CHAPITRE 3  - ATTESTATIONS D'ORGANISATION
PARTIE II - ATTESTATION DE SÉCURITÉ D'INSTALLATIONS (CLASSIFIÉES)

350. GÉNÉRALITÉS

1. L'attestation de sécurité d'installations (au niveau CLASSIFIÉ est une décision administrative confirmant que l'organisation peut, au plan de la sécurité, avoir accès à des PROTÉGÉ et CLASSIFIÉS appartenant à un niveau de classification identique ou inférieur à celui de l'attestation délivrée. La partie II du présent chapitre porte sur l'accès aux renseignements et aux biens CLASSIFIÉS. Dans les cas où l'organisation doit avoir accès à des renseignements et à des biens PROTÉGÉS, il convient de consulter la partie I du présent chapitre. Avant qu'on puisse attribuer à l'organisation des contrats CLASSIFIÉS, elle doit justifier d'une attestation de sécurité d'installations.
   
   
2. Certains particuliers doivent justifier d'une attestation de sécurité d'installations. On les appelle les « cadres supérieurs clés ». Il s'agit notamment de l'agent de la sécurité de l'entreprise et des propriétaires, des dirigeants, des administrateurs, des cadres et des associés qui occupent des postes pouvant leur permettre d'exercer une influence sur les politiques ou les pratiques de l'organisation dans l'exécution des contrats CLASSIFIÉS. L'organisation doit désigner ses cadres supérieurs clés et faire connaître leur nom à l'agent local de la sécurité industrielle compétent. La DSICI se réserve le droit de remettre en question la liste des cadres supérieurs clés de l'organisation et d'exiger que cette dernière y apporte des modifications ou y exclut des noms. (Veuillez consulter les annexes 3-A et 3-B, respectivement, dans le présent chapitre pour connaître les niveaux précis d'attestations dont doivent justifier les cadres supérieurs clés, l'agent de la sécurité de l'entreprise et les employés qui doivent avoir accès à des renseignements ou à des biens pour chaque niveau et chaque type d'attestation de sécurité d'installations.)
   
   
3. Les organisations doivent obtenir à tout le moins, pour leurs cadres supérieurs clés, une attestation de sécurité au niveau de classification exigé avant qu'on leur délivre une attestation de sécurité d'installations.
   
   
4. Normalement, l'organisation doit justifier d'une attestation de sécurité d'installations avant de pouvoir obtenir des cotes de sécurité du personnel pour les employés autres que des cadres supérieurs clés. Elle peut déposer parallèlement des demandes d'attestation pour d'autres employés; toutefois, les employés ne seront autorisés à consulter les renseignements ou à utiliser les biens que lorsqu'ils justifieront de l'attestation de sécurité d'installations.
   
   
5. Pour l'établissement de l'attestation de sécurité d'installations, le siège social au Canada sera inspecté; s'il faut conserver des documents classifiés à ce siège social, il sera inspecté, et l'attestation de sécurité d'installations comprendra une attestation de sécurité d'emplacement pour ce siège social. En outre, il faudra procéder à une inspection distincte et délivrer une attestation de site différente pour chaque établissement supplémentaire dans lequel on conserve ou traite des renseignements ou des biens classifiés.
   
   
6. L'attestation de sécurité d'installations est délivrée d'après l'évaluation des éléments suivants :
   
   
   1. l'organisation n'est pas soumise à une influence étrangère;
      
      
   2. on peut faire confiance aux propriétaires, ou dirigeants, aux administrateurs, aux cadres supérieurs et aux associés de l'organisation pour qu'ils participent à des contrats CLASSIFIÉS;
      
      
   3. l'organisation peut protéger les renseignements ou les biens CLASSIFIÉS dans ses installations (le cas échéant).
      
      
7. Le directeur de la DSICI fera savoir par écrit à l'organisation si on lui a délivré une attestation de sécurité d'installations.
   
   
8. Lorsqu'une attestation de sécurité d'installations lui est délivrée, l'organisation peut demander qu'on délivre cette attestation à ses employés n'importe où au Canada.

351. DE SÉCURITÉ DU PERSONNEL POUR LES CADRES SUPÉRIEURS CLÉS

1. L'agent de sécurité de l'entreprise doit tenir à jour la liste de tous les cadres supérieurs clés et en soumettre un exemplaire à la DSICI chaque fois qu'on la modifie. Cette liste doit comprendre le nom et le titre des cadres supérieurs clés qui possèdent une cote de sécurité, de ceux qui ne la possèdent pas encore, mais dont la demande est traitée et de ceux qui ont été exclus parce qu'ils ne peuvent avoir accès à des renseignements CLASSIFIÉS.
   
   
   1. Exclusion des cadres supérieurs clés. Lorsque le gouvernement doit, de toute urgence, délivrer une attestation de sécurité d'installations à une organisation, la DSICI peut temporairement renoncer à l'exigence selon laquelle tous les cadres supérieurs clés doivent justifier d'une cote de sécurité avant qu'on leur délivre une attestation de sécurité d'installations. On fait appel au processus d'exclusion de cadres supérieurs clés pour permettre à l'organisation :
      
      
      1. de recevoir une demande de propositions (DDP) ou d'autres documents précontractuels renfermant des documents CLASSIFIÉS;
         
         
      2. de se faire attribuer un contrat CLASSIFIÉ;
         
         
      3. de poursuivre l'exécution des contrats malgré une prise de contrôle de l'entreprise.
         
         
   2. Il doit exister des procédures de sécurité au sein de l'organisation, pour s'assurer que les cadres supérieurs clés exclus n'ont pas accès aux renseignements et aux biens CLASSIFIÉS. L'exclusion n'entre pas en vigueur tant qu'elle n'a pas été approuvée officiellement par le directeur de la DSICI, qui détermine également le nombre permis de cadres supérieurs clés exclus dans chaque cas particulier. Si le poste ou les responsabilités du cadre exclu changent au sein de l'organisme, l'agent de sécurité de l'entreprise doit prévenir la DSICI, qui revoit l'exclusion. Les exclusions ne sont normalement pas approuvées pour le président-directeur général de l'organisation.

352. ORGANISATIONS PARENTES

1. Lorsque l'organisation doit obtenir une cote de protection des documents CLASSIFIÉS, son organisation parente doit elle aussi (le cas échéant) justifier d'une attestation de sécurité d'installations au même niveau ou se voir refuser l'accès aux renseignements et aux biens CLASSIFIÉS détenus par l'organisation filiale. Dans les cas où il faut exclure une société mère, l'organisation doit soumettre les formulaires suivants, qui doivent être remplis en bonne et due forme:
   
   
   1. « Résolution pour l'exemption de l'organisation mère » (cf. annexe 3-D de ce chapitre);
      
      
   2. « Certificat de non-divulgation » (cf. annexe 3-E de ce chapitre);
      
      
   3. « Résolution du conseil d'administration de la filiale notant l'exclusion de la société mère et résolution visant à exclure l'organisation mère » (cf. annexe 3-F de ce chapitre).
      
      
2. L'exclusion d'une organisation mère n'entre pas en vigueur tant qu'elle n'est pas approuvée officiellement par le directeur de la DSICI, qui décide si l'exclusion de l'organisation parente est justifiée par des motifs valables.

353. PROPRIÉTÉ, CONTRÔLE ET INFLUENCE DE L'ÉTRANGER (PCIE)

1. Dans certains cas, par exemple lorsqu'il faut participer à des contrats et à des programmes relatifs à la sécurité de l'information, de nature extrêmement délicate (INFOSEC), il faut évaluer plus en détail la propriété de l'organisation et l'importance de l'influence exercée par les propriétaires et la haute direction. Dans ces cas, l'organisation doit fournir des détails complets sur :
   
   
   1. sa structure institutionnelle, jusqu'au niveau de sa propriété ultime (directe ou indirecte);
      
      
   2. ses administrateurs ou dirigeants étrangers;
      
      
   3. le contrôle ou l'influence effectif ou potentiel de l'étranger dans l'élection, la nomination ou la durée des fonctions des administrateurs ou des dirigeants;
      
      
   4. la propriété des intérêts étrangers;
      
      
   5. les contrats, accords, conventions ou ententes avec l'étranger;
      
      
   6. la dette étrangère ou les sources de revenus étrangères;
      
      
   7. les liens entre les administrateurs et les intérêts étrangers.
      
      
2. L'existence de la propriété, du contrôle ou de l'influence de l'étranger n'interdit pas en soi à l'organisation d'être titulaire d'une attestation de sécurité d'installation. Chaque cas est évalué individuellement. Dans les cas où la propriété, le contrôle ou l'influence de l'étranger fait l'objet d'une évaluation défavorable, on discute des détails avec l'organisation pour savoir si on peut prendre certaines mesures afin de se prémunir contre les risques ou de les ramener à un niveau satisfaisant.

354. CONSERVATION ET GARDE DES RENSEIGNEMENTS ET DES BIENS CLASSIFIÉS

Les installations de l'organisation doivent respecter les exigences relatives à la sécurité matérielle et administrative pour l'exécution des travaux classifiés à réaliser dans le cadre du contrat, avant qu'on délivre à l'organisation une attestation de sécurité d'installations assortie de la cote de protection des documents. (Cf. les chapitres 4 (Protection des installations) et 5 (Traitement et conservation des renseignements et des biens protégés et classifiés) du présent manuel.) L'agent local de la sécurité industrielle donnera des lignes directrices précises à ce sujet.

355. NÉGOCIATIONS PRÉCONTRACTUELLES

On ne peut PAS amorcer avec l'organisation, avant de lui avoir délivré une attestation de sécurité d'installations, de négociations précontractuelles dans le cas des contrats portant sur des renseignements et des biens classifiés. Cette condition s'applique également lorsque l'organisation cotée souhaite faire appel à une autre organisation non gouvernementale à titre de sous-traitant.

356.GOVERNMENT OF CANADA SECURITY AGREEMENT

Avant de se faire délivrer une attestation de sécurité d'installations, l'organisation doit conclure un accord avec le gouvernement du Canada (cf. annexe 3-G de ce chapitre); en vertu de cet accord, l'organisation s'engage à :

1. respecter les dispositions du Manuel de la sécurité industrielle et toutes les autres exigences en matière de sécurité qui peuvent faire partie d'un contrat CLASSIFIÉ attribué à l'organisation;
   
   
2. permettre à la DSICI ou à d'autres administrations gouvernementales, à la demande de la DSICI, d'avoir accès aux locaux de l'organisation n'importe quand pour procéder à des inspections de sécurité;
   
   
3. ne pas se faire rembourser par le gouvernement les frais de sécurité, sauf dans les cas prévus dans un contrat.

357. TYPES D'ATTESTATIONS DE SÉCURITÉ D'INSTALLATIONS

1. Il existe trois types d'attestations de sécurité d'installations :
   
   
   1. Personnel affecté (PA)
      
      Il s'agit du type d'attestation de sécurité d'installations le plus élémentaire. Cette attestation est normalement délivrée aux organisations qui participent à des marchés de « services » plutôt qu'à des marchés de « biens ». L'attribution de l'attestation de sécurité d'installations pour le personnel affecté donne lieu à une enquête de sécurité sur les cadres supérieurs clés et les employés de l'organisation. Il n'est pas nécessaire d'évaluer la sécurité matérielle des installations de l'organisation. Une attestation de sécurité d'installations pour le personnel affecté n'a pas pour effet d'autoriser l'organisation à posséder ou à archiver des renseignements et des biens CLASSIFIÉS dans ses installations.
      
      
   2. Cote de protection de documents (CPD)
      
      Ce type d'attestation de sécurité d'installations prévoit une enquête de sécurité sur les cadres supérieurs clés et les employés de l'organisation. On évalue en outre la sécurité matérielle des installations de l'organisation pour s'assurer qu'elle respecte les exigences relatives à la protection des renseignements et des biens du gouvernement. L'attestation de sécurité d'installations comportant une cote de protection des documents autorise l'organisation à posséder et à archiver des renseignements et des biens classifiés dans ses installations.
      
      
   3. Production (PROD)
      
      Ce type d'attestation de sécurité d'installations comprend tous les éléments de l'attestation de sécurité d'installations pour la cote de protection des documents. En outre, on évalue la sécurité de la fabrication, de la réparation, de la modification des composants ou des articles classifiés ou des travaux effectués sur ces composants ou articles, afin de s'assurer qu'ils respectent les exigences relatives à la sécurité du gouvernement.
      
      
2. Chaque type d'attestation de sécurité d'installations peut être autorisé au niveau de CONFIDENTIEL, SECRET ou TRÈS SECRET ou NATO CONFIDENTIEL, ou NATO SECRET.

358. ÉTAT DE L'ATTESTATION DE SÉCURITÉ D'INSTALLATIONS

Les organisations doivent faire suivre à la DSICI les demandes adressées par d'autres organisations, des ministères ou des gouvernements pour confirmer leur attestation de sécurité d'installations.

359. PÉRIODE DE VALIDITÉ

1. L'attestation de sécurité d'installations délivrée par la DSICI ne l'est pas en permanence. Cette attestation est délivrée pour l'exécution d'un contrat précis ou lorsque l'organisation est parrainée et qu'il semble qu'elle pourrait se faire attribuer un contrat. L'attestation de sécurité d'installations prend fin au terme du dernier contrat CLASSIFIÉ et/ou lorsque l'on confirme que le parrainage ne sera pas renouvelé. La DSICI doit faire connaître par écrit à l'organisation la date à laquelle l'attestation de sécurité d'installations prendra fin et lui donner l'occasion de démontrer les raisons pour lesquelles cette attestation devrait être prorogée.
   
   
2. La DSICI suspend ou révoque l'attestation de sécurité d'installations si l'organisation ne respecte pas les normes de sécurité voulues. Les contrats en vigueur sont annulés et l'organisation ne pourra pas prétendre à d'autres contrats comportant des exigences en matière de sécurité lorsque son attestation de sécurité d'installations est suspendue.

360. ATTESTATIONS DE SITE AU SEIN D'UNE ORGANISATION AYANT SON SIÈGE AU CANADA

1. Des attestations de site distinctes sont nécessaires pour chaque établissement dans lequel des renseignements ou des biens CLASSIFIÉS seront archivés ou traités.
   
   
2. Dans les cas où il faut protéger des documents CLASSIFIÉS dans des établissements physiquement distincts du siège social au Canada, il faut respecter les conditions suivantes dans chaque établissement avant de délivrer à l'organisation une attestation de site :
   
   
   1. le siège social doit être titulaire d'une attestation de sécurité d'installations;
      
      
   2. le cadre supérieur responsable de chaque établissement doit justifier d'une cote au niveau voulu;
      
      
   3. au moins un autre employé doit justifier d'une cote au même niveau;
      
      
   4. au moins deux agents substituts de sécurité de l'entreprise doivent être désignés;
      
      
   5. chaque établissement doit respecter les exigences matérielles et administratives relatives à la sécurité.
      
      NOTA :
      Dans le cas des entreprises individuelles, la DSICI peut éventuellement autoriser une exception au point 2c (ci-dessus) dans chaque cas particulier.

361. SUCCURSALE HORS DU CANADA

1. Pour les besoins du présent Manuel, on ne considère pas une succursale comme une personne morale distincte à laquelle il faut attribuer une attestation de sécurité d'installations différente.
   
   
2. Lorsqu'il est nécessaire de protéger des renseignements et des biens CLASSIFIÉS dans une succursale hors du Canada, le siège social au Canada doit soumettre à la DSICI une demande écrite d'attestation, pour que cette dernière puisse prendre les mesures nécessaires avec l'administration de la sécurité industrielle désignée dans le pays visé. Selon le pays en cause, il se peut que la DSICI ne puisse PAS toujours établir la cote de protection de la succursale.

362. ATTESTATIONS DE SÉCURITÉ D'INSTALLATIONS RÉCIPROQUES

1. Pour les besoins du présent Manuel, on considère qu'une filiale est une personne morale distincte, à laquelle il faut attribuer une cote de sécurité d'installations différente.
   
   
2. En vertu d'un certain nombre d'accords sur la sécurité industrielle (par exemple entre les États-Unis et le Canada), la DSICI peut demander à un gouvernement étranger de délivrer une attestation de sécurité d'installations réciproque à une filiale d'une entreprise canadienne ayant des bureaux dans un autre pays. Cette attestation est utile lorsque cette filiale veut participer, à titre de sous-traitant, à un contrat classifié au Canada. Il est toutefois important de noter que les attestations de sécurité d'installations réciproques sont en quelque sorte restreintes. Essentiellement, l'attestation de sécurité d'installations réciproque permet SEULEMENT à la filiale de participer à des travaux classifiés au Canada. Dans ce type d'attestation de sécurité d'installations, il se pourrait qu'il ne soit pas permis de participer à des contrats classifiés avec le gouvernement du pays dans lequel la filiale a ses bureaux.
   
   
3. Lorsqu'une filiale d'une entreprise canadienne doit justifier d'une attestation de sécurité d'installations pour participer, actuellement ou éventuellement, à des travaux classifiés pour le gouvernement du pays dans lequel elle a des bureaux, elle peut être appelée à s'adresser directement à l'administration de la sécurité industrielle de ce pays pour lui demander une attestation de sécurité d'installations normale. (La DSICI peut fournir les coordonnées des administrations de la sécurité industrielle dans les autres pays.) Dans la plupart des cas, cette filiale devra se constituer en société incorporée dans ce pays avant qu'on puisse lui délivrer une attestation de sécurité d'installations.

 Chapitre 4