Direction générale de la vérification et de l'évaluation de l'entreprise
novembre 2006
Table des matières
Messages principaux
D'un point de vue technique, nous avons conclu que le Service commun d'enregistrement de la Voie de communication protégée (SCE-VCP) fonctionne de façon efficace en termes de stabilité du système, de disponibilité aux usagers et de temps de réponse pour traiter les transactions des usagers. Nous avons également conclu que ce service fournit un niveau de sécurité approprié pour la transmission et l'extraction des renseignements personnels. Par conséquent, nous n'avons perçu aucune menace importante pour l'exécution du programme de l'ARC pour ce qui est du service continu concernant tant les contribuables que le recouvrement des recettes.
Nous avons constaté, cependant, que les processus d'enregistrement/authentification, y compris le processus d'authentification hors bande de l'ARC, ont un effet négatif significatif sur l'utilisation de Mon dossier. Ces nouveaux processus sont plus complexes pour les usagers désirant accéder à Mon dossier pour la première fois, avec le résultat que plus de 50 % des usagers potentiels renoncent à continuer d'essayer d'y accéder. Il y a aussi eu un nombre significatif d'ouvertures de session qui n'ont pas fait de visite à Mon dossier. Puisque le niveau de sécurité a été considéré comme approprié, l'ARC devrait explorer d'autres façons de procéder pouvant offrir le même niveau de protection mais en étant moins lourds pour les usagers. Cela permettrait à l'ARC de maintenir le niveau de protection des renseignements personnels qui existe actuellement tout en réduisant au minimum le nombre d'usagers potentiels qui renoncent à continuer d'essayer d'accéder à Mon dossier.
Bien que la structure de régie n'ait pas encore causé d'importants problèmes opérationnels pour l'ARC, les décisions qui sont en train d'être prises par rapport au fonctionnement du système pourraient représenter un risque pour l'exécution du programme de l'ARC si elles ne font pas l'objet d'une gestion serrée de la part de l'Agence. De plus, l'ARC voit des sujets de préoccupation dans les décisions qui sont en train d'être prises et dans son manque d'influence dans la structure de comités. Les préoccupations significatives devraient être formellement documentées et soumises aux organes de régie ou autorités appropriés pour décision.
Nous avons également constaté que le nouveau modèle de financement du SCE-VCP est une pierre d'achoppement importante pour les futurs plans de l'ARC relatifs à l'utilisation du SCE-VCP. Reconnaissant que la formule de récupération des coûts proposée amènera l'Agence à réduire le nombre de services qu'elle offre par le SCE-VCP, il faut que l'ARC explore à fond les coûts estimatifs des approches de rechange autres que le SCE-VCP pour déterminer les économies de coûts réelles avant d'adopter des mesures de rechange pour la prestation des services électroniques. Si l'ARC doit maintenir sa participation au SCE-VCP dans une formule de récupération des coûts, il faut qu'elle veille à s'assurer que le modèle de financement sera développé de façon plus poussée pour assurer la clarté et l'équité de la répartition des coûts, et que les décisions de fournir des services par le SCE-VCP tiendront compte de considérations de rentabilité et seront justifiées sur le plan des besoins opérationnels.
Nous avons constaté que l'ARC n'a aucune stratégie claire en matière de voies de communication pour la prestation des services qui définirait les buts et objectifs à viser en participant au SCE-VCP. Il serait bon que l'ARC développe une stratégie globale des voies de communication pour la prestation des services qui tiendra compte de la Vision 2010 de l'Agence visant à accroître les services de l'ARC. Dans le cadre du développement de cette stratégie, elle devrait revoir et rationaliser les exigences opérationnelles des services offerts par le SCE-VCP pour s'assurer qu'elles soient mises en balance avec les coûts, la facilité d'utilisation et le niveau de sécurité requis.
Finalement, nous avons constaté que les mesures et les rapports de rendement sont sous-développés et fragmentés et qu'elles ne donnent pas une représentation claire du rendement. Il faut que l'ARC développe et mette en oeuvre un cadre d'exécution exhaustif pour la gestion du rendement avec indicateurs de résultats pour les services de l'ARC offerts par le SCE-VCP, et renégocie l'Accord sur les niveaux de service (ANS) conclu avec Travaux publics et Services gouvernementaux Canada (TPSGC) pour satisfaire les besoins de mesure de l'ARC par rapport aux chiffres d'utilisation du SCE-VCP.
Introduction
Le présent rapport présente les constatations issues d'un examen des répercussions du epass du Service commun d'enregistrement (SCE) de la Voie de communication protégée (VCP) du gouvernement du Canada (GC) sur l'exécution des programmes de l'ARC. Cette étude a été effectuée en vue d'évaluer la validité des préoccupations relativement au fait que certains des aspects du SCE-VCP pourraient avoir une incidence négative sur l'exécution des programmes de l'ARC et de fournir des renseignements pour orienter l'ARC en ce qui a trait à son lien à cette initiative du GC. L'étude a commencé en février 2006 et s'est terminée en juin 2006. Dès le début, nous avons remarqué que les calendriers prévus de l'étude constituaient un défi important. À ce titre, le contenu du présent rapport met l'accent sur les problèmes principaux de l'exécution du programme de l'ARC, qui est afférent à la participation au SCE-VCP du GC, et n'aborde pas tous les éléments de la VCP.
Contexte
La VCP constitue la base d'une initiative entreprise par le GC en vue d'établir une infrastructure à l'échelle du gouvernement, qui offre des services de réseau aux ministères et aux organismes fédéraux, ainsi que des services de sécurité, d'enregistrement et d'authentification qui leur permettent d'offrir leurs services les plus courants en ligne. Elle vise à réduire l'ensemble des coûts de fonctionnement et d'entretien (F/E) en se servant d'une infrastructure commune. Le epass est un élément essentiel de la VCP, généré par un service d'enregistrement commun, qui assure un accès sécurisé et une protection de la confidentialité pendant et après les transactions en ligne.
L'ARC a tenu un rôle important dans la VCP et lancé la première application du GC en septembre 2002, soit le Changement d'adresse en ligne. En février 2005, l'ARC a augmenté le nombre de services offerts au moyen de la VCP en intégrant une gamme d'autres services permettant aux déclarants particuliers d'examiner et de gérer leur compte personnel d'impôt sur le revenu dans le portail Mon dossier pour les particuliers. En février 2006, l'ARC a lancé « Représenter un client », qui fournit aux représentants autorisés un accès sécurisé et contrôlé en ligne aux renseignements fiscaux de leurs clients. Des plans futurs ont été élaborés en vue d'être ajoutés à cet éventail de services aux particuliers et de créer un portail Mon compte d'entreprise à l'ARC.
Il convient de noter que l'ARC a fourni des services électroniques pendant un bon nombre d'années avant la mise en oeuvre du SCE-VCP, dont la plupart continuent d'être exploités à l'extérieur de cette initiative. Voici des exemples de ces services : la transmission électronique, IMPÔTNET, IMPÔTEL pour les déclarations T1 et IMPÔTEL pour les déclarations de taxe sur les produits et services (TPS).
Méthodologies
Les principales méthodologies ont compris un examen approfondi des documents et une analyse documentaire, un examen des études spéciales effectuées par les Directions générales de l'ARC, des entrevues avec les cadres supérieurs, les gestionnaires et les membres du personnel de l'ARC ainsi qu'avec les représentants attitrés du Secrétariat du Conseil du Trésor (SCT) du Canada, de Travaux publics et Services gouvernementaux Canada (TPSGC) et du Centre de la sécurité des télécommunications (CST). Une séance d'une journée sur les « points de discussion » a également eu lieu avec les intervenants clés de la Direction générale de l'informatique (DGI) et de la Direction générale des services de cotisation et de prestations (DGSCP) afin de valider les renseignements utilisés dans l'analyse.
Résultats
On a fait face à un bon nombre d'obstacles au cours de l'étude, lesquels ont eu une incidence importante sur la robustesse des résultats et des recommandations. Les principaux obstacles ont été l'insuffisance et la non-uniformité des comptes rendus de données de rendement au sujet de la période de mise en oeuvre de Mon dossier, les documents de projet non datés et les sensibilités extérieures, relativement à l'étude, qui ont empêché l'équipe d'évaluation de tenir des entrevues individuelles avec les divers membres du personnel des autres ministères fédéraux qui gèrent et participent au SCE-VCP. Le court délai de l'étude a seulement permis un examen limité d'une quantité considérable de renseignements complexes. Alors que les résultats sont axés sur les meilleurs renseignements disponibles et sur les diverses considérations de tendances et de changements évidents, nous n'avons pas pu pleinement évaluer les problèmes liés au SCE-VCP ou valider les préoccupations soulevées dans les entrevues internes.
Dans l'ensemble, nous avons conclu que, sur le plan technique, le SCE-VCP fonctionne de façon efficace en termes de stabilité du système, de disponibilité aux usagers et de temps de réponse. De plus, nous n'avons perçu aucune menace importante pour l'exécution du programme de l'ARC pour ce qui est du service continu concernant tant les contribuables que le recouvrement des recettes. Nous avons aussi conclu qu'il n'y a eu aucune atteinte à la sécurité et que le niveau de sécurité fourni par le processus existant est approprié par rapport aux renseignements les plus délicats.
Voici les principaux domaines de préoccupation cernés au cours de l'étude :
- Inscription à Mon dossier
- Régie
- Mesure de rendement
- Coût et solutions de rechange
- Stratégie des voies de communication pour la prestation des services
1. Inscription à Mon dossier
Les processus d'authentification et d'enregistrement, ainsi que les ouvertures de session, ont eu une incidence négative sur l'inscription à Mon dossier.
Avant février 2005, une solution d'authentification de l'ARC permettait l'accès à Mon dossier et il n'y avait aucun processus d'enregistrement ou d'activation mis en place. La migration au SCE-VCP a donné lieu à un processus, ayant comme exigence que les usagers s'enregistrent afin d'obtenir un epass, en fournissant un ID d'usager, un mot de passe et des questions de récupération. Tous les ministères et organismes gouvernementaux sont responsables de l'authentification. Le processus d'authentification de l'ARC vise à fournir des secrets partagés. Au moment de la conversion au SCE-VCP, l'ARC a mis en oeuvre un processus hors bande afin de l'intégrer à son processus d'authentification en ligne. L'usager doit prévoir jusqu'à 5 jours avant de recevoir par la poste, soit à son adresse postale, un code d'activation. Les usagers doivent ensuite ouvrir une session dans le SCE-VCP et entrer leur code d'activation dans les délais prescrits avant de pouvoir accéder à Mon dossier.
Il est difficile de déterminer, sans aucun doute, l'incidence complète qu'a la migration au SCE-VCP dans Mon dossier. Les applications de Mon dossier et du SCE-VCP, ainsi que la méthodologie utilisée en vue d'évaluer l'utilisation de Mon dossier, ont considérablement changé. Bien que les données relatives au rendement aient été rassemblées avant et après la conversion au SCE-VCP, les données sont dispersées et ne sont pas directement comparables. Par conséquent, un manque de confiance s'installe relativement à certains aspects des données.
Dans l'ensemble, toutefois, nous avons constaté que l'usage réel de Mon dossier (visites du site Web) a diminué avec la mise en oeuvre du SCE-VCP, et il se peut que la perte n'ait pas encore été rattrapée. En comparant les statistiques relatives aux ouvertures de session des mois clés, soit mars et avril, nous avons constaté que le nombre d'ouvertures de session, effectuées immédiatement après la mise en oeuvre du SCE-VCP, a diminué de 11,5 %, soit de 1 116 000 en 2004 à 988 000 en 2005. Pour l'année 2006, les données indiquent que la perte a été récupérée puisque le nombre d'ouvertures de session a augmenté à 1 114 000 pour les mois de mars et d'avril de cette année. Il est possible que ce rétablissement soit imputable à un nouveau lancement du SCE-VCP en février 2006 qui visait à faciliter la tâche pour l'usager.
Bien qu'à première vue il semble que nous soyons de retour aux niveaux pré-VCP, les autres données contredisent cette conclusion. Depuis la mise en oeuvre du SCE-VCP, il y a eu un bon nombre d'ouvertures de session qui n'ont pas entraîné de visites à Mon dossier. Afin d'accéder à la page d'accueil de Mon dossier, l'usager doit passer par trois différentes pages Web avant d'y arriver. Les agents de l'ARC croient que les usagers arrêtent le processus pour diverses raisons, à savoir qu'ils ont été interrompus ou qu'ils ont exploré d'autres liens avant d'entrer dans Mon dossier. Les données indiquent que, pour une raison quelconque, le taux de diminution des ouvertures de session est de plus de 30 %. Par conséquent, le nombre d'ouvertures de session dans le SCE-VCP est considérablement plus élevé que celui des visites actuelles à Mon dossier. Pour les mois de mars et d'avril 2006, le taux de diminution était de 36 % puisqu'il n'y a eu que 731 000 visites à Mon dossier. Ce taux est considérablement plus faible que celui des visites avant la mise en oeuvre, nonobstant les services supplémentaires disponibles. Toutefois, il existe un manque de confiance absolue relativement aux données à l'appui de la diminution de 30 % (l'établissement de rapports sur le rendement est abordé plus loin dans le rapport).
Nous avons également constaté qu'en 2005-2006, la longueur et la complexité du processus d'enregistrement/authentification, lequel inclut le processus hors bande, ont fait que plus de la moitié des usagers cadidats potentiels à l'inscription ne se sont pas rendus au bout du processus. Des 667 617 usagers ayant tenté de s'inscrire, 20 % y ont renoncé au cours du processus combiné d'authentification de l'enregistrement du SCE et de l'ARC, ce qui pourrait avoir pour causes la complexité du processus, l'insuffisance des données disponibles à l'usager pour compléter le processus, ou les déviations vers d'autres sites Web. Considérant les autres usagers, 32 % ont abandonné à l'étape de l'établissement des exigences particulières en matière d'activation du processus hors bande de l'ARC. Il se peut que cet abandon soit causé par le fait que les usagers oublient que l'envoi postal de leur code d'activation prend cinq jours ou qu'ils sont tenus de compléter le processus d'enregistrement en activant leur epass dans un délai de 35 à 50 jours.
Cela amène à penser que la population des usagers potentiels de Mon dossier est limitée par les exigences supplémentaires liées aux processus hors bande du SCE-VCP et de l'ARC. Le résultat obtenu est que bon nombre d'usagers sont moins désireux d'utiliser Mon dossier à cause de la VCP et des autres processus de sécurité de l'ARC. Si tous les usagers avaient obtenu un accès à Mon dossier, il est très probable que le nombre de visites aurait augmenté plutôt que diminué ces deux dernières années.
Le SCT et TPSGC croient que l'ARC a contribué davantage à la complexité du processus en y intégrant le processus hors bande supplémentaire. Cependant, on devrait noter que le besoin d'un processus hors bande a été cerné par le Commissaire à la protection de la vie privée dans une lettre adressée au SCT en décembre 2002, puisqu'on se préoccupait du fait que la méthode d'authentification des renseignements sur les secrets partagés de l'ARC, en soi, ne traitait pas les risques à la confidentialité de façon adéquate. L'ARC a convenu que, sur le plan opérationnel, nous avions besoin d'un processus d'authentification solide afin de nous assurer qu'elle communique avec le déclarant identifié et de minimiser le risque que des personnes non autorisées puissent accéder aux renseignements délicats. L'opinion d'expert appuie la décision de l'ARC à cet égard. Nous avons déterminé que, en y intégrant le processus hors bande, le processus de l'ARC est plus rigoureux que le SCE-VCP de base et il offre une assurance importante, équivalente aux services bancaires par Internet. De plus, le processus hors bande offre une protection contre les attaques « d'intermédiaires » et met l'accent sur la prévention de l'usurpation d'identité.
Bien que le processus d'authentification de l'enregistrement puisse être approprié dans l'environnement du SCE-VCP, il est complexe, exigeant en temps et il contribue à la perte de 50 % des usagers potentiels de l'ARC. Il est noté que les solutions de rechange examinées par l'ARC comprennent les différents besoins relatifs à l'authentification et à l'enregistrement, mais elles ne comprennent pas le processus hors bande. Toutefois, elles entraîneront une continuation de la diminution importante du nombre d'usagers potentiels au cours du processus. Afin de réduire le nombre d'usagers qui abandonnent au cours du processus, lorsque l'ARC examine les solutions de rechange, elle devrait déterminer si d'autres options sont disponibles qui offriraient le même niveau de protection mais en étant moins lourds pour l'usager.
Dans notre étude, il a été noté que ce ne sont pas tous les services que l'on prévoyait offrir par le SCE-VCP qui nécessitent le processus hors bande de l'ARC, par exemple IMPÔTNET. On reconnaît que l'ARC examine actuellement ses options de prestation de services électroniques en raison des considérations de coûts concernant le SCE-VCP. Dans cet examen, l'ARC se penchera sur les applications actuelles utilisant le SCE-VCP et sur les plans d'applications futures, pour déterminer s'il y a des services qui pourraient être offerts par d'autres moyens d'authentification.
2. Régie
Il n'existe aucune preuve que la structure de régie ait occasionné d'importants problèmes opérationnels à l'ARC.
La structure de régie de la VCP fournit divers niveaux de surveillance et de prise de décisions en vue de gérer cette initiative à l'échelle du gouvernement. Les principaux organes directeurs sont le Conseil de gestion de l'information (CGI) et le Conseil de gestion de la Voie de communication protégée (CGVCP). Le CGI est présidé par le SCT et coordonne la VCP à l'échelle de l'entreprise, élaborant ainsi des politiques, des stratégies et des priorités globales. Le CGVCP, qui est présidé par le SCT et TPSGC, met l'accent sur le niveau opérationnel et coordonne les activités des divers services communs de la VCP. L'ARC est représentée à ces comités aux niveaux des sous-commissaires et des sous-commissaires adjoints respectivement. La structure de régie adoptée pour la VCP correspond aux pratiques de l'industrie relatives à la gestion des infrastructures de la technologie à l'échelle de l'entreprise.
Nous n'avons trouvé aucune preuve que des problèmes significatifs seraient effectivement survenus pour le programme de l'ARC à cause de la structure de régie de la VCP. Quelques incidents se sont produits en ce qui a trait à la gestion des versions, ayant ainsi des conséquences potentiellement importantes pour l'interruption du service Mon dossier, mais ils ont été réglés sans répercussions. Des nouveaux processus ont été mis en place par TPSGC afin d'atténuer les risques que ces incidents se reproduisent. Toutefois, les cadres supérieurs de l'ARC sont toujours préoccupés des conséquences graves possibles. Le manque de mise à exécution des normes relatives à l'intégration de nouveaux services ou de nouvelles modifications par d'autres ministères ou organismes, qui, sans surveillance, pourrait exercer une pression sur l'infrastructure commune et atténuer la prestation efficace des applications de l'ARC, nous intéresse particulièrement. Nous ne savons pas si ce manque est occasionné par le fait que TPSGC manque d'autorité pour imposer l'observation ou que TPSGC n'exerce pas son autorité. Bien que les incidents qui se sont produits pourraient être liés à la crise de croissance pour le développement du système et la gestion des versions, l'ARC devrait absolument continuer de surveiller les plans du SCE-VCP pour les services nouveaux et modifiés pour s'assurer que les protocoles appropriés soient suivis et que les menaces pour les services de l'ARC soient réduites au minimum.
Un autre sujet de préoccupation pour la haute direction de l'Agence réside dans le manque d'influence de l'ARC sur le processus de prise de décisions de la VCP. Dans les votes des comités de régie, les deux voies que l'ARC possède sur un total de 14 ne sont pas en rapport avec le volume des transactions de l'ARC dans le SCE-VCP. Un point plus important encore réside dans le fait qu'il est très rare qu'on mette quelque chose aux voix et que les décisions semblent avoir déjà été prises par TPSGC et le SCT avant les réunions, ce qui marginalise l'influence du comité. On déplore aussi très vivement que les membres du comité n'aient pas assez de temps pour se préparer aux délibérations et que les réunions visent plus à informer les membres du comité qu'à les faire participer au processus de décision. Cela compromet l'aptitude de l'ARC à protéger ses besoins opérationnels puisque les exigences opérationnelles de l'ARC se trouvent potentiellement subordonnées aux divers besoins des autres programmes du SCE-VCP.
L'accès restreint aux sources externes de renseignements et aux services offerts par les autres ministères gouvernementaux dans le SCE-VCP nous a empêchés d'effectuer une évaluation complète de la validité et de l'importance des préoccupations de l'ARC concernant la structure de régie. Toutefois, nous ne savons pas si l'ARC a formellement documenté ses préoccupations ou si elle les a exprimées et soumises au comité pour règlement. Si les oppositions de l'ARC quant aux aspects de la structure de régie et/ou de son fonctionnement sont significatives, il incombe à l'ARC de les documenter formellement et de les soumettre pour règlement.
3. Mesure de rendement
Les mesures et les rapports de rendement sont sous-développés et fragmentés et ne présentent aucune description claire du rendement.
Le manque de renseignements adéquats sur la mesure du rendement entraîne l'établissement de rapports incompatibles sur les résultats atteints par le SCE-VCP et Mon dossier. L'ARC compte sur TPSGC, en tant que propriétaire de la VCP, en vue de lui fournir les données liées au rendement technique, y compris la disponibilité et le temps de réponse. L'ARC génère ses propres renseignements concernant le volume de visites de son site Web, y compris les visites à Mon dossier, les renseignements sur l'authentification, l'enregistrement et les ouvertures de session pour les epass.
Les agents de l'ARC se préoccupent du fait que la mesure du rendement du SCE-VCP par TPSGC est sous-développée en ce qui a trait à leurs besoins, ce qui a contribué à un manque de confiance de la part de l'ARC relativement au rendement technique du SCE-VCP. Un examen de l'ébauche de l'accord sur les niveaux de service (ANS) a révélé qu'un nombre limité de rapports de rendement est requis. De plus, nous avons constaté qu'il existe différentes définitions et compréhensions des éléments clés des rapports de rendement, tels que la disponibilité du système. Bien que nous ne sachions pas si les rapports actuels de TPSGC satisfont toutes les exigences en matière d'établissement de rapports de l'ANS, nous avons conclu que les rapports n'ont pas été reçus dans les délais prescrits dans l'ANS. Nous avons également conclu que les renseignements de TPSGC ne sont pas fiables en ce qui a trait au signalement du nombre d'epass générés par l'ARC. Bien que l'ARC ait présenté les questions de mesure de rendement à TPSGC, nous avons été avisés que l'élaboration de renseignements sur la mesure de rendement a été reportée en raison de demandes plus pressantes présentées à TPSGC relativement aux améliorations du système.
En ce qui concerne les mesures et les rapports de rendement internes, l'ARC rassemble diverses données sur les activités de Mon dossier. Toutefois, il n'existe aucun cadre de gestion du rendement complet qui présente clairement les buts, les objectifs et les cibles. Par conséquent, les cadres supérieurs de l'ARC n'ont pas clairement énoncé leurs attentes relativement aux résultats qu'ils prévoient atteindre ou les mesures de rendement qui démontrent adéquatement les résultats qu'ils atteignent. Au niveau opérationnel, les mesures et les rapports de rendement sont fragmentés et élaborés indépendamment au sein de trois Directions générales différentes. En règle générale, la mesure de rendement a été élaborée « au besoin » et est en constante évolution quant à l'élaboration de mesures Web pour l'ensemble du site Web de l'ARC. Actuellement, la DGI établit des rapports sur le rendement technique, en fonction des données de TPSGC et des rapports de contrôle du système de l'ARC. La DGSCP utilise le rapport établi par le Système de gestion de l'authentification (SGA) sur les statistiques du chemin d'accès à Mon dossier pour gérer l'authentification et l'enregistrement, et elle s'appuie sur les données fournies par la Direction générale des services aux contribuables et de la gestion des créances (DGSCGC) pour évaluer le taux d'utilisation de Mon dossier. Les données relatives au rendement ne sont pas facilement rapprochées. Des questions sont soulevées concernant l'exactitude ou la validité des mesures. De plus, le suivi du rendement a été difficile à effectuer puisque la terminologie et les indicateurs ont changé au fil du temps. La DGSCP reconnaît le besoin de regrouper les statistiques relatives à l'enregistrement, l'authentification, les ouvertures de session et les visites à Mon dossier afin de fournir un meilleur aperçu global du rendement. Par conséquent, le suivi des mesures importantes, telles que le temps de réponse bout en bout en vue d'évaluer l'expérience globale de l'usager, n'est pas effectué et l'ARC n'a pas effectué une évaluation adéquate des résultats qu'elle atteint. Nous n'avons pas vu un plan visant à répondre à ce besoin.
En raison de ces irrégularités des mesures de rendement de TPSGC et de l'ARC, nous ne pouvons obtenir une description claire du succès que connaissent le SCE-VCP et Mon dossier relativement à l'atteinte de leurs objectifs. De plus, la direction de l'ARC a reçu des rapports incompatibles sur les enjeux, tels que le nombre d'ouvertures de session et de visites à Mon dossier. Afin de traiter les irrégularités, l'ARC devrait élaborer un cadre complet pour la gestion du rendement de ses services électroniques fournis au moyen du SCE-VCP. À tout le moins, le cadre devrait clairement définir les buts, les objectifs, les indicateurs de rendement clés et les cibles. De plus, si l'ARC nécessite des mesures et des rapports de rendement particuliers en ce qui a trait aux mesures de TPSGC en vue de gérer adéquatement son programme et d'évaluer la réalisation de ses objectifs, les exigences devraient être négociées au moyen de l'ANS.
4. Coût et solutions de rechange
Le coût constitue une pierre d'achoppement importante à la participation de l'ARC au SCE-VCP.
Bien que le coût ne soit pas l'élément sur lequel nous avions mis l'accent au début de l'étude, il est rapidement devenu une préoccupation importante de l'ARC et il pourrait avoir une incidence sur la participation de l'Agence au SCE-VCP à l'avenir. Lorsque l'initiative de la VCP du GC a commencé, l'infrastructure à clés publiques (ICP) a été reconnue comme une solution coûteuse, mais elle était la solution de rechange sélectionnée par le SCT, qui répondait aux besoins relatifs à l'initiative du Gouvernement en direct (GED). Alors que le coût a toujours été une préoccupation, on prévoit que grâce aux économies d'échelle, ce sera une voie de communication rentable pour la prestation des services.
Le SCT propose maintenant un changement qui vise à passer du modèle actuel financé par l'Administration centrale (AC) à un modèle de récupération intégrale des coûts pour les ministères et les organismes qui utilisent les services du SCE-VCP. La récupération des coûts des ministères et des organismes ayant un certain octroi de subventions centralisé débutera au cours de l'exercice 2007-2008, visant ainsi la récupéraiton intégrale des coûts au plus tard en 2008-2009.
Le coût annuel de l'infrastructure du SCE-VCP est maintenant estimé dans la gamme de 47 à 54 millions de dollars par année pour les sept prochaines années. Le SCT a demandé à l'ARC de s'engager envers les prévisions afin d'appuyer le modèle d'établissement des coûts pour les prochains sept ans. Les coûts prévus pour l'Agence sont importants et sont fondés sur un coût de transaction de 1,15 $ par ouverture de session en plus des coûts liés aux activités, telles que les mises à l'essai et le soutien du Bureau d'aide. L'ARC estime que le total des coûts imposés au SCT sera de 7,5 à 14,2 millions de dollars par exercice, ou de 1,28 $ à 1,60 $ par transaction. Le coût total pour cette période de sept ans est d'environ 70 à 76 millions de dollars. Il convient de noter que cela ne représente que les coûts imposés par TPSGC et ne comprend pas les coûts engagés par l'ARC en vue d'appuyer ses opérations relatives au SCE-VCP.
Il convient aussi de noter que même si le modèle de financement actuel est fondé sur une redevance de transaction, on travaille encore à définir ce qu'est une transaction. Si la définition est fondée sur les ouvertures de session de l'ARC, l'Agence pourrait se voir imposer des coûts supplémentaires en ce qui a trait aux personnes qui utilisent son site pour ouvrir des sessions, mais qui n'atteignent jamais la page Mon dossier pour une raison quelconque.
Il existe des technologies de rechange qui pourraient satisfaire aux exigences opérationnelles de l'ARC, compte tenu des risques, de la convivialité et des coûts. Ces options varient entre un protocole sécurisé de cryptage (protocole SSL) et une solution de l'IPC. L'établissement préliminaire des coûts liés à ces solutions de rechange, effectué par la DGI, indique que l'ARC pourrait répondre à ses propres besoins opérationnels à un coût substantiellement plus bas que celui prévu pour le SCE-VCP. D'après l'analyse initiale de l'ARC, les coûts d'opération pourraient aller de 0,16 $ à 0,68 $, ce qui correspondrait pour l'ARC à un coût estimatif annuel de $1 million à $4,5 millions. L'option privilégiée par la DGI et la DGSCP est le développement interne d'une solution basée sur le protocole SSL, ce qui est une solution différente du SCE-VCP. Les coûts estimatifs initiaux de cette solution sont de $3 millions pour le développement et de $1 million par année en coût d'exploitation. Le coût estimatif par ouverture de session pour cette solution dans un environnement opérationnel est de 0,16 $.
Ces prévisions initiales sont cependant très préliminaires puisqu'elles sont décrites par la DGI comme « des coûts de la catégorie Z – prévisions du niveau de faisabilité », et n'évaluent pas tous les coûts liés à l'élaboration et à la mise en oeuvre d'une solution interne. Nous comprenons que ces prévisions n'ont toujours pas été examinées par la DGSCP et ne comprennent pas les coûts qui pourraient être engagés par la DGSCP et toute autre Direction générale de l'Agence. Par conséquent, ces prévisions sont sous évaluées et sont seulement utiles à la prévision de l'« ordre de grandeur » des coûts. L'ARC doit entreprendre une évaluation complète détaillée afin de s'assurer que les différences des coûts prévus entre la solution du SCE-VCP et les solutions de rechange de l'ARC sont exactes avant de sérieusement considérer des solutions de rechange. Cette évaluation doit tenir compte des exigences opérationnelles, de la convivialité, de la sécurité et de la confidentialité ainsi que d'une stratégie de transition appropriée.
Dès le début de cette étude, le SCT a effectué sa propre étude afin d'examiner les préoccupations concernant l'efficacité et la durabilité des coûts. L'objectif de l'étude de la DGI est de reconnaître que la VCP était fondée sur les concepts, les politiques et les solutions technologiques élaborés il y a dix ans. L'étude, qui devrait être achevée d'ici juin 2006, vise à déterminer si les exigences opérationnelles, les politiques et les normes, qui ont créé la solution actuelle, préviennent la compétitivité des coûts liés à la prestation de l'authentification. Puisque les résultats de cette étude pourraient avoir une incidence sur le modèle d'établissement des coûts, qui sera éventuellement mis en place pour le SCE-VCP et peut-être même pour ses piliers de base, l'ARC devrait tenir compte de ces résultats lorsqu'elle évalue ses solutions de rechange.
À noter que même si le modèle de financement est essentiel à l'environnement d'aujourd'hui, il pourrait aussi avoir une incidence sur la réalisation de la Vision de l'Agence 2010. Si l'ARC souhaite réaliser sa vision, les coûts liés aux services de l'ARC offerts aux clients doivent être raisonnables. Les prévisions actuelles des coûts liés au SCE-VCP ont déjà eu une incidence négative sur les discussions menées avec une province concernant son utilisation des services de l'ARC. Ainsi, la décision de l'ARC sur l'avenir de la prestation de services électroniques doit être prise avec soin pour s'assurer qu'elle appuie entièrement la réalisation des objectifs de l'Agence 2010.
5. Stratégie des voies de communication pour la prestation des services
Il n'existe aucune stratégie des voies de communication pour la prestation des services.
En évaluant les répercussions du SCE-VCP sur l'exécution du programme de l'ARC et de l'Agence 2010, nous n'avons repéré aucune preuve de l'existence d'une stratégie de prestation du SCE-VCP ou d'une stratégie globale des voies de communication pour la prestation des services de l'ARC en vue d'orienter l'Agence relativement à la réalisation de son objectif qui est d'assurer une prestation efficace, efficiente et réceptive des programmes et des services de l'ARC. Toutefois, on comprend que, pendant plusieurs années, la stratégie de l'ARC visait à offrir des services à la clientèle abordables et accessibles, et que l'amélioration des options de services électroniques était essentielle à la réalisation de ce but. Nos constatations sont fondées sur l'hypothèse selon laquelle le service électronique serait une voie de communication rentable pour la prestation des services.
Dès le début, l'ARC a été un partisan enthousiaste de l'initiative de transformation des services du GES, qui vise à offrir d'autres options de services aux clients. Les décisions initiales de l'ARC, visant à migrer le service à l'initiative du SCE-VCP, étaient fondées davantage sur l'appui de la vision du GC axée sur les citoyens, relativement à l'exécution d'une seule ouverture de session pour divers services, plutôt que sur l'exécution de programmes particuliers, les exigences de sécurité ou les considérations de rentabilité. Par conséquent, toutes les applications de Mon dossier ont été migrées au SCE-VCP et possèdent le même niveau de sécurité. Le processus d'enregistrement complexe lié au SCE-VCP pourrait décourager la participation à Mon dossier et diriger les clients vers des voies de communication traditionnelles plus dispendieuses, qui pourraient être fournies de façon plus efficace par des services électroniques,ayant des exigences de sécurité appropriées.
Dans l'optique du service, il est essentiel pour les Canadiens que l'ARC offre diverses voies de communication pour la prestation de ses services afin d'encourager une observation volontaire. En ce qui concerne l'efficacité, l'ARC doit fournir des voies de communications pour la prestation de ses services qui répondent à ses besoins à un coût raisonnable. Ainsi, une stratégie globale des voies de communication pour la prestation des services est maintenant nécessaire pour l'ARC. Cette stratégie sera indispensable pour déterminer la position que l'ARC devrait prendre relativement à la voie de communication du SCE-VCP. Elle devrait s'assurer que les exigences opérationnelles du SCE-VCP sont mises en balance avec les coûts, la facilité d'utilisation et le niveau de sécurité requis. Il conviendrait aussi qu'elle tienne compte du fait que les services électroniques ne sont pas toujours la voie de communication la plus rentable pour la prestation de ses services. De plus, l'utilisation du SCE-VCP pour des services tels que IMPÔTNET et Mon compte d'entreprise devrait être rationalisée.
La Direction générale des stratégies d'entreprise et du développement des marchés (DGSEDM) élabore actuellement une stratégie de prestation de services en vue d'offrir une approche mieux coordonnée pour la prestation des services. Elle examine la façon dont l'ARC est en liaison avec les contribuables et les prestataires en mettant l'accent sur l'utilisation des diverses voies de communication pour la prestation des services et des outils technologiques clés ainsi que sur leur équilibre. L'élaboration de la stratégie devrait tenir compte des points signalés ci-dessus.
Conclusions et recommandations
Nous avons conclu que le SCE-VCP fonctionne de façon efficace en termes de stabilité du système, de disponibilité des usagers et de temps de réponses pour traiter les transactions des usagers et qu'il fournit un niveau d'authentification et de sécurité approprié pour la transmission et l'extraction des renseignements personnels. Par conséquent, nous n'avons perçu aucune menace importante pour l'exécution du programme de l'ARC pour ce qui est du service continu concernant tant les contribuables que le recouvrement des recettes.
Toutefois, quelques points nécessitent l'attention de l'ARC, comme il est indiqué dans les recommandations suivantes :
- Concernant les incidences négatives que le processus d'authentification de l'enregistrement entraîne sur l'inscription à Mon dossier et son utilisation, il serait bon que l'ARC, en évaluant les solutions de rechange, cherche s'il existe d'autres options convenant au processus qui offriraient le même niveau de protection mais qui seraient moins lourdes pour l'usager.
- S'assurer que les préoccupations significatives portant sur la structure de régie et/ou son fonctionnement sont formellement documentées et soumises aux organes de régie ou autorités appropriés pour décision.
- En ce qui concerne le modèle de financement du SCE-VCP :
- Faire une évaluation financière détaillée pour vérifier que les différences des coûts prévus entre la solution du SCE-VCP et les solutions de rechange de l'ARC sont exactes avant d'envisager sérieusement des solutions de rechange.
- Si l'ARC doit faire partie du modèle de récupération des coûts proposé, alors elle doit prendre des mesures pour que le modèle soit développé de façon plus poussée afin de corriger les lacunes cernées plus haut dans le présent rapport, et aussi reconsidérer si le coût lié à l'utilisation des services actuels et projetés du SCE-VCP est justifié par les besoins opérationnels.
- Élaborer une stratégie globale des voies de communication pour la prestation de ses services qui tiendra compte de la Vision 2010 de l'Agence visant à accroître les services de l'ARC. Dans le cadre du développement de cette stratégie, elle devrait revoir et rationaliser les exigences opérationnelles des services offerts par le SCE-VCP pour s'assurer qu'elles soient mises en malance avec les coûts, la facilité d'utilisation et le niveau de sécurité requis.
- Élaborer et mettre en oeuvre un cadre complet pour la gestion du rendement, muni d'indicateurs de résultats, pour les services de l'ARC fournis au moyen du SCE-VCP, et renégocier l'Accord sur les niveaux de service conclu avec TPSGC en vue d'y intégrer les exigences de l'ARC.
Réponse de la direction
La direction accepte les conclusions et recommandations de l'examen. La décision que l'ARC a prise de transférer le service à l'initiative dite Service commun d'enregistrement de la Voie de communication protégée (SCE-VCP) a été basée sur la volonté d'appuyer la vision centrée sur le citoyen qu'avait adoptée le Gouvernement du Canada soucieux d'offrir un guichet électronique unique pour une variété de services, plutôt que basée sur des considérations spécifiques de programmes. L'Infrastructure à clé publique (ICP) a été l'approche choisie par le SCT comme répondant aux exigences déterminées pour l'initiative Gouvernement en direct. L'ARC continuera à soutenir l'initiative de la Voie de communication protégée du Gouvernement du Canada puisqu'elle fonctionne efficacement en termes de services aux Canadiens et qu'elle assure la sécurité voulue pour la transmission et l'extraction d'informations à caractère privé.
Les relations de partenariat au sein de la Voie de communication protégée entreront dans une nouvelle phase quand sera signé le contrat à long terme avec le fournisseur de services. L'ARC travaillera avec TPSGC et d'autres partenaires pour établir un modèle approprié de calcul des coûts et de gouvernance pour traiter toutes les préoccupations substantielles constatées dans l'évaluation. TPSGC est en train de refaire le texte de l'entente de service (ES) avec l'ARC pour couvrir les ententes de niveau de service (ENS) applicables à chaque service.
