Audit des cartes d'achat

1. Introduction

1.1. Contexte

Les cartes d’achat du gouvernement (CAG) sont des cartes de crédit utilisées par les employés fédéraux pour acheter des biens et services approuvés de faible valeur dans le cadre des activités gouvernementales. Elles sont émises en vertu d’ententes contractuelles conclues entre certains émetteurs de cartes et le gouvernement du Canada, et sont utilisées à l’échelle du gouvernement depuis 1991 comme moyen pratique de réduire le fardeau administratif et les coûts associés aux processus traditionnels d’approvisionnement et de paiement.

La gestion et l’administration des cartes d’achat sont régies par la Politique sur la gestion financière du Conseil du Trésor (CT) et la Directive sur les paiements du CT, qui énoncent les exigences relatives à la mise en place de pratiques de gestion et de contrôles internes favorisant une utilisation responsable, sécuritaire et économique de ces cartes. Le Guide du programme de cartes d’achat du gouvernement du Canada du receveur général fournit également aux ministères des orientations détaillées sur les normes de contrôle applicables tout au long du cycle de vie des cartes, de leur émission et utilisation jusqu’au suivi et à l’annulation.

Bien que le recours aux cartes d’achat soit encouragé pour les achats autorisés lorsqu’ils sont réalisables sur le plan opérationnel et sécuritaires, il demeure qu’elles sont un outil d’approvisionnement. Cela signifie que les achats doivent être conformes aux politiques contractuelles et à l’exercice approprié des pouvoirs financiers prévus par la Loi sur la gestion des finances publiques (LGFP). En pratique, les achats par carte d’achat doivent être dûment autorisés, justifiés, certifiés par une personne qui détient un pouvoir délégué, examinés aux fins de paiement, et consignés de manière à faciliter le suivi et la surveillance. Ces exigences s’appuient sur la Directive sur la délégation des pouvoirs de dépenser et des pouvoirs financiers du CT, ainsi que la Directive sur la gestion de l’approvisionnement du CT, qui établissent les attentes en matière de production de rapports et de surveillance pour les transactions effectuées au moyen de cartes d’achat.

Utilisation des cartes d’achat à Environnement et Changement climatique Canada (ECCC)

ECCC utilise la Banque Nationale du Canada comme émetteur de cartes d’achat depuis 2021. En 2025-2026, le Ministère comptait plus de 1 440 titulaires de carte et a enregistré 58 149 transactions totalisant environ 46,2 millions de dollars. Les quatre directions générales ayant enregistré la valeur de transactions la plus élevée étaient la Direction générale des sciences et de la technologie (19,7 millions de dollars), le Service météorologique du Canada (8,4 millions de dollars), le Service canadien de la faune (7,4 millions de dollars) et la Direction générale des services ministériels et des finances (4,5 millions de dollars).

Les cartes d’achat représentent un mécanisme clé d’approvisionnement et de gestion financière, qui fait l’objet d’un examen et d’analyses continus dans le cadre de l’exercice d’une responsabilité financière appropriée et d’une saine gérance des fonds publics. Leur utilisation comporte un certain niveau de risque inhérent, notamment des erreurs, une mauvaise utilisation ou de la fraude, puisque les titulaires de carte disposent de cartes de crédit pour acheter des biens et services. La gestion et l’utilisation des cartes d’achat à ECCC n’avaient pas fait l’objet d’un audit interne ou d’un examen depuis plus de 10 ans, et ce sujet a été désigné comme une priorité dans le cadre de l’exercice de planification de l’audit axé sur les risques de 2025 à 2030.

1.2. À propos de l'audit

Objectif : L’objectif de l’audit était de fournir l’assurance que les contrôles relatifs aux cartes d’achat appuient leur gestion efficace et la conformité aux lois applicables et aux politiques pertinentes.

Portée et méthodologie : L’audit portait sur les activités de gouvernance, de gestion des risques et de contrôle interne liées à l’ensemble du cycle de vie des cartes d’achat, notamment les activités allant de l’émission des cartes à leur utilisation continue, y compris l’approbation, le traitement et l’enregistrement des transactions, la suspension ou l’annulation des cartes, ainsi que les activités transversales comme le suivi, l’assurance de la qualité et la protection.

La méthodologie de l’audit comprenait :

• Un examen détaillé des documents à l’appui, notamment les lois, les instruments de politique, les guides, les procédures, les descriptions de processus, les organigrammes de processus et les communications ministérielles;
• Des entrevues et des démonstrations de processus avec les principaux intervenants;
• Des analyses de données portant sur la population complète de 58 149 transactions effectuées entre le 1er janvier 2025 et le 31 janvier 2026, ainsi que sur 1 735 dossiers de titulaires de carte ouverts et fermés, à partir des données de la banque et des données internes d’ECCC, afin de cerner les transactions présentant un risque plus élevé et d’éclairer l’approche d’échantillonnage;
• Des tests de l’efficacité opérationnelle sur un échantillon aléatoire stratifié représentatif de 271 transactions, complétés par des tests ciblés portant sur 125 transactions supplémentaires présentant un risque plus élevé ou ayant été signalées, ainsi qu’un examen des éléments probants à l’appui;

L’audit couvrait la période du 1er janvier 2025 au 31 janvier 2026 et comprenait, au besoin, un examen d’autres documents pertinents antérieurs à cette période.

Les critères d’audit détaillés se trouvent à l’Annexe A.

Déclaration de conformité

L’audit est conforme aux Normes internationales d’audit interne, appuyé par les résultats du programme d’assurance et d’amélioration de la qualité.

2. Constatations, recommandations et réponses de la direction

2.1. Cadre de gouvernance et de contrôle des cartes d'achat

L’audit s’attendait à ce qu’un cadre de gouvernance et de contrôle soit en place pour soutenir la gestion efficace des cartes d’achat. Ce cadre devait notamment définir les rôles et les responsabilités, et inclure les politiques et procédures, la formation, les orientations et les outils pertinents, ainsi que les contrôles visant à garantir l’émission, l’utilisation, la protection et l’annulation appropriées des cartes.

Gouvernance et organisation

Le dirigeant principal des finances (DPF) et sous-ministre adjoint, Direction générale des services ministériels et des finances (DGSMF), est responsable de la gestion et de l’administration globales des cartes d’achat. Cela comprend la responsabilité de veiller à ce qu’un système de contrôles internes soit en place et fonctionne de manière à gérer les risques et à appuyer la conformité aux politiques et aux lois applicables.

Le Centre d’expertise des CAG, au sein de la Direction de l’approvisionnement, de la comptabilité et des contrôles, appuie le DPF en coordonnant la gestion quotidienne des cartes d’achat. Cela comprend l’émission et l’annulation des cartes, la prestation de formation et de soutien aux titulaires de carte et aux gestionnaires, le versement en temps opportun des paiements à l’émetteur de cartes, ainsi que le suivi de l’utilisation des cartes. D’autres fonctions de la DGSMF appuient également le cycle de vie des cartes au moyen de l’assurance de la qualité liée à la vérification des comptes, de conseils sur les pratiques d’approvisionnement relatives aux cartes d’achat du gouvernement et du suivi continu des contrôles internes.

Les contrôles internes relatifs aux cartes d’achat font partie du cadre plus large des contrôles internes en matière de gestion financière d’ECCC, qui inclut les cartes d’achat parmi les processus opérationnels visés. Le cadre utilise le modèle des trois lignes de défense pour décrire la façon dont les responsabilités en matière de contrôle sont partagées au sein du Ministère.

Concrètement, la première ligne comprend les personnes et les fonctions qui appliquent les contrôles dans le cadre des activités quotidiennes. Pour les cartes d’achat, cela comprend les titulaires de carte, les gestionnaires et les personnes détenant des pouvoirs délégués, qui sont responsables d’utiliser les cartes de façon appropriée, d’obtenir les approbations requises, de protéger les cartes, de conserver les pièces justificatives, de rapprocher les transactions mensuelles et d’attester les transactions conformément aux pouvoirs délégués. Certaines activités de la DGSMF peuvent également constituer des contrôles de première ligne lorsqu’elles concernent l’administration quotidienne des cartes, la vérification des comptes ou le traitement des paiements, comme les activités réalisées par le Centre d’expertise des cartes d’achat du gouvernement.

La deuxième ligne comprend les fonctions de gestion qui appuient la surveillance de la gestion des risques, de la conformité, de l’assurance de la qualité et des contrôles internes. Pour les cartes d’achat, cela comprend les fonctions de la DGSMF qui évaluent, suivent ou appuient le fonctionnement des contrôles, comme l’équipe des contrôles internes et les équipes d’assurance de la qualité. Ces fonctions appuient la surveillance exercée par la direction, tout en demeurant des fonctions de gestion. La troisième ligne est l’audit interne, qui fournit une assurance indépendante à l’égard de la gouvernance, de la gestion des risques et des contrôles.

Gestion des cartes d'achat axée sur les risques

L’audit a révélé que le cadre de gouvernance et de contrôle appuie la surveillance continue et la gestion axée sur les risques des cartes d’achat. La DGSMF utilise l’information provenant des dossiers des titulaires de carte, des activités transactionnelles, des résultats d’assurance de la qualité et des activités de suivi afin de déterminer les cas où les contrôles, les limites ou l’accès des titulaires de carte pourraient devoir être ajustés.

Au cours de l’audit, la DGSMF mettait en œuvre plusieurs améliorations aux contrôles, à compter de décembre 2025. Celles-ci comprenaient l’examen de la population des titulaires de carte, la réduction du nombre de titulaires lorsqu’un besoin opérationnel démontré n’existait plus, la révision des limites de transaction et des limites mensuelles en fonction de l’utilisation prévue et des besoins opérationnels, l’augmentation du niveau de délégation requis au niveau de directeur et plus pour demander l’émission de nouvelles cartes et pour attester les transactions effectuées au moyen de cartes d’achat en vertu de l’article 34, ainsi que la mise en œuvre d’orientations ministérielles mises à jour et de modèles connexes.

Ces mesures sont conformes à une approche axée sur les risques pour gérer l’exposition globale du Ministère associée à l’utilisation des cartes d’achat. L’audit a noté que le crédit mensuel total disponible pour l’ensemble des cartes d’achat ouvertes est passé d’environ 29,9 millions de dollars au 31 mars 2025 à environ 19,0 millions de dollars au 1er mai 2026, soit une réduction d’environ 36 %. Cette réduction favorise une meilleure harmonisation de l’accès aux cartes et du crédit disponible avec les besoins opérationnels et les risques.

Des politiques, des procédures, des orientations et des outils sont en place

L’audit a révélé qu’ECCC a établi des politiques, des procédures, des orientations et des outils pour appuyer la gestion et l’utilisation des cartes d’achat. La Directive ministérielle sur les cartes d’achat définit les rôles et responsabilités du DPF, du coordonnateur ministériel des cartes d’achat, des personnes détenant des pouvoirs délégués, des gestionnaires et des titulaires de carte. La directive et les procédures connexes énoncent les exigences relatives à l’émission, à l’utilisation, à la protection, au rapprochement, à la vérification des comptes, au paiement, à la suspension et à l’annulation des cartes.

Des orientations et des outils connexes sont également disponibles pour aider les titulaires de carte et les gestionnaires à s’acquitter de leurs responsabilités. Ceux-ci comprennent les procédures ministérielles sur les cartes d’achat, des orientations sur l’utilisation appropriée des cartes d’achat du gouvernement, les exigences relatives aux pièces justificatives essentielles, les instructions relatives au rapprochement mensuel, les exigences en matière de formation, ainsi que l’accès au Centre d’expertise des cartes d’achat du gouvernement pour obtenir des réponses aux questions et du soutien.

La formation est offerte, mais sa couverture est limitée

ECCC a élaboré des activités de formation et de sensibilisation pour aider les titulaires de carte et les gestionnaires à s’acquitter de leurs responsabilités liées aux cartes d’achat. Celles-ci comprennent l’atelier sur les cartes d’achat du gouvernement (CAG) pour les nouveaux titulaires de carte, la formation sur les achats écologiques, la formation liée à SAP, les orientations sur l’utilisation appropriée des CAG, les instructions pour soumettre les dossiers de compte liés aux CAG, la page intranet sur les cartes d’achat et des communications trimestrielles de sensibilisation.

Toutefois, la formation officielle sur les CAG n’avait pas été suivie de façon généralisée par l’ensemble de la population active des titulaires de carte au cours de la période examinée. L’atelier sur les CAG est obligatoire pour les nouveaux titulaires avant l’émission d’une carte, mais il n’a pas été exigé pour les titulaires de carte avant 2023. Selon les dossiers de formation examinés, environ 14 % des titulaires de carte actifs avaient suivi la formation sur les CAG.

Ce constat est important, car de nombreux contrôles relatifs aux cartes d’achat reposent sur la capacité des titulaires de carte et des gestionnaires à savoir dans quelles circonstances l’utilisation d’une CAG est appropriée, quelles approbations et pièces justificatives sont requises, comment protéger la carte, et comment respecter les exigences relatives au rapprochement et à l’attestation prévue à l’article 34 de la LGFP. Une couverture limitée de la formation accroît le risque que les exigences soient appliquées de façon incohérente.

Les contrôles liés au cycle de vie n'ont pas été entièrement mis à jour ou testés

Au fil du temps, ECCC a mis à jour les politiques, les procédures, les orientations, les modèles et les processus liés aux cartes d’achat. La gestion des cartes d’achat dépend également de fonctions et de processus connexes, notamment l’approvisionnement, la délégation des pouvoirs financiers, la vérification des comptes, les ressources humaines et les départs d’employés.

Les démonstrations de processus réalisées par l’équipe d’audit ont permis de relever des exemples de contrôles préventifs bien conçus à des points clés du cycle de vie des cartes. Avant l’émission d’une carte, les formulaires de demande et de déclaration documentent la confirmation par le gestionnaire du besoin opérationnel et de l’utilisation prévue, l’achèvement de la formation requise, ainsi que la reconnaissance par le titulaire de carte de ses responsabilités et des conséquences en cas de non-conformité. Pendant l’utilisation de la carte, les contrôles comprennent les limites de transaction et les limites mensuelles, les restrictions relatives aux achats autorisés et non autorisés, ainsi que les paramètres bancaires qui bloquent certaines catégories de commerçants, comme les avances de fonds, les voyages et d’autres types de transactions restreintes. Lorsque des employés quittent le Ministère, le processus de départ des employés de la DGSMF appuie l’envoi en temps opportun d’un avis au Centre d’expertise des CAG afin que la carte soit retournée, suspendue ou annulée.

Toutefois, la documentation globale des contrôles internes relatifs aux activités opérationnelles liées aux cartes d’achat n’a pas été entièrement mise à jour afin de refléter l’environnement opérationnel actuel. Cela comprend les descriptions de contrôles, les schémas de processus, les organigrammes de processus et les matrices de contrôle qui indiquent les contrôles clés, les propriétaires des contrôles, les objectifs de contrôle, les risques connexes et les points de transfert tout au long du cycle de vie des cartes d’achat. Par conséquent, il n’existait pas de vue consolidée permettant de démontrer facilement comment les principaux contrôles liés au cycle de vie sont censés fonctionner, de l’émission à l’annulation d’une carte. Cela limite la visibilité quant à savoir si les contrôles demeurent harmonisés avec les exigences, les systèmes, les rôles et les processus actuels.

L’audit a également révélé que l’ensemble des contrôles liés au cycle de vie des cartes d’achat n’a pas été testé périodiquement afin de confirmer si les contrôles fonctionnent comme prévu, à l’exception des contrôles liés à la portion de gestion des dépenses des transactions effectuées au moyen de CAG. Ces contrôles de gestion des dépenses sont testés et suivis de façon continue dans le cadre du processus opérationnel des achats, paiements et créditeurs, ainsi que des activités d’assurance de la qualité liées à la vérification des comptes. Cela crée une lacune dans la couverture des tests périodiques pour les contrôles qui ne relèvent pas de la gestion des dépenses au niveau des transactions, notamment l’admissibilité des titulaires de carte, le besoin opérationnel, l’émission des cartes, la protection des cartes, les cartes inactives et l’annulation en temps opportun.

Par exemple, le processus d’émission repose sur les gestionnaires délégués pour confirmer que les employés sont admissibles et qu’ils ont un besoin opérationnel d’obtenir une carte d’achat avant qu’une demande soit soumise. Le Centre d’expertise des CAG traite les demandes de cartes en fonction de l’information fournie et ne vérifie pas de façon indépendante toutes les exigences d’admissibilité sous-jacentes. Par conséquent, si ces exigences n’ont pas été correctement validées par le gestionnaire responsable de l’article 34 au moment de la demande, cela pourrait ne pas être détecté dans le cadre du processus d’émission actuel. Les tests d’audit portant sur 11 nouvelles demandes de cartes ont confirmé que les titulaires de carte échantillonnés étaient des employés actifs d’ECCC. Toutefois, cela n’a pas permis de fournir l’assurance que toutes les exigences d’admissibilité, comme la durée d’emploi des employés nommés pour une période déterminée, ou le besoin opérationnel associé à chaque carte, avaient été évaluées et documentées de façon uniforme. Cela illustre la nécessité de tester périodiquement les contrôles relatifs aux cartes d’achat au-delà de l’assurance de la qualité liée à la gestion des dépenses.

Un examen des profils de titulaires de carte actifs générés au moyen de la plateforme bancaire a également révélé que, bien que la plupart des cartes comportaient des restrictions de catégories de commerçants activées pour bloquer les achats non autorisés, 22 cartes ne comportaient pas toutes les restrictions requises. Cela indique que le contrôle est bien conçu, mais que son efficacité dépend d’une configuration manuelle uniforme et d’une vérification périodique.

L’audit a également noté que, contrairement aux départs d’employés, les mouvements internes au sein du Ministère ne déclenchent pas automatiquement l’envoi d’un avis au Centre d’expertise des CAG. Le processus repose plutôt sur les gestionnaires responsables de l’article 34 pour aviser le Centre lorsqu’un titulaire de carte change de poste, de direction générale, de gestionnaire ou de centre de coûts. Par conséquent, les mouvements internes peuvent ne pas déclencher de façon uniforme une réévaluation du besoin opérationnel continu du titulaire de carte, des limites de la carte, du centre de coûts, du gestionnaire délégué ou de l’information de codage. Cet aspect est important, car des informations désuètes sur les titulaires de carte peuvent affaiblir la surveillance des activités liées aux cartes. Les transactions peuvent être imputées au mauvais centre de coûts, nécessiter un suivi supplémentaire ou des écritures de correction, et engendrer des efforts administratifs inutiles. Cela peut également réduire la visibilité du gestionnaire approprié, ce qui accroît le risque que les transactions ne soient pas examinées ou traitées en temps opportun.

L’examen, la mise à jour et les tests périodiques des contrôles relatifs aux cartes d’achat sont importants pour confirmer que les contrôles demeurent à jour, clairement documentés et qu’ils fonctionnent comme prévu. Cela est particulièrement important dans un environnement de contrôle partagé où les responsabilités sont réparties entre les titulaires de carte, les gestionnaires, les personnes détenant des pouvoirs délégués et les fonctions de la DGSMF.

2.2. Conformité aux politiques et procédures relatives aux cartes d'achat

L’audit s’attendait à ce que les transactions par carte d’achat soient conformes aux exigences applicables en matière de lois et de politiques, notamment en matière d’autorisation, de certification et d’utilisation appropriée.

Exigences relatives aux titulaires de cartes et aux gestionnaires délégués au titre de l'article 34

Les titulaires de carte doivent utiliser les cartes d’achat conformément aux exigences du Conseil du Trésor et du Ministère. Cela comprend le respect des limites de transaction, des restrictions relatives aux types de biens et services pouvant être achetés, ainsi que de l’exigence d’obtenir et de documenter l’approbation préalable appropriée et l’engagement des dépenses en vertu de l’article 32 de la LGFP, le cas échéant, avant d’effectuer un achat.

Les gestionnaires de centre de responsabilité sont responsables d’examiner les transactions effectuées au moyen de cartes d’achat et d’attester, en vertu de l’article 34 de la LGFP, que les biens ou services ont été reçus, que la transaction est valide et que les pièces justificatives requises sont disponibles. Chaque mois, les titulaires de carte doivent rapprocher leurs relevés de carte de crédit avec les dépenses enregistrées dans SAP et soumettre leur rapport d’activités de carte de crédit, l’attestation en vertu de l’article 34 de la LGFP, le relevé de la Banque Nationale du Canada et les pièces justificatives au Centre d’expertise des CAG dans les 20 jours ouvrables suivant la date du relevé.

Les orientations ministérielles décrivent les utilisations autorisées et non autorisées des cartes d’achat, y compris les restrictions visant certains types d’achats. Des pièces justificatives ou approbations supplémentaires sont requises pour les transactions sensibles ou restreintes, comme les prix et récompenses, les frais d’adhésion, l’accueil, la formation, les événements et les cadeaux destinés aux Premières Nations, aux Inuits ou aux Métis, ainsi que les autres achats nécessitant une approbation préalable particulière.

Vérifications effectuées par le Centre d'Expertise des CAG

À titre d’autorité de paiement pour les transactions effectuées au moyen de CAG en vertu de l’article 33 de la LGFP, le Centre d’expertise des CAG doit vérifier que les relevés mensuels des CAG sont attestés par une personne détenant des pouvoirs délégués valides. Le Centre d’expertise des CAG est également responsable d’examiner les transactions effectuées au moyen de CAG qui relèvent de types de dépenses plus sensibles ou présentant un risque plus élevé, et de veiller à ce que les paiements à l’émetteur de cartes soient effectués en temps opportun.

Résultats des tests

L’audit a testé 396 transactions effectuées au moyen de cartes d’achat, dont 271 transactions sélectionnées dans le cadre d’un échantillon représentatif et 125 transactions ciblées sélectionnées en fonction de caractéristiques présentant un risque plus élevé ou signalées au moyen de l’analyse des données.

Les tests ont révélé que plusieurs contrôles clés fonctionnaient comme prévu, comme l’indique le tableau ci-dessous.

Dans l’ensemble, les exceptions au niveau des transactions étaient limitées. Les tests d’audit ont permis de relever 16 transactions pour lesquelles le dossier ne démontrait pas clairement que les exigences relatives aux cartes d’achat avaient été entièrement respectées. Ces exceptions comprenaient des factures ou des pièces justificatives manquantes, des approbations préalables ou des approbations d’exception manquantes, des achats qui n’étaient pas clairement appuyés par les orientations ministérielles, ainsi que des achats pour lesquels une documentation supplémentaire relative à l’approvisionnement ou au mode de paiement aurait été attendue.

Ces exceptions sont principalement liées aux responsabilités des titulaires de carte et des gestionnaires responsables de l’article 34, qui doivent veiller à ce que les achats soient appropriés, autorisés et appuyés. L’équipe d’audit a signalé ces exceptions au Centre d’expertise des CAG aux fins de suivi et de mesures correctives, au besoin.

Les améliorations récentes aux contrôles apportées par la DGSMF devraient contribuer à réduire les exceptions semblables au fil du temps en renforçant la conformité des titulaires de carte et des gestionnaires délégués. Comme bon nombre des transactions échantillonnées ont eu lieu avant la mise en œuvre de ces améliorations, ou avant qu’elles aient eu le temps de produire leurs effets, leur incidence n’est pas pleinement reflétée dans les résultats des tests d’audit. Toutefois, les résultats demeurent pertinents, car ils permettent de cerner les secteurs où une attention, des mesures de suivi et un suivi continu sont justifiés.

2.3. Suivi de l'utilisation des cartes d'achat

L’audit s’attendait à ce que les activités de suivi, d’assurance qualité, et de production de rapports concernant l’utilisation des cartes d’achat soient en place, réalisées de façon uniforme et utilisées pour appuyer la prise de mesures correctives en temps opportun ainsi que l’amélioration continue des contrôles internes.

ECCC assure le suivi des transactions effectuées au moyen de cartes d’achat au moyen d’une combinaison d’activités d’assurance de la qualité et de vérification des comptes en matière de gestion des dépenses, ainsi que d’activités de suivi propres aux CAG. Ces activités visent à confirmer que les transactions sont valides, exactes, dûment autorisées et appuyées, et que les contrôles clés liés au déclenchement des dépenses, à l’engagement des dépenses en vertu de l’article 32 de la LGFP, au pouvoir d’effectuer des transactions et à l’attestation en vertu de l’article 34 de la LGFP sont appliqués correctement et de façon uniforme.

ECCC a établi un Plan d’assurance de la qualité axé sur les risques en matière de gestion des dépenses, approuvé annuellement par le DPF. Le plan précise le niveau de risque de différents types de paiements, le niveau d’assurance de la qualité et les responsabilités de vérification des personnes détenant des pouvoirs de paiement délégués en vertu de l’article 33 de la LGFP, ainsi que l’approche d’échantillonnage. Les transactions effectuées au moyen de CAG sont incluses comme un volet de ce processus plus large d’assurance de la qualité en matière de gestion des dépenses.

Le Plan d’assurance de la qualité fait la distinction entre les transactions régulières effectuées au moyen de CAG et les transactions présentant un risque plus élevé ou sensibles payées au moyen d’une CAG. Les transactions régulières effectuées au moyen de CAG de plus de 50 $ et de moins de 10 000 $ font l’objet d’un examen par échantillonnage statistique trimestriel. Lorsqu’une CAG est utilisée pour payer des transactions qui relèvent de types de dépenses plus sensibles ou présentant un risque plus élevé, ces transactions font l’objet d’un examen complet par le Centre d’expertise des CAG.

De plus, la Ligne directrice d’ECCC visant à renforcer la saine gestion financière des dépenses et des pouvoirs en vertu de l’article 34 de la LGFP établit des activités de suivi propres aux CAG pour les transactions à risque faible et moyen. Cela comprend une vérification mensuelle fondée sur des critères comme certaines tendances de montants, les cas possibles de fractionnement de contrat et d’autres transactions suspectes. Les erreurs relevées dans le cadre de ces activités doivent être intégrées au processus de mesures correctives.

Afin d’appuyer le suivi lorsque des cas de non-conformité sont relevés, la ligne directrice précise la façon dont les erreurs financières relevées dans le cadre des examens d’assurance de la qualité en vertu de l’article 33 de la LGFP et des activités de suivi connexes doivent être gérées, suivies, signalées et escaladées. Le processus prévoit des mesures correctives progressives en fonction de la gravité et de la récurrence des cas de non-conformité, comme des communications de sensibilisation, de la formation ciblée, des avis aux cadres hiérarchiques, des plans d’action de la direction, ainsi que la restriction ou la suspension des pouvoirs délégués, lorsque cela est justifié.

Les activités d'assurance qualité appuyaient généralement la prise des mesures correctives

L’audit a révélé que des activités de suivi, d’assurance de la qualité trimestrielle et de production de rapports concernant les transactions effectuées au moyen de CAG ont été réalisées au cours de la période visée par la portée de l’audit. Les résultats ont été analysés et communiqués, et les erreurs relevées dans le cadre de ces examens ont fait l’objet d’un suivi selon le processus de mesures correctives. Ces mesures comprenaient notamment des courriels de sensibilisation, de la formation ciblée et des mesures d’escalade, au besoin.

L’audit a également révélé que le Centre d’expertise des CAG effectue un suivi mensuel afin de détecter les cas possibles de fractionnement de contrat. L’examen des dossiers de suivi a confirmé que cette activité a été menée tout au long de la période visée par l’examen. Les transactions repérées dans le cadre de ce processus sont examinées et, lorsque des indicateurs de risque sont relevés, les titulaires de carte sont contactés afin d’obtenir des explications ou des informations à l’appui. Les erreurs confirmées sont consignées et font l’objet d’un suivi en vue de la prise de mesures correctives.

L’équipe d’audit a également été informée de cas où les activités de suivi ont mené à des mesures correctives. Par exemple, lorsque des transactions soulevaient des préoccupations, notamment en ce qui concerne un fractionnement possible de contrat, des démarches de suivi ont été effectuées auprès des groupes responsables afin de clarifier la situation et d’appuyer la prise de mesures correctives. Dans certains cas, les cartes ont été suspendues jusqu’à ce que les titulaires aient suivi une formation supplémentaire.

Les activités de suivi établies et les mesures récentes prises par la DGSMF fournissent une surveillance importante des transactions effectuées au moyen de CAG, particulièrement compte tenu du caractère important, du volume élevé et de la nature décentralisée de l’utilisation des cartes d’achat à ECCC. Elles indiquent également que la DGSMF a pris des mesures pour suivre l’utilisation des cartes d’achat, donner suite aux enjeux relevés et renforcer les contrôles au besoin. Le processus ministériel d’escalade fournit une approche structurée et progressive pour traiter les cas de non-conformité ; toutefois, son efficacité dépend de la détection en temps opportun des enjeux, d’une couverture suffisante des activités de suivi, de pratiques d’examen uniformes et de mesures correctives qui demeurent proportionnelles à la nature et au niveau de risque de l’enjeu.

Opportunités de renforcer le suivi axé sur les risques

Bien que des activités de suivi soient en place, l’approche actuelle pourrait être renforcée afin d’offrir une visibilité plus large et axée sur les risques à l’égard de l’utilisation des cartes d’achat. Le suivi mensuel actuel vise notamment les cas possibles de fractionnement de contrat. Toutefois, les tests d’audit ont permis de relever des exceptions au niveau des transactions qui étaient généralement liées à des pièces justificatives manquantes, à des approbations manquantes, à des achats qui n’étaient pas clairement appuyés par les lignes directrices ministérielles, ou à des achats pour lesquels une documentation supplémentaire relative à l’approvisionnement ou au mode de paiement aurait été attendue. Ces types d’exceptions indiquent que le suivi pourrait être élargi et systématisé afin d’inclure d’autres tendances de transactions présentant un risque plus élevé, comme des activités inhabituelles auprès de certains fournisseurs, des achats répétés auprès du même fournisseur sur de plus longues périodes, des tendances pouvant indiquer des problèmes récurrents de documentation ou d’approbation, ou des achats qui pourraient nécessiter le recours à d’autres mécanismes d’approvisionnement.

Compte tenu de l’étendue des activités d’ECCC et de la diversité des profils des titulaires de carte, l’utilisation des cartes d’achat comporte des risques inhérents qui vont au-delà des indicateurs habituels, comme la valeur monétaire. Bien que les cartes d’achat constituent un mode de paiement, elles doivent tout de même être utilisées conformément aux directives, politiques, pouvoirs et pratiques applicables du gouvernement et du Ministère.

Par exemple, une équipe peut utiliser une carte d’achat pour acheter de l’équipement ou du matériel de faible valeur qui appuie les opérations sur le terrain, mais qui peut également entraîner des considérations continues liées à la gérance et à la gestion du cycle de vie, comme le suivi, l’entretien, la réparation, le remplacement ou l’aliénation. Une équipe peut également utiliser une carte d’achat pour acheter des services autorisés qui pourraient comporter des obligations normalement traitées dans le cadre d’une entente contractuelle officielle assortie de modalités appropriées. Un suivi accru axé sur les risques pourrait aider à repérer ces types de transactions aux fins d’un examen plus approfondi et à réduire le risque que les responsabilités ou obligations connexes ne soient pas adéquatement relevées, gérées ou appuyées.

D’autres tendances de transactions pourraient également justifier un examen. Par exemple, des achats répétés de fournitures ou d’équipement similaires dans plusieurs laboratoires ou directions générales pourraient indiquer une possibilité de recourir à une approche d’approvisionnement planifiée, tandis que des paiements à des organisations qui reçoivent également des paiements de transfert du Ministère pourraient servir d’indicateur de risque pour cerner un chevauchement potentiel, une duplication ou des enjeux liés au mode d’approvisionnement. Ces exemples ne constituent pas en soi des cas de non-conformité ; ils illustrent plutôt les types de risques inhérents qu’un suivi plus adapté pourrait aider à repérer aux fins d’un examen, d’orientations, ou d’un suivi plus approfondi.

Le Centre d’expertise des CAG a commencé à explorer des analyses plus larges des transactions, notamment par fournisseur et par type d’achat. Toutefois, ces activités ne faisaient pas encore partie d’une approche de suivi systématique et durable. Le Ministère a accès à de l’information transactionnelle en temps opportun ainsi qu’à des capacités d’analyse et de production de rapports au moyen de la plateforme de la Banque Nationale du Canada (NBC), de même qu’à des sources de données internes d’ECCC. Ces capacités pourraient être utilisées de façon plus complète pour appuyer le suivi axé sur les risques, notamment au moyen d’analyses par fournisseur, titulaire de carte, direction générale, type de transaction, limite de crédit et tendances inhabituelles des dépenses. Une meilleure utilisation des rapports de la BNC, combinée aux données internes d’ECCC, aiderait à cerner plus efficacement les tendances, les anomalies et les cas potentiels de non-conformité, et à appuyer un suivi plus ciblé.

Compte tenu du volume, de la valeur et de la nature décentralisée des activités liées aux CAG, une meilleure utilisation des données transactionnelles disponibles, des outils de production de rapports, de l’analytique et, le cas échéant, des outils fondés sur l’IA aiderait à élargir la couverture du suivi, à prioriser les transactions présentant un risque plus élevé aux fins d’examen, à réduire la dépendance à l’égard des examens manuels et à appuyer une identification plus rapide des tendances, des anomalies, des risques émergents et des mesures correctives.

3. Conclusion

Dans l’ensemble, l’audit a conclu que les contrôles relatifs aux cartes d’achat appuient généralement leur gestion efficace et la conformité aux lois applicables et aux politiques pertinentes. ECCC a établi des rôles et responsabilités, des politiques, des procédures, des orientations et des outils, et la DGSMF a utilisé l’information disponible pour appuyer des ajustements axés sur les risques concernant l’accès aux cartes, les limites et les contrôles connexes.

Toutefois, il y a des opportunités de renforcer l’uniformité, la visibilité et l’efficacité continue des contrôles tout au long du cycle de vie des cartes d’achat. La documentation et les tests des contrôles liés au cycle de vie n’ont pas été entièrement mis à jour, la couverture de la formation pour les titulaires de carte existants était limitée, et les données transactionnelles et outils de production de rapports disponibles n’étaient pas encore utilisés de façon systématique pour appuyer un suivi plus large axé sur les risques. Les tests d’audit ont également permis de relever un nombre limité de dossiers de transaction où la nature, la justification, l’approbation ou le caractère approprié des achats n’étaient pas clairement démontrés.

La DGSMF a récemment mis en œuvre des mesures pour renforcer la gestion des cartes d’achat, notamment des mises à jour aux orientations, aux limites des titulaires de carte, aux exigences d’approbation et à la population de titulaires de carte. Bien que ces mesures soient conformes à une approche axée sur les risques, leur incidence ne pouvait pas encore être pleinement évaluée au moyen des tests d’audit.

Le renforcement de la documentation et des tests des contrôles liés au cycle de vie, le renforcement de la formation, l’examen des exceptions relevées dans le cadre des tests d’audit, ainsi qu’une meilleure utilisation des données transactionnelles et des outils de production de rapports disponibles permettraient d’appuyer une application plus uniforme des exigences, une identification plus rapide des enjeux de conformité, des mesures correctives plus ciblées et une saine gestion financière continue des cartes d’achat.

4. Annexe A - Critères d'audit