Vérification du cycle de vie du développement des systèmes informatiques

Contexte

Comme presque toutes les organisations des secteurs privé et public, le Commissariat aux langues officielles (le Commissariat) nécessite des applications, des outils et une infrastructure de technologie de l’information (TI) pour faciliter l’exécution de son mandat. Il est essentiel que les systèmes d’application du Commissariat soient élaborés et entretenus de manière efficace afin de garantir que ceux-ci répondent aux exigences en permanence. Par conséquent, il est important que des processus efficaces de développement et de maintenance des applications soient en place pour soutenir la mise en œuvre des projets axés sur la TI à l’échelle de l’organisation.

Le développement et la maintenance des applications sont les principaux éléments du cycle de développement des systèmes (CES). Il s’agit d’une méthode officielle d’usage courant pour élaborer ou modifier des systèmes d’application au sein d’une organisation. Une organisation doit établir une méthode du CES appropriée et attribuer la responsabilité de chaque phase du cycle afin que la conception, le développement et la maintenance du système puissent se dérouler sans heurts et avec précision.

Le CES commence par un besoin opérationnel perçu et s’étend à l’étude de faisabilité, la conception et l’élaboration, les analyses, la mise en œuvre, l’acceptation et l’approbation du système, l’examen après la mise en œuvre et la maintenance de l’application et des logiciels d’exploitation de système. Après chaque phase de ce cycle, il faut s’assurer que le système d’application nouveau ou révisé répond aux besoins de l’organisation, que les contrôles internes adéquats sont conformes aux objectifs de la direction et que l’application est correctement mise en œuvre.

Bien que le Commissariat ne soit pas soumis à la surveillance du Secrétariat du Conseil du Trésor du Canada (SCT) comme les autres ministères fédéraux, il est toujours tenu de se conformer à ses politiques. La Politique sur les services et le numérique du SCT (en vigueur depuis le 1er avril 2020) établit des exigences générales selon lesquelles les fonctions de TI des ministères doivent promouvoir la prestation de services et l’efficacité des activités opérationnelles gouvernementales par l’entremise d’une gestion stratégique de l’information et des données gouvernementales et en optimisant la TI. La gestion de ces fonctions est guidée par un engagement à l’égard des principes directeurs et pratiques exemplaires des Normes numériques du gouvernement du Canada : concevoir avec les utilisateurs; effectuer régulièrement des itérations et des améliorations; travailler ouvertement par défaut; utiliser des normes et des solutions ouvertes; gérer les risques en matière de sécurité et de protection des renseignements personnels; intégrer l’accessibilité dès le départ; permettre au personnel d’offrir de meilleurs services; être de bons utilisateurs de données; concevoir des services éthiques; collaborer à grande échelle. Plusieurs domaines de la nouvelle politique sont conformes à la méthode du CES.

Au moment de cette mission de vérification, le Commissariat disposait de deux applications principales qui sont utilisées à l’échelle de l’organisation, soit le serveur de contenu Open Text (système de gestion électronique des documents) et Microsoft Dynamics CRM (système de gestion électronique des dossiers et des cas). Le Commissariat a récemment déterminé que tout nouveau besoin en TI exprimé dans l’ensemble de l’organisation serait d’abord évalué pour décider si les deux principales applications ministérielles susmentionnées pouvaient répondre à ce besoin. Plus précisément, l’ordre de préférence stratégique consiste à utiliser les solutions organisationnelles existantes, à acheter une solution disponible sur le marché (DSM) ou à élaborer une solution personnalisée. Mis à part ces deux applications ministérielles, le Commissariat n’en dispose que de très peu. La grande majorité des projets axés sur la TI définis dans le cadre de l’analyse des besoins en TI pour 2019-2020 étaient liés à la solution de gestion des relations avec la clientèle (GRC) et nécessitent la configuration et l’ajustement d’un module d’application de GRC.

Objectif et portée de la vérification

L’objectif de la vérification était d’évaluer la pertinence et l’efficacité de la gestion par le Commissariat de son CES.

Plus précisément, la vérification visait à déterminer :

• si le Commissariat a mis en œuvre un cadre de contrôle de gestion efficace pour le CES de TI tenant compte de la reddition de comptes, des rôles et responsabilités et de la planification stratégique pour gérer le développement et la maintenance des applications;
• si le Commissariat a mis en œuvre des processus et des mécanismes de contrôle opérationnels efficaces à l’échelle de l’organisation, lesquels comprennent un cadre de gestion des projets de TI et une méthode exhaustive du CES.

La vérification a porté sur les activités et les initiatives réalisées jusqu’en février 2020. Elle s’est penchée sur le cadre de gouvernance actuel, le cadre de gestion des projets et la méthode du CES.

Observations positives

Pendant le déroulement de la vérification, un certain nombre de points forts ont été relevés, notamment :

• une structure et des mécanismes de gouvernance appropriés pour les projets axés sur la TI;
• un cadre officiel de gestion de projet et de changement récemment mis en place comprenant un centre d’expertise en gestion de projet, un sous-comité de révision des projets de GI-TI et un processus de demande de changement du système;
• un processus amélioré de planification et de hiérarchisation des priorités à l’échelle de l’organisation.

Conclusion

Compte tenu de sa petite taille, de sa simplicité relative et de son faible nombre d’applications par rapport aux autres ministères fédéraux, l’équipe de vérification peut conclure que le Commissariat a mis en place un cadre de contrôle de gestion efficace pour le développement et la maintenance des applications. Plus précisément, l’organisation a récemment pris des mesures positives pour améliorer la gouvernance, la planification et l’établissement des priorités, ainsi que la gestion des projets axés sur la TI.

Toutefois, l’attention de la haute direction est nécessaire pour combler certaines lacunes et certains points à améliorer afin d’aider l’organisation à gravir la courbe de maturité. Ces points comprennent la précision et la communication des rôles et responsabilités dans le cadre de la gestion de projet, la mise en place d’un plan d’action réalisable pour répondre aux exigences de la Politique sur les services et le numérique du SCT et l’officialisation d’une méthode du CES adaptée à la taille de l’organisation.

Recommandations

L’équipe de vérification a relevé les aspects à l’égard desquels des améliorations pourraient être apportées, ce qui a donné lieu à la formulation des recommandations suivantes :

1. Risque moyen : Il est recommandé que le directeur de la GI-TI élabore un plan d’action pour répondre aux exigences de la Politique sur les services et le numérique du SCT qui s’appliquent au Commissariat. Ce plan devrait comprendre des responsabilités et des calendriers clairs.
2. Risque moyen : Il est recommandé que le directeur de la planification, de la vérification et de l’évaluation (PVE) du Centre d’excellence en gestion de projet et du changement définisse et communique clairement les rôles et responsabilités en matière de gestion de projet au sein du Commissariat.
3. Risque moyen : Il est recommandé que le directeur de la GI-TI élabore et mette en œuvre une méthode officielle de CES, assortie de rôles et responsabilités clairs, qui soit adaptée à la taille et à la complexité de l’organisation. Il convient ainsi d’envisager l’intégration des exigences de la méthode du CES dans le cadre de gestion des projets et du changement.

2.1 Objectif de la vérification

L’objectif de la vérification était d’évaluer la pertinence et l’efficacité de la gestion par le Commissariat de son CES.

Plus précisément, la vérification a permis de répondre aux questions suivantes :

• si le Commissariat a mis en œuvre un cadre de contrôle de gestion efficace pour le CES de TI tenant compte de la reddition de comptes, des rôles et responsabilités et de la planification stratégique pour gérer le développement et la maintenance des applications;
• si le Commissariat a mis en œuvre des processus et des contrôles opérationnels efficaces à l’échelle de l’organisation, lesquels comprennent un cadre de gestion des projets de TI et une méthode exhaustive du CES.

2.2 Portée

La vérification a porté sur les activités et les initiatives réalisées jusqu’en février 2020. Elle s’est penchée sur le cadre de gouvernance actuel, le cadre de gestion des projets et la méthode du CES.

Les travaux de vérification ont porté sur les activités liées à la TI à l’échelle du Commissariat. Un échantillon d’applications a été sélectionné pour une évaluation des activités de développement ou de maintenance des applications. Cette évaluation a porté sur le cycle complet de développement des systèmes, depuis l’approbation et le financement du projet jusqu’à la mise en œuvre et, enfin, la maintenance. Les applications qui ont fait l’objet d’un échantillonnage ont été sélectionnées en fonction des critères suivants :

• la mise en œuvre de l’initiative pendant la période visée;
• la taille du projet;
• les répercussions sur l’organisation.

3.1 Critères de vérification

Les critères de vérification suivants ont été fixés pendant la phase d’évaluation des risques et de planification de la vérification. Ils sont principalement tirés du Cadre sur les objectifs de contrôle de l’information et des technologies connexes (COBIT) de l’Association des professionnels de la vérification et du contrôle des systèmes d’information (ISACA), de même que des politiques, procédures et directives pertinentes du CT et du Commissariat. Le déroulement de la vérification sur le terrain et les conclusions générales ont été guidés par ces critères.

Secteur d’intérêt 1 : Cadre de contrôle de gestion
Fournir l’assurance que le Commissariat a mis en œuvre un cadre de contrôle de gestion efficace pour le CES de TI abordant la reddition de comptes, les rôles et responsabilités et la planification stratégique pour gérer le développement et la maintenance des applications.

1.1 Un cadre de gouvernance efficace et des organes de surveillance pour les projets axés sur la TI ont été mis en place pour assurer une orientation et une hiérarchisation suffisantes des projets axés sur la TI conformément à la Politique sur les services et le numérique du SCT.

1.2 Les rôles et responsabilités liés au CES, de même que leur répartition entre la fonction de TI et les directions générales, sont clairement définis et communiqués.

1.3 La hiérarchisation des projets axés sur la TI (tant les nouvelles exigences que celles relatives à la maintenance) est effectuée par le biais d’un processus de planification à l’échelle de l’organisation afin de fournir une orientation stratégique et de veiller à ce que l’affectation des ressources soit comprise.

Secteur d’intérêt 2 : Processus et mécanismes de contrôle opérationnels
Fournir l’assurance que le Commissariat a mis en œuvre des processus et des mécanismes de contrôle opérationnels efficaces dans l’ensemble de l’organisation afin d’atténuer les risques liés au CES.

2.1 Un cadre de gestion de projet a été officiellement défini et mis en œuvre afin d’assurer une exécution cohérente des projets axés sur la TI conformément aux normes numériques et à la Politique sur les services et le numérique du SCT.

2.2 Une méthodologie exhaustive du CES a été élaborée et mise en œuvre afin de veiller à ce que des procédures complètes soient officialisées pour le développement et la maintenance des applications.

5.1 Gouvernance

5.2 Planification et établissement des priorités

5.3 Gestion de projet

5.4 Cycle de développement des systèmes

L’équipe de vérification s’attendait à ce que le Commissariat ait élaboré et mis en œuvre une méthode exhaustive du CES afin de s’assurer que les procédures appropriées sont officialisées et respectées pour le développement et la maintenance des applications.

Après avoir examiné la documentation et interrogé les principaux intervenants de la fonction de TI du Commissariat, l’équipe de vérification a appris que l’organisation n’avait pas établi de méthode officielle en ce qui a trait à la surveillance du CES. Il a été expliqué à l’équipe de vérification que la méthode du CES a été officieusement adaptée à chaque projet axé sur la TI et documentée dans des modèles, et ce, en raison de la taille relativement petite de l’organisation et du fait que la majorité de ses travaux de développement d’applications sont effectués sur le système de GRC. En fonction de la disponibilité et de la pertinence des ressources internes, un projet axé sur la TI pourrait être mis en œuvre à l’interne, un autre pourrait être principalement confié à un expert-conseil de l’extérieur (sous la supervision de la fonction de TI du Commissariat) et un troisième pourrait être réalisé par une combinaison d’employés de la TI du Commissariat et d’experts-conseils de l’extérieur. Il est probable que chacun de ces scénarios reposerait sur le même fondement de gestion de projet de base, mais une méthode « globale » quelque peu différente serait adoptée.

La direction était pleinement consciente du fait qu’elle ne disposait pas d’une méthode officielle du CES, comme on pourrait s’y attendre au sein d’un ministère plus vaste et plus complexe. Toutefois, plusieurs des principaux intervenants en matière de gestion estiment que l’approche actuelle, officieuse et plus dynamique fonctionne bien et est adaptée à l’organisation. Par exemple, un des principaux intervenants a déclaré que la fonction de TI du Commissariat lui offrait un meilleur service (la résolution rapide des problèmes relatifs à la TI et les demandes de changement de module de GRC) que celui qu’il obtenait en travaillant au sein d’organisations beaucoup plus grandes. La simplicité relative des applications de TI au Commissariat, combinée à un petit nombre d’ETP, signifie que les unités opérationnelles ne soumettent pas toujours des demandes de billets de TI alambiquées et forment une file d’attente virtuelle pour recevoir le service. Au contraire, certains employés savent qui sont les informaticiens compétents et s’adressent directement à eux pour résoudre rapidement les problèmes. Cela étant dit, la priorité est toujours accordée aux demandes urgentes de billets.

Pour ajouter à ce constat, il convient de noter que le cadre général de développement de la TI est quelque peu normalisé. Récemment, le Commissariat n’a mis en œuvre de nouvelles solutions pour son portefeuille d’applications que par des ajouts à la solution de GRC, c’est-à-dire aucun produit DSM et aucune application élaborée à l’extérieur. Cela permet de réduire le risque éventuel et l’incidence négative qu’entraîne le fait de ne pas disposer d’une méthode de développement et de maintenance entièrement définie du CES, car la liberté sur le plan du développement est limitée par la plateforme de GRC actuelle.

Néanmoins, les personnes interrogées ont noté que, par le passé, une confusion dans les rôles et responsabilités entre les utilisateurs fonctionnels et la fonction de TI avait été constatée. En outre, la dérive de la portée du développement et de la maintenance des systèmes a parfois posé problème, généralement parce que les représentants des unités opérationnelles ne se rendaient pas compte de la quantité de travail supplémentaire qu’un changement de portée perçu comme mineur entraînerait. L’équipe de vérification a déterminé que ce problème peut être attribué à la petite taille de l’organisation, dont la culture rapproche quotidiennement les différents secteurs et permet de créer un environnement très réceptif. Ainsi, les clients sont, d’une manière anecdotique, habitués à obtenir ce qu’ils demandent dans un délai relativement court, sans avoir à passer par un changement officiel de l’analyse des besoins et à comprendre entièrement ce qu’implique un tel changement.

L’équipe de vérification reconnaît les avantages de la position actuelle du Commissariat sur la méthode du CES. Cependant, il est reconnu comme une pratique exemplaire de mettre en place une méthode officielle du CES afin d’avoir des approches uniformes pour l’analyse des besoins opérationnels en matière de TI, les procédures de mise à l’essai (y compris la sécurité et la confidentialité), la promotion des programmes et les exigences de formation, etc. Collectivement, cette uniformité renforcerait probablement la qualité des résultats et contribuerait à améliorer la productivité en limitant les erreurs et le remaniement des projets axés sur la TI.

Le Commissariat a déjà démontré que la mise en œuvre de processus officiels dans la gestion de projet permet d’obtenir un rendement meilleur et plus uniforme au chapitre de la réalisation de projets. Il est probable que l’organisation gagnerait à ce que la même optique soit appliquée à son CES.