Surveillance des contrôles internes – Résultats pour 2022‑2023 (Année 2)

Contrôles des processus opérationnels

L’examen a révélé que les contrôles internes sur les rapports financiers liés aux processus opérationnels dans la portée de l’exercice 2022‑2023 étaient efficaces pour la plupart, mais que certains aspects à améliorer ont été relevés.

Contrôles généraux de la TI

Nous estimons que l’infrastructure en place dispose de contrôles suffisants pour protéger les informations confidentielles.

2.1 Documents

Nous avons répertorié les principaux processus et contrôles en place sous la forme d’une description des processus opérationnels, d’une carte des processus et d’une matrice de contrôle, et nous nous sommes assurés qu’ils représentent adéquatement les processus et contrôles actuels en place.

2.2 Méthodologie

La méthodologie suivante a été utilisée au cours de la mission :

1. Réaliser une révision
2. Relever les contrôles clés à mettre à l’essai
3. Élaborer une stratégie de mise à l’essai (avec l’échantillonnage)
4. Évaluer l’efficacité de la conception
5. Définir les populations et prélever des échantillons
6. Assurer l’efficacité opérationnelle
7. Conclure les essais

La méthode d’échantillonnage utilisée pour un échantillon sélectionné était fondée sur l’approche adoptée par le Conseil du Trésor dans son Guide de surveillance continue du contrôle interne en matière de gestion financière. L’ampleur des mises à l’essai a été déterminée en fonction de la fréquence à laquelle un contrôle est exécuté.

3.1 Évaluation des risques

En 2021‑2022, on a recommandé d’améliorer l’évaluation des menaces de la CPPM afin d’y inclure le risque de fraude et de s’assurer que les employés sont conscients des risques de fraude, de la façon de les détecter et des protocoles de signalement.

Certaines communications de sensibilisation à la fraude ont été diffusées depuis l’an dernier, mais la mesure clé ne sera pas prise avant 2025, lorsque la CPPM intégrera le risque de fraude à sa prochaine évaluation cyclique des menaces et des risques.

4.1 Recommandations de l’année précédente

La CPPM a entrepris un examen de ces contrôles internes pour la première fois en 2021-2022. Cinq recommandations ont été émises pour les trois processus opérationnels examinés, avec des cotes de risque faible et modéré.

Au moment de notre évaluation pour l’année 2022-2023, des mesures avaient été prises pour mettre en œuvre le plan d’action de la direction élaboré l’an dernier. Ce plan n’a toutefois pas été entièrement mis en œuvre. Notre examen a eu lieu moins d’un an après la publication des recommandations, et on s’attend à ce que la majorité d’entre elles soient mises en œuvre au cours de la prochaine année. Samson & Associés suivra de nouveau les progrès réalisés dans le cadre de cette évaluation l’an prochain.

4.2 Administration de la paye

La portée des contrôles du processus opérationnel de l’administration de la paye commence avec l’exécution des activités préalables au paiement, qui comprennent la réception et la mise en œuvre des mesures de dotation et la vérification de la paye avant le paiement, les activités relatives à la paye consistant à distribuer la paye conformément à l’article 33 de la Loi sur la gestion des finances publiques (LGFP) et à effectuer des activités de vérification après la paye.

Une fois que le paiement a été reçu par les employés, la CPPM reçoit un rapport IO50 fourni par Services publics et Approvisionnement Canada (SPAC). Celui-ci est examiné et mis en concordance avec les données sur la paye tenues à jour par l’analyste financier dans le SFMC. Tous les problèmes relevés font l’objet d’un suivi et d’une enquête, et sont résolus, au besoin, en temps opportun.

Nous n’avons constaté aucune exception dans notre mise à l’essai des contrôles internes de l’administration de la paye pour l’exercice 2022‑2023.

4.3 Budgétisation et prévisions

Le processus opérationnel Budgétisation et prévisions a pour but de garantir que la gestion financière est efficace et efficiente au sein du Ministère, et d’assurer une bonne gestion des ressources publiques et de la réglementation.

La portée des contrôles du processus opérationnel Budgétisation et prévisions commence par la définition du processus budgétaire conformément à la politique du Conseil du Trésor (CT). Dès que le budget est établi, une prévision est préparée et rapprochée avec les chiffres réels du SFMC. Le Ministère a mis en œuvre un outil appelé le Budget de suivi des Rapports sur la situation financière et il utilise un modèle pour effectuer chaque mois le rapprochement des prévisions et des données réelles. Toutes les décisions budgétaires sont approuvées par le dirigeant principal des finances (DPF), et les renseignements financiers sont envoyés au Comité exécutif pour approbation.

Au cours de notre vérification de l’approbation des affectations budgétaires, nous avons constaté qu’il n’y avait aucune donnée probante étayant l’approbation du Comité exécutif, car les comptes rendus des décisions n’étaient pas consignés.

Recommandation 1 : Nous recommandons que les comptes rendus des décisions soient consignés en raison des décisions clés prises aux réunions du Comité exécutif, comme les affectations budgétaires.

Au cours de notre mise à l’essai des rapports sur la situation financière, qui comprennent le suivi des budgets, des dépenses réelles et des prévisions, on a remarqué que le Comité exécutif n’était pas régulièrement informé des résultats de l’examen des prévisions pour chaque période.

Recommandation 2 : Nous recommandons que le Comité exécutif soit régulièrement informé des résultats des rapports sur la situation financière, que ce soit par correspondance ou pendant les réunions, et que les dossiers d’approbation soient conservés comme preuve de leur examen.

4.4 Planification des biens de TI

Lors de l’exercice initial d’évaluation des risques, la CPPM avait mis en place une stratégie de TI visant à renouveler un certain nombre de plateformes ou à en provoquer la migration. La planification des biens de TI a donc été considérée comme un secteur de processus à risque modéré.

Dans le cadre de notre évaluation pour l’exercice 2022-2023, nous avons examiné le processus de gestion et de planification des biens de TI établi par la CPPM, et avons constaté qu’il était approprié et suffisant pour l’organisation. La stratégie relative à l’infrastructure de TI et à l’infonuagique est bien définie et fournit une orientation pour les trois prochaines années.

5.1 Contrôle d’accès des utilisateurs : arrivée et départ

Au cours de l’exercice 2022‑2023, nous avons examiné les éléments d’infrastructure de TI afin de nous assurer que des contrôles suffisants sont en place pour préserver les renseignements protégés administrés par la CPPM, y compris les dossiers d’enquête.

Ces éléments comprennent l’architecture générale du réseau et les systèmes utilisés pour les données de diverses natures.

Nous avons constaté que des mesures de protection adéquates sont en place à la CPPM.