Audit de la gestion des subventions et contributions à l’Agence de la santé publique du Canada

Novembre 2018

Version PDF - 617 Ko

Présenté au Comité ministériel d’audit de l’ASPC le 22 novembre 2018

Table des matières

• SOMMAIRE
• A - Introduction
  • Contexte
• B - CONCLUSIONS, RECOMMANDATIONS ET RÉPONSES DE LA DIRECTION
  • Gouvernance
  • Gestion du risque
  • Contrôles internes
    • Soutien pour le cadre de contrôle de gestion
    • Planification et mise en œuvre des programmes
    • Gestion du programme, surveillance et production de rapports
    • Gestion des accords
    • Contrôles d’accès des utilisateurs
    • Mesures de contrôle de la gestion du changement
• C - CONCLUSION
• ANNEXE A — GRILLE D’ÉVALUATION
• ANNEXE B — À PROPOS DE L’AUDIT

Liste des acronymes

OERBE

util d’évaluation du risque relatif au bénéficiaire/à l’entente

CEDG

Comité exécutif de la direction générale

MGA

Modèle de gestion des activités

PODG

Plan opérationnel de la direction générale

AC

Accord de contribution

CSC

Centre des subventions et des contributions

S et C

Subventions et contributions

SGISC

Système de gestion d’information des subventions et contributions

CSGSC

Comité de surveillance de la gestion des subventions et des contributions

SC

Santé Canada

PSPMC

Promotion de la santé et de la prévention des maladies chroniques

DGISS

Direction générale de l’infrastructure de sûreté sanitaire

DGPCMI

Direction générale de la prévention et du contrôle des maladies infectieuses

AANC

Affaires autochtones et du Nord Canada

GIR

Gestion intégrée du risque

CGTI

contrôles généraux liés à la technologie de l’information

TI/GI

Technologie de l’information/gestion de l’information

RME

Rapports mensuels sur les écarts

BDPO

Bureau du dirigeant principal des finances

BAI

Bureau des affaires internationales

ASPC

Agence de la santé publique du Canada

DGAR

Division de la gestion et de l’analyse des ressources

OR

Opérations régionales

PON

Procédure opérationnelle normalisée

SCT

Secrétariat du Conseil du Trésor du Canada

SGPT

Services de gestion des paiements de transfert à Santé Canada

Sommaire

Ce que nous avons examiné

Nous avons examiné le cadre de contrôle de gestion lié aux programmes et aux fonctions de gestion des accords de financement pour les subventions et les contributions (S et C), ainsi que sa conformité avec la Politique sur les paiements de transfert (la Politique) du Conseil du Trésor.

L’audit était axé sur la gouvernance, la gestion du risque, les contrôles internes et les processus liés à la gestion du programme et des accords, ainsi que les fonctions d’administration du cycle de S et C, notamment :

• l’élaboration et la mise en œuvre de politiques, de procédures, d’outils d’aide, de systèmes de gestion de l’information, et d’une formation pour appuyer la mise en œuvre et la gestion continue du programme;
• les processus et les activités déjà en place pour la surveillance des accords de contribution. 

L’audit n’a pas examiné l’efficacité des résultats obtenus par les bénéficiaires des S et C.

Pourquoi est-ce important

Les S et C représentent les paiements de transfert du gouvernement du Canada et constituent une allocation importante de ressources gouvernementales. Elles sont régies par la Politique sur les paiements de transfert et la Directive sur les paiements de transfert du Conseil du Trésor. L’objectif de la Politique et de la Directive est de garantir que les programmes de paiement de transfert sont gérés avec intégrité, transparence et responsabilité, tout en tenant compte du risque et en garantissant que les programmes sont axés de manière appropriée sur les citoyens et les bénéficiaires, et qu’ils sont conçus pour atteindre les diverses priorités et les résultats attendus du gouvernement du Canada.

L’Agence de la santé publique du Canada (ASPC ou l’Agence) utilise les S et C pour offrir du financement aux organismes communautaires, bénévoles, sans but lucratif, et du secteur privé, afin de réaliser le mandat du Ministère et ses objectifs stratégiques. Les dépenses de l’Agence liées aux S et C ont totalisé plus de 190 millions de dollars pour chacun des trois derniers exercices financiers.

Ce que nous avons constaté

Nous avons constaté qu’un cadre de contrôle de gestion adéquat était en place, qui comprenait des processus de gouvernance et de gestion du risque, ainsi que des contrôles internes connexes appuyant la gestion efficace des S et C. Les processus et les pratiques de gestion ont été efficaces dans les secteurs suivants:

• mécanismes appropriés de production de rapports destinés à la haute direction au moyen de processus officiels et officieux, qui font ressortir la situation opérationnelle et les difficultés en vue de la prise de décisions;
• orientation claire et complète fournie aux responsables des programmes, avec l’appui du Centre des subventions et des contributions (CSC) et les secteurs fonctionnels de toutes les directions générales, qui aide à satisfaire aux exigences de la Politique et de la Directive;
• un processus de planification solide qui démontre que les activités planifiées cadrent avec les priorités du Ministère et des directions générales, et qui est efficace dans la gestion des ressources financières;
• la mise en œuvre d’une stratégie complète de surveillance basée sur les risques pour les accords avec les bénéficiaires.  

Toutefois, des possibilités de remédier aux insuffisances ont été identifiées dans les domaines suivants : 

• mettre à jour la structure de gouvernance du niveau 3 afin d’appuyer une prise de décisions rapide pour permettre la prestation coordonnée et efficace des S et C;
• revoir et mettre à jour la documentation portant sur les rôles et les responsabilités, en vue de définir clairement les obligations et les responsabilités des principaux acteurs impliqués dans la gestion et l’administration des S et C;
• élaborer et mettre en œuvre des processus officiels de documentation, de surveillance, de mise à jour et de production de rapports relatifs aux risques pour le programme et aux stratégies de gestion du risque connexes;
• élaborer une stratégie complet de formation afin de soutenir une vision commune qui équilibre la responsabilisation avec les relations avec les bénéficiaires et les résultats des programmes;
• établir des processus pour documenter la justification et l’approbation du déblocage ou de la réduction des retenues, ainsi que la réduction des montants recouvrables décelés dans le cadre des audits des bénéficiaires;
• renforcer les contrôles d’accès et les pratiques de gestion du changement liés au Système de gestion d’information des subventions et des contributions.

La direction a souscrit aux recommandations présentées dans ce rapport et a élaboré un plan d’action abordant les recommandations auxquelles elle a souscrit, afin de renforcer davantage le cadre.

A - Introduction

Contexte

Subventions et contributions

1. Les subventions et contributions (S et C) font partie d’une catégorie de dépenses intitulée Paiements de transfert. Les paiements de transfert se distinguent des autres dépenses puisque le gouvernement du Canada ne reçoit pas de biens, de services ou d’actifs en retour. Le bénéficiaire de paiements de transfert utilise le financement pour des dépenses et des activités convenues qui font progresser le mandat fédéral. Les paiements de transfert sont un instrument fondamental pour produire des résultats pour les Canadiens. La Politique sur les paiements de transfert du Conseil du Trésor(la Politique) et la Directive connexe énoncent les attentes pangouvernementales à l’égard des paiements de transfert.
2. Les subventions sont différentes des contributions de par les exigences de surveillance que la politique générale du gouvernement impose aux ministères et aux bénéficiaires. Les subventions conviennent lorsque le montant du financement peut être déterminé à l’avance, et les critères d’admissibilité et les renseignements obtenus avant le paiement fournissent l’assurance que la subvention sera utilisée pour les besoins pour lesquels elle est accordée. Les contributions conviennent lorsque le ministère juge nécessaire de surveiller les progrès et les résultats, que le bénéficiaire les informe de l’utilisation des fonds, et que les ministères ont le droit d’effectuer un audit du bénéficiaire^{Note de bas de page 1}.

Subventions et contributions à l’ASPC

3. L’Agence de la santé publique du Canada (ASPC) utilise les S et C pour financer les activités des organismes communautaires, bénévoles, sans but lucratif et du secteur privé, qui appuient les politiques et les priorités gouvernementales. Au cours de l’exercice financier 2016-17, l’ASPC a géré 25 programmes de subventions et de contributions, qui ont permis de financer près de 800 bénéficiaires au pays et à l’étranger, avec des dépenses de 190 millions de dollars (tableau 1). Ces dépenses ont représenté près du tiers du budget annuel de 587 millions de dollars de l’ASPC.
4. Les S et C sont administrés et gérés dans le cadre de divers programmes des directions générales et des bureaux qui suivent :
   • Direction générale de la promotion de la santé et de la prévention des maladies chroniques (DGPSPMC);
   • Direction générale de l’infrastructure de sécurité sanitaire (DGSS);
   • Direction générale de la prévention et du contrôle des maladies infectieuses (DGPCMI);
   • Bureau des affaires internationales (BAI).

Le Bureau du dirigeant principal des finances (BDPF) appuie toutes les directions générales et tous les bureaux de l’ASPC dans l’administration des accords de subventions et de contributions.  

Tableau 1 : Subventions et contributions — Statistiques

Direction générale responsable	2015-2016				2016-2017
	Nombre de bénéficiaires	Subventions	Contributions	Total	Nombre de bénéficiaires	Subventions	Contributions	Total
DGPSPMC	625	1,2 M$	147 M$	148,2 M$	645	1,6 M$	148,1 M$	149,7 M$
DGPCMI	148	0,3 M	29 M	29,3 M	155	0,7 M	30,4 M	31,1 M
DGSS	17	S.O.	7 M	7 M	6	S.O.	6,6 M	6,6 M
BAI	4	2,8 M	14,6 M	17,4 M	7	2,1 M	0	2,1 M
Total des S et C	794	4,3 M$	197,6 M$	201,9 M$	813	4,4 M$	185,1 M$	189,5 M$
Extrait des données du système financier de l’Agence (SAP), mai 2017

Processus opérationnel des paiements de transfert

5. Le Processus opérationnel des paiements de transfert élaboré par l’ASPC décrit les étapes clés des opérations et de la gestion des S et C. Le processus est décrit plus en détail dans le Modèle de gestion des activités (MGA) des subventions et des contributions, qui documente également les obligations et les responsabilités des responsables des programmes et du Centre des subventions et des contributions (CSC) à l’égard des principaux aspects du cycle de vie des S et C.

Centre d’expertise sur les subventions et les contributions

6. Le CSC, situé au Bureau du dirigeant principal des finances (BDPF), appuie l’administration des programmes de S et C de l’ASPC. Le CSC est responsable de l’administration des accords de contribution, des paiements, de la surveillance financière et des audits des bénéficiaires.
7. Les responsables du CSC ont élaboré une série de procédures opérationnelles normalisées (PON), des renseignements et des outils pour aider le personnel de l’Agence à prendre des décisions éclairées à l’égard de la gestion et de la surveillance des programmes et des accords de S et C.

Programmes et régions

7. Le personnel du programme situé à l’administration centrale est responsable de la gestion globale des programmes, y compris la mobilisation des intervenants, la conception des programmes, l’évaluation des demandes de financement, les décisions relatives au financement, la surveillance de l’accord et des produits livrables, et l’évaluation des résultats du programme. Pour certains programmes de S et C, les régions fournissent un appui dans la prestation, la gestion et la mesure du rendement. 

Justification de l’audit

9. Les dépenses de l’Agence en S et C ont totalisé plus de 190 millions de dollars pour chacun des trois derniers exercices financiers, et représentent le mécanisme principal de mise en œuvre d’une portion importante du mandat de l’ASPC.
10. Des changements significatifs ont été apportés au cours des dernières années en vue de créer un régime à l’échelle de l’Agence pour la gestion des paiements de transfert, y compris la documentation du MGA, l’élaboration des PON, la mise en œuvre du Système de gestion d’information des subventions et contributions (SGISC) et une redistribution des rôles et des responsabilités entre les programmes, les régions et le CSC. 

B - Conclusions, recommandations et réponses de la direction

Gouvernance

Structure de surveillance

11. Nous nous attendions à constater que des mécanismes de surveillance étaient en place et fonctionnaient de manière efficace pour surveiller les programmes de subventions et de contributions (S et C) et leur donner une orientation stratégique.
12. L’ensemble des structures de gouvernance des S et C à l’ASPC étaient bien définies compte tenu de la nature très différente des programmes dans les différentes directions. La structure des comités de gouvernance de l’Agence était composée de trois niveaux de comités. Le niveau 1 comprenait la plupart des comités supérieurs de prise de décisions et d’établissement de l’orientation, et il était appuyé par les conseils et les recommandations des comités du niveau 2. Les niveaux 1 et 2 étaient également appuyés par les comités propres à l’Agence du niveau 3. Tous les niveaux de gouvernance appuyaient la surveillance entreprise au niveau des directions générales et des centres.
13. Nous avons constaté que les comités du niveau 1 et du niveau 2 étaient efficaces dans la surveillance et le suivi de la prestation des S et C à l’Agence. Les comités produisaient des rapports périodiques sur des programmes particuliers de S et C et sur les questions clés de gestion des S et C, y compris les prévisions financières, l’analyse des accords en fonction du niveau de risque, les statistiques sur les audits des bénéficiaires, les normes de services et la situation des demandes actuelles et à venir.
14. Dans les directions générales et les centres, la surveillance de la prestation des S et C était effectuée respectivement par les comités exécutifs de la Direction générale (CEDG) et les comités de haute direction.
15. L’ASPC a établi une structure de gouvernance horizontale pour les S et C au niveau 3, en faisant appel au Comité de gestion et de surveillance des subventions et des contributions (CGSSC) et au Sous-comité sur les S et C, afin d’appuyer la prestation coordonnée et efficace des S et C à l’Agence. L’examen du mandat et des procès-verbaux des comités a confirmé que les comités étaient bien représentés par la direction des centres, des régions et du Bureau du dirigeant principal des finances (BDPF). 
16. L’Agence a établi une structure horizontale appropriée, mais on a constaté que le CGSSC pourrait fonctionner de façon plus efficace en tant qu’organe décisionnel. Dans les cas où des décisions devaient être prises pour procéder à la mise en œuvre de processus clés touchant la prestation des programmes de S et C à l’Agence, un mécanisme n’existait pas pour garantir que ces questions soient transmises au CGSSC. Par conséquent, des décisions n’étaient pas prises pour régler les questions, ce qui entraînait des retards, notamment dans la diffusion du guide à l’intention des bénéficiaires, qui améliorerait la prestation des S et C.    

Recommandation 1

Le dirigeant principal des finances collabore avec les vice-présidents de la Direction générale de la promotion de la santé et de la prévention des maladies chroniques (DGPSPMC), de la Direction générale de l’infrastructure de sécurité sanitaire (DGISS) et de la Direction générale de la prévention et du contrôle des maladies infectieuses (DGPCMI) afin de réviser la structure globale de gouvernance de la gestion des S et C, y compris la nécessité du comité du niveau 3, afin de faciliter la prise de décisions en temps opportun pour appuyer la prestation coordonnée et efficace des S et C à l’Agence.

Réponse de la direction

Rôles et responsabilités

17. Les responsables des programmes, du Centre des subventions et des contributions (CSC) et des régions ont tous un rôle à jouer dans la prestation des S et C à l’ASPC. Des responsabilités et des rôles clairs doivent être définis afin que cette stratégie matricielle de prestation des S et C soit efficace.
18. Le Modèle de gestion des activités (MGA) des S et C de l’Agence a été élaboré en 2013, à partir du modèle de référence des processus opérationnels pour le S et C, publié par le Secrétariat du Conseil du Trésor (SCT). Le MGA dresse la liste des activités principales menées au cours du cycle de vie d’un programme de S et C, et il énonce les responsabilités et les obligations attribuées aux responsables des programmes, du CSC et d’autres fonctions à l’ASPC pour chaque activité. Le rôle du CSC est de superviser les fonctions administratives des S et C, tel que l’émission des accords avec les bénéficiaires, le traitement des paiements, la surveillance des bénéficiaires axée sur les risques, l’élaboration de procédures opérationnelles normalisées (PON) et l’assurance que les exigences de la Politique et de la Directive sont respectées. Le rôle des responsables des programmes, à titre d’experts en la matière, comprend la conception des programmes, les décisions relatives au financement, l’atteinte des objectifs du programme, la surveillance des activités et du rendement des bénéficiaires, la mobilisation des intervenants, la mesure du rendement du programme et le traitement des priorités de l’Agence. 
19. Pour certains programmes de S et C, on a assigné à des responsables des Opérations régionales (OR) un rôle actif dans le suivi et la surveillance des projets régionaux et l’appui aux bénéficiaires, afin de garantir que les produits livrables du projet sont réalisés. Puisque le rôle des responsables régionaux varie d’un programme à l’autre, on omet intentionnellement dans le MGA et les PON de mentionner les OR dans l’un ou l’autre des aspects de la gestion des S et C. On s’attendait à ce que les programmes utilisent les accords entre les centres et les OR pour documenter la mesure dans laquelle les OR seraient responsables d’aspects de la prestation des S et C assignés aux responsables des programmes dans le MGA ou les PON. Des accords entre les centres et les OR étaient en place jusqu’en avril 2017, mais manquaient de mesures de rendement, d’attentes précises, ainsi que des responsabilités et des rôles précis. Il a donc été difficile d’évaluer le rendement en vertu des accords et d’appliquer le principe de responsabilité de manière efficace.  
20. Le MGA et les accords entre les centres et les OR ont été élaborés à partir d’une vision théorique de la manière dont diverses parties travailleraient ensemble avec le CSC pour fournir des directives sur la politique financière et un soutien administratif et les régions pour fournir des renseignements sur les besoins communautaires et la santé publique. Après plusieurs années d’activités, l’expérience actuelle a mis en évidence des problèmes pouvant découler de la façon dont les changements dans la reddition de comptes et les rôles et responsabilités dans le cadre d’un modèle centralisé ont été communiqués. 
21. Nous avons conclu que les outils existants de l’Agence pour définir les rôles et responsabilités en matière de gestion des S et C dans le cadre d’un modèle centralisé ont entraîné une confusion et une discordance entre les obligations et les responsabilités. Bien que les programmes aient la responsabilité générale de la politique et de l’orientation du programme, ne pas avoir la pleine responsabilité d’effectuer tous les aspects de l’exécution du programme les obligeaient à compter sur leurs collègues des opérations régionales et le CSC pour obtenir du soutien. Comme ni le CSC ni les OR ne rendaient compte directement aux programmes, cette relation créait une certaine tension parmi les principaux intervenants ainsi qu’une certaine confusion quant à l’appropriation des décisions liées aux activités et aux politiques du programme, surtout lorsque la politique financière était impliquée puisque la responsabilité de celle-ci réside avec le BDPF.   

Recommandation 2

Le dirigeant principal des finances collabore avec le directeur général des Opérations régionales ainsi que les vice-présidents de la DGPSPMC), de la DGISS et de la DGPCMI, afin de préciser et de définir les structures de responsabilités et d’obligations pour toutes les parties concernées dans la gestion et l’administration des S et C.

Réponse de la direction

Gestion du risque

22. Nous nous attendions à trouver un cadre établi et efficace de gestion des risques pour les programmes de subventions et de contributions.
23. Le Guide de gestion intégrée du risque (mai 2016) du SCT précise l’importance de la gestion du risque en tant qu’élément central d’une administration publique efficace. La gestion efficace des risques contribue à une meilleure prise de décisions et à une meilleure affectation des ressources. Le Guide précise également qu’avec un ensemble cohérent et intégré de mécanismes visant à cerner les risques, à les évaluer, à y réagir, à les communiquer et à les surveiller, sous forme de processus de gestion du risque, les responsables des programmes seraient en mesure de gérer les risques de manière plus systématique.
24. Nous avons constaté qu’en 2009, l’Agence a adopté le Cadre de gestion intégrée (CGI) du portefeuille de la santé pour les subventions et les contributions. Le Cadre établit clairement les attentes à l’égard de la gestion du risque au niveau du programme. Cependant, nous avons constaté que l’Agence a concentré ses processus et ses activités de gestion du risque au niveau de l’accord.
25. Il a été déclaré dans le cadre des entrevues que les risques du programme peuvent être soulevés et abordés au cours des rencontres des comités du programme ou de la direction générale et autres tribunes connexes, mais la détection, l’évaluation et la gestion des risques au niveau du programme ne sont généralement pas établies comme étant une activité régulière, officielle et documentée.
26. Nous avons constaté qu’il existe des preuves de détection officielle des risques du programme pour seulement deux des cinq programmes examinés. Cependant, dans ces cas, il n’avait aucune preuve d’une surveillance régulière ou d’une mise à jour des risques au niveau du programme, ni de stratégie connexe de gestion du risque.

Recommandation 3

Le dirigeant principal des finances, avec le soutien du Bureau des politiques et de la planification stratégiques, collabore avec les vice-présidents de la DGPSPMC, de la DGISS et de la DGPCMI afin d’élaborer un processus officiel de documentation, de surveillance, de mise à jour et de compte rendu des risques et des stratégies de gestion du risque au niveau des programmes de S et C, conformément au CGI, qui sera mis en œuvre au sien des domaines de programme respectives de chaque vice-président.

Réponse de la direction

Contrôles internes

Éléments accompagnateurs pour le cadre de contrôle de gestion

27. Nous nous attendions à constater que le cadre de contrôle de gestion pour les S et C était accompagné de politiques, de procédures, d’outils, de lignes directrices et de formation.

Politiques, procédures, outils et lignes directrices

28. La Base de données des procédures opérationnelles normalisées (PON) sur les S et C a été élaborée par le CSC afin de documenter une approche normalisée à la gestion des programmes de S et C dans l’ensemble de l’Agence, et des PON ont été établies afin d’appuyer les activités principales du processus de S et C. La documentation de la Boîte à outils des PON résume les mesures obligatoires et les outils, accompagnés de références, pour expliquer aux utilisateurs les raisons d’une stratégie recommandée. Nous avons constaté que bon nombre des PON principales (accords de paiements de transfert, demandes, processus financiers et audits des bénéficiaires) ont fait l’objet d’un examen depuis un certain temps, ce qui pourrait être source de confusion. En plus, les responsables des programmes ont élaboré des outils et des documents d’orientation qui complètent les processus existants dans l’ensemble de l’Agence pour répondre aux besoins propres aux programmes.
29. Nous avons constaté que l’ASPC a disposé des politiques, des procédures et des pratiques qui aident à respecter les exigences de la Politique et de la Directive. Des lacunes ont été relevées à l’égard des processus explicites ou des fonctions d’orientation concernant l’évaluation du risque et la gestion axée sur les risques du programme (se reporter à la Recommandation 3). Des lacunes ont également été relevées dans les processus, les lignes directrices, ainsi que les fonctions de soutien et d’examen visant à assurer que la recherche et la conception du programme étaient effectuées de manière appropriée.
30. Le Système de gestion d’information des subventions et contributions (SGISC) est l’outil ministériel de gestion des accords de S et C. Il est utilisé pour la gestion du déroulement du travail, le traitement des transactions et le stockage des dossiers ministériels numériques pour les S et C. Le personnel du CSC dispose de privilèges d’accès pour la saisie et le téléversement de données dans le SGISC, tandis que les responsables des programmes et des OR ont un accès « lecture seule ». Les responsables des programmes et des OR envoient par courriel les documents des bénéficiaires et les formulaires d’approbation au CSC pour que le personnel les téléverse dans le SGISC. Il existe une possibilité d’amélioration de l’efficacité et de la rapidité du téléversement de documents dans le SGISC en élargissant les privilèges d’accès au personnel responsable des programmes et des OR.

Formation

31. Au niveau de l’Agence, le CSC offre une formation liée à l’utilisation des modules du SGISC. Cette formation était obligatoire pour obtenir l’accès au SGISC. Elle est axée sur les aspects techniques (aptitudes et étapes) nécessaires pour remplir le flux de diverses activités de S et C. Le CSC a également offert une formation sur la Base de données des PON ainsi que la Base de données des demandes de soumissions. 
32. Nous avons constaté que la formation relative aux programmes était principalement une formation en milieu de travail et l’encadrement de nouveaux membres du personnel par des cadres supérieurs ou des gestionnaires, accompagnée de documents d’orientation et d’outils propres au programme. En plus, de nombreux répondants aux entrevues avaient suivi le cours sur la Gestion des subventions et des contributions de l’École de la fonction publique du Canada. Le personnel du programme a exprimé le besoin d’une formation supplémentaire sur la gestion de projet, la communication efficace et les techniques de négociation.
33. Le MGA énonce précisément la nécessité d’un engagement solide à travailler de manière transparente et collaborative à tous les niveaux. Les résultats des entrevues menées dans le cadre de l’audit font ressortir qu’il n’existait pas toujours une vision commune entre les personnes concernées par la prestation des S et C à l’égard de l’équilibre entre les obligations et l’entretien de bonnes relations avec les bénéficiaires. En raison de ce déséquilibre, les relations entre les responsables du CSC, des programmes et des régions étaient parfois difficiles, ce qui entraîne des retards et des inefficacités dans la prestation des S et C. Les acteurs clés ont expliqué qu’il est nécessaire de renforcer la capacité des S et C, à tous les niveaux, au moyen du développement des compétences, des connaissances, de la compréhension des rôles internes et d’une sensibilité à l’égard du contexte dans lequel les bénéficiaires exercent leurs activités. Cela constituerait le fondement de l’établissement de relations efficaces, tout en garantissant le respect des exigences relatives aux paiements de transfert, des accords de contribution ainsi que l’utilisation prudente et efficace des fonds publics.

Recommandation 4

Le dirigeant principal des finances collabore avec les vice-présidents de la DGPSPMC, DGISS et de la DGPCMI afin d’élaborer une stratégie globale de formation visant à appuyer une vision commune qui équilibre les obligations avec les relations avec les bénéficiaires et les résultats du programme.

Réponse de la direction

Planification et mise en œuvre des programmes

34. Nous nous attendions à constater que des processus de conception, de planification et de mise en œuvre des programmes de S et C sont établis et efficaces.

Conception et approbation des programmes

35. Le MGA décrit la responsabilité et les étapes élémentaires de conception et de restructuration des programmes. Étant donné le modèle centralisé d’administration de S et C axé sur la mise en œuvre du programme, il n’existe aucun document détaillé fournissant une orientation afin de garantir que l’on fait preuve de diligence raisonnable dans l’élaboration et le renouvellement des programmes de S et C, conformément à la Politique. En s’attendant à ce que les programmes travaillent directement avec les organismes centraux, les responsables des programmes dépendent surtout de l’appui officieux du personnel de l’Agence ou de l’expérience antérieure pour obtenir une orientation au cours du processus.  
36. En ce qui concerne les nouveaux programmes, les gestionnaires des programmes ont effectué de la recherche dans le milieu de la santé publique afin de recueillir de l’information fondée sur des données probantes et de définir les questions, les besoins, les lacunes et les similarités, et ils ont mobilisé les intervenants externes. Cependant, les responsables des programmes n’ont aucun processus solide sur lequel s’appuyer pour analyser les paiements de transfert et déterminer s’ils représentent une méthode appropriée et efficace d’atteindre les objectifs du programme.  
37. Lorsqu’un concept de programme était élaboré, le processus de présentation de l’information pertinente en vue de l’approbation par le ministre et de la présentation au Conseil du Trésor est bien défini. La Division de la gestion et de l’analyse des ressources (DGAR) du BDPF oriente le processus de présentation au moyen d’une série d’examens et d’autorisations internes, ainsi que de l’examen et de l’approbation du SCT.
38. Les responsables des programmes ont déclaré que les évaluations constituaient l’une des principales raisons de la refonte d’un programme, puisqu’ils évaluent la nécessité de maintenir le programme, sa concordance avec les priorités gouvernementales et l’atteinte des résultats prévus.

Processus de planification pour les programmes de S et C

39. La planification des programmes de S et C était saisie dans les activités de planification des directions générales et des centres correspondants. Chaque centre a préparé des plans de travail à partir de modèles normalisés qui consolident les activités planifiées, les jalons, les produits livrables et les échéances des programmes. Les plans opérationnels des directions générales (PODG) ont consolidé et enrichi la planification dans les centres afin d’établir un lien entre la planification des directions générales et des centres et le mandat, les résultats stratégiques et les priorités annuelles de l’Agence. Les PODG ont été examinés et approuvés par les Comités exécutifs de la direction générale (CEDG). Un processus d’examen effectué au cours de l’année représente un moyen efficace d’identifier les retards dans l’atteinte des jalons et les attentes budgétaires.
40. Le processus annuel de planification régionale comprend des communications entre les responsables des programmes, des centres et des régions au sujet des activités que les responsables des OR doivent mener à la demande des centres. Chaque région a préparé un plan de travail détaillé décrivant les tâches à effectuer pour chaque centre et les ressources nécessaires pour effectuer ces tâches. Un examen des plans régionaux de 2017-18 a révélé que les plans étaient complets et intégraient les activités et les produits livrables clés, y compris les activités de surveillance des bénéficiaires et de mobilisation des intervenants menées au nom des responsables des programmes de S et C.

Visibilité du programme

41. Les responsables des programmes utilisent une variété de mécanismes pour rendre accessible l’information sur les demandes de soumissions aux demandeurs potentiels. Les responsables des programmes ont souvent diffusés l’information sur les demandes de soumissions à venir au moyen de réseaux, de bulletins et d’autres médias qui ont fournis un lien vers les organismes œuvrant dans ce secteur particulier de santé publique. Le site Web du gouvernement du Canada a été utilisé pour fournir de l’information publique, y compris une description de chaque programme, les critères d’admissibilité, le processus de demande, des exemples de projets approuvés et les coordonnées de personnes-ressources pour les questions de suivi. Cependant, il était difficile de trouver les renseignements sur le site Web du gouvernement du Canada, et certains renseignements étaient obsolètes.

Demandes de soumissions dans le cadre du programme et sélection des bénéficiaires

42. Nous avons constaté que les responsables des programmes ont établis des groupes d’évaluation et des comités pour évaluer les demandes. Le cas échéant, les groupes et les comités étaient composés de membres externes, ce qui renforce un processus d’évaluation juste et transparent. Un processus était également en place pour que les membres des comités déclarent les conflits d’intérêts.
43. Les responsables de programmes ont élaboré des processus clairs pour l’évaluation des demandes de projet au moyen de l’utilisation de guides du programme et d’outils d’évaluation. L’analyse d’un échantillon d’évaluations provenant de cinq programmes a révélé que même si la majorité des évaluations étaient documentées, la justification des recommandations de financement n’était pas toujours rigoureuse. Par exemple, au cours d’un cycle récent de financement, l’évaluation des réalisations attendues des bénéficiaires à partir des fonds transitoires et leur respect du budget approuvé était faible. En plus, nous avons constaté que le rendement antérieur des bénéficiaires (présentations des rapports en temps opportun, responsabilité financière et atteinte des objectifs du projet) n’a pas toujours été pris en compte officiellement dans la décision de renouveler les accords de financement, malgré la probabilité qu’une relation continue comporte un risque élevé de non-conformité dans le cadre de l’accord et ne respecte pas les principes de saine gérance.  Même si le risque de non-conformité fondé sur le rendement antérieur ne faisait pas partie de la prise de décision, il a été pris en compte adéquatement dans la stratégie axée sur le risque pour la surveillance et les rapports.  
44. Dans l’ensemble, nous avons conclu que les responsables des programmes avaient établi des structures satisfaisantes et des processus pour garantir que la sélection des projets et des bénéficiaires est objective, juste, transparente et documentée.    

Accords de contribution

45. Des modèles d’accords de contribution (AC) ont été élaborés par le CSC, conjointement avec les Services juridiques, afin de garantir le respect des exigences de la Politique et de la Directive. Les modèles étaient hébergés dans le SGISC pour le contrôle de la version. Tout écart aux modèles normalisés devait être justifié et approuvé. Une fois l’AC approuvé, les responsables du CSC et du programme ont organisé une conférence téléphonique avec le bénéficiaire afin d’examiner l’intégralité de l’accord de contribution, afin de garantir que les bénéficiaires ont compris les exigences relatives aux activités et à la production de rapports conformément à cet accord ayant force obligatoire.

Gestion du programme, surveillance et production de rapports

46. Nous nous attendions à constater que des processus de surveillance et de gestion du programme, ainsi que de production de rapports étaient établis et efficaces.

Gestion et surveillance du programme

47. De façon générale, les responsables des programmes de S et C suivent un cycle annuel d’activités de gestion des accords, qui comprend l’actualisation des plans de travail des bénéficiaires au besoin, la réception et l’analyse de rapports, ainsi que l’exécution des paiements. Les responsables des programmes de S et C gèrent également des cycles pluriannuels relatifs aux exigences du programme, tels que les évaluations, la formation des bénéficiaires, la mobilisation des intervenants, le renouvellement du programme et les demandes de soumissions. Le chevauchement de ces demandes d’activités cycliques du programme avec les activités continues de gestion de l’accord a demandé une gestion prudente afin de garantir que les deux types d’activités respectent les échéances.
48. Afin de gérer les charges de travail et de cerner les nouvelles questions, les responsables des programmes utilisent une variété de bases de données, de traceurs et d’autres outils. Par exemple, une base de données des demandes de soumissions a été élaborée afin de répondre aux besoins de la haute direction  en fournissant de l’information sur les dates importantes du processus de demandes de soumissions, les étapes d’approbation et les prévisions relatives aux dépenses, réparties selon l’exercice financier.
49. Les responsables des programmes, des centres et des directions générales ont fait l’objet d’une surveillance financière rigoureuse au moyen du processus périodique de production de rapports sur les écarts financiers (REF) afin de prévoir les excédents budgétaires et de répondre aux priorités de l’Agence.

Production de rapports sur les résultats du programme

50. Les responsables des programmes ont établi des stratégies de mesure du rendement efficaces et des indicateurs de rendement afin de renforcer la production de rapports sur les résultats. Les exigences en matière de production de rapports dans l’accord de contribution représentaient les moyens principaux de solliciter et de recueillir des données auprès des bénéficiaires afin d’utiliser les indicateurs de rendement. Les responsables des programmes étaient soucieux d’équilibrer le désir d’obtenir plus de données pour renforcer l’analyse du rendement du programme avec le fardeau qui s’imposait aux bénéficiaires un suivi accru des données et des exigences accrues en matière de production de rapports. Des évaluations périodiques du programme ont fourni une analyse plus complète des résultats relatifs au rendement du programme.

Gestion des accords

Surveillance des bénéficiaires et des accords

51. Nous nous attendions à constater que la surveillance des projets et des bénéficiaires respectait une stratégie axée sur le risque et était efficace.
52. La majorité des activités de surveillance étaient déclenchées par les exigences en matière de production de rapports par les bénéficiaires. La fréquence et la nature des rapports des bénéficiaires étaient précisées à l’annexe C de l’AC, en fonction de l’Outil d’évaluation du risque relatif au bénéficiaire/à l’entente (OERBE) et de la stratégie de surveillance fondée sur les risques. Les exigences en matière de production de rapports étaient établies en tant que points de contrôle du déroulement du travail dans le SGISC, qui devaient être effectués avant l’exécution des paiements conformément à l’accord.
53. La responsabilité des activités de surveillance était partagée entre les responsables du CSC et des programmes (les régions peuvent également être concernées). Les responsables du CSC, des programmes et des régions ont tous confirmé qu’ils avaient coordonné cet examen afin que les rapports financiers et d’activités soient comparés de manière à dégager les différences ou les préoccupations. Les responsables des programmes et des régions ont effectué des visites sur les lieux et organisé des téléconférences avec les bénéficiaires afin de renforcer la surveillance effectuée au moyen de rapports écrits. Les responsables du CSC ont fait preuve de diligence raisonnable dans l’examen des données financières de bénéficiaires particuliers.
54. En cas de non-conformité des bénéficiaires (c.-à-d. des rapports non présentés ou des activités convenues non réalisées), les responsables des programmes et du CSC ont suivi les Lignes directrices sur la conformité, qui décrivent les mesures de gestion et les exigences appropriées pour transmettre la question à la haute direction. 
55. Notre analyse d’un échantillon d’activités de surveillance des accords a révélé que ces activités étaient fondées sur le profil de risque du bénéficiaire et favorisaient de manière efficace le respect de l’accord.

Retenues

56. Dans le cadre de la stratégie de surveillance fondée sur les risques, le CSC a établi une politique selon laquelle l’Agence a le droit de retenir jusqu’à 10% de la contribution de la dernière année de financement qui ne devrait être libérée qu’une fois le projet terminé et que l’Agence est satisfaite des exigences du bénéficiaires. Dans le cas des projets dont on recommande le renouvellement, le montant de la retenue est réappliqué au dernier paiement du nouveau cycle.  Des entrevues menées auprès des responsables du CSC et des programmes ont révélé que la retenue de 10% peut être réduite si les bénéficiaires éprouvent des difficultés financières. Notre analyse d’un échantillon de 20 ententes a révélé que les retenues étaient retenues pour chaque entente et que le pourcentage variait entre 6% et 10%. Cependant, nous avons relevé deux cas où des retenues pour des projets non-renouvelés ont été débloquées avant l’approbation des rapports finaux. Cela diminue donc les moyens de négociation de l’Agence visant à garantir que le bénéficiaire respecte les conditions de l’AC et à éviter un trop-payé. Nous avons constaté que ces écarts par rapport à la stratégie n'étaient pas toujours correctement documentés.

Audits des bénéficiaires

57. Dans le cadre du plan global de surveillance des bénéficiaires, certains bénéficiaires ont fait l’objet d’audits. Le plan d’audit des bénéficiaires vise effectuer 25 audits chaque année, mais en raison du manque de personnel, seulement 10 à 12 audits ont été effectués au cours de la dernière année. Chaque rapport d’audit des bénéficiaires a été présenté au directeur du programme respectif à des fins de commentaire, et pour établir un plan financier avec le bénéficiaire en vue de récupérer un trop-payé. Dans le cadre d’entrevues et d’une analyse documentaire, nous avons constaté que les responsables des programmes ont souvent réduit le montant récupérable établi par les responsables du CSC avec une documentation limitée pour le changement. Les programmes ont indiqué que les raisons des réductions étaient notamment les suivantes : divers coûts non éligibles n’avaient pas encore été communiqués aux bénéficiaires; ambiguïté concernant les conditions des frais prépayés; et coûts encourus dans la mauvaise année en raison d’erreurs administratives. Le caractère approprié des montants recouvrables n’a pu être complètement évalué étant donné qu’il n’y avait pas de processus clair permettant aux programmes de documenter leur processus décisionnel dans le but d’obtenir une approbation.

Recommandation 5

Le dirigeant principal des financesétablit des processus pour documenter la justification et l’autorisation de verser ou de réduire les retenues, ainsi que de réduire les montants récupérables établis dans le cadre des audits des bénéficiaires.

Réponse de la direction

Contrôles d’accès des utilisateurs

58. Nous nous attendions à constater que des processus pour contrôler l’accès au Système de gestion d’information des subventions et contributions (SGISC) étaient établis et efficaces.
59. Un processus était en place pour contrôler l’accès au SGISC. Cependant, il est possible d’améliorer le processus pour atténuer davantage les risques potentiels liés à l’accès des utilisateurs.
60. Le SGISC représente le système principal utilisé pour gérer les S et C à l’ASPC. Le système automatise les processus opérationnels liés aux paiements de transfert et sert à gérer les accords de financement et l’information pertinente. Ses fonctions présentent des avantages importants visant à améliorer l’efficacité globale, le contrôle et la responsabilisation, notamment dans les domaines suivants :
    • création et gestion des accords de financement, modifications et ajustements, y compris les contrôles intégrés liés à l’utilisation des modèles d’accords de contribution (AC) et au suivi des processus d’autorisation;
    • gestion des transactions financières et des rapports au moyen d’une interface avec le système financier du ministère;
    • présentation, examen et approbation des exigences en matière de rapport pour les bénéficiaires.
61. Le SGISC est hébergé, géré et administré par Affaires autochtones et du Nord Canada (AANC). L’ASPC a accès au SGISC dans le cadre d’un accord de service interministériel.
62. Le processus visant à donner accès au SGISC est régi par le cadre de sécurité et d’accès des utilisateurs aux applications financières d’AANC, qui décrit les exigences et les contrôles pour l’accès des utilisateurs aux systèmes financiers chez AANC. Les utilisateurs à qui est accordé l’accès à ces systèmes doivent satisfaire aux exigences d’autorisation de sécurité.
63. Au moment de l’audit, les Services de gestion des paiements de transfert (SGPT) de la Direction générale du dirigeant principal des finances de Santé Canada (SC) géraient les activités suivantes liées aux contrôles d’accès des utilisateurs pour les employés de l’ASPC :
    • gestion des protocoles d’accès des utilisateurs pour le SGISC, y compris divers formulaires connexes;
    • création et administration des comptes utilisateur pour l’environnement SGISC;
    • coordination des examens opérationnels périodiques avec les utilisateurs autorisés, et communication rapide à l’AANC des modifications requises aux autorisations utilisateur;
    • coordination des examens périodiques de l’information du SGISC.
64. Les gestionnaires de l’ASPC ont approuvé l’accès utilisateur accordé à chacun des membres du personnel de l’ASPC en demandant que les responsables des SGPT activent certains rôles et autorisations d’utilisateur. Les gestionnaires de l’ASPC étaient également responsables d’aviser les SGPT lorsque ces rôles et autorisations devaient être modifiés.
65. Des entrevues ont été menées auprès des gestionnaires fonctionnels de l’ASPC et des SGPT. Un échantillon des formulaires de contrôle d’accès et une liste des utilisateurs du SGISC ont également été examinés, ainsi que la documentation liée à la gestion des comptes utilisateur, fournis par les SGPT. L’accès au SGISC et son utilisation s’appuyaient sur les autorisations et les rôles établis des utilisateurs, tels qu’ils sont définis par le fournisseur de service. Cependant, dans le cadre de l’audit, on a observé les éléments suivants qui révèlent que le processus de gestion de l’accès continu au système par les utilisateurs actuels devrait être amélioré :
    • à partir d’un échantillon de neuf utilisateurs examinés à l’ASPC, nous avons relevé quatre cas où le gestionnaire a confirmé que les privilèges de compte utilisateur accordés ne correspondaient plus au poste de la personne ou que les employés avaient accès au SGISC pendant une affectation ou un congé de maternité;
    • un examen de l’accès au SGISC accordé à tous les membres du personnel de l’ASPC est mené uniquement une fois par année. Les pratiques exemplaires du secteur sur la gestion des comptes demandent que des examens de l’accès utilisateur soient effectués plus souvent;
    • les profils d’accès utilisateur ne sont pas tous appuyés par des formulaires de contrôle d’accès actualisés;
    • on attribue le statut « inactif » aux comptes utilisateur après 90 jours d’inactivité, mais ils ne sont pas automatiquement désactivés, et une personne peut le réactiver au moyen du mot de passe d’accès antérieur.
66. Les lacunes décrites ci-dessus représentant un niveau de risque excessif d’accès non autorisé ou inapproprié au SGISC, ce qui pourrait avoir des répercussions sur l’accessibilité, la confidentialité et l’intégrité des données. Il faut noter qu’à la suite des activités d’audit sur le terrain, à partir du 21 août 2017, AANC a repris les rôles et les responsabilités en lien avec la gestion de l’accès au SGISC assumés auparavant par les SGPT. Il faut également noter qu’à la suite des activités d’audit sur le terrain, le processus annuel d’examen des comptes utilisateur à l’ASPC a été renforcé avec l’ajout de profils des utilisateurs du système dans le cadre de l’échange d’information visant à confirmer l’accès utilisateur des unités opérationnelles. 
67. En conclusion, des améliorations peuvent être apportées afin de garantir que l’accès au SGISC est géré conformément au cadre de sécurité et d’accès des utilisateurs aux applications financières, et d’une manière qui atténue davantage les risques liés à l’accès.

Recommandation 6

Le dirigeant principal des financesveille à ce que les contrôles de l’accès des utilisateurs au SGISC sont renforcés. Voici d’autres mesures qui renforceraient les contrôles existants :

• un processus officiel visant à garantir la communication rapide par les propriétaires fonctionnels au fournisseur de service des modifications à apporter à l’accès utilisateur, renforcé par une communication appropriée des responsabilités pertinentes du gestionnaire;
• des examens et des mises à jour plus fréquents des profils d’accès utilisateur et des privilèges connexes.

Réponse de la direction

Mesures de contrôle de la gestion du changement

68. Nous nous attendions à constater que des procédures et des processus utilisés pour gérer les changements apportés au SGISC sont établis et efficaces.
69. Il avait un processus en place pour gérer les changements apportés au SGISC, mais il n’était pas toujours suivi ou l’on n’avait pas toujours recours aux pratiques de gestion du changement^{Note de bas de page 2} qui devraient être utilisées pour garantir la mise en œuvre efficace des changements apportés au SGISC.
70. Il est important de suivre un processus rigoureux de gestion du changement pour accroître la probabilité qu’un changement apporté au SGISC sera efficace. Les pratiques exemplaires de contrôle garantissent que les changements apportés aux programmes et aux composantes de l’infrastructure connexe sont demandés, autorisés, exécutés, mis à l’essai et mis en œuvre afin d’atteindre les objectifs de contrôle d’applications de la direction.
71. Voici des composantes auxiliaires caractéristiques d’une gestion des changements apportés au programme :
    • gestion des activités de maintenance;
    • description, autorisation et suivi des demandes de changements;
    • mise à l’essai et assurance de la qualité;
    • mise en œuvre à la production;
    • séparation des tâches (accès de programmeur à la production).
72. Le processus de gestion du changement pour le SGISC était décrit dans l’accord de service conclu entre AANC et l’ASPC. Il avait une structure de gouvernance en place pour gérer les changements apportés au SGISC. La structure était composée du Comité des opérations et du soutien du SGISC, du Comité consultatif de la haute direction sur le SGISC et du Comité directeur du SMA sur le SGISC, qui avaient chacun des responsabilités et des rôles distincts dans le processus global d’examen et d’autorisation.
73. Les processus entourant deux changements importants liés au SGISC et aux versions mises en œuvre en 2016-17 ont été examinés au moyen d’entrevues avec les utilisateurs fonctionnels, d’un examen de la correspondance entre les utilisateurs fonctionnels et le fournisseur de services et les comptes rendus des décisions du Comité des opérations et du soutien du SGISC et du Comité consultatif de la haute direction sur le SGISC. On a également examiné la documentation portant sur les changements apportés au SGISC au cours de la période examinée, fournie par les utilisateurs fonctionnels. Nous avons constaté que les processus et procédures de gestion des changements apportés au SGISC ne respectaient pas toujours les pratiques nécessaires, en particulier :
    • la documentation portant sur les changements apportés au SGISC, y compris l’actualisation des procédures opérationnelles normalisées connexes, n’était pas complète ou opportune;
    • des changements ont été apportés sans mise à l’essai suffisante par les utilisateurs fonctionnels qui n’ont pas eu suffisamment de temps pour effectuer des essais d’acceptation des utilisateurs, ou les utilisateurs fonctionnels n’ont pas tous participé à la mise à l’essai de la version du SGISC.
74. Des entrevues avec les utilisateurs fonctionnels et la correspondance examinée ont révélé que les lacunes du processus de gestion du changement ont touché les fonctions du SGISC, ce qui entraînait des solutions inefficaces, des difficultés à obtenir l’adhésion des utilisateurs aux changements proposés au SGISC et un manque de procédures cohérentes pour traiter les accords. Une autre difficulté que les utilisateurs ont rencontrée dans la gestion des changements apportés au SGISC était le manque de connaissances techniques internes adéquates, ce qui a limité leur capacité d’examiner les changements proposés par les administrateurs du système, et d’y contribuer de manière significative. Il a été déterminé qu’une ressource ayant une expertise dans ce domaine, notamment un analyste des systèmes de gestion, aura comblé le fossé du savoir entre les utilisateurs du système et les services de soutien technique de l’administrateur du système. En outre, on a expliqué qu’au cours de la mise en œuvre du SGISC et des étapes d’adaptation, ainsi que pendant les changements au système initial, les utilisateurs ont senti une certaine contrainte à « accepter » les changements dans les cas où leurs préoccupations ou questions n’avaient pas été complètement abordées ou réglées.   
75. Les lacunes relevées ci-dessus a augmenté le risque que les utilisateurs deviennent insatisfaits et décident de contourner les mesures de contrôle ou adoptent des systèmes secondaires pour gérer les S et C, ce qui pourrait avoir, dans les deux cas, des répercussions négatives sur l’intégrité de l’information dans le SGISC et sur l’efficacité des opérations. 
76. Nous avons conclu que des améliorations doivent être apportées au processus de gestion du changement lié au SGISC.

Recommandation 7

Le dirigeant principal des financeset le fournisseur de service veillent à ce que les changements apportés au SGISC qui touchent les activités de l’ASPC sont renforcés au moyen d’essais des utilisateurs appropriés à l’ASPC, qui comprennent une participation appropriée des techniciens spécialisés de l’ASPC et sont accompagnés d’une mise à jour de la documentation du système en temps opportun.

Réponse de la direction

C - Conclusion

76. Nous avons constaté qu’un cadre de contrôle de la gestion adéquat est en place, y compris des processus de gouvernance et de gestion du risque, ainsi que les contrôles internes connexes appuyant la gestion efficace des subventions et des contributions (S et C). Voici des secteurs où des processus efficaces et de bonnes pratiques de gestion ont été observés :
    • mécanismes appropriés de production de rapports destinés à la haute direction, au moyen de processus officiels et officieux, qui font ressortir la situation opérationnelle et les difficultés en vue de la prise de décisions;
    • orientation claire et complète fournie aux responsables des programmes, avec l’appui du Centre des subventions et des contributions (CSC) et les secteurs fonctionnels de toutes les directions générales, qui permettent de répondre aux exigences de la Politique et de la Directive;
    • un processus de planification solide qui démontre que les activités planifiées cadrent avec les priorités du Ministère et des directions générales, et qui est efficace dans la gestion des ressources financières;
    • la mise en œuvre d’une stratégie globale de surveillance fondée sur les risques pour les bénéficiaires des accords. 
77. Toutefois, des possibilités de remédier aux insuffisances ont été identifiées dans les domaines suivants : 
    • mettre à jour la structure de gouvernance de niveau 3 afin d’appuyer une prise de décisions rapide pour permettre la prestation coordonnée et efficace des S et C;
    • mettre à jour la consignation des rôles et des responsabilités, en vue de définir clairement les obligations et les responsabilités des principaux acteurs impliqués dans la gestion et l’administration des S et C;
    • élaborer et mettre en œuvre des processus officiels de documentation, de surveillance, de mise à jour et de production de rapports, relatifs aux risques pour le programme et aux stratégies de gestion du risque connexes;
    • élaborer une stratégie complet de formation afin de soutenir une vision commune qui équilibre la responsabilisation avec les relations avec les bénéficiaires et les résultats des programmes;
    • établir des processus pour documenter la justification et l’approbation du déblocage ou de la réduction des retenues, ainsi que la réduction des montants recouvrables décelés dans le cadre des audits des bénéficiaires;
    • renforcer les contrôles d’accès et les pratiques de gestion du changement, liés au Système de gestion d’information des subventions et des contributions.
78. Les possibilités d’amélioration mises en évidence dans le présent rapport d’audit renforceront collectivement l’efficacité du cadre de contrôle pour le programme et les fonctions de gestion des accords de financement à l’Agence.

Annexe A — Grille d’évaluation

Audit de la gestion des subventions et contributions à l’Agence de la santé publique du Canada

Critère	Cote	Conclusion	No de la rec.
Gouvernance
1.1 Gouvernance/ surveillance	Une déficience majeure	Des structures de gouvernance sont en place, mais l’efficacité de la structure horizontale de niveau 3 doit être améliorée. La documentation portant sur les rôles et les responsabilités devrait être mise à jour afin de définir clairement les obligations et les responsabilités.	1 et 2
Gestion du risque
2.1 Gestion du risque	Une déficience majeure	Il existe un niveau élevé de connaissances des risques, mais il devrait être renforcé par des exigences relatives à la documentation et à la mise à jour des risques et des stratégies de gestion du risque, et à la production de rapports sur ceux-ci, au niveau de chaque programme.	3
Contrôles internes
3.1 Éléments accompagnateurs pour le cadre de contrôle de gestion	Déficiences mineures	Le cadre de contrôle de gestion est accompagné de politiques, de procédures, de systèmes, d’outils et de lignes directrices. On pourrait réaliser une efficacité accrue en permettant aux responsables des programmes et des OR de téléverser des documents dans le SGISC. Le cadre devrait être renforcé au moyen d’une stratégie globale de formation afin de soutenir une vision commune qui équilibre la responsabilisation avec les relations avec les bénéficiaires et les résultats des programmes.	4
3.2 Planification et mise en œuvre des programmes	Aucune déficience	Des processus de conception, de planification et de mise en œuvre des programmes sont établis et efficaces.
3.3 Gestion du programme, surveillance et production de rapports	Aucune déficience	Des processus de gestion du programme, de surveillance et de production de rapports sont établis et efficaces.
3.4 Gestion des accords	Une déficience majeure	Des processus de gestion des accords sont établis et intégrés au SGISC. Les retenues sont comprises dans les conditions de l’accord, mais elles ne sont peut-être pas utilisées de manière efficace. Les responsables des programmes devraient documenter la justification d’une réduction des montants recouvrables établis dans le cadre des audits des bénéficiaires.	5
3.5 CGTI – Contrôles d’accès des utilisateurs	Déficiences mineures	Un processus est en place pour donner accès au SGISC en fonction des rôles d’utilisateur et des autorisations définies. Il existe une possibilité de renforcer la gestion de l’accès utilisateur continu au système, au moyen d’un processus plus officiel de communication aux administrateurs du système des modifications apportées à l’accès des utilisateurs et de la tenue d’examens plus fréquents de l’accès des utilisateurs.	6
3.6 CGTI – Mesures de contrôle de la gestion du changement	Une déficience majeure	Il existe un processus pour gérer les changements au SGISC. Le processus devrait être amélioré afin de garantir que l’acceptation et la mise en œuvre des changements sont bien renforcées au moyen d’essais des utilisateurs à l’ASPC, qui comprennent une participation appropriée des techniciens spécialisés de l’ASPC et sont accompagnés d’une mise à jour de la documentation du système en temps opportun.	7

Annexe B — À propos de l’audit

Objectif de l’audit

L’audit visait à évaluer l’efficacité du cadre de contrôle de gestion, lié à la gouvernance, à la gestion des risques et aux contrôles internes relatifs à la gestion du programme et aux fonctions de gestion des accords de financement, conformément à la Politique sur les paiements de transfert et la Directive sur les paiements de transfert du Conseil du Trésor.

Portée de l’audit

L’audit portait sur le programme de subventions et de contributions (S et C) et aux processus de gestion des accords de financement en place, ainsi que sur les activités entreprises, au cours des exercices financiers de 2015-16, de 2016-17 et le premier trimestre de 2017-18. La portée visait notamment les trois directions générales qui gèrent les programmes de subventions et de contributions les plus importants, soit la Direction générale de la promotion de la santé et de la prévention des maladies chroniques (DGPSPMC), la Direction générale de la prévention et du contrôle des maladies infectieuses (DGPCMI) et la Direction générale de l’infrastructure de sécurité sanitaire (DGSS), ainsi que le Bureau du dirigeant principal des finances (BDPF), qui fournit des services de soutien centralisés.

Les mesures de contrôle au niveau des programmes et des accords ont été mises à l’essai dans cinq programmes de S et C tirés du nombre total de programmes de S et C, à l’exception du Programme de subventions internationales à la santé du Bureau des affaires internationales (BAI). Les critères utilisés pour sélectionner les programmes de l’échantillon ont permis de garantir que plusieurs directions générales étaient représentées et que divers programmes en faisaient partie (nouveau programme ou programme modifié, important sur le plan financier, plusieurs bénéficiaires, participation régionale). Voici les cinq programmes sélectionnés : Centres de collaboration nationale en santé publique; Partenariats de vaccination; Fonds d’initiatives communautaires; Programme d’aide préscolaire aux Autochtones dans les collectivités urbaines et nordiques et Stratégie d’innovation.  

L’audit comprenait également l’examen des contrôles généraux liés à la technologie de l’information (CGTI) pour le Système de gestion d’information des subventions et contributions (SGISC), le système utilisé pour gérer l’administration des S et C à l’ASPC. Puisque le SGISC est une application hébergée et gérée par AANC, la portée de l’examen des CGTI se limitait à la sélection de contrôles de TI liés à la gestion des comptes utilisateur et à la gestion du changement, pour lesquelles l’ASPC pourrait exercer un contrôle important. Par conséquent, les contrôles de TI liés aux opérations informatiques et à la gestion de la configuration gérés par AANC et Services partagés Canada n’ont pas été examinés.

Méthode d’audit

L’audit a été effectué à l’administration centrale de l’ASPC, dans la région de la capitale nationale.

Les procédures employées pour obtenir des éléments probants comprenaient, sans s’y limiter :

• des entrevues téléphoniques et en personne avec les principaux membres du personnel des directions générales, des régions, des programmes et du CSC;
• un examen et une analyse des documents du cadre, des politiques, des plans, des directives, des procédures, des outils, des documents d’orientation et de formation, des mandats, des ordres du jour et des procès-verbaux de comités de gouvernance, des évaluations du risque, des documents de surveillance et sur la production de rapports, ainsi que des dossiers de bénéficiaires particuliers.

L’examen des CGTI liés au SGISC s’appuyait sur le cadre intitulé Control Objectives for Information and related Technology (objectifs de contrôle de l’information et des technologies associées). Des entrevues et des procédures d’essais ciblés en faisaient partie.

Secteurs d’intérêt et critères

Audit de la gestion des subventions et des contributions

Titre du critère	Critères d’audit
Gouvernance
1.1 Surveillance de programme	Des mécanismes de surveillance sont en place et fonctionnent de manière efficace pour fournir une orientation stratégique et une surveillance pour les programmes de subventions et de contributions.
Gestion du risque
2.1 Cadre de gestion du risque	Un cadre de gestion des risques pour les programmes de subventions et de contributions est établi et efficace.
Processus de contrôle interne
3.1 Éléments accompagnateurs pour le cadre de contrôle de gestion	Le cadre de contrôle de gestion est accompagné de politiques, de procédures, de normes, d’outils, d’une formation et de lignes directrices.
3.2 Planification et mise en œuvre du programme	Des processus de conception, de planification et de mise en œuvre des programmes de S et C sont établis et efficaces.
3.3 Gestion du programme, surveillance et production de rapports	Des processus de surveillance et de gestion du programme ainsi que de production de rapports sont établis et efficaces.
3.4 Gestion des accords	Les activités liées au projet et aux bénéficiaires respectent une stratégie axée sur le risque et sont efficaces.
3.5 CGTI — Contrôles d’accès des utilisateurs	Des processus pour contrôler l’accès au Système de gestion de l’information — subventions et contributions (SGISC) sont établis et efficaces.
3.6 CGTI — Mesures de contrôle de la gestion du changement	Des procédures et des processus utilisés pour gérer les changements apportés au Système de gestion de l’information sur les subventions et contributions sont établis et efficaces.

Énoncé de conformité

Selon le jugement professionnel du dirigeant principal de la vérification, des procédures suffisantes et appropriées ont été suivies, et des preuves ont été recueillies pour attester de l’exactitude de la conclusion de l’audit. Les constatations et la conclusion de l’audit sont fondées sur une comparaison des conditions qui existaient à la date de l’audit, par rapport à des critères établis en collaboration avec la direction. De plus, les renseignements probants ont été réunis conformément aux Normes relatives à la vérification interne au sein du gouvernement du Canada et aux Normes internationales pour la pratique professionnelle de la vérification interne. L’audit respecte les Normes relatives à la vérification interne au sein du gouvernement du Canada, comme viennent l’appuyer les résultats du programme d’amélioration et d’assurance de la qualité.