Vérification de la Sécurité Matérielle

Rôles et responsabilités

Même si les rôles et les responsabilités sont définis dans la documentation, il serait opportun de les renforcer en pratique. Par exemple, le mandat de l'ASR contient une liste exhaustive des différentes responsabilités à exercer. Nous avons toutefois relevé plusieurs cas où ces rôles ne sont pas exercés de façon uniforme, notamment en ce qui concerne la réalisation des inspections de routine (p. ex. les ratissages de sécurité) pour promouvoir la conformité et la sensibilisation à l'exigence de sécurité matérielle, et le maintien d'un programme permanent de sensibilisation à la sécurité.

Chaque région a nommé un ASR qui relève fonctionnellement de l'ASM, mais ce rôle est généralement exercé à temps partiel, car l'ASR assume habituellement multiples fonctions administratives qui ne sont pas liées à la sécurité. Les rôles et responsabilités ne sont habituellement pas exercés de façon proactive, et  dans plusieurs cas  les ASR ne considéraient pas comme étant possible de remplir pro activement tous les rôles et responsabilités qui leur ont été définis. Par exemple, les entrevues ont montré que l'exercice des responsabilités des ASR telles que la conduite des enquêtes, l'exécution des énoncés de la conception de la sécurité et la mise en œuvres de sessions de formation en matière de sécurité représentent un défi en raison de fortes exigences en matière de savoir, d'expérience et de capacité. 

De plus, chaque secteur dispose d'un CSS qui supporte la Division de la sécurité et des locaux à s'acquitter de ses responsabilités en matière de sécurité. Contrairement aux ASR qui sont directement responsables de la mise en œuvre des activités de sécurité matérielle, les rôles des CSS sont plus concentrés sur la sensibilisation et la coordination des activités de sécurité tel que rapporter les problèmes identifiés et les déficiences à l'ASM et faire le suivi des demandes relatives à la sécurité (demande de carte d'accès, rapports d'incidents, etc.). Bien que ces rôles soient documentés, l'équipe de vérification a noté un exemple où le CSS n'était pas complétement au courant des responsabilités associées à son rôle.

Les rôles et les responsabilités des ASR et des CSS sont essentiels pour la gestion d'un système de processus et de contrôles permettant d'assurer une protection, de détecter les risques et les problèmes en matière de sécurité matérielle auxquels doit faire face les ministères et d'y réagir ainsi que de promouvoir la sensibilisation en matière de sécurité matérielle. Les ministères ne peuvent s'acquitter de ses exigences en matière de sécurité matérielle que si le personnel de la sécurité met en œuvre les rôles et les responsabilités qui leur ont été définis.

Surveillance et supervision

La responsabilité générale de la gestion du programme ministériel de sécurité matérielle relève de la Division de la sécurité et des locaux. Toutefois, la majeure partie des activités liées à la sécurité matérielle sont menées à l'échelle régionale. Même si les ministères ont établis des mécanismes pour superviser la gestion de la sécurité matérielle et communiquer les renseignements liés à la sécurité aux intervenants concernés, les processus de surveillance ministériels pour surveiller le respect des exigences en matière de sécurité matérielle dans l'ensemble des deux ministères sont limités et informels. Par exemple, les renseignements provenant des régions (p. ex. les statistiques sur les incidents) ne font pas souvent l'objet d'une surveillance et d'un suivi de la part de l'administration centrale. Dans certains cas (examinés plus en détail dans les sections Gestion des risques et Contrôles internes), nous avons constaté que les exigences en matière de sécurité matérielle, comme les ratissages de sécurité et les évaluations des menaces et des risques, n'ont pas été respectées à certaines installations, ce qui peut être attribuable à une supervision limitée pour ces activités.

Étant donné la structure organisationnelle décentralisée, de solides pratiques de surveillance et de supervision sont essentielles pour s'assurer que les activités de sécurité matérielle sont menées de manière coordonnée et intégrée dans l'ensemble de ministères et que les contrôles de sécurité matérielle demeurent à jour et remédient aux menaces et aux risques importants.  Plus précisément, un solide processus de surveillance et de supervision permettra d'identifier, d'informer la hiérarchie et de solutionner les problèmes dus à des exigences ou des responsabilités non remplis. Cela renforcera la mise en œuvre des responsabilités individuelles pour mener les activités de sécurité matérielle dans l'ensemble des secteurs et des régions.

Méthodologie ministérielle

Le EMR peuvent être faits soit par des firmes externes de sécurité ou par l'équipe de sécurité matérielle de l'administration centrale. Selon le Cadre de gestion de la sécurité de RCAANC/SAC, la méthodologie harmonisée de l'EMR doit être adoptée et toujours appliquée lorsque des EMR sont effectués pour les installations des ministères, et même pour l'identification des biens et des menaces. Même si la Division de la sécurité et des locaux a établi une méthodologie pour mener des EMR, elle n'est pas alignée avec la méthodologie harmonisée et n'a pas été officiellement approuvée. De plus, la méthodologie et les critères d'évaluation ne sont pas communiqués ouvertement aux personnes concernées notamment celles qui décident de l'acception ou non des recommandations qui découlent des EMR (par exemple la direction des régions)

Obtenir l'approbation de la direction renforcera la crédibilité des EMR et renforcera la gestion des risques en matière de sécurité matérielle. En renforçant la transparence, les personnes concernées seront plus sensibilisées et auront plus de confiance dans le processus des EMR utilisé pour développer les observations et les recommandations. 

Surveillance et suivi

L'orientation ministérielle concernant la conduite ou la mise à jour des EMR n'est pas clairement établie et communiquée. Les différents intervenants incluant les directions régionales et les praticiens de la sécurité de l'administration centrale ne sont pas au courant ni d'une politique établie ni des différentes raisons qui devraient mener à effectuer une nouvelle EMR ou de mettre à jour une EMR. En l'absence d'une politique et d'une communication claire à ce sujet, les intervenants ne savent pas si une EMR doit être effectuée ou mise à jour sur une base régulière ou définie (par exemple tous les 5 ans) suite à des menaces et des émergents identifiés au niveau régional ou national ou suite à un changement physique de l'environnement de travail. 

De plus, la surveillance de la réalisation des EMR n'est pas assurée par l'administration centrale. Certaines installations de RCAANC/SAC ont fait l'objet de plusieurs EMR, tandis que d'autres n'ont jamais été visées.

Par ailleurs, l'administration centrale ne dispose pas de processus formel de suivi de la mise en place des recommandations qui découlent des EMR effectuées par l'équipe interne ou par des firmes externes. L'équipe de vérification a observé des cas où les recommandations liées aux EMR n'ont pas fait l'objet d'un suivi afin de résoudre les lacunes détectées.

Conformément au Cadre de gestion de la sécurité de RCAANC/SAC, des plans d'action doivent être créés et approuvés lorsqu'un rapport d'EMR recommande la mise en œuvre de mesures de protection pour atténuer le risque résiduel à un niveau acceptable. À l'échelle régionale, il y a toutefois eu des cas où les recommandations n'ont pas été mises en application et où il n'y avait pas de plan d'action à l'appui ni de document d'acceptation des risques.

Bien que l'équipe de vérification a observé des exemples de bonnes pratiques régionales de suivi dans deux des régions visitées, où des plans d'action ont été créés relatifs aux recommandations découlant d'EMR prévoyant des échéanciers à respecter, des obligations redditionnelles attribuées et une surveillance active (incluant des exemples de surveillance active par la Division des locaux et de la sécurité), un processus formel de surveillance et de supervision pour les EMR n'a pas été établi à l'échelle des ministères.

Sans une surveillance proactive ni un suivi efficaces de la mise en œuvre des EMR, les ministères ne sont pas en mesure de s'assurer que les risques relatifs à la sécurité matérielle soient gérés de manière continue et efficace dans l'ensemble des ministères. Par exemple, une surveillance proactive permet de s'assurer que les EMR sont bien effectués lorsque nécessaire et que les recommandations qui découlent des EMR sont mises en œuvre en temps voulu et de manière efficace. Par ailleurs, grâce à une gestion efficace et une surveillance des EMR, les ministères seront mieux à même d'identifier et de réduire les lacunes et les vulnérabilités qui pourraient exister au sein des ministères.

Formation et sensibilisation

L'offre d'activités de formation pertinentes et à jour réduit le risque de compromettre la sécurité matérielle par inadvertance en permettant aux employés de posséder les connaissances et les compétences nécessaires pour s'acquitter efficacement de leurs responsabilités en matière de sécurité matérielle. De plus, un programme de sensibilisation à la sécurité ministérielle permet de s'assurer de renseigner tous les employés, à tous les niveaux, et de leur rappeler régulièrement les questions liées à la sécurité ainsi que leurs responsabilités à ce titre^{Note de bas de page 13}.

RCAANC/SAC a établi un programme de sensibilisation à la sécurité ministérielle qui couvre la sécurité matérielle. Par exemple, il a instauré une semaine annuelle de sensibilisation en matière de sécurité, dans le cadre de laquelle des conseils et du matériel de sensibilisation concernant la sécurité sont envoyés par courriel à l'ensemble des employés de RCAANC/SAC. Du matériel de formation en sécurité ainsi que des indications qu'une formation est offerte aux nouveaux ASR existe. Une formation à des fins de sensibilisation à la sécurité est aussi offerte aux nouveaux employés.

Bien que des activités de formation soient offertes, il existe des possibilités d'amélioration. Par exemple, plusieurs ASR ont mentionné vouloir davantage d'activités de formation qui leur permettraient d'être mieux outillés pour s'acquitter du large éventail de leurs responsabilités (p. ex. la conduite d'enquêtes et la prestation d'activités de formation régionales en matière de sécurité) qui s'inscrivent dans la gestion des activités de sécurité au niveau régionale. La formation est essentielle pour garantir que les praticiens de la sécurité possèdent les connaissances et les compétences nécessaires pour non seulement assumer leurs rôles et leurs responsabilités, mais également pour transférer les connaissances et favoriser la sensibilisation de tous les employés.

Il arrive aussi que des membres du personnel dans les régions ne reçoivent pas une formation appropriée sur la sécurité matérielle en dehors de la séance d'information sur la sécurité qui leur est offerte à leur arrivée à RCAANC/SAC. Parmi les exemples de formation propre à l'emploi qui pourrait être assurée, mentionnons la formation en matière de sécurité sur la manière de gérer des situations conflictuelles impliquant des interactions avec le public ainsi que sur la manière de repérer et d'éviter les situations potentiellement dangereuses lors des déplacements. Une formation devrait être offerte aux employés qui, en raison des fonctions qu'ils assument, pourraient être exposés à des situations de violence au lieu de travail^{Note de bas de page 14}.

Protection

La sécurité matérielle devrait être pleinement intégrée aux processus de planification et de conception des installations^{Note de bas de page 15}. Pour satisfaire à cette exigence, le Cadre de gestion de la sécurité de RCAANC/SAC indique que le personnel de sécurité doit participer à l'élaboration d'énoncés de conception de la sécurité, des documents visant à s'assurer que les considérations et les exigences de sécurité sont prises en compte dans les phases de planification et de conception des nouvelles installations ou dans les rénovations apportées aux installations existantes. On a toutefois relevé des cas où l'équipe de sécurité n'a pas participé à la planification et à la conception de nouvelles installations ni à la rénovation d'installations.

De façon générale, on a constaté que des contrôles de sécurité matérielle de base étaient en place dans les régions visitées, mais on a relevé plusieurs cas de disparité régionale dans les mesures de sécurité dont la justification n'était pas connue ou documentée. Voici quelques exemples :

• Configuration et protections des bureaux d'inscription. Les mesures de sécurité prévues pour les bureaux d'inscription différaient d'une installation à l'autre. Par exemple, une installation ne disposait pas de route d'évacuation vers un espace sûr, et il n'y avait pas d'écran de plexiglas ni de bouton d'alarme en place pour atténuer la menace d'un client hostile, alors que dans certaines régions, les bureaux d'inscriptions sont situés à l'extérieur des zones opérationnelles.
• Protections pour le versement des paiements de traités. Les mesures de sécurité matérielle en place pour les processus des paiements de traités  varient selon les régions. Plus spécifiquement, l'équipe de vérification a observé des mesures beaucoup plus limitées dans certaines régions (absence d'escorte) ce qui pourrait augmenter le degré de risque pour les employés régionaux.
• Engagement à l'égard des rôles liés à la sécurité. Certaines régions ont créé ou sont en train de créer des postes à temps plein pour assumer des rôles liés à la sécurité, alors que dans d'autres régions, ces rôles (p. ex. ASR, ASR adjoints) sont exercés à temps partiel.
• Contrôles d'accès des visiteurs. Certaines installations ne disposaient d'aucun processus d'inscription des visiteurs permettant de vérifier leur identité et de leur faire signer un registre des visiteurs. De plus, on ne remet pas toujours aux visiteurs un insigne d'identité permettant de les identifier comme visiteur admis à l'installation.
• Présence de commissionnaires aux installations. Pour surveiller le contrôle d'accès à l'intérieur de l'installation, des commissionnaires sont affectés à certaines installations, mais pas à tous les locaux de RCAANC/SAC.

On ne s'attend pas à avoir une approche uniforme à l'égard de la sécurité dans l'ensemble des ministères, mais on s'attend à ce que les mesures de sécurité mises en place soient adaptées au niveau des menaces et des risques détectés. La justification des disparités dans les mesures de sécurité n'était pas toujours fournie par les personnes interviewées ou connue d'eux. De plus, on s'attendait généralement de la part des personnes interviewées que leur bureau soit doté de niveau de sécurité similaire à celui des autres bureaux régionaux. Il est essentiel de mettre en œuvre un processus ministériel de gestion des risques (à savoir des EMR) pour analyser les menaces et les risques détectés et faire en sorte que des contrôles et des mesures de sécurité matérielle soient mis en place en fonction du niveau de risque détecté. Adopter une approche fondée sur les risques peut aider à s'assurer que la direction répond aux besoins de sécurité matérielle en fonction des priorités.

Détection et intervention

La détection et l'intervention sont des éléments importants d'une stratégie de défense active contre les menaces, vulnérabilités et incidents de sécurité. Un processus utilisé par les ministères pour détecter les cas de non-respect des exigences en matière de sécurité matérielle (ainsi que pour favoriser la sensibilisation à la sécurité matérielle) est le recours aux ratissages de sécurité des installations, qui sont régis par les procédures ministérielles d'inspection de sécurité matérielle et qui doivent être appliqués sur une base régulière conformément à la Directive sur la gestion de la sécurité ministérielle^{Note de bas de page 16}. Les procédures ministérielles documentées étaient considérées comme solides, mais on a constaté des problèmes liés à la fréquence, aux responsabilités confiées et à la documentation des ratissages de sécurité.

On a relevé plusieurs cas où les ratissages de sécurité n'étaient pas effectués régulièrement aux installations. De plus, les ratissages étaient généralement effectués par des employés qui assumaient des rôles liés à la sécurité (p. ex.. ASR, praticiens de la sécurité de l'administration centrale); on a toutefois relevé un cas où cette tâche a été confiée de façon informelle à du personnel administratif et les résultats n'ont pas été documentés. De plus, certaines installations visitées avaient compilé des statistiques sur les ratissages, comme le nombre et le pourcentage des résultats insatisfaisants par fonction, alors que d'autres installations visitées n'avaient pas compilé de statistiques. Les procédures ministérielles d'inspection de sécurité matérielle exigent que des statistiques sur les ratissages (p. ex. le nombre d'avis annuels, les défaillances les plus fréquentes) soient recueillies et communiquées au personnel de sécurité, et utilisées pour suivre les tendances à long terme.

Lorsque les ratissages de sécurité ne sont pas effectués, des exemples de violations à la sécurité ou des tendances peuvent passés inaperçus durant une longue période tant au niveau national que régional.

Une autre mesure de contrôle de la détection et de l'intervention utilisée par RCAANC/SAC est le Système d'information sur les services de sécurité (SISS)^{Note de bas de page 17}. Le SISS est le principal mécanisme utilisé pour surveiller les activités de sécurité matérielle dans l'ensemble des ministères et en faire rapport (i.e. nombre d'incidents par région/secteur). Cependant, comme l'on fait remarquer les praticiens de la sécurité de l'administration centrale, cette surveillance n'est en général pas exercée sur les données téléchargées dans le système. Les intervenants régionaux ont aussi indiqué un manque de clarté quant à la façon dont les données téléchargées dans le SISS étaient utilisées par l'administration centrale aux fins de la surveillance et de la prise de décisions. Nous avons aussi constaté un manque d'uniformité dans les pratiques de saisie des données relatives aux incidents dans SISS. À titre d'exemple, une région saisissait les données liées aux incidents de sécurité peu fréquemment par lots, quand le temps le permettait, et certains membres du personnel de l'administration centrale ont souligné que les régions ne téléchargeaient pas toujours leurs données relatives aux incidents en respectant le calendrier établi (soit tous les 3 mois). Par ailleurs, l'équipe de vérification a observé que le module de verrouillage des systèmes (qui permet l'inventaire des clés, des alarmes, des téléphones sécurisés, etc.) était utilisé de façon limitée (c'est-à-dire que l'information n'était pas fournie par les régions) et ne faisait pas l'objet d'une surveillance proactive ni de mise à jour.

Si les pratiques ne sont pas uniformes en matière de mise à jour de l'information et de sa surveillance dans SISS, la fiabilité du système en tant que banque de données centrale pour surveiller et faire des rapports sur les activités de sécurité pourrait être impactée en raison d'information incomplètes ou inexactes.

En alignement avec la DGSM, RCAANC/SAC a mis en place des procédures concernant la conduite d'enquêtes administratives sur les incidents de sécurité; nous avons toutefois été mis au fait de problèmes liés à la mise en œuvre de ces procédures^{Note de bas de page 18}. Il existe des procédures normalisées de fonctionnement décrivant comment le personnel de sécurité devrait être informé des enquêtes et y participer pleinement, mais on a constaté que le personnel de sécurité n'est pas toujours avisé des enquêtes administratives, y compris celles effectuées par les services des relations de travail tant à l'échelle régionale que nationale. Il est important qu'il y ait une communication et une collaboration avec le personnel de sécurité lors des enquêtes de manière à ce que les informations en matière de sécurité puissent être utilisées pour des activités variées (collecte de l'information, conduite des entrevues, clôture des dossiers) et que les responsabilités propres à la sécurité, comme la désactivation des cartes d'accès et la récupération des biens des ministères auprès des employés faisant l'objet d'une suspension ou d'un congédiement, puissent être exercées.