Vérification concernant les protocoles d'entente sur l'échange de renseignements avec RHDCC

Direction de la vérification
Agence des services frontaliers du Canada
Mars 2005

Table des matières

• Sommaire
• Introduction
• Étendue de la vérification
• Constatations, recommandations et plans d'action
  • Gestion des protocoles d'entente
  • Contrôles internes
  • Protection des biens
  • Éthique, valeurs et conduite des employés
• Conclusion
• Équipe de la vérification
• Annexe A

Sommaire

Contexte : 
L'Agence des services frontaliers du Canada (ASFC) a signé un certain nombre de protocoles d'entente avec d'autres ministères et organismes fédéraux et provinciaux, en vue de l'échange de renseignements. Ces protocoles d'entente comportent souvent un article exigeant la tenue de vérifications internes à intervalles réguliers pour s'assurer que les renseignements sont dûment protégés. En 2003, Développement des ressources humaines Canada (DRHC) a effectué une vérification interne de la gestion des renseignements personnels. Ressources humaines et Développement des compétences Canada (RHDCC, l'organisation qui a succédé à DRHC) a demandé à l'ASFC de mener une vérification interne équivalente.

Objectif : 
Déterminer si l'ASFC respectait les conditions quant à la réception, l'utilisation, le stockage et l'élimination des renseignements envoyés par RHDCC, conformément aux protocoles d'entente qui s'appliquent.

Conclusion : 
L'ASFC a signé un protocole d'entente avec RHDCC en vue de l'échange de renseignements. Les processus et les contrôles visant la réception, le traitement, le stockage et l'élimination des renseignements reçus de RHDCC respectaient, et souvent dépassaient, les exigences en matière de sécurité du protocole d'entente et la politique de l'Agence en matière de sécurité. Cependant, l'ASFC doit toujours se doter d'une politique et d'un processus, où sont définis clairement les rôles et les responsabilités quant à la gestion des protocoles d'entente. L'ASFC doit élaborer un tel processus et dresser la liste des protocoles d'entente, dès que possible.

Plan d'action : 
La Direction générale de la stratégie et de la coordination, qui a la responsabilité de gérer les protocoles d'entente à l'ASFC, convient qu'une politique et un processus concernant la gestion des protocoles d'entente seront élaborés. La Direction générale prévoit élaborer la structure des politiques concernant les protocoles d'entente et dresser la liste des protocoles d'entente de l'ASFC d'ici novembre 2005.

Introduction

L'Agence des douanes et du revenu du Canada (ADRC), qui est devenue une partie de l'Agence des services frontaliers du Canada (ASFC) et de l'Agence du revenu du Canada (ARC), avait conclu des protocoles d'entente avec des ministères et organismes fédéraux et provinciaux, en vue de l'échange de renseignements. Pour garantir la protection des renseignements confidentiels sur les clients, en 2000, l'ADRC avait négocié avec un certain nombre d'organismes l'inclusion d'une disposition prévoyant la tenue à intervalles réguliers de vérifications internes pour s'assurer de l'existence de contrôles pertinents quant à l'échange de renseignements.

En juin 2001, Développement des ressources humaines Canada (DRHC) et l'ADRC ont convenu d'une modification générale à leurs protocoles d'entente visant l'échange de renseignements. La modification comportait une disposition de vérification réciproque prévoyant la tenue de vérifications internes périodiques par l'organisation de vérification interne de chaque entité. En 2003, à la demande de l'ADRC, DRHC a effectué une vérification interne de sa gestion des renseignements personnels. La vérification portait notamment sur l'information reçue de l'ADRC. Les résultats de la vérification ont été publiés dans le rapport de vérification de Ressources humaines et Développement des compétences Canada (RHDCC, organisation ayant succédé à DRHC), daté de mai 2004.

À la suite de la réorganisation de l'ADRC, RHDCC a demandé à l'ASFC et à l'ARC de procéder à la vérification interne réciproque entreprise par l'ADRC en parallèle à la vérification de DRHC. L'ASFC avait un protocole d'entente avec RHDCC. Ce protocole porte sur des dispositions entourant la réception des demandes d'information de RHDCC relatives aux informations contenues sur la Carte de déclaration douanière (formulaire E311).

Étendue de la vérification

Objectif

Déterminer si l'ASFC respectait les conditions liées à la réception, l'utilisation, le stockage et l'élimination des renseignements envoyés par RHDCC, conformément aux protocoles d'entente applicables.

Portée

La vérification interne s'est concentrée sur les contrôles mis en place par l'ASFC pour la réception et le traitement des renseignements fournis par RHDCC. À la suite des examens préliminaires, il a été constaté que le travail se faisait uniquement à l'Administration centrale. La vérification a donc été menée seulement à l'Administration centrale entre août et décembre 2004.

Méthodologie

La méthode utilisée pour mener à bien cette vérification comportait les éléments suivants : 

• examen des politiques, des procédures, des directives, du déroulement du travail et autre documentation;
• entrevues avec des gestionnaires et d'employés clés à l'Administration centrale;
• révision des processus en cause dans l'échange des renseignements;
• tests quant au déroulement du travail par rapport au processus de gestion en place pour assurer les contrôles adéquats;
• examens avec des représentants de la Division des affaires internes et des services de sécurité, pour vérifier si le personnel a les cotes de sécurité voulues, que les locaux et le matériel sont bien protégés et que la politique et les procédures relatives à la conservation et l'élimination des documents sont observées.

Cette vérification interne est effectuée conformément à la politique du Conseil du Trésor sur la vérification interne.

Constatations, recommandations et plans d'action

Gestion des protocoles d'entente

Puisque que l'ASFC n'avait pas de liste complète des protocoles conclus avec d'autres ministères et organismes fédéraux et provinciaux, on s'est servi de la liste de l'ADRC et il a été conclut que l'ASFC avait un protocole d'entente avec RHDCC aux fins de l'échange de renseignements. Ce protocole d'entente a trait à des ententes visant la réception des demandes de RHDCC portant sur des renseignements précis que l'ASFC recueille sur la Carte de déclaration douanière (formulaire E311). Le protocole d'entente, qui a été révisé en avril 2004, s'est révélé être actuel et complet.

La responsabilité de gérer les protocoles d'entente de l'ASFC incombe à la nouvelle Direction générale de la stratégie et de la coordination de l'ASFC. Cependant, il reste encore à établir le processus de gestion des protocoles d'entente et à éclaircir et définir les rôles et responsabilités précis.

Recommandation : 
La Direction générale de la stratégie et de la coordination doit établir une politique et un processus, incluant l'établissement de la liste complète des protocoles d'entente, aux fins de la gestion des protocoles d'entente à l'ASFC.

Plan d'action :
La Direction générale de la stratégie et de la coordination choisira un agent de programme qui aura la responsabilité d'élaborer la structure des politiques concernant les protocoles d'entente et de dresser une liste des protocoles d'entente existants, d'ici novembre 2005. La Direction générale créera une page Web sur le site intranet de l'ASFC, dont elle assurera la mise à jour, et elle s'occupera des services afférents à la structure des politiques. L'administration quotidienne des protocoles d'entente continuera d'incomber aux bureaux de première responsabilité, comme par exemple, la Direction générale de l'exécution de la loi ou la Direction générale de l'admissibilité.

Contrôles internes

Conformément au protocole, RHDCC a envoyé les demandes concernant des renseignements précis se trouvant sur le formulaire E311 à la Division de la contrebande, du renseignement et des enquêtes des douanes (CRED) de la Direction générale de l'exécution de la loi, où elles ont été traitées. Seuls trois employés à la CRED s'occupaient de la réception et du traitement des renseignements demandés par RHDCC. Ces employés connaissaient les dispositions du protocole d'entente, de même que leurs rôles et leurs responsabilités particuliers quant à l'échange, avec RHDCC, de renseignements tirés de la déclaration des voyageurs.

La Division de la CRED avait des procédures précises, notamment la nécessité d'établir une ligne de communication claire pour la réception et le traitement des demandes de renseignements provenant de RHDCC. Ces procédures ont trait à la vérification de l'information reçue et à l'approbation par les superviseurs des réponses aux demandes de RHDCC. L'examen a permis de s'assurer que l'ASFC traitait les renseignements sur les clients en conformité avec les procédures décrites dans le protocole d'entente et dans la politique en matière de sécurité. L'examen a aussi permis de s'assurer que l'information en provenance de RHDCC était uniquement utilisée aux fins prévues.

Protection des biens

Les procédures de la CRED pour la réception et le traitement des renseignements de RHDCC étaient conformes à la politique et aux directives établies en matière de sécurité. Les dossiers documentaires indiquaient que l'on n'a signalé aucun incident en matière de sécurité dans ce secteur.

Avec l'aide des spécialistes des Services de sécurité de l'ASFC, une vérification de la sécurité des locaux a été effectuée ainsi que de la fonction afférente à l'échange de renseignements avec RHDCC, afin de déterminer si l'ASFC respectait les exigences de sécurité du protocole d'entente. Selon la Division des affaires internes et des services de sécurité, les activités professionnelles du personnel au sein de la Division de la contrebande, du renseignement et des enquêtes des douanes ont souvent trait à des renseignements de nature extrêmement délicate qui exigent des pratiques de sécurité plus rigoureuses que celles aux fins du traitement de l'information de RHDCC. C'est donc dire que le niveau des cotes de sécurité du personnel affecté à la réception et au traitement des renseignements de RHDCC était supérieur aux exigences contenues dans le protocole d'entente.

Le personnel de la Division de la CRED occupait des locaux extrêmement sécuritaires dont le niveau de sécurité faisait l'objet d'un contrôle régulier et était supérieur à celui exigé dans le protocole d'entente. L'information de RHDCC était stockée dans des armoires précisément désignées à cette fin et munies des serrures voulues, situées dans un secteur à haute sécurité. Les documents ont été détruits dans ce secteur à haute sécurité, au moyen d'un broyeur.

Éthique, valeurs et conduite des employés

Les employés de la Division de la CRED avaient l'habitude, dans l'exécution de leurs tâches quotidiennes, de traiter de l'information de nature très délicate. Ils étaient parfaitement au courant de leur responsabilité quant à la protection des renseignements de nature délicate et ils respectaient la politique et les procédures établies. En outre, les mesures de sécurité plus rigoureuses exigées dans leur secteur dépassaient les exigences du protocole d'entente, elles étaient appliquées de la réception au traitement de l'information de RHDCC.

Un processus permettant de cerner et de signaler les atteintes à la sécurité aux agents de l'ASFC et de RHDCC désignés a été mis en place, conformément à la politique en matière de sécurité de l'ASFC et au protocole d'entente. L'examen des dossiers actuels et antérieurs n'a révélé aucune atteinte à la sécurité laissant croire à une conduite inappropriée ou contraire à l'éthique de la part du personnel de l'ASFC, au cours du traitement des renseignements de RHDCC.

Conclusion

L'ASFC a signé un protocole d'entente avec RHDCC en vue de l'échange de renseignements. Les processus et les contrôles visant la réception, le traitement, le stockage et l'élimination des renseignements reçus de RHDCC respectaient, et souvent dépassaient, les exigences en matière de sécurité du protocole d'entente et la politique de l'Agence en matière de sécurité. Cependant, l'ASFC doit toujours se doter d'une politique et d'un processus, où sont définis clairement les rôles et les responsabilités, pour la gestion des protocoles d'entente. L'ASFC doit élaborer un tel processus et dresser la liste des protocoles d'entente, dès que possible.

Équipe de la vérification

Marie Daoust, Chargée de compte

Michael Ryan, Chef de projet

John Fanjoy, Vérificateur interne

Annexe A

Gestion des plans d'action

Recommandations : 
La Direction générale de la stratégie et de la coordination doit établir une politique et un processus, incluant l'établissement de la liste complète des protocoles d'entente, aux fins de la gestion des protocoles d'entente à l'ASFC.

Plans d'action :  La Direction générale de la stratégie et de la coordination choisira un agent de programme qui aura la responsabilité d'élaborer la structure des politiques concernant les protocoles d'entente et de dresser la liste des protocoles actuels, d'ici novembre 2005. La Direction générale créera une page Web sur le site intranet de l'ASFC, dont elle assurera la mise à jour, et elle s'occupera des services afférents à la structure des politiques. L'administration quotidienne des protocoles d'entente continuera d'incomber aux bureaux de première responsabilité, tels que la Direction générale de l'exécution de la loi ou la Direction générale de l'admissibilité.

Date d'échéance prévue
Novembre 2005

Responsabilité
Direction générale de la stratégie et de la coordination