Vérification ciblée de la gestion des biens de TI

Vérification ciblée de la gestion des biens de TI - Version PDF (782 Ko)

Table des matières

• Sommaire
• 1 Introduction
  • 1.1 Contexte
  • 1.2 Objectif de la vérification
  • 1.3 Portée et méthode de la vérification
  • 1.4 Opinion du vérificateur
  • 1.5 Énoncé d’assurance et de conformité
• 2 Constatations, recommandations et réponses de la direction
  • 2.1 Une structure de gouvernance des TI est en place; toutefois, les données sur le rendement et les rapports ne suffisent pas pour appuyer la prise de décision et la gestion des biens de TI.
  • 2.2 Les principaux contrôles de gestion des ordinateurs portatifs et des tablettes sont mis en œuvre. Il y a cependant lieu d’en améliorer leur efficacité et leur efficience.
  • 2.3 Conclusion générale
  • 2.4 Réponse de la direction et plan d’action
• Annexe A : Critères de vérification
• Annexe B : Échelle d’opinion de la direction générale de la vérification interne et de l’évaluation
• Notes

Mars 2018

Sommaire

Contexte

La technologie de l’information (TI) joue un rôle essentiel au sein du gouvernement du Canada en appuyant la prestation efficace des services; en permettant la communication entre les ministères, les citoyens et d’autres pays; en promouvant l’ouverture et la transparence; et en accroissant l’accessibilité des programmes et des services aux Canadiennes et Canadiens.

La Politique sur la gestion du matériel de 2006 du Conseil du Trésor (CT) énonce que les biens matériels doivent être gérés par les ministères d’une manière durable et responsable sur le plan financier, afin de soutenir l’exécution rentable et efficace des programmes gouvernementaux. De plus, la Politique et Directive sur la gestion des technologies de l’information de 2009 du CT définissent la gestion des biens de TI comme un ensemble de pratiques efficaces et efficientes qui appuient une prise de décisions rentable et stratégique et qui permettent de répondre aux exigences du Ministère relatives à l’exécution de programmes. Les biens de TI sont intangibles (p. ex. licences d’utilisation du logiciel) et tangibles (p. ex. ordinateurs) dont la durée de vie dépasse une année.

Le Plan stratégique de la technologie de l’information du gouvernement du Canada 2016-2020 fournit aux ministères et organismes une orientation sur la prise de décisions et l’établissement de priorités de TI afin qu’ils puissent élaborer leurs plans individuels. Il souligne que les bonnes méthodes doivent être axées sur une approche de gouvernance renforcée ainsi que sur des pratiques, des processus et des outils de gestion de la TI évolués et mettre l’accent sur l’innovation et la durabilité.

La gestion des biens de TI à Sécurité publique Canada

La TI est un bien stratégique et un élément clé du mandat et des objectifs des programmes de Sécurité publique Canada. Au Ministère, les activités et les services de TI sont assurés par la Direction générale du dirigeant principal de l’information (DGDPI). Celle-ci est chargée de gérer l’ensemble des travaux et des ressources de TI en collaboration avec Services partagés Canada (SPC).

En 2016-2017, l’inventaire des biens de TI de Sécurité publique Canada comptait 1 245 ordinateurs portatifs, 186 tablettes, 860 ordinateurs et 2 248 écrans. Dans la stratégie de gestion des biens de TI de 2016, une approche évolutive a été proposée pour fournir un ordinateur portatif à chaque employé. L’approche prévoit augmenter le nombre d’ordinateurs portatifs à 1 600 et réduire le nombre d’ordinateurs à un minimum de 86, qui sont requis pour les applications informatiques de haute performance et les besoins particuliers. Conformément à son plan ministériel de TI de 2014-2017, Sécurité publique Canada a budgétisé une somme approximative de 11 433 000 $ pour les TI, dont un montant de 2 249 000 $ accordé aux biens matériels.

Comme complément aux politiques et aux directives du CT, le document de 2015 de Sécurité publique Canada intitulé, Gestion des biens de TI : Politique sur la gestion du cycle de vie des ordinateurs personnels, prévoit l’exigence d’un système de gestion des biens de TI (GBTI) permettant de consigner et de suivre les biens matériels de TI, et décrit le processus de gestion des biens tout au long de leur cycle de vie.

Objectif et portée de la vérification

L’objectif de la vérification était de fournir l’assurance raisonnable que les contrôles de gestion des biens de TI pour les ordinateurs portatifs et les tablettes sont en place et qu’elles sont efficaces^{Note de bas de page1}.

La vérification portait notamment sur les éléments suivants :

• les contrôles clés en place pour les ordinateurs portatifs et les tablettes à étiqueter, à consigner et à suivre;
• l’utilisation des renseignements sur la gestion des biens dans la prise de décisions.

La vérification n’a pas évalué les éléments suivants :

• les biens intangibles (p. ex. les logiciels);
• l’inventaire géré par Services partagés Canada (p. ex. dispositifs BlackBerry);
• les ordinateurs, les écrans, les biens immeubles de TI (p. ex. imprimantes) et les biens périphériques de TI (p. ex. claviers, clés USB).

Sommaire des constatations

• Le Ministère dispose d’une structure de gouvernance qui comprend la surveillance de la gestion de la TI. Pendant la vérification, des documents clés sur la TI, comme le plan ministériel de TI et la stratégie de gestion des biens de TI, ont été présentés aux comités de gouvernance. Toutefois, la collecte de données sur le rendement et les exigences en matière de rapports ne suffisent pas pour appuyer la prise de décisions et la gestion des biens de TI.
• Sécurité publique Canada a élaboré des politiques et des procédures internes à l’appui de la gestion des biens de TI qui cadrent avec la Politique et la Directive sur la gestion des technologies de l’information ainsi qu’avec la Politique sur la gestion du matériel. Des processus documentés concernant la gestion des biens de TI existent, mais ils ont été jugés désuets par Services d’Activation (SA). Les pratiques actuelles et les contrôles intégrés dépendent des employés de Sécurité publique Canada et de leur expertise. Bien qu’il y ait en place un système de gestion des biens de TI (GBTI) et des principaux contrôles de gestion des ordinateurs portatifs et des tablettes, il existe des moyens d’accroître leur efficacité et leur efficience afin d’assurer l’intégrité de l’inventaire des biens.

Opinion du vérificateur

Des améliorations doivent être apportées  aux processus et procédures de gestion des biens de TI^{Note de bas de page2} afin de protéger de façon efficace et efficiente les ordinateurs portatifs et les tablettes. Même si les principaux contrôles ministériels de gestion des biens de TI sont en place et sont conformes aux politiques et directives du CT, il existe des moyens de les renforcer de façon à accroître l’intégrité de l’inventaire des biens de TI ainsi que la surveillance et la production de rapports à cet égard.

Recommandation

1. Le sous-ministre adjoint du Secteur de la gestion ministérielle devrait évaluer les procédures et les processus qui sont conformes aux politiques connexes du CT. Ceux-ci comprennent :

1. déterminer les mesures du rendement et les exigences en matière de rapport afin d’appuyer la prise de décisions et la gestion des biens de TI; et
2. mettre en place des contrôles efficaces de la gestion des biens de TI afin d’assurer la cohérence et l’exactitude de l’inventaire des biens de TI.

Réponse de la gestion

Les principales mesures à prendre par la direction pour donner suite aux recommandations et aux constatations découlant de la vérification, ainsi que les délais associés, se trouvent dans la section du rapport intitulée, Réponse et plan d’action de la direction.

Membres de l’équipe de vérification interne

• Daniel Giroux, Dirigeant principal de la vérification et de l’évaluation
• Sonja Mitrovic, Directrice par intérim, Direction générale de la vérification interne et de l’évaluation
• David Uzan, Chef de projet de la vérification interne
• Cathy Kwan, Vérificatrice interne
• Alyssa Brown, Vérificatrice junior

Remerciements

L’équipe de la vérification interne tient à remercier tous ceux qui ont fourni des conseils et de l’aide au cours de la vérification.

1. Introduction

1.1 Contexte

La technologie de l’information (TI) joue un rôle essentiel au sein du gouvernement du Canada en appuyant la prestation efficace des services; en permettant la communication entre les ministères, les citoyens et d’autres pays; en promouvant l’ouverture et la transparence; et en accroissant l’accessibilité des programmes et des services aux Canadiennes et Canadiens. La prise de décisions éclairées à l’égard des investissements, des coûts et des risques liés aux biens de TI est essentielle à l’exécution réussie des plans et des priorités du gouvernement.

La Politique sur la gestion du matériel de 2006 du CT énonce que les biens matériels doivent être gérés par les ministères d’une manière durable et responsable sur le plan financier, afin de soutenir l’exécution rentable et efficace des programmes gouvernementaux. Pour ce faire, il est nécessaire de disposer d’un système d’information de gestion pour tenir des données complètes et précises qui tienne compte du cycle de vie entier de tous les biens et qui appuie la prise de décisions opportunes en matière de gestion.

De plus, la Politique et Directive sur la gestion des technologies de l’information de 2009 du CT définissent la gestion des biens de TI comme un ensemble de pratiques efficaces et efficientes qui appuient une prise de décision rentable et stratégique et qui permettent de répondre aux exigences du Ministère relatives à l’exécution de programmes. Les biens de TI sont intangibles (p. ex. licences d’utilisation du logiciel) et tangibles (p. ex. ordinateurs) dont la durée de vie dépasse une année.

Le gouvernement du Canada a publié le Plan stratégique de la TI pour 2016-2020 dans lequel il décrit les principales activités qui permettront de garantir des services de TI sûrs, fiables, adaptés et novateurs. Ce Plan fournit aux ministères et organismes une orientation sur la prise de décision et l’établissement de priorités de TI afin qu’ils puissent élaborer leurs plans individuels. En particulier, le Plan indique que les bonnes méthodes doivent être axées sur une approche de gouvernance renforcée ainsi que sur des pratiques, des processus et des outils de gestion de la TI évolués et mettre l’accent sur l’innovation et la durabilité.

La gestion des biens de TI à Sécurité publique Canada

La TI est un bien stratégique et un élément clé du mandat et des objectifs des programmes de Sécurité publique Canada. Au Ministère, les activités et les services de TI sont assurés par la Direction du dirigeant principal de l’information (DDPI). Celle-ci est chargée de gérer l’ensemble des travaux et des ressources de TI en collaboration avec Services partagés Canada (SPC).

À la DDPI, la prestation de services de TI est assurée par services d’activation (SA), qui effectue la gestion des biens et des appareils, traite les demandes de déménagement et de réparation et assure la coordination avec SPC pour l’élimination des biens.

En 2016-2017, l’inventaire des biens de TI de Sécurité publique comptait 1 245 ordinateurs portatifs, 186 tablettes, 860 ordinateurs de bureau et 2 248 écrans.

Dans le cadre de la stratégie de gestion des biens de TI de 2016, une approche évolutive a été proposée afin de fournir un ordinateur portatif à chaque employé. L’approche prévoit augmenter le nombre d’ordinateurs portatifs à 1 600 et réduire le nombre d’ordinateurs de bureau à un minimum de 86, ce qui est requis pour les applications informatiques de haute performance et les besoins particuliers. Dans son plan ministériel de TI de 2014-2017, Sécurité publique Canada prévoit un financement approximatif de 11 433 000 $ pour la TI, dont un montant de 2 249 000 $ pour les biens matériels.

Comme complément aux politiques et aux directives du CT, Sécurité publique Canada a élaboré un document intitulé, Gestion des biens de TI : Politique sur la gestion du cycle de vie des ordinateurs personnels, qui met l’accent sur l’importance de prendre en compte les coûts totaux et qui décrit le processus de gestion des biens pendant toute la durée de leur cycle de vie. Cette politique mentionne aussi que les biens seront gérés à l’aide d’un système de gestion des biens de TI (GBTI), qui permet d’enregistrer et de suivre l’utilisation du matériel de TI.

La gestion des biens de TI consiste en un ensemble de pratiques qui appuient la prise de décisions stratégiques et la réduction des coûts et des risques. La gestion des biens de TI comprend six étapes.

1. Planification : Harmoniser les besoins en TI aux exigences opérationnelles déterminées.
2. Financement : Déterminer les fonds requis pour répondre aux besoins en matière de TI du Ministère.
3. Approvisionnement : Adopter une méthode d’approvisionnement économique (c.-à-d. rabais pour  volume) pour l’achat de biens.
4. Gestion : Assurer le suivi et la surveillance de l’utilisation des biens.
5. Mise hors service : Déterminer les biens de TI désuets qui ne peuvent pas être réutilisés.
6. Élimination : Retirer et détruire les disques durs des biens mis hors service avant de les envoyer au programme Ordinateurs pour les écoles d’Industrie Canada.

1.2 Objectif de la vérification

L’objectif de la vérification était de fournir une assurance raisonnable que les contrôles de gestion des biens de TI pour les ordinateurs portatifs et les tablettes sont en place et qu’ils sont efficaces^{Note de bas de page3}.

1.3 Portée et méthode de la vérification

La portée de la vérification comprenait :

• les principaux contrôles de gestion en place pour l’étiquetage, l’enregistrement et le suivi de l’utilisation des ordinateurs portatifs et des tablettes;
• l’utilisation des renseignements sur la gestion des biens dans la prise de décision.

La vérification n’a pas évalué les éléments suivants :

• les biens intangibles, comme les logiciels;
• l’inventaire géré par Services partagés Canada, comme les appareils BlackBerry;
• les ordinateurs, les écrans, les biens immeubles de TI (p. ex. les imprimantes) et les biens périphériques de TI (p. ex. les claviers, les clés USB).

Les méthodes d’évaluation suivantes ont été utilisées :

• des entrevues avec des intervenants pertinents;
• un examen de la documentation produite entre avril 2016 et janvier 2018;
• un test par échantillonnage des contrôles de gestion clés.

1.4 Opinion du vérificateur

Des améliorations doivent être apportées ^{Note de bas de page4} aux processus et procédures de gestion des biens de TI afin de protéger de façon efficace et efficiente les ordinateurs portatifs et les tablettes. Même si les principaux contrôles ministériels de gestion des biens de TI sont en place et sont conformes aux politiques et directives du CT, il existe des moyens de les renforcer de façon à accroître l’intégrité de l’inventaire des biens de TI de même que la surveillance et la production de rapports à cet égard.

1.5 Énoncé d’assurance et de conformité

Des procédures de vérification suffisantes et appropriées ont été exécutées, avec les éléments probants appropriés, pour étayer l’exactitude de l’opinion formulée dans le présent rapport. L’opinion repose sur un examen des situations recensées au moment de la vérification en fonction de critères de vérification établis au préalable et approuvés par la direction. L’opinion s’applique uniquement à l’entité examinée, compte tenu de la portée de la vérification, telle qu’elle est indiquée dans le présent document. Les éléments probants ont été recueillis conformément à la Politique et à la Directive du Conseil du Trésor en matière de vérification interne. La présente vérification respecte les Normes relatives à la vérification interne au sein du gouvernement du Canada, comme le confirment les résultats du programme d’assurance et d’amélioration de la qualité. Les procédures utilisées respectent les normes professionnelles de l’Institut des auditeurs internes. Les éléments de preuve réunis sont suffisants pour convaincre la haute direction du bien-fondé de l’opinion découlant de la vérification interne.

2. Constatations, recommandations et réponses de la direction

2.1 Une structure de gouvernance des TI est en place; toutefois, les données sur le rendement et les rapports ne suffisent pas pour appuyer la prise de décision et la gestion des biens de TI

La gouvernance est la combinaison de processus et de structures mis en œuvre par les cadres supérieurs pour informer, diriger, gérer et surveiller les activités de l’organisation en vue de l’atteinte de ses objectifs. La Directive sur la gestion des TI de 2009 exige que le dirigeant principal de l’information (DPI) mette en œuvre une structure de gouvernance des TI au Ministère qui :

• appuie une prise de décisions de TI efficace;
• permet de surveiller et de mesurer le rendement en matière de gestion des TI au Ministère à l’aide d’indicateurs du rendement clés pangouvernementaux et ministériels, s’il y a lieu;
• informe le sous-ministre, le propriétaire de l’entreprise et d’autres intervenants, de l’effet des mesures législatives ou des politiques nouvelles ou modifiées sur les plans ministériels en matière de TI.

Afin de gérer ses produits et services, Sécurité publique Canada a mis sur pied deux comités de gouvernance : le Comité de gestion des directeurs généraux (CGDG) et le Comité de gestion ministériel (CGM). Comme son mandat l’indique, le CGDG est l’organisme de gouvernance chargé d’élaborer le cadre décisionnel et de favoriser l’excellence en gestion et les meilleures pratiques à l’échelle du Ministère. Il est aussi responsable de la gestion globale des TI. Pendant la durée de la vérification (d’avril 2016 à janvier 2018), le CGDG s’est réuni 33 fois et a discuté de TI durant sept de ces réunions. En particulier, le compte rendu des décisions du CGDG indique que le plan de TI ministériel a été présenté à deux reprises, que le Comité a discuté une seule fois de la gestion des appareils mobiles, des contrôles d’accès aux TI, du groupe de travail sur la sécurité des TI et de l’inventaire des appareils mobiles, et que la stratégie de gestion des biens de TI a été présentée en 2016-2017.

Le CGM, présidé par le sous-ministre et le sous-ministre adjoint, est responsable de la gestion générale, financière et liée aux ressources humaines (RH). Le CGM s’est réuni 38 fois au cours de la même période. Notre examen des comptes rendus du Comité révèle que six sujets liés aux TI ont été présentés. Ceux-ci incluent des présentations sur  : le plan ministériel de TI, le réseau secret Dragon, les coûts associées  aux tablettes et aux cellulaires, une discussion sur les pressions en matière de gestion des biens de TI d’inclure les besoins en évolution continue, les résultats du Cadre de responsabilisation de gestion (CRG) et une mise à jour sur le Système de gestion des documents et des dossiers électroniques (GCDocs) du gouvernement du Canada et la migration des téléphones cellulaires. Bien que le CGDG et le CGM aient affirmé s’engager envers l’objectif d’un appareil par employé établi par les TI et qu’ils aient reconnu la nécessité d’établir un modèle de financement annuel pour soutenir la planification efficace à long terme des biens de TI, ils n’ont pas pris de décision définitive quant au budget à affecter ou aux prochaines étapes. Bien que la structure de gouvernance de SP soit établie, les personnes interrogées ont indiqué que les exigences de rendement et de production de rapports liés à la gestion des TI manquent de clarté.

La Directive sur la gestion des TI du CT requiert aussi que le DPI prépare un plan ministériel de TI qui aborde les aspects stratégique, tactique et opérationnel des TI. Le plan porte sur la gouvernance, les activités de TI, les mesures du rendement et la gestion des risques. Il reflète les priorités ministérielles et décrit les investissements prévus, y compris les services acquis, pour les cinq ans à venir dans les domaines suivants :

• Nouveaux projets, systèmes et services de TI ou améliorations importantes aux projets, systèmes et services actuels;
• Maintenance prévue des systèmes ou services de TI actuels ou améliorations apportées à ces systèmes et services;
• Opérations liées aux TI.

Pour suivre le rythme des changements technologiques, le DPI du Ministère doit passer en revue et mettre à jour chaque année le plan ministériel de TI. En plus de la Politique et de la Directive, le CT a publié un guide visant à appuyer les ministères dans la préparation de leur plan de TI. Bien que la Directive définisse le plan quinquennal exigé, l’orientation recommande un plan triennal.

Lors de la revue de la documentation document, l’équipe de vérification évalué les plans ministériels de TI2014-2017 et 2017-2020 qui respectent la longueur recommandée par le guide. Les plans comprennent les priorités ministérielles, les priorités et risques en matière de GI/TI ainsi que les projets prévus et les coûts qui y sont associés. L’équipe de vérification a remarqué dans les deux plans une priorité exigeant que SP travaille avec SPC à l’utilisation de centres de données regroupés pour les nouvelles initiatives et le regroupement des biens de TI existants. En outre, le plan ministériel de TI 2017-2020 indique que la gestion du cycle de vie des biens de TI (mise à jour continuelle des TI) occupe la 8e place (sur 14) en ce qui concerne les priorités liées à ce cycle de planification. Bien que les deux plans de TI de SP incluent la majorité des éléments exigés, ils n’établissent pas clairement la structure de gouvernance liée aux TI ni ne fournissent de mise à jour des progrès par rapport aux engagements précédents.

En plus de la Politique de gestion des TI, la Politique sur la gestion du matériel de 2006 exige la mise en place d’un système d’information de gestion du matériel afin de permettre la cueillette et la production de données complètes et exactes sur les biens matériels, d’intégrer un calendrier de prise d’inventaire axé sur le risque et de soutenir la prise de décisions éclairées et opportunes en matière de gestion du matériel. En examinant les documents, l’équipe de vérification a constaté que des normes de service étaient établies pour les demandes liées à de nouveaux utilisateurs et le déménagement de bureaux.

Les personnes interrogées ont indiqué l’existence d’une capacité technologique pour recueillir des données sur le rendement et les biens, par exemple des diagnostics pour consulter les dossiers de connexions d’utilisateur et confirmer les activités liées aux biens et les principaux utilisateurs. Toutefois, comme un seul ETP est officiellement affecté à la gestion des biens, la surveillance et la cueillette de données sur le rendement sont effectuées ponctuellement. À l’heure actuelle, l’évaluation du Cadre de responsabilisation de gestion est la principale raison de production de rapports sur les TI. L’évaluation de 2017-2018 comprenait 34 questions qui visaient les pratiques et mécanismes en place pour la tenue de dossiers, les données ouvertes, le plan ministériel de TI, les dépenses en TI, les RH, la durabilité des applications essentielles à la mission, la liste de toutes les applications prises en charge et leur cycle de vie, les ententes de niveau de service ainsi qu’un système de suivi et d’intervention pour les incidents liés aux appareils technologiques au travail.

En décembre 2016, une approche pluriannuelle de mise à jour continue a été présentée au CGM dans le cadre de la stratégie de gestion des biens de TI. L’analyse menée pour l’élaboration de l’approche de mise à jour continue a tenu compte du stock de biens de TI et du coût moyen d’acquisition. Bien qu’il dépende de SPC pour l’achat de nouveaux ordinateurs portatifs, SP a sélectionné l’option la plus pratique pour assurer l’efficacité et l’économie. 

Même si SP a établi une structure de gouvernance pour la gestion des TI et est en conformité aux politiques  du CT,  cette vérification a permis de  constater que les données et rapports sur le rendement ne suffisent pas à soutenir la gestion des biens de TI et la prise de décision.

2.2 Les principaux contrôles de gestion des ordinateurs portatifs et des tablettes sont mis en œuvre. Il y a cependant lieu d’en améliorer leur efficacité et leur efficience

Selon la Politique sur la gestion des TI de 2009 du CT, le DPI ministériel est responsable de mettre en place et de maintenir des pratiques et processus de gestion des TI efficaces et efficients, en accordant la priorité à la gestion des biens de TI, au catalogue de services de TI et à l’établissement des coûts et des prix des services de TI. Comme mentionné précédemment, la Politique sur la gestion du matériel de 2006 exige la mise en place d’un système d’information de gestion du matériel afin de permettre la cueillette et la production de données complètes et exactes sur les biens matériels (immobilisations, stocks et matériel utilisé), d’intégrer un calendrier de prise d’inventaire axé sur le risque et de soutenir la prise de décisions éclairées et opportunes en matière de gestion du matériel.

En plus des politiques et directives du CT, SP a mis en œuvre la politique Gestion des biens de TI : Politique sur la gestion du cycle de vie des ordinateurs personnels, en 2015 et, en 2016, la procédure sur le cycle de vie de la gestion des appareils technologiques en milieu de travail. Ces documents internes établissent et décrivent la gestion des biens tout au long de leur cycle de vie, tout en mettant l’accent sur l’importance des coûts totaux. La politique interne exige aussi l’utilisation du système de Gestion des biens de TI (GBTI) pour consigner les biens de TI et en faire le suivi.

Le SA de la DDPI a fourni à l’équipe de vérification les flux de travail de la gestion des biens de TI de SP pour le déploiement, la réception et la gestion des biens. Toutefois, durant l’examen, l’équipe d’ vérification a appris que tous les flux de travail sont désuets et doivent être mis à jour. Selon la liste de biens de GBTI, le Ministère administre un certain nombre de tablettes, comme des iPad, des PlayBook et Surface Pro. Même si l’équipe a appris que les tablettes étaient progressivement éliminées, leur garantie étant expirée, elle n’a obtenu ni politique, ni procédure, ni processus visant la gestion de tablettes actuelles ou futures.

Le SA comprend clairement les processus et les procédures. Toutefois, l’efficacité des contrôles de gestion des biens de TI dépend des employés actuels et de leurs compétences. Outre l’absence de processus et procédures documentés et à jour, aucune formation officielle n’est offerte aux nouveaux employés. Les personnes interrogées ont indiqué que les nouveaux employés et les étudiants sont formés en cours d’emploi.

À l’heure actuelle, il existe un équivalent temps plein (ETP) appuyé par des étudiants et chargé de recueillir, d’étiqueter, de consigner et de surveiller les biens de TI de l’inventaire de SP. Le SA veille à ce que la gestion des biens de TI soit effectuée en temps opportun en attribuant des biens, tels que les ordinateurs portatifs et les tablettes, à un numéro de bureau précis avant que les nouveaux employés n’entrent en fonction. Étant donné que les renseignements sur les employés ne sont pas disponibles dans le système de GBTI avant la date officielle de leur entrée en fonction et l’ouverture de leur compte de TI, le nom des employés est associé aux biens ultérieurement.

Bien que la gestion des biens de TI soit centralisée au sein de l’administration centrale de SP à Ottawa, les employés de la DGDPI sont tenus de visiter les bureaux régionaux afin de mettre à jour l’inventaire des biens de TI dans le système de GBTI annuellement. Dans le but de minimiser le risque de perte de biens de TI, la procédure sur le cycle de vie de la gestion des appareils technologiques en milieu de travail exige une confirmation annuelle des biens de TI. Selon les personnes interrogées, un inventaire physique a été réalisé en 2015-2016, ainsi qu’au cours de la vérification. Dans le cadre de l’inventaire physique, une visite doit être effectuée à tous les bureaux de SP afin de localiser le bien de TI, de numériser et confirmer son étiquette et de mettre à jour les données de l’inventaire.

Les renseignements du système de GBTI comprennent le numéro d’étiquette, le numéro de série, le type, l’état par rapport au cycle de vie et l’emplacement du bien, ainsi que le nom de l’employé auquel il est attribué. Afin de distinguer les différents bureaux de SP, le SA a mis au point des règles d’affectation de noms pour chaque bâtiment. Les données ont révélé que l’inventaire des biens de TI manque d’intégrité en raison de renseignements manquants ou incohérents. Plus particulièrement, l’équipe de vérification t a déterminé que les règles d’affectation de noms étaient appliquées de façon incohérente et que les noms de plusieurs employés associés aux biens de l’inventaire étaient manquants.

L’intégrité de l’inventaire des biens de TI a été évaluée par l’entremise d’un échantillon de 32 tablettes et de 188 ordinateurs portatifs situés à Ottawa. L’échantillon comprenait des biens situés dans les cinq étages à bureaux qui n’avaient pas encore été mis à jour dans le cadre de l’inventaire physique du programme, qui était en cours lors de la vérification.

L’équipe de vérification a réalisé deux analyses :

• Renseignements du système de GBTI par rapport aux biens : Sélection de 94 ordinateurs portatifs et de 32 tablettes dans le système de GBTI pour les comparer aux biens des bureaux cernés;
• Biens par rapport aux renseignements du système de GBTI : Sélection de 94 ordinateurs portatifs dans les bureaux pour les comparer aux renseignements du système de GBTI.

Ces analyses cherchaient à déterminer l’exactitude des renseignements sur le système GBTI, particulièrement les renseignements liés à :

• l’étiquette du bien de TI;
• son emplacement;
• le modèle;
• le numéro de série; et,
• le nom de l’employé assigné au bien. 

Trois ordinateurs portatifs et trois tablettes sélectionnés dans le système de GBTI étaient consignés comme étant situés dans les zones d’accès réservé SIGINT (renseignements d’origine électromagnétique) (ZARS). Toutefois, les appareils sans fil sont interdits dans ces zones. L’équipe de vérification n’a trouvé aucun ordinateur portatif ni aucune tablette dans les ZARS lors de ses visites.

Ordinateurs portatifs : L'équipe de vérification a évalué 171 des 188 ordinateurs portables échantillonnés. En raison de limitations telles que les bureaux vides, les arrangements de télétravail et les congés prolongés des employés, l'équipe de vérification n'a pas été en mesure de terminer l'évaluation des 17 ordinateurs portables restants. Les résultats des portables évalués ont démontré que, dans tous les immeubles d'Ottawa, les principales incohérences relevées dans l'inventaire étaient l'emplacement des biens (64 ordinateurs portables sur 171) et le nom de l'employé (44 ordinateurs portables sur 171).

Tablettes : Alors que l'équipe de vérification a échantillonné 32 tablettes, le test complet a été effectué sur 25. Pour 7 des 32 tablettes échantillonnées, l'équipe de vérification n'a pas pu effectuer les tests assignés en raison des bureaux vides et des congés prolongés des employés. Les résultats des tablettes évaluées ont démontré que l'information contenue dans l'inventaire était inexacte, l'emplacement incorrect étant le plus répandu, soit 23 sur 25 tablettes. De plus, 23 des 25 tablettes ont des étiquettes d'inventaire qui ne correspondaient pas à l'inventaire.

Local d’entreposage : Les biens de TI peuvent être entreposés dans différents endroits au Ministère. Dans le but de vérifier l'exactitude de l’inventaire des biens entreposés, la vérification a évalué un échantillon de 16 ordinateurs portatifs situés dans le local d’entreposage au sous-sol. Les résultats ont révélé que les renseignements liés à l’étiquette, au modèle et au numéro de série contenus dans le système de GBTI étaient exacts. Cependant, l’emplacement de 6 des 16 ordinateurs portatifs dans l’inventaire était incorrect.

Tout au long des procédures d’analyse, l’équipe de vérification a observé que les règles d’affectation de noms étaient appliquées de façon incohérente au sein du système de GBTI. Plus particulièrement, d’autres recherches doivent être effectuées dans le système afin de déterminer l’emplacement exact d’un bien. Bien qu’un système de gestion du matériel soit en place afin de permettre la collecte de données sur les biens matériels, certaines améliorations sont nécessaires en vue de garantir son intégrité à l’aide de mises à jour en temps opportun.

Recommandation :

1. Le sous-ministre adjoint du Secteur de la gestion ministérielle devrait réviser les procédures et les processus qui sont conformes aux politiques connexes du CT. Ceux-ci comprennent :

1. déterminer les mesures du rendement et les exigences en matière de rapport afin d’appuyer la prise de décisions et la gestion des biens de TI; et
2. mettre en place des contrôles efficaces de la gestion des biens de TI afin d’assurer la cohérence et l’exactitude de l’inventaire des biens de TI.

2.3 Conclusion générale

SP a une structure de gouvernance ainsi que des politiques et pratiques internes définies qui sont conformes à laPolitique sur la gestion des technologies de l’information et à la Politique sur lagestion du matériel du CT. Toutefois, certaines améliorations sont nécessaires afin de garantir l’efficacité et l’efficience des contrôles et des processus liés à la gestion des biens de TI, et de combler les lacunes en matière de surveillance et de collecte d’information sur le rendement aux fins de prise de décisions.

2.4 Réponse de la direction et plan d’action

Annexe A : Critères de vérification

Les critères de vérification suivants sont utilisés pour évaluer l’efficacité des  contrôles de gestion des biens de TI en place pour les ordinateurs portatifs et les tablettes.

Annexe B : Échelle d’opinion de la direction générale de la vérification interne et de l’évaluation

Voici l’échelle d’opinion des vérificateurs de la Direction générale de la vérification interne et de l’évaluation, qui sert à évaluer l’importance de l’ensemble des constatations et des conclusions des vérificateurs.

Date de modification :

2022-07-21