Renseignements reçus en vertu du protocole d'entente conclu avec Service Nouvelle-Écosse et Relations avec les municipalités

Rapport final

Direction générale de la vérification et de l'évaluation de l'entreprise
Janvier 2010


Résumé

Contexte : La présente vérification porte sur les renseignements reçus par l'Agence du revenu du Canada (ARC) en vertu du protocole d'entente (PE) conclu avec Service Nouvelle‑Écosse et Relations avec les municipalités (SNERM), qui est entré en vigueur le 19 août 2007. Le but du PE est de donner un aperçu des modalités et des procédures liées à l'accès en ligne des employés de l'ARC aux renseignements enregistrés dans le système du Bureau des véhicules automobiles (BVA) de SNERM.

Objectif : La vérification a pour objectif de déterminer si l'ARC respecte les modalités régissant l'utilisation, la communication à des tiers, la sécurité, la rétention et la destruction des renseignements fournis par SNERM, telles qu'elles sont énoncées dans le PE. La vérification a été menée au Bureau des services fiscaux de la Nouvelle-Écosse (BSFNE – sites d'Halifax et de Sydney). La phase de planification de la vérification a eu lieu de février à avril 2009, et la phase d'examen, de mai à juillet 2009.

La vérification a été menée conformément aux Normes internationales pour la pratique professionnelle de l'audit interne.

Conclusion : Il n'y avait aucune preuve que les renseignements reçus de SNERM ont été utilisés à des fins autres que l'administration et l'exécution de la Loi de l'impôt sur le revenu et la Loi sur la taxe d'accise ou que la communication des renseignements à un tiers débordait du cadre du PE. Toutefois, la vérification a permis de conclure qu'une utilisation particulière des renseignements ne respectait pas les paramètres établis dans le PE.

La direction de l'ARC a pris les mesures nécessaires pour sensibiliser les employés aux responsabilités concernant la protection des renseignements personnels des contribuables. Toutefois, nous avons trouvé des cas d'inobservation des politiques de l'ARC sur la gestion des privilèges d'accès des utilisateurs, sur la responsabilisation de l'accès aux systèmes ainsi que sur l'entreposage des renseignements et des biens protégés et classifiés. Ces secteurs nécessitent une attention accrue en vue d'assurer une plus grande rigueur quant à l'utilisation et à la sécurité des renseignements du BVA.

Plan d'action 

SNERM et la Direction générale des stratégies d'entreprise et du développement des marchés (DGSEDM) (Direction des relations avec les clients) ont fourni des plans d'action pour donner suite aux constatations de la vérification. SNERM n'utilisera plus le système du BVA pour identifier les particuliers et les entreprises à partir des plaques d'immatriculation; un examen semestriel des privilèges d'accès aux systèmes comprendra un examen des accès au système du BVA; les employés se font rappeler régulièrement leurs obligations en matière d'utilisation des comptes d'ouverture de session; SNERM a lancé une initiative pour renforcer la sécurité dans les immeubles.

Introduction

L'Agence du revenu du Canada (ARC) conclut des protocoles d'entente (PE) et d'autres accords écrits avec des ministères et organismes fédéraux, provinciaux et territoriaux en vue d'améliorer l'efficience et l'efficacité de l'exécution des programmes. En ce qui concerne l'échange de renseignements protégés ou classifiés, l'ARC négocie des PE afin que les deux parties soient au courant des obligations juridiques et des exigences de la politique liées à l'utilisation et à la sécurité des renseignements et les observent. Les PE sur l'échange de renseignements comprennent, s'il y a lieu, une disposition exigeant qu'une vérification interne de l'utilisation et de la sécurité des renseignements reçus soit menée.

Cette vérification porte sur les renseignements reçus par l'ARC en vertu du PE conclu avec Service Nouvelle-Écosse et Relations avec les municipalités (SNERM), qui est entré en vigueur le 19 août 2007. [Note 1] Le PE a pour objectif de donner un aperçu des modalités et des procédures liées à l'accès en ligne des employés de l'ARC aux renseignements enregistrés dans le système du Bureau des véhicules automobiles (BVA) de SNERM. Les renseignements que l'ARC peut obtenir en vertu du PE comprennent la description des véhicules; le nom, l'adresse et la date de naissance du propriétaire; le ou les propriétaires précédents; les données financières liées à l'achat du véhicule. Dans certains cas (p. ex., pour l'exécution de mandats de perquisition), le personnel désigné à la Division de l'exécution du Bureau des services fiscaux de la Nouvelle-Écosse (BSFNE) peut aussi demander d'obtenir de SNERM la photographie du propriétaire du véhicule.

Les employés désignés de l'ARC peuvent avoir accès au système du BVA au cas par cas au moyen d'ordinateurs autonomes à divers endroits dans le BSFNE [Note 2] et dans le Bureau des services fiscaux de Saint John (BSFSJ). [Note 3] Ces ordinateurs sont utilisés par des employés de l'ARC et donnent accès au système du BVA par voie d'un réseau privé et virtuel entre l'ARC et la province de la Nouvelle-Écosse. Les ordinateurs ne sont pas branchés aux réseaux de l'ARC. Afin de permettre l'accès en ligne, SNERM fourni des ID utilisateurs et des mots de passe aux employés des programmes de vérification, d'exécution et de gestion des créances de l'ARC. Pour l'exercice 2008-2009, les employés de l'ARC ont fait environ 5 500 [Note 4] recherches dans le système du BVA.

Objectif de la vérification

La vérification a pour objectif de déterminer si l'ARC respecte les modalités régissant l'utilisation, la communication à des tiers, la sécurité, la rétention et la destruction des renseignements fournis par SNERM, telles qu'elles sont énoncées dans le PE.

La vérification a été menée au BSFNE. [Note 5] La phase de planification de la vérification a eu lieu de février à avril 2009, et la phase d'examen, de mai à juillet 2009.

La vérification a été menée conformément aux Normes internationales pour la pratique professionnelle de l'audit interne.

Constatations, recommandations et plans d'action

Utilisation du système du BVA

Registre des accès

Le PE exige que chaque accès au système du BVA soit inscrit dans un registre, détaillant la date, le nom recherché et l'utilisation de l'information. Deux des trois unités opérationnelles du BSFNE tiennent un registre manuel des accès au système du BVA. Cependant, ces registres ne sont pas uniformes en ce qui concerne l'information consignée. Par exemple, un registre en particulier contient la date de la recherche, le nom du client et le nom du vérificateur ou de l'agent de recouvrement qui a demandé l'information. Dans un autre registre, l'information consignée comprend le numéro d'assurance sociale du client, le nom du chef d'équipe du demandeur et l'utilisation de l'information.

La Section des paiements anticipés de la TVH du BSFNE ne tient pas de registre des accès. Selon les entrevues menées dans la Section des paiements anticipés de la TVH, on a estimé qu'environ 2 500 recherches ont été effectuées par cette section dans le système du BVA au cours de l'exercice 2008-2009. La tenue d'un registre des accès peut faciliter la surveillance de l'utilisation du système par les chefs d'équipe. Le PE stipule que le gestionnaire responsable du secteur de programme examinera ces registres régulièrement. Les chefs d'équipe interviewés dans le cadre de la vérification ont indiqué qu'ils n'examinaient pas les registres de leur secteur de responsabilité. 

Un registre complet des accès au système du BVA par les employés de l'ARC constituerait une piste de vérification électronique. L'équipe de la vérification interne a demandé d'obtenir un registre des accès des employés de l'ARC pendant l'exercice 2008-2009. La piste de vérification aurait servi à mener des examens de l'utilisation de ce système aux fins énoncées dans le PE. Étant donné que SNERM n'était pas en mesure de fournir une piste de vérification électronique des accès, le niveau d'assurance pouvant être donné relativement à l'utilisation du système du BVA est limité. En outre, l'absence de registres automatisés et manuels des accès indique qu'il n'y a pas de mécanisme efficace en place pour surveiller l'accès des employés de l'ARC au système du BVA.

Recommandations

Le BSFNE devrait s'assurer de ce qui suit :

La DGSEDM (Direction des relations avec les clients) devrait faire appel à SNERM pour déterminer la possibilité de développer un mécanisme visant à surveiller l'accès au système du BVA.

Plan d'action

Utilisation de l'information

Le PE conclu avec SNERM décrit brièvement à quelles fins précises en matière d'administration et d'exécution l'ARC peut utiliser l'information du BVA. L'information utilisée par l'ARC sert principalement à appuyer le recouvrement des comptes clients, l'élaboration de vérifications éventuelles et le traitement des déclarations de la TVH avec solde créditeur au BSFNE. L'information peut aussi être utilisée au BSFSJ en vue d'appuyer le Programme des indices provenant de dénonciateurs qui est situé à ce BSF. L'information du système du BVA sert à trouver davantage d'indices provenant de dénonciateurs qui portent sur les résidents de la Nouvelle-Écosse.

La Vérification interne a effectué un examen superficiel des registres des accès tenus dans les différentes divisions du BSFNE. Rien d'inhabituel n'a été remarqué dans quatre des cinq registres examinés. Cependant, dans le registre des accès tenu à la Division de la vérification (Section de l'élaboration de la charge de travail), on a remarqué à quatre reprises pendant l'exercice 2008-2009 qu'un nombre important [Note 6] de plaques d'immatriculation ont fait l'objet d'une recherche dans le système du BVA. Ces recherches étaient liées aux activités d'observation. Il n'était pas clair, après avoir lu le PE, si cette utilisation précise du système du BVA respectait ou non les paramètres du PE. Par conséquent, l'équipe de vérification interne a recommandé que, au cours de cette vérification, la DGSEDM fasse appel à SNERM pour éclaircir la situation. Par la suite, SNERM a confirmé que cette utilisation n'était pas prévue par le PE.

Recommandation

Le BSFNE devrait cesser d'utiliser le système du BVA pour identifier les particuliers et les entreprises à l'aide des plaques d'immatriculation, sauf si l'utilisation en particulier est prévue par le PE.

Plan d'action

Communication de l'information à des tiers

En vertu du PE, toute information reçue par l'ARC ne peut être divulguée à quiconque. En outre, si l'information fait l'objet d'une demande en vertu de la Loi sur l'accès à l'information, l'ARC fera appel à SNERM concernant le plan d'action approprié à suivre.

Les utilisateurs du système du BVA et leur chef d'équipe ont indiqué, au cours des entrevues, qu'ils n'étaient pas au courant de cas où des renseignements ont été divulgués à l'extérieur de l'ARC. L'équipe de vérification interne a aussi consulté la Direction de l'accès à l'information et de la protection des renseignements personnels (AIPRP) de la Direction générale des affaires publiques (DGAP) pour déterminer la procédure à suivre au cas où les demandes en vertu de l'AIPRP comprenaient l'information du BVA. On lui a dit que si une demande pour un dossier de vérification était reçue, la Direction de l'AIPRP divulguerait l'information du BVA seulement si elle concernait le demandeur et seulement après avoir consulté l'administrateur de l'accès à l'information et de la protection des renseignements personnels de la Nouvelle-Écosse.   

La Vérification interne a aussi fait appel à la Direction de la sécurité, de la gestion du risque et des affaires internes (DSGRAI) de la Direction générale des finances et de l'administration (DGFA) en vue de déterminer s'il y a eu des incidents de sécurité en ce qui concerne l'information du BVA. La DSGRAI a indiqué qu'aucun incident de sécurité n'a été signalé.

Sécurité

L'annexe C du PE conclu avec SNERM décrit brièvement les exigences en matière de sécurité pour le traitement, l'entreposage et la destruction de l'information. En fonction de ces exigences et d'une évaluation des risques liés à l'information reçue de SNERM, les contrôles de sécurité suivants ont été examinés :

Gestion des privilèges d'accès des utilisateurs

Selon la politique de l'ARC, les superviseurs et les gestionnaires doivent veiller à ce que les privilèges d'accès des utilisateurs aux systèmes de la technologie de l'information (TI) soient tenus à jour. L'administrateur local de la TI ou de la sécurité doit être mis au courant lorsque les besoins en matière d'accès changent ou ne sont plus nécessaires. De plus, un examen des privilèges d'accès des utilisateurs doit être mené au moins deux fois par année en vue de s'assurer que les accès aux systèmes et aux renseignements sont conformes aux fonctions assignées.

SNERM a donné à la Vérification interne une liste des utilisateurs autorisés à l'ARC qui peuvent accéder au système du BVA. La liste contenait les noms de 27 employés de l'ARC. L'équipe de la vérification interne a déterminé que près de 50 % de ces employés n'utilisaient pas le système pour diverses raisons. Par exemple, trois de ces employés avaient pris leur retraite ou ne travaillaient plus à l'Agence depuis juin 2008, et quatre avaient fait l'objet d'une mutation à un autre poste où aucun accès n'était nécessaire. L'application qui donne accès à la base de données sur les véhicules automobiles ne se trouve que dans sept ordinateurs autonomes. Par conséquent, le risque est faible que les employés qui ne travaillent plus à l'Agence puissent accéder au système du BVA. Le risque que le système du BVA soit utilisé à des fins autres que celles prévues par le PE augmente lorsque les privilèges d'accès des utilisateurs ne sont pas retirés, au besoin.

Recommandation

Le BSFNE devrait s'assurer que les privilèges d'accès au système du BVA sont examinés au moins deux fois par année, conformément à la politique de l'ARC, et que SNERM est mis au courant de tout changement. Dans le cas où un employé n'a plus besoin d'un accès au système, il faudrait en aviser SNERM immédiatement.

Plan d'action

Responsabilisation de l'accès aux systèmes

Selon la politique de l'ARC, les utilisateurs doivent savoir qu'ils sont responsables de leurs accès aux systèmes de la TI. En outre, leur ID utilisateur et mot de passe ne doivent jamais être partagés avec autrui ni fournis à quiconque. Les employés de l'ARC qui utilisent le système du BVA ont chacun reçu de SNERM un ID utilisateur et un mot de passe unique.

Au cours des entrevues menées auprès de 12 utilisateurs du système du BVA, et en observant leur utilisation du système, l'équipe de la vérification interne a recensé deux cas où les particuliers avaient communiqué leur ID utilisateur et mot de passe à d'autres membres de l'unité opérationnelle exécutant des tâches semblables. Dans un cas, un ID utilisateur et un mot de passe étaient enregistrés dans un écran d'ouverture de session, de sorte que n'importe quel employé ayant accès à cet ordinateur autonome en particulier avait un accès automatique au système du BVA. Dans l'autre cas, un employé ouvrait une session dans le système du BVA et permettait à un autre employé de l'utiliser. Le partage des comptes d'ouverture de session s'est produit régulièrement sur une période d'au moins six mois. Ceux qui ont fait l'objet d'une entrevue ont indiqué que le partage des comptes d'ouverture de session a eu lieu lorsque les employés attendaient une approbation d'accès au système du BVA par SNERM. Ils ont aussi indiqué qu'il fallait habituellement de quatre à six mois afin de recevoir une autorisation de SNERM pour accéder au système du BVA.

Recommandations

Le BSFNE devrait s'assurer de ce qui suit :

Plan d'action

Entreposage des renseignements et des biens protégés et classifiés

La politique sur la sécurité de l'ARC stipule que les renseignements et les biens protégés et classifiés doivent être entreposés de façon sécuritaire lorsqu'ils ne sont pas utilisés ni surveillés. Les renseignements des contribuables, par exemple, doivent être entreposés dans un tiroir ou un contenant fermé à clé. Les ordinateurs portatifs doivent être placés dans un tiroir ou un contenant verrouillé pour réduire le risque de vol. Les contrôles physiques de sécurité en place au BSFNE (Édifice Ralston) comprennent des cartes d'accès électroniques à l'entrée principale et à chaque étage de l'édifice. Des contrôles semblables sont aussi en place au site de Sydney. La Vérification interne a mis à l'essai ces contrôles et a conclu qu'ils fonctionnaient.  

En vue de vérifier l'observation des politiques sur l'entreposage des renseignements et des biens, la Vérification interne a effectué des ratissages de sécurité [Note 7], après les heures normales de travail, dans certains secteurs des deux sites du BSFNE où les renseignements du BVA sont utilisés. Les ratissages de sécurité ont été effectués pour évaluer de façon générale le niveau d'observation des politiques de l'ARC sur la protection des renseignements des contribuables. Le sondage de vérification n'a pas été effectué dans le seul but de déceler les infractions à la sécurité en ce qui concerne les renseignements du BVA. Cela n'aurait pas été souhaitable étant donné que les renseignements imprimés du système du BVA sont habituellement joints à un dossier de gestion des créances, de paiements anticipés de la TVH ou de vérification lorsqu'une recherche donne lieu à l'identification positive d'un propriétaire de véhicule. Pour l'exercice 2008-2009, environ 5 500 recherches ont été effectuées dans le système du BVA par les employés de l'ARC.

Au cours de l'exécution des ratissages de sécurité, l'équipe de la vérification interne a trouvé que la Division de la vérification du site de Sydney suit une bonne pratique, soit de confier quotidiennement la responsabilité à une personne afin de s'assurer que les renseignements et les biens de l'ARC contenus dans les classeurs, par exemple, sont fermés à clé. Par conséquent, il y avait un taux très élevé d'observation des exigences de sécurité dans cette division.

Voici un tableau qui résume les résultats des ratissages de sécurité.

 

Secteur inspecté

Sydney

Halifax

1

Nombre de bureaux et de postes de travail inspectés

80

243

Pourcentage des bureaux et des postes de travail où des infractions à la sécurité ont été décelées

25 %

23 %

2

Nombre de corbeilles à rebuts classifiés inspectées

5

21

Nombre de corbeilles à rebuts classifiés qui n'étaient pas fermées à clé

0

0

3

Nombre de classeurs inspectés

54

306

Pourcentage des classeurs qui n'étaient pas fermés à clé

2 %

38 %

4

Nombre d'aires communes inspectées (photocopieur, télécopieur, courrier, etc.)

7

24

Nombre d'aires communes où des infractions à la sécurité ont été détectées

1

11

Les infractions à la sécurité décelées pendant les ratissages de sécurité comprenaient : des dossiers laissés sur les bureaux; des ordinateurs portatifs non sécuritaires; des tiroirs contenant des dossiers qui n'étaient pas fermés à clé; des renseignements des contribuables laissés à l'imprimante. Lorsque les renseignements et les biens ne sont pas entreposés de façon sécuritaire, conformément aux politiques sur la sécurité de l'ARC, le risque augmente que les renseignements des contribuables puissent être perdus ou divulgués sans autorisation.

Recommandation

Le BSFNE devrait prendre les mesures nécessaires pour renforcer l'observation des exigences relatives à la politique sur la sécurité de l'ARC.

Plan d'action

Sensibilisation à la sécurité

Des initiatives de sensibilisation à la sécurité sont en place à l'ARC et sont exécutées aux échelles nationale et locale. Ces initiatives encouragent la sensibilisation aux politiques et aux procédures liées à la protection des employés, des renseignements et des biens matériels de l'ARC. La Semaine annuelle de sensibilisation à la sécurité a eu lieu à l'ARC du 9 au 13 février 2009. Le but de cette semaine était de promouvoir de bonnes pratiques de sécurité et de sensibiliser les employés à leurs responsabilités en matière de sécurité. Le BSFNE a aussi offert à ses employés, au cours de l'exercice 2008-2009, des séances de sensibilisation à la sécurité.

L'équipe de la vérification interne a mené un examen de la communication par courriel auprès des employés du BSFNE. Pendant l'exercice 2008-2009, les employés ont reçu au moins 18 courriels portant sur la sécurité et la protection des renseignements des contribuables. Ces communications provenaient de différentes sources, y compris de la haute direction du BSFNE, du sous-commissaire de la région de l'Atlantique, de la DGFA et du commissaire de l'ARC. La communication a été améliorée pendant la Semaine de la sensibilisation à la sécurité. Les utilisateurs du système du BVA ont aussi reçu un courriel portant sur leurs obligations précises en ce qui concerne l'utilisation du système du BVA.

Code de conduite et de déontologie

Le PE conclu avec SNERM exige que les renseignements fournis en vertu du PE soient contrôlés et limités aux employés qui sont au courant des dispositions des articles 239 et 241 de la Loi de l'impôt sur le revenu ainsi que des articles 295 et 328 de la Loi sur la taxe d'accise. Les dispositions de ces articles portent sur les responsabilités des employés de l'ARC relativement à la divulgation et à la protection des renseignements des contribuables, ainsi qu'à l'accès à ceux-ci. Ces exigences se trouvent aussi dans le Code de conduite et de déontologie de l'ARC. Les employés de l'ARC reçoivent un rappel tous les ans sur l'exigence d'examiner leurs différentes obligations en vertu du Code. Les employés du BSFNE ont reçu le rappel annuel de l'équipe de la haute direction au cours de 2008-2009.

L'équipe de vérification interne a demandé d'obtenir un Formulaire d'accusé de réception signé par les 12 utilisateurs du système du BVA qui ont fait l'objet d'une entrevue pendant la vérification. En signant le formulaire, les employés accusent réception d'une copie du Code de conduite et de déontologie de l'ARC, confirment l'avoir lu et acceptent de respecter les normes qu'il contient. Une des normes du code porte sur la confidentialité et la divulgation de l'information. Une copie signée du formulaire d'accusé de réception a été reçue pour tous les employés qui utilisent le système du BVA.

Rétention et destruction

Selon le PE, les renseignements reçus de SNERM seront conservés pendant deux ans. Par la suite, ils doivent être immédiatement détruits ou renvoyés à SNERM. Les entrevues menées auprès des utilisateurs et des chefs d'équipe ont permis de conclure que des corbeilles à rebuts classifiés sont accessibles et utilisées au BSFNE pour détruire l'information qui n'est plus nécessaire. Cependant, l'information du BVA qui fait partie d'un dossier de gestion des créances, de paiements anticipés de la TVH ou d'une vérification est assujettie aux périodes de rétention fixées pour ce programme en particulier. Ces périodes dépassent habituellement deux ans. Par exemple, les documents d'un dossier de vérification peuvent ne pas être détruits jusqu'à ce que les délais d'appel prévus par la loi soient expirés.

Recommandation

La DGSEDM (Direction des relations avec les clients) devrait déterminer si, dans le cadre de l'établissement des PE sur l'échange de renseignements, il est souhaitable de comprendre des périodes de rétention qui varient selon les périodes établies pour les différents programmes de l'ARC.

Plan d'action

La Direction des relations avec les clients déterminera si, dans la formulation normale des PE sur l'échange de renseignements, il est possible d'aborder la question portant sur les périodes de rétention qui varient et, lorsqu'il est souhaitable de le faire, inclura une telle formulation dans les futurs PE.

Conclusion

Il n'y avait aucune preuve que les renseignements reçus de SNERM ont été utilisés à des fins autres que l'administration et l'exécution de la Loi de l'impôt sur le revenu et de la Loi sur la taxe d'accise ou que la communication des renseignements à un tiers débordait du cadre du PE. Cependant, la vérification a permis de conclure qu'une utilisation en particulier des renseignements ne respectait pas les paramètres établis dans le PE.

La direction de l'ARC a pris les mesures nécessaires pour sensibiliser les employés à leurs responsabilités en ce qui concerne la protection des renseignements personnels des contribuables. Toutefois, nous avons trouvé des cas d'inobservation des politiques de l'ARC sur la gestion des privilèges d'accès des utilisateurs, la responsabilisation de l'accès aux systèmes et l'entreposage des renseignements et des biens protégés et classifiés. Ces secteurs nécessitent une attention accrue en vue d'assurer une plus grande rigueur quant à l'utilisation et à la sécurité des renseignements du BVA.


Notes

[Note 1]
Ce PE remplace l'ancien PE sur l'échange de renseignements avec le ministère des Transports et des Communications de la Nouvelle-Écosse conclu le 7 janvier 1994.
[Note 2]
Le Bureau des services fiscaux de la Nouvelle-Écosse a deux sites – Halifax et Sydney.
[Note 3]
Le BSFSJ a un ordinateur autonome à cette fin. Le BSFSJ utilise le système du BVA pour appuyer le Programme des indices provenant de dénonciateurs dans la mesure où il se rapporte aux résidents de la Nouvelle-Écosse.
[Note 4]
Ce chiffre a été évalué par la Vérification interne étant donné qu'un registre de l'accès n'est pas tenu dans une unité opérationnelle du BSFNE.
[Note 5]
La Vérification interne n'a pas effectué de sondages de vérification auprès du BSFSJ puisqu'il a été déterminé que les deux utilisateurs autorisés de ce bureau n'avaient pas utilisé le système avant juin 2009.
[Note 6]
Le nombre de recherches variait de 50 à 100 pour un total de 320 recherches.
[Note 7]
Tel qu'il est défini dans le Manuel des finances de l'administration de l'ARC, volume de la sécurité, chapitre 6

Détails de la page

Date de modification :