ORGANISATION MONDIALE DE LA SANTE CINQUANTE-SIXIEME ASSEMBLEE MONDIALE DE LA SANTE Point 16.1 de l’ordre du jour provisoire A56/29 10 avril 2003
Rapport intérimaire du Commissaire aux Comptes
Le Directeur général a l’honneur de transmettre ci-après à la Cinquante-Sixième Assemblée mondiale de la Santé le rapport intérimaire du Commissaire aux Comptes sur les comptes de l’Organisation mondiale de la Santé pour l’exercice 2002-2003 (annexe).
A56/29
ANNEXE RAPPORT INTERIMAIRE DU COMMISSAIRE AUX COMPTES INDEPENDANT A LA CINQUANTE-SIXIEME ASSEMBLEE MONDIALE DE LA SANTE : VERIFICATION DES COMPTES DE L’ORGANISATION MONDIALE DE LA SANTE POUR L’EXERCICE 2002-2003
INTRODUCTION 1. La vérification des comptes de l’Organisation mondiale de la Santé (OMS) a été confiée au Contrôleur général de la République de l’Afrique du Sud pour les exercices 2000-2001 et 2002-2003, en vertu de la résolution WHA52.8 adoptée par la Cinquante-Deuxième Assemblée mondiale de la Santé. 2. Le présent rapport a pour objet d’informer assez tôt l’Assemblée mondiale de la Santé des principales questions découlant de la vérification extérieure des comptes.
MANDAT 3. La vérification des comptes est effectuée conformément à l’article XIV du Règlement financier ainsi qu’au mandat additionnel pour la vérification extérieure des comptes figurant en appendice au Règlement. Conformément à ce mandat, le Commissaire aux Comptes exprime une opinion sur les états financiers pour l’exercice et fait rapport sur les opérations financières et diverses autres questions qui y figurent. 4. La vérification des comptes est effectuée conformément aux normes communes de vérification du Groupe des vérificateurs externes des comptes de l’Organisation des Nations Unies, des institutions spécialisées et de l’Agence internationale de l’Energie atomique. 5. Le travail de vérification effectué à ce jour ne l’a pas été dans l’intention d’exprimer une opinion sur les états financiers intérimaires figurant dans le rapport financier intérimaire non vérifié pour 2002 (document A56/28).
APPROCHE GLOBALE DE LA VERIFICATION DES COMPTES 6. Une approche globale de la vérification qui intègre les aspects financiers, de respect des normes et de valeur ajoutée a été suivie dans le travail de vérification, le but étant de fournir à l’OMS un service indépendant de vérification extérieure des comptes qui mette l’accent sur la responsabilité comptable, la bonne gouvernance et l’efficacité, l’économie et la rationalité des activités déployées en vue de la réalisation des objectifs de l’Organisation. 7. A cet égard, l’accent a été mis sur l’appui aux structures de gouvernance en place, à travers des communications ouvertes et régulières avec l’Assemblée mondiale de la Santé et ses organes pour les questions relatives au processus de vérification extérieure, et des échanges constructifs avec le Secrétariat. Les questions connexes telles que la fonction de vérification intérieure des comptes, les 1
A56/29
Annexe
délégations de pouvoirs et la gestion des risques ont également été considérées comme des aspects déterminants de la structure de gouvernance et ont par conséquent été soumises également à une vérification extérieure approfondie. 8. S’agissant des aspects financiers et de respect des normes, une approche fondée sur le risque a été adoptée de façon à utiliser les ressources en fonction d’une orientation claire. Pendant cette période intérimaire, on s’est avant tout employé à effectuer ces évaluations des risques et à déterminer la stratégie de vérification qui serait adoptée pour le reste de l’exercice. Des vérifications intérimaires de fond et des sondages analytiques concernant les opérations et les soldes de comptes, ainsi que des sondages destinés à vérifier que le Règlement financier et la réglementation étaient respectés, ont été effectués au Siège. Le même travail sera réalisé dans tous les bureaux régionaux en 2003, le rapport final de vérification à la fin de l’exercice constituant une synthèse des activités. 9. Il convient de féliciter le Directeur général, les Directeurs régionaux et le Secrétariat pour les réformes de grande envergure entreprises au cours des dernières années pour donner à l’Organisation les moyens de relever les nombreux défis auxquels elle est confrontée en ce début de XXIe siècle. La mise en oeuvre d’une approche de la budgétisation stratégique et de la gestion fondée sur des résultats a représenté un tournant décisif, l’accent étant désormais placé sur les résultats et la responsabilité de l’exécution, et non plus sur les ressources utilisées. L’augmentation significative des contributions extrabudgétaires entraîne également de nouveaux enjeux, qu’il s’agisse de veiller à ce que ces ressources soient convenablement utilisées pour atteindre les objectifs stratégiques de l’OMS ou de faire en sorte que les accords avec les donateurs soient correctement administrés. En raison de l’importance des liquidités détenues et des transactions effectuées en espèces partout dans le monde, il est indispensable que l’OMS gère efficacement la fonction de trésorerie. De plus en plus, l’Organisation se voit contrainte à moderniser ses systèmes d’information et de communication pour les mettre au service des objectifs institutionnels tout en permettant une gestion active des risques. Voilà certaines des questions examinées pendant la période intérimaire et sur lesquelles portera le présent rapport. 10. Le plan de travail stratégique pour la vérification extérieure des comptes pour l’exercice 2002-2003 a été présenté à la septième réunion de la Commission de Vérification des Comptes (document EBAC7/3) et définit de manière plus détaillée l’approche et les activités prévues, ainsi que les domaines sur lesquels portera la vérification pour cet exercice. Il est envisagé, au cours de l’année à venir, d’effectuer une évaluation du programme des bourses d’études à l’échelle de l’Organisation, d’examiner les progrès dans la mise en oeuvre de l’initiative en faveur des pays et de poursuivre l’examen de questions ayant trait à la bonne administration des fonds extrabudgétaires. 11. La mise en oeuvre des recommandations du Commissaire aux Comptes est suivie de près et un rapport de situation est présenté à la Commission de Vérification des Comptes. A ce jour, j’ai le plaisir de pouvoir indiquer qu’un niveau élevé de coopération a été établi avec le Secrétariat et je puis dire que, d’une manière générale, je suis satisfait des progrès accomplis. 12. Les questions découlant de la présente vérification, exposées dans les paragraphes suivants, ont été examinées de manière approfondie avec le Secrétariat. Je me félicite que le Secrétariat ait accueilli avec satisfaction mes recommandations et soit prêt à prendre les mesures voulues pour apporter les améliorations requises.
2
Annexe
A56/29
GOUVERNANCE 13. Ces dernières années, une importance croissante a été accordée aux questions relatives à la bonne administration et à la mesure dans laquelle les organisations sont dirigées et contrôlées selon des méthodes favorisant l’ouverture, l’intégrité et la responsabilité. Les questions concernant les structures organisationnelles, les rapports présentés aux différents partenaires, les systèmes de contrôle interne et les valeurs et normes de conduite définies pour les organisations sont autant de considérations importantes. 14. L’attachement de l’OMS à une bonne administration est largement reconnu. La révision du Règlement financier et des Règles de Gestion financière ainsi que l’amélioration des rapports financiers sont des initiatives que j’ai accueillies avec satisfaction. Les questions soulevées précédemment ayant trait notamment à la mise en oeuvre d’une politique de prévention des fraudes et d’action en cas de fraude, une révision du code d’éthique et de conduite et des politiques relatives à l’environnement des contrôles sont actuellement examinées avec attention par le Secrétariat. Pendant cette période intérimaire, nous avons examiné plus particulièrement la gestion des risques, la fonction de vérification intérieure des comptes, les délégations de pouvoirs et le Manuel de l’OMS, qui font partie intégrante du cadre de gouvernance.
Gestion des risques 15. Si les processus d’évaluation et de gestion des risques existent sous diverses formes dans toute l’Organisation, il n’existe cependant toujours pas de politique et de stratégie officielles de gestion des risques pour l’OMS dans son ensemble. L’OMS devrait passer en revue son activité en matière d’évaluation des risques et mettre en place un système approprié de gestion des risques qui permette de définir les niveaux d’exposition importants et d’élaborer une stratégie appropriée pour gérer ces risques. 16. Le Secrétariat a indiqué que l’approche globale de la gestion des risques serait mise au point en étroite collaboration avec le Bureau de la vérification intérieure des comptes et de la surveillance dans le cadre des efforts actuellement déployés pour renforcer le cadre général de gouvernance et de gestion des risques.
Fonction de vérification intérieure des comptes 17. Dans mon rapport intérimaire pour 2000-2001, j’ai rendu compte des résultats de l’étude spécialisée de la fonction de vérification intérieure des comptes qui avait été effectuée. L’objet de cette étude était de procéder à une évaluation objective du Bureau de la vérification intérieure des comptes et de la surveillance (IAO) compte tenu des normes de pratiques professionnelles de la vérification intérieure mises au point par l’Institut des Auditeurs internes (IIA).
Initiatives prises par l’IAO 18. Un examen des progrès accomplis effectué en février 2003 a révélé que l’IAO avait pris notamment les initiatives suivantes pour améliorer son efficacité : a) conformément à la décision des représentants des services de vérification intérieure des comptes des organisations des Nations Unies et des institutions financières multilatérales de juin 2002, l’IAO a adopté le cadre de pratiques professionnelles de l’IIA. Les changements apportés au mandat du Bureau pour l’aligner sur les normes IIA sont actuellement examinés par le 3
A56/29
Annexe
Directeur général. Les politiques et procédures du Bureau ont été passées en revue et des changements ont été mis en oeuvre pour garantir le respect des normes ; b) le perfectionnement du personnel a été renforcé avec l’affectation d’un membre du personnel à la formation. Les besoins en la matière sont actuellement évalués et des activités sont en cours de programmation ; c) une approche de l’évaluation des risques a été mise en oeuvre tandis que diverses améliorations de la planification, de l’exécution et du compte rendu ont été introduites. Certains programmes de vérification et une partie de la documentation ont été normalisés et un système de suivi a été mis en place ; d) des indicateurs de performance essentiels ont été élaborés. Des méthodes de supervision ont été introduites pour les vérifications de plus grande ampleur et une procédure de contrôle de la qualité a été adoptée ; e) le Bureau communique régulièrement avec la direction. Celle-ci est officiellement consultée chaque année au cours de la préparation du plan de travail annuel. Des discussions ont lieu au début de chaque étude et au cours de l’établissement du rapport. L’information de l’administration fait partie du processus d’assurance de la qualité.
Domaines à améliorer 19. Les domaines suivants pourraient être encore améliorés : a) l’IAO devrait envisager de contribuer à la mise en oeuvre du processus d’évaluation des risques à l’échelle de l’Organisation cité au paragraphe 14 ci-dessus. Une fois celui-ci mis en place, le Bureau pourrait l’utiliser pour établir des priorités parmi ses propres activités et pour définir ses besoins en matière de compétences et de ressources ; b) le plan annuel d’activités est concis et ne décrit pas le lien entre les risques de haut niveau et les activités à vérifier. L’IAO devrait revoir la présentation et le contenu des plans actuels de vérification interne et aligner les activités de vérification prévues sur les risques importants.
Délégation de pouvoirs 20. Un cadre intégré et complet définissant les délégations de pouvoirs à l’OMS n’a toujours pas été élaboré et communiqué. Or un tel cadre est important si l’on veut que les responsabilités soient bien comprises. En outre, il n’existe pas non plus de pratique uniforme concernant la délégation élargie ou le maintien d’une délégation temporaire. Le Secrétariat reconnaît que les délégations de pouvoirs doivent faire l’objet d’un réexamen à l’échelle de l’Organisation et envisage actuellement différentes solutions.
Manuel de l’OMS 21. Le Manuel de l’OMS est censé constituer la source unique et unifiée des politiques et des instructions administratives, or il n’est plus du tout à jour. Il est donc urgent de revoir entièrement le Manuel et d’améliorer la façon dont les instructions sont communiquées au personnel. Si le Secrétariat en est conscient et a même commencé la révision de certains chapitres, je crains que l’on n’ait pas apporté jusqu’ici d’améliorations significatives au Manuel et considère donc qu’il est important de 4
Annexe
A56/29
soulever à nouveau la question. Comme je l’ai indiqué dans mon rapport final pour 2000-2001, la responsabilité de la révision du Manuel de l’OMS doit être clarifiée et un calendrier fixé afin que la question soit réglée. 22. Le Secrétariat m’a fait savoir qu’il considérait également cette question comme une priorité et qu’une nouvelle approche plus structurée de la délégation des pouvoirs et de la révision du Manuel de l’OMS sera adoptée, ce qui permettra de bien faire la distinction entre la délégation de pouvoirs et les directives opérationnelles connexes. Il est prévu que la refonte complète de la délégation de pouvoirs et les modifications connexes apportées au Manuel de l’OMS seront terminées d’ici mars 2004.
BUDGETISATION STRATEGIQUE ET MESURE DE LA PERFORMANCE 23. Depuis l’exercice 2000-2001, l’OMS a progressivement adopté un processus de budgétisation stratégique révisé avec la mise en oeuvre de la gestion fondée sur les résultats. A cet égard, le budget programme pour 2002-2003 fixe clairement les orientations stratégiques de l’OMS, ses priorités organisationnelles et les trente-cinq domaines d’activité à travers lesquels le budget programme sera exécuté. La mise en application du budget stratégique à travers un processus de planification intégré et moyennant un suivi efficace et un compte rendu des résultats est un véritable enjeu pour l’Organisation. Les progrès considérables effectués à cet égard au cours des deux derniers exercices sont appréciables. Dans le cadre de mon examen de ces questions importantes, j’ai fait porter mon attention sur les questions de budgétisation stratégique, planification, surveillance et évaluation, et en particulier sur les questions relatives aux fonds provenant d’autres sources. Dans les paragraphes suivants, j’insiste sur les domaines dans lesquels de nouvelles améliorations pourraient utilement être apportées.
Planification intégrée de l’ensemble des sources de fonds 24. Le projet de budget programme est intégré en ce sens qu’il définit un ensemble commun d’objectifs et de résultats escomptés pour l’OMS, quelle que soit la source de fonds. Le plan de dépenses pour 2002-2003, tel qu’il apparaît dans le budget, expose de manière détaillée les dépenses, ventilées entre budget ordinaire et autres fonds. Or, si la ventilation au niveau de l’Organisation et par bureau régional est indiquée dans le budget ordinaire, il n’en va pas de même pour la partie du budget financée à partir d’autres sources. 25. Le projet de budget programme sert de point de départ à la planification opérationnelle détaillée qui devrait également suivre une approche intégrée. Pour que la planification opérationnelle soit efficace, il faut que les allocations budgétaires indicatives, aussi bien pour le budget ordinaire que pour les autres fonds, soient communiquées rapidement. 26. Les crédits du budget ordinaire pour l’exercice 2002-2003 ont été annoncés en novembre 2001 mais il n’y a pas eu de communication formelle détaillant les allocations prévues concernant les autres fonds. La communication tardive des crédits du budget ordinaire et l’absence d’estimation des fonds extrabudgétaires ont compliqué le processus de planification opérationnelle. 27. Il est donc satisfaisant de constater que le projet de budget programme pour 2004-2005 indique, en pourcentage, la ventilation des dépenses prévues pour les activités mondiales, régionales et de pays, en ce qui concerne tant le budget ordinaire que les autres fonds. Cela fournit non seulement des informations plus complètes et plus transparentes à l’intention des partenaires de l’Organisation, mais offre également aux responsables de la planification aux différents niveaux une indication précoce des 5
A56/29
Annexe
ressources escomptées qui pourront être utilisées en suivant une approche intégrée de la planification opérationnelle. 28. L’OMS devrait faire en sorte que, pour 2004-2005, les chiffres indicatifs de planification pour l’ensemble des sources de fonds soient communiqués aux Groupes et aux Régions rapidement, afin qu’une planification opérationnelle intégrée et globale puisse avoir lieu avant le début de la période biennale.
Allocation des fonds au titre des ressources extrabudgétaires 29. Un examen du processus d’affectation des ressources au niveau opérationnel a révélé que les allocations étaient principalement basées sur les priorités définies à l’intérieur de chaque Groupe et que différentes méthodes étaient utilisées pour déterminer le montant des allocations. Nul ne conteste que l’allocation des fonds extrabudgétaires est une question complexe, car il faut tenir compte des besoins différents des donateurs et de divers aspects organisationnels. On notera cependant qu’un cadre plus structuré et plus transparent de l’affectation des fonds extrabudgétaires serait souhaitable. Ce cadre devrait permettre de faire clairement le lien entre le processus de budgétisation stratégique et l’affectation opérationnelle des ressources.
Cadre de mobilisation des ressources 30. Le personnel qui, au niveau des Groupes, est chargé de pressentir des donateurs éventuels afin de mobiliser des ressources a exprimé la nécessité de pouvoir disposer d’un cadre commun de mobilisation des ressources, qui comprenne des directives pratiques et les principes fondamentaux à respecter dans ces activités. Il est convenu que l’OMS élaborera un tel cadre afin de préciser les rôles et les responsabilités et de promouvoir la communication entre les divers intervenants, et de parvenir à une conception commune de la mobilisation des ressources.
Utilisation du compte spécial de frais généraux 31. La mise en oeuvre de toute activité programmatique financée par des fonds extrabudgétaires exige un soutien et des services techniques, administratifs et opérationnels. Ces dépenses d’appui au programme contribuent aux frais que l’OMS doit encourir pour fournir le soutien et les services techniques et non techniques nécessaires pour la mise en oeuvre des programmes de coopération technique. Le compte spécial de frais généraux a été créé pour permettre la budgétisation et la comptabilisation de ces fonds. 32. Les fonds perçus pour chaque période biennale sont alloués aux Groupes et aux Régions pour la période biennale suivante. On a constaté que des critères précis pour l’utilisation des fonds alloués au titre du compte spécial de frais généraux n’avaient toujours pas été élaborés et communiqués à l’ensemble des services de l’Organisation.
Surveillance des programmes 33. L’objet de la surveillance est de déterminer les progrès accomplis en vue de la mise à disposition des produits et services prévus. Elle s’effectue sur une base semestrielle, un examen à mi-parcours étant prévu à la fin de la première année de la période biennale. L’examen à mi-parcours porte sur la contribution apportée à chaque domaine d’activité en vue de la réalisation des résultats escomptés.
6
Annexe
A56/29
34. Un examen des rapports sur les progrès techniques et l’état d’avancement du plan de travail établis à la fin du premier semestre 2002 a révélé que les informations données n’étaient pas suffisantes pour permettre de suivre efficacement les progrès accomplis. Ainsi, il n’est pas toujours donné d’informations sur l’état d’avancement de l’exécution des objectifs ni sur les raisons des retards éventuels et, pour les objectifs qui n’ont pas été atteints dans les délais, le rééchelonnement n’est pas indiqué. Les rapports sur l’examen des plans de travail ne contenaient pas non plus d’observations sur l’état d’avancement de la réalisation des produits, et les informations sur les dates d’exécution escomptées pourraient également être améliorées. 35. Un examen des rapports à mi-parcours a révélé des insuffisances analogues en ce sens que, dans la plupart des cas, aucune cible ou mesure de référence n’avait été élaborée. 36. Des informations pertinentes et complètes devraient être fournies à l’occasion du suivi et de l’examen des rapports pour permettre de mesurer efficacement les progrès accomplis, ce qui permettra par la suite de mettre en place des mesures correctives.
Planification des évaluations 37. Le but des évaluations programmatiques ou thématiques est de mesurer la contribution de l’OMS aux efforts de développement internationaux ainsi que les réalisations eu égard aux engagements annoncés. 38. Afin de coordonner les évaluations prévues pour l’exercice 2002-2003 et de faire en sorte que les fonds disponibles soient suffisants, le Siège et chacun des bureaux régionaux ont été invités à soumettre des propositions quant aux évaluations à entreprendre, y compris des informations sur le mandat, l’équipe d’évaluation, l’estimation des coûts ainsi que le calendrier d’évaluation proposés. Deux des six bureaux régionaux n’ont pas soumis leurs propositions et, dans certains autres cas, toutes les informations requises n’ont pas été présentées. Un échange d’informations rapide et complet sur les évaluations proposées facilitera la coordination des efforts dans l’intérêt même de l’Organisation.
TRESORERIE ET INVESTISSEMENTS 39. J’ai précédemment rendu compte des conclusions d’une étude des principales fonctions de trésorerie et gestion des liquidités effectuée en février 2000. La date de cette étude devait coïncider avec la restructuration de la fonction de trésorerie prévue par le Secrétariat. 40. La situation actuelle de cette importante fonction a été passée en revue début 2003. Les opérations de trésorerie ont été considérablement améliorées, un trésorier qualifié ayant été nommé et l’accent étant davantage mis sur la fonction de placement, la liaison avec les administrateurs de fonds et le suivi ainsi que sur la gestion interne des fonds. 41. La mise en place d’un système d’information intégré pour la trésorerie ainsi que des changements dans le partage des tâches entre les fonctionnaires des finances chargés des guichets et ceux des services administratifs sont les seuls aspects importants qui n’ont pas encore été mis en oeuvre. Le Secrétariat a pris des mesures pour traiter ces questions et leur exécution devrait être en partie achevée d’ici la fin 2003.
7
A56/29
Annexe
Mesures prises pour donner suite aux recommandations initiales 42. Les mesures prises pour donner suite aux principales recommandations découlant de l’examen initial sont récapitulées ci-après : a) le mandat du Comité consultatif sur les Placements a été révisé ;
b) les politiques de placements de l’OMS et de la caisse d’assurance-maladie du personnel ont été révisées et approuvées par le Directeur général ; c) de nouvelles limites d’exposition fondées sur des cotations indépendantes et des soldes maximums ont été fixées. Un rapport mensuel de gestion des risques a été établi et les rapports présentés par les administrateurs de fonds ont été améliorés, puisqu’ils comportent désormais une véritable analyse des risques. L’établissement de rapports normalisés par les administrateurs de fonds devrait prendre effet avec la nomination d’un responsable unique au niveau mondial dans un proche avenir ; d) un cadre révisé d’éthique du personnel est actuellement élaboré par le services des ressources humaines pour l’ensemble de l’Organisation et sera mis en oeuvre le moment venu ; e) des mesures de performance ont été appliquées aussi bien pour les fonds gérés par l’OMS que pour les fonds gérés par des administrateurs extérieurs. Des valeurs de référence et des cibles ont été fixées et la performance est suivie de près ; f) la gestion des liquidités a été améliorée avec l’introduction de nouvelles procédures de gestion des liquidités à court terme et l’utilisation de relevés bancaires électroniques pour établir des prévisions à court terme ; g) un effort de rationnalisation a été accompli en ce qui concerne le nombre des comptes bancaires, et l’apurement des comptes bancaires était à jour en décembre 2002.
Domaines à améliorer 43. Une comparaison de la fonction de trésorerie avec la charte des meilleures pratiques de gestion de trésorerie du groupe international des associations de trésorerie a montré que les domaines suivants pouvaient être améliorés : a) le rapport récapitulatif mensuel sur la gestion des risques pourrait être amélioré pour faciliter la comparaison avec la politique approuvée en matière de placements ; b) si la nouvelle structure proposée prévoit désormais une répartition plus efficace des responsabilités, le processus doit être mené à son terme ; c) les flux de trésorerie prévus pourraient être utilisés en même temps qu’une étude de gestion pour aider à déterminer les raisons des écarts éventuels et les mesures correctives qui s’imposent ; d) des limites à l’importance des opérations et aux échéances pourraient être établies ;
8
Annexe
A56/29
e) dans le contexte du plan général de continuité des opérations, un plan de continuité des opérations concernant la trésorerie pourrait être établi et testé afin de faire face à toute interruption de la conduite normale des activités.
QUESTIONS FINANCIERES ET RESPECT DES NORMES 44. La vérification intérimaire a confirmé une fois encore que, dans l’ensemble, les relevés financiers sont fiables et bien tenus et que l’Organisation a effectué des contrôles internes adéquats. Il existe toutefois des domaines dans lesquels j’estime que d’autres améliorations peuvent être apportées aux systèmes et procédures en vigueur, et ce sont ces domaines sur lesquels j’ai insisté dans les paragraphes suivants en vue de fournir à l’OMS des observations constructives.
Système d’administration des contributions volontaires 45. Dans le rapport intérimaire pour l’exercice 2000-2001, il était recommandé d’envisager de mettre en place un système d’informations intégré où seraient consignées de manière détaillée les contributions volontaires et qui soit accessible aux diverses unités techniques, aux Unités d’appui administratif ainsi qu’aux services financiers et de mobilisation des ressources. Le Secrétariat m’a fait savoir qu’un tel système était prévu dans le cadre du nouveau système mondial de gestion qui sera mis en oeuvre d’ici 2007. 46. En évaluant les systèmes intérimaires mis en place, j’ai constaté que les Unités d’appui administratif et les Départements avaient individuellement mis au point leurs propres méthodes et systèmes de suivi et d’administration des contributions des donateurs. Le système Protrack, envisagé à l’origine pour répondre aux besoins pendant la période intérimaire, ne s’est pas avéré viable. En raison de l’importance d’une administration efficace et rationnelle des contributions volontaires et du temps considérable consacré à cette fonction, la nécessité d’un système intégré apparaît comme une priorité. Etant donné que la mise en place du système mondial de gestion est un projet à plus long terme, il est recommandé qu’à partir des efforts individuels entrepris par les Unités d’appui administratif soit mis en place un système uniforme pour répondre provisoirement aux besoins.
Enregistrement des contributions volontaires 47. Afin de faciliter un enregistrement rapide et correct des contributions volontaires, il faudrait que le service comptabilité dispose d’informations sur les accords passés avec les donateurs et les contributions attendues. Si toutes les contributions volontaires ont été répertoriées et enregistrées au 31 décembre 2002, on a constaté au cours de l’examen des dossiers des donateurs tenus par le service comptabilité que, dans de nombreux cas, les Groupes ou les bureaux régionaux n’avaient pas fourni les avis de versement ou les copies des accords conclus avec les donateurs. Or, sans cette information, le service doit faire des recherches supplémentaires qui entraînent des retards dans l’enregistrement des contributions reçues. Les Groupes et les bureaux régionaux devraient se conformer aux procédures financières existantes mises en place pour rationaliser l’enregistrement des contributions volontaires.
Comptes créditeurs et comptes débiteurs 48. Un certain nombre d’opérations non réglées depuis longtemps sur des comptes créditeurs et débiteurs du Siège ont été portées à l’attention de l’administration à la fin de l’exercice 2000-2001. Les procédures intérimaires ont révélé que des mesures de suivi importantes avaient été mises en place, la majorité des opérations identifiées ayant été réglées. Il a été recommandé à l’administration 9
A56/29
Annexe
de définir clairement à qui incombe la responsabilité de la surveillance de ces comptes et les modalités de celle-ci pour veiller à ce que les opérations soient suivies et réglées dans les meilleurs délais. Il a en outre été recommandé que les opérations restantes encore non réglées depuis une période assez longue fassent l’objet d’une enquête et soient réglées.
Comptes personnels 49. Les progrès dans le règlement des opérations non réglées depuis longtemps sur les comptes personnels au Siège ont été passés en revue et il a été constaté avec satisfaction que des progrès considérables avaient été faits à cet égard, le Secrétariat ayant consacré des ressources supplémentaires à cette question. Le niveau de comptes personnels reste cependant élevé. On estime qu’une coopération accrue et une meilleure communication entre les personnes responsables des divers éléments des comptes personnels faciliteront le règlement de la question.
Contrôle des attributions et examen des engagements non réglés 50. On a observé des cas où les engagements dépassent le montant prévu dans l’attribution de crédits. Cela est contraire au Règlement financier et aux Règles de Gestion financière, qui stipulent que les engagements ne peuvent être pris qu’aux fins desquels les crédits ont été approuvés et dans la limite des montants approuvés. 51. Comme indiqué dans mon dernier rapport, une amélioration considérable dans la gestion d’ensemble des engagements non réglés a été observée. Une analyse des économies sur les engagements non réglés au titre du budget ordinaire traités au cours de la première année du présent exercice confirme que les changements apportés au Règlement financier, joints à des critères plus précis, ont permis d’améliorer la situation des engagements non réglés reportés de la période biennale précédente. 52. On a observé toutefois que, dans certains cas, la responsabilité de l’examen des engagements non réglés n’était pas bien comprise. On a observé également des cas où des engagements non réglés ne semblaient plus correspondre à des engagements juridiques valables pour l’OMS. 53. Les détenteurs d’attributions de crédits et d’engagements devraient s’assurer qu’ils respectent pleinement les procédures établies en vue de l’examen approfondi et en temps opportun des attributions de crédits et des engagements non réglés.
TECHNOLOGIE DE L’INFORMATION ET COMMUNICATION 54. Dans mon rapport final de vérification pour 2000-2001, j’avais insisté sur certaines questions stratégiques essentielles à l’échelle de l’Organisation concernant les technologies de l’information et la communication, sur lesquelles j’avais appelé l’attention du Secrétariat. Celui-ci s’occupe actuellement de plusieurs points, à savoir l’élaboration d’une stratégie complète en matière de technologies de l’information, assortie d’une structure administrative bien définie et d’une dotation en personnel appropriée, et les progrès accomplis continueront d’être suivis. 55. Une vérification informatique des contrôles généraux concernant le système d’information pour l’administration et les finances et certains systèmes connexes a été effectuée au Siège en 1998, puis a fait l’objet d’un suivi en 1999. Les résultats de la vérification figuraient dans le rapport que j’ai remis pour l’exercice 1998-1999. Au cours de la dernière période biennale, l’étude spécialisée a été étendue 10
Annexe
A56/29
à un bureau régional. Les principales conclusions de cette étude ont été présentées dans mon rapport intérimaire pour l’exercice 2000-2001. 56. Le Secrétariat s’est penché sur les questions soulevées dans ces vérifications et m’a informé régulièrement des progrès accomplis. Ainsi, nous avons été informés qu’un plan stratégique avait été élaboré afin d’améliorer l’environnement des contrôles généraux et la sécurité des réseaux d’une manière cohérente et systématique qui devrait donner des résultats durables. En raison de l’importance des travaux entrepris, qui comprennent la migration vers une nouvelle configuration multi-environnements, ce processus demandera du temps, même s’il est à noter que des étapes très importantes ont déjà été franchies. Toutes les recommandations faites dans les premières études ont été acceptées par le Secrétariat et, chaque fois que possible, des changements ont été apportés pour leur donner suite, alors que d’autres ne seront entièrement mises en oeuvre qu’à l’aboutissement complet du projet environnement et des grands projets relatifs à l’infrastructure informatique qui doivent être mis en chantier en 2003. 57. Afin de contribuer à cet exercice, des études ont été effectuées aussi bien au Siège que dans une Région pour déterminer dans quelle mesure il avait été remédié aux insuffisances signalées précédemment dans l’environnement informatique et examiner les mesures prises à cet effet, de façon à mettre en lumière tout point qui resterait préoccupant. 58. En outre et en raison de l’importance des technologies de l’information pour l’OMS dans son ensemble, mes collaborateurs ont étendu leur travail de recherche de la valeur ajoutée dans ce domaine en procédant à une vérification détaillée des contrôles de réseau et de sécurité au Siège de l’OMS.
Progrès accomplis à la suite de la vérification informatique de l’environnement des contrôles généraux au Siège et dans un bureau régional 59. Les contrôles généraux constituent un cadre de contrôle d’ensemble concernant les activités liées aux technologies de l’information et permettent d’affirmer avec un degré d’assurance raisonnable que les objectifs du contrôle interne ont été atteints. Ils servent de base au contrôle de tous les systèmes d’application et permettent de garantir le bon fonctionnement des procédures programmées, y compris en ce qui concerne la conception, la mise en oeuvre, la sécurité, l’utilisation et la modification des programmes et dossiers. Si les contrôles généraux sont insuffisants ou inefficaces, le risque de voir compromis les contrôles d’application est important. 60. Dans l’ensemble, les deux rapports de situation ont montré que des progrès considérables avaient été faits et qu’il avait été tenu compte des conclusions de la vérification précédente. Toutefois, étant donné qu’un certain nombre d’aspects sont encore en voie d’amélioration, des faiblesses importantes subsistent dans certains cas.
L’environnement des contrôles généraux au Siège Améliorations apportées par le Secrétariat 61. Le Secrétariat a pris les principales mesures suivantes : a) les éléments d’une politique de sécurité informatique ont été rédigés pour le Siège de l’OMS et la politique applicable au réseau est actuellement mise à jour ; b) les procédures approuvées pour le contrôle des modifications ont été mises en oeuvre ; 11
A56/29
Annexe
c) un fonctionnaire chargé de la sécurité de l’information a été nommé et des mesures ont été prises pour remédier à la dépendance de l’OMS vis-à-vis du personnel à court terme ; d) il est désormais conservé une trace des tests effectués et un comité chargé du contrôle des modifications a été officiellement créé. Les modifications de programmes sont enregistrées et passées en revue par l’administration ; e) certaines mesures ont été prises pour améliorer les contrôles d’accès logique. Diverses mesures de contrôle de la sécurité matérielle ont été mises en oeuvre pour prévenir et déceler tout accès non autorisé à des ressources informatiques sensibles.
Domaines à améliorer 62. Le Secrétariat s’emploie actuellement à traiter les problèmes qui subsistent, à savoir : a) les politiques et procédures de sécurité informatique et de réseau devraient être mises au point et approuvées ; b) l’accord officiel entre l’OMS et le Centre international de Calcul devrait être mis au point sous sa forme définitive ; c) la documentation concernant les systèmes, les utilisateurs et les programmes devrait être actualisée et tenue à jour ; d) l’assurance de la qualité devrait faire partie du processus de modification des programmes ; e) les programmeurs ne devraient pas avoir accès aux programmes et aux données de production. Il faudrait envisager de mettre en place des logiciels de gestion du changement et de gestion de bibliothèques ; f) les méthodologies applicables au cycle de développement de systèmes (SDLC) devraient être étudiées et approuvées ; g) il faudrait remédier à certaines faiblesses qui subsistent en ce qui concerne les contrôles d’accès logique ; h) un plan de récupération en cas d’incident grave autorisé et approuvé devrait être mis en oeuvre.
L’environnement des contrôles généraux dans un bureau régional Améliorations apportées par le Secrétariat 63. Les mesures suivantes ont été prises pour remédier aux faiblesses répertoriées dans la première étude : a) les éléments d’une politique de sécurité, un plan de récupération en cas d’incident grave, un plan de continuité des activités, un plan stratégique pour les technologies de l’information, des procédures de contrôle des modifications de programmes, des procédures d’exploitation et 12
Annexe
A56/29
des politiques et procédures de mise au point et mise à jour de dictionnaires de données ont été rédigés et des procédures connexes ont été mises en oeuvre ; b) les méthodologies et normes SDLC ont été élaborées et rédigées, mais n’ont pas encore été officiellement approuvées par l’administration ; c) les contrôles de l’environnement et de l’accès physique ont été améliorés afin d’assurer que l’accès à la salle des ordinateurs et aux autres matériels connexes soit réservé uniquement au personnel autorisé ; d) les rapports produits par les modules de surveillance de réseaux pour contrôler le fonctionnement des réseaux et des défauts du système sont présentés à l’administration pour examen ; e) des contrôles supplémentaires ont été mis en place pour réduire le risque d’accès non autorisé via le modem ; f) des procédures de sauvegarde et reconstitution ainsi que des procédures de notification des incidents ont été instituées, mais n’ont pas encore été approuvées par l’administration. Un registre de sauvegarde et des dossiers d’exploitation sont maintenant tenus. Les bandes de sauvegarde sont désormais conservées dans deux lieux distincts. Les sauvegardes sont désormais régulièrement reconstituées et testées ; g) les contrôles d’accès logique ont été améliorés ;
h) des examens réguliers sont maintenant effectués pour vérifier que seuls des logiciels légaux sont utilisés. Des procédures d’enregistrement des utilisateurs et de résiliation ont été mises en oeuvre. Des programmes antivirus ont été installés sur tous les serveurs ; i) des contrôles ont été mis en place pour s’assurer que les programmeurs n’ont accès qu’en lecture seule à l’environnement de production. Des contrats et des mandats ont été rédigés pour tout le personnel informatique ; j) des protocoles de tests ont été introduits, mais pas encore de façon officielle. Les procédures sont actuellement mises en oeuvre pour assurer que les changements de programmes sont suivis et étudiés.
Domaines à améliorer 64. Les principaux points suivants, dont s’occupe actuellement le Secrétariat, ont été considérés comme des domaines où des améliorations supplémentaires devraient être apportées : a) les diverses politiques et procédures informatiques rédigées devraient être officiellement approuvées et pleinement mises en oeuvre ; b) il faudrait remédier aux insuffisances qui subsistent en ce qui concerne les contrôles d’accès logique ; c) il faudrait envisager la mise en oeuvre d’une politique d’archivage. Il faut continuer à étudier la question de l’amélioration des contrôles pour vérifier que l’image mémoire créée au 13
A56/29
Annexe
bureau régional est exacte et complète lorsque le Siège actualisera le système financier. Le Secrétariat a déjà indiqué qu’il est en train de prendre des mesures à cet égard ; d) la séparation des tâches n’a pas encore été mise en oeuvre en ce qui concerne les fonctions fondamentales de l’administrateur des données et des programmeurs d’applications. En raison de la pénurie de personnel, le bureau régional n’est pas en mesure de dissocier ces fonctions. Les contrôles et processus de compensation devraient toutefois être mis en oeuvre pour réduire le risque associé. Le niveau élevé de dépendance à l’égard de certains membres clés du personnel informatique reste préoccupant ; e) les réunions du comité directeur informatique au niveau de l’administration devraient être institutionnalisées ; f) un comité de contrôle des modifications devrait être créé et l’assurance de la qualité devrait faire partie du processus de modification des programmes.
Contrôles des réseaux et de la sécurité Portée et approche 65. L’information et les processus, systèmes et réseaux connexes sont indispensables au fonctionnement efficace de l’OMS à mesure qu’elle accroît sa dépendance à l’égard des ressources informatiques dans tous ses domaines d’activité et de l’intégrité non seulement des informations financières, mais aussi des informations techniques et autres informations gestionnaires contenues dans ces ressources. Avec l’accroissement de la connectivité entre les réseaux internes et externes de l’OMS, l’Organisation doit s’assurer que des mesures adéquates ont été mises en place pour réduire sa vulnérabilité vis-à-vis de certaines menaces, d’incidents ou de pannes de matériel ou de logiciel. 66. Le Secrétariat a élaboré un plan d’assurance et de sécurité de l’information fondé sur une évaluation des risques concernant les réseaux et les ordinateurs personnels au Siège effectuée fin 2001. Une approche stratégique a été suivie pour mettre en oeuvre un environnement sécurisé et convenablement structuré qui exigera un effort soutenu et des ressources considérables pendant un certain temps. 67. En raison de l’importance de ces questions, une vérification spécialisée des systèmes d’information portant sur les contrôles des réseaux et de la sécurité au Siège de l’OMS a été effectuée en octobre 2002 conformément aux normes de l’Information Systems and Control Association en vue de fournir à l’OMS une évaluation de la situation actuelle de ses contrôles des réseaux et de la sécurité.
Domaines visés 68. Les aspects suivants du réseau local (LAN) et du réseau général (WAN) ont été retenus : a) tests de pénétration extérieure du réseau contrôlé axé sur les mesures de sécurité périmétrique, y compris les routeurs, les pare-feu Internet, les serveurs de courrier et serveurs Web, les connections par réseaux commutés et autres dispositifs accessibles de l’extérieur ; b) tests de pénétration du réseau interne contrôlé axé sur des composantes essentielles à l’intérieur des réseaux. Dispositifs de communication essentiels, dispositifs de sécurité et autres 14
Annexe
A56/29
dispositifs qui pourraient être analysés à partir du réseau interne afin de déterminer s’il existe des faiblesses à exploiter ; c) bilans diagnostiques de sécurité qui pourraient être pratiqués sur un échantillon représentatif clé de dispositifs de sécurité, d’application ou de communication sur le réseau interne.
Conclusions 69. Les conclusions de la vérification ont montré que, si des mesures ont été mises en place pour réduire au minimum les risques pour la sécurité des réseaux, des faiblesses importantes subsistent dans ce domaine au niveau des réseaux dans leur ensemble. 70. A cet égard, il a été constaté que la politique réseaux qui était appliquée était la politique OMS sur l’utilisation acceptable des systèmes d’information. Si cette politique ne constitue pas une politique réseaux complète, elle était en cours d’actualisation au moment de la vérification. L’administration ne l’a en outre pas encore officiellement approuvée. 71. Il a également été noté que les contrôles de sécurité des réseaux à l’OMS n’étaient pas utilisés de manière optimale et étaient sérieusement entravés par des considérations liées aux systèmes hérités du passé et aux systèmes d’autres organisations hébergés sur le réseau OMS. Les contrôles d’accès entre le réseau interne et l’Intranet ne sont pas utilisés de manière optimale pour assurer une sécurité des réseaux et un contrôle d’accès efficaces. Les meilleures pratiques en matière de sécurité des serveurs ne sont pas appliquées dans certains cas et divers serveurs gèrent des services exposés à certaines utilisations abusives du fait que les versions des logiciels utilisés pour ces services n’ont pas été mises à jour au moyen des sous-programmes de modification les plus récents. 72. Un rapport complet exposant dans le détail des conclusions et recommandations concernant les moyens de réduire ou d’éliminer les faiblesses et les risques a été soumis au Secrétariat.
REMERCIEMENTS 73. Je tiens à remercier le Directeur général, les Directeurs régionaux et le personnel de l’Organisation mondiale de la Santé de leur coopération et de l’aide qu’ils m’ont apportée au cours de ma tâche de vérification des comptes. (signé)
S. A. Fakie Commissaire aux Comptes Contrôleur général, République d’Afrique du Sud Pretoria, Afrique du Sud 20 mars 2003
=
=
=
15