Introduction

Information générale

1. Financement agricole Canada (la Société) est une société d’État qui exerce ses activités en vertu de la Loi sur Financement agricole Canada.

2. La Société a pour mandat de « mettre en valeur le secteur rural canadien » en fournissant des services et produits financiers et commerciaux, spécialisés et personnalisés, aux exploitations agricoles. Les clients de la Société sont les fermes familiales et les petites et moyennes entreprises liées à l’agriculture. Les exploitations agricoles représentent 84 % de la clientèle de la Société, et les fournisseurs et les entreprises de transformation forment les 16 % restants.

3. En outre, la Société a reçu des lettres de mandat de la ministre de l’Agriculture et de l’Agroalimentaire dans laquelle la Société a été chargée de donner suite aux priorités suivantes :

• s’employer à promouvoir et à renforcer les produits et les services qui facilitent les transferts intergénérationnels et qui aident les jeunes agricultrices et agriculteurs à se joindre à l’industrie;
• appuyer les groupes sous‑représentés dans le secteur agricole canadien, y compris les femmes et les Autochtones qui œuvrent à titre d’entrepreneurs ou de producteurs agricoles;
• collaborer avec des organisations aux vues similaires, et les soutenir, afin d’aider les producteurs canadiens ayant des problèmes de santé mentale.

4. La Société offre des prêts, fournit des logiciels et des programmes d’apprentissage et diffuse des connaissances (notamment des idées, des avis et des ressources) pour aider ses clients et d’autres parties prenantes de l’industrie agricole et agroalimentaire à prendre des décisions éclairées.

5. Financement agricole Canada est une société d’État fédérale financièrement autonome. La Société a un effectif de plus de 2 100 personnes réparties dans 100 bureaux qui sont situés surtout en zone rurale. Son administration centrale se trouve à Regina. La Société possède un portefeuille de prêts dont la valeur dépassait 41 milliards de dollars en mars 2021. L’effectif de la Société et son portefeuille de prêts ont augmenté considérablement depuis notre dernier examen spécial en 2012 (voir la pièce 1).

6. Le 23 mars 2020, la Société a reçu un apport en capital additionnel de 500 millions de dollars du gouvernement du Canada qui lui a permis d’augmenter sa capacité de prêts et d’accroître son exposition au risque pour soutenir l’industrie pendant la pandémie de maladie à coronavirus (COVID‑19)^{Définition 1}. La Société a ainsi pu offrir un certain répit à ses clients, avec par exemple des modalités de remboursement prolongées, des taux d’intérêt et des frais réduits, plus de prêts à versement d’intérêts seulement et une hausse de la limite maximale du financement accordé aux clients.

Objet de l’audit

7. Notre audit visait à déterminer si les moyens et les méthodes de Financement agricole Canada que nous avons sélectionnés aux fins de l’examen fournissaient à la Société l’assurance raisonnable que ses actifs étaient protégés et contrôlés, que ses ressources étaient gérées avec efficience et économie et que ses activités étaient menées avec efficacité, comme l’exige l’article 138 de la Loi sur la gestion des finances publiques.

8. De plus, aux termes du paragraphe 139(2) de la Loi sur la gestion des finances publiques, nous devons exprimer une opinion, à savoir si, compte tenu des critères établis, il y avait une assurance raisonnable que les moyens et méthodes que nous avons examinés ne comportaient pas de défaut grave. Nous cernons et signalons des défauts graves lorsque, à notre avis, la Société pourrait ne pas avoir l’assurance raisonnable que ses actifs sont protégés et contrôlés, que ses ressources sont gérées avec efficience et économie, et que ses activités sont menées avec efficacité.

9. En nous fondant sur notre évaluation des risques, nous avons sélectionné les moyens et méthodes dans les secteurs suivants :

• les méthodes de gestion organisationnelle;
• la gestion des activités.

Les moyens et méthodes sélectionnés et les critères appliqués pour les évaluer sont présentés dans les pièces tout au long du rapport.

10. La section intitulée À propos de l’audit, à la fin du présent rapport, donne des précisions sur l’objectif, l’étendue, la méthode et les sources des critères de l’audit.

Constatations, recommandations et réponses

Méthodes de gestion organisationnelle

La Société avait de bonnes méthodes de gestion organisationnelle dans certains secteurs, mais des améliorations étaient nécessaires dans d’autres secteurs

11. Nous avons constaté que la Société avait de bonnes méthodes de gestion organisationnelle, mais que des améliorations s’imposaient. Plus particulièrement, le Conseil d’administration n’avait pas réalisé d’autoévaluation annuelle de son rendement, et les informations communiquées au Conseil sur certains points de surveillance étaient incomplètes ou inexactes.

12. L’analyse à l’appui de cette constatation porte sur :

• la gouvernance de la Société;
• la planification stratégique;
• la gestion des risques d’entreprise.

13. La Société est régie par un Conseil d’administration qui compte 12 membres, dont la présidente du Conseil.

14. Le Conseil est soutenu par le Comité de gestion du risque, le Comité d’audit, le Comité de gouvernance d’entreprise et le Comité des ressources humaines.

15. Le Conseil surveille les activités de la Société, qui rend des comptes au Parlement par l’entremise de la ministre de l’Agriculture et de l’Agroalimentaire.

16. Pour remplir son mandat, la Société définit des objectifs stratégiques dans son plan stratégique. Elle établit également des indicateurs de rendement pour mesurer les progrès réalisés à l’égard de ces objectifs. En plus de ces indicateurs, la Société utilise des cibles qui précisent le niveau de succès ou les buts qui doivent être atteints pour qu’un objectif stratégique soit réalisé. Pour l’exercice financier 2019‑2020, la Société a défini six objectifs stratégiques :

• excellentes relations clients;
• industrie agricole dynamique et prospère;
• culture à rendement élevé;
• excellence de l’exécution;
• gestion efficace du risque d’entreprise;
• solidité financière.

17. La Société est exposée à quatre grandes catégories de risques : le risque stratégique, le risque financier, le risque opérationnel et le risque lié à la réputation. Des exemples de ces risques comprennent les risques liés à la continuité de l’exploitation, à la sécurité des technologies de l’information et à la cybersécurité. L’un des principaux risques financiers auxquels est exposée la Société est le risque lié aux prêts, qui comprend le risque de crédit, le risque de marché et le risque de liquidité. Des niveaux généraux de tolérance au risque sont établis et décomposés en seuils et en limites; ceux‑ci sont attribués aux différents secteurs opérationnels de l’organisation, qui doivent en assurer le suivi.

18. L’évaluation générale des risques réalisée par la Société détermine le capital requis pour appuyer l’orientation stratégique de la Société et poursuivre la prestation des services tout au long des cycles économiques, y compris en période de ralentissement économique et de déficit prolongé. Même si elle n’est pas officiellement réglementée, la Société gère son niveau de capital conformément à la ligne directrice Normes de fonds propres émise par le Bureau du surintendant des institutions financières Canada.

19. Nos recommandations relativement au secteur examiné sont présentées aux paragraphes 23, 26, 29 et 32.

20. Analyse — Nous avons constaté une faiblesse liée au fait que le Conseil d’administration et ses comités n’avaient pas réalisé d’autoévaluation annuelle de leur rendement. Nous avons aussi constaté que l’étendue et les résultats d’un exercice de reprise des activités après un sinistre n’avaient pas été communiqués au Conseil et que la Société n’avait pas suivi de processus fondé sur des preuves pour présenter des rapports sur sa conformité avec les autorisations pertinentes (voir la pièce 2).

21. Faiblesse — Nominations et compétences des membres du Conseil d’administration — Nous avons constaté que le Conseil d’administration et ses comités n’avaient pas réalisé d’autoévaluation annuelle de leur rendement. Le Conseil a évalué son rendement pour la dernière fois en janvier 2019.

22. Cette faiblesse est importante parce que les autoévaluations du rendement, tant au niveau des comités que du Conseil d’administration, permettent au Conseil de relever les secteurs à améliorer et de se tenir à jour quant aux pratiques exemplaires à suivre.

23. Recommandation — Le Conseil d’administration de Financement agricole Canada et ses comités devraient régulièrement réaliser des autoévaluations de leur rendement.

Réponse de la Société — Recommandation acceptée. L’intention du Conseil d’administration de Financement agricole Canada était d’effectuer une évaluation du Conseil d’administration et de ses comités à la suite de la première année de mandat de la nouvelle présidente du Conseil (nommée en avril 2020) et de la dotation des trois postes vacants (pourvus en mai 2021). La direction appuiera une autoévaluation du Conseil d’administration et de ses comités d’ici le 30 juin 2022. La direction recommandera que le mandat du Comité de gouvernance d’entreprise soit amélioré afin d’exiger que cette évaluation soit effectuée à un moment précis, sur une base régulière.

24. Faiblesses — Surveillance par le Conseil d’administration — Dans le cadre de son plan et de sa politique de gestion de la continuité des activités, la Société a mené périodiquement un exercice de reprise des activités après un sinistre qui visait les principaux systèmes et infrastructures des technologies de l’information. Nous avons constaté que l’étendue et les résultats du dernier exercice avaient été communiqués au chef de la technologie de l’information, mais pas au Conseil d’administration, et ce, malgré le fait que la Société avait désigné la sécurité de l’information (y compris la compromission des renseignements essentiels) comme un secteur de risque important pour l’exercice 2020‑2021. En tant qu’organisation qui s’appuie sur plusieurs systèmes informatiques pour traiter et approuver des prêts, fournir à ses clients des décaissements de prêts au moment où ils en ont besoin et stocker des données sensibles sur les clients, la Société doit pouvoir récupérer les informations et reprendre rapidement ses activités à la suite d’un sinistre.

25. Cette faiblesse est importante parce qu’en l’absence de cette information, le Conseil d’administration ne peut pas exercer sa surveillance à l’égard d’une importante mesure d’atténuation des risques, à savoir la capacité de la Société de reprendre ses activités et de récupérer ses informations à la suite d’un sinistre.

26. Recommandation — Le Conseil d’administration de Financement agricole Canada devrait demander à la direction de lui communiquer en temps opportun l’objectif, l’étendue et les résultats de ses mesures d’atténuation des risques liés à la gestion de la continuité des activités.

Réponse de la Société — Recommandation acceptée. En février 2021, le Conseil d’administration de Financement agricole Canada a souligné la nécessité de nommer un conseiller indépendant pour l’aider à assurer la surveillance du risque lié aux technologies et à l’information. À la suite d’un concours, un conseiller a été sélectionné, et un contrat a été finalisé en juin 2021.

En octobre 2021, la direction a remis son rapport sommaire sur le risque lié à l’information et aux technologies au Comité de gestion du risque du Conseil d’administration et au conseiller de ce dernier. Ce rapport présentait notamment des processus d’intervention en cas d’incident et de reprise après sinistre liés à des scénarios de continuité des activités en cas de pannes de système. D’ici le 31 décembre 2021, la direction communiquera au Comité les résultats d’exercices antérieurs de reprise des activités après sinistre.

Les objectifs et la portée du programme général de continuité des activités, de même que les résultats continus de son atténuation des risques relativement à la gestion de la continuité des activités seront communiqués au Conseil d’administration d’ici le 15 décembre 2022.

27. Nous avons également constaté que la Société n’avait pas de processus rigoureux pour la présentation de rapports visant à donner au Conseil l’assurance que la Société se conformait aux lois et aux règlements fédéraux, provinciaux et territoriaux pertinents. Le Conseil doit obtenir cette assurance pour exercer pleinement sa surveillance à cet égard. La Société avait un processus pour dresser la liste des lois et des règlements qu’elle doit respecter. Ces lois et règlements ont été mis en œuvre dans les divers secteurs opérationnels de la Société au moyen de politiques et de procédures. La Société a aussi établi un processus d’attestation pour confirmer sa conformité avec les lois et règlements applicables. La direction a demandé aux cadres supérieurs responsables des divers secteurs opérationnels de la Société de lui confirmer qu’ils n’avaient pris connaissance d’aucune non‑conformité avec de telles autorisations. Toutefois, la confirmation se fondait sur une autoévaluation de ces cadres, plutôt que sur des tests ou des éléments probants documentés.

28. Cette faiblesse est importante parce que pour exercer pleinement son rôle de surveillance, le Conseil doit avoir accès à des informations qui sont étayées par des tests rigoureux et des éléments probants documentés permettant d’évaluer la conformité avec les autorisations. Un tel processus validerait la conformité et améliorerait la rigueur du processus d’attestation.

29. Recommandation — Le processus d’évaluation de la conformité de Financement agricole Canada avec les autorisations devrait être appuyé par des tests rigoureux et des éléments probants documentés.

Réponse de la Société — Recommandation acceptée. Une initiative de Financement agricole Canada visant à renforcer la gestion de la conformité réglementaire a été mise en œuvre en janvier 2020, et des rapports commenceront à être fournis au Comité d’audit en 2022. Le programme contribuera à améliorer les pratiques de la Société visant à assurer la conformité aux lois et règlements fédéraux ainsi qu’aux instruments du Conseil du Trésor. Il contribuera aussi à appuyer l’évaluation de conformité réglementaire fournie au Comité d’audit grâce à des éléments probants documentés et à des tests des contrôles en bonne et due forme. Le programme sera mis en œuvre d’ici le 31 mars 2023.

30. En outre, nous avons constaté que dans sa liste des lois et règlements applicables, la Société avait noté que la Loi canadienne sur l’évaluation environnementale avait été abrogée et remplacée par la Loi sur l’évaluation d’impact le 28 août 2019. Toutefois, la Société n’avait pas encore mis en œuvre la Loi sur l’évaluation d’impact dans ses secteurs opérationnels puisqu’elle n’avait pas encore réalisé une pleine analyse de l’effet de cette nouvelle loi sur ses politiques et ses procédures. Avant de consentir des prêts, la Société doit réaliser des évaluations environnementales conformément à sa politique sur l’évaluation du risque environnemental ainsi qu’à ses procédures et à ses documents d’évaluation. Or, aucun de ces instruments n’avait été mis à jour pour tenir compte des exigences de la nouvelle loi.

31. Cette faiblesse est importante parce que si la Société ne met pas à jour ses politiques et ses procédures en matière d’environnement pour tenir compte des exigences de la Loi sur l’évaluation d’impact, elle ne peut pas pleinement évaluer sa conformité avec cette loi. Dans les rapports sur la conformité qu’elle a fournis au Conseil d’administration, la Société n’a pas indiqué que les évaluations n’avaient pas été réalisées en tenant compte des textes législatifs les plus récents.

32. Recommandation — Financement agricole Canada devrait analyser la Loi sur l’évaluation d’impact et mettre à jour ses politiques et procédures en conséquence.

Réponse de la Société — Recommandation acceptée. Financement agricole Canada a analysé les exigences réglementaires de la Loi sur l’évaluation d’impact. La politique et le processus d’attestation juridique de la direction ont été mis à jour en fonction de la Loi. Des aspects de la Loi ont été intégrés à la Politique sur la gestion du risque environnemental existante de la Société. La politique, les procédures et le matériel d’appui ont été actualisés et mis en œuvre, y compris la formation, relativement aux projets qui se trouvent au Canada, avec prise d’effet le 27 septembre 2021. Les exigences de conformité pour les projets internationaux, y compris la formation, seront mises en œuvre d’ici le 30 avril 2022.

33. Analyse — Nous avons constaté que la Société avait des méthodes efficaces de planification stratégique (voir la pièce 3).

34. Analyse — Nous avons constaté que la Société avait de bonnes méthodes de gestion des risques d’entreprise (voir la pièce 4).

Gestion des activités

La Société avait de bonnes méthodes pour gérer ses activités, mais des améliorations s’imposaient dans les secteurs de la cybersécurité et de la sécurité des technologies de l’information

35. Nous avons constaté que la Société avait de bonnes méthodes opérationnelles, y compris en ce qui concerne la planification opérationnelle, la surveillance du rendement et la communication des résultats, ainsi que la gestion des activités. Toutefois, des améliorations s’imposaient dans les secteurs de la cybersécurité et de la sécurité des technologies de l’information.

36. L’analyse à l’appui de cette constatation porte sur :

• les activités;
• la sécurité des technologies de l’information.

37. L’activité principale de la Société consiste à fournir du financement à l’industrie agricole et agroalimentaire. La Société verse des prêts aux producteurs primaires (soit les producteurs de produits bruts comme les céréales, les oléagineux, le bétail, les produits laitiers, les porcins, le poisson et autres produits aquacoles, les fruits et les légumes) ainsi qu’aux secteurs de l’agroentreprise et de l’agroalimentaire (fournisseurs ou transformateurs, tels que les fabricants et concessionnaires d’équipement ou les grossistes qui desservent les producteurs primaires). La Société offre plusieurs produits de prêt pour répondre aux besoins de l’industrie. Ces produits ciblent aussi des groupes particuliers, comme les jeunes agricultrices et agriculteurs, les femmes entrepreneures, et les agricultrices, agriculteurs ou entreprises autochtones.

38. La Société s’appuie énormément sur les technologies de l’information. La sécurité des technologies de l’information, y compris la cybersécurité, est donc un secteur de service important au sein de la Société, puisque celle‑ci offre des services en ligne aux consommateurs (par exemple évaluation en ligne du risque de crédit associé à un prêt) et gère une grande quantité de données financières. La Société offre aussi à ses clients des logiciels de gestion agricole et de comptabilité. Lorsque la Société remplace ses technologies pour améliorer les services, accroître l’automatisation et fournir un accès à distance, les risques associés aux technologies de l’information et à la cybersécurité augmentent.

39. La Société a des bureaux partout au Canada, pour être proche de ses clients. Par ailleurs, en raison de la pandémie de COVID‑19, l’effectif de la Société a dû passer au travail à distance. Au cours de l’exercice 2020‑2021, la Société a connu une hausse des tentatives d’hameçonnage, ce qui a fait ressortir l’importance de son programme de cybersécurité et des contrôles connexes.

40. Notre examen a porté sur les activités de prêt, ainsi que sur la sécurité des technologies de l’information et la cybersécurité. La Société a aussi une division de marketing qui crée de nouveaux produits de prêt et qui élabore et offre de nouvelles connaissances et de nouvelles solutions logicielles à ses clients. Pour le critère de planification opérationnelle ci‑après, nous avons examiné les programmes de marketing en plus des produits de prêt.

41. Nos recommandations relativement au secteur examiné sont présentées aux paragraphes 47 et 50.

42. Analyse — Nous avons constaté que la Société disposait de bonnes méthodes pour planifier ses activités, mettre en œuvre son plan opérationnel, surveiller son rendement et communiquer les résultats (voir la pièce 5).

43. Analyse — Nous avons constaté que la Société n’avait pas de programme complet de sensibilisation à la cybersécurité et de formation à ce sujet et qu’elle n’avait pas évalué pleinement son exposition aux risques liés à la sécurité des technologies de l’information et aux risques d’atteinte à la vie privée posés par ses contrats avec des tierces parties (voir la pièce 6).

44. Faiblesse — Cybersécurité — Nous avons constaté que la Société n’avait pas de programme complet de sensibilisation à la cybersécurité et de formation à ce sujet. Elle n’avait pas non plus de programme de cours officiel sur la cybersécurité. Il y avait des cours de formation obligatoires sur la cybersécurité pour les nouveaux membres du personnel, mais le contenu de ces cours se limitait à l’utilisation acceptable des appareils et logiciels de la Société et à la protection des biens informatiques. Un programme de cours en cybersécurité qui s’adresse à tous les membres du personnel et qui présente des exemples d’attaques par hameçonnage et autres types d’ingénierie sociale et de logiciels malveillants, de même que des scénarios de cyberattaques, permettrait de mieux renseigner le personnel sur les risques cybernétiques.

45. La Société avait réalisé des exercices sur la cybersécurité et diffusé des communications visant à sensibiliser le personnel à ce sujet. Toutefois, aucun plan ne précisait la nature et la fréquence de ces activités. Un programme de sensibilisation à la cybersécurité à jour comprendrait des activités de formation et de communication ainsi que de suivi et d’évaluation. Un tel programme indiquerait aussi à quel moment et à quelle fréquence ces activités auraient lieu et tiendrait compte des menaces actuelles et des plans pour réagir à de telles menaces.

46. Cette faiblesse est importante parce que la Société a désigné les atteintes à la cybersécurité comme un secteur de risque important. Les programmes de sensibilisation et de formation peuvent aider les membres du personnel à reconnaître les cybermenaces et les cyberincidents et à y réagir de façon à réduire la probabilité que les tentatives d’accès aux systèmes et à l’information de la Société soient fructueuses.

47. Recommandation — Financement agricole Canada devrait établir un programme complet de sensibilisation à la cybersécurité et de formation à ce sujet à l’intention de tous les membres du personnel.

Réponse de la Société — Recommandation acceptée. Après la période d’examen, la direction de Financement agricole Canada a passé en revue le programme actuel de sensibilisation à la cybersécurité et de formation à cet égard. La mise en œuvre prioritaire d’améliorations complètes est en cours et devrait être achevée d’ici le 30 septembre 2022.

48. Faiblesse — Sécurité des technologies de l’information — La Société a réalisé des évaluations des risques liés à la sécurité des technologies de l’information et des risques d’atteinte à la vie privée posés par des tierces parties au moment d’accepter de nouveaux fournisseurs. Elle a aussi mis à jour les évaluations des principaux fournisseurs en procédant à une surveillance des rapports d’attestation des contrôles couvrant les risques liés à la sécurité et à la vie privée. La Société a aussi récemment commencé à ajouter systématiquement aux nouveaux contrats et aux contrats renouvelés des clauses concernant le signalement des atteintes à la sécurité et à la vie privée des tierces parties. Nous avons constaté que la Société avait commencé à évaluer certains de ses anciens contrats encore en vigueur pour déterminer s’ils contenaient des clauses sur le signalement des atteintes à la sécurité et à la vie privée des tierces parties, mais ce processus ne visait pas tous les contrats.

49. Cette faiblesse est importante parce que la Société pourrait être exposée à des risques liés à la sécurité des technologies de l’information et à des risques d’atteinte à la vie privée en raison de contrats avec des tierces parties qui ne nécessitaient pas, au moment de leur établissement, le signalement des atteintes à la sécurité des technologies de l’information et à la vie privée. Si la Société n’est pas capable d’intervenir rapidement à une atteinte à la sécurité ou à la vie privée, les systèmes pourraient devenir inaccessibles, des données pourraient être corrompues et des renseignements sensibles pourraient être perdus ou volés. Il y a aussi un risque de fraude. Si elle était avisée de telles atteintes résultant de contrats avec des tierces parties, la Société pourrait intervenir en conséquence.

50. Recommandation — Financement agricole Canada devrait évaluer tous les contrats conclus avec des tierces parties qui sont encore en vigueur pour déterminer son exposition aux risques liés à la sécurité des technologies de l’information et aux risques d’atteinte à la vie privée posés par des contrats qui pourraient ne pas contenir de clauses concernant le signalement des atteintes à la sécurité des technologies de l’information et à la vie privée et mettre en place les mesures d’atténuation qui s’imposent.

Réponse de la Société — Recommandation acceptée. Une initiative d’entreprise visant à renforcer la gestion des risques liés aux tierces parties a été entamée en 2020. Le programme améliorera les pratiques de Financement agricole Canada pour veiller à ce que les risques en matière de sécurité des TI et d’atteinte à la vie privée soient compris et atténués comme il convient avec toutes les tierces parties. Dans le cadre de ce travail, la direction évaluera tous les contrats de tierces parties en ce qui concerne la présence de clauses en matière de sécurité des TI et de protection des renseignements personnels d’ici le 31 mars 2022. Pour ce qui est des contrats dans lesquels il manque une clause, des tactiques d’atténuation seront établies au besoin d’ici le 31 décembre 2022, conformément à la stratification du risque des ententes.

Conclusion

51. À notre avis, compte tenu des critères établis, il existe une assurance raisonnable que les moyens et les méthodes de la Société que nous avons examinés ne comportaient aucun défaut grave. Nous avons conclu que Financement agricole Canada avait mis en œuvre ses moyens et méthodes tout au long de la période visée par l’audit d’une manière qui lui a fourni l’assurance raisonnable requise aux termes de l’article 138 de la Loi sur la gestion des finances publiques.