Société canadienne d’évaluation Examen organisationnel
Gestion de l’information et des technologies de l’information Mai 2012
Sommaire
Une partie importante de notre examen organisationnel de la SCÉ portait sur l’évaluation de la gestion de l’information (GI) et des technologies de l’information (TI). Notre travail ne constituait pas une vérification de la TI, de la sécurité ou de la protection des renseignements personnels. Nous avons trouvé que le niveau de coopération était excellent et que l’intérêt des membres dans ce domaine était élevé.
Gouvernance de la GI/TI et gestion des risques
La SCÉ a affiché un mauvais rendement en ce qui a trait à la gouvernance de la GI/TI et de la gestion des risques. Les processus actuels ne sont pas adéquats pour appuyer les objectifs stratégiques de
l’organisation. Parmi les problèmes observés, mentionnons notamment :
· L’absence ou le manque de planification, de normes et de processus de contrôle;
· Une dépendance à l’égard de personnes et de fournisseurs clés qui constitue un risque accru et excessif;
· Le non-respect possible de certaines lois sur la protection des renseignements personnels, y compris le stockage et la conservation de données sur les membres aux États-Unis sans leur consentement exprès;
· L’omission d’élaborer des politiques de sécurité et de sauvegarde de façon officielle et de les appliquer et de les rendre obligatoires en vertu de contrats;
· L’incapacité à contrôler complètement les données / la propriété intellectuelle (PI) de la SCÉ;
· L’incapacité à veiller officiellement à ce que les publications sur les sites Web du bureau national / des sections soient exactes et non diffamatoires, à ce qu’elles aient fait l’objet d’une vérification du droit d’auteur et à ce qu’elles suivent les lignes directrices relatives au conflit d’intérêts, si elles sont de nature commerciale.
Gestion et fonctionnement en matière de GI/TI
Il n’y a aucune gestion ou supervision globale de la GI/TI. La technologie se déploie comme une fonction de soutien qui s’organise et se surveille elle-même, contrôlée par des membres et des tierces parties sur lesquels la SCÉ n’a pas le contrôle complet. Le contrôle opérationnel de tous les jours s’exerce au niveau de l’application / la fonction au moyen d’ententes contractuelles et de bénévoles qui couvrent ce qui suit :
· L’hébergement de site Web, de forums, Internet;
· Une base de données sur les membres et des systèmes de comptabilité et de gestion des événements partagés en ligne;
L’absence ou l’insuffisance des éléments suivants a été observée dans cette approche concernant la gestion et le fonctionnement de la GI/TI :
· De politiques et procédures communes applicables à l’ensemble des plateformes et des applications;
· D’un membre du Conseil averti responsable de la GI/TI dans l’ensemble de l’organisation;
· De protocoles d’approbation / recours hiérarchique pour veiller à ce que les actions soient exécutées de la façon que l’entend le Conseil et à ce que les exceptions et erreurs importantes soient traitées en temps opportun;
· D’avantages quelconques découlant d’économies d’échelle;
· De l’assurance indépendante d’une conformité et d’un fonctionnement satisfaisants.
Communications, médias sociaux et rayonnement
La SCÉ n’a pas réalisé de progrès importants dans le domaine des communications au moyen de la technologie. Plusieurs membres croient que ce domaine est essentiel au recrutement, à la formation, à la sensibilisation / la reconnaissance du public à l’égard de l’évaluation, à la simplification des activités du Conseil et au contrôle des frais de déplacement. Certains membres sont frustrés et se sentent privés de leurs droits. La relation entre les sections et le Bureau national de la SCÉ peut en avoir souffert. Parmi les problèmes les plus importants observés, mentionnons notamment :
· La Politique en matière de communications (ou plutôt le projet de politique) n’aborde pas tout à fait la question des communications au moyen de la technologie;
· La SCÉ ne dispose pas d’une politique très détaillée en ce qui concerne les médias sociaux, bien que certains membres aient essayé de créer une présence de la SCÉ en ligne;
· Une activité minimale dans les salons de clavardage et en ce qui concerne le blogage et la messagerie instantanée;
· Il n’existe aucun processus officiel ni responsable désigné en ce qui concerne l’élaboration du contenu du site Web;
· Une coordination limitée avec les sections en ce qui concerne la présence de la SCÉ sur Internet.
Aucun membre du Conseil n’a été désigné pour assumer la responsabilité des domaines liés aux problèmes susmentionnés. La responsabilité, le pouvoir, la responsabilisation et le contrôle opérationnel sont officieusement dispersés au sein de l’organisation.
Coûts et avantages
1. Le Conseil dispose d’une expertise insuffisante en matière de GI/TI, ce qui accentue le risque de dépenses excessives, de chevauchement inutile de l’effort des bénévoles, d’omission de
respecter pleinement les lois, de problèmes opérationnels, de données irrécupérables et de dysfonctionnement organisationnel. Les « coûts » liés à ces risques sont importants pour l’avenir de la SCÉ.
2. Des possibilités jamais approfondies d’utiliser la GI/TI pour générer des recettes / de la valeur pour la SCÉ et ses membres existent.
3. Le modèle de fonctionnement actuel de la GI/TI impartie à des bénévoles ou consultants non dotés de responsabilités n’est pas viable. Sans soutien professionnel rémunéré et compétent, la GI/TI pourrait éventuellement s’écrouler.
4. Une analyse coûts-avantages officielle des divers modèles de prestation de services de GI/TI n’a pas été faite.
Éléments organisationnels à prendre en considération
Le Conseil n’est pas perçu comme faisant preuve de leadership en matière de GI/TI. L’absence d’une vision/stratégie complète en ce qui a trait à la technologie semble avoir donné lieu à des coûts excessifs, à du chevauchement inutile des tâches, à un risque accru d’échec et à une incapacité à offrir une valeur maximale. Aucun membre individuel du Conseil n’est responsable et le Conseil n’a pas l’expertise nécessaire à portée de la main.
Les problèmes liés à la technologie suivants n’ont pas été abordés pleinement par le Conseil, bien qu’ils aient des répercussions organisationnelles et stratégiques importantes qui vont bien au-delà de
l’efficacité de l’utilisation de l’ordinateur :
· Le partage des ressources (financières, professionnelles et techniques);
· L’utilisation de normes communes en matière de technologie;
· L’intégration totale ou partielle des sites Web du bureau national et des sections;
· La gestion du contenu, le contrôle de la qualité, les normes relatives à la conception de l’aspect visuel des sites Web.
Autres questions et préoccupations liées à la GI/TI
1. Les sections ne sont pas tenues d’observer quelque norme que soit en matière de GI/TI et ont par conséquent conçu leurs sites Web de diverses façons. Cela s’est traduit par un certain chevauchement de l’effort, des coûts plus élevés et des niveaux incertains de sécurité sur les sites Web locaux.
2. Le Conseil n’a pas suivi un processus de diligence raisonnable officiel en ce qui concerne
l’impartition / la délégation de la GI/TI (c.-à-d., les responsabilités contractuelles, la sécurité / la protection des renseignements personnels, le rapatriement, le rendement, l’accès en situation d’urgence).
3. Certains systèmes de bases de données et de sites Web de la SCÉ ont été développés sur mesure, ce qui veut dire que toute migration ou tout changement éventuel pourrait être coûteux et complexe, si nécessaire.
4. Le système du PPP semble avoir certaines lacunes fondamentales sur le plan de la sécurité.
5. La fiabilité des copies de sauvegarde du système est indéterminée. Les essais précédents des copies de sauvegarde semblent avoir été limités.
6. Le Système de vote de la SCÉ n’a pas été évalué de façon indépendante. Lorsque les systèmes de ce genre sont développés à l’interne, il faut habituellement procéder à une évaluation afin d’assurer l’impartialité/l’exactitude en ce qui concerne la tabulation des votes.
7. La liste « officielle » d’évaluateurs titulaires d’un titre est maintenue dans une feuille de calcul EXCEL parce que le Système d’accréditation du PPP ne peut apparemment pas fournir
l’information dans un format pratique.
Recommandations
Plusieurs de nos recommandations proposées nécessiteront un changement culturel et organisationnel important, y compris la transition vers une gestion professionnelle rémunérée, le passage du rôle opérationnel du Conseil à un rôle stratégique, une responsabilisation considérablement accrue et une plus grande dépendance à l’expertise extérieure (dans les domaines juridique, de la comptabilité et de la technologie). La SCÉ peut également trouver que son projet de stratégie quinquennale 2011-2016 nécessite quelques améliorations supplémentaires.
RECOMMANDATION 1 : INSTAURER UNE GOUVERNANCE, UNE SUPERVISION ET UNE GESTION DES RISQUES ADÉQUATES EN CE QUI CONCERNE LA GI/TI
· Désigner un membre du Conseil appelé à assumer la responsabilité de la gouvernance de la GI/TI et embaucher un expert de l’extérieur adéquat pour conseiller la SCÉ;
· Établir des politiques, des procédures et des normes de base en ce qui a trait à la GI/TI à l’échelle de la SCÉ (y compris dans les sections);
· Établir et mettre en œuvre des normes de diligence raisonnable en ce qui a trait à l’impartition de la GI/TI;
· Élaborer des plans d’urgence / de transition dans les cas où l’on s’est fié indûment à des fournisseurs/personnes clés;
· Veiller à ce que les activités liées à la GI/TI (gouvernance, sécurité et de nature opérationnelle) disposent de ressources suffisantes.
RECOMMANDATION 2 : CRÉER UN PLAN À LONG TERME EN CE QUI CONCERNE LA TECHNOLOGIE QUI APPUIE LA VISION ET LA STRATÉGIE DE LA SCÉ
· Systèmes intégrés pleinement fonctionnels;
· Économies réelles et d’échelle;
· Une population d’utilisateurs extrêmement satisfaite et engagée;
· Des systèmes fiables, évolutifs, faciles à maintenir;
· Des systèmes qui font partie intégrante de la vision et de la stratégie de la SCÉ et qui les appuient activement.
Le Conseil ne dispose pas de l’expertise nécessaire pour réaliser un tel plan et nécessitera l’aide d’un expert de l’extérieur.
RECOMMANDATION 3 : S’ATTAQUER AUX QUESTIONS LIÉES À LA DILIGENCE RAISONNABLE ET AUX RISQUES RAPIDEMENT ET AVEC DES RESSOURCES SUFFISANTES
· Des dossiers sur les membres inexacts, en double ou non uniformes existent d’un système à l’autre – aucune analyse des causes fondamentales n’est faite;
· Des privilèges en matière d’administration du système largement dispersés inutilement;
· Peu de contrôle est exercé en ce qui a trait au contenu du site Web du bureau national et des sections de la SCÉ;
· L’absence de politiques, de procédures et de normes concernant le fonctionnement de la GI/TI;
· Le manque de clarté concernant la question à savoir à qui appartiennent la propriété intellectuelle et les données;
· La violation possible des règles/lois sur la protection des renseignements personnels, y compris le stockage et la conservation de données sur les membres aux États-Unis sans le consentement exprès des membres;
· Aucune assurance de la part des tierces partie ni protection contractuelle en ce qui concerne la sécurité, la protection des renseignements personnels et la sauvegarde;
· Forte dépendance aux personnes et aux fournisseurs clés sans se soucier de la planification de solutions de rechange en cas d’urgence.
Une approche fondée sur des groupes de travail (composés de membres du Conseil et d’experts de l’extérieur) est recommandée pour s’attaquer à ces questions.
RECOMMANDATION 4 : CRÉER UNE STRATÉGIE INTÉGRÉE DE COMMUNICATION, DE MARKETING, D’ADHÉSION,
D’UTILISATION DES MÉDIAS SOCIAUX ET DE DÉFENSE DES INTÉRÊTS QUI TIRE PARTI DES TECHNOLOGIES MOBILES ET DE BUREAU SIMPLES, PUISSANTES ET RENTABLES
L’ébauche du plan stratégique 2011-2016 cerne un certain nombre d’objectifs qui ne peuvent être réalisés de manière efficace sans faire appel aux technologies des communications, à la collaboration et aux médias sociaux :
· Promouvoir l’évaluation auprès des intervenants clés;
· Communiquer la valeur / les avantages d’un programme d’évaluateurs titulaires d’un titre fondé sur les compétences;
· Établir une image de marque forte pour la SCÉ;
· En donner aux membres pour leur argent en leur offrant des possibilités de suivre des cours en ligne harmonisés avec les exigences liées au PPP;
· Renforcer les affiliations entre les sections et le bureau national, les partenariats avec des tierces parties et les alliances stratégiques.
Une fois de plus, un groupe de travail composé de membres du Conseil et d’experts de l’extérieur est recommandé pour s’attaquer à ces questions.
RECOMMANDATION 5 : HARMONISER LES PROCESSUS OPÉRATIONNELS ET LA GI/TI POUR OPTIMISER L’EFFICIENCE ET L’EFFICACITÉ
· Des dossiers sur les membres complets, uniformes et centralisés, disponibles en ligne;
· Des rappels de renouvellement automatisés aux membres, accompagnés de liens vers des pages de renouvellement en ligne faciles à suivre;
· Une capacité à analyser / regrouper les données sur les membres selon leur région, expertise en la matière, expérience et employeur afin de fournir des services plus ciblés et de créer des sous-
· Créer un portail Web de destination (complètement intégré à la base de données sur les membres) qui fournit :
o Un accès public intéressant et instructif à une vaste foule de renseignements à propos de l’évaluation;
o Un accès exclusif aux membres à de la littérature grise, à des méthodologies
approuvées, à des avis sur les méthodes professionnelles et à des possibilités de contrat ou d’emploi;
o Un accès réservé au gouvernement / à l’employeur à des renseignements à propos des lois applicables, à des modèles de DP, aux évaluateurs titulaires de titre dans une localité en particulier et le « tableau d’affichage » des offres d’emploi de la SCÉ;
o La possibilité d’acheter des logiciels servant d’outils d’évaluation et la documentation d’accompagnement.
· Des communications vocales/par courriel/visuelles intégrées pour les réunions du Conseil, les diffusions Web et les forums.
Nous remercions le Conseil et les membres de la SCÉ pour leur coopération, leur aide, leur ouverture d’esprit et leur participation active et enthousiaste à cet examen.
Le tout respectueusement soumis,
Soberman Technology Assurance Inc.
Jerrard B. Gaertner CA•CISA, CISSP, CGEIT, CIPP/IT, I.S.P., ITCP, CIA, CFI Directeur
Le 1er mai 2012
