Plan d’audit axé sur le risque 2017-2018

Avril 2017

Introduction

L’objectif de la Politique sur l’audit interne du Conseil du Trésor du Canada est de contribuer à l’amélioration de la gestion du secteur public en assurant une fonction d’audit interne solide, crédible, efficace et viable au sein des ministères et dans l’ensemble du gouvernement. En réponse à cette exigence, Affaires mondiales Canada a mis au point le présent 2017-2018 Plan d’audit axé sur le risque. Ce plan précise les services d’assurance et les services consultatifs que le Bureau du dirigeant principal de la vérification (BDPV) offrira, indépendamment des cadres hiérarchiques, pour établir un régime d’audit interne solide et crédible qui contribue directement à la gestion du risque, au contrôle et à la gouvernance.

Le mandat d’Affaires mondiales Canada^{Note de bas de page 1} est de diriger les relations diplomatiques et consulaires, d’encourager le commerce international du pays et de mener les efforts du Canada en matière de développement international et d’aide humanitaire. En 2015, le ministère des Affaires étrangères, du Commerce et du Développement a été renommé Affaires mondiales Canada, ce qui a permis de fusionner les portefeuilles d’Affaires étrangères, Commerce et Développement Canada en une entité unique en vue d’assurer une plus grande cohésion dans la conduite des affaires étrangères du Canada.

Le Ministère administre un large éventail de programmes de financement afin de protéger les Canadiens et de faire progresser les priorités, les intérêts et le leadership du Canada à l’étranger, notamment par le financement d’organisations internationales. En outre, il offre des services aux entreprises canadiennes, aux Canadiens qui voyagent ou vivent à l’étranger, aux citoyens canadiens ainsi qu’aux représentants étrangers et à leurs personnes à charge au Canada.

Au Canada, Affaires mondiales Canada mène ses activités à l’Administration centrale dans la région de la capitale nationale et dans huit bureaux régionaux situés dans l’ensemble du pays. Il gère aussi plus de 179 missions à l’étranger dans 112 pays^{Note de bas de page 2}. Ces missions abritent des employés du Ministère qui exécutent le mandat d’Affaires mondiales Canada à l’étranger, ainsi que du personnel de 34 ministères et organismes partenaires et cooccupants. Pour l’exercice 2017-2018, les dépenses planifiées sont de 6,09 milliards de dollars^{Note de bas de page 3} et au 31 décembre 2016, Affaires mondiales Canada comptait 9 643 employés actifs dont 6 012 sont des employés canadiens et 3 631 sont des employés recrutés sur place dans les missions à l’étranger^{Note de bas de page 4}.

1.1 But

Le Bureau du dirigeant principal de la vérification d’Affaires mondiales Canada a préparé le présent document à l’intention du sous-ministre afin de décrire le 2017-2018 Plan d’audit axé sur le risque (PAAR ou le Plan) du Ministère. Le plan a été conçu pour appuyer l’affectation des ressources d’audit aux secteurs d’activité qui posent les risques les plus importants pour l’atteinte des objectifs d’Affaires mondiales Canada et pour respecter les exigences de la Politique sur l’audit interne du Conseil du Trésor (1er avril 2017). Dans l’examen de la pertinence de ce plan, le sous-ministre est conseillé par un Comité de vérification ministériel (CMV) indépendant composé de trois membres externes.

1.2 Rôle et portée de l’audit interne

La réalisation d’audits internes au gouvernement du Canada est une fonction d’évaluation professionnelle, indépendante et objective^{Note de bas de page 5}. Aux termes de la Loi sur la gestion des finances publiques, le Ministère est tenu d’avoir des capacités d’audit interne conçues pour ajouter de la valeur aux activités ministérielles en utilisant une approche rigoureuse, fondée sur des éléments probants, pour évaluer et améliorer l’efficacité des processus de gestion des risques, de contrôle et de gouvernance.

L’audit interne assure une supervision des systèmes et pratiques de gestion et, notamment, des nouveaux risques dans un environnement en constante évolution. Afin d’assurer l’indépendance organisationnelle de la fonction d’audit interne, le dirigeant principal de la vérification relève directement du sous-ministre des Affaires étrangères, qui est l’administrateur des comptes du Ministère. Cela permet la prestation de conseils indépendants et objectifs en ce qui concerne la performance opérationnelle, le rendement en matière de protection des biens, la fiabilité et l’intégrité de la reddition de comptes et le respect des lois et politiques.

La pratique d’audit interne d’Affaires mondiales Canada, y compris l’élaboration du plan d’audit axé sur le risque (PAAR), est conforme au Cadre international de référence des pratiques professionnelles de l’Institut des auditeurs internes (IIA), à la série de politiques du Conseil du Trésor, ainsi qu’aux directives du Bureau du contrôleur général (BCG) du Secrétariat du Conseil du Trésor du Canada.

L’Institut des auditeurs internes^{Note de bas de page 6} approuve le modèle des « Trois lignes de maîtrise pour une gestion des risques et du contrôle efficaces » comme moyen explicatif de la relation entre ces fonctions et comme guide pour la répartition des responsabilités :

• Première ligne de maîtrise – fonctions qui endossent et gèrent le risque.  Dans la première ligne de maîtrise, les gestionnaires des opérations sont propriétaires et responsables de l’évaluation, du contrôle et de l’atténuation directs des risques.
• Deuxième ligne de maîtrise – fonctions qui supervisent le risque et la conformité. La deuxième ligne de maîtrise comprend les activités visées par plusieurs composantes de la gouvernance interne (conformité, gestion des risques, qualité, technologie de l’information, et autres fonctions de contrôle). Cette ligne de maîtrise surveille et facilite la mise en place de pratiques efficaces de gestion du risque par la gestion des opérations et aide les responsables des risques à communiquer de l'information appropriée sur les risques à tous les niveaux de l’organisation.
• Troisième ligne de maîtrise – fonctions qui donnent une assurance indépendante. Une fonction d’audit indépendante fournira, par le biais d’une approche axée sur les risques de ces travaux, une assurance au Comité exécutif et à la haute direction de l’organisation. Cette assurance portera sur l’efficacité avec laquelle l’organisation évalue et gère ses risques, et inclura l’assurance de l’efficacité des deux premières lignes de maîtrise. Elle englobe tous les éléments du cadre de gestion des risques d’une institution (de l’identification, de l’évaluation et des réactions au risque à la communication de l’information liée aux risques) et toutes les catégories d’objectifs organisationnels : stratégiques, éthiques, opérationnels, production de rapports et conformité.

Le schéma 1 présente les trois lignes de maîtrise pour une gestion des risques et un contrôle efficaces au sein d’Affaires mondiales Canada. L’audit interne est considéré comme la troisième ligne de maîtrise du Ministère et, à ce titre, joue un rôle prépondérant dans la structure de gouvernance ministérielle afin de fournir une assurance dans les secteurs de la gestion du risque, du contrôle et des processus de gouvernance.

Schéma 1 – Trois lignes de maîtrise – Affaires mondiales Canada

Source : Adapté du document intitulé Prise de position de l’IIA : Les Trois lignes de maîtrise pour une gestion des risques et du contrôle efficaces, janvier 2013

À Affaires mondiales Canada, le Comité exécutif fournit une orientation à la haute direction en déterminant l’appétit pour le risque de l’organisation. Le Comité exécutif a pour objectif de déterminer les principaux risques courus par l’organisation. Ensuite, il s’assure, sur une base permanente, que la haute direction réagit de manière appropriée face à ces risques.

La direction assume la prise en charge et la responsabilité du contrôle pour la gestion du risque d’exploitation. Par conséquent, elle fournit le leadership et l’orientation aux employés concernant la gestion des risques et contrôle l’ensemble des activités à risque de l’organisation en lien avec les niveaux de risque convenus.

Dans le but d’assurer l’efficacité du cadre de gestion du risque d’une organisation, le Comité exécutif doit être en mesure de se fier aux fonctions d’exécution appropriées dans l’organisation, y compris les fonctions de suivi et d’assurance.

Outre la prestation de services de surveillance, le BDPV fait également office de secrétariat du CMV, lequel est composé de trois membres externes indépendants ainsi que de deux membres internes nommés d’office à l’échelon des sous-ministres. Le CMV fournit des avis et recommandations objectifs concernant le caractère suffisant, la qualité et les résultats de l’assurance en ce qui a trait à la pertinence et à l’application du cadre et des processus de gestion des risques, de contrôle et de gouvernance du Mnistère (notamment les systèmes de reddition de comptes et d’audit).

Méthode de planification de l’audit axé sur le risque

Dans le but de répondre à l’exigence de la Directive sur l’audit interne pour la mise en place d’un plan pluriannuel pour l’audit interne, l’évaluation des secteurs de risque d’Affaires mondiales Canada a été réalisée par l’équipe de projet et la direction du BDPV. Le plan a été par la suite mis à jour afin de s’assurer que les ressources d’audit continuent de cibler les secteurs les plus importants et les plus à risque.

Les missions énoncées dans le présent plan ont été sélectionnées à la suite d’un processus exhaustif de planification, décrit ci-dessous.

2.1 Élaboration de l’univers d’audit

L’univers d’audit d’Affaires mondiales Canada a été révisé au début du processus d’élaboration du PAAR de sorte qu’il assure une relation claire avec l’Architecture d’alignement des programmes (AAP) du Ministère, tout en procurant une souplesse maximale pour la conception de missions ciblant les secteurs à risque (se reporter à l’annexe A – Univers d’audit d’Affaires mondiales Canada). L’univers d’audit est composé d’éléments auditables regroupés selon les sous-programmes de l’AAP et des services internes du ministère. Cette approche inclut des éléments au niveau de la prestation des programmes, des services ou des services internes et facilite la prise en considération de missions approfondies verticales ou horizontales à l’échelle ministérielle.

L’AAP et l’organigramme ont été pris en compte dans l’élaboration de l’univers, ainsi que des cadres financiers, d’audit et de TI reconnus tels que COBIT^{Note de bas de page 7} et COSO^{Note de bas de page 8}. Suite à la nouvelle Politique sur les résultats du Conseil du Trésor, le PAA fera l’objet d’une transformation majeure en 2018-2019, puisqu’il devient le Cadre ministériel des résultats. Le BDPV modifiera l’univers d’audit en conséquence d’après les résultats de cet exercice.

2.2 Consultations de la haute direction et examen de la documentation

Le processus du PAAR comprend des consultations des cadres supérieurs représentant chaque direction générale et secteur d’activité du Ministère. Un ensemble de consultations de la haute direction, dont certains sous-ministres adjoints et le comité de gestion ministériel, ont été effectuées pour appuyer le PAAR. Toutes ces consultations ont contribué à l’élaboration du plan. 

L’objectif de ces consultations était d’obtenir des avis sur les risques, les buts organisationnels, les changements à venir et les défis à relever dans l’environnement opérationnel. Les cadres supérieurs étaient invités à fournir des renseignements sur leur zone de responsabilité respective et sur les risques horizontaux à l’échelle du Ministère, d’après leur expérience et leur connaissance des activités.

Un examen exhaustif de documents ministériels et externes a aussi été effectué. Au nombre de ces documents, on compte divers plans internes et externes, des rapports opérationnels, de même que des renseignements sur la surveillance, le rendement, les initiatives à venir et les priorités. L’objectif de cet examen consistait à acquérir des connaissances sur les environnements opérationnels interne et externe.

2.3 Évaluation des risques et établissement de la priorité

Le BDPV a procédé à une analyse ciblée et structurée de l’univers d’audit concernant les risques opérationnels, stratégiques, pour la sécurité, d’atteinte à la réputation et de fraude, au moyen de l’échelle d’évaluation des risques présentée ci-dessous au tableau 1. L’évaluation a également pris en compte les risques relevés dans le cadre de l’exercice annuel de planification des risques organisationnels. Il est important de noter que des estimations de l’importance relative des programmes et des activités ont été prises en compte dans l’évaluation du risque (à moins que des renseignements détaillés n’aient pas été disponibles). Alors que le Ministère termine la fusion des systèmes financiers, on s’attend à ce que les renseignements concernant l’importance relative deviennent de plus en plus précis.

Cette analyse a permis de classer par ordre de priorité les éléments auditables en fonction des risques inhérents et des projets d’assurance passés et futurs (internes et externes), de manière à constituer une base exhaustive pour le choix des projets à inclure dans le présent plan. Pour connaître les résultats des travaux d’évaluation des risques et de priorisation des éléments auditables jugés à risque très élevé ou élevé, veuillez vous reporter à l’annexe B - Évaluation du risque et établissement des priorités des entités auditables.

2.4 Prise en compte des activités d’autres certificateurs

En plus du rôle d’agent de liaison entre le Ministère et les fournisseurs de services de surveillance et d’assurance externes comme le Bureau du vérificateur général du Canada (BVG) et le BCG, le BDPV vise à coordonner les activités liées à la planification de l’audit axé sur le risque avec celles de ces entités afin de : 1) s’assurer que l’audit porte sur les éléments à haut risque ; et 2) réduire les chevauchements et, par conséquent, réduire le fardeau qu’impose un audit sur les entités auditées.

2017-2018 Plan d’audit axé sur le risque

3.1 Vue d’ensemble

La présente section offre une vue d’ensemble du plan d’audit axé sur le risque d’Affaires mondiales Canada.

3.2 Étendue de l’audit

Cette section décrit comment le PAAR traite les domaines dans lesquels le risque est le plus élevé et qui sont les plus significatifs. À l’annexe G - Entités auditables dont la cote est « Très élevé » et « Élevé »,  se trouvent les entités dont la cote est « Très élevé » et « Élevé » et pour lesquelles il a été déterminé que les travaux d’audit sont une priorité. Ces entités proviennent de l’univers d’audit qui est décrit à l’annexe A.

À l’appui du rapport annuel du dirigeant principal de la vérification à l’intention du sous-ministre et du Comité de vérification ministériel, le PAAR entend aussi tenir compte de tous les composantes de gestion du Cadre de responsabilisation de gestion (CRG) du Conseil du Trésor. L’annexe B – Composantes de gestion du Cadre de responsabilisation de gestion couverts par les audits planifiés pour 2017-2018 illustre la mesure dans laquelle les éléments de ce cadre sont couverts dans les audits planifiés pour 2017-2018.

De plus, le plan d’audit visait également à assurer une couverture des lettres de mandat des ministres d’Affaires mondiales Canada, telles que reflétées dans leurs politiques et  priorités en terme de programme. Le tableau des concordances entre les priorités et les projets d’audit prévus se trouve à l’annexe C - Concordance entre les priorités issues des lettres de mandat des ministres et les audits prévus.

Annexe A – Univers d’audit d’Affaires mondiales Canada

Annexe B – Composantes de gestion du Cadre de responsabilisation de gestion couverts par les audits planifiés pour 2017-2018

Annexe C – Concordance entre les priorités issues des lettres de mandat des ministres et les audits prévus

Le tableau suivant fait état de la concordance entre les éléments visés par les audits et les priorités qui reflètent les lettres de mandat des ministres d’Affaires mondiales Canada^{Note de bas de page *}.