Vérification du programme d'aide à la recherche industrielle dans l'environnement fonctionnel temporaire - Juin 2015

Sommaire et conclusion

Contexte

Le présent rapport de vérification fait état des constatations de la Vérification du Programme d'aide à la recherche industrielle (PARI) dans l'environnement temporaire du Conseil national de recherches Canada (CNRC).

Objectif de la vérification

L'objectif de la vérification était de donner à la haute direction du CNRC une assurance indépendante juste à temps que les contrôles exercés sur le Programme d'aide à la recherche industrielle ont conservé leur efficacité dans l'environnement fonctionnel temporaire (EFT) et de permettre au CNRC d'apporter les correctifs nécessaires avant la fin de l'exercice.

Raison d'être

En juillet 2014, une intrusion informatique a obligé le CNRC à mettre hors service son réseau et ses systèmes informatiques. L'organisation a ensuite mis en œuvre des contrôles adaptés à l'environnement fonctionnel temporaire (EFT) créé afin de lui permettre de continuer à offrir ses services et à générer de la valeur pour ses clients et pour la population canadienne. Le président a alors décidé d'approuver l'exécution, en dehors du Plan de vérification interne axé sur les risques 2014‑2015 à 2016‑2017 du CNRC, de quatre vérifications dans le contexte de l'EFT. Ces vérifications ont porté respectivement sur la gestion des dépenses, sur le Programme d'aide à la recherche industrielle (PARI), sur l'utilisation des cartes d'achat, et sur les approvisionnements et la passation de marchés.

Les constatations de la vérification ont donc été formulées dans un contexte où l'environnement fonctionnel normal du CNRC était compromis et où des mesures de continuité des activités temporaires s'appliquaient jusqu'à ce qu'un nouveau réseau informatique et des processus administratifs permanents soient mis en place.

Le Programme d'aide à la recherche industrielle est un des fondements de la stratégie du gouvernement du Canada à l'appui des petites et moyennes entreprises désireuses de commercialiser le fruit de leurs activités de recherche et de développement. Le Programme a accaparé près du tiers du budget de fonctionnement du CNRC au cours de l'exercice 2015 et le maintien de ses activités dans l'environnement consécutif à l'intrusion informatique était absolument essentiel afin de démontrer la probité financière et la bonne intendance des paiements de transfert qui lui sont versés au nom des Canadiens.

Opinion des vérificateurs et conclusion

De manière générale, les vérificateurs en sont venus à la conclusion que les contrôles mis en place dans l'environnement temporaire suffisaient à démontrer une diligence raisonnable dans l'octroi des contributions et dans la gestion des demandes de remboursement. Le système temporaire, entièrement fondé sur des documents sur support papier, n'est pas viable à long terme, mais suffit à maintenir la continuité des activités jusqu'à ce que le CNRC ait mis en œuvre un environnement informatique sécurisé. Nous avons constaté en juin 2015 la constance des efforts déployés par l'organisation pour revenir à des processus administratifs permanents dont on prévoit qu'ils corrigeront certains des problèmes cernés dans le cadre de la vérification.

Sommaire des recommandations

Aucune recommandation n'a été formulée dans le cadre de cette vérification. Comme l'environnement de contrôle changera lorsque le CNRC mettra en œuvre son nouveau réseau sécurisé, nous nous attendons à ce que les contrôles temporaires en place pour assurer la continuité des activités prennent fin dès que les processus administratifs permanents auront été mis en œuvre.

Énoncé d'assurance

À mon avis professionnel, en qualité de dirigeante principale de la Vérification, des procédures suffisantes et appropriées de vérification ont été appliquées et des preuves suffisantes ont été accumulées pour soutenir l'exactitude de l'opinion et des conclusions des vérificateurs. La vérification est conforme aux Normes relatives à la vérification interne au sein du gouvernement du Canada, comme le confirment les résultats du programme d'assurance de la qualité et d'amélioration.

Alexandra Dagger, CIA, dirigeante principale de la Vérification et de l'évaluation

Membres de l'équipe de vérification du CNRC :

Jean Paradis, CPA, CA, CIA, gestionnaire de la Vérification
Andy Lang, CPA, CMA, CIA vérificateur principal

1.0 Introduction

La vérification 2014‑2015 du PARI dans l'EFT a été approuvée par le président en dehors du cadre établi par le Plan de vérification interne axé sur les risques 2014‑2015 à 2016‑2017 du CNRC dans la foulée de l'intrusion informatique qui a entraîné la mise hors ligne du réseau et des systèmes informatiques du CNRC.

1.1 Contexte

Le Programme d'aide à la recherche industrielle (PARI) stimule la création de richesses au Canada en soutenant l'innovation technologique. Le Programme offre des services consultatifs et du financement aux petites et moyennes entreprises afin de les aider aux différentes étapes du continuum de l'innovation à se doter des capacités requises.

Parmi le portefeuille de contributions offertes par le PARI aux entreprises et organisations, mentionnons les contributions du Programme emploi jeunesse (PEJ) au nom d'Emploi et Développement social Canada (EDSC), du Programme d'accès à l'innovation pour les entreprises (PAIE), du Programme canadien des accélérateurs et des incubateurs (PCAI) et du Programme de Développement des technologies canadiennes contre le VIH (DTCV). Malgré l'intrusion informatique, le PARI-CNRC est arrivé à verser 93,2 % des fonds approuvés en 2014‑2015, ce qui est conforme aux tendances historiques.

Après l'intrusion informatique de juillet 2014, les niveaux de tolérance au risque ont été adaptés à un environnement ou les pouvoirs et droits d'accès au système étaient réduits afin de garantir l'intégrité du réseau et de la sécurité du CNRC. L'intrusion informatique a notamment entraîné l'arrêt des activités du système de gestion financière du CNRC et du système de gestion des contributions du PARI, le système SONAR. Le CNRC et Services partagés Canada (SPC) continuent de travailler à la remise en service de toutes les capacités de ce système. En octobre 2014, le système SONAR a été réactivé, mais avec des capacités restreintes. Entre-temps, le PARI est revenu à un système de gestion sur support papier s'appuyant sur les processus hérités qui avaient été abolis au moment de la mise à niveau de SONAR en 2013. En avril 2015, les efforts se poursuivaient pour remettre toutes les fonctions de SONAR en ligne dans l'environnement informatique sécurisé du CNRC, et notamment afin de fournir aux employés qui assurent la prestation du Programme un accès au réseau sécurisé.

1.2 À propos de la vérification

Objectif

L'objectif de la vérification était de procurer aux hauts dirigeants du CNRC une assurance indépendante juste à temps que les contrôles en place sont demeurés efficaces à l'intérieur de l'environnement fonctionnel temporaire (EFT) et de permettre au CNRC d'apporter les correctifs nécessaires avant la fin de l'exercice financier.

Périmètre de la vérification

Le périmètre de la vérification a été défini en appliquant une méthode axée sur les risques. La vérification portait notamment sur les paiements de transfert liés aux activités du PARI dans le contexte des processus et contrôles temporaires utilisés pendant l'exercice 2015. Tous les programmes et toutes les initiatives gérés sous le parapluie du PARI ont été inclus au périmètre de vérification, y compris les contributions aux entreprises et organisations clientes du PARI ainsi qu'au financement versé dans le cadre des programmes PEJ, PCAI, PAIE et DTCV.

La vérification s'est concentrée sur les contributions accordées après le 28 juillet 2014 et sur les demandes de remboursement traitées de juin 2014 à mars 2015. Les zones de risque et de contrôle examinées par les vérificateurs étaient notamment les vérifications préalables des propositions de projet, le pouvoir de passation de marchés dans le cadre des accords de contribution, la gestion des demandes de remboursement des contributions, l'attestation de l'exécution (article 34 de la LGFP), le codage financier et la gestion des documents. À l'étape de l'évaluation des risques, les éléments suivants ont été exclus du périmètre de la vérification : évaluation des politiques et des processus, gestion des modifications aux contributions et activité de vérification des comptes créditeurs (article 33 de la LGFP). D'autres éléments ont aussi été exclus en raison du caractère éphémère des contrôles temporaires jusqu'à la mise en œuvre d'un réseau et de systèmes d'exploitation sécurisés pour le CNRC et de la volonté de se concentrer sur les principaux contrôles liés au PARI en raison du risque inhérent aux programmes de paiements de transfert.

Le BVE a sélectionné au hasard 40 accords de contribution en vigueur au cours de la période de septembre et octobre 2014 afin de procéder à une vérification des mesures de vérification préalable, et 85 demandes de remboursement unique traitées au cours de la période écoulée de juin 2014 à mars 2015, pour examen.

Démarche et méthodologie

La vérification a été menée conformément aux normes de vérification professionnelle généralement reconnues de l'Institut des auditeurs internes (IAI) et aux normes et exigences stipulées dans la Politique sur la vérification interne du Conseil du Trésor. Les critères de vérification (décrits à l'annexe A) sont surtout inspirés de la Politique sur les paiements de transfert du CT, du document Critères de vérification liés au Cadre de responsabilisation de gestion : outil à l'intention des vérificateurs internes (2011) du SCT et, le cas échéant, du Manuel pratique du PARI.Ces critères ont fait l'objet de discussions avec la direction du groupe de la vérification avant l'exécution de la mission.

La vérification a appliqué les critères de vérification qui existaient au moment de l'examen. Des échantillons ont été extraits des dossiers des bureaux régionaux du PARI. Les méthodologies de vérification ont été sélectionnées de manière à s'assurer que les causes principales des faits constatés sont définies. Ces méthodologies sont détaillées à la tableau 2 ci-dessous

2.0 Constatations de la vérification

2.1 Admissibilité aux contributions

Pour être efficace, un cadre de contrôle des paiements de transfert doit comprendre des normes et des procédures claires d'évaluation de l'admissibilité du projet aux contributions et de sa correspondance aux objectifs du programme. L'octroi des contributions doit être transparent et documenté de manière satisfaisante afin de maintenir la confiance du public et de démontrer de manière convaincante le respect des modalités et conditions du programme. La vérification a porté sur les contrôles temporaires mis en place afin d'appuyer le processus de vérification préalable et de transparence dans l'évaluation des propositions de projet et l'octroi des contributions.

Modèles et outils

Nous en sommes venus à la conclusion que le PARI a défini et mis en œuvre des processus temporaires de vérification préalable des propositions ainsi que des outils et des modèles de nature à assurer la continuité des principaux contrôles. Les modèles d'évaluation du processus de vérification préalable contenaient les champs nécessaires pour saisir l'information requise pour que le titulaire du pouvoir de passation de marchés puisse approuver la proposition de contribution en toute transparence. Dans un cas, nous avons relevé qu'une condition spéciale obligatoire définie dans un modèle intérimaire n'avait pas été transférée dans l'accord de contribution formellement approuvé par le CNRC et signé par le bénéficiaire. Des conditions spéciales ont été mises en place afin de rehausser la surveillance et la supervision des projets en fonction des facteurs de risque déterminés par le conseiller en technologie industrielle (CTI) ou l'autorité contractante. L'absence de conditions spéciales entièrement définies augmente le niveau de risque du projet et réduit l'efficacité de la surveillance et de la supervision.

Nous avons aussi relevé quelques cas où l'accord de contribution approuvé comportait des pages différentes de celles du modèle. Même si nous n'avons pas constaté de problèmes dans les accords contenant ces pages, il importe que le PARI maintienne l'intégrité de ses accords modèles afin de s'assurer que les contributions octroyées le sont en vertu d'accords dont les modalités et conditions sont le plus à jour possible et reflètent les exigences les plus récentes de tous les programmes gérés sous le parapluie du PARI. Au 1^er avril 2015, le PARI avait mis à jour tous ses modèles d'accord de contribution et tous les outils mis à la disposition de l'ensemble des employés du PARI sur le site intranet du PARI.

Vérification préalable des propositions

Dans 27 des 40 accords de contribution examinés, nous avons trouvé tous les renseignements nécessaires pour démontrer que la vérification préalable avait été effectuée et que le bénéficiaire était admissible au financement accordé. Dans 13 des 40 accords, nous avons relevé des possibilités d'amélioration des pratiques de gestion des dossiers, car les modèles temporaires ne contenaient pas suffisamment de renseignements pour démontrer que la vérification préalable du projet avait été effectuée. Tous les documents nécessaires ont plus tard été trouvés dans les dossiers sur support papier classés dans les bureaux régionaux. Il est important que les dossiers contiennent toute l'information requise afin de s'assurer que tous les documents nécessaires sont accessibles pour appuyer la gestion des contributions continues et protéger l'intégrité et la transparence du Programme. En mai 2015, le PARI s'est doté d'une stratégie de gestion des dossiers dans le cadre de la migration des dossiers de bénéficiaires postérieurs à l'intrusion informatique sur le réseau sécurisé du CNRC. Sur un échantillon de 40 accords de contribution, nous avons constaté que les examens de proposition et les évaluations contenaient en règle générale un aperçu suffisamment approfondi et détaillé des affaires du bénéficiaire et de ses plans et stratégies; des débouchés sur le marché du projet ainsi que des détails techniques et des retombées prévues du projet pour le Canada.

Codage des projets

Dans les 40 accords de contribution examinés, nous avons constaté que toutes les dépenses étaient bien codées et avaient été affectées aux bons comptes et aux éléments appropriés de la structure de répartition du travail (SRT) définie dans le système de gestion de projets et de gestion des finances du CNRC, ce qui a permis de confirmer l'intégrité des rapports produits.

Approbation des accords de contribution

Dans ces 40 accords de contribution, nous avons constaté que toutes les approbations requises par les titulaires d'une délégation de pouvoir de passation de marchés du CNRC avaient été obtenues et que tous les accords étaient dûment étayés par des évaluations commerciales et technologiques du CTI. Nous avons constaté que dans 20 des 35 accords applicables, la personne détenant le pouvoir d'autorisation n'avait pas fourni un résumé écrit justifiant l'octroi de la contribution dans le cadre de ses activités de vérification préalable. La présentation d'une brève description dans le modèle temporaire « Registre des décisions » accroît la transparence du processus d'octroi des contributions conformément à ce qui est indiqué dans le Manuel pratique du PARI.

Divulgation proactive

Dans le cadre du Programme d'amélioration de la gestion du gouvernement du Canada, tous les accords de contribution de plus de 25 000 $ conclus dans le cadre du PARI et des programmes gérés par le PARI sont divulgués sur le site Web externe du CNRC. Dans notre échantillon de dossiers soumis à la vérification préalable, les 22 accords applicables de plus de 25 000 $ avaient été divulgués de manière satisfaisante sur le site Web externe du CNRC et comportaient les valeurs les plus récemment établies ainsi que la date de fin des projets.

2.2 Gestion des contributions

Un cadre de contrôle de gestion efficace pour les paiements de transfert doit comprendre des procédures claires de gestion et de supervision des accords de contribution, des activités de surveillance axées sur les risques, des fonctions clairement définies et séparées de manière appropriée et un processus structuré de vérification des demandes de remboursement. La vérification s'est penchée sur les contrôles temporaires mis en place pour superviser la gestion des accords de contribution, y compris la surveillance des activités de projet et l'approbation appropriée des demandes de remboursement.

Processus de demande de remboursement

Dans le cadre des mesures de continuité des activités, le PARI a mis en œuvre un processus centralisé de gestion des demandes de remboursement après la réinitialisation du système de gestion financière du CNRC en octobre 2014. Toutes les demandes de remboursement étaient traitées centralement dans la région de la capitale nationale jusqu'à ce qu'un réseau sécurisé soit mis sur pied et que des ordinateurs portables sécurisés soient mis à la disposition des employés régionaux à partir de janvier 2015. Nous avons constaté que le PARI est revenu au système de gestion sur support papier qui avait été abandonné au moment de la mise à niveau du système SONAR, le système de gestion des contributions du PARI, en 2013. Des outils et des modèles temporaires de gestion des demandes de remboursement et des modifications ont été mis en place et sont accessibles sur le site intranet du PARI.

Examen des demandes de remboursement et approbation

Nous avons constaté que l'attestation d'exécution en vertu de l'article 34 de la LGFP était satisfaisante pour la totalité des 85 demandes de remboursement examinées. De manière générale, les demandes de remboursement sur support papier avaient été remplies, examinées et approuvées de manière satisfaisante. Dans notre échantillon de 85 demandes de remboursement, nous avons recensé huit cas où le calcul des remboursements était inexact à la suite d'erreurs mathématiques commises dans le calcul des coûts salariaux dont le remboursement était réclamé. Ces erreurs étaient sans conséquence importante, allant de 0,31 % à moins de 0,01 % de la valeur totale des accords en question dont la valeur variait entre 20 000 $ et 350 000 $. Nous avons également relevé un cas où une contribution à une organisation a entraîné un paiement en trop imputable à l'interprétation et au calcul des frais indirects qui étaient autorisés en vertu des modalités et conditions de l'accord. La valeur totale du remboursement effectué en trop ne dépassait pas 100 $ dans le cadre d'un accord dont la valeur totale était de 140 000 $.

Nous avons constaté que la totalité des 85 demandes de remboursement examinées étaient accompagnées d'un rapport d'étape permettant de faire le point sur les progrès accomplis par le projet et de communiquer des renseignements clés sur celui‑ci notamment sa date prévue d'achèvement, les difficultés et les obstacles à surmonter, le taux prévu d'épuisement du financement et la réception d'autres sommes publiques. Nous avons relevé deux cas où le rapport d'étape ne répondait pas aux exigences minimales de longueur, et un cas où le rapport d'étape ne divulguait pas les autres sommes publiques reçues au cours de la période visée par la demande de remboursement applicable. Dans ces trois cas, un aperçu de l'évolution du projet était cependant fourni et toutes les autres exigences avaient été satisfaites à l'exception des éléments susmentionnés, ce qui atténuait tout risque de supervision insatisfaisante des progrès du projet. De plus, les bénéficiaires sont tenus de remplir un rapport final qui exige la divulgation des autres sommes publiques reçues pendant toute la durée de l'accord de contribution.

En ce qui concerne les demandes de remboursement en vertu du Programme canadien d'accélérateurs et d'incubateurs, nous avons constaté que dans un cas, une avance avait été versée au bénéficiaire et que le paiement de l'avance subséquente a été effectué avant que le bénéficiaire ait produit suffisamment de demandes de remboursement pour déclencher le paiement de cette avance. Le paiement d'avances avant que les avances précédentes aient été épuisées est contraire aux conditions et modalités de l'accord, accroît les possibilités de paiement en trop et augmente la quantité d'efforts requis des employés du Programme pour effectuer le rapprochement des demandes de remboursement et les administrer.

Sur un échantillon de 53 demandes de remboursement traitées du mois d'août au mois de novembre 2014, nous avons calculé que le délai moyen de traitement depuis l'approbation du bénéficiaire jusqu'au versement du paiement par le système financier du CNRC était de 12 jours ouvrables tandis que le temps moyen était de 16 jours ouvrables. Dans notre échantillon, la période la plus longue entre l'approbation d'une demande de remboursement d'un bénéficiaire et la date à laquelle le CNRC était prêt à verser le paiement était de 65 jours ouvrables. Le PARI a établi une norme de service en matière de paiement de 35 jours ouvrables après la réception de tous les documents requis dûment remplis. Dans notre examen, seulement 5 des 53 demandes de remboursement traitées entre août et novembre 2014 ont donné lieu à un paiement après 35 jours ouvrables. De ces cinq cas, quatre étaient liés à des demandes de remboursement effectuées dans les deux mois qui ont suivi immédiatement l'intrusion informatique, période au cours de laquelle les contrôles de l'environnement fonctionnel temporaire ont été mis en place. Le PARI a de manière générale été en mesure de traiter les demandes de remboursement et de continuer d'appuyer les bénéficiaires malgré la mise hors circuit du réseau informatique du CNRC.

Validation après paiement

Dans le cadre des activités de surveillance des projets du PARI, les évaluations après projet (EAP) sont effectuées afin de s'assurer que les bénéficiaires comprennent le processus de demande de remboursement, tiennent un registre approprié des sommes engagées et règlent leurs dettes conformément aux modalités et conditions des accords de contribution. Dans notre échantillon de demandes de remboursement, nous avons recensé 24 premières demandes de remboursement qui exigeaient des activités d'EAP. Une seule validation après paiement requise n'avait pas été effectuée. Nous avons constaté que tous les documents nécessaires pour démontrer l'exécution par le PARI des activités de validation après paiement, y compris la fourniture des feuilles de temps, les documents connexes du service de la paie et les soumissions des entrepreneurs, le cas échéant, afin de démontrer la vérification préalable des paiements.

Annexe A : Critères de vérification