Voir le parcours complet
Une liste non officielle des approbations et des obligations par lesquelles un service numérique du GC doit passer
Les points de contrôle officiels qu’un service numérique du gouvernement du Canada peut rencontrer, par sujet, avec ce qui l’amène dans la portée et ce que le responsable opérationnel doit personnellement faire à son égard. Une annexe énumère ce qui existe déjà et peut être réutilisé. Une deuxième suit un service fictif depuis le premier signe de difficulté jusqu’au jour où il est remplacé, rencontrant les points de contrôle dans l’ordre où ce service les a rencontrés.
1.Ce que couvre cette page
Les points de contrôle officiels seulement : les approbations, examens, signatures et obligations permanentes officiels qui découlent d’instruments du gouvernement du Canada. Chacun est accompagné de ce qu’il est, de ce qui l’amène dans la portée, et de ce que le responsable opérationnel doit personnellement faire. Il ne couvre pas comment faire le travail à l’intérieur de chaque étape, ce à quoi servent les pages de phase et de sous-phase. Lisez-le comme la liste à laquelle confronter votre propre service.
2.Comment utiliser cette page
- Pour savoir ce qui s’applique à votre service, lisez les tableaux. Il y a un tableau par sujet, et une rangée pour chaque instrument officiel qu’un service numérique du gouvernement du Canada peut rencontrer. Commencez par les sujets qui correspondent à ce que fait votre service, parcourez la colonne de la portée, et écartez ce qui ne vous concerne pas.
- Pour saisir l’ordre et les personnes, lisez l’annexe B. Elle suit un service fictif depuis le premier signe de difficulté jusqu’au jour où il est remplacé, en montrant ce que sa directrice générale fait à chaque étape et qui répond. C’est un exemple travaillé d’un parcours à travers ces tableaux, et deux services n’empruntent jamais le même.
- Pour bien comprendre un instrument en particulier, suivez-le jusqu’à sa page thématique. La sécurité, la protection de la vie privée, l’accessibilité et l’approvisionnement ont chacun leur propre page dans le guide, qui en explique le raisonnement. Cette page-ci est l’index; les pages thématiques portent l’explication.
3.Presque tout ici varie
Les points de contrôle eux-mêmes sont réels et sont énoncés dans des instruments du gouvernement du Canada. Presque tout ce qui les entoure, en revanche, n’est pas fixé. Ceux qui s’appliquent dépendent de ce que fait le service et de ce qui est dépensé. Qui préside un comité, quels sont les seuils d’un ministère, qui signe, et la façon dont chaque étape se déroule en pratique diffèrent d’un ministère à l’autre.
Le calendrier est ce qui varie le plus. Rien ici ne dit combien de temps prend une étape, parce que cela dépend de la capacité du ministère, de la file devant vous, et de ce qui se passe d’autre cette année-là. Là où une durée est donnée, traitez-la comme l’expérience d’une seule équipe plutôt que comme un chiffre de planification, et confirmez-la auprès de votre propre ministère.
L’ordre varie aussi. La séquence dans laquelle un service rencontre ces points de contrôle suit la voie qu’il emprunte : acheter un produit fini, mettre une équipe sous contrat, mener un approvisionnement agile et construire à l’interne les réarrangent tous, et certains disparaissent entièrement.
4.Glossaire
Quatre éléments que les tableaux nomment sans leur consacrer une rangée.
- Plan d’investissement ministériel
- La liste des investissements prévus du ministère, approuvée par l’administrateur général. Un projet doit y figurer avant de pouvoir aller de l’avant.
- Classe de capacité (ECOGP)
- La capacité de gestion de projet approuvée du ministère, établie par une Évaluation de la capacité organisationnelle de gestion de projet. Si le niveau de l’ECRP la dépasse, ou si la valeur du projet excède la limite déléguée du ministère, le projet exige l’approbation du Conseil du Trésor.
- Programme de sécurité des contrats
- Le filtrage par SPAC de l’organisation et du personnel du fournisseur lorsque le contrat porte sur de l’information protégée ou classifiée.
- Fichier de renseignements personnels
- La description inscrite des renseignements personnels que détient le service, publiée dans la liste Info Source du ministère. Créé en même temps que l’évaluation des facteurs relatifs à la vie privée.
5.Les éléments officiels qu’un service doit accomplir
Réparti en douze sujets pour qu’un lecteur puisse aller droit à ceux qui le concernent. Chaque sujet s’ouvre sur ce qui compte le plus à son égard, puis un tableau de ses instruments. Rien ici n’est propre à un ministère ou à un type de service.
Un tableau par sujet ci-dessous, et chaque instrument y occupe deux rangées. La rangée du haut dit ce qui le fait entrer dans la portée, ce que vous devez personnellement faire à son sujet, et qui fait le reste. La rangée du dessous dit ce qu’est la chose, et à quel moment de la vie du service elle survient.
Une mise en garde. La sous-phase à laquelle appartient un instrument relève du jugement propre à ce guide, parce qu’aucune source du gouvernement du Canada n’emploie ces noms de phases. Là où le placement suit une véritable échéance inscrite dans l’instrument, la rangée le dit. Là où ce n’est pas le cas, la rangée le dit aussi.
Ce que signifient les étiquettes
- VérifierDéterminer si cela s’applique au service.
- RassemblerTransmettre le jugement opérationnel que seule l’équipe du service détient. Quelqu’un d’autre le met par écrit.
- RemplirLa chose est réellement produite.
- Signer ou accepterUne personne désignée y appose son nom, ou reçoit le résultat de quelqu’un d’autre et décide quoi en faire.
- SoumettreTransmis, déposé, inscrit ou publié là où la règle l’exige.
- Tenir à jourLe service a changé, ou l’échéance est arrivée. Le refaire, le retester, ou actualiser le dossier.
- CloreOfficiellement terminé, éliminé, ou marqué comme retiré.
L’étiquette qui décide si une rangée vous concerne
- Seulement siCet instrument ne s’applique pas à tous les services. La colonne de la portée dit ce qui le fait entrer dans la portée. Un instrument sans étiquette s’applique à tous.
De quel type est chacun
- ÉvaluationUn travail qui se termine par un jugement : quelle gravité, quelle probabilité, quelle criticité.
- AutorisationL’autorisation d’aller de l’avant, signée par une personne désignée qui accepte le risque.
- ExamenUn comité ou un conseil examine le travail et décide.
- PrésentationUn document transmis vers le haut pour décision, habituellement au sujet de fonds ou de pouvoirs.
- InscrireUn registre où le service est inscrit et tenu à jour.
- PlanDes dispositions consignées d’avance et mises à l’essai.
- Obligation permanenteUne norme que le service doit respecter tant qu’il fonctionne.
- DéclarationQuelque chose qui est transmis ou publié, selon un cycle ou déclenché par un événement.
5.1Sécurité
Ces quatre éléments se suivent dans l’ordre, et chacun alimente le suivant. La catégorisation détermine l’ampleur de l’ensemble de contrôles de sécurité requis. L’évaluation de la menace et des risques examine ce qui pourrait encore mal tourner une fois ces contrôles en place. L’autorisation d’exploiter est la signature qui permet au service de fonctionner en production, et pour un service qui vit à l’intérieur d’un seul ministère, la personne qui la signe est habituellement le responsable opérationnel.
Ce tableau est large. Tournez le téléphone sur le côté pour le lire, et faites défiler horizontalement à l’intérieur du tableau pour atteindre les dernières colonnes.
| Instrument | Ce qui le fait entrer dans la portée | Ce que fait le responsable opérationnel | Qui fait le travail |
|---|---|---|---|
| Catégorisation de sécurité Évaluation source | Chaque service. Trois exigences distinctes pointent vers la même norme : pour les biens, pour l’information, et pour les services et activités. Celle qui vise le service fait partie de l’exigence d’analyse des répercussions sur les activités. | Porte le jugement sur la gravité d’une fuite de cette information, d’une modification par quelqu’un, ou d’un arrêt du service, en jugeant les trois séparément. | L’équipe de sécurité du ministère attribue la catégorie, idéalement avec les services juridiques et le bureau de l’accès à l’information et de la protection des renseignements personnels dans la salle. |
| Ce que c’estUne cote indiquant l’ampleur du préjudice qui suivrait une fuite, une modification non souhaitée de l’information, ou une panne. Elle est établie sur quatre niveaux, de faible à très élevé, et le résultat détermine l’ampleur de l’ensemble de contrôles de sécurité que la construction doit respecter.Quand cela survientDécouverte Rassembler · Alpha Remplir · Croissance Tenir à jour · Maturité Tenir à jour | |||
| Évaluation de la menace et des risques (EMR) Évaluation source also | L’activité s’applique à tous les systèmes d’information qui soutiennent des programmes, services ou activités du ministère. Aucun seuil monétaire, aucun nombre d’utilisateurs, aucune cote de risque. Un rapport autonome est autre chose : en produire un n’est ni recommandé ni exigé, et les résultats sont censés entrer dans les documents de conception ordinaires. | Approuve le plan de travail avant le début de l’évaluation, et énonce d’avance le niveau de risque résiduel acceptable. Fournit la valeur du service pour les activités et ce dont il dépend. Accepte ou refuse le risque résiduel à la fin. | Un praticien de la sécurité travaille avec les concepteurs du système pendant la conception; un évaluateur de sécurité, souvent un entrepreneur, évalue le système construit. Le responsable opérationnel siège à l’équipe d’évaluation à titre d’autorité du programme. |
| Ce que c’estL’exercice qui énumère ce qui pourrait mal tourner, classe chaque élément selon sa probabilité et l’ampleur du dommage, et énonce le risque qui subsiste une fois les mesures de protection en place. Il couvre autant les menaces délibérées qu’accidentelles et naturelles : il est donc plus large qu’un exercice de cybersécurité.Quand cela survientAlpha Rassembler, Remplir · Bêta Remplir · Croissance Tenir à jour · Maturité Tenir à jour | |||
| Évaluation de la sécurité matérielle et autorisation d’occuper des locaux Seulement si Autorisation | Seulement si le service touche l’espace physique : nouveaux locaux, matériel entre les mains des gens, bornes, ou logiciel qui commande des portes, des barrières, l’éclairage ou le chauffage. Un service hébergé dans le nuage sans matériel y échappe habituellement. | Indique si le service touche l’espace physique, assez tôt pour que la réponse parvienne à la demande de soumissions. | La sécurité matérielle du ministère, à l’aide du guide d’évaluation de la Gendarmerie royale du Canada (GRC). |
| Ce que c’estLa deuxième filière de sécurité, menée en parallèle et couvrant les bâtiments, l’équipement et l’espace physique. Elle utilise la même méthode harmonisée que l’évaluation des systèmes, menée par d’autres personnes et se terminant par une signature différente.Quand cela survientAlpha Vérifier · Bêta Remplir, Signer ou accepter | |||
| Évaluation et autorisation de sécurité, se terminant par l’autorisation d’exploiter (EAS, AE) Autorisation source | Chaque système d’information, avant le début de l’exploitation. Chaque ministère définit sa propre pratique documentée pour la façon de procéder, et c’est pourquoi des systèmes identiques sont traités différemment selon les ministères. | Obtient par écrit les conditions d’autorisation avant le début de la conception, à partir du plan de sécurité du ministère ou directement de l’autorité approbatrice. Lit le dossier et décide : autoriser, autoriser sous conditions, ou refuser. | L’équipe de sécurité de la technologie de l’information assemble le dossier; un évaluateur de sécurité, souvent indépendant, réalise l’évaluation. |
| Ce que c’estL’autorisation officielle permettant au service de fonctionner en production. Une personne investie du pouvoir lit ce que le travail de sécurité a révélé, accepte le risque qui subsiste, et signe. Pour un système ministériel, ce signataire est normalement le responsable opérationnel.Quand cela survientDécouverte Rassembler, Signer ou accepter · Alpha Signer ou accepter · Bêta Signer ou accepter · Croissance Tenir à jour, Signer ou accepter · Maturité Tenir à jour · Retrait Clore | |||
5.2Continuité et incidents
Il s’agit ici de savoir combien de temps le service peut être indisponible avant que cela porte à conséquence, et qui est prévenu quand quelque chose tourne mal. La question mérite d’être posée pour chaque service, parce que la réponse détermine si le reste s’applique. L’exigence officielle d’une analyse des répercussions sur les activités est plus étroite : elle vise les services qui soutiennent quelque chose d’essentiel à la santé, à la sécurité ou au bien-être économique des Canadiens, ou au fonctionnement du gouvernement. Un plan de continuité ne suit que là où l’analyse marque le service comme essentiel. Les chiffres de rétablissement méritent d’être fixés tôt, parce qu’une limite de quatre heures et une limite de deux semaines mènent à des conceptions et à des coûts différents.
Ce tableau est large. Tournez le téléphone sur le côté pour le lire, et faites défiler horizontalement à l’intérieur du tableau pour atteindre les dernières colonnes.
| Instrument | Ce qui le fait entrer dans la portée | Ce que fait le responsable opérationnel | Qui fait le travail |
|---|---|---|---|
| Analyse des répercussions sur les activités (ARA) Évaluation | Chaque service devrait répondre à la question, parce que la réponse détermine si quoi que ce soit d’autre est dû. L’exigence officielle de la directive est plus étroite. Elle ne vise que les services et activités qui soutiennent la disponibilité de ce qui est essentiel à la santé, à la sécurité ou au bien-être économique des Canadiens, ou au fonctionnement efficace du gouvernement. Les grands ministères sont évalués séparément sur le maintien d’une analyse à jour pour chaque service intégré externe et interne. | Porte le jugement sur qui subit un préjudice si le service s’arrête, sur la vitesse à laquelle ce préjudice s’aggrave, et sur ce dont le service dépend. | Le spécialiste de la gestion de la continuité des activités du ministère, qui est aussi la personne chargée de déterminer quels services sont essentiels. |
| Ce que c’estL’exercice qui détermine la criticité du service, et qui produit quatre chiffres : la durée maximale d’interruption admissible, le niveau de service minimal, l’objectif de temps de reprise et l’objectif de point de reprise.Quand cela survientAlpha Rassembler · Bêta Rassembler · Stabilisation Tenir à jour · Croissance Tenir à jour · Maturité Tenir à jour | |||
| Plan de continuité des activités (PCA) Seulement si Plan | Seulement si l’analyse des répercussions sur les activités marque le service comme essentiel, c’est-à-dire qu’une perturbation causerait un préjudice élevé ou très élevé. Un ministère interprète cela comme devant se rétablir aux niveaux de service minimaux en 72 heures. | Fournit les étapes de rétablissement et les solutions de contournement, puis les met à l’essai. Demande au coordonnateur où ce service figure dans le plan ministériel, et avec quelle limite d’interruption. | Le coordonnateur de la continuité des activités du ministère ou de la direction le rédige selon le gabarit ministériel. |
| Ce que c’estLes dispositions écrites pour qu’un service essentiel continue d’être offert à un niveau minimal acceptable pendant une perturbation, et pour le rétablir ensuite. Il y a un seul plan pour le ministère, et ce service y a soit sa propre section, soit une couverture répartie sur plusieurs.Quand cela survientBêta Rassembler · Stabilisation Tenir à jour · Maturité Tenir à jour | |||
| Gestion de la continuité de la technologie de l’information Plan source | Tous les systèmes d’information. Les stratégies de rétablissement sont établies conformément aux exigences de continuité des activités du ministère : les cibles de rétablissement descendent donc de l’analyse des répercussions sur les activités, et c’est ici qu’elles sont atteintes. | Confirme que la restauration a été mise à l’essai au moins une fois avant le lancement, et que la construction atteint la cible de rétablissement fixée par l’analyse des répercussions sur les activités. | L’équipe qui exploite le service, avec les opérations de la technologie de l’information et le fournisseur d’hébergement. |
| Ce que c’estLes dispositions de rétablissement propres à l’équipe du service : comment ce système se relève, dans quel ordre ses composants sont restaurés, et la preuve par les essais que la restauration fonctionne. Le plan de continuité des activités du ministère appartient au ministère; ceci est la partie dont l’équipe est responsable.Quand cela survientBêta Remplir · Stabilisation Tenir à jour · Maturité Tenir à jour | |||
| Intervention et signalement en cas d’événement de cybersécurité Plan source | Chaque service. Les plans et procédures d’intervention du ministère en cas d’événement de cybersécurité doivent fonctionner conformément au Plan de gestion des événements de cybersécurité du gouvernement du Canada, et les événements de sécurité sont signalés selon la norme sur le signalement des événements de sécurité. | Sait avant le lancement qui appeler et à quelle vitesse, et leur transmet un incident dès que l’équipe en repère un. | La fonction des opérations de sécurité du ministère établit la voie d’escalade, avec le fonctionnaire désigné pour la cybersécurité. L’équipe du service détecte, contient et fournit les faits. |
| Ce que c’estL’obligation de disposer d’un moyen de repérer, de contenir et de signaler un incident de cybersécurité avant qu’il survienne, et de le signaler dans la chaîne pangouvernementale quand il survient. Le plan pangouvernemental établit qui est prévenu, dans quel ordre, et comment un événement s’escalade en intervention coordonnée.Quand cela survientBêta Remplir · Stabilisation Tenir à jour · Croissance Tenir à jour · Maturité Tenir à jour | |||
| Rapport d’atteinte substantielle à la vie privée Seulement si Déclaration | Seulement lorsqu’une atteinte visant des renseignements personnels est jugée substantielle, d’après la sensibilité de l’information, le nombre de personnes touchées, et le caractère systémique ou non du problème. Un incident de cybersécurité touchant des renseignements personnels peut déclencher à la fois celui-ci et la voie de signalement en cybersécurité. | Informe immédiatement le bureau de la protection de la vie privée de ce qui s’est passé et des renseignements en cause. | Le bureau de l’accès à l’information et de la protection des renseignements personnels évalue le caractère substantiel et prépare le rapport. |
| Ce que c’estLe rapport qu’un ministère doit produire lorsque des renseignements personnels sont perdus, consultés ou communiqués d’une façon dont on pourrait raisonnablement s’attendre à ce qu’elle cause un préjudice grave. Il est transmis au Commissariat à la protection de la vie privée du Canada et au Secrétariat du Conseil du Trésor du Canada, et les personnes touchées sont avisées.Quand cela survientBêta Vérifier · Stabilisation Soumettre · Croissance Tenir à jour | |||
5.3Vie privée et décisions automatisées
La liste de vérification vient d’abord, et elle vaut la peine d’être remplie même quand la réponse est qu’aucune évaluation n’est nécessaire, parce que l’avoir demandé fait partie de l’exigence. Le volet des décisions automatisées ne s’applique que si le service tranche quelque chose au sujet d’une personne sans que quelqu’un prenne la décision, y compris la cotation et le classement. Un service peut acquérir cette caractéristique plus tard, quand une fonctionnalité est ajoutée pour gagner du temps : il vaut donc la peine de revérifier chaque fois que le service change.
Ce tableau est large. Tournez le téléphone sur le côté pour le lire, et faites défiler horizontalement à l’intérieur du tableau pour atteindre les dernières colonnes.
| Instrument | Ce qui le fait entrer dans la portée | Ce que fait le responsable opérationnel | Qui fait le travail |
|---|---|---|---|
| Liste de vérification et évaluation des facteurs relatifs à la vie privée (ÉFVP) Seulement si Évaluation source | Les déclencheurs sont larges. Un programme nouveau ou substantiellement modifié qui crée, recueille, utilise, communique, conserve ou élimine des renseignements personnels entre dans la portée. De même pour leur utilisation à une fin administrative, l’impartition ou le transfert du programme, l’arrivée d’un tiers, un changement de la technologie qui les traite, ou l’automatisation d’une décision. Aucun seuil monétaire ni nombre d’utilisateurs. | Remplit la liste de vérification, même lorsque la réponse s’avère négative. Indique quels renseignements personnels le service utilisera et quelles décisions concernant des personnes seront prises à partir d’eux. | Le secteur de programme la rédige selon le gabarit du Conseil du Trésor; le bureau de l’accès à l’information et de la protection des renseignements personnels l’examine, l’itère et en est propriétaire. |
| Ce que c’estUn examen structuré des renseignements personnels que le service recueille, du droit de les recueillir, de leur circulation, de leur durée de conservation, et de ce qui pourrait arriver aux personnes en cas de problème. Une liste de vérification obligatoire vient d’abord, et elle détermine si une évaluation complète, un protocole allégé, ou aucun des deux est nécessaire.Quand cela survientDécouverte Vérifier · Alpha Rassembler · Bêta Remplir, Soumettre · Croissance Tenir à jour · Maturité Tenir à jourLa Directive sur l’évaluation des facteurs relatifs à la vie privée autonome a été abrogée le 9 octobre 2024. L’instrument en vigueur est l’annexe C de la Directive sur les pratiques relatives à la protection de la vie privée. | |||
| Évaluation de l’incidence algorithmique (ÉIA) Seulement si Évaluation source also | Seulement si le service prend ou soutient une décision automatisée concernant une personne : cotation, classement, recommandation ou approbation automatique. Une fonctionnalité d’efficience ajoutée plus tard peut la déclencher sans que personne s’en aperçoive. | Remplit le questionnaire, en répondant à partir du fonctionnement du programme et de ce que la décision fait aux personnes. | Le ministère la remplit lui-même, normalement l’équipe de programme avec l’appui de la fonction des données ou du dirigeant principal de l’information. |
| Ce que c’estUn questionnaire coté sur l’ampleur de l’incidence qu’une décision automatisée pourrait avoir sur les droits, la santé ou les intérêts économiques d’une personne, ou sur la durabilité continue d’un écosystème. La cote fixe ce que le service doit ensuite en matière d’explication, d’intervention humaine, de mise à l’essai et de recours.Quand cela survientAlpha Vérifier · Bêta Remplir, Soumettre · Croissance Tenir à jour · Maturité Tenir à jour | |||
5.4Accessibilité
Deux obligations connexes. Le rapport de conformité d’un fournisseur n’existe que si vous achetez quelque chose, et il décrit une seule version de son produit. La conformité du ministère lui-même porte sur le service tel que les gens le rencontrent : un bon rapport de fournisseur est donc un point de départ et non l’arrivée. Deux échéances fixent le moment où le service lui-même doit être conforme : les pages Web créées ou mises à jour à compter du 5 décembre 2027, et les applications mobiles, les documents numériques et l’évaluation de conformité utilisée à l’achat à compter du 5 décembre 2028.
Ce tableau est large. Tournez le téléphone sur le côté pour le lire, et faites défiler horizontalement à l’intérieur du tableau pour atteindre les dernières colonnes.
| Instrument | Ce qui le fait entrer dans la portée | Ce que fait le responsable opérationnel | Qui fait le travail |
|---|---|---|---|
| Rapport de conformité en matière d’accessibilité (RCA) Seulement si Évaluation source also | Seulement à l’achat. Une construction interne n’a ni fournisseur ni rapport; l’obligation équivalente est l’évaluation de conformité du ministère lui-même au regard de la norme. | Indique quelles clauses de la norme le service doit respecter, pour qu’elles entrent dans la demande de soumissions, puis lit le rapport du fournisseur et vérifie ses affirmations à l’égard du produit. | Le fournisseur, par l’entremise d’un tiers ou d’un expert interne qualifié en accessibilité. |
| Ce que c’estLa déclaration écrite d’un fournisseur indiquant dans quelle mesure son produit respecte la norme d’accessibilité, clause par clause, avec les écarts nommés. C’est une affirmation à vérifier.Quand cela survientAlpha Rassembler · Bêta Signer ou accepter · Maturité Tenir à jour | |||
| Conformité en matière d’accessibilité et déclaration d’accessibilité Obligation permanente source | D’ici le 5 décembre 2027, chaque page Web, destinée au public comme au personnel, créée ou mise à jour à compter de cette date, plus la déclaration publiée. Les applications mobiles, les documents numériques et l’évaluation de conformité utilisée en approvisionnement suivent le 5 décembre 2028. Juridiquement, l’obligation repose sur le ministère par l’entremise de son administrateur général. | Inclut les personnes les plus susceptibles d’être exclues dans la recherche, réserve les tests tôt, et finance les corrections. | L’équipe du service, en testant avec des personnes handicapées. Les vérificateurs automatisés ne détectent qu’une fraction des obstacles. |
| Ce que c’estLa conformité du service lui-même à la norme canadienne d’accessibilité pour les technologies de l’information et des communications, plus une déclaration publiée qui nomme ce qui n’est pas conforme, quelles sont les solutions de rechange, et quand les écarts seront comblés.Quand cela survientAlpha Rassembler · Bêta Remplir, Soumettre · Croissance Tenir à jour · Maturité Tenir à jour | |||
5.5Langues officielles
Ceci s’applique à chaque service que le public peut utiliser en ligne. Il n’y a ni formulaire, ni comité, ni rien à déposer, et c’est pourquoi on s’en aperçoit souvent tard. Deux choses aident : concevoir et tester dans les deux langues dès le premier prototype, et inscrire l’exigence au contrat lorsqu’un fournisseur est en cause, parce que le français ajouté après coup est facturé comme un changement.
Ce tableau est large. Tournez le téléphone sur le côté pour le lire, et faites défiler horizontalement à l’intérieur du tableau pour atteindre les dernières colonnes.
| Instrument | Ce qui le fait entrer dans la portée | Ce que fait le responsable opérationnel | Qui fait le travail |
|---|---|---|---|
| Service dans les deux langues officielles Obligation permanente | Chaque service que le public peut utiliser en ligne. Le déclencheur est le fait d’être un système automatisé accessible au public, en vertu de l’alinéa 11b) du Règlement sur les langues officielles, avec l’alinéa 24(1)b) de la Loi sur les langues officielles comme fondement habilitant. La portée géographique est un critère différent qui vise la correspondance et le téléphone : un service n’est donc pas exempté parce qu’il sert une seule région. La façon dont le contenu Web bilingue est publié est fixée par le paragraphe 6.6.4.1 de la Directive sur les langues officielles pour les communications et services. | Finance et planifie les deux langues dès le premier prototype, et teste avec des utilisateurs francophones. | L’équipe du service le construit bilingue; le champion ou conseiller des langues officielles du ministère établit les obligations; les communications sont responsables des normes de contenu. |
| Ce que c’estL’obligation d’offrir et de fournir le service en français et en anglais en même temps et selon la même norme. Pour un service numérique, cela couvre l’interface, le contenu, les avis, les messages d’erreur, et le soutien humain derrière : une traduction ajoutée après coup n’y répond donc pas.Quand cela survientDécouverte Vérifier · Alpha Rassembler · Bêta Remplir, Soumettre · Croissance Tenir à jour · Maturité Tenir à jourLe projet de loi C-13 a modifié les obligations relatives à la langue de travail à compter du 20 juin 2025 : tout ce qui a été rédigé avant cette date peut donc être désuet du côté du travail. | |||
| Les langues officielles dans ce que vous achetez Seulement si Obligation permanente | Chaque fois qu’un fournisseur livre, héberge ou soutient une partie d’un service destiné au public, ou produit du contenu au nom du ministère. Les orientations sont établies par un avis sur la politique des marchés. | Énonce l’exigence bilingue dans l’énoncé des travaux avant la parution de la demande de soumissions. Omise, le français devient plus tard une modification de contrat facturée. | L’autorité contractante inscrit les clauses dans la demande de soumissions et dans le contrat. |
| Ce que c’estL’obligation d’inscrire les exigences relatives aux langues officielles au contrat, pour que le fournisseur soit contractuellement tenu de livrer les deux langues.Quand cela survientAlpha Rassembler · Bêta Signer ou accepter · Maturité Tenir à jour | |||
5.6Approbations et financement
Ces éléments déterminent quelle part du reste de la liste vous concerne. Deux mesures différentes sont à l’œuvre et on les confond facilement. La cote de complexité du projet, comparé à la classe de capacité approuvée du ministère, détermine si le Conseil du Trésor doit l’approuver. Des seuils d’investissement distincts déterminent si une analyse de rentabilisation conceptuelle est nécessaire. La plupart des projets sont sous les deux et restent à l’intérieur du ministère.
Ce tableau est large. Tournez le téléphone sur le côté pour le lire, et faites défiler horizontalement à l’intérieur du tableau pour atteindre les dernières colonnes.
| Instrument | Ce qui le fait entrer dans la portée | Ce que fait le responsable opérationnel | Qui fait le travail |
|---|---|---|---|
| Analyse de rentabilisation conceptuelle Seulement si Présentation source also | Obligatoire pour les projets habilités par le numérique lorsque le ministère est prêt à investir au moins : 2,5 millions de dollars sans classe de capacité approuvée ou en classe 1; 5 millions en classe 2; 10 millions en classe 3; 15 millions pour la Défense nationale; 25 millions en classe 4. | Rédige le problème et l’ordre de grandeur à partir des preuves de la Découverte, puis la porte en approbation. | Le ministère, avec approbation au niveau du sous-ministre adjoint ou plus haut. |
| Ce que c’estUn court exposé initial du problème et de l’ordre de grandeur de l’investissement, produit avant une analyse de rentabilisation et avant qu’une solution soit choisie.Quand cela survientDécouverte Vérifier, Remplir, Soumettre | |||
| Évaluation de la complexité et des risques des projets (ECRP) Seulement si Évaluation source | Exigée à : 2,5 millions de dollars sans classe de capacité approuvée ou en classe 0; 5 millions en classe 1; 10 millions en classe 2; 25 millions en classe 3; 50 millions en classe 4, taxes comprises. À noter que cette échelle diffère de celle du comité d’examen de l’architecture telle qu’elle est rédigée. | Répond aux questions sur les risques opérationnels, y compris le degré de préparation réel de l’organisation à adopter la chose. | Le bureau de gestion de projet du ministère la rédige; le parrain du projet est chargé de veiller à ce qu’elle soit remplie; l’administrateur général répond de son exactitude. |
| Ce que c’estUn outil de cotation de 64 questions qui classe un projet du niveau 1, maintien, au niveau 4, transformationnel. La cote détermine qui a le droit d’approuver le projet : le ministre, ou le Conseil du Trésor.Quand cela survientDécouverte Vérifier, Rassembler, Remplir · Croissance Tenir à jour | |||
| Comité d’examen de l’architecture du ministère (CEAM) Examen source | Toutes les initiatives numériques ministérielles. Deux exclusions : les petits ministères et organismes, c’est-à-dire dont les niveaux de référence sont inférieurs à 300 millions de dollars par année ou qui sont désignés comme tels, sont exemptés; les agents du Parlement le sont aussi. | Présente la direction retenue, en apportant le balayage de réutilisation produit par la Découverte. | Le comité examine. L’équipe d’architecture du dirigeant principal de l’information réserve la plage et prépare la documentation. |
| Ce que c’estLe comité propre au ministère, qui examine la conception d’une initiative numérique au regard du cadre d’architecture pangouvernemental : chercher ce qui existe déjà avant d’acheter ou de construire, normes ouvertes, données, sécurité et protection de la vie privée.Quand cela survientAlpha Soumettre, Signer ou accepter · Croissance Tenir à jour | |||
| Comité d’examen de l’architecture intégrée du gouvernement du Canada (CEAI GC) Seulement si Examen source | L’un ou l’autre de ces éléments suffit. Le ministère est prêt à investir 2,5 millions de dollars sans classe ou en classe 1, 5 millions en classe 2, 10 millions en classe 3, 15 millions pour la Défense nationale, 25 millions en classe 4. Ou l’initiative fait appel à des technologies émergentes. Ou elle exige une exception au titre de la directive. Ou elle est catégorisée Protégé B ou moins et utilise un modèle de déploiement autre que le nuage public. Ou elle prolonge ou crée un soutien sur mesure pour empêcher qu’une technologie cesse d’être soutenue. Ou le dirigeant principal de l’information du Canada l’ordonne. | Vérifie les six déclencheurs, puisqu’une petite initiative peut être visée par les seules technologies émergentes ou l’hébergement, puis fournit la documentation pour la présentation du dirigeant principal de l’information du ministère. | Le dirigeant principal de l’information du ministère présente; l’équipe de projet y assiste habituellement. |
| Ce que c’estLe comité d’architecture pangouvernemental, coprésidé par le dirigeant principal de la technologie du Canada et le dirigeant principal de la technologie de Services partagés Canada. Six déclencheurs distincts peuvent y envoyer une initiative, et l’ampleur de l’investissement n’en est qu’un.Quand cela survientAlpha Vérifier, Soumettre | |||
| Présentation au Conseil du Trésor Seulement si Présentation source | Lorsque le niveau de complexité du projet dépasse la classe de capacité approuvée du ministère, ou que le ministère n’a pas de classe et que le projet dépasse 2,5 millions de dollars. Plus tous les programmes. Plus l’approvisionnement ou les biens immobiliers au-delà de leurs propres limites d’approbation. | Fournit la raison d’être du service, ce qu’il coûtera, et les avantages qu’il promet. Ces promesses font l’objet d’un suivi après l’approbation. | Le ministère la rédige; le dirigeant principal des finances atteste. |
| Ce que c’estLa demande officielle au Conseil du Trésor visant à obtenir un pouvoir et des fonds lorsque le projet dépasse ce que le ministre peut approuver seul. Elle engage le ministère à des avantages précis.Quand cela survientDécouverte Vérifier · Alpha Remplir, Soumettre | |||
| Plan de réalisation des avantages et rapport de clôture de projet Seulement si Présentation source | Universel pour tout ce qui constitue un projet au sens de la directive sur les projets et programmes, sans seuil monétaire. La déclaration de référence au Bureau du contrôleur général commence à 25 millions de dollars. | Nomme les avantages au moment où les fonds sont demandés, puis fournit le relevé de livraison à la clôture. | Le parrain du projet et le bureau de projet du ministère. |
| Ce que c’estL’énoncé écrit du bien que ce projet est censé produire, et le rapport ultérieur confirmant ce qui a réellement été livré et si les avantages promis sont arrivés.Quand cela survientDécouverte Remplir · Stabilisation Soumettre · Maturité Tenir à jour | |||
5.7Contrats et fournisseurs
Les trois ne s’appliquent que si vous achetez, et les trois suivent le calendrier d’approvisionnement, ce qui les rend plus précoces qu’il n’y paraît. La liste de vérification et le filtrage s’appliquent lorsqu’un fournisseur traitera de l’information sensible : la liste de vérification doit être réglée avant la parution de la demande de soumissions, parce que les clauses de sécurité de celle-ci en découlent, et l’obtention des attestations de sécurité du personnel d’un fournisseur peut prendre plus de temps que le concours lui-même. La cible de 5 % de contrats attribués à des entreprises autochtones revient au ministère, et le seul moment où un responsable opérationnel peut l’influencer est avant la rédaction de la demande de soumissions.
Ce tableau est large. Tournez le téléphone sur le côté pour le lire, et faites défiler horizontalement à l’intérieur du tableau pour atteindre les dernières colonnes.
| Instrument | Ce qui le fait entrer dans la portée | Ce que fait le responsable opérationnel | Qui fait le travail |
|---|---|---|---|
| Liste de vérification des exigences relatives à la sécurité (LVERS, formulaire TBS/SCT 350-103) Seulement si Présentation source | Seulement lorsque le fournisseur ou son personnel aura accès à de l’information ou à des biens Protégés ou Classifiés, entrera dans des sites d’accès restreint, ou se connectera électroniquement aux systèmes du ministère, ce qui comprend tout accès aux renseignements personnels que le ministère détient. En l’absence d’exigences de sécurité, aucune liste de vérification n’est produite et le ministère l’atteste à la place. | Rédige la liste de vérification à partir de l’énoncé des travaux, en indiquant ce que le fournisseur fera et touchera, et signe le bloc de l’autorité de projet. Une description vague produit des clauses qui bloquent le travail. | L’agent de sécurité du ministère conseille sur les niveaux. Le Programme de sécurité des contrats de Services publics et Approvisionnement Canada l’examine et en dérive les clauses. |
| Ce que c’estUn court formulaire qui énonce, pour un contrat donné, exactement quelle sécurité le fournisseur et son personnel exigent : quel niveau d’information ils toucheront, quel filtrage chaque rôle exige, et si l’entreprise peut détenir de l’information gouvernementale dans ses propres bureaux.Quand cela survientDécouverte Vérifier · Alpha Remplir · Bêta Signer ou accepter, Soumettre · Croissance Tenir à jour · Maturité Tenir à jour · Retrait Tenir à jour | |||
| Filtrage de sécurité de l’organisation et du personnel du fournisseur Seulement si Autorisation source also | Chaque approvisionnement dont la Liste de vérification des exigences relatives à la sécurité recense une exigence de sécurité, et il en va de même pour les sous-traitants à tous les niveaux. Le filtrage de l’organisation couvre Protégé A, B et C; une attestation d’installation vise le Classifié. | Détermine tôt quel niveau d’attestation le travail exige. Le filtrage dure souvent plus longtemps que l’approvisionnement. | Le Programme de sécurité des contrats effectue le filtrage. Le fournisseur nomme un agent de sécurité d’entreprise. Les employés font leur demande par l’entremise de leur employeur. |
| Ce que c’estLes attestations qu’une entreprise et ses employés doivent détenir avant de toucher à du travail gouvernemental sensible. Un ministère ne peut pas les délivrer lui-même, et le travail ne peut pas être adjugé tant que l’attestation n’est pas confirmée par écrit.Quand cela survientAlpha Vérifier · Bêta Rassembler, Signer ou accepter · Croissance Tenir à jour · Maturité Tenir à jour | |||
| Contrats attribués à des entreprises autochtones (la cible de 5 %) Seulement si Obligation permanente source | Seulement à l’achat. La cible appartient au ministère et non à un contrat en particulier : aucun approvisionnement n’a donc à être réservé. Chaque approvisionnement est l’endroit où la cible est atteinte ou manquée, et c’est pourquoi les ministères la planifient d’avance. La qualification d’un fournisseur est vérifiée par Services aux Autochtones Canada. | Indique tôt si l’exigence pourrait être comblée par une entreprise autochtone, et le dit avant la rédaction de la demande de soumissions, quand la voie est encore ouverte. | L’autorité contractante choisit la voie et la mène. La fonction d’approvisionnement du ministère planifie en fonction de la cible et déclare les résultats. |
| Ce que c’estUn engagement pangouvernemental voulant qu’au moins 5 % de la valeur totale des contrats aille à des entreprises autochtones chaque année. Les ministères le planifient, en rendent compte, et l’atteignent ou le manquent un approvisionnement à la fois.Quand cela survientDécouverte Vérifier · Alpha Rassembler | |||
5.8Hébergement et infonuagique
L’endroit où le service fonctionne mérite d’être choisi délibérément, sans quoi il est déterminé par celui qui met en place le premier environnement. Il existe un ordre de préférence pangouvernemental à suivre, et choisir autre chose est permis à condition de le justifier. Une chose à surveiller : un service catégorisé Protégé B ou moins qui fonctionne ailleurs que dans un nuage public passe devant le comité d’architecture pangouvernemental, quelle que soit la dépense, puisque ce déclencheur n’a aucun seuil monétaire. Le travail de sécurité infonuagique de la deuxième rangée ne s’applique qu’à un service hébergé dans le nuage.
Ce tableau est large. Tournez le téléphone sur le côté pour le lire, et faites défiler horizontalement à l’intérieur du tableau pour atteindre les dernières colonnes.
| Instrument | Ce qui le fait entrer dans la portée | Ce que fait le responsable opérationnel | Qui fait le travail |
|---|---|---|---|
| Décision d’hébergement de l’application, et le nuage public par défaut Examen source | Chaque service doit prendre la décision. Le déclencheur est précis : une initiative catégorisée Protégé B ou moins qui utilise un modèle de déploiement autre que le nuage public pour l’hébergement, le déploiement ou le développement doit aller au Comité d’examen de l’architecture intégrée du gouvernement du Canada. Ce déclencheur n’a aucun seuil monétaire. | Énonce ce dont le service a besoin de son hébergement, et justifie tout choix autre que le nuage public. | Les fonctions d’architecture et d’hébergement du ministère décident. L’approbation du comité d’examen de l’architecture du ministère est obligatoire pour les initiatives d’hébergement d’applications. |
| Ce que c’estLa décision sur l’endroit où le service fonctionne, prise au regard d’un ordre de préférence pangouvernemental : logiciel-service avant plateforme avant infrastructure, et nuage public avant hybride avant privé avant hors nuage. S’écarter de cet ordre exige une justification.Quand cela survientAlpha Vérifier, Soumettre · Bêta Signer ou accepter · Maturité Tenir à jour | |||
| Profil de sécurité infonuagique, garde-fous, et autorisation infonuagique Seulement si Autorisation source | Seulement pour les services hébergés dans le nuage. Le profil de contrôles Protégé B est le point de départ habituel. Le Centre pour la cybersécurité évalue séparément les fournisseurs de services infonuagiques : un ministère hérite donc de cette évaluation plutôt que de la refaire, et n’évalue que sa propre configuration et son propre usage. | Indique ce que le service détient, pour que le bon profil de contrôles soit choisi. | L’équipe de sécurité du ministère, avec l’équipe infonuagique, établit le partage des responsabilités avec le fournisseur; l’évaluation propre au fournisseur est héritée. |
| Ce que c’estLe travail de sécurité supplémentaire que porte un service hébergé dans le nuage : un profil de contrôles prêt à l’emploi sur lequel construire, des garde-fous qui doivent être mis en place, validés et déclarés dans les 30 premiers jours ouvrables suivant l’obtention d’un compte infonuagique, et une évaluation de sécurité qui tient compte du partage entre ce que fait le fournisseur et ce que fait le ministère.Quand cela survientAlpha Vérifier, Rassembler · Bêta Remplir, Signer ou accepter · Croissance Tenir à jour · Maturité Tenir à jour | |||
5.9Identité et ouverture de session
Ceci s’applique lorsque des personnes ou des entreprises ont des comptes, ouvrent une session, ou sont identifiées. Les deux rangées découlent de ce qui arriverait si le service se trompait sur l’identité de quelqu’un, et les deux façonnent la conception tôt. Les services d’ouverture de session communs du gouvernement sont la voie attendue, et construire le vôtre est le choix qui exige une justification. Adhérer à un service commun prend du temps : il vaut donc la peine de s’en informer tôt.
Ce tableau est large. Tournez le téléphone sur le côté pour le lire, et faites défiler horizontalement à l’intérieur du tableau pour atteindre les dernières colonnes.
| Instrument | Ce qui le fait entrer dans la portée | Ce que fait le responsable opérationnel | Qui fait le travail |
|---|---|---|---|
| Niveaux d’assurance de l’identité et des justificatifs Seulement si Évaluation source also | Tout service où des personnes ou des entreprises ont des comptes, ouvrent une session, ou sont identifiées. Il y a quatre niveaux, de un à quatre, allant d’une confiance faible requise à une confiance très élevée requise. Une feuille de travail de la Ligne directrice sur la définition des exigences en matière d’authentification produit le niveau applicable à un service donné. | Porte le jugement sur le préjudice qui résulte d’une erreur sur l’identité de quelqu’un. | La fonction de gestion de l’identité du ministère fixe le niveau, avec l’équipe de la sécurité. |
| Ce que c’estDeux cotes, de un à quatre, indiquant à quel point le service doit être certain de l’identité d’une personne et quelle doit être la robustesse de l’ouverture de session. Elles contraignent la conception dès le départ, parce qu’elles déterminent ce que l’ouverture de session doit faire avant que quiconque la construise.Quand cela survientDécouverte Vérifier · Alpha Rassembler, Remplir · Croissance Tenir à jourLa Norme sur l’assurance de l’identité et des justificatifs autonome a été archivée le 28 juin 2019. La version en vigueur est l’annexe A de la Directive sur la gestion de l’identité. | |||
| Services de justificatifs et d’ouverture de session du gouvernement du Canada Seulement si Obligation permanente | Tout service destiné au public où les clients ouvrent une session. L’adhésion à une plateforme commune suppose des vérifications de conformité et des essais avant la mise en service, et c’est l’équipe de la plateforme qui les établit. | Choisit la voie des justificatifs avant que le prototype code en dur sa propre ouverture de session, et prévoit le temps d’intégration à l’échéancier. | Les équipes d’identité et d’intégration du ministère, avec l’équipe d’intégration de la plateforme. |
| Ce que c’estLes services d’ouverture de session communs qu’un ministère peut utiliser plutôt que de construire les siens : le service de justificatifs à marque gouvernementale, l’option commerciale fondée sur les banques, et la plateforme d’ouverture de session fédérée plus récente. Utiliser l’un d’eux est la valeur par défaut, et une ouverture de session construite à partir de zéro est ce qui exige une justification.Quand cela survientAlpha Vérifier · Bêta Remplir, Soumettre · Maturité Tenir à jour | |||
5.10Publication sur canada.ca
Si le service est destiné au public, une bonne partie de son apparence est déterminée pour vous : les gabarits de page, l’architecture de l’information et le style du contenu sont tous établis centralement. Il est plus facile de composer avec eux que de les contourner : il est donc utile de faire intervenir l’équipe Web du ministère et les communications pendant que la conception peut encore changer, et non à la Bêta quand elle est déjà construite.
Ce tableau est large. Tournez le téléphone sur le côté pour le lire, et faites défiler horizontalement à l’intérieur du tableau pour atteindre les dernières colonnes.
| Instrument | Ce qui le fait entrer dans la portée | Ce que fait le responsable opérationnel | Qui fait le travail |
|---|---|---|---|
| Publier sous la marque canada.ca Seulement si Obligation permanente source | Chaque site Web et chaque application Web destinés au public. À l’intérieur du ministère, le chef des communications répond des sites Web destinés au public et des applications mobiles, et la directive les assujettit tous deux à son annexe D, la Norme sur les sites Web et les applications mobiles destinés au public. La même directive exige l’outil officiel d’analytique Web administré par Service Canada. | Fait intervenir l’équipe Web du ministère et le chef des communications avant le premier prototype, et règle l’adresse Web avec eux avant de promettre une date de lancement. | L’équipe Web du ministère et les concepteurs de contenu, sous l’organisation des communications. Le gestionnaire de compte Web du ministère dépose la demande de domaine. |
| Ce que c’estLes règles pour tout ce que le public voit : le domaine, l’en-tête et le pied de page globaux, la signature et le mot-symbole du gouvernement du Canada, les gabarits de page obligatoires, l’architecture de l’information, et le guide de style du contenu. Ils sont obligatoires, et ils limitent l’apparence possible d’un service et l’endroit où il peut résider.Quand cela survientAlpha Vérifier, Rassembler · Bêta Soumettre, Signer ou accepter · Croissance Tenir à jour · Maturité Tenir à jour · Retrait CloreL’instrument directeur a changé le 27 mars 2025 : la Directive sur la gestion des communications et de l’image de marque a remplacé la directive sur les communications de 2016, et son annexe D a remplacé les anciennes procédures obligatoires pour les médias sociaux et les communications Web. Tout ce qui cite l’instrument antérieur cite un instrument archivé. | |||
| Web adaptatif, ou application mobile native Seulement si Obligation permanente | Chaque site Web et chaque application Web destinés au public. | Tranche entre le Web adaptatif et une application téléchargeable, à partir des preuves issues de la recherche sur les utilisateurs. | L’équipe du service et l’équipe Web du ministère. |
| Ce que c’estLa règle voulant qu’un service destiné au public fonctionne correctement sur un téléphone, et que le choix d’une application téléchargeable plutôt que d’une page Web adaptative soit justifié. Une application téléchargeable ajoute aussi une étape de publication centrale que le ministère ne contrôle pas.Quand cela survientAlpha Vérifier · Bêta Remplir · Maturité Tenir à jour · Retrait Soumettre | |||
5.11Registres et documents
Les registres sont la façon dont le service devient visible pour le reste du gouvernement, et les documents sont l’information qu’il conserve. Ni l’un ni l’autre n’est difficile, et les deux s’oublient facilement parce qu’ils arrivent après le lancement, quand l’équipe de projet est habituellement passée à autre chose. Deux choses à savoir. Un seul des deux registres permet de déclarer le service essentiel. Et rien ne peut être détruit sans le consentement écrit de Bibliothèque et Archives Canada : tout le reste dans ces tableaux peut se rattraper tard à un certain coût, mais un document détruit ne le peut pas, parce qu’il a disparu. La dernière rangée est celle à lire avant d’acheter quoi que ce soit, puisqu’elle dit ce que le système lui-même doit pouvoir faire avec les documents. La façon dont les données sont modélisées, décrites et gardées utilisables fait l’objet du fil sur l’intendance des données.
Ce tableau est large. Tournez le téléphone sur le côté pour le lire, et faites défiler horizontalement à l’intérieur du tableau pour atteindre les dernières colonnes.
| Instrument | Ce qui le fait entrer dans la portée | Ce que fait le responsable opérationnel | Qui fait le travail |
|---|---|---|---|
| Répertoire des services du GC Inscrire source also | Chaque service externe et chaque service intégré interne, c’est-à-dire un ministère qui sert d’autres ministères à l’échelle du gouvernement. Les services purement internes d’un ministère sont hors de la portée. Un ministère sans service dépose une déclaration du sous-ministre. | Nomme le service dans des mots que ses clients reconnaîtraient, et fournit les détails de l’entrée au registre. | Le cadre désigné pour les services l’inscrit. |
| Ce que c’estLe registre pangouvernemental des services qui existent, des personnes qu’ils servent, de leur degré de numérisation, et du volume qu’ils traitent. Ses 70 champs publiés ne comportent rien sur la criticité, le rétablissement ou la continuité.Quand cela survientStabilisation Soumettre · Maturité Tenir à jour · Retrait Clore | |||
| Gestion du portefeuille d’applications (GPA) Inscrire | Chaque application opérationnelle derrière un service. Aucun seuil monétaire, même si le système est en pratique utilisé par un sous-ensemble de ministères. | Cote la criticité, la valeur opérationnelle et l’état de l’application. Laissé vide, aucun registre pangouvernemental ne présente le service comme essentiel. | Un délégué du portefeuille du ministère tient l’inventaire et coordonne la saisie. |
| Ce que c’estLe registre des applications derrière les services, cotées selon la valeur opérationnelle, l’état technique, le coût de soutien et la criticité, et classées en tolérer, innover, atténuer ou éliminer. C’est ici que la criticité est réellement consignée, puisque le répertoire des services n’a pas de champ pour cela.Quand cela survientStabilisation Soumettre · Maturité Tenir à jour · Retrait Clore | |||
| Autorisation de conservation et de disposition des documents Inscrire source also | Toute l’information et toutes les données. Bibliothèque et Archives Canada délivre soit une autorisation propre à une institution, soit une autorisation pluri-institutionnelle; le ministère confirme laquelle couvre ses documents et fixe lui-même les périodes de conservation. | Indique au bureau de la gestion de l’information quels documents et données le service créera et détiendra, et fixe la durée de conservation de chaque type. | La fonction de gestion de l’information relevant du dirigeant principal de l’information du ministère. |
| Ce que c’estLe consentement écrit de Bibliothèque et Archives Canada sans lequel aucun document gouvernemental ne peut être détruit. L’autorisation est une permission de disposer. Elle n’ordonne à personne de disposer, et elle ne fixe pas les périodes de conservation; c’est le calendrier propre au ministère qui le fait.Quand cela survientAlpha Rassembler · Bêta Remplir · Maturité Tenir à jour · Retrait Clore | |||
| Systèmes qui gèrent l’information et les données Obligation permanente source also | Tous les systèmes, en vigueur depuis le 4 mai 2022. Tout ce qui a été construit ou acheté avant cette date disposait de 24 mois pour faire la transition, et tout ce qui était traité comme patrimonial disposait de 24 mois pour produire un plan. Les capacités peuvent être assurées par un seul système ou par plusieurs utilisés ensemble. | Inscrit ces éléments dans les exigences avant tout achat, avant tout l’exportation en bloc dans des formats ouverts et la capacité d’appliquer une règle de conservation. Un produit incapable de ces deux choses ne pourra pas y être amené plus tard sans être remplacé. | La fonction de gestion de l’information dit ce qui est nécessaire; l’équipe du service ou le fournisseur le construit. |
| Ce que c’estUn ensemble de choses que tout système détenant de l’information gouvernementale doit pouvoir faire : appliquer les règles de conservation et de disposition d’une façon vérifiable, porter des métadonnées, prendre en charge les structures de classification du ministère, fonctionner avec d’autres systèmes, et exporter en bloc dans des formats ouverts.Quand cela survientAlpha Rassembler · Bêta Vérifier · Retrait Clore | |||
5.12Accès à l’information et transparence
N’importe qui peut demander à une institution fédérale ses documents, et l’institution doit alors les trouver et communiquer ce que la loi permet. Partez donc du principe que ce que ce service consigne pourrait un jour être lu par quelqu’un de l’extérieur. Une deuxième obligation suit un calendrier : les contrats de plus de 10 000 $, et les subventions et contributions de plus de 25 000 $, sont publiés chaque trimestre, que quelqu’un ait demandé à les voir ou non, et c’est au ministère de s’en souvenir, parce qu’aucune demande ne vient le rappeler. Les deux obligations changent ce que le service devrait consigner pendant son exploitation, et la rapidité avec laquelle un document peut être extrait parmi des milliers, ce que la construction doit prévoir.
Ce tableau est large. Tournez le téléphone sur le côté pour le lire, et faites défiler horizontalement à l’intérieur du tableau pour atteindre les dernières colonnes.
| Instrument | Ce qui le fait entrer dans la portée | Ce que fait le responsable opérationnel | Qui fait le travail |
|---|---|---|---|
| Préparation à l’accès à l’information, et l’obligation de documenter Obligation permanente | Tous les documents relevant du ministère. Les systèmes qui gèrent l’information et les données ont leur propre norme, qui établit ce qu’un système doit pouvoir faire avec les documents. | Indique quelles décisions le service prend et quelles preuves devraient être conservées. | L’équipe du service construit les documents pour qu’ils puissent être retrouvés et communiqués; le bureau de l’accès à l’information et de la protection des renseignements personnels traite les demandes. |
| Ce que c’estTout ce que le service consigne peut être demandé par une demande d’accès, et les décisions ayant une valeur opérationnelle doivent d’abord être documentées. Cela façonne ce qui est consigné, ce que le système conserve, et la possibilité de retrouver et de communiquer les documents quand quelqu’un le demande.Quand cela survientAlpha Rassembler · Bêta Remplir · Maturité Tenir à jour | |||
| Publication proactive Seulement si Déclaration | Déclenchée par ce que fait le service plutôt que par sa taille. Tout contrat de plus de 10 000 $ déclenche la publication des contrats; un programme de subventions ou de contributions déclenche l’autre. | Indique à l’autorité contractante quels contrats et quelles subventions franchissent les seuils. | La fonction de publication proactive du ministère publie; l’autorité contractante fournit les données du contrat. |
| Ce que c’estUne publication qui se fait sans que personne le demande, en vertu d’une obligation légale. Pour un service numérique acquis, celles qui s’appliquent sont les contrats de plus de 10 000 $, les subventions et contributions de plus de 25 000 $, et les titres des documents d’information.Quand cela survientBêta Soumettre · Maturité Tenir à jour | |||
| Données ouvertes et information ouverte Déclaration | S’applique par défaut. Ce qui est réellement diffusé dépend des restrictions liées à la vie privée, à la sécurité et au droit : le travail consiste donc à déterminer ce qui peut être ouvert plutôt que si l’obligation existe. | Indique ce que le service détiendra qui pourrait être diffusé, et ce qui l’en empêche. | Les fonctions de gouvernement ouvert et de gestion de l’information du ministère. |
| Ce que c’estL’attente voulant que les données et l’information ayant une valeur opérationnelle soient diffusées ouvertement par défaut, dans des formats réutilisables, à moins que quelque chose de précis l’empêche. Info Source décrit séparément l’information que détient l’institution.Quand cela survientAlpha Vérifier · Maturité Tenir à jour | |||
ANNEXE A
Réutiliser avant d’acheter ou de construire
Cherchez quelque chose à réutiliser avant de fabriquer le vôtre. Voici les pièces déjà construites et entretenues par une autre partie du gouvernement : une équipe peut donc configurer plutôt que fabriquer. Le tableau des instruments officiels est ce avec quoi un service doit composer. Ceci est ce qu’il peut éviter d’avoir à fabriquer.
Choisir de fabriquer le vôtre n’enfreint aucune règle. Le cadre de l’architecture intégrée demande toutefois aux équipes d’examiner d’abord la réutilisation : un comité d’examen de l’architecture du ministère demandera probablement lesquels de ces éléments ont été envisagés et pourquoi aucun ne convenait.
Ce tableau est large. Tournez le téléphone sur le côté pour le lire, et faites défiler horizontalement à l’intérieur du tableau pour atteindre les dernières colonnes.
| Piece | What you would otherwise build | Qui l’exploite, et comment l’obtenir | Worth a look in |
|---|---|---|---|
| Trouver ce qui existe | |||
| Échange de ressources ouvert site | Partir de rien, ou reconstruire ce qu’un autre ministère a déjà écrit. | Secrétariat du Conseil du Trésor du Canada. Site Web public. Cherchez-y avant de rédiger une exigence. | En Découverte, dans le cadre du balayage de réutilisation qu’un comité d’examen de l’architecture demandera. |
| Ce que c’estUn catalogue de logiciels, de code et de composants réutilisables que des organisations du gouvernement du Canada ont publiés pour que d’autres s’en servent. | |||
| Parler aux gens | |||
| Notification GC site | Un système d’envoi de courriels et de textos, ses gabarits, sa logique de reprise et ses rapports de livraison. | Service numérique canadien. Demandez un compte. Gratuit pour les équipes du gouvernement du Canada. | En Alpha, parce que le fait d’acheter, de construire ou de réutiliser les notifications change l’estimation de construction. |
| Ce que c’estUn service de notification qui envoie des courriels et des messages texte aux personnes qui utilisent un service, avec gabarits, suivi de la livraison et soutien bilingue intégrés. | |||
| Recueillir de l’information | |||
| Formulaires GC site | Un formulaire, sa validation, son travail d’accessibilité, et un endroit sûr où mettre les réponses. | Service numérique canadien. Demandez l’accès. Gratuit pour les équipes du gouvernement du Canada. | En Alpha pour prototyper rapidement un formulaire, et en Bêta quand le vrai produit est un formulaire plutôt qu’un système. |
| Ce que c’estUn générateur de formulaires qui produit des formulaires en ligne accessibles et bilingues sans écrire de code, et qui livre les réponses de façon sécuritaire. | |||
| L’apparence | |||
| Système de design GC site | Des composants d’interface, et les tests d’accessibilité de chacun. | Service numérique canadien. Public. Utilisez les composants dans la construction. | En Alpha pour le prototype, en Bêta pour la vraie construction. |
| Ce que c’estDes composants d’interface prêts à l’emploi, boutons, champs, messages d’erreur et le reste, déjà testés pour l’accessibilité et offerts dans les deux langues officielles. | |||
| Système de design de Canada.ca site | Les mises en page, les modèles de navigation, et la recherche qui les sous-tend. | Secrétariat du Conseil du Trésor du Canada, avec l’équipe de publication de canada.ca. Public. Les parties obligatoires relèvent des règles de publication, non d’un choix. | En Alpha, avant que le premier prototype fixe une apparence que l’équipe Web n’acceptera pas. |
| Ce que c’estLes gabarits de page, les modèles et les styles de contenu testés auprès des utilisateurs, pour tout ce qui est publié sous la marque canada.ca.Une partie de celui-ci n’est pas facultative. Les gabarits obligatoires et l’architecture de l’information sont une obligation permanente, énumérée dans le tableau des instruments. | |||
| Boîte à outils de l’accessibilité numérique site | Établir les exigences d’accessibilité et l’approche de test à partir de rien. | Le Groupe de travail interministériel sur l’accès. Site Web public. | En Alpha, au moment où les clauses d’accessibilité sont rédigées pour la demande de soumissions. |
| Ce que c’estDes orientations pratiques pour concevoir, construire, tester et acheter des services accessibles, y compris le libellé à inscrire dans un contrat. | |||
| L’ouverture de session | |||
| CléGC et Connexion Canada | Les comptes, les mots de passe, l’authentification multifacteur et la récupération de compte. | Services partagés Canada et le Service numérique canadien. Intégration par le processus propre à la plateforme, qui comprend des essais et une attestation. | En Alpha, avant qu’un prototype code en dur sa propre ouverture de session. |
| Ce que c’estDes services d’ouverture de session partagés qui identifient les personnes utilisant un service, pour qu’un ministère n’exploite pas son propre système de noms d’utilisateur et de mots de passe.Plus proche de l’attendu que du facultatif. Réutiliser un service de justificatifs plutôt que de construire l’ouverture de session est traité comme la valeur par défaut : celui-ci figure donc aussi dans le tableau des instruments. | |||
| Publier et partager | |||
| Portail du gouvernement ouvert site | Une voie de publication pour les données ouvertes, et les conditions de licence qui vont avec. | Secrétariat du Conseil du Trésor du Canada. Par la personne-ressource du ministère en matière de gouvernement ouvert. | En Exploitation, une fois que le service produit des données qui valent la peine d’être publiées. |
| Ce que c’estL’endroit où les données et l’information du gouvernement du Canada sont publiées ouvertement, et où plusieurs éléments qu’un service doit fournir sont déposés.Certains dépôts ici sont des obligations. L’évaluation de l’incidence algorithmique et la publication proactive sont toutes deux publiées sur ce portail. | |||
ANNEXE B
Un exemple travaillé : le parcours d’un service, étape par étape
Les tableaux ci-dessus disent ce qui existe. Cette annexe les met dans un ordre, en suivant un service fictif depuis le premier signe de difficulté jusqu’au jour où il est remplacé. Lisez-la pour la séquence, et pour savoir à qui Nadia doit parler à chaque point. Ce n’est pas une deuxième liste d’instruments.
Nadia a emprunté une voie, et les étapes ci-dessous sont dans l’ordre qu’a produit cette voie. Un ministère qui achète un produit fini, ou construit à l’interne, ou mène un approvisionnement agile, rencontre les mêmes points de contrôle dans un ordre différent. Même le moment de la signature du contrat se déplace d’une sous-phase entière selon la voie retenue : traitez donc les titres de sous-phase ici comme la séquence de ce service plutôt que comme la séquence.
Pourquoi la Création remplit l’essentiel de cette annexe
Les points de contrôle officiels sont concentrés au début. Presque toutes les approbations, tous les examens et toutes les signatures officiels se produisent avant le lancement : la Création porte donc l’essentiel des étapes. L’Exploitation et le Retrait paraissent plus courts ici seulement parce que cette annexe suit les points de contrôle, et non parce qu’il y a moins de travail.
Les personnes de ce parcours
Celles auxquelles les étapes ci-dessous renvoient constamment. Une ligne chacune, parce que ce que l’une d’elles fait à l’égard d’un instrument donné se trouve dans la rangée de cet instrument.
- Les utilisateurs
- Les personnes à qui le service est destiné, à l’intérieur ou à l’extérieur du gouvernement, présentes à chaque étape, de la recherche au soutien.
- Responsable opérationnel de l’application
- Comptable du service avant même son existence et jusqu’après son extinction, et rejoint tous les autres ici par les services ministériels.
- Services ministériels
- Les directions habilitantes du ministère : le bureau du DPI ou de la TI, les finances, l’approvisionnement, la sécurité, la protection de la vie privée, les documents. Le premier arrêt pour tout.
- Bureau de gestion de projet du ministère
- Aide à coter et à chiffrer le projet et à trouver un gestionnaire de projet. Son organisation varie; l’administrateur général répond de la cote.
- CEAM
- Comité d’examen de l’architecture du ministère. À l’intérieur du ministère, présidé par son DPI, et il examine la conception.
- CEAI GC
- Comité d’examen de l’architecture intégrée du gouvernement du Canada. Pangouvernemental, et réservé aux projets vastes ou complexes.
- Autorité contractante
- L’agent d’approvisionnement qui mène le concours et signe le contrat. Jamais le responsable opérationnel.
- Autorité approbatrice
- Le cadre supérieur qui signe l’autorisation d’exploiter et accepte le risque de sécurité qui subsiste.
- Bureau de l’AIPRP ou de la protection de la vie privée
- Appuie l’évaluation de la protection de la vie privée et les inscriptions qui la suivent. Le secteur de programme demeure propriétaire de l’évaluation.
- Fonction de gestion des services
- Quiconque est responsable du répertoire des services dans votre ministère, sous quelque nom que ce soit. Inscrit le service et le met à jour à son retrait.
- Bureau de la gestion de l’information
- Détient les autorisations de disposition. Les documents ne peuvent pas être détruits sans le consentement écrit de Bibliothèque et Archives Canada.
C’est l’échéancier de Nadia, non un échéancier général. C’est ce qu’a vécu ce seul service fictif, et la Création en particulier peut être considérablement plus courte ou plus longue. Ne planifiez pas en fonction de lui.
Voici Nadia, directrice générale
Son programme de subventions a débordé de ses feuilles de calcul : elle achète donc un système de gestion des subventions. Son projet obtient une cote sous le seuil de son ministère : aucune présentation au Conseil du Trésor n’est donc nécessaire. Le CEAI GC est une question distincte : six déclencheurs y envoient un ministère et l’argent n’en est qu’un; son équipe vérifie donc les six pendant l’Alpha et aucun ne se déclenche. Les deux ensemble constituent le cas ordinaire, environ 95 % des projets. Là où un autre projet bifurquerait vers le haut est montré dans les encadrés ambrés.
Pourquoi les S et C servent d’exemple
Ce parcours est bâti autour d’un système de subventions et contributions parce que c’est un cas travaillé utile : il touche presque tous les points de contrôle à la fois - fonds publics, approvisionnement, autorisation de sécurité, renseignements personnels, documents, et une décision prise au sujet de personnes. Le guide dans son ensemble ne se limite pas aux S et C; n’importe quel service peut être cartographié selon le même parcours.
À gauche, ce que fait Nadia.
À droite, qui intervient et comment. L’étiquette de chaque intervention dit si l’intervenant est her department or a central.
Financé à même le budget de fonctionnement existant du ministère. C’est ici que la voie se décide. Nadia a repéré un problème. La Découverte est le moment où elle détermine sa gravité, qui doit être mobilisé, et quelle voie le projet devrait emprunter.
Remarque que le programme craque.
Les demandes ont doublé, son équipe n’arrive plus à suivre, les demandeurs ne peuvent rien suivre, et les vérificateurs ne peuvent pas valider les décisions. Elle décide que quelque chose doit changer.
C’est à elle de soulever le problème. Ce que dit le guide : elle possède déjà un service numérique, qu’elle l’appelle ainsi ou non.
Appelle les services ministériels de son propre ministère.
Demande, simplement : « par où est-ce que je commence ? »
Les directions habilitantes la guident et l’orientent vers :
- le bureau du DPI ou de la TI
- les finances
- l’approvisionnement
- la sécurité
- le bureau de la protection de la vie privée (AIPRP)
- la gestion des documents
Si quelque chose exige plus tard un organisme central, c’est son ministère qui l’y porte.
Réunit une petite équipe pour examiner la question.
Elle ne peut pas faire cela seule, et elle n’est pas censée le faire.
Certaines de son propre programme, qui connaissent le travail, et, par le bureau du DPI ou de la TI, un analyste opérationnel et souvent un gestionnaire de projet du bureau de gestion de projet du ministère. L’équipe est petite pendant la Découverte et grandit jusqu’à la Bêta à mesure que la construction et le personnel du fournisseur s’ajoutent. Nadia la parraine; elle ne fait pas elle-même le travail pratique.
Consigne le besoin et le fait inscrire au plan.
Un court exposé du problème et de ce qu’il faudrait à peu près, dans la forme que demande le processus d’admission des projets de son ministère.
Elles ajoutent l’initiative au plan ministériel et au plan d’investissement ministériel (approuvé par l’administrateur général). Elle y verse l’initiative; elle ne met pas ces plans à jour elle-même.
Fait dimensionner, coter en risque et chiffrer le projet.
Quelle est vraiment son ampleur, et quel est son risque?
Il aide son équipe à remplir l’Évaluation de la complexité et des risques des projets (ECRP). L’organisation de cette démarche varie d’un ministère à l’autre.
- l’administrateur général répond de l’exactitude de la cote
- cette cote est comparée à la classe de capacité de gestion de projet approuvée du ministère
Demande au bureau de la TI si quelque chose sur le rayon du GC fait déjà ce dont elle a besoin.
La réutilisation vient en premier dans la politique du GC. Ce n’est pas elle qui cherche; c’est elle qui décide.
Ils vérifient :
- les architectures de référence du GC et le catalogue des solutions intégrées (sur le réseau du GC)
- la communauté de pratique de l’architecture intégrée
- Services partagés Canada
Si une option convient, Nadia l’adopte au lieu d’acheter.
Fait engager le budget de construction.
Un aperçu budgétaire. Il couvre le trajet d’ici au lancement.
La gouvernance du ministère engage le budget pour aller de l’avant, à même les fonds existants et au titre de son pouvoir financier délégué. Aucune présentation au Conseil du Trésor. Cela couvre la Découverte, l’Alpha et la construction en Bêta.
Les fonds pour l’exploiter année après année (le budget de fonctionnement) sont autre chose : ils sont établis par le processus du Budget des dépenses une fois le service en Exploitation. Elle devrait signaler le coût de fonctionnement prévu dès maintenant, même si l’approbation officielle vient plus tard. Si le ministère n’a pas réfléchi au financement continu dès la Découverte, il est bien plus difficile de l’obtenir après le lancement.
Lacune courante : les équipes planifient soigneusement le coût de construction et traitent le budget de fonctionnement comme le problème de quelqu’un d’autre. Il ne l’est pas - si le financement d’exploitation n’est pas engagé en principe au début de la Bêta, le service risque d’être lancé sans plan pour la suite.Le service est mis en service ici. Tout ce qui précède relève de la Création (la construction); tout ce qui suit relève de l’Exploitation et du Retrait (l’exploiter, puis le retirer ou le remplacer).
Nadia est fictive, et son programme aussi. Toute ressemblance avec des personnes ou des programmes réels est fortuite.