3.0 Résultats de la vérification

3.1 Pertinence et efficacité des politiques, des pratiques et des contrôles de gestion.

Les politiques déterminent la façon dont les choses doivent être exécutées et établissent les limites des mesures acceptables. Elles ne doivent pas être trop détaillées et doivent contenir uniquement l'information pertinente. Le besoin de politiques précises et le niveau de documentation qui s'y rattache dépendent de la taille de l'organisation, des objectifs à atteindre, des risques existants et de la mesure dans laquelle une communication claire des limites des mesures acceptables est requise^{Footnote 2}. Des politiques étayées et communiquées à l'ensemble de l'organisation doivent être accessibles compte tenu du fait que l'accès à l'information et la protection des renseignements personnels sont très réglementés, de l'importance d'un gouvernement ouvert et des risques d'atteinte à la réputation si ce type de demande est mal traité.

L'équipe de vérification a procédé à un examen des directives liées à l'accès à l'information et à la protection des renseignements personnels et a conclu que des directives adéquates ont été élaborées pour les principales fonctions du processus de traitement des demandes d'accès à l'information et de protection des renseignements personnels. Ces directives fournissent une description claire des rôles et des responsabilités, des pouvoirs délégués et des étapes du processus de traitement. Les documents ont été mis à jour la dernière fois en 2012 et étaient en cours de mise à jour pendant la vérification. Certains changements mineurs qui ne figuraient pas dans les politiques et les procédures ont été cernés par la vérification, mais ces omissions n'étaient pas essentielles aux contrôles internes et à la gouvernance encadrant l'AIPRP (p.ex. les changements organisationnels avaient une incidence sur le nom des personnes-ressources et des unités, des frais ne sont plus exigés, etc.).

L'équipe de vérification était satisfaite de l'existence de documents pertinents; cependant, ceux-ci avaient été retirés de l'intranet du Ministère aux fins de mise à jour au cours de la vérification. Le 18 septembre 2017, les documents n'avaient pas été réaffichés et n'étaient pas facilement accessibles aux employés. Si le personnel avait des questions, les coordonnées de l'Unité de l'AIPRP étaient disponibles sur le site intranet. Les directives entourant l'accès à l'information et la protection des renseignements personnels doivent être documentées et accessibles pour que le personnel puisse connaître et comprendre ses responsabilités et les paramètres qui régissent ses actions. Le personnel ne peut être tenu responsable s'il ne connaît pas ses responsabilités.

Une formation adéquate est un contrôle interne important puisqu'elle permet de veiller à ce que le personnel possède les compétences requises pour exécuter le travail qui lui est confié. La formation peut aussi aider à maintenir la qualité et à améliorer l'efficacité.

En ce qui a trait à la formation offerte aux agents de liaison (AL), la plupart des AL ont déclaré que leur formation avait été reçue sous forme de réunions trimestrielles et de séance de formation entre pairs. Parmi les seize AL et remplaçants interviewés, trois ont déclaré n'avoir reçu aucune formation. De ces trois AL, deux avaient moins de deux ans d'expérience.

Un certain nombre de séances de formation sur l'accès à l'information et la protection des renseignements personnels sont offertes à tout le personnel. Ces cours sont offerts par l'École de la fonction publique du Canada et le Secrétariat du Conseil du Trésor. Outre ces cours offerts par des organismes externes, ACC a élaboré et présente sa propre formation en matière d'AIPRP à laquelle nombre d'employés participent.

Toute la formation était accessible au personnel d'ACC, mais n'était pas bien connue de celui-ci. Normalement, une description des cours et de la formation offerts figure sur les sites de travail internes habituels (c.-à-d. ACC au travail ou GCDocs), mais ce n'était pas le cas pour la formation en matière d'AIPRP. Le personnel doit être au courant des ministères qui offrent de la formation et des sites qu'ils doivent consulter pour avoir accès à cette formation. Il serait avantageux de créer un répertoire central où le personnel d'ACC pourrait obtenir toute l'information nécessaire sur la formation qui lui est offerte.

Recommandation 1

Il est recommandé que la directrice, Protection des renseignements personnels et gestion de l'information, améliore l'accessibilité des politiques, des procédures et de la formation. (Essentielle)

Réponse de la direction

La direction accepte la recommandation. Le bureau d'AIPRP à ACC offre de la formation personnalisée et générale dans l'ensemble du Ministère de sorte que les employés aient les outils et la formation dont ils ont besoin pour traiter adéquatement les renseignements personnels. Le bureau d'AIPRP a également à sa disposition des politiques et des procédures qui sont mises à jour au besoin. En décembre 2017, une page améliorée portant sur l'AIPRP a été affichée sur l'intranet d'ACC pour accroître l'accessibilité. Le Ministère poursuit ses travaux pour ajouter des politiques, des procédures et de la formation mises à jour à l'espace amélioré.

3.2 Déterminer les secteurs dans lesquels l'efficacité du traitement des demandes d'accès à l'information et de protection des renseignements personnels doit être améliorée.

Pour déterminer les secteurs où des gains d'efficacité peuvent être réalisés relativement aux demandes d'accès à l'information et de protection des renseignements personnels, il importe de comprendre comment le milieu a changé au cours des cinq dernières années. Depuis 2011-2012, le volume de demandes d'accès à l'information a plus que doublé, passant de 164 demandes en 2011-2012 à 379 demandes en 2016-2017. Pendant la même période, la quantité de ressources au sein de l'Unité de l'AIPRP consacrées au traitement de ces demandes a diminué. Nonobstant la hausse des demandes et la baisse des ressources disponibles pour traiter les demandes, le nombre moyen de pages examinées par des ETP^{Footnote 3} est à la hausse, ce qui indique un traitement plus efficace. En 2011-2012, le nombre moyen de pages examinées par un ETP était de 4 154 pages et de 12 294 pages en 2016-2017, ce qui représente une hausse du volume de traitement de 196 %. Ce rendement démontre que le traitement des demandes d'accès à l'information est devenu plus efficient, mais ACC ne respecte toujours pas le délai de trente jours civils^{Footnote 4} prescrit par la loi, pour 40 % des demandes d'accès à l'information en 2016-2017.

De même, le volume de demandes de protection des renseignements personnels a plus que doublé, passant de 341 demandes en 2011-2012 à 737 demandes en 2016-2017, mais contrairement aux demandes d'accès à l'information, le nombre d'ETP affectés aux demandes de protection des renseignements personnels fluctue et ne révèle aucune tendance. Le nombre moyen de pages examinées par des ETP en 2011-2012 était de 7 207 pages et de 9 108 pages en 2016-2017, ce qui représente une hausse de 26 %. ACC ne respecte pas le délai de trente jours dans 32 % des demandes de protection des renseignements personnels en 2016-2017.

Les quatre principales étapes du traitement des demandes d'accès à l'information et de protection des renseignements personnels sont les suivantes :

Étape 1 : La demande est reçue et saisie dans le système. Si la demande requiert des clarifications pour son traitement, elle est placée « en attente » pendant que l'Unité de l'AIPRP obtient ces clarifications. Une fois que l'Unité de l'AIPRP a clarifié la demande, elle l'envoie au BPR. Deux jours sont prévus pour cette étape.

Étape 2 : La demande est reçue par le BPR (habituellement un AL de l'AIPRP pour les demandes d'accès à l'information et un BPR précis pour les demandes de protection des renseignements personnels) qui l'envoie au spécialiste en la matière afin de déterminer quelle information est disponible pour répondre à cette demande. L'information demandée est recueillie par l'AL et approuvée par le SMA responsable. En ce qui a trait aux demandes de protection des renseignements personnels, le BPR concerné envoie l'information demandée à l'Unité de l'AIPRP. Sept jours sont prévus pour cette étape.

Étape 3 : La récupération^{Footnote 5}, reçue par l'Unité de l'AIPRP, est numérisée dans le système, le cas échéant, et traitée par l'Unité.

Étape 4 : La récupération est soumise à un processus d'examen de la qualité et le dossier d'information est envoyé au demandeur. Vingt et un jours sont prévus pour les étapes 3 et 4.

Le tableau 2 montre les délais d'exécution associés à ces étapes; les délais sont tirés des résultats de l'examen des dossiers. En raison de la grande variation entre les délais de l'échantillon (les valeurs extrêmes avaient une incidence sur la moyenne), la mesure la plus représentative dans ce cas est la médiane ^{Footnote 6} average.

Tableau 2 : Temps de traitement des demandes d'accès à l'information et de protection des renseignements personnels par étape du processus

Étape	Responsabilité	Jours alloués	Accès à l'information Nombre de jours réels (médiane)	Protection des renseignements personnels Nombre de jours réels (médiane)
Étape 1 : réception de la demande	Unité de l'AIPRP	2	4	5
Étape 2 : récupération des documents	BPR	7	11	5
Étape 3 : traitement de la demande Étape 4 : envoi final	Unité de l'AIPRP	21	16	15
Médiane globale	Tous	30	33Footnote 7	28

Le Tableau 2 montre que le nombre de jours médian de l'étape 1, pour les demandes d'accès à l'information et de renseignements personnels est supérieur au temps alloué. Les chiffres indiqués ne tiennent pas compte du temps requis pour obtenir des clarifications auprès du demandeur, par conséquent la « mise en attente » n'a pas d'incidence sur la durée médiane. Le traitement de près de 70 % des demandes d'accès à l'information et de 69 % des demandes de renseignements personnels de l'échantillon dépassait le temps alloué de deux jours.

En ce qui a trait aux demandes de renseignements personnels, le rendement est meilleur durant la deuxième étape étant donné que la médiane est de cinq jours et que le délai de sept jours est respecté dans 75 % des cas. Ce n'est par contre pas le cas pour les demandes d'accès à l'information alors que le nombre de jours médian nécessaire au traitement des demandes est supérieur au nombre de jours alloués. En fait, 72 % des demandes d'accès à l'information étudiées dans le cadre de l'examen des dossiers dépassaient les jours alloués. Il est important de souligner que certains BPR sont plus en mesure de respecter le délai de sept jours que d'autres. Parmi les BPR responsables de cette étape du processus qui ont été interviewés, 50 % d'entre eux (8/16) ont affirmé que les retards dans le traitement des demandes étaient causés par les différentes charges de travail difficiles à concilier. Le fait de clarifier la priorité des demandes d'accès à l'information auprès des BPR, des spécialistes en la matière et de leurs gestionnaires quand les conflits surviennent serait un pas dans la bonne direction. Il faudrait aussi évaluer si sept jours constituent un délai réaliste. D'autres secteurs indiquent que l'envoi par la poste des documents à l'AIPRP accapare une bonne partie des sept jours alloués et qu'il y aurait des possibilités à cet égard.

Pour les besoins de ce rapport, les étapes 3 et 4 ont été combinées^{Footnote 8}. Ces étapes respectent en général les vingt et un jours alloués. Compte tenu du fait que la médiane est de cinq à six jours en avance, ces étapes aident à terminer le traitement d'une demande dans le délai de trente jours civils, lorsque le délai de l'étape 1 ou de l'étape 2 n'a pas été respecté.

C'est l'occasion d'étudier la question des prolongations. Les demandes d'accès à l'information et de protection des renseignements personnels doivent être traitées dans un délai de trente jours civils et une prolongation peut être accordée si certaines exigences sont satisfaites. Pour ce qui est des demandes d'accès à l'information, nous avons remarqué qu'ACC applique moins de prolongations que d'autres ministères. En 2016-2017, ACC a accordé une prolongation pour 16 % des demandes alors que le taux moyen de prolongations appliquées dans un échantillon discrétionnaire de huit autres ministères était de 32 %. ACC pourrait réévaluer les exigences relatives à une prolongation puisqu'il semble que le Ministère les interprète de manière plus rigide que d'autres ministères.

Recommandation 2

A – Il est recommandé que la directrice, Protection des renseignements personnels et gestion de l'information, mette en œuvre des stratégies pour régler les questions soulevées dans le rapport afin d'améliorer le rendement en ce qui a trait aux délais de traitement de trente jours, prescrit par la loi. (Cruciale)

Réponse de la direction

La direction accepte la recommandation. Au cours des deux dernières années, il y a eu de nettes améliorations en ce qui a trait au respect du délai d'exécution de trente jours prescrit par la loi pour traiter les demandes d'AIPRP. Nous continuons d'analyser les solutions possibles pour améliorer davantage nos délais d'exécution. Un outil a été mis en place à titre de solution pour mieux appliquer les prolongations en vertu de la Loi sur l'accès à l'information.

Le bureau d'AIPRP continue de collaborer avec les cadres supérieurs du Ministère pour veiller à ce que le traitement des demandes d'AIPRP respecte le délai prescrit par la loi.

B – Il est recommandé que chacun des sous-ministres adjoints au sein du Ministère accorde la plus haute priorité au traitement des demandes d’accès à l’information dans son secteur. Dans cette optique, il est attendu que les sous-ministres adjoints fourniront à leurs employés les orientations et l’appui dont ils auront besoin pour accomplir cette tâche.

Réponse de la direction

Tous les SMA sont d'accord avec la recommandation. Vu les différents types de renseignements détenus dans chaque secteur, la haute direction prendra diverses mesures pour informer les employés et les gestionnaires qu'il faut accorder la plus haute priorité au traitement des demandes d'accès à l'information. Les mesures envisagées comprennent la tenue de séances de formation et de sensibilisation et la mise en œuvre de systèmes de suivi.

Bien qu'il existe des données dans le système de suivi de l'Unité de l'AIPRP, la production de rapports et l'analyse portant sur ces données requièrent souvent une manipulation supplémentaire des champs de données ou le calcul manuel des données. En l'absence d'une méthode efficace de production de rapports sur les délais d'exécution, l'Unité de l'AIPRP a de la difficulté à déterminer les étapes qui pourraient être rendues plus efficaces et à déterminer les résultats, positifs ou négatifs, de mesures qui seraient mises en place pour contrer les faiblesses des processus. La production de rapports est également avantageuse du point de vue d'une surveillance continue et de la gestion active du traitement des demandes.

Recommandation 3

Il est recommandé que la directrice, Protection des renseignements personnels et gestion de l'information, améliore les capacités de transmission des données relatives au traitement des demandes d'AIPRP. (Essentielle)

Réponse de la direction

La direction accepte la recommandation et travaille à la mise en œuvre de capacités de transmission de données améliorées. Ces capacités supplémentaires devraient aider à cibler les questions précises soulignées à la recommandation 2.

3.3 Opinion du vérificateur

Les objectifs de la vérification étaient d'évaluer la pertinence des politiques et des pratiques liées à l'AIPRP et de déterminer les secteurs où des gains d'efficacité étaient possibles. D'après ces objectifs, l'équipe de vérification a conclu que dans l'ensemble, les résultats étaient « généralement acceptables ». L'équipe a noté que les rôles et les responsabilités avaient été clairement établis et que le personnel pouvait s'appuyer sur des politiques et des procédures claires. Cependant, ces politiques n'étaient pas facilement accessibles pour le personnel. En ce qui concerne l'efficience des opérations, ACC améliore sa capacité de traitement des demandes, mais les capacités de transmission de données sur le rendement doivent encore être améliorées dans le système afin qu'ACC puisse encore gagner en efficacité.