Mise à jour finale de l’ombudsman – Le verrouillage : la communication était la clé

Du 8 au 9 février 2021, l’Agence du revenu du Canada (ARC) a examiné les ID utilisateur et les mots de passe de l’ARC, appelés « justificatifs d’identité », afin de pouvoir repérer ceux qui pourraient être compromis et donner un accès non autorisé aux comptes de l’ARC. L’examen de l’ARC a permis de cerner 187 000 comptes de l’ARC qui auraient pu être consultés au moyen de justificatifs d’identité potentiellement compromis.

Pour sécuriser les comptes de l’ARC touchés, l’ARC les a verrouillés le 11 février 2021. Puis, le 16 février 2021, l’ARC a supprimé les adresses électroniques de 119 200 de ces comptes. Les contribuables pouvaient quand même recevoir du courrier en papier de l’ARC pendant qu’ils n’avaient pas accès à leur compte.

Normalement, lorsque l’ARC supprime une adresse électronique d’un compte, elle envoie un courriel automatique au contribuable. Ce courriel est habituellement supprimé lorsque l’ARC verrouille le compte sans d’abord consulter le contribuable. Cependant, dans ce cas précis, l’ARC n’a pas réussi à empêcher l’envoi de ce courriel. Par conséquent, l’ARC a involontairement envoyé un courriel à chacun des 119 200 contribuables dont l’adresse électronique avait été supprimée. Dans l’heure qui a suivi l’envoi, l’ARC s’est rendu compte qu’elle avait envoyé les courriels par erreur et a rapidement commencé à en entendre parler des médias.

Ce manque de communication claire de la part de l’ARC durant cette situation est ce qui nous a amenés à ouvrir cet examen. Notre objectif était d’examiner les efforts de communication de l’ARC et de cerner les possibilités d’améliorer la communication avec les contribuables.

Plus précisément, l’examen a mis en évidence un enjeu récurrent à l’ARC : elle communique de façon réactive plutôt que proactive. L’examen a également noté que les contribuables ne devraient pas avoir à appeler l’ARC pour obtenir plus d’informations, surtout dans le contexte des enjeux récurrents qu’ils éprouvent en communiquant avec ses centres de contact. 

Les observations et les constatations de l’examen traitent de la crise comme telle ainsi que de l’approche de communication mise de l’avant par l’ARC pour gérer la situation. 

L’un des principaux enjeux relevés lors de l’examen était que l’ARC n’était pas prête à communiquer des renseignements sur les mesures qu’elle avait prises. Même si elle n’a pas communiqué avec les contribuables en temps opportun après avoir verrouillé 187 000 de leurs comptes et envoyé involontairement un courriel à 119 200 d’entre eux, elle aurait dû être prête à communiquer des renseignements dès qu’elle a verrouillé les comptes. 

Lors de l’examen de cette situation, nous avons reconnu qu’il s’agissait d’une crise pour l’ARC et les 187 000 contribuables touchés. De plus, si l’ARC souhaite réellement mettre l’accent sur les gens d’abord, elle devait considérer cette situation comme une crise et ne pas la sous-estimer ou omettre de reconnaître sa gravité.

Pour communiquer efficacement en situation de crise, il faut d’abord comprendre comment les gens traitent les renseignements dans de telles circonstances.

Lors d’une crise, les gens réagissent mieux aux messages directs et concis. Cependant, certains des messages fournis par l’ARC pendant cette crise n’étaient ni l’un ni l’autre. L’ARC aurait dû informer les contribuables qu’elle poursuivait activement une autre approche pour les aider à rétablir l’accès à leurs comptes de l’ARC. Cette mesure aurait allégé le fardeau qu’elle avait créé pour ses centres de contact, ainsi que la frustration et l’anxiété éprouvées par de nombreux contribuables.

De plus, les gens s’appuient sur des sources crédibles pour passer au travers d’une crise. Le site Web du gouvernement du Canada, Canada.ca, s’est forgé une réputation de source crédible pour toutes les communications et tous les renseignements du gouvernement du Canada. Cependant, après cet incident, nous avons trouvé inquiétants le manque de renseignements disponibles sur le site Web Canada.ca et le recours par l’ARC aux médias sociaux pour donner une image complète de la situation.

De plus, comme certaines plateformes de médias sociaux ont un nombre limité de caractères, toute information publiée sur les réseaux sociaux devrait être liée à une page Web Canada.ca qui offre plus de détails. Toutefois, l’ARC n’a pas fourni de lien dans ses publications sur les médias sociaux pour diriger les utilisateurs vers le site Web Canada.ca.

Bien que la communication soit essentielle, l’uniformité des messages est tout aussi importante. L’uniformité aide à bâtir la confiance à l’égard des messages. Toutefois, pour cette crise, l’ARC n’a pas été cohérente pendant toute la crise, ni à ses agents de centre de contact, ni auprès des médias, ni sur le site Web Canada.ca, ni dans les publications sur ses comptes de médias sociaux Facebook, LinkedIn et X (anciennement Twitter). 

Nous félicitons l’ARC d’être proactive en repérant les justificatifs d’identité potentiellement compromis et en protégeant les renseignements de nature délicate contre les menaces en constante évolution. Cependant, comme elle avait envoyé les courriels d’avis, l’ARC aurait dû être réactive plutôt que d’être préparée de façon stratégique à communiquer la façon dont elle protège les renseignements de nature délicate. Bien qu’elle ait communiqué des renseignements importants aux médias, elle n’a pas communiqué de manière efficace et directe avec les contribuables.

Comme l’ARC n’a pas suivi une stratégie de communication de crise adéquate, son approche a créé des enjeux uniques, dont bon nombre ont aggravé la situation. Plus précisément, l’ARC a :

• fourni une déclaration sur LinkedIn qui n’était pas facilement accessible à certains;
• omis de publier de directives à jour sur les mesures à prendre en cas de crise;
• omis d’adopter une approche de communication progressive;
• omis de prendre des décisions avec empathie;
• omis d’effectuer une analyse rétrospective pour déterminer ses erreurs de communication.

Nous avons formulé cinq recommandations dans le rapport. L’ARC les a toutes acceptées, et a élaboré un plan d’action. Toutefois, ce plan d’action n’abordait pas suffisamment tous les aspects de chacune des recommandations acceptées. 

L’ombudsman des contribuables a recommandé à l’ARC d’effectuer un examen officiel de ses processus afin de s’assurer qu’elle a un plan souple qui prévoit un effort coordonné pour informer de façon proactive les Canadiens, en temps opportun, notamment sur Canada.ca, au moyen des médias sociaux et traditionnels, et par courriel les problèmes qui pourraient les toucher.

L’ARC a accepté cette recommandation. Toutefois, sa réponse n’a pas détaillé les mesures concrètes qu’elle prendrait, mais plutôt ses processus actuels. Par conséquent, les contribuables et notre Bureau continuent de constater des enjeux liés aux communications à l’ARC. Nous espérions que, lorsque l’ARC fournirait une mise à jour, elle détaillerait davantage les mesures qu’elle a prises à la lumière de notre recommandation, mais ce ne fut pas le cas. Aucune autre mise à jour n’a été fournie.

Il demeure incertain comment les processus en place au moment de l’enjeu empêcheraient toute récidive. Par conséquent, nous avons conclu que le plan d’action de l’ARC n’avait pas donné adéquatement suite à la recommandation 1. 

L’ombudsman des contribuables a recommandé à l’ARC de créer un calendrier de mise à jour pour ses alertes contextuelles pour s’assurer que les renseignements qu’elle fournit toujours sont utiles et à jour.

Bien que l’ARC ait approuvé cette recommandation, son plan d’action laissait entendre qu’elle ne créerait pas de calendrier de mise à jour pour ses alertes contextuelles. Selon l’ARC, les alertes contextuelles sont placées sur les pages Web de Canada.ca en fonction des besoins opérationnels ou des enjeux qui surviennent, et elles sont examinées et mises à jour au cas par cas. Des renseignements supplémentaires fournis par l’ARC expliquaient ce qu’elle fait pour tenir ses alertes contextuelles à jour et les défis qui en découlent.

L’adoption de la recommandation 2 par l’ARC n’était pas en phase avec son plan d’action. Par conséquent, nous avons conclu que le plan d’action de l’ARC n’avait pas donné adéquatement suite à la recommandation 2. De plus, même récemment, trois ans après avoir formulé cette recommandation, nous constatons encore des enjeux récurrents liés aux alertes contextuelles obsolètes que nous continuons de signaler à l’ARC. Le fait de traiter les enjeux au cas par cas, plutôt que de mettre au point un processus efficace, fait en sorte que les contribuables reçoivent des renseignements obsolètes qui peuvent semer la confusion. 

L’ombudsman des contribuables a recommandé à l’ARC de veiller à ce qu’elle fournisse toujours un lien vers la présence Web du gouvernement du Canada, comme Canada.ca, à partir de ses publications sur les médias sociaux.

L’ARC a accepté cette recommandation. Elle a indiqué dans son plan d’action qu’elle suit déjà cette pratique exemplaire et cette exigence conformément à la Directive sur la gestion des communications. Cela dit, même si l’ARC est tenue de suivre cette pratique, elle ne l’a pas fait pendant la crise du verrouillage, ce qui démontre qu’elle ne suit pas toujours cette exigence. L’ARC aurait pu expliquer les mesures qu’elle pouvait prendre pour s’assurer que ses publications sur les médias sociaux incluent toujours un lien vers le site Web Canada.ca pour offrir de plus amples renseignements.

Cet enjeu est passé au premier plan lors d’une nouvelle crise, à savoir la grève de Postes Canada. Beaucoup de contribuables s’attendaient à recevoir des paiements de prestations par la poste. Lorsqu’une grève a été déclenchée à Postes Canada, l’ARC n’a encore une fois pas suivi le processus requis, et sa publication sur les médias sociaux, plus précisément sur X, n’incluait pas de lien vers le site Web Canada.ca pour offrir de plus amples renseignements. Comme l’ARC connaissait l’importance de cette publication, elle l’a épinglée. Cependant, puisque l’ARC ne fournissait que des détails supplémentaires dans des commentaires épinglés, les contribuables sans compte X étaient empêchés de voir autre chose.

Nous avons ensuite demandé à l’ARC de mettre à jour son message pour inclure un lien vers le site Web Canada.ca, mais malheureusement, l’ARC a choisi de ne pas le faire. Après une demande ultérieure, l’ARC a indiqué qu’elle créerait une nouvelle publication.

Le problème était d’autant plus grave qu’il n’était pas facile pour les visiteurs du site Web Canada.ca de trouver la page Web de l’ARC qui contenait des renseignements supplémentaires.

À la lumière de ces enjeux récurrents, nous avons conclu que le plan d’action de l’ARC ne traitait pas suffisamment de la recommandation 3. Bien que ces événements ne soient pas fréquents, l’ARC devrait élaborer un processus pour s’assurer de toujours inclure un lien vers le site Web Canada.ca dans ses publications sur les médias sociaux, surtout en cas de crise.

L’ombudsman des contribuables a recommandé à l’ARC de mettre les renseignements qu’elle fournit aux médias canadiens à la disposition des Canadiens en même temps, par exemple, au moyen de Canada.ca.

L’ARC a accepté cette recommandation. Dans son plan d’action, l’ARC a détaillé non seulement les efforts qu’elle déploie pour que les mêmes renseignements soient communiqués en même temps sur tous les supports et toutes les plateformes, mais aussi les défis que cela présente. Elle a déclaré ce qui suit : 

Même si nous reconnaissons les efforts de l’ARC pour transmettre en même temps les renseignements aux contribuables et aux médias canadiens, ainsi que ses efforts pour relever les défis que cela présente, nous croyons que l’ARC aurait pu améliorer ses processus actuels à cet égard. Ces processus actuels peuvent faire en sorte que les médias reçoivent plus de renseignements que les contribuables. Cependant, nous n’avons constaté aucun changement substantiel à cet égard.

Par conséquent, nous avons conclu que le plan d’action de l’ARC n’avait pas suffisamment donné suite à la recommandation 4.

L’ombudsman des contribuables a recommandé  l’ARC de s’assurer qu’elle a un plan de gestion des enjeux qui est adaptable afin qu’elle puisse communiquer efficacement avec les Canadiens lorsqu’il y a un problème émergent.

• la Directive sur la gestion des enjeux, qui
  • est une politique globale;
  • ne décrit pas des processus spécifiques;
  • décrit les rôles et responsabilités de la communauté de gestion des enjeux et de la haute direction à l’ARC;
  • affirme ce qui suit : « Dès qu’un problème est cerné, une approche proactive (dans la mesure du possible) et coordonnée est nécessaire pour s’assurer que l’enjeu est rapidement analysé, signalé et traité »;
• ses plans et approches de gestion des enjeux, qui
  • sont mis à profit en cas d’incident majeur impliquant l’ARC;
  • exigent une réponse coordonnée de certains ou plusieurs dirigeants des directions générales de l’ARC;
• ses politiques et comités pour guider l’ARC et le réseau de la gestion des enjeux lors d’une crise ou d’un enjeu émergent ou courant, y compris : 
  • La Directive sur la gestion des enjeux;
  • Le Plan de continuité des activités;
  • Le cadre de préparation à la gestion des crises;
  • Le protocole de réponse rapide, appuyé par les communications;
  • Le Centre des opérations de l’Agence;
  • Le Comité de gestion des incidents.

Le plan d’action de l’ARC laissait entendre qu’il ne serait pas une bonne pratique d’élaborer un plan formel de gestion des enjeux, car l’ARC doit pouvoir s’adapter et qu’elle pourrait ne pas suivre le même processus pour chaque enjeu. L’ARC a indiqué ce qui suit : 

Même si nous reconnaissons qu’un plan formel de gestion des enjeux non adaptable n’est peut-être pas réalisable, notre recommandation était que l’ARC élabore un plan qui énoncerait certains produits livrables pouvant servir de modèle pour gérer une crise, et qui fournirait plus de détails que la directive actuelle de l’ARC en matière de gestion des enjeux.

Par conséquent, nous avons conclu que le plan d’action de l’ARC n’avait pas suffisamment donné suite à la recommandation 5. 

Malgré les enjeux liés à son approche de communication lors de la crise du verrouillage, l’ARC a apporté des améliorations après le verrouillage, comme le souligne le rapport. Par exemple, l’ARC a depuis amélioré sa manière de protéger ses comptes. Depuis le 13 mars 2021, elle ne verrouille plus les comptes lorsqu’elle détecte des justificatifs d’identité potentiellement compromis. Dans ces cas, elle ne fait que révoquer ceux qui sont touchés. Ainsi, les utilisateurs peuvent toujours accéder à leur compte de l’ARC en utilisant d’autres justificatifs d’identité, par l’intermédiaire d’un partenaire de connexion ou d’un partenaire provincial.

De plus, depuis l’ouverture de notre examen, l’ARC a été proactive en communiquant avec les contribuables au sujet de toute révocation imminente. Dans ces cas, elle a inclus les médias dans ses communications et fourni des alertes contextuelles sur ses pages Web. Cette approche utile fonctionne de pair avec sa pratique actuelle qui consiste à envoyer des instructions précises par courriel directement aux contribuables lorsqu’un justificatif d’identité est révoqué.

Cependant, même si l’ARC a accepté les cinq recommandations formulées dans ce rapport, son plan d’action présentait généralement ce qu’elle mettait déjà en œuvre. L’ARC ne s’est pas engagée à explorer de nouvelles approches de communication ni à revoir ses processus actuels afin de les améliorer, de sorte à pouvoir communiquer efficacement avec les contribuables lorsqu’un enjeu survient.

Comme le suggère le titre de ce rapport, la communication est la clé. En plus de souligner la stratégie de communication insuffisante de l’ARC en ce qui concerne la gestion de la crise du verrouillage, ce rapport met en lumière de nombreux enjeux récurrents liés à l’approche de communication de l’ARC avec les contribuables en général. Cela dit, bon nombre des enjeux signalés par les contribuables proviennent de leur communication avec l’ARC, en particulier les renseignements que l’ARC leur fournit, qui manquent parfois de précision, de clarté et de rapidité, ou qui ne sont tout simplement pas disponibles. Il reste encore du travail à faire, mais il appartient à l’ARC de donner suite aux recommandations formulées.

Nous continuerons de surveiller les enjeux de communication au sein de l’ARC, que ce soient les plaintes que nous recevons, les renseignements fournis en ligne, les efforts de sensibilisation et les rapports médiatiques.