Audit de la planification de la continuité des activités

Régie du programme de planification de la continuité des activités

• Le Ministère a établi un programme de PCA comportant des directives et des outils à l’appui. Toutefois, l’intégration dans le cadre de planification stratégique représente un défi, compte tenu de l’approche cloisonnée et décentralisée du Ministère à l’égard de la planification de la continuité.
• La division de la Gestion des urgences et de la continuité des activités (GUCA) de la DGSI est responsable de la coordination nationale du programme de PCA du Ministère (ainsi que d’autres fonctions rattachées à la gestion des urgences). La division de la GUCA s’est avérée efficace pour fournir l’orientation et les directives requises aux directions générales et aux régions en ce qui a trait à la planification de la continuité.
• Les sous-ministres adjoints (SMA) des directions générales et les intervenants clés de niveau inférieur participent à l’élaboration, à l’approbation, à la mise en œuvre et à la mise à l’essai de plans.

Détermination et priorisation des services essentiels

• Tous les services ministériels ont été évalués sur le plan de la criticité. Toutefois, les processus actuels n’ont pas été officialisés et ils sont incohérents. Par conséquent, l’évaluation uniforme et opportune des services est difficile.
• La division de la GUCA a produit une liste de 22 programmes et services jugés essentiels; 12 d’entre eux doivent être rétablis dans un délai de 0 à 72 heures. Un certain nombre d’activités appuyant ces services ont été identifiées et constituent une base pour un changement vers une approche « axée sur les services ».
• L’ordre de priorité des services essentiels qui doivent être rétablis dans un délai de 0 à 72 heures n’a pas été déterminé. En cas de désastre horizontal touchant de multiples services, il serait utile de définir l’ordre de priorité des services et d’en convenir avant l’interruption des services.

Plans de continuité

• Il existe un plan de continuité ainsi que des stratégies de rétablissement pour chacun des 22 services essentiels. Toutefois, dans la plupart des stratégies de rétablissement sélectionnées, les avantages, les risques, la faisabilité et les coûts sont rarement précisés.
• L’intégration des plans de continuité entre les directions générales et les régions dans des plans horizontaux « axés sur les services » n’est pas effectuée de manière uniforme, mais la situation s’améliore.
• Le Ministère se fonde sur d’autres entités gouvernementales, par exemple Services partagés Canada (SPC) et Services publics et Approvisionnement Canada (SPAC), pour réussir à fournir certains de ses services essentiels. Les ententes sont rarement documentées ou officialisées pour être intégrées dans les plans du Ministère et les plans de ces entités gouvernementales. Malgré tout, le dialogue et la collaboration sont au rendez-vous. Par exemple, SPC et SPAC ont participé à l’exercice sur table pan-ministériel de novembre 2016.
• L’adoption d’une approche horizontale à l’égard de la planification de la continuité pourrait faciliter la coordination entre le Ministère et d’autres entités gouvernementales; une telle approche n’est pas seulement souhaitable dans les cas où le Ministère compte sur des partenaires externes, mais aussi dans les cas où d’autres ministères comptent sur Emploi et Développement social Canada (EDSC) pour la prestation de leurs services essentiels (par exemple, Immigration, Réfugiés et Citoyenneté Canada pour le programme de passeport).

Mise à jour de l’état de préparation

• Les exercices sur table sont effectués par certaines directions générales et à l’échelle ministérielle pour valider le contenu des plans. Une des leçons clés apprises lors de l’exercice sur table pan ministériel de novembre 2016 est que les plans horizontaux « axés sur les services » dans le cadre desquels de nombreuses directions générales coordonnent leurs efforts sont indispensables pour assurer la disponibilité continue des services essentiels.
• L’exercice sur table pan-ministériel de novembre 2016 a aussi été utile pour déterminer les défis, et il a fourni une plateforme pour discuter de la planification de la continuité de manière horizontale. La Direction générale des services de vérification interne a remarqué une augmentation des activités liées à la planification de la continuité durant les semaines précédant l’exercice (par exemple augmentation des réunions du groupe de travail de la direction générale). Nous sommes d’avis que la tenue régulière d’exercices de continuité est une pratique exemplaire à poursuivre. De plus, les fournisseurs et partenaires de services externes ont participé à la mise à l’essai de plans de continuité des activités. Il s’agit là aussi d’une pratique exemplaire qui devrait être maintenue.
• Les leçons tirées des exercices ainsi que les incidents réels sont pris en considération durant l’examen et la mise à jour des plans de continuité. Toutefois, la mise à l’essai technique des stratégies de rétablissement est souvent limitée et fournit peu d’assurance quant à la viabilité des éléments des plans de continuité liés à la technologie de l’information (TI).

Observations générales

• De meilleurs outils de gestion de l’information sont nécessaires pour permettre la gestion efficace et efficiente du programme de PCA.
• Les coordonnateurs de la PCA dans les directions générales et les régions n’ont pas toujours le temps ou n’ont pas toujours reçu la formation nécessaire pour être efficaces en tant qu’agents de la planification des activités. À lui seul, le leadership de la division de la GUCA n’est pas suffisant pour assurer une régie adéquate.
• La communauté de la planification de la continuité pourrait profiter d’une formation additionnelle afin de favoriser une compréhension uniforme de la terminologie et des pratiques. L’évolution vers des « experts en matière de continuité » devrait être envisagée; la Direction générale de l’innovation, de l’information et de la technologie avance dans cette direction.

Analyse des répercussions sur les activités aux fins de la désignation et de la priorisation des services essentiels

L’approche actuelle adoptée pour la réalisation d’analyses des répercussions sur les activités entraîne les problèmes suivants :

• La Direction générale des services de vérification interne a observé un chevauchement des tâches effectuées par les gestionnaires responsables de services similaires. Par exemple, selon la directive, les gestionnaires de centres de traitement ou de centres d’appel doivent réaliser individuellement une analyse des répercussions pour les services fournis par leur centre. Cette exigence a mené certaines régions à regrouper les bureaux qui offrent des services similaires afin d’éviter les chevauchements. Toutefois, il y a encore des chevauchements entre les régions; par conséquent, les analyses des répercussions couvrent les mêmes services.
• L’approche actuelle fait en sorte que des personnes de l’ensemble du Ministère évaluent des services similaires, souvent en vase clos. Pour atténuer ce problème, la division de la GUCA a élaboré un Guide d’accompagnement pour l’analyse des répercussions sur les activités, afin d’aider les gestionnaires à effectuer leur analyse d’une façon comparable et cohérente. Néanmoins, dans le cadre de son examen des analyses sur les répercussions, la Direction générale des services de vérification interne a remarqué des incohérences qui auraient pu être évitées si une approche « axée sur les services » avait été adoptée.
• La Direction générale des services de vérification interne a observé certains cas de surclassification dans lesquels des services non essentiels ont été évalués comme essentiels. Cette situation peut faire en sorte que des ressources soient dépensées pour la planification de la continuité de services non essentiels, et entraîner une confusion et des risques accrus lors d’un événement perturbateur.
• Compte tenu du nombre d’analyses des répercussions réalisées (963) dans l’ensemble du Ministère, il est difficile pour la division de la GUCA de maintenir sa fonction d’examen et de remise en question. L’idée derrière l’approche actuelle était que les données des analyses pourraient être extraites et présentées dans des rapports. Le but était de permettre à la division de la GUCA d’examiner, de remettre en question et de compiler une liste des services essentiels priorisés, sans trop d’efforts. Toutefois, le répertoire de données utilisé pour recueillir et analyser les renseignements présentait des limitations systémiques et des problèmes de rendement qui compromettaient la saisie de données, l’intégrité des données et la capacité de production de rapports. Par exemple, certains gestionnaires ont abandonné la saisie de données à la suite de problèmes techniques. En outre, il était impossible d’assurer l’intégrité des données pour la production de rapports significatifs, et la moitié des rapports attendus ne pouvaient pas être produits. Par conséquent, il a fallu effectuer une remise en question et un examen manuel fastidieux pour des milliers de fonctions opérationnelles jugées « essentielles ».

Plans de continuité

Les plans de continuité de l’ensemble du Ministère ont été élaborés par des directeurs et approuvés par des directeurs généraux et des SMA. L’ensemble des plans de division qui en découle présente des problèmes semblables à ceux qui sont associés au processus d’analyse des répercussions, par exemple le chevauchement des efforts dans l’élaboration de plans pour des services similaires, et l’examen et la tenue à jour de centaines de plans. De plus, cette approche, qui est harmonisée à la structure organisationnelle du Ministère, renforce les cloisonnements existants et ne favorise pas une vision d’organisation « axée sur les services » :

• Les plans de continuité tactiques actuels des divisions sont rarement intégrés dans les plans stratégiques ou opérationnels des directions générales. Lorsque les stratégies de rétablissement sont entièrement mises en œuvre, cela ne pose pas problème. Toutefois, lorsque les stratégies de rétablissement ne sont pas entièrement financées ou mises en œuvre, l’intégration dans un plan stratégique ou opérationnel de la direction générale permet une meilleure surveillance de ces stratégies.
• Des plans élaborés de manière isolée ne peuvent pas être coordonnés efficacement dans l’ensemble du Ministère. Or, pour assurer la continuité des services essentiels, les nombreuses directions générales interdépendantes doivent coordonner leurs stratégies de rétablissement. Consciente du fait qu’une approche plus horizontale était nécessaire, la division de la GUCA a collaboré avec les directions générales clés pour élaborer des plans « horizontaux » axés sur les services. Ces plans pour l’Assurance-emploi (A.-E.), le Régime de pensions du Canada (RPC) et la Sécurité de la vieillesse (SV) ont été mis à l’essai durant l’exercice sur table pan-ministériel de novembre 2016. D’autres plans de continuité « horizontaux » et axés sur les services devraient être réalisés dans les prochaines années.
• Les cloisonnements représentent encore un défi, et les plans « horizontaux » actuels appartiennent à des directions générales distinctes et comportent des renvois vers d’autres plans (par exemple : le plan pour l’A.-E. renvoie au plan de la Direction générale de service aux citoyens), mais le Ministère avance dans la bonne direction grâce à l’élaboration de plans horizontaux exhaustifs. Des efforts de collaboration entre les directions générales de l’administration centrale et les réseaux régionaux de prestation sont nécessaires à l’adoption d’une approche entièrement intégrée à l’égard de la planification de la continuité des activités.

Recommandation

La SMA de la DGSI devrait adopter, à l’égard de la planification de la continuité, une approche horizontale « axée sur les services » qui vise à minimiser le chevauchement des efforts. Cette approche devrait être durable, cohérente et uniforme dans l’ensemble du Ministère.

Réponse de la direction

La DGSI est d’accord avec la recommandation. Le Ministère a déjà adopté une approche horizontale axée sur les services à l’égard de la planification de la continuité des activités, qui a été utilisée pour ses services de prestations les plus essentiels. On révisera la Directive sur la gestion de la continuité des activités afin d’harmoniser les activités de PCA avec une approche horizontale axée sur les services; de rationaliser les plans de continuité des activités associés aux secteurs d’activité non essentiels et de minimiser la nécessité pour les gestionnaires d’effectuer des analyses des répercussions sur les activités; de réduire le chevauchement des efforts concernant les plans individuels assortis de fonctions opérationnelles similaires grâce à la planification horizontale axée sur les services prévoyant des fonctions opérationnelles normalisées.

La DGSI, en collaboration avec les directions générales et les régions, adoptera une approche de priorisation allant du risque le plus élevé au risque le plus faible pour veiller à ce qu’une planification détaillée, des stratégies de rétablissement et des ressources soient en place pour tous les services essentiels.

La DGSI et la Direction générale de l’innovation, de l’information et de la technologie poursuivront le processus visant à obtenir un outil approprié de soutien à la gestion des données. L’objectif consiste à avoir une application traitant la continuité des activités, la reprise des activités en cas de sinistre, la planification des mesures d’urgence dans les immeubles et les interventions d’urgence. On accorde une grande importance à l’efficacité de l’application et à la capacité d’interaction avec les sources de données existantes.

En date de janvier 2017, ces mesures prévues étaient déjà été entamées, et les activités clés devraient être réalisées au cours des trois prochains exercices et terminées d’ici mars 2020.

Recommandation

La SMA de la DGSI, en collaboration avec le SMA principal de la Direction générale de la transformation et de la gestion intégrée des services, devrait élaborer des processus pour surveiller l’élaboration, l’évaluation, la sélection, le financement et la mise en œuvre d’options de rétablissement à jour pour les services essentiels touchés par la mise en œuvre d’outils numériques et de processus automatisés.

Réponse de la direction

La direction est d’accord avec la recommandation. La DGSI, en collaboration avec la Direction générale de la transformation et de la gestion intégrée des services, élaborera un processus pour faire en sorte que la PCA soit intégrée à l’ensemble des projets et initiatives de transformation.

Ces mesures garantiront que les projets de transformation adoptent une approche de PCA dès la conception et que des mesures visant les stratégies de rétablissement et les coûts connexes soient en place durant le projet et ultérieurement.

Cette activité s’appuiera sur l’établissement d’une liste plus précise des fonctions opérationnelles essentielles regroupées par service.

Les mesures devraient toutes être prises d’ici octobre 2017.