Surveillance des contrôles internes – Résultats pour 2025‑2026 (Année 5)

La CPPM intégrera le risque de fraude à sa prochaine évaluation cyclique des menaces et des risques en 2025 ou si l’espace de bureau de la CPPM est modifié de façon importante avant cette date. Dans l’intervalle, la CPPM mettra à jour son plan de communication en matière de sensibilisation à la sécurité, plus particulièrement l’article à paraître en mars à l’occasion du Mois de la prévention de la fraude, pour y incorporer des indications sur les personnes avec lesquelles les employés doivent communiquer en cas de fraude au travail et sur les stratégies de détection de la fraude.

Le projet d’évaluation du risque de fraude (ERF) pour 2025 a été suspendu à la demande de la gestion. Il a été déterminé qu’une ERF ne serait pas actuellement d’une grande valeur ajoutée pour la CPPM pour les raisons suivantes : Coût élevé; aucune modification n’a été apportée à notre espace de bureau physique et au programme; la CPPM emménagera dans un nouvel environnement dans quelques années (à déterminer), et nous en sommes toujours aux étapes de planification pour déterminer quel espace de bureau offrira les meilleurs résultats à la CPPM et répondra le mieux aux besoins. Les risques sont atténués et continuent de l’être, et la modernisation de l’environnement est bien amorcée.

Recommandation 2 : Nous recommandons que la CPPM s’assure que les engagements sont mis à jour à la réception des factures pour garantir l’exactitude des fonds non grevés et le déblocage des fonds non utilisés.

L’équipe des finances mettra en place des procédures opérationnelles normalisées pour veiller à ce que les engagements soient tenus à jour, à la fois dans la feuille de calcul répertoriant les engagements et dans le SFMC. Ces procédures préciseront le calendrier ainsi que les personnes et les postes responsables de la saisie, de l’examen et de l’approbation des données. Nous effectuerons également un examen semestriel des engagements afin d’assurer leur exactitude et leur exhaustivité. Nous prévoyons de mettre en œuvre ce processus à temps pour le début de l’exercice 2022-2023.

Recommandation 3 : Nous recommandons que des contrôles de surveillance soient mis en place pour veiller à la gestion du risque détecté en ce qui concerne la séparation des tâches. Par exemple, un système de notifications pourrait être mis en place pour gérer ce risque.

La CPPM s’attaquera au risque relatif à la séparation des tâches en réexaminant nos accès au SFMC et en demandant conseil au service d’assistance du SFMC pour limiter l’accès lors de changements de fournisseurs. Une option à privilégier serait de créer des accès distincts pour les fonctions « créer » et « approuver », à assigner aux personnes chargées de l’approbation en vertu de l’article 33 (approuver exclusivement) et les autres utilisateurs des finances (créer/modifier exclusivement). La demande de changement a été soumise au SFMC avec un délai proposé de 6 mois (septembre 2022).

Recommandation 4 : Nous recommandons que l’accès logique au SVP soit retiré systématiquement dès qu’un employé quitte la Commission ou qu’un employé change de rôle dans lequel il n’a plus besoin d’y accéder dans le cadre de ses fonctions. De plus, nous recommandons de procéder à un examen périodique des accès afin de détecter toute anomalie et de la corriger en temps opportun.

Nous mettrons à jour le formulaire de départ de la CPPM afin de saisir cette suppression d’accès. Cela incitera ensuite le coordonnateur des déplacements à suspendre les comptes dans le portail de voyage. Nous recommandons également qu’à la fin de chaque exercice financier, les RH envoient un rapport de tous les employés ayant quitté leur emploi au cours de cette année financière, ce qui permettra au coordonnateur de vérifier que tous les départs ont bien été traités dans le système.

Recommandation 5 : Nous recommandons que des pratiques et des protocoles de gestion de l’information soient mis en place pour tous les systèmes électroniques de gestion de l’information, que ce soit par le biais de Documentum, du lecteur partagé ou de Teams.

La CPPM dispose actuellement de pratiques et de protocoles d’information bien documentés pour son système d’information ministériel Documentum. La CPPM travaille à consigner les procédures de gestion et de conservation des documents sur la plateforme Microsoft Teams et mettra en place une politique, un protocole et des formulaires au cours de l’année financière 2022-2023. Comme la CPPM travaille actuellement à la mise hors service des lecteurs partagés, la question de la gestion des renseignements qui y figurent sera abordée dans le cadre du processus de mise hors service des lecteurs partagés d’ici la fin de l’exercice 2023-2024.

En 2017, la CPPM a adopté et consigné un processus d’assurance de la qualité pour son initiative de numérisation pour veiller à ce que les documents physiques soient numérisés de manière à garantir l’intégrité des documents.

Cependant, on craint que le processus n’ait pas été suivi correctement dans le passé et que certains dossiers physiques soient actuellement conservés comme des copies de sécurité des dossiers numérisés.

D’ici la fin de 2022-2023, la CPPM mettra en place un plan pour réaliser la procédure d’assurance de la qualité des documents physiques ayant été numérisés de manière à garantir l’intégrité des documents et à les supprimer en temps opportun, conformément à la Politique en matière de disposition des données.

De plus, la CPPM est sur le point d’approuver une version révisée de la Politique en matière de disposition de l’information et des données de la CPPM. Une fois que cette politique sera approuvée, la CPPM, par l’intermédiaire de son service juridique, mènera un processus de vérification l’an prochain avant la destruction des dossiers déjà numérisés afin de déterminer les documents clés qui doivent être conservés pour consultation ultérieure.

Recommandation 7 : Nous recommandons que le processus de départ soit normalisé de manière à assurer la suppression en temps opportun de tous les accès aux applications et au réseau au moment du départ. Les opérations de suppression des accès des utilisateurs (applications et accès au réseau) devraient être consignées pour attester du moment de la suppression.

La CPPM devra modifier ses formulaires de départ pour y inclure des champs supplémentaires concernant les accès liés aux GI-TI pour s’assurer que les accès sont retirés au départ des employés.

En ce qui concerne les accès spéciaux au sein de l’équipe des finances, un document distinct sera créé pour le suivi des accès (modifications et désactivation, le cas échéant).

Recommandation 8 : Nous recommandons que l’examen continu des accès des utilisateurs soit consigné pour consultation future.

La CPPM est dans la phase finale de l’élaboration d’une nouvelle Politique de sécurité informatique comportant de nouvelles mesures pour le contrôle des accès.

La politique définira officiellement les rôles et les responsabilités de la TI et des gestionnaires en ce qui concerne l’attribution des accès et les notifications en cas de modifications des profils d’emploi ou d’accès. La politique exigera également la tenue d’un registre des modifications d’accès par le biais de procédures et de formulaires normalisés.

Recommandation 1 : Nous recommandons que les comptes rendus des décisions soient consignés en raison des décisions clés prises aux réunions du Comité exécutif, comme les affectations budgétaires.

L’adjoint administratif de la présidente assiste maintenant aux réunions du Comité exécutif et agit à titre de preneur de notes. Tous les procès-verbaux – Les comptes rendus des décisions sont validés et approuvés par les membres du Comité exécutif après toutes les réunions. Après avoir été approuvés, les procès-verbaux sont sauvegardés et conservés dans Documentum.

Tous les rapports sur la situation financière (RSF) sont déposés au Comité exécutif quelques jours avant les réunions et présentés à la présidente pendant les réunions. Un résumé de la discussion se trouve dans le compte rendu des décisions. Au besoin, des réunions spéciales sont organisées pour discuter des initiatives financières nécessitant une approbation.

Recommandation 3 : Nous recommandons que la CPPM veille à ce que les allégations formulées à la suite de plaintes concernant la conduite professionnelle, l’ingérence et l’intérêt public figurent au début du rapport et soient mesurées par rapport à une politique, à une directive, à un manuel d’instructions, à un code de conduite ou à une loi appropriée, lorsque cela est possible; et

Les lignes directrices de rédaction indiquent maintenant que les allégations semblent très près du début des rapports provisoires et définitifs, et que chaque allégation renvoie à la législation ou à l’instrument de politique approprié lorsque cela est possible.

Recommandation 4 : Nous recommandons que la CPPM mette en œuvre un processus de suivi pour surveiller les progrès des recommandations approuvées et des plans d’action de la gestion jusqu’à leur mise en œuvre complète, et qu’elle fasse état des résultats des procédures de suivi dans le rapport annuel de la présidente de la CPPM.

La CPPM a demandé l’aide du GPFC pour recevoir ces mises à jour. L’intention était d’améliorer la responsabilisation envers le public en faisant le suivi des progrès des recommandations acceptées afin de permettre à la CPPM de fournir des mises à jour sur son site Web externe et dans son rapport annuel.

Toutefois, à l’automne 2023, le GPFC a refusé de fournir des mises à jour à la CPPM sur la mise en œuvre de ses recommandations au motif qu’il n’a pas l’obligation législative de le faire. Par conséquent, la CPPM ne sera pas en mesure de mettre en œuvre la recommandation formulée.

Dans un esprit d’amélioration continue, la CPPM accepte la recommandation. Ainsi, l’équipe des finances mettra en place des procédures opérationnelles normalisées pour le processus des pièces de journal afin de garantir une séparation adéquate des tâches. Ces procédures devraient être en place avant la fin de l’année financière 2023-2024.