CA-02(01) - Évaluatrices et évaluateurs indépendants   (PaFF)

Énoncés :

Utiliser des évaluatrices et évaluateurs ou des équipes d’évaluatrices et évaluateurs indépendants pour mener des évaluations de contrôle.

Paramètres :

Discussion :

Les évaluatrices et évaluateurs ou les équipes d’évaluatrices et évaluateurs indépendants sont des personnes ou des groupes chargés de mener des évaluations impartiales des systèmes. L’impartialité signifie que les évaluatrices et évaluateurs ne doivent en aucun cas se trouver en conflit d’intérêts, subjectif ou réel, en ce qui a trait au développement, aux opérations, au maintien ou à la gestion des systèmes qui font l’objet d’évaluations ou en ce qui a trait à l’établissement de l’efficacité du contrôle. Pour assurer l’impartialité, les évaluatrices et évaluateurs n’ont pas un intérêt commun ou concurrentiel avec les organisations pour lesquelles ils mènent des évaluations, ils évaluent leur propre travail, agissent en tant que gestionnaires ou employées et employés des organisations pour lesquelles ils mènent les évaluations ou agissent à titre de conseillères et de conseillers pour les organisations qui ont recours à leurs services. Les évaluations indépendantes peuvent être menées par des éléments des organisations ou par des sous-traitants provenant d’entités publiques ou privées extérieures aux organisations concernées. Les autorités responsables déterminent le niveau d’indépendance requis en fonction des catégories de sécurité liées aux systèmes ou au risque associé aux opérations, à la sensibilité des renseignements personnels connexes, aux biens et aux personnes de l’organisation. Les autorités responsables déterminent également si ce niveau d’indépendance est suffisant pour que l’organisation puisse avoir confiance que les résultats sont fiables et peuvent servir à prendre des décisions crédibles concernant les risques. L’établissement de l’indépendance des évaluatrices et évaluateurs comprend de déterminer si les sous-traitants qui offrent les services d’évaluation sont assez indépendants, par exemple lorsque les propriétaires de systèmes ne participent pas directement aux processus contractuels ou qu’ils ne peuvent pas influencer indûment l’objectivité des évaluatrices et évaluateurs. Durant la conception du système et la phase de développement, le fait d’avoir des évaluatrices et évaluateurs indépendants est similaire au fait d’avoir des spécialistes en la matière impliquées ou impliqués dans les revues de conception. Lorsque les organisations qui détiennent les systèmes sont de petite taille ou lorsque les structures organisationnelles exigent que les évaluations soient menées par des personnes qui font partie de la chaîne de développement, d’opérations ou de gestion des propriétaires des systèmes, on peut s’assurer de l’indépendance des processus d’évaluation en examinant minutieusement les résultats des évaluations et en veillant à ce que des équipes de spécialistes indépendants mènent des analyses pour valider le caractère exhaustif, l’exactitude, l’intégrité et la fiabilité des résultats. Les évaluations menées autrement que pour appuyer directement les décisions liées aux autorisations – si elles sont menées par des évaluatrices et évaluateurs suffisamment indépendants – risquent d’être davantage utiles pour prendre ce genre de décisions, ce qui permet de réduire le besoin de répéter les évaluations.