Audit de la gestion de la continuité des activités

Version PDF

Le 26 juin, 2026

Direction de l’audit interne
Secteur de l’audit interne et de l’évaluation

Table des matières

Sommaire

Objectif de l’audit interne

Le présent audit a examiné la pertinence de la gestion de la continuité des activités (GCA) du ministère de la Justice Canada afin d’assurer la disponibilité continue de ses services et ressources essentiels pour assurer le bon fonctionnement du gouvernement en cas de perturbation.

Principales constatations

Constats positifs

Domaines à améliorer

Opinion et conclusion de l’audit

Le ministère de la Justice Canada dispose d’un Programme de GCA qui soutient et lui permet de maintenir sa capacité à fournir ses services essentiels et non essentiels. Cela comprend les services ou les activités qui permettent ou appuient directement la prestation de ces services essentiels aux Canadiens et aux autres ministères en cas de perturbation.

Au moment du présent audit, le Ministère était en train de mettre à jour son Programme de GCA en établissant un cadre solide et fondamental, destiné à permettre son perfectionnement et son amélioration continus.

Afin d’améliorer davantage le Programme, le Ministère devrait tirer parti des leçons apprises dans d’autres disciplines liées à la résilience organisationnelle pour renforcer sa capacité à réagir efficacement aux perturbations et à en tirer des leçons; il devrait clarifier les mécanismes de supervision et de reddition de comptes, et contribuer à garantir que les pratiques et les processus de GCA soient exécutés conformément au cadre de GCA; et il devrait adopter une approche plus coordonnée pour partager l’information et documenter les décisions en cas de perturbations.

Réponse de la direction

La direction souscrit aux constatations de l’audit, accepte les recommandations présentées dans le présent rapport, et a élaboré un plan d’action afin d’y donner suite. Ce plan d’action de la direction a été intégré au présent rapport.

1 Énoncé de conformité

En tant que dirigeante principale de l’audit et de l’évaluation, j’estime que l’audit a été mené en conformité avec les Normes internationales d’audit interne, comme en témoignent les résultats du Programme d’assurance et d’amélioration de la qualité.

Présenté par :

Tricia Goulbourne
Dirigeante principale de l’audit et de l’évaluation
Ministère de la Justice Canada

Date

2 Remerciements

La dirigeante principale de l’audit et de l’évaluation tient à remercier l’équipe d’audit et les personnes qui ont contribué à cette mission, en particulier les employés qui ont fourni des informations et des commentaires dans le cadre de cet audit.

3 Contexte

La gestion de la continuité des activités (GCA) aide les organismes à déterminer leurs services et fonctions essentiels et non essentiels, et fournit un cadre permettant de renforcer leur résilience et leur capacité à réagir efficacement aux menaces émergentes ou à se rétablir après des perturbations. Les événements et les perturbations désignent des situations qui ont une incidence réelle ou éventuelle sur les activités opérationnelles d’un organisme. Ces événements ou perturbations peuvent être anticipés ou survenir soudainement.

Au sein du gouvernement du Canada (GC), la GCA est régie par des lois, des politiques et des directives clés :

Conformément à la Politique sur la sécurité du gouvernement, Sécurité publique Canada (SP) a produit le Guide du programme de gestion de la continuité des activités (le Guide) qui adapte les pratiques exemplaires de l’industrie au contexte du GC et aide les organismes fédéraux à mettre en œuvre les procédures obligatoires de GCA décrites dans la Directive sur la gestion de la sécurité (DGS).

Pour le ministère de la Justice Canada (Justice Canada ou le Ministère), le Plan de la continuité des activités consolidé (maintenant connu sous le nom de Plan stratégique de continuité des activités [PSCA]) a été élaboré pour la première fois en 2015 et mis à jour pour la dernière fois en 2016. Afin de se conformer aux directives fournies par SP et d’actualiser son Programme de GCA, le Ministère a publié un Cadre de gestion de la continuité des activités (2023). Ce cadre décrivait la gouvernance et les principaux éléments de la planification de la continuité des activités du Ministère afin d’aider les personnes participant à l’élaboration, à la mise en œuvre et à la tenue à jour de ses PCA. Dans le cadre de cet effort, le Ministère a également défini ses services essentiels et non essentiels ainsi que ses fonctions habilitantes connexes.

Services essentiels et/ou non essentiels

  • Programme de la Loi d’aide à l’exécution des ordonnances et des ententes familiales
  • Services juridiques au ministre de la Justice et procureur général du Canada, au sous-ministre de la Justice et aux autres ministres du gouvernement fédéral
  • Demandes d’entraide judiciaire internationale et dossiers d’extradition
  • Vérifications judiciaires qui appuient les nominations judiciaires et le bon fonctionnement des cours et tribunaux

Fonctions habilitantes connexes

  • Technologie de l’information
  • Services de communication
  • Opérations comptables

La mise en œuvre des Plans de la continuité des activités (PCA) du Ministère, conformément au Plan de la continuité des activités consolidé, s’applique à tout incident important susceptible de perturber les services essentiels. Voici des exemples d’incidents importants : les risques liés à la sécurité physique ou à la cybersécurité; les risques pesant sur les ressources humaines, l’infrastructure ou les actifs informationnels du ministère de la Justice; les situation d’urgence entraînant la mise en œuvre de deux plans de la continuité ou plus, y compris le transfert de ressources vers d’autres sites planifiés à l’avance, ainsi que la récupération ou le remplacement de biens.

Afin d’assurer une coordination efficace dans l’élaboration, la mise en œuvre et le maintien d’un programme de GCA, les organismes fédéraux devraient établir ou définir un organe de gouvernance chargé de superviser leur programme de GCA au sein de leur structure de gouvernance. La gouvernance de la GCA de Justice Canada est assurée par le Comité stratégique de gestion des urgences (CSGU) et le Comité national de gestion de la continuité des activités (CNGCA).

La Division de la sûreté, de la sécurité et de la gestion des urgences (DSSGU) relève de la Direction des services ministériels, sous la direction de la dirigeante principale de la sécurité (DPS), au sein du secteur de la gestion du Ministère. Elle sert de centre d’expertise en matière de GCA. La DSSGU est responsable de la mise en œuvre du Programme de GCA du Ministère, notamment de la coordination des exercices et des tests des PCA. Les cadres supérieurs du ministère de la Justice et les représentants de la GCA jouent également un rôle important dans la GCA, mais des contributions sont apportées à tous les niveaux.

Les coordinateurs de la gestion de la continuité des activités (coordinateurs de la GCA), y compris leurs remplaçants désignés, sont essentiels au succès du Programme de GCA du Ministère. Les coordinateurs de la GCA sont nommés par le gestionnaire principal de leur direction générale, secteur, portefeuille ou direction et sont chargés de définir, de documenter et de tenir à jour les pratiques et processus de continuité des activités pour leur direction générale, portefeuille, secteur ou direction respectif, ainsi que de collaborer avec les partenaires et les parties concernées, y compris les entités de la chaîne d’approvisionnement. Les coordinateurs de la GCA se concentrent sur l’application de la GCA sur le plan opérationnel.

Dans le cadre des efforts déployés par Justice Canada pour actualiser son Programme de gestion de la continuité des activités (Programme de GCA), le Ministère a adopté les nouveaux outils et modèles fournis par SP pour son analyse des impacts sur les activités (AIA) et ses PCA. Au moment de l’audit, les AIA avaient été réalisées et mises à jour à l’aide du nouveau modèle pour tous les services essentiels et non essentiels. Le Ministère prévoit mettre à jour son PSCA à la suite de la mise à jour des PCA opérationnels (c.-à-d. les PCA par direction générale, portefeuille, secteur, direction responsable des services essentiels et non essentiels), qui adopteront un nouveau modèle conforme aux directives de SP.

4 Constatations, recommandations et réponse et plan d’action de la direction

Cette section présente les constatations et les recommandations découlant des travaux d’audit. L’audit a été effectué en fonction des secteurs d’intérêt et des critères d’audit établis à l’étape de la planification, qui sont présentés à l’annexe A du présent rapport.

4.1 Planification et stratégies de continuité

Justice Canada disposait d’un Programme de gestion de la continuité des activités continuellement mis à jour et amélioré. Toutefois, le Ministère pourrait renforcer sa capacité de réagir efficacement aux perturbations et d’en tirer des enseignements en élaborant davantage de stratégies de continuité, en mettant à jour son Plan stratégique de continuité des activités et en s’appuyant sur les leçons tirées d’autres disciplines liées à la résilience organisationnelle.

Justice Canada disposait d’un programme officiel de gestion de la continuité des activités continuellement mis à jour et amélioré.

Le cycle de vie de la GCA, tel qu’il est décrit dans le Guide du programme de gestion de la continuité des activités 2023 (le Guide) de SP, « fournit un cadre pour renforcer la résilience organisationnelle en planifiant et en adaptant les capacités d’intervention qui protègent ses activités critiques ». Le cycle de vie comprend six éléments qui s’articulent autour d’étapes générales visant à s’assurer que le Programme de GCA répond aux exigences stratégiques et aux pratiques exemplaires. Ces six éléments sont : Gérer, Analyser, Planifier, Sensibiliser, Valider et Améliorer; chacun comportant ses propres étapes et pratiques exemplaires.

Au moment de l’audit, le Programme de GCA de Justice Canada se trouvait dans la phase Améliorer (maintenance et amélioration) de son cycle de vie. Il disposait d’un cadre de GCA en place, conforme aux directives fournies par SP, et continuait de prendre des mesures pour actualiser son Programme de GCA en adoptant de nouveaux outils et modèles.

Les stratégies de continuité prévues dans les plans de la continuité des activités n’étaient pas pleinement définies, ce qui limitait l’information nécessaire à la mise à jour du Plan stratégique de continuité des activités.

Les stratégies de continuité des activités prévoient des solutions et des ressources de remplacement pouvant être mises en place pour réduire au minimum les temps d’arrêt, tandis que les PCA fournissent aux organismes les étapes à suivre pour gérer efficacement les événements et maintenir la prestation des services essentiels de leur organisme. Suivant le cadre de GCA, les coordinateurs de la GCA des secteurs et des portefeuilles sont responsables de définir leurs propres stratégies de continuité des activités dans le cadre de leur PCA. Au cours de son examen, l’équipe d’audit a examiné un échantillon de PCA afin d’évaluer s’ils comprenaient des stratégies de continuité des activités visant à maintenir ou à rétablir les services essentiels du Ministère en cas de perturbation. Elle a constaté que les stratégies n’étaient pas pleinement définies dans les PCA opérationnels. Les principales catégories de ressources avaient été prises en compte à divers degrés (c.-à-d. les personnes, les installations, l’équipement, etc.), mais il manquait plusieurs caractéristiques de mise en œuvre des stratégies de continuité, comme le suggèrent les directives de SP (soit l’adaptabilité, la durabilité, l’évolution et la flexibilité). L’audit a également révélé que, bien que la plupart des PCA inclus dans l’échantillon aient été mis à jour au cours des deux dernières années, aucun des PCA de l’échantillon n’avait été mis à jour à l’aide du nouveau modèle afin de se conformer aux directives fournies par SP. Même si l’utilisation des nouveaux modèles fournis par SP n’était pas une exigence stricte, ces modèles auraient pu aider le Ministère à cerner et à combler les lacunes afin de peaufiner davantage les PCA dans des domaines comme les solutions de rechange en cas de perturbations des TI, le transfert de la charge de travail, les éléments de durabilité relatifs aux stratégies concernant les lieux de remplacement, et plus encore.

De plus, au moment de l’audit, le Ministère attendait la finalisation des PCA opérationnels pour ses services essentiels avant de mettre à jour son Plan stratégique de continuité des activités, qui n’avait pas été mis à jour depuis 10 ans (depuis 2016). En l’absence de stratégies de continuité à jour, les équipes ministérielles pourraient être exposées à un risque accru de ne pas être en mesure de fournir leurs services de manière uniforme et en temps opportun en cas de perturbation. Cela pourrait entraîner des répercussions telles qu’une atteinte à la réputation, des pertes financières ou des tensions dans les relations avec les clients.

Bien que toutes les perturbations ne nécessitent pas la mise en œuvre d’un PCA, celles qui sont gérées en dehors du cadre de GCA n’ont pas été systématiquement documentées ni mises à profit pour une amélioration continue.

Comme il a été mentionné plus haut, selon le PCA consolidé, les PCA du Ministère sont mis en œuvre en cas d’incident important susceptible d’entraîner une perturbation des services essentiels. Voici des exemples d’incidents importants : les risques liés à la sécurité physique ou à la cybersécurité; les risques pesant sur les ressources humaines, l’infrastructure ou les actifs informationnels du ministère de la Justice; une urgence entraînant la mise en œuvre de deux plans de continuité ou plus, impliquant possiblement le transfert de ressources vers d’autres sites planifiés à l’avance, la récupération ou le remplacement de biens. Au cours des entrevues, les parties concernées ont indiqué que les décisions de mettre en œuvre le PCA étaient prises par le responsable du service essentiel ou non essentiel, en fonction des répercussions d’une perturbation sur la prestation du service. Ainsi, tous les incidents (p. ex. pannes informatiques, alarmes incendie, tempêtes de neige ou problèmes d’installation) ne déclencheraient pas automatiquement la mise en œuvre d’un PCA. La mise en œuvre du PCA serait envisagée si les seuils de prestation de services établis étaient dépassés ou risquaient de l’être (p. ex. six heures de temps d’arrêt maximal admissible), ce qui serait évalué par les divers niveaux de gouvernance.

Dans le cadre de l’audit, l’équipe a sélectionné deux perturbations survenues au cours de la période couverte, afin de comprendre comment les processus décisionnels ont été menés et quels renseignements ont été consignés pendant ces incidents. Bien que l’audit n’ait pas évalué la justification du déploiement officiel du PCA, l’équipe s’attendait à trouver une trace documentée détaillant la nature de la perturbation, la séquence des mesures, les répercussions, les décisions prises, ainsi que tout analyse ou examen rétrospectif effectué après la perturbation. Au cours des entrevues, les parties concernées ont expliqué que le Ministère n’avait pas mis en œuvre ses PCA opérationnels pour les services essentiels ou non essentiels touchés. Au lieu de cela, les perturbations ont été gérées au moyen du processus de gestion des incidents informatiques du Ministère, qui est assuré par la Direction générale des solutions d’information (DGSI) de Justice Canada. Comme ces perturbations ont été gérées au moyen du processus de gestion des incidents informatiques de la DGSI et non par les PCA, les efforts de communication et les discussions rétrospectives n’ont pas été officiellement documentés ni communiqués au coordinateur national de la GCA du Ministère. L’équipe d’audit n’a pas non plus été en mesure d’obtenir des renseignements ou des documents concernant les mesures correctives qui auraient pu être envisagées, surveillées ou mises en œuvre comme des domaines d’amélioration pour le programme de GCA du Ministère. Bien que toutes les perturbations ne déclenchent pas la mise en œuvre d’un PCA, les perturbations ou les événements importants doivent être documentés par les secteurs d’activité, en fonction d’une approche fondée sur les risques. Le cycle de vie de la GCA, plus particulièrement l’élément améliorer (maintenance et amélioration), met en évidence ces étapes afin de s’assurer que l’amélioration continue est prise en compte dans les plans visant à améliorer la résilience de l’organisme. Par conséquent, l’absence de documentation concernant les perturbations gérées en dehors du cadre de la GCA peut limiter la capacité du Ministère à tirer les leçons de l’expérience, à cerner les possibilités d’amélioration et à les intégrer dans ses processus de continuité des activités. Par conséquent, des occasions de renforcer les PCA en fonction d’événements réels pourraient être manquées.

Recommandation no 1

Afin de s’assurer que le Ministère dispose d’un Programme de GCA solide, le dirigeant principal des finances et sous-ministre adjoint, Secteur de la gestion, devrait poursuivre ses efforts en vue d’achever et d’approuver les PCA opérationnels des services essentiels du Ministère afin de permettre la révision en temps opportun du Plan stratégique de continuité des activités. Pour renforcer la reddition de comptes et la gouvernance du cadre de GCA du ministère de la Justice :

Réponse et plan d’action de la direction

Recommandation acceptée.

Bureau de première responsabilité

Dirigeant principal des finances et sous-ministre adjoint, Secteur de la gestion

Mesures :

Le Ministère poursuivra la mise en œuvre de son approche de mise à jour de la gestion de la continuité des activités (GCA) et accordera la priorité à l’achèvement et à l’approbation des Plans de la continuité des activités (PCA) opérationnels pour les services essentiels du Ministère, en utilisant des modèles normalisés et les mécanismes de gouvernance existants. L’élaboration de PCA opérationnels pour les fonctions de soutien et non essentielles continuera de tenir compte des risques et d’être entreprise à la discrétion de la direction lorsque cela se justifie sur le plan opérationnel.

Afin de renforcer la reddition de comptes et la gouvernance, les PCA opérationnels achevés pour les services essentiels seront examinés et approuvés au niveau du sous-ministre adjoint (SMA) par le responsable du service concerné.

Après l’achèvement et l’approbation des PCA opérationnels pour les services essentiels, la DSSGU coordonnera la mise à jour du Plan stratégique de continuité des activités (PSCA) afin de refléter les priorités ministérielles en matière de continuité, les principales dépendances et les dispositions d’intervention à l’échelle de l’organisme. Le PSCA mis à jour sera présenté et soumis au Comité stratégique de gestion des urgences du ministère de la Justice pour approbation par la sous-ministre et partagé au niveau de la direction générale, du secteur ou du portefeuille avec les employés participant au PCA.

Livrables :

  1. PCA opérationnels achevés et approuvés par le SMA pour les services ministériels essentiels.
  2. Plan stratégique de continuité des activités mis à jour prêt à être soumis au SM pour approbation.
  3. Registre de la diffusion du PSCA aux intervenants internes identifiés.
Échéance

Juin 2027

Recommandation no 2

Le dirigeant principal des finances et sous-ministre adjoint du Secteur de la gestion devrait, dans le cadre de la mise à jour de son Plan stratégique de continuité des activités, examiner le processus de mise à profit des leçons retenues afin de définir une approche fondée sur les risques permettant d’intégrer les connaissances et les leçons tirées d’autres disciplines liées à la résilience organisationnelle.

Réponse et plan d’action de la direction

Recommandation acceptée.

Bureau de première responsabilité

Dirigeant principal des finances et sous-ministre adjoint, Secteur de la gestion

Mesures :

Afin de favoriser l’amélioration continue et de renforcer l’intégration des activités de résilience organisationnelle, la DSSGU mettra en place un cadre normalisé destiné à recueillir et à intégrer les leçons tirées des exercices de continuité des activités et d’autres événements significatifs en matière de résilience ayant des répercussions sur la gestion de la continuité des activités. Ce cadre définira les critères et les seuils permettant de cerner les événements nécessitant une documentation et précisera les rôles et les responsabilités des secteurs d’activité concernés afin qu’ils documentent leurs observations et fournissent des données pertinentes pour les mises à jour de la planification de la continuité.

Pour les événements atteignant le seuil établi, la DSSGU tiendra un registre normalisé des leçons apprises et exigera que les observations pertinentes soient prises en compte lors des futures mises à jour des PCA opérationnels et du PSCA.

Livrable :

Processus de mise à profit des leçons retenues mis en œuvre, notamment :

  • des seuils et critères documentés pour les incidents;
  • un registre/modèle normalisé des leçons retenues;
  • des dossiers démontrant que les leçons retenues applicables ont été évaluées et prises en compte, le cas échéant, dans les PCA opérationnels et les mises à jour du PSCA.
Échéance

Septembre 2027

4.2 Gouvernance et capacité

Bien que des structures de gouvernance aient été mises en place pour soutenir la gestion de la continuité des activités, elles n’ont pas été pleinement exploitées pour permettre une coordination et une prise de décision efficaces. Sur le plan opérationnel, les coordinateurs de la GCA ont été confrontés à des défis en matière de capacité et de préparation qui ont limité leur capacité à mettre en œuvre et à maintenir les éléments clés du cycle de vie de la GCA dans leurs domaines respectifs.

Une gouvernance solide est essentielle à un programme de GCA efficace, afin de garantir une responsabilisation claire, une prise de décision cohérente et une harmonisation dans tous les domaines de l’organisme avant, pendant et après une perturbation. Une gouvernance efficace permet également de maintenir la supervision des programmes, de déterminer l’ordre de priorité des risques et ressources essentiels, de soutenir des interventions opportunes et coordonnées lors d’incidents et d’améliorer la résilience organisationnelle.

Des structures de gouvernance ont été établies pour favoriser la gestion de la continuité des activités.

Au ministère de la Justice Canada, la gouvernance de la GCA est assurée par le Comité stratégique de gestion des urgences (CSGU) et le Comité national de gestion de la continuité des activités (CNGCA). Le CSGU est le comité ministériel principal chargé de fournir une orientation stratégique et de fixer les priorités pour la gestion des urgences et la continuité des activités, conformément à la Politique sur la sécurité du gouvernement du Conseil du Trésor. Le Ministère dispose également d’un CNGCA dont le mandat général consiste à examiner, évaluer, remettre en question, orienter, conseiller et prendre des décisions concernant le programme de GCA du Ministère, aidant ainsi la DPS à s’acquitter de ses responsabilités liées au programme de GCA du Ministère. Le CNGCA sert également à partager de l’information et des pratiques exemplaires concernant les programmes de continuité des activités entre les membres des comités du Ministère.

Sur le plan opérationnel, la Division de la sûreté, de la sécurité et de la gestion des urgences (DSSGU) relève de la Direction des services ministériels, sous la direction de la dirigeante principale de la sécurité, au sein du secteur de la gestion du Ministère. Elle sert de centre d’expertise en matière de GCA. La DSSGU est responsable de la mise en œuvre du Programme de GCA du Ministère, notamment de la coordination des exercices et des tests des PCA. Les cadres supérieurs du ministère de la Justice et les représentants de la GCA jouent également un rôle important dans la GCA, mais des contributions sont apportées à tous les niveaux.

Les coordinateurs de la GCA sont nommés par le gestionnaire principal de leur direction générale, secteur, portefeuille ou direction et sont chargés de définir, de documenter et de tenir à jour les pratiques et processus de continuité des activités pour leur direction générale, portefeuille, secteur ou direction respectif, ainsi que de collaborer avec les partenaires et les parties concernées, y compris les entités de la chaîne d’approvisionnement. Les coordinateurs de la GCA se concentrent sur l’application de la GCA sur le plan opérationnel. Les coordinateurs et les remplaçants sont essentiels au succès du Programme de GCA du Ministère.

Les principaux défis opérationnels limitaient la mise en œuvre cohérente des éléments clés du cycle de vie de la GCA.

Bien que le cadre sur la GCA décrive la gouvernance de la GCA ainsi que les principaux éléments de la planification de la continuité des activités et définisse les rôles, les responsabilités et les obligations de reddition de comptes de chaque partenaire de gouvernance participant à l’élaboration, à la mise en œuvre et à la tenue à jour des plans de la continuité des activités, l’équipe d’audit a cerné les principaux défis opérationnels limitant la mise en œuvre cohérente des éléments clés du cycle de vie de la GCA (p. ex. les essais et la formation).

Les comités de gouvernance n’ont pas été pleinement exploités pour permettre une coordination et une prise de décision efficaces.

Comme il a été mentionné plus haut, le CSGU est chargé de fournir une orientation stratégique et d’établir des priorités pour la gestion des urgences et la continuité des activités, tandis que le CNGCA a pour mandat général d’examiner, d’évaluer, de remettre en question, d’orienter, de conseiller et de prendre des décisions concernant le programme de GCA du Ministère. Le CNGCA sert également à partager de l’information et des pratiques exemplaires concernant les programmes de continuité des activités entre les membres des comités du Ministère. Bien que cela favorise la sensibilisation et l’échange de pratiques à l’échelle du Ministère, l’audit a permis de constater que le CNGCA fonctionnait principalement comme un forum d’échange d’information en aval et qu’il pouvait être mis à profit pour renforcer la coordination et la prise de décisions. Bien que les comités du Ministère aient des membres compétents pour discuter de la gestion de la continuité des activités, ils n’intervenaient pas pleinement dans la résolution ou la coordination des questions liées à la GCA (p. ex. exercices conjoints de planification ou de mise à l’essai, etc.). Il faudrait envisager des possibilités de mieux tirer parti des forums de gouvernance existants afin d’améliorer la maturité du programme de GCA au sein du Ministère.

Les coordinateurs de la gestion de la continuité des activités disposaient de capacités limitées pour soutenir tous les volets du cycle de la GCA.

Comme indiqué plus haut, les coordinateurs de la GCA de Justice Canada sont chargés de définir, de documenter et de tenir à jour les pratiques et processus de continuité des activités pour leur direction générale, direction ou secteur respectif, ainsi que de collaborer avec les partenaires et intervenants, dont les entités de la chaîne d’approvisionnement. Ils sont nommés par le cadre supérieur de leur direction générale, secteur, portefeuille ou direction. Au moment de l’audit, la majorité des coordinateurs étaient des cadres supérieurs occupant des postes de directeur (par exemple, directeurs de la gestion des activités [DGA]). Leurs responsabilités en matière de GCA s’ajoutaient donc à leurs responsabilités principales, ce qui est courant au sein du GC. Ils ont été formés par le coordinateur national de la GCA dans le cadre d’ateliers, de réunions individuelles et de réunions du CNGCA. Les coordinateurs avaient également la possibilité de suivre d’autres formations sur la GCA dans le cadre de cours virtuels organisés par l’École de la fonction publique du Canada ou d’autres fournisseurs externes. Au cours des entrevues, certains coordinateurs ont indiqué qu’en dépit de la formation offerte et disponible, ils n’étaient pas toujours en mesure d’accorder suffisamment d’attention et de temps au perfectionnement de leurs compétences et leurs connaissances en matière de GCA et qu’ils ne se sentaient pas toujours suffisamment préparés pour mener à bien certaines des activités liées à la GCA (p. ex. élaboration et mise en œuvre d’une formation sur la GCA, mise à l’essai de leur PCA au sein de leur direction générale désignée, secteur, portefeuille ou direction). Par conséquent, certains d’entre eux n’exécutaient pas entièrement les tâches de GCA qui leur avaient été assignées, se concentrant plutôt sur les activités qu’ils estimaient obligatoires (ou qu’on leur avait demandé d’effectuer), comme remplir les AIA et les PCA. Les éléments clés du cycle de vie de la GCA, comme les essais, la surveillance et les activités de sensibilisation n’étaient donc pas exécutés conformément aux directives de SP. La réalisation de toutes les composantes du cycle de vie de la GCA est importante pour améliorer la maturité du Programme et la résilience globale du Ministère en cas de perturbation.

Le modèle de gouvernance de la GCA du Ministère repose sur une approche décentralisée dans laquelle la DSSGU et le coordinateur national de la GCA assurent la coordination, l’orientation et le soutien à l’échelle du Ministère, tandis que la responsabilité de l’exécution des activités de GCA est déléguée aux unités organisationnelles individuelles par l’intermédiaire de leurs coordinateurs de la GCA. Cette structure de gouvernance dépend fortement des priorités et des capacités des directions générales, des secteurs ou des directions, tout en conférant à la DSSGU des pouvoirs limités pour assurer la mise en œuvre. Bien que la DSSGU et le Secteur de la gestion puissent renforcer la sensibilisation, l’orientation et les outils pour faciliter l’exécution des pratiques et des processus, l’obligation de rendre compte de la mise en œuvre des activités de GCA incombe à chaque chef de secteur.

Recommandation no 3

Afin de clarifier les mécanismes de supervision et de reddition de comptes et de veiller à ce que les pratiques et les processus de GCA soient exécutés conformément au cadre de GCA, le dirigeant principal des finances et sous-ministre adjoint, Secteur de la gestion, devrait prendre des mesures aux fins suivantes :

Réponse et plan d’action de la direction

Recommandation acceptée.

Bureau de première responsabilité

Dirigeant principal des finances et sous-ministre adjoint, Secteur de la gestion

Mesures :

Le Ministère renforcera la mise en œuvre du programme de GCA en officialisant les rôles, les responsabilités et l’approche d’intégration des coordinateurs de la gestion de la continuité des activités (GCA) et des remplaçants désignés.

La DSSGU créera une trousse normalisée destinée aux coordinateurs de la GCA qui définira les principales responsabilités, les activités prévues tout au long du cycle de vie de la GCA ainsi que les outils et mécanismes de soutien disponibles. La trousse favorisera l’intégration uniforme des coordinateurs et remplaçants nouvellement désignés et clarifiera l’obligation de rendre compte relatives au maintien des PCA opérationnels et au soutien des activités de GCA du Ministère. Les coordinateurs de la GCA et remplaçants nouvellement désignés devront suivre la formation de base sur la GCA prévue par la DSSGU dans le cadre des activités d’intégration et de préparation aux fonctions.

Afin de favoriser une gouvernance et une sensibilisation uniformes, la DSSGU élaborera et tiendra à jour une trousse d’information officielle sur la GCA à l’intention des membres du Comité de gestion stratégique des urgences (CSGU) et des remplaçants désignés, qui décrit leurs rôles, responsabilités, attentes en matière de prise de décisions et responsabilités de supervision dans le cadre de gouvernance de la GCA du Ministère. La trousse d’information sera fournie à tous les membres du CSGU nouvellement nommés et à leurs remplaçants nouvellement désignés dans le cadre des processus d’intégration établis en matière de gouvernance.

Les documents d’orientation et d’appui seront fournis par l’intermédiaire des mécanismes de gouvernance et de mobilisation existants et conservés dans un dépôt central accessible aux coordinateurs et aux membres de la gouvernance. Les responsabilités relatives à la désignation des coordinateurs de la GCA et de leurs remplaçants seront consignées et communiquées au moyen des mécanismes de gouvernance de la GCA existants.

Le Ministère continuera de tirer parti des structures de gestion existantes pour l’attribution des responsabilités en matière de GCA et ne créera pas de postes consacrés à la GCA ni de structures de gouvernance supplémentaires dans le cadre de cette mesure.

Livrables :

  1. Document mis à jour sur les rôles et responsabilités des coordinateurs de la GCA.
  2. Trousse d’accueil et d’orientation normalisée destinée aux coordinateurs de la GCA, incluant les exigences d’orientation de base en matière de GCA.
  3. Trousse d’information sur la GCA et approche d’intégration pour les membres du CSGU nouvellement nommés et leurs remplaçants.
Échéance

Juin 2027

4.3 Coordination et communication

Le Ministère avait mis en place des mécanismes de coordination et de communication, mais ceux-ci n’étaient pas entièrement uniformes et n’étaient pas pleinement exploités pour soutenir une approche intégrée de la GCA.

Une communication efficace est essentielle pour assurer l’harmonisation des efforts de continuité des activités dans l’ensemble du Ministère, ce qui permet des interventions opportunes, cohérentes et bien coordonnées en cas de perturbation, et réduit le risque d’une reprise fragmentée ou retardée.

Les pratiques de coordination et de communication en place étaient informelles et manquaient d’uniformité au sein du programme de GCA.

Comme l’indique le cadre de GCA, les coordinateurs de la GCA jouent un rôle clé en matière de liaison, de coordination et de communication au sein du Programme de GCA du Ministère. Le coordinateur national de la GCA est principalement chargé d’examiner les PCA opérationnels, de regrouper les besoins en ressources recensés et de mettre à jour le Plan stratégique de continuité des activités du Ministère. Une coordination efficace entre le coordinateur national de la GCA, les coordinateurs de la GCA et les responsables des services essentiels et non essentiels est fondamentale pour assurer l’uniformité de la documentation sur la GCA et des PCA opérationnels couvrant des fonctions ou des unités opérationnelles semblables. Cette coordination permet également d’harmoniser les stratégies de continuité entre les équipes et de réduire les chevauchements inutiles lorsque plusieurs PCA opérationnels s’appliquent au même service ou à des services connexes. L’information recueillie lors des entrevues sur la coordination entre les coordinateurs de la GCA a révélé que, dans la pratique, la coordination semblait plus facile entre les coordinateurs occupant des postes d’attache ou travaillant dans des unités opérationnelles semblables (c.-à-d. DGA, Opérations régionales de sécurité intégrée et de planification des locaux [ORSIPL]).

Les directives de SP sur la GCA indiquent que les communications internes et externes avec les parties sont importantes tout au long du cycle de vie de la GCA, ainsi qu’en période de perturbation. L’équipe d’audit a constaté que les protocoles de communication n’étaient pas officiellement définis ou documentés pour les parties internes et externes. Cette lacune dans les protocoles de communication internes a nui à la capacité de la DSSGU à respecter les échéances de son cycle de GCA établies dans le cycle de vie de la GCA. Des protocoles de communication officiels contribueraient à maintenir la résilience opérationnelle en assurant un flux d’information rapide, précis et sécurisé tout au long du cycle de vie de la GCA.

Recommandation no 4

Le dirigeant principal des finances et sous-ministre adjoint, Secteur de la gestion, devrait définir officiellement les protocoles ministériels pour les communications internes et externes en période de perturbation pour toutes les parties concernées.

Réponse et plan d’action de la direction

Recommandation acceptée.

Bureau de première responsabilité

Dirigeant principal des finances et sous-ministre adjoint, Secteur de la gestion

Mesures :

Le Ministère élaborera et approuvera un protocole de communication concis en matière de gestion de la continuité des activités (GCA) afin de définir les rôles, les déclencheurs de renvoi aux échelons supérieurs, les voies de communication et les exigences minimales en matière de documentation pour les communications internes et externes en cas de perturbation.

Ce protocole s’appuiera sur les mécanismes ministériels existants de gouvernance, de gestion des urgences et de gestion des incidents et ne créera pas de structures de gouvernance supplémentaires. Il définira les responsabilités en matière de communication ainsi que les exigences minimales de notification pour les parties concernées et les fonctions de soutien en cas de perturbations.

Afin de soutenir la préparation opérationnelle, la DSSGU établira un processus visant à tenir à jour les coordonnées des intervenants de la GCA, notamment en identifiant les responsables des mises à jour et en définissant à quel moment les listes de contacts doivent être examinées et actualisées.

Les exigences en matière de communication et les procédures connexes seront communiquées par l’intermédiaire des forums de gouvernance de la GCA existants et intégrées au cadre de continuité des activités et aux documents d’orientation connexes sur la GCA.

Livrables :

  1. Protocole de communication approuvé en matière de communication de la GCA, comprenant une matrice de communication définissant les rôles et les voies d’acheminement aux échelons supérieurs.
  2. Liste des coordonnées des responsables de la GCA.
  3. Processus documenté définissant les responsabilités et les exigences actualisées pour la tenue à jour des coordonnées des responsables de la GCA.
Échéance

Juin 2027

4.4 Programme d’exercices de la GCA de Justice Canada

Le programme triennal d’exercices de la GCA du ministère de la Justice a contribué à améliorer la planification de la continuité des activités, mais des tests incohérents et peu fréquents au niveau opérationnel ont limité l’état de préparation et la résilience du Ministère en cas de perturbation.

Le Programme d’exercices de la GCA et les essais centralisés ont favorisé l’amélioration continue.

Un Programme d’exercices structuré est essentiel pour valider l’efficacité des plans de la continuité des activités, cerner les lacunes et assurer la mise en œuvre de mesures correctives opportunes afin de réduire le risque d’intervention inefficace en cas de perturbations.

Justice Canada a élaboré un Programme d’exercices de la GCA s’étalant sur trois exercices financiers (de 2022–2023 à 2024–2025) afin de traiter les contrôles relatifs aux essais, à la surveillance et aux mesures correctives de la GCA, et de favoriser l’amélioration continue de la résilience du Ministère. Le Programme d’exercices comprenait la mise à l’essai régulière des PCA, la surveillance et la prise de mesures correctives (examen et mise à jour des AIA et des PCA à l’aide d’analyses de l’environnement et des résultats des essais) tout au long du cycle de vie de la GCA.

L’audit a révélé que le Ministère avait mis à l’essai ses PCA dans le cadre des exercices annuels du CSGU dirigés par la DSSGU. En plus de ces essais, quelques unités organisationnelles ministérielles responsables des services essentiels et non essentiels ont mené leurs propres initiatives d’essais pour renforcer leur PCA opérationnel. Ces essais ont donné lieu à la préparation de rapports après action par l’observateur désigné (p. ex. le coordinateur national de la GCA, les ORSIPL), et les observations et recommandations qui en ont résulté ont été consignées et suivies pour assurer leur mise en œuvre, en vue de corriger les faiblesses identifiées.

Les essais au niveau opérationnel n’étaient pas uniformes et ne répondaient pas pleinement aux objectifs du programme.

Bien que la mise à l’essai centralisée offre une assurance importante à l’échelle du Ministère, la mise à l’essai au niveau opérationnel est essentielle pour s’assurer que les plans de la continuité des activités sont pratiques, adaptés à des fonctions particulières et efficaces au sein de chaque unité organisationnelle.

Au cours des entrevues, l’équipe d’audit a constaté que les coordinateurs de la GCA responsables des PCA opérationnels n’effectuaient pas tous des essais annuels et que la portée, la complexité et la cohérence des essais réalisés variaient au sein du Ministère. Ces incohérences s’expliquaient en partie par des problèmes relevés dans les sections précédentes du rapport. La nécessité de mettre à jour les PCA a réduit la valeur perçue des essais, car les exercices basés sur des plans obsolètes étaient peu susceptibles de produire des données significatives, contribuant ainsi à réduire les priorités et la fréquence des essais au niveau opérationnel. De plus, les contraintes de capacité et les lacunes en matière de préparation des coordinateurs de la GCA ont limité leur capacité à concevoir et à diriger des exercices de mise à l’essai pour leur unité organisationnelle respective (portefeuille, secteur, direction générale, etc.). Dans l’ensemble, ces facteurs ont entraîné une baisse de la fréquence des essais, ce qui n’était pas conforme aux objectifs initialement fixés pour le Programme d’exercices.

La mise à l’essai de la GCA permet au Ministère d’évaluer sa capacité à réagir à des perturbations ou à des événements susceptibles d’avoir une incidence négative sur la capacité de l’organisme à fonctionner. Elle sert également à cerner les lacunes, les faiblesses et les points à améliorer dans l’exécution des PCA. Les essais peuvent également améliorer les connaissances et les compétences des coordinateurs de la GCA en ce qui concerne le cycle de vie de la GCA, car ils les exposent à des scénarios réels qui favorisent l’apprentissage et les obligent à mettre à jour les plans à la suite des exercices. L’absence d’essais réguliers des PCA peut nuire à la fiabilité de ces plans, limiter l’état de préparation de l’organisme et accroître le risque de perturbations prolongées des services essentiels et/ou non essentiels du Ministère lors d’un événement ou d’une perturbation.

Encore une fois, il est important que la DSSGU mette à jour le Programme d’exercices du Ministère et continue d’effectuer régulièrement des essais centralisés. De plus, les directions générales, les secteurs, les portefeuilles et les directions sont responsables d’effectuer des essais réguliers dans leurs domaines respectifs.

Recommandation no 5

Le dirigeant principal des finances et sous-ministre adjoint, Secteur de la gestion, devrait mettre à jour le Programme d’exercices de la GCA du Ministère et définir clairement les responsabilités en matière de réalisation, de surveillance et de documentation des essais de routine sur le PCA (c.-à-d. le PSCA et les PCA opérationnels), conformément au Programme de GCA. Il peut s’agir de conseils et d’outils relatifs aux exercices destinés à soutenir les responsables de services essentiels.

Réponse et plan d’action de la direction

Recommandation acceptée.

Bureau de première responsabilité

Dirigeant principal des finances et sous-ministre adjoint, Secteur de la gestion

Mesures :

Le Ministère actualisera le Programme d’exercices de la gestion de la continuité des activités (GCA) afin d’établir une approche évolutive et fondée sur les risques pour la mise en œuvre des Plans de la continuité des activités (PCA), en tenant compte des différences entre les exigences de continuité au niveau ministériel et au niveau opérationnel.

Le Programme d’exercices actualisé définira les exigences minimales quant au moment et à la manière dont les exercices portant sur les PCA sont menés et précisera les responsabilités en matière de planification, de soutien, de documentation et de suivi.

Le Ministère s’appuiera sur les mécanismes de gouvernance existants et les activités d’exercice existantes et n’imposera pas d’exigences d’approbation supplémentaires dans le cadre de cette mesure.

Livrables :

  1. Mise à jour du Programme d’exercices de GCA définissant les exigences en matière d’exercices et les modalités de gouvernance, notamment les rôles et responsabilités documentés pour la planification, la facilitation, la production de rapports et le soutien des exercices (y compris le coordinateur national de la GCA et les ORSIPL).
  2. Élaboration d’un modèle normalisé de production de rapports sur les exercices et les leçons apprises.
Échéance

Septembre 2027

5 Opinion et conclusion de l’audit

Le ministère de la Justice Canada dispose d’un Programme de GCA qui soutient et lui permet de continuer à fournir ses services essentiels et non essentiels. Cela comprend les services ou les activités qui permettent ou soutiennent directement la prestation de ces services essentiels aux Canadiens et aux autres ministères en cas de perturbation. Bien qu’au moment du présent audit, le Ministère était en train de mettre à jour son Programme de GCA, un cadre de base solide est déjà en place, ce qui permet l’élaboration et l’amélioration continues du Programme.

Afin d’améliorer davantage le Programme, le Ministère devrait tirer parti des leçons apprises dans d’autres disciplines liées à la résilience organisationnelle pour renforcer sa capacité à réagir efficacement aux perturbations et à en tirer des leçons; il devrait clarifier les mécanismes de supervision et de reddition de comptes, et contribuer à garantir que les pratiques et les processus de GCA soient exécutés conformément au cadre de GCA; et il devrait adopter une approche plus coordonnée pour partager l’information et documenter les décisions en cas de perturbations.

Annexe A : À propos de l’audit

Objectif de l’audit

L’objectif de cet audit était de fournir une assurance que le Programme de gestion de la continuité des activités du Ministère était suffisant pour garantir la disponibilité continue de ses services et ressources essentiels afin d’assurer le bon fonctionnement du gouvernement en cas de perturbation.

Portée de l’audit

Cet audit portait sur le programme de la continuité des activités actualisé du Ministère de 2021 à aujourd’hui et examinait la mise à l’essai, la validation et l’amélioration des plans, y compris les stratégies de collaboration et de continuité pour maintenir ou rétablir les services essentiels pendant une perturbation. Les services ou activités qui permettent ou soutiennent directement la prestation des services essentiels du ministère de la Justice ont également été inclus dans la portée.

Bien qu’il existe d’autres disciplines liées à la résilience organisationnelle (c.-à-d. la gestion des urgences, la gestion de crise, la gestion des incidents, etc.) qui apportent un soutien et fonctionnent en conjonction lors d’événements, cet audit s’est concentré plus particulièrement sur la discipline de la gestion de la continuité des activités qui a permis de maintenir ou de soutenir le fonctionnement essentiel du gouvernement pendant une perturbation.

Méthode d’audit

La présente mission a été menée conformément à la Politique et Directive sur l’audit interne du Conseil du Trésor du Canada et aux Normes internationales d’audit interne publiées par l’Institut des auditeurs internes (IAI). Ces normes exigent que la mission soit planifiée et exécutée de manière à obtenir une assurance raisonnable que les objectifs seront atteints.

Secteurs d’intérêt et critères d’audit :

Secteur d’intérêt 1 : Plans de la continuité des activités et coordination

Les stratégies de continuité des activités et les mécanismes de coordination du Ministère permettent à celui-ci d’assurer la reprise rapide de ses services essentiels et des fonctions habilitantes connexes en cas de perturbation.

Secteur d’intérêt 2 : Mise à l’essai, validation et amélioration des plans de la continuité des activités

Le Ministère a mis en place des processus visant à mettre à l’essai, valider et mettre à jour ses plans de la continuité des activités (ministériels, portefeuilles, secteurs et directions générales) afin de s’assurer qu’ils restent efficaces pour fournir des services essentiels et des fonctions habilitantes connexes en cas de perturbation.

Annexe B : Liste des acronymes et des abréviations

AIA
Analyse des impacts sur les activités
CE
Comité exécutif
CNGCA
Comité national de gestion de la continuité des activités
CSGU
Comité stratégique de gestion des urgences
DGA
Directeur de la gestion des activités
DGS
Directive sur la gestion de la sécurité
DGSI
Direction générale des solutions d’information
DPS
Dirigeante principale de la sécurité
DSSGU
Division de la sûreté, de la sécurité et de la gestion des urgences
GC
Gouvernement du Canada
GCA
Gestion de la continuité des activités
Guide
Guide du programme de gestion de la continuité des activités
LGFP
Loi sur la gestion des finances publiques
LGU
Loi sur la gestion des urgences
Ministère
Ministère de la Justice Canada
ORSIPL
Opérations régionales de sécurité intégrée et de planification des locaux
PFGU
Politique fédérale en matière de gestion des urgences
PCA
Plan de la continuité des activités
PSCA
Plan stratégique de continuité des activités
PSG
Politique sur la sécurité du gouvernement
SCT
Secrétariat du Conseil du Trésor
SM
Sous-ministre
SMA
Sous-ministre adjoint
SP
Sécurité publique Canada
TI
Technologie de l’information