Audit du Système d'information sur la gestion des ressources humaines

Décembre 2013

Table des matières

Sommaire

1. Introduction
   1. Contexte
   2. Objectif de l'audit
   3. Portée de l'audit
   4. Méthode d'audit
   5. Énoncé de conformité
2. Constatations, recommandations et réponses de la direction
   1. Gouvernance
      1.1 Surveillance
      1.2 Rôles et responsabilités
   2. Gestion des risques
      2.1 Gestion des risques opérationnels
   3. Contrôles internes
      3.1 Gestion du changement
      3.2 Normalisation des processus opérationnels
      3.3 Intégrité des données
      3.4 Protection des renseignements personnels
3. Conclusion

• Annexe A - Champs d'enquête et critères
• Annexe B - Grille d'évaluation
• Annexe C - Feuille de route pour la vision cible
• Annexe D - Aperçu du flux de données du système PeopleSoft
• Annexe E - Avantages escomptés de la mise en œuvre de PeopleSoft

Version traduite. La version anglaise doit prévaloir en cas d'incohérence.

Sommaire

L'audit portait sur le système PeopleSoft, le principal système utilisé par Santé Canada l'Agence de la santé publique du Canada pour traiter les transactions liées aux ressources humaines. L'objectif consistait à fournir l'assurance que le cadre de contrôle concernant PeopleSoft permet de gérer efficacement les ressources humaines sur les plans de la dotation, de la classification et de la rémunération. Des procédures ont été suivies et des renseignements probants ont été réunis, de manière suffisante et convenable, pour appuyer l'exactitude de la conclusion de l'audit.

En novembre 2011, Santé Canada et l'Agence de la santé publique du Canada ont mis en œuvre le système PeopleSoft. Afin de faciliter le transfert et le partage des coûts liés à ce système, ils ont conclu un partenariat avec Agriculture et Agroalimentaire Canada. Il existe dans l'ensemble un régime de gouvernance bien défini et appliqué qui permet d'examiner et de surveiller les besoins des intervenants et la qualité des données. Pour faciliter la qualité des données une stratégie d'intégrité des données, laquelle englobe un cadre de contrôle de la qualité des données a été mise en place.

Les rôles et responsabilités de Santé Canada, de l'Agence de la santé publique du Canada et d'Agriculture et Agroalimentaire Canada sont bien définis dans le cadre du partenariat relatif à la gouvernance des services partagés de PeopleSoft, les ententes de services et la charte de projet liée à PeopleSoft. On s'acquitte efficacement de ces rôles et responsabilités. Les risques opérationnels liés à l'utilisation de PeopleSoft font l'objet d'une surveillance par l'entremise du partenariat relatif à la gouvernance des services partagés de PeopleSoft et du Comité des ressources humaines de la haute direction. Une approche formelle de la gestion des risques opérationnels permettrait de s'assurer que les risques sont gérés efficacement.

Santé Canada et l'Agence de la santé publique du Canada ont bien géré la plupart des changements, et l'introduction du système a donné lieu à des améliorations de la fonction libre-service, à l'utilisation de processus opérationnels normalisés et à une responsabilisation accrue de la direction. Il n'a toutefois pas été possible de concrétiser l'avantage prévu lié à l'utilisation de la dotation accélérée, permettant de traiter beaucoup plus rapidement les transactions de dotation à faible risque.

La stratégie d'intégrité des données a donné certains résultats positifs en permettant de déceler des erreurs dans PeopleSoft. Des rapports d'erreurs réguliers et un suivi opportun visant à s'assurer que les erreurs sont décelées et corrigées permettraient de renforcer davantage l'intégrité des données. De plus, tous les ajustements manuels aux congés devraient être suffisamment expliqués et vérifiés dans PeopleSoft. Les risques associés à la protection et à la confidentialité des renseignements personnels des employés sont pris en compte. Par contre, il faudra accorder une attention particulière aux renseignements personnels des employés dans le cadre du contrôle et de la garde assurés par le fournisseur de services, ce qui devrait se refléter dans l'entente de services ou une entente d'échange de renseignements personnels.

La direction souscrit aux sept recommandations et a fourni un plan d'action pour améliorer le cadre de contrôle de gestion de PeopleSoft visant à gérer les ressources humaines de Santé Canada et de l'Agence de la santé publique du Canada.

A - Introduction

1. Contexte

En 2006, le Secrétariat du Conseil du Trésor a choisi PeopleSoft comme Système d'information sur la gestion des ressources humaines à des fins d'utilisation à l'échelle du gouvernement. PeopleSoft est un système commercial qui a été modifié pour répondre aux exigences communes du gouvernement du Canada sur les plans législatif et des ressources humaines. Il fournit une plateforme intégrée pour la gestion de l'information relative aux ressources humaines.

Actuellement, de nombreux ministères et organismes utilisent différents systèmes de ressources humaines, ce qui donne lieu à divers processus pour les transactions dans ce domaine. Or, le recours à une plateforme opérationnelle commune en la matière entraînera l'élimination de vieux systèmes et la normalisation des processus opérationnels et des définitions communes des données à l'échelle du gouvernement du Canada (voir l'annexe C).

Le service partagé de PeopleSoft a vu le jour par suite d'une initiative dirigée par le Secrétariat du Conseil du Trésor, soit le projet de solution opérationnelle en ressources humaines, qui visait à permettre le regroupement de ministères et organismes partenaires de façon à ce qu'ils partagent une occurrence opérationnelle de PeopleSoft, le Système de gestion des ressources humaines du gouvernement du Canada. Ce faisant, les ministères et organismes devraient éliminer leurs systèmes de ressources humaines actuels et les remplacer par PeopleSoft.

En 2009, Santé Canada et de l'Agence de la santé publique du Canada ont décidé de remplacer leur système actuel, Avantage des RH, par PeopleSoft. Ce système ne constituait plus une option viable et ne devait plus être appuyé par la Direction des services de gestion de l'information de la Direction générale des services de gestion. Aussi, Santé Canada et l'Agence de la santé publique du Canada ont établi qu'il serait plus rentable de participer à un partenariat plutôt que d'avoir chacun leur propre occurrence de PeopleSoft. La mise en œuvre de ce dernier leur a coûté environ 6,2 millions de dollars.

Avant de procéder à la mise en œuvre de PeopleSoft, Santé Canada et de l'Agence de la santé publique du Canada ont mené un vaste exercice visant à aborder les enjeux connus sur l'intégrité des données. De plus, ils ont participé à un projet pilote dans le cadre du projet de solution opérationnelle en ressources humaines. En novembre 2011, PeopleSoft a été mis en œuvre dans cinq ministères et organismes partenaires comptant plus de 38 000 employés. En juin 2012, Services partagés Canada s'est joint au partenariat, y ajoutant ainsi 6 000 employés. Agriculture et Agroalimentaire Canada est le fournisseur de services.

Les ministères faisant partie du partenariat utilisent actuellement la même configuration de PeopleSoft (version 8.9) pour faciliter leur fonction opérationnelle respective liée aux ressources humaines. Des modifications de la configuration commune doivent être approuvées par la majorité des ministères et organismes du partenariat, ce qui a empêché la personnalisation de ce nouveau système pour un ministère unique et a donné lieu au maintien d'une configuration commune. Le gouvernement du Canada a annoncé qu'il publiera en 2014-2015 une version actualisée de PeopleSoft (version 9.1). Pour gérer leurs activités opérationnelles liées aux ressources humaines, les ministères et organismes seront tenus de mettre en œuvre PeopleSoft avant la fin de l'exercice 2016-2017.

Les ententes de services indiquent également les services devant être mesurés et le niveau de service que doit fournir Agriculture et Agroalimentaire Canada relativement à l'occurrence commune partagée de PeopleSoft. Ce ministère fournit des services de soutien fonctionnels pour le service partagé de PeopleSoft. Ces services comprennent, sans toutefois s'y limiter : un appui opérationnel à l'égard du service partagé, un centre d'assistance, la sauvegarde et la restauration, des rapports ponctuels, des rapports sur le rendement et l'entretien de système à l'appui de PeopleSoft. Dans le cadre du partenariat de services partagés, la Direction des services en ressources humaines de la Direction générale des services de gestion fournit des services de ressources humaines de Santé Canada et de l'Agence de la santé publique du Canada. Pour fournir PeopleSoft et des services de soutien à ces derniers, il en coûte annuellement à Agriculture et Agroalimentaire Canada quelque 1,7 million de dollars. Les ententes de services sont entrées en vigueur le 1er avril 2012 et viennent à échéance le 31 mars 2015.

PeopleSoft est le principal outil utilisé par Santé Canada et de l'Agence de la santé publique du Canada pour appuyer le traitement des transactions liées aux ressources humaines. Ces processus comprennent la rémunération (congés), la classification, la dotation, l'équité en matière d'emploi et les langues officielles, la sécurité et les relations de travail.

La mise en œuvre de PeopleSoft a entraîné l'automatisation des processus en matière de ressources humaines qui, auparavant, n'étaient disponibles ni dans le système Avantage des RH, ni dans le Module interactif des congés et des présences. Dans certains cas, ces améliorations ont éliminé la nécessité de la double saisie et de dossiers manuels sans trop changer certains des processus opérationnels liés aux ressources humaines. De plus, l'utilisation de PeopleSoft dans un milieu partagé favorise la gouvernance exercée en collaboration et le partage de l'information, la capacité accrue de fournir des produits et services de ressources humaines, un meilleur respect de ses exigences législatives et opérationnelles en matière de ressources humaines, ainsi que la réduction des coûts d'exploitation et d'entretien pour appuyer son propre système de ressources humaines.

Le Système de paye régional est la principale source générant de l'information sur les dépenses salariales et les avantages sociaux qui mettent à jour le système financier (SAP) de Santé Canada et de l'Agence de la santé publique du Canada. Cette information est saisie par les conseillers en rémunération dans l'interface de la paye de PeopleSoft, laquelle met à jour le Système de paye régional. Puis, ce dernier système génère un extrait de données qui est téléchargé dans le système financier ministériel. Il n'existe aucun lien direct entre le SAP et PeopleSoft (voir l'annexe D). Le Système de paye régional, géré par Travaux publics et Services gouvernementaux Canada, peut également être mis à jour par les conseillers en rémunération grâce à un accès direct au Système de paye régional. Toutefois, la saisie directe de données dans ce système ne se limite qu'à quelques types précis de transactions de paye ou en cas de non-disponibilité de PeopleSoft.

2. Objectif de l'audit

L'audit visait à fournir l'assurance que le cadre de contrôle pour PeopleSoft permet de gérer efficacement les ressources humaines en ce qui concerne la dotation, la classification et la rémunération.

3. Portée de l'audit

L'audit portait sur la gouvernance et la gestion des risques de l'initiative d'application PeopleSoft et les contrôles internes axés sur les domaines fonctionnels des ressources humaines appuyés par PeopleSoft, notamment la dotation, la classification et la rémunération.

L'audit visait l'exercice 2012-2013 et excluait les domaines fonctionnels des ressources humaines suivants : la sécurité, l'équité en matière d'emploi et les langues officielles, les relations de travail, la santé et la sécurité ainsi que la gestion des priorités. Étaient également exclues les activités d'Agriculture et Agroalimentaire Canada et les opérations en matière de technologie de l'information à l'appui de PeopleSoft.

4. Méthode de l'audit

L'audit a permis d'examiner les pratiques de gouvernance, de gestion des risques et de contrôle des domaines fonctionnels des ressources humaines, appuyés par PeopleSoft, et de les comparer à des critères d'évaluation prédéfinis. L'approche adoptée s'articulait entre autres autour des éléments suivants : un examen de la documentation, des politiques, des normes, des lignes directrices, du cadre et des processus opérationnels. Des entrevues ont été menées auprès des cadres supérieurs, des gestionnaires et des responsables des ressources humaines au sein de la Direction des services en ressources humaines. L'équipe d'audit a procédé à des tests d'audit et à des analyses des données de PeopleSoft dans les domaines fonctionnels de la classification, de la dotation et de la rémunération. L'audit a été réalisé dans la région de la capitale nationale.

Les critères d'audit, décrits à l'annexe A, proviennent de sources clés, y compris les documents procéduraux de PeopleSoft, l'analyse de rentabilisation de Santé Canada à l'égard de PeopleSoft, le CoBiT (Objectifs de contrôle de l'information et des technologies associées) de l'Association des professionnels de la l'audit et du contrôle des systèmes d'information, le Global Technology Audit Guide de l'Institute of Internal Auditors, la Information Technology Infrastructure Library; les documents suivants du Secrétariat du Conseil du Trésor - la Norme opérationnelle de sécurité : Gestion de la sécurité des technologies de l'information, la Politique sur la sécurité du gouvernement, la Directive sur les pratiques relatives à la protection de la vie privée et la Directive sur l'évaluation des facteurs relatifs à la vie privée; ainsi que la politique de Santé Canada en matière d'utilisation des réseaux électroniques.

5. Énoncé de conformité

Selon le jugement professionnel du dirigeant principal de la vérification, des procédures ont été suivies et des renseignements probants ont été réunis, de manière suffisante et convenable, pour appuyer l'exactitude de la conclusion de l'audit. Les constatations et la conclusion de l'audit sont basées sur une comparaison des conditions qui existaient à la date de l'audit, par rapport à des critères établis en collaboration avec la direction. De plus, les renseignements probants ont été réunis conformément aux Normes relatives à la vérification interne au sein du gouvernement du Canada et aux Normes internationales pour la pratique professionnelle de la vérification interne. L'audit est conforme aux Normes de vérification interne du gouvernement du Canada, comme en témoignent les résultats du programme d'assurance et d'amélioration de la qualité.

B - Constatations, recommandations et réponses de la direction

1. Gouvernance

1.1 Surveillance

Critère d'audit : Il existe un régime de gouvernance bien défini et appliqué qui permet d'examiner et de surveiller les besoins des intervenants et la qualité des données.

Santé Canada et l'Agence de la santé publique du Canada disposent d'une structure de gouvernance qui permet à la haute direction de surveiller les besoins des intervenants, la qualité des données et les enjeux et problèmes non résolus. La surveillance est assurée par le cadre de gouvernance du partenariat de services partagés relatif à PeopleSoft. Ce cadre appuie le partenariat dans la planification stratégique, la gestion et les activités quotidiennes en veillant à ce que le processus décisionnel tienne compte des besoins de tous les partenaires.

Figure 1 - PeopleSoft Gouvernance du partenariat des services partagés

Le cadre de gouvernance du partenariat de services partagés relatif à PeopleSoft est composé des comités suivants :

Le Comité de direction du partenariat est un comité composé de sous-ministres adjoints ayant pour tâches de fournir une orientation stratégique et d'assurer la direction du partenariat. Il s'agit du niveau final en ce qui a trait à la prise de décisions et à la résolution des différends. Ce comité a également le pouvoir d'approuver des dépenses pour des améliorations majeures. Il se réunit trois fois par année.

Le Comité de gestion du partenariat est un comité composé de directeurs généraux dont la responsabilité consiste à gérer le partenariat. Il s'agit du principal niveau de prise de décisions et de résolution des différends. Ce comité a également le pouvoir d'approuver des dépenses pour des améliorations majeures. Il se réunit trois fois par année.

Le Comité de gestion des services est un comité composé de directeurs dont la responsabilité est d'assurer la satisfaction des besoins opérationnels des partenaires. Sa principale responsabilité consiste à évaluer les demandes d'amélioration, à établir l'ordre de priorité et à approuver des améliorations mineures. Il s'agit du premier niveau de résolution des différends des partenaires et des problèmes liés au rendement des services. Il est également responsable de l'examen du tableau de bord des services partagés de PeopleSoft. Il se réunit tous les deux mois.

Le Comité des relations opérationnelles est un comité composé de gestionnaires ayant pour tâches de gérer les problèmes de rendement des services, la priorité des demandes et les risques. Ce comité propose ses commentaires relativement aux processus annuels pour la mise à jour de la gouvernance, des niveaux de service et de modèle de financement en vue d'élaborer un plan annuel d'amélioration/d'entretien. Il se réunit chaque mois pour discuter d'options et de la résolution des problèmes, examiner le registre des enjeux et passer en revue les registres des risques et des demandes d'amélioration.

Le Groupe de travail opérationnel est un comité composé de gestionnaires spécialisés dans leurs domaines fonctionnels respectifs. Il a été mis sur pied pour examiner et régler les problèmes communs ou propres à une fonction dans les domaines de la rémunération, de la dotation, de la classification et des relations de travail. Ce groupe se réunit selon les besoins.

Le Comité des opérations de service est un comité composé de gestionnaires chargés de gérer les problèmes de rendement des services ainsi que d'examiner et de passer en revue les incidents et les demandes de services. Il se réunit selon les besoins.

Santé Canada et l'Agence de la santé publique du Canada participent activement au régime de gouvernance partagé de PeopleSoft : c'est ce qui ressort des entrevues menées auprès du personnel clé en matière de ressources humaines, des membres de divers comités et groupes de travail, ainsi que de l'examen des procès-verbaux et des comptes rendus de décisions du Comité de gestion du partenariat, du Comité de gestion des services, du Comité des relations opérationnelles et des groupes de travail opérationnels. Tous les niveaux de gouvernance du partenariat font l'objet d'une surveillance. De plus, l'examen des registres de problèmes a révélé qu'à quelques exceptions près, les besoins des intervenants sont abordés en temps opportun.

Gouvernance des données

Comité des ressources humaines de la haute direction

En septembre 2012, Santé Canada et de l'Agence de la santé publique du Canada ont mis en œuvre une stratégie d'intégrité des données de PeopleSoft, sous la direction du Comité de gestion des services en ressources humaines, pour aborder les problèmes de qualité des données. Le comité, présidé par le directeur général des Ressources humaines, est chargé de déterminer l'orientation du forum sur l'intégrité des données (décrit plus en détail ci-dessous), de recevoir et d'évaluer les résultats du tableau de bord relatif à l'intégrité des données, d'influencer la communauté des ressources humaines et d'approuver les changements apportés au processus des ressources humaines.

Lastratégie d'intégrité des données de PeopleSoft vise à :

• cerner les problèmes de qualité des données de PeopleSoft;
• définir les rôles et responsabilités des intervenants qui participent au cycle de vie des données de PeopleSoft;
• établir des méthodes pour mesurer les erreurs et un plan d'action, et à opérationnaliser les activités afin de maintenir en permanence dans PeopleSoft une qualité des données de haut niveau.

Un cadre de contrôle de la qualité des données a été mis en place pour aborder les problèmes de qualité des données. Ce cadre définit cinq groupes distincts :

Forum sur l'intégrité des données

Le forum sur l'intégrité des données a été mis en place pour cerner les problèmes liés à l'intégrité des données, confirmer la propriété des données et définir des mesures à prendre pour chaque intervenant. Il est composé de représentants de tous les domaines des ressources humaines, de l'équipe des rapports des ressources humaines, de l'équipe des systèmes des ressources humaines et de l'équipe du projet PeopleSoft.

Figure 2 - Gouvernance de la qualité des données

Propriétaires des données/propriétaires opérationnels

Les propriétaires des données, représentés par les secteurs fonctionnels (dotation, classification, rémunération, sécurité et relations de travail), sont responsables de la création des données et du maintien de la qualité des données. Ils sont chargés de veiller à ce que les données soient entrées correctement dans PeopleSoft. Ils reçoivent et analysent des rapports d'erreurs sur la qualité des données, confirment la propriété et la responsabilité et valident les règles opérationnelles et les corrections. Les propriétaires des données sont responsables de la correction des erreurs de données et de la surveillance continue des données.

Gardiens des données

Sous la direction du directeur de la planification, de l'analyse et des systèmes des ressources humaines, les gardiens des données produisent des rapports sur la qualité des données. Celles-ci sont analysées pour veiller à ce que les processus et les règles du système soient validés. Une fois les erreurs validées, les rapports d'erreurs sont distribués aux propriétaires des données. Les gardiens des données ont également la responsabilité de faire un suivi auprès des propriétaires des données quant aux mesures et aux décisions prises pour corriger les erreurs.

Utilisateurs de PeopleSoft

Les utilisateurs de PeopleSoft sont les employés, les entrepreneurs, les conseillers, les employés temporaires ou les tiers avec qui on a conclu une entente spéciale leur donnant accès à PeopleSoft. Le propriétaire des données a autorisé explicitement cette catégorie d'utilisateurs à avoir accès aux données, à les modifier, à les supprimer, à les utiliser et à les consulter. L'accès doit être autorisé par le propriétaire des données. Les gardiens des données surveillent les contrôles d'accès pour le compte du propriétaire des données.

Dans l'ensemble, il existe un régime de gouvernance bien défini et appliqué qui permet d'examiner et de surveiller les besoins des intervenants et la qualité des données.

1.2 Rôles et responsabilités

Critère d'audit : Les rôles et responsabilités sont définis, communiqués et exécutés à l'appui du système utilisé pour gérer les processus opérationnels liés aux ressources humaines.

À Santé Canada et  l'Agence de la santé publique du Canada, les rôles et responsabilités liés à la gestion de PeopleSoft sont définis dans trois documents : la charte du projet de PeopleSoft, le cadre de gouvernance du partenariat de services partagés relatif à PeopleSoft et les ententes de services.

Au sein de Santé Canada et de l'Agence de la santé publique du Canada, la responsabilité d'appuyer PeopleSoft et les propriétaires opérationnels qui utilisent le système incombe au directeur de la planification, de l'analyse et des systèmes. L'équipe des systèmes des ressources humaines, actuellement appuyée par quatre agents de systèmes, fournit un appui à tous les secteurs fonctionnels des ressources humaines. Ses fonctions consistent à offrir des services de dépannage de systèmes techniques, à fournir des directives aux utilisateurs finaux et à donner aux utilisateurs l'accès à PeopleSoft. L'équipe joue également un rôle important dans la stratégie d'intégrité des données en fournissant des connaissances sur le système à l'équipe d'analyse des données.

Des rôles et responsabilités supplémentaires entre Santé Canada et l'Agence de la santé publique du Canada, d'une part, et le fournisseur de services, d'autre part, sont définis en détail dans les ententes de services. Ces dernières visent à établir les modalités entre Santé Canada/l'Agence de la santé publique du Canada et le fournisseur de services. Ces ententes ne constituent pas un contrat au sens de la loi, mais plutôt des ententes administratives entre ministères. Les ententes de services ne modifient pas le pouvoir et la responsabilité de Santé Canada et de l'Agence de la santé publique du Canada pour ce qui est de s'acquitter de leurs divers rôles et responsabilités relativement à la gestion des activités liées aux ressources humaines. Toutefois, elles ajoutent la responsabilité partagée de veiller à ce que le partenariat fonctionne efficacement pour tous ceux qui en font partie (voir le critère d'audit 1.1 ci-dessus).

En conclusion, les rôles et responsabilités entre Santé Canada/l'Agence de la santé publique du Canada et Agriculture et Agro-alimentaire Canada sont bien définis, communiqués et exécutés à l'appui de PeopleSoft.

2. Gestion des risques

2.1 Gestion des risques opérationnels

Critère d'audit : Les risques associés à l'utilisation de PeopleSoft sont gérés efficacement.

Le sous-ministre adjoint, Direction générale des services de gestion, et ses hauts fonctionnaires faisant partie des comités de direction de la Direction générale veillent à ce qu'il y ait une structure de gouvernance clairement définie qui aborde les questions liées aux risques aux niveaux stratégique, des programmes et des projets. Les entrevues avec les principaux cadres et gestionnaires des ressources humaines et l'examen de la documentation ont permis de relever les risques suivants associés à l'utilisation de PeopleSoft au sein de Santé Canada et de l'Agence de la santé publique du Canada :

• l'incapacité de personnaliser la configuration normalisée de PeopleSoft en raison des restrictions imposées à Santé Canada et de l'Agence de la santé publique du Canada en tant que membres du groupe et par le Secrétariat du Conseil du Trésor;
• la résistance au changement de la part du personnel des ressources humaines relativement à de nouvelles pratiques opérationnelles liées à l'utilisation de PeopleSoft;
• une pénurie de ressources compétentes dans l'utilisation de PeopleSoft à Santé Canada et à l'Agence de la santé publique du Canada;
• l'intégrité des données;
• la protection et la sauvegarde des renseignements personnels des employés.

Ces risques font l'objet d'une surveillance sur deux fronts : par l'entremise du partenariat relatif à la gouvernance des services partagés de PeopleSoft et du Comité de gestion des services en ressources humaines (composé de cadres supérieurs ministériels). Santé Canada et de l'Agence de la santé publique du Canada, en collaboration avec leurs partenaires, ont pu gérer l'incapacité de personnaliser PeopleSoft en élaborant des solutions et des moyens de rechange pour répondre aux exigences fonctionnelles et de rapports en matière de ressources humaines. Il convient de noter que le Bureau du dirigeant principal des ressources humaines du Secrétariat du Conseil du Trésor a récemment demandé aux ministères et organismes de ne pas modifier la configuration normalisée de PeopleSoft.

Tout changement majeur présente le risque inhérent de résistance au changement. Or, la Direction a géré ce risque en veillant à ce que, pour la plupart, le personnel des ressources humaines qui utilise PeopleSoft ait reçu une formation, ainsi qu'en faisant valoir les avantages liés à son utilisation.

Dans leur documentation initiale sur l'établissement de la portée du projet, Santé Canada et l'Agence de la santé publique du Canada avaient indiqué qu'il y aurait une pénurie interne de compétences dans l'utilisation de PeopleSoft s'ils devaient héberger leur propre occurrence de PeopleSoft. Pour contrer ce risque, ils ont pu tirer profit des connaissances préexistantes d'autres membres du groupe des ressources humaines.

Le risque lié à l'intégrité des données est géré par la stratégie d'intégrité des données, qui a été abordée précédemment dans le critère d'audit 1.1 et qui est examinée plus en profondeur dans le cadre du critère d'audit 3.3. À ce jour, il n'y a eu qu'une seule réunion du forum sur l'intégrité des données, mais compte tenu de l'absence de procès-verbal, il est difficile de déterminer la nature des discussions tenues. L'analyse des données est effectuée par les gardiens des données, et les conclusions sont présentées à des fins d'examen au Comité de gestion des services en ressources humaines. De plus, les gardiens des données travaillent en collaboration avec les propriétaires des données pour régler les problèmes d'intégrité des données.

On a noté que ni le comité en question ni le partenariat relatif à la gouvernance des services partagés de PeopleSoft n'utilise un registre des risques. En septembre 2011, le Santé Canada a préparé une évaluation des menaces et des risques sur PeopleSoft. Cette dernière, qui a été approuvée par la haute direction de Santé Canada et de l'Agence de la santé publique du Canada, a révélé des risques potentiels relativement à la sécurité des renseignements personnels des employés. Ce n'est que depuis peu que le partenariat relatif à la gouvernance des services partagés de PeopleSoft a prêté attention à ces risques. Des explications plus détaillées sont fournies dans le cadre du critère d'audit 3.4.

L'audit a permis de conclure que les risques opérationnels liés à PeopleSoft sont gérés de façon informelle. Une approche formelle de leur gestion permettrait de s'assurer qu'ils sont gérés efficacement.

Recommandation 1

Réponse de la direction

3. Contrôles internes

3.1 Gestion du changement

Critère d'audit : Santé Canada et de l'Agence de la santé publique du Canada gèrent efficacement les changements requis pour maximiser les avantages de PeopleSoft relativement aux fonctions de classification, de dotation et de rémunération.

En général, les facteurs de changement sont des activités, des pressions ou des événements qui influencent l'orientation stratégique d'un organisme. En 2009, Santé Canada et de l'Agence de la santé publique du Canada ont reconnu la nécessité de passer du système actuel (Avantage des RH) à PeopleSoft. Le système traditionnel ne pouvait plus offrir la fonctionnalité opérationnelle nécessaire pour gérer les transactions liées aux ressources humaines. De plus, tous les ministères et organismes du gouvernement sont tenus d'utiliser PeopleSoft. Santé Canada et de l'Agence de la santé publique du Canada avaient établi qu'il serait plus rentable de participer à un partenariat plutôt que d'héberger chacun sa propre occurrence de PeopleSoft.

Les avantages escomptés de l'utilisation de PeopleSoft étaient nombreux, à savoir : simplification des processus opérationnels, amélioration du service à la clientèle, efficacité accrue, amélioration du processus de dotation, amélioration de la responsabilisation en matière de gestion et renforcement de la capacité à fournir des produits et services liés aux ressources humaines. Une liste détaillée des avantages prévus est fournie à l'annexe E. Afin de réaliser le plein potentiel de l'application, la Direction générale des services de gestion a élaboré des stratégies pour que les deux organismes fassent la transition vers une nouvelle façon de faire en matière de ressources humaines, comme la Stratégie de la gestion des modifications (2011), la Stratégie de communication (2010), l'analyse des concordances et des écarts (2010) et un plan de mise en œuvre détaillé. Chacune de ces stratégies a été conçue en vue de maximiser les avantages de PeopleSoft.

Dans le cadre de l'audit, on a examiné les fonctions de dotation, de classification et de rémunération pour déterminer comment le changement était géré afin de maximiser les avantages de PeopleSoft.

Dotation

Pour traiter les mesures de dotation, on utilise principalement le module de l'administration de l'effectif de PeopleSoft. Ce module sert à gérer les renseignements personnels des employés et ceux liés à l'emploi, y compris les renseignements relatifs à l'affectation ainsi que les nominations et les affectations intérimaires.

L'ajout du module de recrutement s'est avéré un changement important dans la mise en œuvre de PeopleSoft. Au moment de l'audit, ce module était partiellement mis en œuvre. Sa mise en œuvre intégrale est prévue d'ici novembre 2013. Une nouvelle fonctionnalité a été mise en place, comme des mesures de dotation accélérée qui permettent aux gestionnaires d'amorcer une demande de dotation directement dans PeopleSoft (dotation accélérée libre-service). La dotation accélérée a été lancée lors de la mise en œuvre de PeopleSoft. Les gestionnaires sont en mesure de traiter plus rapidement les transactions de dotation à faible risque comme les affectations, les emplois occasionnels, les mutations non annoncées, les détachements et les prolongations d'emplois de durée déterminée. De plus, les agents administratifs peuvent avoir accès à la fonctionnalité pour le compte des gestionnaires. La dotation accélérée a été offerte à toutes les directions générales dans la région de la capitale nationale, mais seulement quelques-unes l'utilisent. Les gestionnaires de secteurs autres que celui des ressources humaines n'ont reçu aucune formation sur l'utilisation de la dotation accélérée. En outre, certains gestionnaires ont indiqué que leurs conseillers en ressources humaines trouvent que la dotation accélérée est très compliquée. Enfin, en ce qui concerne Santé Canada, on a pris note que les gestionnaires des centres de coûts ont été avisés en août 2013 que pour traiter une demande de dotation de façon accélérée, il était dorénavant nécessaire de produire une demande de dotation et d'obtenir l'approbation d'un agent financier principal de la Direction générale. D'autre part, en ce qui concerne l'Agence, il n'est pas nécessaire d'obtenir l'approbation financière distincte d'un agent financier du Bureau du dirigeant principal des finances pour toutes les demandes de dotation.

En conclusion, Santé Canada et l'Agence de la santé publique du Canada n'ont toujours pas tiré les avantages escomptés de l'utilisation de la dotation accélérée.

Classification

Les activités de classification sont principalement accomplies au moyen du module de la gestion des postes de PeopleSoft. Ce module est utilisé pour créer et gérer les descriptions de travail, les décisions de classification et les postes connexes, y compris les exigences linguistiques. Il sert également à gérer les renseignements sur la désignation/l'exclusion des postes.

La mise en œuvre de PeopleSoft ne représente pas un changement important dans la façon de traiter les transactions. Le formulaire de demande de mesure de classification est utilisé pour la saisie visant à créer le rapport de demande élargie de postes et de mesures. Comme susmentionné, puisque PeopleSoft ne fournit pas actuellement la possibilité de signatures numériques, une demande de mesure de classification papier est toujours nécessaire dans le cadre du processus de saisie.

Rémunération

L'amélioration la plus notable dans les services de PeopleSoft a été observée dans les fonctions libre-service, à savoir les congés libre-service et la mise à jour des renseignements personnels, ce qui a permis de réduire les demandes de service et d'intégrer dans un seul système les fonctions du processus.

Les activités de rémunération sont principalement accomplies au moyen des modules de l'administration de l'effectif et de l'interface de la paye de PeopleSoft. La mise en œuvre de l'interface de la paye de PeopleSoft représente un changement important dans la façon dont les conseillers en rémunération traitent les données liées à la paye. En effet, ces dernières ne sont dorénavant plus saisies dans le Système de paye régional, mais sont plutôt entrées directement dans l'interface de la paye de PeopleSoft. Les transactions de la paye doivent suivre le déroulement du processus, qui comprend l'audit par les pairs, avant de pouvoir être traitées par l'interface de la paye de PeopleSoft. De plus, il y a un niveau de sécurité supplémentaire relativement à l'accès à l'interface de la paye de PeopleSoft qui n'est fourni qu'aux conseillers en rémunération. À cet égard, les contrôles internes ont été renforcés. Il a été noté lors de l'audit que les transactions liées à la paye n'étaient pas toutes traitées de la même façon (par exemple, le réaménagement des effectifs et les heures supplémentaires sont également traités dans le Système de paye régional). Il se peut que ces dernières transactions doivent également être entrées dans l'interface de la paye de PeopleSoft, d'où le dédoublement des efforts. La direction des ressources humaines ne fournit aucune directive claire quant aux situations permettant l'utilisation du Système de paye régional.

Fait à noter, l'Unité de la rémunération entamera le transfert des données de la paye et des avantages sociaux à Travaux publics et Services gouvernementaux Canada en novembre 2013, dans le cadre du Projet de modernisation des services et des systèmes de paye du gouvernement du Canada. Ainsi, toutes les activités liées à la paye et aux avantages sociaux seront gérées centralement par ce ministère.

En conclusion, Santé Canada et l'Agence de la santé publique du Canada ont bien géré la plupart des changements et en ont tiré profit. Toutefois, ils n'ont toujours pas réalisé l'avantage escompté du recours à la dotation accélérée. Il faut fournir des directives supplémentaires aux conseillers en rémunération relativement à l'utilisation de l'interface de la paye de PeopleSoft et du Système de paye régional.

Recommandation 2

Réponse de la direction

Recommandation 3

Réponse de la direction

3.2 Normalisation des processus opérationnels

Critère d'audit : La mise en œuvre de PeopleSoft a mené à la normalisation des processus opérationnels pour les fonctions de classification, de dotation et de rémunération.

Dans le cadre de l'Initiative de modernisation des ressources humaines du gouvernement du Canada, le Bureau du dirigeant principal des ressources humaines a été chargé de coordonner et de concevoir l'harmonisation à l'échelle de l'organisme des processus opérationnels des ressources humaines de façon à assurer l'efficacité et l'efficience des activités ministérielles (voir l'annexe C). Pour mener à bien cette initiative et promulguer l'adoption et l'utilisation de pratiques et processus opérationnels communs en matière de ressources humaines, Santé Canada et l'Agence de la santé publique du Canada ont réalisé une analyse de rentabilisation portant sur PeopleSoft (septembre 2009) dans le but de remplacer Avantage des RH, le système actuel vieillissant. L'analyse de rentabilisation visait l'adoption d'un système des ressources humaines répondant aux besoins opérationnels en évolution et s'alignant sur l'orientation stratégique du gouvernement. Il devait en résulter la capacité de fournir un large éventail de services électroniques qui tirent pleinement avantage de solutions techniques comme un système de gestion de l'apprentissage pleinement intégré, des rapports améliorés et un modèle opérationnel de bout en bout pour fournir un meilleur service aux clients, une intégrité des données améliorée, ainsi que des processus uniformes pour Santé Canada et de l'Agence de la santé publique du Canada. Le Bureau du dirigeant principal des ressources humaines, Secrétariat du Conseil du Trésor du Canada, a reconnu la configuration actuelle de PeopleSoft (version 8.9) et ses processus opérationnels comme étant la norme du gouvernement du Canada en ce qui a trait au traitement des transactions opérationnelles liées aux ressources humaines.

PeopleSoft est conçu pour assurer une approche systématique en matière de traitement des transactions opérationnelles liées aux ressources humaines. Pour effectuer une telle transaction dans PeopleSoft, toutes les étapes précédentes doivent être réalisées avant que l'on puisse passer à l'étape suivante. L'entrée des transactions et des données doit suivre le processus opérationnel intégré. L'examen de dossiers papier a révélé que les transactions liées aux ressources humaines se font encore en grande partie sur papier. Les renseignements dans des formulaires papier, comme la demande de mesure de classification et la demande de dotation qui sont utilisées pour effectuer les entrées dans PeopleSoft, doivent être vérifiés et approuvés avant d'être saisis dans le système. PeopleSoft ne permet pas les signatures numériques. Il faut donc toujours se fier à un formulaire papier pour la saisie.

L'équipe d'audit a examiné la documentation des processus opérationnels et les dossiers papier des fonctions de dotation, de classification et de rémunération, pour ensuite faire les observations suivantes :

Dotation

L'équipe d'audit a examiné les mesures de « Dotation interne annoncée/collective et occasionnelle, mutation non annoncée ou prolongation de durée déterminée ». Il existe un processus opérationnel consigné pour chacune de ces mesures. De plus, l'examen des dossiers papier de dotation et des processus de PeopleSoft a permis de conclure qu'il existe des processus opérationnels normalisés pour la gestion des mesures de dotation.

Classification

L'équipe d'audit a examiné les processus de classification « Créer un poste » et « Changement à un poste ». On a noté qu'il existe un processus consigné pour chacune de ces mesures. De plus, l'examen des dossiers papier de classification et des processus de PeopleSoft a permis de conclure qu'il existe des processus normalisés pour la gestion des mesures de classification. Le formulaire de demande d'une telle mesure est la base pour entreprendre une mesure de classification visant à créer ou à mettre à jour un poste. Ce formulaire est utilisé pour toutes les mesures de classification.

Rémunération

L'équipe d'audit a examiné les mesures de dotation « Porté à l'effectif », « Congé non payé » et « Mutation d'arrivée ». On a noté qu'il existe un processus consigné pour chacune de ces mesures de dotation. L'examen des dossiers papier de rémunération et des processus de PeopleSoft a permis de conclure qu'il existe des processus normalisés pour la gestion des mesures de rémunération. De plus, on a noté que pour Santé Canada, l'information relative à la paye et aux avantages sociaux est entrée à la fois dans l'interface de la paye de PeopleSoft (carte de paye électronique) et sur la carte de paye papier, d'où un dédoublement des efforts.

La mise en œuvre de PeopleSoft a mené à une normalisation accrue des processus opérationnels pour les fonctions de classification, de dotation et de rémunération.

3.3 Intégrité des données

Critère d'audit : Il existe des procédures, des processus et des contrôles pour s'assurer que les données liées aux ressources humaines sont complètes, exactes et opportunes.

L'intégrité des données est cruciale pour la fiabilité du système PeopleSoft. Des données non fiables portent atteinte à l'intégrité des principaux rapports et réduisent l'acceptation de l'utilisateur à l'égard du système. Le Comité de gestion des services en ressources humaines a défini la qualité des données dans PeopleSoft comme une priorité élevée de la Direction des ressources humaines. La mise en œuvre de la stratégie d'intégrité des données visait à rehausser l'importance de disposer de renseignements de qualité élevée.

Les transactions dans les domaines de la classification, de la dotation et de la rémunération sont traitées au moyen d'un système manuel sur papier, et les données ne sont saisies dans PeopleSoft qu'après la transaction. On a effectué l'examen des procédures, des processus et des contrôles dans les fonctions de dotation, de classification et de rémunération.

Dotation

Les procédures et processus de gestion des activités liées à la dotation sont bien consignés dans les manuels de formation de PeopleSoft. Les entrevues menées auprès des représentants de l'unité de la dotation et l'examen de la documentation ont permis de constater que ces procédures et processus étaient suivis. L'équipe d'audit a choisi un échantillon de 30 dossiers de dotation (16 dossiers de postes internes annoncés d'une durée indéterminée et 14 dossiers de dotation accélérée, notamment des emplois occasionnels et des détachements) en se concentrant sur les renseignements clés contenus dans la demande de dotation (c.-à-d., la raison de la mesure, le type d'emploi et les dates d'entrée en vigueur) et l'approbation du fondé de pouvoir compétent. Les renseignements sur la dotation consignés dans PeopleSoft ont été comparés aux dossiers papier. Aucune erreur importante n'a été relevée. Deux transactions de dotation dans PeopleSoft n'ont pu être justifiées parce qu'on n'a pu retrouver les dossiers papier. Enfin, on a constaté que chaque dossier papier comprenait une liste de contrôle dûment remplie pour s'assurer que tous les renseignements enregistrés dans PeopleSoft sont exacts et complets.

Classification

Les procédures et processus de gestion des activités liées à la classification sont bien consignés dans les manuels de formation de PeopleSoft. Les entrevues menées auprès des représentants de l'unité de la classification et l'examen de la documentation ont permis de constater que ces procédures et processus étaient suivis. L'équipe d'audit a examiné un échantillon de 28 dossiers de classification (12 dossiers de « Créer un poste » et 16 dossiers de « Changement à un poste ») en se concentrant sur les renseignements clés contenus dans la demande de mesure de classification et la demande élargie de postes et de mesures (c.-à-d., le code de classification, la raison de la mesure et les dates d'entrée en vigueur). Aucune erreur importante n'a été relevée.

Enfin, on a constaté que chaque dossier papier comprenait une liste de contrôle. Un examen plus approfondi a permis de constater que plusieurs listes de contrôle n'étaient pas remplies. Ces listes constituent un important mécanisme d'assurance de la qualité pour veiller à ce que les données consignées dans PeopleSoft ont été dûment vérifiées et validées.

Rémunération

Les procédures et processus de gestion des activités liées à la paye et aux avantages sociaux sont bien consignés dans les manuels de formation de PeopleSoft. Ces directives ont été suivies, sauf pour les exceptions indiquées dans le critère d'audit 3.1.

Trois types d'activités liées à la paye et aux avantages sociaux ont été choisis aux fins d'examen : Mutation d'arrivée, Congé non payé et Porté à l'effectif. On a examiné un échantillon de 36 dossiers de rémunération (8 dossiers Mutation d'arrivée, 10 dossiers Congé non payé et 18 dossiers Porté à l'effectif ont été choisis parmi ces activités). Les renseignements clés examinés à l'égard de chacune des transactions de paye comprenaient les dates de début et de fin des congés non payés, la liste de paye et le numéro du bureau de paye, les congés et les salaires. Aucune erreur importante n'a été relevée. Toutes les transactions examinées avaient fait l'objet d'un examen suffisant par les pairs. Des renseignements supplémentaires obtenus auprès des gardiens des données (voir le critère d'audit 1.1) ont révélé un nombre élevé d'employés pour qui il manquait la date de début de leur pension ou dont les renseignements contenus dans PeopleSoft ne correspondaient pas à ceux du Système de paye régional. De plus, pour un certain nombre d'employés, il manquait également la date de service continu, ou la date dans PeopleSoft ne correspondait pas à celle figurant dans le Système de paye régional. L'unité de la rémunération a confirmé l'existence de ces erreurs. La date incorrecte pourrait avoir une incidence négative sur les primes liées au service continu de l'employé. On a également noté qu'aucune fréquence n'est définie en ce qui concerne la production de rapports d'erreurs par les gardiens des données et la prestation de renseignements aux secteurs fonctionnels des ressources humaines. Enfin, une fois les erreurs signalées aux experts en la matière, rien n'indique qu'un suivi régulier est effectué pour s'assurer que les erreurs sont corrigées en temps opportun. Ces lacunes pourraient avoir une incidence sur la qualité des rapports générés de PeopleSoft et, au bout du compte, sur les décisions de la direction.

En conclusion, la stratégie d'intégrité des données a donné quelques résultats positifs. Les erreurs et leur source sont déterminées et indiquées dans PeopleSoft. On constate une plus grande sensibilisation à l'importance que représentent des données de qualité dans PeopleSoft. De plus, la stratégie a donné lieu à un effort de collaboration à l'égard de la qualité des données de tous les secteurs fonctionnels da la Direction des services en ressources humaines et a permis d'établir des processus relatifs à l'assurance de la qualité des données, à l'évaluation et à la correction. Le signalement régulier des erreurs et le suivi en temps opportun permettraient d'améliorer l'exhaustivité et l'exactitude des données dans PeopleSoft.

Recommandation 4

Réponse de la direction

Dans le cadre du processus opérationnel normal, l'unité de la rémunération effectuera des ajustements manuels aux congés dans les circonstances suivantes :

• l'employé a été transféré d'un autre ministère, et l'on procède à l'établissement de son compte de crédits de congés;
• la demande de congé est reçue après la clôture de fin d'exercice, et il faut par conséquent ajuster le solde reporté (augmenté ou réduit selon la situation);
• l'examen du dossier de congés de l'employé indique qu'on lui a accordé un nombre de congés supérieur/inférieur à ce qu'il a droit;
• à la demande de la Division des relations du travail, par suite d'une médiation ou d'un règlement.

Par suite de l'analyse supplémentaire de 4 175 ajustements manuels aux congés dans PeopleSoft, les vérificateurs ont relevé 456 ajustements effectués sans qu'une explication ne soit fournie. PeopleSoft renferme une zone de texte (il ne s'agit pas d'un champ obligatoire) où expliquer l'ajustement. Il n'y avait pas assez de renseignements dans PeopleSoft pour déterminer la raison de l'ajustement aux congés. On a également noté que PeopleSoft accepte les entrées manuelles relatives aux congés sans qu'elles ne soient vérifiées par une personne autre que celle qui apporte le changement. Il s'agit d'un important manque au contrôle interne. Il est difficile de déterminer la validité de l'ajustement sans explication et audit connexe.

Recommandation 5

Réponse de la direction

Rapprochement du Système de paye

Les transactions de paye sont créées dans l'interface de la paye de PeopleSoft, puis vérifiées et autorisées par des contrôles de validation primaires dans cette interface avant d'être soumises au Système de paye régional au moyen d'un processus par lots. Ces transactions sont ensuite mises en lots et envoyées au Système de paye régional aux fins de validation finale et de traitement. Le processus par lots ne permet de mettre en lots que les transactions autorisées. Lors du processus de mise en lots, la personne autorisée (c.-à-d., l'agent financier) examine et autorise les lots en utilisant le formulaire « Télécopie de l'état récapitulatif des lots ». Une fois le processus terminé, chaque personne autorisée (agent financier) reçoit un courriel avec un lien menant vers un rapport de synthèse produit par le Système de paye régional. Cinq télécopies de l'état récapitulatif des lots autorisés ont été examinées. Aucune erreur ou anomalie n'a été relevée.

Lorsque le Système de paye régional reçoit le dossier de lots, il soumet les lots à une série de contrôles de validation secondaires. S'il y a une erreur, c'est-à-dire que les données de ce système ne correspondent pas à celles de l'interface de la paye de PeopleSoft, la transaction est rejetée et renvoyée à la liste de travail du spécialiste de la rémunération, comme elle le serait lorsque les données relatives à la paye sont soumises. Des corrections sont apportées et le processus de validation est repris depuis le début. Toutes les transactions qui ont passé avec succès les validations du Système de paye régional sont traitées par lots. Le lendemain matin, ce système envoie un fichier contenant les résultats des transactions validées, qui est ensuite chargé dans l'interface de la paye de PeopleSoft. Il convient de noter que les récapitulatifs de lot produits parl'interface de la paye de PeopleSoftcontiennent le nombre et le type de transactions, le montant total ainsi que le nom de l'agent financier qui a autorisé le payement des transactions. Toutefois, le Système de paye régional ne reconnaît pas le nombre total des transactions traitées et le montant total des transactions qu'il a reçues de l'interface de la paye de PeopleSoft. Sans le rapprochement des totaux de contrôle des deux systèmes, il est difficile de déterminer si toutes les transactions de paye ont été reçues de l'interface de la paye de PeopleSoft.

Recommandation 6

Réponse de la direction

3.4 Protection des renseignements personnels

Critère d'audit : Santé Canada et de l'Agence de la santé publique du Canada gèrent les risques liés à la confidentialité des renseignements sur les employés (renseignements personnels) en veillant à ce que les données de nature délicate soient protégées conformément aux politiques et directives du gouvernement du Canada.

Vie privée

En vertu de la Politique sur la protection de la vie privée du Secrétariat du Conseil du Trésor, les administrateurs généraux doivent adopter des pratiques régissant le traitement et la protection des renseignements personnels en vue de s'assurer que la Loi sur la protection des renseignements personnels est administrée de manière juste et uniforme. La Directive sur les pratiques relatives à la protection des renseignements personnels appuie la politique en établissant les exigences de saines pratiques de protection de la vie privée et de gestion des renseignements personnels. Ensemble, la Politique sur la protection de la vie privée et ses directives et lignes directrices connexes représentent les outils utilisés pour structurer une saine stratégie de gestion des renseignements personnels au sein des institutions fédérales. Les ministères et organismes sont tenus de préparer une évaluation des facteurs relatifs à la vie privée pour toute activité de programme nouvelle ou ayant subi d'importantes modifications comportant la création, la collecte et le traitement de renseignements personnels. Les renseignements sur les employés ont été désignés comme des renseignements personnels et cotés au niveau Protégé B.

Conformément à la Directive sur l'évaluation des facteurs relatifs à la vie privée du Secrétariat du Conseil du Trésor, les incidences sur la vie privée doivent être cernées et évaluées de manière appropriée, et les risques doivent être atténués par des systèmes nouveaux ou modifiés hébergeant des renseignements personnels avant de pouvoir être mis en œuvre. L'audit a permis de conclure que la mise en œuvre de PeopleSoft par Santé Canada et l'Agence de la santé publique du Canada n'était pas conforme aux directives du Secrétariat du Conseil du Trésor en matière d'atténuation des risques.

L'évaluation des facteurs relatifs à la vie privée approuvée de Santé Canada et de l'Agence de la santé publique du Canada réalisée en décembre 2011 a cerné sept risques, dont deux cotés élevés. Elle ne comprenait pas l'analyse des risques liés aux renseignements personnels par suite de la mise en œuvre et de l'utilisation de PeopleSoft. Cette évaluation ne portait que sur la conversion des données et la mise en œuvre des modules de base de PeopleSoft.

Une version ultérieure de l'évaluation a été préparée en mai 2013; elle visait notamment l'examen et l'évaluation de l'utilisation et de la divulgation de renseignements personnels par les secteurs fonctionnels des ressources humaines dans un milieu opérationnel où l'on utilise le système PeopleSoft. Des 17 risques, 2 ont été cotés élevés et 15 modérés. De plus, les trois risques relevés dans le cadre de l'évaluation des facteurs relatifs à la vie privée de 2011 ont depuis été soulevés dans la version de 2013. Le seul risque élevé signalé en 2011 et toujours présent concerne le partage d'information entre Santé Canada/l'Agence de la santé publique du Canada et Agriculture et Agroalimentaire Canada. L'entente de services ou une entente d'échange de renseignements personnels devrait être plus claire en ce qui concerne le contrôle et la garde des renseignements personnels. On a également noté que l'Agence de la santé publique du Canada ne disposait d'aucune entente de services ou entente d'échange de renseignements personnels distincte à cet égard. Aussi, les renseignements personnels sous le contrôle du fournisseur de services pourraient être exposés à un risque quant à leur utilisation, divulgation et accès.

Une réponse de la direction provisoire et un plan d'action ont été préparés pour donner suite aux recommandations de l'évaluation de 2013. Il est prévu que le directeur général des ressources humaines les approuvera avant le 31 décembre 2013.

Sécurité

La Politique du gouvernement sur la sécurité définit la sécurité des technologies de l'information comme des « mesures de sauvegarde visant à préserver la confidentialité, l'intégrité, la disponibilité, l'utilisation prévue et la valeur des renseignements conservés, traités ou transmis par voie électronique ». Entre la Politique du gouvernement sur la sécurité et la Politique sur la gestion de l'information gouvernementale, les deux établissent les exigences obligeant les ministères à protéger les renseignements tout au long de leur cycle de vie. Ces exigences sont approfondies dans la Norme opérationnelle de sécurité : Gestion de la sécurité des technologies de l'information du Secrétariat du Conseil du Trésor. Cette norme constitue l'épine dorsale de la théorie en matière de gestion des risques et de la gestion des risques liés à la sécurité de la technologie de l'information du gouvernement du Canada pour prévenir les incidents au niveau des systèmes électroniques de l'information en atténuant les risques avant la mise en œuvre des systèmes dans un milieu de production.

La norme opérationnelle de sécurité exige que les ministères effectuent une évaluation des menaces et des risques. Il s'agit d'un outil de gestion des risques servant à déterminer, à évaluer et à recommander des mesures de protection pour réduire les risques résiduels à un niveau acceptable. À la section 12.3.3 de la norme relative à la Gestion de la sécurité des technologies de l'information, il est stipulé qu'après avoir effectué une évaluation des menaces et des risques, « les ministères doivent avoir leurs systèmes ou services certifiés et accrédités avant d'en autoriser le fonctionnement ». La certification sert à vérifier si les exigences de sécurité établies pour un système ou service particulier sont respectées et si les contrôles et mesures de protection fonctionnent comme prévu. Quant à l'accréditation, elle vise à confirmer si la direction a autorisé le fonctionnement du système ou service et si elle a accepté le risque résiduel lié au fonctionnement du système ou service, en se fondant sur les éléments probants de la certification. L'accréditation et la certification, qui ont récemment été remplacées par l'autorisation et l'évaluation de sécurité, constituent un contrôle compensatoire efficace de la norme de sécurité, laquelle vise à confirmer que les produits livrables du plan de mesures correctives de l'évaluation des menaces et des risques ont été mis en œuvre et que les contrôles et mesures de protection fonctionnent comme prévu. L'approbation de l'autorisation et l'évaluation de sécurité est un exposé de fait implicite des propriétaires opérationnels selon lequel ils ont employé de bonnes pratiques de gouvernance et fait preuve de diligence raisonnable en réduisant les risques en matière de technologie de l'information à un niveau acceptable, protégeant ainsi les biens d'information et les renseignements personnels sous leur garde contre des incidents potentiels.

L'occurrence de PeopleSoft d'Agriculture et Agroalimentaire Canada n'avait pas été certifiée ou accréditée lorsque Santé Canada et l'Agence de la santé publique du Canada ont mis en œuvre PeopleSoft en novembre 2011. Ces derniers avaient obtenu une autorisation d'exploitation provisoire accordée par suite d'une entente conditionnelle stipulant que les risques soient réduits à des niveaux acceptables au cours d'une période prescrite (en général six mois). Agriculture et Agroalimentaire Canada a récemment informé Santé Canada et l'Agence de la santé publique du Canada que son occurrence de PeopleSoft a été recommandée aux fins d'autorisation d'exploitation finale et que l'approbation officielle de l'autorisation et évaluation de sécurité doit être terminée d'ici le 30 novembre 2013.

En conclusion, les risques associés à la protection et à la confidentialité des renseignements sur les employés sont traités. Une attention particulière devra être accordée aux renseignements sur les employés qui sont sous le contrôle et la garde du fournisseur de services, attention qui devrait se refléter dans l'entente de services ou dans une entente d'échange de renseignements personnels.

Recommandation 7

Réponse de la direction

C - Conclusion

Dans l'ensemble, le cadre de contrôle de gestion de PeopleSoft de Santé Canada et de l'Agence de la santé publique du Canada pour gérer la fonction de ressources humaines nécessite des améliorations modérées.

Il existe un régime de gouvernance bien défini et appliqué qui permet d'examiner et de surveiller les besoins des intervenants, la qualité des données, ainsi que les questions et problèmes non résolus. La stratégie d'intégrité des données donne des résultats positifs en permettant de déceler les erreurs dans PeopleSoft. Elle a également donné lieu à un effort de collaboration à l'égard de la qualité des données de tous les secteurs fonctionnels de la Direction des services en ressources humaines et a permis d'établir des processus relatifs à l'assurance de la qualité des données et à l'évaluation. Une amélioration s'impose : la nécessité d'un suivi accru de la part des secteurs fonctionnels en vue d'assurer la correction des erreurs en temps opportun.

Les rôles et responsabilités de Santé Canada, de l'Agence de la santé publique du Canada et d'Agriculture et Agroalimentaire Canada, à l'appui de PeopleSoft, sont bien définis dans le cadre du partenariat relatif à la gouvernance des services partagés de PeopleSoft, des ententes de services et de la charte de projet liée à PeopleSoft. On s'en acquitte efficacement.

Les risques opérationnels liés à l'utilisation de PeopleSoft font l'objet d'une surveillance sur deux fronts : par l'entremise du partenariat relatif à la gouvernance des services partagés de PeopleSoft et du Comité des ressources humaines de la haute direction. Une amélioration s'impose : que le Comité des ressources humaines de la haute direction adopte une approche plus formelle à l'égard de la gestion des risques, y compris l'utilisation d'un registre des risques pour gérer les risques liés à PeopleSoft.

Santé Canada et l'Agence de la santé publique du Canada ont bien géré la plupart des changements, ce qui a donné lieu à des améliorations de la fonction libre-service, à l'utilisation de processus opérationnels normalisés et à une responsabilisation accrue de la direction. Il serait avantageux pour Santé Canada et l'Agence de la santé publique du Canada d'utiliser la dotation accélérée, laquelle permettra de traiter beaucoup plus rapidement les transactions de dotation.

En général, les fonctions de classification, de dotation et de rémunération suivent les procédures et processus de gestion des transactions opérationnelles liées aux ressources humaines. Aucune erreur grave n'a été relevée relativement à l'intégrité des données. Par contre, PeopleSoft contenait plusieurs dossiers d'employés où figuraient des dates importantes erronées. Il faut fournir des explications à l'égard des ajustements manuels aux congés apportés dans PeopleSoft, et ces derniers doivent être vérifiés dans PeopleSoft avant d'être acceptés.

Les risques associés à la protection et à la confidentialité des renseignements personnels des employés sont pris en compte. Il faut accorder une attention particulière aux renseignements personnels des employés dans le cadre du contrôle et de la garde assurés par le fournisseur de services, ce qui devrait se refléter dans l'entente de services ou une entente d'échange de renseignements personnels.

Les améliorations qui ont été notées permettront de renforcer collectivement le cadre de gestion de contrôle de PeopleSoft à l'appui de la fonction des ressources humaines.

Annexe A - Champs d'enquête et critères

Annexe B - Grille d'évaluation

Annexe C - Feuille de route pour la vision cible

Figure 3 - Feuille de route pour la vision cible (à l'échelle de l'organisme)

Agrandir la Figure 3

Source d'information : Secrétariat du Conseil du Trésor - Modernisation des ressources humaines : présentation au Conseil des regroupements d'usagers des systèmes (mars 2012).

Annexe D - Aperçu du flux de données du système PeopleSoft

Figure 4 - Aperçu du flux de données du système PeopleSoft

Agrandir la Figure 4

Annexe E - Avantages escomptés de la mise en œuvre de PeopleSoft

Source d'information : Analyse de rentabilisation relative à PeopleSoft - septembre 2009 : Avantages escomptés de la participation à un partenariat avec Agriculture et Agroalimentaire Canada.