Audit coordonné de l'accès pour la sécurité physique à l'Édifice James Michael Flaherty

Le 31 août 2017

Préparé par :
Direction de la vérification interne

• Qu’avons-nous examiné?
• Pourquoi est-ce important?
• Ce que nous avons trouvé

• Objectif
• Portée
• Approche
• Énoncé de conformité

Constatations détaillées et recommandations

[L’information a été retranchée.]

Conclusion

Recommandations, réponse et plan d’action de la direction

Annexe A : Critères d’audit

Annexe B : Abréviations

La mesure dans laquelle les ministères peuvent assurer leur propre sécurité a une incidence directe sur leur capacité à garantir la prestation continue des services qui contribuent à la santé, au bien-être économique et à la sécurité des Canadiens. En guise d’appui de ces exigences, les objectifs de la Politique sur la sécurité du gouvernement du Conseil du Trésor sont de veiller à ce que les administrateurs généraux :

• gèrent de manière efficace les activités de sécurité dans leur ministère;
• contribuent à la gestion efficace de la sécurité à l’échelle pangouvernementale.

L’objectif de cet audit interne était de fournir une assurance raisonnable au sous-ministre que les contrôles d’accès pour la sécurité physique à l’Édifice James Michael Flaherty fonctionnent de manière efficace, protégeant :

• biens ministériels;
• renseignements;
• employés;
• visiteurs autorisés;
• prestation des services.

La portée de l’audit interne comprenait la gestion et les activités de contrôle d’accès pour la sécurité physique à l’Édifice Flaherty, mais elle excluait la sécurité de la technologie de l’information. La période d’examen s’est échelonnée du 1er juillet 2014 au 8 mars 2017.

Les auditeurs internes ont :

• mobilisé les intervenants de la sécurité à l’Édifice Flaherty ou leurs représentants;
• examiné les documents disponibles;
• analysé les données disponibles;
• mis à l’essai les contrôles d’accès pour la sécurité physique.

L’Édifice Flaherty se trouve au 90, rue Elgin, à Ottawa, et il :

• héberge les administrations centrales du ministère des Finances Canada (FIN) et du Secrétariat du Conseil du Trésor du Canada (SCT);
• reçoit des hauts fonctionnaires et des fonctionnaires.

L’Édifice Flaherty a été construit au cours de la période de 2013 à 2015. On a commencé à remplir ses locaux en juillet 2014, ce qui s’est poursuivi jusqu’à la fin de 2015. L’effectif total de FIN, comptant près de 750 employés à temps plein, occupe l’immeuble, de même que 1230 employés à temps plein du SCT, environ. Le SCT est considéré comme étant le locataire principal, et Services publics et Approvisionnement Canada (SPAC) est le locataire gardien. L’Édifice Flaherty est une propriété de la Great-West, compagnie d’assurance-vie (GWLAC), et il est géré par une filiale en propriété exclusive appelée GWL Realty Advisors Inc. (GWLRA). Un contrat de location de 25 ans et une entente de gestion immobilière ont été signés en 2011 par SPAC et GWLAC.

Conformément à la Politique sur la sécurité du gouvernement, l’agent de sécurité du Ministère, qui rend compte au sous-ministre, était responsable de la gouvernance et du programme de sécurité de FIN. Par contre, selon les conditions de l’entente de location et de l’entente de gestion immobilière, la gestion de l’accès pour la sécurité physique, ce qui comprend la sécurité de base de l’immeuble, a été déléguée à l’entreprise de gestion immobilière de l’immeuble, sous la surveillance générale du gardien de l’immeuble (SPAC).

FIN et le SCT ont inclus le présent Audit coordonné de l’accès pour la sécurité physique dans leur plan d’audit actuel fondé sur les risques, qui tenait compte du niveau de risque attribué à ce domaine par la haute direction des deux ministères.

[L’information a été retranchée.]

Le présent Audit coordonné de l’accès pour la sécurité physique à l’Édifice James Michael Flaherty avec le Secrétariat du Conseil du Trésor du Canada (SCT) a été autorisé dans le cadre du Plan d’audit interne du ministère des Finances Canada (FIN) pour la période de 2016 à 2019, qui a été approuvé par le sous-ministre (SM).

L’Édifice Flaherty se trouve au 90, rue Elgin, à Ottawa, et sert d’administrations centrales pour FIN et le SCT. Tous les employés de FIN, près de 750 employés à temps plein, travaillent à l’Édifice Flaherty, de même que près de 1230 employés à temps plein du SCT. Services partagés Canada a également des bureaux à cette installation. On retrouve aussi dans l’immeuble un bureau de gestion immobilière et plusieurs entreprises du secteur privé, y compris une institution financière, des établissements alimentaires et d’autres fournisseurs en magasin.

En vertu des dispositions dans l’Entente de location de 25 ans et l’Entente de gestion immobilière signée en 2011 par Services publics et Approvisionnement Canada (SPAC) à titre de locataire gardien et la Great-West, compagnie d’assurance-vie (GWLAC) à titre de propriétaire, la responsabilité de la sécurité physique de l’immeuble, sans compter l’espace loué au rez-de-chaussée, a été déléguée à l’entreprise de gestion immobilière de l’immeuble, GWL Realty Advisors Inc. (GWLRA), qui est une filiale en propriété exclusive de GWLAC.

Dans le cadre de ses responsabilités de gestion de la sécurité, l’entreprise de gestion immobilière a géré la garde, en particulier le Corps canadien des commissionnaires (CCC). La garde était pourvue de ressources au moyen d’une commande subséquente de SPAC à l’Offre à commandes principale et nationale pour les Services des commissionnaires, que SPAC a administrée. Les Services des commissionnaires ont été financés en fonction des besoins de FIN et du TBS et des besoins de base de l’immeuble. SPAC a élaboré une Entente de services précis pour le transfert des coûts des ministères locataires à SPAC. Des instructions écrites pour les gardiens (consignes de poste) ont été émises et administrées par l’entreprise de gestion immobilière au moyen de consultations avec la Sécurité de base de l’immeuble de SPAC. Les ministères locataires ont également soumis des consignes de poste supplémentaires afin de répondre à leurs besoins ministériels particuliers en matière de services de gardiennage, par exemple, les consignes de poste pour les agents producteurs de laissez-passer de FIN, dont le travail consiste à valider des demandes de carte d’identité et d’émettre des cartes d’identité aux employés et aux entrepreneurs.

L’Édifice Flaherty a été construit au cours de la période de 2013 à 2015. On a commencé à remplir ses locaux en juillet 2014, ce qui s’est poursuivi jusqu’à la fin de 2015. FIN a emménagé dans l’immeuble en premier, suivi par le SCT. La Norme pour le plan d’évacuation d’urgence et l’organisation des secours en cas d’incendie établit que le ministère ayant le plus grand nombre d’employés est le locataire principal. Étant donné que le SCT a le plus grand nombre d’employés à l’Édifice Flaherty, il est considéré comme étant le locataire principal. Conformément à la Norme opérationnelle sur la sécurité matérielle du Conseil du Trésor, dans les immeubles à locataires multiples, il faudrait créer un comité de sécurité présidé par le locataire principal ou le gardien afin de considérer toutes les exigences de contrôle d’accès du gardien et de tous les autres locataires ainsi que d’envisager des mesures de protection en cas de situation nécessitant des services de sécurité renforcée.

FIN aide le gouvernement du Canada à mettre en œuvre des politiques et des programmes solides et durables sur les plans économique, budgétaire, fiscal et social de même qu’en matière de sécurité, dans le secteur financier et à l’échelle internationale. Il joue un rôle important à titre d’organisme central auprès des autres ministères. Tous les employés de FIN ont, à tout le moins, une cote de sécurité secret. La Division des services de sécurité de la Direction des services ministériels (DSM) a mené le programme de sécurité de FIN et appuyé les activités ministérielles en mettant en œuvre des mesures qui garantissent la sécurité et l’intégrité de ses employés, de ses renseignements de nature délicate et de ses biens.

L’accès pour la sécurité physique de l’immeuble est un effort conjoint des responsables de la sécurité de base de l’immeuble et des responsables de la sécurité du ministère locataire. L’immeuble est considéré comme une installation d’accès public qui comprend les éléments suivants :

• zone de réception contrôlée par un gardien contractuel;
• contrôles d’accès qui comprennent l’accès par carte de proximité aux tourniquets menant aux zones de travail;
• lecteurs de carte permettant aux employés autorisés d’entrer dans des zones sécuritaires individuelles (aux étages) des ministères locataires.

La sécurité physique de l’accès à l’intérieur de l’immeuble a pour objet de veiller à ce que seules les personnes autorisées peuvent passer au-delà des zones publiques et de réception, ce qui permet de protéger les biens et les renseignements du gouvernement et assure la sécurité des employés, tel qu’il est exigé dans la Politique sur la sécurité du gouvernement et les normes, les directives et les lignes directrices connexes. Le rôle de l’agent de sécurité du Ministère (ASM) a été assigné au cadre qui occupe ce poste depuis 2009. Au moment du présent audit, cette personne était sous-ministre adjoint de la DSM. L’ASM dirige le programme de sécurité de FIN et appuie les activités ministérielles en mettant en œuvre des mesures qui garantissent la sécurité et l’intégrité de ses employés, de ses renseignements de nature délicate et de ses biens.

Les deux ministères locataires ont indiqué que l’accès pour la sécurité physique de l’Édifice Flaherty est à risque, et l’ont inclus dans leur plan d’audit respectif axé sur les risques. De ce fait, FIN et le SCT ont travaillé en collaboration afin de donner suite à l’objectif global de l’audit interne en présentant chacun un rapport d’audit interne distinct.

Créé en 1867, FIN a été parmi les premiers ministères du gouvernement du Canada, ses fonctions principales consistant à assurer la tenue des livres, à administrer la collecte et le décaissement des deniers publics et à assurer le traitement de la dette nationale. De nos jours, FIN aide le gouvernement du Canada à élaborer et à mettre en œuvre des politiques et des programmes solides et durables sur les plans économique, budgétaire, fiscal et social de même qu’en matière de sécurité, dans le secteur financier et à l’échelle internationale. Il joue un rôle important à titre d’organisme central auprès des autres ministères, veillant à l’exécution du programme du gouvernement, à l’analyse et à la prestation de conseils de qualité supérieure à l’intention des ministres.

L’objectif de l’audit interne était de fournir une assurance raisonnable que les contrôles d’accès pour la sécurité physique à l’Édifice Flaherty fonctionnent de manière efficace pour assurer la protection des biens et des renseignements ministériels, des employés, des visiteurs autorisés et de la prestation des services.

La portée de la mission d’audit interne couvrait la gestion et les activités de contrôles d’accès pour la sécurité physique à l’Édifice Flaherty, y compris mais sans toutefois s’y limiter, le zonage de sécurité de base à l’immeuble et la sécurité de l’accès pour FIN et le SCT, tel qu’il a été déterminé dans le cadre d’une évaluation des risques de haut niveau. La portée de l’audit interne se fonde sur une approche coordonnée convenue à l’avance par les deux ministères locataires, et elle entend la coopération active des intervenants clés, notamment SPAC, GWLRA et le CCC.

L’audit couvre la période d’occupation de FIN à l’Édifice Flaherty allant du 1er juillet 2014 au 8 mars 2017.

L’audit interne n’a abordé ni la sécurité de la technologie de l’information ni la portée de l’autorité confiée aux autres partenaires du gouvernement fédéral.

La mission d’audit interne a été menée conformément aux instruments suivants :

• Normes internationales pour la pratique professionnelle de la vérification interne de l’Institut des auditeurs internes;
• Normes relatives à la vérification interne au sein du gouvernement du Canada.

L’étape de planification comprend des examens préliminaires des documents et des entrevues préliminaires avec la direction afin de mieux comprendre la situation et le statut de la sécurité physique à l’immeuble. L’étape de planification a donné lieu à l’énoncé du mandat, qui a été diffusé aux fins de discussion avec le client de l’audit, ainsi qu’à l’émission des critères d’audit détaillés qui forment une partie intégrante d’un programme d’audit détaillé.

Au cours de l’étape d’examen de l’audit interne, nous avons interrogé des personnes à FIN, au SCT, à SPAC, à GWLRA et au CCC. Les auditeurs internes ont effectué une revue générale des points d’accès clés, y compris les suivants :

• portes d’entrée;
• plateforme de chargement;
• plusieurs niveaux de toit;
• stationnement étagé;
• monte-charge.

Parmi les documents examinés, on compte les instruments de politique, les ententes, les procès-verbaux des réunions et les rapports. Les auditeurs internes ont également effectué une analyse de données sur des échantillons de rapports d’incidents, des fichiers d’autorisation et des rapports d’alarme qui s’appliquent à l’échéancier de l’audit.

Le travail sur place pour cet audit s’est en grande partie achevé le 8 mars 2017.

L’audit a été réalisé conformément aux Normes internationales pour la pratique professionnelle de l’audit interne ainsi qu’aux Normes relatives à la vérification interne au sein du gouvernement du Canada, selon les résultats du Programme d’assurance et d’amélioration de la qualité.

[L’information a été retranchée.]

[L’information a été retranchée.]

[L’information a été retranchée.]

Les critères d’audit suivants ont été utilisés dans l’exécution de cet audit :

1. Surveillance ministérielle de la sécurité
   1. FIN a un Cadre de gestion de la sécurité défini qui comprend une politique, un plan et des procédures de sécurité établis afin de protéger les employés, les visiteurs autorisés, les renseignements et les biens ainsi que de veiller à la prestation continue des services.
   2. Les comités de sécurité sont mis en place afin d’assurer la coordination et l’intégration des activités de sécurité physique, y compris la surveillance et l’établissement de rapports d’incidents.
   3. Les responsabilisations, les délégations, les rapports hiérarchiques ainsi que les rôles et responsabilités du personnel ayant des responsabilités liées à la sécurité physique ont été définis et consignés.
   4. Une stratégie de communications est en place pour garantir que tous les employés sont informés de leurs rôles et responsabilités en matière de sécurité.
2. Activités et contrôles de sécurité
   1. Les opérations de sécurité veillent à ce que des renseignements exacts sont disponibles en temps opportun afin d’assurer la surveillance administrative des ressources ministérielles.
   2. Des contrôles d’accès sont mis en œuvre afin de protéger l’immeuble, les étages, les milieux de travail et les espaces communs.
   3. Le zonage de la sécurité physique dans les milieux de travail de l’immeuble se conforme aux politiques, aux directives et aux normes pertinentes du Conseil du Trésor.
   4. La sécurité physique est évaluée et mise à l’essai périodiquement.