Audit de la planification de la continuité des opérations

Février 2018

Table des matières

• 1 Sommaire
• 2 Introduction
• 3 Objet et portée
• 4 Cadre législatif et stratégique
• 5 Déclaration d’assurance
• 6 Opinion de l’auditeur
• 7 Observations et recommandations
  • 7.1 Gouvernance
  • 7.2 Politiques, directives, lignes directrices, rôles et responsabilités
  • 7.3 Formation et apprentissage
  • 7.4 Processus de planification de la continuité des opérations
  • 7.5 Communications
• Annexe A. Méthodologie et critères du programme d’audit
• Annexe B. Processus du Programme de planification de la continuité des opérations
• Annexe C. Critères du plan de continuité des opérations

1 Sommaire

1. La planification de la continuité des opérations (PCO) est un processus de planification proactif qui assure la prestation des services ou des produits essentiels lors d’une perturbation. Ces services ou produits sont ceux qui doivent être fournis pour assurer la survie des personnes, éviter de leur porter préjudice et respecter les obligations juridiques ou autres d’une organisation^{Note de bas de page 1}. Le processus de planification comprend quatre principaux éléments : la mise en place du programme de gouvernance de la PCO, la tenue d’une analyse des répercussions sur les opérations (ARO), l’élaboration des plans de continuité des opérations et le maintien de l’état de préparation de la PCO^{Note de bas de page 2}. Les plans de continuité des opérations assurent la prestation ininterrompue des services ou produits essentiels aux clients. Plutôt que de mettre l’accent sur la reprise des opérations essentielles après une interruption ou sur le rétablissement après un désastre, les plans de continuité des opérations visent le maintien des opérations essentielles^{Note de bas de page 3}.

2. La Loi sur la gestion des situations d’urgence de 2007 a fait de la gestion des situations d’urgence une responsabilité fondamentale du gouvernement du Canada et une responsabilité collective de toutes les institutions fédérales. La gestion des urgences renforce la capacité du gouvernement à assurer la sécurité des Canadiens par l’entremise de la gestion des urgences tous risques. L’approche tous risques pour la gestion des urgences englobe quatre fonctions interdépendantes et intégrées : atténuation/prévention, préparation, intervention et rétablissement^{Note de bas de page 4}.

3. Le programme de PCO, qui va de pair avec les mesures de protection civile, est prescrit par la loi, les politiques, les directives et les normes (p. ex., les plans d’évacuation des immeubles et en cas d’incendie)^{Note de bas de page 5}. Reposant sur la Politique sur la sécurité de 2009 du gouvernement, la prestation continue des services gouvernementaux passe par l’imposition d’exigences de base en matière de sécurité, de la planification de la continuité des opérations, y compris des activités de gestion de l’information (GI) et de la technologie de l’information (TI), ainsi que la gestion continue des risques.

4. Le programme de PCO de l’Agence Parcs Canada (l’Agence) a été mis sur pied à la fin de 2008 avec l’approbation de la Directive du programme de PCO de l’Agence, qui a été suivie de la définition des six services essentiels de l’Agence : les services de sécurité publique, la gestion des feux de forêt, la lutte contre les inondations, la gestion des routes, la gestion des lotissements urbains et l’application de la loi. Le programme de PCO (le programme) s’étend à l’ensemble de l’Agence partout au Canada et comprend les 7 directions, 33 unités de gestion et le Bureau du directeur général^{Note de bas de page 6}.

5. Le programme est géré par l’agent de sécurité ministériel (ASM) au sein de la Direction générale de la planification stratégique et des services organisationnels (PSSO). L’ASM nous explique qu’au moment de l’audit, une personne consacrait une faible part de sa charge de travail à la gestion du programme. Cette ressource était appuyée sur le plan fonctionnel par les 45 coordonnateurs locaux de la PCO^{Note de bas de page 7} répartis dans les unités d’affaires de l’Agence^{Note de bas de page 8} qui accomplissent leur travail lié à la PCO tout en s’acquittant de leurs responsabilités régulières.

6. Le but de cet audit était d’assurer à la haute direction que le cadre de contrôle de la gestion de la PCO est en place et que les pratiques et procédures sont conformes à la Loi sur la gestion des urgences et aux politiques de la planification de la continuité des activités qui comprend toutes les politiques applicables du Conseil du Trésor (CT) et de l’Agence.

7. La méthode d’audit comprenait un examen des documents pertinents, des entretiens, un sondage et une analyse documentaire.

8. L’audit a été mené conformément aux normes établies de la Politique sur l’audit interne du CT. Les travaux d’audit effectués et les éléments de preuve réunis sont suffisants pour appuyer les conclusions du présent rapport. L’audit a été mené entre juillet 2016 et novembre 2017.

Principales constatations

9. Dans l’ensemble, de nombreux éléments du programme sont en place; le cadre de gouvernance est défini; la directive du programme de PCO est approuvée et disponible; les rôles et responsabilités sont définis pour ceux qui ont des responsabilités en matière de PCO. L’Agence a achevé l’analyse des répercussions sur les opérations qui a permis de cerner ses six services essentiels et les unités d’affaires ont élaboré des plans de continuité des opérations. Toutefois, le programme doit faire l’objet d’une attention particulière à plusieurs égards afin de s’assurer que l’Agence sera en mesure de fournir ses services essentiels dans l’éventualité où ils seraient menacés ou perturbés. Ces domaines sont les suivants :

• renouveler l’engagement envers la gouvernance et la gestion du programme;
• mettre à jour la documentation interne de l’Agence pour l’harmoniser avec les exigences du Conseil du Trésor;
• définir les exigences de formation pour les employés ayant des responsabilités en matière de la PCO;
• les plans de continuité des opérations sont rarement mis à l’essai, revus et révisés;
• La technologie de l'information n'a pas de PCO en place pour les services de technologie de l'information (TI) essentiels, et il n'existe aucun accord officiel avec Services partagés Canada; et
• la communication à l’Agence entre le bureau de l’ASM et les unités d’affaires au sujet de la PCO est minime.

2 Introduction

11. La planification de la continuité des opérations (PCO) est un processus de planification proactif qui vise à assurer le maintien de la prestation des services essentiels en cas d’une interruption. Ces services ou produits sont ceux qui doivent être fournis pour assurer la survie des personnes, éviter de leur porter préjudice et respecter les obligations juridiques ou autres d’une organisation^{Note de bas de page 9}. Le processus de planification comprend quatre principaux éléments : la mise en place de la gouvernance du programme de la PCO, la tenue d’une analyse des répercussions sur les opérations, l’élaboration des plans de continuité des opérations et le maintien de l’état de préparation du programme de PCO^{Note de bas de page 10}. Les plans de continuité des opérations assurent la prestation ininterrompue des services ou produits essentiels aux clients. Plutôt que de mettre l’accent sur la reprise des opérations essentielles après une interruption ou sur le rétablissement après un désastre, ils visent le maintien des opérations essentielles^{Note de bas de page 11}.

12. La Loi sur la gestion des situations d’urgence de 2007 a fait de la gestion des situations d’urgence une responsabilité fondamentale du gouvernement du Canada et une responsabilité collective de toutes les institutions fédérales. La gestion des urgences renforce la capacité du gouvernement d’assurer la sécurité des Canadiens en gérant les situations d’urgence tous risques. Le gouvernement a adopté une approche tous risques pour la gestion des urgences qui englobe quatre fonctions interdépendantes et intégrées : atténuation/prévention, préparation, intervention et rétablissement.

13. Le programme de PCO, qui va de pair avec les mesures de protection civile, est prescrit par la loi, les politiques, les directives et les normes gouvernementales (p. ex., les plans d’évacuation des immeubles et en cas d’incendie)^{Note de bas de page 12}. Reposant sur la Politique sur la sécurité de 2009 du gouvernement, la prestation continue des services gouvernementaux passe par l’imposition d’exigences de base en matière de sécurité, la planification de la continuité des opérations, y compris des activités de gestion de l’information (GI) et de la technologie de l’information (TI), ainsi que la gestion continue des risques.

3 Objet et portée

14. Le Plan d’audit interne pluriannuel de Parcs Canada pour les années 2016-2017 à 2018-2019 comprenait un audit du programme de PCO. Le présent audit avait pour but de fournir à la haute direction l’assurance qu’un cadre de contrôle de la gestion était en place pour le programme et qu’il était conforme à l’obligation légale de l’Agence et aux exigences des politiques gouvernementales. L’audit mettait l’accent sur l’état du programme en date de juillet 2016. Sa portée comprenait les responsabilités du bureau national et des unités de gestion.

15. Les critères d’audit ont été choisis selon les risques identifiés dans les quatre éléments du programme :

1. l’établissement d’une structure de gouvernance de la PCO;
2. la réalisation d’une analyse des répercussions sur les opérations;
3. la mise en place de plans de continuité des opérations et les arrangements en vue de la continuité des opérations;
4. la mise à jour de l’état de préparation du programme de PCO.

La méthodologie et les critères d’audit se trouvent à l’annexe A. L’audit ne visait pas à donner une opinion sur l’efficience des plans de continuité des opérations existants.

4 Cadre législatif et stratégique

16. Les sources suivantes ont été utilisées pour formuler les critères d’audit utilisés au cours de l’audit :

• Politique sur la sécurité du gouvernement du Conseil du Trésor;
• Directive sur la gestion de la sécurité ministérielle du Conseil du Trésor;
• Norme de sécurité opérationnelle – Programme de planification de la continuité des activités du Conseil du Trésor;
• Directive sur le programme de planification de la continuité des opérations de l’Agence Parcs Canada.

5 Déclaration d’assurance

17. Le présent audit est conforme à la Politique sur l’audit interne du Conseil du Trésor et aux Normes internationales pour la pratique professionnelle de l'audit interne de l’Institut des auditeurs internes. Les éléments de preuve ont été recueillis en conformité avec les procédures et pratiques qui rencontrent ces normes, comme en témoignent les résultats du programme d’assurance et d’amélioration de la qualité.

6 Opinion de l’auditeur

18. L’Agence a mis en place les éléments clés d’un programme complet de PCO, y compris la définition du cadre de gouvernance, l’établissement d’une directive du programme de PCO de l’Agence et la définition des rôles et des responsabilités des principaux intervenants. Une analyse des répercussions sur les opérations a été réalisée pour aider à déterminer les six services essentiels qu’offre l’Agence. Des plans de continuité des opérations ont été créés à l’échelle de l’Agence en 2010, mais il reste encore du travail à faire pour assurer que le programme est à jour et que les plans contiennent suffisamment de détails pour permettre aux employés de les exécuter dans l’éventualité où la prestation des services essentiels serait menacée ou perturbée. La surveillance, par le biais de la gouvernance et de la gestion du programme, doit être renforcée. La mise à l’essai des plans de continuité des opérations devrait être plus fréquente pour qu’ils soient améliorés et mis à jour. L’Agence devrait renforcer son engagement envers les employés ayant des responsabilités en matière de PCO en définissant les besoins de formation et en améliorant la voie de communication entre le bureau de l’ASM et les unités d’affaires de l’Agence.

7 Observations et recommandations

7.1 Gouvernance

Gouvernance du programme de PCO

19. Une structure de gouvernance pour le programme de planification de la continuité des opérations (PCO) assure le leadership et la surveillance nécessaires pour que le programme soit mis en œuvre et maintenu comme prévu. Cela comprend la production courante de rapports sur les progrès du programme dans la réalisation des priorités à l’échelle de l’Agence.

20. La Directive du CT sur la gestion de la sécurité ministérielle (GSMS), la Norme de sécurité opérationnelle du CT – Planification de la continuité des activités (NSO – PCA) et la Directive du programme de PCO de l’Agence définissent les exigences relatives à l’existence d’une structure de gouvernance qui remplit l’obligation de diriger et de superviser l’élaboration, la mise en œuvre et le maintien du programme de PCO.

Version textuelle

• PDG
• DPSI
• Directeur, Planification stratégique et services intégrés
  • Agent de sécurité de l'Agence

21. Au sein de l’Agence, le vice-président (VP) de la Direction des politiques stratégiques et de l’investissement (DPSI) doit faire preuve de leadership et promouvoir la conformité aux exigences de la PCO. Au sein de la DPSI, l’agent de sécurité ministériel (ASM) est responsable de la supervision du programme de PCO, avec l’appui d’un coordonnateur national en matière de PCO qui gère le programme à l’Agence.

22. L’ASM et le coordonnateur national du programme de PCO doivent diriger et superviser activement l’élaboration, la mise en œuvre et le maintien du programme de PCO pour l’Agence, y compris l’élaboration et la mise à jour des directives, des lignes directrices, des gabarits et des outils du programme, la gestion des activités en matière de PCO de l’Agence, la prestation de conseils et d’orientation, la formation et le soutien réguliers, la surveillance et la production de rapports sur l’état du programme et l’établissement d’une stratégie pour communiquer les activités de PCO aux employés et aux intervenants.

23. La structure de gouvernance établie est conforme aux exigences de la NSO – PCA du CT et de la Directive du programme de PCO de l’Agence.

Surveillance et rapports

24. La surveillance du programme et la production de rapports sont des éléments essentiels de la gouvernance du programme; elles fournissent des renseignements sur la santé et l’état du programme de PCO qui aideront à éclairer la prise de décisions à tous les niveaux de gestion.

25. La Directive du programme de PCO de l’Agence souligne que le VP de la DPSI doit faire rapport chaque année sur la mise en place et le maintien du programme de PCO. Le bureau de l’ASM, en collaboration avec chaque unité d’affaire, doit surveiller le rendement, déterminer les pratiques exemplaires, enregistrer les approbations et communiquer les problèmes de conformité en conséquence. Le bureau de l’ASM doit présenter des rapports annuels à la haute direction sur l’état d’avancement du programme de PCO. La directive ne définit pas à quel organisme de gouvernance ou membre de la haute direction ces rapports doivent être présentés. De plus, au moment de l’audit, il n’y avait pas de rapport annuel sur l’état d’avancement du programme.

26. Au sein de l’Agence, le Plan ministériel de sécurité de 2012-2017 indiquait qu’un calendrier d’examen et de révision des plans de continuité des activités devait être établi et que l’ASM devait appuyer ce processus. Aucun rapport sur ces priorités n’indiquait qu’un calendrier avait été établi ou que les plans avaient été renouvelés, et rien n’indiquait qu’il y avait eu une surveillance ou une prise de décision périodique relativement à ces plans.

27. Bien que les exigences générales en matière de rapports et de surveillance aient été définies dans la Directive du programme de PCO de l’Agence, aucun rapport n’a été présenté sur le programme. On pourrait améliorer la Directive en y ajoutant plus de détails définissant les indicateurs clés sur lesquels il faudrait faire rapport et à qui ces rapports devraient être acheminés. Cet ajout de détails aidera à améliorer la gouvernance globale du programme en déterminant qui devrait recevoir l’information et à quelle fréquence, aux fins de la surveillance et de la prise de décisions.

28. Les incendies de forêt et les inondations de 2017 survenus dans différentes régions du Canada nous rappellent qu’un leadership et une surveillance renouvelés du programme sont nécessaires pour rétablir les priorités et les objectifs et faire rapport régulièrement sur les progrès réalisés afin que l’Agence soit prête à continuer de fournir ses services essentiels.

7.2 Politiques, directives, lignes directrices, rôles et responsabilités

29. Les politiques, les directives et les lignes directrices en matière de PCO devraient être conformes aux exigences du CT tout en énonçant les attentes de l’organisation et en fournissant une orientation sur les procédures à suivre aux personnes qui exécutent la tâche.

30. Le coordonnateur national de la PCO doit mettre en place et tenir à jour les directives, lignes directrices, gabarits et outils de PCO pour l’Agence et les faire approuver par les cadres supérieurs de l’Agence ou par un comité de la haute direction.

Version textuelle

• Gouvernance
  • Communication
    • Maintenir l'état de préparation de la PCA
    • Identifier les risques critiques
    • Procéder à L'ARO
    • Élaborer le plan de continuité des opérations

31. Le coordonnateur national de la PCO a élaboré la Directive du programme de PCO de l’Agence. Cette directive a été revue et approuvée en février 2016 et affichée sur l’intranet de l’Agence. La Directive fournit une orientation à l’échelle de l’Agence et définit les éléments du processus de PCO :

• l’établissement de la gouvernance;
• l’analyse des répercussions sur les opérations;
• l’élaboration de plans et d’arrangements de même que le maintien de l’état de préparation du programme;
• la description détaillée des rôles et responsabilités au niveau de l’Agence, du vice-président, DPSI, jusqu’aux coordonnateurs locaux de la PCO.

32. La Directive est essentiellement harmonisée avec les exigences de la NSO – PCA du CT, mais elle ne précise pas qui approuve les analyses des répercussions sur les opérations et les plans de continuité des opérations. En plus de la Directive, l’intranet du bureau de l’ASM contient une liste des coordonnateurs de la PCO, des liens vers les lois en matière de PCO et des possibilités de formation.

33. Au moment de l’audit, le coordonnateur national de la PCO disposait de la version préliminaire d’un manuel d’instructions sur l’analyse des répercussions sur les opérations et le plan de continuité des opérations contenant des directives supplémentaires. Ce manuel met l’accent sur la façon de remplir les gabarits de l’Agence en ce qui a trait à la PCO.

34. Au début de l’audit, les responsabilités du coordonnateur national de la PCO étaient partagées entre le programme de PCO et plusieurs autres activités liées à la sécurité. Seule une petite partie de son travail était affectée à la gestion du programme. Toutefois, à compter de décembre 2017, l’ASM mentionnait qu’une personne consacrait la totalité de son temps à cette responsabilité. À l’heure actuelle, le coordonnateur national de la PCO n’a pas de subordonnés directs, mais l’ASM examine les ressources nécessaires pour appuyer la fonction.

35. À l’Agence, les coordonnateurs locaux de la PCO sont affectés au sein des unités d’affaires. L’Agence compte 45 postes de coordonnateurs locaux de PCO qui appuient fonctionnellement le programme. En plus de leurs fonctions habituelles, ces personnes doivent diriger la planification des plans de continuité des opérations, créer et maintenir le programme dans leurs domaines de responsabilités respectifs et faire rapport sur l’état d’avancement du programme, bien qu’elles aient déclaré ne pas être au courant de l’obligation de rendre compte des progrès de leurs plans de continuité des opérations au coordonnateur national de la PCO. Dans l’ensemble de l’Agence, les directeurs d’unités de gestion sont responsables de l’activation et de la désactivation des plans de continuité des opérations, au besoin, afin d’assurer une interruption minimale ou nulle de la disponibilité des services et des biens essentiels.

36. La Directive du programme de PCO de l’Agence est en grande partie conforme aux exigences du CT, elle établit également les rôles et les responsabilités des divers intervenants qui participent au programme de PCO. Toutefois, elle ne définit pas le processus d’approbation des ARO et des plans de continuité des opérations et pourrait être renforcée si elle contenait plus de détails sur les exigences en matière de surveillance et de rapports.

7.3 Formation et apprentissage

37. La formation des employés est nécessaire pour assurer l’uniformité du processus et le respect des politiques, et pour accroître la probabilité d’atteindre les objectifs. On s’attend à ce que les employés qui participent à la planification de la continuité des opérations reçoivent une formation appropriée, conformément aux exigences de la NSO – PCA du CT, bien qu’elle ne prescrive pas quelle formation doit être donnée.

38. Au sein de l’Agence, la Directive du programme de PCO établit que la responsabilité de la formation relève du coordonnateur national de la PCO, des coordonnateurs locaux de la PCO et des directeurs d’unités de gestion. En particulier, le coordonnateur national de la PCO a la responsabilité d’offrir une formation régulière aux coordonnateurs locaux. Une fois formés, les coordonnateurs locaux devraient pouvoir offrir une formation régulière aux membres de l’équipe locale de la PCO. Les directeurs d’unités de gestion doivent s’assurer que les coordonnateurs locaux de la PCO et les membres de l’équipe de soutien ont les ressources et la formation nécessaires pour mettre en œuvre les exigences de la Directive et du programme. Comme dans le cas de la NSO – PCA, la Directive ne précise pas quelle formation doit être donnée et, par conséquent, il n’y a pas de cours de formation obligatoire pour les employés.

39. L’intranet de l’Agence contient une liste de cours liés à la PCO qui sont donnés en classe ou en ligne à l’extérieur du gouvernement fédéral. Au moment de l’audit, l’ASM et les coordonnateurs de la PCO (actuels et précédents) avaient reçu une formation sur la PCO avant d’entrer en poste à l’Agence. Une fois à l’Agence, ces employés ont acquis des connaissances supplémentaires par l’entremise de réunions de groupes de travail intergouvernementaux externes ou par le transfert des connaissances en milieu de travail.

40. L’équipe chargée de l’audit a mené une enquête auprès des coordonnateurs locaux^{Note de bas de page 13} de la PCO et a constaté que seulement 12 des 50 répondants avaient reçu une formation sur la PCO. De ces 12 employés, aucun n’avait suivi de cours de formation externe, quatre avaient reçu une formation sous forme de séance d’information offerte par le personnel de l’Agence, sept avaient reçu du matériel de lecture à titre de formation, et le dernier n’avait pas spécifié le type de formation. Aucun cours de formation n’est actuellement offert à l’interne en ce qui a trait à la PCO.

41. Depuis janvier 2015, 20 des 45 coordonnateurs locaux de la PCO étaient nouvellement installés dans leur rôle et n’avaient pas encore suivi de formation sur la PCO. Sans formation, ils ne pouvaient pas offrir de formation aux autres employés qui pourraient appuyer le programme.

42. Le manque de formation appropriée augmente le risque que les employés de l’Agence ne soient pas suffisamment préparés à gérer une menace ou une interruption de ses services essentiels. La formation des employés ayant des responsabilités en matière de PCO augmentera la capacité de l’Agence d’offrir ou de remettre en ligne ses services essentiels dans un délai acceptable.

7.4 Processus de planification de la continuité des opérations

43. L’Agence a commencé à établir un programme de PCO en 2008 avec l’approbation de la Directive du programme de PCO de l’Agence. Le programme s’étend à l’ensemble de l’Agence partout au Canada et comprend sept directions, 33 unités de gestion et le Bureau du directeur général. Chacune de ces unités d’affaires doit disposer d’un plan pour les services essentiels qu’elle fournit^{Note de bas de page 14}. Selon la configuration géographique de l’unité fonctionnelle, le même service essentiel peut être fourni sur plusieurs sites éloignés les uns des autres et ayant leurs propres particularités. C’est pourquoi les unités d’affaires tendaient à avoir plus d’un plan de continuité des opérations.

Tableau 1 : Unités de gestion analysées	Nombre de PCO analysés
Mont-Revelstoke et Glaciers	11
Jasper	10
Bureau national	10
Lacs-Waterton et Ranch-Bar U	10
Cap-Breton	9
Lake Louise, Yoho et Kootenay	9
Banff	7
Ouest de Terre-Neuve-et-Labrador	7
Gaspésie	5
Nouvelle-Écosse continentale	4
Côte de la Colombie-Britannique	3
Ouest du Québec	2
Centre de services de l’AtlantiqueNote de bas de page 15	1
Île-du-Prince-Édouard	1
Total	89

44. Aux fins de du présent audit, un échantillon discrétionnaire comprenant 89 plans de continuité des opérations provenant de 14 unités d’affaires a été choisi et analysé au moyen d’un examen de la documentation (tableau 1). Le plan de continuité des opérations de l’Île-du-Prince-Édouard n’a pas été inclus, car il ne portait pas sur les services essentiels, ce qui a réduit l’échantillon à 88.

Analyse des répercussions sur les opérations

45. En octobre 2009, l’Agence a effectué une analyse des répercussions sur les opérations sur le plan organisationnel et cerné les services essentiels. À la suite de cette ARO, les six services essentiels suivants ont été approuvés par la Sécurité publique (SP) :

1. Services de sécurité publique : Recherche et sauvetage, contrôle des avalanches et systèmes de télécommunication.
2. Gestion des feux de forêt : Surveillance et suppression.
3. Contrôle des inondations : Gestion des niveaux d’eau des voies navigables dans le respect des obligations juridiques ou opérationnelles.
4. Gestion des routes : Entretien des routes de transit afin qu’elles demeurent ouvertes à la circulation.
5. Gestion des lotissements urbains : Prestation des services d’approvisionnement en eau, d’égout, d’incendie ou d’ambulance à un lotissement urbain.
6. Application de la loi : Prestation de services d’application de la loi aux termes de la Loi sur les parcs nationaux du Canada, de la Loi sur le parc marin du Saguenay-Saint-Laurent, de la Loi sur les aires marines nationales de conservation du Canada et d’autres textes législatifs connexes à l’appui du mandat de Parcs Canada.

L’Agence n’a pas remis à jour cette analyse depuis 2009.

46. Au niveau des unités d’affaires, une ARO fondée sur les exigences de la NSO – PCA a été réalisée en 2010 afin de déterminer quels services essentiels, le cas échéant, étaient fournis. Les 14 unités fonctionnelles de l’échantillon avaient toutes fait une ARO, mais seulement sept d’entre elles ont fait l’objet d’un examen et d’une mise à jour au cours des deux dernières années. Les ARO doivent être tenues à jour en temps opportun pour qu’elles soient pertinentes si un incident devait perturber les services. Cet enjeu sera abordé dans le cadre de la surveillance et de l’établissement de rapports dans le cadre de la recommandation 1.

Plans de continuité des opérations et ententes de soutien

47. Une fois l’ARO complétée, le plan de continuité des opérations doit inclure une stratégie de reprise pour chaque service essentiel. Un certain nombre de stratégies de reprise potentielles sont générées à partir desquelles une stratégie privilégiée sera choisie et incluse dans le plan.

48. Les plans doivent aussi inclure les renseignements suivants :

• Équipes d’intervention et de reprise, y compris la composition des équipes et les coordonnées des membres.
• Rôles, responsabilités et tâches des équipes, y compris les intervenants internes et externes.
• Ressources requises et procédures à suivre pour la reprise.
• Stratégies de communication.

49. La NSO – PCA exige également que les dispositions logistiques nécessaires soient prises avec les partenaires et les intervenants pour s’assurer que les plans peuvent être mis en œuvre en cas de perturbation. Finalement, une fois les plans créés et approuvés, un cycle de maintien permanent doit être créé. Les fonctions de TI et de PCO doivent collaborer tout au long du processus.

50. Les stratégies incluses dans les 88 plans de continuité des opérations ont été harmonisées avec les ARO. Cependant, le processus de sélection de la stratégie n’a pas été documenté comme l’exigeait la NSO – PCA.

51. Les 88 échantillons contenaient les noms des membres de l’équipe de PCO, leurs rôles et responsabilités et leurs coordonnées. Les plans de continuité des opérations comprenaient aussi des procédures de reprise, les ressources requises (employés et biens) et des données concernant les communications. Les détails à l’appui de ces observations pour chaque unité fonctionnelle sont présentés à l’annexe C.

52. Dans le cadre de la PCO, des listes d’ententes de soutien avec les partenaires et les intervenants externes ainsi que leurs coordonnées ont également été exigées. Bien que des dispositions aient été cernées, les plans échantillonnés ne comprenaient pas d’information détaillée pouvant être exigée si le plan était mis en œuvre. Un exemple de l’information requise pourrait inclure les coordonnées des personnes clés en dehors des heures de bureau, l’emplacement physique de l’équipement nécessaire ou l’obligation pour un partenaire d’affaires d’assurer sa disponibilité en tout temps. Sans cette information, ou si l’information est inexacte, l’exécution d’un plan pourrait être retardée ou problématique en cas d’incident. La version préliminaire du manuel d’instructions de la PCO de l’Agence comprend des directives exigeant que tous les arrangements soient consignés dans le plan de continuité des opérations. Cet enjeu sera abordé dans le cadre de la surveillance et de l’établissement de rapports à la recommandation 1.

Préparation du plan de continuité des opérations

53. Une fois les plans de continuité des opérations finalisés, un cycle de tenue à jour doit être établi. Ce cycle comprend l’examen des plans sur une base continue, y compris après des changements importants apportés à l’environnement ou à l’organisation, et l’intégration des résultats après un exercice d’essai dans la version révisée du plan.

54. Tous les ans, chaque unité d’affaires devait examiner ses plans de continuité des opérations pour s’assurer que l’information qui y est contenue est à jour et qu’au moins un des plans est mis à l’essai au sein de chaque unité d’affaires. Au cours des deux dernières années, six unités d’affaires avaient terminé un examen de leurs plans de continuité des opérations, ce qui représente 56 plans sur un échantillon de 88. Cependant, seulement deux unités d’affaires au sein de l’échantillon ont procédé à un exercice de mise à l’essai pour deux plans de continuité des opérations. En plus de permettre une mise à jour, un exercice de mise à l’essai peut aider à déterminer si une formation supplémentaire est nécessaire afin de renforcer le niveau de préparation advenant un incident réel.

55. En janvier 2017, l’unité de gestion du parc national des Lacs-Waterton, dans le sud de l’Alberta, a effectué un exercice de simulation au cours duquel les employés ont discuté d’un incendie fictif fondé sur les détails de leur plan de continuité des opérations. Plus tard cette année-là, au cours de l’été 2017, le feu de forêt de Kenow dans le parc national des Lacs-Waterton, qui s’est étendu sur plus de 38 100 hectares, a causé de graves dommages dans la région, a nui aux services essentiels et a détruit le Centre d’accueil de l’Agence. Les coordonnateurs locaux de la PCO ont indiqué que l’exercice de simulation s’était avéré utile pour aider l’unité de gestion à rétablir les services. Cet exercice a été un bon exemple des raisons pour lesquelles le cycle de mise à l’essai et d’examen du processus de PCO devrait être mené.

56. Sans un examen, une mise à l’essai et une mise à jour périodiques des plans de continuité des opérations, l’Agence pourrait ne pas être en mesure de mettre ses plans à exécution comme prévu ou d’appliquer les leçons tirées des exercices, ce qui pourrait nuire à la prestation continue de services essentiels.

57. Les plans de continuité des opérations de l’Agence ont été élaborés et fondés sur les ARO énoncées dans les politiques du CT, mais une vérification et un examen plus fréquents de ces plans permettraient à l’Agence de mieux se préparer en cas de perturbation. Cet enjeu sera abordé dans le cadre de la surveillance et de l’établissement de rapports pour la recommandation 1.

Planification de la continuité des technologies de l’information et de la gestion de l’information

58. Les plans de continuité des opérations en TI se distinguent des plans de continuité des opérations établis dans l’ensemble de l’Agence. Les plans de continuité des opérations en TI, qui prévoient la gestion de l’information, doivent contenir des plans et des dispositions pour assurer une interruption minimale ou nulle de la disponibilité des services et des biens essentiels en TI. La NSO – PCA du CT et la Directive du programme de PCO de l’Agence exigent toutes deux des plans complets de continuité des TI et une collaboration entre les fonctions des TI et de la PCO. La collaboration se ferait lors des discussions sur les exigences en matière de TI, la validation des plans concernant l’infrastructure de TI commune et la participation conjointe à des exercices de mise à l’essai.

59. Les 88 plans de continuité des opérations inclus dans l’échantillon prévoyaient tous le rétablissement de la TI dans leurs stratégies de reprise en ce qui a trait au service essentiel fourni, mais il n’y avait aucune preuve de collaboration, et les exercices de mise à l’essai limités dans l’échantillon ont révélé que les plans de continuité de la TI n’étaient pas validés.

60. Les entretiens et les travaux effectués au cours de l’audit ont fait ressortir une lacune dans la planification de la continuité de la TI. Services partagés Canada (SPC) est responsable de l’infrastructure de l’Agence en TI depuis 2012. Il n’existe pas d’entente officielle définissant les responsabilités en matière de continuité des opérations ni d’entente sur les niveaux de service entre les deux organisations. La NSO – PCA du CT exige que lorsque des ministères assurent ensemble la prestation d’un service essentiel, des dispositions doivent être prises pour s’assurer que les plans des ministères chargés du service commun soient harmonisés.

61. L’Agence a identifié deux services essentiels en matière de TI : le système de répartition informatisé I/CAD, un centre d’appels d’urgence pour l’Agence exploité à Banff et à Jasper, et le système AvalX, un système public de prévision d’avalanches. Nous nous attendions à ce qu’un plan de continuité des opérations soit en place pour ces services.

62. Bien qu’aucun plan de continuité des opérations officiel n’ait été mis en place pour ces deux services de TI essentiels, un plan a été créé pour le système de répartition I/CAD en cas de perte du réseau entre les deux centres d’appel comprenant les étapes techniques nécessaires pour permettre aux opérations de se poursuivre. Toutefois, le plan n’indique pas ce qu’il faut faire advenant des problèmes du côté de SPC tels que des problèmes de connectivité du réseau.

63. Dans le cadre du Plan de développement durable de l’Agence pour les applications essentielles en TI, ces deux services ont été inclus dans la liste des applications essentielles de SPC. Ainsi SPC tente de limiter les temps d’arrêt à moins de quatre heures. Toutes les autres questions de TI entourant le plan de continuité des opérations seront traitées par l’entremise du service d’assistance de TI de l’Agence.

64. Au stade actuel de l’état de préparation en matière de TI des plans de continuité des opérations et en l’absence d’ententes officielles avec SPC, l’Agence risque de ne pas pouvoir maintenir ou rétablir en temps opportun les services de TI nécessaires au soutien d’un plan de continuité des opérations en cas de défaillance de l’infrastructure de TI pendant un incident.

7.5 Communications

65. Une communication opportune et efficace est un élément essentiel d’une bonne gestion de programme et un élément important du programme de PCO. Selon la NSO – PCA du SCT, la haute direction doit fournir une orientation stratégique et des communications. Le coordonnateur national de la PCO assume les responsabilités ci-dessous :

• créer une stratégie de communication touchant les activités de PCO à l’intention des employés et des intervenants;
• constituer des groupes de travail et en définir les rôles et les responsabilités.

66. Au sein de l’Agence, la promotion de la sensibilisation au programme de PCO relève du vice-président de la DPSI et de l’ASM. La seule preuve de promotion ou de sensibilisation de la part de la haute direction était une note de service diffusée en janvier 2015 à l’intention des directeurs d’unité de gestion (DUG) et des VP leur demandant de mettre à jour leurs plans de continuité des opérations.

67. Le coordonnateur national de PCO est chargé de gérer le programme, de fournir des conseils et une orientation et de faire connaître l’ensemble des politiques de la PCO et les outils connexes. À partir des observations et des entretiens, nous avons constaté que le coordonnateur national de PCO a fourni des conseils et des directives de façon réactive lorsqu’une demande est présentée par une unité d’affaires. Au moment de l’audit, il n’y avait aucun groupe de travail officiel reliant le coordonnateur national de PCO aux coordonnateurs locaux de PCO de l’Agence.

68. D’après le sondage effectué, la plupart des coordonnateurs locaux de PCO savaient où aller chercher des conseils et de l’orientation, mais ils ont noté un manque de communication active avec le coordonnateur national de PCO. Les coordonnateurs locaux de PCO ont affirmé avoir reçu plus d’information d’autres ministères ou organismes centraux au sujet des menaces ou des risques éventuels qui pourraient nécessiter l’activation d’un plan de continuité des opérations.

69. Le dernier appel documenté aux unités d’affaires a été effectué au cours de la période de février à mars 2015 auprès des coordonnateurs locaux de PCO. L’appel portait sur l’expérience liée à la PCO, les pouvoirs, les processus, les rôles du programme et l’état d’avancement des plans de continuité des opérations au sein des unités d’affaires. Comme il est mentionné précédemment, depuis janvier 2015, 20 des 45 coordonnateurs locaux de la PCO étaient nouvellement installés dans leur rôle ce qui signifie que bon nombre des employés contactés au moment de l’appel n’occupaient plus le poste de coordonnateur de PCO. De plus, au sein du bureau de l’ASM, il y a eu trois différents coordonnateurs nationaux de PCO au cours de la période 2015-2017.

70. La Directive du programme de PCO de l’Agence précise que si un DUG, un VP ou un chef active un plan au sein de son unité d’affaires, il doit en aviser le coordonnateur national de PCO. Par la suite, on maintient une ligne de communication directe qui fournit un soutien aux coordonnateurs locaux de PCO et à l’ASM. Au cours de la période de l’audit, le coordonnateur national de PCO n’avait pas été avisé de l’activation d’un plan de continuité des opérations au sein de l’Agence.

71. Il est possible d’améliorer la communication des conseils, de l’orientation et de la sensibilisation au programme au sein des employés concernés de l’Agence afin d’assurer une communication et une coordination continues entre le bureau de l’ASM et les unités d’affaires.

Annexe A. Méthodologie et critères du programme d’audit

Les critères suivants ont été choisis à la lumière des travaux d’audit effectués à l’étape de la planification :

Champs d’enquête	Critères d’audit
1 : La structure de gouvernance en place pour le programme de PCO est conforme aux politiques, directives et lignes directrices de Sécurité publique Canada, de l’Agence et du SCT.	1.1 Existence d’une structure de gouvernance qui répond à l’exigence de diriger et de superviser, de faire rapport régulièrement et d’établir un processus au sein de l’Agence.
	1.2 Rôles et responsabilités définis, documentés et communiqués (ASM et unités d’affaires)
	1.3 Directives, politiques, normes et lignes directrices disponibles, claires, communiquées et appliquées.
	1.4 Formation pertinente offerte aux personnes travaillant à la PCO.
	1.5 Soutien opportun et pertinent fourni aux parcs et sites par l’ASM aux fins de la PCO.
	1.6 Suivi et rapport sur les activités présentés selon les exigences.
2 : L’analyse des répercussions sur les opérations est effectuée pour évaluer l’impact des perturbations sur l’Agence, dresser la liste des services essentiels et établir l’ordre des priorités.	2.1 Les répercussions des perturbations sur les services fournis par l’Agence ont été évaluées et les services essentiels ont été déterminés et classés par ordre de priorité.
3 : Les plans de continuité des opérations et les dispositions sont élaborés selon l’analyse des répercussions sur les opérations.	3.1 Les plans de continuité des opérations et les stratégies de rétablissement sont créés et des dispositions sont prises relativement aux services essentiels.
4 : Un cycle de maintien est établi pour les plans de continuité des opérations.	4.1 Les plans de continuité des opérations sont mis à l’essai pour assurer l’efficience et l’efficacité de l’intervention et de la reprise des activités.
	La mise à jour des plans de continuité des opérations est effectuée tous les ans, en fonction des résultats de la mise à l’essai ou des changements d’ordre environnemental.

Méthodologie utilisée à chaque étape de l’audit:

1. Planification
   • Examen des politiques, directives, procédures et autres documents pertinents;
   • Élaboration du programme et du plan d’audit;
   • Élaboration des outils et de la méthodologie utilisés à l’étape de la planification;
   • Approbation du programme d’audit par le dirigeant principal de l’audit interne et de l’évaluation.
2. Examen
   • Combinaison d’entrevues avec le personnel clé du Bureau national et des unités de gestion, examen de la documentation, y compris l’évaluation d’un échantillon de plans de continuité des activités.
   • Validation de nos observations auprès de l’ASM.
3. Établissement de rapports
   • Préparation et révision de la version préliminaire du rapport par les gestionnaires de l’audit interne;
   • Révision du rapport par le représentant de l’entité vérifiée;
   • Mise à jour de la version définitive du rapport contenant les réponses et le plan d’action de la direction;
   • Présentation du rapport final au Comité ministériel d’audit;
   • Approbation par le directeur général de l’Agence;
   • Publication du rapport.

Annexe B. Processus du Programme de planification de la continuité des opérations

 

Version textuelle

Établir la gouvernance		Définir les services essentiels	Procéder à l'ARO	Créer le plan de continuité des activités	Assurer l'état de préparation du plan
Unité de gestion/Direction	Former les coordonateurs locaux de PCO Sélectionner les membres de l'équipe de PCO Les DUG/VP/chefs nomment le coordonnateur local de PCO	Évaluation des services et présentation de la liste des services essentiels au Bureau national	L'unité fournit-elle des services essentiels? Produire l'ARO La haute direction approve-t-elle l'ARO, y compris l'absense de services essentiels? Le coordonateur local de PCO transmet l'ARO au Bureau national	Générer et évaluer les options de rétablissement Choisir et soumettre l'option de rétablissment la plus efficace La haute direction approuve-t-elle l'option choisie? Créer le plan de continuité des activiés La haute direction approuve-t-elle le plan? Mettre en place les dispositions avec les partenaires Le coordonateur local transmet le plan de continuité des opérations au Bureau national	Le coordonateur local de PCO forme l'équipe critique de PCO Mise à l'essai annuelle du plan de continuité des opérations (au moins un par unité) Dresser la liste des leçons apprises Procéder à l'examen des changements majeurs dans l'environnement ou l'organisation Les changements majeurs ont-ils un impact sur les services essentiels? Revoir le plan de continuité des opérations chaque année Remettre à jour le plan de continuité des opérations Le coordonateur local de PCO fait rapport au Bureau national et s'assure de l'état de préparation
Bureau national	Le coordonateur national de PCO élabore les directives, lignes directrices et outils de PCO La sécurité des TI met en place la stratégie de continuité L'ASA nomme le coordonateur national de PCO Le VP DPSI établit le programme de PCO	Le coordonateur national de PCO dresse la liste des services et en fait l'examen L'ASM soumet la liste des services essentiels de l'Agence Le coordonateur national de PCO transmet la liste des services essentiels approuvés aux unités	Le coordonateur local de PCO fait rapport à l'ASM	Le coordonateur local fait rapport à l'ASM	Le coordonateur national de PCO fait rapport à l'ASM L'ASM fournit un rapport annuel sur l'état du programme au VP DPSI Le VP DPSI fait rapport chaque année à la haute direction sur la mise en oeuvre et le maintien du programme de PCO
Organismes centraux		La Sécurité publique approuve-t-elle les services essentiels?

Annexe C. Critères du plan de continuité des opérations

Liste des principaux acronymes

ARO :

Analyse des répercussions sur les opérations

ASM :

Agent de sécurité ministériel

BAIE :

Bureau de l’audit interne et de l’évaluation

CEG :

Comité exécutif de gestion

CRG :

Cadre de responsabilisation de gestion

DGSM :

Directive sur la gestion de la sécurité ministérielle

GI :

Gestion de l’information

NSO :

Norme de sécurité opérationnelle

PCO :

Planification de la continuité des opérations

PDG :

Président-directeur général

SCT :

Secrétariat du Conseil du Trésor

SP :

Sécurité publique

TI :

Technologie de l’information

DUG :

Directeur unité de gestion

VP :

Vice-président