Plan d’audit axé sur le risque 2016-2019

Septembre 2016

Introduction

L’objectif de la Politique du Conseil du Trésor sur la vérification interne est de contribuer à l’amélioration de la gestion du secteur public en assurant une fonction d’audit interne solide, crédible, efficace et viable au sein des ministères et dans l’ensemble du gouvernement. En réponse à cette exigence, Affaires mondiales Canada a mis au point le présent Plan d’audit triennal axé sur le risque. Ce plan précise les services d’assurance et les services consultatifs que le Bureau du dirigeant principal de la vérification (BDPV) offrira, indépendamment des cadres hiérarchiques, pour établir un régime d’audit interne solide et crédible qui contribue directement à la gestion du risque, au contrôle et à la gouvernance.

Le mandat d’Affaires mondiales Canada^{Note de bas de page 1} est de diriger les relations diplomatiques et consulaires, d’encourager le commerce international du pays et de mener les efforts du Canada en matière de développement international et d’aide humanitaire. En 2015, le ministère des Affaires étrangères, du Commerce et du Développement a été renommé Affaires mondiales Canada, ce qui a permis de fusionner les portefeuilles d’Affaires étrangères, Commerce et Développement Canada en une entité unique en vue d’assurer une plus grande cohésion dans la conduite des affaires étrangères du Canada^{Note de bas de page 2}.

Le Ministère administre un large éventail de programmes de financement afin de protéger les Canadiens et de faire progresser les priorités, les intérêts et le leadership du Canada à l’étranger, notamment par le financement d’organisations internationales. En outre, il offre des services aux entreprises canadiennes, aux Canadiens qui voyagent ou vivent à l’étranger, aux citoyens canadiens ainsi qu’aux représentants étrangers et à leurs personnes à charge au Canada.

Au Canada, Affaires mondiales Canada mène ses activités à l’Administration centrale dans la région de la capitale nationale et dans huit bureaux régionaux situés partout au pays. Il gère aussi plus de 177 missions à l’étranger dans 109 pays^{Note de bas de page 3}. Ces missions abritent des employés du Ministère qui exécutent le mandat d’Affaires mondiales Canada à l’étranger, ainsi que du personnel de 35 ministères et organismes partenaires et cooccupants. Pour l’exercice 2016-2017, les dépenses planifiées sont de 5,64 milliards de dollars. À l’heure actuelle, Affaires mondiales Canada compte 9 851 employés actifs dont 6 127 sont des employés canadiens et 3 724 sont des employés recrutés sur place dans les missions à l’étranger^{Note de bas de page 4}.

But

Le Bureau du dirigeant principal de la vérification d’Affaires mondiales Canada a préparé le présent document à l’intention du sous-ministre afin de décrire le plan d’audit axé sur le risque (PAAR ou le Plan) du Ministère pour la période allant de 2016-2017 à 2018-2019. Le plan a été conçu pour appuyer l’affectation des ressources d’audit aux secteurs d’activité qui posent un risque plus important à l’atteinte des objectifs d’Affaires mondiales Canada et pour respecter les exigences de la Politique sur la vérification interne du Conseil du Trésor (datant du 1er avril 2012). Dans l’examen de la pertinence de ce plan, le sous-ministre est conseillé par un Comité de vérification ministériel indépendant composé de quatre membres externes.

Rôle et portée de l’audit interne

La réalisation d’audits internes au gouvernement du Canada est une fonction d’évaluation professionnelle, indépendante et objective^{Note de bas de page 5}. Aux termes de la Loi sur la gestion des finances publiques, le Ministère est tenu d’avoir des capacités d’audit interne conçues pour ajouter de la valeur aux activités ministérielles en utilisant une approche rigoureuse et fondée sur des éléments probants pour évaluer et améliorer l’efficacité des processus de gestion des risques, de contrôle et de gouvernance.

L’audit interne assure une supervision des systèmes et pratiques de gestion et, notamment, des nouveaux risques dans un environnement en constante évolution. Afin d’assurer l’indépendance organisationnelle de la fonction d’audit interne, le dirigeant principal de la vérification relève directement du sous-ministre des Affaires étrangères, qui est l’administrateur des comptes du Ministère. Cela permet la prestation de conseils indépendants et objectifs sur le rendement en ce qui concerne les activités, la protection des biens, la fiabilité et l’intégrité de la reddition de comptes et le respect des lois et politiques.

La pratique d’audit interne d’Affaires mondiales Canada, y compris l’élaboration du plan d’audit axé sur le risque (PAAR), est conforme au Cadre international de référence des pratiques professionnelles de l’Institut des auditeurs internes, à la série de politiques du Conseil du Trésor, ainsi qu’aux directives du Bureau du contrôleur général (BCG) du Secrétariat du Conseil du Trésor du Canada.

L’audit interne est considéré comme la troisième ligne de défense du Ministère et, à ce titre, il joue un rôle prépondérant dans la structure de gouvernance ministérielle pour fournir une assurance dans les secteurs de la gestion du risque, du contrôle et des processus de gouvernance :

À Affaires mondiales Canada, le Comité exécutif fournit une orientation à la haute direction en déterminant l’appétit pour le risque de l’organisation. Le Comité exécutif a pour objectif de déterminer les principaux risques courus par l’organisation. Ensuite, il s’assure, sur une base permanente, que la haute direction réagit de manière appropriée face à ces risques.

La direction assume la prise en charge et la responsabilité du contrôle et de la gestion du risque d’exploitation. Par conséquent, elle fournit le leadership et l’orientation aux employés concernant la gestion des risques et contrôle l’ensemble des activités à risque de l’organisation en lien avec les niveaux de risque convenus.

Dans le but d’assurer l’efficacité du cadre de gestion du risque d’une organisation, le Comité exécutif doit être en mesure de se fier aux fonctions d’exécution appropriées dans l’organisation, y compris les fonctions de suivi et d’assurance. Comme le montre le graphique ci-dessus, l’Institut des auditeurs internes^{Note de bas de page 6} approuve le modèle des « Trois lignes de défense » comme explication à la relation entre ces fonctions et comme guide sur la répartition des responsabilités :

1. Première ligne de défense – fonctions qui assurent la propriété et la gestion des risques.
2. Deuxième ligne de défense – fonctions qui supervisent le risque et la conformité.
3. Troisième ligne de défense – fonctions qui donnent une assurance indépendante (c’est là que se trouve l’audit interne).

1. Première ligne de défense

Dans la première ligne de défense, les gestionnaires des opérations sont propriétaires et responsables de l’évaluation, du contrôle et de l’atténuation directs des risques.

2. Deuxième ligne de défense

La deuxième ligne de défense comprend les activités visées par plusieurs composantes de la gouvernance interne (conformité, gestion des risques, qualité, technologie de l’information, et autres fonctions de contrôle). Cette ligne de défense surveille et facilite la mise en place de pratiques efficaces de gestion du risque par la gestion des opérations et aide les responsables des risques à communiquer de l'information appropriée sur les risques à tous les niveaux de l’organisation.

3. Troisième ligne de défense

L’audit interne compose la troisième ligne de défense de l’organisation. Une fonction d’audit indépendante fournira, par le biais d’une approche axée sur les risques pour ces travaux, l’assurance au Comité exécutif et à la haute direction de l’organisation. Cette assurance portera sur l’efficacité avec laquelle l’organisation évalue et gère ses risques, et inclura l’assurance de l’efficacité des deux premières lignes de défense. Elle englobe tous les éléments du cadre de gestion des risques d’une institution (de l’identification, de l’évaluation et des réactions au risque à la communication de l’information liée aux risques) et toutes les catégories d’objectifs organisationnels (stratégiques, éthiques, opérationnels, production de rapports et conformité).

Outre la prestation de services de surveillance, le Bureau du dirigeant principal de la vérification (BDPV) fait également office de secrétariat du Comité ministériel de vérification (CMV), lequel est composé de quatre membres externes indépendants ainsi que de trois membres internes nommés d’office à l’échelon des sous-ministres. Le CMV fournit des avis et recommandations objectifs concernant le caractère suffisant, la qualité et les résultats de l’assurance en ce qui a trait à la pertinence et à l’application du cadre et des processus de gestion des risques, de contrôle et de gouvernance (notamment les systèmes de reddition de comptes et d’audit).

Finalement, le BDPV assure la liaison entre le Ministère et des Fournisseurs de services de surveillance et d’assurance externes comme le Bureau du vérificateur général (BVG) et le Bureau du contrôleur général (BCG).

Méthode de planification de l’audit axé sur le risque

Dans le but de répondre à l’exigence de la Directive sur la vérification interne au gouvernement du Canada pour la mise en place d’un plan pluriannuel pour l’audit interne, l’évaluation du BDPV des secteurs de risque d’Affaires mondiales Canada a été étudiée par l’équipe de projet du plan d’audit axé sur le risque (PAAR) et la direction du BDPV, et mis à jour afin de s’assurer que les ressources d’audit continuent de cibler les secteurs les plus importants et les plus à risque.

Les missions énoncées dans le présent plan ont été sélectionnées à la suite d’un processus exhaustif de planification, décrit ci-dessous.

Élaboration de l’univers d’audit

L’univers d’audit d’Affaires mondiales Canada a été révisé au début du processus d’élaboration du PAAR de sorte qu’il assure une relation claire avec l’Architecture d’alignement des programmes (AAP) du Ministère, tout en procurant une souplesse maximale pour la conception de missions ciblant les secteurs de risque (se reporter à l’annexe A). L’univers d’audit est composé d’éléments auditables regroupés en deux catégories : la nature des activités du Ministère (harmonisées à l’AAP) et la façon dont ces activités sont menées. Cette approche inclut des éléments au niveau de la prestation des programmes, des services ou des services internes et facilite la prise en considération de missions approfondies verticales ou horizontales à l’échelle ministérielle.

L’AAP et l’organigramme ont été pris en compte dans l’élaboration de l’univers, ainsi que des cadres financiers, d’audit et de TI reconnus tels que COBIT et COSO. De façon plus générale, on s’attend à ce que la nouvelle Politique sur les résultats du Conseil du Trésor entraîne des modifications de l’AAP en raison de la création d’un cadre ministériel des résultats. Le BDPV modifiera l’univers d’audit en conséquence d’après les résultats de cet exercice.

Consultations de la haute direction et examen de la documentation

Le processus du PAAR comprend des consultations des cadres supérieurs représentant chaque direction générale et secteur d’activité du Ministère. Un large éventail de consultations de la haute direction ont été effectuées afin d’appuyer cette version initiale du PAAR (p. ex., Plateforme internationale, Planification ministérielle, Finances et TI, Inspecteur général, Sécurité et gestion des urgences, ainsi que les secteurs géographiques). Toutes ces consultations ont contribué à l’élaboration de la version définitive du plan. 

L’objectif de ces consultations était d’obtenir des avis sur les risques, les buts organisationnels, les changements à venir et les défis à relever dans l’environnement opérationnel. Les cadres supérieurs étaient invités à fournir des renseignements sur leur zone de responsabilité respective et sur les risques horizontaux à l’échelle du Ministère, d’après leur expérience et leur connaissance des activités.

Un examen exhaustif de documents ministériels et externes a aussi été effectué. Au nombre de ces documents, on compte divers plans internes et externes, des rapports opérationnels, de même que des renseignements sur la surveillance, le rendement, les initiatives à venir et les priorités. L’objectif de cet examen consistait à acquérir des connaissances sur les environnements opérationnels interne et externe.

Évaluation des risques et établissement de la priorité

Le BDPV a procédé à une analyse ciblée et structurée de l’univers d’audit concernant les risques opérationnels, stratégiques, pour la sécurité, d’atteinte à la réputation et de fraude, au moyen de l’échelle d’évaluation des risques présentée ci-dessous. L’évaluation a également pris en compte les risques relevés dans le cadre de l’exercice annuel de planification des risques organisationnels (se reporter à l’annexe B). Il est important de noter que des estimations de l’importance relative des programmes et des activités ont été prises en compte dans l’évaluation du risque (à moins que des renseignements détaillés n’aient pas été disponibles). Alors que le Ministère termine la fusion des systèmes financiers, on s’attend à ce que les renseignements concernant l’importance relative deviennent de plus en plus précis.

Cette analyse a permis de classer par ordre de priorité les éléments auditables en fonction des risques inhérents et des projets d’assurance passées et futures (internes et externes), de manière à constituer une base exhaustive pour le choix des projets à inclure dans le présent plan. Pour plus de détails au sujet de la méthodologie d'évaluation des risques, veuillez vous reporter à l'annexe C.

Prise en compte des activités d’autres certificateurs

En plus du rôle d’agent de liaison entre le Ministère et les fournisseurs de services de surveillance et d’assurance externes comme le BVG et le BCG, le BDPV vise à coordonner les activités liées à la planification de l’audit axé sur le risque avec celles de ces entités afin de a) s’assurer que l’audit porte sur les éléments à haut risque et b) réduire les chevauchements et, par conséquent, réduire le fardeau qu’impose un audit sur les entités auditées.

Plan d’audit triennal axé sur le risque

La présente section offre une vue d’ensemble du plan d’audit axé sur le risque d’Affaires mondiales Canada pour la période allant de l’exercice financier 2016-2017 à l’exercice financier 2018-2019.

Étendue de l’audit

La prochaine section et les annexes qui suivent décrivent comment le PAAR traite les domaines dans lesquels le risque est le plus élevé et qui sont les plus importants. Il y a la couverture de toutes les entités vérifiable dont la cote est « Très élevé » et « Élevé » et pour lesquelles il a été déterminé que les travaux d’audit sont une priorité durant la période de trois ans. Ces entités proviennent de l’univers d’audit détaillés à l'annexe A.

Établi par la direction, le profil de risque ministériel est un portrait ponctuel des plus importants risques associés à l’atteinte des objectifs d’Affaires mondiales Canada. Les trois risques ministériels de niveau élevé pour 2016-2017 sont les suivants :

• Sécurité personnelle et matérielle;        
• Cybermenaces et exfiltration d’information;   
• Gestion des urgences et planification de la continuité des opérations.

Le BDPV cherche à fournir une couverture de ces risques dans les audits prévus tel qu’indiqué à l’annexe B.

De plus, étant donné le changement de gouvernement en 2015, le plan d’audit visait également à examiner les lettres de mandat des ministres d’Affaires mondiales Canada par rapport à leurs priorités. Le tableau des concordances entre les priorités et les projets d’audit prévues se trouve à l’annexe D.

À l’appui du rapport annuel du dirigeant principal de la vérification à l’intention du sous-ministre et du Comité de vérification ministériel, le PAAR entend aussi tenir compte de tous les éléments du Cadre de responsabilisation de gestion (CRG) du Conseil du Trésor. Le tableau ci-dessous illustre la mesure dans laquelle les éléments de ce cadre sont couverts dans les audits planifiés pour 2016-2017.

Annexe A – Univers d’audit d’Affaires mondiales Canada

Annexe B – Liens entre les audits de 2016-2019 et le profil de risque du Ministère

Veuillez prendre note que le tableau ci-après ne comprend que les audits liés à un risque du Ministère^{Note de bas de page 11}. D’autres audits prévus peuvent avoir été sélectionnés en fonction de l’évaluation des risques par rapport aux programmes et sous-programmes de l’Architecture d’harmonisation de programmes.

Annexe C – Méthodologie d’évaluation des risques et d’établissement des priorités

Dans le tableau ci-après figurent les facteurs de risque et la pondération ayant servi à évaluer les risques et à classer chaque entité auditable. La cote peut aller de 4 (risque très élevé) à 1 (faible risque). La cote totale de chaque entité est une somme pondérée composée de la cote de chaque facteur de risque.

Annexe D – Concordance entre les priorités issues des lettres de mandat des ministres et les audits prévus

Le tableau suivant fait état de la concordance entre les éléments visés par les audits et les priorités qui reflètent les lettres de mandat des ministres d’Affaires mondiales Canada*.

* Lettres de mandat des ministres