RESTRICTED  
  
WT/BFA/W/545  
1er avril 2021 
(21-2731) Page: 1/7 
Comité du budget, des finances et de l'administration   
 
  
BUREAU DU CONTRÔLE INTERNE (BCIn)  
ÉTAT DES RECOMMANDATIONS D'AUDIT INTERNE  
(Mars 2021) 
1.1.  Le Bureau du contrôle interne (BCIn) fournit pour information au Comité du budget, des 
finances et de l'administration (CBFA) l'état le plus récent de la mise en œuvre des recommandations 
proposées dans les rapports d'audit interne et dans le rapport d'évaluation externe de l'assistance 
technique liée au commerce (ATLC)1, établi par Saana Consulting le 31  octobre  2016. 
1.2.  Comme il a été demandé p ar l'Institut des auditeurs internes (IIA), le BCIn tient un registre de 
suivi détaillé afin de suivre la mise en œuvre des recommandations et de garantir que des mesures 
ont été effectivement mises en œuvre par la direction (norme de l' IIA 2500.A1 – Surve illance des 
actions de progrès ). Ce registre est mis à jour régulièrement, sur la base des renseignements 
collectés auprès des divisions /unités  concernées.  
1.3.  L'état actuel des recommandations est résumé dans l'annexe 1  – État des recommandations  
(mars  2021), et de plus amples détails sont donnés dans l'annexe 2 – Recommandations du BCIn 
qui n'ont pas encore été closes ( mars 2021) – du présent document.  
1.4.  En mars  2021, la direction avait mis en œuvre 89% des recommandations du BCIn et toutes 
les recommandations  contenues dans le rapport d'évaluation externe de l'ATLC  étaient désormais  
closes . 
1.5.  Le BCIn continuera de surveiller de près la mise en œuvre de ces recommandations et de faire 
rapport à ce sujet au CBFA.  
1.6.  Veuillez noter que le rapport annuel du BCIn sera p résenté au CBFA en juin  2021.2 
 
 
1 WT/COMTD/89 – Évaluation externe de l'assistance technique liée au commerce fournie par l'OMC , 
2 décembre  2016. L'évaluation avait pour objectif principal d' "évaluer de manière indépendante le 
fonctionnement de toutes les activités d'assistance technique liée au commerc e (ATLC) que [menait] l'OMC, et 
d'analyser la mise en œuvre de ces activités, les meilleures pratiques et les enseignements tirés dans ce 
domaine".  
2 Conformément au Mémorandum administratif n° 974 (OFFICE(15)/101 – Bureau du contrôle interne , 
30 novembre 2015), le BCIn présentera un rapport annuel au CBFA, donnant un aperçu général de ses 
activités au cours de l'année écoulée .   
  WT/BFA/W/545  
- 2 - 
 
ANNEXE  1: ÉTAT DES RECOMMANDATIONS (MARS  2021) 
BCIn – ÉTAT  DES RECOMMANDATIONS (pour plus de détails , voir l'annexe 2)  
Activité d'audit  Année 
considérée  Nombre total de 
recommandations  Nombre de 
recommandations 
prioritaires  État au 01/ 03/2020 État au 01/03/ 2021 
  % Closes  TEC Ouvertes  Closes  TEC Ouvertes  
Gestion des congés de maladie  2014 33 26 79% 32 1 0 32 1 0 
Sécurité des TI  2014 19 5 26% 13 4 2 13 4 2 
Indemnités au titre des congés dans les foyers  2017 11 2 18% 9 2 0 10 1 0 
Honoraires des membres de l'Organe d'appel et 
des groupes spéciaux  2020 14 0 0% 7 7 0 14 0 0 
Total/Pourcentage  - 77 33 43%  79% 18% 3% 89% 8% 3% 
 
 
ATLC – ÉTAT DES RECOMMANDATIONS  
Activité  Année 
considérée  Nombre total de 
recommandations  État 
au 01/03/2020 État 
au 01/03/ 2021 
Closes (mises 
en œuvre)  Closes (sans 
action)  TEC Ouvertes  Closes (mises 
en œuvre)  Closes (sans 
action)  TEC Ouvertes  
Évaluation de l'assistance 
technique liée au commerce  2016 28 24 3 1 0 25 3 0 0 
Total/Pourcentage  - 28 86% 11%  3% 0% 89% 11%  0% 0%   
  WT/BFA/W/545  
- 3 - 
 
ANNEXE  2: RECOMMANDATIONS DU BCI n QUI N'ONT PAS ENCORE ÉTÉ CLOSES (MARS  2021) 
A) GESTION DES CONGÉS DE MALADIE  
Recommandation d'audit  Priorité  Date 
limite 
initiale  État de la mise en œuvre communiqué  
par la division concernée  État Observations du BCIn  
26. Le Service médical et la Division des ressources 
humaines (DRH) devraient rapprocher les données sur les 
congés de maladie enregistrées dans Oracle et dans 
CHIMED afin de vérifier qu'elles sont exactes, cohérentes 
et fiables pour être communiquées aux diverse s parties 
prenantes et que tous les écarts sont justifiés.  Moyenne  T4 2018  En 2018 , l'OMC a décidé de remplacer CHIMED par 
Préventiel, un logiciel spécialisé dans la gestion des 
dossiers médicaux 
(http://www.val -solutions.fr/solutions/solution -preventiel/ ). 
 
Préventiel a été mis en œuvre au quatrième trimestre de 
2018 et est actuellement pleinement opérationnel . Il s'agit 
d'une  solution autonome permettant de sécuriser l'accès 
aux renseignements et de garantir leur confidentialité (seul 
le Service médical a accès à Préventiel).  
 
Alors que les dossiers médicaux des membres du personnel 
sont désormais gérés par le Service médical dans 
Préventiel, les congés de maladie restent gérés par la DRH 
dans Oracle . Une interface a été développée et mise en 
service, en décembre  2018, pour importer les congés de 
maladie d'Oracle dans Préventiel.  
 
Toutefois, en  2019, l'OMC a décidé de mettre en place un 
nouveau système intégré de gestion des processus de la 
DRH. La mise en œuvre du nouveau système , appelé WISE 
(et qui utilise Workday comme plate -forme logicielle)  est 
encore en cours . 
 
Une interface sera créée ent re WISE  et Préventiel et les 
données relatives aux congés de maladie enregistrées dans 
les deux systèmes seront harmonisées une fois que 
l'interface aura été  finalisée.  EN 
COURS  La recommandation sera 
close quand le nouveau 
logiciel de la DRH (WISE) 
aura été mis en œuvre et 
que son interface avec 
Préventiel aura été 
finalisé e. 
   
  WT/BFA/W/545  
- 4 - 
 
B) SÉCURITÉ DES TI  
Recommandation d'audit  Priorité  Date 
limite 
initiale  État de la mise en œuvre communiqué  
par la division concernée  État Observations du BCIn  
4: Gouvernance de la sécurité des TI : GOV 04 – Processus de 
gestion des risques.  
 
La fonction de sécurité de l'information devrait examiner 
régulièrement le registre des risques pour assurer une 
identification adéquate et rapide des risques liés à la sécurité 
de l'information . Sur la base de cet examen, la fonction de 
sécurité des TI devrait:  
 
1. déterminer les cas où une réponse devrait être apportée en 
matiè re de sécurité des TI;  
 
2. veiller à ce que les réponses appropriées en matière de 
sécurité des TI figurent dans la section des "mesures 
d'atténuation proposées";  
 
3. veiller à ce que les réponses en matière de sécurité des TI 
soient mises en œuvre et opér ationnelles.  Élevée  T3 2018  Les risques liés à la sécurité de l'information seront  inclus 
dans l'exercice annuel de gestion du risque d'entreprise 
(GRE) mené par le Responsable de la gestion des risques à 
l'OMC.  
 
La réponse en matière de sécurité des TI aux risques 
importants identifiés sera présentée au Comité directeur 
des technologies et de la sécurité de l'information pour 
validation et approbation, dans le cadre des résultats de 
l'évaluation des risques (voir la recommandation  GOV 05 – 
Inventaire des  ressources d'information importantes de 
l'OMC).  
 
Le processus a été retardé par le confinement lié à la 
pandémie  de COVID -19 et les activités urgentes y 
relatives, ainsi que par des modifications radicales des 
méthodes et des outils de travail.  
 
Le proces sus de recrutement d'un responsable de la 
conformité, de la gestion des risques et de la résilience est 
en cours.  EN 
COURS  La recommandation reste 
en cours jusqu'à la 
finalisation du registre 
des risques pour la 
sécurité de l'information 
(ou du registre détaillé 
des risques à l'échelle de 
l'OMC) et la mise en 
œuvre de la 
recommandation  GOV 05. 
5: Gouvernance de la sécurité des TI : GOV 05 a) – Inventaire 
des ressources d'information importantes de l'OMC.  
 
La LDIMD et l'ITSD devraient coordonner l a création et le 
maintien d'un inventaire des ressources d'information 
importantes de toute l'Organisation comme les données, les 
informations, les documents et les publications . Cet inventaire 
devrait inclure : les définitions des rôles et des responsabilités 
des détenteurs de ressources d'information, le niveau de 
classification des ressources d'information et les prescriptions 
de base en termes de contrôle et de suivi des ressources 
d'information ; la définition devrait prendre en compte chaque  
division qui développe ou a accès à des ressources 
d'information importantes ; la fonction de sécurité des TI 
devrait effectuer une évaluation des risques pour la sécurité, 
basée sur la liste des ressources d'information importantes, 
afin de déterminer le niveau de protection requis pour chaque 
ressource d'information importante.  Moyenne  T4 2018  L'ITSD souscrit en partie à la recommandation : la création 
et le maintien de l'inventaire nécessitent essentiellement la 
fourniture de renseignements par les détenteurs de 
ressources d'information, c'est-à-dire les divisions 
opérationnelles s'occupant des questions de fond (par 
opposition aux divisions de soutien telles que l'ITSD ou la 
LDIMD) . Par conséquent, cette tâche devrait être confiée et 
supervisée par le Comité directeur des technologies et de 
la sécurité de l'information (CDTSI) créé en vertu de la 
recommandation GOV 01. 
 
La politique de classi fication des renseignements 
confidentiels a été adoptée et sert désormais de base à 
l'inventaire des ressources d'information importantes de 
toute l'Organisation.  EN 
COURS  La recommandation sera 
close à l'achèvement de 
l'inventaire des 
ressources d'informa tion 
importantes.    
  WT/BFA/W/545  
- 5 - 
 
Recommandation d'audit  Priorité  Date 
limite 
initiale  État de la mise en œuvre communiqué  
par la division concernée  État Observations du BCIn  
   L'inventaire des ressources d'information importantes est 
actuellement en cours de réalisation par les divisions, sous 
la coordination du Bureau de la sécurité de l'information.  
Les ressources d'information les plus sensibles ont été 
identifiées et t ous les renseignements essentiels pour 
l'évaluation des risques ont déjà été recueillis par l'ITSD.  
 
Une plate -forme informatique a été mise en place pour 
enregistrer et conserver les résultats de l'inventaire. Le 
système est accessible  à tous les  membres du personnel à 
l'adresse http://kiai.cwr.wto.org  et sert de référence pour 
la classification des renseignements produits par 
différentes divisions.  
 
Malheureusement, le processus d'inventaire a ét é 
interrompu  à plusieurs reprises en raison : 1) de périodes 
de congés et d'indisponibilité de membres clés du 
personnel; 2) du confinement lié à la  pandémie de  
COVID -19 et des activités urgentes y relatives et de 
modifications radicales des méthodes et outils de travail; et 
3) d'autres priorités liées à la cybersécurité.    
6: Gouvernance de la sécurité des TI : GOV 06 – Structure des 
politiques de sécurité de l'information.  
 
Réexaminer la structure et l'exhaustivité des politiques, 
normes, lignes directrices et procédures en matière de 
sécurité des TI ; définir et appliquer les diverses politiques des 
TI, y compris les politiques de sécurité, la politique 
d'évaluation des risqu es pour la sécurité des TI, la politique 
de reprise après sinistre et la politique d'évaluation des 
risques pour la sécurité de l'information qui est alignée sur la 
politique de gestion des risques.  Moyenne  T4 2018  Suite à l'introduction de la politique gé nérale, les politiques 
et procédures ci -après ont été élaborées  et publiées : 
 
• politique d'évaluation de l'architecture et de la sécurité 
des systèmes d'information;  
• politique de sécurité de l'information;  
• politique de contrôle des accès;  
• politique de gestion des incidents;  
• politique de classification des renseignements ; et 
• politique de reprise après sinistre.  
 
La politique de gestion des risques pour la sécurité de 
l'information , qui est la dernière  politique en suspens du 
cadre recommandé par l'audit interne,  sera distribué e au 
CDTSI pour observations et validation finale . 
 
Une séance sur la sécurité de l'information sera planifiée  au 
2ème trimestre de 2021.  
 
Malheureusement, le processus a été interrompu en raison 
du confinement lié à la  pandémie de  COVID -19 et des 
activités urgentes y relatives et de modifications radicales 
des méthodes et outils de travail, ainsi que d'autres 
priorités liées à la cybersécurité.  EN 
COURS  Cette recommandation 
sera close une fois que la 
politique  de gestion des 
risques  pour la sécurité 
de l'information aura été 
finalisée et 
communiquées aux 
fonctionnaires concernés.    
  WT/BFA/W/545  
- 6 - 
 
Recommandation d'audit  Priorité  Date 
limite 
initiale  État de la mise en œuvre communiqué  
par la division concernée  État Observations du BCIn  
9: Gouvernance de la sécurité des TI : GOV 08 – Stratégie de 
l'OMC en matière de sécurité des TI.  
L'OMC devrait formellement définir sa stratégie et ses 
objectifs concernant la fonction de sécurité des TI, en tenant 
compte des résultats de l'inventaire des ressources 
d'information importantes et de l'é valuation des risques;  
La stratégie en matière de sécurité des TI devrait être 
réexaminée afin de s'assurer qu'elle est alignée sur les 
objectifs des activités de l'Organisation.  Moyenne  
 T1 2019  La stratégie et les objectifs concernant la fonction de 
sécurité des TI seront soumis au CDTSI pour approbation, 
avec les résultats de l'évaluation des risques.  
 
Malheureusement, le processus a été interrompu en raison 
du confinement lié à la COVID -19 et d es activités urgentes 
y relatives et de modifications radicales des méthodes et 
outils de travail, ainsi que d'autres priorités liées à la 
cybersécurité  EN 
COURS  L'état de la 
recommandation reste 
inchangé jusqu'à la 
finalisation de la stratégie 
et des obje ctifs 
concernant la fonction de 
sécurité des  TI. 
10: Gouvernance de la sécurité des TI : GOV 09 – Alignement 
des objectifs de la fonction de sécurité des TI sur une 
stratégie en matière de sécurité des TI.  
La fonction de sécurité des TI devrait élaborer un ensemble 
d'objectifs clairs qui devraient être alignés sur la stratégie en 
matière de sécurité d es TI indiquée dans la recommandation 
GOV 08 ci-dessus . Faible  T1 2019  Les objectifs intérimaires de la fonction de sécurité des TI 
ont été identifiés (mais pas formellement documentés) . Les 
objectifs à long terme seront définis une fois que la 
stratégie c oncernant la fonction de sécurité des TI aura été 
définie (recommandation GOV  08). OUVERTE  L'état de la 
recommandation reste 
inchangé jusqu'à la 
finalisation de la stratégie 
et des objectifs 
concernant la fonction de 
sécurité des TI.  
15: Contrôles de sécurité des TI : ITSC-04 – Cadre de contrôle 
de la séparation des tâches  
L'unité de soutien et la fonction de sécurité des TI de l'OMC 
devraient:  
1. définir un cadre de séparation des tâches, en tenant 
compte du fait qu'il faut trouver un équilibre entre l es 
exigences de sécurité et les ressources disponibles (par 
exemple un suppléant pour une fonction spécifique doit se 
voir attribuer les droits d'accès appropriés pour exécuter les 
opérations de soutien);  
2. définir une procédure pour la gestion des except ions au 
cadre de séparation des tâches . Cette procédure devrait 
inclure la documentation formelle des écarts par rapport au 
cadre de séparation des tâches et la validation formelle par le 
superviseur de l'utilisateur;  
3. réexaminer la configuration actuell e des rôles et 
responsabilités du PGI (par exemple les profils du PGI) par 
rapport au cadre de séparation des tâches pour s'assurer que 
des droits contradictoires ne sont pas donnés aux employés 
sans validation préalable du superviseur de l'utilisateur.  Moyenne  T1 2019  La question de la séparation des tâches dans le cadre du 
PGI sera abordée par la DRH, l'AGSD et l'ITSD suite au 
résultat de l'audit de sécurité du PGI.  OUVERTE  Cette recommandation 
sera mise en œuvre 
après l'évaluation de la 
sécurité du PGI (BCIn).  
   
  WT/BFA/W/545  
- 7 - 
 
C) INDEMNITÉS AU TITRE DES CONGÉS DANS LES FOYERS  
Recommandation d'audit  Priorité  Date limite 
initiale  État de la mise en œuvre communiqué  
par la division concernée  État Observations du BCIn  
1. Il convient de trouver le bon équilibre entre la 
nécessité d'encourager l'utilisation des montants 
forfaitaires et la nécessité d'assurer une utilisation 
rationnel le des ressources afin de favoriser 
l'économie, l'efficience et l'efficacité du processus.  
 
Par conséquent, le BCIn incite le Directeur de la 
Division des ressources humaines à surveiller 
étroitement les coûts et les avantages pour l'OMC du 
versement des montants forfaitaires, en tenant 
compte du niveau des incitations en espèces 
octroyées au per sonnel par le biais du montant 
forfaitaire ; et à adopter les ajustements nécessaires si 
ce versement était considéré comme excessif.  Moyenne  T3 2018  La méthodologie utilisée par l'OMC (et plusieurs autres 
organisations internationales basées à Genève) pour 
calculer les montants forfaitaires versés au titre du 
congé dans les foyers était basée sur les "tarifs pleins 
en classe économique" publiés par l'IATA dans le 
système Galileo . L'IATA a décidé d'abandonner les 
"tarifs pleins en classe économiq ue" à compter 
d'octobre  2018. Les tarifs ne sont donc plus mis à jour 
dans Galileo depuis le 1er novembre  2018.  
 
Un groupe de 5 organisations internationales a établi un 
groupe de travail pour analyser et proposer une 
nouvelle méthodologie . Ce groupe de tr avail, soutenu 
par Carlson Wagonlit en qualité de consultant, a 
présenté ses conclusions en octobre  2018.  
 
En fin de compte, la haute direction de l'OMC a opté 
pour la  méthode utilisée par l'ONU pour calcul er les 
montants forfaitaires et a décidé de compiler toutes les 
politiques liées aux voyages dans un seul document. 
Ces travaux ont été achevés en février 2021 et le projet 
de Mémorandum administratif est en cours d'examen 
par le Comité consultatif mixte (CCM) .  EN 
COURS  La recommanda tion reste 
en cours jusqu'à ce que le 
Mémorandum administratif 
expliquant en détail la 
nouvelle méthode de calcul 
des montants forfaitaires 
versés au titre du congé 
dans les foyers  soit 
approuvé par la Directrice 
générale et publié . 
 
__________