonnateur ministériel de la PCA.

Cependant, des processus et des documents d'orientations sont en place pour réaliser les ARO et les plans de continuité des activités, les aspects ci-dessous nécessitant des améliorations ont été relevés.

5.3 Sensibilisation au Programme de PCA et son état de préparation

La sensibilisation au Programme de PCA et son état de préparation sont des éléments essentiels pour assurer la continuité des opérations pendant un incident et/ou une perturbation des activités pour lesquels on doit recourir aux plans de continuité des activités.^{Note de bas de page 17} Cependant, même si des activités étaient en place à l'appui de la sensibilisation au Programme de PCA et de son état de préparation, les aspects ci-dessous nécessitant des améliorations ont été relevés.

Critères de vérification et objectifs de contrôle