Revue des pratiques et audit interne — Plan fondé sur les risques pour les exercices 2016-2017 à 2018-2019

Revue des pratiques et audit interne — Plan fondé sur les risques pour les exercices 2016-2017 à 2018-2019

Avant-propos

Le plan fondé sur les risques est préparé par la fonction de Revue des pratiques et d’audit interne (RPAI) du Bureau du vérificateur général du Canada. Ce plan a pour objectif de garantir que les activités de revue des pratiques et d’audit interne planifiées du Bureau, de même que ses outils de certification, répondent aux besoins du Bureau en la matière. Ce document fournit :

• des précisions sur le rôle de l’équipe de la RPAI;
• un aperçu des engagements et des activités de revue des pratiques et d’audit interne qui sont prévus pour les trois prochains exercices;
• de l’information au sujet des ressources et des moyens utilisés par l’équipe de la RPAI pour l’exercice 2016-2017, la première année d’exécution du plan.

Les commentaires du Comité d’audit et de la haute direction du Bureau sur les principaux risques organisationnels sont sollicités et considérés avec soin en vue d’établir les activités prioritaires de revue des pratiques et d’audit interne. Le plan sera mis à jour tous les ans.

Je profite de l’occasion pour remercier la haute direction, le personnel et les membres du Comité d’audit pour la coopération et l’aide précieuses qu’ils nous ont fournies pendant l’élaboration de ce plan. Grâce aux commentaires recueillis, nous avons dressé un plan qui permettra à l’équipe de la RPAI d’évaluer le caractère adéquat et l’efficacité de la gestion des risques, des activités et des processus de contrôle et de la gouvernance au Bureau.

Louise Bertrand
Directrice principale de l’audit interne
Bureau du vérificateur général du Canada

Rôle de l’équipe de la Revue des pratiques et de l’audit interne

La mission de l’équipe de la Revue des pratiques et de l’audit interne (RPAI) du Bureau du vérificateur général du Canada (le Bureau) consiste à rehausser et à protéger la valeur de l’organisation en offrant des services d’assurance objectifs et fondés sur les risques, et en fournissant des conseils et des avis.

L’équipe de la RPAI vise à la fois deux objectifs distincts et connexes :

• Le groupe de l’audit interne a pour mission de fournir au vérificateur général du Canada une assurance, de l’information, des avis et des services de consultation de manière objective et indépendante dans le but d’ajouter de la valeur et d’améliorer les activités du Bureau. Pour ce faire, il soumet des analyses, des évaluations, des recommandations et des commentaires au sujet d’activités ayant fait l’objet d’une revue. Son travail se conforme au Cadre de référence international des pratiques professionnelles de l’Institut des auditeurs internes.
• Le groupe de la revue des pratiques aide le Bureau à s’acquitter de son rôle en conformité avec la Norme canadienne de contrôle qualité 1 (NCCQ 1) de Comptables professionnels Agréés Canada. Pour ce faire, le groupe mène des activités d’inspection afin de déterminer dans quelle mesure les responsables de mission respectent les normes professionnelles, les politiques du Bureau et les lois et règlements applicables dans l’exécution de leurs audits. Il s’assure aussi que les rapports d’audit sont bien étayés et pertinents.

L’équipe de la Revue des pratiques et de l’audit interne (RPAI) aide le Bureau à atteindre ses objectifs en présentant des recommandations découlant d’un examen systématique et rigoureux qui vise à évaluer et à améliorer la conception et la mise en œuvre des processus de gestion des risques, de contrôle et de gouvernance.

Les travaux sont réalisés conformément à deux ensembles de normes professionnelles :

• Les audits internes sont effectués selon les Normes internationales pour la pratique professionnelle de l’audit interne de l’Institut des auditeurs internes. La Politique sur la vérification interne du Secrétariat du Conseil du Trésor s’inspire des normes de l’Institut, dont la mise en œuvre respecte l’indépendance du vérificateur général en sa qualité de mandataire du Parlement.
• Les revues des pratiques sont réalisées selon la NCCQ 1, Contrôle qualité des cabinets réalisant des missions d’audit ou d’examen d’états financiers et d’autres missions de certification, de Comptables professionnels Agréés Canada.

Plan d’audit fondé sur les risques

Le plan d’audit fondé sur les risques de la RPAI pour les exercices de 2016-2017 à 2018-2019 vise les deux objectifs suivants :

• déterminer quels audits internes il serait souhaitable de réaliser en se fondant sur l’évaluation des risques auxquels le Bureau est exposé, les procédures de gestion des risques et la compréhension des plans et des priorités du Bureau;
• établir un calendrier de revue des pratiques qui respecte les exigences des normes professionnelles et qui démontre que le Bureau cherche constamment à améliorer la réalisation de ses audits.

La planification de l’audit interne garantit que toutes les activités d’audit interne et de revue des pratiques sont pertinentes, menées en temps opportun et soutiennent la réalisation des objectifs stratégiques du Bureau.

Plan d’audit interne

Le groupe de l’audit interne de la RPAI a deux responsabilités principales :

• transmettre dans les rapports d’audit interne destinés aux gestionnaires des commentaires constructifs sur la mesure dans laquelle ils ont su recenser et évaluer les risques, de même que sur l’efficacité, l’efficience et l’économie des mesures en place pour gérer les risques;
• fournir au vérificateur général l’assurance que les processus de gestion des risques, de contrôle et de gouvernance du Bureau sont bien conçus et efficaces.

L’équipe de la RPAI a élaboré le plan d’audit en relevant les activités auditables et en organisant ensuite l’univers d’audit selon les activités de base du Bureau (tous les secteurs des pratiques et des services) pour ainsi s’assurer d’une couverture complète. Pour chacun des éléments de l’univers d’audit, nous avons examiné les risques recensés à l’aide de leur registre des risques respectifs. Les registres des risques de l’organisation, des pratiques et des services du Bureau recensent les principaux risques à surveiller et à gérer pour que le Bureau s’acquitte de ses engagements et réalise ses objectifs. Le cadre du Bureau permet d’évaluer les risques et de les classer selon les catégories suivantes : stratégiques, de non-conformité et opérationnels.

Pour tous les secteurs des pratiques et des services, l’équipe de la RPAI a classé les risques comme étant faibles ou élevés et a tenu compte des activités d’atténuation en place. Les risques qui sont signalés au Conseil de direction du Bureau parce qu’ils font l’objet d’un suivi permanent ont été définis comme étant faibles et ont été exclus de tout examen supplémentaire, étant donné que la direction prend les mesures qui s’imposent. Nous avons aussi examiné tous les secteurs pour cerner les risques communs à plusieurs secteurs de services. Nous considérons que ces risques sont élevés.

Le plan de la RPAI est également fondé sur l’examen des plans précédents et sur les constatations des revues des pratiques et des audits internes antérieurs.

L’équipe de la RPAI a rencontré à quelques reprises la haute direction pour mieux comprendre son évaluation des risques – et discuter des activités qu’elle entreprenait – afin de mieux documenter les contrôles et/ou atténuer les risques. À la suite de ces réunions, nous avons établi une liste de huit éléments à prendre en considération dans notre univers d’audit. Nous y avons ajouté nos travaux de revue des pratiques à titre d’activité nécessaire.

Nous avons établi l’ordre de priorité des audits et des autres travaux à entreprendre en préparant un modèle qui tient compte du lien entre les questions d’intérêt et les facteurs de risque et les stratégies du Bureau. Les facteurs de risque recensés sont les suivants^{Note de bas de page 1} :

• vulnérabilité à la fraude;
• répercussions sur la réputation ou l’image de l’organisation;
• complexité des activités;
• résultats du dernier audit ou autres déficiences connues;
• changement aux systèmes, politiques et procédures;
• incidence en termes de réglementation et de conformité.

Nous avons classé le rapport entre les unités de l’univers d’audit et les facteurs de risques et les douze objectifs stratégiques du Bureau selon une échelle de 1 à 5, 1 étant un faible rapport et 5 un rapport élevé. À la suite de notre évaluation des risques, nous avons établi la liste des priorités suivantes pour notre univers d’audit :

• revue des pratiques (voir la section « Plan de la Revue des pratiques »);
• gestion de la sécurité des TI;
• mise en œuvre du programme de sécurité ministérielle;
• responsabilité à l’égard de l’exactitude des rapports de mission d’appréciation directe (voir détail ci-dessous);
• manque de ressources.

Nous proposons de mener nos revues des pratiques comme à l’habitude.

Plusieurs équipes du Bureau ont indiqué avoir la responsabilité de l’exactitude des rapports de mission d’appréciation directe. Nous avons aussi été informés du projet de refonte du produit et de production des rapports en audit de performance dont le but est d’améliorer l’efficience et l’efficacité du processus d’audit de performance. Un projet pilote intégrant les nouveaux processus sera entrepris en août 2016 avec des audits de performance dont les rapports seront publiés à l’automne 2017. Le groupe de l’audit interne observera le processus ayant trait au projet de refonte du produit et de production des rapports en audit de performance pour en apprendre davantage au sujet de la nouvelle approche. Par conséquent, notre observation du processus et les leçons que nous en tirerons se dérouleront au cours des exercices 2016-2017 et 2017-2018. Nous proposons de vérifier en 2018-2019 si le nouveau processus est mis en œuvre comme prévu et nous dégagerons alors les manques d’efficacité.

Le manque de ressources a été signalé comme étant un risque dans de nombreux secteurs du Bureau. Étant donné le nombre actuel de ressources, nous réévaluerons la pertinence de ce risque au cours de l’exercice 2018-2019.

Veuillez consulter l’Annexe 1 pour de plus amples renseignements sur les produits proposés.

Auto-évaluation de la fonction de Revue des pratiques et d’audit interne

Une des responsabilités de la directrice principale de l’audit interne est d’instaurer des processus conçus pour fournir un certain degré d’assurance aux parties intéressées que les activités de revue des pratiques et d’audit interne sont menées avec efficacité et efficience. La supervision, l’évaluation interne périodique, la surveillance continue de l’assurance de la qualité et les évaluations externes périodiques font partie de ces processus. En prévision de la première évaluation externe de la fonction de RPAI, prévue au cours de l’exercice 2017-2018, nous sommes en train de parachever le Manuel de la Revue des pratiques et de l’audit interne. Nous procéderons ensuite à l’auto-évaluation de la fonction de RPAI avant d’en demander l’évaluation externe.

Plan pluriannuel de RPAI pour les exercices 2016-2017 à 2018-2019

Les audits internes et projets connexes que nous proposons dans le Plan pluriannuel de RPAI pour les exercices 2016-2017 à 2018-2019 sont les suivants :

• 2016-2017 : Gestion de la sécurité des TI (nous ferons sans doute appel à un consultant de l’extérieur pour la réalisation de cet audit interne)
• 2016-2017 : Auto-évaluation de la fonction de Revue des pratiques et d’audit interne
• 2017-2018 : Composantes clés de la mise en œuvre du programme de sécurité ministérielle du Bureau
• 2017-2018 : Évaluation externe de l’auto-évaluation de la fonction de Revue des pratiques et d’audit interne
• 2018-2019 : Examen du projet de refonte du produit et de la production des rapports en audit de performance
• 2018-2019 : Répartition des ressources au Bureau

L’annexe 2 présente les principaux risques identifiés par le Conseil de direction auxquels s’expose le Bureau. Nous surveillons les mesures prises par la direction à l’égard de ces risques et nous les avons prises en considération dans les plans actuels et futurs.

Processus d’audit des contrôles de base

Au cours de l’exercice 2016-2017, l’équipe de la RPAI explorera aussi l’utilisation et le caractère approprié d’un processus d’audit des contrôles de base et exécutera un audit où le processus sera mis à l’essai en vue d’en évaluer la valeur et de le modifier si nécessaire.

Suivi de la mise en œuvre des recommandations issues d’audits internes précédents

Au cours de l’exercice 2015-2016, nous avons élaboré un processus de suivi pour toutes les observations et les recommandations issues de nos audits internes afin d’obtenir l’assurance que la direction accompli des progrès quant à la mise œuvre des recommandations qui n’ont pas encore été mises en œuvre. Nous mènerons régulièrement des activités de suivi à cet égard.

Examen externe

Outre la fonction de RPAI, le Bureau est assujetti à l’examen de ses systèmes et de ses méthodes par des auditeurs financiers externes et par des pairs, les organisations professionnelles comptables des provinces et divers organismes de surveillance du gouvernement fédéral, tels que la Commission de la fonction publique du Canada, le Commissariat aux langues officielles, le Commissariat à la protection de la vie privée du Canada et la Commission canadienne des droits de la personne.

Examen par une équipe internationale de pairs

Depuis 1999, notre Bureau est assujetti à un examen réalisé par une équipe internationale de pairs. L’objet de cet examen est double : déterminer si le système de gestion de la qualité du Bureau a été conçu de façon adéquate et s’il a été mis en œuvre efficacement. Il devrait y avoir au moins un tel examen pendant le mandat d’un vérificateur général. Cela signifie que le prochain devrait avoir lieu avant 2021, soit avant la fin du mandat du vérificateur général actuel. L’équipe de la RPAI a l’intention de prendre les mesures qui s’imposent pour s’assurer que le Bureau est prêt. Pour commencer, nous procéderons à un exercice d’évaluation de la préparation du Bureau au cours de l’exercice 2016-2017, ce qui devrait amener la direction à élaborer un plan de redressement. Si possible, nous participerons à l’examen par les pairs du bureau d’un autre pays pour mieux comprendre le déroulement de ce genre d’examen.

Plan de revue des pratiques

Le trait distinctif du Bureau est la fiabilité et l’intégrité des rapports qui découlent de ses audits et de ses examens. Par conséquent, il importe avant toute chose de s’assurer que le système de contrôle qualité de toutes les gammes de produits est opérationnel et efficace. Pour ce faire, le Bureau procède à des évaluations périodiques de la conception des systèmes de gestion de la qualité, de même qu’à des revues des pratiques annuelles systématiques et rigoureuses visant tous les professionnels en exercice de niveau supérieur, selon un cycle pluriannuel.

La NCCQ 1 exige que le Bureau établisse un processus de suivi visant à lui fournir l’assurance raisonnable que les politiques et les procédures relatives au système de contrôle qualité sont pertinentes et adéquates et qu’elles fonctionnent efficacement. Ce processus doit comprendre une inspection cyclique couvrant au moins une mission achevée pour chaque responsable de mission (directeur principal). La longueur du cycle n’est toutefois pas précisée dans la norme.

Il y a actuellement 36 responsables de mission au Bureau qui exécutent des audits : 20 dirigent surtout des missions d’audit d’états financiers (dont 7 réalisent aussi des examens spéciaux), et 16 dirigent surtout des audits de performance.

Notre approche d’échantillonnage répond à l’objectif suivant :

• Échantillon aléatoire de responsables de mission — Nous constituerons deux listes de responsables de mission : l’une pour les missions d’attestation d’états financiers et l’autre pour les missions d’appréciation directe (audits de performance et examens spéciaux). Nous serons ainsi en mesure de faire chaque année des observations, le cas échéant, pour chacune de ces deux catégories de missions de certification.

Nous examinerons les pratiques des responsables de mission de chacune de ces listes au moins une fois aux quatre ans. Tous les ans, les responsables de mission seront sélectionnés au moyen d’une méthode d’échantillonnage aléatoire. Si un responsable de mission a plus d’un audit apparaissant sur une liste, l’audit sera aussi choisi au hasard. La valeur que procure l’inclusion de tous les responsables de mission dans chaque liste surpasse les inconvénients causés par le fait d’avoir à passer en revue le même responsable plus d’une fois au cours d’un cycle. Nous avons établi un cycle d’examen de quatre ans pour chaque type de mission de certification, ce qui permettra d’examiner les pratiques de chaque responsable de mission dans un délai raisonnable et de gérer la prévisibilité dans le processus de sélection.

Au cours de l’exercice de 2016-2017, nous prévoyons effectuer cinq revues des pratiques de responsables de missions d’attestation et six revues des pratiques de responsables de missions d’appréciation directe. En plus de la revue des pratiques des 11 responsables de missions choisis au hasard, d’autres revues des pratiques pourraient être réalisées au cours d’un exercice donné, s’il est souhaitable d’effectuer plus rapidement la revue des pratiques d’un responsable de mission en particulier en raison des résultats des revues antérieures ou en fonction de préoccupations ou de risques particuliers touchant les pratiques du Bureau.

Ressources

Pour la mise en œuvre du plan de RPAI, trois personnes se chargeront de toutes les revues des pratiques :

• Louise Bertrand, directrice principale de l’audit interne
• Heather Miller, directrice
• Marc Gauthier, directeur

Des ressources temporaires pourraient être nécessaires pour aider ces personnes à réaliser leurs travaux.

L’équipe de la RPAI dispose d’un budget de 3 750 heures pour les revues des pratiques et de 1 250 heures pour l’audit interne.

Un budget de sous-traitance pour l’embauche d’un consultant en technologies de l’information sera nécessaire pour aider ces personnes à effectuer l’audit interne de la gestion de la sécurité des TI.

On peut s’attendre à ce que le niveau d’activités et d’efforts soit le même pour les exercices 2016-2017 à 2018-2019.

Annexe 1 — Produits d’audit interne proposés

Titre proposé : La gestion de la sécurité des TI
Période : 2016-2017
Secteurs : Équipe de la sécurité informatique, peut-être le Conseil de direction
Type de produit : Audit interne

Que souhaitons-nous accomplir avec cet audit interne?
Nous espérons évaluer l’état de la sécurité informatique du Bureau et déterminer si la haute direction connaît et comprend le niveau des risques en matière de TI. De plus, nous examinerons les mécanismes de signalement des problèmes de sécurité des TI à la haute direction et aux responsables de la gouvernance. Cet audit est lié à la mise en œuvre du plan de sécurité du Bureau.

Sur quoi portera l’audit interne et qu’est-ce qui en sera exclu?
Nous examinerons l’état de la sécurité des TI, les risques connexes (en particulier, les cybermenaces qui pèsent actuellement sur les réseaux du gouvernement du Canada), les stratégies et les pratiques d’atténuation et la fréquence des atteintes à la sécurité des TI. Nous examinerons aussi les mécanismes de communication de même que l’intelligibilité, la clarté, la fréquence de communication et la fiabilité de l’information.

Identification de tout risque important pour le Bureau lié à cet audit
Si notre audit révèle des résultats négatifs, le rapport en découlant serait de nature délicate pour le Bureau étant donné que nous possédons de l’information confidentielle sur nos clients. De plus, le sujet est complexe. L’équipe de la RPAI n’a pas l’expertise requise pour réaliser cet audit et devra embaucher un ou des consultants.

Annexe 2 — Risques importants auxquels s’expose le Bureau du vérificateur général du Canada

Le tableau suivant est un résumé des six risques organisationnels auxquels s’expose le Bureau en 2016, des réponses requises de l’organisation pour les contrôler et des interventions nécessaires de la part du groupe de l’audit interne.