Audit de la Gestion de la Continuité des Activités

1.1 Objectif de l'audit

L'objectif de l'audit consistait à évaluer si le Ministère avait établi un programme de GCA efficace afin de permettre la disponibilité continue de ses services critiques et de ses biens connexes.

1.2 Portée

L'audit a porté sur l'évaluation des éléments obligatoires d'un programme de GCA, tels qu'ils sont décrits à l'annexe D de la Directive sur la gestion de la sécurité du CT, et a couvert la période du cycle de GCA le plus récent du Ministère.

1.3 Méthodologie

L'audit a utilisé les méthodes suivantes :

• Examen et analyse de la documentation
• Entrevues avec la direction et le personnel
• Sondage auprès des coordinateurs du plan de continuité des activités (PCA)
• Examen d'un échantillon de plans et de dispositions de GCA

2.1 La DGUCA a établi des documents d'orientation et des outils de GCA conformes aux exigences de la politique du CT

La Directive sur la gestion de la sécurité du CT décrit les procédures obligatoires pour la GCA. L'audit a permis de constater que la directive opérationnelle du Ministère, les orientations connexes et les modèles sont conformes aux exigences législatives. Par exemple, la directive définit clairement les rôles et les responsabilités dans le processus de GCA :

• la DGUCA est la chef de file du programme, responsable de l'orientation et de la direction fonctionnelles ainsi que de la supervision et de la communication des résultats;
• les coordinateurs régionaux et de la Direction générale jouent un rôle essentiel dans l'exécution du cycle de GCA du début à la fin, y compris dans la préparation, la coordination et la mise à l'essai des plans;
• les sous-ministres adjoints (SMA) des directions générales et des régions ont la responsabilité globale de l'élaboration et de l'approbation en matière de GCA à l'appui des services critiques d'EDSC.

2.2 Les directions générales et les régions responsables de services critiques manquent d'expertise et de soutien de la part de la haute direction

La DGUCA dispose d'une équipe qualifiée et expérimentée, chargée à la fois de la GCA et de la gestion des urgences (GU). Toutefois, ces dernières années, la DGUCA a donné la priorité à la modernisation des programmes de GU et de GCA. Entre 2020 et 2023, le Centre national des opérations d'urgence (CNOU) et les équipes ministérielles de gestion de crise ont connu une hausse d'activité sans précédent. En raison d'événements tels que la COVID-19 et les perturbations liées au climat, la DGUCA a mis l'accent sur la GU pendant cette période. En outre, la mise en œuvre du SDGU a débuté en juin 2023. Par conséquent, la DGUCA n'a pas satisfait à certaines exigences en matière de la GCA, notamment en raison de l'absence d'un programme de formation spécialisé dans ce domaine aux directions générales et des régions. Pour remédier à cette lacune, DGUCA a fourni un encadrement et un soutien aux intervenants tout au long du dernier cycle de GCA.

En général, les directions générales responsables de services critiques ne disposaient pas d'équipes et de structures compétentes pour répondre aux exigences du programme de GCA. Les structures de la GCA varient, mais la plupart des coordinateurs de la GCA manquent à la fois d'expertise et de sensibilisation de leurs responsabilités. De plus, la haute direction a fait preuve d'une plus grande sensibilisation et a mis l'accent sur la GU, négligeant souvent les exigences en matière de GCA, telles que les mises à l'essai des PCA.

Bien que la DGUCA dispose d'une équipe qualifiée et expérimentée, les responsables de services critiques amélioreraient les résultats du programme avec des équipes solides et robustes. Dans les directions générales et les régions où les équipes disposaient d'une expertise en GCA et du soutien de la haute direction, la qualité des documents et des activités de soutien à la GCA était plus susceptible de répondre aux attentes.

2.3 Le programme de GCA d'EDSC ne fonctionne pas comme prévu

L'EDSC a mené son dernier cycle de GCA entre avril 2021 et janvier 2023. Au cours de ce processus, la DGUCA a supervisé l'élaboration d'analyses d'impact sur les activités (AIA) et de plans de continuité des activités (PCA) pour soutenir les 23 services critiques du Ministère, tout en apportant son soutien et ses conseils aux directions générales et aux régions. La DGUCA a mené des examens de l'achèvement des processus, surveillé les délais d'achèvement des AIA et des PCA, et s'est régulièrement entretenue avec les intervenants. Toutefois, il n'existait pas de fonction formelle d'examen de la qualité ou de remise en question pour confirmer la qualité, l'exhaustivité et la mise à jour régulière des documents et des activités de GCA.

Selon la directive opérationnelle, les PCA au niveau des directions générales doivent être regroupés horizontalement en PCA au niveau des programmes. Cette initiative n'était pas en place pour les services critiques d'EDSC et la DGUCA a indiqué son intention de relancer ce processus lors du prochain cycle de GCA. La DGUCA met actuellement en œuvre le SDGU, qui vise à renforcer les capacités de collaboration et de suivi. Le renforcement de la surveillance et de l'établissement de rapports sera essentiel pour tirer des avantages du SDGU à l'appui des PCA au niveau du programme.

La mise à l'essai et l'exercice des PCA sont des éléments essentiels d'un programme de GCA parvenu à maturité. Bien que l'équipe d'audit ait cherché à obtenir des preuves pour vérifier que les services essentiels d'EDSC avaient été testés par les responsables au cours des 2 dernières années, la documentation disponible était insuffisante. Cependant, plus de la moitié des répondants à l'enquête menée par l'équipe d'audit auprès des coordonnateurs du PCA ont indiqué qu'ils n'avaient jamais participé à un test ou à un exercice de PCA. Étant donné que les résultats des tests n'ont pas été surveillés ni communiqués aux comités de gouvernance de la haute direction d'EDSC, l'équipe d'audit s'est appuyée sur le Cadre de responsabilisation de gestion de 2022 à 2023, qui indiquait que seulement 30 pour cent des PCA pour les services essentiels d'EDSC avaient été testés par les responsables au cours des 2 dernières années. L'équipe DGUCA a atténué cette lacune en intensifiant la sensibilisation des départements et les exercices d'entreprise au cours de l'année écoulée.

Bien qu'il ne s'agisse pas d'une exigence en vertu de la directive actuelle d'EDSC, les manuels opérationnels ont été introduits par Sécurité publique Canada et mis en œuvre par DGUCA en mars 2024 afin d'améliorer l'état de préparation du Ministère en réponse à des événements particuliers qui ont une incidence sur le Ministère et les Canadiens, comme la grève dans la fonction publique et les feux de forêt. Ces manuels représentent une approche proactive de l'atténuation des risques et complètent les PCA obligatoires pour les services essentiels. Ils ont été introduits pour la première fois à l'automne 2022 en prévision de la grève de l'Alliance de la Fonction publique du Canada de 2023 et les manuels tous risques ont été mis en œuvre à l'échelle du Ministère au cours de l'exercice de 2023 à 2024.

Les difficultés rencontrées par EDSC pour satisfaire aux exigences prescrites en matière de GCA pourraient avoir une incidence sur la qualité et la fiabilité des plans de continuité des activités. En l'absence d'une validation, d'un test et d'une mise à jour adéquats des plans, EDSC est confronté à un risque de continuité élevé pour ses services critiques.

2.4 La DGUCA n'utilise pas efficacement sa structure de comités de gouvernance pour la prise de décision et le contrôle

La structure de gouvernance relative à la GCA d'EDSC est décrite dans la directive opérationnelle et le plan stratégique de gestion des urgences du Ministère. Le Conseil de gestion du portefeuille (CGP) est le principal organe de décision du Ministère, soutenu par le Comité de gestion d'entreprise (CGE), qui dispose d'une autorité de surveillance et de décision pour la GCA. L'audit a permis de constater que le coordinateur de crise ministériel, c'est-à-dire le SMA de la DGSI, n'associe pas systématiquement le CGE à la prise de décision ni à la surveillance. Par exemple, le SMA de la DGSI n'a pas présenté la liste des services critiques du Ministère au CGE pour approbation après l'exercice de l'AIA 2021 et n'a pas non plus fourni à CGE des mises à jour périodiques sur l'état de conformité du Ministère aux exigences de GCA pour des services critiques d'EDSC. Néanmoins, les services critiques ont été approuvés par le Sous-ministre en février 2022.

Une meilleure utilisation des comités de gouvernance pour la surveillance de la GCA améliorerait la responsabilité, la qualité et l'exhaustivité.