Passer au contenu | Passer aux liens institutionnels

Liens de la barre de menu commune

Liens institutionnels

Corporate Management and Comptrollership

GRC National

Ressources

Navigation par

Divulgation proactive

Vérification du Programme de la sécurité du personnel

Rapport final - septembre 2011

Table des matières

Sommaire
1 Réponse de la direction à la vérification
2 Contexte
3 Objectifs, Portée et Méthode
4 Principales constatations
5 Conclusion
ANNEXE A – Politiques
ANNEXE B – Objectifs et Critères de vérification

[*] Un astérisque indique que des renseignements de nature délicate ont été supprimés en vertu de la Loi sur l'accès à l'information.

Sommaire

La vérification du Programme de la sécurité du personnel a été approuvée par le Comité ministériel de vérification dans le cadre du Plan de vérification axée sur les risques de 2010-2013. La vérification avait pour objectifs d’évaluer l’efficacité des activités du Programme de la sécurité du personnel en place afin de veiller à ce que la GRC respecte les exigences des politiques en la matière, et d’évaluer la pertinence du cadre de contrôle de la gestion en place pour assurer que la GRC réalise ses objectifs en matière de sécurité du personnel.

[*].

Malgré ce qui précède, nous avons constaté que certaines mesures ont été appliquées ces dernières années pour accroître l’efficacité du Programme de la sécurité du personnel. Ainsi, depuis 2005, [*] avant d’être admis à la GRC. De plus, nous avons observé un sens du dévouement certain chez les membres du Programme à la grandeur du pays. Ces personnes se sont engagées à faire en sorte que le Programme réalise ses objectifs.

En général, la direction doit élaborer de meilleures stratégies et mesures du rendement afin de permettre à la GRC de contrôler et d’évaluer dans quelle mesure le Programme de la sécurité du personnel atteint ses objectifs. Une première mesure importante consiste à entamer un examen exhaustif du Programme comportant une analyse approfondie des risques associés à celui-ci. De plus, l’examen devrait permettre d’établir une compréhension nette des niveaux de tolérance aux risques des cadres supérieurs concernant le Programme.

La vérification comprend des recommandations en vue d’améliorer l’efficacité et le contrôle du Programme. Les plans d’action de la direction faisant suite à ces recommandations sont judicieux et permettront d’apporter les améliorations nécessaires.

La GRC suivra la mise en œuvre des plans d’action de la direction et fera une vérification de suivi au besoin.

1. Réponse de la direction à la vérification

Je suis heureuse de vous présenter mes commentaires sur la vérification du Programme de la sécurité du personnel. Nous acceptons les constatations de la vérification. Le rapport présente trois recommandations et des suggestions relatives à des questions de moindre importance

La Sous-direction de la sécurité ministérielle (SDSM) continue d’évoluer, d’innover et d’améliorer ses processus en vue « d’assurer et de préserver la sécurité de la GRC contre les menaces externes et internes au moyen d’un cadre détaillé pour la sécurité afin d’assurer l’efficacité opérationnelle, la sécurité des agents ainsi que l’intégrité et la capacité opérationnelles. »

La Norme sur la sécurité du personnel du Conseil du Trésor du Canada (CTC) établit les normes minimales en matière d’enquête de sécurité qui permettent d’évaluer la fiabilité d’une personne et, en ce qui concerne la sécurité nationale, sa loyauté. La politique de la GRC relative à la sécurité du personnel, c’est-à-dire le Manuel de la sécurité, établit des normes qui surpassent les normes minimales du Conseil du Trésor susmentionnées. Étant donné le niveau très bas en matière de tolérance au risque des menaces internes à la GRC, les exigences relatives à l’enquête de sécurité sont beaucoup plus strictes pour les personnes devant avoir accès aux renseignements, aux installations et aux systèmes de nature délicate de la GRC, par rapport aux autres ministères.

La question de la structure de reddition de compte est débattue depuis des années et a été documentée dans un examen de gestion antérieur. Elle doit être réabordée tant au niveau du centre de décision national qu’aux niveaux régionaux. Le fait que cette structure soit actuellement répartie entre les Opérations techniques, la Gestion générale et les Ressources humaines empêche l’organisation d’avoir une vision nette du programme. Le manque de ressources financières et humaines dans les régions allié au taux de roulement relativement élevé du personnel contribue également à la difficulté de mettre en œuvre des changements et, d’améliorer le rendement.

[*], et nous sommes déterminés à corriger les lacunes relevées par la vérification.

Line Carbonneau, sous-commissaire
Soutien aux services de police

2. Contexte

Conformément à la Politique du gouvernement sur la sécurité (PGS) du Conseil du Trésor, les ministères sont tenus de veiller à ce que toutes les personnes ayant accès à des biens et à des renseignements du gouvernement soient fiables et dignes de confiance et, en ce qui concerne la sécurité nationale, loyales. En outre, la Norme sur la sécurité du personnel du Conseil du Trésor précise que : « la Politique sur la sécurité exige que les employés fassent l'objet d'une enquête de sécurité sur le personnel si leurs fonctions ou leurs tâches justifient l'accès à des renseignements et à des biens de nature délicate. Cette exigence s'applique à tous les postes et à toutes les étapes du processus contractuel; elle s'applique également lorsqu'une personne, de par ses fonctions ou ses tâches, s’associe à des personnes clés ou encore a accès à des installations revêtant un intérêt national et peut, de ce fait, avoir régulièrement et constamment accès à des renseignements et à des biens classifiés. Les employés ne peuvent pas être nommés à un poste ou accéder à des renseignements et à des biens de nature délicate tant que durent les vérifications. »

La Section de la sécurité du personnel (SSP) est chargée d’élaborer et de mettre en oeuvre une politique conformément à la PGS et à la Norme sur la sécurité du personnel. À cet égard, la SSP surpasse les exigences du CTC dans la mesure où elle effectue des vérifications de sécurité additionnelles pour satisfaire aux besoins particuliers de la GRC en matière de sécurité. La SSP relève de la Sous-direction de la sécurité minitérielle (SDSM), laquelle relève de l’agent de la sécurité ministérielle (ASM).

Voici, dans le détail, les responsabilités de la SSP :

effectuer l’enquête de sécurité de toutes les personnes nécessitant l’accès aux biens, aux installations et aux renseignements de la GRC, ou qui s’en verront confier la responsabilité;
offrir des conseils, établir une liaison et consulter les centres de décisions de la GRC, d’autres ministères fédéraux et des organismes d’application de la loi canadiens et étrangers;
veiller au maintien de l’intégrité de la cote de fiabilité de la GRC et de la cote de sécurité par des mises à jour périodiques et en révisant la cote d’une personne lorsqu’il y a lieu de remettre en cause sa fiabilité ou sa loyauté;
fournir des directives au personnel des sections de la sécurité ministérielle (SSM) régionales dans l’exécution de leurs fonctions déléguées dans le cadre du Programme.

La cote de fiabilité de la GRC, qui est un préalable à l’obtention de la cote de sécurité, comprend la confirmation de l’identité de la personne, ainsi qu’une évaluation de son honnêteté, de son intégrité et de sa fiabilité.

En juin 2010, la vérification du Programme de la sécurité du personnel a été approuvée par le Comité ministériel de vérification dans le cadre du Plan de vérification axée sur les risques de 2010-2013. Au cours de la planification de la vérification, on a effectué une évaluation des risques, notamment en réalisant des entrevues auprès des cadres supérieurs de la SDSM et des sections de la sécurité ministérielle régionales. [*]. À ce sujet, la haute direction de la SDSM a déclaré que sa tolérance aux risques relativement aux menaces internes était très faible.

Par menace interne, la SDSM entend toute personne ou tout groupe ayant des connaissances spécialisées ou un accès à des renseignements ou à des biens critiques au sein d’une organisation et qui compte s’en servir pour causer un préjudice, un danger ou en tirer un gain personnel. [*].

3. Objectifs, Portée et Méthode

3.1 Objectifs

La vérification avait pour objectifs :

d’évaluer l’efficacité des activités du Programme de la sécurité du personnel en place afin de veiller à ce que la GRC respecte les exigences de la politique en la matière;
d’évaluer la pertinence du cadre de contrôle de la gestion en place pour assurer que la GRC réalise ses objectifs en matière de sécurité du personnel.

3.2 Portée

La portée de la vérification a été effectuée au niveau national et elle s’appliquait à l’ensemble des régions (y compris la Direction générale) et était axée sur les divers processus d’enquête de sécurité (à savoir, l’attribution initiale, la mise à jour, le relèvement de la cote et l’accès aux installations) pour toutes les personnes nécessitant la cote de fiabilité de la GRC et la cote de sécurité.

Afin d’assurer la pertinence des éléments probants, on a examiné un échantillon de dossiers de l’exercice 2009-2010 afin de déterminer la conformité aux dispositions du Manuel de la sécurité de la GRC.

3.3 Méthode

La mission de vérification a été planifiée et menée en fonction des normes relatives à la vérification interne du gouvernement du Canada, et sa conformité à ces normes a été reconnue. L'équipe de vérification s'est penchée sur les preuves pertinentes et a obtenu suffisamment de renseignements et d'explications pour pouvoir donner des assurances quant à ses conclusions.
On a terminé la planification de la vérification en octobre 2010. Au cours de cette phase, l’équipe de vérification a examiné le cadre de gestion, les politiques, les pratiques et les procédures relatives à la sécurité du personnel. Si la SSP n’a pas élaboré d’objectifs bien définis, l’équipe de vérification juge que l’efficacité des processus relatifs à la sécurité du personnel constitue l’objectif principal de la SSP, et l’efficience, son deuxième objectif. Les critères de vérification utilisés pour élaborer les tests voulus étaient fondés sur les politiques du CTC et de la GRC, ainsi que sur le Modèle de base pour le contrôle de la gestion (ébauche), et étaient conformes au Cadre de responsabilisation de gestion. Ces critères figurent à l’Annexe B – Objectifs et critères de vérification.
La phase d’examen, qui s’est conclue en février 2011, comportait différentes techniques, dont l’examen des dossiers, des entrevues, des observations et l’examen de la documentation. On a visité les sections de la sécurité ministérielle régionales, ainsi que la SDSM à Ottawa. À l’issue de chaque visite, l’équipe de vérification a tenu des réunions de bilan pour informer la haute direction de ses constatations.

4. Principales Constatations

Efficacité des activités du Programme de la sécurité du personnel

[*].

Attribution des cotes de fiabilité et des habilitations sécuritaires de la GRC

Conformément à la politique, on doit effectuer des vérifications avant d’attribuer une cote de fiabilité ou une cote de sécurité. Ces vérifications visent à établir l’honnêteté, la fiabilité et l’intégrité de la personne. Ces vérifications sont obligatoires pour toutes les personnes qui nécessitent l’accès à des installations, des biens, des systèmes et des renseignements classifiés.

Selon notre examen de l’attribution de 57 cotes de fiabilité et de 52 habilitations sécuritaires (Secret et Très Secret), [*]:

[*]. Cette entrevue constitue une occasion supplémentaire d’évaluer l’identité et la validité de la personne. De plus, on doit souligner que le risque d’attribuer une cote de sécurité à un membre régulier qui ne le mérite pas est encore atténué par [*].

Même si un prélèvement d’empreintes digitales [*]. On nous a informés que les empreintes digitales sont prélevées [*]. De telles vérifications sont effectuées de façon périodique pour tous les employés de la GRC.

Outre l’examen des dossiers, la revue des données du SIGRH à l’exercice 2009-2010 nous a permis de relever le cas de [*]. Si nous n’avons pu valider la fiabilité des données tenues dans le SIGRH, il reste que d’engager une personne avant qu’elle n’ait reçu sa cote de fiabilité ou sa cote de sécurité n’est pas permis, car cela augmente le risque qu’une personne qui ne le mérite pas ait accès à des installations, des biens, des systèmes ou des renseignements classifiés. [*].

Attribution de l’accès aux installations

L’accès aux installations est accordé aux personnes qui [*].

D’après les résultats de notre examen de 107 dossiers d’attribution d’accès aux installations, [*].

Aux termes du Manuel de la sécurité, on compte quatre niveaux d’accès aux installations. [*].

Comme pour les cotes de fiabilité et les habilitations sécuritaires, nous avons examiné les données du SIGRH relativement à l’attribution de l’accès aux installations. Selon les données extraites en novembre 2010, [*].

Mises à jour périodiques

Une mise à jour consiste en l’examen périodique de la cote de sécurité. [*]. Le cycle de mise à jour de la GRC est [*] pour la cote de fiabilité et la cote de sécurité Secret, et [*] pour la cote de sécurité Très Secret. Ce cycle de mise à jour n’exempte pas la Section de la sécurité du personnel de réviser plus souvent la cote de fiabilité ou la cote de sécurité pour un motif valable.

L’examen de 83 dossiers de mises à jour [*].

[*]. Par exemple, il existe des liens avec d’autres groupes de travail qui aident la Section de la sécurité du personnel à détecter les menaces internes et à intervenir. Des signaux d’alarmes lancés par les systèmes de technologie de l’information et les enquêtes relatives au code de déontologie sont bien transmis aux sections régionales de la sécurité du personnel. De plus, le schéma du processus de la sécurité du personnel comporte des exemples de liens à d’autres fonctions administratives qui aident à prévenir, à détecter et à supprimer les menaces internes. Tel que mentionné précédement, les empreintes digitales de tous les employés de la GRC sont vérifiées périodiquement dans une base de données nationale afin de détecter tout lien à une activité criminelle.

[*].

Mise à jour supplémentaire

Conformément au Manuel de la sécurité, « lorsque l'employé a l'intention de se marier ou d'entreprendre une relation quelconque qui comporte le partage d'une résidence commune, il doit immédiatement présenter le formulaire d’autorisation de sécurité ainsi qu'une note de service à son superviseur qui fera parvenir les renseignements à la SSM régionale. » En outre, l’employé est tenu d’informer la Section de la sécurité du personnel lorsqu’il entend exercer un emploi secondaire. Ces mises à jour dites « supplémentaires » aident à [*]. La SDSM a élaboré un cours de sensibilisation à la sécurité en ligne qui couvre les responsabilités de l’employé en ce qui concerne le processus d’habilitation sécuritaire (y compris les mises à jour supplémentaires). [*].

Relèvement de la cote de sécurité

Toutes personnes doivent avoir une cote de sécurité équivalant au plus haut niveau de classification ou de désignation de l’information, des systèmes, de l’accès ou des installations auxquels le titulaire doit avoir accès. Lorsque le niveau de sécurité d’un poste ou de fonctions est changé à un plus haut niveau, la cote de sécurité du titulaire doit l’être également.

D’après notre examen de 103 dossiers de relèvement de la cote, [*].

Réactivation de la cote de fiabilité de la GRC ou de la cote de sécurité

Par réactivation, on entend le rétablissement de la cote de fiabilité de la GRC ou de la cote de sécurité. La réactivation est nécessaire lorsqu’une personne retourne au travail après une absence résultant : d’une suspension, d’un congé de maladie ou d’un congé d’études, entre autres.

D’après les résultats de notre examen de 29 dossiers de réactivation, [*].

[*] de sécurité fournit une occasion supplémentaire de comprendre et d’évaluer les activités et les associations de la personne durant son absence de la GRC.

Refus de la cote de fiabilité de la GRC ou de la cote de sécurité

Nous avons été informés par les SSM régionales qu’en raison notamment du long processus de refus, au lieu de signifier un refus formel à une personne, les SSM régionales :

[*];
[*]; ou
[*].

Ces modalités officieuses ne sont pas conformes aux exigences formelles de refus précisées dans le Manuel de la sécurité. Par ailleurs, elles empêchent de bien [*].

Surveillance et supervision du processus d’enquête de sécurité

[*].

Responsabilité fonctionnelle

Afin de permettre à l’ASM d’exercer une autorité suffisante sur le processus d’enquête de sécurité, la PGS précise qu’il doit relever fonctionnellement du Commissaire ou de l’État-major supérieur. L’ASM de la GRC relève du troisième niveau sous le Commissaire, à savoir, du commissaire adjoint aux Opérations techniques.

De même, dans les régions, les SSM régionales relèvent de l’agent des ressources humaines (ARH) ou de l’agent de la gestion générale (AGG), plutôt que de la SDSM. Cette structure hiérarchique est à l’origine de [*] entre l’ARH ou l’AGG et la SDSM. Notamment, on a constaté une [*].

Gestion du risque

[*]. En 2010, la SDSM a évalué la qualité des dossiers régionaux d’habilitation sécuritaire. Cet examen a confirmé que [*].

[*].

Par conséquent, il est [*]. La SDSM doit veiller à ce que les processus d’attribution de la cote de fiabilité de la GRC et de la cote de sécurité soient conformes au niveau de tolérance au risque des cadres supérieurs de la GRC.

Surveillance

Les ministères sont chargés de veiller à l’exécution d’examens périodiques pour évaluer l’efficacité du programme de sécurité ministérielle; ils doivent égalememenet voir si les buts, les objectifs stratégiques et de contrôle précisés dans leur plan de sécurité ont été atteints et si le plan de sécurité ministériel demeure pertinent pour les besoins du ministère et du gouvernement.

[*].

Assurance de la qualité

L’assurance de la qualité (AQ) permet un degré de supervision supplémentaire du traitement des dossiers de la sécurité du personnel. La SDSM a élaboré des guides d’AQ comme première étape en vue d’établir une fonction nationale d’AQ.

[*].

Formation

Une formation formelle est offerte, mais sa prestation est sporadique, et elle n’est pas suivie par tous. Toutefois, une formation informelle est offerte par les SSP à l’échelle du pays par voie de formation en milieu de travail et par jumelage. Si certains n’ont pas reçu de formation spécifique à leur rôle en sécurité du personnel, ils sont néanmoins à l’aise dans leurs fonctions en raison de leur vaste expérience policière.

Séparation des tâches

Afin de faire en sorte que tous les dossiers de la sécurité du personnel soient traités conformément aux politiques et aux normes de façon à atténuer le risque d’erreurs, il devrait y avoir une séparation nette des tâches entre la personne qui traite un dossier et la personne chargée de l’approuver. De même, une séparation judicieuse des tâches favorisera le traitement objectif des dossiers. [*].

En mai 2010, on a retiré le pouvoir d’autoriser les cotes de fiabilité de la GRC chez les analystes régionaux de la sécurité du personnel. [*].

Entrevue de sécurité

Dans certaines régions, l’entrevue de sécurité est souvent administrée par [*]. La personne qui administre l’entrevue pourra être un chef de détachement ou un simple gendarme. [*].

Mises à jour des politiques

La SDSM a communiqué de nombreux changements de directives afin de favoriser l’amélioration continue et la modernisation de ses pratiques. En tout, elle a diffusé 26 changements entre 2008 et 2010. Ces changements sont fréquemment communiqués aux régions par voie de téléconférence, note de service et courriels, entre autres. Toutefois, [*]. Ce qui réduit d’autant la probabilité que les dossiers de sécurité soient traités [*]. De plus, nous avons relevé de légères incohérences entre les dispositions du [*].

Recommandations

Le s.-comm. au Soutien aux services de police et l’ASM devraient amorcer un examen du programme de la sécurité du personnel qui comprendrait une analyse approfondie des risques liés au processus d’enquête de sécurité, dont l’établissement d’une structure de reddition de comptes appropriée. Au minimum, un tel examen devrait aborder [*].
Le s.-comm. au Soutien aux services de police et l’ASM devraient définir, documenter et communiquer les niveaux de tolérance au risque des cadres supérieurs afin de faire en sorte qu’ils soient bien compris et [*].
Le s.-comm. au Soutien aux services de police et l’ASM devraient [*] qui permettront à la GRC de surveiller et d’évaluer dans quelle mesure le Programme de la sécurité du personnel atteint ses objectifs de manière efficace et efficiente.

Plan d’action de la direction

Une conférence de planification de trois à quatre jours aura lieu [*] et réunira le resp. de la SSP et de la SSM régionale et des analystes supérieurs des cinq régions pour donner suite aux lacunes relevées dans la vérification, à savoir :

un outil a été élaboré pour suivre l’échéancier de mise en œuvre de chaque recommandation;
amélioration du processus de mise à jour du Manuel de la sécurité;
[*];
[*];
[*];
[*].

La conférence nous permettra de définir les pratiques actuelles et d’adopter par consensus une pratique [*].

Jalons :

[*] - élaboration de l’ordre du jour
[*] - conférence de planification
[*] - entente sur les modalités à suivre pour le processus d’enquête de sécurité

Responsables : s.-comm. au Soutien aux services de police, agent de la sécurité ministérielle
Date d’achèvement : [*]

1.a) Comme mesure provisoire, on mettra en oeuvre une liste de vérification électronique pour [*]. La SDSM a terminé la révision de la liste de vérification en juin 2011, puis l’a diffusée aux régions en juillet aux fins d’examen.

Jalons :

[*] - rétroaction exigée
[*] - discussion à la conférence de planification
[*] - mise en œuvre nationale

Responsables : s.-comm. au Soutien aux services de police et agent de la sécurité ministérielle
Date d’achèvement : [*]

1. b) L’ASM consultera les deux états-majors régionaux d’ici [*], afin d’élaborer une proposition viable en matière de structure de reddition de comptes. La proposition sera présentée à l’État-major supérieur aux fins d’approbation. L’ASM a rencontré le s.-comm. de l’Ouest et l’État-major régional en juin 2011.

Jalons :

[*] - L’ASM rencontre le s.-comm. de l’Est et l’État-major de la Région du Centre.
[*] - L’ASM rencontre le s.-comm. de l’Est et l’État-major de la région de l’Atlantique
[*] - Une autre consultation assortie d’une analyse des options et préparation à la présentation à l’EMS
[*] - présentation à l’EMS

Responsables : Le s.-comm. au Soutien aux services de police; le s.-comm. de l’Ouest; le s.-comm. de l’Est et l’agent de la sécurité ministérielle.
Date d’achèvement : [*]

2.a) La SDSM définira et documentera les niveaux [*] à la conférence [*] et les communiquera aux cadres supérieurs par l’entremise du s.-comm. au Soutien aux services de police et des SSM régionales.

Jalons :

[*] - discussion sur la politique actuelle sur la sécurité du personnel
[*] - amélioration des politiques sur la sécurité du personnel par suite des recommandations faites à la conférence
[*] - élaboration d’une stratégie de communication fondée sur les niveaux acceptés de tolérance au risque
[*] - les niveaux de tolérance au risque seront communiqués aux cadres supérieurs et aux régions