Audit du système de Points de vente (PDV)

Rapport Final
27 juin 2016

Bureau de l’audit interne et de l’évaluation

Rapport soumis au Comité d'audit de Parcs Canada : le 2 Juin 2016
Approuvé par le Directeur général de l'Agence: le 29 août  2016

Table des matières

1 Sommaire exécutif

Le système Point de vente (PDV) a été implanté à travers l’Agence Parcs Canada (APC) au cours de la saison d’opérations 2013 dans les parcs nationaux, les lieux historiques nationaux et les aires marines nationales de conservation afin de faciliter et standardiser la perception des recettes et l’information financière qui étaient auparavant recueillies via différents systèmes (Vectron, systèmes manuels etc.). La sélection de ce système avait également pour but de permettre à l'Agence de recueillir, de stocker et de gérer les renseignements de gestion. Le système est principalement géré par une équipe interne de Parcs Canada et les données sont stockées sur des serveurs de l'Agence. L'Agence obtient également le support d'un tiers pour la configuration et l'administration du système ainsi que pour le support aux usagers. En date de novembre 2014, plus de 250 terminaux étaient répartis dans 32 unités de gestion (UG).

L’objectif de l’audit visait à évaluer le caractère adéquat du cadre de contrôle (gouvernance, contrôles internes, gestion du risque) en place pour supporter la collecte de données financières des renseignements de gestion via le système PDV. L’étendue de l’audit comprenait un échantillon de parcs nationaux et de lieux historiques nationaux qui assurait une représentativité des différents types d’opérations ayant cours à Parcs Canada. Les données utilisées pour fins d’analyse dataient d’entre le 1er avril et le 30 novembre 2014.

La méthodologie d’audit comprenait une revue des documents constituant le cadre législatif et politique (et autres documents pertinents) entourant l’administration du système, des entrevues avec différents intervenants impliqués dans la gestion et l’utilisation du système, l’établissement de graphiques d’acheminement, l’observation physique lors de visites de sites ainsi que la revue d’un échantillon de transactions.

Cette mission d’audit est conforme aux normes de vérification interne du gouvernement du Canada, comme en témoignent les résultats du programme d'assurance et d'amélioration de la qualité.

Le travail d’audit permet de conclure que le cadre de contrôle entourant l’administration et l’utilisation du système PDV ainsi que les processus d’affaires connexes requièrent des améliorations notamment en ce qui a trait à la mise à jour des politiques et autres documents de référence ainsi que de la surveillance effectuée sur l’utilisation du système et les données qui y sont entrées. De plus, des contrôles dans les différentes sections du processus d’affaires telles que la cueillette de renseignements de gestion, la manipulation adéquate de la trésorerie et la conformité aux exigences législatives et politiques doivent être renforcés. Pour les fins de rapports, l’intégration des données perçues via les différentes méthodes de collecte est souhaitable.

Tableau 1 : Sommaire de l’évaluation des critères
Critère Évaluation
Un cadre de contrôle de gestion est en place pour soutenir efficacement le système. Amélioration mineures requises
L'infrastructure de technologie de l'information qui soutient le système est adéquat pour assurer la collecte de données fiables. Amélioration mineures requises
Les données recueillies par le système de PDV sont complètes. Amélioration importantes requises
Les données recueillies par le système de PDV sont exactes. Amélioration moyennes requises
Les données recueillies par le système de PDV sont disponibles en temps opportun. Amélioration mineures requises

Ci-dessous se trouve la liste des recommandations de l'audit classées par ordre de priorité basé sur le système de notation présenté à l’Annexe C du présent document.

Tableau 2 : Sommaire des recommandations de l’audit interne
Priorité élevée
1. Le dirigeant principal des finances devrait mettre à jour les documents de références encadrant la gestion des recettes et les transactions financières dans le PDV, les faire approuver par l'autorité déléguée appropriée et les communiquer aux UG. La Directive et les normes devraient détailler comment la conformité sera surveillée et le mécanisme pour appliquer des mesures correctrices lorsque des situations de non-conformité seront observées.
3. Le Vice-Président (VP) Relations externes et expérience du visiteur (REEV) devrait identifier les informations clés d'intérêt pour les différentes parties intéressées et faciliter l'accès à l'information stockée dans le système PDV en automatisant la fonction de rapports de PDV.
4. Le VP REEV devrait envisager de maximiser l'intégration des données de différentes sources incluant mais ne se limitant pas à PDV, le Service de réservations (de camping) de Parcs Canada (SRC), les ventes commerciales, les machines automatisées de vente de laissez-passer et les terminaux PDV autonomes dans une source de données unique qui permettrait la production de rapports plus complets.
5. Le VP REEV devrait élaborer une stratégie de sécurité touchant notamment l'administration des comptes d'utilisateurs, la gestion des mots de passe et l'assignation des permissions et privilèges d'accès au système PDV et la communiquer aux UG.
7. Le VP, Opérations devrait documenter où les recettes de droits d'entrée non perçues sont susceptibles d'être importantes (c.-à-parcs ou sites) et obtenir l'assurance que des mécanismes efficaces et efficients de récupération de recettes et de conformité de paiement des droits d'entrée ont été développés et mis en œuvre où il est rentable de le faire.
10. Le VP REEV devrait développer et communiquer des directives claires aux UG décrivant les attentes en termes de cueillette de renseignements de gestion. Des rapports sur la conformité aux directives devraient être rendus disponibles sur une base régulière aux VP, Opérations afin que des mesures correctives soient prises lorsque requises.
Priorité modérée
2. Le VP REEV devrait élaborer et communiquer aux UG un document identifiant sommairement les éléments concernant PDV essentiels à la formation offerte aux caissiers par les UG
6. Le VP REEV devrait développer et communiquer aux UG des directives sur l'utilisation des fonctions de support aux opérations disponibles dans le système PDV (incluant mais ne se limitant pas à : gestion des inventaires de marchandises officielle, de passes Découverte et saisonnières, utilisation des lecteurs optiques, etc.). Des analyses sur la conformité à ces directives devraient être menées et rapportées aux VP opérations au besoin afin que des mesures correctives soient prises lorsque requises.
Priorité faible
8. Le VP REEV devrait élaborer et implanter un contrôle automatisé qui limitera les possibilités d'erreurs sur les quantités et/ou le montant des transactions.
9. Le Dirigeant principal des finances devrait renforcer l'utilisation de la fonction d'« auto-clearing » des fichiers de dépôts dans STAR afin de rationaliser le processus de réconciliation.

2 Introduction

L’Agence Parcs Canada (APC) s’est dotée d’un système informatique dans le but de supporter la perception des revenus (principalement de droits d’entrée) et des renseignements de gestion de façon efficace, sécuritaire et qui permet d’avoir accès à l’information rapidement et facilement.

Cet audit a été inclus dans le plan d’audit interne pluriannuel de Parcs Canada 2014-15 à 2016-17 approuvé par le Directeur Général de l’Agence (DGA) en Juin 2014.

3 Contexte

Alors que le nombre de visites-personnes dans les parcs nationaux, lieux historiques nationaux et aires marines nationales de conservation de Parcs Canada atteignait 22 073 047 au cours de l'année fiscal 2003-2004, Parcs Canada en est venu à la conclusion qu'elle avait besoin d'un système moderne pour gérer efficacement la perception des revenus, plus précisément des droits d'entrée dans les parcs et sites et qui aurait permis que les données soient intégrées avec celles du système de gestion financière de l'Agence (STAR). A l'origine, le projet visait l'implantation d'un système (Vectron) dans tous les sites ayant plus de 75 000 $ de revenus annuels. En réponse à l'évolution des besoins de gestion, notamment de capturer via ce système certains renseignements de gestion et aux recommandations provenant de la Vérification nationale des revenus d'opération - camping & droits d'entrée -2009, l'Agence a pris la décision d'acquérir un nouveau système qui serait implanté dans la majorité des points de collectes de revenus.

Un comité directeur (CD) constitué de représentants de la Direction générale des relations externes et de l’expérience du visiteur (REEV), la Direction générale du Dirigeant principal des finances (DGF) et le groupe sous l’égide du dirigeant principal de l’information (DPI) pour superviser la sélection et l’implantation du nouveau système. Le déploiement du système PDV a débuté au cours des années 2012 et 2013. En date de novembre 2014, le système avait été implanté dans 32 UG (plus de 250 terminaux). Le déploiement est toujours en cours dans sites de perception des canaux historiques depuis 2015.

Le système est principalement administré par le personnel de Parcs Canada et les données qu’il recueille sont stockées sur des serveurs de l’Agence. La configuration du système (programmation) et le support aux usagers pour les situations plus complexes sont en général confiés à une tierce partie.

Le PDV ne constitue pas le seul outil de perception et de gestion des revenus à l’Agence. Les autres systèmes de collecte de revenus sont le Service de réservation (de camping) de Parcs Canada (SRC), la facturation de comptes corporatifs, les anciens Vectrons (encore utilisés à certains endroits), les machines automatisées de ventes de laissez-passer ainsi que les différents systèmes manuels.

Le tableau 3 démontre les revenus perçus via les différents systèmes en place à l’Agence Parcs Canada. Les données sont présentées pour les années complètes où le système était en service soit 2014-2015 et 2015-2016[2].

Tableau 3 : Revenus perçus par les différents systèmes de l’APC
Année Fiscale PDV Service de réservation de camping (SRC) Autre Revenus Totaux[3]
Revenus 2014-2015 68 326 237 $
(54 %)		 25 684 067 $
(20 %)		 33 407 517 $
(26 %)		 127 417 821 $
Revenus 2015-2016 70 880 571 $
(51 %)		 39 714 747 $
(28 %)		 29 909 405 $
(21 %)		 140 504 726 $

4 Cadre législatif et politique

Le système PDV comporte deux composantes principales. La première, la perception de revenus, est essentiellement encadrée par l’APC via la Directive sur la fonction de contrôle des recettes de frais d’utilisation et par la Norme sur la gestion des recettes et de la trésorerie. La deuxième composante du système PDV, la cueillette de renseignements de gestion est quant à elle supportée par le Guide de l’utilisateur RMS de Parcs Canada ainsi que par le Guide de l’utilisateur du logiciel RMS pour la collecte de renseignements sur les visiteurs de Parcs Canada. L’Agence doit également mener ses activités en conformité avec différentes lois, règlements, politiques et directives du Conseil du Trésor (CT) gouvernant la gestion de la trésorerie (manipulation des liquidités et réconciliation de revenus), la sauvegarde des biens de l’Agence, la gestion de l’information et de la technologie. Une liste présentant chaque élément du cadre législatif et politique est présentée à l’annexe A.

5 Objectif et portée

Objectif de l’audit

L’objectif de l’audit était d’évaluer le caractère adéquat du cadre de contrôle (gouvernance, gestion du risque, contrôles internes et surveillance) en place pour supporter la perception des revenus et la collecte de renseignements de gestion via le système PDV. L’aspect de manipulation des liquidités et de protection des biens, intrinsèquement lié avec le système PDV, a également été inclus dans le programme d’audit.

Portée de l’audit

La portée de l’audit se limitait au système Point de vente de Parcs Canada et incluait :

  • la précision, l’exhaustivité et l’actualité des données de revenus et des renseignements de gestion recueillies par le système;
  • les processus de manipulation et de sauvegarde des recettes collectées là où les terminaux points de vente étaient utilisés;
  • réconciliation des données de revenus du système point de vente avec le système financier de l’Agence (STAR).

Les transactions sélectionnées pour revues provenaient de la période entre le 1er avril et le 30 novembre 2014.

La portée de l’audit ne comprenait pas les recettes recueillies par le biais d’autres systèmes tels que :

  • le système de réservation de camping de Parcs Canada (SRC);
  • les transactions effectuées via les terminaux de cartes de débit/crédit gérées par un tiers.

L’audit n’a pas regardé les autres processus de cueillettes de renseignements de gestion (exemple: les sondages).

Au moment de lancer cet audit, le système PDV n’avait pas été implanté dans les opérations de canaux. Bien que cette implantation soit en cours au moment d’écrire ce rapport, ces sites ont été exclus des procédures d’audit.

6 Méthodologie

Les critères d’audit ont été développés en se basant principalement sur la Directive sur la fonction de contrôle des recettes des frais d’utilisation[4] ainsi que le Guide de l’utilisateur du logiciel RMS pour la collecte de renseignements sur les visiteurs de Parcs Canada. Les critères d’audit élaborés par le groupe d’audit interne et accepté par le comité directeur du système pouvaient être regroupés en cinq catégories distinctes, soient :

  • un cadre de contrôle de gestion est en place pour soutenir efficacement le système;
  • l'infrastructure de technologie de l'information qui soutient le système est adéquat pour assurer la collecte de données fiables;
  • les données recueillies par le système de PDV sont complètes;
  • les données recueillies par le système de PDV sont exactes; et
  • les données recueillies par le système de PDV sont disponibles en temps opportun.

Les procédés d’audit appliqués comprenaient :

  • un examen approfondi des documents qui constituent le cadre légal et de contrôle;
  • une revue des documents utilisés dans la gestion et l’utilisation opérationnelle du système PDV;
  • des entrevues avec des employés impliqués dans l’administration et l’utilisation de PDV (annexe D);
  • sept (7) visites de terrain (annexe D) où ont été conduites les entrevues, les dossiers transactionnels et de dépôts ont été analysés (529), des documents de référence élaborés localement pour guider les employés dans l’utilisation de PDV ont été recueillis et où des transactions ont été observées;
  • la réconciliation des transactions de dépôts enregistrées dans STAR avec la documentation de support;
  • l’étalonnage avec d’autres organisations publiques perceptrices de revenus ayant des mandats similaires à celui de Parcs Canada (4); et
  • l’établissement de graphiques d’acheminement pour détailler le processus d’affaires.

Note : Afin d’alléger le texte, le terme unité de gestion (UG) est utilisé pour également référer aux parcs nationaux et aux lieux historiques nationaux.

Tableau 4 : Système de notation utilisé pour les rapports d’audit interne
Rouge Insatisfaisant Les contrôles ne fonctionnent pas ou sont inexistants. Des mesures de gestion immédiates doivent être prises pour corriger la situation.
Orange Améliorations importantes requises Les contrôles en place sont faibles. Plusieurs problèmes majeurs ont été constatés qui pourraient nuire à l’atteinte des objectifs du programme ou des objectifs opérationnels. Des mesures de gestion immédiates s’imposent pour corriger les lacunes constatées en matière de contrôle.
Jaune Améliorations moyennes requises Certains contrôles sont en place et fonctionnent. Cependant, des problèmes importants, auxquels il faut remédier, ont été constatés. Ces problèmes risquent de compromettre l’atteinte des objectifs du programme ou des objectifs opérationnels.
Bleu Améliorations mineures requises Un bon nombre de contrôles fonctionnent comme prévu. Cependant, certaines modifications mineures s’imposent pour améliorer l’efficience et l’efficacité de l’environnement de contrôle.
Vert Sous contrôle Les contrôles fonctionnent comme prévu et aucune autre mesure ne s’impose pour l’instant.

7 Énoncé d’assurance

Cette mission d’audit est conforme aux normes de vérification interne du gouvernement du Canada, comme en témoignent les résultats du programme d'assurance et d'amélioration de la qualité.



Brian Evans
Dirigeant principal de la vérification et de l’évaluation - Agence Parcs Canada

8 Conclusion

Le travail d’audit permet de conclure que le cadre de contrôle entourant l’administration et l’utilisation du système PDV ainsi que les processus d’affaires connexes requièrent des améliorations notamment en ce qui a trait à la mise à jour des politiques et autres documents de référence et de la surveillance effectuée sur l’utilisation du système et les données qui y sont entrées. De plus, des contrôles dans les différentes sections du processus d’affaires telles que la cueillette de renseignements de gestion, la manipulation adéquate de la trésorerie et la conformité aux exigences législatives et politiques doivent être renforcés. Pour les fins de rapports, l’intégration des données perçues via différentes méthodes de collecte est souhaitable.

9 Observations et recommandations

9.1 Un cadre de contrôle de gestion est en place pour soutenir efficacement le système

Bleu Améliorations mineures requises Bon nombre de contrôles fonctionnent comme prévu. Cependant, certaines modifications mineures s’imposent pour améliorer l’efficience et l’efficacité de l’environnement de contrôle.

Un cadre de contrôle est mis en place par une organisation afin de soutenir ses opérations et faire en sorte que les employés s’acquittent de leurs tches de façon efficace et efficiente. Les éléments clés d’un cadre de contrôle de gestion efficace sont notamment: une gouvernance claire, des rôles et responsabilités bien définis, des directives communiquées efficacement, des outils adéquats ainsi que des mesures de contrôles et de surveillance.

9.1.1 Imputabilité

Lorsque l’audit a débuté, l’implantation et le développement du système PDV était menée par un comité directeur (CD) constitué de l’équipe nationale PDV et de représentants de la direction générale du dirigeant principal des finances ainsi que de la direction du dirigeant principal de l’information. Ce comité était présidé par la Chef, Sciences sociales et veillait au bon déroulement de l’implantation et de l’utilisation du système PDV.

En cours de route, l’imputabilité générale pour le système a été assignée au VP REEV, plus précisément à la direction générale de l’expérience du visiteur. Le CD continue d’exister et son mandat en est un de conseiller auprès du VP REEV dans la prise de décision concernant l’opération du système PDV.

9.1.2 Rôles et responsabilités

Les rôles et responsabilités sont assignés de façon relativement uniforme à travers l’Agence entre les principaux intervenants. L’équipe nationale PDV est responsable de la configuration et l’opération générale du système ainsi que du support aux usagers. Les directeurs d’unités de gestion sont responsables d’assurer l’application des directives d’utilisation de PDV de l’Agence dans leur UG. Les administrateurs du système dans les UG sont responsables du fonctionnement et de l’utilisation (comptes d’utilisateurs, listes de prix etc.) du système au quotidien alors que les préposés à l’expérience du visiteur sont responsables de percevoir les revenus et entrer les données au système conformément aux directives de l’APC. Pour leur part, les commis aux revenus ainsi que le groupe d’opérations financières (fonction de contrôleur) situé à Cornwall sont responsables de la réconciliation des dépôts perçus via POS avec les fichiers électroniques reçus dans STAR via le système bancaire du gouvernement du Canada.

Bien que la majorité des rôles et responsabilités soit répartie de façon standard et acceptée par les différents intervenants, ils ne sont pas formellement documentés. Par conséquent, la responsabilité pour certains contrôles, notamment ceux d’effectuer un suivi des remboursements et des écarts de caisses n’est pas clairement assignée, avec comme résultat que cette responsabilité n’est parfois pas appliquée du tout. À l’inverse, des situations ont été observées où une reproduction des tches sur ce type de contrôle avait lieu. La totalité des UG visitées a pallié à cette lacune en élaborant des documents de référence locaux qui détaillent les responsabilités des différents intervenants.

Une bonne pratique dans la standardisation des procédés est de documenter les rôles et responsabilités formellement et clairement dans les documents de référence établis au niveau national. Cette pratique pourrait être envisagée dans le cas de l’administration et de l’utilisation de PDV.

9.1.3 Politiques, directives et autres documents de référence

Le Guide de l’utilisateur RMS-POS constitue le document principal fournissant de l’information sur les procédures à suivre autant pour les fonctions « gestionnaires » (fixation des prix, création de comptes d’usager etc.) que les fonctions « usager ». Cette source de référence est rendue disponible sur l’intranet et a été largement communiqué aux UG. Une connaissance du guide a clairement pu être démontrée par les utilisateurs et sa référence dans les manuels opérationnels a pu être vérifiée. Ce document contenant peu d’information sur la procédure à suivre pour recueillir les renseignements de gestion, le Guide de l’utilisateur du logiciel RMS pour la collecte des renseignements sur les visiteurs de Parcs Canada a été élaboré pour fournir l’information manquante. Dans le cas de ce dernier, bien qu’il soit aussi rendu disponible sur l’intranet, il n’a pas été communiqué suffisamment pour qu’il soit bien intégré dans les opérations. Seule une minorité d’UG ont pu démontrer clairement une familiarité avec ce guide qui contient de l’information clé pour les usagers. Les opérations de l’Agence bénéficieraient, tel qu’abordé à la section 9.3 d’une meilleure communication de ce document aux différents intervenants.

Dans le cadre des analyses préalables à la sélection de PDV comme solution de système de perception de revenus, le CD avait demandé une analyse des risques et des menaces liés à l’implantation du PDV. Ce rapport effectué par un tiers recommandait que l’Agence établisse une politique de sécurité associée à PDV qui comprendrait notamment des directives sur la gestion des comptes d’usager, des mots de passe, des permissions et privilèges d’accès afin d’encadrer l’utilisation du système. Aucune politique de la sorte n’avait été établie au moment d’effectuer les procédures d’audit. Bien que l’équipe d’audit reconnaisse que l’élaboration d’une politique de sécurité spécifique à PDV puisse constituer un dédoublement d’efforts vu les politiques et directives sur l’utilisation des réseaux informatiques déjà en place, l’établissement de paramètres quant aux contrôles d’accès est présentement absent du cadre. Les principaux enjeux associés à cette situation sont élaborés dans la section 9.2.

En ce qui concerne la documentation sur les processus de manipulation de la trésorerie et de réconciliation de revenus, l’APC a élaboré la Politique sur la gestion des droits d'utilisation et des recettes, la Directive sur la fonction de contrôle des recettes des frais d’utilisation, les Normes sur la gestion des recettes et de la trésorerie et a documenté le processus d’affaires (Gestion des transactions point de vente). Bien que ces documents soient présentement disponibles sur la page intranet du groupe de Finances, seule la Politique sur la gestion des droits d'utilisation et des recettes a force d’application puisqu’elle est la seule à avoir été formellement approuvée par le comité exécutif de gestion (CEG). Les autres, n’ayant pas reçu cette approbation, elles n’ont pas été largement communiquées. Leurs applications ne sont donc pas imposées et/ou surveillées. Il en résulte des pratiques disparates d’une UG à l’autre, notamment à l’égard des fermetures de caisses quotidiennes, du transport des dépôts à la banque, de l’assignation des fonds de caisse et des délais à l’intérieur desquels les dépôts devraient être réconciliés[5]. Certaines pratiques en place à l’Agence font donc en sorte que l’APC n’est pas conforme avec la Directive sur les rentrées, dépôts et enregistrements de fonds du CT[6]. Ces pratiques mettent également à risque la sauvegarde des biens (potentiel d’erreurs administratives, de vol ou de fraude) de l’Agence.

9.1.4 Formation

La méthode de formation privilégiée par l’équipe nationale de PDV est de dispenser la formation essentielle aux gens désignés comme administrateurs de système dans les UG qui sont par la suite responsables de former les usagers. C’est la méthode qui fût préconisée lors de la conduite des projets pilotes ainsi que lors de l’implantation du système à travers l’Agence. À ce moment, des administrateurs de systèmes ont été formés pour tous les sites équipés de terminaux PDV. Ces séances de formation sont toujours disponibles soit par Web-Ex ou en personne. Une séance formation a aussi été développée afin de former les administrateurs de PDV sur les fonctionnalités de rapports. L’équipe nationale de PDV demeure également disponible pour offrir de la formation personnalisée pour les UG qui en font la demande.

Cette méthodologie est considérée adéquate étant donné que l’éducation sur PDV s’inscrit naturellement dans les formations générales offertes aux préposés. Il a cependant été noté que les éléments contenus dans la formation varient d’une UG à l’autre puisque les documents de formation élaborés par les UG ne sont pas tous basés sur les mêmes documents de référence. Par conséquent, tous les éléments essentiels d’une utilisation adéquate du système n’y sont pas nécessairement expliqués. Puisque les employés ne sont pas tous formés à porter attention à certains détails considérés comme importants, l’intégrité des données pourrait en être affectée.

Un document de formation sur la gestion des recettes ainsi que sur la réconciliation des revenus est disponible sur la page intranet de la Direction générale du dirigeant principal des finances. Le document détaille de manière narrative les étapes à suivre pour effectuer la réconciliation et contient également des captures d’écran qui complètent l’information. Cependant, les procédures d’audit ont révélé que seuls deux (2) des commis aux revenus interviewés (15) connaissaient ce document. La méconnaissance des documents nationaux de formation fait en sorte que les parcs/sites doivent créer leur propre matériel de formation, ce qui cause une inconstance dans l’information qui est fournie aux employés. L’efficience du processus est également affectée, les commis aux revenus implantant parfois des contrôles superflus ou n'utilisant pas les fonctions automatiques (ex : « auto-clearing ») à bon escient. Il en résulte des délais dans la réconciliation des revenus et une non-conformité aux exigences du CT en la matière. L'information financière relative aux revenus mise à la disposition de la direction de l'Agence est sous-estimée et n'est donc pas fiable pour des fins de prise de décision au moment où il serait opportun.

9.1.5 Soutien technique

Le soutien technique offert aux administrateurs et aux usagers du système est principalement pourvu par des ressources internes de l’Agence travaillant dans l’équipe nationale de PDV. Le soutien technique est accessible 7 jours semaine, 18 heures sur 24.

Les UG qui doivent obtenir du soutien technique en dehors des heures de disponibilité de l’équipe nationale de PDV et de la tierce partie doivent contacter la première ligne de soutien technique des technologies de l’information localisée au bureau national qui est en mesure de résoudre les problèmes mineurs ou de référer à une autorité compétente (PDV ou tierce parti) dès qu’elle sera disponible.

Étant donné que PDV comporte certaines composantes d’un niveau de complexité considérable du point de vue technique, l’APC a signé une entente contractuelle avec un tiers (via lequel l’Agence se procure aussi les licences d’utilisation du système) pour un certain nombre d’heures de service client. Les administrateurs et usagers peuvent donc contacter directement la tierce partie afin d’obtenir des réponses à leurs questions ou problèmes.

Les entrevues ont révélé que 94 % des personnes interviewées au sujet de la qualité et du caractère opportun des réponses aux demandes de soutien technique était soit très satisfaites ou satisfaites. Cette information est corroborée par des simulations effectuées lors des visites de sites et qui ont permis de déterminer que le temps de réponse maximal était de 45 minutes alors que le standard de service est de 60 minutes[7].

L’équipe nationale de PDV a documenté les méthodes de résolution de problèmes récurrents ou fréquents sur sa page Intranet où toute l’information se trouve pour permettre aux UG de régler les problèmes techniques de leur propre chef en cas de besoin.

Une analyse du nombre de références techniques faites auprès de la tierce partie a été effectuée afin de déterminer l’efficience de l’utilisation de cette ressource. Les résultats ont démontré que l’APC n’utilise qu’une partie des heures/personnes qui avaient été incluses au contrat. Comme la tierce partie est rémunérée à l’heure, la valeur ajoutée tirée par l’Agence de cette relation contractuelle est raisonnable.

9.1.6 Fonction de rapports

L’utilitaire de rapports de PDV permet de tirer une panoplie de rapports sur différent type d’information. Alors que les UG utilisent principalement des rapports de ventes et de fréquentation (à des fréquences variables), le groupe de sciences sociales du bureau national utilise également ces données pour produire des rapports pour la haute direction de l’Agence ainsi que des analyses de marchés pour les UG.

Il a cependant été noté que les capacités de rapports du système sont méconnues des administrateurs malgré les séances d’information à ce sujet rendues disponibles par l’équipe nationale PDV. Les administrateurs de système des UG ne peuvent donc en tirer pleinement profit. Par exemple, l’accès à l’information au sujet de certaines transactions considérées risquées (annulations, réimpression de reçus, ouverture de tiroir-caisse sans vente) n’est pas rapidement disponible ou requiert des manipulations exhaustives dans le système. Les administrateurs/superviseurs n’ont donc pas un accès facile et rapide à de l’information importante dans la détermination des besoins en formation et la gestion de la performance (ex: écarts de caisse au niveau de l’usager, collecte d’informations sur les visiteurs). De plus, le nombre de licences « Gestionnaire HQ » étant limité, les administrateurs n’en détenant pas doivent attendre d’être physiquement à un site en particulier pour tirer des rapports au sujet du magasin concerné. Le PDV comporte une composante nommée « DB mail » qui permet de faire parvenir des rapports prédéfinis à une fréquence préprogrammée aux personnes ayant un intérêt dans la gestion des magasins PDV. L’audit interne émet la recommandation #4 afin de répondre à cette observation[8].

Le système comporte également un journal d’audit permettant de suivre toutes les manipulations effectuées dans le système par les usagers. Cet outil de contrôle, mis à disposition par la tierce partie sous contrat avec l’Agence, n’est pas connu des intervenants clés dans l’administration et l’utilisation de PDV.

Les données tirées du système PDV servent à élaborer des rapports de revenus et de renseignements sur la gestion au niveau organisationnel qui sont présentés au CEG de façon régulière. Les procédures d’audit ont déterminé que les données qui ont été entrées au préalable dans PDV sont rapportées fidèlement via l’utilitaire de rapport. Tel qu’indiqué dans les documents de présentation de ces rapports au CEG, les données rapportées contiennent cependant des limites importantes quant à leur représentativité des activités qui ont cours à l’Agence dans son ensemble. Ainsi, les revenus et renseignements de gestion recueillis via le SRC, les dispositifs de ventes de laissez-passer automatisés, les entrées générées par les groupes commerciaux[9], les ventes enregistrées par des terminaux PDV hors ligne[10] ainsi que toutes les ventes perçues via des processus manuels ne sont pas représentés dans ces rapports. Selon les estimations de l’audit interne, le manque d’intégration des différents systèmes, la disponibilité en temps opportun de certaines données ainsi que la faible fréquence de connexion de terminaux PDV hors ligne ont eu pour effet de sous-estimer les données rapportées au CEG d'environ 574 000 entrées correspondant à des revenus d'environ 6,5M $ au courant de l'exercice fiscal 2014/15[11]. Les responsables de la mise en œuvre de la recommandation #4 du présent rapport devraient prendre ces éléments en considération dans le développement de leur plan d'action afin d'éventuellement pouvoir présenter l'information la plus exacte et à jour possible au CEG.

Conclusion

L’imputabilité pour le système PDV a été formellement assignée au VP REEV et cette information a été communiquée à l’échelle de l’Agence. Les rôles et responsabilités entourant l’administration et l’utilisation du système PDV sont bien définis et appliqués malgré qu’ils ne soient pas complètement documentés. Les documents de référence régissant la gestion et l’utilisation du système comme tel existent et sont relativement complets mais nécessitent une communication accrue, notamment en ce qui concerne le Guide de l’utilisateur du logiciel RMS pour la collecte des renseignements sur les visiteurs de Parcs Canada. Pour ce qui est des documents encadrant les processus connexes, notamment la gestion de la trésorerie et la réconciliation des revenus, ceux-ci doivent être revus et obtenir l’approbation du CEG avant d’être communiqués activement à l’échelle de l’Agence. La formation dispensée aux utilisateurs du système est adéquate quoiqu’elle puisse bénéficier d’une certaine standardisation. La structure en place pour offrir le support aux administrateurs et aux usagers est adéquate et permet un temps de résolution des problèmes à l’intérieur des attentes des UG. Certaines améliorations sont requises sur le plan de la fonction de rapports, notamment l’intégration des autres sources de données dans les rapports à la haute gestion ainsi que l’automatisation de la préparation et de l’envoi de rapports contenant de l’information clé aux gestionnaires/superviseurs.

Recommandations

  1. Le dirigeant principal des finances devrait mettre à jour les documents de références encadrant la gestion des recettes et les transactions financières dans le PDV, les faire approuver par l’autorité déléguée appropriée et les communiquer aux UG. La Directive et les normes devraient détailler comment la conformité sera surveillée et le mécanisme pour appliquer des mesures correctrices lorsque des situations de non-conformité seront observées.

    Réponse de la gestion

    D’accord : La direction générale du dirigeant principal des finances accepte de revoir, mettre à jour et communiquer les documents ici-bas au cours de l’année fiscale 2016-2017.

    1. Directive sur le contrôle des revenus et des droits d’entrée
    2. Norme sur la gestion des recettes et de la trésorerie
    3. Directive sur les comptes débiteurs

    Le document révisé précisera notamment :

    1. comment le monitoring sera effectué pour assurer la conformité des pratiques et;
    2. les actions correctives apportées en cas de non-conformité.

    La direction générale du dirigeant principal des finances obtiendra l’approbation des autorités déléguées pour ces documents.

  2. Le VP REEV devrait élaborer et communiquer aux UG un document identifiant sommairement les éléments concernant PDV essentiels à la formation offerte aux caissiers par les UG.

    Réponse de la gestion

    D’accord : Le VP des REEV établira une liste de vérification de la formation concernant les éléments de PDV et remettra le document aux unités de gestion d’ici le 31 mai 2016, afin que tous les nouveaux caissiers et les caissiers qui réintègrent leur poste reçoivent une formation adéquate sur l’utilisation du système national de PDV avant le début de chaque saison d’exploitation.

  3. Le Vice-Président (VP) REEV devrait identifier les informations clés d’intérêt pour les différentes parties intéressées et faciliter l’accès à l’information stockée dans le système PDV en automatisant la fonction de rapports de PDV.

    Réponse de la gestion

    D’accord     : Le vice-président des REEV étudiera la possibilité de mettre les rapports de PDV à la disposition des employés de Parcs Canada concernés en automatisant la production de rapports.

    À court terme, les rapports normalisés seront rédigés par l’équipe nationale du système de PDV et régulièrement mis à la disposition des gestionnaires de l’Expérience du visiteur au cours de la saison d’exploitation 2016.

    L’équipe du système de PDV évaluera la faisabilité technique et la convivialité des rapports automatisés d’ici le 31 mars 2017.

  4. Le VP REEV devrait envisager de maximiser l’intégration des données de différentes sources incluant mais ne se limitant pas à PDV, le SRC, les ventes commerciales, les machines automatisées de vente de laissez-passer et les terminaux PDV autonomes dans une source de données unique qui permettrait la production de rapports plus complets.

    Réponse de la gestion

    D’accord     : Le VP des REEV, en consultation avec le dirigeant principal de l’information (DPI), se penchera sur les coûts et les échéanciers liés à l’intégration des données du système de PDV et du SRC d’ici le 30 septembre 2016.

    Le VP REEV veillera également à ce que les données de tous les PDV soient intégrées aux nouveaux systèmes (p. ex. postes d’entrée automatisés, système de paiement et d’affichage automatisé) au fur et à mesure que ceux-ci sont mis en œuvre aux installations de Parcs Canada partout au pays.

9.2 L'infrastructure de technologie de l'information qui soutient le système est adéquate pour assurer la collecte de données fiables

Bleu Améliorations mineures requises Bon nombre de contrôles fonctionnent comme prévu. Cependant, certaines modifications mineures s’imposent pour améliorer l’efficience et l’efficacité de l’environnement de contrôle.

9.2.1 Gestion des comptes d’utilisateurs

Une gestion adéquate des comptes d’utilisateurs, des mots de passe ainsi que des permissions et privilèges qui sont accordés aux usagers est un élément essentiel d’un cadre de contrôle efficace pour tout système. Comme le PDV sert à percevoir des revenus, ce type de contrôle était attendu afin de minimiser les opportunités de transactions frauduleuses.

L’Agence ne s’est pas dotée d’une politique de sécurité relative au système PDV malgré la recommandation reçue en 2011 dans le cadre de l’analyse de risques et menaces effectuée par la tierce partie sous contrat avec l’APC. Les procédures d’audit ont démontré un niveau minimal de contrôle dans la gestion des comptes d’usagers.

La majorité des utilisateurs individuels (95 %) détenait un compte d'utilisateur unique associé à leur nom. Les exceptions ont été observées dans certains sites qui indiquent aux employés de partager des comptes d'utilisateurs généraux. Ces installations instaurent ces pratiques principalement parce qu'ils ne disposent pas de suffisamment de terminaux PDV pour le nombre d'employés présents à la fois (principalement dans certains centres d'accueil des visiteurs et lieux historiques). Par conséquent, tous utilisent le même code d'utilisateur afin d'éviter d'avoir à sortir et rentrer au système à chaque transaction. Cette pratique rend quasi impossible l'identification des besoins en formation, l'attribution des écarts de caisse ou de transactions douteuses au responsable ou encore la gestion de la performance.

L'absence de directives claires quant à la fréquence de la modification des mots de passe se reflète dans l'environnement de contrôle puisque seulement 35,8 % (15/39) des personnes interrogées ont indiqué avoir modifié le mot de passe qui leur avait initialement été attribué. Les 15 administrateurs de système/superviseurs interrogés ont déclaré qu'aucune directive n'est donnée aux employés concernant les caractéristiques de sécurité (majuscules vs minuscules, chiffres vs lettres, nombre minimal de caractères, caractères spéciaux etc.) que leur mot de passe devrait comporter. Ainsi, un des préposés interviewés (1/27 soit 3,8 %) a indiqué avoir complexifié son mot de passe en y incluant des caractéristiques de sécurité. Quarante-et-un pourcent des caissiers interrogés ont indiqué (et ont pu démontrer à l'écran) qu'ils connaissaient la procédure pour manuellement modifier leur mot de passe alors que 58,6 % n'ont pu le faire malgré le fait que la procédure soit détaillée dans le module d'aide de PDV.

Le système comporte un contrôle qui permet de geler un compte d’usager suite à un certain nombre de tentatives d’accès infructueuses mais ce contrôle est désactivé. Seul un avis est affiché au moment de la connexion fructueuse suivante indiquant le nombre de tentatives infructueuses.

Concernant la gestion des comptes inactifs, les attentes et procédures ne sont pas clairement définies. La pratique était d’effacer les comptes d’utilisateurs qui n’étaient plus requis (ex : parce que l’employé avait quitté l’Agence) et de les réattribuer aux nouveaux employés. Les procédures d’audit ont permis de déterminer que cette pratique ne devrait pas avoir cours puisque lorsqu’un compte d’utilisateur est effacé, toutes les données historiques transactionnelles associées au nom du caissier concerné le sont également. Il serait donc très complexe de retracer qui aurait traité une transaction spécifique, ce qui limite les possibilités de recouvrement en cas de fraude. Au moment de rédiger ce rapport, l’équipe nationale de PDV travaillait à revoir les manuels d’utilisateurs et à y inclure la procédure appropriée de gestion des comptes non requis. Cet élément d’information a également été inclus dans les formations données aux administrateurs de système.

Neuf des quatorze administrateurs de système interviewés (63,4 %) ont indiqué effectuer de la surveillance sur les comptes qui ne sont plus requis mais aucun d'entre eux n'utilise la méthode qui protège l'intégrité des données transactionnelles historiques. Des 681 comptes d'utilisateurs analysés, 51,5 % étaient assignés à des employés qui ne se trouvaient pas dans la base de données PeopleSoft en date du 10 décembre 2014. De ces 351 comptes d'utilisateurs, seulement 15,3 % avaient été rendus inactifs dans le système de façon appropriée, ce qui signifie que 294 comptes étaient toujours actifs au nom d'employés qui n'étaient plus au service de l'Agence à ce moment.

L'analyse des permissions et privilèges accordés à 700 comptes d'utilisateurs a permis de démontrer que 52,9 % d'entre eux étaient considérés comme étant cohérentes avec les tâches que ces personnes effectuent au quotidien[12] ainsi qu'avec les permissions et privilèges compris dans les gabarits proposés pour les différents niveaux d'utilisateurs du système. Dans quatre (4) des sept (7) UG visitées, bien que les gabarits appropriés aient été utilisés pour créer les comptes d'utilisateurs, les droits d'administrateurs et de gestionnaires ont été accordés à des employés qui ne nécessitent pas de tels accès pour effectuer leurs tâches quotidiennes.

Dans le même ordre d’idées, une UG accorde systématiquement un accès à consulter le rapport « X » en fin de journée aux préposés[13]. Ce rapport permet au caissier de déterminer le montant qu’il doit déposer avant d’effectuer le décompte de la caisse. Ce privilège accordé aux caissiers rend possible le contournement du contrôle que constitue la fermeture de caisse à l’aveugle et augmente les risques de vol. Cette pratique a été rapportée à l’UG concernée en septembre mais au moment d’écrire le rapport en décembre, aucune action n’avait été prise pour corriger la situation. Il est cependant important de noter que l’audit interne considère le processus de fermeture de caisse à l’aveugle est comme étanche et adéquat lorsqu’appliqué dans des circonstances normales (où le caissier entre le décompte des liquidités perçues pour la journée et accède ensuite à son rapport de caisse).

9.2.2 Continuité des opérations, protection des biens et expérience du visiteur

Le système PDV est utilisé quotidiennement et massivement par les employés de l’Agence. Les répercussions d’un mal fonctionnement de ce système peuvent être considérables sur la perception de revenus et de données, l’accessibilité aux sites, la sécurité des visiteurs, l’expérience des visiteurs ainsi que sur le déroulement des opérations. Il était donc attendu que des contrôles soient en place pour minimiser les interruptions de service et favoriser la fiabilité du système. Il était aussi attendu que des mesures compensatoires soient en place pour atténuer les impacts en cas d’interruption de service.

Les entrevues ont révélé que 55 des 62 employés sondés à ce sujet (soit 88,7 %) perçoivent le système comme étant très fiable et qu'ils ne rencontrent jamais ou très rarement des interruptions de service. Les principaux facteurs pouvant causer des interruptions de service dans l'utilisation de PDV sont principalement liés à la connectivité, les pannes de courant ou encore à la défectuosité du disque dur d'un terminal. Ces facteurs ne sont pas inhérents à PDV et peuvent affecter de la même façon tout autre système de vente (SRC et/ou autres).

La configuration du système fait en sorte que le fonctionnement des 4 serveurs n’est pas vital à la conduite quotidienne des opérations puisque les terminaux peuvent opérer en mode hors ligne. Dans ces situations, les données sont sauvegardées sur le disque dur de l’appareil jusqu’à ce que qu’elles soient transférées au serveur approprié via une connexion réseau. Cette configuration permet une utilisation continue du PDV malgré l’éloignement et le manque d’accès à une connexion réseau dans certains sites.

La fluctuation du courant électrique dans certains sites faisait en sorte d’altérer le fonctionnement des terminaux. L’équipe nationale PDV a procédé à l’achat de dispositifs « UPS » qui servent à la fois de stabilisateur de courant et de batterie de secours en cas de panne. Ces dispositifs allouent suffisamment d’autonomie aux machines pour opérer jusqu’à ce que le courant soit rétabli (pour la majorité des pannes).

Les utilisateurs du système ont été interviewés afin de déterminer quels sont les impacts réels des interruptions de service du système. Bien que la majorité d'entre eux indique que des situations où le système est inutilisable sont très rares, 89 % des répondants (34/38) ont indiqué qu'ils ne croyaient pas qu'une panne de PDV temporaire causerait un impact significatif sur l'expérience des visiteurs (temps d'attente accrus aux caisses, désagrément lié au fait qu'ils soient redirigés vers un autre point de perception). Concernant la collecte de données de fréquentation et d'information sur les visiteurs, quatre (4) des 38 personnes ont indiqué qu'elles croyaient que des interruptions de services auraient un impact significatif sur la perception de ces données puisqu'ils cesseraient de les recueillir. Autrement, les données seraient recueillies sur papier et seraient entrées ultérieurement dans le système. Aucune des personnes interviewées n'a indiqué qu'elles croyaient qu'il y aurait un impact sur la perception des revenus en cas de panne puisque des méthodes de collecte alternatives de revenus associés aux droits d'entrée existent (utilisation du SRC, laissez-passer manuels, etc.). Les procédures d'audit n'ayant pas permis de recueillir d'éléments probants démontrant que des plans en cas de non-fonctionnement du système soient documentés, l'audit interne considère que la documentation de plan d'urgence en cas de panne du système constituerait une méthode efficace pour communiquer les attentes et guider les préposés.

Du point de vue de la sauvegarde des données, celles-ci sont transférées du serveur « gestionnaire HQ » à un serveur SQL pour diminuer les risques que la base de données opérationnelle du système soit corrompue. Des copies de sauvegarde du « gestionnaire HQ » sont faites sur un lecteur partagé créé spécifiquement pour ces fins. Les données de PDV sont sauvegardées sur des serveurs dissimulés derrière un pare-feu administré par Services Partagés Canada (SPC), ce qui réduit considérablement le risque d’intrusion et de pertes de données définitives. Des copies de sauvegarde de la base de données complètes sont effectuées une fois semaine au centre de données de l’Agence alors que les variances quotidiennes y sont sauvegardées chaque jour. Une communication entre SPC et les gens de Parcs Canada a lieu sur une base quotidienne et des rapports d’exceptions sont remis à l’APC dans les cas où les données ne seraient pas copiées correctement. Les données qui demeurent à risque sont les données non téléchargées sur le serveur national à une date donnée[14]. Le risque de perte de données représentait 2 165 188 $ en termes de revenus et de 101 313 entrées dans les parcs et sites pour la période couverte par la portée de cet audit.

Un plan de gestion du cycle de vie des machines a été élaboré afin d’atténuer les risques de pertes de données et de bris de service que pourrait causer le vieillissement de la flotte de terminaux.

9.2.3 Optimisation de l’implantation et de l’utilisation de PDV

Il était attendu que les sites sélectionnés pour opérer les terminaux PDV soient choisis suite à une analyse basée sur des faits visant à maximiser le retour sur l’investissement tout en permettant d’offrir une expérience la plus uniforme possible aux visiteurs à travers l’Agence. On s’attendait aussi à ce que les sites ne bénéficiant pas de connexion Web acceptable mais qui génèrent un certain niveau de revenus soient équipés de terminaux de type autonomes. Il était aussi attendu que toutes les options du système pouvant apporter de la valeur aux opérations de l’Agence soient activées et que le personnel soit adéquatement formé pour permettre à l’organisation d’en tirer profit. Finalement, on s’attendait à ce que des terminaux mobiles adaptés aux besoins des UG soient disponibles pour répondre à ce besoin potentiel et qu’il représente une option fiable et efficace pour la perception de revenus et de renseignements de gestion.

Le CD de PDV a pu fournir des éléments probants démontrant que des analyses avaient été faites pour élaborer la stratégie de répartition des terminaux à travers l’Agence.

Les procédures d’audit ont permis de déterminer que tous les sites qui rencontraient ces critères d’attribution, et où une connexion acceptable était disponible, étaient raccordés au réseau de l’APC. De plus, l’implantation du système est également maximisée dans les sites qui ne peuvent être raccordés au réseau via l’installation de machines autonomes[15].

La majorité des fonctions pertinentes aux opérations de Parcs Canada sont présentement disponibles dans le système. Bien que le déploiement de ces fonctions de PDV soit effectué, ce ne sont pas toutes les UG qui utilisent chacune d’elles, souvent par manque de connaissance au sujet de leur existence. Des trois fonctions identifiées par le groupe d’audit interne comme celles pouvant permettre les gains d’efficience les plus importants[16], aucune n’est utilisée par plus de la moitié des préposés interrogés. Il n’y a aucune obligation pour les UG d’utiliser ces fonctions. Par contre, celles qui ne le font pas continuent de maintenir des registres manuels (comptes à recevoir[17], inventaire de marchandises ou de laissez-passer annuels/saisonniers), ce qui constitue une perte d’efficience. De plus, ces registres sont considérés comme moins efficaces que les contrôles automatisés dans la prévention de la fraude et du vol.

Toutes les personnes qui ont été interviewées (13) au sujet des dispositifs mobiles de perception de revenus ont indiqué que ces dispositifs constituaient une option viable pour répondre à des besoins particuliers, notamment pour les programmes de conformité et les guérites mobiles. L’équipe d’audit a cependant noté qu’il y avait une méconnaissance de cette solution sur le terrain et que ces dispositifs pourraient être bénéfiques pour les opérations de certains sites. Des activités de sensibilisation pourraient mieux faire connaître ces dispositifs et permettre à certaines UG d’améliorer l’efficacité de leurs opérations.

Conclusion

Les comptes d’utilisateurs, mots de passe, permissions et privilèges ne sont pas administrés de manière à optimiser l’intégrité des données et de revenus qui sont perçus via le système PDV. Les contrôles en place permettent d’assurer la sauvegarde des données recueillies au moyen de PDV, que les interruptions de service soient minimisées et que les impacts découlant de celles-ci soient les moindres possibles. Bien que la majorité des fonctions requises dans PDV soit déployées, plusieurs UG continuent d’utiliser des processus manuels au lieu de se servir du système.

Recommandations

  1. Le VP REEV devrait élaborer une stratégie de sécurité touchant notamment l’administration des comptes d’utilisateurs, la gestion des mots de passe et l’assignation des permissions et privilèges d’accès au système PDV et la communiquer aux UG.

    Réponse de la gestion

    D’accord : Le VP REEV, en consultation avec le DPI, établira, communiquera et mettra en œuvre une stratégie en matière de sécurité pour l’administration des comptes d’utilisateurs, les mots de passe et les permissions et privilèges d’accès au système d’ici le 30 juin 2016.

  2. Le VP REEV devrait développer et communiquer aux UG des directives sur l’utilisation des fonctions de support aux opérations disponibles dans le système PDV (incluant mais ne se limitant pas à : gestion des inventaires de marchandises officielle, de passes Découverte et saisonnières, utilisation des lecteurs optiques, etc.). Des analyses sur la conformité à ces directives devraient être menées et rapportées aux VP opérations au besoin afin que des mesures correctives soient prises lorsque requises.

    Réponse de la gestion

    Partiellement d’accord : Le VP REEV (équipe des PDV) organisera des téléconférences avec les unités de gestion avant la saison d’exploitation et communiquera régulièrement avec elles par la suite pour veiller à ce qu’elles soient mieux informées des différentes fonctions et caractéristiques du système de PDV à leur disposition afin de les aider à gérer leurs opérations.

    À court terme (d’ici le 30 juin 2016), l’équipe des PDV s’emploiera à améliorer le contenu de la page intranet du système de PDV (nouveaux manuels d’utilisation, etc.) et à offrir une formation continue sur le système de PDV pour fournir des renseignements à jour au personnel d’accueil et aux superviseurs sur les caractéristiques du système.

    Le VP REEV n’est pas d’accord avec la recommandation selon laquelle l’analyse de la conformité aux directives est essentielle, étant donné que l’utilisation de certaines fonctions et caractéristiques du système de PDV est facultative et relève de la discrétion de chaque unité de gestion de Parcs Canada.

9.3 Les données recueillies par le système PDV sont complètes

Orange Améliorations importantes requises Les contrôles en place sont faibles. Plusieurs problèmes majeurs ont été constatés qui pourraient nuire à l’atteinte des objectifs du programme ou des objectifs opérationnels. Des mesures de gestion immédiates s’imposent pour corriger les lacunes constatées en matière de contrôle.

9.4 Les données recueillies par le système de PDV sont exactes

Jaune Améliorations moyennes requises Certains contrôles sont en place et fonctionnent. Cependant, des problèmes importants, auxquels il faut remédier, ont été constatés. Ces problèmes risquent de compromettre l’atteinte des objectifs du programme ou des objectifs opérationnels.

9.5 Les données recueillies par le système de PDV sont disponibles en temps opportun

Bleu Améliorations mineures requises Un bon nombre de contrôles fonctionnent comme prévu. Cependant, certaines modifications mineures s’imposent pour améliorer l’efficience et l’efficacité de l’environnement de contrôle.

Afin de faciliter la lecture du présent rapport, les critères 9.3, 9.4 et 9.5 seront regroupés sous deux grandes catégories représentant les types de données concernées soit les données financières, les données de fréquentation et informations sur les visiteurs.

Contrôles reliés aux données financières

L’implantation du système PDV découle à l’origine du besoin de l’Agence d’instaurer une méthodologie commune de perception des revenus de droits d’entrées à travers ses activités. Le système vise donc à percevoir la totalité des droits d’entrée qui sont dus à l’APC et que l’information entrée au PDV suive son cours pour éventuellement être rapportée de façon exacte et en temps opportun. De façon plus précise, il était attendu que :

  • tous les revenus de droits d’entrée dus à l’agence soient perçus et que des mesures soient en place pour détecter les visiteurs qui négligent d’acquitter leurs droits d’entrée;
  • les fermetures de lots soient effectuées au minimum à la fin de chaque quart de travail;
  • que les dépôts de liquidités soient effectués à une fréquence conforme à ce qui est prévu au cadre politique et que la totalité des données financières soient transférées de PDV à STAR le plus fréquemment possible;
  • des mesures de contrôle des recettes soient en place pour protéger les liquidités sous la responsabilité de l’APC;
  • que les prix facturés aux visiteurs via le PDV soient conformes à la liste de prix autorisés à Parcs Canada dans la Gazette du Canada;
  • que les transactions pouvant constituer un risque pour l’exactitude des revenus de l’Agence (retours, rabais, annulations etc.) soient traitées de manière diligente;
  • que les montants déclarés comme revenus soient exacts;
  • que le cheminement des dépôts soit adéquatement reflété tout au long du processus de perception et de réconciliation des revenus (ex : les montants enregistrés au registre des dépôts sont exactement les mêmes qui ont été reçus dans STAR et éventuellement réconciliés);
  • que le processus de réconciliation de revenus soit complété de manière efficace dans les délais prescrits;
  • des rapports sur des données financières complètes et exactes puissent être produits en temps opportun.
Totalité des revenus perçus et conformité d’acquittement des droits d’entrée

La totalité des parcs nationaux visités a confirmé qu’il existe des moyens pour les visiteurs d’accéder aux installations de l’APC sans acquitter au préalable les droits d’entrée.

Tous les sites visités avaient mis en place des mécanismes (contrôles préventifs) tels que des avertissements, des notes ou pamphlets pour sensibiliser les visiteurs à l’importance d’acquitter les droits d’entrée. Les sites ont indiqué utiliser des approches réactives tels que l’émission d’avis de non-conformité renforçant l’importance d’obtenir un droit d’accès et indiquant les renseignements sur les endroits où c’est possible de le faire[18] lorsque des cas de non-conformité sont observés/suspectés. Deux des UG visitées sont allées plus loin en mettant sur pied des programmes de guérites mobiles installées à des endroits stratégiques où les véhicules sont inspectés de manière systématique pour preuve de paiements. Lorsque que des cas de non-conformité sont observés, les membres de l’équipe de Parcs Canada sont en mesure de percevoir le paiement, d’émettre un certificat de droits d’entrée acquittés et d’enregistrer le revenu et les données immédiatement via l’utilisation de dispositifs PDV mobiles. Dans les deux cas, les personnes responsables du programme dans les UG ont indiqué que les revenus obtenus (environ 621 000 $ pour la période du 1 avril au 31 décembre 2015) lors des interventions ont dépassé les coûts des initiatives. Nous avons demandé de la documentation démontrant le gain en revenus par rapport aux coûts. La direction n'a pas été en mesure de fournir cette information.

La pertinence et la valeur ajoutée potentielle de mesures de contrôle additionnelles de récupération de revenus à d’autres sites faisant partie de l’échantillon dans le cadre de cet audit n’a pu être évalué de manière systématique.

Au niveau de l’Agence, il est clair que le montant des recettes non perçues pour certains sites est susceptible d'être minime, voire inexistant (ceux avec de très faibles niveaux de visite ou avec des points d'entrée contrôlés limités tel qu’il existe par exemple dans de nombreux parcs du Nord).

Il est également clair que les tentatives de capturer les revenus non perçus doivent tenir compte des coûts des contrôles supplémentaires par rapport au montant des recettes générées. Pas seulement une approche pour capturer les recettes non perçues est appropriée à chaque situation (c.-à-d les guérites mobiles ne sont pas une solution pour toutes les circonstances).

Nous avons également constaté que l’Agence ne dispose pas d’une stratégie globale coordonnée (ou de méthodologie claire) pour évaluer où et dans quelles circonstances des contrôles supplémentaires pourraient être mis en œuvre pour capturer les recettes non perçues.

Facturation des comptes corporatifs

Les sites de l’est[19] du Canada utilisent le mode de paiement « compte à recevoir » de PDV pour enregistrer des ventes pour lesquelles le paiement n’est pas perçu sur le champ. Cette méthode a pour avantage de reconnaitre les entrées en temps opportun au système, contrairement aux systèmes de paiement à l’avance ou encore aux méthodes de facturation manuelle ou par auto-déclaration (entrées enregistrées le jour où le paiement est traité). Par contre, peu importe le mécanisme utilisé pour enregistrer la vente, l’enregistrement du compte à recevoir dans STAR doit être effectué manuellement. Les pratiques d’enregistrement de compte à recevoir au système STAR ne permettent de faire aucun lien avec les transactions PDV concernées. Par conséquent, l’équipe d’audit a dû conclure que la documentation de support aux comptes à recevoir n’est pas adéquate à des fins de vérification et que les processus manuels présentement en place pour la facturation et la perception de comptes à recevoir ne permettent pas de garantir que la totalité des revenus dus à l’Agence sont facturés. Les contrôles clés que devrait comprendre le processus pour assurer un succès minimal de la fonction de comptes à recevoir comportent notamment l'établissement et la communication d'un processus clair et commun d'enregistrement des comptes à recevoir (devrait être considéré dans le cadre de la recommandation #1 de ce rapport), l'harmonisation des listes de clients (PDV et STAR), la centralisation du contrôle des modifications aux comptes clients PDV, l'implantation de la facturation centralisée dans STAR ainsi que le champ « numéro de client » obligatoire[20].

Contrôles manuels de gestion de la trésorerie

L’audit comportait un critère visant à vérifier le caractère adéquat des pratiques de gestion de la trésorerie en place pour assurer la sauvegarde des recettes perçues via PDV. Pour des fins de sécurité, les conclusions tirées des procédures d’audit menées dans le cadre de ce critère seront communiquées à la gestion via une lettre à la gestion.

Il n’y a présentement pas de norme quant au maintien de registre de dépôts et à l’information qui doit y être consignée. Par conséquent, la majorité des installations visitées maintiennent des registres ne contenant pas suffisamment d’information pour permettre la réconciliation des dépôts ou ne gardent simplement aucun de ces registres. De plus, le processus de dépôt ou de réconciliation en place dans quelques installations n’aurait pas permis à l’équipe d’audit de tracer les lots de PDV aux dépôts dans STAR, notamment à cause du fait que certains dépôts bancaires regroupent les lots de plusieurs quarts de travail ou terminaux.

Des enjeux au sujet de la séparation des tches ont été constatés dans trois (3) des UG visitées. Les trois sites avaient des systèmes où les responsables de la réconciliation des revenus au STAR avaient également accès aux liquidités dans le cadre de leurs fonctions. Chacune d’entre elles ont démontré un plan de résolution lors des conversations qui ont suivi les visites de sites.

Les enjeux sur le plan des contrôles internes manuels et de la disponibilité de l’information fiable sur les dépôts découlent de l’absence de directive nationale adéquatement communiquée sur ces aspects ainsi que d’une absence de suivi sur ces contrôles. Cette situation crée des opportunités d’erreurs, de fraude et d’omission qui pourraient mener à des pertes pour l’Agence. Cette situation fait l’objet de la recommandation #1 du présent rapport.

Contrôles financiers automatisés

Les principaux contrôles automatisés présents dans le système sont la limite de montant par transaction, la limite sur le montant pouvant être remboursé ainsi que la limite sur les écarts de caisse. Suite à un rapport de mise à jour de l’audit présenté au comité directeur du PDV en février 2015, l’équipe nationale PDV a tenté de fixer la limite sur les écarts de caisse de façon uniforme sur l’ensemble des sites gérés par l’Agence[21]. Elle n’a cependant pu y arriver pour tous les comptes dus à certains problèmes techniques qui sont survenus. La Directive sur la fonction de contrôle des recettes des frais d’utilisation ne détaille pas les limites acceptables pour les autres paramètres[22]. Les procédures d’audit ont révélé que certains de ces contrôles avaient été testés durant la phase d’implantation du système et qu’ils avaient été abandonnés en raison des contraintes opérationnelles qu’ils pouvaient causer. L’audit interne considère que l’implantation de ces contrôles préventifs sur certaines transactions reconnues comme comportant un potentiel de fraude serait l’idéal. Étant donné les impacts que pourrait avoir l’implantation de contrôles en amont sur les opérations, l’audit interne recommande, qu’un mécanisme de surveillance sur ces paramètres soit développé, qui serait inclus dans les procédures de rapports centralisées (recommandation #3 du présent rapport) et communiqué par l’équipe nationale PDV. Les suivis et l’application des mesures correctives devraient être appliqués par les UG.

Les procédures d’audit ont également permis de déterminer qu’il n’y a pas de contrôle sur le nombre maximal pouvant être entré dans certains champs, notamment celui de la quantité et de la valeur en dollar de la transaction[23]. Ainsi, une des causes principales des écarts de caisse est le fait que le caissier a entré la mauvaise quantité dans le champ prévu à cet effet mais a perçu le bon montant du visiteur (ayant mémorisé les prix). Ce genre de situation a pour conséquence que le visiteur reçoit une passe dont la date d’expiration ne correspond pas à ce pour quoi il a payé. De plus, le caissier devra passer du temps à essayer de comprendre l’écart de caisse qu’il a créé en commettant cette erreur. Bien qu’un contrôle sur la validité des champs de quantité et de total transactionnel puisse potentiellement allonger la durée des transactions comportant des erreurs, il permettrait de gagner en efficience sur la réconciliation des écarts de caisse en fin de journée. Un contrôle similaire à celui existant pour limiter le nombre de visiteurs associés à une transaction devrait être mis en place pour éviter des écarts de caisses découlant de ce type d’erreurs administratives.

Les caractéristiques de certains types de reçus pourraient constituer des risques d’erreurs administratives, de fraude ou de vol. Ces caractéristiques ont été communiquées au CD du PDV en février 2015 et ce dernier a convenu de prendre les actions requises pour corriger les situations de reçus problématiques. L’équipe d’audit interne a pu valider que l’implantation de ces changements a été amorcée mais n’était pas complétée au moment de la rédaction du présent rapport.

Contrairement à la croyance qui était répandue que les annulations de transactions ne pouvaient être effectuées qu’au cours de la journée courante (71,4 %), il a été démontré que les transactions des journées antérieures pouvaient également être annulées. Advenant que ce type de transaction soit effectué dans PDV, les données de ventes des jours précédents auraient pu être modifiées et le processus de réconciliation en aurait été d’autant plus compliqué. Cette observation a été rapportée au comité directeur du système qui a amorcé les changements afin de prévenir que ceci arrive. Les changements n’étaient pas complètement implantés au moment de rédiger le rapport.

Documentation de support aux transactions risquées

En ce qui a trait à la conformité sur la documentation liée aux transactions risquées[24], il était attendu, tel qu’indiqué dans la Directive sur la fonction de contrôle des recettes des frais d’utilisation que des pièces justificatives (reçus) soient incluses dans les enveloppes contenant les documents relatifs à la fermeture de lot. Nous nous attendions également à ce que les reçus de remboursements soient signés par les visiteurs[25] et par l’employé ayant traité la transaction. De plus, les fonds devaient avoir été remboursés aux visiteurs en utilisant le même mode de paiement que la transaction initiale et la copie du reçu original aurait dû y être jointe. Les remises/rabais, pour leur part, auraient dû être accompagnés de pièces justificatives (coupon, rabais, offre promotionnelle etc.). Voici les constatations que nous avons faites à cet effet :

  • 75,1 % (245/321) des reçus étaient disponibles dans les dossiers pour revue;
  • 42,4 % (104/245) comportaient les deux signatures requises (visiteur et employé);
  • 57,6 % (141/245) n’étaient pas conformes pour une ou l’autre des signatures requises;
    • 45,4 % (64/141) ne comportaient seulement la signature de l’employé mais aucune signature d’un tiers (visiteur, superviseur, ou collègue);
    • 7,8 % (11/141) ne comportaient que la signature d’un tiers (pas la signature de l’employé);
    • 46,8 % (66/141) ne comportaient aucune signature;
  • 83,9 % des remboursements ont été effectués en utilisant le mode de paiement original;
  • 33 % (185) des transactions revues comportant des rabais, remises ou autres réductions étaient supportées par une pièce justificative.

Les visites de sites ont par ailleurs permis de conclure que très peu de suivis sur les transactions risquées sont effectués au niveau des UG[26].

Codes de matériel, items admissibles et fixation des prix

Le processus de création/modification aux codes de matériel dans le système présentement en place assure l’intégrité du codage au système financier et l’harmonisation du codage entre STAR et PDV.

Le groupe d’audit interne a analysé les listes de prix tirées de PDV et les a comparées avec les prix approuvés par le parlement du Canada[27]. Dans la grande majorité des cas, les prix programmés au système sont conformes avec les prix approuvés. Les principales exceptions s’expliquent par le fait que certains sites n’ont simplement pas programmé de prix pour les articles qu’ils ne vendent pas. Les autres exceptions ont été rapportées aux UG afin que les correctifs appropriés soient apportés.

Par ailleurs, le fait que tout item vendu doit être catégorisé dans un code de matériel avant de pouvoir être facturé et que la gestion des codes de matériel soit centralisée au bureau national fait en sorte qu’il est pratiquement impossible que des items non-inscrits à la Gazette du Canada soient vendus via le système PDV. L’utilisation de codes de matériel existants et approuvés pour vendre des produits différents serait toutefois possible mais la portée et les procédures de vérification comprises dans cet audit n’auraient pas permis de l’identifier.

Chargements des données de ventes dans STAR et processus de réconciliation de revenus

Les pratiques de réconciliation des dépôts dans le système financier présentement en place à l’Agence ne permettent pas que l’organisation se conforme avec la Directive sur les rentrées, dépôts et enregistrements des fonds (section 6.1.6) voulant que toute entrée de fonds soit réconciliée le jour suivant la réception des fichiers transmis par le Système de services bancaires[28].

Les analyses des fermetures de lots ont pu démontrer que 12 magasins ne ferment pas leurs lots sur une base quotidienne. Pour les sites concernés, les UG visitées ont indiqué qu’elles le faisaient sur une base moins fréquente puisque le montant des ventes ne justifiait pas toutes les étapes administratives que doivent compléter les préposés pour effectuer le dépôt. Bien que cette pratique ne soit pas conforme à ce qui est attendu dans la Directive sur la fonction de contrôle des recettes des frais d’utilisation, l’audit interne considère qu’une approche basée sur le risque sur cet aspect pourrait représenter des gains d’efficience dans le processus de réconciliation, à condition que les contrôles sur le plan de la sauvegarde des biens soient renforcés.

L’équipe nationale PDV a développé l’« Outil d’extraction de PDV » qui permet que les bons de commandes soient créés dans STAR automatiquement via le téléchargement d’un fichier tiré du système PDV. Par contre, la création manuelle de documents de facturation pour chaque bon de commande individuel représente le goulot d’étranglement dans le processus. Un projet pilote de réconciliation de revenus à distance ayant pour objectif de centraliser les activités de gestion des comptes à recevoir à Cornwall d'ici 2017-2018 est présentement en cours. La direction générale du Dirigeant principal des finances croit que la rationalisation des procédés générée par cette consolidation permettra à l'Agence d'être plus efficace et de rencontrer les exigences de la directive. D'ici à ce que cette transition soit complétée, la Direction générale des finances envisage d'inclure dans ses activités de surveillance[29] des vérifications périodiques du niveau de la conformité dans les activités de réconciliation des revenus afin de réduire le temps requis et de viser l'atteinte des paramètres inclus dans la directive. Des mesures de suivis concrètes comportant des preuves à l'appui devraient également être considérées. Dans le cas où la consolidation des activités de comptes à recevoir n'aura pas l'effet escompté, la direction générale du Dirigeant principal des finances devrait envisager de prendre les démarches requises pour implanter un processus de réconciliation groupé[30]. Pour le moment, les données financières sur les revenus provenant de STAR rapportées pour la prise de décisions sont sous-estimées (au moment de la rédaction de ce rapport, 5,9M $[31] de dollars n'avaient toujours pas été réconciliés)[32].

Les contrôles qui permettent d’assurer l’intégrité des données de ventes qui sont chargées de PDV vers STAR ont été également été testés. L’efficacité de ces contrôles a pu être démontrée puisque tous les bons de commande comportant des erreurs ont été rejetés et renvoyés au module de correction de STAR.

Les simulations n’ont révélé aucune irrégularité dans les données chargées. Par contre, l’analyse de la mise en forme de ces contrôles de validité a permis de déterminer que les fichiers tirés de PDV dans un format « .txt » peuvent être ouverts et modifiés par les gens qui y ont accès. Pour des fins de sécurité, la recommandation du groupe d’audit interne à ce sujet sera également adressée dans le cadre de la lettre à la gestion.

Selon les procédures conduites par l’audit interne, le niveau de conformité des fichiers de dépôts électroniques reçus via le système bancaire gouvernemental est très élevé. Cette portion du processus de gestion et réconciliation des dépôts est considérée comme étanche.

Aucun des responsables de réconciliation de revenus des UG visitées n'a indiqué utiliser la fonction d' « auto-clearing » disponible dans STAR, qui fait en sorte que les documents de facturation et les fichiers de dépôts se réconcilient automatiquement sans que des entrées manuelles ne soient requises. Le temps nécessaire à la réconciliation serait donc diminué. La méconnaissance de l'existence de cette fonction est le principal frein à son utilisation. L'audit interne considère qu'il s'agit d'une méthode simple et efficace pour réduire la durée du cycle de réconciliation et recommande son utilisation à grande échelle dans l'Agence.

Conclusion

Le cadre de contrôle en place ne permet pas de conclure que les données relatives aux revenus contenus dans le système PDV sont complètes. Alors que la plupart des contrôles automatisés sont jugés efficaces (fermeture de lot à l’aveugle, limite sur les écarts de caisses, transferts automatisés de données entre PDV et STAR), certains nécessitent quelques mises aux points (gestion des accès au système, accès à l’information sur les transactions risquées). Les principaux éléments qui pourraient compromettre le caractère complet et exact des revenus entrés au PDV sont des contrôles manuels de manipulation des liquidités, notamment le manque de documentation de support permettant de suivre les dépôts du début à la fin du processus. Les données extraites de l’utilitaire de PDV, qui sont disponibles en temps opportun reflètent fidèlement l’information qui y est entrée. Des opportunités d’utiliser le système afin d’enregistrer des données perçues via d’autres méthodes afin de produire des rapports plus complets sur les activités générales de l’Agence existent. Par ailleurs, les données financières contenues dans STAR ne sont pas disponibles en temps opportun étant donné les délais requis pour la réconciliation des revenus.

Recommandations

  1. Le VP, Opérations devrait documenter où les recettes de droits d’entrée non perçues sont susceptibles d’être importantes (c.-à-parcs ou sites) et obtenir l’assurance que des mécanismes efficaces et efficients de récupération de recettes et de conformité de paiement des droits d’entrée ont été développés et mis en œuvre où il est rentable de le faire.

    Réponse de la gestion

    D’accord : Les unités de gestion effectueront une évaluation des revenus manqués dans le cadre de leur planification annuelle. De plus, la direction générale des opérations de concert avec les experts fonctionnels (c'est-à-dire la direction générale des relations externes et de l'expérience du visiteur et Finances) pour implanter des mécanismes de récupération des revenus manqués tout en prenant en considération les réalités opérationnelles de chaque unité de gestion. Considérant le fait que les droits d'entrée dans les parcs nationaux seront gratuits en 2017, les mécanismes de récupération développés et considérés réalisables sur le plan opérationnel seront implantés en 2018.

  2. Le VP REEV devrait élaborer et implanter un contrôle automatisé qui limitera les possibilités d’erreurs sur les quantités et/ou le montant des transactions.

    Réponse de la gestion

    D’accord : Le VP REEV, en consultation avec le DPI, étudiera les coûts, les échéanciers et la faisabilité technique de l’élaboration et de la mise en œuvre de contrôles automatisés supplémentaires visant à limiter les possibilités d’erreurs liées à la quantité ou au montant des transactions d’ici le 31 mars 2017.

  3. Le Dirigeant principal des finances doit renforcer l’utilisation de la fonction d’« auto-clearing » des fichiers de dépôts dans STAR afin de rationaliser le processus de réconciliation.

    Réponse de la gestion

    D’accord : Dans le cadre de la revue des directives et standards sur la gestion des revenus, l’utilisation de la fonction « auto-clearing » sera évaluée et renforcée lorsqu’applicable.

Renseignements de gestion

L’autre facteur principal dans la justification pour l’APC de faire l’acquisition d’un nouveau système de gestion des revenus de droits d’entrées était la possibilité pour l’Agence de recueillir certains renseignements de gestion sur l’utilisation des installations de Parcs Canada. D’une part, il est d’intérêt pour l’Agence de connaître le nombre de personnes qui visitent ses parcs et sites mais également de comprendre la composition des groupes qui se présentent aux comptoirs d’accueil. Il est également pertinent pour l’Agence de connaître certaines données concernant les groupes de visiteurs, notamment leur lieux de résidence, leurs habitudes de fréquentation des installations de l’APC et la langue dans laquelle le service fut offert. Ces données, couplées à d’autres provenant de diverses sources (SRC, sondages de satisfaction etc.) constituent une mine de renseignements de gestion pour l’APC et contribuent grandement aux activités de communications de l’Agence ainsi qu’à son offre de service aux visiteurs. Ces données sont d’ailleurs la base des rapports sur les activités opérationnelles créées par le groupe de sciences sociales pour la haute gestion et la direction des UG servant à la prise de décision. Il était attendu que l’Agence ait mis en place les contrôles adéquats pour s’assurer qu’elle tire le maximum de retour sur son investissement en percevant des données complètes, exactes et disponibles en temps opportun. De manière plus précise, l’équipe d’audit interne s’attendait à trouver :

  • une utilisation du système de manière conforme tel que détaillé dans les documents de référence;
  • des mesures en place pour maximiser la collecte de renseignements de gestion tout en minimisant l’impact de ces pratiques sur l’expérience des visiteurs;
  • des communications envoyées aux UG sur l’importance de la perception des renseignements de gestion ainsi qu’une démonstration des bienfaits de celles-ci à tous les niveaux de l’organisation;
  • communications d’attentes claires et réalistes quant à la cueillette de renseignements de gestion;
  • des éléments en place pour assurer une surveillance de la collecte des renseignements de gestion;
  • des contrôles en place pour détecter des entrées non-conventionnelles;
  • des mécanismes permettant de tirer les données du système vers d’autres systèmes d’analyse sans être manipulées outre mesure;
  • des mises à jour au système faites en temps opportun pour assurer l’exactitude des données perçues;
  • les renseignements de gestion sont disponibles en temps opportun pour fins de rapport, permettant de maximiser les conclusions que l’Agence peut en tirer.
Conformité d’enregistrement des données de fréquentation

L’équipe d’audit a procédé à l’observation de 318 transactions afin de valider si elles étaient traitées tel qu’indiqué dans le Guide de l’utilisateur pour la cueillette d'information des visiteurs. La façon d'enregistrer les transactions (ventes régulières de laissez-passer quotidiens) était conforme dans une proportion de plus de 90 % (facturation d'items individuellement, utilisation adéquate des codes de matériel de groupe, ventes d'items groupés et traitement des initiatives nationales).

Par contre, l'entrée au parc était comptabilisée dans seulement 29,6 % (8/27) des transactions soit lors des ventes de laissez-passer saisonniers ou annuels, ce qui a pour effet de sous-estimer les renseignements de gestion[33]. De plus, l'équipe d'audit a pu constater que l'évaluation des visites subséquentes des détenteurs de laissez-passer n'est pas enregistrée au POS de façon constante. Si les détenteurs de laissez-passer annuels/saisonniers passent par les guérites et s'y arrêtent, 50 % des caissiers ont déclaré qu'ils enregistraient ces passages dans le PDV[34]. L'estimation du nombre de visites récurrentes non enregistrées est d'autant plus difficile à établir puisque les détenteurs de ces laissez-passer utilisent généralement les voies de contournement et/ou ne s'arrêtent pas aux guérites[35].

L’enregistrement de visiteurs non-payants (enfants de moins de 6 ans, accompagnateurs de groupe, chauffeurs d’autobus) n’a pu être évalué sur un nombre de transaction suffisant pour tirer des conclusions. Par contre, 42 % des préposés ont indiqué qu’ils enregistreraient ces entrées au système.

Lorsque les préposés effectuent la vente de droits d’entrée, ils doivent indiquer le nombre d’individus qui se trouvent dans le véhicule selon les caractéristiques suivantes : adultes, adolescents, ainés et enfants (moins de 6 ans). Cette information est utilisée par l’Agence dans l’analyse de la composition des groupes qui fréquentent ses installations et par la bande, dans ses stratégies de communications. Deux des UG visitées ont donné comme consigne aux préposés d'entrer toutes les personnes dans les véhicules comme des adultes[36], ce qui est contraire aux directives de l’Agence énumérées dans les documents de référence. Les données sur la composition des groupes de visiteurs de ces UG sont donc considérablement faussées, ce qui a un impact sur celles de l’Agence en général.

Communication de l’importance de la collecte de données

Selon l’information recueillie du groupe de sciences sociales, la raison d’être de la collecte de renseignements de gestion ainsi que son importance pour l’Agence a été communiquée via la formation dispensée aux administrateurs de système lors de son implantation. L’équipe d’audit n’a pu recueillir aucune communication formelle qui aurait été envoyée pour communiquer l’importance de recueillir ces données. Bien que le Guide de l’utilisateur pour la cueillette d’information des visiteurs soit disponible sur l’intranet et contienne de l’information sur le sujet, ce document demeure relativement méconnu des UG. Trente-sept et demi pour cent (37,5 %) des administrateurs de système/superviseurs (9/24) ont indiqué avoir reçu de l’information du bureau national sur l’importance de recueillir les données statistiques ou des rapports ayant été produits à partir des données recueillies via PDV. Vingt-cinq pour cent (25 %) des administrateurs de système/superviseurs ont déclaré avoir reçu des directives sur la façon adéquate de recueillir ces données. Sur cette note, les résultats des analyses sur les données cueillies via PDV n’ont commencé à être communiqués aux UG qu’en juin 2014. Les résultats des procédures d’audit nous permettent de conclure que la raison pour laquelle ces données sont recueillies, la façon dont celles-ci sont analysées et les bénéfices que l’organisation peut en tirer demeurent vagues pour plusieurs des intervenants clés dans l’administration et l’utilisation du système. Par conséquent, le renforcement requis pour améliorer la collecte des renseignements de gestion n’est pas effectué sur une base constante.

Utilisation des données dans les rapports de fréquentation locaux et nationaux

Les codes postaux recueillis et inscrits au système permettent à l’Agence de mieux comprendre la provenance de ses visiteurs et par conséquent de mieux cibler ses activités de sensibilisation et ses efforts de communication. Pour y parvenir, les données brutes recueillies sont analysées via un logiciel qui requiert au minimum 1 000 entrées de codes postaux pour effectuer une analyse[37] minimale. Le raisonnement statistique derrière l'établissement du nombre de 1 000 codes postaux n'a pu être démontré. Par contre, plus il y a de données dans le logiciel d'analyse, plus celui-ci est en mesure de fournir des résultats précis sur la provenance des visiteurs, ce qui facilite le ciblage des activités de promotion et en augmente l'efficacité. La compréhension de ces données permet également d'ajuster les opérations de l'Agence afin de les aligner avec les besoins des visiteurs. L'analyse des données a démontré que des améliorations significatives pouvaient être faites sur le plan de la collecte renseignements de gestion afin de supporter les activités des groupes de relations externes de l'Agence dans l'atteinte de leurs objectifs[38].

Cueillette d’information sur les visiteurs et ratio de transaction

Le Guide de l'utilisateur du logiciel RMS pour la collecte des renseignements sur les visiteurs de Parcs Canada, recommande fortement que les renseignements de gestion soient recueillis lors de chaque transaction[39]. L’audit n’a pu recueillir aucune documentation démontrant que des analyses pour élaborer une stratégie qui permettrait l’optimisation de la collecte des données en conciliant la meilleure expérience client possible aurait été conduite. Les facteurs de saisonnalité, de volume de transaction et du type d’installation et les situations acceptables pouvant justifier une diminution du ratio de transaction ne sont donc pas pris en compte dans les attentes communiquées dans le Guide.

Sur le plan technique, les ratios de transactions peuvent varier d’un ratio de 1/1 à 1/100 transactions. La capacité de fixer ces ratios et a été déléguée aux UG afin d’assurer la flexibilité du système. Puisque les paramètres entourant la gestion des ratios de transaction sont documenté dans un guide de l’utilisateur et non une dans une politique ou directive, la fréquence de collecte des informations sur les visiteurs n’est présentement pas imposée et surveillée. Quatre des sept (7) UG visitées ont décidé de diminuer la fréquence à laquelle la boîte de dialogue apparait requérant l’entrée des informations sur les visiteurs. Aucun document de support n’a été fourni pour démontrer que le processus d’approbation pour modifier le ratio de transaction, tel que détaillé dans le Guide de l’utilisateur pour la cueillette d’information des visiteurs aurait été suivi. Aucune activité de surveillance[40] n’est pratiquée concernant les ratios de transaction fixés par les UG mais la fréquence de collecte peut être mesurée en divisant le nombre de transaction de vente contenant des codes de matériels associés aux droit d’entrée par le nombre de codes postaux/pays d’origine recueillis. Cette combinaison de facteurs fait en sorte que le taux de collecte d’information sur les visiteurs varie de 100 % à 0 % selon l’UG.

Il existe également des moyens de contourner la boîte de dialogue demandant les informations sur les visiteurs. Les préposés ont l’option de tout simplement « annuler » la boîte afin d’éviter d’avoir à entrer l’information. Ils peuvent également cocher la case « Refusé/Ne sait pas ». Des analyses effectuées en 2014 sur les renseignements de gestion recueillis en 2013[41] ont permis d’identifier que plusieurs sites utilisaient ces portes de sorties au lieu de recueillir l’information voulue.

L’équipe d’audit a constaté que des pratiques exemplaires concernant les questions posées pour obtenir l’information voulue, étaient intégrées dans les conversations que les préposés avaient avec les visiteurs. Les sites où ces pratiques étaient implantées dans les protocoles de service client obtenaient un haut niveau de cueillette d’information des visiteurs. Certains scripts et des exemples de questions sont aussi disponibles dans le Guide de l'utilisateur du logiciel RMS pour la collecte des renseignements sur les visiteurs de Parcs Canada.

Conclusion

L’Agence n’optimise pas la valeur qu’elle peut tirer de l’exploitation des capacités du système PDV. Bien que des contrôles automatisés soient en place, le cadre général de contrôles entourant la collecte des renseignements de gestion laisse paraître des opportunités d’amélioration. Bien que les données recueillies sont pour la plupart exactes à quelques exceptions près et disponibles via l’utilitaire de rapport en temps opportun, des enjeux dans la gouvernance, la surveillance des activités, les directives données aux UG ainsi que des brèches dans certains contrôles automatisés ne permettent pas à l’Agence d’optimiser la valeur qu’elle tire de PDV.

Recommandations

  1. Le VP REEV devrait développer et communiquer des directives claires aux UG décrivant les attentes en termes de cueillette de renseignements de gestion. Des rapports sur la conformité aux directives devraient être rendus disponibles sur une base régulière aux VP, Opérations afin que des mesures correctives soient prises lorsque requises.

    Réponse de la gestion

    D’accord : Le VP REEV, en consultation avec le chef des Sciences sociales et le directeur de l’Expérience du visiteur, établira et communiquera l’orientation au VP principal des Opérations (ainsi qu’aux directeurs exécutifs régionaux) concernant les attentes et les avantages liés à la collecte de renseignements démographiques sur les visiteurs par l’entremise du système national de PDV d’ici le 31 mai 2016.

    L’équipe du système de PDV, en collaboration avec les spécialistes en sciences sociales, examinera un mécanisme permettant de faire le suivi du rendement lié à la collecte de renseignements sur les visiteurs et en informera le personnel concerné au cours de la saison d’exploitation.

Annexe A : Lois, politiques et directives applicables

Lois et Règlements

  • Loi sur l’Agence Parcs Canada
  • Loi sur la gestion des finances publiques
  • Règlement de 1997 sur la réception et le dépôt des fonds publics
  • Règlement sur les avances comptables

Politiques, directives, lignes directrices et normes du Conseil du trésor

  • Directive sur la gestion des technologies de l'information
  • Politique sur la sécurité du gouvernement
  • Directive sur les avances comptables
  • Directive sur les pertes de fonds et de biens
  • Directive sur les rentrées, dépôts et enregistrements de fonds
  • Ligne directrice sur les avances comptables
  • Norme opérationnelle sur la sécurité matérielle
  • Norme opérationnelle de sécurité : Gestion de la sécurité des technologies de l'information (GSTI)
  • Politique sur le contrôle interne

Documents du Centre de la sécurité des télécommunications

  • Effacement et déclassification des supports d'information électroniques

Politiques, directives, lignes directrices et normes de l’Agence Parcs Canada

  • Directive sur la fonction de contrôle des recettes des frais d’utilisation
  • Normes sur la gestion des recettes et de la trésorerie
  • Politique sur la gestion des droits d'utilisation et des recettes

Autres documents

  • Profil de risque de l’Agence Parcs Canada 2014-2015

Annexe B : Glossaire

APC :
Agence Parcs Canada
CD :
Comité directeur
CEG :
Comité exécutif de gestion
DGA :
Directeur général de l’Agence
DPF :
Dirigeant principal des finances
DGF :
Direction générale du Dirigeant principal des finances
DPI :
Dirigeant principal de l’information
PDV :
Système Point de vente
REEV :
Direction générale des relations externes et de l’expérience du visiteur
SCT :
Secrétariat du Conseil du Trésor
SPC :
Services Partagées Canada
SRC :
Service de réservations (de camping) de Parcs Canada
STAR :
Système de gestion de l’information financière de l’Agence Parcs Canada
TPSGC :
Travaux publics et services gouvernementaux Canada
UG :
Unité de gestion
VP :
Vice-Président

Annexe C : Système de priorisation des recommandations

Tableau 5 : Système de priorisation des recommandations d’audit interne
Priorité Condition
Élevée La direction devrait prendre des mesures immédiates à l’égard du commentaire formulé.
1 Lacune importante sur le plan du contrôle interne
2 Exceptions importantes aux politiques ou aux procédures
3 Exposition importante aux risques
4 Exceptions financières importantes – pertes, déclarations inexactes, erreurs, fraude
5 Infractions importantes aux lois ou à la réglementation
6 Occasion importante – revenus, économies, gains en efficience et améliorations
Moyenne La direction devrait prendre des mesures en temps utile à l’égard du commentaire formulé.
1 Lacune considérable sur le plan du contrôle interne
2 Exceptions considérables aux politiques ou aux procédures
3 Exposition considérable aux risques
4 Exceptions financières considérables – pertes, déclarations inexactes, erreurs, fraude
5 Infractions substantielles aux lois ou à la réglementation
6 Occasion considérable – revenus, économies, gains en efficience et améliorations
Faible La direction devrait prendre des mesures raisonnables afin d’intégrer un plan d’action à l’égard du commentaire formulé dans le cadre normal de ses activités.
1 Lacune mineure sur le plan du contrôle interne
2 Exceptions mineures aux politiques ou aux procédures
3 Exposition limitée aux risques
4 Exceptions financières mineures – pertes, déclarations inexactes, erreurs, fraude
5 Infractions mineures aux lois ou à la réglementation
6 Occasion limitée – revenus, économies, gains en efficience et améliorations

Annexe D : Listes des entrevues conduites et des UG visitées

Tableau 6 : Sommaire des entrevues conduites dans le cadre de l’audit du système PDV.
Employés impliqués dans l’administration et l’utilisation de PDV au niveau national 14
Gestionnaires Finance et Administration dans les UG 7
Personnel responsable de l’administration de PDV dans les UG (administrateurs de système/superviseurs) 26
Personnel de première ligne utilisant le PDV sur une base quotidienne 36
Personnel responsable des activités de gestion des recettes et de réconciliation de revenus dans les UG 15
Intervenant externe 1

Tableau 7 : Liste des unités de gestion visitées dans le cadre de l’audit du système PDV.

  • Unité de gestion de Banff (Porte de l’est, Centre accueil du visiteur, Cave & Basin, bureau administratif)
  • Unité d’affaires des Sources thermales (Banff, Radium)
  • Unité de gestion de Lake Louise-Yoho-Kootenay (centre d’accueil du visiteur de Lake Louise, Porte de l’ouest)
  • Unité de gestion de Jasper (Portes de l’Est, de l’Ouest, du Sud, Centre d’accueil et bureau administratif)
  • Unité de gestion du Sud-Ouest de l’Ontario (parc National Pointe Pelée, Fort George)
  • Unité de gestion du Sud du Nouveau-Brunswick (Parc National de Fundy)
  • Unité de gestion du Cap-Breton (Porte de l’ouest, Centre accueil du visiteur d’Ingonish et de Chéticamp, LHN Alexander Graham Bell, LNH de la forteresse de Louisbourg)
  • Unité de gestion de l’Île-du-Prince-Édouard

[2] Les données sont présentées à des fins de comparaison de la perception des recettes par les différents systèmes. Il s’agit de données non vérifiées pour lesquelles aucune procédure d’audit n’a été effectuée pour en valider l’exactitude et/ou l’exhaustivité.

[3] De ce montant, 2 255 274 $ pour 2014-2015 et 3 640 449 $ pour 2015-2016 étaient des frais administratifs payés au tiers qui administre le SRC pour Parcs Canada.

[4] Le groupe d’audit interne reconnait que la Directive ne constitue pas un document officiel puisqu’elle n’a pas été formellement approuvée par le CEG. Cependant, il s’agit du seul document interne sur lequel les travaux d’audit ont pu s’appuyer pour déterminer les attentes en matière de contrôle interne sur la manipulation et la sécurisation des liquidités.

[5] D’autres éléments s’ajoutent à cette liste. Ces éléments seront détaillés dans la lettre à la gestion.

[6] Sujet discuté plus en détail à la section 9.3 du présent rapport.

[7] Standard de service avec la tierce partie tel que documenté dans l’entente contractuelle.

[8] La liste des éléments à considérer dans le cadre de cette initiative de rapport sera communiquée via une lettre à la gestion.

[9] Particulièrement dans les UG de l’Ouest, celles de l’Est ayant intégré le PDV dans leur processus de facturation.

[10] Des délais considérables ont été constatés entre les connexions des terminaux PDV hors ligne et le serveur. En date du 6 octobre 2015 : 82 jours pour les magasins de l’Est et 92 jours pour les magasins de l’Ouest en moyenne en 2015.

[11] Environ 10 % des ventes totales perçues via PDV.

[12] Selon la description des tches associée à leur titre de poste dans le système PeopleSoft.

[13] Ce type de situation a également été constaté dans des cas anecdotiques dans les autres UG visitées, généralement dus à des changements de responsabilités liés à des affectations intérimaires.

[14] Estimation effectuée sur les données téléchargées à la fin de 2014, les données n’ayant pas encore été téléchargées pour l’exercice en 2015.

[15] Ventes et fréquentation entre le 01/04/2014 et le 30/11/2014 recueillis dans les terminaux autonomes : 3 476 999 $ (5,6 % des ventes totales de l’Agence) correspondant à 212 297 entrées de visiteurs (4,9 % des entrées totales).

[16] À savoir, l’utilisation du mode de paiement « comptes à recevoir », gestion des inventaires (marchandises et cartes découvertes) et utilisation de lecteurs numériques.

[17] Fonction « compte à recevoir » élaborée à la section 9.3.

[18] De la formation sur l’utilisation des rappels amicaux et formels visant à influencer certains comportements des visiteurs est incluse dans la formation sur la qualité de l’expérience du visiteur et renforcement du service.

[19] Les magasins de l’Ouest n’utilisent pratiquement pas le mode de paiement « Compte à recevoir » mais utilisent des mécanismes alternatifs. Les observations relatives à ce mécanisme seront rapportées à la Direction générale des finances via la lettre à la gestion.

[20] Le champ devrait également comprendre un contrôle de validation contre la liste des numéros de clients.

[21] D’un commun accord entre les différents intervenants, la limite a été fixée à un montant qui n’est pas aligné avec la Directive sur la fonction de contrôle des recettes des frais d’utilisation.

[22] Cette observation est abordée par la recommandation #1.

[23] Tel qu’indiqué à la section concernant les informations sur les visiteurs, un tel contrôle existe dans PDV pour le nombre de personnes accédant aux installations.

[24] Trois-cents-vingt-et-une transactions de remboursement et 185 transactions de rabais ont été sélectionnées.

[25] Une signature par un superviseur, un collègue ou tout autre observateur a également été acceptée.

[26] Deux UG ont déclaré effectuer de tels suivis. Une seule a pu clairement le démontrer avec des documents de support.

[27] Dans la Gazette du Canada.

[28] L’Agence ne se conforme pas non plus à la section 6.1.7 de la Directive sur les rentrées, dépôts et enregistrements de fonds voulant que des documents de support permettant de suivre la transaction d’un bout à l’autre du processus soient disponibles.

[29] Cadre de vérification des comptes (en ébauche) et suivi mensuel des comptes de revenus en suspens.

[30] Processus via lequel les dépôts associés à plusieurs lots (jour/semaine/mois) sont regroupés dans les bons de commande.

[31] Des 128M $ de revenus totaux de l’Agence.

[32] Pour les systèmes PDV, SRC et autres.

[33] Considérant le nombre de laissez-passer annuels et saisonniers vendues au cours de la période sous cet audit et le taux de perception observé lors de l'observation de transactions, ceci représente une sous-estimation du nombre de visiteurs de 877 872 personnes, en prenant en considération l'hypothèse qu'ils ne restaient qu'un jour. En utilisant la proportion des préposés qui ont indiqué qu'ils enregistraient ces entrées, on arrive à une sous-estimation de 627 052 visites.

[34] Tous les terminaux examinés possédaient une touche d’accès rapide pour enregistrer ces passages.

[35] La majorité des UG disposent de compteurs de trafic pour palier à cette situation. Ces derniers ne fournissent pas de renseignements aussi précis que ce qui peut être entré au PDV, particulièrement sur la durée du séjour, la composition des groupes et leur provenance.

[36] Cette pratique a également été constatée dans une troisième UG mais elle n’était pas généralisée et le groupe d’audit interne n’a pu recueillir d’éléments probants permettant de démontrer que cette pratique découlait d’une directive.

[37] Il n’a pu être démontré quelle était l’analyse qui supportait ce nombre.

[38] Taux de conformité de 60 % pour les magasins de l’Est et de 7,3 % pour les magasins de l’Ouest. Conformité totale de 24 % pour l’Agence. Données entre le 1er avril et le 30 septembre 2015.

[39] L’audit interne reconnait qu’à certaines installations, et à certaines périodes de l’année, il peut ne pas être souhaitable que la cueillette d’information soit faite lors de chaque transaction. Ces scénarios constituent cependant des exceptions.

[40] L’équipe nationale PDV n’a pas la possibilité de consulter cette information par magasin dans le système.

[41] Analyse effectuée par le groupe de sciences sociales de l’APC.

Liens connexes

Date de modification :