Revue des exigences de vérification du système de données du Centre d'information de la police canadienne (CIPC)

Table des matières

• Sommaire
• Introduction
• Étendue de la vérification
• Constatations, recommandations et plans d'action
  • Exigences concernant les vérifications du CIPC au sein de l'ASFC
  • Besoins en ressources (ETP) et en formation
  • Besoins en coûts et en sensibilisation à la sécurité
• Conclusion
• Équipe de vérification

---

Sommaire

Contexte
Depuis la fin des années 60, le Centre d'information de la police canadienne (CIPC) fournit à tous les organismes d'exécution de la loi au Canada des renseignements sur le crime et les criminels. Le CIPC est un dépôt central national des renseignements opérationnels de la police et il est une ressource commune des organismes d'exécution de la loi au Canada. La Gendarmerie royale du Canada (GRC) tient à jour et exploite la base de données du CIPC. Environ 4 900 employés de l'Agence des services frontaliers du Canada (ASFC) ont accès au système de données du CIPC depuis quelque 250 lieux de travail.

La politique du CIPC exige que la GRC mène des vérifications de l'utilisation du système de données du CIPC par les organismes y ayant accès et de la sécurité de ce système. Conformément aux protocoles d'entente (PE) entre la GRC et les anciens organismes qui constituent maintenant l'ASFC, les vérifications du CIPC ont été menées à terme par ces organismes et les résultats ont été transmis à la GRC chaque année. À l'ancienne Agence des douanes et du revenu du Canada (ADRC), le personnel régional de l'exécution effectuait ces vérifications, tandis que, à Citoyenneté et Immigration Canada (CIC), le personnel de la vérification interne était chargé de le faire.

Dans la période de quatre ans qui a précédé l'établissement de l'ASFC (décembre 2003), les anciens organismes n'ont procédé qu'à 121 des 250 vérifications aux endroits nécessaires.

But
Comme les anciens organismes constituant l'ASFC suivaient deux approches différentes lors de la conduite des vérifications du CIPC, le présent examen a porté sur les exigences de la politique du CIPC et des PE connexes concernant les vérifications afin de déterminer la façon la plus appropriée de mener des vérifications du CIPC indépendantes et en temps opportun à l'ASFC.

Conclusion
La Direction générale de l'exécution de la loi a assumé le rôle principal et a fait un pas dans la bonne direction par la création d'un poste de coordonnateur du CIPC national à plein temps à l'Administration centrale de l'ASFC, de postes d'agent de l'accès et du contrôle dans les régions et d'un réseau de vérificateurs régionaux. La mise en oeuvre d'une politique du CIPC pour l'ASFC et d'un PE entre les deux parties, l'élaboration d'un plan/calendrier de vérification et un contrôle centralisé des vérifications effectuées à l'Administration centrale et dans les régions apporteront une meilleure coordination des vérifications du CIPC et un contrôle physique des terminaux du CIPC et solidifieront la sensibilisation quant à la sécurité auprès des utilisateurs.

Plans d'action
La Direction générale de l'exécution de la loi s'est engagée à :

• Compléter le PE, ainsi que les politiques internes et les procédures entourant le CIPC;
• Définir les rôles et les responsabilités des intervenants;
• Établir un plan de vérification et reprendre les vérifications;
• S'assurer que le rapport annuel est présenté au Comité de vérification interne et d'évaluation.

Introduction

Depuis la fin des années 60, le Centre d'information de la police canadienne (CIPC) fournit à tous les organismes d'exécution de la loi au Canada des renseignements sur le crime et les criminels. Ce dépôt national des renseignements opérationnels de la police est une ressource commune des organismes d'exécution de la loi au Canada qui y ont accès par le système de données du CIPC. La Section des opérations sur place du CIPC de la Gendarmerie royale du Canada (GRC) applique la politique du CIPC et tient à jour et exploite la base de données du CIPC.

Le CIPC est un instrument essentiel qui aide les employés de l'Agence des services frontaliers du Canada (ASFC) à mettre en place une première ligne de défense dans la gestion de la circulation des gens et des marchandises qui entrent et sortent du Canada. Les renseignements du CIPC aident à assurer la sécurité de nos frontières et à accroître celle des collectivités pour tous les Canadiens. Il fournit des renseignements sur les mandats non exécutés et sur les antécédents criminels, il identifie les biens volés et il fournit aux employés de l'ASFC d'autres renseignements pertinents et en temps opportun sur l'exécution de la loi.

Environ 4 900 employés de l'ASFC ont accès au système du CIPC depuis 250 lieux de travail. La politique du CIPC exige des vérifications périodiques de l'utilisation et de la sécurité du système et la transmission d'un rapport annuel au Comité consultatif du CIPC de la GRC.

Cette revue faisait partie du plan de vérification interne de 2005 2006 qui a été agréé par le Comité de vérification interne et d'évaluation le 17 mars 2005.

Étendue de la vérification

Objectif
Dans le présent examen, les exigences de la politique du CIPC et des protocoles d'entente (PE) connexes concernant la vérification ont été passées en revue pour déterminer la façon la plus appropriée de procéder à des vérifications du CIPC indépendantes et en temps opportun au sein de l'ASFC.

Portée
La revue a donné lieu à un examen des pratiques de vérification du CIPC au sein des anciens organismes des douanes et de l'immigration et au sein de l'ASFC actuelle. Le Centre de confirmation des mandats de l'Immigration (CCMI) en a été exclu, car il est vérifié par les Services du CIPC.

Méthodologie
La méthodologie a consisté en une analyse de la politique actuelle du CIPC et des PE applicables, des entretiens avec du personnel de l'ASFC et de Citoyenneté et Immigration Canada (CIC), à l'Administration centrale (AC) et dans les régions, des entretiens avec des fonctionnaires des Services du CIPC de la GRC, une analyse des méthodologies de vérification du CIPC ayant servi dans d'autres organismes d'exécution de la loi, et un examen des dossiers de vérification antérieurs du CIPC dressés au sein des anciens organismes constituant l'ASFC.

Constatations, recommandations et plans d'action

Exigences concernant les vérifications du CIPC au sein de l'ASFC

Environ 4 900 employés de l'ASFC ont accès au système de données du CIPC par le Système de soutien des opérations des bureaux locaux (SSOBL) et/ou le Système intégré d'exécution des douanes (SIED), depuis 250 lieux de travail comptant 698 terminaux au pays. Chaque terminal est appelé un identificateur d'organisme d'origine (IOO).

La politique du CIPC exige que des vérifications périodiques soient faites de l'utilisation et de la sécurité du système. La Section des opérations sur place du CIPC mène généralement ces vérifications. Les PE exigeaient que les anciens organismes mènent à terme les vérifications et fassent rapport annuellement au Comité consultatif du CIPC. Ces PE s'appliquent maintenant à l'ASFC.

À l'ancienne Agence des douanes et du revenu du Canada (ADRC), le personnel régional de l'exécution effectuait les vérifications du CIPC, tandis que, à Citoyenneté et Immigration Canada (CIC), le personnel de la vérification interne à l'AC en était chargé. Comme le précise la politique du CIPC et suivant une stratégie d'analyse des risques, chaque lieu de travail du CIPC doit être vérifié au moins une fois à tous les quatre ans.

Une vérification du CIPC se compose des étapes suivantes : s'assurer que tous les utilisateurs du CIPC ont fait l'objet d'un contrôle des antécédents criminels et ont été dactyloscopiés; examiner comment les renseignements du CIPC sont diffusés et communiqués et comment il en est disposé; examiner la sécurité du système de données du CIPC; examiner l'accès à ce système et analyser le trafic dans le CIPC. Le contexte physique du terminal du CIPC est aussi examiné.

Un nouveau PE et une nouvelle politique du CIPC pour l'ASFC sont en voie d'élaboration. Le nouveau PE continuera de prévoir que l'ASFC mène les vérifications du CIPC. Entre-temps, l'ASFC respecte les anciens PE sur le CIPC entre le ministère du Revenu national et CIC. L'ASFC suit le manuel des procédures de vérification du CIPC fourni par les Services du CIPC de la GRC lorsqu'elle mène des vérifications du CIPC.

La GRC est en train d'apporter des changements technologiques dans le système de données du CIPC et ces changements exigeront que les ministères accèdent à ce système par Internet. Le processus de transition est en cours à l'ASFC et devrait se terminer au plus tard en avril 2006. Les fonctionnaires des Services du CIPC ont indiqué que les exigences concernant les vérifications demeureront sensiblement les mêmes.

Lors de la création de l'ASFC en décembre 2003, la responsabilité de la coordination des vérifications du CIPC n'a pas été immédiatement attribuée et les vérifications qui ont été menées par la suite au sein de l'Agence ne l'ont pas été de manière uniforme. Dans la période de quatre ans qui a précédé décembre 2003, les anciens organismes ont procédé à 121 des 250 vérifications aux endroits nécessaires et aucune n'a été faite dans la région du Québec. Depuis, seulement dix vérifications ont été entreprises au sein de la nouvelle Agence.

Il n'y avait aucun indice de l'existence d'un échéancier exhaustif faisant état d'un examen intégral de tous les lieux de travail où il devait y avoir une vérification du CIPC. Même si elles étaient tenues de le faire, les régions n'ont pas transmis toutes les copies des rapports de vérification terminés à l'AC. Par conséquent, l'AC ne peut analyser avec exactitude les rapports pour s'assurer que les politiques et les lignes directrices sont respectées par l'Agence, faire des recommandations ou donner suite aux questions en suspens.

La Direction générale de l'exécution de la loi a récemment assumé la responsabilité de la coordination des questions touchant le CIPC et a désigné un coordonnateur du CIPC national. Des agents régionaux de l'accès et du contrôle sont aussi en train d'être désignés et nommés.

Le tableau identifie le nombre de vérificateurs, les terminaux du CIPC ainsi que le nombre de vérifications effectuées dans chacune des régions entre 2000 et 2003.

Région	Vérificateurs du CIPC	Nbre de terminaux du CIPC (IOO)	Vérifications terminées (2000-2003)
Atlantique	2	32	15
Québec	3	50	0
Nord de l'Ontario	7	31	7
Région du Grand Toronto	3	31	9
Niagara/Fort Erie	2	17	15
Windsor/St Clair	2	18	8
Prairies	3	45	24
Pacifique	4	69	8
AC	7	67	1
CIC	s.o.	338	34
Total	33	698 1	121 2

1 Ce chiffre comprend 170 terminaux IOO servant à la formation et au perfectionnement et 11 terminaux IOO pour le CCMI qui sont vérifiés par les Services du CIPC. Les 698 terminaux IOO à l'ASFC sont situés dans 250 lieux de travail.

2 Cent treize des 121 dossiers de vérification ont été examinés.

Besoins en ressources (ETP) et en formation

Les vérifications du CIPC prennent une à cinq journées selon l'endroit où se trouve le vérificateur régional du CIPC et l'installation à vérifier. Étant donné la taille de l'Agence et l'emplacement du terminal du CIPC, il pourrait être possible de prévoir deux vérifications par semaine dans un même voisinage. La vérification de certains endroits de grande taille pourrait prendre plus de temps, tandis que celle des petits bureaux pourrait se faire en moins d'une semaine. Cela comprendrait le temps nécessaire à l'obtention, à l'examen et à l'analyse des copies papier des rapports du CIPC, à la conduite d'une inspection sur place et à la rédaction du rapport de vérification.

La Section du contrôle des données de la GRC fournit les rapports du CIPC sur l'accès et le trafic. Des versions électroniques des rapports ne sont pas disponibles en raison de l'âge du système du CIPC. La mise à niveau, par la GRC, du système de production de rapports du CIPC n'est pas à l'étude à ce moment-ci et ne le sera pas dans un proche avenir.

Les vérificateurs de l'ASFC sont formés et agréés par les Services du CIPC. On s'attend à ce que les vérificateurs fournissent des analyses, des évaluations, des recommandations et des conseils indépendants, selon les besoins. Les vérificateurs proviennent surtout du personnel régional de l'exécution et font les vérifications à temps partiel à mesure que des vérifications sont prévues. L'Agence compte maintenant 29 vérificateurs du CIPC formés (une augmentation de 17 comparativement à 2004) dans toutes les régions et à l'AC.

Vu le nombre actuel des vérificateurs et les endroits à vérifier dans la période de quatre ans, le vérificateur moyen ne serait tenu que de faire deux vérifications par année à un coût inférieur à un mois/personne. Bien qu'il soit difficile d'estimer avec exactitude les frais de déplacement, les frais de déplacement pendant une semaine à l'extérieur du bureau oscilleraient entre 2 000 et 2 500 $ le voyage et seraient probablement moins élevés dans les régions plus petites. S'il est réparti uniformément, le coût de l'exécution du programme de vérification à l'ASFC serait inférieur à 1,5 équivalents temps plein (ETP) et d'environ 160 000 $ en déplacements par année. Cela ne comprend pas le coût salarial à plein temps du coordonnateur national et des agents régionaux de l'accès et du contrôle qui remplissent d'autres responsabilités non liées au CIPC.

Le tableau ci dessous résume les coûts annuels estimatifs qu'entraîneraient les vérifications dans un cycle de vérification de quatre ans :

Nbre de vérifications requises chaque année	Nbre de vérifications par vérificateur en supposant qu'il y a 29 vérificateurs	Nbre d'ETP requis dans l'hypothèse d'une semaine par vérification et des deux vérifications effectuées par chaque vérificateur chaque année	Frais de déplacement en supposant 2 500 $ par semaine et une semaine par vérification
62,5	2,2	1,2	156 000 $
Totaux sur quatre ans
250	8,8	4,8	624 000 $

Comme la Direction générale de l'exécution de la loi a déjà prévu la création d'un poste de coordonnateur national et de postes d'agent régional de l'accès et du contrôle et étant donné la disponibilité, sur le plan géographique, des 29 vérificateurs formés à travers le pays, la centralisation du processus de vérification de l'ASFC n'apporterait qu'un minimum d'avantages, s'il en est. Bien que le coût en ETP demeure relativement le même, les frais de déplacement depuis un point central augmenteraient fort probablement. Il est à noter que, pour des raisons de rentabilité, la Section des opérations sur place du CIPC de la GRC a réparti ses vérificateurs à travers le pays de sorte qu'ils soient plus près de leur lieu de travail.

Besoins en coûts et en sensibilisation à la sécurité

Comme il a déjà été mentionné, à l'ancienne ADRC, le personnel régional de l'exécution faisait les vérifications du CIPC, tandis que, à CIC, le personnel de la vérification interne à l'AC en était chargé.

L'ASFC est classée par les Services du CIPC parmi les organismes de catégorie II ayant des responsabilités limitées en matière d'exécution de la loi. À ce titre, l'ASFC ne peut introduire des renseignements dans le système du CIPC, sauf pour le CCMI, qui est vérifié par les Services du CIPC de la GRC.

Voulant faire une analyse comparative de l'ASFC et d'autres organismes de la catégorie II, la Direction de la vérification interne a communiqué avec l'Agence du revenu du Canada, la Commission nationale des libérations conditionnelles, Industrie Canada et le Bureau des passeports, qui ont tous un petit nombre de terminaux du CIPC et peu d'utilisateurs. La GRC fait les vérifications du CIPC pour ces organismes de catégorie II, tandis que l'ASFC est tenue, par le PE, de faire ses propres vérifications du CIPC. La Direction de la vérification interne n'a pu faire une telle analyse comparative et déterminer les pratiques exemplaires ou d'autres modèles applicables à notre agence.

Bien que l'absence de pistes de vérification électroniques provenant de la GRC limite l'utilité des vérifications du CIPC, elles donnent l'occasion de renforcer la sensibilisation à la sécurité des renseignements et de rappeler aux employés que l'accès aux renseignements névralgiques est contrôlé. Il y a eu, au cours des 18 derniers mois, seulement un incident au chapitre de la sécurité; il s'agissait d'une utilisation à des fins personnelles du CIPC. C'est une plainte qui l'a révélé plutôt qu'une vérification et la question a été renvoyée aux Affaires internes.

Les problèmes les plus courants décelés par les vérifications comprennent ce qui suit : une zone des remarques non remplie au complet, du personnel d'entretien à contrat laissé sans supervision pendant qu'il nettoyait une aire à accès réservé, l'absence du formulaire « Reconnaissance des restrictions » dans le dossier, la mise en commun d'un ID utilisateur et des utilisateurs à qui l'accès est accordé avant qu'ils n'aient reçu une formation officielle. Des plans d'action ont été mis au point dans le but de s'attaquer à ces problèmes et le vérificateur du CIPC en a assuré le suivi.

La politique de la GRC concernant le CIPC exige que l'ASFC fournisse un rapport annuel au Comité consultatif du CIPC de la GRC. À ce jour, rien ne montre qu'un tel rapport a été transmis au Comité.

Conclusion

L'ASFC est un organisme singulier qui est assujetti à des exigences du CIPC concernant les vérifications et elle devra élaborer et mettre en oeuvre une approche de vérification qui respecte la politique du CIPC, le manuel de vérification du CIPC et le PE. L'Agence ne peut continuer à procéder comme à l'époque où il y avait deux façons différentes d'effectuer les vérifications du CIPC et où tous les lieux de travail n'étaient pas vérifiés pendant la période de vérification de quatre ans. Il faut s'efforcer d'établir un programme de vérification efficace pour l'ASFC.

La Direction générale de l'exécution de la loi a assumé le rôle principal et a fait un pas dans la bonne direction par la création d'un poste de coordonnateur du CIPC national à plein temps à l'Administration centrale de l'ASFC et de postes d'agent de l'accès et du contrôle dans les régions ainsi que d'un réseau de vérificateurs régionaux. La mise en oeuvre d'une politique du CIPC pour l'ASFC et d'un PE connexe, l'élaboration d'un plan/échéancier de la vérification et un contrôle centralisé des vérifications effectuées à l'AC et dans les régions procureront une meilleure coordination des vérifications du CIPC et un contrôle matériel des terminaux du CIPC et renforceront les renseignements et la sensibilisation à la sécurité en général auprès des utilisateurs.

Équipe de vérification

Wayne Tallack, Gestionnaire
Diane Robert, Chef de projet
Gilles Lapointe, Vérificateur interne