Vérification des contrôles ciblés : Préparation opérationnelle de la GCRA : Introduction, principales constatations et réponse de la direction

1.0 Introduction

1. L'Agence des services frontaliers du Canada (ASFC) est le deuxième percepteur de recettes en importance au sein du gouvernement du Canada (GC). En 2019, les recettes provenant des droits et des taxes sur les importations s'élevaient à 33 milliards de dollars alors que la valeur totale des importations était d'environ 568 milliards de dollars. Au fil du temps, le volume et la valeur des importations commerciales ont augmenté. Toutefois, le Canada a vu son classement mondial diminuer au chapitre de la facilitation du commerce et de la gestion des frontières, ce qui fait qu'il est nécessaire d'adopter une nouvelle approche de perception des recettes.

2. En 2009, le Bureau du vérificateur général (BVG) a comparu devant le Comité permanent des comptes publics (CPCP). Le BVG a constaté que l'ASFC avait éprouvé des difficultés lors du rapprochement de l'information contenue dans divers rapports tirés de ses systèmes de programmes fiscaux, ce qui a entraîné des écarts inexpliqués à la fin de l'exercice. Le Comité a appris que cela était dû au fait que les systèmes informatiques n'avaient pas la capacité d'échanger des données et qu'il faudrait plusieurs années pour corriger la situation. Par conséquent, le CPCP a recommandé que l'ASFC fournisse un plan détaillé précisant les mesures qu'elle comptait prendre pour améliorer ses systèmes de comptabilité des recettes fiscales. C'est à la suite de cette recommandation que le projet de Gestion des cotisations et des recettes de l'agence (GCRA) de l'ASFC a été créé.

2.0 Importance de la vérification

3. Les objectifs de la GCRA sont les suivants :

• offrir, en tant que chef de file mondial, une expérience à la frontière axée sur le client;
• simplifier l'évaluation dans la filière commerciale en mettant en place un outil de libre-service en ligne pour les partenaires de la chaîne commerciale (PCC) tout en offrant aux PCC de petite et moyenne taille la possibilité de traiter directement avec l'ASFC;
• améliorer la conformité et la perception des recettes;
• mettre à jour différents systèmes de technologie de l'information (TI) pour soutenir des processus de gestion frontalière qui ont parfois plus de 30 ans.

4. La GCRA est mise en œuvre en trois phases. Version 0 – R0 (janvier 2021) le Grand livre des comptes clients (GLCC) a été transféré sur une plateforme à la fine pointe, dans un environnement infonuagique. Version 1 – R1 (mai 2021) mise en œuvre du portail interne qui établit les bases de la gestion des cas. Version 2 – R2 (en cours) consiste à procéder à une transition des anciens systèmes de l'ASFC et à mettre en œuvre de nouvelles mesures, comme l'accès à l'inscription et à l'enregistrement, ainsi qu'à améliorer la fonctionnalité du portail.

5. La GCRA a de nombreux intervenants, y compris la Direction de la GCRA, Deloitte (fournisseur responsable de la mise en œuvre de la solution), la Direction générale de la politique stratégique (DGPS, appuie la GCRA avec des modifications législatives et réglementaires) et la Direction générale de l'information, des sciences et de la technologie (DGIST, effectue des évaluations de la sécurité pour la solution de la GCRA et assure une liaison sur les questions de TI), entre autres. Une liste plus détaillée des intervenants se trouve à l'annexe A.

6. La vérification a pour objet d'évaluer l'état d'avancement des démarches opérationnelles^{Note de bas de page 1} visant à soutenir les activités qui seront touchées par la diffusion de la V2 de la GCRA en mai 2022 (mise en œuvre complète de la solution de base). Toutefois, l'équipe de vérification a été informée d'un report éventuel de la V2 de la GCRA à la fin de juillet 2021. Dans ce contexte, les conclusions de la présente vérification sont présentées comme des renseignements que l'agence devrait prendre en considération avant le lancement de la GCRA.

7. Étant donné que l'objectif initial de la présente vérification consistait à déterminer l'état de préparation opérationnelle à un moment donné, la mission ne visait pas à examiner ni à déterminer les raisons sous-jacentes des retards dans l'élaboration de la solution. Il convient de noter qu'en date du 20 octobre 2021, le rapport de surveillance du projet indiquait que la conception de la solution accusait 130 jours de retard (plus de 4 mois).

8. Inclus dans la portée de la vérification sont les pratiques de gestion des risques à l'échelle de l'agence visant à gérer les risques liés à la V2 de la GCRA, les initiatives et plans internes et externes de préparation opérationnelle à l'appui de la V2 de la GCRA et les processus de TI liés à l'intégration des systèmes et à la sécurité de la TI pour la V2 de la GCRA. De plus amples renseignements sur la portée et les critères de la vérification se trouvent à l'annexe B.

3.0 Énoncé de conformité

9. La présente vérification est effectuée conformément à la Politique et à la Directive sur la vérification interne du Conseil du Trésor et au Cadre de référence international des pratiques professionnelles (CRIPP) de l'Institut des vérificateurs internes (IVI). Divers processus ont permis de recueillir suffisamment d'éléments probants appropriés de façon à fournir une assurance à un niveau de vérification. La fonction de vérification interne de l'agence est indépendante, et les vérificateurs internes ont rempli leurs fonctions avec objectivité, comme cela est défini dans les Normes internationales pour la pratique professionnelle de la vérification interne de l'IVI.

4.0 Opinion de la vérification

10. Bien que l'agence ait pris un certain nombre de mesures positives en vue de la préparation opérationnelle interne et externe, il est possible de mieux gérer les risques liés au projet qui ont empêché l'agence d'être prête pour le lancement de la version 2 de la GCRA. L'agence doit prendre des mesures pour s'assurer que les pouvoirs législatifs nécessaires sont en place, que les partenaires de la chaîne commerciale (PCC) sont certifiés et peuvent adopter le système et que les solutions informatiques primordiales sont implantées sans autre retard. Il est également nécessaire d'améliorer l'efficacité de l'actuel mécanisme de communication entre l'équipe de projet de la GCRA et les décideurs supérieurs de l'agence afin de renforcer la gestion des principaux risques liés au lancement de la version 2 de la GCRA.

11. Il est essentiel que l'agence atteigne les objectifs escomptés de la GCRA, non seulement pour remédier aux systèmes de déclaration en détail obsolètes et non intégrés, mais aussi pour garantir que le système produise des données financières et commerciales complètes et fiables, adaptées à l'époque actuelle.

5.0 Principales constatations

12. Les pouvoirs juridiques habilitants n'étaient pas en place pour faciliter les paiements électroniques et la sécurité, de sorte que l'agence n'était pas prête pour le lancement de la version 2 en mai 2022.

13. La certification des systèmes informatiques des PCC n'a pas fait l'objet d'un suivi efficace. L'absence de suivi crée un risque que les PCC ne soient pas prêts à adopter la GCRA et ne disposent pas des systèmes informatiques certifiés nécessaires au moment du lancement de la GCRA. En conséquence, il pourrait y avoir une incidence négative sur la circulation des marchandises à la frontière.

14. Il y a des lacunes dans certains processus et systèmes informatiques nécessaires à l'évaluation des tarifs. Ces lacunes augmentent le risque de ne pas être en mesure de calculer les droits et les taxes que doivent payer les importateurs et les exportateurs à l'État, ce qui a une incidence sur la capacité de l'agence à exploiter le système de GCRA et à réaliser tous les avantages escomptés.

15. Les retards constants dans la création de la solution ont réduit les délais de formation et les activités essentielles de construction du système informatique qui doivent être terminées avant le lancement de la version 2. Ces activités comprennent l'intégration de la TI, les essais d'acceptation par l'utilisateur ainsi que l'évaluation de sécurité et autorisation (ESA) de la TI. Ces retards pourraient faire en sorte que le système ne fonctionne pas comme prévu, ce qui pose des risques juridiques et de réputation pour l'agence.

16. Bien que le Conseil de la préparation opérationnelle et de la mise en œuvre de la GCRA (CPOMG) ait assuré une surveillance efficace des activités de préparation opérationnelle, la vérification a décelé une lacune en ce qui concerne les rapports du CPOMG sur la gestion des risques à l'intention des principaux décideurs. Cela accroît la probabilité que les principaux décideurs ne reçoivent pas en temps utile des conseils ou des commentaires sur l'état de préparation opérationnelle de la GCRA afin de gérer les risques de manière appropriée.

6.0 Résumé des recommandations

17. La vérification formule une recommandation concernant la révision de l'ensemble actuel de mises à jour du projet à la haute direction ainsi que les comités de gouvernance pour mieux cerner les risques principaux, les stratégies d'atténuation, et les considérations budgétaires.

7.0 Réponse de la direction