Évaluation du Programme d’évaluation de la résilience régionale et de la Cellule pour l’analyse virtuelle des risques 2016-2017

Évaluation du Programme d’évaluation de la résilience régionale et de la Cellule pour l’analyse virtuelle des risques 2016-2017 - Version PDF (401 Ko)

Table des matières

• Sommaire
• 1. Introduction
• 2. Profil
  • 2.1 Contexte
  • 2.2 Objectifs du programme
  • 2.3 Ressources
• 3. À propos de l'évaluation
  • 3.1 Objectif
  • 3.2 Portée
  • 3.3 Méthodologie
  • 3.4 Limites
• 4. Constatations
  • 4.1 Pertinence
  • 4.2 Rendement – Efficacité
  • 4.3 Rendement – Efficience et économie
• 5. Conclusions
  • 5.1 Pertinence
  • 5.2 Rendement – Efficacité
  • 5.3 Rendement – Efficience et rentabilité
• 6. Recommandations
• 7. Réponse de la direction et plan d’action
• Annexe A : Cadre et questions d’évaluation
• Annexe B : Autres options de prestation des services
• Annexe C : Bibliographie
• Notes

Sommaire

L’évaluation appuie la reddition de comptes au Parlement et aux Canadiens en aidant le gouvernement du Canada à présenter des rapports crédibles sur les résultats obtenus grâce aux ressources investies dans divers programmes. Elle aide les administrateurs généraux à gérer en fonction des résultats en leur fournissant de l’information indiquant si les programmes produisent les résultats escomptés à un coût raisonnable. Elle favorise de plus l’amélioration des politiques et des programmes en aidant à déterminer les leçons retenues et les pratiques exemplaires.

Ce que nous avons examiné

La présente évaluation porte sur le Programme d’évaluation de la résilience régionale (PERR) et la Cellule pour l’analyse virtuelle des risques (CAVR) de Sécurité publique Canada (SP), deux programmes mis en œuvre dans le cadre du Plan d’action Par-delà la frontière du Canada et des États-Unis de 2011. L’évaluation couvre la période qui va de 2011-2012 à 2016-2017 et vise en particulier les travaux effectués à l’intérieur du Canada. Le PERR est un programme d’évaluation de la résilience à tous les risques qui prévoit surtout évaluations de sites dans le but d’aider les propriétaires et exploitants des infrastructures essentielles (IE) à cerner et à mesurer les vulnérabilités et les interdépendances et à améliorer la résilience. La CAVR fournit aux secteurs d’infrastructures essentielles des analyses fondées sur le risque et un soutien analytique en cernant les répercussions que les interruptions pourraient entraîner. L’évaluation a été menée conformément à la Politique sur les résultats du Conseil du Trésor et évalue si les programmes sont toujours pertinents, leur harmonisation avec les priorités du gouvernement du Canada et de SP, leur harmonisation avec les rôles et responsabilités du gouvernement fédéral, s’ils atteignent les résultats attendus et s’ils sont efficients et économiques.  

Pourquoi est-ce important

Dans le cadre du Plan d’action Par-delà la frontière, le Canada et les États-Unis se sont engagés à mettre en œuvre des mesures visant à améliorer la collaboration en matière de sécurité nationale et de gestion des urgences, y compris l’amélioration de la résilience des infrastructures essentielles et de la cybersécurité. En conséquence, SP et le département de la Sécurité intérieure (DSI) des États-Unis se sont engagés à travailler avec les autorités provinciales, territoriales et étatiques de même qu’avec les secteurs des IE afin de cerner et d’évaluer les risques liés aux IE, d’évaluer les capacités des propriétaires et des exploitants et de fournir des outils et de la formation de façon à améliorer la résilience de tous les secteurs des IE.

La raison d’être de ces programmes est de renforcer la résilience des biens et des réseaux d’infrastructures essentielles (p. ex. usines de traitement des eaux, usines de fabrication, réseau électrique), de renforcer la résilience des interdépendances de la chaîne d’approvisionnement et de réduire au minimum les risques pour la stabilité économique et la sécurité nationale des deux côtés de la frontière. Les programmes fournissent également des mécanismes d’échange d’information et de soutien à la collaboration en vue d’améliorer la résilience des infrastructures essentielles. Ainsi, les programmes reposent sur les mesures bilatérales mises en place pour effectuer des évaluations de site, analyser les risques et élaborer des mesures d’atténuation en collaboration avec les représentants régionaux et les intervenants du secteur privé des deux côtés de la frontière.

Ce que nous avons constaté

Pertinence

Les objectifs sous-jacents du PERR et de la CAVR sont encore pertinents aujourd’hui. Les programmes répondent au besoin initial de réduire les vulnérabilités des IE et aux attentes connexes, en aidant les propriétaires, les exploitants et les intervenants concernés de dix secteurs d’infrastructures essentielles. Les évaluations de sites réalisées par le PERR se sont révélées utiles puisqu’elles aident à cerner les forces et les faiblesses des IE. Ces évaluations ont amené les propriétaires et exploitants à faire de nouveaux investissements dans les IE, et les données réunies permettent de croire que ces investissements auraient pu être plus importants encore si des mesures incitatives supplémentaires avaient été accessibles (p. ex. subventions et contributions, crédits d’impôt). Le besoin continu de la CAVR est justifié par les résultats analytiques qu’elle génère comme les évaluations des répercussions et les rapports après action, le soutien qu’elle fournit en cas d’événements comme les incendies de forêt à Fort McMurray et le rôle de liaison qu’elle joue dans le cadre d’exercices et de simulations.

Les deux programmes sont des composantes clés du programme du gouvernement fédéral relatif aux infrastructures essentielles, et ils sont présentés comme prioritaires dans de nombreux documents fondamentaux du gouvernement, y compris l’annonce initiale du Plan d’action Par-delà la frontière du Canada et des États-Unis de 2011. Cependant, bien que les IE fassent partie des responsabilités clés du gouvernement fédéral et que le PERR et la CAVR aident à la réalisation de ces responsabilités en soutenant les objectifs de la Stratégie nationale sur les infrastructures essentielles, cette responsabilité est partagée avec de nombreux intervenants, comme les gouvernements provinciaux et territoriaux, les administrations locales et les propriétaires et exploitants, en raison de la nature et des propriétés interdépendantes des biens physiques et des biens liés à la sécurité.

Rendement

Au chapitre du rendement, les deux programmes ont aidé les intervenants des IE à comprendre les risques et les menaces qui pèsent sur leurs biens et leurs organisations. Les personnes interrogées ont déclaré que les rapports du PERR fournissent des données précises et exploitables sur tous les risques en vue d’appuyer la résilience des IE. Les propriétaires et les exploitants ont déclaré avoir pris des mesures concrètes pour atténuer les principaux risques cernés pendant l’évaluation des sites; ces mesures se traduisent généralement par des plans de continuité des opérations et des investissements visant à combler les lacunes. Toutefois, compte tenu du nombre accru de demandes d’évaluations de sites auxquelles doit répondre le PERR, il faudra devra revoir l’ordre de priorités des activités. L’ordre de priorités aura une importance particulière étant donné que la présente évaluation a établi que, pendant l’étape initiale du PERR, le processus de sélection des sites était axé sur la demande et ciblait les secteurs où des ressources spécialisées de SP faisaient la promotion du programme, ce qui a entraîné un déséquilibre entre les régions et les secteurs couverts. 

Quant à la CAVR, les personnes interrogées ont dit que le programme avait aidé le Centre des opérations du gouvernement et les intervenants à comprendre les interdépendances de la chaîne d’approvisionnement des IE ainsi que les risques et les menaces pouvant affecter des événements ou des exercices. La CAVR a été conçue dans le but de fournir en temps opportun une analyse des infrastructures essentielles, y compris des rapports d’évaluation des répercussions, des rapports de signalement d’incidents suspects et de menaces et des rapports après action. Toutefois, la Passerelle des IE est une ressource sous-utilisée, qu’il vaudrait la peine de promouvoir davantage.

En ce qui concerne la collaboration et les partenariats au sein de la collectivité des IE, le PERR autant que la CAVR jouent un rôle important dans l’élaboration et la communication de pratiques exemplaires; le rôle de la CAVR est plus visible, à ce chapitre, ce qui est dû en grande partie au fait qu’elle gère la Passerelle des IE. Les deux programmes ont aidé SP et les intervenants à mieux comprendre les dépendances et les liens entre les secteurs. Des initiatives intersectorielles sont réalisées sous forme d’évaluations, d’exercices, de réseaux, de conférences et d’autres forums. En ce qui concerne la CAVR, bien que les données extraites des entrevues et de la documentation (p. ex. rapports sur le rendement des IE) indiquent qu’il s’est fait beaucoup d’activités de collaboration et de sensibilisation pendant la période de cinq ans visée par la présente évaluation, l’attribution des répercussions et des résultats (p. ex. la mesure dans laquelle une activité donnée a permis d’atténuer les répercussions d’une interruption des IE) est difficile, surtout en raison de l’absence d’une stratégie précise et bien définie en matière de collaboration et de sensibilisation.

En ce qui concerne l’efficience et la rentabilité, le PERR et la CAVR ont fonctionné avec un budget relativement modeste, comme composantes d’un portefeuille d’initiatives sur la résilience des IE. Les dépenses de programme ont dépassé les prévisions pour chacune des cinq années de fonctionnement, ce qui est dû principalement au fait que des ressources supplémentaires étaient requises pour répondre aux demandes et s’acquitter de la charge de travail. Le nombre d’employés affectés aux programmes a augmenté, mais les résultats dépendent excessivement des efforts déployés par quelques experts clés, ce qui pourrait limiter l’adaptabilité des programmes.

Quoi qu’il en soit, les changements apportés récemment à la structure de gouvernance ont renforcé la coordination et le partage des ressources entre les deux programmes. Il s’agit d’étapes importantes vers l’utilisation optimale des ressources, surtout si l’on considère les avantages que procurerait une intégration plus étroite des efforts entre les programmes. En outre, des données probantes tirées de l’examen d’autres formes de prestation de services permettent de croire que, sauf en ce qui concerne une collaboration et un partenariat plus étroits avec les provinces et territoires, il y a peu à gagner et probablement beaucoup à perdre du fait de modifier maintenant le modèle de la prestation des services.

En résumé, ces deux programmes ne sont pas l’unique solution pour atténuer les répercussions d’une interruption des IE, mais ils restent pertinents puisqu’ils se sont révélés efficaces et efficients, pendant leur première phase, et qu’ils constituent d’importants compléments à d’autres programmes, initiatives et biens liés aux infrastructures essentielles et à la gestion des urgences, et ce, à l’échelon national, provincial ou international.

Recommandations

Les recommandations suivantes sont formulées dans un esprit d’amélioration continue.

La Sous-Ministre adjointe principale du Secteur de la sécurité et de la cybersécurité nationale devrait envisager de prendre les mesures suivantes :

• Élaborer des processus de sélection des sites à évaluer dans le cadre du PERR ainsi que des produits de la CAVR qui tiennent compte des risques et des priorités.
• Tirer parti de la participation du milieu des infrastructures essentielles et des activités de sensibilisation ciblées pour favoriser l’atteinte des objectifs du PERR et du programme de la CAVR.
• Veiller à la disponibilité des ressources appropriées pour soutenir les activités prévues dans les plans de travail annuels du PERR et de la CAVR.
• Explorer les options pour aider les propriétaires et les exploitants à donner suite aux améliorations proposées à la suite des évaluations de sites dans le but d’accroître la résilience des infrastructures essentielles au Canada.

Réponse de la direction et plan d’action

La direction du programme accepte toutes les recommandations et mettra en œuvre un plan d'action.

1. Introduction

Le présent rapport présente les résultats de l’évaluation du Programme d’évaluation de la résilience régionale (PERR) et la Cellule pour l’analyse virtuelle des risques (CAVR) menée en 2016-2017 par Sécurité publique Canada (SP); les deux programmes visés font partie d’un ensemble d’initiatives annoncées en 2011 dans le cadre du Plan d’action Par-delà la frontière du Canada et des États-Unis. L’objectif initial du Plan d’action était d’améliorer la sécurité à la frontière et de veiller à la circulation légitime des personnes, des biens et des services à la frontière; la présente évaluation cible principalement les efforts déployés sur le territoire canadien par Sécurité publique Canada dans le cadre du PERR et de la CAVR au cours des cinq dernières années du Plan, à savoir de 2011-2012 (création du programme) à 2016-2017.

L’expression « infrastructures essentielles » (IE) renvoie aux processus, aux systèmes, aux installations, aux technologies, aux réseaux, aux actifs et aux services essentiels à la santé, à la sûreté, à la sécurité ou au bien-être économique des Canadiens ainsi qu’au fonctionnement efficace du gouvernement. À l’heure actuelle, au, Canada, le nombre de sites d’IE d’intérêt national est estimé par SP à environ 900. Il est possible, et c’est même plus que probable, que le nombre total des sites pouvant faire l’objet d’une évaluation dans le cadre du PERR dépasse, et de loin, la capacité actuelle du programme. C’est pourquoi un volet important de la présente évaluation visait à déterminer l’efficacité d’autres options ou approches de prestation de services pour ce programme.

La protection des IE est une responsabilité que se partagent le gouvernement fédéral et les provinces et territoires. Le gouvernement fédéral peut en outre verser une aide financière à une province ou à un territoire en cas de catastrophe naturelle ou de situation d’urgence, pour les aider à atténuer les risques futurs et à renforcer leur résilience.

2. Profil

2.1 Contexte

Le PERR

Le PERR est un programme exhaustif d’évaluation des risques qui vise à aider les propriétaires et les exploitants des infrastructures essentielles du Canada à améliorer la résilience de leur organisation face aux risques, comme les cybermenaces, les événements accidentels ou intentionnels et les catastrophes naturelles. Dans le cadre du PERR, on mène des évaluations de sites pour les propriétaires ou exploitants et des évaluations plus élargies d’IE à l’échelle régionale. Le PERR produit en outre des rapports et des outils d’orientation pour aider les organisations à comprendre leurs points faibles ainsi que les moyens permettant d’améliorer la résilience de leurs IE. Les évaluations des sites se font sur une base volontaire, car elles ne sont pas réglementaires; elles sont gratuites et confidentielles.

Les évaluations du PERR sont réalisées à l’aide d’outils mis au point par le Laboratoire national d’Argonne, géré par l’Université de Chicago Argonne, LLC, pour le compte de l’Office scientifique du département de l’Énergie des États-Unis. Les outils d’évaluation ont été adaptés pour être utilisés par SP en vertu d’un protocole d’entente conclu avec le département de la Sécurité intérieure (DSI) des États-Unis. Les évaluations du PERR sont effectuées à l’aide des trois outils principaux suivants :

• Outil d’évaluation de la résilience des infrastructures essentielles (OERIE) : Outil d’évaluation sur le terrain qui mesure la résilience et le niveau de protection tous risques d’une installation;
• Outil multimédia pour les infrastructures essentielles (OMIE) : Outil logiciel multiplateforme qui génère un guide visuel interactif d’une installation d’infrastructure essentielle, incluant la photographie sphérique;
• Examen de la cyberrésilience au Canada (ECRC) : Outil d’évaluation sur le terrain qui mesure la posture d’une organisation en matière de cybersécurité.

La CAVR

La CAVR analyse les processus et les vulnérabilités de la chaîne d’approvisionnement, favorise la compréhension des dépendances intersectorielles et stimule la communication et la collaboration au sein des milieux nationaux et internationaux des IE. La CAVR cerne les répercussions potentielles des interruptions et produit des rapports d’évaluation des répercussions et des cartes géospatiales des IE afin d’appuyer les mesures d’intervention prises par les gouvernements fédéral et provinciaux en cas d’urgence ou d’interruption des IE.

La CAVR soutient des exercices de simulation et effectue des analyses d’IE transfrontalières en collaboration avec le département de la Sécurité intérieure des États-Unis; elle dirige  l’engagement à l’égard des enjeux relatifs aux infrastructures essentielles dans les forums internationaux, comme le Groupe des cinq, le Groupe d’experts UE-É. U.-Canada et le Groupe de travail Canada-Israël sur la protection des IE. La CAVR assure également le maintien de la Passerelle des IE, un portail Web conçu pour faciliter l’accès aux connaissances sur les IE et l’échange d’information par les intervenants.  

La CAVR fonctionne lorsque survient un événement (p. ex. pour fournir de l’information directement sur la Passerelle des IE) et au quotidien (p. ex. activités et projets en cours visant à cerner et à évaluer les vulnérabilités et les cyberdépendances).

Partenaires et intervenants

Étant l’un des signataires de l’entente Par-delà la frontière, le gouvernement des États-Unis est un partenaire et un intervenant clé du PERR et de la CAVR. Les responsables de SP et du DSI collaborent étroitement au moment de l’évaluation de leurs programmes respectifs, surtout en ce qui concerne des évaluations transfrontalières et les interdépendances de la chaîne d’approvisionnement.

La responsabilité de la sécurité publique, de la résilience des IE et de la gestion des urgences est partagée entre divers ordres de gouvernement. C’est pourquoi les provinces, les territoires et les municipalités sont des intervenants clés des IE, au même titre que les propriétaires et les exploitants. Les rôles et responsabilités de tous ces acteurs sont énoncés dans le Plan d’action sur les infrastructures essentielles (2014-2017) du Canada^{Note de bas de page1}. Les autres intervenants clés comprennent les chefs de secteurs des dix secteurs d’IE à l’échelon fédéral ainsi que les associations et les réseaux respectifs des secteurs. Les chefs de secteur, présentés dans le tableau 1, sont particulièrement importants pour le PERR et la CAVR, pour leurs efforts  en matière de collaboration et l’échange d’information dans leur communauté. Le Centre des opérations du gouvernement (COG) est également un partenaire clé de la CAVR, en particulier dans le cadre des événements supposant la mise en commun des ressources de la CAVR et du COG pour assurer une expertise en matière d’IE et appuyer les interventions.

Les organismes d’exécution de la loi et du renseignement, comme la GRC et le SCRS contribuent eux aussi aux activités du PERR et de la CAVR, en fournissant des produits et des services de renseignement qui complètent les analyses de la CAVR, surtout en ce qui concerne les activités des groupes du crime organisé ou des terroristes qui ciblent des sites d’IE ou dont les actes peuvent se répercuter sur celles-ci.

Structure de gouvernance

Le PERR et la CAVR font partie de la Direction générale des infrastructures essentielles et de la coordination stratégique (DGIECS), laquelle relève du Secteur de la sécurité et de la cybersécurité nationale de Sécurité publique Canada (SP). Les deux programmes jouent un rôle dans la mise en œuvre de la Stratégie nationale sur les infrastructures essentielles du Canada (la Stratégie), laquelle définit une approche globale visant à améliorer la résilience des IE du Canada et soutient la cohérence et la coordination de la planification et des activités de tous les ordres de gouvernement et du secteur privé. Quant au secteur privé, le PERR et la CAVR contribuent à la réalisation des trois objectifs de la Stratégie : l’établissement de partenariats, l’échange d’information et la gestion tous risques. Le Forum national intersectoriel (FNI) et le Groupe de travail fédéral-provincial-territorial sur la protection des infrastructures essentielles (GT FPT IE) sont des organes chargés de faciliter la mise en œuvre de la Stratégie. Le Forum national intersectoriel compte des représentants des dix secteurs d’IE. Sa réunion annuelle est coprésidée par le sous-ministre de Sécurité publique et par un représentant d’une province ou d’un territoire. Le Groupe de travail FPT sur la protection des IE (GT FPT IE) est un forum permanent et une tribune de collaboration principale entre les gouvernements fédéral, provinciaux et territoriaux sur toutes les questions concernant les IE. Ces deux groupes ont été utilisés dans le but de mieux faire connaître le PERR et la CAVR et d’appuyer l’évolution et l’amélioration de ces programmes.

Dans ce contexte, le PERR et la CAVR ont récemment fait l’objet (2015) de changements organisationnels pour améliorer l’intégration structurelle et la cohérence, ce qui suppose l’harmonisation des activités (p. ex. mettre à profit l’expertise de la CAVR pour soutenir la sélection des sites à évaluer dans le cadre du PERR, utiliser l’information recueillie durant  l’évaluation des sites pour soutenir les évaluations des répercussions menées par la CAVR en cas d’un événement).

2.2 Objectifs du programme

Dans le cadre du Plan d’action Par-delà la frontière de décembre 2011, le Canada et les États-Unis se sont engagés à mettre en œuvre des mesures visant à améliorer la collaboration touchant la sécurité nationale et la gestion des urgences, y compris des mesures visant à renforcer la résilience et la cybersécurité des IE.  

Le Plan d’action tenait compte du fait que le renforcement de la résilience des IE pouvait contribuer à assurer la stabilité économique transfrontalière et la sécurité nationale. C’est pourquoi dans le cadre du Plan d’action, SP et le DSI ont été appelés à collaborer avec les responsables de leur administration respective (p. ex. les provinces et territoires, les États) et des secteurs des IE pour cerner et évaluer les risques auxquels font face les IE, évaluer les capacités des propriétaires et exploitants et proposer des outils et de la formation afin d’augmenter la résilience.

Le Plan d’action fournissait une feuille de route pratique pour les efforts visant à protéger les actifs essentiels des IE, par exemple le réseau électrique nord-américain, les pipelines transnationaux et les ponts internationaux. Le Plan comportait également des mesures visant à améliorer les cyberinfrastructures essentielles (p. ex. les actifs en pétrole, en gaz, en eau et les pipelines), lesquels sont de plus en plus souvent gérés à l’aide de systèmes de contrôle industriels automatisés, et qui comportent leurs propres vulnérabilités inhérentes (voir également la Stratégie de cybersécurité du Canada – pilier du partenariat avec le secteur privé).

2.3 Ressources

Comme on le voit dans le tableau 2 ci-dessous, les dépenses totales, pendant la période de cinq ans visée par l’évaluation, se sont élevées à 7,6 millions de dollars, tandis que les prévisions totales avaient été établies à 5,1 millions de dollars. Les salaires expliquent une bonne partie de cet écart. L’initiative Par-delà la frontière finançait 8 équivalents temps plein (ETP) (si l’on inclut les services ministériels, il y a 9,2 ETP). Actuellement, les programmes comptent 20 postes au total, dont 18 sont pourvus. De nouveaux postes ont été créés en raison de la demande, et ils sont financés de deux manières : 1) réaffectations internes et financement accessible existant; 2) financement destiné à l’élaboration de tâches davantage axées sur le virtuel (p. ex. Examen de la cyberrésilience au Canada) qui n’a été versé qu’à compter de 2016-2017.

Le budget mars 2017 annonçait un financement supplémentaire de 1,37 million de dollars pour la continuité des opérations du PERR et de la CAVR en 2017-2018. Le tableau 2 montre le budget et les dépenses du PERR et de la CAVR pour la période couverte par l’évaluation (2012-2013 à 2016-2017).

*Note sur le tableau 2 : Le budget de 2012-2013 à 2015-2016 comprend les fonds reçus dans le cadre de l’allocation initiale du Plan d’action Par-delà la frontière pour les deux programmes.

*Note sur le tableau 2 : Le tableau des coûts initiaux de l’initiative Par-delà la frontière ne comprenait pas de ventilation par programme (PERR et CAVR), ce qui explique que seuls les totaux ont été présentés.

*Note sur le tableau 2 : Les chiffres pour 2012-13 à 2016-2017 ne comprennent pas les frais généraux du Ministère (par exemple, régimes d’avantages sociaux des employés, installations etc.)

*Note sur le tableau 2 : Le budget de 2016-2017 comprend les fonds reçus dans le cadre de l’allocation initiale du Plan d’action Par-delà la frontière et une partie de la phase II du Cyber.  

2.4 Modèle logique

Le modèle logique est une représentation visuelle qui établit un lien entre le but du financement du programme (activités) et ce qu’il produit (extrants) et ce que le programme espère accomplir (résultats). Il fournit également la base de l’élaboration de la matrice d’évaluation, donnant ainsi à l’équipe d’évaluation les étapes à suivre pour la réalisation de l’évaluation. Voici le modèle logique établi pour les IE par la DGIECS. Les activités du PERR et de la CAVR ont été intégrées à ce modèle logique.

Figure 1 – Modèle logique

Description de l'image

Le modèle logique est un outil de communication qui résume les éléments clés du programme, explique le raisonnement derrière les activités du programme et clarifie tous les résultats escomptés.

Les intrants sont les ressources humaines et financières, et l’information fournie par les partenaires et intervenants.

Les activités sont les suivants :

• Effectuer des analyses du risques
• Effectuer des évaluations de la vulnérabilité et de la dépendance
• Sensibiliser, organiser des exercices, coordonner des événements axés sur l’apprentissage et le renforcement des collectivités des IE
• Effectuer des recherches et élaborer des politiques
• Mobiliser, consulter et créer des réseaux et des partenariats

Les activitésmènent aux extrants :

• Rapports sur la vulnérabilité (outil d’évaluation de la résilience des IE)
• Rapports de l’examen de la cyber résilience au Canada
• Rapports finaux des PERR transfrontaliers
• Rapports et comptes rendus sur les menaces
• Évaluations des répercussions de la CAVR
• Modélisation des dépendances et interdépendances et rapports d’analyse
• Rapports quotidiens sur l’infrastructure de la CAVR
• Scénarios d’interruption de la CAVR
• Politiques, guides et produits de sensibilisation
• Activités de sensibilisation (ateliers/séances d’apprentissage)
• Exercices (sur table, d’entraînement, à grand déploiement, etc.)
• Outil multimédia pour les IE
• Tableaux des scénarios de l’outil d’évaluation de la résilience des IE
• Réseaux des secteurs et d’autres ministères (p. ex. FNI, GRFPT IE, réseaux multisectoriels)
• Portails d’information sur les IE nationaux et internationaux
• Activités de mobilisation internationales (G5, Canada-UE-É.-U.)
• Relations soutenues et mutuellement bénéfiques

Les extrants mènent aux résultats immédiats suivant :

• Les intervenants des IE comprennent les risques et les menaces qui pèsent sur les biens et les organisations.
• Les propriétaires et exploitants des IE ont accès à des renseignements à jour et exploitables sur les risques cybernétiques et physiques
• Les intervenants et les partenaires des IE comprennent les principes d’une gestion efficace des risques (y compris les partenaires internationaux)
• Les intervenants des IE connaissent l’infrastructure de collaboration habilitante

Les résultats immédiats mènent aux résultats intermédiaires suivant :

• Les intervenants des IE prennent des mesures de gestion tous risques
• Les intervenants des IE prennent des mesures de prévention des interruptions
• Les intervenants des IE réagissent rapidement et efficacement en cas d’interruption et ils freinent la cascade des répercussions
• La collectivité des IE travaille en collaboration pour échanges de l’information et adopter des pratiques exemplaires
• Les partenariats sont revitalisés et maintenus
• L’information est échangée et protégée

Les résultats intermédiaires mène aux résultats à long terme suivant : Les infrastructures essentielles du Canada sont sûres et résilientes, et les répercussions des interruptions sont atténuées.

Le résultat final mène au résultat ultime suivant : Un Canada sécuritaire et résilient.

3. À propos de l'évaluation

3.1 Objectif

La présente évaluation a été effectuée en conformité avec la Politique sur les résultats du Conseil du Trésor et a porté sur les cinq grands enjeux d’évaluation suivants :

1. Besoin continu du PERR et de la CAVR
2. Harmonisation avec les priorités de SP et l’orientation du gouvernement
3. Harmonisation avec les rôles et responsabilités du gouvernement
4. Réalisation des résultats escomptés (efficacité)
5. Efficience et rentabilité des deux programmes

Les évaluateurs ont également cherché à savoir si le modèle de prestation actuel était le modèle optimal et s’il existait d’autres modèles de prestation qui permettraient au gouvernement d’optimiser ses ressources (veuillez consulter le rapport joint sous pli séparé).

3.2 Portée

La présente évaluation porte sur la période allant de la création des deux programmes (fin 2011) à l’exercice 2016-2017. Bien qu’une caractéristique importante des programmes ait trait à l’harmonisation avec le département de la Sécurité intérieure des États-Unis, vu les interdépendances transfrontalières touchant la résilience des IE, il convient de souligner que l’évaluation se concentre sur les aspects intérieurs de ces programmes.

3.3 Méthodologie

3.3.1 Questions d’évaluation

Le cadre d’évaluation a cerné au total 15 questions et 48 indicateurs. Les questions d’évaluation sont reliées aux cinq enjeux d’évaluation formulés plus haut (section 3.1). Les questions et le cadre d’évaluation sont présentés à l’annexe A, qui fournit également les indicateurs et les sources de données nécessaires à une évaluation objective, minutieuse et pertinente.

3.3.2 Sources de données

Analyse documentaire

L’analyse documentaire a fourni aux évaluateurs un tableau complet des activités menées par le PERR et la CAVR en leur permettant de comprendre le contexte, l’environnement et l’évolution de ces programmes au fil du temps. L’analyse a également fourni des données clés fiables au sujet de nombreux indicateurs. Les documents de politique, les dossiers de programme et d’autres documents imprimés pertinents ont fait l’objet d’un examen, lequel a étayé l’analyse, les observations et les conclusions. La liste complète des documents examinés est fournie à l’annexe C (bibliographie).

Analyse de documents et de données administratives

L’examen a porté sur les principaux fichiers et dépôts de données, y compris les données sur le rendement, les documents d’enquête, les données financières, les données de l’indice de criticité et le dépôt de données de la Passerelle des IE.

Entrevues avec des informateurs clés

L’équipe d’évaluation a organisé des entrevues semi-structurées (individuelles et en groupe) avec 51 représentants clés du gouvernement du Canada, des provinces et des clients (à savoir les propriétaires et exploitants) pour les deux programmes.

Visites sur place

Les évaluateurs ont effectué deux visites afin de pouvoir évaluer sur le terrain les deux programmes. Ils se sont d’abord rendus à Halifax (Nouvelle-Écosse) et à Saint John (Nouveau-Brunswick) en février 2017, puis à Regina et à Moose Jaw (Saskatchewan) en mars 2017. Ces visites leur ont permis d’observer directement les répercussions du programme et d’interroger des intervenants qui avaient une expérience concrète des produits, des acteurs, des processus et des systèmes associés au PERR et à la CAVR.

Études de cas, évaluations des répercussions, rapports

Les évaluateurs ont sélectionné et examiné des exemples d’évaluations menées par le PERR et d’analyses effectuées par la CAVR (p. ex. évaluations des répercussions ou des menaces, profils de risques, analyses géospatiales) afin d’évaluer la qualité, la nature et le type des interventions entreprises dans chacun de ces programmes.

3.4 Limites

Échantillon d’entrevue

L’information qualitative réunie pendant les entrevues reflète l’opinion d’un échantillon de personnes sélectionnées avec l’aide du personnel responsable du programme parmi les représentants de SP, les propriétaires et exploitants et d’autres intervenants qui connaissent bien les programmes. Il y a donc un risque que cet échantillon affiche un préjugé en faveur des programmes. Les évaluateurs ont pallié ce risque en insistant sur le caractère confidentiel des entrevues et en corroborant les données extraites de ces entrevues avec d’autres sources de données.      

Données sur le rendement

Dans certains cas, on a signalé l’absence de données sur le rendement pour certains indicateurs ou encore des lacunes dans les données touchant certaines périodes. Les évaluateurs ont donc dû se fier à leur jugement professionnel pour extrapoler et interpoler à partir des données existantes ou combler les lacunes à l’aide de sources de données probantes qualitatives.   

Lien de causalité entre les activités et les résultats

Étant donné la nature et le contexte des deux programmes, il est difficile de prouver l’existence d’un lien de causalité entre certaines activités et certains résultats, surtout dans le cas des résultats intermédiaires et finaux. Par exemple, les résultats mesurés peuvent tenir à de multiples facteurs internes autant qu’externes. Il faut donc faire preuve de prudence au moment d’attribuer certains résultats directement ou uniquement aux programmes.

4. Constatations

4.1 Pertinence

L’évaluation a examiné la pertinence du programme à deux égards : 1) établir le besoin continu des programmes, compte tenu de la mesure dans laquelle ils ont évolué depuis leur création; 2) savoir dans quelle mesure les programmes étaient harmonisés avec les priorités, les rôles et les responsabilités du gouvernement et du Ministère.

4.1.1 Besoin continu

Les deux programmes répondent à un besoin continu. Toutefois, une plus grande priorisation est nécessaire  en matière de capacité et de sensibilisation.

Le PERR

Les propriétaires et exploitants présentent un nombre croissant de demandes d’évaluation, et ce nombre pourrait bien vite dépasser la capacité de réponse du PERR. Pendant la période de cinq ans visée par l’évaluation, le PERR a réalisé au total 131 évaluations, soit une moyenne de 16 évaluations par année^{Note de bas de page2}. Jusqu’ici la sélection des sites se fait de façon quelque peu arbitraire, c’est-à-dire, en réponse aux demandes présentées par des propriétaires et des exploitants d’IE qui avaient pris connaissance de l’existence du programme à l’occasion d’un événement ou d’une conférence. À l’heure actuelle, les responsables du programme explorent une approche fondée sur le risque qui leur permettra d’établir l’ordre de priorités pour les évaluations de site. Selon les plus récentes estimations du nombre de sites d’IE prioritaires, jusqu’ici, le nombre total des sites ayant fait l’objet d’une évaluation représente environ 15 % du nombre des sites d’IE d’intérêt national pour le Canada. Avec sa structure et ses ressources actuelles, le programme a la capacité d’effectuer de 60 à 80 évaluations par année environ (sur les 900 sites d’intérêt national existants selon les estimations).

Les données tirées des documents de programme et des entrevues montrent que le PERR a répondu au besoin initial de corriger les vulnérabilités des IE et aux attentes à ce sujet comme il était énoncé dans le Plan d’action Par-delà la frontière. Selon les commentaires des propriétaires et des exploitants interviewés, les évaluations de site se révèlent utiles, car elles aident ces derniers à cerner les forces et les faiblesses de leurs IE et les convainquent d’y consacrer de nouveaux investissements. Bien que l’échantillon des répondants soit très limité, l’enquête révèle aussi que le programme répond aux besoins des répondants. La totalité des répondants ont en effet déclaré que les évaluations réalisées par le PERR étaient informatives, et presque tous ont dit que l’orientation fournie par le PERR était à la fois informative et exploitable. Les commentaires des autres intervenants, y compris les représentants de SP interrogés dans le cadre de l’évaluation, laissent penser que l’information obtenue pendant les évaluations de site contribue de façon importante aux connaissances du public qui sont nécessaires à la promotion d’une résilience accrue des IE. 

La CAVR

Les données réunies pendant l’évaluation indiquent que la CAVR répond à un besoin continu de corriger les vulnérabilités possibles des IE. Ce besoin est justifié en partie par le rôle que la CAVR a récemment joué (au cours des deux dernières années), pour appuyer le COG, lequel ne pas de capacités permanentes ni d’expertise en matière d’IE, en cas d’urgence comme les incendies de forêt de 2016 à Fort McMurray ou la tempête de neige de 2017 en Nouvelle-Écosse. Ce besoin se justifie également par le rôle de liaison que joue la CAVR pendant des exercices ou des simulations et les analyses qu’il produit, sous forme d’évaluations de répercussions ou de rapports ou produits liés au risque.

Les données tirées des entrevues avec les intervenants montrent que la participation de la CAVR et les analyses fournies pendant des événements comme les incendies de forêt à Fort McMurray sont utiles et que les évaluations des répercussions favorisent une plus grande sensibilisation de la collectivité des IE, puisque la CAVR communique les analyses des événements et les leçons retenues. On a toutefois souligné que ce n’est qu’en 2015 environ que la CAVR a commencé à soutenir directement le COG en assurant la coordination des interventions; cette collaboration a été attribuée au fait que les responsables de la CAVR et du COG ont peu à peu pris conscience des avantages pouvant découler d’une intégration plus étroite. Avant cela, le COG comptait sur les dix chefs de secteurs d’IE pour jouer ce rôle. Les personnes interviewées estiment de plus que la CAVR joue un important rôle de liaison et de soutien dans le cadre d’exercices tels que Pacific Quake et Staunch Maple. Les personnes interviewées reconnaissent en général que les évaluations de la CAVR sont nécessaires et utiles (il y a eu 14 évaluations de répercussions en 2016), mais hésitent à dire qu’elles sont effectuées en temps opportun et qu’elles sont fournies au public cible. 

Les données réunies pendant les entrevues et l’examen documentaire soulignent un besoin évident de collaboration et d’échange d’information (p. ex. les outils et les pratiques exemplaires) au sein des secteurs et entre les secteurs, à l’échelle du milieu des IE, ce qui pourrait favoriser la résilience des IE. En assurant la gestion de la Passerelle des IE (et du volet international), la CAVR a répondu en partie à ce besoin puisqu’elle sert en quelque sorte de dépôt de connaissances et de pratiques exemplaires touchant les IE. Toutefois, vu le nombre d’utilisateurs et les données sur les utilisateurs, ce portail est sous-utilisé et n’a pas atteint encore son plein potentiel. De nombreuses personnes interviewées pour l’évaluation ne connaissaient pas cette ressource. Les données fournies par la Passerelle révèlent que les utilisateurs actifs ont légèrement augmenté en nombre, ces dernières années, passant de 302 utilisateurs en 2014 à 406 en 2016; toutefois, leur utilisation reste relativement modeste, et les nouveaux utilisateurs viennent principalement du secteur gouvernemental de l’Ontario. Les personnes interviewées étaient nombreuses à chercher ailleurs une façon de combler leurs besoins en matière d’information sur les IE et de collaboration. Plusieurs d’entre elles, par exemple, ont mentionné l’Association internationale des professionnels des IE^{Note de bas de page3}; d’autres disent se tourner vers leurs associations de secteur ou encore tirer profit des conférences et des réseaux parrainés par leur secteur. Les secteurs, en effet, offrent souvent une fonction de notification visant pour aviser les utilisateurs de nouveaux faits ou de nouveaux contenus.

4.1.2 Évolution des programmes en fonction des nouveaux besoins

Les deux programmes ont été lancés comme le prévoyait le Plan d’action Par-delà la frontière, au début de 2012, et leur objectif initial était d’évaluer les interdépendances transfrontalières régionales. Les premières évaluations régionales, qui ciblaient les risques et les vulnérabilités, ont porté sur les corridors Nouveau-Brunswick-Maine (2012-2013) et Colombie-Britannique-Alaska (2013). Pendant cette évaluation, que certains intervenants de programme interviewés ont décrite comme un projet pilote ou une phase de validation du concept, les activités du PERR et de la CAVR ont dévié de leur objectif initial, les enjeux transfrontaliers, pour s’attacher davantage à la situation du Canada au chapitre de la résilience des IE. Les évaluateurs n’ont pas réussi à cerner l’élément déclencheur ou le point tournant pour expliquer ce changement. Il semble au contraire que la nouvelle orientation reflétait l’hypothèse implicite selon laquelle il y a d’importants avantages à promouvoir une résilience accrue des IE auprès des propriétaires et exploitants canadiens, de manière générale, et selon laquelle le fait de fournir aux intervenants du milieu des IE les outils, l’information et les ressources nécessaires pour favoriser la résilience est non seulement conforme à l’intention du Plan d’action, mais aussi une bonne politique publique.

De plus, les données probantes tirées des entrevues et des dossiers de programme fournissent au moins trois autres explications possibles de l’évolution des programmes : 1) une capacité limitée de mener des évaluations transfrontalières régionales, qui exigent beaucoup de ressources; 2) une augmentation des demandes d’évaluation présentées par des propriétaires et exploitants canadiens, à mesure qu’ils apprenaient l’existence de ces programmes; 3) le fait que les deux gouvernements ont pris petit à petit conscience du fait que la résilience des IE était un important objectif national. On peut considérer que cette évolution est normale, vu la conception originale des programmes.

Toutefois, l’accent mis sur un objectif davantage intérieur n’a pas remplacé l’approche transfrontalière. Les données probantes tirées des entrevues, des documents et des dossiers montrent que le besoin d’évaluer la résilience transfrontalière, conformément aux attentes énoncées dans le Plan d’action Par-delà la frontière, n’a pas disparu. On souligne par exemple qu’une nouvelle évaluation régionale doit se faire avec les homologues américains dans le corridor Québec-Nouvelle-Angleterre, et qu’elle visera le secteur énergétique (le réseau électrique); on souligne également que les intervenants de SP et du DSI continuent à travailler en étroite collaboration tant à l’échelle nationale que régionale (p. ex. réunions et conférences).

4.1.3 Répercussions de l’élimination des programmes

Les évaluateurs ont cherché à connaître les répercussions possibles de l’élimination des programmes. La plupart des personnes interviewées ont déclaré que la perte de ces deux programmes aurait diverses conséquences. Les membres du personnel de programme de SP étaient d’avis que le Ministère et ses intervenants en matière d’IE verraient une diminution de la capacité de soutenir les divers éléments du Plan d’action Par-delà la frontière ainsi que de la mise en œuvre d’une stratégie nationale cohérente touchant les IE et la gestion des urgences. Les personnes interviewées ont également souligné que l’élimination des programmes nuirait à la crédibilité de SP auprès des intervenants (propriétaires et exploitants, provinces et territoires, municipalités, homologues américains) et le priverait de la capacité de suivre les progrès relatifs à la résilience des IE (indice de comparaison entre les secteurs, mesure du rendement). En ce qui concerne la CAVR en particulier, les personnes interviewées soulignent qu’en plus de perdre les moyens d’échanger des renseignements et des connaissances sur les IE, il serait plus difficile de soutenir le COG à l’aide de l’expertise touchant les IE en cas d’événement.

De manière plus générale, les entrevues et la documentation de programme montrent que, en l’absence de ces programmes, il est possible que la vulnérabilité face aux risques et aux interruptions augmente. On considère que le risque est associé à une perte de sensibilisation aux interdépendances de la chaîne d’approvisionnement des IE (en l’absence de programmes de remplacement) et d’une vision nationale cohérente sur le renforcement de la résilience des IE.

Malgré les reculs perçus, quelques-unes des personnes interviewées laissent entendre que les produits, services et fonctions fournis par le PERR et la CAVR (p. ex. évaluations, analyses, soutien) pourraient être fournis (en tout ou en partie) par d’autres organisations que SP, entre autres les organisations des chefs de secteur, les provinces et territoires, des organismes du secteur privé ou encore des mécanismes d’autoévaluation. Ces autres approches possibles font l’objet d’un examen plus loin dans le présent rapport (4.3 – Preuve d’efficience et d’économie).

4.1.4 Harmonisation avec les priorités de SP et l’orientation du gouvernement

Les principaux documents du gouvernement du Canada, y compris le budget de 2017, la lettre de mandat du ministre de SP (2015), le Plan d’action Par-delà la frontière (2011), entre autres^{Note de bas de page4}, indiquent que la protection et la résilience des IE font partie des priorités des gouvernements passés et du gouvernement actuel. Ces documents mentionnent la nécessité de protéger les IE du Canada, de faire avancer les priorités relatives aux infrastructures essentielles et à la cybersécurité et de collaborer sur toutes les activités et priorités transfrontalières qui concernent les IE. 

Ces documents soulignent non seulement la nécessité d’établir un ordre de priorités et de s’occuper des IE, mais également l’importance des partenariats, des mécanismes de collaboration (p. ex. grâce à l’échange d’information) et de l’amélioration de la résilience d’un côté et de l’autre de la frontière et entre les secteurs des IE (interdépendances); ils soulignent le rôle de la CAVR et du PERR pour favoriser la résilience et habiliter l’ensemble des intervenants, y compris les propriétaires et les exploitants; et ils mettent en relief la nécessité d’évaluer et d’acquérir des connaissances^{Note de bas de page5}.

4.1.5 Harmonisation avec les rôles et responsabilités du gouvernement

SP est responsable de la sécurité nationale et de la sûreté des Canadiens; son mandat consiste à protéger les Canadiens contre toute une gamme de risques, y compris les catastrophes naturelles, la criminalité et le terrorisme. À ce titre, la protection et le renforcement de la résilience des IE relèvent du rôle et des responsabilités de SP, ainsi que des responsabilités générales du gouvernement fédéral, qui doit assurer la sécurité^{Note de bas de page6}.

Plusieurs documents énoncent les rôles et responsabilités du gouvernement fédéral en ce qui concerne les IE, notamment la Stratégie nationale sur les infrastructures essentielles (2009), le Plan d’action sur les infrastructures essentielles (2009), les documents ministériels de planification ainsi que le Plan d’action sur la cybersécurité annoncé conjointement par SP et le DSI. En, la lettre de mandat du ministre de la Sécurité publique (2015) définit le rôle de SP, lequel consiste à s’assurer que les Canadiens sont en sécurité et protégés contre toute atteinte à la sécurité publique (p. ex. les IE) causée par diverses sources.

Bien que le gouvernement fédéral et SP soient chargés d’assurer la sécurité publique du Canada, la responsabilité des IE du Canada est assumée conjointement par le gouvernement fédéral et les gouvernements provinciaux et territoriaux^{Note de bas de page7} de même que par des intervenants clés, y compris les autorités locales et les propriétaires et exploitants, vu la nature des biens physiques et des biens  liés à la sécurité. Par exemple, un grand nombre de ces actifs sont contrôlés par des propriétaires et des exploitants du secteur privé, qui sont les principaux responsables de leur protection. À ce chapitre, plusieurs personnes interviewées ont laissé entendre que les provinces et territoires devraient participer davantage à la prestation des deux programmes. Cette suggestion fait l’objet d’un examen plus poussé dans la section 4.3 – Preuve d’efficience et d’économie.

4.2 Rendement – Efficacité

4.2.1 Atteinte des résultats escomptés

La présente section porte sur les huit (8) thèmes liés aux résultats qui s’alignent sur les questions d’évaluation (veuillez consulter l’annexe A : cadre et questions d’évaluation).

Compréhension des menaces et des risques

Les données réunies pendant l’exercice d’évaluation indiquent que le PERR et la CAVR ont aidé les intervenants des IE à comprendre les risques et les menaces qui pèsent sur leurs actifs et leurs organisations. Les trois principaux outils d’évaluation du PERR (OERIE, OMIE, ECRC) sont conçus spécifiquement pour évaluer la résilience et contiennent des questions détaillées visant à cerner les déficiences et les vulnérabilités des installations. Tous les propriétaires et les exploitants interrogés dans le cadre de cette évaluation qui ont fait l’objet d’évaluations dans le cadre du PERR et ont reçu des rapports connexes ont indiqué que le processus était utile et les a aidés à mieux comprendre les risques et les menaces ou à valider leurs connaissances à ce sujet. Comme indiqué précédemment, les répondants à l’enquête du PERR ont confirmé cette constatation, et ils ont tous affirmé que les évaluations les avaient aidés à mieux comprendre les vulnérabilités ou à valider leurs connaissances à ce sujet.  

Les intervenants internes (SP), y compris les membres du COG, ont mentionné que la CAVR pouvait bel et bien assurer la fonction de soutien d’analyse des IE requise pendant un événement. Ils ont également indiqué que la CAVR aidait le COG à analyser les interdépendances, les risques, les menaces et les vulnérabilités touchant la chaîne d’approvisionnement des IE. Toutefois, les personnes interviewées étaient moins affirmatives en ce qui concerne la contribution des produits de la CAVR à la compréhension par l’ensemble des intervenants des risques et menaces pesant sur les IE. Quelques-unes des personnes interviewées avaient de la difficulté à évaluer les contributions des produits de la CAVR (limites des attributions) et se demandaient si les extrants de la CAVR étaient positionnés ou communiqués de manière optimale aux publics cibles. Celles qui connaissaient la Passerelle des IE et l’avaient utilisée ont dit qu’elle était une source utile d’information sur les problèmes et les pratiques exemplaires touchant les IE. Les évaluateurs ont cependant noté que bon nombre des personnes interviewées ne connaissaient pas la Passerelle ou ne l’avaient jamais utilisée et qu’elles n’avaient donc pas eu l’occasion d’en voir les avantages.

Accès en temps opportun à des renseignements exploitables sur les risques physiques et cybernétiques

Ce sont les membres du personnel du PERR à Ottawa qui produisent les rapports après une visite des installations des propriétaires et exploitants des IE. Les données tirées des entrevues et de l’enquête indiquent que ces rapports fournissent des données spécifiques et exploitables sur les risques physiques à l’appui de la résilience des IE. Par exemple, les rapports d’évaluation présentent aux propriétaires et exploitants diverses recommandations, réunies dans une section précise du rapport final du PERR. Les recommandations portent par exemple sur les déficiences au chapitre de la sécurité du périmètre (p. ex. les clôtures), le contrôle par télévision en circuit fermé ou les installations gardées. Les données tirées de l’enquête indiquent que les options recommandées présentées dans les rapports du PERR étaient dans la plupart des cas pertinentes (69 %) et exploitables (89 %).

En ce qui concerne le délai de production et de communication des rapports du PERR, les données de 2016-2017, les données les plus récentes qui soient accessibles, indiquent qu’en moyenne il faut environ 75 jours pour produire le rapport préliminaire. À titre de comparaison, la norme de service est de six (6) semaines (mais cette norme n’est communiquée qu’à l’interne). Les gestionnaires du PERR ont souligné que le délai de production est souvent touché par le retard à obtenir des clarifications du personnel du site. Ils soulignent également que les délais de production se sont améliorés depuis la création du programme, et disent s’attendre à pouvoir respecter la norme de service au plus tard pendant l’exercice 2018-2019.

Les analyses et le soutien fournis par la CAVR dépendent beaucoup de la situation et ont un caractère beaucoup plus urgent pendant un événement (puisque les événements se déroulent en temps réel, sept jours sur sept et 24 heures sur 24) qu’en ce qui concerne les activités au quotidien. Bien qu’elle soit intégrée au COG, en cas d’événement, la CAVR est en mesure de fournir en temps opportun, aux intervenants, des analyses des IE, y compris une cartographie géospatiale de l’infrastructure et des évaluations des répercussions, au fur et à mesure de l’évolution de la situation. D’autres fonctions de la CAVR, par exemple la modélisation de la chaîne d’approvisionnement, les rapports analytiques et les autres produits liés au risque des IE, sont moins sensibles au temps. Ces rapports et produits, de même que ceux d’autres ministères ou organismes (p. ex. rapports de signalement d’incidents suspects et de menaces), sont transmis aux intervenants et, s’ils ne sont pas classifiés, peuvent normalement être consultés à partir de la Passerelle des IE. Actuellement, on peut accéder à plus de 600 rapports à partir de la Passerelle des IE (p. ex. évaluations des répercussions, des vulnérabilités et des menaces, outils, stratégies, rapports de situation, guides de référence, plans, documents d’information sur les activités quotidiennes). La Passerelle des IE pourrait être un dépôt d’information à jour et exploitable sur les risques physiques; pourtant, comme l’indiquent les personnes interviewées de même que les données sur l’utilisation, c’est une ressource sous-utilisée qu’il vaudrait la peine de faire davantage connaître. Quelques-unes des personnes interviewées affirment que des avis, un fil de nouvelles ou des alertes permettraient de faire mieux connaître la Passerelle tout en assurant une meilleure actualisation de l’information.

Les propriétaires et exploitants prennent des mesures pour gérer les risques, comme le suggèrent les programmes

Les évaluateurs ont examiné les données probantes pour savoir dans quelle mesure les propriétaires et les exploitants, de même que les autres intervenants, ont pris des mesures pour atténuer les risques et les vulnérabilités des IE. La plupart des propriétaires et exploitants interviewés ont déclaré que, après une évaluation du site par le PERR, ils ont pris au moins quelques mesures, en général sous forme d’investissement pour corriger les lacunes (p. ex. sécurité du site, caméras, bornes de protection, clôture). Certains répondants ont fourni des estimations selon lesquelles, ces investissements allaient de 10 000 $ jusqu’à 10 millions de dollars. Les données de l’enquête, quoique limitées, ont tendance à soutenir la conclusion selon laquelle les évaluations faites par le PERR entraînaient de nouveaux investissements. Les investissements effectués par les répondants à cette question s’élevaient à sept millions de dollars, soit une moyenne de 600 000 $ par évaluation de site, le chiffre médian étant de 116 000 $. Étant donné que le coût moyen d’une évaluation est de 9 228 $, cela veut dire que, vu la valeur médiane des investissements, le rendement estimé est de 13 pour 1. 

Il convient de souligner que les propriétaires et exploitants ont déclaré que, indépendamment des faiblesses et vulnérabilités des IE qui ont été cernées, les rapports d’évaluation du PERR les ont aidés au moment de soumettre les analyses de rentabilité pour de nouveaux investissements.. Il s’agit là de résultats positifs touchant le rendement du programme, mais les constatations ne sont pas concluantes et il faut les utiliser avec prudence étant donné la taille limitée de l’échantillon. Il faudrait que les responsables du PERR fassent un suivi plus systématique des mesures prises à la suite des évaluations de site si l’on veut obtenir une évaluation plus concluante touchant ce paramètre de rendement.

Les intervenants de la CAVR ne traitent pas directement avec les propriétaires et exploitants. Toutefois, ils font directement affaire avec le COG et les autres ministères et organismes du gouvernement; ils travaillent en collaboration avec le PERR et participent aux exercices de gestion des urgences. Les autres extrants de la CAVR concernent la collaboration avec les intervenants, les analyses et le soutien. Les répondants qui connaissaient la CAVR et qui font directement affaire avec des représentants de ce programme formulent des commentaires positifs quant à la contribution de ce programme. Toutefois, certains sont d’avis que les activités et les extrants de la CAVR devraient être mieux ciblés de façon qu’il soit possible de déterminer comment en tirer le plus d’avantages possible. Les évaluateurs ont constaté que, pour le moment, il n’y a pas suffisamment de données pour que l’on puisse savoir dans quelle mesure les mesures et les décisions prises par les intervenants ont été directement influencées par la CAVR.

Les programmes contribuent à la capacité des propriétaires, des exploitants et du gouvernement du Canada de planifier et d’intervenir en cas d’interruption

Les données recueillies pendant les entrevues indiquent que l’information fournie par le PERR et la CAVR aux intervenants contribue à une meilleure compréhension par SP des risques et des criticités tout en soutenant les politiques et le processus décisionnel liés aux IE.

En ce qui concerne le PERR, les répondants ont déclaré que le programme les aidait à cerner les risques et vulnérabilités, pendant les évaluations, et aidait les propriétaires et exploitants à planifier les mesures d’atténuation des risques et de continuité des opérations. Toutefois, pendant la phase initiale du PERR, la sélection des sites se faisait en majeure partie en fonction des demandes (pour répondre aux personnes qui avaient pris connaissance de l’existence du programme dans divers forums plutôt qu’en fonction d’une planification et d’une sélection stratégiques fondées sur les critères de priorité du PERR touchant les IE). L’exception à cette approche a été les initiatives transfrontalières régionales (Nouveau-Brunswick-Maine, Colombie-Britannique-Alaska), qui exigeaient une planification et une coordination importantes.

Comme il a été signalé ailleurs dans le présent rapport, il est évident que la CAVR contribue aux capacités du gouvernement du Canada de planifier et d’intervenir en cas d’interruption, comme le montre le fait qu’elle soutient le COG pendant des événements, qu’elle participe à la planification et à la préparation des activités quotidiennes (p. ex. pendant les exercices), qu’elle permet de cerner les risques à l’échelle nationale, au moyen du profil national de risque, et qu’elle fournit des analyses, notamment une cartographie géospatiale et des analyses de la chaîne d’approvisionnement (p. ex. modèle de distribution de produits pétroliers).

Collaboration avec la communauté des IE (partage d’information et de pratiques exemplaires) et partenariats

En plus de leur objectif premier, le soutien à la gestion des risques des IE, le PERR et la CAVR avaient pour but de contribuer à la résilience des IE à l’aide d’une meilleure collaboration avec la collectivité des IE (pour l’échange d’information et de pratiques exemplaires) et au moyen de partenariats. Les données probantes tirées de l’examen documentaire et des entrevues montrent qu’il y a eu collaboration intersectorielle dans divers forums. Par exemple, les rapports de mesure du rendement de la DGIECS indiquent que les réunions du Groupe de travail Canada-États-Unis sur les IE, portant sur le lancement du PERR, ont commencé en 2011-2012 et ont été suivies par des réunions bilatérales continues sur la mise en œuvre du PERR et de la CAVR, en 2012-2013.

Des données probantes sur des activités de collaboration supplémentaires (exposés, séances d’information, réunions et ateliers destinés aux intervenants) ont été relevées dans divers rapports sur le rendement. Par exemple, il y a eu des comptes rendus des séances d’information données en Ontario, en Alberta, en Colombie-Britannique et au Yukon en 2013-2014, et des exposés ont été présentés aux réseaux sectoriels et dans le cadre du Forum intersectoriel national (le 27 juin 2013). La même année, les programmes du PERR et de la CAVR ont été présentés dans le cadre de trois ateliers organisés par le Conference Board du Canada. Ces quelques exemples d’activités mixtes de sensibilisation, tirés d’un examen de sources diverses, sont représentatifs de la large portée des activités exécutées par les programmes dans le contexte des IE de SP. En l’absence d’une stratégie de sensibilisation ciblant spécifiquement le PERR et la CAVR (plutôt que les IE, de manière générale), il est impossible de déterminer de manière concluante dans quelle mesure les objectifs de la collaboration avec le milieu des IE ont été atteints.     

Plusieurs répondants estiment que les deux programmes jouent un rôle important dans l’élaboration et la diffusion des pratiques exemplaires, soulignant que la CAVR (grâce à la Passerelle des IE) joue un rôle plus visible à cet égard. La Passerelle des IE sert également d’outil de collaboration avec le milieu des IE, étant en outre un portail et un dépôt de données et de pratiques exemplaires.

Les progrès réalisés reflètent la phase inaugurale des programmes. Toutefois, les données touchant les activités montrent que la portée et l’étendue des programmes sont limitées, sur le plan géographique, aux zones et aux régions où les ressources sont le plus nombreuses; il faudrait mieux équilibrer la portée du programme et assurer une répartition plus uniforme des activités en se fondant sur les critères de risque (pour de plus amples détails, veuillez consulter les tableaux 5 et 6). 

Dans le même ordre d’idées, les répondants ont souligné l’importance des divers réseaux (ceux de la collectivité, du secteur ou de l’industrie) au moment d’établir des partenariats et de mettre en commun des pratiques exemplaires. Il convient de souligner que l’activité des réseaux est, de la même façon, fonction des ressources. Par exemple, les réalisations du réseau consultatif sur les infrastructures essentielles, l’un des réseaux les plus avancés en matière d’IE du Canada, sont dues en grande partie aux initiatives de collaboration de ses ressources locales. Par comparaison, il n’y a presque aucune collaboration entre les réseaux des IE des autres régions ou provinces.

Comme souligné précédemment, en ce qui concerne la CAVR, la Passerelle des IE^{Note de bas de page8} est un important outil de collaboration. Le dépôt de données de la Passerelle des IE comprend actuellement plus de 600 documents, notamment des rapports (p. ex. sur les infrastructures, les exercices, la cybersécurité et des rapports de situation), des cadres de travail (p. ex. Groupe des cinq, incidents virtuels, échange d’information sur les IE), des documents de soutien (p. ex. guide de planification des IE, fiches d’information, guides sur les pratiques exemplaires), du matériel de nature géospatiale (p. ex. cartes de secteur), des guides (p. ex. cybersécurité, méthodes d’évaluation des  risques, références), des dossiers (p. ex. comptes rendus de réunions et de conférences, documents d’information et de consultation), et des documents sur l’évaluation des menaces et des risques (p. ex. Fort McMurray, sécheresse en Nouvelle-Écosse, tempête de neige au Nouveau-Brunswick, glissement de terrain à Saint-Luc-de-Vincennes). La Passerelle des IE contient en outre des ressources que les utilisateurs peuvent télécharger (boîte à outils) et des documents archivés concernant des réunions de divers intervenants des secteurs des IE, des ateliers et des événements de réseautage (il y en a eu 20).

Les données révèlent que l’Ontario est le plus grand utilisateur de cet outil, plus des trois quarts des recherches étant effectuées à partir d’Ottawa. De nombreux répondants cherchent des informations sur les IE dans des sources propres à leur secteur, et ils laissent entendre qu’il serait utile que la Passerelle des IE affiche du contenu davantage ciblé sur les intérêts spécifiques des dix secteurs. Le tableau 5 fournit les données sur les membres et les consultations. Le nombre total de membres a augmenté de 333 en 2014 à 546 en 2016. Dans la même période, le nombre de membres actifs a augmenté de 302 à 406.

Meilleure compréhension des dépendances et des liens entre les secteurs

Le PERR et la CAVR ont aidé SP et les intervenants à mieux comprendre les dépendances et les liens entre les secteurs. Les évaluations, exercices, réseaux, conférences et autres forums témoignent des initiatives intersectorielles existantes. 

Au départ, la vision du PERR comprenait des évaluations régionales. Jusqu’ici, deux évaluations régionales ont été effectuées (Nouveau-Brunswick-Maine et Alaska-Yukon-Colombie-Britannique), et une troisième est envisagée (Québec-Nouvelle-Angleterre). Toutefois, l’expérience a montré que ces évaluations, même si elles sont essentielles pour mettre en relief les interdépendances, exigent beaucoup de temps et de ressources; étant donné la capacité limitée, ce facteur aurait justifié une réorientation du programme sur les IE du Canada. Comme on l’a déjà indiqué, cette réorientation pourrait être vue comme un prolongement naturel du mandat initial des programmes, étant donné que les deux pays se préoccupent de plus en plus des répercussions importantes des interruptions des IE se trouvant sur leur territoire.

En soutenant les exercices et en produisant des analyses, la CAVR a permis une meilleure compréhension des interdépendances entre les secteurs. Comme elle ne s’attache pas à un site en particulier, la CAVR a la capacité d’examiner et de saisir les liens entre les IE et les dépendances de la chaîne d’approvisionnement qui pourraient échapper à un examen axé sur un site en particulier. La Passerelle des IE de la CAVR établit des liens avec la Passerelle globale des IE; des évaluations des répercussions et des rapports d’analyse (Écluses du Sault), des exercices (Pacific Quake et Staunch Maple exercices sur table) et un recueil des dépendances virtuelles de chacun des actifs d’IE du Canada en sont des exemples. Toutefois, la CAVR doit composer avec des ressources limitées, et elle est peu connue. Les répondants qui la connaissent sont d’avis que, pour réaliser son plein potentiel, elle devrait être mieux ciblée.

Contribution des programmes à l’atténuation des répercussions des interruptions

De manière générale, on s’attend à ce que le PERR et la CAVR contribuent à l’atténuation des répercussions des interruptions (approche tous risques) des IE. Les répondants indiquent que les deux programmes contribuent en effet jusqu’à un certain point à l’atténuation des répercussions des interruptions, malgré leur capacité et leur portée limitées. Comme on l’a déjà indiqué, toutefois, les programmes n’assurent pas une couverture équilibrée et sont surtout offerts dans les régions où travaillent des ressources d’expérience (p. ex. les équipes d’évaluateurs du PERR). Pour comparer les différents sites d’un même secteur, on se fonde sur les mesures de protection des IE et sur divers scores et classements touchant la résilience. Les propriétaires et exploitants estiment que ces notes comparatives sont des mesures utiles au moment d’évaluer la performance de leur secteur respectif en ce qui concerne les IE. Toutefois, à l’heure actuelle, la base de données du Canada manque de données de comparaison convenables (131 sites au total) reflétant l’ensemble des IE et chacun des secteurs. Le fait que les évaluations soient mal réparties (dans les régions et les secteurs) ajoute à ces limites. Jusqu’ici, pour présenter aux propriétaires et exploitants leurs résultats, le PERR utilise des données de comparaison des États-Unis. Toutefois, certains des propriétaires et exploitants interviewés dans le cadre de la présente évaluation soulignent que ces données ne sont pas toujours directement utilisables, étant donné qu’elles ne mettent pas l’accent sur les mêmes variables.

Le tableau 5 montre la répartition des évaluations effectuées par le PERR ainsi que le nombre total de sites d’IE d’importance nationale, par province et territoire. On remarque, dans ce tableau, un déséquilibre régional important quant au nombre d’évaluations effectuées dans les provinces et territoires par rapport au nombre de sites d’IE d’importance nationale cernés par la CAVR. Par exemple, sur les 131 évaluations de site effectuées par le PERR jusqu’ici, 34 % ont été faites dans la région de l’Atlantique et 25 %, en Saskatchewan. Le PERR compte des évaluateurs très expérimentés dans les deux régions. Par comparaison, selon les données du programme, 17 % des sites d’IE d’importance nationale se trouvent dans la région de l’Atlantique, et 6 %, en Saskatchewan. Cependant, les intervenants du PERR ont affirmé être en train d’élaborer un indice de criticité et d’exposition de façon à pouvoir adopter une approche plus stratégique et fondée sur le risque au moment de sélectionner les sites.

Le tableau 6 présente des données sur la répartition des évaluations effectuées dans le cadre du  PERR par rapport à la répartition de l’ensemble des sites d’IE d’importance nationale dans les secteurs; ces données récentes ont été fournies par le personnel de la CAVR de SP. Comme dans le tableau 6 qui précède, le tableau 7 reflète un important déséquilibre entre les secteurs quant au nombre d’évaluations réalisées par rapport aux sites d’IE comptés dans chaque secteur. Par exemple, il y a eu 18 évaluations (14 %) d’installations pour événements, même si ce type d’installations (p. ex. la Coupe Grey à Toronto) ne fait pas partie des sites d’IE d’importance nationale (voir le tableau 1 de la section 2 du présent rapport)^{Note de bas de page9}. 

Contribution des programmes à la sécurité et à la résilience des IE du Canada

Les données réunies dans le cadre de l’évaluation confirment l’affirmation selon laquelle les programmes contribuent à la sécurité et à la résilience des IE du Canada, comme le montrent de façon évidente les activités et extrants de programmes, les nouveaux investissements effectués par les propriétaires et les exploitants, la collaboration au sein du milieu des IE, l’échange d’information et de pratiques exemplaires. De nombreux répondants ont déclaré que les évaluations du PERR les ont aidés à justifier de nouveaux investissements dans les IE ou leur caractère prioritaire. Un exploitant a fourni un exemple précis en estimant que l’évaluation du PERR avait débouché sur un investissement initial à court terme d’environ 50 000 $, lequel serait suivi par un investissement semblable à plus long terme. Ces investissements ont permis de renforcer la résilience d’une installation de traitement des eaux qui, à elle seule, desservait deux grandes collectivités dont la population combinée dépasse un quart de million de résidents.

4.3 Rendement – Efficience et économie

Depuis leur création, le PERR et la CAVR fonctionnent selon un budget relativement modeste et en tant que composantes d’un portefeuille d’initiatives visant la résilience des IE. De 2012-2013 jusqu’à 2016-2017, un peu plus de 5 millions de dollars ont été investis dans ces initiatives. Un financement supplémentaire de 1,37 million de dollars pour 2017-2018 a été annoncé dans le budget de mars 2017 pour assurer la poursuite des activités du PERR et de la CAVR. Pendant la période de formation, les deux programmes ont établi des niveaux de référence. Au dernier exercice (2016-2017), les coûts des évaluations du PERR se sont élevés à 710 531 $; le coût moyen d’une évaluation est légèrement supérieur à 9 000 $.

4.3.1 Mesures prises pour optimiser les ressources

Les objectifs du PERR et de la CAVR sont complémentaires et se renforcent mutuellement. Cependant, les données réunies dans le cadre de certaines entrevues permettent de croire que les deux programmes n’ont pas toujours fonctionné de façon coordonnée ou intégrée (c.-à-d. qu’ils fonctionnaient en vase clos). Des changements ont récemment été apportés pour régler le problème.   

Le PERR et la CAVR ont dépassé leur budget pour chacune des cinq années faisant l’objet de la présente évaluation (voir tableau 2). Cela peut en grande partie s’expliquer par le fait que la demande et la charge de travail ont été plus importantes que prévu, puisque les programmes sont passés d’un objectif interfrontalier à un objectif davantage national et que le volet de la cyberrésilience a pris plus d’importance. À l’heure actuelle, les programmes fonctionnent grâce à un effectif total de 20 ETP (18 postes sont actuellement pourvus), ce qui représente une augmentation importante par rapport à l’effectif de huit personnes prévu au départ. Dans le but de réduire le coût des déplacements et d’augmenter la capacité, le PERR a commencé à utiliser des ressources régionales pour soutenir ses évaluations. Ce programme a également compté sur un membre de la GRC en détachement.

En raison du caractère spécialisé du travail d’évaluation des IE, les deux programmes doivent pouvoir compter sur des ressources expérimentées pour fonctionner de manière efficace. Ainsi, le PERR a compté sur un petit effectif d’employés bien formés et expérimentés, et, en conséquence, le rendement du programme a tendance à être meilleur dans les régions où ces employés travaillent. Une approche plus systématique de recrutement, de formation et de déploiement des ressources (évaluateur) permettrait de corriger ce déséquilibre. 

Jusqu’ici, le PERR n’a pas utilisé de rigoureux critères fondés sur le risque pour répondre aux demandes d’évaluation reçues. Cette approche axée sur la demande était acceptable lorsque les responsables cherchaient encore à établir le programme et à acquérir de l’expérience. Toutefois, puisque le programme en est à la phase suivante, qu’il est mieux connu et que les demandes d’évaluation augmentent en nombre, il faudra examiner de façon plus minutieuse les demandes d’évaluation de site si l’on veut assurer une utilisation optimale des ressources.

La CAVR, de son côté, a compté sur la collaboration de partenaires et d’organismes des secteurs des IE et de la GU, y compris le COG. Cette collaboration était nécessaire, entre autres, en raison du caractère analytique de ses activités, de son rôle de liaison dans le cadre des exercices et du soutien aux événements et du fait qu’elle est responsable de la Passerelle des IE. Comme la CAVR est un fournisseur d’information et un instrument d’habilitation des IE et qu’elle n’a que des ressources limitées, il est important que les extrants de la CAVR (produits et services) ciblent le plus précisément possible les besoins des publics cibles. Les données recueillies auprès de certains répondants permettent de croire qu’il serait possible d’en faire plus pour s’assurer que les extrants de la CAVR offrent une valeur optimale et qu’il est possible de réaliser des économies d’échelle en favorisant une approche plus large pour l’échange d’information sur les IE (p. ex. en mettant à profit l’ensemble des utilisateurs actuels de la Passerelle des IE).

4.3.2 Autres approches de prestation

L’évaluation des autres options de prestation des services avait pour but de compléter et de soutenir l’évaluation du PERR et de la CAVR, de déterminer dans quelle mesure le modèle de prestation actuel est optimal et de savoir s’il existe d’autres modèles de prestation plus avantageux pour le gouvernement du Canada. 

Cette analyse a fait ressortir plusieurs thèmes  mettant en relief les avantages de l’approche actuelle, les obstacles réels et possibles ainsi que le rôle et la capacité de SP d’assurer l’exécution du PERR et de la CAVR. Les avantages de l’approche actuelle sont entre autres les suivants : le fait que SP joue à l’échelle nationale un rôle de leader au chapitre des IE; son approche holistique en ce qui concerne les interdépendances, la résilience et les vulnérabilités de la chaîne d’approvisionnement; les occasions d’établir de nouvelles relations ou d’affermir les relations existantes avec le milieu des IE, en particulier les propriétaires et les exploitants; les connaissances et les données recueillies grâce aux activités de la CAVR et du PERR; la crédibilité et l’expertise des professionnels du PERR et de la CAVR. En outre, SP a la possibilité de travailler en plus étroite collaboration avec d’autres administrations ainsi qu’avec les chefs de secteur et les experts des IE et d’assurer ainsi une couverture plus holistique et stratégique des évaluations et des analyses des IE, tout en tirant profit des connaissances réunies par divers centres d’expertise.

Par contre, le modèle de prestation de services actuel présente certaines lacunes et certains défis : la capacité limitée des ressources (humaines, financières et technologiques) de répondre aux demandes d’évaluation possibles; le manque de clarté quant au rôle de la CAVR et de sa collaboration en tant que partenaire en matière de gestion des urgences; l’absence d’un ordre de priorité et d’un processus de sélection stratégique des sites d’IE et la nécessité d’accroître la collaboration et de multiplier les occasions de collaborer étroitement avec d’autres administrations ou régions. 

Le tableau 7, Évaluation des autres options de prestation des services, présente dans un ordre donné, reflétant les principaux avantages et les risques^{Note de bas de page10}, les sept options proposées. Quatre des avantages ayant fait l’objet d’une évaluation ont été jugés d’une importance critique pour SP :

1. Maximiser la portée des programmes,
2. Accéder à l’expertise et à l’information de diverses sources,
3. Accéder à, et
4. Faciliter l’accès à la méthodologie existante.

Ces avantages ont été pondérés en conséquence, dans l’analyse. On a également tenu compte de la perte de confiance des propriétaires et exploitants pour refléter l’importance de ce critère en tant que facteur de risque. Le tableau complet de l’évaluation est fourni à l’annexe B.

Le modèle alternatif pouvant fournir le plus de bénéfices additionnels est un partenariat accru avec les autres paliers gouvernementaux, avec SP gardant le rôle de leader national. Le statut quo peut aussi accroître ses bénéfices en relevant certains des défis identifiés.

5. Conclusions

5.1 Pertinence

Les objectifs sous-jacents du PERR et de la CAVR sont encore pertinents aujourd’hui. Les programmes ont répondu au besoin initial de corriger les vulnérabilités des IE et aux attentes à ce sujet en aidant les propriétaires, les exploitants et les intervenants concernés de dix secteurs d’infrastructures essentielles. Les évaluations de sites réalisées par le PERR se révèlent utiles puisqu’elles aident à cerner les forces et les faiblesses des IE. Ces évaluations ont amené les propriétaires et exploitants à faire de nouveaux investissements dans les IE, et les données réunies permettent de croire que ces investissements auraient pu être plus importants encore si des mesures incitatives supplémentaires avaient été accessibles (p. ex. subventions et contributions, crédits d’impôt). Le besoin continu de la CAVR est justifié par ses analyses, à savoir des évaluations des répercussions et des rapports après action, son soutien pendant des événements comme les incendies de forêt à Fort McMurray et son rôle de liaison dans le cadre d’exercices et de simulations.

Les deux programmes sont des éléments clés du plan du gouvernement fédéral relatif aux infrastructures essentielles, et ils sont présentés comme une priorité dans de nombreux documents fondamentaux du gouvernement, y compris l’annonce initiale du Plan d’action Par-delà la frontière du Canada et des États-Unis de 2011. Cependant, bien que les IE correspondent à un rôle clé du gouvernement fédéral et que le PERR et la CAVR contribuent à ce rôle en soutenant les objectifs de la Stratégie nationale sur les infrastructures essentielles, cette responsabilité est partagée avec de nombreux intervenants, par exemple les gouvernements provinciaux et territoriaux, les administrations locales et les propriétaires et exploitants, en raison de l’interdépendance inhérente et des caractéristiques des actifs corporels et des actifs liés à la sécurité.

5.2 Rendement – Efficacité

Au chapitre du rendement, les deux programmes ont aidé les intervenants des IE à comprendre les risques et les menaces qui pèsent sur leurs actifs et leurs organisations. Les personnes interrogées ont déclaré que les rapports du PERR fournissent des données précises et exploitables sur tous les risques et qu’ils soutenaient la résilience des IE. Les propriétaires et les exploitants ont déclaré avoir pris des mesures concrètes pour atténuer les principaux risques cernés pendant l’évaluation du site; ces mesures consistent généralement en une planification de la continuité des activités et en des investissements visant à combler les lacunes. Toutefois, comme le PERR fait face à un nombre accru de demandes d’évaluations de sites, il faudra revoir l’ordre de priorités de ses activités. Cet ordre de priorités aura une importance particulière étant donné que la présente évaluation a établi que, pendant la phase initiale du PERR, le processus de sélection des sites était axé sur la demande et ciblait les secteurs où des ressources spécialisées de SP faisaient la promotion du programme, ce qui a entraîné un déséquilibre entre les régions et les secteurs couverts. 

Au sujet de la CAVR, les personnes interrogées ont dit que le programme avait aidé le COG et les intervenants à comprendre les interdépendances de la chaîne d’approvisionnement des IE ainsi que les risques et les menaces touchant les événements ou les exercices. La CAVR a été conçue dans le but de fournir en temps opportun une analyse des infrastructures essentielles, y compris des rapports sur les répercussions, des modélisations de la chaîne d’approvisionnement et des produits liés au risque. Toutefois, la Passerelle des IE est une ressource sous-utilisée, qu’il vaudrait la peine de promouvoir davantage.

En ce qui concerne la collaboration et les partenariats au sein de la collectivité des IE, le PERR autant que la CAVR jouent un rôle important pour élaborer et diffuser les pratiques exemplaires; le rôle de la CAVR est plus visible, à ce chapitre, ce qui est dû en grande partie au fait qu’elle gère la Passerelle des IE. Les deux programmes ont aidé SP et les intervenants à mieux comprendre les dépendances et les liens entre les secteurs. Des initiatives intersectorielles sont réalisées sous forme d’évaluations, d’exercices, de réseaux, de conférences et d’autres forums. En ce qui concerne la CAVR, bien que les données tirées des entrevues et de la documentation (p. ex. rapports sur le rendement des IE) indiquent qu’il s’est fait beaucoup d’activités de collaboration et de sensibilisation pendant la période de cinq ans visée dans la présente évaluation, l’attribution des répercussions et des résultats (p. ex. la mesure dans laquelle une activité donnée a permis d’atténuer les répercussions d’une interruption des IE) est difficile, surtout en raison de l’absence d’une stratégie précise et bien définie en matière de collaboration et de sensibilisation.

5.3 Rendement – Efficience et rentabilité

En ce qui concerne l’efficience et la rentabilité, le PERR et la CAVR selon un budget relativement modeste et en tant que composantes d’un portefeuille d’initiatives touchant la résilience des IE. Les dépenses de programme ont dépassé les prévisions de chacune des cinq années de fonctionnement, ce qui est dû principalement au fait qu’il a fallu des ressources supplémentaires pour répondre aux demandes et s’acquitter de la charge de travail. Le nombre d’ETP affectés aux programmes a augmenté, mais les résultats dépendent excessivement des efforts déployés par quelques experts clés, ce qui pourrait limiter l’adaptabilité des programmes.

Quoi qu’il en soit, les changements apportés récemment à la structure de gouvernance ont renforcé la coordination et le partage des ressources entre les deux programmes. Ce sont des étapes importantes vers l’utilisation optimale des ressources, surtout quand on pense aux avantages que procurerait une intégration plus étroite des efforts des deux programmes. En outre, des données probantes tirées de l’examen d’autres formes de prestation de services permettent de croire que, sauf en ce qui concerne une collaboration et un partenariat plus étroits avec les provinces et territoires, il y a peu à gagner et davantage à perdre du fait de modifier maintenant le modèle de la prestation de services.

En résumé, ces deux programmes ne sont pas l’unique solution pour atténuer les répercussions d’une interruption des IE, mais ils restent pertinents puisqu’ils se sont révélés efficaces et efficients, pendant leur première phase, et qu’ils sont des compléments importants d’autres programmes, initiatives et actifs liés aux infrastructures essentielles et à la gestion des urgences, et ce, à l’échelon national, provincial ou international.

6. Recommandations

Les recommandations suivantes sont formulées dans un esprit d’amélioration continue.

La Sous-Ministre Adjointe principale du Secteur de la sécurité de la cybersécurité nationale devrait envisager de prendre les mesures suivantes :

1. Élaborer des processus de sélection des sites à évaluer dans le cadre du PERR ainsi que des produits de la CAVR qui tiennent compte des risques et des priorités.
2. Tirer parti de la participation du milieu des infrastructures essentielles et des activités de sensibilisation ciblées pour favoriser l’atteinte des objectifs du PERR et du programme de la CAVR.
3. Veiller à la disponibilité des ressources appropriées pour soutenir les activités prévues dans les plans de travail annuels du PERR et de la CAVR.
4. Explorer les options pour aider les propriétaires et les exploitants à donner suite aux améliorations proposées à la suite des évaluations de sites dans le but d’accroître la résilience des infrastructures essentielles au Canada.

7. Réponse de la direction et plan d’action

*La date dépend du moment de l’approbation stratégique et du renouvellement des fonds pour ces programmes.

Annexe A : Cadre et questions d’évaluation

Questions d’évaluation

Pertinence

1. Utilité du PERR et de la CAVR
1. Ces programmes sont-ils toujours nécessaires?
2. Quelles seraient les répercussions de l’élimination du PERR et de la CAVR?
2. Harmonisation avec les priorités du gouvernement
1. Le PERR et la CAVR sont-ils harmonisés avec les priorités du gouvernement du Canada?
3. Harmonisation avec les rôles et responsabilités du gouvernement
1. Le PERR et la CAVR sont-ils harmonisés avec les rôles et responsabilités du gouvernement du Canada (la prestation de ces programmes est-elle conforme aux rôles et responsabilités du gouvernement fédéral)?
2. Est-ce que ce rôle serait mieux assumé en partenariat en collaboration avec un autre ordre de gouvernement ou une autre organisation ou par un autre ordre de gouvernement ou une autre organisation?

Rendement – Efficacité 

1. Atteinte des résultats escomptés
1. Dans quelle mesure les programmes ont-ils permis aux intervenants des IE de mieux comprendre les risques et les menaces qui pèsent sur leurs actifs et leurs organisations? Dans quelle mesure les programmes ont-ils aidé les propriétaires et exploitants des IE à avoir accès en temps opportun à des renseignements exploitables sur les risques physiques et les risques cybernétiques?
2. Dans quelle mesure les propriétaires et exploitants des IE ont-ils pris des mesures de gestion des risques en se fondant sur les propositions formulées par les intervenants des programmes?
3. Dans quelle mesure les programmes ont-ils soutenu les capacités de planification et d’intervention en cas d’interruption des propriétaires et exploitants et du gouvernement du Canada? Dans quelle mesure les programmes ont-ils contribué à la collaboration (échange d’information et de pratiques exemplaires) et aux partenariats dans la collectivité des IE?
4. Dans quelle mesure les programmes ont-ils contribué à une meilleure compréhension des dépendances et des liens entre les secteurs? Dans quelle mesure les programmes ont-ils contribué à atténuer les répercussions des interruptions?
5. Dans quelle mesure les programmes ont-ils contribué à la sécurité et à la résilience des IE du Canada?

Rendement – Efficience et économie

1. Preuve d’efficience
1. Quelles mesures les responsables des programmes ont-ils prises pour assurer une utilisation optimale des ressources en vue de l’atteinte des résultats?
2. Ces programmes auraient-ils pu être exécutés d’une autre façon afin d’avoir une portée ou une rentabilité plus grandes.

Annexe B : Autres options de prestation des services

Annexe C: Bibliographie

Department of Homeland Security (2016). Programme d’évaluation de la résilience régionale.

Dziadyk, W. (BD Pro Inc.) (2011). Harmonized TRA (HTRA) Methodology – Limitations.

Gouvernement du Canada (2013). Rapport sur l’initiative horizontale du Plan d’action Par-delà la frontière 2012-2013

Gouvernement du Canada (2014). Rapport sur l’initiative horizontale du Plan d’action Par-delà la frontière 2013-2014.

Gouvernement du Canada (2015). Rapport sur l’initiative horizontale du Plan d’action Par-delà la frontière 2014-2015.

Gouvernement du Canada (2017). Passerelle d’information canadienne sur les infrastructures essentielles .

Hardenbrook, B. J. (2005). « The Need for a Policy Framework to Develop Disaster Resilient Regions », Journal of Homeland Security and Emergency Management, 2(3), 1-23.

Chambre des communes (2017). Bâtir une classe moyenne forte – Budget 2017.

Leuprecht, C. et Hataley, T. (2013). « Sûreté, sécurité civile et mesures d’urgence au sein du système canadien de gouvernance multiniveau », Télescope : Revue d’analyse comparée en administration publique, 19(1), 176-193

Petit, F.D. et al. (Argonne National Laboratory) (2013). Protective Measures Index and Vulnerability Index: Indicators of Critical Infrastructure Protection and Vulnerability.

Petit, F.D. et al. (Argonne National Laboratory) (2013). Resilience Measurement Index: An Indicator of Critical Infrastructure Resilience.

Sécurité publique Canada (2008). Stratégie nationale d’atténuation des catastrophes du Canada .

Sécurité publique Canada (2009). Stratégie nationale sur les infrastructures essentielles .

Sécurité publique Canada (2009). Aperçu du Programme d’évaluation de la résilience  régionale (PERR).

Sécurité publique Canada (2009). Programme d’évaluation de la résilience régionale et outils d’évaluation des infrastructures essentielles.

Sécurité publique Canada (2011). DGIECS – Stratégie de mesure du rendement,  12 décembre 2011.

Sécurité publique Canada (2012). Passerelle d’information sur les infrastructures essentielles du Canada, Formulaire d’inscription des membres.

Sécurité publique Canada (2012). Le Canada et les États-Unis rendent public un plan conjoint pour la gestion de la circulation frontalière en cas d’urgence, Communiqués, 2012.

Sécurité publique Canada (2012). Passerelle d’information sur les infrastructures essentielles du Canada  – Modalités de services .

Sécurité publique Canada (2012). Considérations pour la gestion des perturbations de la circulation à la frontière canado-américaine .

Sécurité publique Canada (2012). Programme d’évaluation de la résilience régionale et outils d’évaluation des infrastructures essentielles .

Sécurité publique Canada (2013). Lignes directrices pour renforcer la résilience des infrastructures essentielles du Canada en cas de séisme catastrophique.

Sécurité publique Canada (2013). DGIECS – Rapport annuel sur le rendement 2012‑2013.

Sécurité publique Canada (2013). DGIECS – Stratégie de mesure du rendement 2013‑2014.

Sécurité publique Canada (2014). Plan d’action sur les infrastructures essentielles .

Sécurité publique Canada (2014). DGIECS – Stratégie de mesure du rendement 2014‑2015.

Sécurité publique Canada (2014). DGIECS – Rapport annuel sur le rendement 2013‑2014.

Sécurité publique Canada (2015). Par-delà la frontière : une vision commune de la sécurité du périmètre et de la compétitivité économique.

Sécurité publique Canada (2015). Infrastructures essentielles – Rapport 360 (Enjeu 1).

Sécurité publique Canada (2015). Plan d’action sur la cybersécurité annoncé conjointement par Sécurité publique Canada et le Department of Homeland Security. 

Sécurité publique Canada (2016). Évaluation 2016-2017 des Accords d’aide financière en cas de catastrophe .

Sécurité publique Canada (2016). DGIECS – Stratégie de mesure du rendement 2016‑2017.

Sécurité publique Canada (2016). DGIECS – Collecte de données pour la Stratégie de mesure du rendement.

Sécurité publique Canada (2016). Évaluation des répercussions sur les infrastructures essentielles : Feux de forêt à Fort McMurray, 8 mai 2016, 16 h.

Sécurité publique Canada (2016). Évaluation des répercussions sur les infrastructures essentielles : Feux de forêt à Fort McMurray.

Sécurité publique Canada (2016). Évaluation des répercussions sur les infrastructures essentielles : Feux de forêt à Fort McMurray, 8 mai 2016, 16 h.

Sécurité publique Canada (2016). Évaluation des répercussions sur les infrastructures essentielles : Feux de forêt à Fort McMurray, 8 mai 2016, 16 h. – Document de travail.

Sécurité publique Canada (2016). Résilience des infrastructures essentielles : Moderniser le PERR et la CAVR.

Sécurité publique Canada (2016). Tableau de bord de la direction – Passerelle d’information canadienne sur les infrastructures essentielles.

Sécurité publique Canada (2016). Programme d’évaluation de la résilience régionale – Résultats de l’enquête – Décembre 2016.

Sécurité publique Canada (2016). Programme d’évaluation de la résilience régionale – Vision stratégique.

Sécurité publique Canada (2016). PERR – Enquête sur le processus d’évaluation.

Sécurité publique Canada (2016). PERR – Rapport final d’évaluation (enquête).

Sécurité publique Canada (2016). PERR – Suivi après un an (enquête).

Sécurité publique Canada (2016). PERR – Analyse des résultats de l’enquête.

Sécurité publique Canada (2016). Comité sénatorial permanent de la sécurité nationale et de la défense

Sécurité publique Canada (2016). Aperçu de la Cellule pour l’analyse virtuelle des risques (CAVR).

Sécurité publique Canada (2016). Cellule pour l’analyse virtuelle des risques .

Sécurité publique Canada (2016). CAVR – Modèle de la propagation sur 48 heures des incendies de forêt à Fort McMurray.

Sécurité publique Canada (2016). CAVR – Carte de la propagation sur 8 heures des incendies de forêt (Fort McMurray).

Sécurité publique Canada (2017). Plan d’action Par-delà la frontière

Sécurité publique Canada (2017). Total actuel des infrastructures essentielles.

Sécurité publique Canada (2017). Coûts directs de programme .

Sécurité publique Canada (2017). Aperçu des secteurs des infrastructures essentielles du Canada.

Sécurité publique Canada (2017). Rapport préliminaire sur les délais, 2016-2017.

Sécurité publique Canada (2017). Programme d’évaluation de la résilience régionale (PERR) et Cellule pour l’analyse virtuelle des risques (CAVR) : Résultats.

Sécurité publique Canada (2017). Rapports (trimestriels) à l’intention de la Passerelle des IE.

Sécurité publique Canada (2017). PERR et CAVR – Structure de gouvernance, budget et dépenses, 2012-2017.

Sécurité publique Canada (2017). PERR – Résultats de l’enquête sur le rendement de l’équipe.

Sécurité publique Canada (2017). Tableau sommaire des coûts par crédit budgétaire .

Sécurité publique Canada (2017). Le Programme d’évaluation de la résilience régionale . Page consultée sur le site suivant : https://www.securitepublique.gc.ca/cnt/ntnl-scrt/crtcl-nfrstrctr/crtcl-nfrstrtr-rrap-fr.aspx.

Sécurité publique Canada et Département de la sécurité intérieure (2010) – Plan d’action canado‑américain sur les infrastructures essentielles .

Quigley, K. (2013). « Man Plans, God Laughs: Canada’s National Strategy for Protecting Critical Infrastructure ». Canadian Public Administration, 56(1). 142-164.

Date de modification :

2022-07-21