RESTRICTED  
  
WT/BFA/W/ 586 
14 avril 2022 
(22-3060) Page: 1/7 
Comit é du b udget, des f inance s et de l'a dministration    
 
- 1 - 
 
BUREAU DU CONTRÔLE INTERNE (BCIn)  
ÉTAT DES RECOMMANDATIONS D'AUDIT INTERNE  
(mars 2022) 
1.1.  Le Bureau du contrôle interne (BCIn) fournit pour information au Comité du budget, des 
finances et de l'administration (CBFA) l'état le plus récent de la mise en œuvre des recommandations 
proposées dans les rapports d'audit interne . 
1.2.  Comme il a été demandé par l'Institut des auditeurs internes (IIA), le BCIn tient un registre de 
suivi détaillé afin de suivre la mise en œuvre des recommandations et de garantir que des mesures 
ont été effectivement mises en œuvre par la direction (norme de l'IIA  2500.A1 – Surveillance des 
actions de progrès ). Ce registre est mis à jour régulièrement, sur la base des renseignements 
collectés auprès des divisions/uni tés concernées . 
1.3.  L'état actuel des recommandations est résumé dans l'annexe 1 – État des recommandations  
(mars  2022), et de plus amples détails sont donnés dans l'annexe 2  – État de la mise en œuvre des 
recommandations en suspens du BCIn  (mars 2022) du présent  document.  
1.4.  En mars 2022, l'Administration avait mis en œuvre 90% des recomm andations  du BCIn . 
1.5.  Le BCIn  continuera de surveiller de près la mise en œuvre de ces recommandations et de faire 
rapport à ce sujet au CBFA . 
1.6.  Veuillez noter que le rapport annuel sur les  activit és du BCIn sera présenté au CBFA en 
septembr e 2022.1  
 
1 Conformément au Mémorandum administratif n° 974 (OFFICE(15)/101 – Bureau du contrôle interne , 
30 novembre 2015), le BCIn  présentera un rapport annuel au CBFA, donnant un aperçu général de ses 
activités au cours de l'année écoulée .  
  WT/BFA/W/ 586 
 
- 2 - ANNEXE  1: ÉTAT DES RECOMMANDATIONS (MARS  2022) 
 
BCIn – ÉTAT DES RECOMMANDATIONS (pour plus de détails, voir l'annexe 2)  
Activit é d'audit  Année 
considérée  Nombre total de  
recomm andations  Nombre de  
recomm andations  
prioritaires  État au  
01/03/2021 État au   
31/03/2022 
  % Closes1 TEC2 Ouvertes3 Closes  TEC Ouvertes  
Gestion des congés de 
maladie  2014 33 26 79% 32 1 0 32 1 0 
Sécurité des TI  2014 19 5 26% 13 4 2 15 3 1 
Indemnités au titre des 
congés dans les foyers  2017 11 2 18% 10 1 0 10 1 0 
Total/P ourcentage  - 63 33 43%  87% 10% 3% 90% 8% 2% 
 
 
 
1 "Close s" fait référence aux  recomm andations qui ont été mises en œuvre.  
2 "TEC" (Travail en cours ) fait référence aux progrès réalisés en ce qui concerne l'application de mesures correctives  (en cours) . 
3 "Ouvertes " fait référence aux recomm andations à la suite desquelles aucune mesure corrective n'a encore été prise .   
  WT/BFA/W/ 586 
 
- 3 - ANNEX E 2: ÉTAT DE LA MISE EN ŒUVRE DES RECOMMANDATIONS DU BCI n EN SUSPENS (MARS 2022)1 
A) GESTION DES CONGÉS DE MALADIE  
Recommandation d'audit  Priorité  Date 
limite 
initiale  État de la mise en œuvre communiqué  
par la division concernée  État Observations du 
BCIn  
26. Le Service médical et la Division des ressources 
humaines (DRH) devraient rapprocher les données 
sur les congés de maladie enregistrées dans Oracle et 
dans CHIMED afin de vérifier qu'elles sont exactes, 
cohérentes et fiables pour être communiquées aux 
diverses parties prenantes et que tous les écarts sont 
justifiés . Moyenne  T4 2018 En 2018, l'OMC a décidé de remplacer CHIMED par 
Préventiel , un logiciel spécialisé dans la gestion des 
dossiers médicaux (http://www.val -
solutions.fr/solutions/solution -preventiel/).  
 
Préventiel  a été mis en œuvre au quatrième trimestre de 
2018 en tant que solution autonome permettant de 
sécuriser l'accès aux renseignements et de garantir leur 
confidentialité (seul le Service médical a accès à 
Préventiel).  
 
En 2019, l'OMC a décidé de mettre en pl ace un nouveau 
système intégré  destiné à remplacer Oracle , appelé  
WISE ( qui utilise  Workday comme plate-forme 
logicielle ), pour gérer les processus de la DRH . La mise 
en œuvre du nouveau système a commencé en 
août 2020 et a été déployée en s eptembr e 2021. 
 
Les demandes de congé maladie sont maintenant gérées 
par le biais de Workday, mais le Service médical doit 
saisir manu ellement les renseignements pertinents dans 
Préventiel, dans lequel les dossiers médicaux des 
fonctionnaires sont toujours stockés . 
 
Une interface sera créée entre Workday  et Préventiel  
pour rapprocher les données relatives aux congés de 
maladie enregistrées dans les deux systèmes . Cette  
interface est prête pour Workday mais elle n'a toujours 
pas été livrée pour Préventiel . 
 EN COURS  La recommandation 
sera close quand  
l'interface entre 
Workday  et Préventiel  
aura été  finalisée. La 
mise en œuvre  devrait 
intervenir au troisième 
trimestre de 2022.  
 
 
1 Cette a nnexe résume l'état d'ava ncement des recomm andations qui étaient en suspens au 1er mars 2021.   
  WT/BFA/W/ 586 
 
- 4 - B) SÉCURITÉ DES TI  
Recommandation d'audit  Priorité  Date limite 
initiale  État de la mise en œuvre communiqué  Recommandation 
d'audit  Priorité  
4: Gouvernance de la sécurité des TI: GOV  04 – 
Processus de gestion des risques.  
 
La fonction de sécurité de l'information devrait 
examiner régulièrement le registre des risques pour 
assurer une identification adéquate et rapide des 
risques liés à la sécur ité de l'information. Sur la base 
de cet examen, la fonction de sécurité des TI devrait:  
 
1. déterminer les cas où une réponse devrait être 
apportée en matière de sécurité des TI;  
 
2. veiller à ce que les réponses appropriées en matière 
de sécurité des TI figurent dans la section des 
"mesures d'atténuation proposées";  
 
3. veiller à ce que les réponses en matière de sécurité 
des TI soient mises en œuvre et opérationnelles.  Élevée  T3 2018  Les risques liés à la sécurité de l'information seront 
inclus dans l 'exercice annuel de gestion du risque 
d'entreprise (GRE) mené par le fonctionnaire  
chargé de la gestion des risques à l'OMC  (le 
recrut ement d'un fonctionnaire chargé de la 
gestion des risques est actuellement en attente .) 
 
La réponse en matière de sécurité des TI aux 
risques importants identifiés sera finalisée et 
présentée au Comité directeur des technologies et 
de la sécurité de l'information pour validation et 
approbation, dans le cadre des résultats de 
l'évaluation des r isques (voir la 
recommandation  GOV 05 – Inventaire des 
ressources d'information importantes de l'OMC ), 
dès que la version actualisée du registre des 
risques à l'échelle du Secrétariat sera disponible 
(mesure en suspens dans l'attente des résultats 
de l'axe  de travail sur la gestion des risques dans 
le cadre de l'examen structurel du Secrétariat ). 
 EN COURS  L'état de cette 
recomm andation 
reste inchang é 
jusqu'à la finalisation 
du registre des 
risques pour la 
sécurité de 
l'information (ou du 
registre détaillé des 
risques à l'échelle de 
l'OMC) et la mise en 
œuvre de la 
recommandation  
GOV 05 
5: Gouvernance de la sécurité des TI: GOV  05 a) – 
Inventaire des ressources d'information importantes de 
l'OMC . 
 
La LDIMD (maintenant LDSD) et l'ITSD  devraient 
coordonner la création et le maintien d'un inventaire 
des ressources d'information importantes de toute 
l'Organisation comme les données, les informations, 
les documents et les publications. Cet inventaire 
devrait inclure: les définitions des rô les et des 
responsabilités des détenteurs de ressources 
d'information, le niveau de classification des ressources 
d'information et les prescriptions de base en termes de 
contrôle et de suivi des ressources d'information . La 
définition devrait prendre en co mpte chaque division 
qui développe ou a accès à des ressources 
d'information importantes; la fonction de sécurité des 
TI devrait effectuer une évaluation des risques pour la 
sécurité, basée sur la liste des ressources d'information 
importantes, afin de dét erminer le niveau de protection 
requis pour chaque ressource d'information 
importante.  Moyenne  
 T4 2018  L'ITSD  souscrit en partie à la recommandation: la 
création et le maintien de l'inventaire nécessitent 
essentiellement la fourniture de renseignements 
par les détenteurs de ressources d'information, 
c'est-à-dire les divisions opérationnelles s'occupant 
des questi ons de fond (par opposition aux divisions 
de soutien telles que l'ITSD ou la LDIMD). Par 
conséquent, cette tâche devrait être confiée et 
supervisée par le Comité directeur des 
technologies et de la sécurité de l'information 
(CDTSI) créé en vertu de la reco mmandation 
GOV 01. 
 
La politique de classification des renseignements 
confidentiels a été adoptée et sert désormais de 
base à l'inventaire des ressources d'information 
importantes de toute l'Organisation . 
 
L'inventaire des ressources d'information 
importantes est actuellement en cours de 
réalisation par les divisions, sous la coordination 
du Bureau de la sécurité de l'information. Les 
ressources d'information les plus sensibles ont été EN COURS  La recommandation 
sera close à 
l'achèvement de 
l'inventaire des 
ressources 
d'information 
importantes , qui est 
prévu pour le 
deuxième trimestre 
de 2022.  
 
  
  WT/BFA/W/ 586 
 
- 5 - Recommandation d'audit  Priorité  Date limite 
initiale  État de la mise en œuvre communiqué  Recommandation 
d'audit  Priorité  
 identifiées et tous le s renseignements essentiels 
pour l'évaluation des risques ont déjà été recueillis 
par l'ITSD . 
 
Une plate -forme informatique a été mise en place 
pour enregistrer et conserver les résultats de 
l'inventaire. Le système est accessible à tous les 
membres du per sonnel à l'adresse 
http://kiai.cwr.wto.org  et sert de référence pour la 
classification des renseignements produits par 
différentes divisions . 
 
Malheureusement, le processus d'inventaire a été 
interrompu à plusieurs r eprises en raison: 1)  du 
confinement lié à la pandémie de COVID -19 et des 
activités urgentes y relatives et de modifications 
radicales des méthodes et outils de travail ; 2) 
d'autres priorités liées, entre autres choses, à la 
cybersécurité; et  3) de périodes de congés et 
d'indisponibilité de membres clés du personnel . 
 
6: Gouvernance de la sécurité des TI: GOV  06 – 
Structure des politiques de sécurité de l'information.  
 
Réexaminer la structure et l'exhaustivité des politiques, 
normes, lignes directrices et procédures en matière de 
sécurité des TI; définir et appliquer les d iverses 
politiques des TI, y compris les politiques de sécurité, 
la politique d'évaluation des risques pour la sécurité 
des TI, la politique de reprise après sinistre et la 
politique d'évaluation des risques pour la sécurité de 
l'information qui est aligné e sur la politique de gestion 
des risques . Moyenne  T4 2018  Suite à l'introduction de la politique générale, les 
politiques et procédures ci -après ont été élaborées 
et publiées : 
 
• politique d'évaluation de l'architecture et de la 
sécurité des systèmes d'information;  
• politique de sécurité de l'information;   
• politique de contrôle des accès;  
• politique de gestion des incidents;   
• politique de classification des renseignements; 
et 
• politique de reprise après sinistre . 
 
La politique de gestion des risques pour la sécurité 
de l'information, qui est la dernière politique en 
suspens du cadre recommandé par l'audit interne , 
est en suspens dans l'attente du résultat de l'axe 
de travail sur la gestion des risques dans le cadre 
de l'examen stru cturel du Secrétariat, le but 
étant d'assurer la cohérence et la compatibilité à 
l'échelle du Secrétariat . 
 EN COURS  Cette  
recomm andation 
reste en cours 
jusqu'à l'examen et 
la mise en œuvre de 
la politique de 
gestion des risques à 
l'échelle du  
Secrétariat  
(actuellement en 
cours parallèlement à 
l'examen structurel ) 
et elle sera close une 
fois que la politique 
de gestion des risques 
pour la sécurité de 
l'information aura été 
finalisée et 
communiquées aux 
fonctionnaires 
concernés . 
  
  WT/BFA/W/ 586 
 
- 6 - Recommandation d'audit  Priorité  Date limite 
initiale  État de la mise en œuvre communiqué  Recommandation 
d'audit  Priorité  
9: Gouvernance de la sécurité des TI: GOV  08 – 
Stratégie de l'OMC en matière de sécurité des TI.  
L'OMC devrait formellement définir sa stratégie et ses 
objectifs concernant la fonction de sécurité des TI, en 
tenant compte des résultats de l'inventaire des 
ressources d'information importantes et de l'évaluation 
des risques;  
La stratégie en matière de sécurité des TI devrait être 
réexaminée afin de s'assurer qu'elle est alignée sur les 
objectifs des activités de l'Organisation.  Moyenne  
  T1 2019  La stratégie et les objectifs concernant la fonction 
de sécurité des TI ont été appro uvés par le CDTSI  
dans le cadre du plan de travail global des TIC , 
qui inclut une section consacrée à "La résilience 
et la réduction des risques, y compris les risques 
liés à la c ybers écurité". 
 
 MISE EN ŒUVRE  La recomm andation a 
été mise en œuvre et 
close.  
10: Gouvernance de la sécurité des TI: GOV  09 – 
Alignement des objectifs de la fonction de sécurité des 
TI sur une stratégie en matière de sécurité des TI.  
La fonction de sécurité des TI devrait élaborer un 
ensemble d'objectifs clairs qui devraient être alignés 
sur la stratégie en matière de sécurité des TI indiquée 
dans la recommandation GOV  08 ci-dessus.  Faible  T1 2019  La stratégie et les objectifs concerna nt les TI ont 
été approuvés par le CDTSI  dans le cadre du plan 
de travail global des TIC.  
 MISE EN ŒUVRE  La recommandation a 
été mise en œuvre et 
close. 
15: Contrôles de sécurité des TI: ITSC -04 – Cadre de 
contrôle de la séparation des tâches  
L'unité de soutien et la fonction de sécurité des TI de 
l'OMC devraient:  
1. définir un cadre de séparation des tâches, en tenant 
compte du fait qu'il faut trouver un équilibre entre les 
exigences de sécurité et les ressources disponibles (par 
exemple un su ppléant pour une fonction spécifique doit 
se voir attribuer les droits d'accès appropriés pour 
exécuter les opérations de soutien);  
2. définir une procédure pour la gestion des exceptions 
au cadre de séparation des tâches. Cette procédure 
devrait inclure la documentation formelle des écarts 
par rapport au cadre de séparation des tâches et la 
validation formelle par le superviseur de l'utilisateur;  
3. réexaminer la configuration/personnalisation 
actuelle des rôles et responsabilités (c'est -à-dire le s 
rôles/accès Oracle) du logiciel de planification des 
ressources de l'entreprise  (PGI) par rapport au cadre 
de séparation des tâches pour s'assurer que des droits 
contradictoires ne sont pas donnés aux employés sans 
validation préalable du superviseur de l'utilisateur.  
 Moyenne  T1 2019  La question de la séparation des tâches (dans 
Oracle) dans le cadre du PGI sera abordée par la 
DRH, l'AGSD et l'ITSD suite au résultat de l'audit 
de sécurité du PGI  
 OUVERTE  Cette 
recommandation sera 
mise en œuvre après 
l'évaluation de la 
sécurité du PGI 
(BCIn) .  
  
  WT/BFA/W/ 586 
 
- 7 - C) INDEMNITÉS AU TITRE DES CONGÉS DANS LES FOYERS  
Recomm andation  d'audit  Priorité  Date 
limite 
initiale  État de la mise en œuvre communiqué  
par la division concernée  État Observations du BCIn  
1. Il convient de trouver le bon équilibre entre la 
nécessité d'encourager l'utilisation des montants 
forfaitaires et la nécessité d'assurer une utilisation 
rationnelle des ressources afin de favoriser 
l'économie, l'efficience et l'efficacité du processus.  
 
Par conséquent, le BCIn incite le Directeur de la 
Division des ressources humaines à surveiller 
étroitement les coûts et les avantages pour l'OMC du 
versement des montants forfaitaires, en tenant 
compte du niveau des incitations en espèces 
octroyées au per sonnel par le biais du montant 
forfaitaire; et à adopter les ajustements nécessaires 
si ce versement était considéré comme excessif  Moyenne  T3 2018  La méthodologie utilisée par l'OMC (et plusieurs autres 
organisations internationales basées à Genève) pour 
calculer les montants forfaitaires versés au titre du 
congé dans les foyers était basée sur les "tarifs pleins en 
classe économique" publiés par l'IATA dans le système 
Galileo. L'IATA a décidé d'abandonner les "tarifs pleins 
en classe économique" à compter  d'octobre  2018. Les 
tarifs ne sont donc plus mis à jour dans Galileo depuis le 
1er novembre  2018.  
 
Un groupe de 5 organisations internationales a établi un 
groupe de travail pour proposer une nouvelle 
méthodologie. Ce groupe de travail, soutenu par Carlso n 
Wagonlit en qualité de consultant, a présenté ses 
conclusions en octobre  2018.  
 
La haute direction de l'OMC a opté pour la méthode 
utilisée par l'ONU pour calculer les montants forfaitaires 
et a décidé de compiler toutes les politiques liées aux 
voyages  dans une seule Politique révisée en matière de 
voyages . Ces travaux ont été achevés en février 2021 et 
le projet de Mémorandum administratif a été envoyé au 
Comité consultatif mixte (CCM ) le 2 mars 2021 pour 
examen et avis à la Directrice générale . 
 EN 
COURS  La recommandation reste 
en cours jusqu'à ce que le 
Mémorandum 
administratif expliquant en 
détail la Politique révisée 
en matière de voyages , 
qui comporte la nouvelle 
méthode de calcul des 
montants forfaitaires 
versés au titre du congé 
dans les foyers , soit 
examiné par le CCM , 
appro uvé par la Directr ice 
générale  et publié. 
 
 
__________