Audit de la gouvernance des données
Septembre 2023
Rapport d'audit interne
Préparé par : Direction générale des services de vérifications et d'assurance
Table des matières
Acronymes
- AGD
- Association de gestion des données
- CCGD
- Corpus des connaissances sur la gestion des données
- CDGMO
- Comité des DG chargé de la mise en œuvre et des opérations
- CEAPD
- Conseil d'examen de l'accès et du partage des données
- CGDA
- Comité de gouvernance des données et de l'analyse
- CMR
- Cadre ministériel des résultats
- COPS
- Comité des opérations et de la prestation de services
- CRD
- Compte rendu des décisions
- CT
- Conseil du Trésor
- DPI
- Dirigeant principal de l'information
- DPD
- Dirigeant principal des données
- DPFRE
- Dirigeant principal des finances, des résultats et de l'exécution
- GC
- Gouvernement du Canada
- ICP
- Indicateur clé de performance
- ICR
- Indicateur clé de risque
- OIN
- Organisation internationale de normalisation
- PSP
- Politique stratégique et partenariats
- RID
- Réseau d'intendance des données
- SAC
- Services aux Autochtones Canada
Sommaire
En 2019, Services aux Autochtones Canada (SAC) ont élaboré une stratégie ministérielle conjointe en matière de données pour orienter la réalisation des objectifs ministériels. Une fonction intérimaire de gouvernance des données a été créée au sein de SAC pour surveiller l'efficacité de la stratégie soutenu par le poste actuel de Dirigeant principal de l'information et un nouveau poste de Dirigeant principal des données créé en 2021.
L'audit de la gouvernance des données a été inclus dans le plan d'audit axé sur les risques de SAC pour 2022-2023, qui a été présenté au Comité ministériel d'audit et approuvé par la sous-ministre en juin 2022.
L'objectif de l'audit était de s'assurer que SAC a une fonction et une structure de gouvernance des données solides et que des processus sont en place pour appuyer la gestion des données ministérielles.
L'audit a révélé diverses lacunes dans la gouvernance des données de SAC, lesquelles présentent des risques pour la capacité du Ministère d'utiliser efficacement les données et de mettre en œuvre la Stratégie relative aux données pour la fonction publique fédérale. Les principaux problèmes relevés sont l'absence d'un registre complet des fonds de données, l'absence de processus formels pour la gestion des risques et les lacunes dans la communication des rôles et des responsabilités. De plus, il n'y a pas d'approche systématique pour suivre la rétroaction des intervenants sur les initiatives de gouvernance des données ou pour surveiller les mesures correctives.
Le niveau de maturité de la gouvernance des données de SAC a été évalué à « initial » ou « limité » pour les quatre piliers de la gouvernance des données, ce qui indique la nécessité d'une amélioration continue. Par conséquent, les recommandations/mesures suivantes ont été formulées dans le cadre de l'audit :
- Alignement des objectifs et prise de décision formalisée, priorisation et surveillance – La sous-ministre adjointe de Politique stratégique et partenariats, en consultation avec le Dirigeant principal des finances, des résultats et de l'exécution, devrait veiller à ce que les objectifs existants de gouvernance des données soient alignés sur le plan ministériel et les domaines de service principaux. Des processus formalisés devraient être mis en place pour surveiller et suivre la performance, prioriser et superviser le portefeuille des éléments du plan de travail de la gouvernance des données. De plus, ces processus devraient inclure des responsabilités claires et des mécanismes de prise de décision, de priorisation, de prise de mesures correctives, et de collecte de rétroaction auprès des parties prenantes clés.
- Rôles et responsabilités de la gestion des données – La sous-ministre adjointe de Politique stratégique et partenariats, en consultation avec le Dirigeant principal des finances, des résultats et de l'exécution, devrait établir une approche structurée de la gestion des données au sein du ministère. Cela implique de définir formellement les rôles et responsabilités de la gestion des données pour les aligner avec les objectifs de gouvernance des données et les besoins du ministère. Simultanément, une liste de membres de la délégué exécutif des données et du Réseau d'intendance des données devrait être complétée et validée, avec les rôles et responsabilités clairement documentés et communiqués. De plus, un programme complet d'intégration et de formation à la gestion des données devrait être développé pour s'assurer que les individus comprennent pleinement leurs responsabilités et contribuent efficacement à la gouvernance des données.
- Processus officiel de planification des données – La sous-ministre adjointe de Politique stratégique et partenariats, en consultation avec le Dirigeant principal des finances, des résultats et de l'exécution, devrait aligner les instruments de politique sur une approche du cycle de vie des données et élaborer un processus formel qui définit clairement les rôles et les responsabilités afin de dresser un tableau complet des données du registre et de cerner les lacunes et les besoins en matière de données.
- Cadre d'assurance de la qualité des données – La sous-ministre adjointe de Politique stratégique et partenariats, en consultation avec le Dirigeant principal des finances, des résultats et de l'exécution, devrait élaborer et appliquer un cadre complet de la qualité des données pour s'assurer que les données ministérielles répondent aux exigences du Secrétariat du Conseil du Trésor (CT) du Canada en matière d'accessibilité, d'interopérabilité, de protection des renseignements personnels et de confidentialité (Ligne directrice sur les services et le numérique, section 3).
- Amélioration de la sécurité et de l'intégrité des données – La sous-ministre adjointe de Politique stratégique et partenariats, en consultation avec le Dirigeant principal des finances, des résultats et de l'exécution, devrait mettre en œuvre des stratégies et des mécanismes solides pour prévenir la perte de données afin d'améliorer la sécurité des données. Ces mécanismes devraient empêcher les cas non autorisés d'accès aux données et de partage de données à l'intérieur et à l'extérieur du Ministère. Le processus de mise en œuvre devrait être clairement documenté, communiqué dans tout le Ministère et régulièrement examiné pour en vérifier l'efficacité et déterminer si des améliorations pourraient y être apportées.
- Sensibilisation à la gouvernance des données – La sous-ministre adjointe de Politique stratégique et partenariats, en consultation avec le Dirigeant principal des finances, des résultats et de l'exécution, devrait mettre en œuvre une stratégie de communication avec les utilisateurs qui appuie la sensibilisation à la gouvernance des données chez les principaux intervenants. Dans le cadre de la stratégie, il conviendra d'énoncer clairement les éléments clés du cadre de gouvernance des données, les politiques et outils sur les données et les initiatives de gouvernance des données en cours, et de mettre en évidence l'importance et la valeur des données de haute qualité, de même que les risques associés à une mauvaise utilisation des données. En outre, un mécanisme de rétroaction devrait être établi pour assurer un suivi des commentaires des employés sur la gouvernance des données et y donner suite afin d'assurer l'amélioration continue des activités et pratiques de gouvernance des données.
Énoncé de conformité
L'audit est conforme aux Normes internationales pour la pratique professionnelle de la vérification interne, de l'Institut des vérificateurs internes, et respecte les termes de la Politique sur l'audit interne du Gouvernement du Canada, comme en témoignent les résultats du Programme d'amélioration et d'assurance de la qualité.
Réponse de la direction
La direction est d'accord avec les conclusions, a accepté les recommandations incluent dans le rapport et a élaboré un plan d'action pour y répondre. Le plan d'action de la direction a été intégré dans le présent rapport.
1. Contexte
1.1 La gouvernance des données et son importance à SAC
L'Association de gestion des données (AGD) définit la gouvernance des données en tant que cadre organisationnel visant à établir la stratégie, les objectifs et la politique nécessaires pour gérer efficacement les données ministérielles. La gouvernance des données fournit un cadre pour que la gestion des données s'harmonise avec les priorités opérationnelles et les intervenants, et permet l'utilisation efficace de données pour favoriser une prise de décisions en temps opportun et ainsi soutenir les programmes ministériels. En citant les pratiques exemplaires de l'industrie de la gouvernance des données (p. ex. AGD, Stanford, International Business Machines Corporation (IBM), et autres.), la gouvernance des données d'une organisation peut être évaluée dans le contexte des volets représentés dans la figure 1 ci-dessous.
Équivalent textuel pour le graphique Figure 1 : Volets d'évaluation de la gouvernance des données de l'AGD
Figure 1 illustre les volets d'évaluation de la gouvernance des données de l'AGD.
- Donnée de base
- Officialisation
- Gestion de l'accès aux données
- Intendance
- Sensibilisation
- Architecture des données
- Capacité d'analyse des données
- Sécurité de l'information et confidentialité
- Métadonnées
- Qualité des données
SAC est chargé de fournir une vaste gamme de services et de programmes aux communautés autochtones, y compris des services axés sur les soins de santé, l'éducation, les services sociaux et le développement de l'infrastructure. Pour atteindre ses objectifs ministériels, SAC s'appuie fortement sur les données, et une gouvernance efficace des données est essentielle à l'atteinte de ses objectifs à court terme (c.-à-d. fournir des services efficaces) et à long terme (c.-à-d. le transfert de services). Les données orientent les décisions en matière de politiques et de programmes, mesurent les résultats et peuvent améliorer la prestation des services aux communautés autochtones au Canada. L'administration des paiements de transfert est un exemple de l'un des processus les plus exigeants sur le plan de la gestion des données du Ministère. Ce processus exige que SAC recueille et examine une grande quantité de données provenant de divers rapports de programmes et rapports financiers. Ces données orientent les décisions financières touchant les subventions pour les bénéficiaires de financement, y compris les Premières Nations, les conseils tribaux et d'autres organisations autochtones. Un autre processus exigeant sur le plan de la gestion des données à l'échelle de l'organisation au sein du Ministère est la mesure des résultats ministériels, dans le cadre de laquelle le Ministère tire parti de données complexes pour mesurer le rendement des programmes et des services au moyen d'indicateurs clés de performance (ICP) et d'indicateur clés de risque (ICR). Ces indicateurs servent à mesurer les résultats et à orienter les décisions stratégiques du Ministère (p. ex. présentations d'un membre du Cabinet, présentations au Conseil du Trésor, et autres.). Par conséquent, il est impératif qu'il existe une solide fonction de gouvernance des données au Ministère pour appuyer et permettre l'obtention en temps opportun de renseignements complets, exacts et adaptés à l'utilisation afin d'appuyer des décisions opérationnelles essentielles. En l'absence d'une fonction efficace de gouvernance des données, il y a un risque que les principaux intervenants ministériels prennent des décisions fondées sur des données qui ne sont pas complètes, exactes ou en temps opportun.
En outre, des fonctions efficaces de gouvernance des données assorties de pratiques de données à l'appui sont nécessaires pour atteindre l'objectif de SAC de transférer des programmes et des services aux communautés autochtones. En 2018, l'importance de la gouvernance des données et des pratiques de soutien aux données a été soulignée dans la Feuille de route de la stratégie des données publiée par le Greffier du Conseil privé du Gouvernement du Canada (GC). Cette Feuille de route comprenait une recommandation spécifique visant à soutenir les stratégies de données autochtones et à développer ensemble des stratégies basées sur les distinctions pour faire progresser la gouvernance des données autochtones et développer ensemble des indicateurs et des stratégies de collecte de données.
1.2 Fonction de gouvernance des données de SAC
La Feuille de route de la stratégie de données pour le GC demande que tous les ministères fédéraux mettent en place leurs propres stratégies en matière de données par septembre 2019. Par conséquent, en 2019, la stratégie ministérielle conjointe de SAC a été élaborée pour aider à orienter la réalisation des objectifs ministériels. À l'époque, une structure de gouvernance des données existante n'avait pas encore été établie et, à ce titre, une fonction provisoire de gouvernance des données a été mise en œuvre au sein de SAC en 2021 pour guider la réalisation des éléments du plan de travail sur la gouvernance des données conformément aux objectifs de la stratégie de données. La figure 2 illustre les trois piliers clés de la Stratégie ministérielle en matière de données et présente le rôle sous-jacent que la gouvernance joue à l'appui de chacun d'eux.
Équivalent textuel pour le graphique Figure 2 : Piliers et objectifs de la Stratégie ministérielle en matière de données
Figure 2 illustre les trois piliers de la Stratégie ministérielle en matière de données et présente le rôle sous-jacent que la gouvernance joue à l'appui de chacun d'eux.
Les trois piliers sont les suivants: Données en tant qu'actif, Environnement et infrastructure numérique et Effectif et culture.
L'objectif de ceux-ci sont les suivants:
- Données en tant qu'actif: les ministères et les partenaires autochtones tirent profit des données en déterminant et en conservant les données dont ils ont besoin pour satisfaire aux but bien définis dans les domaines de la production de rapports, de l'élaboration de programmes et de politiques et de la prestation de services.
- Environnement et infrastructure numérique: Les processus et l'infrastructure sont harmonisés pour que les bonnes données et analyses se traduisent en mesures concrètes pour les ministères ainsi que pour les partenaires et communautés autochtones.
- Effectif et culture: Les ministères et les partenaires et communautés autochtones ont la capacité nécessaire pour gérer, interpréter, utiliser et comprendre les données.
La gouvernance est un élément de fondation des trois volets et il existe aux bons niveaux pour veiller à ce que les données soient gérées de façon holistique en tant qu'actif stratégique pour les ministères, ainsi que pour et avec les partenaires et communautés autochtones.
En tirant parti des données et de l'infrastructure de soutien pour atteindre ses objectifs ministériels, SAC doit se conformer aux exigences définies dans la Politique sur les services et le numérique du Conseil du Trésor du Canada. Cette politique définit les lignes directrices et les attentes à l'intention des ministères fédéraux afin de fournir des services numériques de grande qualité à la population canadienne. Comme il est décrit dans les Ligne directrice sur les services et le numérique, l'information et les données sont des biens stratégiques qui jouent un rôle de plus en plus central à l'appui des opérations ministérielles, de la prise de décisions ainsi que de la conception et de la prestation des services. Pour que l'information et les données soient exploitées efficacement aux fins prévues, elles doivent d'abord être bien gérées. Cela appuie les résultats prévus de la Politique sur les services et le numérique, selon lesquels l'information est gérée comme un bien stratégique tout au long de son cycle de vie. La politique met l'accent sur l'importance de la gouvernance des données et, pour SAC en particulier, elle a été mentionnée dans la stratégie sur les données du Ministère ainsi que sa structure de gouvernance des données.
Rôles et responsabilités du Dirigeant principal de l'information (DPI) et du Dirigeant principal des données (DPD) :
Comme il est indiqué dans les Ligne directrice sur les services et le numérique du Secrétariat du Conseil du Trésor du Canada et conformément aux pratiques exemplaires de l'industrie en matière de gouvernance des données, le DPI est responsable de la gestion de l'information et de l'élaboration d'une approche à l'échelle de l'organisation en matière de qualité des données. Le DPD est responsable du soutien de la gouvernance des données et de la capacité ministérielle. Les DPD peuvent tirer parti des données pour appuyer les objectifs du Ministère.
Dans le contexte de SAC en particulier, le DPI et le DPD supervisent conjointement la fonction de gouvernance des données. Cependant, le DPI gère principalement les pratiques de gestion des données du Ministère, tandis que le DPD est principalement responsable de l'harmonisation de la vision globale et à long terme du Ministère en matière de partage de données et de transfert de services, ainsi que de la conservation des actifs de données. De plus, le DPD est responsable de l'élaboration et de la mise en œuvre d'une vision globale de l'utilisation des données en tant qu'actif stratégique au sein du Ministère pour appuyer la prestation, la transformation et le transfert des services et pour aider les gouvernements et les organisations autochtones à développer la capacité de données dont ils ont besoin pour fournir des services à leurs peuples.
En tant que coprésidents de la fonction de gouvernance des données de SAC, le DPI et le DPD sont responsables de la supervision de l'atteinte de plusieurs objectifs de gouvernance des données, y compris, mais sans s'y limiter ce qui suit :
- Promouvoir l'intendance des données par le biais du rôle d'un intendant principal des données, en veillant à ce que les données relevant de sa compétence soient gérées comme un actif de l'organisation;
- Prendre des décisions clés concernant les données d'entreprise; et
- Élaborer, approuver et mettre en œuvre la stratégie ministérielle en matière de données, la politique sur les données et d'autres recommandations.
Rôles et responsabilités des intendants des données
Les intendants des données jouent un rôle essentiel dans la mise en œuvre de la fonction de gouvernance des données à l'échelle d'une organisation. Étant donné que SAC est une grande organisation qui offre une vaste gamme de services dans l'ensemble du Canada, les intendants des données sont chargés à ce que les données du programme ou des régions sous leur responsabilité soient exactes, fiables et protégées. Leurs travail figurent la détermination des éléments de données essentiels du Ministère, la définition des règles régissant la collecte, le stockage et l'utilisation des données, ainsi que la surveillance des données afin d'en assurer la conformité aux règles. En outre, les intendants des données s'assurent que les règles et les pratiques établies en matière de données sont communiquées et que leur mise en application est surveillée au sein du Ministère.
Le Ministère a amorcé la mise en place d'un réseau d'intendance des données (RID). Ce réseau constitue un mécanisme clé pour mieux faire connaître l'approche ministérielle relative aux données dans l'ensemble de SAC, discuter des préoccupations concernant l'échange de données, collaborer à l'établissement de pratiques exemplaires dans le domaine de la gestion des données et définir les rôles et les responsabilités liés à la gouvernance des données. De plus, le Ministère prend des mesures pour officialiser le rôle du délégué exécutif des données afin que la responsabilité et l'obligation de rendre compte du travail entrepris par les délégués aux données soient claires et puissent être coordonnées au niveau de l'organisation.
2. À propos de l'audit
L'audit de la gouvernance des données est inclus dans le plan d'audit axé sur les risques de 2022-2023 de Services aux Autochtones Canada, lequel a été présenté au Comité ministériel d'audit et approuvé par la sous-ministre en juin 2022.
2.1 Importance de l'audit
L'audit a été désigné comme une priorité, étant donné qu'une solide fonction de gouvernance des données est importante pour surveiller et fournir une orientation au sein du Ministère, et ainsi de veiller à ce que les principaux intervenants disposent de renseignements complets, exacts, opportuns et adaptés à leur utilisation qui contribuent à les éclairer aux fins de la planification des activités essentielles, de la prise de décisions et de la mise en œuvre de mesures efficaces en temps voulu.
2.2 Objectif de l'audit
L'audit avait pour objectif d'établir avec certitude que le Ministère disposait d'une fonction rigoureuse de gouvernance des données et qu'il avait mis en place des pratiques en matière de données afin de soutenir la gestion des données ministérielles.
2.3 Portée de l'audit
L'audit était axé sur les rôles centralisés du Dirigeant principal de l'information (DPI) du Secteur du Dirigeant principal des finances, des résultats et de l'exécution (SDPFRE) de SAC et du Dirigeant principal des données (DPD) du Secteur de la politique stratégique et partenariats (SPSP) de SAC, ainsi que sur les travaux collaboratifs de leurs équipes visant à faciliter la gestion des données au sein de SAC par le biais de l'adoption de pratiques efficaces de gouvernance des données. L'audit a permis d'examiner les activités et les processus de gouvernance des données mis en œuvre à la suite de l'approbation de la stratégie ministérielle de données (2020) et de la structure provisoire de gouvernance des données (2021).
L'audit a aussi servi à examiner si la structure et les processus de gouvernance étaient adéquats, plus particulièrement si le Ministère disposait d'une fonction et d'une structure de gouvernance des données pour lesquelles les principaux rôles, responsabilités et obligations redditionnelles avaient été établis et communiqués; s'il avait mis en place des processus de gouvernance en vue de gérer les données tout au long de leur cycle de vie et de veiller à ce que l'intégrité des données soit prise en compte dans le cadre du processus de gouvernance, de manière à améliorer l'utilisabilité des données aux fins de la prise de décisions; et, finalement, s'il menait des activités de surveillance et de contrôle en vue d'atteindre les objectifs liés à la gouvernance de données et de s'assurer que les préoccupations sont portées à l'attention de la haute direction, s'il y a lieu.
Pour déterminer l'efficacité des mécanismes de gouvernance, les mesures de contrôle applicables en place ont été évaluées en fonction des normes de gouvernance des données de l'Association de gestion des données (CCGD-AGD), la Politique sur les services et le numérique du Conseil du Trésor, et les Normes numériques du gouvernement du Canada.
2.4 Approche et méthode d'audit
L'audit a été effectué conformément aux exigences de la Politique sur l'audit interne du Conseil du Trésor et aux Normes internationales pour la pratique professionnelle de l'audit interne. De plus, les lignes directrices des cadres de contrôle et des documents de référence suivants en matière de gouvernance des données ont été intégrées à l'approche d'audit :
- le corpus des connaissances sur la gestion des données (CCGD) de l'Association de gestion des données (AGD);
- le rapport au greffier du Conseil privé : Feuille de route de la Stratégie de données pour la fonction publique fédérale; et
- la Politique sur les services et le numérique du Conseil du Trésor.
Les auditeurs ont examiné suffisamment d'éléments probants pertinents et obtenu assez de renseignements pour fournir un niveau d'assurance raisonnable à l'appui de la conclusion de l'audit. Les critères d'audit sont présentés à l'annexe A. Voici les principales techniques d'audit utilisées :
- Entrevues avec les principales parties prenantes impliquées dans la gouvernance des données, y compris des révisions des processus de gouvernance des données telles que l'élaboration de politiques, la mobilisation des principales parties prenantes et la supervision de la gestion des données;
- analyse de la documentation, notamment du cadre de référence du comité de gouvernance, des politiques et des processus à l'appui, des comptes rendus des décisions du comité de gouvernance, des outils et des listes de vérification utilisées pour s'acquitter des responsabilités liées à la surveillance;
- vérification des éléments du plan de travail du Comité de gouvernance des données et de l'analyse (CGDA) qui figurent dans les comptes rendus des discussions du CGDA et du Comité des directeurs généraux chargé de la mise en œuvre et des opérations (CDGMO) en vue d'évaluer l'exhaustivité des documents et les mesures correctives prises;
- questionnaire, auquel ont répondu 22 des 44 destinataires (50 %); et
- évaluation de la maturité de la gouvernance des données.
Stratégie d'échantillonnage
Une vérification a été effectuée pour évaluer l'exhaustivité des documents et les mesures correctives prises en lien avec les éléments du plan de travail. Vu la fréquence des mises à jour de l'inventaire des éléments du plan de travail du CGDA, une méthode d'échantillonnage sélectionné au hasard a été employée en vue de sélectionner environ 10 % d'entre eux pour chaque pilier de la Stratégie de données. Compte tenu de la fréquence à laquelle les éléments du plan de travail ont été élaborés et en raison de la taille de la population, l'équipe d'audit a choisi au hasard 5 des 43 éléments compris dans le plan de travail afin de formuler des observations. Des entrevues ont également été menées auprès des intendants des données pour évaluer leur connaissance et leur compréhension des rôles et des responsabilités.
3. Principales constatations et recommandations
Comme l'énonce le document intitulé Feuille de route de la Stratégie de données du gouvernement du Canada, la stratégie de données proposée pour tous les ministères fédéraux vise à atteindre plusieurs résultats, dont l'amélioration des services, un meilleur suivi des résultats, une prise de décision davantage fondée sur des données probantes et le renforcement de la collaboration intra et intergouvernementale. Pour arriver à ces résultats souhaités, le Bureau du Conseil privé a proposé des stratégies ministérielles de données qui s'appuient sur les piliers indiqués ci-dessous.
- Gouvernance : les données sont gérées de façon globale comme un actif stratégique, conformément aux obligations redditionnelles, aux rôles et aux responsabilités connexes;
- Données en tant qu'actif : le gouvernement possède les données dont il a besoin, et celles-ci sont adaptées à leur utilisation, faciles à trouver et accessibles;
- Environnement et infrastructure numérique : les processus et l'infrastructure sont harmonisés, de manière à pouvoir transformer les données pertinentes et les analyses judicieuses en mesures concrètes; et
- Personnes et culture : le gouvernement dispose des talents et de la capacité nécessaires pour gérer, interpréter, utiliser et comprendre les données.
Résumé des constatations
Suivant l'achèvement de l'audit, les auditeurs ont tiré de multiples constatations et défini plusieurs possibilités d'amélioration pour faciliter l'atteinte des objectifs stratégiques de la fonction de gouvernance des données de SAC et la réalisation des priorités du gouvernement du Canada (GC) relatives au soutien des stratégies de données autochtones. Au nombre des principales constatations figurent des lacunes au niveau de la conception, de la communication et de la surveillance des politiques, processus et normes de gouvernance des données.
Dans les sections suivantes, les constatations tirées de l'audit sont expliquées plus en détail avec des renseignements à l'appui en fonction de chaque pilier de la Stratégie de données. Chacun des piliers de la Stratégie de données est mis en correspondance avec le volet connexe évalué afin de démontrer l'exhaustivité, conformément au cadre d'évaluation illustré à la figure 1.
3.1 Gouvernance
Contexte
Compte tenu de la Ligne directrice sur les services et le numérique, du Cadre de la stratégie de données pour la fonction publique fédérale et du CCGD de l'AGD, et de la nécessité de contribuer à l'atteinte des objectifs stratégiques, l'équipe d'audit s'attendait à ce que les objectifs liés au cadre de référence de la structure provisoire de gouvernance des données soient établis et harmonisés avec les objectifs stratégiques du Ministère énoncés dans le Plan ministériel de 2021-2022 et le Cadre ministériel des résultats (CMR) de 2021 2022 de SAC. De plus, elle s'attendait à ce que les rôles et les responsabilités des responsables et des comités de SAC chargés de la gouvernance des données soient clairement définis (p. ex., le CGDA, le RID, et autres). Ces aspects sont importants pour établir clairement les responsabilités et assurer la transparence dans le cadre de la prise des décisions, ainsi que pour veiller à ce que les décisions prises soient conformes aux objectifs stratégiques du Ministère.
En vue de favoriser l'atteinte de ces objectifs, l'équipe d'audit s'attendait également à ce que le Ministère dispose de documents d'orientation et d'outils supplémentaires qui facilitent la surveillance, le contrôle et l'établissement de l'ordre de priorité des éléments du plan de travail sur la gouvernance des données (p. ex., ICP et ICR).
Si les rôles et responsabilités ne sont pas clairement définis pour les comités de gouvernance et les intendants des données, et sans les processus et outils appropriés, il existe un risque que les objectifs de gouvernance des données ne soient pas atteints. Ainsi, les décideurs peuvent ne pas avoir la bonne orientation, la bonne compréhension de la stratégie de données, des contrôles efficaces pour garantir l'intégrité des données et le soutien nécessaires pour assurer une utilisation efficace des données aux fins de la prise de décisions.
Constatations
Harmonisation des objectifs de gouvernance des données avec les secteurs de services essentiels du Ministère
Après examen, il a été souligné que les objectifs de gouvernance des données n'étaient pas clairement harmonisés aux objectifs stratégiques définis dans le plan ministériel 2021-2022 de SAC, et les secteurs de services essentiels du CMR (p. ex. services et prestations pour les particuliers, services sociaux et santé, services de gouvernance et de développement communautaire, services autodéterminés par les Autochtones). Dans le cadre de l'élaboration des objectifs de gouvernance des données, aucun processus n'a été suivi pour garantir l'exhaustivité par rapport aux objectifs. Plus précisément, les objectifs provisoires du cadre de référence de gouvernance des données ne comprennent pas de justification qui expliquerait comment ces objectifs faciliteront l'atteinte des résultats prévus définis dans le plan ministériel 2021-2022.
L'alignement entre les objectifs de gouvernance des données et les objectifs stratégiques est essentiel pour assurer la collecte de données pertinentes et la gestion efficace de ces données. Un mauvais alignement peut entraîner une vision incomplète de la fonction de gouvernance des données et l'absence d'une vision organisationnelle des objectifs stratégiques de SAC.
Documentation sur les rôles et les responsabilités
Conformément aux directives de l'AGD, des rôles et responsabilités de gestion définis et communiqués sont essentiels à une fonction efficace de gouvernance des données. Autrement, dans le cadre de la fonction, il pourrait ne pas y avoir de mécanisme cohérent pour guider la réalisation des objectifs.
DPI et DPD
Les rôles et responsabilités du DPI et du DPD sont documentés, communiqués et compris.
Intendants des données
Les rôles et responsabilités des autres rôles clés en matière de gouvernance des données au-delà de ceux du DPI et du DPD ne sont pas officialisés. Plus précisément, il a été noté que les intendants des données et les rôles et responsabilités connexes ne sont pas officiellement définis, communiqués et mis en œuvre. En l'absence de rôles et de responsabilités définis dans l'espace de gouvernance des données, il n'existe pas de source faisant autorité pour décrire les responsabilités attendues en matière de collecte, d'utilisation, de stockage et d'élimination des données ministérielles.
Plan de travail sur la gouvernance des données
Le suivi du plan de travail de gouvernance des données répertorie tous les éléments du plan de travail de gouvernance des données, ainsi que les échéances, le statut, les contacts clés et les descriptions associés. Même s'il existait des données qualitatives préliminaires pour suivre le rendement (p. ex. comptes rendus des décisions (CRD) documentés), l'équipe d'audit a noté qu'il n'y avait aucun ICP et d'ICR dans certains des plans de travail examinés, ce qui rend difficile la surveillance efficace de la fonction de gouvernance des données dans son ensemble. Par conséquent, le Ministère peut ne pas être en mesure de mesurer objectivement et de suivre le rendement historique des éléments du plan de travail sur la gouvernance des données par rapport aux objectifs du Ministère. L'absence d'ICP et d'ICR a également des répercussions sur la capacité du Ministère de quantifier ses besoins en matière de données et d'évaluer la qualité des données. Enfin, il n'existe pas de mécanisme d'établissement des priorités pour les divers éléments du plan de travail sur la gouvernance des données. Ceux qui ont fait l'objet d'un audit ont indiqué que les ICP et les ICR relatifs à la gouvernance des données doivent être élaborés dans le cadre de la mise en œuvre du nouveau CMR, ce qui éclairerait le processus d'établissement des priorités.
Recommandations
- Alignement des objectifs et prise de décision formalisée, priorisation et surveillance – La sous-ministre adjointe de Politique stratégique et partenariats, en consultation avec le Dirigeant principal des finances, des résultats et de l'exécution, devrait veiller à ce que les objectifs existants de gouvernance des données soient alignés sur le plan ministériel et les domaines de service principaux. Des processus formalisés devraient être mis en place pour surveiller et suivre la performance, prioriser et superviser le portefeuille des éléments du plan de travail de la gouvernance des données. De plus, ces processus devraient inclure des responsabilités claires et des mécanismes de prise de décision, de priorisation, de prise de mesures correctives, et de collecte de rétroaction auprès des parties prenantes clés.
- Rôles et responsabilités de la gestion des données – La sous-ministre adjointe de Politique stratégique et partenariats, en consultation avec le Dirigeant principal des finances, des résultats et de l'exécution, devrait établir une approche structurée de la gestion des données au sein du ministère. Cela implique de définir formellement les rôles et responsabilités de la gestion des données pour les aligner avec les objectifs de gouvernance des données et les besoins du ministère. Simultanément, une liste de membres de la délégué exécutif des données et du Réseau d'intendance des données devrait être complétée et validée, avec les rôles et responsabilités clairement documentés et communiqués. De plus, un programme complet d'intégration et de formation à la gestion des données devrait être développé pour s'assurer que les individus comprennent pleinement leurs responsabilités et contribuent efficacement à la gouvernance des données.
3.2 Les données en tant qu'actif
Contexte
Le recensement et le traitement de données en tant qu'actif sont essentiels à la gestion des données des organisations, mais aussi pour ce qui est d'aider les organisations à devenir plus centrées sur l'information et à utiliser les données comme pilier central de la prise de décision. Traiter les données comme des actifs représente un élément clé d'une gouvernance efficace des données.
À la lumière de directives fournies par le Conseil du Trésor, le Bureau du Conseil privé et l'AGD, on s'attendait à ce que le Ministère dispose d'un processus officiel pour déterminer les besoins, les répertoires et les lacunes relativement aux données. De plus, on s'attendait à ce que le Ministère dispose d'un cadre d'assurance de la qualité des données harmonisé avec une approche de cycle de vie des données. Un tel cadre aiderait à la gestion des données ministérielles et des éléments clés comme l'accessibilité, l'interopérabilité et la protection de la vie privée et de la confidentialité. Pour permettre une prise de décision éclairée, les intervenants ministériels devraient avoir les données utilisables, repérables et disponibles nécessaires pour répondre à leurs besoins. L'équipe d'audit s'attendait à trouver des politiques sur la collecte des données et des processus de rapport sur les résultats pour les intervenants internes et externes pertinents, ainsi qu'une stratégie de communication pour la fonction de gouvernance des données et des initiatives de communication des données dans l'ensemble du Ministère.
S'il y a absence de processus efficaces pour garantir que les données sont utilisables et de bonne qualité, il pourrait avoir un risque que les données ministérielles essentielles utilisées dans le cadre de prises de décisions ne soient pas exactes, complètes ou actuelles. Ce manque pourrait entraîner de mauvaises prises de décisions liées à des décisions éclairées en matière de politiques et de programmes, à l'amélioration de la prestation des services et à la mesure des résultats pour les communautés autochtones.
Constatations
Planification des données ministérielles (p. ex. besoins en matière de données, répertoires et lacunes)
Il a été souligné qu'il n'existe pas de processus officiel pour obtenir une vue complète des données répertoriées, ainsi que pour cerner les lacunes et les besoins en matière de données. Il a été mentionné que cette lacune en matière de processus et de politique est largement causée par le fait que les instruments de politique en place sont désuets et ne sont pas fondés sur une approche de cycle de vie (consultez l'annexe B pour obtenir plus de renseignements sur l'approche du cycle de vie des données). La direction a indiqué que l'harmonisation des instruments de politique avec une approche fondée sur le cycle de vie permettrait au Ministère de cerner et de combler les lacunes en matière de données. Sans un processus officiel de détermination des besoins, des répertoires et des lacunes en matière de données, il existe un risque que les intervenants ministériels ne disposent pas des données requises à la prise de décisions.
L'approche limitée actuelle de la planification des données est très cloisonnée, ce qui est le résultat de politiques obsolètes. La mauvaise planification des données et l'utilisation d'une approche cloisonnée de l'identification des besoins en données peuvent entraîner des répercussions sur la pertinence des données, la capacité des données de permettre une meilleure prise de décisions comme prévu et l'obtention de renseignements sur la prestation des services et la relation avec les partenaires des Premières Nations. Une planification efficace en matière de données aide à rationaliser les exigences en matière de rapports, à réduire le fardeau des rapports pour les partenaires des Premières Nations et à améliorer le processus décisionnel.
Cadre sur la qualité des données
Conformément aux Ligne directrice sur les services et le numérique et aux pratiques exemplaires de l'industrie décrites par l'AGD et ISO-8000 (telles que décrites à l'annexe C), un cadre de qualité des données est essentiel à la gestion des éléments clés des données, comme l'accessibilité, l'interopérabilité et la protection de la vie privée et de la confidentialité. Dans les politiques de gouvernance des données en place, il a été relevé qu'il n'y a pas de cadre ministériel complet sur la qualité des données (p. ex. politiques, procédures et normes) en place pour la gestion et la surveillance de la qualité des données du Ministère.
Bien que la Directive de SAC sur la gestion de l'information dans un environnement numérique comprenne certains éléments clés de la qualité des données, comme l'exige la Politique sur les services et le numérique du CT, plusieurs lacunes ont été relevées. Ces lacunes touchent entre autres des directives sur le stockage de l'information, la protection de l'information contre les pertes et la classification des données.
Un cadre de qualité des données complet et mis en place permet de garantir que les extrants sont exacts, complets, fiables et interprétables, et que les utilisateurs autorisés ont accès aux données. Toute lacune du cadre peut avoir une incidence sur la qualité et la sécurité des données et, pour des ministères comme SAC qui possèdent des données importantes, il est essentiel d'en garantir la qualité et la sécurité.
Recommandations
- Processus officiel de planification des données – La sous-ministre adjointe du Secteur de Politique stratégique et partenariats, en consultation avec le Dirigeant principal des finances, des résultats et de l'exécution, devrait harmoniser les instruments de politique avec une approche de cycle de vie des données et établir un processus officiel qui définit clairement les rôles et les responsabilités pour obtenir une vue complète des données répertoriées, ainsi que pour cerner les lacunes et les besoins en matière de données.
- Cadre d'assurance de la qualité des données – La sous-ministre adjointe du Secteur de Politique stratégique et partenariats, en consultation avec le Dirigeant principal des finances, des résultats et de l'exécution, devrait établir et mettre en œuvre un cadre complet de qualité des données pour veiller à ce que les données ministérielles soient conformes aux exigences du Secrétariat du Conseil du Trésor du Canada en matière d'accessibilité, d'interopérabilité et de protection de la vie privée et de la confidentialité (Ligne directrice sur les services et le numérique, section 3).
3.3 Développement de l'infrastructure de données, mécanismes de rétroaction et protection des données
Contexte
Il est essentiel de veiller à ce que des processus soient en place pour la sollicitation et l'intégration de la rétroaction afin de poursuivre l'amélioration, en particulier en ce qui concerne les pratiques en matière de données et l'infrastructure numérique. À la lumière du cadre de la stratégie en matière de données du CT pour la fonction publique fédérale, ainsi que le CCGD de l'AGD, on s'attendait à ce que le Ministère dispose de mécanismes de surveillance pour recueillir les commentaires des principaux intervenants. Un tel mécanisme permettrait une amélioration continue des processus de gouvernance des données et des politiques en matière de données du Ministère, et de permettre à l'infrastructure de transformer l'analyse des données en action. L'équipe d'audit s'attendait à trouver des mécanismes permettant de documenter et de surveiller efficacement les progrès des initiatives en matière de données, et de mettre en œuvre des mesures correctives au besoin. Cela comprend des processus permettant un suivi des progrès réalisés dans diverses initiatives relatives aux données, des responsabilités clairement définies, des délais établis, des mises à jour de l'état des mesures correctives et des mécanismes détaillés pour établir l'ordre de priorité des éléments du plan de travail sur la gouvernance des données.
De plus, il était prévu que le Ministère aurait des mécanismes de contrôle en place pour empêcher que des données délicates se retrouvent à l'extérieur du Ministère, ce qui améliorerait la confidentialité, la protection des renseignements personnels et la sécurité relativement aux données. Ces contrôles pourraient comprendre une formation officielle des employés, une protection des points terminaux sur les appareils et des fonctionnalités d'effacement à distance sur les appareils appartenant au Ministère. L'équipe d'audit s'attendait également à trouver des mécanismes pour recueillir la rétroaction des employés, comme des formulaires de rétroaction, des sondages et des canaux de rétroaction.
S'il n'y a aucun processus officiels pour documenter les décisions clés et surveiller l'avancement des éléments du plan de travail sur la gouvernance des données, le Ministère pourrait ne pas avoir l'information nécessaire pour surveiller les progrès réalisés et les risques par rapport à ses objectifs stratégiques.
Mais encore, s'il n'y a pas de contrôles visant à prévenir la perte de données, il pourrait y avoir un risque que les données délicates puissent être communiquées à des utilisateurs non autorisés à l'intérieur ou à l'extérieur du Ministère, ce qui peut avoir des répercussions négatives en matière de réputation et d'opérations.
S'il n'y a pas de mécanismes de surveillance en place pour recueillir les commentaires des principaux intervenants, il pourrait exister un risque que les processus existants de réception des commentaires dans le cadre du processus de surveillance ne soient pas adéquats, ce qui entraîne des préoccupations quant à la mise en œuvre, qui ne sont pas soulevées par la haute direction et un manque de renseignements exploitables pour aider à améliorer les stratégies de données ministérielles et les pratiques de gouvernance des données.
Constatations
Surveillance du plan de travail sur la gouvernance des données
Il a été souligné que le Ministère a mis en place un outil de suivi du plan de travail comme mécanisme clé pour surveiller l'avancement des divers éléments du plan de travail sur la gouvernance des données. Toutefois, il n'y avait pas de processus officiel en place pour documenter et surveiller le rendement, les décisions, les risques et les mesures correctives. Des tests des éléments échantillonnés du plan de travail ont permis de révéler qu'il n'y avait pas de responsabilités, de délais et de mesures correctives définis de façon uniforme. De plus, il a été noté que l'un des éléments du plan de travail échantillonnés a été annulé sans décision ou justification documentée dans les mandats examinés. Bien qu'il y ait eu des demandes de suivi, l'équipe d'audit n'a pas reçu de données probantes qui préciseraient pourquoi cette décision a été prise.
Des responsabilités clairement définies et communiquées, des délais et un processus décisionnel officiel dans le cadre duquel les décisions sont documentées sont essentiels pour assurer une mise en œuvre efficace des éléments actuels et futurs du plan de travail sur la gouvernance des données. Des processus sont nécessaires pour garantir que le rendement des éléments du plan de travail et les tendances des risques sont surveillés, et que des mesures correctives sont prises au besoin.
Mécanismes de rétroaction
Le Ministère n'a pas de processus officiels (p. ex. un dépôt central) pour effectuer un suivi holistique de la rétroaction sur la gouvernance des données ministérielles. Parmi les exemples d'éléments de rétroaction attendus, mentionnons le rendement des ensembles de données et des systèmes sources clés du Ministère, le rendement des éléments du plan de travail sur la gouvernance des données et les renseignements fournis par les principaux intervenants. Il a été relevé que le Ministère a mis en place des mécanismes modulaires de suivi de la rétroaction, mais il n'y a pas de suivi centralisé dans l'ensemble de la fonction de gouvernance des données. L'audit a révélé que la rétroaction est principalement traitée par des communications par courriel, directement avec les clients, ou parfois par l'entremise de réunions de gouvernance régulières (p. ex. CDGMO et le Comité des opérations et de la prestation de services (COPS)).
En l'absence de processus et de mécanismes permettant de consigner et de suivre les commentaires horizontalement, il existe un risque que les problèmes ne soient pas cernés et résolus rapidement. Il existe un risque que la direction manque de précieuses perspectives, ce qui pourrait au bout du compte avoir une incidence négative sur la gouvernance et le processus de gestion des données et, par la suite, sur la prise de décisions, ce qui pourrait toucher les services offerts aux communautés autochtones.
Mécanismes de prévention de la perte de données
L'audit a permis de constater que des outils et des processus officiels étaient en place pour la gestion des partages de données externes. Plus précisément, le Ministère a mis en place un conseil d'examen de l'accès et du partage des données (CEAPD) qui vise à atténuer les risques liés à l'accès et aux partages des données externes. Toutefois, à l'échelle organisationnelle, il n'existe pas de processus officiel de prévention des pertes de données. La direction a reconnu qu'il n'existe aucun outil ou processus de prévention de la perte de données pour empêcher les données non autorisées de se retrouver à l'extérieur du Ministère. Par exemple, les données délicates peuvent être transférées sur une clé USB et envoyées à quelqu'un, puisqu'il n'existe actuellement aucun mécanisme de détection pour empêcher ou signaler la perte de données. Il a été noté que le même risque est présent lors de l'utilisation d'ordinateurs de bureau, d'ordinateurs portables et de disques durs externes. Sans un mécanisme officiel de prévention de la perte de données, il existe un risque que les données délicates soient partagées avec des utilisateurs non autorisés à l'intérieur ou à l'extérieur du Ministère. Il s'agit également d'un risque important pour la réputation, puisque le Ministère est en possession de données délicates.
Recommandations
Veuillez-vous référer à la recommandation n°1 dans la section 3.1 pour la recommandation concernant les mécanismes de surveillance.
- Amélioration de la sécurité et de l'intégrité des données – La sous-ministre adjointe du Secteur de la politique stratégique et partenariats, en collaboration avec le Dirigeant principal des finances, des résultats et de l'exécution, devrait mettre en œuvre des stratégies et des mécanismes solides de prévention de la perte de données afin d'améliorer la sécurité en matière de données. Ces mécanismes devraient empêcher l'accès et le partage non autorisés relativement aux données à l'intérieur et à l'extérieur du Ministère. Le processus de mise en œuvre devrait être clairement documenté, communiqué à l'échelle du Ministère et régulièrement examiné pour en vérifier l'efficacité et les améliorations possibles.
3.4 Personnes et culture
Contexte
La culture d'une organisation joue un rôle essentiel dans la gouvernance efficace des données. Une culture axée sur les données favorise la compréhension, l'acceptation et la cohérence dans la gestion de la disponibilité, de la pertinence, de l'utilisabilité, de l'intégrité et de la sécurité des données. Dans un environnement où les données sont réellement valorisées (c'est-à-dire comme un actif), les parties prenantes sont plus susceptibles d'adopter des stratégies de gouvernance solides, garantissant ainsi une utilisation cohérente et optimale des données. Un élément clé du développement d'une telle culture consiste à assurer une communication efficace et une sensibilisation aux responsabilités et aux avantages d'une gouvernance efficace des données.
En raison des directives fournies par le Conseil du Trésor, le cadre de la stratégie en matière de données pour la fonction publique fédérale et le CCGD de l'AGD, on s'attendait à ce que le Ministère ait une stratégie de communication avec les utilisateurs pour promouvoir la sensibilisation auprès des principaux intervenants. On s'attendait à ce que la stratégie de communication comprenne des détails sur les résultats escomptés de la fonction de gouvernance des données dans le but d'accroître la participation et l'adoption d'initiatives de gouvernance des données. Plus précisément, on s'attendait à ce qu'un mandat documenté soit en place pour les intendants de données dans lequel les éléments suivants sont définis : rôles et responsabilités, organigrammes complets avec les intendants des données régionaux et de programmes de SAC, et formation et intégration pour les nouveaux intendants des données. Globalement, on s'attendait à ce que les politiques, les processus et les normes de gouvernance des données soient communiqués afin de garantir que les principaux intervenants sont informés sur la façon de gérer, d'interpréter, d'utiliser et de comprendre les données.
S'il n'y a pas de stratégie de communication avec les utilisateurs pour mobiliser les parties prenantes clés, il pourrait exister un risque que les parties prenantes clés ne soient pas au courant de la stratégie, des politiques, des processus et des normes de gouvernance des données, ce qui entraîne le non-respect des objectifs stratégiques. Cela pourrait limiter la mise en œuvre de telles politiques et processus, ce qui mènerait à un non-respect des directives établies et limiterait la mise en œuvre de la culture nécessaire à une gouvernance efficace des données. En outre, s'il n'y a pas de représentation complète des intendants des données dans le RID, il pourrait exister un risque que certaines responsabilités d'intendance des données qui ne sont pas exécutées et qui pourrait y avoir des inefficacités, comme des retards dans l'exécution des activités d'intendance des données. Les délais et la qualité des activités axées sur les données peuvent par la suite être affectés.
Constatations
Exhaustivité de la composition du réseau d'intendance des données
Il a été relevé que la liste des membres du RID était incomplète, puisqu'il y avait des postes d'intendants des données vacants au sein du RID pour certains programmes et secteurs régionaux. Il a également été indiqué par la direction que la liste des membres du RID n'a pas encore été confirmée, avec des détails relatifs aux intendants des données. L'identification du personnel clé responsable de la gestion des données représente une étape essentielle pour garantir la mise en œuvre d'une gouvernance efficace des données.
Communication et sensibilisation relativement aux rôles et responsabilités des intendants des données
Une fois les intendants des données trouvés, il est important de communiquer leurs rôles et responsabilités ainsi qu'au personnel de soutien chargé d'exécuter les objectifs du gestionnaire de données. À l'heure actuelle, les intendants des données discutent des questions relatives aux données et sont informés de leurs rôles et responsabilités de façon ponctuelle, avec la fonction de gouvernance des données par l'entremise de réunions du CDGMO et du COPS. Au moment de l'audit, il a été souligné que certaines initiatives de formation visant à fournir aux intendants des données des renseignements spécifiques à leur rôle ont été annulées.
De plus, dans un questionnaire envoyé à tous les intendants des données par le personnel d'audit, la majorité des répondants ont indiqué avoir une connaissance générale de la fonction de gouvernance des données au sein du Ministère, de même que des rôles et responsabilités et des comités qui y sont associés. Cependant, certains intendants étaient plutôt incertains de leur rôle au sein de la fonction de gouvernance des données et ne savaient pas trop quelle place le RID occupe dans la fonction en général et comment il appuie leur rôle.
Sans processus formel, et sans rôles et responsabilités définis, il n'y avait pas suffisamment de preuves pour permettre au ministère de conclure si le RID produit ses résultats visés, entre autres pour ce qui est de la promotion de l'approche en matière de données de SAC auprès des employés ministériels, de la discussion des stratégies liées aux données et de la collaboration en vue d'établir des pratiques exemplaires pour la gestion des données.
Une stratégie claire de gouvernance des données qui énonce les rôles et les responsabilités des principaux intervenants, comme les intendants des données, et qui est bien communiquée et surveillée par les comités existants, est essentielle pour faire progresser la fonction de gouvernance des données de SAC.
Recommandations
Veuillez-vous référer à la recommandation n° 2 dans la section 3.1 pour la recommandation concernant l'identification des intervenants.
- Sensibilisation à la gouvernance des données : La sous-ministre adjointe du Secteur de la politique stratégique et partenariats, en collaboration avec le Dirigeant principal des finances, des résultats et de l'exécution, devrait mettre en œuvre une stratégie de communication avec les utilisateurs qui appuie la sensibilisation à la gouvernance des données chez les principaux intervenants. Dans le cadre de la stratégie, il conviendra d'énoncer clairement les éléments clés du cadre de gouvernance des données, les politiques et outils sur les données et les initiatives de gouvernance des données en cours, et de mettre en évidence l'importance et la valeur des données de haute qualité, de même que les risques associés à une mauvaise utilisation des données. En outre, un mécanisme de rétroaction devrait être établi pour assurer un suivi des commentaires des employés sur la gouvernance des données et y donner suite afin d'assurer l'amélioration continue des activités et pratiques de gouvernance des données.
3.5 Maturité de la gouvernance des données de SAC
L'audit a examiné les éléments clés du cadre de gouvernance des données de SAC. De plus, l'équipe a effectué une évaluation du niveau de maturité de la gouvernance des données en utilisant le modèle de maturité de la gouvernance des données de Stanford et s'est appuyée sur les meilleures pratiques de gouvernance des données issues du Corpus des connaissances sur la gestion des données. Cette évaluation a été utilisée pour mesurer le niveau de maturité du ministère sur une échelle de 1 à 5. Sur cette échelle, 1 représente un niveau de maturité "Initial" et 5 représente le niveau "Optimal", selon le modèle.
Le modèle évalue deux catégories principales: les fondations et les projets. Dans la catégorie des fondations, les éléments suivants ont été inclus et évalués :
- Formalisation: Le degré de structuration des rôles au sein d'une organisation et la gouvernance des activités des employés par des règles et des procédures.
- Conscience: Le degré de sensibilisation des individus au sein de l'organisation aux rôles, aux règles et aux technologies associées au programme ou à la fonction de gouvernance des données.
- Métadonnées: Les données qui décrivent d'autres données et les actifs informatiques, tels que les bases de données, les tables et les applications, en fournissant des informations commerciales et techniques essentielles. Elles facilitent la compréhension cohérente des caractéristiques et de l'utilisation des données.
La catégorie du projet comprend :
- Responsabilité: La formalisation de la responsabilité pour la définition, l'utilisation et les normes de qualité des données spécifiques dans le cadre d'une portée organisationnelle définie.
- Qualité des données: Le processus continu de définition des paramètres pour spécifier les niveaux acceptables de qualité des données afin de répondre aux besoins commerciaux, et de garantir que la qualité des données atteint ces niveaux.
- Données de référence: Les données de base essentielles aux opérations. Ce qui est considéré comme des données de référence peut varier en fonction de l'organisation.
Le processus d'évaluation a inclus l'examen de la documentation qui était disponible, y compris les politiques et les processus de gouvernance des données, ainsi que la réalisation d'entretiens et de revues avec les intervenants clés. Les résultats de l'évaluation ont identifié la maturité de la gouvernance des données de SAC à un niveau de 1 à 2 sur 5, ce qui signifie que la gouvernance des données est "Initiale" à "Limitée". Ces résultats reflètent le développement relativement récent d'une stratégie de données de SAC en 2019 et la création d'un poste clé, celui du Dirigeant principal des données, en 2021.
4. Conclusion
Lorsque SAC a élaboré sa stratégie ministérielle en matière de données en 2019, aucune structure de gouvernance des données existante n'avait encore été établie. Depuis, le Ministère a créé le rôle de DPD et une fonction provisoire de gouvernance des données pour guider l'exécution des éléments du plan de travail sur la gouvernance des données. Bien que certaines mesures aient été prises pour faire progresser la gouvernance des données dans l'ensemble du Ministère, l'audit a révélé des lacunes dans la fonction actuelle de la gouvernance des données. Plus précisément, une fonction de gouvernance des données efficace doit être appuyée sur un cadre solide qui aborde tous les aspects de la gouvernance des données, avec la collaboration des secteurs et des régions. Pour orienter le Ministère vers un modèle axé sur les données, le Ministère doit s'assurer que les décisions sont éclairées par des données pertinentes et sécurisées, il est nécessaire de sensibiliser les employés à la stratégie, d'identifier les principaux intervenants et d'assurer la surveillance du processus de mise en œuvre. Des commentaires devraient notamment être recueillis pour assurer l'amélioration continue du processus et de la stratégie.
Les constatations de l'audit indiquent qu'il y a plusieurs lacunes dans la gouvernance des données, et des recommandations ont été formulées pour améliorer la fonction de gouvernance des données du Ministère. Ces améliorations concernent la conception, la communication et la surveillance des politiques, des processus et des normes de gouvernance des données. Le niveau de maturité de la gouvernance des données du Ministère a été évalué à « initial » ou « limité » (niveau 1 ou 2) pour les quatre piliers de la gouvernance des données. Si ces lacunes ne sont pas adéquatement comblées, le Ministère risque de ne pas atteindre ses objectifs stratégiques actuels, de même que les objectifs associés aux priorités générales du GC pour 2023-2026.
La Feuille de route de la stratégie de données de 2018 était le cadre de la stratégie en matière de données du Gouvernement du Canada (GC) pour la période visée par l'audit, mais une version à jour a été publiée en 2023 : la Stratégie relative aux données de 2023-2026 pour la fonction publique fédérale. Cette version contient un nouveau cadre et de nouveaux piliers pour la stratégie en matière de données du GC. Toutefois, les résultats visés demeurent largement les mêmes que ceux de la Feuille de route de 2018 (p. ex. appuyer la souveraineté en matière de données des Autochtones, améliorer la prise de décisions fondées sur des données probantes, améliorer les services, et autres).
5. Plan d'action de la direction
| Recommandations | Réponse de la direction/Mesures de suivi | Gestionnaire responsable (Titre) | Date prévue de la mise en œuvre |
|---|---|---|---|
|
Le Dirigeant principal des données (DPD) et le Dirigeant principal de l'information (DPI) solliciteront la coopération active de tous les secteurs, et se mobiliseront avec eux, pour élaborer une stratégie en matière de données ministérielle actualisée, en veillant à ce que les objectifs en matière de gouvernance des données soient alignés sur le plan ministériel et les domaines de service principaux. | Dirigeant principal des données, Direction de la recherche stratégique et l'innovation en matière de données (DRSID), PSP Dirigeant principal de l'information, Direction générale de la gestion de l'information (DGGI), DPFRE |
T2, 2023-2024 |
Le Dirigeant principal des données et le Dirigeant principal de l'information solliciteront la coopération active de tous les secteurs, et se mobiliseront avec eux, pour :
|
Dirigeant principal des données, Direction de la recherche stratégique et de l'innovation en matière de données (DRSID), PSP Dirigeant principal de l'information, Direction générale de la gestion de l'information (DGGI), DPFRE |
T1, 2024-2025 | |
|
Le Dirigeant principal des données et le Dirigeant principal de l'information solliciteront la coopération active de tous les secteurs, et se mobiliseront avec eux, pour établir une approche structurée relative à la gestion des données au sein du ministères. Il s'agira notamment de mettre à jour de façon officielle la structure de gouvernance des données qui sera soumise à l'approbation de la haute direction et qui comprendra :
|
Dirigeant principal des données, Direction de la recherche stratégique et de l'innovation en matière de données (DRSID), PSP Dirigeant principal de l'information, Direction générale de la gestion de l'information (DGGI), DPFRE |
T1, 2024-2025 |
| Le Dirigeant principal des données et le Dirigeant principal de l'information travailleront à établir un programme complet d'intégration et de formation relatif à la gestion des données. Les travaux prévus seront axés sur les points suivants :
|
Dirigeant principal des données, Direction de la recherche stratégique et de l'innovation en matière de données (DRSID), PSP Dirigeant principal de l'information, Direction générale de la gestion de l'information (DGGI), DPFRE |
T3, 2023-2024 | |
|
Le Dirigeant principal des données et le Dirigeant principal de l'information aligneront les instruments de politiques sur une approche de cycle de vie des données, établiront un processus officiel qui définira clairement les rôles et les responsabilités pour obtenir une vue complète des données dans leur inventaire et relèveront les lacunes et les besoins en matière de données. | Dirigeant principal des données, Direction de la recherche stratégique et de l'innovation en matière de données (DRSID), PSP Dirigeant principal de l'information, Direction générale de la gestion de l'information (DGGI), DPFRE |
T4, 2023-2024 |
Ce travail créera :
|
T4, 2023-2024 | ||
|
T3, 2023-2024 | ||
|
T3, 2023-2024 | ||
|
Le Dirigeant principal des données et le Dirigeant principal de l'information établiront et mettront en œuvre un cadre relatif à la qualité des données qui reflète les Ligne directrice sur les services et le numérique existante du Secrétariat du Conseil du Trésor (section 3), mais aussi les ligne directrice sur la qualité des données que le Secrétariat du Conseil du Trésor est en train d'élaborer. Le cadre relatif à la qualité des données de SAC sera conçu pour soutenir l'évaluation des indicateurs des PIR tels que décrits ci-dessus. | Dirigeant principal des données, Direction de la recherche stratégique et de l'innovation en matière de données (DRSID), PSP Dirigeant principal de l'information, Direction générale de la gestion de l'information (DGGI), DPFRE |
T3, 2023-2024 |
En outre, le Dirigeant principal des données et le Dirigeant principal de l'information feront progresser les pratiques exemplaires en matière de développement et de gestion des données par l'intermédiaire des mesures suivantes :
|
En cours, à partir du T2, 2023-2024 | ||
|
T4, 2023-2024 | ||
|
T3, 2023-2024 | ||
|
T1, 2023-2024 | ||
|
À déterminer, en collaboration avec le Secrétariat du Conseil du Trésor | ||
|
Le Dirigeant principal des données et le Dirigeant principal de l'information solliciteront la coopération active de tous les secteurs, et se mobiliseront avec eux, pour mettre en œuvre des stratégies et des mécanismes solides en matière de prévention des pertes de données afin d'améliorer la sécurité des données. Ils devront :
|
Dirigeant principal des données, Direction de la recherche stratégique et de l'innovation en matière de données (DRSID), PSP Dirigeant principal de l'information, Direction générale de la gestion de l'information (DGGI), DPFRE |
T3, 2023-2024 |
|
T4, 2025-2026 | ||
|
T3, 2023-2024 | ||
|
T3, 2023-2024 | ||
|
T4, 2023-2024 | ||
|
T1, 2024-2025 | ||
|
Le Dirigeant principal des données et le Dirigeant principal de l'information, en collaboration avec le Secteur des communications, élaboreront une stratégie de communication solide visant à sensibiliser les principaux intervenants à la gouvernance des données. Cette stratégie comprendra des mécanismes pour recueillir et consolider les rétroactions. | Dirigeant principal des données, Direction de la recherche stratégique et de l'innovation en matière de données (DRSID), PSP Dirigeant principal de l'information, Direction générale de la gestion de l'information (DGGI), DPFRE |
T3, 2023-2024 |
| La mise en œuvre de cette stratégie de communication se fera de manière continue. Il s'agira d'utiliser EPIC en tant que guichet unique numérique permettant aux employés de SAC d'accéder aux fonds de données faisant autorité, aux analyses, aux outils de veille stratégique, ainsi qu'aux politiques et orientations relatives aux données, au réseau de gestionnaires des données et à d'autres tribunes (p. ex. le Réseau d'échange de l'information et de la recherche autochtone) et outils pertinents (p. ex. L'Express). | En cours, à partir du T3, 2023-2024 |
Annexe A : Critères d'audit
Les critères suivants ont été élaborés afin d'assurer le niveau d'assurance approprié pour répondre aux objectifs de l'audit.
| Critères d'audit | Sous-critères |
|---|---|
|
|
|
|
Annexe B : Diagramme du cycle de vie des données du CCGD de l'AGD
Le diagramme présenté sert d'outil informatif, visant à faciliter la compréhension des lecteurs du concept de cycle de vie des données du CCGD de l'AGD et de son application dans le contexte de SAC. La représentation visuelle illustre les domaines essentiels de gouvernance des données associés à chaque étape du cycle de vie des données.
Équivalent textuel pour le graphique Annexe B : Diagramme du cycle de vie des données du CCGD de l'AGD
Annexe B illustre le Diagramme du cycle de vie des données du CCGD de l'AGD.
L'image illustre le cycle de vie des données qui inclus les sept étapes suivantes : Planifier, Concevoir et activer, Créer et recueillir, Stocker et conserver, Utiliser, Améliorer et Éliminer. À l'intérieur de ce cycle de vie des données un élément de gouvernance inclut la Qualité des données, la Qualité des métadonnées et la Sécurité des données. Ceux-ci sont expliquer d'avantage ici-bas :
Gouvernance : Des activités de gouvernance et une surveillance doivent être menées pour toutes les activités clés du cycle de vie des données afin de garantir que la qualité des données, la qualité des métadonnées et la sécurité des données sont toutes gérées conformément aux objectifs stratégiques de l'organisation.
Qualité des données : La qualité des données doit être prise en considération tout au long du cycle de vie des données, car elle peut être affectée par divers événements du cycle de vie.
Qualité des métadonnées : La qualité des métadonnées doit être gérée de la même manière que la qualité des données et doit donc être gérée tout au long du cycle de vie des données.
Sécurité des données : Les données à protéger doivent l'être tout au long de leur cycle de vie, de leur création à leur élimination.
De plus, de l'information source supplémentaire est fourni : selon les orientations du DAMA-DMBOK, la création/collecte et l'utilisation des données sont les points les plus critiques du cycle de vie des données. La gouvernance des données doit être mise en œuvre en comprenant comment les données sont produites ou obtenues et comment elles sont utilisées.
Le cycle de vie des données de Services aux Autochtones Canada (SAC) peut être divisé en plusieurs étapes :
- Planifier : Définir les exigences relatives au contenu des données et à la gestion des données. Ces exigences visent entre autres les indicateurs de gestion du rendement des programmes et des services et les services ministériels.
- Concevoir et activer : Les exigences relatives au contenu des données et à la gestion des données sont définies dans des cadres stratégiques qui énoncent les attentes liées à la qualité des données, à leur utilisation, à leur contrôle et à leur sécurité, et décrivent l'approche organisationnelle en matière d'architecture et de conception.
- Créer et recueillir : Les données proviennent de diverses sources, y compris les communautés autochtones, les enquêtes et les systèmes administratifs. SAC s'assure que les données sont recueillies de façon à respecter les valeurs et les principes autochtones, y compris en ce qui concerne la vie privée, la confidentialité et le consentement.
- Stocker et conserver : Les données sont stockées en toute sécurité dans des bases de données et d'autres systèmes d'information. SAC s'assure que les données sont stockées de manière à protéger la vie privée et la confidentialité des Autochtones et qu'elles ne sont accessibles qu'aux personnes qui en ont besoin pour des raisons légitimes.
- Utiliser : Les données sont accessibles aux intervenants, y compris les communautés autochtones, les ministères et le public. SAC s'assure que les données sont diffusées dans le respect de la vie privée et de la confidentialité, qu'elles sont présentées de façon précise et claire et qu'elles répondent aux besoins du public visé.
- Améliorer : Les données sont traitées pour en tirer des connaissances et appuyer la prise de décisions. Elles sont nettoyées et validées, puis analysées pour dégager des schémas et des tendances, et les résultats sont présentés d'une manière compréhensible et exploitable.
- Éliminer : Les données sont archivées ou supprimées à la fin de leur vie utile. SAC s'assure que les données sont archivées de manière à préserver leur intégrité et qu'elles sont supprimées conformément aux lois et règlements sur la protection des données et de la vie privée.
Annexe C : Cadre de la qualité des données ISO-8000
ISO 8000 est la norme internationalement reconnue pour la qualité des données et les données de base d'entreprise, offrant une orientation complète sur les aspects critiques de la qualité des données, tels que la portabilité, les données de base, les données de référence et la maturité des données, entre autres. Compte tenu de son importance, ce cadre a été incorporé ici à des fins d'information, servant de référence précieuse pour éclairer l'élaboration d'un cadre solide de qualité des données.
Équivalent textuel pour le graphique Annexe C : Cadre de la qualité des données ISO-8000
Annexe C illustre le cadre de la qualité des données ISO-8000 qui a été incorporé ici à des fins d'information, servant de référence précieuse pour éclairer l'élaboration d'un cadre solide de qualité des données.
Cette image est décomposée en trois sections pour mieux démontrer les éléments clés de ce cadre.
La première section inclut la suivante: Global
La seconde section inclut les suivants: Gestion de la qualité, Gouvernance, Données industrielles, Évaluation de la qualité, Généralités et Données de base.
La troisième section inclut les suivants: 1 Aperçu de la qualité des renseignements et des données, 2 Vocabulaire lié à la qualité des renseignements et des données, 8 Mesurer et communiquer la qualité des renseignements et des données, 51 a Déclarations de politique d'échange de données, ISO/TS 8000-60 Vue d'ensemble de la gestion de la qualité des données, 61 Modèle de référence pour la gestion de la qualité des données, 62 Déterminer la maturité de la gestion de la qualité des données en appliquant les normes relatives à l'évaluation des processus, 63 Approche de la mesure des processus, 64 Déterminer la maturité de la gestion de la qualité des données en appliquant la méthode d'amélioration du processus de test, ISO/TS 8000-65 Questionnaire de mesure des processus pour la gestion de la qualité des données, 66 Maturité de la gestion de la qualité des données pour les opérations de fabrication, 150 Rôles et responsabilités en matière de gestion de la qualité des données, ISO/TS 8000-81 Profilage des données, ISO/TS 8000-82 b Création de règles de données, 100 Aperçu de la qualité des données de base, 110 Exigences relatives à l'échange de données caractéristiques, 115 Échange d'identifiants, 116 Identificateurs d'entités légales faisant autorité, 120 Indiquer la provenance lors de l'échange de données caractéristiques, 130 Indiquer l'exactitude lors de l'échange de données caractéristiques, 140 Indiquer l'exhaustivité lors de l'échange de données caractéristiques et 311 Qualité des données de produits pour la forme.