Audit du cadre de gestion du risque

Décembre 2014

Table des matières

• Sommaire
• A - Introduction
  • 1. Contexte
  • 2. Objectif de l'audit
  • 3. Portée de l'audit
  • 4. Méthode de l'audit
  • 5. Énoncé de conformité
• B - Constatations, recommandations et réponses de la direction
  • 1. Gouvernance
    • 1.1 Gouvernance
    • 1.2 Politique en matière de risque
  • 2. Gestion des risques
    • 2.1 Approche éclairée par l'analyse des risques
  • 3. Contrôles internes
    • 3.1 Lignes directrices et outils
    • 3.2 Identifier le risque
    • 3.3 Évaluer le risque
    • 3.4 Réaction aux risques
    • 3.5 Communication des risques
    • 3.6 Suivi des risques
• C - Conclusion
• Annexe A - Champs d'enquête et critères
• Annexe B - Grille d'évaluation
• Annexe C - Risques ministériels, 2013 2015
• Annexe D - Concept d'opérations et information sur les risques
• Annexe E - Critères d'évaluation du PRM

Version traduite. En cas de divergence entre le présent texte et le texte anglais, la version anglaise a préséance.

Sommaire

L'audit porte sur le cadre de gestion du risque de l'Agence de la santé publique du Canada (l'Agence). La gestion efficace du risque permet aux organismes de réagir activement au changement et à l'incertitude en utilisant l'information basée sur le risque pour faciliter la prise de décisions plus efficaces.

L'audit visait à évaluer l'efficacité du cadre de gestion du risque de l'Agence pour ce qui est d'appuyer la réalisation de son mandat. Dans le cadre de l'audit, on a examiné des considérations de gouvernance, de gestion du risque et de contrôles internes liées au cadre de gestion du risque. L'audit a été effectué conformément à la Politique sur la vérification interne du Conseil du Trésor et aux Normes internationales pour la pratique professionnelle de vérification interne. Des procédures suffisantes et appropriées ont été suivies et des preuves ont été recueillies pour appuyer la conclusion de l'audit.

L'Agence a mis en place un processus continu et systématique pour établir le profil de risque à l'échelle de l'Agence. Le cadre de gestion du risque de l'Agence réitère les grands principes et approches de la gestion du risque en place au gouvernement du Canada depuis 2001 et reflète, s'il y a lieu, les normes nationales et internationales de gestion du risque. En 2013 2014, le Secrétariat du Conseil du Trésor du Canada a encouragé l'inclusion au profil de risque ministériel de risques propres au mandat. Le profil actuel de l'Agence est axé sur cinq risques pour la santé publique propres au mandat.

Le processus utilisé pour élaborer le profil de risque ministériel s'est révélé efficace pour cerner et évaluer les risques, élaborer des stratégies d'atténuation et coordonner les réponses et les activités relatives à la gestion du risque. Le processus est appuyé par la Politique sur la gestion intégrée du risque de l'ASPC, la Norme de gestion intégrée du risque de l'ASPC et un guide des pratiques exemplaires. La politique a récemment été mise à jour pour refléter les rôles et responsabilités actuels.

Pour appuyer la gestion intégrée du risque, un Comité de gestion du risque composé de cadres supérieurs a été mis sur pied dans le but d'assurer une surveillance et une direction horizontales supplémentaires. Le comité se réunit régulièrement et a permis d'accroître la sensibilisation à l'égard des attentes en matière de gestion du risque dans l'ensemble de l'Agence ainsi qu'encourager davantage l'intégration. L'audit a révélé l'existence de pratiques de gestion intégrée du risque et a démontré que, lorsque des ressources étaient affectées à la gestion du risque par les directions générales et les fonctions, ces dernières ont été en mesure d'adopter une approche éclairée par l'analyse des risques.

L'audit a révélé que l'Agence pourrait tirer parti de stratégies d'atténuation clairement mesurables comprenant des jalons, des dates cibles et des exigences en matière de ressources. De plus, l'audit recommande que l'Agence maintienne son intention d'élaborer des mesures de rendement pour chacune des mesures d'atténuation, ainsi qu'un processus pour surveiller les risques.

La direction souscrit aux deux recommandations formulées dans l'audit et a préparé un plan d'action de la direction qui servira à renforcer le processus de gestion du risque.

A - Introduction

1. Contexte

Le gouvernement du Canada définit la gestion du risque comme étant une démarche systématique visant à établir la meilleure façon de procéder dans des circonstances incertaines par la détermination, l'évaluation, la compréhension, la prise de décisions et la communication des questions liées aux risques. La gestion des risques efficace permet aux organismes du gouvernement fédéral d'agir de façon active par rapport au changement et à l'incertitude en utilisant des approches et des informations fondées sur le risque pour permettre une prise de décisions plus efficace. Par conséquent, une capacité manifeste et accrue d'évaluer, de communiquer et de gérer le risque suscite la confiance à la fois au sein du gouvernement et auprès du public.

L'intégration de la gestion du risque aux structures et aux programmes d'une organisation au moyen d'une démarche uniforme de gestion du risque établit un environnement cohérent de gestion intégrée du risque. La gestion intégrée du risque appuie la planification, l'établissement des priorités, la gestion des programmes, l'établissement de rapports financiers, la planification organisationnelle d'activités, la planification de la continuité des activités, la réalisation des activités et l'évaluation du rendement, en plus de toute fonction essentielle dans l'ensemble de l'organisation, des directions générales et des programmes.

Le Cadre stratégique de gestion du risque 2010 du Secrétariat du Conseil du Trésor du Canada (SCT) établit les grands principes de la gestion du risque et clarifie les rôles et les responsabilités. Il définit aussi les attentes à l'égard des administrateurs généraux et de leurs ministères et organismes quant à leurs rôles dans la mise en place de pratiques efficaces de gestion du risque à tous les niveaux de l'organisation. Il appuie l'établissement des priorités stratégiques et l'affectation des ressources, la prise de décisions éclairées en regard de la tolérance au risque et l'amélioration des résultats. Élément nouveau en 2013-2014, le SCT a favorisé la pratique consistant à inclure aux profils de risque ministériels des risques propres au mandat, plutôt que de ne mettre l'accent que sur les services internes et la gestion des risques.

Le cadre réitère les grands principes et approches de la gestion du risque en place au gouvernement du Canada depuis 2001 et reflète, s'il y a lieu, les normes nationales et internationales de gestion du risque. L'utilisation d'un cadre de gestion du risque

aide à déterminer et à classer les risques, à brosser un portrait intégré des risques et à coordonner les fonctions et activités de gestion intégrée du risque. Le Cadre de responsabilisation de gestion (CRG), un outil de gestion du rendement clé pour le gouvernement fédéral, prévoit que les ministères intègrent des pratiques et des principes de gestion du risque aux activités stratégiques, opérationnelles et fonctionnelles de l'organisation.

 

Agence de la santé publique du Canada

En élaborant un profil de risque ministériel (PRM) et en le mettant annuellement à jour, l'Agence de la santé publique du Canada (l'Agence) note qu'elle cerne de façon systématique, comprend et cherche à régler les principaux problèmes en santé publique et les risques organisationnels, et ce sont sur ces activités que s'appuient l'établissement des priorités, la planification et les programmes.

Le PRM est conçu comme un important outil de gestion, favorisant et éclairant une prise de décisions équilibrée et atténuant les principaux risques susceptibles d'influer sur l'atteinte des objectifs de l'Agence. Plus précisément, le profil sert à déterminer les risques ministériels les plus importants de l'Agence, les mesures de gestion des risques et les indicateurs de rendement connexes. En outre, il devrait être intégré et rendu opérationnel grâce aux processus opérationnels de planification et de gestion du rendement de l'Agence.

La Direction générale de la politique stratégique, de la planification et des affaires internationales (DGPSPAI) est responsable de la fonction de gestion du risque. Au sein de cette dernière, la Division de la planification opérationnelle, de production de rapports et du risque est responsable du PRM, de la Politique sur la gestion intégrée du risque, de normes et d'autres outils et lignes directrices visant à appuyer les activités de gestion du risque de l'Agence. De plus, des comités de gouvernance sont en place pour assurer l'imputabilité collective quant à la gestion des risques de l'Agence. Plus particulièrement, le Comité de gestion du risque (GR-ASPC) surveille le PRM, fournit une orientation sur la gestion du risque dans le cadre de la gouvernance ministérielle et prodigue des conseils au Comité exécutif (CE), lequel approuve toutes les questions de l'Agence liées à la gestion du risque

Figure 1 : La structure opérationnelle de planification et de gestion du rendement de l'Agence

Agrandir la Figure 1

2. Objectif de l'audit

L'audit visait à évaluer l'efficacité des contrôles de gestion liés au cadre de gestion du risque de l'Agence pour appuyer la réalisation de son mandat.

3. Portée de l'audit

La portée de l'audit a permis d'examiner les contrôles fondamentaux de l'Agence pour la gestion du risque, y compris les responsabilités partagées dans le cadre des activités ministérielles et des directions générales, le PRM, ainsi que l'intégration des risques et des mesures d'intervention à leur égard. Plus particulièrement, on a examiné les contrôles internes liés à la gouvernance, à la politique, aux procédures et aux pratiques, à la surveillance continue, ainsi que l'apprentissage relatif à la gestion du risque au cours des exercices 2013-2015. L'audit ne visait toutefois pas les processus de gestion des événements ou des situations d'urgence ou encore les activités du Centre des opérations du portefeuille de la Santé (COPS), qui ne font pas partie du cadre de gestion du risque et qui ont fait l'objet de deux audits distincts de Santé Canada en 2010.

4. Méthode de l'audit

L'équipe d'audit a utilisé des méthodes, y compris, sans toutefois s'y limiter, une étude documentaire des pratiques de gestion du risque, des entrevues auprès de dirigeants ministériels et des directions générales, ainsi qu'un examen des documents de planification et d'établissement de rapports de l'Agence (par exemple, plan stratégique, plans opérationnels et rapports ministériels). On a examiné les rapports d'audit antérieurs et les recommandations formulées ou en suspens de la période visée, en plus des recommandations du CRG liées au domaine de la gestion du risque. d'audit, décrits à l'annexe A, sont tirés des sources suivantes

Les critères d'audit sont tirés du document du Secteur de la vérification interne du Bureau du contrôleur général intitulé Critères de vérification liés au Cadre de responsabilisation de gestion : outil à l'intention des vérificateurs internes (SCT, mars 2011) et ont été approuvés par la direction.

5. Énoncé de conformité

Selon le jugement professionnel du dirigeant principal de la vérification, des procédures suffisantes et appropriées ont été suivies, et des preuves ont été recueillies pour attester de l'exactitude de la conclusion de l'audit. Les constatations et la conclusion de l'audit sont basées sur une comparaison des conditions qui existaient à la date de l'audit, par rapport à des critères établis en collaboration avec la direction. De plus, les renseignements probants ont été réunis conformément aux Normes relatives à la vérification interne au sein du gouvernement du Canada et aux Normes internationales pour la pratique professionnelle de l'audit interne. L'audit respecte les Normes relatives à la vérification interne au sein du gouvernement du Canada, tel qu'appuyé par les résultats du programme de l'assurance de la qualité et de l'amélioration.

B - Constatations, recommandations et réponses de la direction

1. Gouvernance

1.1 Gouvernance

Critère d’audit : Des comités organisationnels de cadres supérieurs du Ministère fournissent un leadership et un soutien actif à la gestion du risque.

Des pratiques de gestion du risque permettent aux organismes du gouvernement fédéral d'agir de façon active par rapport au changement et à l'incertitude en utilisant des approches et des informations fondées sur le risque qui permettent une prise de décisions plus efficace dans l'ensemble d'un organisme.

L'Agence de la santé publique du Canada (l'Agence) a mis en place une structure de gouvernance pour superviser la gestion du risque au sein de l'organisme, structure qui comprend notamment trois comités : le Comité exécutif, le Comité de gestion du risque et le Comité ministériel de vérification.

Le Comité exécutif (CE) est responsable de la gestion du risque. Il approuve le profil de risque ministériel (PRM), ainsi que les lignes directrices et les outils liés à la gestion du risque, et encourage une culture de gestion intégrée du risque en tant qu'élément inhérent à une bonne prise de décisions dans l'ensemble de l'Agence.

Le Comité de gestion du risque (GR-ASPC), créé en 2012, fournit une surveillance et un leadership horizontaux sur les questions liées aux risques dans l'ensemble de l'Agence. Il s'agit d'un comité de niveau II qui relève directement du CE de l'Agence. Sa composition est déterminée par l'administrateur en chef de la santé publique (ACSP) et la sous-ministre déléguée. Les membres sont choisis en fonction de leurs compétences uniques et de leurs contributions, plutôt qu'en fonction du poste qu'ils occupent à l'Agence. Le GR-ASPC se réunit une fois par mois (ou plus souvent, au besoin) et compte actuellement 17 membres, dont le président.

Comme le prévoit la Politique sur la vérification interne, le Comité ministériel de vérification (CMV) examine les documents liés à la gestion du risque (c'est-à-dire le PRM) et les processus, en plus de formuler des conseils et des recommandations objectifs à l'intention du l'ACSP et de la sous-ministre déléguée, au sujet du caractère suffisant, de la qualité et des résultats des services d'assurance fournis à l'égard de la pertinence et du fonctionnement du cadre de gestion du risque de l'Agence. En 2013-2014, le CMV a examiné les dispositions établies par l'Agence en matière de gestion des risques et a formulé des conseils à ce sujet, y compris son examen des versions provisoire et définitive du PRM de 2013-2014 et les modifications qu'il recommande d'y apporter.

En 2012, l'Agence a élaboré l'ébauche d'un concept d'opérations pour la gestion intégrée du risque (voir l'annexe D), qui illustre la relation entre les trois comités. Les auditeurs ont recueilli et analysé les divers documents des comités, comme le mandat, la composition, les ordres du jour, les comptes rendus de décisions, la participation aux réunions du GR-ASPC, ainsi que les décisions et les recommandations. En conclusion, les comités ministériels de cadres supérieurs fournissent un leadership et un soutien actif à la gestion du risque.

1.2 Politique en matière de risque

Critère d'audit : L'Agence dispose d'une politique et d'une norme en matière de risque qui sont approuvées et tenues à jour en vue d'appuyer le processus de gestion du risque.

La Politique sur la gestion intégrée du risque de l'ASPC a été élaborée en 2010 et mise à jour en 2013. L'objectif et le contenu de cette dernière sont harmonisés avec le Cadre stratégique de gestion du risque (2010) du Secrétariat du Conseil du Trésor du Canada (SCT) et les lignes directrices connexes.

En 2014, la Direction générale de la politique stratégique, de la planification et des affaires internationales (DGPSPAI) a modifié la politique de façon à en élargir les rôles et responsabilités et à refléter les améliorations apportées au cadre de gestion du risque. La politique révisée s'harmonise mieux avec le PRM de 2013-2015. Elle a été présentée au GR-ASPC et soumise au CE aux fins d'approbation.

La politique est appuyée par la norme de gestion intégrée du risque (2009). Cette dernière étoffe la politique de trois pages et décrit en détail le processus de gestion du risque, plus particulièrement le processus lié à la communication des risques, l'identification des intervenants, l'établissement du contexte (tolérance au risque), la détermination des risques, l'analyse des risques, l'évaluation des risques, la surveillance et l'examen, ainsi que l'établissement du profil de risque.

L'Agence dispose d'une Politique sur la gestion intégrée du risque de l'ASPC à jour de même qu'une norme de gestion intégrée du risque à l'appui du processus de gestion du risque.

2. Gestion des risques

2.1 Approche éclairée par l'analyse des risques

Critère d'audit : L'Agence adopte une approche éclairée par l'analyse des risques pour la gestion de ses activités.

À l'Agence, la gestion du risque devrait inclure les activités liées à la mise en œuvre et à la gestion du PRM et démontrer une approche éclairée par l'analyse des risques pour la gestion des activités continues.

En vue d'évaluer l'approche éclairée par l'analyse des risques, les auditeurs ont examiné les activités des comités, les plans opérationnels des directions générales et les constatations liées au risque des audits antérieurs. Cette analyse a permis de relever une certaine incohérence dans l'établissement de rapports sur la gestion du risque des directions générales, et ce, malgré les modèles de planification opérationnelle des directions générales devant être utilisés pour documenter les risques fonctionnels et liés aux programmes, de concert avec des stratégies d'atténuation, des indicateurs de rendement et un suivi semestriel. On a toutefois constaté que si le programme ou la fonction n'était pas inclus dans le PRM, les risques fonctionnels ou propres aux directions générales n'étaient pas toujours documentés et surveillés. Néanmoins, il a été démontré que, lorsque des ressources étaient affectées à la gestion du risque par les directions générales et les fonctions, ces dernières ont été en mesure d'adopter une approche éclairée par l'analyse des risques. Les trois exemples suivants illustrent certaines des approches fondées sur le risque de l'Agence.

On s'attend à ce que l'Agence continue d'évoluer dans ses pratiques de gestion du risque, compte tenu de l'attention actuellement portée par la haute direction et du cadre global de gestion du risque. En outre, l'analyse des recommandations formulées à la suite d'audits antérieurs liés aux risques a permis de constater que la direction a donné suite à toutes les recommandations en temps opportun.

En conclusion, les diverses approches à la gestion du risque susmentionnées, de pair avec les efforts continus liés au PRM, appuient l'approche éclairée par l'analyse des risques que l'Agence a adoptée dans la gestion de ses activités.

3. Contrôles internes

3.1 Lignes directrices et outils

Critère d'audit : Des lignes directrices et des outils de soutien sont élaborés et à jour pour appuyer le processus de gestion du risque.

Documents d'orientation

L'Agence a élaboré un guide des meilleures pratiques intitulé Intégrer la gestion des risques à l'Agence (2014), qui est principalement fondé sur les pratiques définies dans le Cadre de gestion du risque et le Guide de gestion intégrée du risque du Conseil du Trésor du Canada.

De plus, l'Agence a récemment produit un document provisoire qui accompagne son PRM 2013-2015. Avant d'être présenté au CE aux fins d'approbation définitive, le document a été soumis à l'approbation du GR-ASPC. Il a été élaboré en réponse à une demande du CE voulant que l'on fournisse aux employés de l'Agence un aperçu concis du PRM. Le document de trois pages fournit une référence rapide sur le profil de risque, indiquant plus particulièrement pourquoi il constitue un important outil de gestion des risques, son but et l'utilisation prévue du document. C'est la première fois qu'on élabore un tel document. Ce dernier a été soumis à l'approbation du GR-ASPC avant d'être présenté au CE aux fins d'approbation définitive.

Sur le site intranet de l'Agence, on retrouve, sous l'onglet « Perspective stratégique », une section Gestion du risque facilement accessible qui fournit aux employés de l'information sur la gestion des risques, y compris les Cadres de gestion du risque de l'Agence et du Conseil du Trésor, les Questions fréquemment posées et les Principaux concepts. Il serait utile d'effectuer la mise à jour du contenu du site pour refléter l'orientation opérationnelle actuelle et les coordonnées les plus récentes (il indique actuellement que le soutien à la gestion des risques relève de la Direction générale de la gestion des urgences et des affaires organisationnelles), ce qui permettrait de mieux aider les employés à s'acquitter de leurs responsabilités en matière de gestion des risques, conformément à l'orientation actuelle de l'Agence.

Outils

Un répertoire de risques (ou registre de risques) a la capacité d'améliorer la gestion des risques cernés. Il sert de dépôt central pour l'information relative aux risques de l'organisation et permet de trier, de normaliser et de regrouper adéquatement les résultats du processus de gestion du risque en ce qui a trait à leur pertinence par rapport au niveau de gestion approprié. Sa principale fonction consiste à fournir des renseignements significatifs sur les risques auxquels l'organisation fait face. De plus, il permet aux intervenants du domaine de la gestion des risques de l'organisation d'avoir une idée claire de l'état actuel de chaque risque.

L'Agence a effectué de la recherche sur l'usage, les possibilités, les risques, les avantages et l'applicabilité, au niveau international et du gouvernement du Canada, concernant l'utilisation de répertoires de risques. Cet effort comprenait une présentation au GR-ASPC (mai 2013) pour expliquer une base de données de répertoires de risques de l'ASPC, de même que l'élaboration d'un rapport d'étude sur les répertoires de risques (mai 2014), lequel comprenait une analyse et une description exhaustive et cinq recommandations en faveur de l'adoption de répertoires de risques. Ces recommandations comprenaient notamment une approche uniforme à la gestion des risques dans l'ensemble de l'Agence et un répertoire en temps réel de tous les risques et de toutes les améliorations aux processus à reconnaître à partir de l'utilisation du répertoire, ce qui inclut des améliorations à la détermination des risques, aux mesures d'intervention, à la surveillance et à l'examen.

Le modèle du concept d'opérations de l'Agence illustre comment les répertoires de risques doivent faire le lien, au sein de l'Agence, entre la gestion des risques au niveau des programmes/directions générales et la gestion du risque de l'entreprise. À cet égard, la DGPSPAI (par un exercice de planification opérationnelle et un exercice de gestion des risques) a élaboré des modèles contenant des exemples d'exigences relatives à un répertoire de risques. En date de la rédaction de ce rapport d'audit, une direction, soit le Centre de la biosûreté de la Direction générale de l'infrastructure de la sûreté sanitaire, a établi une liaison et utilisé les modèles pour élaborer un répertoire de risques.

3.2 Identifier le risque

Critère d'audit : Il existe un processus bien établi, continu et systématique pour identifier le risque à l'échelle de l'Agence.

Le processus de l'Agence offre une structure permettant de systématiquement relever, évaluer, résoudre, communiquer et surveiller les risques importants dans une structure de gouvernance établie. On a eu recours à trois ateliers pour cerner les risques ministériels, ateliers auxquels ont participé des membres du GR-ASPC, des cadres supérieurs, des représentants régionaux, ainsi que des représentants de l'évaluation, des finances et d'autres domaines comme la planification et la politique.

Dans le cadre du premier atelier, on a examiné les anciens risques, cerné de nouveaux secteurs de risque et abordé d'autres risques qui avaient fait l'objet d'un suivi dans un registre des changements tout au long de l'année précédente. L'un des buts de l'atelier consistait à distinguer les risques réels d'autres événements que l'Agence considérait comme des problèmes, des préoccupations ou des conditions. Pour établir cette distinction, l'Agence a utilisé un modèle décisionnel, comme l'indique le tableau 1.

Tableau 1 : Modèle décisionnel pour le profil de risque ministériel 2013-2015

Les risques les plus importants cernés lors du premier atelier étaient ceux pour lesquels l'Agence jouait un rôle dans la gestion, à savoir les risques en matière de santé publique qui pourraient avoir des répercussions néfastes sur les objectifs de l'Agence par opposition aux risques pour la santé publique des Canadiens. De plus, la haute direction de l'Agence a déterminé un éventail de risques existants et en a discuté, et a proposé quelques nouveaux risques, internes et externes, qui ont été évalués à partir du modèle décisionnel. Il en a résulté une courte liste de risques cernés par secteur de risque.

Lors de l'étape suivante du processus, les responsables de risque devaient élaborer des énoncés de risque. L'Agence a utilisé une feuille de résumé des risques du modèle décisionnel et un examen des pratiques exemplaires. Les responsables de risque ont rempli les feuilles de résumé des risques en fournissant 1) l'énoncé de risque du PRM 2012-2013, s'il y a lieu, 2) l'énoncé de risque pour les Canadiens et 3) un énoncé de risque indiquant le risque résiduel pour l'Agence.

Le deuxième atelier était axé sur les énoncés de risque et les options qui reflétaient le mieux les principaux risques pour l'Agence. À ce stade du processus, l'Agence a déployé des efforts pour assurer que les « bons » risques avaient été saisis. Les risques étant cernés à ce stade, on a ajouté aux feuilles de résumé des risques des renseignements supplémentaires susceptibles d'éclairer le processus décisionnel et comprenant des éléments de risque, des contrôles de risques et des mesures de gestion des risques.

Lors du dernier atelier, on a demandé aux responsables de risque de donner un aperçu de chaque risque. Les participants ont ensuite évalué chaque risque en utilisant un ensemble de questions d'analyse (voir l'encadré) afin de s'assurer que les risques proposés répondaient aux exigences d'un risque qui pourrait être inclus au PRM de l'Agence.

Tableau 2 : Questions d'analyse dans le cadre de l'atelier

Les participants ont également discuté d'autres risques comme la surveillance, les ressources humaines et la technologie de l'information, et ont déterminé qu'il s'agissait là d'instruments d'habilitation essentiels au mandat de l'Agence. Ces risques n'ont pas été jugés de nature ministérielle parce qu'ils ne satisfaisaient pas à une ou plusieurs des exigences en matière de seuil déterminées par les questions d'analyses.

Le processus global suivi pour identifier les risques ministériels répond aux attentes de l'Agence et du Secrétariat du Conseil du Trésor du Canada.

3.3 Évaluer le risque

Critère d'audit : Les risques sont analysés et classés par ordre de priorité

L'étape suivante du processus de gestion du risque de l'Agence consistait à évaluer les risques cernés. Au cours du processus d'évaluation, les risques ont été analysés et classés par ordre de priorité.

Les responsables des directions générales et des cadres supérieurs ont participé à un atelier où ils ont évalué les cinq risques ministériels devant être inclus dans le profil de risque de l'Agence, en votant sur des critères liés à la probabilité du risque et à l'incidence qu'il aurait sur l'atteinte des objectifs de l'organisme. Pour voter, on a utilisé un logiciel conçu pour permettre l'évaluation des risques de façon anonyme dans un contexte d'atelier. L'information recueillie a servi à produire la carte des risques de l'Agence, laquelle montre le classement de chacun des risques en termes de probabilité et d'incidence.

Les participants à l'atelier ont tout d'abord voté sur le risque inhérent (avant l'atténuation) pour l'Agence, puis sur le risque résiduel (après avoir envisagé toutes les activités d'atténuation/de gestion comme les contrôles de risque et la gestion des risques).

Le placement de chaque risque résiduel sur la carte des risques est une indication de la tolérance au risque de l'Agence. La tolérance au risque désigne la volonté d'une organisation d'accepter ou de rejeter un niveau donné de risque résiduel; elle peut varier au sein d'une organisation, mais elle doit être bien comprise par les personnes qui prennent des décisions relatives aux risques dans un dossier en particulier. Il faut que la tolérance au risque soit claire à tous les niveaux de l'organisation afin de favoriser une prise de décisions éclairée par l'analyse des risques et le recours à des approches tenant compte du risque. Étant donné l'importance de ces décisions, il importe que l'Agence élabore des mesures de rendement et mette en œuvre un système de surveillance systématique pour évaluer l'efficacité de la gestion des risques et le mouvement subséquent du risque résiduel sur la carte des risques (voir la recommandation 2).

Le processus global suivi pour identifier les risques ministériels répond aux attentes de l'Agence et du Secrétariat du Conseil du Trésor du Canada.

3.4 Réaction aux risques

Critère d’audit : Un continuum de mesures d'atténuation des risques est développé et mis en œuvre pour traiter un risque déterminé.

Des stratégies d'atténuation pour les cinq risques ministériels identifiés dans le profil de risque ministériel 2013-2015 ont été développés. Des risques pour les directions générales ont également été développés et font partie des plans opérationnels des directions générales. L'Agence a progressivement inclus de l'information sur les risques dans les plans opérationnels des directions générales et de l'Agence. La communication des risques dans ces plans a été améliorée avec l'introduction de stratégies d'atténuation des risques et de liens des directions générales aux risques ministériels indiqués dans le PRM, les risques pour les directions générales, les contrôles de risque et la gestion des risques.

Bien que les deux documents fassent état de stratégies de gestion des risques, de mesures et de dates d'achèvement prévues, ces dernières sont vaguement formulées et n'ont pas de jalons et de dates d'échéance précises. Par exemple, la réaction par rapport au risque consiste souvent à « améliorer » une activité, et pourtant l'amélioration n'est ni définie ni mesurée. De plus, les exigences en matière de ressources sont résumées par priorité des directions générales, ce qui inclut à la fois les activités opérationnelles et les mesures de gestion des risques, rendant difficile la possibilité de discerner les ressources attribuables aux activités continues de celles attribuables aux activités d'atténuation des risques. En l'absence de renseignements plus précis, il est difficile d'évaluer le rendement des stratégies d'atténuation et des décisions relatives à l'augmentation ou à la diminution des ressources affectées à la gestion des risques.

Les stratégies d'atténuation des risques pour le PRM et les risques pour les directions générales pourraient être renforcées en précisant les échéances, les jalons, les mesures et les liens aux exigences en matière de ressources. Dans le Rapport sur les plans et les priorités 2014-2015 de l'Agence, on mentionne que des indicateurs précis sont en cours d'élaboration pour chaque mesure de gestion des risques.

En conclusion, donc, l'Agence dispose d'un continuum de mesures d'atténuation des risques, mais elle n'a pas de jalons pour assurer le suivi de la mise en œuvre ou d'indicateurs pour suivre le rendement.

Recommandation 1

Il est recommandé que le sous-ministre adjoint de la Direction générale de la politique stratégique, de la planification et des affaires internationales, en consultation avec les sous-ministres adjoints/responsables des directions générales, élabore des indicateurs de rendement pour suivre les progrès des stratégies d'atténuation des risques.

Réponse de la direction

3.5 Communication des risques

Critère d'audit : Les risques sont systématiquement communiqués dans les documents ministériels.

Les principaux rapports ministériels comme le Rapport sur les plans et les priorités (RPP) et le Rapport ministériel sur le rendement (RMR) devraient aborder les principaux risques stratégiques indiqués dans le PRM qui empêcheraient les directions générales–donc l’Agence dans son ensemble–d’atteindre leurs objectifs.

Les auditeurs ont examiné les quatre différents mécanismes de signalement des risques qui produisent des résultats de risques (le PRM, le RPP, le RMR et les plans opérationnels des directions générales). L'audit a révélé que les risques communiqués dans le PRM correspondent aux descriptions sommaires fournies dans le RMR et le RPP. De plus, il a révélé qu'en général, les risques ministériels décrits dans le PRM correspondent aux plans opérationnels des directions générales (voir la section 3.6).

3.6 Suivi des risques

Critère d'audit : Les risques sont réévalués, surveillés et communiqués.

Un processus d'examen régulier permet d'assurer que les nouveaux risques sont cernés et pris en compte à mesure qu'ils surviennent, que les risques existants sont contrôlés pour déterminer tout changement susceptible d'influer sur l'Agence, que des mesures d'intervention à l'égard des risques sont mises en œuvre selon l'échéancier prévu, que des contrôles de risque sont toujours en place et efficaces et que de l'information sur les risques est régulièrement fournie au GR-ASPC et, au besoin, au CE.

En mai 2013, les responsables de risque pour le PRM 2012-2013 ont fait le point auprès du GR-ASPC sur l'état du risque leur étant attribué. L'examen du PRM 2013-2015 n'a toujours pas eu lieu, mais il est prévu avant la fin de l'année civile.

Le PRM et les plans opérationnels des directions générales prévoient des stratégies de mise en œuvre des mesures d'atténuation des risques et des échéanciers des produits livrables au cours de l'exercice. Toutefois, dans certains cas, les dates d'échéance sont réparties sur de longues périodes; pourtant, aucun jalon ni aucune exigence en matière de ressources ne sont indiqués. En l'absence de jalons et d'exigences en matière de ressources, il sera difficile de vérifier si les stratégies d'atténuation du PRM et des plans opérationnels des directions générales sont mises en œuvre selon le calendrier prévu et si les contrôles existants sont efficaces. L'état actuel des stratégies d'atténuation n'appuiera pas la définition d'indicateurs précis pour la gestion efficace du rendement.

En outre, la présence d'indicateurs de rendement est nécessaire pour assurer le suivi, et ce, afin d'appuyer le processus de mesure du rendement. Dans le PRM 2013-2015, on mentionne que des mesures de rendement sont « en cours d'élaboration ».

Bien que la majorité des directions générales aient cerné des risques autres que les cinq risques ministériels décrits dans le PRM, toutes n'ont pas inclus des risques qui leur sont propres. De plus, les risques définis dans les plans opérationnels des directions générales ne font pas actuellement l'objet d'un suivi à l'échelle de l'Agence.

Dans le cadre de l'audit, on s'attendait à ce que les plans opérationnels des directions générales soient plus détaillés en ce qui a trait aux stratégies d'atténuation; toutefois, la plupart reproduisaient l'information du PRM ou en contenaient moins (manque de dates). De plus, une direction générale n'a pas inclus les stratégies d'atténuation du PRM qu'elle a la responsabilité de mettre en œuvre, conformément à son plan opérationnel.

Sans l'examen et la surveillance du rendement, l'Agence risque d'être moins au fait des progrès (ou du manque de progrès) réalisés à l'égard des stratégies d'atténuation des risques, et de moins bien savoir si les ressources sont utilisées adéquatement pour les mesures d'intervention et si l'incidence ou la probabilité qu'un risque se produise évolue dans la bonne direction.

Recommandation 2

Il est recommandé que le sous-ministre adjoint de la Direction générale de la politique stratégique, de la planification et des affaires internationales établisse et mette en œuvre un processus de suivi des risques ministériels et des directions générales.

Réponse de la direction

C - Conclusion

L'Agence de la santé publique du Canada (l'Agence) a mis en œuvre un cadre de gestion du risque efficace pour appuyer la réalisation de son mandat. L'Agence a mis en place un processus continu et systématique pour établir le profil de risque à l'échelle de l'Agence. Le cadre de gestion du risque de l'Agence réitère les grands principes et approches de la gestion du risque en place au gouvernement du Canada depuis 2001 et reflète, s'il y a lieu, les normes nationales et internationales de gestion du risque.

L'Agence dispose d'un certain nombre de bonnes pratiques, intégrant les risques aux activités des directions générales, y compris les activités liées aux subventions et contributions, à la surveillance, aux réunions quotidiennes sur le renseignement et l'évaluation des risques (RQRER) des cadres supérieurs et aux réunions de mise à jour quotidiennes auxquelles participent notamment l'administrateur en chef de la santé publique, la sous-ministre déléguée, les responsables des directions générales et le personnel de niveau supérieur.

Il est possible d'apporter des améliorations modérées au cadre de gestion du risque pour appuyer l'Agence dans son engagement continu envers la gestion des risques cernés. L'Agence pourrait renforcer la fonction de gestion des risques en élaborant des indicateurs de rendement pour chaque stratégie d'atténuation des risques, ainsi qu'un processus de contrôle des risques.

Le rapport d'audit renferme deux recommandations pour donner suite aux présentes constatations et l'Agence a élaboré un plan d'action de la direction adéquat qui servira à renforcer les bonnes pratiques existantes.

Annexe A - Champs d'enquête et critères

Annexe B - Grille d'évaluation

Annexe C - Risques ministériels, 2013-2015

Source : Profil de risque de l’ASPC 2013–2015. Approuvé en mars 2014.

Annexe D - Concept d'opérations et information sur les risques

Agrandir la Figure 3

Annexe E - Critères d'évaluation du PRM

Dans le cadre d'un atelier, on a utilisé une technologie (le logiciel Resolver Ballot) pour procéder à un vote afin d'évaluer les risques touchant l'Agence en fonction des critères ci-dessous.

Critères d'incidence des risques

Cotation de l'incidence des risques 5= Très élevée

Descripteurs de l'incidence

• Incidence substantielle sur les systèmes de (SP) ou la santé des populations (selon l'échelle suivante : régions 100 000 ≥ 500 000, province, territoire ou Canada).
• Incidence substantielle sur la capacité, les programmes ou les résultats de l'Agence (selon l'échelle suivante : Agence, direction générale, activité de programme [AP] ou sous-activité [SA]).
• Incidence substantielle sur la réputation ou la crédibilité de l'Agence (selon l'échelle suivante : commissions/rapports d'experts externes; attention ou publicité soutenues à l'échelle nationale).
• Changement généralisé dans la confiance des intervenants envers l'Agence et leur volonté de travailler avec cette dernière.

Cotation de l'incidence des risques 4= Élevée

Descripteurs de l'incidence

• Incidence substantielle sur les systèmes de SP ou la santé des populations (selon l'échelle suivante : régions 100 000 ≥ population < 500 000).
• Incidence substantielle sur la capacité, les programmes ou les résultats de l'Agence (selon l'échelle suivante : direction ou SA).
• Incidence substantielle sur la réputation ou la crédibilité de l'Agence (selon l'échelle suivante : rapports externes faisant autorité; attention ou publicité soutenues à l'échelle régionale).
• Changement considérable dans la confiance des intervenants envers l'Agence et dans leur volonté de travailler avec cette dernière.

Cotation de l'incidence des risques 3=Moyenne

Descripteurs de l'incidence

• Incidence substantielle sur les systèmes de SP ou la santé des populations (selon l'échelle suivante : régions < 100 000).
• Incidence substantielle sur la capacité, les programmes ou les résultats de l'Agence (selon l'échelle suivante : division ou multiples activités administratives prévues).
• Incidence substantielle sur la réputation ou la crédibilité de l'Agence (selon l'échelle suivante : rapports/audits internes; attention ou publicité soutenues à l'échelle locale).
• Un certain changement dans la confiance des intervenants envers l'Agence et dans leur volonté de travailler avec cette dernière.

Cotation de l'incidence des risques 2= Faible

Descripteurs de l'incidence

• Incidence substantielle sur la capacité, les programmes ou les résultats de l'Agence (selon l'échelle suivante : unité ou activité administrative unique prévue).

Cotation de l'incidence des risques 1= Négligeable

Descripteurs de l'incidence

• Aucune incidence appréciable.