Évaluation externe 2016 de la fonction de vérification interne de l’ARC

Agence du revenu du Canada (ARC) Direction générale de la vérification, de l'évaluation et des risques

Rapport final

Avril 2016

Table des matières

• Résumé exécutif
• Contexte
• Objectif et portée
• Conclusion et constatations générales
• 1. Introduction
• 1.1 Contexte
• 1.2 Objectif et portée
• 1.3 Approche et méthodologie
• 1.4 Procédures appliquées
• 2. Résumé des constatations
• 2.1 Conclusion
• 2.2 Forces
• 2.3 Possibilités d’amélioration
• 2.3.1 Normes de qualification
• 2.3.2 Norme de fonctionnement
• 2.4 Autres possibilités d’amélioration
  • 2.4.1 Améliorations apportées à la méthodologie de vérification
  • 2.4.2 Couverture de la vérification et établissement de rapports
  • 2.4.3 Mobilisation du personnel de la VI-ARC et communication
• 3. Résultats propres à l’évaluation
• 3.1 Cotes de conformité par rapport aux Normes de l’IIA

Résumé exécutif

Contexte

En vertu du Cadre de référence international des pratiques professionnelles (CRIPP) de l’Institute of Internal Auditors (IIA), une évaluation externe de la fonction de vérification interne doit être menée par un examinateur qualifié indépendant au moins une fois tous les cinq ans. L’évaluation externe précédente de la fonction de vérification interne de la Direction générale de la vérification, de l’évaluation et des risques (DGVER) de l’Agence du revenu du Canada a eu lieu en 2011. Selon l’IIA, les évaluations externes servent à contribuer à l’amélioration de la gestion dans le secteur public ou privé en garantissant une fonction de vérification interne solide, crédible, efficace, à valeur ajoutée et viable.

Objectif et portée

Cette évaluation externe avait comme objectif principal d’évaluer la conformité de la fonction de vérification interne de l’ARC (la « VI-ARC », ou « VI ») à la directive obligatoire de l’IIA, qui comprend le Code de déontologie, la définition d’audit interne et les Normes internationales pour la pratique professionnelle de l’audit interne de l’IIA (les « Normes de l’IIA »).

Les critères d’évaluation utilisés pour mener cette évaluation externe proviennent des Normes de l’IIA.

L’échelle qui suit a été utilisée afin de mener l’évaluation externe et elle est conforme à celle prescrite par l’IIA (2013) :

• Généralement conforme correspond à la cote la plus élevée qui peut être atteinte. Cela signifie une conformité générale à la majorité des Normes de l’IIA sous-jacentes et une conformité partielle à d’autres.
• Partiellement conforme signifie que l’activité de vérification interne déploie des efforts de bonne foi afin de se conformer aux exigences des Normes de l’IIA sous-jacentes, sans avoir réussi à atteindre certains de ses objectifs principaux.
• Non conforme signifie que l’activité de vérification interne ignore les Normes de l’IIA, ne déploie pas des efforts de bonne foi pour s’y conformer ou ne réussit pas à atteindre bon nombre des objectifs, voire la totalité de ces objectifs.

Les activités de vérification interne couverte par la présente évaluation externe correspondent à celles survenues pendant la période de deux ans à compter du 1er janvier 2014 jusqu’au 31 décembre 2015.

Conclusion et constatations générales

Dans l’ensemble, la VI-ARC est « généralement conforme » aux exigences de l’IIA. L’équipe d’évaluation externe est arrivée à cette conclusion à la suite de son examen des documents pertinents et d’entrevues avec le personnel de la VI et des intervenants clés.

Pour appuyer la conclusion générale, l’évaluation externe a cerné un éventail de forces, y compris celles qui suivent :

• Le positionnement. La VI-ARC est positionnée et soutenue à l’Agence de façon à être indépendante et efficace, et à offrir une valeur ajoutée.
• La réputation et le profil dans l’Agence. Le dirigeant principal de la vérification (DPV) et le personnel de la VI sont bien vus à l’ARC et par le comité de la vérification du Conseil de direction (ci-après le « comité »). Il a été souligné que le DPV réussit à s’acquitter de son rôle et à maintenir son indépendance, tout en demeurant très réceptif aux demandes et aux préoccupations de la direction, en adoptant une approche consultative et collaborative en matière des conseils, de même qu’en ajoutant une valeur pour l’ARC.
• Le comité de la vérification du Conseil de direction (le « comité »). Un comité approprié a été mis en place, lequel offre au DPV et à l’ARC des commentaires précieux, en plus d’être considéré par les intervenants clés comme une composante essentielle de la fonction de surveillance de l’Agence.
• L’établissement de rapports. Les intervenants croient que la fonction de vérification interne ajoute une valeur en formulant des recommandations sur la gouvernance, le risque et le contrôle qui sont pertinentes et utiles pour l’Agence.

L’évaluation externe a également cerné un certain nombre de possibilités d’amélioration continue et d’amélioration des pratiques. Ces constatations n’ont toutefois aucune incidence sur la conclusion selon laquelle, de façon générale, la VI-ARC est « généralement conforme » aux critères d’évaluation prescrits. On a noté que la VI-ARC se conformait partiellement à deux normes précises de l’IIA. Les possibilités ont été regroupées selon les deux catégories qui suivent :

• Surveillance du rendement de la VI

  Il y a une possibilité d’améliorer la surveillance du rendement de la VI-ARC, par l’étendue et l’officialisation des processus visant à suivre et à gérer un ensemble élargi d’indicateurs de rendement clés utilisés pour mesurer l’efficacité et l’efficience de la fonction de vérification interne, ainsi que d’en rendre compte.

• Consignation des documents de travail de la VI

  Il y a une possibilité d’améliorer la consignation des documents de travail de la vérification et les renvois à ceux-ci, afin de s’assurer que des liens clairs existent entre les documents qui soutiennent les risques cernés, le travail effectué et les constatations et les recommandations formulées.

À la demande de la VI-ARC, l’équipe d’évaluation externe a également présenté des possibilités d’amélioration fondées sur des pratiques exemplaires. Trois autres possibilités d’amélioration ont été soulignées en tant que bonnes pratiques de vérification interne dont la fonction de vérification interne de l’ARC pourrait tirer profit. Il convient de noter que ces constatations se fondent sur des pratiques exemplaires et qu’elles ne sont donc pas des exigences précises dans les Normes de l’IIA; elles sont présentées aux fins d’étude par l’ARC. Voici un résumé de ces possibilités d’amélioration :

• Amélioration de la méthodologie de vérification : La méthodologie de vérification conçue par l’ARC est claire, rigoureuse et bien définie. Cela dit, il serait possible d’améliorer l’établissement de rapports sur la vérification en complétant les renseignements contenus actuellement dans les rapports de VI par un énoncé clair afin d’expliquer que les observations et les recommandations formulées dans le rapport revêtent une importance considérable. Il serait également possible d’ajouter des commentaires supplémentaires sur les incidences éventuelles ou l’exposition aux risques de l’Agence pour chacune des constatations et des recommandations formulées par la VI-ARC dans ses rapports de vérification.



• Couverture de la vérification et établissement de rapports : Il existe une possibilité de compléter les renseignements indiqués actuellement dans le plan de vérification axé sur les risques de la VI-ARC, en y ajoutant un schéma qui établit des liens entre l’ensemble des principaux risques de l’Agence et les vérifications prévues et à venir, de même que celles qui ont déjà eu lieu (p. ex., le nombre d’années couvertes devra être défini par le Sous-commissaire (SC)), ainsi qu’une explication et une justification supplémentaires de la couverture prévue des risques de l’Agence par la VI-ARC, des risques de l’Agence qui ne sont pas couverts de façon aussi importante et de la raison pour laquelle ils ne le sont pas. De même, il pourrait être utile de rendre compte de la couverture passée et prévue de l’univers de vérification de la VI-ARC. À la lumière des discussions avec la VI-ARC, nous comprenons que ce type de renseignements a été inclus dans des plans de vérification antérieurs, mais qu’il a été supprimé afin de simplifier le document. Nous comprenons aussi que la VI-ARC inclura ces renseignements dans son plan de vérification 2016-2017.

  Enfin, il a également été souligné qu’il est possible d’accroître la quantité de renseignements sur les indicateurs de rendement de la VI-ARC dans le plan de vérification axé sur les risques et dans le rapport annuel du DPV (il convient de noter que ce point est lié à la constatation sur la « surveillance du rendement de la vérification interne » susmentionné).

• Mobilisation du personnel et communication : La VI-ARC devrait continuer de présenter des communications et des renseignements supplémentaires à son personnel en ce qui concerne ses décisions stratégiques, comme les projets de vérification envisagés, la justification de la sélection de projets de vérification, les processus et les décisions touchant la dotation pour les projets de vérification et les comptes rendus des projets, entre autres. En outre, conformément aux pratiques exemplaires, la VI-ARC devrait poursuivre les efforts qu’elle déploie actuellement afin d’élaborer des parcours d’apprentissage sur la vérification interne, qui serviraient à soutenir les plans de formation individuels qu’elle conçoit déjà pour ses employés.

L’équipe d’évaluation externe tient à exprimer sa reconnaissance au DPV et au personnel de la VI pour leur collaboration et leur aide. Nous répondrons avec plaisir à toute question concernant le présent rapport et nous fournirons des renseignements supplémentaires.

1. Introduction

1.1 Contexte

Conformément aux Normes de l’IIA, une évaluation externe de la fonction de vérification interne doit être menée au moins tous les cinq ans, par un évaluateur qualifié ou par une équipe d’évaluation qualifiée à l’extérieur de l’organisation, qui est compétent dans la pratique professionnelle de l’audit interne et du processus d’évaluation externe.

La fonction de vérification interne de l’ARC a fait l’objet d’évaluations externes en 2011 et en 2006, sous la forme d’auto-évaluations validées de façon indépendante et externe. Près de cinq années se sont écoulées depuis la dernière évaluation externe.

1.2 Objectif et portée

Cette évaluation externe avait comme objectif d’évaluer la conformité de la VI-ARC à la directive obligatoire de l’Institute of Internal Auditors (IIA), c’est-à-dire la définition de l’audit interne, le Code de déontologie et les Normes internationales pour la pratique professionnelle de l’audit interne (les « Normes de l’IIA »). Plus particulièrement, l’équipe d’évaluation externe a évalué la conformité à la directive obligatoire relative au Cadre de référence international des pratiques professionnelles (CRIPP) en cernant des possibilités d’améliorer les processus de vérification interne et en présentant des suggestions en vue d’améliorer l’efficacité de la fonction de vérification interne.

Les activités de vérification interne couverte par la présente évaluation externe correspondent à celles survenues pendant la période de deux ans à compter du 1er janvier 2014 jusqu’au 31 décembre 2015.

1.3 Approche et méthodologie

L’évaluation externe a été menée au moyen de l’orientation de l’IIA et d’une version personnalisée de la méthodologie d’examen pour l’évaluation externe de la vérification interne de Deloitte. L’évaluation externe a été menée pendant les mois de janvier à mars 2016.

L’échelle qui suit a été utilisée afin de mener l’évaluation externe :

• Généralement conforme correspond à la cote la plus élevée qui peut être atteinte. Cela signifie une conformité générale à la majorité des Normes de l’IIA sous-jacentes et une conformité partielle à d’autres.
• Partiellement conforme signifie que l’activité de vérification interne déploie des efforts de bonne foi afin de se conformer aux exigences des Normes de l’IIA sous-jacentes, sans avoir réussi à atteindre certains de ses objectifs principaux.
• Non conforme signifie que l’activité de vérification interne ignore les Normes de l’IIA, ne déploie pas des efforts de bonne foi pour s’y conformer ou ne réussit pas à atteindre bon nombre des objectifs, voire la totalité de ces objectifs.

1.4 Procédures appliquées

Afin de mener cette évaluation externe, les activités clés suivantes ont été effectuées :

• examen des politiques, des procédures et des manuels de la VI-ARC;
• examen de divers plans et rapports de VI;
• examen d’un échantillon des documents de travail de projets de VI;
• entrevues avec le président du comité de la vérification, le dirigeant principal de la vérification (DPV), la direction et le personnel de la VI-ARC et la haute direction de l’ARC;
• élaboration d’un rapport sommaire;
• présentation du rapport à l’ARC.

Le présent rapport résume les résultats de l’évaluation externe.

Les commentaires et les analyses contenus dans ce rapport sont formulés à la suite du travail mené. La direction de la VI-ARC demeure responsable de l’orientation stratégique de la vérification interne, et d’établissement de son mandat et de son plan de vérification. Il incombe à l’ARC de déterminer les changements qui doivent être apportés à la suite de cette évaluation externe, le cas échéant. Étant donné que la présente mission constituait une évaluation externe de la VI-ARC, nous avons évalué la conformité de la VI-ARC à la directive obligatoire de l’IIA. Cette mission ne constituait pas une vérification et nous ne formulons donc pas d’opinions de vérification sur les renseignements indiqués dans le présent rapport.

2. Résumé des constatations

2.1 Conclusion

Dans l’ensemble, la VI-ARC est « généralement conforme » aux exigences de l’IIA (il convient de noter qu’il s’agit de la note la plus élevée pouvant être atteinte). L’équipe d’évaluation externe est arrivée à cette conclusion à la suite de son examen des documents pertinents et d’entrevues avec le personnel de la VI-ARC et des intervenants clés.

L’évaluation externe a cerné un certain nombre de forces ainsi que de possibilités d’amélioration continue des pratiques (résumés ci-dessous). Ces constatations n’ont toutefois aucune incidence sur la conclusion selon laquelle, de façon générale, la VI-ARC est « généralement conforme » aux critères d’évaluation prescrits.

2.2 Forces

Voici des exemples de forces de la VI-ARC cernées dans le cadre de cette évaluation externe :

• Le positionnement. La VI-ARC est positionnée et soutenue à l’ARC de façon à être indépendante et efficace, et à offrir une valeur ajoutée. Des structures hiérarchiques appropriées sont en place et le DPV est un membre actif de l’équipe de la haute direction. La VI-ARC offre à la fois des services d’assurance et de conseils, et elle gère cet équilibre sans compromettre son objectivité.
• La réputation et le profil dans l’Agence. Les résultats des entrevues indiquent que le personnel de la VI-ARC et le DPV sont bien vus à l’ARC et par le Comité. La VI-ARC jouit d’une réputation généralement bonne et les membres de l’équipe de la haute direction interrogés à l’échelle de l’ARC respectent bien l’équipe. Les intervenants ont été très élogieux à l’égard du DPV, et ils ont indiqué qu’il réussit à s’acquitter de son rôle et à maintenir son indépendance, tout en demeurant très réceptif aux demandes et aux préoccupations de la direction, en adoptant une approche consultative et collaborative en matière des conseils, de même qu’en ajoutant une valeur pour l’ARC.
• Le comité de la vérification du Conseil de direction (le « comité »). Un comité approprié et efficace a été mis en place. Le comité présente au DPV et à l’Agence des commentaires précieux, en plus d’être considéré par les intervenants clés comme une composante essentielle de la fonction de surveillance de l’Agence.
• L’établissement de rapports. Le comité et les cadres supérieurs interrogés croient que la fonction de vérification interne ajoute une valeur et que les recommandations formulées par la VI-ARC sur le risque et le contrôle sont pertinentes et utiles pour l’ARC. Le comité et les cadres supérieurs comptent sur la VI-ARC pour que cette dernière leur offre un point de vue indépendant du fonctionnement de l’organisation.

2.3 Possibilités d’amélioration

Comme il a été indiqué précédemment, on a noté que la VI-ARC se conformait partiellement à deux normes. Les possibilités d’amélioration qui suivent afin d’améliorer les processus de la VI-ARC ont été cernées en lien avec ces normes.

2.3.1 Normes de qualification

1311 – Évaluations internes

2.3.2 Norme de fonctionnement

2330 – Documentation des informations

2.4 Autres possibilités d’amélioration

Comme l’a demandé la VI-ARC, l’équipe d’évaluation externe a également présenté des possibilités d’amélioration fondées sur des pratiques exemplaires. Trois autres possibilités d’amélioration ont été soulignées en tant que bonnes pratiques de vérification interne dont la fonction de vérification interne de l’ARC pourrait tirer profit. Il convient de noter que ces constatations se fondent sur des pratiques exemplaires et qu’elles ne sont donc pas des exigences liées aux Normes de l’IIA; elles sont présentées aux fins d’étude par la VI-ARC.

2.4.1 Améliorations apportées à la méthodologie de vérification

• Les rapports de vérification de la VI-ARC présentent les principales constatations et les recommandations connexes issues de chaque mission de vérification. Selon les discussions avec des intervenants, il pourrait être avantageux de compléter les renseignements contenus dans les rapports de VI par un énoncé clair afin d’expliquer que les observations et les recommandations formulées dans le rapport revêtent une importance considérable. Il serait également possible d’ajouter des commentaires supplémentaires sur les incidences éventuelles ou l’exposition aux risques de l’Agence pour chacune des constatations et des recommandations clés formulées par la VI-ARC dans ses rapports de vérification. Les commentaires supplémentaires seraient utiles pour les intervenants afin de garantir la clarté et l’harmonisation avec l’importance de la constatation et de la recommandation, en plus de fournir un contexte qui permet de déterminer si les plans d’action de la direction sont adéquats et suffisamment rapides pour aborder de façon adéquate l’exposition aux risques.


• Il est important pour la VI-ARC de recueillir de la rétroaction auprès des entités vérifiées, puisqu’elle peut servir à définir ou à peaufiner les besoins et les attentes des clients de la VI-ARC. La VI-ARC a donc élaboré des sondages de suivi qui doivent être envoyés pour chaque mission, selon la méthodologie de la VI de l’Agence. En fonction de la période quinquennale examinée dans le cadre de cette évaluation externe, il a été noté qu’il était possible d’accroître l’uniformité des processus de rétroaction des entités vérifiées afin de s’assurer que les sondages subséquents à la vérification sont envoyés et remplis. À la lumière des renseignements fournis pour la dernière année de la période visée, il semblerait que la VI-ARC a modifié ses processus pour aborder cet enjeu. La VI-ARC devrait continuer de mettre l’accent sur ce secteur afin de s’assurer que les sondages de rétroaction sont envoyés régulièrement.

2.4.2 Couverture de la vérification et établissement de rapports

• Le Plan de vérification axé sur les risques dresse la liste des risques liés à chacune des activités de vérification prévues, en fonction du Profil des risques de l’entreprise de l’ARC, établit un lien entre ces risques et l’univers de la vérification, explique la façon dont le plan a été conçu (la méthodologie) et donne une vue d’ensemble de la couverture par BPR (bureau de première responsabilité). Toutefois, à la lumière des discussions avec les intervenants, il pourrait être avantageux d’inclure dans le plan de vérification axé sur les risques un schéma qui établit des liens entre l’ensemble des principaux risques de l’Agence et les vérifications prévues et à venir, de même que celles qui ont déjà eu lieu (p. ex., le nombre d’années couvertes devra être défini par le SC). En concomitance avec ce schéma, il pourrait être avantageux de passer plus de temps, dans le plan de vérification axé sur les risques, à présenter une explication et une justification supplémentaires de la couverture prévue des risques de l’Agence par la VI-ARC, des risques pour l’Agence qui ne sont pas couverts de façon aussi importante et de la raison pour laquelle ils ne le sont pas.

  De même, il pourrait être profitable que le plan de vérification complète les descriptions actuelles de la couverture des unités organisationnelles de l’ARC par des renseignements (visuels, dans la mesure du possible) sur la couverture de l’univers de vérification de la vérification interne (p. ex., le nombre d’années couvertes devra être défini par le SC). Les intervenants auraient ainsi une perspective plus claire des secteurs où la VI-ARC a mené son travail au cours des dernières années, ce qui favoriserait potentiellement les discussions sur le caractère adéquat de la couverture prévue à l’avenir, en l’utilisant comme contexte supplémentaire.

  À la lumière des discussions avec la VI-ARC, nous comprenons que ce type de renseignements a été inclus dans des plans de vérification antérieurs, mais qu’il a été supprimé afin de simplifier le document. Nous comprenons aussi que la VI-ARC inclura ces renseignements dans son plan de vérification 2016-2017.

• De concert avec les observations soulevées précédemment sur l’amélioration de la surveillance du rendement, il y a une possibilité pour le plan de vérification axé sur les risques et le rapport annuel du dirigeant principal de la vérification d’aborder et de commenter les indicateurs de rendement clés de façon plus approfondie. Le plan de vérification axé sur les risques pourrait indiquer des cibles prévues pour chaque indicateur de rendement (y compris les trimestres de début et de fin prévus clairement indiqués, de même que le niveau d’effort lié à chaque projet) afin de permettre aux membres du comité de la vérification et à ceux de la haute direction de faire part de leur rétroaction sur le calendrier et les efforts prévus. Le rapport annuel pourrait rendre compte des résultats réels par rapport à ces indicateurs de rendement et à d’autres, afin de donner aux intervenants une perspective du rendement de la VI-ARC par rapport à son plan de rendement. Il pourrait aussi être avantageux d’inclure des points de vue sommaires sur des thèmes clés dans le rapport annuel (p. ex., expositions importantes aux risques ou enjeux importants liés aux contrôles, enjeux liés à la gouvernance et autres sujets) que la VI-ARC a observés à la suite de l’ensemble de ses activités de vérification.

2.4.3 Mobilisation du personnel de la VI-ARC et communication

• À la lumière des entrevues avec le personnel de vérification, il semble y avoir une possibilité de continuer à présenter des communications et des renseignements supplémentaires en ce qui concerne les décisions stratégiques de la VI-ARC, comme les projets de vérification envisagés, la justification de la sélection de projets de vérification, les processus et les décisions touchant la dotation pour les projets de vérification et les comptes rendus des projets, entre autres. Nous comprenons que la direction de la VI-ARC améliore actuellement son approche à l’égard des communications afin de contribuer à accroître le niveau de satisfaction et de mobilisation des employés.


• Afin de garantir l’efficacité de la VI-ARC, il est crucial que l’équipe de vérification possède les connaissances, les ensembles de compétences et les autres compétences nécessaires pour mener les missions de vérification de la fonction. Nous comprenons que la VI-ARC élabore actuellement des parcours d’apprentissage sur la vérification interne, qui serviraient à soutenir les plans de formation individuels qu’elle conçoit déjà pour ses employés. L’équipe d’évaluation externe souligne que cette pratique serait conforme à la pratique exemplaire et recommande à la VI-ARC de recourir aux parcours d’apprentissage afin de confirmer ses exigences générales de formation, ses plans de perfectionnement du personnel et toute répercussion sur l’embauche et le renouvellement de personnel.

3. Résultats propres à l’évaluation

3.1 Cotes de conformité par rapport aux Normes de l’IIA