Comité permanent des comptes publics: Rapport de la vérificatrice générale sur la cybersécurité des réseaux et des systèmes du gouvernement
Déclaration d’ouverture
Scott Jones
Président
Services partagés Canada
Ottawa (Ontario)
26 janvier 2026
Je vous remercie, Monsieur le Président, de nous donner l’occasion de discuter du rapport de la vérificatrice générale sur la cybersécurité des réseaux et des systèmes du gouvernement.
Avant de commencer, je tiens à reconnaître que nous sommes sur le territoire traditionnel non cédé du peuple anishinabé algonquin.
Je suis ici aujourd’hui avec Patrice Nadeau, sous-ministre adjoint principal de la Direction générale des services de connectivité et de sécurité.
Introduction
Services partagés Canada (SPC) accueille favorablement les conclusions de la vérificatrice générale et travaille à résoudre les problèmes soulevés.
Il est important de noter que la vérificatrice générale a constaté que le gouvernement disposait d’outils pour protéger et défendre ses réseaux et que le plan de cybersécurité du gouvernement était solide et complet.
En tant que fournisseur de services informatiques aux ministères et aux organismes, SPC joue un rôle central.
En effet, SPC bloque environ 6,5 trillions de cybermenaces par année, soit en moyenne 18 milliards par jour. Cela permet d’assurer le fonctionnement ininterrompu des services gouvernementaux.
Pour ce faire, nous disposons d’une infrastructure d’entreprise de pointe et de solutions de cybersécurité commerciales modernes qui défendent les systèmes gouvernementaux contre un large éventail de cybermenaces.
SPC utilise plusieurs niveaux de défense, notamment des pare feu, des systèmes de défense des réseaux, des mesures contre le déni de service, des outils antivirus et anti maliciels, le cryptage, des réseaux privés virtuels (RPV) ainsi que des services d’identification et d’authentification robustes.
Nous avons un excellent partenariat avec le Secrétariat du Conseil du Trésor (SCT) et le Centre de la sécurité des télécommunications (CST).
Comme l’a souligné la vérificatrice générale, cette collaboration est absolument indispensable, et nous continuons à l’améliorer. Nous effectuons régulièrement des analyses rétrospectives des cyberévénements afin de déterminer comment nous améliorer.
Ensemble, SPC et le Centre canadien pour la cybersécurité du CST fournissent des cyberdéfenses hautement sophistiquées qui vont au delà des capacités commerciales. Nous offrons l’une des cyberdéfenses les plus avancées au monde.
La cybersécurité est un domaine qui évolue rapidement et nous travaillons continuellement pour rester à la fine pointe de la technologie.
Cela dit, il reste encore beaucoup à faire, comme l’a souligné à juste titre la vérificatrice générale.
Nous partageons les préoccupations de la vérificatrice générale concernant les organisations qui n’utilisent pas le service Internet d’entreprise de SPC. L’environnement des menaces évoluant rapidement et il est clair que ce modèle doit évoluer.
C’est pourquoi SPC travaille à la prestation de services de connectivité et de sécurité pour 43 petits ministères et organismes. Le travail devrait être achevé d’ici la fin mars 2027.
La vérificatrice générale a également mis l’accent sur un projet appelé « Visibilité, sensibilisation et sécurité des points d’extrémité (VSSPE) ». C’est l’un des outils que SPC ajoute à son environnement de cybersécurité.
Le projet VSSPE identifiera automatiquement les points d’extrémité connectés aux réseaux, tels que les ordinateurs de bureau et les serveurs, et vérifiera qu’ils répondent aux exigences de sécurité. Contrairement à notre système semi manuel, le projet VSSPE est automatisé et permet d’évaluer les vulnérabilités et les impacts en temps réel.
Le projet VSSPE offrira aussi une réponse automatisée en réaction aux cyberévénements.
Bien que ce projet ait connu des retards, notre organisation en a tiré un certain nombre de leçons. Le projet a maintenant atteint un point tournant et, depuis le début de sa mise en œuvre en juillet 2025, plus de 36 000 déploiements ont été complétés.
La vérificatrice générale a également souligné notre projet d’élaboration d’un système de gestion des informations et des événements de sécurité (GIES). Je tiens à vous assurer que nous sommes en bonne voie pour attribuer un marché concurrentiel pour ce projet au début de 2026.
En outre, SPC exploite une capacité provisoire de GIES qui lui permet de répondre aux besoins prioritaires et de soutenir une intervention efficace face aux cybermenaces.
Conclusion
Monsieur le Président, depuis la création de SPC, nous avons transformé le modèle opérationnel du gouvernement, passant d’un modèle cloisonné et décentralisé à une approche d’entreprise pangouvernementale.
Cela permet non seulement de réduire les coûts, mais aussi de renforcer la sécurité à l’échelle du gouvernement. Il est plus facile de surveiller, de corriger et de réparer un seul système que 45 systèmes distincts.
Nous n’avons cependant pas fini. SPC simplifie la gestion des appareils et des logiciels en centralisant l’approvisionnement et les opérations. Cela permet de réaliser des économies considérables et de réduire les risques d’incohérences dans les politiques de sécurité.
Nous continuons également de réduire le dédoublement en remplaçant des outils administratifs cloisonnés par des outils standardisés à l’échelle du gouvernement.
Les vieux systèmes sont également plus vulnérables aux cybermenaces. La modernisation des systèmes existants améliore donc notre position en matière de sécurité.
En bref, tout ce que nous faisons pour consolider et moderniser les systèmes informatiques est essentiel pour améliorer la cybersécurité.
Monsieur le président, les rapports de la vérificatrice générale sont aussi un outil important qui nous permet de rendre des comptes et d’améliorer nos opérations.
La cybersécurité est un domaine en constante évolution avec des acteurs qui ne suivent pas nos règles. Les améliorations sont essentielles pour protéger les systèmes informatiques du gouvernement.
Je vous remercie de m’avoir donné l’occasion de m’exprimer sur ce dossier important et je serai heureux de répondre à vos questions.
Rapport du Bureau de la Vérificatrice générale du Canada (BVG) sur la cybersécurité des réseaux et des systèmes du gouvernement
Objet
- Le 21 octobre 2025, la vérificatrice générale a déposé un rapport sur la cybersécurité des réseaux et des systèmes fédéraux. Elle a conclu que le gouvernement « disposait d’outils pour défendre » ses réseaux et que son plan de cybersécurité était « solide et détaillé ».
- Toutefois, le rapport a soulevé des préoccupations concernant les retards dans des projets clés visant à améliorer la visibilité des événements de cybersécurité et à coordonner la réponse aux incidents. Il a mis en lumière les lacunes dans la gestion de l’équipement et a fait remarquer que certains petits ministères et organismes (PMO) n’utilisaient pas les services de cybersécurité de Services partagés Canada (SPC).
Faits saillants
-
Le rapport a indiqué que sur les 204 organisations du gouvernement du Canada :
- 85 étaient tenues, en vertu des politiques du Secrétariat du Conseil du trésor du Canada (SCT), d’utiliser le service Internet de SPC. Cependant, 22 ne se conformaient pas à cette exigence et utilisaient plutôt les capteurs de défense de cybersécurité du Centre de la sécurité des télécommunications Canada (CST).
- 119 organisations n’étaient pas tenues d’utiliser le service Internet de SPC. Parmi celles-ci, 24 ont choisi d’utiliser les services de SPC, et une majorité (76 organisations) ont utilisé les capteurs du CST.
Messages clés
- SPC apprécie le travail de la vérificatrice générale et reconnaît que la lutte contre les cybermenaces exige une vigilance constante et des mesures de sécurité robustes.
-
SPC est d’accord avec les conclusions du rapport et travaille à résoudre les problèmes soulevés. Plus précisément, SPC :
- s’engage à mener à bien un projet visant à accroître la visibilité des événements de cybersécurité suspects;
- a commencé le travail nécessaire pour renforcer les pratiques de gestion des actifs;
- est en train de dresser un inventaire des points d’extrémité de réseau afin d’améliorer la supervision et le contrôle;
- collaborera avec le SCT pour mettre à jour le plan gouvernemental de gestion des événements de cybersécurité cet automne.
- Ces mesures renforceront les cyberdéfenses de SPC, qui bloquent 6,5 billions de cybermenaces chaque année.
Si l’on insiste sur le délai d’intervention de « 7 jours » lors de la cyberattaque à Affaires Mondiales Canada (AMC)
- Le vendredi 19 janvier 2024, le Centre canadien pour la cybersécurité (le Centre pour la cybersécurité) a officiellement demandé à SPC des renseignements de sécurité précis liés aux RPV. La demande a été approuvée en moins d’une heure et toutes les parties (SPC, AMC et le Centre pour la cybersécurité) ont convenu d’effectuer le transfert le lundi 22 janvier 2024.
- Bien que ce type de transfert ne soit généralement pas requis, SPC a inclus ce processus dans ses procédures opérationnelles normalisées afin de s’assurer que les demandes futures sont traitées plus rapidement.
Si l’on insiste sur la cyberattaque contre AMC
- SPC offre un soutien réactif aux ministères pour les aider à se défendre contre les cyberattaques.
- Nous reconnaissons l’importance d’une excellente communication lors d’un événement de cybersécurité, et SPC travaille continuellement avec le Centre pour la cybersécurité et le SCT pour améliorer les communications.
-
SPC et AMC ont conjointement élaboré un plan de mesures correctives afin d’améliorer la sécurité des réseaux et la collaboration. Le plan reflète notre engagement commun envers une coordination efficace et le renforcement des pratiques de sécurité.
- Il réaffirme les pouvoirs décisionnels, définit les rôles et responsabilités respectifs, établit un processus de transmission de l’information et précise les mécanismes permettant de résoudre rapidement les problèmes.
Si l’on insiste sur la gestion des informations et des événements de sécurité (GIES)
-
Le gouvernement du Canada (GC) mène un processus d’approvisionnement collaboratif et concurrentiel pour une obtenir une solution de gestion des informations et des événements de sécurité (GIES).
- Ces efforts permettront au GC de mieux anticiper et détecter les cybermenaces et d’y répondre.
- Par exemple, l’intégration des agrégateurs de renseignements sur les menaces facilitera la réponse aux incidents de cybersécurité.
- Une solution centralisée permettra de recueillir des données afin de réagir plus rapidement aux menaces.
Si l’on insiste sur le projet visibilité, sensibilisation et sécurité de point d’extrémité (VSSPE)
- Le projet VSSPE de SPC permettra de voir en temps réel tous les appareils de points d’extrémité dans les réseaux du GC, tels que les ordinateurs et les serveurs.
- Le projet améliorera également les capacités de sécurité, comme la protection contre les logiciels malveillants contenus dans des fichiers et d’autres activités malveillantes. Il assurera aussi une surveillance continue aux points d’extrémité avec une réponse automatisée aux événements de cybersécurité.
- Le projet est en cours et devrait être terminé d’ici mars 2028.
Si l’on insiste sur la gestion des vulnérabilités et des correctifs
- SPC continue d’améliorer ses processus de gestion des vulnérabilités et des correctifs dans l’ensemble de ses systèmes et services. Ces améliorations permettront de réduire l’exposition aux cyberattaques, de limiter la perte de productivité et de protéger les données et l’infrastructure.
Si l’on insiste sur les petits ministères et organismes (PMO)
-
SPC travaille à fournir des services de connectivité et de sécurité à 43 PMO.
- À la fin de l’exercice 2024-2025, 23 PMO avaient effectué la transition complète vers les services Internet et d’accès à distance gérés par le gouvernement, tandis que 15 autres avaient adopté le système de courriel partagé.
- D’ici la fin de l’exercice 2025-2026, 6 autres PMO devraient avoir effectué la transition.
Contexte
Le GC, comme toutes les organisations dans le monde, fait constamment face à des cybermenaces provenant d’auteurs malveillants, tant à l’échelle nationale qu’internationale. Celles-ci exigent une vigilance constante et des mesures de sécurité rigoureuses. Les cybermenaces deviennent de plus en plus complexes et sophistiquées, et comprennent des activités criminelles telles que les attaques par rançongiciel et les attaques menées par des adversaires parrainés par des États.
Cybersécurité
Objet
- Le gouvernement du Canada (GC), comme toutes les organisations dans le monde, fait face à des cybermenaces constantes d’acteurs malveillants, tant à l’échelle nationale qu’internationale, ce qui nécessite une attention continue et des mesures de sécurité robustes. Les cybermenaces deviennent de plus en plus complexes et sophistiquées. Elles comprennent des activités criminelles telles que des attaques par rançongiciel et des attaques menées par des adversaires soutenus par des États.
Faits saillants
- Services partagés Canada (SPC) bloque environ 6,5 billions de cybermenaces chaque année, assurant ainsi le fonctionnement ininterrompu des services en ligne du gouvernement.
- Les investissements dans des systèmes de cybersécurité solides réduisent les coûts associés aux interruptions de service et à la reprise des opérations.
Messages clés
- SPC fournit une infrastructure d’entreprise à la fine pointe de la technologie et utilise des solutions commerciales de cybersécurité modernes pour défendre les systèmes du GC contre un large éventail de cybermenaces.
- SPC utilise plusieurs couches de défenses en cybersécurité, notamment des pares-feux, des défenses de réseau, des mesures contre les attaques par déni de service, des outils antivirus et antimaliciels, le chiffrement, des réseaux privés virtuels (RPV) ainsi que des services d’identification et d’authentification robustes.
- Ensemble, SPC et le Centre canadien pour la cybersécurité du Centre de la sécurité des télécommunications Canada (CST) fournissent des outils de cybersécurité sophistiqués, y compris des capteurs spécialisés qui offrent des défenses supplémentaires au-delà des capacités commerciales.
- SPC réduit activement les vulnérabilités en matière de sécurité en consolidant, normalisant et modernisant les systèmes informatiques dans l’ensemble du GC.
- Pour renforcer la protection des données, SPC met en œuvre les principes de vérification systématique (zéro confiance), ce qui minimise le recours à la confiance implicite au sein des réseaux, tout en déployant des solutions de sécurité modernes et de pointe.
- En consultation avec le Secrétariat du Conseil du trésor (SCT) et le CST, SPC intègre la sécurité et la protection de la vie privée dès la conception lors de l’élaboration de nouveaux services.
Si l’on insiste sur l’intégrité de la chaîne d’approvisionnement
- En collaboration avec le Centre pour la cybersécurité, SPC a effectué plus de 83 000 examens de l’intégrité de la chaîne d’approvisionnement depuis 2012 pour contribuer à veiller à ce que les composants utilisés dans les systèmes ne compromettent pas la sécurité.
Si l’on insiste sur l’informatique quantique
- Un ordinateur quantique capable de compromettre plusieurs normes cryptographiques pourrait être disponible dans les 5 à 8 prochaines années.
- Les ministères et organismes devront élaborer des plans de migration personnalisés pour faire la transition de leurs systèmes vers la cryptographie post-quantique (CPQ). SPC élabore une stratégie complète pour s’assurer que ses solutions d’entreprise sont conformes aux recommandations cryptographiques du Centre pour la cybersécurité.
Si l’on insiste sur les petits ministères et organismes
- SPC travaille à fournir des services de TI sécurisés à 43 petits ministères et organismes (PMO). À la fin de l’exercice 2024-2025, 23 PMO auront entièrement migré vers des services Internet et d’accès à distance gérés par le gouvernement, tandis que 15 auront adopté le système de courriel partagé du gouvernement.
Si l’on insiste sur la coopération provinciale et territoriale
- En septembre, les 14 juridictions fédérales, provinciales et territoriales ont signé un accord historique sur la cybersécurité pour mettre en commun des renseignements, des outils et des services en temps réel afin de contrer les cybermenaces.
- Cet accord renforce la posture de cybersécurité de SPC grâce à une collaboration intergouvernementale sécurisée en matière de renseignement sur les menaces et de réponse aux incidents.
Contexte
-
La cybersécurité est la responsabilité de tout le monde dans l’ensemble du GC :
- Le SCT établit des politiques pangouvernementales en matière de cybersécurité et dirige les interventions en cas de cyberincidents majeurs.
- SPC bâti et gère des systèmes de TI sécurisés, surveille les applications clés et veille à ce que les nouveaux services soient conçus en tenant compte de la sécurité et de la protection des renseignements personnels.
- Le CST est l’organisme responsable de la cybersécurité. Il fournit des capacités défensives qui ne sont pas actuellement disponibles sur le marché, ajoutant une couche de défense supplémentaire unique au GC.
- Tous les ministères et organismes doivent protéger leurs propres systèmes et applications.
- Sécurité publique Canada dirige la Stratégie nationale de cybersécurité, en collaboration avec des partenaires à l’extérieur du gouvernement pour protéger la population canadienne et les entreprises.
- La Gendarmerie royale du Canada (GRC) enquête sur les cybercrimes qui ciblent les systèmes gouvernementaux.
- Le Service canadien du renseignement de sécurité (SCRS) recueille des renseignements sur les menaces à la sécurité nationale et appuie les ministères au moyen de filtres de sécurité et de renseignements étrangers.
- Les Forces armées canadiennes (FAC) échangent des renseignements sur les cybermenaces avec nos alliés et mènent des cyberopérations à l’étranger.
- Le Plan de gestion des événements de cybersécurité du GC décrit la façon dont les différents ministères réagissent aux cyberincidents. Les petits problèmes sont traités par le ministère touché, tandis que les problèmes majeurs sont gérés par des équipes dirigées par le SCT et le Centre pour la cybersécurité. Les responsabilités de SPC lors d’un événement de cybersécurité comprennent : surveiller les activités inhabituelles sur le réseau, bloquer les activités de cybermenace, évaluer les répercussions sur les services, signaler les incidents au Centre pour la cybersécurité et mettre en œuvre des efforts de prévention, d’atténuation et de rétablissement, comme l’application de correctifs d’urgence et l’isolement de l’infrastructure.
Gestion des informations et des événements de sécurité (GIES)
Enjeu
Selon le rapport de la vérificatrice générale sur la cybersécurité des réseaux et des systèmes gouvernementaux, le projet de Services partagés Canada (SPC) visant à élaborer un système de GIES a connu des retards et des augmentations de coûts.
SPC a lancé le projet de GIES en avril 2017 avec un budget de 72,7 millions de dollars. Ses coûts ont été révisés à 144,3 millions de dollars, et le projet a été mis sur pause en juin 2024, dans l’attente qu’un financement supplémentaire soit approuvé.
Messages clés
- SPC a tiré des leçons de son expérience et les a appliquées au nouveau processus d’approvisionnement. Lorsque le processus a été lancé, les exigences initiales étaient trop complexes et comportaient des spécifications techniques inutiles, ce qui a causé des retards évitables.
- Cela a entraîné un important rajustement du processus d’approvisionnement; l’accent a été mis sur les exigences simplifiées pour que les fournisseurs puissent répondre aux besoins fondamentaux. La simplification permet de concentrer l’approvisionnement sur ces besoins essentiels et de protéger l’intégrité d’un projet.
- Le gouvernement du Canada (GC) n’a jamais connu de période où il n’avait pas de solution de GIES. SPC et le Centre canadien pour la cybersécurité (CCC) du Centre de la sécurité des télécommunications (CST) exploitent actuellement une solution provisoire de GIES qui sera mise hors service après la mise en œuvre de la nouvelle solution.
- Cette solution appuie l’intervention efficace de SPC en matière de gestion des cybermenaces et des événements de cybersécurité, ce qui permettra d’automatiser et d’accélérer une grande partie du processus de surveillance de la sécurité. Ainsi, SPC pourra mieux prévoir et détecter les cybermenaces, et mieux y réagir.
- Le GC a mené un processus d’approvisionnement collaboratif et concurrentiel pour une solution de GIES, et la nouvelle solution en est aux dernières étapes du processus d’approvisionnement (il sera terminé d’ici le 31 mars 2027).
- Cet outil d’entreprise consolidé :
- améliorera la collecte des données sur les événements de sécurité;
- automatisera la détection et l’intervention en cas de cybermenaces de base;
- fournira à SPC un aperçu de tous les réseaux et systèmes du GC qu’il gère.
Si l’on insiste sur les retards
- SPC a pris le temps de s’assurer qu’il achetait la solution appropriée pour gérer les cybermenaces et les événements de cybersécurité et y réagir. Le financement pertinent proviendra du cadre financier.
- SPC prévoit attribuer un contrat pour la GIES en janvier 2026. Plusieurs soumissions ont été considérées pour ce contrat concurrentiel. Le processus est terminé et le fournisseur le mieux classé a été désigné.
Si l’on insiste sur les leçons retenues
- SPC a retenu plusieurs leçons du projet de GIES qui ont contribué à améliorer notre processus d’approvisionnement et ont été appliquées au nouveau processus. Nous avons :
- amélioré la collaboration entre les équipes de projet et d’approvisionnement de SPC afin que les projets puissent bénéficier de conseils en matière d’approvisionnement au cours de leur élaboration;
- clarifié les dispositions concernant l’intégrité de la chaîne d’approvisionnement dans un processus d’approvisionnement agile;
- demandé aux soumissionnaires qu’ils fournissent des critères d’évaluation financière et des tableaux des prix clairs et simples. Les données financières trop compliquées engendrent un risque de soumissions non conformes et des occasions pour les soumissionnaires de « déjouer » les critères des évaluations financières.
- -intégré une étape de validation de la solution dans l’approvisionnement agile. Une fois que les soumissionnaires ont passé les évaluations techniques, il est utile que les fournisseurs fassent une démonstration de leurs solutions avant de négocier les prix.
Projet Visibilité, sensibilisation et sécurité de point d’extrémité (VSSPE)
Enjeu
Selon le rapport sur la cybersécurité des réseaux et des systèmes du gouvernement, de la vérificatrice générale, il y a des lacunes dans l’évaluation des inventaires des biens de technologie de l’information (TI) fédéraux, tels que les serveurs, les ordinateurs portables et les imprimantes. Le rapport indique que Services partagés Canada (SPC) devrait améliorer sa compréhension des réseaux et des systèmes qu’il gère, notamment des logiciels pris en charge, afin de mieux déterminer les biens qui nécessitent des correctifs, des mises à jour ou de la maintenance, et ceux qui ne sont plus pris en charge par un fournisseur. Cette amélioration est essentielle pour gérer efficacement les cyberrisques et remédier aux vulnérabilités.
Messages clés
- Les cyberdéfenses existantes de SPC offrent une protection à la fine pointe de la technologie aux systèmes de TI du gouvernement du Canada (GC). Il n’y a pas d’équivalent connu parmi les pays comparables, et elles bloquent environ 6,5 billions de cybermenaces chaque année.
- SPC a tiré des leçons de son système actuel de gestion de l’inventaire, qui est semi-manuel et peut contenir des incohérences en raison du moment où sont apportées les mises à jour. Le nouveau projet VSSPE fournira un inventaire de biens automatisé et central pour les ordinateurs de bureau et les serveurs.
- Le déploiement du projet a commencé en juillet 2025, et le projet se poursuivra jusqu’en mars 2028.
- Le projet VSSPE offrira des capacités modernes qui fourniront une surveillance et des réponses automatisées en temps réel :
- Le premier volet, « Visibilité et sensibilisation des points d’extrémité », permettra de déterminer les points d’extrémité connectés aux réseaux, tels que les ordinateurs de bureau et les serveurs, et de s’assurer qu’ils satisfont au profil de sécurité approprié.
- Le deuxième volet, « Initiative des points d’extrémité protégés », consiste en deux capacités qui permettront d’assurer une surveillance continue et une intervention automatisée en réaction aux cyberévénements, de même qu’une protection contre les logiciels malveillants et d’autres activités malveillantes. Ce volet remplacera le logiciel actuellement utilisé.
- Le projet VSSPE est un outil supplémentaire dont dispose SPC pour garantir la cybersécurité. Il sera mis en œuvre dans plus de 620 000 ordinateurs de bureau et serveurs (points d’extrémité) de 43 ministères.
- Il a été mis en œuvre dans environ 35 000 ordinateurs de bureau jusqu’à présent et le sera dans un total de 87 000 ordinateurs au cours du présent exercice.
- La surveillance continue ainsi que la détection et l’intervention précoces sont essentielles pour réduire les répercussions des cyberattaques et les frais liés au rétablissement qu’elles entraînent.
Si l’on insiste sur l’inventaire incomplet des serveurs et des ordinateurs portables
- Le système actuel de gestion de l’inventaire de SPC est semi-manuel. Bien que SPC sache où se trouvent ses appareils existants, un inconvénient de cette approche est que les inventaires peuvent contenir des incohérences en raison du moment où sont apportées les mises à jour.
- Alors que notre système actuel permet de comprendre les vulnérabilités et les cyberévénements, une solution automatisée permettra une évaluation plus précise et en temps réel des répercussions, ce qui renforcera davantage notre position en matière de sécurité.
- La mise en œuvre d’une initiative visant à renforcer les processus et les systèmes de gestion des biens de SPC sera effectuée d’ici le 31 mars 2028.
Si l’on insiste sur les facteurs de complication
- Les appareils ne sont pas tous mis à jour au moyen de correctifs, car certains sont entreposés et seront activés ultérieurement lorsqu’ils seront connectés au réseau. Le projet VSSPE n’assure pas un suivi des biens entreposés, mais plutôt des points d’extrémité actifs.
Si l’on insiste sur l’accès non autorisé aux appareils
- Si une personne non autorisée obtient un appareil gouvernemental, des identifiants de connexion sont tout de même nécessaires pour accéder à l’appareil et au réseau.
- La désactivation à distance d’un ordinateur de bureau est actuellement gérée par des partenaires, mais elle sera gérée centralement après la migration vers le service d’entreprise des postes de travail.
Si l’on insiste sur la gestion des vulnérabilités et des correctifs
- SPC améliore continuellement ses processus de gestion des vulnérabilités et des correctifs pour l’ensemble de ses systèmes et de ses services. Ces améliorations visent à réduire l’exposition aux cyberattaques, à réduire au minimum la perte de productivité et à protéger les données et l’infrastructure.
- Les leçons retenues sont tirées des cyberévénements et des exercices de formation en cybersécurité, et elles sont ensuite utilisées pour déterminer les améliorations à apporter aux processus de cybersécurité.
Si l’on insiste sur les retards
- Le projet VSSPE a connu des retards principalement en raison de ce qui suit :
- la définition de la gouvernance, en particulier des rôles et des responsabilités après la création du Centre canadien pour la cybersécurité en octobre 2018;
- la pandémie qui a affecté la disponibilité des ressources du projet;
- le processus d’approvisionnement, c’est‑à‑dire les offres non conformes et la nécessité de réorienter l’approche d’approvisionnement.
Si l’on insiste sur les leçons retenues
- SPC a retenu plusieurs leçons du projet VSSPE qui ont contribué à améliorer notre processus d’approvisionnement, par exemple :
- amélioration de la collaboration entre les équipes de projet et d’approvisionnement de SPC afin que les projets puissent bénéficier de conseils en matière d’approvisionnement au cours de leur élaboration;
- renforcement de la collaboration avec l’industrie et évolution des méthodes d’approvisionnement qui cadrent avec l’ensemble des environnements en constante évolution;
- simplification des exigences à l’égard des fournisseurs afin qu’ils répondent à nos besoins essentiels – la simplification permet de concentrer l’approvisionnement sur ces besoins essentiels et de protéger l’intégrité d’un projet;
- instauration de la nécessité de justifier les accords d’approvisionnement au moyen d’une analyse de rentabilisation claire selon laquelle les partenaires de SPC ont besoin de plusieurs options au lieu d’une solution standard pour l’ensemble du gouvernement;
- intégration d’une étape de validation de la solution dans l’approvisionnement agile – une fois que les soumissionnaires ont passé les évaluations techniques, il est utile que les fournisseurs fassent une démonstration de leurs solutions avant de négocier les prix.
- Du point de vue des projets, SPC s’efforcera de réduire la portée et la durée de ses projets de cybersécurité afin de limiter les retards causés par les changements technologiques, les interdépendances des projets, et les exigences et les approvisionnements complexes.
Petits ministères et organismes
Enjeu
- Le 21 octobre 2025, dans son rapport sur la cybersécurité des réseaux et des systèmes gouvernementaux, la vérificatrice générale soulignait que certaines organisations fédérales n’utilisaient pas les services de cybersécurité de Services partagés Canada (SPC).
Faits saillants
- Le rapport indiquait que, sur les 204 organisations du gouvernement du Canada (GC) :
- 85 organisations étaient tenues par les politiques du Secrétariat du Conseil du Trésor (SCT) d’utiliser le service Internet de SPC. De ce nombre, 22 ne se conformaient toutefois pas à cette obligation et utilisaient uniquement les capteurs de défense de cybersécurité du Centre de la sécurité des télécommunications (CST);
- 119 organisations n’étaient pas tenues d’utiliser le service Internet de SPC. Parmi celles-ci, 24 avaient choisi d’utiliser les services de SPC, alors que la plupart (76 organisations) utilisaient les capteurs du CST.
Messages clés
- Le GC s’efforce en permanence d’améliorer la cybersécurité des petits ministères et organismes (PMO) en renforçant la protection offerte par le cadre de cybersécurité d’entreprise de SPC.
- SPC a mis en place un projet visant l’amélioration de la sécurité globale de 43 PMO.
- À la fin de 2024-2025, 23 de ces PMO avaient entièrement adopté les services Internet et les services d’accès à distance gérés par le gouvernement, tandis que 15 avaient adopté le service de messagerie électronique d’entreprise de SPC.
- D’ici la fin de 2026-2027, tous les PMO admissibles restants devraient avoir effectué une transition complète.
- Le modèle client actuel est trop complexe et comprend à la fois des partenaires obligatoires et facultatifs, selon le type de service concerné. Des modifications de l’appareil gouvernemental seraient nécessaires pour simplifier et rationaliser les pouvoirs de SPC.
- En outre, bien que le CST fournisse des capteurs réseau à certains ministères et organismes, ceux-ci n’équivalent pas au niveau de sécurité offert par l’Internet d’entreprise de SPC.
Si l’on insiste à savoir qui SPC doit et peut servir
- Le nombre d’organisations varie au fil des ans, car de nouvelles organisations sont ajoutées et d’autres retirées en fonction des décisions de l’appareil gouvernemental.
- Depuis la création de SPC, en 2011, 45 ministères et organismes reçoivent obligatoirement des services de messagerie électronique, de réseaux et de centres de données de la part de SPC. Depuis 2015, 45 autres organisations, pour la plupart des petits ministères, sont également tenues de faire appel aux services de SPC.
- SPC est autorisé à fournir des services à toutes les institutions fédérales, y compris aux sociétés d’État et aux agents du Parlement, qui peuvent choisir de bénéficier des services de SPC, mais n’y sont pas tenus.
- SPC fournit actuellement des services de connectivité et de sécurité à certaines de ces organisations facultatives et s’efforce de les étendre à d’autres organisations.
Si l’on insiste sur les partenaires disposant de systèmes de messagerie isolés
- SPC a effectué la migration de 38 des 45 ministères et organismes autorisés initiaux, lesquels sont passés de leur ancien service de messagerie géré ou de leurs systèmes de messagerie isolés sur site à un service de messagerie d’entreprise qui tire parti d’un ensemble d’outils de collaboration et qui est hébergé sur une plateforme infonuagique.
- Parmi les PMO ciblés par l’initiative spéciale, 18 utilisent déjà le service de messagerie d’entreprise de SPC (hébergé dans M365). Les PMO restants devraient être intégrés d’ici la fin de 2026-2027.
Si l’on insiste sur les délais
- Il s’agit d’une initiative transformatrice, car la plupart de ces organisations étaient jusque-là peu intégrées à SPC et utilisaient ses services de façon limitée.
- Les premiers défis concernaient les lacunes technologiques constatées pendant la phase de découverte, qui ont nécessité l’affinement de la portée et l’élaboration de solutions sur mesure.
- Progrès réalisés à ce jour :
- Service Internet d’entreprise – six intégrations; cinq autres intégrations prévues d’ici la fin de 2026-2027
- Service d’accès Internet local – trois intégrations; neuf autres intégrations prévues d’ici la fin de 2026-202027
- Accès à distance protégé – deux intégrations; 38 autres intégrations prévues d’ici la fin de 205-2026, et trois autres d’ici la fin de 2026-2027
- Courriel d’entreprise – 13 intégrations; 15 autres intégrations d’ici la fin de 2026-2027
- Autres services (Exchange Online, gestion de la mobilité et des dispositifs organisationnels, amélioration de la sécurité du répertoire) – intégration en cours avec des objectifs échelonnés pendant l’exercice 2026-2027
Si l’on insiste sur le comité des parlementaires sur la sécurité nationale et le renseignement (CPSNR)
- En février 2022, le CPSNR a constaté que la prestation incohérente des services de cyberdéfense aux organisations fédérales par SPC et le CST entraînait des risques pour la sécurité.
- En avril 2022, 178,7 millions de dollars sur cinq ans et 39,5 millions de dollars de façon permanente ont été prévus dans le budget pour renforcer la protection en matière de cybersécurité des PMO et des sociétés d’État.
- Le CPSNR a également conclu que la surveillance des réseaux gouvernementaux était incohérente et que le système de gestion des événements et des informations de sécurité de SPC n’était pas mis en œuvre de façon uniforme pour tous les clients. Ainsi, SPC ne dispose pas d’un aperçu complet des réseaux gouvernementaux lui permettant de déterminer les risques et de réagir aux incidents.
- Bien que le CPSNR n’ait pas produit de rapport sur la cybersécurité du gouvernement fédéral depuis 2022, les cyberopérations du CST ont été examinée dans le cadre de son rapport sur les activités de sécurité nationale d’Affaires mondiales Canada, et les cyberattaques ont été examinées par les entités étrangères dans le rapport du CPSNR sur l’ingérence étrangère.
Cyberattaque à Affaires mondiales : délai de 7 jours
Enjeu
- Dans son rapport sur la cybersécurité des réseaux, la vérificatrice générale a critiqué Services partagés Canada (SPC) pour sa gestion de la cyberattaque survenue en janvier 2024 contre Affaires mondiales Canada (AMC), écrivant qu’il lui a fallu « 7 jours » pour fournir des renseignements, ce qui a retardé l’intervention.
Messages clés
- Le 10 janvier 2024, SPC a été informé d’un trafic suspect sur le service de RPV d’AMC. SPC a immédiatement pris contact avec AMC et le Centre canadien pour la cybersécurité (CCC) du Centre de la sécurité des télécommunications (CST) afin de déterminer les mesures d’atténuation appropriées en matière de sécurité à prendre.
- Le 19 janvier 2024, le CCC a officiellement demandé à SPC des renseignements précis sur la sécurité du RPV. La demande a été approuvée en moins d’une heure, et SPC, AMC et le CCC ont accepté de procéder au transfert le 22 janvier 2024.
- Bien que ce type de transfert n’ait pas été nécessaire au cours des 13 années qui se sont écoulées depuis la création de SPC, le Ministère a désormais intégré la production de renseignements sur la sécurité dans ses procédures opérationnelles standard afin d’assurer le traitement plus rapide des demandes similaires.
- Depuis qu’il a été informé du trafic suspect sur le service de RPV d’AMC, SPC a été pleinement saisi de la gestion de l’incident et des contrôles de sécurité établis, considérés comme les pratiques exemplaires dans le secteur de la TI.
- Pour des raisons de sécurité, SPC ne divulgue pas de renseignements sur des mesures, de l’équipement ou des logiciels en particulier.
Défense contre les menaces mobiles
Enjeu
- Services partagés Canada (SPC) met en place un service d’entreprise de défense contre les menaces mobiles pour plus de 219 000 téléphones intelligents au sein du gouvernement du Canada (GC).
Messages clés
- SPC s’efforce de renforcer la sécurité et la fonctionnalité des appareils mobiles du gouvernement grâce au projet de défense contre les menaces mobiles.
- Les appareils mobiles sont devenus une cible privilégiée pour les cybermenaces comme les logiciels malveillants, les logiciels espions et l’hameçonnage, ce qui met en danger les informations sensibles.
- Le service de défense contre les menaces mobiles renforcera la sécurité des appareils mobiles en favorisant le signalement des vulnérabilités potentielles et de l’exposition aux menaces. Des mesures automatisées et immédiates seront prises, par exemple le blocage des réseaux Wi-Fi non vérifiés, le verrouillage ou l’épuration des appareils à distance et la gestion des correctifs. Ces mesures seront intégrées à l’outil de gestion des appareils mobiles du GC existant.
- Le service de défense contre les menaces mobiles améliorera la productivité. La défense contre les menaces mobiles permettra aux employés de se rendre à davantage de destinations en utilisant leur appareil habituel, avec accès aux courriels, coordonnées, ressources et applications de collaboration opérationnels, plutôt que d’utiliser des appareils de voyage aux fonctionnalités limitées
- Le service de défense contre les menaces mobiles sera déployé sur 31 000 appareils du ministère de la Défense nationale d’ici mars 2027. Le déploiement dans tous les autres ministères suivra à une date ultérieure.
Si l’on insiste sur l’approvisionnement :
- Pour donner suite à une demande de propositions lancée l’automne dernier, SPC attribuera cet hiver un contrat concurrentiel visant l’obtention d’une solution de défense contre les menaces mobiles.
- L’établissement des coûts du projet est en cours.
Si l’on insiste sur l’utilisation actuelle :
- À l’heure actuelle, en raison des risques encourus par ses employés, Affaires mondiales Canada utilise sa propre solution de défense contre les menaces mobiles pour protéger 10 000 téléphones intelligents nationaux et internationaux.
- Certains ministères, dont Emploi et Développement social Canada, Finances Canada, Justice Canada, le Bureau du Conseil privé et Transports Canada, ont déployé des solutions de défense contre les menaces mobiles sur un nombre limité de téléphones intelligents.
Contexte
SPC propose maintenant un service de voyages internationaux aux employés qui se rendent dans des zones à risque élevé à l’étranger. Un appareil distinct comportant un compte de messagerie vierge séparé, sans contrat et sans accès aux applications de collaboration, est fourni à cet effet. La décision d’utiliser ou non un appareil national à l’étranger est prise par le responsable de la sécurité de chaque ministère. Même en présence du projet de défense contre les menaces mobiles, la visite de certaines destinations à haut risque nécessitera toujours l’utilisation d’appareils de voyage.
Grâce à ses services mobiles, SPC gère plus de 219 000 téléphones intelligents dans plus de 50 organisations, garantissant ainsi un accès sécurisé et permanent aux outils de communication et de collaboration. Ce service géré de manière centralisée offre une rentabilité, une sécurité accrue grâce à des contrôles communs et une expérience fluide et normalisée pour les employés.
Audit du BVG de la cybersécurité des réseaux et systèmes du gouvernement – Plan d'action de la gestion de SPC
| Recommendation | Plan d'action de la gestion | Poste responsable | Date d'achèvement |
|---|---|---|---|
| Services partagés Canada, en collaboration avec le Centre de la sécurité des télécommunications Canada, devrait établir un plan d’action clair comprenant des critères définis et un échéancier pour mettre au point une application de gestion de l’information et des événements de sécurité qui corrige les lacunes existantes en matière de surveillance de la cybersécurité. |
|
Sous-ministre adjointe Gestion et exécution des projets | █████████████████████ |
|
Sous-ministre adjointe Gestion et exécution des projets | ███████████████ | |
|
Sous-ministre adjointe Gestion et exécution des projets | Le 31 décembre 2026 | |
|
Sous-ministre adjointe Gestion et exécution des projets | Le 31 décembre 2026 | |
|
Sous-ministre adjointe Gestion et exécution des projets | Le 31 mars 2027 | |
Services partagés Canada devrait :
|
|
Sous-ministre adjoint Dirigeant principal des finances et Approvisionnement | Le 31 mars 2028 |
|
Sous-ministre adjointe principale Opérations et services à la clientèle | Le 31 mars 2026 | |
|
Sous-ministre adjointe principale Opérations et services à la clientèle | Le 31 mars 2026 | |
|
Sous-ministre adjointe Gestion et exécution des projets | Le 31 mars 2026 | |
| Le Secrétariat du Conseil du Trésor du Canada, le Centre de la sécurité des télécommunications Canada et Services partagés Canada devraient réévaluer leurs pratiques de gestion des incidents de cybersécurité pour améliorer la coordination et favoriser la communication rapide de l’information essentielle requise pour intervenir lors de cyberattaques visant des organisations fédérales. |
|
Sous-ministre adjoint principal Services de connectivité et de sécurité |
Le 30 avril 2025
(terminé) |
|
Sous-ministre adjoint principal Services de connectivité et de sécurité | Le 31 mai 2025 (terminé) |
|
|
Sous-ministre adjoint principal Services de connectivité et de sécurité | Responsable CST – dates à déterminer |
Transformation gouvernementale
Objet
- En tant que fournisseur de services communs de technologie de l'information (TI) du gouvernement du Canada (GC), Services partagés Canada (SPC) joue un rôle central dans la transformation du gouvernement et la création de gains d'efficacité à l'échelle du gouvernement, en étroite collaboration avec le Bureau du dirigeant principal de l'information (BDPI) du Secrétariat du Conseil du Trésor du Canada (SCT) et Services publics et approvisionnements Canada (SPAC).
Faits saillants
- S.O.
Messages clés
- Le GC est déterminé à effectuer une transformation; à accroître la productivité du gouvernement tout en réduisant le coût des activités. En améliorant l’efficacité et l’efficience du gouvernement, on améliorera la prestation de programmes et de services à la population canadienne et aux entreprises.
- SPC joue un rôle clé dans la transformation numérique au sein du GC, en facilitant l'adoption et la mise à l'échelle de l'intelligence artificielle (IA) dans l'ensemble de la fonction publique. SPC réalisera également 318,5 millions de dollars d'économies permanentes grâce à des gains d'efficacité dans ses activités internes.
-
SPC met en œuvre l'IA à l'échelle du gouvernement en :
- élaborant une plateforme d'IA souveraine conçue au Canada, pouvant être déployée dans l'ensemble du gouvernement, en partenariat avec des entreprises canadiennes de premier plan dans le domaine de l'IA, le ministère de la Défense nationale (MDN) et le Centre de la sécurité des télécommunications (CST)
- dirigeant un processus d’approvisionnement concurrentiel pour les outils de productivité fondés sur l’IA générative destinés aux fonctionnaires, qui comprend trois fournisseurs canadiens présélectionnés
- permettant l’accès à une capacité de puissance de calcul pour l’IA souveraine pour la recherche publique et privée, en collaboration avec le Conseil national de recherche du Canada (CNRC)
- appliquant l'IA et l'automatisation dans les activités internes pour automatiser les demandes d'assistance informatique courantes et réduire les volumes d'appels et les coûts, tout en améliorant l'expérience utilisateur
- SPC transforme l'infrastructure d'hébergement du gouvernement en la faisant passer d'un vaste ensemble de systèmes cloisonnés et désuets à des solutions d'hébergement modernes. Ce nouveau modèle combine des services infonuagiques et des centres de données traditionnels sur site afin d'optimiser la performance, réduire les coûts et offrir une flexibilité accrue.
- SPC proposera une solution de bureau commune à l'ensemble du gouvernement afin d'assurer la transition des ministères vers un service de bureau normalisé et géré dans le nuage. Cette approche réduira la complexité, uniformisera la sécurité informatique, augmentera la portabilité et entraînera des économies importantes pour la population canadienne.
- Conformément à la priorité du gouvernement de moderniser la manière dont il achète des biens et des services, SPC examine tous les éléments de ses approvisionnements de technologies de l'information (TI), notamment en réalisant des analyses comparatives, en donnant la priorité aux fournisseurs canadiens ainsi qu’aux infrastructures et services souverains, et en s’assurant d’obtenir la meilleure valeur pour le Canada.
- SPC soutient également le programme plus vaste de transformation numérique du gouvernement par le biais de projets et d'initiatives menés par des partenaires, notamment en permettant l'accès à la capacité de calcul de l'IA souveraine en collaboration avec le CNRC, en poursuivant les travaux visant à améliorer les ressources humaines et la rémunération des fonctionnaires fédéraux et en permettant au ministère de la Défense nationale de moderniser ses systèmes pour soutenir les Forces armées canadiennes au pays et à l'étranger.
Si l’on insiste sur les économies
- Dans le cadre de l'examen exhaustif des dépenses (EED), SPC atteindra des objectifs d'économies de 15 % sur trois ans, ce qui permettra de réaliser des économies permanentes de 318,5 millions de dollars.
-
Plus précisément, SPC :
- normalisera les plateformes, notamment en réalignant les offres de logiciels d'entreprise pour répondre aux besoins actuels
- éliminera les licences peu utilisées ou redondantes
- éliminera les lignes téléphoniques fixes non essentielles dans tous les immeubles du GC, ce qui réduira les dépenses, et déploiera des téléphones logiciels plus économiques pour tous les employés
- examinera, consolidera et renégociera les contrats pour éliminer les chevauchements, obtenir de meilleurs prix et harmoniser les dépenses aux besoins de l’entreprise
- tirera parti des technologies émergentes pour automatiser les tâches répétitives, utilisera des outils alimentés par l'IA pour optimiser les opérations et la prestation de services, et automatisera les demandes d'assistance informatique courantes pour réduire les volumes d'appels et les coûts tout en améliorant l'expérience des utilisateurs
- augmentera sa capacité et expertise internes afin de réduire la dépendance à l’égard des consultants et des entrepreneurs externes pour les opérations courantes
- simplifiera l'empreinte informatique en nuage du gouvernement en regroupant plus de 287 environnements d'infonuagique de partenaires ministériels dans le nuage d’entreprise de SPC (Service infonuagique unifié du GC)
- réduira et rationalisera les 190 centres de données existants restant au Canada pour obtenir 4 centres de données d'entreprise, 1 centre de calcul de haute performance, 5 centres de données regroupés et environ 50 sites d'informatique de périphérie
Contexte
- SPC est responsable de moderniser, de sécuriser et de gérer l'infrastructure informatique qui soutient les ministères et les organismes. Ces activités permettent d'assurer une prestation de services fiable et efficace pour la population canadienne, tant au niveau national qu'à l'étranger. Le BDPI du SCT définit les orientations du gouvernement en matière de données, de TI, de cybersécurité et de gestion des services, tandis que les différents ministères et organismes sont responsables de leurs propres applications et données.
Intelligence artificielle
Objet
- L’intelligence artificielle (IA) est considérée comme une technologie de base, qui devrait provoquer d’importants changements sociaux et économiques. Services partagés Canada (SPC) explore comment utiliser les nouvelles technologies telles que l'IA pour soutenir le travail du gouvernement.
Faits saillants
- S.O.
Messages clés
- En adoptant l'IA, le gouvernement du Canada (GC) transformera ses activités et favorisera une fonction publique plus efficient et efficace.
-
SPC joue un rôle de premier plan dans la transformation numérique au sein du GC, en facilitant l'adoption et la mise à l'échelle de l'IA dans l'ensemble du secteur public en :
- élaborant une plateforme d'IA souveraine conçue au Canada, qui peut être déployée à l’échelle du gouvernement fédéral, en partenariat avec des entreprises canadiennes d'IA de premier plan, le ministère de la Défense nationale (MDN) et le Centre de la sécurité des télécommunications (CST).
- dirigeant un processus d’approvisionnement concurrentiel pour des outils de productivité basés sur l’IA générative destinés aux fonctionnaires, incluant trois fournisseurs canadiens présélectionnés.
- permettant l’accès à une capacité de puissance de calcul pour l’IA souveraine aux fins de la recherche publique et privée, en collaboration avec le Conseil national de recherches Canada (CNRC).
- appliquant l'IA et l'automatisation dans les activités internes pour automatiser les demandes courantes d'assistance informatique, réduisant ainsi le volume d'appels et les coûts tout en améliorant l'expérience utilisateur.
Si on insiste au sujet des initiatives de SPC en matière d'IA
- SPC élabore des outils de base en faisant appel à des experts internes en IA, ce qui permet de réduire la dépendance à l'égard des consultants, de diminuer les coûts et de conserver les connaissances au sein du gouvernement.
- SPC a affiné des grands modèles de langage (GML) en utilisant du contenu canadien afin de garantir que les outils d'IA reflètent le contexte, les valeurs et les priorités du Canada.
- SPC déploie à grande échelle son outil d'IA générative interne appelé CANChat. Il s'agit d'une plateforme d'IA sûre et sécurisée pour les fonctionnaires qui garantit que les données du GC restent au Canada, sont hébergées sur une infrastructure accrédité par le gouvernement et ne sont pas accessibles aux fournisseurs de services étrangers.
- SPC est en train de lancer un processus d’approvisionnement pangouvernemental pour des outils d'IA générative qui s'intègrent à des suites bureautiques telles que Microsoft 365. Il y a actuellement cinq soumissionnaires qualifiés qui devraient soumettre des propositions, dont trois sont canadiens.
- SPC élargit l'infrastructure, les compétences et l'expertise nécessaires pour soutenir l'adoption de l'IA, notamment en rendant disponibles des outils d'IA commerciaux, en créant un marché de l'IA pour le partage des ressources et en contribuant à la mise en place d'une installation de calcul de haute performance sécurisée et souveraine pour faire progresser la recherche sur l'IA.
- SPC exploite le Centre d'excellence en IA (CEAI), qui aide les ministères et les organismes à appliquer l'IA, partage des meilleures pratiques, contribue à l'élaboration de politiques et encourage la collaboration par le biais d'évaluations par les pairs et de groupes de travail.
- Le GC est déterminé à veiller à ce que l'IA soit utilisée de manière responsable et à ce qu'elle soit régie par des valeurs, l’éthique et des règles claires.
Si on insiste sur les emplois
- L'IA est destinée à soutenir le travail des fonctionnaires, et non à les remplacer. Elle peut aider à accomplir les tâches routinières et répétitives afin que les employés puissent se concentrer sur le travail qui nécessite de la créativité, des capacités en résolution de problèmes et le jugement humain. L'automatisation des tâches routinières et fastidieuses permet d'accroître la souplesse, l'efficacité et le maintien en poste.
Si on insiste sur les protocoles d’entente relatifs à l'IA
- Le GC a récemment signé un protocole d'entente avec Cohere Inc. afin d'explorer les possibilités de déploiement de l'IA dans les activités internes du gouvernement et de renforcer la souveraineté numérique grâce à un écosystème numérique et d'IA conçu au Canada. Les efforts déployés par SPC pour définir les exigences relatives aux services souverains d'hébergement infonuagique font progresser ces travaux.
Contexte
Pour guider l'utilisation responsable de l'IA, le Secrétariat du Conseil du Trésor du Canada a publié des ressources clés, notamment la Directive sur la prise de décision automatisée, le Guide sur l'utilisation de l'intelligence artificielle générative et l'Outil d'évaluation de l'incidence algorithmique.
Souveraineté numérique
Objet
Par souveraineté numérique, on entend la capacité d'exercer une autonomie sur l'infrastructure, les données et la propriété intellectuelle numérique et les technologies critiques. Cette capacité protège la sécurité nationale, favorise la compétitivité économique, permet à un pays de fonctionner de manière indépendante et de réduire les risques d'ingérence étrangère à l'ère numérique. Elle se compose des éléments suivants :
- Souveraineté des données : Veiller à ce que les données soient conformes aux lois nationales et restent sous l’autorité et le contrôle du pays
- Souveraineté opérationnelle : Garder le contrôle sur la manière dont les services numériques sont déployés et empêcher la dépendance à l'égard d'entités étrangères ou l’ingérence par ces dernières
- Souveraineté technologique : Maintenir la capacité de prendre des décisions indépendantes en matière de technologie sans être trop dépendant de fournisseurs en situation de monopole ou sous contrôle étranger
Faits saillants
- Conformément à la Directive sur le service et le numérique, les ministères et organismes doivent donner la priorité aux installations informatiques situées au Canada ou dans les locaux du Gouvernement du Canada (GC) à l'étranger pour le stockage ou le traitement d'informations électroniques sensibles, telles que les données protégées B, C ou classifiées. Cette approche permet de protéger les données importantes et de les garder sous contrôle canadien.
- Conformément à la Politique sur la protection de la vie privée, les ministères et les organismes doivent protéger correctement les renseignements personnels, réduire les risques pour la vie privée et agir de manière responsable et transparente, même lorsque les renseignements sont traités ou stockés par des entreprises tierces.
- Les obligations en matière de protection des données sont intégrées dans les contrats avec les fournisseurs de services par le biais de clauses de sécurité normalisées, de restrictions d'accès et d'exigences en matière de signalement des incidents.
Messages clés
- La souveraineté numérique est une priorité essentielle pour le GC. Elle doit permettre de protéger les données essentielles, de réduire les risques d'ingérence étrangère et de renforcer les capacités nationales en matière de technologies de l'information (TI).
- Services partagés Canada (SPC) investit dans les capacités technologiques nationales et renforce les politiques pour protéger les infrastructures critiques.
- Dans le but d’établir des capacités infonuagiques souveraines canadiennes, SPC a lancé un processus d’approvisionnement qui donne la priorité aux fournisseurs de services infonuagiques détenus et contrôlés par des intérêts canadiens. Ces efforts permettront de garantir la capacité canadienne au sein de l'écosystème infonuagique du GC.
- SPC élaborera également une plateforme d'IA souveraine « conçue au Canada » qui pourra être déployée à l’échelle du gouvernement, en partenariat avec des entreprises canadiennes d'IA de premier plan, et qui permettra un meilleur accès à la capacité de calcul souverain pour l’IA.
- SPC s'efforce activement de renforcer la diversification des TI en réduisant la concentration et l'influence des fournisseurs dans des domaines stratégiques, tout en promouvant des solutions faites au Canada.
Si l’on insiste sur les mesures de protection
- Le GC utilise une série de mesures de protection techniques pour protéger les données, maintenir la fiabilité du service et assurer le fonctionnement continu de ses systèmes. Il s'agit notamment de la conception de systèmes sécurisés, du cryptage pour protéger les informations stockées et en transit, de la gestion des accès et des identités ainsi que la surveillance continue pour détecter les incidents et y répondre.
Si on insiste sur la façon dont SPC renforce la souveraineté numérique
- SPC travaille avec des entreprises de télécommunications canadiennes et fournit au GC un réseau rapide et fiable à l'intérieur du Canada qui est exploité sur des actifs détenus part des intérêts canadiens. Cela permet de garder les données importantes en sécurité et sous le contrôle du Canada.
- SPC utilise une infrastructure d’entreprise de pointe et de multiples couches de mesures de défense, y compris des capteurs conçus pour repérer et éliminer les cybermenaces.
- SPC propose des modèles d'hébergement hybrides pour répondre aux besoins du GC en matière de sécurité, d'évolutivité et de souveraineté. Les modèles d'hébergement vont des centres de données appartenant entièrement détenus par le GC (souveraineté maximale) aux services infonuagiques publics (moins de contrôle, plus d'évolutivité).
- Les centres de données d'entreprise (CDE) de SPC sont situés au Canada et fonctionnent sur des actifs appartenant à des intérêts canadiens. Cette approche permet de protéger les données importantes et de les garder sous contrôle canadien.
Contexte
- En raison de la domination mondiale des fournisseurs de technologies basés aux États-Unis et de la taille relativement petite du secteur des TI au Canada, des interventions ciblées sont essentielles pour développer les capacités canadiennes. L'infonuagique, en particulier, est dominée par Amazon Web Services, Google Cloud et Microsoft Azure, ce qui pose des problèmes de souveraineté opérationnelle et technologique.
- Les auteurs de cybermenaces avancées utilisent de plus en plus les chaînes d'approvisionnement pour contourner les mesures de défense traditionnelles en introduisant des vulnérabilités. Depuis 2012, SPC a atténué ce risque en procédant à des examens de l'intégrité de la chaîne d'approvisionnement (ICA) au moment de faire l’acquisition d’équipements, de logiciels et de services. Ces évaluations aident les ministères et les organismes à repérer et possiblement à atténuer les vulnérabilités en matière de sécurité avant qu'elles n'aient un impact sur les activités.
- Le gouvernement canadien a effectué des investissements stratégiques dans des entreprises canadiennes du secteur des TI. Notamment, en mars 2025, Innovation, Sciences et Développement économique Canada (ISDE) a annoncé un financement pouvant atteindre 240 millions de dollars pour l'entreprise torontoise Cohere Inc. Cet investissement fait de Cohere le premier bénéficiaire du Défi de la capacité de calcul pour l’IA, qui s'inscrit dans le cadre de la stratégie canadienne en matière de puissance de calcul pour l’IA, dont la valeur s’élève à 2 milliards de dollars. En août, le GC a signé un protocole d'entente avec Cohere afin d'explorer les possibilités de déploiement des technologies d'IA au sein du gouvernement pour améliorer les opérations du service public et renforcer les capacités commerciales du Canada en matière d'utilisation et d'exportation de l'IA.
L’approvisionnement à Services partagés Canada
Objet
- Cette note explique les pratiques et réalisations générales de Services partagés Canada (SPC) en matière d’approvisionnement.
Messages clés
- SPC suit un processus d’approvisionnement équitable, ouvert et transparent, guidé par des règles et des contrôles bien établis.
- La plupart des contrats de SPC sont attribués par appel d’offres concurrentiel afin d’assurer la meilleure valeur pour la population canadienne.
- SPC fait avancer une stratégie de diversification des technologies de l’information (TI), qui augmentera la diversité des fournisseurs, réduira la dépendance aux technologies étrangères, favorisera un écosystème informatique souverain et favorisera des solutions canadiennes.
Si l’on insiste sur
Si l’on insiste sur la Politique provisoire sur l’approvisionnement réciproque
- La Politique provisoire sur l’approvisionnement réciproque vise à assurer l’équité dans les marchés publics fédéraux en limitant l’accès aux fournisseurs provenant de pays qui restreignent la participation canadienne à leurs propres contrats gouvernementaux.
- La politique privilégie les fournisseurs canadiens et ceux issus de partenaires commerciaux de confiance, ce qui contribue à renforcer les chaînes d’approvisionnement nationales et à soutenir les entreprises canadiennes.
Si l’on insiste sur l’attribution d’un contrat à un fournisseur unique
- SPC attribue occasionnellement des contrats non concurrentiels, qui sont soumis à la même révision rigoureuse que les contrats concurrentiels, en fonction de leur risque et de leur valeur.
- Les justifications de ces contrats reposent sur des critères clairs, tels que l’urgence, l’exclusivité ou l’intérêt national.
Si l’on insiste sur l’approche « aucune substitution »
- En raison des exigences opérationnelles, SPC achète parfois de l’équipement directement auprès d’un fabricant afin d’assurer la compatibilité avec les systèmes existants, dans des circonstances où il n’existe aucune solution de rechange possible.
- Lorsque cela se produit, SPC fournit une justification technique pour appuyer la décision. Dans certains cas, le contrat demeure concurrentiel — mais seulement entre les revendeurs autorisés de l’équipement spécifique.
Si l’on insiste sur l’externalisation
- SPC utilise des services professionnels pour aider à mettre en œuvre des programmes et des projets, pour atteindre les objectifs de livraison ou pour fournir une expertise externe sur un projet particulier.
- Les dépenses de conseil en gestion ont été réduites de 81 %, passant de 175 millions de dollars en 2022-2023 à 34 millions de dollars en 2023-2024. La surveillance a été renforcée pour garantir que les services ne soient utilisés que lorsque cela est justifié sur le plan opérationnel.
Si l’on insiste sur le rapport « Appât et substitution » de l’ombud de l’approvisionnement
- SPC engage généralement des consultants qui utilisent les méthodes d’approvisionnement établies par Services publics et approvisionnement Canada (SPAC). Pour assurer la qualité et la conformité, SPC vérifie que les ressources individuelles proposées respectent ou dépassent à la fois les qualifications minimales de SPAC et les exigences spécifiques de SPC.
- SPC a renforcé ses directives aux agents d’approvisionnement en mettant à jour les instructions pour clarifier le processus et améliorer la cohérence et l’exhaustivité de la documentation.
Si l’on insiste sur les arrangements en matière d’approvisionnement
- SPC a mis en place des arrangements en matière d’approvisionnement qui favorisent la participation des entreprises autochtones, y compris des mesures telles que des plans de participation des Autochtones pour soutenir la sous-traitance, l’emploi et le développement des compétences.
- Les contrats de plus de 5 millions de dollars font l’objet d’examens de gouvernance afin d’assurer une prise en compte significative des entreprises autochtones dans le processus d’approvisionnement.
Contexte
- Les contrats du GC sont régis par des lois, des règlements et des politiques gouvernementales bien établies. SPC se conforme à la Loi sur la gestion des finances publiques, au Règlement sur les marchés de l’État, à la Directive sur la gestion de l’approvisionnement, à la Politique sur la planification et la gestion des investissements, au Code de conduite pour l’approvisionnement, aux accords commerciaux, aux décisions judiciaires, à la Politique d’achats écologiques, à la Stratégie d’approvisionnement auprès des entreprises autochtones et à la Directive du Nunavut.
- En 2024-2025, SPC a attribué 11 391 contrats et modifications d’une valeur d’environ 3,17 milliards de dollars (net) :
- 7 823 contrats évalués à 2,15 milliards de dollars;
- 2 589 modifications positives de contrats évaluées à 1,30 milliard de dollars;
- 979 modifications de contrats négatives évaluées à -270,85 millions de dollars;
- 9,8 % de la valeur des contrats financés par SPC ont été attribuée à des entreprises autochtones, ce qui représente 228,3 millions de dollars et dépasse l’objectif d’approvisionnement autochtone de 5 % du gouvernement du Canada;
- 65,9 % des contrats attribués — évalués à 1,12 milliard de dollars — ont été attribués à des petites et moyennes entreprises (PME) canadiennes avec des entreprises canadiennes;
- 32,5 % — évalués à 554 millions de dollars — sont allés à des PME canadiennes auprès de sociétés mères étrangères.
Rapport de la vérificatrice générale du Canada : Les centres de communication de l’Agence du revenu du Canada
Objet
- Dans ce rapport, la vérificatrice générale a constaté que les centres de contact de l’Agence du revenu du Canada (ARC) n’ont pas fourni d’informations précises et opportunes aux appelants de façon constante.
- Le rapport a mis en évidence des lacunes dans la gestion de la plateforme des services de centre de contact hébergé (SCCH), mise en œuvre dans le cadre d’un contrat avec Services partagés Canada (SPC).
Faits saillants
- Le contrat de SCCH prévoit une garantie de revenu minimum de 50 millions de dollars sur 10 ans. Les autorités de SPC permettent des dépenses allant jusqu’à 300 millions de dollars pour ce contrat et la prévision actuelle des dépenses est de 190 millions de dollars.
- Le contrat, attribué en 2015, a été mis en œuvre pour l’ARC et d’autres ministères en novembre 2018 et se poursuit jusqu’en 2027.
- En 2025, à la suite d’un processus concurrentiel, SPC a attribué un contrat de 5 ans (avec une option de prolongation de 5 ans) à Bell Canada pour l’utilisation de sa plateforme Genesys Cloud CX. Le contrat initial est évalué à 7 millions de dollars, valeur qui augmentera avec le temps à mesure que les services seront utilisés. Alors que la conception et la mise en œuvre du nouveau contrat sont en cours, son coût total prévu n’est pas encore disponible.
Messages clés
- Le contrat respecte son budget. À compter de juin 2025, le coût initial unique et les coûts mensuels prévus pour les 10 premières années du contrat s’élèvent à 190 millions de dollars. Les autorités d’approvisionnement de SPC pour ce contrat s’élèvent à un maximum de 300 millions de dollars.
- SPC accueille favorablement les conclusions de la vérificatrice générale. Les centres de contact modernes sont essentiels pour que les ministères puissent offrir des services à la population canadienne.
- SPC est généralement d’accord avec les recommandations, dont plusieurs ont déjà été mises en œuvre. Il travaille à régler les éléments restants.
- En s’appuyant sur les leçons apprises du contrat précédent, SPC a attribué un nouveau contrat en juillet 2025 pour remplacer les services de TI existants des centres de contact de l’ARC. La nouvelle solution permettra à l’ARC de tirer parti des technologies actuelles et émergentes, qui sont évolutives et flexibles sur toute la durée du contrat, afin de soutenir une prestation de services efficace.
- SPC demeure engagé envers une gestion solide et responsable. SPC, en collaboration avec l’ARC, renforce les pratiques de gestion des contrats avec des rôles, responsabilités et processus clairement définis.
Si l’on insiste sur le nouveau contrat :
-
Les ministères partenaires, y compris l’ARC, ont participé activement à la définition des exigences et à l’évaluation de la nouvelle solution de centre de contact. Dans le cadre du nouveau contrat, l’ARC bénéficiera :
- d’une plus grande autonomie pour mettre en œuvre et tester des fonctionnalités, permettant des améliorations plus agiles des services;
- d’informations détaillées sur la facturation, qui la simplifient et améliorent la clarté lors de la certification de la réception de biens et services et de l’autorisation du paiement.
- Le nouveau centre de contact en tant que service (CCaaS) est une solution commerciale flexible et évolutive pour gérer les interactions avec les clients sur divers canaux, tels que le téléphone, les courriels, le clavardage et les médias sociaux.
Si l’on insiste sur la valeur :
- Le gouvernement du Canada (GC) n’a payé que pour les fonctionnalités et la consommation qu’il a utilisées.
- Les augmentations de la valeur du contrat reflètent une augmentation de l’utilisation au fil du temps comme le recours aux années optionnelles, l’ajout de nouveaux centres de contact, l’augmentation de l’utilisation ou de la capacité pendant la pandémie, et non des changements de prix.
Si on insiste sur la confusion des coûts :
- Le minimum de 50 millions de dollars n’a jamais été une valeur totale estimée du contrat, mais plutôt l’engagement minimum pour assurer au fournisseur qu’il récupérerait son investissement initial dans l’infrastructure et sa mise en place. Une fois l’utilisation commencée, les commandes de service ont été passées et la valeur du contrat a été modifiée en conséquence.
- Certaines fonctionnalités disponibles dans le cadre du contrat n’ont pas été activées dès le départ. Certaines ont été ajoutées ultérieurement, ce qui a donné lieu à des modifications au contrat. Cela a permis au service de répondre aux besoins en constante évolution du Ministère.
- Plutôt que d’attribuer la totalité de la valeur estimée du contrat dès le départ, SPC a utilisé l’approche des pratiques exemplaires qui consiste à attribuer des commandes de services moins importantes par étapes, en fonction de la consommation prévisible et des prévisions de mise en œuvre des fonctionnalités. Cela a permis de mettre en place des contrôles et des barrières afin de s’assurer que le contrat et les dépenses étaient régulièrement examinés à l’interne et par nos partenaires. Les modifications qui ont augmenté la valeur globale du contrat correspondaient simplement aux commandes de service en fonction de la consommation.
Contexte
En 2013, le GC a mis en œuvre une solution de centre de contact commun. En 2015, SPC a attribué un contrat à IBM pour le système de SCCH. Il comprenait de nouvelles fonctions telles que l’acheminement des appels vers les agents qui ont des connaissances pertinentes, la mise en file d’attente à l’échelle nationale lors des appels, un système intégré de réponse vocale, des temps d’attente estimés et des fonctionnalités de gestion des effectifs. Le contrat a été conçu pour inclure de nombreuses caractéristiques que l’ARC et les autres ministères peuvent choisir de mettre en œuvre en fonction de leurs besoins opérationnels évolutifs sur toute la durée du contrat.