ARCHIVÉE - Rapport de vérification final : Vérification de la gestion de l'information [Santé Canada, 2010]

Octobre 2010

Réponse de la direction et plan d'action

Table des matières

• Sommaire
  
• Introduction
  • Contexte
  • Objectif de la vérification
  • Portée et méthode
    
• Constatations, recommandations et réponses de la Direction
  • Gestion de l'information - Une responsabilité partagée
  • Modèle d'architecture d'information intégré
  • Gestion, normes et classification des documents
  • Autorisation de disposition de documents
  • Protection des renseignements personnels
  • Présentation de rapports au Parlement
    
• Conclusion
  
• Annexe A - Secteurs d'intérêt et critères de vérification

Version traduite. La version anglaise doit prévaloir en cas d'incohérence.

Sommaire

La gestion de l'information (GI) est une discipline qui permet de gérer et d'appuyer la gestion efficiente et efficace de l'information dans un organisme, depuis la planification et le développement de systèmes jusqu'à l'élimination ou la conservation à long terme. Le gouvernement du Canada dispose d'une stratégie de gestion de l'information qui est suivie par les ministères et organismes. Néanmoins, le Commissaire à l'information du Canada a établi que, dans l'ensemble du gouvernement, il subsiste des problèmes systémiques qui influent sur la façon dont les ministères gèrent l'information.

L'objectif de la présente vérification consiste à évaluer les pratiques de Santé Canada en matière de gestion de l'information relativement aux rôles et aux responsabilités, aux systèmes, à la structure de la classification des documents, aux autorisations de disposition de documents et à la protection des renseignements personnels. La vérification a été menée en conformité avec les Normes relatives à la vérification interne au sein du gouvernement du Canada. Elle a permis d'examiner une preuve suffisante et pertinente et d'obtenir une information et des explications suffisantes pour obtenir un degré d'assurance raisonnable à l'appui de la conclusion de la vérification.

Le dirigeant principal de l'information, de concert avec la Division de la gestion de l'information et du savoir, poursuit activement le renforcement des activités de la GI en sensibilisant l'ensemble du Ministère à l'égard de la GI, en simplifiant la structure de gouvernance de la GI, en élaborant et en mettant en oeuvre des indicateurs de mesure du rendement et en mettant en place un système de gestion des documents électroniques (SGDE) au sein de la Direction générale de la santé environnementale et de la sécurité des consommateurs. Toutefois, il subsiste des secteurs à améliorer.

La GI constitue une responsabilité partagée entre la fonction organisationnelle et les gestionnaires de programmes. Le dirigeant principal de l'information, Direction générale des services de gestion, veille à ce que l'orientation de la direction, les processus et les outils appropriés soient en place pour gérer efficacement l'information à l'appui des activités du Ministère et pour protéger la qualité de l'information pendant toute la durée de son cycle de vie. Les gestionnaires de Santé Canada sont chargés de gérer l'information comme faisant partie intégrante des programmes, de la prestation des services et au titre d'une ressource ministérielle stratégique du Ministère. Bien que le Ministère dispose d'une structure pour gérer son information, il subsiste des lacunes dans l'exercice des rôles et des responsabilités quant à la manière dont l'intégrité et l'exhaustivité de l'information sont gérées et suivies. La détermination et l'intégration des rôles et des responsabilités partagées dans le cadre de gouvernance permettront de gérer plus efficacement le fonds de renseignements du Ministère.

Des systèmes de classification des documents sont actuellement élaborés et utilisés pour soutenir toutes les étapes du cycle de vie de l'information, mais à ce jour, les directions générales n'ont pas toutes adopté le même système de classification. La Division de la gestion de l'information et du savoir a pris des mesures pour informer les directions générales des avantages associés à l'utilisation d'un système de classification fonctionnel normalisé, mais la responsabilité d'adopter un tel système appartient en dernier ressort aux directions générales.

Une autorisation de disposition de documents est l'autorisation accordée par l'Archiviste national du Canada de sélectionner les documents qui doivent être archivés et ceux qui doivent être détruits, lorsqu'ils ne sont plus nécessaires à des fins opérationnelles, juridiques ou d'information. L'examen des autorisations de disposition de documents au sein des directions générales a révélé que, souvent, de telles autorisations n'existaient pas, qu'elles étaient incomplètes ou s'apparentaient davantage à une ligne directrice.

Dans le cadre des trois programmes examinés, on a constaté que les renseignements personnels ne sont pas suffisamment bien protégés, surveillés et accessibles en fonction de la Politique sur la sécurité du gouvernement, de la Politique sur la protection de la vie privée et de la Directive sur les pratiques relatives à la protection de la vie privée du Conseil du Trésor du Canada. On a également constaté que les directions générales ne faisaient pas un compte rendu intégral de la collecte de renseignements personnels.

Pour régler certains des problèmes ainsi soulevés, Santé Canada a commencé à élaborer un modèle d'architecture de l'information global pour gérer les fonds de renseignements du Ministère. Toutefois, il reste encore du travail à faire. Dans le cadre d'un plan d'action, les membres de la direction se sont entendus sur les six recommandations, par le biais d'un plan d'action, qui permettront de renforcer la gestion de l'information à Santé Canada.

Introduction

Contexte

La gestion de l'information (GI) est une discipline qui permet de gérer et d'appuyer la gestion efficiente et efficace de l'information dans un organisme, depuis la planification et le développement de systèmes jusqu'à l'élimination ou la conservation à long terme.

En février 2009, le Commissaire à l'information du Canada a déposé les Fiches de rendement 2007 2008 et Problèmes systémiques influant sur l'accès à l'information au Canada. Parmi les problèmes détectés, mentionnons les lacunes dans la gestion de l'information.

Sous la direction du dirigeant principal de l'information de Santé Canada, la Direction des services de gestion de l'information (DSGI) fournit la stratégie, les politiques, l'infrastructure, les outils et le personnel nécessaires à une utilisation efficace de la gestion de l'information. Au sein de cette Direction, la Division de la gestion de l'information et du savoir (DGIS) offre, à l'échelle du Ministère, une direction et une orientation fonctionnelle en matière de gestion de l'information (GI) et de gestion du savoir.

Plus précisément, la Division est chargée d'élaborer et de mettre à jour des stratégies, des politiques, l'architecture de l'information, des normes et des lignes directrices en matière de gestion de l'information et du savoir. La Division est également responsable d'élaborer et d'appuyer une solution de gestion des documents sur tout support, d'élaborer et de mettre en oeuvre des stratégies de formation et de sensibilisation, de concevoir des produits de communications en GI; de livrer les autorisations de dispositions des documents, d'assurer la prestation de services facilitant l'accès au savoir, les services de la bibliothèque, les services de recherche et du courrier. La Division compte les trois sections suivantes : Innovations et systèmes en GI, Prestation de services en GI et Section des politiques, planification et stratégies en GI.

Les directions générales sont chargées de gérer l'information ministérielle, c'est-à-dire les documents concernant l'exécution des programmes et la prestation des services, les comptes rendus des décisions prises et la preuve des opérations financières et des actes juridiques. Un document ministériel peut se présenter sous de nombreux supports (c'est-à-dire il peut s'agir de documents papier, de courriels, de documents électroniques, de photographies et d'images numériques).

Le budget dont dispose la DGIS aux fins de la gestion de l'information pour l'exercice 2008-2009 devrait s'élever à environ 8,2 millions de dollars. Les frais d'entreposage liés à la gestion des documents du Ministère s'élèvent à 6 millions de dollars environ.

Ces montants ne comprennent aucun des coûts de GI qui sont pris en charge par les directions générales.

Objectif de la vérification

L'objectif de la présente vérification consiste à évaluer les pratiques de Santé Canada en matière de gestion de l'information relativement aux rôles et aux responsabilités, aux systèmes, à la structure de classification des documents, aux autorisations de disposition de documents et à la protection des renseignements personnels.

Portée et méthode

La vérification a été effectuée par le Bureau de la vérification et de la responsabilisation, conformément au plan de vérification axé sur les risques de Santé Canada de 2008-2009, lequel a été approuvé par le comité ministériel de vérification le 3 avril 2008, et conformément aux Normes relatives à la vérification interne au sein du gouvernement du Canada. Elle a permis d'examiner une preuve suffisante et pertinente et d'obtenir suffisamment d'information et d'explications pour assurer un degré d'assurance raisonnable à l'appui des conclusions de la vérification.

La vérification a porté sur les rôles et les responsabilités en matière de gestion de l'information, les processus à l'appui de la Loi sur l'accès à l'information et la Loi sur la protection des renseignements personnels, l'infrastructure utilisée à l'appui de la gestion et du cycle de vie de l'information.

La vérification était fondée sur les contrôles de gestion de base du Secrétariat du Conseil du Trésor du Canada, critères servant l'évaluation des contrôles et de la gérance (annexe A). Les secteurs d'intérêt et les critères de vérification ont été convenus par la Direction générale des services de gestion.

La vérification a porté en grande partie sur la Direction générale des services de gestion; cependant, la portée de la gestion des dossiers, des normes, de la classification et des autorisations de disposition de documents était circonscrite à l'Unité d'intervention en cas d'urgence chimique au sein de la Direction générale de la santé environnementale et la sécurité des consommateurs (DSESC) et à la Direction du bien-être collectif et de la surveillance de la santé, à l'unité Services d'aide aux employés ainsi qu'à l'hôpital Percy E. Moore au sein de la Direction générale des régions et des programmes (DGRP). En dernier lieu, la portée de la vérification en vue de protéger les renseignements personnels s'est limitée à la Direction du bien-être collectif et de la surveillance de la santé, à l'unité Services d'aide aux employés et à l'hôpital Percy E. Moore.

La méthode de vérification comprenait un examen de divers types de documents, notamment des comptes rendus de décisions, des politiques, des processus à l'appui de la Loi sur l'accès à l'information et de la Loi sur la protection des renseignements personnels, des lignes directrices et des normes. Des entrevues ont été menées, et un test des contrôles a été effectué. La vérification a porté sur la période du 1^er janvier 2008 au 31 mars 2009.

Constatations, recommandations et réponses de la Direction

Gestion de l'information - Une responsabilité partagée

Critères de vérification

Les rôles et les responsabilités en matière de gestion de l'information doivent être clairement définis et consignés par écrit.

La gestion de l'information est un aspect fondamental de toutes les activités du gouvernement du Canada, et fait partie intégrante des responsabilités de chaque fonctionnaire. Il s'agit d'une activité qui concerne le traitement de l'information utilisée ou produite dans l'exercice des fonctions liées à un emploi comme ressources opérationnelles stratégiques et conformément aux exigences juridiques et politiques. Ainsi, il incombe à tous les employés de gérer l'information qu'ils recueillent, qu'ils produisent et qu'ils utilisent pour contribuer non seulement aux résultats des programmes et des services, mais également aux activités et aux responsabilisations législatives du Ministère.

Afin de s'acquitter de ces obligations, les fonctionnaires doivent être suffisamment bien informés pour être en mesure d'utiliser les outils et d'appliquer la politique, les normes, les procédures, les directives, les lignes directrices ainsi que les outils en matière de gestion de l'information. Cela englobe la consignation par écrit des activités et des décisions, de même que l'utilisation des renseignements du Ministère d'une manière qui facilite l'accès à l'information tout en veillant au respect des exigences en matière de sécurité et de protection des renseignements personnels.

La responsabilité de la gestion de l'information incombe au sous ministre et s'appuie sur les dispositions législatives, l'orientation et les directives du Secrétariat du Conseil du Trésor du Canada et de Bibliothèque et Archives Canada.

Le sous ministre est appuyé dans cette tâche par le dirigeant principal de l'information, le cadre supérieur qui détient la responsabilisation de la gestion de l'information à Santé Canada. Il dirige la Direction des services de gestion de l'information (laquelle comprend la Division de la gestion de l'information et du savoir), en plus de coprésider le Comité de responsabilisation pour la gestion de l'information.

Dans l'ensemble, le dirigeant principal de l'information veille à ce qu'une orientation de la direction appropriée et des processus et des outils adéquats soient en place afin que l'information utilisée par le Ministère dans le cadre de ses activités soit gérée de façon efficiente et qu'elle conserve sa qualité tout au long de son cycle de vie. Durant l'exercice de planification stratégique, le dirigeant principal de l'information s'assure que les exigences en matière de gestion de l'information sont prises en considération et qu'elles concordent avec les exigences en matière de technologie de l'information. Enfin, le dirigeant principal de l'information est responsable de la coordination des ressources et de la mise en oeuvre des solutions pangouvernementales au Ministère.

Il incombe aux gestionnaires de Santé Canada de gérer l'information comme une partie intégrante des programmes, de la prestation des services et comme une ressource opérationnelle stratégique. Les gestionnaires doivent cerner les problèmes et les exigences touchant l'information et les communiquer aux spécialistes fonctionnels et ils doivent également faire en sorte que les processus et les systèmes permettent de régler correctement tout problème lié à la gestion de l'information. En outre, les gestionnaires doivent veiller à ce que les employés comprennent et appliquent au quotidien des stratégies efficaces de gestion de l'information.

La direction de Santé Canada reçoit le soutien du conseiller en gestion de l'information de la Direction générale (CGIDG) et du conseiller en gestion de l'information de la région (CGIR). En participant à la mise en oeuvre des politiques, des directives et des normes, les conseillers contribuent aux initiatives panministérielles en matière de gestion de l'information. De plus, les conseillers élaborent et exécutent des services de gestion de l'information, notamment des séances officieuses de consultation, de formation et de sensibilisation. De surcroît, il leur incombe de concourir à l'intégration des exigences en matière de gestion de l'information au sein des stratégies opérationnelles et des stratégies liées à la technologie de l'information du Ministère. Enfin, les conseillers collaborent avec tous les gestionnaires pour examiner les exigences liées au cycle de vie de l'information.

Toutes les directions générales sont tenues de gérer leur information conformément aux politiques du gouvernement du Canada (Politique sur la gestion de l'information, Politique du gouvernement sur la sécurité) et aux exigences législatives (Loi sur l'accès à l'information, Loi sur la protection des renseignements personnels et Loi sur la Bibliothèque et les Archives du Canada). À titre de responsable fonctionnel dans ce domaine, la Division de la gestion de l'information et du savoir, Direction générale des services de gestion, soutient les directions générales en élaborant des stratégies, des politiques, une architecture d'information, des normes et des lignes directrices ministérielles en matière de gestion de l'information et de gestion du savoir, et en assurant leur maintien. En outre, la DGIS offre des services de gestion du savoir, de formation et de sensibilisation, en plus de veiller à la planification et à la délivrance des autorisations de disposition de documents.

Le Ministère a mis en place une structure de gestion de l'information, mais il subsiste des lacunes au chapitre des rôles et des responsabilités liés à l'élaboration et à la coordination de la gestion des documents et au contrôle de l'intégrité et de l'exhaustivité des ressources documentaires. De plus, il y a un manque de clarté en ce qui concerne la responsabilité à l'égard de la surveillance des fonds de renseignements au sein du Ministère. En 2007 a été élaboré un tableau matriciel des responsabilités qui présentait les domaines décisionnels d'autorité de chacun des comités de gestion de l'information. Depuis lors, le cadre de gouvernance de la gestion de l'information a évolué, la matrice des responsabilités se trouvant ainsi périmée.

Une analyse de la mission des comités responsables de la GI a été menée et a révélé que les responsabilités énoncées dans la Politique de gestion des documents (2006) n'avaient pas été bien intégrées au sein du cadre de gouvernance.

Au printemps 2009, un examen de la structure de gouvernance a été effectué afin de faire la lumière sur les rôles et les responsabilités et de repérer les possibilités d'amélioration de l'efficience et de l'efficacité de la gestion de l'information. Le fait de délimiter et d'intégrer les rôles et les responsabilités partagés au sein du cadre de gouvernance permettra de rendre plus efficace la gestion du fonds de renseignements du Ministère.

Recommandation 1

1. Il est recommandé que le dirigeant principal de l'information, Direction générale des services de gestion, mette à jour les politiques, les lignes directrices et les directives en matière de gestion de l'information pour qu'elles reflètent les rôles et responsabilités actuels pour la gestion de l'information au sein du Ministère.
2. Il est recommandé que toutes les directions générales appliquent les principes, les normes et les pratiques en matière de gestion de l'information, tel que prévu dans les cadres, les politiques, les lignes directrices et les directives du Ministère et du Conseil du Trésor, dans l'exécution des tâches, pour documenter les activités et les décisions.
3. Il est recommandé que le dirigeant principal de l'information, Direction générale des services de gestion, mène des évaluations annuelles de l'efficacité des pratiques de gestion de l'information de la Direction générale et rende annuellement des comptes au Conseil de la haute direction - Politiques.

Réponse de la direction

Depuis la diffusion de la Politique sur la gestion de l'information (2007) du Secrétariat du Conseil du Trésor du Canada, des Rôles et responsabilités (2008) de Bibliothèque et Archives Canada et de la nouvelle Directive sur la conservation des documents (juillet 2009) et depuis la fin de la vérification, de nombreuses mesures ont été prises par la Direction générale des services de gestion (DGSG).

En juillet 2009, la Direction générale a mis à jour les politiques, les lignes directrices et les directives en matière de GI du Ministère pour qu'elles reflètent les rôles et responsabilités actuels pour la gestion de l'information et les a affichées sur le site intranet de Santé Canada. De plus, la Direction générale a passé en revue et mis à jour la structure de gouvernance de la GI-TI et a amélioré l'AI ainsi que les indicateurs de rendement liés à la découverte électronique des litiges. La Direction générale des services de gestion a aussi créé des descriptions génériques de postes liés à la GI dans l'ensemble du Ministère pour renforcer davantage le rôle de la GI au sein du Ministère.

Une stratégie sur la GI est en cours d'élaboration afin d'aider les directions générales à s'acquitter de leurs responsabilités liées à la GI. La stratégie sera appliquée au moyen de trois piliers : la sensibilisation et la communication; l'apprentissage et la formation; la mobilisation et l'engagement. Les directions générales se sont engagées à élaborer et à mettre en oeuvre les plans d'action liés à la GI.

La Direction générale des services de gestion évolue vers une approche d'entreprise intégrée pour gérer les fonds de renseignements lui permettant de mener des évaluations annuelles de l'efficacité des pratiques de GI des directions générales. Annuellement, la Direction générale recueille et analyse des données et établit des rapports sur le rendement de la GI dans le cadre de l'exercice annuel relatif au Cadre de responsabilisation de gestion (CRG) du Secrétariat du Conseil du Trésor du Canada. Enfin, la Direction générale prévoit présenter un mécanisme d'établissement de rapports supplémentaire pour saisir l'efficacité de ses pratiques de GI.

Modèle d'architecture d'information intégré

Critère de vérification

L'administration d'une fonction des systèmes d'information doit englober l'entretien d'un modèle d'information opérationnel et l'établissement de systèmes adéquats servant à gérer le fonds de renseignements.

Un système de gestion des documents peut désigner autant un système manuel tel qu'un classeur jusqu'à un système intégré de gestion des données. Peu importe son ampleur, tous les types de systèmes de gestion des documents présentent des points communs. Cependant, comme il a été signalé dans le mandat de projet de 2008 relatif au système de gestion électronique, Santé Canada fait face à quelques problèmes clés en matière de gestion de l'information qui ont trait aux points communs suivants : le temps excessif consacré à la recherche de documents, la fréquence des pertes de documents, l'absence d'une piste de vérification complète ou exacte et les difficultés que comporte la gestion d'une montagne de documents.

Pour régler certains de ces problèmes, la DSGI a commencé à élaborer un modèle d'architecture d'information global pour gérer le fonds de renseignements du Ministère. Elle a en outre élaboré et mis en oeuvre un registre des logiciels d'application contenant une liste de ceux appartenant au Ministère. Parmi les autres éléments de base, mentionnons la mise en oeuvre de la norme de classification des dossiers et de l'information et un outil électronique de gestion des données. Malgré ces initiatives, la capacité totale de gestion qu'offre chacun de ces outils reste en deçà de la capacité nécessaire pour gérer l'intégralité du fonds de renseignements de Santé Canada. Des entrevues ont été menées auprès des coordinateurs de l'accès à l'information de la Direction générale, qui ont tous émis des commentaires sur le temps excessif requis pour trouver les renseignements en réponse aux demandes d'accès à l'information. Pour accéder à l'information dont ils ont besoin, ces coordonnateurs s'en remettent à la base de connaissances que possèdent les employés. Il est important de disposer d'un modèle d'architecture d'information intégré pour localiser rapidement le fonds de renseignements requis afin de répondre aux demandes d'accès à l'information.

Le Comité de responsabilisation pour la gestion de l'information a désigné l'un des secteurs de programme de Santé Canada pour diriger un nouveau système de gestion électronique des données en vue de trouver une solution à cet égard. Le projet pilote a été approuvé par le Conseil de la haute direction en décembre 2008. Le Système de gestion des documents électroniques (SGDE) a été déployé et mis à la disposition de 1 000 utilisateurs de la Direction générale de la santé environnementale et de la sécurité des consommateurs (DGSESC) et de la Direction générale des régions et des programmes (c.-à-d. dans les régions du Manitoba et de la Saskatchewan ainsi que celle de l'Atlantique).

Le SGDE a procuré un certain nombre d'avantages aux utilisateurs de la DGSESC, notamment un accroissement de la productivité et de l'efficience au chapitre de l'exécution de programmes, la conformité avec un certain nombre d'exigences clés (p. ex. la mise en place d'un processus opérationnel relatif à l'accès à l'information et à la protection des renseignements personnels), la capacité de gérer de façon plus efficace et plus efficiente les documents tout au long de leur cycle de vie (conversion à une structure de classification des documents), la prise de mesures visant à éviter le coût lié à recréer des documents et la perte de la mémoire de l'organisation en raison du roulement du personnel, la promotion de l'échange de renseignements et la protection et le contrôle des documents.

Au terme du projet pilote, un sondage auprès de la clientèle a mis en évidence certains secteurs préoccupants. Plus particulièrement, des employés ont indiqué que le système proposé ne contribuait pas de façon notable à leurs activités opérationnelles quotidiennes comme l'intégration du SGDE et du courrier électronique. Les employés ont souligné que le Ministère devait chercher à mettre au point une solution nationale permettant d'intégrer les autres systèmes de production de rapports. Il a aussi été souligné qu'il n'y avait aucun plan pour déterminer les ressources nécessaires au financement d'une solution de gestion du contenu de l'entreprise dans tout le Ministère.

Recommandation 2

1. Il est recommandé que le dirigeant principal de l'information, Direction générale des services de gestion, en collaboration avec toutes les directions générales, élabore un plan de trois ans pour financer et mettre en oeuvre une solution de gestion du contenu de l'entreprise (SGCE) dans tout le Ministère.
2. Il est recommandé que toutes les directions générales utilisent la solution de gestion du contenu de l'entreprise (SGCE) une fois qu'elle sera disponible.

Réponse de la direction

La Direction générale des services de gestion (DGSG), en collaboration avec toutes les directions générales, mettra sur pied un Comité directeur de la haute direction ayant le mandat d'élaborer un plan d'activités de trois à cinq ans pour financer et mettre en oeuvre efficacement une solution de gestion du contenu de l'entreprise (SGCE) dans tout le Ministère. L'analyse de rentabilisation comprendra aussi une stratégie de mise en oeuvre pluriannuelle et un cadre de gestion du changement.

En l'absence d'une SGCE, la DGSG poursuivra la mise en oeuvre limitée du Système de gestion des dossiers, des documents et de l'information (SGDDI) auprès des membres du Comité exécutif de la DGSG dans le cadre de son engagement à améliorer les pratiques de gestion selon les budgets existants et à donner suite aux priorités du greffier liées à la gestion de l'information et du savoir.

Gestion, normes et classification des documents

Critère de vérification

La gestion de l'information doit englober la gestion efficace des documents afin d'atteindre les résultats en matière de programme et de service, de répondre aux besoins opérationnels et de satisfaire aux exigences liées aux responsabilisations.

La prise de décisions, l'exécution de programmes et la reddition de comptes reposent sur des pratiques judicieuses de gestion des documents. Les documents rendent compte des activités quotidiennes et des processus de prise de décisions, et représentent un atout essentiel pour une organisation. Pour aider les institutions gouvernementales fédérales à classer leurs documents par fonction, le gouvernement du Canada a élaboré une méthode permettant la mise en place d'un système de classification des documents selon les fonctions, lequel consiste en une disposition logique de l'ensemble des documents consignant ou attestant les activités d'une organisation et fondée sur une analyse des fonctions, des sous-fonctions et des activités opérationnelles de l'organisation. Le Commissariat à l'information du Canada et le Bureau du vérificateur général du Canada se sont dits inquiets de l'absence d'une gestion appropriée des documents dans les ministères.

Un système de classification est un élément clé de la gestion de l'information qui fournit le cadre à l'intérieur duquel l'information est gérée. En outre, un système de classification facilite le dépistage de l'information à l'appui de la prise de décisions. Les systèmes de classification de documents sont élaborés et utilisés pour soutenir toutes les étapes du cycle de vie de la gestion des documents et de l'information.

Le volet gestion des documents de la vérification portait sur les pratiques de quatre unités opérationnelles de Santé Canada en matière de GI. Il s'agit de l'Unité d'intervention d'urgence chimique (UIUI) de la Direction générale de la santé environnementale et de la sécurité des consommateurs, la Direction du bien être collectif et de la surveillance de la santé, les Services d'aide aux employés et l'hôpital Percy E. Moore de la Direction générale des régions et des programmes (DGRP).

La Direction générale des services de gestion a élaboré un guide des procédures relatives à la tenue de dossiers et une norme de classification GI selon les fonctions, en plus de dispenser une formation en vue de respecter la norme de classification attendue du gouvernement du Canada en ce qui concerne la classification des fonds de renseignements. En 2007-2008, une norme de classification révisée a été mise en oeuvre.

Les entrevues menées auprès de divers conseillers en gestion de l'information d'une direction générale (CGIDG) et de conseillers en gestion de l'information d'une région (CGIR) ont confirmé l'utilisation limitée de la norme de classification des documents pour gérer les dossiers électroniques dans leurs directions générales respectives.

Recommandation 3

1. Il est recommandé que le dirigeant principal de l'information, Direction générale des services de gestion, surveille la conformité avec la norme de classification ministérielle actuelle pour la gestion de l'information.
2. Il est recommandé que toutes les directions générales mettent en oeuvre la norme de classification ministérielle actuelle pour la gestion de l'information, tel que déterminé dans la directive sur la gestion et l'entreposage de l'information dans les serveurs de réseau de Santé Canada.

Réponse de la direction

Tel que souligné précédemment, en 2007 2008, une structure de classification selon les fonctions de deuxième génération (aXsv2) a été mise en oeuvre par la Direction générale des services de gestion pour gérer les fonds de renseignements afin de s'assurer que les documents sont gérés conformément à la structure de classification ministérielle approuvée. Ainsi, la structure de classification ministérielle est mise à jour de façon continue pour refléter les changements des fonctions ou des activités menées par le Ministère.

La Direction générale des services de gestion continue de promouvoir la structure de classification ministérielle actuelle, offrant régulièrement des séances de formation (de six à huit fois par année) ainsi que des séances spéciales de soutien et d'encadrement. De plus, toutes les directions générales doivent s'assurer que leurs spécialistes en GI sont suffisamment formés pour fournir un soutien aux clients finaux à l'égard de l'utilisation de la norme de classification ministérielle actuelle, et les spécialistes en GI doivent surveiller l'usage qu'en font les employés pour classifier et organiser l'information dans tous les médias et des solutions à la gestion des documents à moins que les opérations en aient décidé autrement. Pour aider les directions générales à adopter la norme de classification ministérielle, la DGSG surveillera la conformité en examinant régulièrement son utilisation dans les divers systèmes de GI utilisés à Santé Canada.

Autorisation de disposition de documents

Critère de vérification

Le Ministère dispose de procédures efficaces en ce qui concerne l'administration de la médiathèque et la gestion de la sauvegarde, de la récupération et de la conservation des données, et de mesures adéquates pour ce qui est de l'élimination des supports.

Une autorisation de disposition de documents (ADD) est l'autorisation accordée par l'Archiviste national du Canada de sélectionner les documents qui ont une valeur historique et qui doivent être archivés par Bibliothèque et Archives Canada (BAC). Ces autorisations constituent la base de l'élaboration de calendriers de conservation et d'élimination de dossiers qui déterminent la durée pendant laquelle les dossiers doivent être gérés par le Ministère et indiquent s'ils doivent être transférés à BAC ou détruits lorsqu'ils ne sont plus requis pour les activités opérationnelles, juridiques ou ministérielles.

La phase d'examen de la vérification s'est limitée à observer les pratiques de disposition des documents de l'Unité d'intervention d'urgence chimique de la Direction générale de la santé environnementale et de la sécurité des consommateurs, de la Direction du bien-être collectif et de la surveillance de la santé, de l'unité des Services d'aide aux employés et de l'hôpital Percy E. Moore de la Direction générale des régions et des programmes.

Dans toutes les situations échantillonnées, il n'y avait pas d'autorisations de disposition de documents (ADD), elles étaient incomplètes ou s'apparentaient davantage à une ligne directrice. En outre, la Division de la gestion de l'information et du savoir a confirmé qu'un fort pourcentage des processus opérationnels du Ministère n'est pas visé par les autorisations de disposition de documents. Pour que le Ministère ne perde pas d'information, il devrait élaborer des autorisations de disposition de documents qui seraient ensuite approuvées par Bibliothèque et Archives Canada.

Recommandation 4

1. Il est recommandé que le dirigeant principal de l'information, Direction générale des services de gestion, coordonne l'élaboration et l'approbation des autorisations de disposition des documents avec toutes les directions générales.
2. Il est recommandé que toutes les directions générales mettent en oeuvre les autorisations de disposition des documents conformément à la Directive sur la disposition de Santé Canada.

Réponse de la direction

En collaboration avec Bibliothèque et Archives Canada (BAC), la Direction générale des services de gestion a récemment élaboré des plans de projet et des structures de répartition des travaux, qui ont été communiqués aux directions générales concernées. Actuellement, le dirigeant principal de l'information coordonne l'élaboration d'un protocole d'entente (PE), négociant avec BAC et les directions générales de Santé Canada. Une fois que le PE sera signé, la DGSG coordonnera l'élaboration et l'approbation des autorisations de disposition de documents (ADD) pour toutes les directions générales et établira les délais de conservation et les lignes directrices en matière d'application. Pour s'assurer que les ADD des directions générales sont mises en oeuvre conformément à la directive sur la disposition de Santé Canada, la DGSG surveillera l'application au moyen du processus d'autorisation de la disposition présentée dans le manuel de procédures de conservation des documents de Santé Canada.

Protection des renseignements personnels

Critère de vérification

Une administration efficace de la Loi sur la protection des renseignements personnels, en conjonction avec la Politique sur la sécurité du gouvernement, la Politique sur la protection de la vie privée et la Directive sur les pratiques relatives à la protection de la vie privée, est nécessaire pour protéger les renseignements personnels.

Par « renseignements personnels », on entend les renseignements, quels que soient leur forme et leur support, concernant un individu identifiable. Les renseignements personnels portent non pas sur des sociétés ou des associations, mais exclusivement sur des personnes.

Pour les organismes canadiens qui détiennent des renseignements personnels, la Loi sur la protection des renseignements personnels de 1983 est l'assise sur laquelle sont élaborées la politique et les normes en matière de protection des renseignements personnels. Dans le contexte du contrôle des renseignements personnels, le thème sous-jacent consiste à assurer la protection des renseignements personnels.

La Politique sur la sécurité du gouvernement prescrit la prise de mesures en vue de protéger les employés et de préserver la confidentialité, l'intégrité, la disponibilité et la valeur des renseignements de nature délicate. Les cadres supérieurs des Directions générales ont la responsabilité de veiller à ce que seuls les employés autorisés accèdent aux renseignements personnels. Le Ministère doit limiter l'accès aux renseignements protégés aux seules personnes qui en ont besoin.

En ce qui a trait à la protection des renseignements personnels, l'examen s'est limité aux trois unités opérationnelles qui ont des applications contenant des renseignements personnels, soit la Direction du bien-être collectif et de la surveillance de la santé, l'unité des Services d'aide aux employés et l'hôpital Percy E. Moore de la Direction générale des régions et des programmes.

Les résultats de cet examen ont permis de déceler certaines lacunes relatives à la protection des renseignements personnels, notamment l'accessibilité et le contrôle des bases de données de renseignements personnels. Puisque Santé Canada recueille des renseignements tant sur ses employés que sur d'autres personnes dans le cadre des programmes et des services offerts au public, il est impératif que le Ministère protège les renseignements personnels qui lui sont transmis, conformément à la Loi sur la protection des renseignements personnels et à la Politique sur la sécurité du gouvernement. En dernier lieu, les directions générales doivent surveiller les renseignements personnels conformément à la Politique sur la protection de la vie privée ou à la Directive sur les pratiques relatives à la protection de la vie privée du Conseil du Trésor.

Recommandation 5

1. Il est recommandé que le sous-ministre adjoint, Direction générale des services de gestion, continue de soutenir toutes les directions générales en élaborant un cadre de gestion de la protection des renseignements personnels de Santé Canada qui présente les responsabilités, les obligations de reddition de comptes et les processus liés au traitement et à la surveillance des renseignements personnels dans les directions générales.
2. Il est recommandé que toutes les directions générales emploient les mesures appropriées définies dans la Directive sur les pratiques relatives à la protection de la vie privée pour que :
   • les postes liés à un programme ou une activité ayant une raison valable pour accéder à des renseignements personnels et les traiter soient cernés. L'accès ne devrait être accordé qu'aux personnes occupant ces postes;
   • l'accès et l'utilisation des renseignements personnels soient limités par des moyens administratifs, techniques et physiques afin de protéger les renseignements; et
   • l'accès, l'utilisation et la divulgation des renseignements personnels soient surveillés et documentés. Cela devrait comprendre des mesures pour relever rapidement l'accès non autorisé ou inapproprié à des renseignements personnels liés à une activité ou à un programme particuliers ou le traitement non autorisé ou inapproprié de ceux-ci.

Réponse de la direction

À l'appui de toutes les directions générales, la Direction générale des services de gestion élabore un cadre ministériel de gestion de la protection des renseignements personnels qui souligne les résultats visés en tenant compte de l'analyse des risques, d'une plus grande sensibilisation et une responsabilisation renforcée qui permettra au Ministère d'accroître sa capacité de promouvoir et de protéger les renseignements personnels. Les directions générales qui détiennent le plus important fonds de renseignements (DGSPNI, DGPR, DGSESC, DGAPCC et DGSG) recevront une formation afin d'accroître la sensibilisation qui sera aussi appuyée d'une surveillance accrue et d'une stratégie d'analyse des risques.

Comme première étape, la Direction générale des services de gestion fournira des solutions possibles pour des problèmes de responsabilisation particuliers, principalement un processus d'évaluation des facteurs relatifs à la vie privée (EFVP) et des lignes directrices en cas d'atteinte à la vie privée, y compris la surveillance, l'établissement de rapports et des sanctions potentielles pour les personnes qui ne s'y conforment pas.

Les nouvelles politiques et directives en matière de protection des renseignements personnels seront communiquées en temps opportun aux membres des tribunes liées à la GI et à la protection des renseignements personnels au sein du Ministère. Les solutions approuvées seront mises en oeuvre au moyen de communications et de la formation; la formation liée à la protection des renseignements personnels et la sensibilisation à la GI seront précisées pour inclure les nouveaux messages pour renforcer la responsabilisation et sauvegarder les renseignements personnels.

Pour s'assurer que des mesures appropriées sont appliquées au sens de la Directive sur les pratiques relatives à la protection de la vie privée du SCT, un certain nombre de mesures ont été mises en oeuvre, dont les suivantes : les directions générales passeront en revue les postes qui requièrent un accès valide pour le traitement des renseignements personnels d'une autorité valide afin de limiter l'accès et l'utilisation de renseignements personnels; le sous-ministre adjoint, Direction générale des services de gestion, donnera une orientation aux programmes au moment d'intervenir aux accès inopportuns et non autorisés aux renseignements personnels liés à la documentation et à la surveillance, à l'utilisation et à la divulgation de renseignements personnels dans des programmes choisis; des lignes directrices en cas d'atteinte à la vie privée sont élaborées.

Présentation de rapports au Parlement

Critère de vérification

L'administration efficace de la Loi sur la protection des renseignements personnels doit appuyer les instruments de responsabilisation publics et les rapports au Parlement.

La Division de l'accès à l'information et de la protection des renseignements personnels de Santé Canada relève du sous-ministre de la Direction générale des services de gestion. Il incombe à cette division de faciliter la conformité du Ministère avec la Loi sur la protection des renseignements personnels, ce qui comprend la communication obligatoire des collectes de renseignements personnels au Parlement par l'intermédiaire d'InfoSource.

Info Source relève du Secrétariat du Conseil du Trésor du Canada, lequel produit une série de documents contenant des renseignements à propos des fonctions, des programmes, des activités et des fonds de renseignements connexes du gouvernement du Canada. Le principal objectif d'Info Source est d'assister les particuliers dans l'exercice des droits qui leur sont conférés par la Loi sur la protection des renseignements personnels. De plus, InfoSource aide le gouvernement fédéral à respecter son engagement de faciliter l'accès à l'information.

Pour se conformer aux exigences obligatoires de rendre compte au Parlement, le Ministère doit révéler toutes les collectes de renseignements personnels dont le Ministère est responsable. Cela exige que les directions générales désignent et déclarent les collectes de renseignements personnels auprès de la Division de l'AIPRP qui dresse annuellement une liste de toutes les collectes de renseignements personnels du Ministère qui est présentée au Secrétariat du Conseil du Trésor du Canada.

Compte tenu des résultats combinés des tests de vérification exécutés, des entrevues menées et des résultats obtenus de la version 2008-2009 de l'évaluation du Cadre de responsabilisation de gestion du Secrétariat du Conseil du Trésor, tout signale la nécessité pour Santé Canada d'améliorer la communication des collectes sur les renseignements personnels.

Recommandation 6

1. Il est recommandé que toutes les directions générales cernent et signalent les collectes de renseignements personnels à la Direction générale des services de gestion, tel que requis dans le cadre de la Directive sur les pratiques relatives à la protection de la vie privée du Conseil du Trésor. De plus, les directions générales devraient nommer un haut fonctionnaire pour coordonner cette activité avec la Direction générale des services de gestion. Enfin, le sous-ministre adjoint, Direction générale des services de gestion, devrait s'assurer que tous les renseignements personnels sont enregistrés conformément à la Loi sur la protection des renseignements personnels.

Réponse de la direction

À l'appui de la détermination et du signalement, par les directions générales, de la collecte des renseignements personnels, l'agent de la protection de la vie privée responsable de l'accès à l'information au sein de la Direction générale des services de gestion s'est engagé à élaborer un document électronique centralisé et accessible dans lequel les directions générales pourront consulter et mettre à jour les renseignements personnels recueillis. De plus, comme l'a exigé le Conseil de la haute direction-Opérations des sous-comités le 9 juin 2010, un responsable de la protection des renseignements personnels des directions générales, du niveau des SMA ou des DG, sera désigné comme seul point de contact pour communiquer avec la Direction générale des services de gestion au sujet de toutes les questions relatives à la protection des renseignements personnels. Les directions générales signaleront les collectes de renseignements personnels à la Direction générale des services de gestion et continueront à travailler avec les directions générales pour s'assurer que toutes les collectes de renseignements personnels qu'elles fournissent sont enregistrées auprès du Secrétariat du Conseil du Trésor du Canada à des fins relatives à Info Source, respectant ainsi les exigences de la Loi sur la protection des renseignements personnels.

Conclusion

Le dirigeant principal de l'information de Santé Canada, de concert avec la Division de la gestion de l'information et du savoir, renforce efficacement les activités de GI. Récemment, la structure de gouvernance de la GI a été simplifiée pour en améliorer l'efficacité générale, et une stratégie de sensibilisation à la GI a été lancée à l'échelle du Ministère pour que les employés comprennent mieux leurs responsabilités relatives à l'accès à l'information, aux renseignements personnels, à la gestion des documents et à la sécurité de la GI. En outre, la Division élabore et met en oeuvre des indicateurs de mesure du rendement en GI. En dernier lieu, la Division de la gestion de l'information et du savoir a piloté un système de gestion des documents électroniques (SGDE), en partenariat avec la Direction générale de la santé environnementale et de la sécurité des consommateurs. Ce système est considéré comme un prototype qui sera déployé dans le reste du Ministère.

Bien que Santé Canada ait récemment fait des progrès en vue de corriger certains de ses problèmes de gestion de l'information, il existe d'autres possibilités d'amélioration et les progrès reposeront sur les cadres supérieurs et les employés, lesquels doivent appliquer des pratiques et des principes judicieux en matière de gestion de l'information.

Plus particulièrement, le Ministère aurait avantage à mettre à jour ses politiques et ses procédures pour tenir compte des modifications apportées récemment aux rôles et aux responsabilités en matière de gestion de l'information pour ainsi mettre la dernière main à la structure de gouvernance. La mise en oeuvre d'un modèle d'architecture de l'information intégrant les fonds de renseignements du Ministère permettrait également de dissiper un bon nombre des préoccupations liées à la gestion de l'information.

Dans le domaine du stockage et de l'extraction de renseignements, le Ministère tirerait parti de la mise en place d'une structure de classification des documents qui intégrerait toutes les sources de renseignements. Santé Canada doit continuer à faire en sorte que l'information soit gérée dans le cadre d'une approche axée sur le cycle de vie et en conformité avec les politiques et les procédures du gouvernement du Canada.

En dernier lieu, les renseignements personnels doivent faire l'objet d'une gestion plus rigoureuse, conformément à la Loi sur la protection des renseignements personnels, à la Politique sur la sécurité du gouvernement, à la Politique sur la protection de la vie privée et à la Directive sur les pratiques relatives à la protection de la vie privée.

Annexe A - Secteurs d'intérêt et critères de vérification