Audit des renseignements sur les bénéficiaires de subventions et contributions

Sommaire des constatations principales

• Les contrôles clés en place pour la validation des renseignements sur les bénéficiaires des programmes de la Subvention à l'achèvement de la formation d'apprenti (SAFA) et de la Subvention incitative aux apprentis (SIA), qui sont administrés par la DGSTP, sont bien conçus et efficaces.
• Dans le cas des programmes administrés par la DGOP au titre desquels les demandes sont présentées au moyen des Services en ligne des subventions et des contributions (SELSC), ce qui représentait 5,2 % de toutes les demandes reçues au cours de l'exercice financier 2015 à 2016, les contrôles clés en place pour valider l'intégrité des renseignements sur les bénéficiaires de S et C sont bien conçus et efficaces.
• Dans le cas des programmes de S et C administrés par la DGOP au titre desquels les demandes sont envoyées sur papier ou au moyen du Système interactif de recherche de faits (SIRF), ce qui représentait 94,8 % de toutes les demandes reçues au cours de l'exercice financier 2015 à 2016, les contrôles clés et les activités de validation de l'intégrité des renseignements sur les bénéficiaires de S et C varient selon les trois catégories de programmes de S et C déterminées par la DGOP (les programmes transactionnels : valeur monétaire peu élevée, nombreux participants; programmes axés sur la clientèle et organisationnels : ententes de valeur monétaire modérée; programmes communautaires : ententes complexes à valeur monétaire élevée).
• Des procédures de validation informelles sont exécutées pour vérifier les renseignements sur les bénéficiaires de S et C dans le cadre des PROTÉGÉ. La DGOP valide de façon informelle la légitimité des bénéficiaires bien connus au cours des étapes d'évaluation, de recommandation et d'approbation.
• Certaines mesures de contrôle clés sont en place et certaines activités de validation informelles sont exécutées pour vérifier les éléments d'information sur les bénéficiaires de S et C des catégories suivantes : programmes PROTÉGÉ et programmes PROTÉGÉ.
• En ce qui concerne les rôles et responsabilités et la séparation des tâches, les mesures de contrôle clés en place sont bien conçues et efficaces.
• La mise à jour des renseignements sur les bénéficiaires de S et C dans le SCSC et les pistes de vérification correspondantes sont faites correctement et en temps opportun, au moyen de mécanismes de contrôle qui sont bien conçus et efficaces.
• Les mesures de contrôle clés servant au rapprochement mensuel entre le module CVP du SCSC et le Systèmes, Applications et Produits (SAP) sont bien conçues et efficaces; elles permettent de s'assurer de l'exactitude des renseignements sur les bénéficiaires de S et C dans les deux systèmes.
• Des mécanismes de contrôle de la surveillance liés à l'analyse des renseignements sur les bénéficiaires de S et C sont conçus et fonctionnent efficacement dans le cas du programme PROTÉGÉ et du programme PROTÉGÉ étant donné que quatre des cinq principaux éléments d'information sur les bénéficiaires de S et C sont validés. L'analyse effectuée dans le cadre de ces deux programmes s'avère un outil utile pour repérer les anomalies et les éléments inhabituels parmi les renseignements sur les bénéficiaires, qui devrait être effectuée pour les huit autres programmes examinés au cours de notre vérification.

Bénéficiaires de S et C non valides, inexistants ou inscrits plus d’une fois

Pour tous les programmes de S et C, on utilise des numéros d’entreprise et des NAS uniques afin d’empêcher que des bénéficiaires soient inscrits plus d’une fois.

Programmes de S et C administrés par la DGSTP

Pour les programmes de la SIA et de la SAFA qui sont administrés par la DGSTP, nous avons constaté que les principales mesures de contrôle utilisées dans le processus de validation sont bien conçues et efficaces. La DGSTP valide toujours le NAS de façon automatisée en se servant des renseignements figurant dans la base de données du Registre d’assurance sociale avant de traiter les paiements. Les principaux renseignements sur les bénéficiaires de S et C sont vérifiés dans la documentation fournie par les bénéficiaires avant que les paiements soient traités, ce qui réduit le risque qu’un paiement soit versé à un bénéficiaire illégitime.

Programmes de S et C administrés par la DGOP – Demandes présentées dans les SELSC

Pour ce qui est des demandes de S et C reçues par l’entremise des SELSC (5,2 % des demandes reçues au cours de l’exercice 2015 à 2016), nous avons constaté que les principales mesures de contrôle utilisées dans le processus de validation sont bien conçues et efficaces. Le processus d’inscription aux SELSC emploie des procédures normalisées qui exigent la validation du nom, du numéro d’entreprise ou d’enregistrement, de l’adresse et de l’identité de l’agent principal de l’organisation du bénéficiaire dans la base de données de l’Agence du revenu du Canada. On envoie un code d’autorisation par courrier au responsable de l’organisation afin de vérifier que l’agent principal est bel et bien le représentant autorisé. Le processus d’inscription aux SELSC est complet lorsque l’agent principal saisit ce code d’autorisation dans les SELSC pour confirmer qu’il est autorisé à agir à titre d’agent principal. L’équipe d’audit est d’avis que les procédures de validation utilisées dans le cadre du processus d’inscription aux SELSC réduit le risque que des bénéficiaires illégitimes parviennent à créer un compte avant de soumettre une demande de S et C.

Programmes de S et C administrés par la DGOP – Demandes présentées sur papier ou au moyen du SIRF

En ce qui a trait aux demandes de S et C présentées sur papier ou au moyen du SIRF (94,8 % des demandes reçues pendant l’exercice financier 2015 à 2016), la DGOP a mis en œuvre certaines mesures de contrôle et exécuté des activités de validation informelles afin de vérifier l’intégrité des renseignements sur les bénéficiaires de S et C. Nous avons appris que la DGOP classifie les programmes de S et C en trois catégories et utilise ces catégories dans le cadre de ses activités de validation.

Dans le cas des programmes PROTÉGÉ, qui ont une PROTÉGÉ, la DGOP interagit régulièrement avec ces bénéficiaires au cours des étapes d’évaluation, de recommandation et d’approbation, dans le cadre de réunions et de visites sur les lieux et au moyen de correspondances, et valide de façon informelle leur légitimité avant que ne soient approuvées des ententes de contribution. Nous avons constaté que deux des dix programmes de S et C visés par l’audit dans cette catégorie (PROTÉGÉ)^{Note de bas de page 2} n’avaient pas appliqué de procédure de validation formelle au cours de l’exercice 2015 à 2016. Bien que les budgets de financement approuvés de ces deux programmes de S et C soient les plus importants, le risque de verser du financement à des bénéficiaires illégitimes est le plus faible en raison des interactions continues avec ces bénéficiaires, qui sont bien connus de la DGOP et qui, normalement, ont déjà conclu dans le passé des ententes de S et C avec le Ministère.

Parmi les programmes de S et C, les programmes PROTÉGÉ comportent des ententes dont la PROTÉGÉ. Nous avons appris que les renseignements sur les bénéficiaires de S et C de cette catégorie sont validés de façon informelle par le personnel responsable de l’exécution des programmes de la DGOP, lequel communique régulièrement avec les bénéficiaires. Cinq des dix programmes de S et C (PROTÉGÉ)^{Note de bas de page 2} examinés au cours de l’audit faisaient partie de cette catégorie. Au cours de l’exercice 2015 à 2016, quatre des cinq programmes ont validé un élément clé, le numéro d’entreprise du bénéficiaire, en utilisant des outils qu’ils ont conçus de façon indépendante, par exemple des grilles d’évaluation préalable. Dans le cas du programme PROTÉGÉ, selon notre audit, aucune procédure de validation formelle n’a été appliquée. La validation de tous les renseignements principaux sur les bénéficiaires de S et C de cette catégorie pourrait réduire le risque d’approuver le financement de bénéficiaires illégitimes.

Les programmes PROTÉGÉ sont des programmes de S et C dans le cadre desquels des ententes ayant une PROTÉGÉ. Ces programmes comptent PROTÉGÉ, avec lesquels la DGOP ne communique pas régulièrement. Trois des dix programmes de S et C (PROTÉGÉ)^{Note de bas de page 2} visés par l’audit faisaient partie de cette catégorie. Nous avons constaté que le PROTÉGÉ a mis en œuvre une liste de vérification de l’information sur les demandeurs qui permet de valider adéquatement les renseignements principaux sur les bénéficiaires de S et C. Le PROTÉGÉ a établi une grille de pré-sélection qui permet de valider le numéro d’entreprise du bénéficiaire. Le programme PROTÉGÉ a également préparé une liste de vérification de l’information sur les demandeurs; toutefois, ce ne sont pas toutes les régions qui savent que cette liste existe, et rien n’oblige le personnel à s’en servir, selon ce que nous avons appris. Ainsi, la liste de vérification est utilisée de façon ponctuelle, lorsqu’un agent de programme détermine qu’il faut vérifier la légitimité d’une organisation. Le programme PROTÉGÉ s’est vu accorder un financement ministériel de PROTÉGÉ et a reçu plus de PROTÉGÉ demandes au cours de l’exercice financier 2015 à 2016. Dans le cas des programmes dont le nombre de PROTÉGÉ et qui disposent des budgets de financement approuvés PROTÉGÉ, l’absence d’un processus officiel permettant de valider les renseignements sur les bénéficiaires de S et C augmente le risque que l’on ne parvienne pas à identifier rapidement les bénéficiaires illégitimes.

Compte tenu de la nature des programmes actuels de S et C et du degré d’interaction avec les bénéficiaires dont il a été question précédemment, le risque d’approuver des demandes de financement présentées par des demandeurs illégitimes varie selon les trois catégories de programmes de S et C. L’équipe d’audit estime qu’un processus officiel axé sur les risques pour valider tous les renseignements principaux sur les bénéficiaires de S et C pourrait réduire les risques d’approuver des demandes de financement présentées par des demandeurs illégitimes.

Séparation des tâches et mesures de contrôle pour l’accès au système

Les principales mesures de contrôle concernant les rôles et responsabilités ainsi que la séparation des tâches en ce qui a trait à la gestion des renseignements sur les bénéficiaires de S et C sont bien conçues et efficaces. Les rôles et responsabilités liés à la gestion des renseignements sur les bénéficiaires de S et C sont bien communiqués, bien répartis et bien compris grâce à des séances de formation annuelles, à des manuels de procédures et à l’exercice d’une supervision. Les tâches à exécuter pour l’approbation des montants de contribution, le traitement des demandes de remboursement de dépenses et le versement des paiements ont été réparties de façon adéquate pendant l’exercice 2015 à 2016. Les principales mesures de contrôle relatives au processus visant à accorder et à retirer l’accès au SCSC sont bien conçues et efficaces.

Modifications des renseignements sur les bénéficiaires de S et C

Les modifications relatives aux renseignements sur les bénéficiaires de S et C et les pistes de vérification y correspondant sont effectuées correctement et rapidement dans le SCSC au moyen de mesures de contrôle clés qui sont bien conçues et efficaces. On a procédé à l’examen d’un échantillon des modifications apportées aux renseignements sur les bénéficiaires de S et C pendant l’exercice financier 2015 à 2016 pour les programmes de S et C visés par l’audit. Ces modifications ont été apportées par des membres autorisés du personnel, correspondaient à la documentation figurant au dossier et ont été consignées de façon appropriée dans le SCSC.

Rapprochements entre le SCSC et le SAP

Les rapprochements mensuels entre les transactions enregistrées dans le module CVP du SCSC et le SAP qui ont été préparés par la DGDPF sont bien conçus et efficaces. Les principales mesures de contrôle dont s’est servie la DGOP pendant l’exercice 2015 à 2016 pour la validation de l’information bancaire des bénéficiaires qui ont recours à la méthode de paiement par dépôt direct ainsi que pour l’examen et l’approbation en vertu de l’article 34 des demandes sont bien conçues et efficaces.

Vous trouverez à la section 2.2 ci-après la recommandation formulée dans le cadre de l’audit au sujet de la validation des renseignements sur les bénéficiaires de S et C.

Recommandation

La sous-ministre adjointe responsable de la DGOP devrait mettre en œuvre une approche axée sur les risques pour valider et surveiller l’intégrité des renseignements sur les bénéficiaires de S et C.

Réponse de la direction

La direction est en accord avec la recommandation et des options seront élaborées afin d’uniformiser le processus de validation, et l’axer sur les risques, pour les demandes qui ne sont pas soumises au moyen des SELSC. On prévoit que ces mesures seront mises en œuvre d'ici mars 2017.