Au-delà de la réglementation

Table des matières

• Le rôle essentiel de l’audit interne dans la gestion des risques
• Partir du bon pied
• Réalisation d’un audit efficace de la protection des renseignements personnels
• Affectation de ressources pour un audit efficace de la protection des renseignements personnels
• La voie de l’avenir

Le rôle essentiel de l’audit interne dans la gestion des risques

L’audit interne fait ressortir la nécessité de mettre en place des contrôles rigoureux. Il permet également d’harmoniser la façon dont les risques liés à la protection des renseignements personnels sont identifiés, compris et atténués, et ce, de la haute direction à la salle du courrier.

Cette fonction est particulièrement utile pendant les périodes de perturbation, où la gestion des risques ne semble pas pouvoir répondre rapidement et efficacement au changement. La protection des renseignements personnels et la sécurité des données sont des exercices périlleux. L’audit interne vous aide à composer avec ce terrain miné, qu’il s’agisse du déploiement d’un nouveau modèle d’entreprise, d’une transformation numérique ou de la réponse à une pandémie.

Amener les décideurs à se poser les bonnes questions

L’audit interne amène également les membres du personnel à comprendre les conséquences de leurs décisions et de leurs actions et à prendre des mesures pour les atténuer. Appliquée à la protection des renseignements personnels et à la sécurité des données, cette vigilance se traduit par un souci apporté aux processus de collecte, d’analyse et de gestion des données. On s’assure qu’elles servent aux fins prévues sans créer de difficultés ni contraintes supplémentaires.

La liste de questions suivante permet de dégager les façons d’agir, les comportements et les éléments d’appréciation recherchés en matière de protection des renseignements personnels :

1. Quelles exigences réglementaires et légales doit-on observer?
2. Sait-on où l’on peut trouver des renseignements personnels à l’échelle de l’organisation?
3. A-t-on mis en place des politiques et des procédures pour la protection des renseignements personnels?
4. Que fait-on pour assurer la protection des renseignements personnels à chaque étape du cycle de transmission de l’information?
5. A-t-on mis en place un plan d’intervention en cas de cyberattaque et d’intrusion?
6. Est-ce que l’on effectue un suivi du programme de gestion de la protection des renseignements personnels?
7. A-t-on mis en place un processus qui permet de se pencher sur l’utilisation secondaire des données?
8. Est-ce que l’on a bien cerné les risques qui sont liés à la protection des renseignements personnels?
9. Est-ce que les nouvelles initiatives s’accompagnent d’une évaluation des risques liés à la protection des renseignements personnels?
10. A-t-on évalué l’incidence de la COVID-19 sur notre programme de gestion de la protection des renseignements personnels?

Mieux comprendre comment la protection des renseignements personnels et la sécurité des données s’inscrivent dans une vision globale des risques organisationnels

Il est rare que les auditeurs internes traitent d’un sujet de manière isolée. Au contraire, ils sont là pour expliquer aux décideurs comment certains risques sont corrélés les uns aux autres dans un contexte donné. Par exemple, devrait-on procéder l’intégration rapide d’une nouvelle application ou courir le risque de perdre définitivement des clients dont les habitudes d’achat ont été modifiées par la pandémie? Quels sont les risques à la sécurité des renseignements personnels?

L’audit interne présente une vision panoramique de l’ensemble des risques, ce qui permet aux décideurs de faire les bons choix : Ainsi, non seulement l’organisation se protège contre les torts les plus susceptibles de survenir, mais elle se donne aussi les moyens de saisir les meilleures possibilités qui s’offrent à elle. 

S’assurer que les priorités et les contrôles opèrent comme prévu

Cela dit, il est difficile de garantir la conformité universelle d’une organisation, car elle ne peut pas prévoir tous les risques auxquels elle sera confrontée, et ce, même si elle procède à une évaluation minutieuse des risques ou qu’elle dispose d’un cadre opérationnel et d’un système de contrôle rigoureux. C’est pourquoi l’audit officiel demeure l’une des fonctions les plus importantes de l’audit interne. Dressant le portrait de la situation actuelle, les audits révèlent comment les pratiques actuelles isolent ou exposent l’organisation.

Au nombre des questions sur la protection des renseignements personnels et la sécurité des données auxquelles un audit officiel peut répondre, on note les suivantes :

• Est-ce que les employés échangent couramment des renseignements confidentiels sur des plateformes non chiffrées (p. ex., des courriels)?
• Est-ce que l’organisation utilise les renseignements personnels à d’autres fins que celles qui ont été divulguées?
• Est-ce que l’organisation supprime les renseignements personnels de façon sécurisée lorsqu’elle n’en a plus besoin?
• Est-ce que l’organisation a fait évoluer ses processus de manipulation et de stockage de données pour se conformer à la nouvelle réglementation ou à celle à venir?
• Est-ce que les employés et les décideurs ont reçu une formation adéquate sur la transmission sécuritaire et responsable des renseignements personnels?

Les audits officiels se prêtent également à la simulation de l’incidence d’une brèche ou d’une fuite de données. La connaissance des forces et des faiblesses de l’organisation dans une situation donnée peut révéler a) les activités qui présentent le plus de risques à la protection des renseignements personnels; b) l’ampleur et la gravité probables de la compromission des données; c) à quel point il serait difficile de régler le problème; et d) les risques de dommages financiers, réglementaires et réputationnels. Ce genre de constat donne à réfléchir et est très efficace pour mettre tout le monde sur la même longueur d’onde afin d’assurer une gestion rigoureuse des risques. 

Quand faut-il faire appel aux services-conseils d’un professionnel en audit interne

• Au moment de l’examen des risques associés à la protection des renseignements personnels et à la sécurité des données à l’échelle de l’organisation. 
  Planification annuelle des audits, évaluation de la maturité des programmes, harmonisation avec la nouvelle réglementation, etc.
• Au déploiement d’une stratégie de transformation numérique.
  Automatisation des processus opérationnels, analyse des données, engagement client, etc.
• À la mise en œuvre d’une nouvelle technologique. 
  Migrations vers des systèmes infonuagiques, PGI, gestion des relations clients, changement de fournisseur, etc.
• À la présentation de nouveaux modèles opérationnels ou d’engagement des clients. 
  Commerce électronique, services à valeur ajoutée, ventes

Audit de la protection des renseignements personnels dans le contexte de la COVID-19

Travailler et collaborer à distance de façon sécurisée

L’audit interne permet de déterminer si les pratiques et les capacités opérationnelles de l’organisation en contexte de télétravail posent un risque d’atteinte à la protection des renseignements personnels.

L’audit serait axé sur les plateformes technologiques, nouvelles et existantes; présententelles des failles de sécurité? L’organisation pourra aussi vérifier si les employés ont adopté de bonnes pratiques de gestion des données et s’ils ont sécurisé leur matériel informatique contre les cyberattaques.

Favoriser un retour au travail en toute sécurité

L’audit interne permet également d’évaluer et de calculer les risques liés à l’adoption de nouvelles applications de dépistage de la COVID-19 et de la recherche de contacts.

La portée du mandat comprend l’évaluation des protocoles de sécurité des fournisseurs. De plus, il facilite la coordination avec les cadres supérieurs, les ressources humaines et les gestionnaires chargés du rendement pour veiller à l’application des politiques et des procédures de collecte et de gestion des données. 

Partir du bon pied

L’élaboration d’une stratégie de protection des renseignements personnels dans le cadre d’un audit interne peut vous sembler titanesque, surtout si vous ne disposez pas d’un service d’audit interne ou si la protection des renseignements personnels ne fait pas partie de votre planification annuelle. Ne perdez pas de vue qu’il s’agit d’un processus continu et itératif. Au départ, faites de petits pas pour tâter le terrain et cerner les risques les plus pressants. Ensuite, servez-vous de ces informations pour améliorer la performance du programme.

Connaissance et compréhension du contexte

D’abord, il faut comprendre la place que les renseignements personnels occupent au sein de l’organisation, ainsi que la réglementation à laquelle ils sont soumis.

• Dans quels territoires l’organisation opère-t-elle et quels sont les lois et règlements applicables?
  À titre d’exemple, toutes les organisations canadiennes doivent se conformer à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Les organisations qui ont des clients européens doivent respecter le Règlement général sur la protection des données (RGPD), etc.
  
• Quels sont les renseignements personnels que l’organisation recueille, utilise, ou communique?
  Dans les faits, il est notamment question de données sur les employés ou les clients, ou encore d’informations recueillies par l’intermédiaire du site Web de l’organisation, de sondages, de courriels et d’autres correspondances, etc.
• De quelle manière les renseignements personnels sont-ils recueillis et communiqués au sein de l’organisation?
  À titre indicatif, on pourrait mentionner qu’ils circulent au moyen des applications de gestion des relations clients, du PGI, de la gestion des ressources humaines et de l’analyse des données. De même, ils se trouvent dans les courriels, les feuilles de calcul, les dossiers papier, les serveurs de fichiers, les logiciels de comptabilité, etc.
• Quelles sont les politiques et les procédures déjà en place en matière de protection des renseignements personnels et de sécurité des données?
  Quel cadre suivent-elles? À quand remonte leur dernière mise à jour? Sont-elles facilement accessibles? Les employés ont-ils reçu une formation adéquate? Est-ce qu’ils s’y conforment?

Définition des prochaines étapes

Une fois que vous aurez fait le point, vous pourrez commencer à planifier le programme de conformité de l’organisation. Consultez les décideurs et les experts pour vous attaquer aux risques et aux problèmes les plus criants. Renforcez la collaboration des parties concernées pour favoriser l’harmonisation des activités au sein de l’organisation.

Il faudra aussi commencer à intégrer les audits de la protection des renseignements personnels dans la planification des audits annuels. Selon la maturité du programme, le niveau de risque et le nombre de cadres réglementaires en cause, vous pouvez choisir d’effectuer des audits mensuels ou trimestriels supplémentaires d’ici à ce que la conformité de l’organisation soit assurée.

Intégration des fonctions d’audit interne aux autres activités de l’entreprise

Gérez les risques liés à la protection des renseignements personnels et à la sécurité des données de façon proactive, à mesure qu’ils se présentent. Comment? En participant aux initiatives mises en place au sein de l’organisation. Renseignez-vous auprès des cadres et des chefs de service afin de savoir sur quoi leurs équipes travaillent et si ces activités peuvent présenter de nouveaux risques.

Présentez l’audit interne comme une ressource utile qui peut contribuer à réduire les coûts, à gagner du temps et à augmenter les chances de réussite. Dans le meilleur des mondes, les décideurs et les agents de changement se tourneront vers l’audit interne avant de lancer une nouvelle initiative.

Voici quelques exemples de projets à haut risque auxquels vous devrez prêter une attention particulière :

• Les migrations vers des systèmes infonuagiques (surtout s’il est question d’informations personnelles ou privées);
• Les projets de transformation numérique et l’adoption de nouvelles technologies;
• La mise en application de nouvelles politiques et de nouveaux processus de gestion des données;
• Les nouveaux modèles d’entreprise (p. ex., le commerce électronique).

Importance accordée à la formation

Il incombe à tous les acteurs de l’organisation de posséder les connaissances et les compétences nécessaires pour traiter les renseignements personnels en toute sécurité. Collaborez avec les services de ressources humaines et des technologies de l’information pour mettre sur pied une formation de sensibilisation à la protection des renseignements personnels. À tout le moins, cela signifie que les employés sont tenus de connaître les politiques et les procédures de protection des renseignements personnels et de sécurité des données. Ils sont informés de tout changement apporté aux procédures et aux politiques, et savent comment elles s’appliquent à leurs activités et aux applications qu’ils utilisent.

Voyez s’il serait possible d’intégrer une formation sur la protection des renseignements personnels et la sécurité des données dans l’évaluation du rendement de chaque employé. Nombre d’organisations proposent des modules personnalisés, accessibles en ligne, sur la législation relative à la protection des renseignements personnels, les pratiques exemplaires et les écueils à éviter. La grande majorité des fuites et des brèches de sécurité se produisent à l’échelon individuel, si bien que cette solution peut s’avérer particulièrement intéressante pour les organisations qui souhaitent réduire les risques. 

Réalisation d’un audit efficace de la protection des renseignements personnels

La protection des renseignements personnels doit faire partie intégrante du plan d’audit annuel. À l’instar des données qui éclairent les stratégies dans l’ensemble de l’organisation, les décideurs et les planificateurs ont besoin de données pour améliorer la collecte des renseignements personnels et leur gestion.

Définition de la portée et du contexte de l’audit interne

Chaque pays et territoire où vous exercez vos activités a ses propres lois sur la protection des renseignements personnels auxquelles vous devez vous conformer. L’audit doit tenir compte de cette législation et évaluer la situation par rapport à ce barème.

Commencez par dresser une liste de tous les lieux où vous exercez vos activités, où vos employés et vos clients sont citoyens, où vous avez l’habitude de recueillir, de traiter, d’utiliser et de communiquer des renseignements personnels. Ensuite, relevez les lois sur la protection des renseignements personnels (p. ex., la LPRPDE, le RGPD, etc.) qui vous concernent et les contextes d’application. Puis, faites l’inventaire des renseignements personnels qui ont été recueillis, traités, utilisés et communiqués – et voyez comment les différentes lois s’appliquent.

Ces informations vous aideront à élaborer votre plan d’audit et à le rendre opérationnel. Néanmoins, elles sont également très utiles pour formuler des recommandations sur les politiques et les procédures organisationnelles de protection des renseignements personnels. Elles permettent de tracer un chemin efficace vers la conformité de l’organisation.

Élaboration d’un modèle de risque adapté à votre organisation

À cette étape, il faut choisir un modèle de risque adapté à la portée de vos activités et à votre contexte. Vous pouvez vous appuyer sur un certain nombre de cadres référentiels pour faciliter le déroulement de votre audit et mieux comprendre les risques que présentent certains facteurs. Il est également possible de les adapter à votre secteur d’activité, à vos obligations réglementaires, et ce, en fonction de la maturité numérique de votre organisation.

Les options les plus courantes sont les suivantes :

• Association canadienne de normalisation (CSA) – Les dix principes relatifs à l’équité dans le traitement de l’information
  Définis dans la LPRPDE, ces principes s’appliquent à toutes les organisations qui exercent des activités au Canada ou qui recueillent des renseignements personnels sur des citoyens canadiens.
• Cadre de protection des renseignements personnels de la National Institute of Standards and Technology (NIST)
  Énoncé d’un ensemble de principes de gestion des risques, appliqués sur une base volontaire, pour aider à établir un vocabulaire et des objectifs communs à l’intention des équipes interorganisationnelles chargées d’atténuer les risques liés à la protection des renseignements personnels.
• RGPD
  Règlement de l’Union européenne sur la protection des données à caractère personnel que les organisations doivent suivre lorsqu’elles exercent des activités sur son territoire ou quand elles recueillent des renseignements personnels sur ses citoyens.
• Critères des services Trust à l’égard de la protection des renseignements personnels du System and Organization Controls (SOC)
  Cadre axé sur la technologie, à phases multiples, qui a pour but de vérifier la nature, l’utilité, l’ampleur, les processus et la séc

Collaboration

Tissez des liens solides avec les dirigeants de l’organisation et obtenez leur adhésion à l’importance de la protection des renseignements personnels et de la sécurité des données. Tous les services se verront attribuer des objectifs et des priorités précis, ainsi que des indicateurs clés de performance. Faites de l’équipe d’audit interne un partenaire capable d’assurer la mise en œuvre responsable des nouvelles technologies et des nouveaux modèles d’entreprise.

Il faut faire preuve de souplesse et d’agilité, surtout dans un contexte marqué par la COVID-19. Néanmoins, les décisions qui sont prises à chaud doivent reposer sur une évaluation des risques. Pour ce faire, il faut garder la voie de communication ouverte entre le décideur et le spécialiste en gestion des risques.

Audit

Bouclez la boucle en mesurant continuellement l’efficacité des contrôles de sécurité. Menez des audits officiels en vous appuyant sur les cadres de protection des renseignements personnels décrits précédemment, et posez des questions :

• L’organisation se concentre-t-elle sur les bonnes priorités en matière de risques?
• Où l’organisation prête-t-elle le plus le flanc aux fuites de données ou aux intrusions?
• Peut-on dire que les pratiques et les priorités en matière de gestion des renseignements personnels sont normalisées dans l’ensemble de l’organisation?
• L’organisation est-elle en conformité avec toutes les politiques, procédures et exigences réglementaires?
• Est-ce que les employés comprennent bien le rôle qu’ils ont à jouer, et sont-ils en mesure de manipuler les renseignements personnels de manière sécuritaire?
• L’organisation a-t-elle adopté de nouveaux modèles d’entreprise ou de nouvelles technologies, et dans l’affirmative, est-ce qu’ils présentent des risques dont il faut tenir compte?

Les audits annuels ou semestriels exhaustifs ont toujours leur place. Toutefois, compte tenu du rythme des changements technologiques et culturels, surtout ceux qui découlent de la pandémie de la COVID-19, il est bon de se poser ces questions plus fréquemment.

Faites un bilan périodique des changements qui interviennent dans l’organisation, tant sur le plan technologique que structurel, et vérifiez dans quelle mesure ces changements compromettent votre capacité à protéger les renseignements des clients. De cette façon, les équipes d’audit interne pourront établir une passerelle entre les besoins toujours pressants de l’organisation et une logistique souple et sécuritaire.

À propos de MNP

Nos experts en audit interne travailleront avec vous à l’élaboration de mesures de contrôle internes adaptées à vos risques opérationnels critiques. Nous créons des solutions d’audit interne sur mesure et rentables qui vous permettront de mettre en place une gouvernance efficace, tout en fournissant à la haute direction de l’information fiable et pertinente.

MNP est un cabinet de comptabilité, de fiscalité et de services-conseils de premier plan au Canada. Nous sommes fiers de répondre aux besoins de nos clients des secteurs public, privé et sans but lucratif. Par l’intermédiaire de mandats dirigés par les associés eux-mêmes, nous proposons une démarche axée sur la coopération et l’efficience ainsi que des stratégies adaptées aux besoins des entreprises afin de les aider à connaître du succès, au pays comme à l’étranger. 

Pour plus d'information, communiquez avec Héloïse Bédard, Leader, Services de gestion des risques, au 438.469.4724 ou à l'adresse [email protected].