Revue des pratiques et audit interne — Plan fondé sur les risques pour les exercices 2020-2021 à 2022-2023

Revue des pratiques et audit interne — Plan fondé sur les risques pour les exercices 2020-2021 à 2022-2023

Avant-propos

L’équipe de la Revue des pratiques et de l’audit interne (RPAI) du Bureau du vérificateur général du Canada (BVG) a élaboré le Plan fondé sur les risques pour les exercices 2020-2021 à 2022-2023, afin de garantir que les missions prévues de la RPAI répondent aux besoins du BVG en matière d’assurance.

Le Plan contient des précisions sur le rôle de l’équipe de la RPAI, un aperçu des missions prévues au cours des trois prochains exercices ainsi que de l’information au sujet des ressources et de la capacité de la RPAI pour l’exercice 2020-2021.

Pour définir les priorités de la fonction de revue des pratiques et d’audit interne, l’équipe de la RPAI mène des analyses de l’environnement et des évaluations des risques, et consulte la haute direction et le personnel. Elle examine aussi les plans et les priorités du BVG, ainsi que les résultats de son récent processus de gestion intégrée du risque. Chaque année, l’équipe met à jour le plan fondé sur les risques en fonction des priorités du Bureau, de la disponibilité des ressources et des besoins changeants en matière d’évaluation des risques.

Je tiens à remercier la haute direction, le personnel et les membres du Comité d’audit du BVG de leur coopération et de l’aide qu’ils nous ont fournie pendant l’élaboration de ce plan. Les commentaires recueillis permettront à l’équipe de la RPAI d’évaluer le caractère adéquat et l’efficacité des processus de gouvernance, de gestion des risques et de contrôle interne au BVG.

Louise Bertrand

Directrice principale de l’audit interne
Bureau du vérificateur général du Canada

Juillet 2020

Introduction

À titre de mandataire du Parlement, le BVG est indépendant du gouvernement et relève directement du Parlement du Canada. Vu la nature du mandat qui lui est confié, le BVG n’est pas assujetti à la surveillance directe du Secrétariat du Conseil du Trésor du Canada. C’est donc dire que les mécanismes internes de surveillance du BVG revêtent une importance toute particulière pour garantir la mise en œuvre de pratiques de gestion adéquates. La fonction de RPAI est l’un de ces mécanismes. Grâce à ses audits internes et revues des pratiques, elle fournit à la direction une assurance dans ce domaine.

Ce document présente le Plan fondé sur les risques de la RPAI pour les exercices 2020-2021 à 2022-2023 au sein du BVG. L’équipe de la RPAI a mis à jour le Plan afin de prendre en compte les résultats les plus récents du processus de gestion intégrée du risque du BVG, ainsi que les travaux et analyses approfondis qu’elle a réalisés au cours de l’exercice 2019-2020. Le Plan réunit les missions d’audit interne et les revues des pratiques proposées pour les trois prochains exercices. Pour planifier ses activités, l’équipe de la RPAI s’est efforcée d’allouer ses ressources aux secteurs du BVG qui posent des risques importants.

Bureau du vérificateur général du Canada

Mandat

À titre de mandataire du Parlement du Canada, le vérificateur général relève directement de celui-ci. De ce fait, il est habilité à s’acquitter de ses fonctions et de ses responsabilités en toute indépendance du gouvernement. Le mandat du BVG et les responsabilités du vérificateur général sont définis dans la Loi sur le vérificateur général, la Loi sur la gestion des finances publiques, ainsi que dans d’autres lois et des décrets.

Le commissaire à l’environnement et au développement durable soutient le mandat du vérificateur général en matière d’environnement et de développement durable.

Le BVG est l’auditeur législatif du gouvernement fédéral et des trois territoires : le Nunavut, le Yukon et les Territoires du Nord-Ouest.

Le BVG effectue des études et des audits indépendants et qui fournissent de l’information, une assurance et des avis objectifs au Parlement, aux assemblées législatives des territoires, aux gouvernements et à la population canadienne. Ses audits sont réalisés selon les normes d’audit de la profession et les politiques du Bureau.

La mission du BVG est de contribuer à la bonne gestion du gouvernement et à sa reddition de comptes dans l’intérêt des Canadiens.

Objectifs stratégiques

Le plan stratégique du BVG pour les trois prochaines années comporte trois grands objectifs, soit l’entraide, la modernisation du BVG et les liens avec les parties prenantes. L’objectif qui concerne l’entraide consiste à favoriser le bien-être des employés ainsi que leur apprentissage et leur développement. La modernisation du BVG est axée sur l’amélioration des outils, de l’utilisation de la technologie, des processus ainsi que des pratiques. Les liens avec les parties prenantes visent à améliorer la valeur pour les clients et leur organisation faisant l’objet d’un audit. Ce plan avait pour but d’optimiser les retombées et la pertinence du BVG pour ses clients, les entités qu’il audite, les autres parties prenantes, ainsi que ses employés.

Revue des pratiques et audit interne

Mission

La mission de l’équipe de la RPAI du BVG est d’améliorer et de protéger la valeur du BVG en fournissant, de manière objective et en se fondant sur les risques, une assurance, des avis et des observations.

Étendue des activités

L’équipe de la RPAI vise à la fois deux objectifs distincts et connexes :

• Audit interne — L’équipe d’audit interne de la RPAI a adopté la définition d’audit interne de l’Institut des auditeurs internes afin d’aider le BVG à réaliser sa vision organisationnelle, sa mission et ses objectifs stratégiques. Elle fournit une assurance et des conseils indépendants et objectifs pour apporter une valeur ajoutée et améliorer les opérations du BVG. L’équipe utilise une approche systématique et méthodique pour évaluer et améliorer l’efficacité des processus de gestion des risques, de contrôle et de gouvernance.
• Revue des pratiques — L’équipe de revue des pratiques de la RPAI aide le BVG à s’acquitter des obligations imposées par la Norme canadienne de contrôle qualité 1 (NCCQ 1) de Comptables professionnels agréés du Canada, Contrôle qualité des cabinets réalisant des missions d’audit ou d’examen d’états financiers et d’autres missions de certification. Pour ce faire, la RPAI réalise des inspections qui lui permettent de déterminer si les responsables de mission se conforment aux normes professionnelles, aux politiques du BVG et aux exigences des textes légaux et réglementaires dans le cadre de leurs missions. Ces revues permettent aussi de confirmer que les rapports d’audit sont appropriés et bien étayés.

L’équipe de la RPAI exécute ses travaux conformément à des normes professionnelles reconnues :

• Les audits internes sont réalisés selon le Cadre de référence international des pratiques professionnelles publié par l’Institut des auditeurs internes ainsi que la Politique sur l’audit interne et la Directive sur l’audit interne du Conseil du Trésor qui s’appliquent au Bureau.
• Les revues des pratiques sont réalisées selon la NCCQ 1, Contrôle qualité des cabinets réalisant des missions d’audit ou d’examen d’états financiers et d’autres missions de certification de Comptables professionnels agréés du Canada. La RPAI se conforme aussi aux Normes de qualification de l’Institut des auditeurs internes pour l’indépendance et l’objectivité, pour la compétence et la conscience professionnelle, et pour le programme d’assurance et d’amélioration de la qualité.

Relations hiérarchiques

La directrice principale de l’audit interne du BVG relève du Comité d’audit sur le plan opérationnel et de la vérificatrice générale sur le plan administratif.

Il incombe à la directrice principale de l’audit interne d’établir et de mettre à jour annuellement le plan fondé sur les risques de la RPAI. L’équipe de la RPAI soumet ensuite le plan à l’examen du Comité d’audit. Ce dernier recommande le plan à l’approbation de la vérificatrice générale. La vérificatrice générale détient le pouvoir d’approbation définitif du plan.

Objectifs du plan fondé sur les risques de la RPAI

Le plan fondé sur les risques de la RPAI sert les deux grands objectifs suivants :

• déterminer des audits internes qu’il serait possible de réaliser en se fondant sur l’évaluation des risques et les procédures de gestion des risques du BVG, ainsi que sur la compréhension des plans et des priorités du BVG;
• établir un calendrier de revue des pratiques qui respecte les exigences des normes professionnelles et qui démontre que le BVG cherche constamment à améliorer la réalisation de ses audits.

Le processus de planification de la RPAI permet de s’assurer que toutes les activités d’audit interne et de revue des pratiques sont pertinentes, menées en temps opportun et stratégiquement coordonnées pour favoriser l’atteinte des objectifs stratégiques du BVG.

Indicateurs de rendement de la RPAI

En 2018, l’équipe de la RPAI a défini un ensemble d’indicateurs de rendement pour quantifier son rendement et en faire le suivi. En se servant de l’approche du tableau de bord équilibré, l’équipe a élaboré des indicateurs relativement à quatre points de vue clés :

• point de vue financier;
• point de vue interne;
• point de vue de la clientèle;
• point de vue de l’apprentissage et de la croissance.

L’annexe donne des précisions sur chacun des points de vue et sur l’indicateur de rendement connexe, ainsi que les résultats pour l’exercice 2019-2020.

État d’avancement du Plan fondé sur les risques de la RPAI de 2019-2020

Au cours de l’exercice 2019-2020, l’équipe de la RPAI a achevé la plupart des activités décrites dans le Plan fondé sur les risques pour les exercices 2019-2020 à 2021-2022. L’audit interne sur les ressources pour les pratiques d’audit sera complété au cours de l’exercice 2020-2021, et l’examen des contrôles internes pour les dépenses de voyage, d’accueil, de conférence et d’événement des cadres est en phase de rapport.

Au cours de l’exercice 2019-2020, l’équipe de la RPAI a effectué les activités suivantes :

• Achèvement d’une analyse comparative mettant en parallèle les activités d’audit interne du BVG et celles de ministères, d’organismes gouvernementaux ou d’autres mandataires du Parlement de taille similaire.
• Examen de la mise en œuvre du projet de remplacement du système d’information de gestion des ressources humaines du BVG.
• Contribution à la coordination d’une inspection des pratiques provinciales exigée par Comptables professionnels agréés du Canada (CPA Canada); une revue a été réalisée par l’ordre des CPA de l’Alberta.
• Surveillance de la suite donnée aux recommandations de la RPAI par la direction du BVG.
• Fonction d’observateur indépendant du processus d’examen réalisé par une équipe internationale de pairs.
• Réalisation de la planification annuelle et pluriannuelle des missions de la RPAI.
• Participation à des conférences et à des activités de perfectionnement professionnel liées aux travaux de la RPAI.

En outre, au cours de l’exercice 2019-2020, les membres de l’équipe de la RPAI ont participé à plusieurs comités du Bureau, permettant d’accroître leurs connaissances des activités du Bureau et recenser les risques. En 2019-2020, l’équipe a participé à titre d’observatrice aux comités suivants :

• Comité directeur des directeurs principaux et des directeurs (PX/DX) d’audit annuel
• Forum de discussion PX/DX sur les audits annuels
• Réseau des champions de l’audit annuel
• Réunion des directeurs financiers (toutes les deux semaines)
• Comité directeur de la pratique d’audit de performance
• Comité des opérations de la pratique d’audit de performance
• Forum des PX

Plan d’audit interne pour les exercices 2020-2021 à 2022-2023

Contexte de la réalisation d’audits internes

Le BVG se conforme, comme il est tenu de le faire, à la Politique sur l’audit interne et à la Directive sur l’audit interne du Conseil du Trésor. La fonction de RPAI respecte les normes internationales pour la pratique professionnelle de l’audit interne de l’Institut des auditeurs internes lorsqu’elle exécute ses travaux d’audit interne.

Pour élaborer son plan fondé sur les risques, l’équipe de la RPAI tient compte des exigences des normes de l’institut. Elle planifie ses audits internes et l’évaluation de ses contrôles internes en vue de vérifier l’efficacité de la mise en œuvre par le BVG de son cadre de contrôle interne.

Processus de planification des audits internes et d’établissement des priorités

L’équipe de la RPAI a élaboré une stratégie exhaustive pour établir son plan d’audit interne fondé sur les risques, laquelle comprend une analyse de l’environnement, une évaluation des risques et de nombreuses consultations.

Analyse de l’environnement

L’équipe de la RPAI effectue des analyses de l’environnement interne et externe.

L’analyse de l’environnement externe vise à recenser les changements dans l’environnement pouvant avoir une incidence sur les objectifs stratégiques du BVG ou sur le mandat d’audit interne de la RPAI. L’équipe de la RPAI surveille l’environnement externe pour s’assurer que ses politiques et procédures internes en matière d’audit interne respectent les exigences. Elle prend aussi en considération les travaux du Bureau du contrôleur général du Canada et d’autres ministères et organismes publics qui peuvent être pertinents pour le BVG.

L’analyse de l’environnement interne vise à recenser les changements dans l’environnement interne du BVG, comme l’adoption de nouvelles politiques et procédures ainsi que de nouveaux programmes. Elle est également fondée sur l’examen des plans précédents de la RPAI et sur les constatations des revues des pratiques et des audits internes antérieurs.

Évaluation des risques

Le plan fondé sur les risques de la RPAI repose sur une évaluation des risques pesant sur les services à l’audit et les pratiques d’audit. Le BVG utilise son Cadre de gestion intégrée du risque pour évaluer les risques et les classer selon les catégories suivantes : risques « stratégiques », « de conformité » et « opérationnels ». Les principaux risques recensés par les chefs des services et des pratiques d’audit doivent être surveillés et gérés pour s’assurer que le BVG s’acquitte de ses engagements et réalise ses objectifs. L’équipe de la RPAI examine les risques auxquels s’expose le BVG en fonction des résultats des activités de gestion intégrée des risques du BVG, y compris les registres des risques des pratiques d’audit et des services à l’audit. Les activités et processus principaux des registres des risques de l’organisation, des pratiques et des services du BVG sont le fondement de l’univers d’audit de la RPAI.

À des fins de planification, l’équipe de la RPAI classe les risques comme étant faibles ou élevés en tenant compte des activités d’atténuation des risques présentées par les chefs des services et des pratiques d’audit. Elle s’emploie également à recenser les risques ayant une incidence sur plus d’un secteur de service, qui sont considérés par l’équipe comme étant plus élevés.

Au cours de l’exercice 2019-2020, la haute direction du BVG a été remaniée en profondeur. Le décès du vérificateur général, en février 2019, a mené à la nomination d’un vérificateur général par intérim. En outre, deux  sous-vérificateurs généraux (l’un qui était nommé vérificateur général par intérim), une nouvelle dirigeante principale des finances étaient nommés en janvier 2019, ainsi que cinq nouveaux vérificateurs généraux adjoints pour diriger les pratiques d’audit et les services d’audit en prévision du départ à la retraite de cadres en poste à ce niveau. De plus, la commissaire à l’environnement et au développement durable a pris sa retraite à l’été 2019 et un commissaire par intérim a était nommé. Après un processus de nomination géré par le Bureau du Conseil privé, Karen Hogan a été nommée vérificatrice générale pour un mandat de dix ans, à compter du 8 juin 2020.

La direction a pris des mesures pour gérer les risques qui peuvent découler de ces changements à la direction. En planifiant les nouvelles missions et élaborant son cadre de la gouvernance du BVG, la RPAI continuera de surveiller les risques associés aux changements à la direction ainsi que les processus mis en place par la direction.

En mars 2020, le Canada a été touché par la pandémie mondiale de COVID-19, ce qui a entraîné des répercussions sur la capacité du BVG à s’acquitter de son mandat. Les décrets sur le confinement à domicile et l’éloignement physique ont contraint le Bureau à fermer ses locaux et ordonner le personnel à faire du télétravail. La pandémie a eu une incidence sur tous les secteurs du BVG, y compris la RPAI, et a posé des risques pour le bien-être des employés et la continuité des activités. À la suite de cet événement, l’équipe de la RPAI a prévu effectuer une revue des mesures d’intervention et de réponse du BVG à la pandémie, incluent la sécurité des technologies de l’information.

Autres activités

Au cours de l’exercice 2017‑2018, la RPAI a mené une évaluation externe relativement aux activités d’audit interne du BVG en vue d’évaluer sa conformité aux Normes internationales pour la pratique professionnelle de l’audit interne de l’Institut des auditeurs internes. Le BVG a obtenu la cote supérieure, soit « se conforme généralement » après les normes de l’Institut, une telle évaluation doit être réalisée tous les cinq ans. Par conséquent, la prochaine évaluation externe devrait avoir lieu au cours de l’exercice 2022–2023. En réponse à ce prochain examen, PRIA prévoit de mener en 2021-2022 une auto-évaluation de ses pratiques d’audit interne par rapport aux Normes internationales pour la pratique professionnelle de l’audit interne et de mettre en œuvre un plan d’action pour combler toute lacune.

Au cours de l’exercice 2018-2019, un examen par les pairs international a été effectué pour déterminer si le BVG a respecté la législation et les normes professionnelles pertinentes dans l’exécution de son mandat et si son système de contrôle de la qualité (SOQC) pour les pratiques d’audit a été conçu et mise en œuvre efficacement pour fournir au BVG une assurance raisonnable que son travail est conforme à toutes les normes professionnelles pertinentes. Le système de contrôle de la qualité du Bureau comprend la réalisation des revues de pratique. Les pairs examinateurs ont recommandé qu’afin que le BVG tire le maximum d’avantages de son processus d’examen des pratiques, la RPAI devrait se concentrer sur les audits complexes et risqués et s’assurer que les résultats de ces examens sont disponibles pour éclairer la planification du prochain cycle d’audits. En réponse, la RPAI a documenté sa prise en compte du risque et de la complexité de l’audit dans sa stratégie de sélection pour les revues de pratique et a modifié sa procédure pour effectuer des revues de pratique et diffuser les résultats de ces revues plus rapidement.

Consultations

L’équipe de la RPAI demande des précisions à la haute direction, au besoin, pour mieux comprendre l’évaluation des risques de la direction. Elle discute aussi des autres activités menées par celle-ci afin de mieux documenter les contrôles ou d’atténuer les risques.

L’équipe de la RPAI utilise l’information ainsi recueillie pour établir une liste des activités auditables.

Établissement des priorités

Pour établir l’ordre de priorité des activités auditables et d’autres types de travaux, l’équipe de la RPAI prépare un modèle et tient compte du lien entre les questions d’intérêt d’une part, et les facteurs de risque et stratégies du BVG d’autre part.

La RPAI recense les facteurs de risque suivants :

• événements externes / environnement opérationnel, comme les pandémies
• vulnérabilité à la fraude;
• répercussions sur la réputation ou l’image de l’organisation;
• complexité des activités;
• résultats du dernier audit ou autres déficiences connues;
• changements aux systèmes, politiques ou procédures;
• répercussions sur le niveau de réglementation ou de conformité.

La RPAI classe l’incidence de l’activité auditable assortie des facteurs de risque sur les 11 objectifs stratégiques du BVG selon une échelle de 1 à 5, où la cote 1 indique une incidence faible et 5, une incidence élevée.

L’établissement de l’ordre de priorité des activités auditables amène à recenser de nouvelles missions d’audit. Cela peut aussi avoir une incidence sur le calendrier des missions déjà prévues.

Plan d’audit interne pour les exercices 2020-2021 à 2022-2023

Les audits et les missions internes que l’équipe de la RPAI prévoit exécuter pour les exercices 2020-2021 à 2022-2023 sont les suivants (voir la pièce 1).

Plan de la revue des pratiques pour l’exercice 2020-2021

Contexte de la réalisation des revues des pratiques

Selon la Norme canadienne de contrôle qualité 1 (NCCQ 1), Contrôle qualité des cabinets réalisant des missions d’audit ou d’examen d’états financiers et d’autres missions de certification de Comptables professionnels agréés du Canada, le BVG doit établir un processus de suivi lui fournissant l’assurance raisonnable que les politiques et les procédures liées au système de contrôle qualité sont pertinentes et adéquates, et qu’elles fonctionnent efficacement. Ce processus doit comprendre une inspection cyclique couvrant au moins une mission achevée pour chaque responsable de mission (directeur principal).

L’équipe de la RPAI est chargée de mener les inspections au niveau des missions. À ce titre, elle doit évaluer la conception et la mise en œuvre du Système de contrôle qualité du Bureau, conformément à la NCCQ 1, pour toutes les gammes de produits afin de vérifier l’efficacité de son fonctionnement. Pour ce faire, l’équipe de la RPAI procède à des évaluations périodiques de la conception du Système de contrôle qualité, de même qu’à des revues des pratiques annuelles systématiques et rigoureuses visant tous les professionnels en exercice de niveau supérieur, selon un cycle pluriannuel.

Approche de la RPAI pour l’échantillonnage des missions

En avril 2020, il y avait 30 responsables de mission dans les pratiques d’audits : 18 dans la pratique d’audit d’états financiers et 12 dans la pratique d’audit de performance.

Pour les revues des pratiques, l’équipe de la RPAI a sélectionné par échantillonnage aléatoire les responsables de mission qui avaient réalisé un audit pendant la période visée par l’examen. La PRAI s’assure que l’échantillon sélectionné pour l’examen de la pratique inclut les considérations suivantes :

• sélection des chefs de mission parmi la pratique d’audit financier et la pratique d’engagement direct (audits de performance et examens spéciaux);
• veiller à ce qu’un nouveau chef de mission soit sélectionné à un taux de 75 % au cours de la première année de nomination au niveau; et
• veiller à ce que des audits à risque plus élevé et à complexité plus élevée soient inclus dans la sélection de l’échantillon.

Revue du responsable de la mission

L’équipe de la RPAI examine les travaux d’audit des responsables de mission de chacune de ces listes au moins une fois tous les quatre ans. L’équipe de la RPAI a établi un cycle de revue de quatre ans pour chaque type de mission de certification, ce qui permet d’examiner les pratiques de chaque responsable de mission dans un délai raisonnable.

Revues des pratiques prévues pour l’exercice 2020-2021

Au cours de l’exercice 2020-2021, l’équipe de la RPAI prévoit effectuer jusqu’à 6 revues des pratiques des responsables de missions d’audit d’états financiers qui ont réalisé des audits en 2020-2021 et jusqu’à 12 revues des pratiques des responsables de missions d’appréciation directe qui ont réalisé des audits en 2018-2019, en 2019-2020 et en 2020-2021. L’équipe de la RPAI peut effectuer d’autres travaux de revue des pratiques, en raison des résultats des revues antérieures ou en fonction de préoccupations ou de risques particuliers liés aux pratiques d’audit.

Ressources

L’équipe de la RPAI pour mettre en œuvre le plan fondé sur les risques :

• Louise Bertrand, directrice principale de l’audit interne;
• Lori-Lee Flanagan, directrice;
• Marc Gauthier, directeur;
• Patrick Polan, directeur;
• Michelle Robert, directrice;
• Caroline Viens, directrice;
• Karen O’Reilly, adjointe administrative.

La RPAI pourrait recourir à des ressources temporaires, au besoin.

Budget

L’équipe de la RPAI dispose d’un budget d’environ 9 100 heures pour l’exécution de tous ses travaux au cours de l’exercice 2020-2021 (voir la pièce 2). Cela représente une augmentation d’environ 23 % par rapport à l’allocation de 7 400 heures de l’année précédente.

Annexe — Rendement de la RPAI par rapport à ses indicateurs

Au cours de l’exercice 2018-2019, l’équipe de la Revue des pratiques et d’audit interne (RPAI) a élaboré un tableau de bord équilibré de ses indicateurs de rendement et a commencé à faire un suivi de son rendement par rapport à ces indicateurs. Les résultats de la RPAI pour l’exercice 2019-2020 sont présentés ci-dessous.