Vérification des processus et des contrôles de la rémunération : Constatations

Rôles et responsabilités

22. Le processus RH à la paye de l'Agence repose sur une communication sans faille et en temps opportun de l'information entre les principaux intervenants.^{Note de bas de page 5} Par exemple, les gestionnaires d'un centre de coûts sont responsables de remplir les documents en vue de l'embauche d'un employé et de les envoyer à la Dotation pour produire une lettre d'offre. La Rémunération reçoit la lettre d'offre signée afin d'entrer les renseignements sur la paye dans les systèmes des RH à la paye. Une fois que l'information est entrée et que l'employé est payé, la Comptabilité intégrée est chargée de la déclaration des dépenses salariales. Compte tenu de ces interdépendances, il est important que tous les intervenants comprennent leurs rôles et responsabilités, ainsi que l'incidence qu'ont leurs rôles sur les autres intervenants.

23. Les rôles et les responsabilités des différentes activités du processus RH à la paye ont été déterminés et documentés dans les descriptions de travail et dans les pages intranet de l'ASFC. La plupart des intervenants clés que nous avons sondés^{Note de bas de page 6} comprennent leurs propres rôles et responsabilités dans le processus RH à la paye. Par contre, plus de la moitié des intervenants de chaque secteur fonctionnel ont répondu qu'ils ne comprenaient pas les rôles et les responsabilités des autres groupes d'intervenants en ce qui a trait au processus RH à la paye. Le processus RH à la paye n'est nulle part documenté de façon centralisée et, par conséquent, les interrelations et les dépendances entre les intervenants ne sont pas clairement communiquées à toutes les parties visées.

24. Dans l'ensemble, les rôles et les responsabilités des employés travaillant au sein du processus RH à la paye sont clairement définis et communiqués. Une sensibilisation accrue aux rôles et responsabilités de tous les secteurs impliqués dans le processus aiderait les différents intervenants à mieux comprendre comment les autres contribuent à l'efficience et à l'efficacité globales du processus RH à la paye.

Échange de renseignements et communication à l'interne

Gouvernance organisationnelle de l'ASFC

27. Le comité Un|RH, le Comité exécutif des ressources humaines et le Comité exécutif sont les principaux organismes de gouvernance de l'Agence pour le processus RH à la paye. Ces comités sont les tribunes permettant de porter les problèmes liés au processus RH à la paye à l'attention de la haute direction de l'Agence.

28. D'après notre examen des ordres du jour et des comptes rendus des décisions, ces comités de gouvernance internes sont informés de façon périodique des progrès réalisés concernant la stratégie relative aux arriérés de rémunération, y compris la récente initiative de la DGRH « Être à temps, c'est payant », ce qui démontre que la haute direction de l'Agence reçoit périodiquement de l'information pertinente sur les éléments de haute priorité.

Formation et Soutien

40. Une orientation, une formation et un soutien adéquats sont essentiels pour s'assurer que tous les intervenants du processus RH à la paye peuvent s'acquitter efficacement de leurs responsabilités. L'Agence n'a pas un programme de formation sur la rémunération obligatoire ou officiel mis à la disposition des employés. De plus, la direction générale ne documente pas et ne fait pas le suivi de la formation liée à la rémunération suivie par les employés. Même si une formation en cours d'emploi est offerte, seulement 43 % des employés de la Rémunération sondés jugent qu'elle est suffisante.

41. Afin de combler les lacunes en matière de formation officielle et en cours d'emploi, la Rémunération ministérielle met au point un outil de référence interne pour aider les nouveaux conseillers en rémunération et les conseillers existants. De plus, une formation obligatoire sur la prestation de services aux clients a été livrée afin d'apporter les améliorations nécessaires à la communication avec les employés concernant les problèmes liés aux dossiers de paye.

42. Les employés de la Rémunération de l'Agence ont aussi accès à la formation sur les processus RH à la paye offerte par SPAC. Quoique la formation de SPAC vise à être suffisamment générale pour tous les utilisateurs, l'analyse de l'environnement souligne que presque toutes les organisations ont indiqué qu'elles ont besoin d'adapter les matériaux de formation à leur contexte, ce qui crée un fardeau supplémentaire.^{Note de bas de page 11} Lorsque les leçons sont mal utilisées, les employés de la Rémunération de l'ASFC peuvent commettre des erreurs, comme lorsqu'ils effectuent des interventions dans Phénix qui ne visent que les ministères desservis par le Centre des services de paye (et non les organisations de services Web). Lorsque la formation et les mises à jour de SPAC sont diffusées à la communauté, la Rémunération doit adapter et clarifier les messages afin qu'ils soient pertinents pour l'ASFC.

43. Le Bureau du vérificateur général (BVG) avait des observations similaires liées à la suffisance de la formation pour les conseillers en rémunération lors de leur Vérification des états financiers de l'ASFC. Depuis deux ans, le BVG recommande que l'ASFC collabore avec SPAC et d'autres intervenants afin d'évaluer les besoins en formation et de développer des plans de formation

44. Au lieu de la formation, les employés de la Rémunération dépendent d'un certain nombre d'autres outils et directives, comme des procédures normales d'exploitation, des manuels de référence et des politiques. Par contre, même si elles sont utiles, ces ressources ne remplacent pas une formation visant à établir les bases nécessaires à l'exécution des différentes interventions de paye.

45. L'absence de formation et de soutien pertinents peut avoir une incidence sur la capacité d'un employé à exécuter efficacement ses tâches. Un programme de formation officiel et des outils de soutien contribueraient à l'efficacité et à la cohérence du traitement de la paye, ainsi qu'au renforcement de la prestation des services de rémunération.

Recrutement et maintien en poste

46. L'Agence doit, pour traiter en temps opportuns les interventions de paye, disposer d'un effectif suffisant affecté à la rémunération. Afin de répondre à la demande, l'effectif de la rémunération est composé de différents types d'employés : embauchés pour une période indéterminée, embauchés pour une période déterminée, occasionnels et étudiants. La plupart des organisations non desservies par le Centre des services de paye, dont l'ASFC, ont de la difficulté à recruter des conseillers en rémunération et à les maintenir en poste. Des rapports indiquent que les conseillers en rémunération quittent les organisations non desservies par le Centre des services de paye pour occuper un poste au Centre des services de paye de SPAC qui offre une meilleure classification, un salaire plus élevé et davantage d'occasions de formation.^{Note de bas de page 12}

47. Les entrevues avec le personnel de la rémunération ont révélé, pour des postes similaires, un écart entre la classification des conseillers en rémunération de l'Agence et celle des conseillers en rémunération du Centre des services de paye. Des employés de la Rémunération qui ont répondu au sondage, 38 % ont indiqué qu'ils envisageraient de quitter l'Agence pour occuper un poste de même niveau ailleurs au gouvernement. Les responsables de la Rémunération ont entrepris de revoir la classification des descriptions de poste des employés opérationnels afin de l'harmoniser avec celle des postes semblables dans les autres ministères.

48. Le taux d'attrition des conseillers en rémunération que nous avons établi est supérieur au taux d'attrition global de l'ASFC :

49. Parmi notre échantillon de 14 employés de la Rémunération embauchés pour une période indéterminée ayant quitté l'Agence, cinq l'ont fait pour se joindre à un autre ministère, dont trois à des postes de même niveau de classification. Les neuf autres employés ont pris leur retraite.

50. Les difficultés relatives à la dotation ont été cernées dans la Stratégie relative aux arriérés de rémunération, qui comprend également un plan pour recruter davantage de conseillers en rémunération. Le bassin de conseillers en rémunération à la retraite a été sollicité et certains retraités ont été recrutés afin de contribuer à l'élimination de l'arriéré. De plus, des stratégies de maintien en poste, comme offrir des occasions au personnel, envisager de prolonger l'indemnité de maintien en poste pour les conseillers en rémunération et mettre à jour les descriptions de poste, ont aussi été définies en vue de contrer le départ des conseillers en rémunération.

51. Sondés sur leur satisfaction au travail, 60 % des employés de la Rémunération ont indiqué être satisfaits de leur emploi et 49 % se sentent appuyés dans leur cheminement professionnel. Pour les employés qui sont satisfaits de leur emploi, les raisons les plus souvent invoquées comprennent la reconnaissance, les bonnes relations et le côté stimulant de l'emploi, de même que la capacité de promouvoir le changement ou d'aider les clients. À l'opposé, les raisons soulevées pour expliquer une insatisfaction comprennent un manque de formation adéquate, des problèmes avec les systèmes, un manque de reconnaissance, une charge de travail accablante ou stressante et des délais déraisonnables.

52. Malgré les difficultés liées au maintien d'un effectif suffisant pour la Rémunération, la DGRH continue de mettre en application des stratégies pour recruter et maintenir en poste des ressources qualifiées.

Contrôles internes des RH à la paye

53. La Politique sur la gestion financière du gouvernement du Canada énonce les exigences visant à « établir, [à] surveiller et [à] maintenir un système de contrôle interne de la gestion financière » et à « [s]'assurer que des mesures correctives sont prises rapidement lorsque des lacunes concernant les contrôles et des risques importants n'ayant pas fait l'objet de mesures d'atténuation sont repérés, y compris tout risque de fraude ».^{Note de bas de page 15}

54. Un cadre de contrôles internes bien conçu comporte des actions prises par les employés ainsi que des actions conçues dans un système veillant à un contrôle approprié d'un processus. Les contrôles internes des RH à la paye sont énoncés à l'Annexe D et comprennent des actions comme les approbations, les rapprochements, les examens par les pairs et les restrictions des systèmes de TI. Un cadre de contrôles internes qui est efficace fait en sorte que les processus sont suivis et que les systèmes fonctionnent comme prévu sur une base régulière.

55. L'Agence se fie aux contrôles internes du processus des RH à la paye pour garantir que :

• les interventions de paye sont traitées en temps opportuns, valides et exactes;
• les dépenses salariales sont consignées sans erreur;
• les risques liés à l'administration de la paye de l'Agence sont réduits au minimum.

56. L'équipe des contrôles internes de l'Agence (au sein de la DGFGO) est, selon son mandat, responsable de la documentation du Cadre de contrôle interne des RH à la paye (le Cadre) et de l'évaluation des contrôles du Cadre afin d'en assurer l'efficacité.

57. Nous avons évalué les principaux contrôles des RH à la paye au moyen du cadre établi par l'équipe des contrôles internes.^{Note de bas de page 16} En plus des contrôles compris dans le Cadre, nous avons cerné et mis à l'essai des contrôles liés au système de TI utilisés dans les processus des RH à la paye. Nous avons mis à l'essai un total de 53 contrôles, dont 29 manuels^{Note de bas de page 17} et 24 liés à la TI^{Note de bas de page 18}. Un échantillon de 155 interventions de paye a été utilisé pour mettre les contrôles à l'essai.^{Note de bas de page 19}

58. Le tableau 2 résume les résultats de la mise à l'essai des contrôles. De plus amples détails sur les descriptions des contrôles sont inclus à l'annexe D.

59. Des 53 contrôles, seulement 26 (49 %) ont été jugés efficaces, car il y avait suffisamment d'éléments probants pour démontrer que l'activité de contrôle se déroulait comme prévu pour tous les dossiers de l'échantillon. Les 27 contrôles restants (51 %) étaient inefficaces, leur conception était déficiente ou leur documentation était inadéquate. Même s'il est attendu que certains contrôles demandent une révision de temps à autre, le nombre de contrôles pour lesquels la conception ou la documentation étaient inadéquates donne à penser que le cadre ne reflète pas les tâches réelles des employés. Le nombre de contrôles inefficaces relevés (16 sur 53, soit 30 %) était encore plus préoccupant, puisque cela signifie que d'importantes activités, sur lesquelles repose l'exactitude de la paye, ne sont pas réalisées comme elles le devraient.

60. Comme le montre le tableau 2, des erreurs ont été décelées dans le cas de 16 contrôles (fonctionnant inefficacement) pour lesquels un ou plusieurs des dossiers de l'échantillon ne contenait pas suffisamment d'éléments probants pour démontrer que l'activité de contrôle se déroulait comme prévu. Par exemple, les conseillers en rémunération doivent procéder à des calculs pour vérifier l'exactitude de la première paye d'un employé. Dans certains des dossiers de l'échantillon, ces calculs étaient absents et aucune justification de leur absence n'était fournie.

61. Comme le processus des RH à la paye a évolué, nous avons constaté que la description de quatre contrôles était désuète. Nous avons également constaté qu'à sept reprises, la description de l'activité établie dans le Cadre ne correspond plus au processus en vigueur ou que les principaux aspects de l'activité ne sont pas clairement définis dans la description. Par exemple, le poste responsable d'approuver une intervention de paye.

62. Nos observations portent aussi sur les faiblesses des contrôles internes déjà soulignées dans la Vérification des états financiers de l'ASFC annuelle du BVG. Un des écarts les plus remarquables identifiés par le BVG dans la vérification de 2017-2018 était un faible processus pour approuver les paiements (article 33 de la Loi sur la gestion des finances publiques) et pour identifier les erreurs potentielles liées à la paye. Malgré les années écoulées depuis que ce problème a été soulevé, les contrôles liés à l'approbation de l'article 33 de la Loi n'ont pas encore été renforcés.

63. En l'absence de contrôles documentés, conçus correctement et qui fonctionnent efficacement, le risque que des paiements invalides ou inexacts soient versés est plus important encore. De tels paiements non valides ou inexacts peuvent engendrer de la frustration pour les employés, des pertes financières, une atteinte à la réputation ou encore la mauvaise consignation des dépenses salariales et, par conséquent, demandent une attention immédiate. Il est impératif que les changements requis soient apportés au cadre, que le cadre soit surveillé et testé de façon régulière et que l'importance de suivre les processus et procédures établis soit réitérée.

Systèmes de TI

64. L'Agence a recours à deux systèmes essentiels pour le processus des RH à la paye : SAE et Phénix. Phénix a été mis en service et est géré par SPAC et les SAE sont hébergés et gérés par l'ARC. Comme l'Agence est une organisation de services Web, les interventions de paye sont saisies dans les SAE et les données sont transmises à Phénix pour que la paye soit versée aux employés. Pour un traitement efficace des interventions de paye, les systèmes doivent répondre aux besoins des utilisateurs. Nous avons évalué dans quelle mesure les SAE et Phénix répondent aux besoins des utilisateurs et traitent correctement les mouvements de paye.

65. Dans le sondage mené lors de la vérification interne, la plupart des employés de la Rémunération (81 %) ont indiqué penser que les systèmes de RH possèdent les fonctions appropriées pour faire leur travail. De plus, la majorité des employés des opérations de la Rémunération, de la rémunération ministérielle et des systèmes de RH a indiqué que les risques liés aux systèmes ont été définis (71 %) et qu'ils étaient gérés activement (80 %).

66. Cependant, la majorité des employés opérationnels (73 % des employés de la Rémunération et 73 % des employés de la Dotation) se disent préoccupés quant aux limites du système, en raison des problèmes d'intégration entre les SAE et Phénix, qui empêchent la saisie adéquate des informations des RH pertinentes. Nous avons appris que même si une intervention de paye est traitée correctement par un conseiller en rémunération et saisie dans les SAE, il se peut que le paiement versé par Phénix soit erroné.^{Note de bas de page 20} L'examen des dossiers de paye nous a permis de constater un cas où, bien que le conseiller en rémunération ait saisi les données adéquates dans Phénix, un paiement non valide, sous la forme d'un chèque en double, a tout de même été versé à un employé.

67. Le traitement des paiements est également problématique dans Phénix, notamment pour le traitement des modifications apportées aux conventions collectives et des interventions de paye saisies tardivement. Afin d'harmoniser les données salariales des SAE et de Phénix, une comparaison des données sur les postes des employés dans les SAE et de celles se trouvant dans Phénix a été faite quotidiennement par la Rémunération ministérielle afin de rectifier les écarts entre les deux systèmes. Cela alourdit la charge de travail, sans permettre à tous coups d'éviter les payes erronées, car les écarts peuvent être décelés trop tard pour que les corrections requises soient apportées. Les paiements invalides versés par les limites du système peuvent entraîner de la frustration chez les employés qui reçoivent une paye insuffisante ou doivent rembourser un trop-payé à l'Agence.

68. En vue de comprendre ce qui nuit à la validité des paiements dans les systèmes des RH à la paye, nous avons analysé les données de Phénix sur les trop-payés, afin de cerner l'origine potentielle des erreurs. Un échantillon de 15 cas de trop-payés connus a été établi et soumis à notre analyse. En retraçant l'historique des paiements dans le processus des RH à la paye, nous avons été en mesure de déterminer les causes possibles suivantes :

• traitement des paiements en retard (huit paiements) : informations essentielles transmises tardivement par le gestionnaire de centre de coûts (fin de la date de la nomination intérimaire) ou saisie tardive d'une intervention de paye (p. ex., un employé reçoit sa paye régulière pendant son congé puisque la documentation est soumise ou saisie après la date d'entrée en vigueur);
• erreurs du système (un paiement) : Phénix a produit un chèque en double, cependant, l'erreur a été décelée et le paiement a été annulé avant que l'employé ne le reçoive;
• révision subséquente d'une feuille de temps (six paiements) : un employé a déclaré des heures en utilisant un code entraînant rémunération (heures supplémentaires payées, congé payé) et a par la suite modifié le code pour un code sans solde (heures supplémentaires en congé compensatoire, congé sans solde) une fois le paiement émis.

69. Les systèmes de paye utilisés actuellement et leur interface ne facilitent pas toujours l'exécution adéquate du processus de rémunération de bout en bout. Cependant, en mettant davantage l'accent sur la communication et la sensibilisation des employés et des gestionnaires sur les répercussions que certains comportements ont sur l'exactitude de la paye, ainsi que la formation pour les utilisateurs des systèmes de RH et la soumission et le traitement des interventions de paye en temps opportuns, l'Agence peut réduire les problèmes sur lesquels elle exerce un contrôle.

Systèmes de TI – Séparation des tâches

70. La séparation des tâches est nécessaire lors de l'attribution des droits d'accès aux utilisateurs d'un système afin d'éviter qu'une personne ait des tâches incompatibles (p. ex. initier, approuver et réviser la même transaction). La restriction de l'accès vise à empêcher les utilisateurs d'effectuer des interventions non autorisées. Par exemple, la séparation des tâches entre les personnes qui traitent les interventions de paye et celles qui les approuvent réduit le risque de fraude et contribue à garantir que seules les interventions valables sont saisies dans les systèmes. Dans les cas où la séparation des tâches ne peut pas être maintenue, on s'attend à ce qu'il existe des contrôles d'atténuation pour prévenir l'utilisation inappropriée des systèmes ou les fraudes.

71. Les rôles incompatibles dans les systèmes de TI liés au processus RH à la paye ont été déterminés par les responsables^{Note de bas de page 21} du SAE et de Phénix. Nous avons évalué si l'ASFC respectait la séparation des tâches.

Séparation des tâches dans le SAE

72. Chaque rôle attribué à un utilisateur est associé à diverses combinaisons d'actions et d'autorisations possibles. Nous avons tenté d'évaluer si les autorisations, appelées codes de mouvement (codes M), associées à chaque rôle étaient appropriées. Cependant, nous n'avons pas pu obtenir un document affichant les codes incompatibles. Par conséquent, nous avons évalué la séparation des tâches au niveau des rôles.

73. Les conseillers en rémunération se voient attribuer le rôle « Rémunération – Traitement des mouvements » dans le SAE, ce qui leur permet de traiter les interventions de paye. Il y a quatre rôles avec lesquels le rôle « Rémunération – Traitement des mouvements » ne peut être combiné. Les demandes relatives à ces rôles sont soumises par le gestionnaire de l'employé au moyen du système de billet de TI de l'ASFC; elles sont ensuite acheminées aux personnes autorisées appropriées aux fins de traitement.^{Note de bas de page 22}

74. Nous avons identifié six utilisateurs qui avaient des rôles incompatibles dans le SAE. Quatre d'entre eux pouvaient autoriser et traiter des interventions de paye. Deux utilisateurs pouvaient traiter des interventions de paye et modifier la liste de paye d'un employé, ce qui leur permettait de traiter les interventions de paye de ces employés. Après que nous ayons porté ces six situations d'incompatibilité de rôles à l'attention de la direction, les rôles ont été supprimés.

75. Étant donné que ces rôles incompatibles ont été attribués par des personnes autorisées, il est important que la matrice de séparation des tâches soit consultée avant d'accorder un accès au SAE afin de réduire la probabilité que les employés aient accès à des rôles incompatibles.

Séparation des tâches dans Phénix

76. Dans la matrice de séparation des tâches de Phénix, SPAC a indiqué quels rôles ne doivent pas être combinés à d'autres. Il s'agit notamment des rôles suivants : conseiller en rémunération, approbateur en vertu de l'article 33 et analyste des systèmes des RH. Pour demander l'attribution d'un rôle dans Phénix, le gestionnaire de l'employé doit soumettre un formulaire à l'agent des contrôles d'accès sécuritaires de Phénix de l'ASFC.

77. Lorsque des rôles incompatibles sont inévitables, SPAC exige une attestation du dirigeant principal des finances pour autoriser la dérogation. Nous avons constaté que six utilisateurs s'étaient vu attribuer une combinaison de rôles incompatibles, avec l'autorisation du dirigeant principal des finances de l'ASFC.

78. Lorsqu'il accorde des rôles incompatibles, le dirigeant principal des finances est tenu de confirmer que des contrôles compensatoires sont mis en œuvre afin de gérer les risques créés par l'existence de rôles incompatibles dans le système. L'équipe de la Rémunération ministérielle a récemment entamé un examen trimestriel de la pertinence de l'accès des utilisateurs au SAE et à Phénix. Cependant, il n'existe aucun contrôle compensatoire qui permettrait de réduire l'attribution abusive des rôles incompatibles. Les responsables des processus opérationnels au sein de la DGRH et de la DGFGO chargés des systèmes liés au processus RH à la paye n'effectuent aucune surveillance de l'activité des utilisateurs dans Phénix ou le SAE, en particulier pour ceux ayant des rôles incompatibles. Ils n'évaluent pas non plus les rôles incompatibles entre le SAE et Phénix afin d'assurer la séparation des tâches des utilisateurs ayant accès aux deux systèmes.

79. Bien que nous n'ayons relevé aucun signe de fraude lors de l'examen des dossiers de paye, le manque de surveillance des activités des utilisateurs dans les systèmes et les cas de contrôles qui ont soit été conçus, soit fonctionnent de manière inefficace, font augmenter le risque de fraude.