Rôle du Vérificateur général du Québec à l égard des technologies de l information Avril 2014

Transcription

1 Rôle du Vérificateur général du Québec à l égard des technologies de l information Avril 2014 Marcel Couture Patrice Watier

2 Agenda Organisation Fonctionnement d un audit informatique au VGQ Exemples de rapport à l Assemblée nationale portant sur les TI 2

3 Organisation 3

4 Organisation Pouvoirs et immunités Champ de compétence Évolution du champ de compétence Types d environnement Expertise et audit informatique Types de mandat 4

5 Pouvoirs et immunités Loi sur le vérificateur général Relève exclusivement de l Assemblé nationale Indépendance et autonomie de gestion Source : LOI SUR LE VÉRIFICATEUR GÉNÉRAL, chapitre V-5.01, 1 er février

6 Pouvoirs et immunités (suite) Vérification et enquête effectuées : au moment à la fréquence et de la manière qu il détermine Accès aux documents et renseignements, et ce, malgré toute autre loi Immunité contre : toute obligation de faire une déposition toute poursuite en justice ainsi que tout recours judiciaire visant l arrêt de ses travaux Pouvoir Obligation Crédibilité 6

7 Champ de compétence Évolution du champ de compétence Types d environnement Expertise et audit informatique 7

8 Évolution du champ de compétence VOR Réseaux santé & éducation VOR Sociétés d État, Sauf la CDPQ VG 8

9 Types d environnement informatique Dépenses informatiques gouvernementales 60 % Entretien & exploitation 40 % Projets Source : Politique-cadre sur la gouvernance et la gestion des ressources informationnelles des organismes publics, gouvernement du Québec

10 Types d environnement informatique (suite) Safeguard UNIX DB2 Oracle Windows RACF ACF2 Top- Secret 10

11 Expertises et audits informatiques Effectifs 271 postes Québec et Montréal 130 postes Attestation financière 84 postes VOR 57 postes Administration et soutien 8 en audit informatique Au besoin des ressources TI sont attitrées selon la nature du mandat 2.5 en analyse de données 11

12 1. Audit particulier et enquête 2. Conformité aux lois et règlements 3. Utilisation de subvention 4. Droit de regard Types de mandat 5. Vérification d optimisation des ressources (VOR)* 6. Attestation d états financiers* 12

13 Types de mandat (suite) VOR (réf. : point no 5) Évalue les moyens utilisés pour gérer leurs ressources : de façon efficiente dans un souci d économie et de développement durable ainsi que l efficacité des programmes mis en œuvre Examine les pratiques de gestion, systèmes et contrôles qui supportent ces pratiques Impacts des TI 13

14 Types de mandat (suite) Audit d états financiers (Réf.: point no 6) Nombre d entités visées par l audit des états financiers 249 entités ( ) : 100 : VGQ 149 : autres auditeurs (ex. filiales, fonds ) Exclut les réseaux Mandats : 1. Régulier 2. Impartition 3. Co-audit 14

15 Types de mandat (suite) Audit d états financiers (Réf.: point no 6) 1. Mandats réguliers Nombre d intervention en audit informatique 50 Total 100 entités % Détaillées Sommaires 20 Aucune 15

16 Types de mandat (suite) Audit d états financiers (Réf.: point no 6) 2. Mandats en impartition 40 entités 11 impartiteurs Travaux en audit informatique Planification et révision des dossiers pertinents 16

17 Types de mandat (suite) Audit d états financiers (Réf.: point no 6) 3. Co-audits 6 dossiers et 5 co-auditeurs Tableau des sociétés et cabinets Sociétés Hydro-Québec Société des alcools du Québec Loto-Québec Société de l assurance automobile du Québec Caisse de dépôt et placement du Québec Investissement Québec Cabinets EY et KPMG RCGT RCGT PWC EY SBDT 17

18 Fonctionnement d un audit informatique au VGQ dans le cadre de l attestation financière 18

19 Fonctionnement d un audit informatique Référentiels Démarches 19

20 Vigie continue Exemples de source : Auditeurs législatifs du Canada NCA 315 Compréhension de l entité Cabinet d experts-comptables internationaux COBIT 5 COSO 2013 Cadre global de gestion des actifs informationnels appartenant aux organismes du RSSS, volet sécurité Autres Fonctionnement d un audit informatique Référentiels 20

21 Démarches VOR COBIT? Disponibilité Objectifs AF Confidentialité Intégrité 21

22 Gestion des technologies de l information (GTI) Très Important Démarches (suite) a) Politique et procédure de sécurité b) Gestion du développement et de la maintenance des systèmes c) Gestion des droits et des profils d accès d) Gestion des paramètres de sécurité e) Gestion des opérations Uniforme pour l ensemble des entités du gouvernement Source : Contrôles généraux des technologies de l information, hiver 2013, chap. 9 22

23 Démarches (suite) Autres travaux à la demande de l auditeur financier Programme de jeu d essai Conversions de système Description des applications informatiques Utilisation des travaux d autres sources : Audit interne (NCA 610) Gouvernance financière Auditeur d un rapport NCMC 3416 (et NCA 402) 23

24 Exemples de rapport à l Assemblée nationale portant sur les TI 24

25 Portrait de rapports Moyens de communication Portrait de rapports à l Assemblée nationale Attestations financière Vérification d optimisation des ressources (VOR) 25

26 Moyens de communication Public Niveau d importance de la communication Stratégie mixte Plan d action AF VOR AF AF Lettre d observations NCA 265 Rapport aux responsables de la gouvernance NCA 265 Rapport à l Assemblée nationale 26

27 Portrait de rapports Portrait des rapports à l Assemblée nationale Attestation financière Source : Vérification financière et autres travaux connexes, chapitre 6, hiver

28 Résultats des travaux Pourcentage des recommandations sur les CGTI par rapport à l'ensemble des recommandations 356 recommandations du 31 octobre 2012 au 31 octobre Total: % CGTI: % 8 28

29 Résultats des travaux (suite) Répartition des recommandations selon les 5 catégories de CGTI Gestion des droits et des profils d'accès 49% 13% 18% 15% 5% Gestion des paramètres de sécurité Politique et procédures de sécurité Gestion du développement et de la maintenance des systèmes Gestion des opérations 29

30 80% 70% 60% 50% 40% 30% 20% Cas particulier - Progrès satisfaisant en TI 55 % 28 % Rôle du VGQ à l égard des TI Résultats des travaux (suite) 74 % 61 % CSPQ Entités 10% 0% 131 janv. mars * 311 mars janv *Source : Vérification financière et autres travaux connexes, chapitre 9, hiver

31 Portrait des rapports à l Assemblée nationale VOR 31

32 Rapports en VOR Travaux menés par la VOR incluant souvent des spécialistes en audit informatique : Gestion des contrats dans le domaine informatique (2012, chapitre 5) Main-d'œuvre liée aux ressources informationnelles : besoin, disponibilité et affectation ( , tome II) Dossier de santé du Québec ( , 4 ième vigie) Autres projets (réf.: voir le site du VGQ) 32

33 Exemple no 1 Main-d œuvre liée aux ressources informationnelles besoin, disponibilité et affectation

34 Main-d œuvre liée aux ressources informationnelles (suite) Mise en contexte Dépenses liées aux RI* : Exemple no M$ en Dépenses de main-d œuvre (m-o) liées aux RI* : Représentent 73 % (670 M $) de la dépense afférente aux RI *Ressources informationnelles 34

35 En millions de dollars Évolution des dépenses ayant trait à la m-o liée aux RI 800 Rôle du VGQ à l égard des TI Main-d œuvre liée aux ressources informationnelles (suite) Exemple no Absence de données pour les organismes non budgétaires Rémunération Rémunération du personnel du Acquisition de services professionnels auprès de fournisseurs privés Acquisition de services professionnels auprès de fournisseurs privés 35

36 Main-d œuvre liée aux ressources informationnelles Objectifs de la vérification Évaluer les moyens et les outils de gestion visant à assurer une m-o gouvernementale la plus économique possible : déterminer leur besoin de m-o au regard des RI et la disponibilité de celle-ci cerner la façon la plus économique possible de répartir le travail affecter la m-o de manière adéquate Exemple no 1 36

37 Outils de gestion Portefeuille d investissement Exemple no 1 D Pas d objectifs à l égard de la m-o liée aux RI dans les stratégies gouvernementales depuis 1998 D Données insuffisantes recensées par le MSG (ancêtre du CSPQ) auprès des M/O Les portefeuilles détaillent les objectifs, les activités, les coûts, les avantages et les risques relatifs aux investissements Élément négligé : Critères de sélection des investissements 37

38 Outils de gestion Plan de main-d œuvre Exemple no 1 Les plans de m-o visent à prévoir le besoin pour une période donnée et à déterminer les moyens pour y répondre Dans les entités vérifiées, les plans de m-o sont : BP D CSST : satisfaisant MESS et RQ : insatisfaisants, particulièrement en ce qui concerne la compétence de la m-o 38

39 Outils de gestion Plan d affectation Exemple no 1 Les plans d affectation visent : à déterminer, à documenter et à attribuer les rôles et les responsabilités afférents à un investissement à définir les activités nécessaires afin que la m-o soit affectée de façon adéquate (entités vs tierces parties) BP La qualité des plans d affectation est très satisfaisante pour la CSST et RQ et satisfaisante pour le MESS 39

40 Exemple no 2 Dossier de santé du Québec (DSQ) e vigie 40

41 Dossier de santé du Québec Mise en contexte Le DSQ : 13 sous-projets menant vers une seule plateforme informatique partout au Québec avec un contenu identique Coût total prévu au départ : 563 M$ Gouvernement du Québec : 260 M$ Inforoute Santé du Canada (ISC) : maximum de 303 M$ Échéancier sur 4 ans (de 2006 à 2010) Exemple no 2 Portée : utilisateurs et consultation possible de partout sur le territoire du Québec 41

42 Dossier de santé du Québec (suite) Exemple no 2 Faits saillants Dépenses engagées en décembre 2010 : 308 M$ (55 % du budget initial) Retard dans les échéanciers variant de 1,25 an à 4,5 ans minimum Plusieurs modifications à la portée des projets 42

43 Dossier de santé du Québec (suite) Exemple no 2 Projet initial du DSQ est un échec Aucun de ses paramètres initiaux n est respecté Portée : Changement de stratégie d informatisation d une plateforme unique vers plusieurs plateformes reportant à plus tard l interopérabilité provinciale Diminution du nombre potentiel d utilisateurs Échéancier prévu non respecté et nouvel échéancier inconnu (pas avant 2016) Coûts : Risque que ISC ne verse pas les sommes prévues Comptabilisation des coûts totaux non crédible 43

44 «Le VGQ favorise par ses audits («TI») le contrôle parlementaire au bénéfice des citoyens du Québec.» Crédibilité Pouvoirs Obligations Merci 44

45 Contacts Le Vérificateur général du Québec 770, rue Sherbrooke Ouest, bureau 1910 Montréal (Québec) H3A 1G1 Site Internet : M. Marcel Couture Courriel : marcel.couture@vgq.qc.ca M. Patrice Watier Courriel : patrice.watier@vgq.qc.ca 45